Accueil Explorer Aide
Connexion
eric
/
InstallationServeur
1
0
Fork 0
Fichiers Tickets 0 Pull Requests 0 Wiki
Aborescence: 20f9589ffa
Branches Tags
Installation...
/
site
/
5-cinq
/
index.html

index.html 35 KB
Historique Raw

1234567891011121314151617181920212223242526272829303132333435363738394041424344454647484950515253545556575859606162636465666768697071727374757677787980818283848586878889909192939495969798991001011021031041051061071081091101111121131141151161171181191201211221231241251261271281291301311321331341351361371381391401411421431441451461471481491501511521531541551561571581591601611621631641651661671681691701711721731741751761771781791801811821831841851861871881891901911921931941951961971981992002012022032042052062072082092102112122132142152162172182192202212222232242252262272282292302312322332342352362372382392402412422432442452462472482492502512522532542552562572582592602612622632642652662672682692702712722732742752762772782792802812822832842852862872882892902912922932942952962972982993003013023033043053063073083093103113123133143153163173183193203213223233243253263273283293303313323333343353363373383393403413423433443453463473483493503513523533543553563573583593603613623633643653663673683693703713723733743753763773783793803813823833843853863873883893903913923933943953963973983994004014024034044054064074084094104114124134144154164174184194204214224234244254264274284294304314324334344354364374384394404414424434444454464474484494504514524534544554564574584594604614624634644654664674684694704714724734744754764774784794804814824834844854864874884894904914924934944954964974984995005015025035045055065075085095105115125135145155165175185195205215225235245255265275285295305315325335345355365375385395405415425435445455465475485495505515525535545555565575585595605615625635645655665675685695705715725735745755765775785795805815825835845855865875885895905915925935945955965975985996006016026036046056066076086096106116126136146156166176186196206216226236246256266276286296306316326336346356366376386396406416426436446456466476486496506516526536546556566576586596606616626636646656666676686696706716726736746756766776786796806816826836846856866876886896906916926936946956966976986997007017027037047057067077087097107117127137147157167177187197207217227237247257267277287297307317327337347357367377387397407417427437447457467477487497507517527537547557567577587597607617627637647657667677687697707717727737747757767777787797807817827837847857867877887897907917927937947957967977987998008018028038048058068078088098108118128138148158168178188198208218228238248258268278288298308318328338348358368378388398408418428438448458468478488498508518528538548558568578588598608618628638648658668678688698708718728738748758768778788798808818828838848858868878888898908918928938948958968978988999009019029039049059069079089099109119129139149159169179189199209219229239249259269279289299309319329339349359369379389399409419429439449459469479489499509519529539549559569579589599609619629639649659669679689699709719729739749759769779789799809819829839849859869879889899909919929939949959969979989991000100110021003100410051006100710081009101010111012101310141015101610171018101910201021102210231024102510261027 
  1. <!DOCTYPE html>
    2. 

  2. <!--[if IE 8]><html class="no-js lt-ie9" lang="en" > <![endif]-->
    3. 

  3. <!--[if gt IE 8]><!--> <html class="no-js" lang="en" > <!--<![endif]-->
    4. 

  4. <head>
    5. 

  5.   <meta charset="utf-8">
    6. 

  6.   <meta http-equiv="X-UA-Compatible" content="IE=edge">
    7. 

  7.   <meta name="viewport" content="width=device-width, initial-scale=1.0">
    8. 

  8.   
    9. 

  9.   
    10. 

  10.   
    11. 

  11.   <title>Installation d'un pare-feu - The Yojik Server Installation Guide</title>
    12. 

  12.   
    13. 

  13. 

  14.   <link rel="shortcut icon" href="../img/favicon.ico">
    15. 

  15. 

  16.   
    17. 

  17.   <link href='https://fonts.googleapis.com/css?family=Lato:400,700|Roboto+Slab:400,700|Inconsolata:400,700' rel='stylesheet' type='text/css'>
    18. 

  18. 

  19.   <link rel="stylesheet" href="../css/theme.css" type="text/css" />
    20. 

  20.   <link rel="stylesheet" href="../css/theme_extra.css" type="text/css" />
    21. 

  21.   <link rel="stylesheet" href="../css/highlight.css">
    22. 

  22. 

  23.   
    24. 

  24.   <script>
    25. 

  25.     // Current page data
    26. 

  26.     var mkdocs_page_name = "Installation d'un pare-feu";
    27. 

  27.     var mkdocs_page_input_path = "5-cinq.md";
    28. 

  28.     var mkdocs_page_url = "/5-cinq/";
    29. 

  29.   </script>
    30. 

  30.   
    31. 

  31.   <script src="../js/jquery-2.1.1.min.js"></script>
    32. 

  32.   <script src="../js/modernizr-2.8.3.min.js"></script>
    33. 

  33.   <script type="text/javascript" src="../js/highlight.pack.js"></script>
    34. 

  34.   <script src="../js/theme.js"></script> 
    35. 

  35. 

  36.   
    37. 

  37. </head>
    38. 

  38. 

  39. <body class="wy-body-for-nav" role="document">
    40. 

  40. 

  41.   <div class="wy-grid-for-nav">
    42. 

  42. 

  43.     
    44. 

  44.     <nav data-toggle="wy-nav-shift" class="wy-nav-side stickynav">
    45. 

  45.       <div class="wy-side-nav-search">
    46. 

  46.         <a href=".." class="icon icon-home"> The Yojik Server Installation Guide</a>
    47. 

  47.         <div role="search">
    48. 

  48.   <form id ="rtd-search-form" class="wy-form" action="../search.html" method="get">
    49. 

  49.     <input type="text" name="q" placeholder="Search docs" />
    50. 

  50.   </form>
    51. 

  51. </div>
    52. 

  52.       </div>
    53. 

  53. 

  54.       <div class="wy-menu wy-menu-vertical" data-spy="affix" role="navigation" aria-label="main navigation">
    55. 

  55.         <ul class="current">
    56. 

  56.           
    57. 

  57.             <li>
    58. 

  58.     <li class="toctree-l1 ">
    59. 

  59.         <a class="" href="..">Home</a>
    60. 

  60.         
    61. 

  61.     </li>
    62. 

  62. <li>
    63. 

  63.           
    64. 

  64.             <li>
    65. 

  65.     <li class="toctree-l1 ">
    66. 

  66.         <a class="" href="../1-un/">Installation d'un serveur Debian/Stretch sécurisé</a>
    67. 

  67.         
    68. 

  68.     </li>
    69. 

  69. <li>
    70. 

  70.           
    71. 

  71.             <li>
    72. 

  72.     <li class="toctree-l1 ">
    73. 

  73.         <a class="" href="../2-deux/">Premières étapes de sécurisation du serveur</a>
    74. 

  74.         
    75. 

  75.     </li>
    76. 

  76. <li>
    77. 

  77.           
    78. 

  78.             <li>
    79. 

  79.     <li class="toctree-l1 ">
    80. 

  80.         <a class="" href="../3-trois/">Configuration du réseau</a>
    81. 

  81.         
    82. 

  82.     </li>
    83. 

  83. <li>
    84. 

  84.           
    85. 

  85.             <li>
    86. 

  86.     <li class="toctree-l1 ">
    87. 

  87.         <a class="" href="../4-quatre/">Installation d'un serveur de temps</a>
    88. 

  88.         
    89. 

  89.     </li>
    90. 

  90. <li>
    91. 

  91.           
    92. 

  92.             <li>
    93. 

  93.     <li class="toctree-l1 current">
    94. 

  94.         <a class="current" href="./">Installation d'un pare-feu</a>
    95. 

  95.         
    96. 

  96.             <ul>
    97. 

  97.             
    98. 

  98.                 <li class="toctree-l3"><a href="#installation-dun-pare-feu">Installation d'un pare-feu</a></li>
    99. 

  99.                 
    100. 

  100.                     <li><a class="toctree-l4" href="#installation-de-iptables">Installation de iptables</a></li>
    101. 

  101.                 
    102. 

  102.                     <li><a class="toctree-l4" href="#configuration-des-regles-iptables">Configuration des règles iptables</a></li>
    103. 

