linux:reseau:iptables []

Cette page est en lecture seule. Vous pouvez afficher le texte source, mais ne pourrez pas le modifier. Contactez votre administrateur si vous pensez qu'il s'agit d'une erreur.
====== Linux ======

===== Firewall iptables =====
\\ 
**iptables** est un ensemble de commandes permettant de configurer le module Netfilter, qui intercepte et manipule les paquets IP avant et après le routage.

Le module Netfilter peut également être administré graphiquement depuis :
  * firewalld
  * webmin
{{:linux:reseau:iptables_admin.png?direct&400 |}}

|iptables cheat sheet |{{ :linux:reseau:iptable_cheat-sheet.pdf |Download}} |

__**Notes**__ : 
  - All rules are processed from top to down.  Once a rule is matched, the rest will be ignored. 
  - Never run iptables -F if the default rules are DROP or your system will be inaccessible.  If possible, set the default rule to ACCEPT and add iptables -A INPUT -j DROP at the end.



==== Installer iptables ====
<cli>$ sudo apt-get install iptables</cli>

==== Démarrer le service iptables ====
<cli>$ service iptables start</cli>

Pour que iptables soit lancé par défaut au démarrage du système, on change le statut du niveau d'exécution :
<cli>$ chkconfig -level 345 iptables on</cli>
\\ 
==== Définir des règles de filtrage ====
  * Lister toutes les règles
<cli>$ iptables -L -n -v --line-numbers</cli>

  * Flush de toutes les règles
<cli>$ iptables -F</cli>

  * Supprimer toutes les règles utilisateur
<cli>$ iptables -X</cli>

  * Supprimer une règle
<cli>$ iptables -L -n -v --line-numbers
$ iptables -D input {line-number} </cli>

  * Définir une règle par défaut
<cli>$ iptables -P INPUT DROP
$ iptables -P FORWARD DROP
$ iptables -P OUTPUT DROP</cli>

=== Règles de blocage ===

  * Bloquer une IP entrante
<cli>$ iptables -A INPUT -s aa.bb.cc.dd -j DROP</cli>

  * Bloquer l'accès à une URL
<cli>$ iptables -A OUTPUT -p tcp -d www.microsoft.com -j DROP</cli>

  * Bloquer les requêtes web entrantes
<cli>$ iptables -A input -p tcp --dport 80 -j DROP</cli>

=== Règles de filtrage ===

  * Autoriser le trafic entrant d'une connexion déjà établie
<cli>$ iptables -A INPUT -m state -state ESTABLISHED,RELATED -j ACCEPT</cli>

  * Autoriser le ping depuis une adresse IP seulement
<cli>$ iptables -A INPUT -s 1.2.3.0/24   -p icmp --icmp-type echo-request -j ACCEPT
$ iptables -A INPUT -p icmp --icmp-type echo-request -j DROP</cli>

  * Autoriser l'accès SSH depuis une adresse IP seulement
<cli>$ iptables -A INPUT -s 1.2.3.0/24   -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT
$ iptables -A INPUT -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j DROP</cli>

  * Autoriser les requêtes DNS
<cli>$ iptables -A OUTPUT -p udp -o eth0 -dport 53 -sport 1024:65535 -j ACCEPT</cli>

  * Autoriser les connections sortantes HTTP et HTTPS pour les ports TCP classiques
<cli>$ iptables -A OUTPUT -o eth0 -p tcp --dport 80 --sport 1024:65535 -j ACCEPT
$ iptables -A OUTPUT -o eth0 -p tcp --dport 443 --sport 1024:65535 -j ACCEPT</cli>

  * Translation d'adresse NAT (Port forward)
Transférer tout le trafic entrant vers le port 22 du serveur aa.bb.cc.dd:22
<cli>$ iptables -t nat -A PREROUTING -I eth0 -p tcp --dport 1022 -j DNAT --to aa.bb.cc.dd:22
$ iptables -A FORWARD -p tcp -d aa.bb.cc.dd -dport 22 -m state --state NEW,ESTABLISH -j ACCEPT</cli>

=== Journalisation ===

  * Journaliser tout le trafic rejeté
<cli>
$ iptables -N LOGnDROP
$ iptables -A LOGnDROP -j LOG --log-prefix 'DROP_LOG :'
$ iptables -A LOGnDROP -j DROP
</cli>
\\ 
==== Sauvegarde et restauration des règles iptables ====
Les règles créées avec iptables ne sont pas durables et ne valent que jusqu’à ce que votre ordinateur ne s’éteigne. Il est recommandé d’utiliser ''iptables-save'' pour sauvegarder vos paramètres sous forme de document ".rules" dans les fichiers d’iptables.

  * Sauvegarder les règles
<cli>$ iptables-save > /etc/iptables/iptables.rules</cli>

  * Restauration des règles
(à placer, de préférence, dans un script lancé au démarrage du système)
<cli>$ iptables-restore < /etc/iptables/iptables.rules</cli>