Lea Linux - Contributions [fr]

Discussion:Iptables

2008-02-26T22:12:09Z

Streetpc : /* Modif : ascii art */

=Commentaires de : StreetPC=
posté le 2005-09-04 17:57:37

2-3 choses à rajouter parce que je les ai cherchées un peu longtemps :
- l'option ##-m## permet de charger un module au niveau du programme utilisé par iptables netfilter
- l'option ##-j## permet elle de spécifier la cible (target)=Commentaires de : EnnaeL=
posté le 2005-04-09 16:52:09

N'y a-t-il pas une erreur dans les scripts de 'démonstration' ?
A savoir que :
1) dans le script flush_iptables.sh , il faut rajouter tous les modprobe effectués au début de firewall.sh ... puisque sinon, lorsqu'on fait un 'restart', beaucoup de modules ne sont pas chargés :)
2) Dans le script firewall :
remplacer :
case "" in :
start )
...

par
case $1 in :
start )
...

Ensuite, tous les :
[ -eq 0 ] && ...

par

[ $RETVAL -eq 0 ] && ...

Enfin, les :
RETVAL=?

par :
RETVAL=0
(je suppose...)

En tout cas, un super exemple pour les débutants comme moi ! :)

Anne : corrigé merci !
------------

Salut,

Tout d'abord felicitation pour ce guide, il me sert de reference pour ma comprehension et l utilisation de l'outil iptables.
Serait'il possible que l auteur prenne contact avec moi car j aimerai ecrire un guide basee en majeur partie sur celui-ci et j aimerai avoir son accord.

Encore merci.

frodon

== Adresse ip flotante ==

Comment faire pour établir cette regle :
iptables -t nat -A PREROUTING -d 42.42.42.42 \
-p tcp --dport 80 -j DNAT --to-destination 192.168.1.2:80
lorsque l'on est en ip flotante ?
Merci

== ASCII Art ==
Le Ascii art ne passe pas du tout. La tentative de schéma est horrible !
Effectivement, pouquoi ne pas faire un shéma avec inscape ?

== le script init.d ==

¿ Je ne trouve pas /etc/init.d/functions sur l'installation dont je dispose de Debian Etch.
A quoi cela sert-il? Est-ce indispensable? Doit-on le créer, ou s'installe-t-il?

En tout cas merci pour l'aide que m'a apporté ce tuto.

Bon, finalement, je l'ai trouvé. Dans Debian Etch, c'est /lib/lsb/init-functions.
non?

== script firewall.sh ==

ne devrait-on pas flusher aussi les règles de nat ?

== Modif : ascii art ==

J'ai modifié l'ascii art en virant les balises.
A noter que la balise tt ne fait pas son travail sur mon Firefox/mac, j'ai donc mis un <pre> et enlevé les caractères gras.

Je ne sais pas non plus à quoi correspondait le 3128 qui traînait sous "eth1".

Si quelqu'un peut prendre le temps de faire un ascii art, je suis pour ;-)

Discussion:Iptables

2008-02-26T22:11:53Z

Streetpc : Modif : ascii art

Iptables

2008-02-26T22:09:26Z

Streetpc : /* 3/ Application par l'exemple */

[[Category:Sécurité]]
= IpTables par l'exemple =

<div class="leatitre">IpTables par l'exemple</div><div class="leapar">Arnaud de Bermingham</div><div class="leadesc">IpTables par l'exemple</div>
----

''Contact : [mailto:duracell chez apinc point org duracell chez apinc point org]'' 
''révision par Jice <[mailto:jice chez lea-linux point org jice chez lea-linux point org]>'' 
''révision par Fred <[mailto:fred chez lea-linux point org fred chez lea-linux point org]>'' 
''révision par Jiel <[mailto:jiel chez lea-linux point org jiel chez lea-linux point org]>''

== Introduction ==

Cet article présente de façon pratique la mise en place d'un firewall / proxy sur une machine GNU/Linux tournant avec un noyau 2.4 (au moins). Pour des informations plus théoriques sur les firewall/proxies, vous pouvez lire [[Reseau-secu-firewall|l'article firewall]].

=== Présentation d'IpTables ===

IpTables est une solution complète de firewall (noyau 2.4) remplaçant ''ipchains'' (noyau 2.2) tournant sous le système GNU/Linux. IpTables permet de faire du firewalling ''stateful'' (à états), de la translation de port et d'adresse, du filtrage au niveau 2 et beaucoup d'autres choses que nous n'allons pas aborder comme le "Mangle" ou modification des paquets à la volée (atchoum).

IpTables est fiable et dispose de très nombreuses options qui permettent de faire du filtrage très fin.

Une précision: on parle souvent de « iptables » par abus de langage, alors que le nom du logiciel est « Netfilter ». Netfilter est le module qui fournit à GNU/Linux les fonctions de pare-feu, de partage de connexions internet (NAT) et d'historisation du trafic réseau. iptables est en fait juste l'outil qui permet à un administrateur de configurer Netfilter en mode utilisateur. iptables-restore et iptables-save sont deux commandes associées qui permettent de sauvegarder/restaurer la configuration Netfilter.

=== Licence de NetFilter ===

NetFilter est sous licence libre [[:Catégorie:GPL|GPL]],

== 1/ Installation ==

=== 1.1/ Prérequis ===

IpTables est installé en standard sur de nombreuses distributions GNU/Linux récentes (kernel 2.4.x. ou supérieur).

IpTables a besoin au minimum d'un noyau 2.4 compilé avec des options spéciales. Ceci ne pose pas de problèmes avec les noyaux 2.4 génériques des principales distributions.

=== 1.2/ Options de compilation du kernel ===

Si vous désirez re-compiler votre kernel, il faut spécifier les options nécessaires au fonctionnement d'iptables.

