Iptables - Historique des versions

Ycharbi : /* Exemple de configuration */ Correction d'une erreur dans le fichier d'exemple + Ajout de sources/fichiers.

2019-09-11T18:29:19Z

Exemple de configuration : Correction d'une erreur dans le fichier d'exemple + Ajout de sources/fichiers.

← Version précédente		Version du 11 septembre 2019 à 20:29
Ligne 84 :		Ligne 84 :
	Voici un exemple de fichier:		Voici un exemple de fichier:
	<source lang="bash">		<source lang="bash">
	filter		*filter
	:INPUT DROP		:INPUT DROP
	:FORWARD DROP		:FORWARD DROP
Ligne 112 :		Ligne 112 :

	{{astuce\|Ces règles pourront être converties en règles [[Nftables#Utilisation_par_conversion\|Nftables]] par la suite.}}		{{astuce\|Ces règles pourront être converties en règles [[Nftables#Utilisation_par_conversion\|Nftables]] par la suite.}}

			{{Info\|J'ai utilisé les règles de la [https://root66.net/index.php?post/2017/04/17/La-s%C3%A9curit%C3%A9-pour-les-Administrateurs-Syst%C3%A8mes-en-herbe présentation de Aeris]. Voici le lien vers le [https://{{SERVERNAME}}/fichiers/réseaux/sécurité/iptables/conf-aeris-root66.mp3 fichier audio] et la présentation [https://confs.imirhil.fr/20170513_root66_securite-admin-sys/#1 en ligne]/[https://{{SERVERNAME}}/fichiers/réseaux/sécurité/iptables/aeris_slides.zip hors ligne] ainsi que l'[https://hoper.dnsalias.net/atdc/index.php/2017/05/30/securiser-son-serveur-par-aeris/ article source] qui m'a permit de tomber dessus.}}

Ycharbi le 11 septembre 2019 à 17:40

2019-09-11T17:40:45Z

@@ Ligne 1 : / Ligne 1 : @@
 [[Category:pare feux]]
 =Généralités=
 Contrairement à PF ([https://fr.wikipedia.org/wiki/BSD_Packet_Filter Packet Filter]) sous BSD, Iptables n'a aucune règle par défaut et accepte tout type de trafic sans aucune restriction.
@@ Ligne 67 : / Ligne 68 : @@
 ===OUTPUT===
 ===POSTROUTING===

Ycharbi : Ajout d'interdiction d'adresse dans INPUT + ajout de -n pour le listage des règles + aération du code + ajout de précisions WAN eth0 dans la partie sur le NAT.

2018-09-24T21:04:13Z

Ajout d'interdiction d'adresse dans INPUT + ajout de -n pour le listage des règles + aération du code + ajout de précisions WAN eth0 dans la partie sur le NAT.

← Version précédente		Version du 24 septembre 2018 à 23:04
Ligne 2 :		Ligne 2 :
	=Généralités=		=Généralités=
	Contrairement à PF ([https://fr.wikipedia.org/wiki/BSD_Packet_Filter Packet Filter]) sous BSD, Iptables n'a aucune règle par défaut et accepte tout type de trafic sans aucune restriction.		Contrairement à PF ([https://fr.wikipedia.org/wiki/BSD_Packet_Filter Packet Filter]) sous BSD, Iptables n'a aucune règle par défaut et accepte tout type de trafic sans aucune restriction.

	==Lister des règles==		==Lister des règles==
	Lister les règles des chaînes de la table ''filter''		Lister les règles des chaînes de la table ''filter''
	iptables -L		iptables -L
			''l'argument -n permet de ne pas résoudre les noms de domaine.''

	Lister les règles des chaînes de la table ''nat''		Lister les règles des chaînes de la table ''nat''
	iptables -t nat -L		iptables -t nat -L
Ligne 11 :		Ligne 14 :
	Lister les règles telle qu'elles ont été renseignés (permet de les sauvegarder)		Lister les règles telle qu'elles ont été renseignés (permet de les sauvegarder)
	iptables-save		iptables-save

	==Supprimer des règles==		==Supprimer des règles==
	Purger la table ''filter''		Purger la table ''filter''
Ligne 18 :		Ligne 22 :
	Supprimer une règle particulière (ici la numéro 3 de la chaîne ''POSTROUTING'' de la table ''nat'')		Supprimer une règle particulière (ici la numéro 3 de la chaîne ''POSTROUTING'' de la table ''nat'')
	iptables -t nat -D POSTROUTING 3		iptables -t nat -D POSTROUTING 3

	===Source de la section===		===Source de la section===
	* http://naeh.net/iptables-supprimer-une-regle-specifique/		* http://naeh.net/iptables-supprimer-une-regle-specifique/
Ligne 24 :		Ligne 29 :
	==Filter==		==Filter==
	Filter est la table par défaut d'iptables. Nous n'avons donc pas besoin de taper ''-t filter'' pour agir avec ses chaînes.		Filter est la table par défaut d'iptables. Nous n'avons donc pas besoin de taper ''-t filter'' pour agir avec ses chaînes.

