Différences

Ci-dessous, les différences entre deux révisions de la page.

Lien vers cette vue comparative

Les deux révisions précédentesRévision précédente
Prochaine révision		Révision précédente
iptables [Le 27/04/2020, 10:37] – [Via un fichier] beaver 116.202.112.170iptables [Le 20/07/2026, 10:45] (Version actuelle) – niveau titre (h1) | pas de maj à iptables | liens wpfr | icône | mise en forme krodelabestiole
Ligne 1: Ligne 1:
 {{tag>pare-feu sécurité réseau}} {{tag>pare-feu sécurité réseau}}
-{{ /iptables.jpg?340nolink| Iptables}} 
----- 
  
-=====Iptables=====+{{ :icons:ufw.png?100|Icône iptables}} 
 +====== iptables ======
  
 +FIXME: Depuis une Ubuntu 23.10, le package [[apt>iptables]] semble être maintenu, voir : https://changelogs.ubuntu.com/changelogs/pool/main/i/iptables/iptables_1.8.9-2ubuntu2/changelog -- [[utilisateurs:BeAvEr]], en date du : ✨✨ **////__(14/09/2023)__** ✨✨
  
-Iptables est une interface en ligne de commande permettant de configurer Netfilter. En plus de Iptables, depuis la version 8.04, Ubuntu est installé avec la surcouche [[:ufw|UFW]] qui permet de contrôler simplement Netfilter, [[:ufw|UFW]] est toutefois moins complet que iptables.+----
  
-Cette documentation est une introduction à Iptables, elle est destinée à ceux qui souhaitent mettre en place un [[:pare-feu]] et/ou un partage de connexion, sur une machine Linux, sans passer par une interface graphique. Seule la table par défaut (Filter) d'Iptables est présentée ici et seules les chaînes utilisées par Filter (Input, Forward et Output) y sont exposées.+**[[wpfr>iptables]]** est une interface en ligne de commande permettant de configurer Netfilter. En plus de **iptables**, depuis la version 8.04, Ubuntu est installé avec la surcouche [[:UFW]] qui permet de contrôler simplement [[wpfr>Netfilter]], [[:UFW]] est toutefois moins complet que **iptables**.
  
-Les lecteurs désirant approfondir leur recherche et aborder l'utilisation des autres tables (Nat, Mangle, Row et Security) ainsi que des chaînes non utilisables par Filter (Prerouting et Postrouting) se tourneront vers les nombreuses documentations disponibles sur l'Internet (voir notamment ici). Ceux désirant configurer un [[:pare-feu]] par l'intermédiaire d'une interface graphique se tourneront vers Gufw ou encore vers Shorewall pour une utilisation sur serveur.+Cette documentation est une introduction à **iptables**, elle est destinée à ceux qui souhaitent mettre en place un [[:pare-feu]] et/ou un partage de connexion, sur une machine Linux, sans passer par une interface graphique. Seule la table par défaut (//Filte//r) d'iptables est présentée ici et seules les chaînes utilisées par //Filter// (//Input//, //Forward// et //Output//) y sont exposées.
  
-iptables existe aussi pour ipv6, pour cela il suffit d'utiliser la commande ip6tables au lieu de iptables.+Les lecteurs désirant approfondir leur recherche et aborder l'utilisation des autres tables (Nat, Mangle, Row et Security) ainsi que des chaînes non utilisables par Filter (Prerouting et Postrouting) se tourneront vers les nombreuses documentations disponibles sur l'Internet. Ceux désirant configurer un [[:pare-feu]] par l'intermédiaire d'une interface graphique se tourneront vers Gufw ou encore vers Shorewall pour une utilisation sur serveur.
  
-Pour une bonne compréhension d'Iptables (et des pare-feux en général) il est conseillé d'avoir des notions en réseaux informatiques, au minima connaître le principe de fonctionnement des protocoles TCP et UDP.+**iptables** existe aussi pour l'IPv6, pour cela il suffit d'utiliser la commande ''ip6tables'' au lieu de ''iptables''.
  