Les options suivantes doivent êtres activées en module (<tt>M</tt>) ou dans le kernel (<tt>Y</tt>) :

<tt>CONFIG_PACKET</tt> <tt>CONFIG_NETFILTER</tt>

<tt>CONFIG_IP_NF_CONNTRACK</tt> <tt>CONFIG_IP_NF_FTP</tt> <tt>CONFIG_IP_NF_IRC</tt> <tt>CONFIG_IP_NF_IPTABLES</tt> <tt>CONFIG_IP_NF_FILTER</tt> <tt>CONFIG_IP_NF_NAT</tt> <tt>CONFIG_IP_NF_MATCH_STATE</tt> <tt>CONFIG_IP_NF_TARGET_LOG</tt> <tt>CONFIG_IP_NF_MATCH_LIMIT</tt> <tt>CONFIG_IP_NF_TARGET_MASQUERADE</tt>

et éventuellement :

<tt>CONFIG_IP_NF_COMPAT_IPCHAINS</tt> pour garder la compatibilité avec ipchains. <tt>CONFIG_IP_NF_COMPAT_IPFWADM</tt> pour garder la compatibilité avec ipfwadm. <tt>CONFIG_IP_NF_TARGET_REDIRECT</tt> indispensable, pour les proxies transparents par exemple. <tt>CONFIG_IP_NF_MATCH_MAC</tt> permet de matcher avec les adresses MAC.

Ne pas oublier le support réseau et TCP/IP et compiler le kernel comme d'habitude : <tt>make dep && make clean && make bzImage && make modules && make modules_install</tt>

=== 1.3/ Installation ===

Récupérer le package <tt>netfilter</tt> et l'installer comme d'habitude avec apt-get, urpmi, emerge... Notons que sur les versions inférieures a Red Hat 7.1, il faut compiler un kernel 2.4 car iptables ne supporte pas les kernels 2.2.x. La compilation de iptables est complexe. Le mieux est de lire le fichier INSTALL du package des sources.

=== 1.4/ Chargement des modules ===

Dans le cas ou les options iptables du kernel ont été compilées en modules, il est nécessaire de charger ces modules avant de pouvoir utiliser iptables :

<tt><nowiki># modprobe ip_tables</nowiki></tt>

selon les besoins, on peut éventuellement charger les modules suivants :

<blockquote><tt><nowiki># modprobe ip_nat_ftp</nowiki></tt> <tt><nowiki># modprobe ip_nat_irc</nowiki></tt> <tt><nowiki># modprobe iptable_filter</nowiki></tt> <tt><nowiki># modprobe iptable_mangle</nowiki></tt> <tt><nowiki># modprobe iptable_nat</nowiki></tt></blockquote>

Si on a besoin de pouvoir rediriger (forward) les paquets IP arrivant sur un interface réseau (connectée par exemple à Internet) vers une autre interface réseau (connectée par exemple au réseau local), il sera nécessaire, dans la plupart des cas, d'exécuter cette commande :

<blockquote><tt><nowiki># echo 1 > /proc/sys/net/ipv4/ip_forward</nowiki></tt></blockquote>

afin de l'indiquer au noyau.

'''Nota Bene :''' tous les modprobe semblent inutiles car le kernel les chargent automatiquement si l'on se sert de l'une des fonctionnalités d'iptables.

== 2/ Présentation ==

=== 2.1/ Les tables ===

* '''Table NAT''' (Network Address Translation) : Table utilisée pour la translation d'adresse ou la translation de port. Il a 2 types de chaînes<nowiki>#</nowiki> : ''PREROUTING'' qui permet de spécifier "à l'arrivée du firewall" et la chaîne ''POSTROUTING'' qui permet de spécifier "à la sortie du firewall". Il existe 3 targets (ou cibles) : ''DNAT<nowiki>*</nowiki>, SNAT<nowiki>*</nowiki>'' et ''MASQUERADE<nowiki>*</nowiki>''.
* '''Table FILTER''' : C'est la table par défaut lorsque l'on en spécifie pas. Cette table contient toutes les règles de filtrage, il existe 3 types de chaînes : ''FORWARD'' pour les paquets passant par le firewall, ''INPUT'' pour les paquets entrant et ''OUTPUT'' pour les paquets sortants. Les cibles disponibles sont : ''ACCEPT, DENY, DROP, REJECT °''.
* '''Table Mangle''' : C'est la table qui contient les règles pour la modification de paquets. Elle est peu utilisée et ne sera pas décrite dans cet article.

A noter : Les règles sont évaluées dans l'ordre, par défaut la table ''FILTER'' est vide et donc accepte tout. Aucune règle de translation d'adresse n'est présente par défaut.

; <nowiki>#</nowiki> chaîne
: une chaîne est une suite de règles, qui sont prises dans l'ordre ; dès qu'une règle s'applique à un paquet, elle est déclenchée, et la suite de la chaîne est ignorée.
; * SNAT
: permet de modifier l'adresse source du paquet.
; * DNAT
: permet de modifier l'adresse destination du paquet.
; * MASQUERADE
: Une passerelle (gateway) transforme les paquets sortants passant par elle pour donner l'illusion qu'ils sortent de la passerelle elle-même par un port alloué dynamiquement ; lorsque la passerelle recoit une réponse sur ce port, elle utilise une table de correspondance entre le port et les machines du réseau privé qu'elle gère pour lui faire suivre le paquet.
; ° policy ACCEPT
: permet d'accepter un paquet grâce à la règle vérifiée.
; ° policy DROP
: Rejet d'un paquet sans message d'erreur si la règle est vérifiée ("non ! j'en veux pas mais je dis rien à l'expediteur").
; ° policy REJECT
: Rejet avec un retour de paquet d'erreur à l'expediteur si la règle est verifiée ("un paquet recommandé de La Poste refusé par son destinataire").
; ° policy LOG
: Affiche le resultat vers la sortie standard
: peut etre associe a un préfixe pour une meilleure lisibilité (un préfixe pour les paquets rejetes,un autre pour les paquets forwardés etc...)
:Exemple : -j LOG --log-prefix '[IPTABLES DROP] : '

=== 2.2/ Les commandes ===

IpTables n'est pas livré avec une interface graphique ; les commandes et les règles sont passées en ligne de commande. Le mieux est d'écrire des scripts (à rajouter dans <tt>/etc/rc.d/init.d</tt>) qui permettent d'appliquer toutes les règles d'un seul coup, dès le démarrage du GNU/Linux.