	===INPUT===		===INPUT===
			Il est possible d'interdire à une IP distante, l'accès à notre machine.
			iptables -A INPUT -s 10.10.10.1/32 -j DROP
			On peut également spécifier tout un réseau
			iptables -A INPUT -s 10.0.0.0/8 -j DROP

	===FORWARD===		===FORWARD===
	Bloquer le port 22 (SSH) des machines derrières notre routeur ([https://www.inetdoc.net/guides/iptables-tutorial/rejecttarget.html source])		Bloquer le port 22 (SSH) des machines derrières notre routeur ([https://www.inetdoc.net/guides/iptables-tutorial/rejecttarget.html source])
	iptables -A FORWARD -p TCP --dport 22 -j REJECT --reject-with tcp-reset		iptables -A FORWARD -p TCP --dport 22 -j REJECT --reject-with tcp-reset

	===OUTPUT===		===OUTPUT===

	==Nat==		==Nat==
	'''Comme une box ADSL'''		'''Comme une box ADSL'''

	Dans cet exemple notre réseau est comme chez tati Chantal. Elle a un réseau privé qui doit pouvoir communiqué avec Internet. Sont IP publique est 1.1.1.1 et son réseau privé est 192.168.1.0/24.		Dans cet exemple notre réseau est comme chez tati Chantal. Elle a un réseau privé qui doit pouvoir communiqué avec Internet. Sont IP publique est 1.1.1.1 (eth0 - WAN) et son réseau privé est 192.168.1.0/24.

	Activation de la traduction d'adresse à partir de l'adresse IP publique		Activation de la traduction d'adresse à partir de l'adresse IP publique
Ligne 43 :		Ligne 56 :
	Ce mode permet, lorsque vous ajoutez un réseau chez vous et que votre box ne permet pas d'ajouter une route, d'avoir quand même accès à Internet depuis ce réseau.		Ce mode permet, lorsque vous ajoutez un réseau chez vous et que votre box ne permet pas d'ajouter une route, d'avoir quand même accès à Internet depuis ce réseau.
	iptables -t nat -A POSTROUTING -s 192.168.180.0/24 -o eth0 -j MASQUERADE		iptables -t nat -A POSTROUTING -s 192.168.180.0/24 -o eth0 -j MASQUERADE

	===PREROUTING===		===PREROUTING===
	===INPUT===		===INPUT===

Ycharbi : /* Généralités */

2017-10-26T15:36:29Z

Généralités

← Version précédente		Version du 26 octobre 2017 à 17:36
Ligne 1 :		Ligne 1 :
	[[Category:pare feux]]		[[Category:pare feux]]
	=Généralités=		=Généralités=
	~~Par défaut et contrairement~~ à pf sous BSD, ~~iptables~~ n'a aucune règle par défaut et accepte tout type de trafic sans aucune restriction.		Contrairement à PF ([https://fr.wikipedia.org/wiki/BSD_Packet_Filter Packet Filter]) sous BSD, Iptables n'a aucune règle par défaut et accepte tout type de trafic sans aucune restriction.
	==Lister des règles==		==Lister des règles==
	Lister les règles des chaînes de la table ''filter''		Lister les règles des chaînes de la table ''filter''
Ligne 20 :		Ligne 20 :
	===Source de la section===		===Source de la section===
	* http://naeh.net/iptables-supprimer-une-regle-specifique/		* http://naeh.net/iptables-supprimer-une-regle-specifique/

	=Tables=		=Tables=
	==Filter==		==Filter==

Ycharbi le 1 septembre 2017 à 17:11

2017-09-01T17:11:26Z

← Version précédente		Version du 1 septembre 2017 à 19:11
Ligne 23 :		Ligne 23 :
	==Filter==		==Filter==
	Filter est la table par défaut d'iptables. Nous n'avons donc pas besoin de taper ''-t filter'' pour agir avec ses chaînes.		Filter est la table par défaut d'iptables. Nous n'avons donc pas besoin de taper ''-t filter'' pour agir avec ses chaînes.
			===INPUT===
			===FORWARD===
			Bloquer le port 22 (SSH) des machines derrières notre routeur ([https://www.inetdoc.net/guides/iptables-tutorial/rejecttarget.html source])
			iptables -A FORWARD -p TCP --dport 22 -j REJECT --reject-with tcp-reset
			===OUTPUT===
	==Nat==		==Nat==
	~~Faire du nat avec iptables~~		'''Comme une box ADSL'''
	~~===~~Comme une box ADSL~~===~~
	Dans cet exemple notre réseau est comme chez tati Chantal. Elle a un réseau privé qui doit pouvoir communiqué avec Internet. Sont IP publique est 1.1.1.1 et son réseau privé est 192.168.1.0/24.		Dans cet exemple notre réseau est comme chez tati Chantal. Elle a un réseau privé qui doit pouvoir communiqué avec Internet. Sont IP publique est 1.1.1.1 et son réseau privé est 192.168.1.0/24.