  103.                 
    104. 

  104.                     <li><a class="toctree-l4" href="#test-dns-et-du-serveur-de-temps-avec-iptables-actif">Test DNS et du serveur de temps (avec iptables actif)</a></li>
    105. 

  105.                 
    106. 

  106.                     <li><a class="toctree-l4" href="#installation-de-ufw">Installation de ufw</a></li>
    107. 

  107.                 
    108. 

  108.                     <li><a class="toctree-l4" href="#configuration-de-ufw">Configuration de ufw</a></li>
    109. 

  109.                 
    110. 

  110.                     <li><a class="toctree-l4" href="#activation-du-pare-feu">Activation du pare-feu:</a></li>
    111. 

  111.                 
    112. 

  112.                     <li><a class="toctree-l4" href="#verification">Vérification:</a></li>
    113. 

  113.                 
    114. 

  114.                     <li><a class="toctree-l4" href="#pour-desactiver-le-pare-feu">Pour désactiver le pare-feu:</a></li>
    115. 

  115.                 
    116. 

  116.                     <li><a class="toctree-l4" href="#activation-du-logging-des-actions-de-ufw">Activation du logging des actions de ufw</a></li>
    117. 

  117.                 
    118. 

  118.             
    119. 

  119.             </ul>
    120. 

  120.         
    121. 

  121.     </li>
    122. 

  122. <li>
    123. 

  123.           
    124. 

  124.             <li>
    125. 

  125.     <li class="toctree-l1 ">
    126. 

  126.         <a class="" href="../6-six/">Contrer les attaques de brute-force avec fail2ban</a>
    127. 

  127.         
    128. 

  128.     </li>
    129. 

  129. <li>
    130. 

  130.           
    131. 

  131.             <li>
    132. 

  132.     <li class="toctree-l1 ">
    133. 

  133.         <a class="" href="../7-sept/">Installation d'un serveur de courrier basique</a>
    134. 

  134.         
    135. 

  135.     </li>
    136. 

  136. <li>
    137. 

  137.           
    138. 

  138.             <li>
    139. 

  139.     <li class="toctree-l1 ">
    140. 

  140.         <a class="" href="../8-huit/">Installation du serveur DNS</a>
    141. 

  141.         
    142. 

  142.     </li>
    143. 

  143. <li>
    144. 

  144.           
    145. 

  145.             <li>
    146. 

  146.     <li class="toctree-l1 ">
    147. 

  147.         <a class="" href="../9-neuf/">Installation d'un serveur web</a>
    148. 

  148.         
    149. 

  149.     </li>
    150. 

  150. <li>
    151. 

  151.           
    152. 

  152.             <li>
    153. 

  153.     <li class="toctree-l1 ">
    154. 

  154.         <a class="" href="../10-dix/">Installation de dovecot et de l'authentification</a>
    155. 

  155.         
    156. 

  156.     </li>
    157. 

  157. <li>
    158. 

  158.           
    159. 

  159.             <li>
    160. 

  160.     <li class="toctree-l1 ">
    161. 

  161.         <a class="" href="../11-onze/">Installation des certificats letsencrypt</a>
    162. 

  162.         
    163. 

  163.     </li>
    164. 

  164. <li>
    165. 

  165.           
    166. 

  166.             <li>
    167. 

  167.     <li class="toctree-l1 ">
    168. 

  168.         <a class="" href="../12-douze/">Ajout des enregistrements SPF et DKIM au fichier de zone DNS</a>
    169. 

  169.         
    170. 

  170.     </li>
    171. 

  171. <li>
    172. 

  172.           
    173. 

  173.             <li>
    174. 

  174.     <li class="toctree-l1 ">
    175. 

  175.         <a class="" href="../17-dixsept/">Installation de programmes de surveillance du serveur</a>
    176. 

  176.         
    177. 

  177.     </li>
    178. 

  178. <li>
    179. 

  179.           
    180. 

  180.             <li>
    181. 

  181.     <li class="toctree-l1 ">
    182. 

  182.         <a class="" href="../18-dixhuit/">Installation d'un webmail</a>
    183. 

  183.         
    184. 

  184.     </li>
    185. 

  185. <li>
    186. 

  186.           
    187. 

  187.             <li>
    188. 

  188.     <li class="toctree-l1 ">
    189. 

  189.         <a class="" href="../19-dixneuf/">Installation de git et de gogs</a>
    190. 

  190.         
    191. 

  191.     </li>
    192. 

  192. <li>
    193. 

  193.           
    194. 

  194.         </ul>
    195. 

  195.       </div>
    196. 

  196.       &nbsp;
    197. 

  197.     </nav>
    198. 

  198. 

  199.     <section data-toggle="wy-nav-shift" class="wy-nav-content-wrap">
    200. 

  200. 

  201.       
    202. 

  202.       <nav class="wy-nav-top" role="navigation" aria-label="top navigation">
    203. 

  203.         <i data-toggle="wy-nav-top" class="fa fa-bars"></i>
    204. 

  204.         <a href="..">The Yojik Server Installation Guide</a>
    205. 

  205.       </nav>
    206. 

  206. 

  207.       
    208. 

  208.       <div class="wy-nav-content">
    209. 

  209.         <div class="rst-content">
    210. 

  210.           <div role="navigation" aria-label="breadcrumbs navigation">
    211. 

  211.   <ul class="wy-breadcrumbs">
    212. 

  212.     <li><a href="..">Docs</a> &raquo;</li>
    213. 

  213.     
    214. 

  214.       
    215. 

  215.     
    216. 

  216.     <li>Installation d'un pare-feu</li>
    217. 

  217.     <li class="wy-breadcrumbs-aside">
    218. 

  218.       
    219. 

  219.     </li>
    220. 

  220.   </ul>
    221. 

  221.   <hr/>
    222. 

  222. </div>
    223. 

  223.           <div role="main">
    224. 

  224.             <div class="section">
    225. 

  225.               
    226. 

  226.                 <p></p>
    227. 

  227. <h2 id="installation-dun-pare-feu">Installation d'un pare-feu</h2>
    228. 

  228. <p>J'ai utilisé depuis toujours <strong>iptables</strong> "brut". Ayant lu beaucoup de bien de <strong>ufw</strong>, je vais tenter une installation de ce dernier.</p>
    229. 

  229. <p>Après usage, il s'avère difficile de configurer <strong>fail2ban</strong> avec <strong>ufw</strong>.</p>
    230. 

  230. <p>Je vais quand même laisser la doc de configuration de <strong>ufw</strong>, tout en préférant utiliser <strong>iptables</strong>.</p>
    231. 

  231. <h3 id="installation-de-iptables">Installation de iptables</h3>
    232. 

  232. <p><strong>Iptables</strong> est installé automatiquement. Nous allons rajouter le paquet <strong>iptables-persistent</strong> pour assurer le lancement automatique de nos règles à l'allumage de la machine.</p>
    233. 

  233. <hr />
    234. 

  234. <pre><code>root@aijan:/home/ericadmin# apt install iptables-persistent
    235. 

  235. Lecture des listes de paquets... Fait
    236. 

  236. Construction de l'arbre des dépendances
    237. 

  237. Lecture des informations d'état... Fait
    238. 

  238. The following additional packages will be installed:
    239. 

  239.   netfilter-persistent
    240. 

  240. Les NOUVEAUX paquets suivants seront installés :
    241. 

  241.   iptables-persistent netfilter-persistent
    242. 

  242. 0 mis à jour, 2 nouvellement installés, 0 à enlever et 0 non mis à jour.
    243. 

  243. Il est nécessaire de prendre 19,5 ko dans les archives.
    244. 

  244. Après cette opération, 79,9 ko d'espace disque supplémentaires seront utilisés.
    245. 

  245. Souhaitez-vous continuer ? [O/n] o
    246. 

  246. Réception de:1 http://deb.debian.org/debian stretch/main amd64 netfilter-persistent all 1.0.4+nmu2 [8 792 B]
    247. 