 +Pour une bonne compréhension d'**iptables** (et des pare-feux en général) il est conseillé d'avoir des notions en réseaux informatiques, au minima connaître le principe de fonctionnement des protocoles [[wpfr>Transmission_Control_Protocol|TCP]] et [[wpfr>User_Datagram_Protocol|UDP]].
  
 ===== Configuration du pare-feu ===== ===== Configuration du pare-feu =====
Ligne 25: Ligne 26:
 Afin de ne pas avoir de problème au moment où on crée ces règles, nous allons d'abord créer les autorisations, puis nous enverrons le reste en enfer. Afin de ne pas avoir de problème au moment où on crée ces règles, nous allons d'abord créer les autorisations, puis nous enverrons le reste en enfer.
  
-En tapant « ''sudo iptables -L'' », une liste de vos règles actuelles est affichée. Si vous (ou un logiciel) n'avez encore jamais touché à //iptables//, les chaînes sont vides, et vous devriez voir :+En tapant « ''sudo iptables -L'' », une liste de vos règles actuelles est affichée. Si vous (ou un logiciel) n'avez encore jamais touché à **iptables**, les chaînes sont vides, et vous devriez voir :
 <code> <code>
 Chain INPUT (policy ACCEPT) Chain INPUT (policy ACCEPT)
Ligne 42: Ligne 43:
 Par défaut, « ''sudo iptables -L'' » n'affiche que la table "filter". Pour consulter les autres tables, vous devez ajouter l'option -t suivie de "nat", "mangle" ou "raw". Pour la configuration d'un [[:pare-feu]] la table "filter" est toutefois la seule nécessaire. Par défaut, « ''sudo iptables -L'' » n'affiche que la table "filter". Pour consulter les autres tables, vous devez ajouter l'option -t suivie de "nat", "mangle" ou "raw". Pour la configuration d'un [[:pare-feu]] la table "filter" est toutefois la seule nécessaire.
  
-<note warning>ATTENTION, si vous avez modifié la règle par défaut pour le blocage (iptables -P INPUT DROP  voir plus bas) et que vous tapez iptables -F vous bloquerez tous les accès ... y compris celui en cours. Ceci est particulièrement problématique  sur  une machine sur laquelle vous accédez à distance (serveur etc.).</note>+<note warning>ATTENTION, si vous avez modifié la règle par défaut pour le blocage (''iptables -P INPUT DROP'' voir plus bas) et que vous entrez ''iptables -F'' vous bloquerez tous les accès... y compris celui en cours. Ceci est particulièrement problématique  sur  une machine sur laquelle vous accédez à distance (serveur etc.).</note>
  
 Si vous avez déjà modifié la configuration et que vous voulez la réinitialiser, tapez : Si vous avez déjà modifié la configuration et que vous voulez la réinitialiser, tapez :
Ligne 54: Ligne 55:
 Pour permettre à une connexion déjà ouverte de recevoir du trafic : Pour permettre à une connexion déjà ouverte de recevoir du trafic :
 <code> <code>
-# iptables -A INPUT -m conntrack --ctstate ESTABLISHED -j ACCEPT+sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED -j ACCEPT
 </code> </code>
 +Cette commande ajoute une règle (''-A'') à la chaîne contrôlant le trafic entrant //INPUT//, pour autoriser le trafic (''-j ACCEPT''), aprés vérification que l'état de la connexion est établie (''-m conntrack --ctstate ESTABLISHED'').
  
