Domů Procházet Nápověda
Přihlásit se
eric
/
Yojik.net
1
0
Rozštěpit 0
Soubory Úkoly 0 Pull Requesty 0 Wiki
Strom: 1a7555464d
Větve Značky
Yojik.net
/
tutostretch
/
site
/
Installation-Parre-Feu
/
index.html

index.html 30 KB
Historie Surový

123456789101112131415161718192021222324252627282930313233343536373839404142434445464748495051525354555657585960616263646566676869707172737475767778798081828384858687888990919293949596979899100101102103104105106107108109110111112113114115116117118119120121122123124125126127128129130131132133134135136137138139140141142143144145146147148149150151152153154155156157158159160161162163164165166167168169170171172173174175176177178179180181182183184185186187188189190191192193194195196197198199200201202203204205206207208209210211212213214215216217218219220221222223224225226227228229230231232233234235236237238239240241242243244245246247248249250251252253254255256257258259260261262263264265266267268269270271272273274275276277278279280281282283284285286287288289290291292293294295296297298299300301302303304305306307308309310311312313314315316317318319320321322323324325326327328329330331332333334335336337338339340341342343344345346347348349350351352353354355356357358359360361362363364365366367368369370371372373374375376377378379380381382383384385386387388389390391392393394395396397398399400401402403404405406407408409410411412413414415416417418419420421422423424425426427428429430431432433434435436437438439440441442443444445446447448449450451452453454455456457458459460461462463464465466467468469470471472473474475476477478479480481482483484485486487488489490491492493494495496497498499500501502503504505506507508509510511512513514515516517518519520521522523524525526527528529530531532533534535536537538539540541542543544545546547548549550551552553554555556557558559560561562563564565566567568569570571572573574575576577578579580581582583584585586587588589590591592593594595596597598599600601602603604605606607608609610611612613614615616617618619620621622623624625626627628629630631632633634635636637638639640641642643644645646647648649650651652653654655656657658659660661662663664665666667668669670671672673674675676677678679680681682683684685686687688689690691692693694695696697698699700701702703704705706707708709710711712713714715716717718719720721722723724725726727728729730731732733734735736737738739740741742743744745 
  1. <!DOCTYPE html>
    2. 

  2. <!--[if IE 8]><html class="no-js lt-ie9" lang="en" > <![endif]-->
    3. 

  3. <!--[if gt IE 8]><!--> <html class="no-js" lang="en" > <!--<![endif]-->
    4. 

  4. <head>
    5. 

  5.   <meta charset="utf-8">
    6. 

  6.   <meta http-equiv="X-UA-Compatible" content="IE=edge">
    7. 

  7.   <meta name="viewport" content="width=device-width, initial-scale=1.0">
    8. 

  8.   
    9. 

  9.   
    10. 

  10.   
    11. 

  11.   <link rel="shortcut icon" href="../img/favicon.ico">
    12. 

  12.   <title>Installation d'un pare-feu - Les Tutoriels du Yojik</title>
    13. 

  13.   <link rel="stylesheet" href="../css/theme.css" />
    14. 

  14.   <link rel="stylesheet" href="../css/theme_extra.css" />
    15. 

  15.   <link rel="stylesheet" href="https://cdnjs.cloudflare.com/ajax/libs/highlight.js/9.12.0/styles/github.min.css" />
    16. 

  16.   
    17. 

  17.   <script>
    18. 

  18.     // Current page data
    19. 

  19.     var mkdocs_page_name = "Installation d'un pare-feu";
    20. 

  20.     var mkdocs_page_input_path = "Installation-Parre-Feu.md";
    21. 

  21.     var mkdocs_page_url = null;
    22. 

  22.   </script>
    23. 

  23.   
    24. 

  24.   <script src="../js/jquery-2.1.1.min.js" defer></script>
    25. 

  25.   <script src="../js/modernizr-2.8.3.min.js" defer></script>
    26. 

  26.   <script src="https://cdnjs.cloudflare.com/ajax/libs/highlight.js/9.12.0/highlight.min.js"></script>
    27. 

  27.   <script>hljs.initHighlightingOnLoad();</script> 
    28. 

  28.   
    29. 

  29. </head>
    30. 

  30. 

  31. <body class="wy-body-for-nav" role="document">
    32. 

  32. 

  33.   <div class="wy-grid-for-nav">
    34. 

  34. 

  35.     
    36. 

  36.     <nav data-toggle="wy-nav-shift" class="wy-nav-side stickynav">
    37. 

  37.     <div class="wy-side-scroll">
    38. 