  247. Réception de:2 http://deb.debian.org/debian stretch/main amd64 iptables-persistent all 1.0.4+nmu2 [10,7 kB]
    248. 

  248. 19,5 ko réceptionnés en 0s (198 ko/s)
    249. 

  249. Préconfiguration des paquets...
    250. 

  250. Sélection du paquet netfilter-persistent précédemment désélectionné.
    251. 

  251. (Lecture de la base de données... 36713 fichiers et répertoires déjà installés.)
    252. 

  252. Préparation du dépaquetage de .../netfilter-persistent_1.0.4+nmu2_all.deb ...
    253. 

  253. Dépaquetage de netfilter-persistent (1.0.4+nmu2) ...
    254. 

  254. Sélection du paquet iptables-persistent précédemment désélectionné.
    255. 

  255. Préparation du dépaquetage de .../iptables-persistent_1.0.4+nmu2_all.deb ...
    256. 

  256. Dépaquetage de iptables-persistent (1.0.4+nmu2) ...
    257. 

  257. Paramétrage de netfilter-persistent (1.0.4+nmu2) ...
    258. 

  258. Created symlink /etc/systemd/system/multi-user.target.wants/netfilter-persistent.service → /lib/systemd/system/netfilter-persistent.service.
    259. 

  259. update-rc.d: warning: start and stop actions are no longer supported; falling back to defaults
    260. 

  260. Traitement des actions différées (« triggers ») pour systemd (232-25+deb9u1) ...
    261. 

  261. Traitement des actions différées (« triggers ») pour man-db (2.7.6.1-2) ...
    262. 

  262. Paramétrage de iptables-persistent (1.0.4+nmu2) ...
    263. 

  263. root@aijan:/home/ericadmin#
    264. 

  264. </code></pre>
    265. 

  265. 

  266. <hr />
    267. 

  267. <p>Vous noterez que le nom du serveur est différent. J'ai testé mon tutoriel sur un nouveau serveur (aijan.yojik.net.)</p>
    268. 

  268. <p>Nous obtenons donc 2 fichiers de configuration, /etc/iptables/rules.v4 et /etc/iptables/rules.v6.</p>
    269. 

  269. <p>En listant ces fichiers, aucune règle n'est encore enregistrée: tout passe, en entrée et en sortie.</p>
    270. 

  270. <p>Ces fichiers sont mis à jour grâce aux commandes suivantes.</p>
    271. 

  271. <hr />
    272. 

  272. <pre><code>iptables-save &gt; /etc/iptables/rules.v4
    273. 

  273. ip6tables-save &gt; /etc/iptables/rules.v6
    274. 

  274. </code></pre>
    275. 

  275. 

  276. <hr />
    277. 

  277. <p>Les commandes disponibles pour <strong>netfilter-persistent</strong> sont les suivantes:</p>
    278. 

  278. <ul>
    279. 

  279. <li>systemctl start netfilter-persistent</li>
    280. 

  280. <li>systemctl stop netfilter-persistent</li>
    281. 

  281. <li>systemctl restart netfilter-persistent</li>
    282. 

  282. <li>systemctl stop netfilter-persistent</li>
    283. 

  283. <li>systemctl status netfilter-persistent</li>
    284. 

  284. </ul>
    285. 

  285. <p>Exemples d'utilisation suivant l'état de <strong>netfilter-persistent</strong>:</p>
    286. 

  286. <hr />
    287. 

  287. <pre><code>root@aijan:/home/ericadmin# systemctl stop netfilter-persistent
    288. 

  288. root@aijan:/home/ericadmin# systemctl status netfilter-persistent
    289. 

  289. ● (**point en rouge**) netfilter-persistent.service - netfilter persistent configuration
    290. 

  290.    Loaded: loaded (/lib/systemd/system/netfilter-persistent.service; enabled; vendor preset: enabled)
    291. 

  291.    Active: failed (Result: exit-code) since Sun 2018-02-11 13:50:22 CET; 13s ago
    292. 

  292.   Process: 1629 ExecStop=/usr/sbin/netfilter-persistent stop (code=exited, status=1/FAILURE)
    293. 

  293.   Process: 1525 ExecStart=/usr/sbin/netfilter-persistent start (code=exited, status=0/SUCCESS)
    294. 

  294.  Main PID: 1525 (code=exited, status=0/SUCCESS)
    295. 

  295. 

  296. févr. 11 13:42:02 aijan systemd[1]: Starting netfilter persistent configuration...
    297. 

  297. févr. 11 13:42:02 aijan netfilter-persistent[1525]: run-parts: executing /usr/share/netfilter-persistent/plugins.d/15-ip4tables start
    298. 

  298. févr. 11 13:42:02 aijan netfilter-persistent[1525]: run-parts: executing /usr/share/netfilter-persistent/plugins.d/25-ip6tables start
    299. 

  299. févr. 11 13:42:02 aijan systemd[1]: Started netfilter persistent configuration.
    300. 

  300. févr. 11 13:50:22 aijan systemd[1]: Stopping netfilter persistent configuration...
    301. 

  301. févr. 11 13:50:22 aijan netfilter-persistent[1629]: Automatic flush disabled; use '/usr/sbin/netfilter-persistent flush'
    302. 

  302. févr. 11 13:50:22 aijan systemd[1]: netfilter-persistent.service: Control process exited, code=exited status=1
    303. 

  303. févr. 11 13:50:22 aijan systemd[1]: Stopped netfilter persistent configuration.
    304. 

  304. févr. 11 13:50:22 aijan systemd[1]: netfilter-persistent.service: Unit entered failed state.
    305. 

  305. févr. 11 13:50:22 aijan systemd[1]: netfilter-persistent.service: Failed with result 'exit-code'.
    306. 

  306. root@aijan:/home/ericadmin#
    307. 

  307. 

  308. 

  309. root@aijan:/home/ericadmin# systemctl start netfilter-persistent
    310. 

  310. root@aijan:/home/ericadmin# systemctl status netfilter-persistent
    311. 

  311. ● (**point en vert**) netfilter-persistent.service - netfilter persistent configuration
    312. 

  312.    Loaded: loaded (/lib/systemd/system/netfilter-persistent.service; enabled; vendor preset: enabled)
    313. 

  313.    Active: active (exited) since Sun 2018-02-11 13:51:09 CET; 2s ago
    314. 

  314.   Process: 1629 ExecStop=/usr/sbin/netfilter-persistent stop (code=exited, status=1/FAILURE)
    315. 

  315.   Process: 1641 ExecStart=/usr/sbin/netfilter-persistent start (code=exited, status=0/SUCCESS)
    316. 

  316.  Main PID: 1641 (code=exited, status=0/SUCCESS)
    317. 

  317. 

  318. févr. 11 13:51:09 aijan systemd[1]: Starting netfilter persistent configuration...
    319. 

  319. févr. 11 13:51:09 aijan netfilter-persistent[1641]: run-parts: executing /usr/share/netfilter-persistent/plugins.d/15-ip4tables start
    320. 

  320. févr. 11 13:51:09 aijan netfilter-persistent[1641]: run-parts: executing /usr/share/netfilter-persistent/plugins.d/25-ip6tables start
    321. 

  321. févr. 11 13:51:09 aijan systemd[1]: Started netfilter persistent configuration.
    322. 

  322. root@aijan:/home/ericadmin#
    323. 

  323. </code></pre>
    324. 

  324. 

  325. <hr />
    326. 

  326. <p>Pour sauver des règles “entrées à la main”, tapez:</p>
    327. 

  327. <blockquote>
    328. 

  328. <p><strong>service netfilter-persistent save</strong></p>
    329. 

  329. </blockquote>
    330. 

  330. <hr />
    331. 

  331. <pre><code>root@aijan:/home/ericadmin# service netfilter-persistent save
    332. 

  332. [....] Saving netfilter rules...run-parts: executing /usr/share/netfilter-persistent/plugins.d/15-ip4tables save
    333. 

  333. run-parts: executing /usr/share/netfilter-persistent/plugins.d/25-ip6tables save
    334. 

  334. done.
    335. 

  335. root@aijan:/home/ericadmin#
    336. 

  336. </code></pre>
    337. 