==== 2.2.1/ Commandes principales ====

<tt>-A --append</tt> : Ajoute la règle à la fin de la chaîne spécifiée ''Exemple :'' <tt><nowiki># iptables -A INPUT ...</nowiki></tt>

<tt>-D --delete</tt> : Permet de supprimer une chaîne. On peut l'utiliser de 2 manières, soit en spécifiant le numéros de la chaîne a supprimer, soit en spécifiant la règle à retirer. ''Exemples :'' <tt><nowiki># iptables -D INPUT --dport 80 -j DROP</nowiki></tt> <tt><nowiki># iptables -D INPUT 1</nowiki></tt>

<tt>-R --replace</tt> : Permet de remplacer la chaîne spécifiée. ''Exemple :'' <tt><nowiki># iptables -R INPUT 1 -s 192.168.0.1 -j DROP</nowiki></tt>

<tt>-I --insert</tt> : Permet d'ajouter une chaîne dans un endroit spécifié de la chaîne. ''
Exemple :'' <tt><nowiki># iptables -I INPUT 1 --dport 80 -j ACCEPT</nowiki></tt> ''
Si aucun chiffre n'est spécifié à la suite (#iptables -I INPUT --dport 80 -j ACCEPT), la règle est ajoutée au début de la chaîne spécifiée

<tt>-L --list</tt> : Permet d'afficher les règles. ''Exemples :'' ''<tt><nowiki># iptables -L </nowiki></tt><nowiki># Affiche toutes les règles des chaînes de FILTER</nowiki>'' ''<tt><nowiki># iptables -L INPUT </nowiki></tt><nowiki># Affiche toutes les règles de INPUT (FILTER)</nowiki>''

<tt>-F --flush</tt> : Permet de vider toutes les règles d'une chaîne. ''Exemple :'' <tt><nowiki># iptables -F INPUT</nowiki></tt>

<tt>-N --new-chain</tt> : Permet de créer une nouvelle chaîne. ''Exemple :'' <tt><nowiki># iptables -N LOG_DROP</nowiki></tt>

<tt>-X --delete-chain</tt> : Permet d'effacer une chaîne. ''Exemple :'' <tt><nowiki># iptables -X LOG_DROP</nowiki></tt>

<tt>-P --policy</tt> : Permet de spécifier au noyau la politique par défaut d'une chaîne DENY, ACCEPT, REJECT, DROP ... ''Exemple :'' <tt><nowiki># iptables -P INPUT DROP</nowiki></tt>

==== 2.2.2/ Commandes pour matcher ====

Remarques :

Le "!" peut être utilisé pour certaines commandes afin de spécifier le contraire (on peut le traduire par "sauf"). Par exemple une commande qui doit refuser tout trafic TCP sauf ce qui provient de l'adresse IP 10.42.42.42 sera traduite par la commande suivante : ''Exemple :'' <tt><nowiki># iptables -A INPUT -p tcp --source ! 10.42.42.42 -j DROP</nowiki></tt>

Les adresses IP peuvent optionnellement être spécifiées avec le masque associé sous la forme [adresse ip]/[masque].

<tt>-j (jump)</tt> : Défini l'action à prendre si un paquet répond aux critères de cette règle: <tt>ACCEPT</tt>, <tt>LOG</tt>, <tt>DROP</tt>... ''Exemple :'' <tt><nowiki># iptables -A INPUT -p icmp -j DROP</nowiki></tt>

<tt>-p --protocol</tt> : Spécifier un protocole : <tt>tcp</tt>, <tt>udp</tt>, <tt>icmp</tt>, <tt>all</tt> (tous) ''Exemple :'' <tt><nowiki># iptables -A INPUT -p icmp -j DROP</nowiki></tt>

<tt>-s --source</tt> : Spécifier une adresse source à matcher ''Exemple :'' <tt><nowiki># iptables -A INPUT -p tcp -s 192.168.42.42 -j ACCEPT</nowiki></tt>

<tt>-d --destination</tt> : Spécifier une adresse destination ''Exemple :'' <tt><nowiki># iptables -A FORWARD -p tcp -d 10.1.0.1 -j ACCEPT</nowiki></tt>

<tt>-i --in-interface</tt> : Spécifier une interface d'entrée ''Exemple :'' <tt><nowiki># iptables -A INPUT -p icmp -i eth0 -j DROP</nowiki></tt>

<tt>-o --out-interface</tt> : Spécifier une interface de sortie ''Exemple :'' <tt><nowiki># iptables -A OUTPUT -p icmp -o eth0 -j DROP</nowiki></tt>

<tt>-f --fragment</tt> : Paquet fragmenté ''Exemple :'' <tt><nowiki># iptables -A INPUT -p icmp -f -j DROP</nowiki></tt>

<tt>--sport --source-port</tt> : Spécifier le port source ou une plage de ports, fonctionne aussi en udp, <tt>-m multiport</tt> permet de spécifier plusieurs ports à matcher. ''Exemples :'' <tt><nowiki># iptables -A INPUT -p tcp --sport 80 -j ACCEPT</nowiki></tt> <tt><nowiki># iptables -A INPUT -p udp --sport 80 -j DROP</nowiki></tt> <tt><nowiki># iptables -A OUTPUT -p tcp -m multiport --sport 3128,21,1000 -j DROP</nowiki></tt> <tt><nowiki># iptables -A OUTPUT -p tcp --sport 1024:2042 -j ACCEPT</nowiki></tt>

<tt>--dport --destination-port</tt> : Spécifier le port destination ou une plage de ports, fonctionne aussi en udp, <tt>-m multiport</tt> permet de spécifier plusieurs ports a matcher. ''Exemples :'' <tt><nowiki># iptables -A INPUT -p tcp --dport 110 -j DROP</nowiki></tt> <tt><nowiki># iptables -A INPUT -p udp --dport 110 -j DROP</nowiki></tt> <tt><nowiki># iptables -A INPUT -p tcp -m multiport --dport 110,4242,119 -j DROP</nowiki></tt> <tt><nowiki># iptables -A INPUT -p tcp --sport 4925:4633 -j ACCEPT</nowiki></tt>

<tt>--tcp-flags</tt> : Spécifier un flag tcp à matcher : <tt>SYN ACK FIN RST URG PSH ALL NONE</tt> ''Exemple :'' <tt><nowiki># iptables -A INPUT -p tcp --dport 42 --tcp-flags SYN,ACK -j ACCEPT</nowiki></tt>