  38.       <div class="wy-side-nav-search">
    39. 

  39.         <a href=".." class="icon icon-home"> Les Tutoriels du Yojik</a>
    40. 

  40.         <div role="search">
    41. 

  41.   <form id ="rtd-search-form" class="wy-form" action="../search.html" method="get">
    42. 

  42.     <input type="text" name="q" placeholder="Search docs" title="Type search term here" />
    43. 

  43.   </form>
    44. 

  44. </div>
    45. 

  45.       </div>
    46. 

  46. 

  47.       <div class="wy-menu wy-menu-vertical" data-spy="affix" role="navigation" aria-label="main navigation">
    48. 

  48.                 <p class="caption"><span class="caption-text">Installation d'un serveur sécurisé, version Debian/Stretch (obsolète)</span></p>
    49. 

  49.                 <ul>
    50. 

  50.                     <li class="toctree-l1"><a class="reference internal" href="..">Présentation</a>
    51. 

  51.                     </li>
    52. 

  52.                 </ul>
    53. 

  53.                 <p class="caption"><span class="caption-text">Installation</span></p>
    54. 

  54.                 <ul class="current">
    55. 

  55.                     <li class="toctree-l1"><a class="reference internal" href="../Installation-de-base/">Installation du système de base</a>
    56. 

  56.                     </li>
    57. 

  57.                     <li class="toctree-l1"><a class="reference internal" href="../ovh/">Démarrage sur serveur OVH</a>
    58. 

  58.                     </li>
    59. 

  59.                     <li class="toctree-l1"><a class="reference internal" href="../Premi%C3%A8re-Etape-S%C3%A9curisation/">Première étapes de sécurisation du serveur</a>
    60. 

  60.                     </li>
    61. 

  61.                     <li class="toctree-l1"><a class="reference internal" href="../Configuration-R%C3%A9seau/">Configuration du réseau</a>
    62. 

  62.                     </li>
    63. 

  63.                     <li class="toctree-l1"><a class="reference internal" href="../Installation-Serveur-Temps/">Installation d'un serveur de temps</a>
    64. 

  64.                     </li>
    65. 

  65.                     <li class="toctree-l1 current"><a class="reference internal current" href="./">Installation d'un pare-feu</a>
    66. 

  66.     <ul class="current">
    67. 

  67.     <li class="toctree-l2"><a class="reference internal" href="#installation-de-iptables">Installation de iptables</a>
    68. 

  68.     </li>
    69. 

  69.     <li class="toctree-l2"><a class="reference internal" href="#configuration-des-regles-iptables">Configuration des règles iptables</a>
    70. 

  70.     </li>
    71. 

  71.     <li class="toctree-l2"><a class="reference internal" href="#test-dns-et-du-serveur-de-temps-avec-iptables-actif">Test DNS et du serveur de temps (avec iptables actif)</a>
    72. 

  72.     </li>
    73. 

  73.     </ul>
    74. 

  74.                     </li>
    75. 

  75.                     <li class="toctree-l1"><a class="reference internal" href="../Installation-Fail2ban/">Contrer les attaques de brute-force avec fail2ban</a>
    76. 

  76.                     </li>
    77. 

  77.                     <li class="toctree-l1"><a class="reference internal" href="../Installation-Serveur-Courrier-Basique/">Installation d'un serveur de courrier basique</a>
    78. 

  78.                     </li>
    79. 

  79.                     <li class="toctree-l1"><a class="reference internal" href="../Installation-Serveur-DNS/">Installation du serveur DNS</a>
    80. 

  80.                     </li>
    81. 

  81.                     <li class="toctree-l1"><a class="reference internal" href="../Installation-Serveur-Web/">Installation d'un serveur web</a>
    82. 

  82.                     </li>
    83. 

  83.                     <li class="toctree-l1"><a class="reference internal" href="../Installation-Dovecot-Authentification/">Installation de dovecot et de l'authentification</a>
    84. 

  84.                     </li>
    85. 

  85.                     <li class="toctree-l1"><a class="reference internal" href="../Installation-Certificats-Letsencrypt/">Installation des certificats letsencrypt</a>
    86. 

  86.                     </li>
    87. 

  87.                     <li class="toctree-l1"><a class="reference internal" href="../Courrier-SPF-DKIM-OPENDMARC/">Ajout des enregistrements **spf**, **DKIM**, **DMARC** au fichier de zone DNS</a>
    88. 

  88.                     </li>
    89. 

  89.                     <li class="toctree-l1"><a class="reference internal" href="../Courrier-Comptes-Virtuels/">Ajout des comptes émail virtuels</a>
    90. 