  337. 

  338. <hr />
    339. 

  339. <h3 id="configuration-des-regles-iptables">Configuration des règles iptables</h3>
    340. 

  340. <p>Nous allons les configurer avec un script donné par Nicolargo: <a href="https://blog.nicolargo.com/2013/06/ma-methode-pour-gerer-les-regles-iptables.html">Site de NicoLargo</a></p>
    341. 

  341. <hr />
    342. 

  342. <pre><code>#! /bin/sh
    343. 

  343. ### BEGIN INIT INFO
    344. 

  344. # Provides:          PersonalFirewall
    345. 

  345. # Required-Start:    $remote_fs $syslog
    346. 

  346. # Required-Stop:     $remote_fs $syslog
    347. 

  347. # Default-Start:     2 3 4 5
    348. 

  348. # Default-Stop:      0 1 6
    349. 

  349. # Short-Description: Personal Firewall
    350. 

  350. # Description:
    351. 

  351. ### END INIT INFO
    352. 

  352. 

  353. # programme iptables IPV4 et IPV6
    354. 

  354. IPT=/sbin/iptables
    355. 

  355. IP6T=/sbin/ip6tables
    356. 

  356. 

  357. # Les IPs
    358. 

  358. IPMAISON=192.168.111.150
    359. 

  359. IP6MAISON=fe80::1e6f:65ff:fe92:dd1f
    360. 

  360. 

  361. # fonction qui démarre le firewall
    362. 

  362. do_start() {
    363. 

  363. 

  364.     # Efface toutes les règles en cours. -F toutes. -X utilisateurs
    365. 

  365.     $IPT -t filter -F
    366. 

  366.     $IPT -t filter -X
    367. 

  367.     $IPT -t nat -F
    368. 

  368.     $IPT -t nat -X
    369. 

  369.     $IPT -t mangle -F
    370. 

  370.     $IPT -t mangle -X
    371. 

  371.     #
    372. 

  372.     $IP6T -t filter -F
    373. 

  373.     $IP6T -t filter -X
    374. 

  374.     # Il n'y a pas de NAT en IPV6
    375. 

  375.     #$IP6T -t nat -F
    376. 

  376.     #$IP6T -t nat -X
    377. 

  377.     $IP6T -t mangle -F
    378. 

  378.     $IP6T -t mangle -X
    379. 

  379. 

  380.     # stratégie (-P) par défaut : bloc tout l'entrant le forward et autorise le sortant
    381. 

  381.     $IPT -t filter -P INPUT DROP
    382. 

  382.     $IPT -t filter -P FORWARD DROP
    383. 

  383.     $IPT -t filter -P OUTPUT ACCEPT
    384. 

  384.     #
    385. 

  385.     $IP6T -F INPUT
    386. 

  386.     $IP6T -F FORWARD
    387. 

  387.     $IP6T -X
    388. 

  388. 

  389.     # Loopback
    390. 

  390.     $IPT -t filter -A INPUT -i lo -j ACCEPT
    391. 

  391.     $IPT -t filter -A OUTPUT -o lo -j ACCEPT
    392. 

  392.     #
    393. 

  393.     $IP6T -t filter -A INPUT -i lo -j ACCEPT
    394. 

  394.     $IP6T -t filter -A OUTPUT -o lo -j ACCEPT
    395. 

  395. 

  396.     # ICMP
    397. 

  397.     $IPT -A INPUT -p icmp --icmp-type echo-request -j ACCEPT
    398. 

  398.     $IPT -A OUTPUT -p icmp --icmp-type echo-reply -j ACCEPT
    399. 

  399. 

  400.     # Permettre à une connexion ouverte de recevoir du trafic en entrée
    401. 

  401.     $IPT -t filter -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
    402. 

  402.     #
    403. 

  403.     $IP6T -t filter -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
    404. 

  404.     $IP6T -A INPUT -p icmpv6 --icmpv6-type neighbor-solicitation -j ACCEPT
    405. 

  405.     $IP6T -A INPUT -p icmpv6 --icmpv6-type neighbor-advertisement -j ACCEPT
    406. 

  406.     $IP6T -A INPUT -p icmpv6 --icmpv6-type echo-request -j ACCEPT
    407. 

  407.     $IP6T -A INPUT -j ACCEPT
    408. 

  408.     $IP6T -A INPUT -p icmpv6 --icmpv6-type router-solicitation -j ACCEPT
    409. 

  409.     $IP6T -P INPUT DROP
    410. 

  410.     $IP6T -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
    411. 

  411.     $IP6T -A FORWARD -p icmpv6 --icmpv6-type echo-request -j ACCEPT
    412. 

  412.     $IP6T -A FORWARD -i br0 -j ACCEPT
    413. 

  413.     $IP6T -A FORWARD -i br1 -o sit_sixxs -j ACCEPT
    414. 

  414.     $IP6T -P FORWARD DROP
    415. 

  415. 

  416.     # DNS:53
    417. 

  417.     # /!\ Il faut autoriser le DNS AVANT de déclarer des hosts sinon pas de résolution de nom possible
    418. 

  418.     $IPT -t filter -A INPUT -p tcp --dport 53 -j ACCEPT
    419. 

  419.     $IPT -t filter -A INPUT -p udp --dport 53 -j ACCEPT
    420. 

  420. 

  421.     # DNS:53
    422. 

  422.     $IP6T -t filter -A INPUT -p tcp --dport 53 -j ACCEPT
    423. 

  423.     $IP6T -t filter -A INPUT -p udp --dport 53 -j ACCEPT
    424. 

  424. 

  425.    # DNS:953
    426. 

  426.     # /!\ Il faut autoriser le DNS AVANT de déclarer des hosts sinon pas de résolution de nom possible
    427. 

  427.     $IPT -t filter -A INPUT -p tcp --dport 953 -j ACCEPT
    428. 

  428.     $IPT -t filter -A INPUT -p udp --dport 953 -j ACCEPT
    429. 

  429.     #
    430. 

  430.     $IP6T -t filter -A INPUT -p tcp --dport 953 -j ACCEPT
    431. 

  431.     $IP6T -t filter -A INPUT -p udp --dport 953 -j ACCEPT
    432. 

  432. 

  433. 

  434.     # accepte tout d'une ip en TCP (de la maison)
    435. 

  435.     $IPT -t filter -A INPUT -p tcp -s $IPMAISON -j ACCEPT
    436. 

  436.     $IP6T -t filter -A INPUT -p tcp -s $IP6MAISON -j ACCEPT
    437. 

  437. 

  438.     # ssh
    439. 

  439.     $IPT -t filter -A INPUT -p tcp --dport 22  -j ACCEPT
    440. 

  440.     $IPT -t filter -A OUTPUT -p tcp --dport 22  -j ACCEPT
    441. 

  441.     #
    442. 

  442.     $IP6T -t filter -A INPUT -p tcp --dport 22  -j ACCEPT
    443. 

  443.     $IP6T -t filter -A OUTPUT -p tcp --dport 22  -j ACCEPT
    444. 

  444. 

  445. 

  446.    #NTP out
    447. 

  447.     $IPT -t filter -A OUTPUT -p udp --dport 123 -j ACCEPT
    448. 

  448.     $IP6T -t filter -A OUTPUT -p udp --dport 123 -j ACCEPT
    449. 

  449. 

  450. 

  451. #    # HTTP + HTTPS Out
    452. 

  452. #     $IPT -t filter -A OUTPUT -p tcp --dport 80 -j ACCEPT
    453. 

  453. #     $IPT -t filter -A OUTPUT -p tcp --dport 443 -j ACCEPT
    454. 

  454. 

  455. #     $IP6T -t filter -A OUTPUT -p tcp --dport 80 -j ACCEPT
    456. 

  456. #     $IP6T -t filter -A OUTPUT -p tcp --dport 443 -j ACCEPT
    457. 

  457. 

  458. #     # HTTP + HTTPS In
    459. 

  459. #     $IPT -t filter -A INPUT -p tcp --dport 80 -j ACCEPT
    460. 

  460. #     $IPT -t filter -A INPUT -p tcp --dport 443 -j ACCEPT
    461. 