 <note warning> <note warning>
Ligne 65: Ligne 67:
 === Permettre le trafic entrant sur un port spécifique === === Permettre le trafic entrant sur un port spécifique ===
  
-Pour permettre le trafic entrant sur le port 22 (traditionnellement utilisé par SSH, vous devrez indiquer à iptables tout le trafic TCP sur le port 22 de votre adaptateur réseau.+Pour permettre le trafic entrant sur le port 22 (traditionnellement utilisé par [[:SSH]], vous devrez indiquer à **iptables** tout le trafic TCP sur le port 22 de votre adaptateur réseau.
 <code> <code>
-# iptables -A INPUT -p tcp -i eth0 --dport ssh -j ACCEPT+sudo iptables -A INPUT -p tcp -i eth0 --dport ssh -j ACCEPT
 </code> </code>
 Cette commande ajoute une règle (''-A'') à la chaîne contrôlant le trafic entrant //INPUT//, pour autoriser le trafic (''-j ACCEPT''), vers l'interface (''-i'') //eth0// et à destination du port (''<nowiki>--dport</nowiki>'') //SSH// (on aurait pu mettre 22). Cette commande ajoute une règle (''-A'') à la chaîne contrôlant le trafic entrant //INPUT//, pour autoriser le trafic (''-j ACCEPT''), vers l'interface (''-i'') //eth0// et à destination du port (''<nowiki>--dport</nowiki>'') //SSH// (on aurait pu mettre 22).
Ligne 73: Ligne 75:
 Maintenant vous pouvez vérifier vos règles iptables : Maintenant vous pouvez vérifier vos règles iptables :
 <code> <code>
-# iptables -L+sudo iptables -L
 Chain INPUT (policy ACCEPT) Chain INPUT (policy ACCEPT)
 target     prot opt source               destination         target     prot opt source               destination        
Ligne 82: Ligne 84:
 Maintenant, acceptons tout le trafic web (''www'') entrant : Maintenant, acceptons tout le trafic web (''www'') entrant :
 <code> <code>
-# iptables -A INPUT -p tcp -i eth0 --dport 80 -j ACCEPT+sudo iptables -A INPUT -p tcp -i eth0 --dport 80 -j ACCEPT
 </code> </code>
  
 En regardant nos règles, nous avons : En regardant nos règles, nous avons :
 <code> <code>
-# iptables -L+sudo iptables -L
 Chain INPUT (policy ACCEPT) Chain INPUT (policy ACCEPT)
 target     prot opt source               destination         target     prot opt source               destination        
Ligne 101: Ligne 103:
 Maintenant que nous avons fini avec les autorisations, il faut maintenant bloquer le reste. Maintenant que nous avons fini avec les autorisations, il faut maintenant bloquer le reste.
 Nous allons en fait modifier la « politique par défaut » (//policy//) de la chaîne //INPUT// : cette décision (//DROP//) s'applique lorsque aucune règle n'a été appliquée à un paquet. Donc, si la tentative de connexion n'est permise par aucune des règles précédentes, elle sera rejetée. Nous allons en fait modifier la « politique par défaut » (//policy//) de la chaîne //INPUT// : cette décision (//DROP//) s'applique lorsque aucune règle n'a été appliquée à un paquet. Donc, si la tentative de connexion n'est permise par aucune des règles précédentes, elle sera rejetée.
 +<note important>warning : a ne pas utiliser sur un serveur distant !</note>
 <code> <code>
-# iptables -P INPUT DROP #warning : a ne pas utiliser sur un serveur distant ! +sudo iptables -P INPUT DROP #warning : a ne pas utiliser sur un serveur distant ! 
-# iptables -L+sudo iptables -L
 Chain INPUT (policy DROP) Chain INPUT (policy DROP)
 target     prot opt source               destination         target     prot opt source               destination        
Ligne 111: Ligne 113:
 ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:www  ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:www 
 </code> </code>
 +
 +== Autre méthode, par exemple pour les server ==
  