<tt>--icmp-type</tt> : Spécifier un type de paquet icmp à matcher ''Exemple :'' <tt><nowiki># iptables -A INPUT -p icmp --icmp-type 8 -j DROP</nowiki></tt>

<tt>--mac-source</tt> : Spécifier l'adresse MAC à matcher ''Exemple :'' <tt><nowiki># iptables -A INPUT --mac-source 42.42.AA.42.42.AA -j DROP</nowiki></tt> ''En cas d'erreur, il peut-être nécessaire de spécifier le module mac, exemple :'' <tt><nowiki># iptables -A INPUT -m mac --mac-source 42.42.AA.42.42.AA -j DROP</nowiki></tt>

<tt>--state</tt> : Permet de spécifier l'état du paquet à matcher parmi les états suivants : <tt> ESTABLISHED </tt><nowiki>: paquet associé à une connexion déjà établie </nowiki> <tt> NEW </tt><nowiki>: paquet demandant une nouvelle connexion </nowiki> <tt> INVALID </tt><nowiki>: paquet associé à une connexion inconnue </nowiki> <tt> RELATED </tt><nowiki>: Nouvelle connexion mais liée, idéal pour les connexions FTP </nowiki> ''Exemples :'' <tt><nowiki># iptables -A INPUT -i eth0 -p tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT</nowiki></tt> <tt><nowiki># iptables -A OUTPUT -o eth0 -p tcp --sport 80 -m state --state ESTABLISHED -j ACCEPT</nowiki></tt>

Spécificités NAT :

<tt>--to-destination</tt> : Utilisé en target pour le DNAT, permet de spécifier l'adresse de destination de la translation, on peut également spécifier un port s'il est différent du port source. ''Exemples :'' <tt><nowiki># iptables -t nat -A PREROUTING -d 42.12.42.12 -p tcp --dport 110 -j DNAT --to-destination 192.168.1.2:6110</nowiki></tt> <tt><nowiki># iptables -t nat -A PREROUTING -d ! 42.12.42.12 -p tcp --dport 80 -j DNAT --to-destination 192.168.2.1:3128</nowiki></tt>

<tt>--to-source</tt> : Utilisé pour en target pour le SNAT, permet de spécifier l'adresse source de la translation.

Spécificités pour les LOGS :

<tt>--log-level</tt> : Level, niveau de log ''Exemple : Cf. chapitre 3''

<tt>--log-prefix</tt> : Permet de spécifier un préfixe pour les logs. ''Exemple : Cf. chapitre 3'' 

==== 2.2.3/ Quelques exemples : ====

Les exemples qui suivent supposent que vous êtes reliés à internet par modem via l'interface ppp0 (mais en remplaçant ppp0 par eth0 - par exemple, on peut adapter les exemples pour d'autres type de liaisons) et que votre réseau local est 192.168.1.0/24 (classe C).

* Pour fixer les '''politiques par défaut''' (cad: ce qui se passe quand aucune règle ne correspond - ne matche pas), ici, on refuse tout (normal, on fait un firewall, oui ou non ?) : <blockquote><tt> iptables -P INPUT DROP iptables -P OUTPUT DROP iptables -P FORWARD DROP</tt></blockquote>
* Pour '''logguer''' tout ce qu'on jette : <blockquote><tt> iptables -N LOG_DROP iptables -A LOG_DROP -j LOG --log-prefix '[IPTABLES DROP] : ' iptables -A LOG_DROP -j DROP</tt></blockquote>
Les trois dernières règles doivent être : <blockquote><tt> iptables -A FORWARD -j LOG_DROP iptables -A INPUT -j LOG_DROP iptables -A OUTPUT -j LOG_DROP </tt></blockquote>
Enfin (pour loguer le trafic autorisé), recommencer en remplaçant <tt>-j DROP</tt>, par <tt>-j ACCEPT</tt> et a la place de <tt>-j LOG_DROP</tt> il faut mettre <tt>-j LOG_ACCEPT</tt>
* Pour '''accepter''' tout ce qui se passe sur l'interface <tt>lo</tt> (sinon ce n'est pas la peine d'activer le réseau !) : <blockquote><tt> iptables -A INPUT -i lo -j ACCEPT iptables -A OUTPUT -o lo -j ACCEPT </tt></blockquote>
* Pour '''accepter''' tout ce qui se passe sur le '''réseau local''' <tt>192.168.1.0</tt> : <blockquote><tt> iptables -A INPUT -s 192.168.1.0/24 -j ACCEPT iptables -A OUTPUT -d 192.168.1.0/24 -j ACCEPT iptables -A FORWARD -s 192.168.1.0/24 -j ACCEPT </tt></blockquote>
* Pour accepter les résolutions de nom (ie: le '''dns''') : <blockquote><tt> iptables -A INPUT -i ppp0 --protocol udp --source-port 53 -j ACCEPT iptables -A OUTPUT -o ppp0 --protocol udp --destination-port 53 -j ACCEPT iptables -A INPUT -i ppp0 --protocol tcp --source-port 53 -j ACCEPT iptables -A OUTPUT -o ppp0 --protocol tcp --destination-port 53 -j ACCEPT </tt></blockquote>
* Pour accepter le traffic '''web''' (on veut surfer!) : <blockquote><tt> iptables -A INPUT -i ppp0 --protocol tcp --source-port 80 -m state --state ESTABLISHED -j LOG_ACCEPT iptables -A OUTPUT -o ppp0 --protocol tcp --destination-port 80 -m state --state NEW,ESTABLISHED -j LOG_ACCEPT</tt></blockquote> La première ligne pour accepter ce qui entre sur notre interface ppp0 sur le port 80 (le port http) si c'est une connexion déjà établie, la seconde pour accepter ce qui sort sur ppp0 sur le port 80 si c'est une nouvelle connexion ou si c'est une connexion déjà établie.
Pour autoriser le '''ssh''', il faut préciser le port 22; pour autoriser l''''irc''', le port 6667 (ou celui que vous utilisez pour vous connecter à votre serveur); pour le '''smtp''' (envoi d'emails), le port 25; pour le '''pop3''' (réception d'emails), le port 110; pour le '''imap''' (réception d'emails), les ports 143 et 220 ('''imap3''') ; pour le '''cvs''', le port 2401 ; pour le '''https''', le port 443. De manière générale, le numéros de port se trouvent dans /etc/services.
* Pour le '''ftp''' c'est un peu plus complexe. D'abord, il faut charger le module : <tt>ip_conntrack_ftp</tt> (c'est lui qui suit - track en anglais - les connexions ftp) et, si vous ''nat''ez (en utilisant le masquerading par exemple) vos connexions ftp vers d'autres postes le module : <tt>ip_nat_ftp</tt> : <blockquote><tt> modprobe ip_conntrack_ftp</tt> # éventuellement : <tt> modprobe ip_nat_ftp</tt> </blockquote> Ensuite, il faut taper les commandes suivantes : <blockquote><tt> iptables -A INPUT -i ppp0 -p tcp --sport 21 -m state --state ESTABLISHED -j ACCEPT iptables -A OUTPUT -o ppp0 -p tcp --dport 21 -m state --state NEW,ESTABLISHED -j ACCEPT </tt></blockquote> Cela pour que la connexion puisse s'établir. Ensuite (et c'est la qu'on a besoin de <tt>ip_conntrack_ftp</tt>) : <blockquote><tt> iptables -A INPUT -i ppp0 -p tcp --sport 20 -m state --state ESTABLISHED,RELATED -j ACCEPT iptables -A OUTPUT -o ppp0 -p tcp --dport 20 -m state --state ESTABLISHED -j ACCEPT </tt></blockquote> Pour que serveur puisse établir la connexion pour les données (en mode actif). Et enfin : <blockquote><tt> iptables -A INPUT -i ppp0 -p tcp --sport 1024:65535 --dport 1024:65535 -m state --state ESTABLISHED -j ACCEPT iptables -A OUTPUT -o ppp0 -p tcp --sport 1024:65535 --dport 1024:65535 -m state --state ESTABLISHED,RELATED -j ACCEPT </tt></blockquote> Pour que le serveur puisse établir la connexion pour les données (en mode passif). Ici aussi <tt>ip_conntrack_ftp</tt> est nécessaire.
* Pour '''partager une connexion''', il faut que le forwarding soit activé dans le noyau (<tt>echo 1 > /proc/sys/net/ipv4/ip_forward</tt>), puis il faut autoriser iptable à faire le forwarding : <blockquote><tt> iptables -F FORWARD iptables -A FORWARD -j ACCEPT </tt></blockquote> et enfin, cacher les machines forward-ées par le firewall : <blockquote><tt> iptables -A POSTROUTING -t nat -o ppp0 -j MASQUERADE </tt></blockquote> Sur chaque machine devant être cachée par le firewall (ou devant partager la connexion avec la machine qui est connectée à internet), il faut ajouter une route par defaut : <blockquote><tt> route add default gw 192.168.1.1 </tt></blockquote> Si la machine connectée à internet a comme ip : 192.168.1.1. Il suffit avec une redhat/mandrake d'éditer : <blockquote><tt>/etc/sysconfig/network</tt></blockquote> et d'ajouter dedans : <blockquote><tt>GATEWAY=192.168.1.1</tt></blockquote> puis de redémarer le réseau :<blockquote><tt>/etc/rc.d/init.d/network restart</tt></blockquote>