  461. 

  462. #     $IP6T -t filter -A INPUT -p tcp --dport 80 -j ACCEPT
    463. 

  463. #     $IP6T -t filter -A INPUT -p tcp --dport 443 -j ACCEPT
    464. 

  464. 

  465. 

  466. #    # Mail SMTP:25
    467. 

  467. #    $IPT -t filter -A INPUT -p tcp --dport 25 -j ACCEPT
    468. 

  468. #    $IPT -t filter -A OUTPUT -p tcp --dport 25 -j ACCEPT
    469. 

  469. 

  470. #    $IP6T -t filter -A INPUT -p tcp --dport 25 -j ACCEPT
    471. 

  471. #    $IP6T -t filter -A OUTPUT -p tcp --dport 25 -j ACCEPT
    472. 

  472. 

  473. 

  474. #    # Mail SMTP:587
    475. 

  475. #    $IPT -t filter -A INPUT -p tcp --dport 587 -j ACCEPT
    476. 

  476. #    $IPT -t filter -A OUTPUT -p tcp --dport 587 -j ACCEPT
    477. 

  477. 

  478. #    $IP6T -t filter -A INPUT -p tcp --dport 597 -j ACCEPT
    479. 

  479. #    $IP6T -t filter -A OUTPUT -p tcp --dport 587 -j ACCEPT
    480. 

  480. 

  481. #    # Mail IMAP:143
    482. 

  482. #    $IPT -t filter -A INPUT -p tcp --dport 143 -j ACCEPT
    483. 

  483. #    $IPT -t filter -A OUTPUT -p tcp --dport 143 -j ACCEPT
    484. 

  484. 

  485. #    $IP6T -t filter -A INPUT -p tcp --dport 143 -j ACCEPT
    486. 

  486. #    $IP6T -t filter -A OUTPUT -p tcp --dport 143 -j ACCEPT
    487. 

  487. 

  488. #    # Mail IMAPS:993
    489. 

  489. #    $IPT -t filter -A INPUT -p tcp --dport 993 -j ACCEPT
    490. 

  490. #    $IPT -t filter -A OUTPUT -p tcp --dport 993 -j ACCEPT
    491. 

  491. #    $IP6T -t filter -A INPUT -p tcp --dport 993 -j ACCEPT
    492. 

  492. #    $IP6T -t filter -A OUTPUT -p tcp --dport 993 -j ACCEPT
    493. 

  493. 

  494. #    # Mail 465
    495. 

  495. #    $IPT -t filter -A INPUT -p tcp --dport 465 -j ACCEPT
    496. 

  496. #    $IPT -t filter -A OUTPUT -p tcp --dport 465 -j ACCEPT
    497. 

  497. 

  498. #    $IP6T -t filter -A INPUT -p tcp --dport 465 -j ACCEPT
    499. 

  499. #    $IP6T -t filter -A OUTPUT -p tcp --dport 465 -j ACCEPT
    500. 

  500. 

  501. 

  502.     #
    503. 

  503.     echo &quot;firewall started [OK]&quot;
    504. 

  504. }
    505. 

  505. 

  506. # fonction qui arrête le firewall
    507. 

  507. do_stop() {
    508. 

  508. 

  509.     # Efface toutes les règles
    510. 

  510.     $IPT -t filter -F
    511. 

  511.     $IPT -t filter -X
    512. 

  512.     $IPT -t nat -F
    513. 

  513.     $IPT -t nat -X
    514. 

  514.     $IPT -t mangle -F
    515. 

  515.     $IPT -t mangle -X
    516. 

  516.     #
    517. 

  517.     $IP6T -t filter -F
    518. 

  518.     $IP6T -t filter -X
    519. 

  519.     #$IP6T -t nat -F
    520. 

  520.     #$IP6T -t nat -X
    521. 

  521.     $IP6T -t mangle -F
    522. 

  522.     $IP6T -t mangle -X
    523. 

  523. 

  524.     # remet la stratégie
    525. 

  525.     $IPT -t filter -P INPUT ACCEPT
    526. 

  526.     $IPT -t filter -P OUTPUT ACCEPT
    527. 

  527.     $IPT -t filter -P FORWARD ACCEPT
    528. 

  528.     #
    529. 

  529.     $IP6T -t filter -P INPUT ACCEPT
    530. 

  530.     $IP6T -t filter -P OUTPUT ACCEPT
    531. 

  531.     $IP6T -t filter -P FORWARD ACCEPT
    532. 

  532. 

  533.     #
    534. 

  534.     echo &quot;firewall stopped [OK]&quot;
    535. 

  535. }
    536. 

  536. 

  537. # fonction status firewall
    538. 

  538. do_status() {
    539. 

  539. 

  540.     # affiche les règles en cours
    541. 

  541.     clear
    542. 

  542.     echo Status IPV4
    543. 

  543.     echo -----------------------------------------------
    544. 

  544.     $IPT -L -n -v
    545. 

  545.     echo
    546. 

  546.     echo -----------------------------------------------
    547. 

  547.     echo
    548. 

  548.     echo status IPV6
    549. 

  549.     echo -----------------------------------------------
    550. 

  550.     $IP6T -L -n -v
    551. 

  551.     echo
    552. 

  552. }
    553. 

  553. 

  554. case &quot;$1&quot; in
    555. 

  555.     start)
    556. 

  556.         do_start
    557. 

  557.         # quitte sans erreur
    558. 

  558.         exit 0
    559. 

  559.     ;;
    560. 

  560. 

  561.     stop)
    562. 

  562.         do_stop
    563. 

  563.         # quitte sans erreur
    564. 

  564.         exit 0
    565. 

  565.     ;;
    566. 

  566. 

  567.     restart)
    568. 

  568.         do_stop
    569. 

  569.         do_start
    570. 

  570.         # quitte sans erreur
    571. 

  571.         exit 0
    572. 

  572.     ;;
    573. 

  573. 

  574.     status)
    575. 

  575.         do_status
    576. 

  576.         # quitte sans erreurs
    577. 

  577.         exit 0
    578. 

  578.     ;;
    579. 

  579. 

  580.     *)
    581. 

  581.         # Si on ne tape ni &quot;start&quot; ni &quot;stop&quot;... on affiche une erreur
    582. 

  582.         echo &quot;Usage: /etc/init.d/firewall {start|stop|restart|status}&quot;
    583. 

  583.         # quitte le script avec un etat &quot;en erreur&quot;
    584. 

  584.         exit 1
    585. 

  585.     ;;
    586. 

  586. 

  587. esac
    588. 

  588. 

  589. </code></pre>
    590. 

  590. 

  591. <hr />
    592. 

  592. <p>Explications:</p>
    593. 

  593. <hr />
    594. 

  594. <pre><code>Création de 4 chaînes pour faciliter les opérations:
    595. 

  595. 

  596. # iptables -N TCP
    597. 

  597. # iptables -N UDP
    598. 

  598. 

  599. # ip6tables -N TCP
    600. 

  600. # ip6tables -N UDP
    601. 

  601. 

  602. On est sur un serveur, pas un routeur, donc, on interdit la règle FORWARD:
    603. 

  603. 

  604. # iptables -P FORWARD DROP
    605. 

  605. 

  606. # ip6tables -P FORWARD DROP
    607. 

  607. 

  608. On autorise tout en sortie:
    609. 

  609. 

  610. # iptables -P OUTPUT ACCEPT
    611. 

  611. 

  612. # ip6tables -P OUTPUT ACCEPT
    613. 

  613. 

  614. 

  615. Nous allons accepter les connexions déjà établies:
    616. 

  616. 

  617. # iptables -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
    618. 

  618. 

  619. # ip6tables -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
    620. 

  620. 

  621. 

  622. En entrée, on commence par interdire tout; on ouvrira les ports suivantles besoins:
    623. 

  623. 

  624. # iptables -P INPUT DROP
    625. 

  625. 

  626. # ip6tables -P INPUT DROP
    627. 

  627. 

  628. 

  629. Aoristaion des connexions **loopback** (internes):
    630. 

  630. 