 **Un autre moyen de procéder** est l'ajout en fin de chaîne d'une règle supprimant les paquets (les paquets autorisés par les règles précédentes n'atteindraient pas celle-ci), //via// ''iptables -A INPUT -j DROP'', mais il faudrait alors faire attention à la position des futures règles. **Un autre moyen de procéder** est l'ajout en fin de chaîne d'une règle supprimant les paquets (les paquets autorisés par les règles précédentes n'atteindraient pas celle-ci), //via// ''iptables -A INPUT -j DROP'', mais il faudrait alors faire attention à la position des futures règles.
Ligne 116: Ligne 120:
 === Autoriser le trafic local === === Autoriser le trafic local ===
  
-Un p'tit problème de notre configuration est que même l'interface locale //(loopback)// est bloquée.+Un petit problème de notre configuration est que même l'interface locale //(loopback)// est bloquée.
 Nous pourrions avoir écrit les règles de rejet seulement pour //eth0// en spécifiant ''-i eth0'', mais nous pouvons aussi ajouter une règle pour //loopback//. Par exemple, nous pourrions l'insérer en 2e position : Nous pourrions avoir écrit les règles de rejet seulement pour //eth0// en spécifiant ''-i eth0'', mais nous pouvons aussi ajouter une règle pour //loopback//. Par exemple, nous pourrions l'insérer en 2e position :
  
 <code> <code>
-# iptables -I INPUT 2 -i lo -j ACCEPT+sudo iptables -I INPUT 2 -i lo -j ACCEPT
 </code> </code>
  
 Pour lister les règles plus en détail. Pour lister les règles plus en détail.
 <code> <code>
-# iptables -L -v -n+sudo iptables -L -v -n
 </code> </code>
  
Ligne 133: Ligne 137:
 <code> <code>
 # On autorise le PC a faire des pings sur des IP externes et à répondre aux requêtes "ping" # On autorise le PC a faire des pings sur des IP externes et à répondre aux requêtes "ping"
-iptables -A OUTPUT -p icmp -m conntrack --ctstate NEW,ESTABLISHED,RELATED -j ACCEPT+sudo iptables -A OUTPUT -p icmp -m conntrack --ctstate NEW,ESTABLISHED,RELATED -j ACCEPT
  
 # Si vous utilisez une ancienne version de iptables la commande ci-dessus peut ne pas fonctionner, dans ce cas entrez la commande suivante : # Si vous utilisez une ancienne version de iptables la commande ci-dessus peut ne pas fonctionner, dans ce cas entrez la commande suivante :
-iptables -A OUTPUT -p icmp -m conntrack --ctstate NEW,ESTABLISHED,RELATED -j ACCEPT+sudo iptables -A OUTPUT -p icmp -m conntrack --ctstate NEW,ESTABLISHED,RELATED -j ACCEPT
  
 # On autorise les pings  # On autorise les pings 
-iptables -A INPUT -p icmp -j ACCEPT+sudo iptables -A INPUT -p icmp -j ACCEPT
 </code> </code>
  
Ligne 148: Ligne 152:
 Tout d'abord vous listez l'ensemble de vos règles avec l'affichage des lignes : Tout d'abord vous listez l'ensemble de vos règles avec l'affichage des lignes :
 <code> <code>
-iptables -L --line-numbers+sudo iptables -L --line-numbers
 </code> </code>
 Ce qui personnellement me retourne : Ce qui personnellement me retourne :
Ligne 173: Ligne 177:
  
 <code> <code>
-iptables -D OUTPUT 2+sudo iptables -D OUTPUT 2
 </code> </code>
  
Ligne 191: Ligne 195:
 Vous avez testé vos règles, ça marche au poil, alors il reste à les appliquer au démarrage. Vous avez testé vos règles, ça marche au poil, alors il reste à les appliquer au démarrage.
  