== 3/ Application par l'exemple ==

Nous allons mettre en place un firewall / proxy.

Pour cet exemple, le firewall aura la connexion à Internet (interface eth2) et disposera de 2 pattes sur des réseaux privés (eth0 et eth1) :

* il fait office de proxy sur le port 3128 pour un réseau qui aura ainsi un accès internet
* et une DMZ<nowiki>*</nowiki> ("zone démilitarisée") sur laquelle il y a un ensemble de serveurs disponibles de l'extérieur dont un serveur web qui a pour adresse 192.168.1.2 écoutant sur le port 80 en TCP.

<blockquote><pre> _____ eth1 .-> ---+------+------+---
_/ \_ ____ / [PC1] [PC2] [PC3]
( ) eth2 | |<--' réseau local 198.168.2.0
( INTERNET )<---->|Fire|
(_ _) ppp0 |wall|
\______/ |____|<--. DMZ serveurs 198.168.1.0
eth0\ [WEB] [NEWS] [FTP]
'-> ---+------+------+---
ASCIIArt (c) Jice</pre></blockquote>

La classe d'adresse IP 192.168.2.0 correspond au réseau interne sur l'interface <tt>eth1</tt>. La classe d'adresse IP 192.168.1.0 correspond a la DMZ sur l'interface <tt>eth0</tt>. L'interface de la connexion Internet est ppp0 sur l'interface <tt>eth2</tt>.

; <nowiki>* </nowiki>DMZ, ou zone démilitarisée
: Sous-réseau dans lequel des serveurs accessibles depuis internet sont en adressage privé (classe d'adresse IP réservée comme 192.168.x.x) derrière un firewall.

=== 3.1/ Le script init.d ===

Nous allons écrire un script qui permettra de charger automatiquement au démarrage de la machine ou sur demande les règles du firewall qui seront stockées dans le fichier <tt>/etc/firewall.sh</tt>. Le script de démarrage sera nommé <tt>/etc/init.d/firewall</tt>. Bien sûr, on n'oubliera pas d'exécuter un <tt>chmod +x</tt> sur les 2 scripts que nous allons créer au long de ce chapitre.