  631. # iptables -A INPUT -i lo -j ACCEPT
    632. 

  632. 

  633. # ip6tables -A INPUT -i lo -j ACCEPT
    634. 

  634. 

  635. Nous allons interdire les paquets marqués **INVALID**; il faudra auparavant accepter les paquets **ICMPv6 Neighbor Discovery** qui apparaissent invalides:
    636. 

  636. 

  637. #iptables -A INPUT -p 41 -j ACCEPT
    638. 

  638. 

  639. #ip6tables -A INPUT -p 41 -j ACCEPT
    640. 

  640. 

  641. # iptables -A INPUT -m conntrack --ctstate INVALID -j DROP
    642. 

  642. 

  643. # ip6tables -A INPUT -m conntrack --ctstate INVALID -j DROP
    644. 

  644. 

  645. Pour IPV6, il faut rajouter la règle suivante qui permet de faire passer le protocol de découverte des ordinateurs sur le même réseau:
    646. 

  646. 

  647. # ip6tables -A INPUT -s fe80::/10 -p ipv6-icmp -j ACCEPT
    648. 

  648. 

  649. L'adresse fe80:: est l'adresse ipv6 valable uniquement sur le réseau local.
    650. 

  650. 

  651. On accepte les paquets **ping**:
    652. 

  652. 

  653. # iptables -A INPUT -p icmp --icmp-type 8 -m conntrack --ctstate NEW -j ACCEPT
    654. 

  654. 

  655. # ip6tables -A INPUT -p icmpv6 -m conntrack --ctstate NEW -j ACCEPT
    656. 

  656. 

  657. On peut maintenant accepter les nouveaux paquets entrants. Les connexions entrantes doivent commencer avec un paquet **SYNC**. Elles seront rejetées si ce n'est pas le cas:
    658. 

  658. 

  659. # iptables -A INPUT -p udp -m conntrack --ctstate NEW -j UDP
    660. 

  660. # iptables -A INPUT -p tcp --syn -m conntrack --ctstate NEW -j TCP
    661. 

  661. 

  662. # ip6tables -A INPUT -p udp -m conntrack --ctstate NEW -j UDP
    663. 

  663. # ip6tables -A INPUT -p tcp --syn -m conntrack --ctstate NEW -j TCP
    664. 

  664. 

  665. On rejette les paquets du protocole **icmp unreachable**
    666. 

  666. 

  667. # iptables -A INPUT -j REJECT --reject-with icmp-proto-unreachable
    668. 

  668. 

  669. # iptables -A INPUT -p tcp -j REJECT --reject-with tcp-reset
    670. 

  670. 

  671. # ip6tables -A INPUT -p ipv6-icmp --icmpv6-type 128 -m conntrack --ctstate NEW -j ACCEPT
    672. 

  672. 

  673. # ip6tables -A INPUT -p tcp -j REJECT --reject-with tcp-reset
    674. 

  674. 

  675. 

  676. Pour IPV6, nous pouvons rajouter un filtrage pour le &quot;kernel reverse path filter&quot;:
    677. 

  677. 

  678. # ip6tables -t raw -A PREROUTING -m rpfilter -j ACCEPT
    679. 

  679. # ip6tables -t raw -A PREROUTING -j DROP
    680. 

  680. 

  681. On accepte les paquets **ssh** sur le port 22 (changez ce port si vous avez configuré vos ports différemment)
    682. 

  682. 

  683. # iptables -A TCP -p tcp --dport 22 -j ACCEPT
    684. 

  684. 

  685. # ip6tables -A TCP -p tcp --dport 22 -j ACCEPT
    686. 

  686. 

  687. 

  688. Règles pour le DNS et NTP (ports 53 et 41)
    689. 

  689. 

  690. # iptables -A INPUT  -p udp -m state --state ESTABLISHED --sport 53 -j ACCEPT
    691. 

  691. # iptables -A OUTPUT  -p udp -m state --state NEW,ESTABLISHED --dport 53 -j ACCEPT
    692. 

  692. # iptables -A INPUT  -p tcp -m state --state ESTABLISHED --sport 53 -j ACCEPT
    693. 

  693. # iptables -A OUTPUT  -p tcp -m state --state NEW,ESTABLISHED --dport 53 -j ACCEPT
    694. 

  694. 

  695. 

  696. # iptables -A INPUT  -p udp -m state --state ESTABLISHED --sport 123 -j ACCEPT
    697. 

  697. # iptables -A OUTPUT -p udp -m state --state NEW,ESTABLISHED --dport 123 -j ACCEPT
    698. 

  698. 

  699. La même chose pour IPV6:
    700. 

  700. 

  701. # ip6tables -A INPUT  -p udp -m state --state ESTABLISHED --sport 53 -j ACCEPT
    702. 

  702. # ip6tables -A OUTPUT  -p udp -m state --state NEW,ESTABLISHED --dport 53 -j ACCEPT
    703. 

  703. # ip6tables -A INPUT  -p tcp -m state --state ESTABLISHED --sport 53 -j ACCEPT
    704. 

  704. # ip6tables -A OUTPUT  -p tcp -m state --state NEW,ESTABLISHED --dport 53 -j ACCEPT
    705. 

  705. 

  706. 

  707. # ip6tables -A INPUT  -p udp -m state --state ESTABLISHED --sport 123 -j ACCEPT
    708. 

  708. # ip6tables -A OUTPUT -p udp -m state --state NEW,ESTABLISHED --dport 123 -j ACCEPT
    709. 

  709. 

  710. 

  711. 

  712. Nous pouvons maintenant lister nos règles. Nous allons commencer par IPV4:
    713. 

  713. 

  714. Listons les règles actuelles, ensuite ajoutons 2 règles et sauvons celles-ci, puis listons le résultat. Vous pouvez faire de même pour toutes les règles.
    715. 

  715. 

  716. root@aijan:/etc/iptables# cat rules.v4
    717. 

  717. # Generated by iptables-save v1.6.0 on Sun Feb 11 14:27:32 2018
    718. 

  718. *filter
    719. 

  719. :INPUT ACCEPT [491:50774]
    720. 

  720. :FORWARD ACCEPT [0:0]
    721. 

  721. :OUTPUT ACCEPT [267:23983]
    722. 

  722. COMMIT
    723. 

  723. # Completed on Sun Feb 11 14:27:32 2018
    724. 

  724. 

  725. root@aijan:/etc/iptables# iptables -N TCP
    726. 

  726. root@aijan:/etc/iptables# iptables -N UDP
    727. 

  727. 

  728. root@aijan:/etc/iptables# service netfilter-persistent save
    729. 

  729. [....] Saving netfilter rules...run-parts: executing /usr/share/netfilter-persistent/plugins.d/15-ip4tables save
    730. 

  730. run-parts: executing /usr/share/netfilter-persistent/plugins.d/25-ip6tables save
    731. 

  731. done.
    732. 

  732. 

  733. 

  734. oot@aijan:/etc/iptables# cat rules.v4
    735. 

  735. # Generated by iptables-save v1.6.0 on Sun Feb 11 14:28:24 2018
    736. 

  736. *filter
    737. 

  737. :INPUT ACCEPT [13:888]
    738. 

  738. :FORWARD ACCEPT [0:0]
    739. 

  739. :OUTPUT ACCEPT [8:944]
    740. 

  740. :TCP - [0:0]
    741. 

  741. :UDP - [0:0]
    742. 

  742. COMMIT
    743. 

  743. # Completed on Sun Feb 11 14:28:24 2018
    744. 

  744. 

  745. Ne pas oublier de valider la règle d'acceptation des connexions existantes AVANT d'entrer la règle INPUT DROP  sinon, vous perdez toute connexion avec votre serveur :)
    746. 

  746. 

  747. Il suffit de répéter pour les autres règles puis pour IPV6.
    748. 

  748. </code></pre>
    749. 

  749. 

  750. <hr />
    751. 

  751. <p>Nous obtenons donc les règles suivantes:</p>
    752. 

  752. <p>Pour IPV4:</p>
    753. 

  753. <hr />
    754. 