-iptables-persistent propose de sauvegarder les règles dans le dossier **/etc/iptables**, fichier **rules.v4** pour les règles IPv4 et **rules.v6** pour les règles IPv6. Le script peut s’appeler via :+iptables-persistent propose de sauvegarder les règles dans le répertoire ''/etc/iptables'', fichier ''rules.v4'' pour les règles IPv4 et ''rules.v6'' pour les règles IPv6. Le script peut s’appeler via :
  
-  service iptables-persistent+  sudo iptables-save
  
-Il prend les arguments : **save** pour sauvegarder les règles, **flush** pour vider toutes les règles et **reload** pour les recharger depuis les fichiers précités.+Il prend les arguments : ''save'' pour sauvegarder les règles, ''flush'' pour vider toutes les règles et ''reload'' pour les recharger depuis les fichiers précités.
  
 ==== Via un fichier ==== ==== Via un fichier ====
  
-<note important>Depuis l'utilisation du daemon **systemd-resolved**, il n'est plus possible de lancer votre script iptables via l'emplacement **/etc/network/if-pre-up.d/** de votre Ubuntu. Pour vérifier si vous êtes concerné par cette note, veuillez ouvrir un [[:terminal]], avec pour contenu **pidof systemd-resolved**, si vous avez un retour, merci de vous référer au chapitre **3.2.1**.+<note important>Depuis l'utilisation du daemon **systemd-networkd**, il n'est plus possible de lancer votre script iptables via l'emplacement ''/etc/network/if-pre-up.d/'' de votre Ubuntu. Pour vérifier si vous êtes concerné par cette note, veuillez ouvrir un [[:terminal]], avec pour contenu **pidof systemd-networkd**, si vous avez un retour, merci de vous référer au chapitre **3.2.1**.
 </note> </note>
  
-Commencez par éditer un fichier en root, que vous enregistrerez sous **/etc/network/if-pre-up.d/**. +Commencez par éditer un fichier en root, que vous enregistrerez sous ''/etc/network/if-pre-up.d/''. 
  
 La première ligne de ce fichier doit être : La première ligne de ce fichier doit être :
Ligne 208: Ligne 212:
   #!/bin/bash   #!/bin/bash
  
-Cette ligne indique que le fichier doit être enregistré en tant que [[:tutoriel:script_shell|script bash]].+Cette ligne indique que le fichier doit être interprété par l'exécutable /bin/bash (c'est donc un [[:tutoriel:script_shell|script bash]]).
  
 Ajoutez ensuite à votre script ceci :  Ajoutez ensuite à votre script ceci : 
Ligne 214: Ligne 218:
   iptables-restore < /etc/iptables.test.rules   iptables-restore < /etc/iptables.test.rules
  
-Le reste du fichier doit contenir les commandes //iptables// que vous avez générées.+Le reste du fichier doit contenir les commandes **iptables** que vous avez générées.
  
 Déplacez le script iptables dans /etc/network/if-pre-up.d/ : Déplacez le script iptables dans /etc/network/if-pre-up.d/ :
Ligne 229: Ligne 233:
      
 === Lancer votre script iptables au démarrage via Systemd === === Lancer votre script iptables au démarrage via Systemd ===
- 
-<note important>En cours de rédaction --- [[:utilisateurs:BeAvEr|BeAvEr]].</note> 
  
 Pour lancer votre script iptables au démarrage de votre Ubuntu, merci d'ouvrir un [[:terminal]], avec pour contenu : Pour lancer votre script iptables au démarrage de votre Ubuntu, merci d'ouvrir un [[:terminal]], avec pour contenu :
Ligne 236: Ligne 238:
 <code bash>sudo touch /lib/systemd/system/firewall.service</code> <code bash>sudo touch /lib/systemd/system/firewall.service</code>
  
-Et y mettre : +Veuillez éditer ensuite le fichier se trouvant dans **/lib/systemd/system/firewall.service**, avec votre [[:éditeur de texte]] favoris, et y coller :
  
-<file bash /lib/systemd/system/firewall.service>+<file bash>
 [Unit] [Unit]
 Description=Firewall Description=Firewall
Ligne 248: Ligne 250:
 Type=oneshot Type=oneshot
 RemainAfterExit=yes RemainAfterExit=yes
-ExecStart=/etc/init.d/nom_de_votre_script_iptables start +ExecStart=/usr/local/sbin/iptables.sh start 
-ExecStop=/etc/init.d/nom_de_votre_script_iptables stop+ExecStop=/usr/local/sbin/iptables.sh stop
  