Ligne 33 :		Ligne 38 :
	iptables -t nat -A PREROUTING -p tcp -d 1.1.1.1 --dport 443 -j DNAT --to-destination 192.168.1.1:443		iptables -t nat -A PREROUTING -p tcp -d 1.1.1.1 --dport 443 -j DNAT --to-destination 192.168.1.1:443
	iptables -t nat -A PREROUTING -p tcp -d 1.1.1.1 --dport 80 -j DNAT --to-destination 192.168.1.1:80		iptables -t nat -A PREROUTING -p tcp -d 1.1.1.1 --dport 80 -j DNAT --to-destination 192.168.1.1:80
	~~===~~Traduction d'adresse transparentes~~===~~		'''Traduction d'adresse transparentes'''

	Ce mode permet, lorsque vous ajoutez un réseau chez vous et que votre box ne permet pas d'ajouter une route, d'avoir quand même accès à Internet depuis ce réseau.		Ce mode permet, lorsque vous ajoutez un réseau chez vous et que votre box ne permet pas d'ajouter une route, d'avoir quand même accès à Internet depuis ce réseau.
	iptables -t nat -A POSTROUTING -s 192.168.180.0/24 -o eth0 -j MASQUERADE		iptables -t nat -A POSTROUTING -s 192.168.180.0/24 -o eth0 -j MASQUERADE
			===PREROUTING===
			===INPUT===
			===OUTPUT===
			===POSTROUTING===
	==Mangle==		==Mangle==
			===PREROUTING===
			===INPUT===
			===FORWARD===
			===OUTPUT===
			===POSTROUTING===

Ycharbi : Ajout d'une source

2017-09-01T15:50:24Z

Ajout d'une source

← Version précédente		Version du 1 septembre 2017 à 17:50
Ligne 18 :		Ligne 18 :
	Supprimer une règle particulière (ici la numéro 3 de la chaîne ''POSTROUTING'' de la table ''nat'')		Supprimer une règle particulière (ici la numéro 3 de la chaîne ''POSTROUTING'' de la table ''nat'')
	iptables -t nat -D POSTROUTING 3		iptables -t nat -D POSTROUTING 3
			===Source de la section===
			* http://naeh.net/iptables-supprimer-une-regle-specifique/
	=Tables=		=Tables=
	==Filter==		==Filter==

Ycharbi : Page créée avec « Category:pare feux =Généralités= Par défaut et contrairement à pf sous BSD, iptables n'a aucune règle par défaut et accepte tout type de trafic sans aucune rest... »

2017-09-01T15:48:29Z

Page créée avec « Category:pare feux =Généralités= Par défaut et contrairement à pf sous BSD, iptables n'a aucune règle par défaut et accepte tout type de trafic sans aucune rest... »

Nouvelle page

[[Category:pare feux]]
=Généralités=
Par défaut et contrairement à pf sous BSD, iptables n'a aucune règle par défaut et accepte tout type de trafic sans aucune restriction.
==Lister des règles==
Lister les règles des chaînes de la table ''filter''
iptables -L
Lister les règles des chaînes de la table ''nat''
iptables -t nat -L
Lister avec les numéros de lignes
iptables -L --line-numbers
Lister les règles telle qu'elles ont été renseignés (permet de les sauvegarder)
iptables-save
==Supprimer des règles==
Purger la table ''filter''
iptables -F
Purger la table ''nat''
iptables -F -t nat
Supprimer une règle particulière (ici la numéro 3 de la chaîne ''POSTROUTING'' de la table ''nat'')
iptables -t nat -D POSTROUTING 3
=Tables=
==Filter==
Filter est la table par défaut d'iptables. Nous n'avons donc pas besoin de taper ''-t filter'' pour agir avec ses chaînes.
==Nat==
Faire du nat avec iptables
===Comme une box ADSL===
Dans cet exemple notre réseau est comme chez tati Chantal. Elle a un réseau privé qui doit pouvoir communiqué avec Internet. Sont IP publique est 1.1.1.1 et son réseau privé est 192.168.1.0/24.

Activation de la traduction d'adresse à partir de l'adresse IP publique
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j SNAT --to-source 1.1.1.1
Redirection de port (car le petit fils de Chantal a acheté un NAS qu'il veux pouvoir administrer depuis chez lui)
iptables -t nat -A PREROUTING -p tcp -d 1.1.1.1 --dport 443 -j DNAT --to-destination 192.168.1.1:443
iptables -t nat -A PREROUTING -p tcp -d 1.1.1.1 --dport 80 -j DNAT --to-destination 192.168.1.1:80
===Traduction d'adresse transparentes===
Ce mode permet, lorsque vous ajoutez un réseau chez vous et que votre box ne permet pas d'ajouter une route, d'avoir quand même accès à Internet depuis ce réseau.
iptables -t nat -A POSTROUTING -s 192.168.180.0/24 -o eth0 -j MASQUERADE
==Mangle==

Iptables - Historique des versions

Ycharbi : /* Exemple de configuration */ Correction d'une erreur dans le fichier d'exemple + Ajout de sources/fichiers.

Ycharbi le 11 septembre 2019 à 17:40

Ycharbi : Ajout d'interdiction d'adresse dans INPUT + ajout de -n pour le listage des règles + aération du code + ajout de précisions WAN eth0 dans la partie sur le NAT.

Ycharbi : /* Généralités */