  90.                     </li>
    91. 

  91.                     <li class="toctree-l1"><a class="reference internal" href="../Surveillance-Serveur/">Installation de programmes de surveillance du serveur</a>
    92. 

  92.                     </li>
    93. 

  93.                     <li class="toctree-l1"><a class="reference internal" href="../Installation-Webmail/">Installation d'un webmail (rainloop)</a>
    94. 

  94.                     </li>
    95. 

  95.                     <li class="toctree-l1"><a class="reference internal" href="../S%C3%A9curisation-Serveur-Web/">Sécurisation d'un serveur WEB</a>
    96. 

  96.                     </li>
    97. 

  97.                 </ul>
    98. 

  98.       </div>
    99. 

  99.     </div>
    100. 

  100.     </nav>
    101. 

  101. 

  102.     <section data-toggle="wy-nav-shift" class="wy-nav-content-wrap">
    103. 

  103. 

  104.       
    105. 

  105.       <nav class="wy-nav-top" role="navigation" aria-label="top navigation">
    106. 

  106.         <i data-toggle="wy-nav-top" class="fa fa-bars"></i>
    107. 

  107.         <a href="..">Les Tutoriels du Yojik</a>
    108. 

  108.       </nav>
    109. 

  109. 

  110.       
    111. 

  111.       <div class="wy-nav-content">
    112. 

  112.         <div class="rst-content">
    113. 

  113.           <div role="navigation" aria-label="breadcrumbs navigation">
    114. 

  114.   <ul class="wy-breadcrumbs">
    115. 

  115.     <li><a href="..">Docs</a> &raquo;</li>
    116. 

  116.     
    117. 

  117.       
    118. 

  118.         
    119. 

  119.           <li>Installation &raquo;</li>
    120. 

  120.         
    121. 

  121.       
    122. 

  122.     
    123. 

  123.     <li>Installation d'un pare-feu</li>
    124. 

  124.     <li class="wy-breadcrumbs-aside">
    125. 

  125.       
    126. 

  126.     </li>
    127. 

  127.   </ul>
    128. 

  128.   
    129. 

  129.   <hr/>
    130. 

  130. </div>
    131. 

  131.           <div role="main">
    132. 

  132.             <div class="section">
    133. 

  133.               
    134. 

  134.                 <h1 id="installation-dun-pare-feu">Installation d'un pare-feu</h1>
    135. 

  135. <p>J'ai utilisé depuis toujours <strong>iptables</strong> <em>brut</em>. Ayant lu beaucoup de bien de <strong>ufw</strong>, je vais tenter une installation de ce dernier.</p>
    136. 

  136. <p>Après usage, il s'avère difficile de configurer <strong>fail2ban</strong> avec <strong>ufw</strong>.</p>
    137. 

  137. <p>Je vais quand même laisser la doc de configuration de <strong>ufw</strong>, tout en préférant utiliser <strong>iptables</strong>.</p>
    138. 

  138. <h2 id="installation-de-iptables">Installation de iptables</h2>
    139. 

  139. <p><strong>Iptables</strong> est installé automatiquement. Nous allons rajouter le paquet <strong>iptables-persistent</strong> pour assurer le lancement automatique de nos règles à l'allumage de la machine.</p>
    140. 

  140. <pre><code>root@atom:/home/ericadmin# apt install iptables-persistent
    141. 

  141. Lecture des listes de paquets... Fait
    142. 

  142. Construction de l'arbre des dépendances
    143. 

  143. Lecture des informations d'état... Fait
    144. 

  144. The following additional packages will be installed:
    145. 

  145.   netfilter-persistent
    146. 

  146. Les NOUVEAUX paquets suivants seront installés :
    147. 

  147.   iptables-persistent netfilter-persistent
    148. 

  148. 0 mis à jour, 2 nouvellement installés, 0 à enlever et 0 non mis à jour.
    149. 

  149. Il est nécessaire de prendre 19,5 ko dans les archives.
    150. 

  150. Après cette opération, 79,9 ko d'espace disque supplémentaires seront utilisés.
    151. 

  151. Souhaitez-vous continuer ? [O/n] o
    152. 

  152. Réception de:1 http://deb.debian.org/debian stretch/main amd64 netfilter-persistent all 1.0.4+nmu2 [8 792 B]
    153. 

  153. Réception de:2 http://deb.debian.org/debian stretch/main amd64 iptables-persistent all 1.0.4+nmu2 [10,7 kB]
    154. 

  154. 19,5 ko réceptionnés en 0s (198 ko/s)
    155. 