 [Install] [Install]
Ligne 259: Ligne 261:
 <code bash>sudo systemctl enable firewall.service</code> <code bash>sudo systemctl enable firewall.service</code>
  
-Au prochain redémarrage de votre Ubuntu, votre service **firewall.service** chargera votre script se trouvant dans **/etc/init.d/**.+Au prochain redémarrage de votre Ubuntu, votre service **firewall.service** chargera votre script iptables se trouvant dans **/etc/init.d/**.
  
-Pour vérifier le statut de votre service **firewall.service**+Pour vérifier le statut de votre service **firewall.service**, veuillez saisir dans un [[:terminal]] :
  
-<code bash>sudo systemctl status firewall</code>+<code bash>systemctl status firewall</code>
  
 ===== Script iptables ===== ===== Script iptables =====
Ligne 269: Ligne 271:
 <note>Ce script est un exemple, il est à adapter à vos besoins. Il peut toutefois être utilisé pour une utilisation courante, il offre une plutôt bonne "protection" pour un usage desktop.</note> <note>Ce script est un exemple, il est à adapter à vos besoins. Il peut toutefois être utilisé pour une utilisation courante, il offre une plutôt bonne "protection" pour un usage desktop.</note>
  
-<file bash iptables>+<code bash iptables>
  
 #!/bin/bash #!/bin/bash
  
-iptables-restore < /etc/iptables.test.rules 
-  
 ## Script iptables by BeAvEr. ## Script iptables by BeAvEr.
    
Ligne 280: Ligne 280:
    
 ## On flush iptables. ## On flush iptables.
- 
 iptables -F iptables -F
 iptables -X iptables -X
Ligne 287: Ligne 286:
 iptables -t mangle -F iptables -t mangle -F
 iptables -t mangle -X iptables -t mangle -X
- 
-## On drop les requêtes ICMP (votre machine ne répondra plus aux requêtes ping sur votre réseau local). 
- 
-iptables -A INPUT -p icmp --icmp-type echo-request -j DROP 
-iptables -A OUTPUT -p icmp --icmp-type echo-reply -j DROP 
- 
-## On récupère notre adresse internet. À utiliser seulement si vous êtes derrière un réseau local. 
- 
-export ip=$(/sbin/ip addr | grep 'state UP' -A2 | tail -n1 | awk '{print $2}' | cut -f1  -d'/') 
- 
-## Allow Samba. 
- 
-iptables -t raw -A OUTPUT -p udp -m udp --dport 137 -j CT --helper netbios-ns 
- 
-## Allow Avahi-daemon (seulement notre LAN. Si vous n'avez pas de LAN, supprimer la partie --source $ip/24). 
- 
-iptables -A INPUT -p udp -m udp --source $ip/24  --dport 5353 -j ACCEPT 
- 
-iptables -A INPUT -p udp -m udp --source $ip/24  --dport 427 -j ACCEPT 
- 
-## On accepte le Multicast. 
- 
-iptables -A INPUT -m pkttype --pkt-type multicast -j ACCEPT 
  
 ## On drop tout le trafic entrant. ## On drop tout le trafic entrant.
-  
 iptables -P INPUT DROP iptables -P INPUT DROP
    
 ## On drop tout le trafic sortant. ## On drop tout le trafic sortant.
-  
 iptables -P OUTPUT DROP iptables -P OUTPUT DROP
    