Go ! Fichier de chargement <tt>/etc/init.d/firewall</tt> : 

<center>

{| width="90%" bgcolor="#FFFFCC"
|
<tt><nowiki>#!/bin/bash</nowiki></tt> <tt><nowiki>#</nowiki></tt> <tt><nowiki># Lancement du script de Firewall</nowiki></tt> <tt><nowiki># Arnaud de Bermingham</nowiki></tt>

<tt>. /etc/init.d/functions</tt>

<tt>RETVAL=0</tt>

<tt><nowiki># Fonction pour le lancement du firewall</nowiki></tt> <tt>start() {</tt> <tt> echo -n "Application des règles IpTables: "</tt> <tt> /etc/firewall.sh</tt> <tt> RETVAL=0</tt> <tt> [ $RETVAL -eq 0 ] && touch /var/lock/subsys/firewall</tt> <tt> echo</tt> <tt>}</tt>

<tt><nowiki># Fonction pour arrêter le firewall (on flush)</nowiki></tt> <tt>stop() {</tt> <tt> echo -n "Flush des règles IpTables: "</tt> <tt> /etc/flush_iptables.sh</tt> <tt> RETVAL=0</tt> <tt> [ $RETVAL -eq 0 ] && rm -f /var/lock/subsys/firewall</tt> <tt> echo</tt> <tt>}</tt>

<tt>case $1 in</tt> <tt> start)</tt> <tt> start</tt> <tt> ;;</tt> <tt> stop)</tt> <tt> stop</tt> <tt> ;;</tt> <tt> restart)</tt> <tt> stop</tt> <tt> start</tt> <tt> ;;</tt> <tt> status)</tt> <tt> /sbin/iptables -L</tt> <tt> /sbin/iptables -t nat -L</tt> <tt> RETVAL=0</tt> <tt> ;;</tt> <tt> *)</tt> <tt> echo "Usage: firewall {start|stop|restart|status}"</tt> <tt> RETVAL=1</tt> <tt>esac</tt>

<tt>exit</tt>
|}

</center>

C'est tout simple non ?

=== 3.2/ Le script pour vider (flusher) les règles ===

Et maintenant : <tt>/etc/flush_iptables.sh</tt>.

<center>

{| width="90%" bgcolor="#FFFFCC"
|
<tt><nowiki>#!/bin/sh</nowiki></tt> <tt><nowiki># </nowiki></tt> <tt><nowiki># Script pour vider les règles iptables</nowiki></tt> <tt><nowiki># Arnaud de Bermingham</nowiki></tt> <tt><nowiki># duracell@apinc.org</nowiki></tt>

<tt><nowiki>#</nowiki></tt> <tt><nowiki># On remet la police par défaut à ACCEPT</nowiki></tt> <tt><nowiki>#</nowiki></tt> <tt>iptables -P INPUT ACCEPT</tt> <tt>iptables -P FORWARD ACCEPT</tt> <tt>iptables -P OUTPUT ACCEPT</tt>

<tt><nowiki>#</nowiki></tt> <tt><nowiki># On remet les polices par défaut pour la table NAT</nowiki></tt> <tt><nowiki>#</nowiki></tt> <tt>iptables -t nat -P PREROUTING ACCEPT</tt> <tt>iptables -t nat -P POSTROUTING ACCEPT</tt> <tt>iptables -t nat -P OUTPUT ACCEPT</tt>

<tt><nowiki>#</nowiki></tt> <tt><nowiki># On vide (flush) toutes les règles existantes</nowiki></tt> <tt><nowiki>#</nowiki></tt> <tt>iptables -F</tt> <tt>iptables -t nat -F</tt>

<tt><nowiki>#</nowiki></tt> <tt><nowiki># Et enfin, on efface toutes les chaînes qui ne</nowiki></tt> <tt><nowiki># sont pas à defaut dans la table filter et nat</nowiki></tt>

<tt>iptables -X</tt> <tt>iptables -t nat -X</tt>

<tt><nowiki># Message de fin</nowiki></tt> <tt>echo " [termine]"</tt>
|}

</center>

Bon, on va enfin commencer les choses sérieuses : le script du firewall :)

=== 3.3/ Les prérequis pour le script du firewall et création des tables pour les logs ===

Le script sera commenté au fur et à mesure, afin de décrire chaque étape. 

<center>

{| width="90%" bgcolor="#FFFFCC"
|
<tt><nowiki>#!/bin/sh</nowiki></tt>

<tt><nowiki># script </nowiki>'''/etc/firewall.sh'''</tt>

<tt><nowiki># Firewall d'exemple a but pédagogique</nowiki></tt> <tt><nowiki># Arnaud de Bermingham</nowiki></tt> <tt><nowiki># duracell@apinc.org</nowiki></tt>

<tt><nowiki># </nowiki>'''Activation du forwarding'''</tt> <tt><nowiki># C'est pas pour faire joli, on aura des règles</nowiki></tt> <tt><nowiki># de forward et il faut bien que les paquets</nowiki></tt> <tt><nowiki># traversent la machine, donc on met ce fichier à 1</nowiki></tt>

<tt>echo 1 > /proc/sys/net/ipv4/ip_forward</tt>

<tt><nowiki># Alors la, on va appliquer quelques astuces</nowiki></tt> <tt><nowiki># pour empêcher les attaques de type </nowiki>''spoofing''</tt> <tt><nowiki># et bloquer les réponses ICMP du firewall,</nowiki></tt> <tt><nowiki># comme ça c'est très propre. Attention, le</nowiki></tt> <tt><nowiki># fait de bloquer le trafic ICMP sur</nowiki></tt> <tt><nowiki># le firewall bloque les pings.</nowiki></tt>

<tt><nowiki># Je veux </nowiki>'''pas de spoofing'''</tt>

<tt>if [ -e /proc/sys/net/ipv4/conf/all/rp_filter ]</tt> <tt>then</tt> <tt> for filtre in /proc/sys/net/ipv4/conf/*/rp_filter</tt> <tt> do</tt> <tt> echo 1 > $filtre</tt> <tt> done</tt> <tt>fi</tt>

<tt><nowiki># </nowiki>'''pas de icmp'''</tt>

<tt>echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all</tt> <tt>echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts</tt>

<tt><nowiki># On va utiliser iptables. Si on l'a compilé en module</nowiki></tt> <tt><nowiki># dans le kernel, il faut </nowiki>'''charger le module ip_tables'''.</tt>

<tt>modprobe ip_tables</tt>

<tt><nowiki># on va charger quelques </nowiki>'''modules supplémentaires''' pour</tt> <tt><nowiki># gérer la </nowiki>'''translation''' d'adresse, l''''IRC''' et le '''FTP'''</tt> <tt><nowiki># Tu me fait 4 pompes. Chef oui chef !</nowiki></tt>

<tt>modprobe ip_nat_ftp</tt> <tt>modprobe ip_nat_irc</tt> <tt>modprobe iptable_filter</tt> <tt>modprobe iptable_nat</tt>

<tt><nowiki># Pour faire bien, on va </nowiki>'''vider toutes les règles'''</tt> <tt><nowiki># avant d'appliquer les nouvelles règles de firewall</nowiki></tt>