  754. <pre><code>root@aijan:/etc/iptables# cat rules.v4
    755. 

  755. # Generated by iptables-save v1.6.0 on Sun Feb 11 15:33:41 2018
    756. 

  756. *filter
    757. 

  757. :INPUT DROP [0:0]
    758. 

  758. :FORWARD DROP [0:0]
    759. 

  759. :OUTPUT ACCEPT [105:27592]
    760. 

  760. :TCP - [0:0]
    761. 

  761. :UDP - [0:0]
    762. 

  762. -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
    763. 

  763. -A INPUT -i lo -j ACCEPT
    764. 

  764. -A INPUT -m conntrack --ctstate INVALID -j DROP
    765. 

  765. -A INPUT -p icmp -m icmp --icmp-type 8 -m conntrack --ctstate NEW -j ACCEPT
    766. 

  766. -A INPUT -p udp -m conntrack --ctstate NEW -j UDP
    767. 

  767. -A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -m conntrack --ctstate NEW -j TCP
    768. 

  768. -A INPUT -j REJECT --reject-with icmp-proto-unreachable
    769. 

  769. -A INPUT -p tcp -j REJECT --reject-with tcp-reset
    770. 

  770. -A TCP -p tcp -m tcp --dport 22 -j ACCEPT
    771. 

  771. COMMIT
    772. 

  772. # Completed on Sun Feb 11 15:33:41 2018
    773. 

  773. root@aijan:/etc/iptables#
    774. 

  774. </code></pre>
    775. 

  775. 

  776. <hr />
    777. 

  777. <p>Pour IPV6:</p>
    778. 

  778. <hr />
    779. 

  779. <pre><code>
    780. 

  780. root@aijan:/etc/iptables# cat rules.v6
    781. 

  781. # Generated by ip6tables-save v1.6.0 on Sun Feb 11 15:33:41 2018
    782. 

  782. *raw
    783. 

  783. :PREROUTING ACCEPT [0:0]
    784. 

  784. :OUTPUT ACCEPT [0:0]
    785. 

  785. -A PREROUTING -m rpfilter -j ACCEPT
    786. 

  786. -A PREROUTING -j DROP
    787. 

  787. COMMIT
    788. 

  788. # Completed on Sun Feb 11 15:33:41 2018
    789. 

  789. # Generated by ip6tables-save v1.6.0 on Sun Feb 11 15:33:41 2018
    790. 

  790. *filter
    791. 

  791. :INPUT DROP [1:144]
    792. 

  792. :FORWARD DROP [0:0]
    793. 

  793. :OUTPUT ACCEPT [0:0]
    794. 

  794. :TCP - [0:0]
    795. 

  795. :UDP - [0:0]
    796. 

  796. -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
    797. 

  797. -A INPUT -i lo -j ACCEPT
    798. 

  798. -A INPUT -p ipv6 -j ACCEPT
    799. 

  799. -A INPUT -m conntrack --ctstate INVALID -j DROP
    800. 

  800. -A INPUT -p udp -m conntrack --ctstate NEW -j UDP
    801. 

  801. -A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -m conntrack --ctstate NEW -j TCP
    802. 

  802. -A INPUT -p tcp -j REJECT --reject-with tcp-reset
    803. 

  803. -A INPUT -p ipv6-icmp -m icmp6 --icmpv6-type 128 -m conntrack --ctstate NEW -j ACCEPT
    804. 

  804. -A OUTPUT -p ipv6-icmp -j ACCEPT
    805. 

  805. -A TCP -p tcp -m tcp --dport 22 -j ACCEPT
    806. 

  806. COMMIT
    807. 

  807. # Completed on Sun Feb 11 15:33:41 2018
    808. 

  808. root@aijan:/etc/iptables#
    809. 

  809. 

  810. </code></pre>
    811. 

  811. 

  812. <hr />
    813. 

  813. <h3 id="test-dns-et-du-serveur-de-temps-avec-iptables-actif">Test DNS et du serveur de temps (avec iptables actif)</h3>
    814. 

  814. <hr />
    815. 

  815. <pre><code>
    816. 

  816. root@aijan:/home/ericadmin# nslookup www.gnome.org
    817. 

  817. Server:     192.168.111.254
    818. 

  818. Address:    192.168.111.254#53
    819. 

  819. 

  820. Non-authoritative answer:
    821. 

  821. www.gnome.org   canonical name = proxy.gnome.org.
    822. 

  822. Name:   proxy.gnome.org
    823. 

  823. Address: 209.132.180.168
    824. 

  824. Name:   proxy.gnome.org
    825. 

  825. Address: 209.132.180.180
    826. 

  826. 

  827. root@aijan:/home/ericadmin# timedatectl status
    828. 

  828.       Local time: dim. 2018-04-01 12:26:57 CEST
    829. 

  829.   Universal time: dim. 2018-04-01 10:26:57 UTC
    830. 

  830.         RTC time: dim. 2018-04-01 10:26:58
    831. 

  831.        Time zone: Europe/Paris (CEST, +0200)
    832. 

  832.  Network time on: yes
    833. 

  833. NTP synchronized: yes
    834. 

  834.  RTC in local TZ: no
    835. 

  835. </code></pre>
    836. 

  836. 

  837. <hr />
    838. 

  838. <p>Ça fonctionne.</p>
    839. 

  839. <h3 id="installation-de-ufw">Installation de <strong>ufw</strong></h3>
    840. 

  840. <p>J'avais (ai) choisi <strong>ufw</strong>; je ne l'ai encore jamais utilisé, donc, c'est l'occasion! Finalement, pas un très bon plan, même si cela a l'air très facile en premier lieu ... je vais rester sur du <strong>iptables</strong> brut avec <strong><em>iptables-persistent</em></strong>.</p>
    841. 

  841. <p>Son installation est détaillée dans le paragraphe ci-dessus.</p>
    842. 

  842. <hr />
    843. 

  843. <pre><code>root@atom:/home/ericadmin# apt install ufw
    844. 

  844. Lecture des listes de paquets... Fait
    845. 

  845. Construction de l'arbre des dépendances
    846. 

  846. Lecture des informations d'état... Fait
    847. 

  847. Les NOUVEAUX paquets suivants seront installés :
    848. 

  848.   ufw
    849. 

  849. 0 mis à jour, 1 nouvellement installés, 0 à enlever et 0 non mis à jour.
    850. 

  850. Il est nécessaire de prendre 164 ko dans les archives.
    851. 

  851. Après cette opération, 848 ko d'espace disque supplémentaires seront utilisés.
    852. 

  852. Réception de:1 http://deb.debian.org/debian stretch/main i386 ufw all 0.35-4 [164 kB]
    853. 

  853. 164 ko réceptionnés en 0s (1 239 ko/s)
    854. 

  854. Préconfiguration des paquets...
    855. 

  855. Sélection du paquet ufw précédemment désélectionné.
    856. 

  856. (Lecture de la base de données... 31776 fichiers et répertoires déjà installés.)
    857. 

  857. Préparation du dépaquetage de .../archives/ufw_0.35-4_all.deb ...
    858. 

  858. Dépaquetage de ufw (0.35-4) ...
    859. 

  859. Paramétrage de ufw (0.35-4) ...
    860. 

  860. 

  861. Creating config file /etc/ufw/before.rules with new version
    862. 

  862. 

  863. Creating config file /etc/ufw/before6.rules with new version
    864. 

  864. 

  865. Creating config file /etc/ufw/after.rules with new version
    866. 

  866. 

  867. Creating config file /etc/ufw/after6.rules with new version
    868. 

  868. Created symlink /etc/systemd/system/multi-user.target.wants/ufw.service → /lib/systemd/system/ufw.service.
    869. 

  869. Traitement des actions différées (« triggers ») pour systemd (232-25+deb9u1) ...
    870. 

  870. Traitement des actions différées (« triggers ») pour man-db (2.7.6.1-2) ...
    871. 

  871. Traitement des actions différées (« triggers ») pour rsyslog (8.24.0-1) ...
    872. 

  872. </code></pre>
    873. 

  873. 

  874. <hr />
    875. 