 ## On drop le forward. ## On drop le forward.
-  
 iptables -P FORWARD DROP iptables -P FORWARD DROP
 +
 +## On drop les requêtes ICMP.
 +## Votre machine ne répondra plus aux requêtes ping sur votre réseau local.
 +iptables -A INPUT -p icmp --icmp-type echo-request -j DROP
 +
 +# Autorise les messages ICMP "Destination Unreachable" (type 3)
 +# Nécessaire pour recevoir les erreurs liées à nos propres connexions
 +# sortantes (ex: PMTUD - découverte du MTU du chemin), sans quoi les
 +# connexions TCP/UDP peuvent se bloquer silencieusement (ex: HTTPS/QUIC).
 +iptables -A INPUT -p icmp --icmp-type destination-unreachable -j ACCEPT
    
-## On drop les scans XMAS et NULL. +# Autorise les messages ICMP "Time Exceeded" (type 11) 
-  +# Utilisé notamment par traceroute et signalé quand un paquet expire 
-iptables -A INPUT -p tcp --tcp-flags FIN,URG,PSH FIN,URG,PSH -j DROP+# en transit (TTL=0) ; utile pour le diagnostic réseau et pour éviter 
 +# que des erreurs de routage légitimes soient bloquées. 
 +iptables -A INPUT -p icmp --icmp-type time-exceeded -j ACCEPT 
 + 
 +## On accepte le Multicast (mDNS/Bonjour, découverte imprimante, Chromecast...). 
 +iptables -A INPUT -m pkttype --pkt-type multicast -j ACCEPT
  
-iptables -A INPUT -p tcp --tcp-flags ALL ALL -j DROP+## DHCP client : indispensable pour obtenir/renouveler une IP en DHCP. 
 +## sudo ss -tulnpa |grep :68  
 +## -> udp   ESTAB  0      0                    192.168.1.37%wlp3s0:68 
 +## -> 192.168.1.254:67   users:(("NetworkManager",pid=904,fd=26)).   
 +iptables -A INPUT -p udp --sport 67 --dport 68 -j ACCEPT
    
-iptables -A INPUT -p tcp --tcp-flags ALL NONE -j DROP +## Rejette les paquets dans un état de connexion invalide (INVALID). 
-  +# Il s'agit généralement de paquets malformés, incohérents, hors contexte 
-iptables -A INPUT -p tcp --tcp-flags SYN,RST SYN,RST -j DROP+# ou ne correspondant à aucune connexion suivie par conntrack. Cette règle 
 +# permet d'écarter rapidement une partie du trafic anormal ou suspect. 
 +iptables -A INPUT -m conntrack --ctstate INVALID -j DROP
  
 ## Dropper silencieusement tous les paquets broadcastés. ## Dropper silencieusement tous les paquets broadcastés.
- 
 iptables -A INPUT -m pkttype --pkt-type broadcast -j DROP iptables -A INPUT -m pkttype --pkt-type broadcast -j DROP
      
 ## Permettre à une connexion ouverte de recevoir du trafic en entrée. ## Permettre à une connexion ouverte de recevoir du trafic en entrée.
-  +iptables -A INPUT -m conntrack --ctstate ESTABLISHED -j ACCEPT
-iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT+
    
 ## Permettre à une connexion ouverte de recevoir du trafic en sortie. ## Permettre à une connexion ouverte de recevoir du trafic en sortie.
-  
 iptables -A OUTPUT -m conntrack ! --ctstate INVALID -j ACCEPT iptables -A OUTPUT -m conntrack ! --ctstate INVALID -j ACCEPT
    
 ## On accepte la boucle locale en entrée. ## On accepte la boucle locale en entrée.
-  
 iptables -I INPUT -i lo -j ACCEPT iptables -I INPUT -i lo -j ACCEPT
    
 ## On log les paquets en entrée. ## On log les paquets en entrée.
-  
 iptables -A INPUT -j LOG iptables -A INPUT -j LOG
    
 ## On log les paquets forward. ## On log les paquets forward.
-  
 iptables -A FORWARD -j LOG  iptables -A FORWARD -j LOG 
    
 exit 0 exit 0
  
-</file> +</code> 
  
-===== Documentations supplémentaires =====+===== Voir aussi ===== 
 + 
 +==== Documentations supplémentaires ====
  