<tt>iptables -F</tt> <tt>iptables -X</tt>

<tt><nowiki># On va rajouter 2 nouvelles </nowiki>'''chaînes'''.</tt> <tt><nowiki># Ceci permettra d'ajouter des nouvelles cibles qui</nowiki></tt> <tt><nowiki># auront la possibilité de loguer ce qui se passe.</nowiki></tt>

<tt><nowiki># La on logue et on refuse le paquet,</nowiki></tt> <tt><nowiki># on rajoute un préfixe pour pouvoir</nowiki></tt> <tt><nowiki># s'y retrouver dans les logs</nowiki></tt> <tt>iptables -N LOG_DROP</tt> <tt>iptables -A LOG_DROP -j LOG \</tt> <tt> --log-prefix '[IPTABLES DROP] : '</tt> <tt>iptables -A LOG_DROP -j DROP</tt>

<tt><nowiki># ici, on logue et on accepte le paquet,</nowiki></tt> <tt><nowiki># on rajoute un préfixe pour pouvoir</nowiki></tt> <tt><nowiki># s'y retrouver dans les logs</nowiki></tt> <tt>iptables -N LOG_ACCEPT</tt> <tt>iptables -A LOG_ACCEPT -j LOG \</tt> <tt> --log-prefix '[IPTABLES ACCEPT] : '</tt> <tt>iptables -A LOG_ACCEPT -j ACCEPT</tt>

<tt><nowiki># On veut faire un firewall efficace,</nowiki></tt> <tt><nowiki># donc la politique a appliquer est de tout</nowiki></tt> <tt><nowiki># refuser par défaut et rajouter une a une</nowiki></tt> <tt><nowiki># les règles que l'on autorise.</nowiki></tt> <tt><nowiki># Bien sur, on a RTFM un peu et on a vu que</nowiki></tt> <tt><nowiki># l'option -P permet de définir</nowiki></tt> <tt><nowiki># </nowiki>'''la cible par défaut'''</tt>

<tt>iptables -P INPUT DROP</tt> <tt>iptables -P OUTPUT DROP</tt> <tt>iptables -P FORWARD DROP</tt>

<tt><nowiki># Pour éviter les problèmes, on va </nowiki>'''tout accepter sur'''</tt> <tt><nowiki># </nowiki>'''la machine en local''' (interface lo).</tt> <tt><nowiki># Je déconseille de retirer cette règle car</nowiki></tt> <tt><nowiki># ça pose pas mal de problèmes et ça peut</nowiki></tt> <tt><nowiki># faire perdre la main sur la machine</nowiki></tt>

<tt>iptables -A INPUT -i lo -j ACCEPT</tt> <tt>iptables -A OUTPUT -o lo -j ACCEPT</tt>

<tt><nowiki># Bon, la partie initialisation et préparation est</nowiki></tt> <tt><nowiki># terminée, passons aux choses sérieuses</nowiki></tt> <tt><nowiki># Comme on l'a dit dans la présentation de</nowiki></tt> <tt><nowiki># l'architecture réseau, le firewall fait</nowiki></tt> <tt><nowiki># également office de proxy grâce par exemple</nowiki></tt> <tt><nowiki># à un squid installé dessus. On va donc</nowiki></tt> <tt><nowiki># accepter que le </nowiki>'''proxy''' ait une '''connexion'''</tt> <tt><nowiki># </nowiki>'''internet directe'''. Tant qu'à faire, on va</tt> <tt><nowiki># mettre des états pour que ça soit bien sécurisé</nowiki></tt>

<tt>iptables -A OUTPUT -o ppp0 -m state \</tt> <tt> --state NEW,ESTABLISHED -p tcp --dport 80 -j ACCEPT</tt> <tt>iptables -A INPUT -i ppp0 -m state \</tt> <tt> --state ESTABLISHED -p tcp --sport 80 -j ACCEPT</tt>

<tt><nowiki># Maintenant, on va faire en sorte que le</nowiki></tt> <tt><nowiki># </nowiki>'''proxy soit totalement transparent pour le LAN'''</tt> <tt><nowiki># bénéficiant de la connexion internet.</nowiki></tt> <tt><nowiki># L'astuce consiste a rediriger toutes les</nowiki></tt> <tt><nowiki># requêtes ayant un port de destination 80</nowiki></tt> <tt><nowiki># vers le port 3128 du proxy, ici c'est le</nowiki></tt> <tt><nowiki># firewall (qui est sur le firewall et qui</nowiki></tt> <tt><nowiki># a l'adresse IP 192.168.2.1 ).</nowiki></tt> <tt><nowiki># Une règle de NAT suffira largement pour faire ça.</nowiki></tt>

<tt>iptables -t nat -A PREROUTING -i eth1 -p tcp \</tt> <tt> --dport 80 -j DNAT --to-destination 192.168.2.1:3128</tt>

<tt><nowiki># Bon, c'est pas trop compliqué ! Maintenant</nowiki></tt> <tt><nowiki># on sait que l'on a un </nowiki>'''serveur web sur la DMZ'''</tt> <tt><nowiki># (la machine d'adresse IP 192.168.1.2) sur</nowiki></tt> <tt><nowiki># le port 80. On souhaite que toutes les requêtes</nowiki></tt> <tt><nowiki># provenant d'internet arrivant sur l'adresse IP</nowiki></tt> <tt><nowiki># publique du serveur ( ici 42.42.42.42 ) soit</nowiki></tt> <tt><nowiki># redirigées sur le serveur web de la DMZ.</nowiki></tt> <tt><nowiki># Rien de bien compliqué. Dans l'exemple,</nowiki></tt> <tt><nowiki># on peut retirer le :80 de la target</nowiki></tt> <tt><nowiki># --to-destination</nowiki></tt>

<tt>iptables -t nat -A PREROUTING -d 42.42.42.42 \</tt> <tt> -p tcp --dport 80 -j DNAT --to-destination 192.168.1.2:80</tt>

<tt><nowiki># C'est bien tout ça ! mais le problème c'est</nowiki></tt> <tt><nowiki># que les chaînes de la table FILTER sont toutes</nowiki></tt> <tt><nowiki># à DENY, donc tout ceci ne fait rien du tout.</nowiki></tt> <tt><nowiki># On va donc passer a la </nowiki>'''configuration du'''</tt> <tt><nowiki># </nowiki>'''firewall''' proprement dit.</tt>