  875. <h3 id="configuration-de-ufw">Configuration de <strong>ufw</strong></h3>
    876. 

  876. <p>Après installation, le pare-feu est inactif.</p>
    877. 

  877. <hr />
    878. 

  878. <pre><code>root@atom:/home/ericadmin# ufw status
    879. 

  879. Status: inactive
    880. 

  880. root@atom:/home/ericadmin#
    881. 

  881. </code></pre>
    882. 

  882. 

  883. <hr />
    884. 

  884. <p>Nous allons autoriser les connexions <strong>ssh</strong> et <strong>ntp</strong>, seuls services en place pour l'instant.</p>
    885. 

  885. <hr />
    886. 

  886. <pre><code>root@atom:/home/ericadmin# ufw allow 22
    887. 

  887. Rules updated
    888. 

  888. Rules updated (v6)
    889. 

  889. root@atom:/home/ericadmin#
    890. 

  890. 

  891. root@atom:/etc/fail2ban# ufw allow ntp
    892. 

  892. Rule added
    893. 

  893. Rule added (v6)
    894. 

  894. </code></pre>
    895. 

  895. 

  896. <hr />
    897. 

  897. <h3 id="activation-du-pare-feu">Activation du pare-feu:</h3>
    898. 

  898. <hr />
    899. 

  899. <pre><code>root@atom:/home/ericadmin# ufw enable
    900. 

  900. Command may disrupt existing ssh connections. Proceed with operation (y|n)? y
    901. 

  901. Firewall is active and enabled on system startup
    902. 

  902. root@atom:/home/ericadmin#
    903. 

  903. </code></pre>
    904. 

  904. 

  905. <hr />
    906. 

  906. <h3 id="verification">Vérification:</h3>
    907. 

  907. <hr />
    908. 

  908. <pre><code>root@atom:/home/ericadmin# ufw status
    909. 

  909. Status: active
    910. 

  910. 

  911. To                         Action      From
    912. 

  912. --                         ------      ----
    913. 

  913. 22                         ALLOW       Anywhere
    914. 

  914. 123                        ALLOW       Anywhere
    915. 

  915. 22 (v6)                    ALLOW       Anywhere (v6)
    916. 

  916. 123 (v6)                   ALLOW       Anywhere (v6)
    917. 

  917. 

  918. root@atom:/home/ericadmin#
    919. 

  919. </code></pre>
    920. 

  920. 

  921. <hr />
    922. 

  922. <p>Les connexions <strong>ssh</strong> et <strong>ntp</strong> sont autorisées, en <strong>IPV4</strong> et <strong>IPV6</strong>.</p>
    923. 

  923. <p>Nous ajouterons des règles en fonction des services utilisés.</p>
    924. 

  924. <h3 id="pour-desactiver-le-pare-feu">Pour désactiver le pare-feu:</h3>
    925. 

  925. <hr />
    926. 

  926. <pre><code>ufw disable
    927. 

  927. </code></pre>
    928. 

  928. 

  929. <hr />
    930. 

  930. <h3 id="activation-du-logging-des-actions-de-ufw">Activation du logging des actions de <strong>ufw</strong></h3>
    931. 

  931. <hr />
    932. 

  932. <pre><code>root@atom:/home/ericadmin# ufw logging on
    933. 

  933. Logging enabled
    934. 

  934. root@atom:/home/ericadmin#
    935. 

  935. </code></pre>
    936. 

  936. 

  937. <hr />
    938. 

  938. <p>Vous pouvez voiur l'ensemble des commandes de <strong>ufw</strong> en tapant:</p>
    939. 

  939. <hr />
    940. 

  940. <pre><code>root@atom:/home/ericadmin# ufw --help
    941. 

  941. 

  942. Usage: ufw COMMAND
    943. 

  943. 

  944. Commands:
    945. 

  945.  enable                          enables the firewall
    946. 

  946.  disable                         disables the firewall
    947. 

  947.  default ARG                     set default policy
    948. 

  948.  logging LEVEL                   set logging to LEVEL
    949. 

  949.  allow ARGS                      add allow rule
    950. 

  950.  deny ARGS                       add deny rule
    951. 

  951.  reject ARGS                     add reject rule
    952. 

  952.  limit ARGS                      add limit rule
    953. 

  953.  delete RULE|NUM                 delete RULE
    954. 

  954.  insert NUM RULE                 insert RULE at NUM
    955. 

  955.  route RULE                      add route RULE
    956. 

  956.  route delete RULE|NUM           delete route RULE
    957. 

  957.  route insert NUM RULE           insert route RULE at NUM
    958. 

  958.  reload                          reload firewall
    959. 

  959.  reset                           reset firewall
    960. 

  960.  status                          show firewall status
    961. 

  961.  status numbered                 show firewall status as numbered list of RULES
    962. 

  962.  status verbose                  show verbose firewall status
    963. 

  963.  show ARG                        show firewall report
    964. 

  964.  version                         display version information
    965. 

  965. 

  966. Application profile commands:
    967. 

  967.  app list                        list application profiles
    968. 

  968.  app info PROFILE                show information on PROFILE
    969. 

  969.  app update PROFILE              update PROFILE
    970. 

  970.  app default ARG                 set default application policy
    971. 

  971. 

  972. root@atom:/home/ericadmin#
    973. 

  973. </code></pre>
    974. 

  974. 

  975. <hr />
    976. 

  976. <p>Il faut re-tester la connectivité en IPV4 et IPV6</p>
    977. 

  977. <ol>
    978. 

  978. <li>Serveur -&gt; extérieur</li>
    979. 

  979. <li>Extérieur -&gt; serveur</li>
    980. 

  980. </ol>
    981. 

  981. <p>On peut utiliser l'adresse <strong>ipv6.google.com</strong> pour vérifier la connexion IPV6 en dehors du réseau local.</p>
    982. 

  982.               
    983. 

  983.             </div>
    984. 

  984.           </div>
    985. 

  985.           <footer>
    986. 

  986.   
    987. 

  987.     <div class="rst-footer-buttons" role="navigation" aria-label="footer navigation">
    988. 

  988.       
    989. 

  989.         <a href="../6-six/" class="btn btn-neutral float-right" title="Contrer les attaques de brute-force avec fail2ban">Next <span class="icon icon-circle-arrow-right"></span></a>
    990. 

  990.       
    991. 

  991.       
    992. 

  992.         <a href="../4-quatre/" class="btn btn-neutral" title="Installation d'un serveur de temps"><span class="icon icon-circle-arrow-left"></span> Previous</a>
    993. 

  993.       
    994. 

  994.     </div>
    995. 

  995.   
    996. 

  996. 

  997.   <hr/>
    998. 

  998. 

  999.   <div role="contentinfo">
    1000. 

  1000.     <!-- Copyright etc -->
    1001. 

  1001.     
    1002. 

  1002.   </div>
    1003. 

  1003. 

  1004.   Built with <a href="http://www.mkdocs.org">MkDocs</a> using a <a href="https://github.com/snide/sphinx_rtd_theme">theme</a> provided by <a href="https://readthedocs.org">Read the Docs</a>.
    1005. 

  1005. </footer>
    1006. 

  1006. 	  
    1007. 

  1007.         </div>
    1008. 

  1008.       </div>
    1009. 

  1009. 

  1010.     </section>
    1011. 

  1011. 

  1012.   </div>
    1013. 

  1013. 

  1014. <div class="rst-versions" role="note" style="cursor: pointer">
    1015. 

  1015.     <span class="rst-current-version" data-toggle="rst-current-version">
    1016. 

  1016.       
    1017. 

  1017.       
    1018. 

  1018.         <span><a href="../4-quatre/" style="color: #fcfcfc;">&laquo; Previous</a></span>
    1019. 

  1019.       
    1020. 

  1020.       
    1021. 

  1021.         <span style="margin-left: 15px"><a href="../6-six/" style="color: #fcfcfc">Next &raquo;</a></span>
    1022. 

  1022.       
    1023. 

  1023.     </span>
    1024. 

  1024. </div>
    1025. 

  1025. 

  1026. </body>
    1027. 

  1027. </html>
    1028.