 En anglais : En anglais :
-  * [[http://www.netfilter.org/documentation/HOWTO/packet-filtering-HOWTO.html| How To Iptables]] +  * [[https://www.netfilter.org/documentation/HOWTO/packet-filtering-HOWTO.html| How To Iptables]] 
-  * [[http://www.netfilter.org/documentation/|Documentation Multilingue de Netfilter et Iptables]] +  * [[https://www.netfilter.org/documentation/|Documentation Multilingue de Netfilter et Iptables]] 
-  * [[http://people.netfilter.org/rusty/unreliable-guides/| Rusty's Remarkably Unreliable Guides]]+  * [[https://people.netfilter.org/rusty/unreliable-guides/| Rusty's Remarkably Unreliable Guides]]
  
 En Français : En Français :
Ligne 373: Ligne 363:
   * [[https://memoire-grise-liberee.fr.eu.org|"Mémoire Grise Libérée" : IpTables HowTo]]   * [[https://memoire-grise-liberee.fr.eu.org|"Mémoire Grise Libérée" : IpTables HowTo]]
   * [[http://www.inetdoc.net/guides/iptables-tutorial/|iptables-tutorial de Oskar Andreasson traducteur Marc Blanc et publié par Philippe Latu]]   * [[http://www.inetdoc.net/guides/iptables-tutorial/|iptables-tutorial de Oskar Andreasson traducteur Marc Blanc et publié par Philippe Latu]]
-  * [[http://www.it-connect.fr/supprimer-une-regle-precise-dans-iptables/|Supprimer une règle précise sous Iptables]] sur IT-Connect.fr+  * [[https://www.it-connect.fr/supprimer-une-regle-precise-dans-iptables/|Supprimer une règle précise sous Iptables]] sur IT-Connect.fr
   * [[https://wiki.visionduweb.fr/index.php?title=Configurer_le_pare-feu_Iptables|Quelques notes avec des exemples ainsi que des liens valides vers des tutoriels pour utiliser Iptables]] depuis le wiki de Visionduweb.   * [[https://wiki.visionduweb.fr/index.php?title=Configurer_le_pare-feu_Iptables|Quelques notes avec des exemples ainsi que des liens valides vers des tutoriels pour utiliser Iptables]] depuis le wiki de Visionduweb.
-===== Sources =====+ 
 +==== Sources ====
  
   * Basé sur [[https://wiki.ubuntu.com/IptablesHowTo]]   * Basé sur [[https://wiki.ubuntu.com/IptablesHowTo]]
-  * Merci à Rusty Russell et son How-To, il est la base de cette page. +  * Merci à Rusty Russell et son //How-To//, il est la base de cette page. 
   * Et merci surtout pour son travail au sein de l'équipe de développement de Netfilter. :-)   * Et merci surtout pour son travail au sein de l'équipe de développement de Netfilter. :-)
  
- +---- 
-//Contributeurs : [[utilisateurs:Kmeleon]], [[utilisateurs:eks]], [[utilisateurs:BeAvEr]] (Création du script iptables et modification majeure de la documentation), [[utilisateurs:maverick62]],  [[utilisateurs:mydjey]] (mise à jour et refonte).// +//[[:Contributeurs]] : [[:utilisateurs:Kmeleon]], [[:utilisateurs:eks]], [[:utilisateurs:BeAvEr]] (création du script iptables et modification majeure de la documentation), [[:utilisateurs:maverick62]],  [[:utilisateurs:mydjey]] (mise à jour et refonte).//
iptables.1587976643.txt.gz · Dernière modification : de 116.202.112.170
CC Attribution-Noncommercial-Share Alike 4.0 International Sauf mention contraire, le contenu de ce wiki est placé sous les termes de la licence suivante : CC Attribution-Noncommercial-Share Alike 4.0 International