<tt><nowiki># On va quand même </nowiki>'''accepter les connexions ssh'''</tt> <tt><nowiki># (port 22) provenant d'une machine (la votre en</nowiki></tt> <tt><nowiki># l'occurrence, on va dire 192.168.2.42) vers le</nowiki></tt> <tt><nowiki># firewall pour pouvoir modifier les règles</nowiki></tt> <tt><nowiki># facilement pour bien surveiller, on vas quand</nowiki></tt> <tt><nowiki># même loguer les connexions provenant de mon IP</nowiki></tt> <tt><nowiki># et à destination du ssh du firewall</nowiki></tt>

<tt>iptables -A INPUT -i eth1 -s 192.168.2.42 -m state \</tt> <tt> --state NEW,ESTABLISHED -p tcp --dport 22 -j LOG_ACCEPT</tt> <tt>iptables -A OUTPUT -o eth1 -d 192.168.2.42 -m state \</tt> <tt> --state ESTABLISHED -p tcp --sport 22 -j LOG_ACCEPT</tt>

<tt><nowiki># On veut que le </nowiki>'''LAN''' connecté à l'interface</tt> <tt><nowiki># eth1 ait un accès complet à </nowiki>'''internet'''.</tt> <tt><nowiki># La règle de NAT qui permettait d'avoir</nowiki></tt> <tt><nowiki># un </nowiki>'''proxy transparent''' sera automatiquement</tt> <tt><nowiki># appliqué. L'interface correspondant</nowiki></tt> <tt><nowiki># à la connexion internet est ici ppp0</nowiki></tt>

<tt>iptables -A FORWARD -i eth1 -o ppp0 -j ACCEPT</tt> <tt>iptables -A FORWARD -o eth1 -i ppp0 -j ACCEPT</tt>

<tt><nowiki># Maintenant on donne le droit au </nowiki>'''LAN''' de</tt> <tt><nowiki># </nowiki>'''consulter les pages web du serveur de la DMZ'''</tt>

<tt>iptables -A FORWARD -i eth1 -o eth0 -p tcp \</tt> <tt> --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT</tt> <tt>iptables -A FORWARD -i eth0 -o eth1 -p tcp \</tt> <tt> --sport 80 -m state --state ESTABLISHED -j ACCEPT</tt>

<tt><nowiki># Maintenant il n'y a plus qu'à dire au firewall</nowiki></tt> <tt><nowiki># d'autoriser à transmettre des paquets TCP à</nowiki></tt> <tt><nowiki># destination du port 80 provenant de l'adresse</nowiki></tt> <tt><nowiki># IP publique (i.e. d'</nowiki>'''internet''') '''vers le serveur'''</tt> <tt><nowiki># </nowiki>'''web de la DMZ''' que nous avons naté précédemment.</tt>

<tt>iptables -A FORWARD -i ppp0 -o eth0 -p tcp \</tt> <tt> --destination-port 80 -m state --state NEW,ESTABLISHED -j ACCEPT</tt> <tt>iptables -A FORWARD -o ppp0 -i eth0 -p tcp \</tt> <tt> --source-port 80 -m state --state ESTABLISHED -j ACCEPT</tt>

<tt><nowiki># Maintenant il ne reste plus grand chose à faire !</nowiki></tt>

<tt><nowiki># Il faut permettre à l'ensemble du LAN de dialoguer</nowiki></tt> <tt><nowiki># sur internet avec la même adresse IP sinon, bien</nowiki></tt> <tt><nowiki># évidemment ça ne marchera pas (à moins que vous</nowiki></tt> <tt><nowiki># ayez 30 adresses ip !).</nowiki></tt> <tt><nowiki># Une petite règle de NAT avec un -j MASQUERADE</nowiki></tt> <tt><nowiki># suffira (masquerade = dialoguer avec l'adresse</nowiki></tt> <tt><nowiki># IP publique sur firewall)</nowiki></tt>

<tt>iptables -t nat -A POSTROUTING \</tt> <tt> -s 192.168.2.0/24 -j MASQUERADE</tt>

<tt><nowiki># Il faut également que le serveur web de la DMZ</nowiki></tt> <tt><nowiki># soit masqueradé sinon, le serveur</nowiki></tt> <tt><nowiki># dialoguera sur internet avec son IP privée</nowiki></tt>

<tt>iptables -t nat -A POSTROUTING \</tt> <tt> -s 192.168.1.0/24 -j MASQUERADE</tt>

<tt><nowiki># Toutes les règles qui n'ont pas passé les</nowiki></tt> <tt><nowiki># règles du firewall seront refusées et loguées...</nowiki></tt> <tt><nowiki># facile :</nowiki></tt>

<tt>iptables -A FORWARD -j LOG_DROP</tt> <tt>iptables -A INPUT -j LOG_DROP</tt> <tt>iptables -A OUTPUT -j LOG_DROP</tt>

<tt><nowiki># Pour faire zoli</nowiki></tt> <tt>echo " [Termine]"</tt>

<tt><nowiki># c'est enfin fini</nowiki></tt>
|}

</center>

Et voilà ! le firewall de compèt' est prêt et fonctionnel.

Ceci était bien évidemment un exemple, vous pouvez dès à présent préparer votre propre firewall personnalisé ! Vous pouvez l'adapter à vos besoins, votre connexion vers internet (par ADSL par exemple), etc.

<div class="merci">Cette page est issue de la documentation 'pré-wiki' de Léa a été convertie avec HTML::WikiConverter. Elle fut créée par Arnaud de Bermingham le 12/11/2001.</div>

{{Copy|12/11/2001|Arnaud de Bermingham|DP}}

=Autres ressources=
Le [http://lea-linux.org/trucs/index.php3?aff_item=272 partage de connexion] facile.

Tester votre firewall [http://grc.com/default.htm là].

Cliquez sur 'ShieldsUP!', puis sur l'un des boutons : 'Test My Shields !" et "Probe My Ports !". Ça vaut pas un bon <tt>nmap</tt> fait par un ami, mais ça permet de voir ou on en est.