  155. Préconfiguration des paquets...
    156. 

  156. Sélection du paquet netfilter-persistent précédemment désélectionné.
    157. 

  157. (Lecture de la base de données... 36713 fichiers et répertoires déjà installés.)
    158. 

  158. Préparation du dépaquetage de .../netfilter-persistent_1.0.4+nmu2_all.deb ...
    159. 

  159. Dépaquetage de netfilter-persistent (1.0.4+nmu2) ...
    160. 

  160. Sélection du paquet iptables-persistent précédemment désélectionné.
    161. 

  161. Préparation du dépaquetage de .../iptables-persistent_1.0.4+nmu2_all.deb ...
    162. 

  162. Dépaquetage de iptables-persistent (1.0.4+nmu2) ...
    163. 

  163. Paramétrage de netfilter-persistent (1.0.4+nmu2) ...
    164. 

  164. Created symlink /etc/systemd/system/multi-user.target.wants/netfilter-persistent.service → /lib/systemd/system/netfilter-persistent.service.
    165. 

  165. update-rc.d: warning: start and stop actions are no longer supported; falling back to defaults
    166. 

  166. Traitement des actions différées (« triggers ») pour systemd (232-25+deb9u1) ...
    167. 

  167. Traitement des actions différées (« triggers ») pour man-db (2.7.6.1-2) ...
    168. 

  168. Paramétrage de iptables-persistent (1.0.4+nmu2) ...
    169. 

  169. root@atom:/home/ericadmin#
    170. 

  170. </code></pre>
    171. 

  171. <p>Nous obtenons donc 2 fichiers de configuration, /etc/iptables/rules.v4 et /etc/iptables/rules.v6.</p>
    172. 

  172. <p>En listant ces fichiers, aucune règle n'est encore enregistrée: tout passe, en entrée et en sortie.</p>
    173. 

  173. <p>Ces fichiers sont mis à jour grâce aux commandes suivantes.</p>
    174. 

  174. <pre><code>iptables-save &gt; /etc/iptables/rules.v4
    175. 

  175. ip6tables-save &gt; /etc/iptables/rules.v6
    176. 

  176. </code></pre>
    177. 

  177. <p>Les commandes disponibles pour <strong>netfilter-persistent</strong> sont les suivantes:</p>
    178. 

  178. <ul>
    179. 

  179. <li>systemctl start netfilter-persistent</li>
    180. 

  180. <li>systemctl stop netfilter-persistent</li>
    181. 

  181. <li>systemctl restart netfilter-persistent</li>
    182. 

  182. <li>systemctl stop netfilter-persistent</li>
    183. 

  183. <li>systemctl status netfilter-persistent</li>
    184. 

  184. </ul>
    185. 

  185. <p>Exemples d'utilisation suivant l'état de <strong>netfilter-persistent</strong>:</p>
    186. 

  186. <pre><code>root@atom:/home/ericadmin# systemctl stop netfilter-persistent
    187. 

  187. root@atom:/home/ericadmin# systemctl status netfilter-persistent
    188. 

  188. ● (**point en rouge**) netfilter-persistent.service - netfilter persistent configuration
    189. 

  189.    Loaded: loaded (/lib/systemd/system/netfilter-persistent.service; enabled; vendor preset: enabled)
    190. 

  190.    Active: failed (Result: exit-code) since Sun 2018-02-11 13:50:22 CET; 13s ago
    191. 

  191.   Process: 1629 ExecStop=/usr/sbin/netfilter-persistent stop (code=exited, status=1/FAILURE)
    192. 

  192.   Process: 1525 ExecStart=/usr/sbin/netfilter-persistent start (code=exited, status=0/SUCCESS)
    193. 

  193.  Main PID: 1525 (code=exited, status=0/SUCCESS)
    194. 

  194. 

  195. févr. 11 13:42:02 atom systemd[1]: Starting netfilter persistent configuration...
    196. 

  196. févr. 11 13:42:02 atom netfilter-persistent[1525]: run-parts: executing /usr/share/netfilter-persistent/plugins.d/15-ip4tables start
    197. 

  197. févr. 11 13:42:02 atom netfilter-persistent[1525]: run-parts: executing /usr/share/netfilter-persistent/plugins.d/25-ip6tables start
    198. 

  198. févr. 11 13:42:02 atom systemd[1]: Started netfilter persistent configuration.
    199. 

  199. févr. 11 13:50:22 atom systemd[1]: Stopping netfilter persistent configuration...
    200. 

  200. févr. 11 13:50:22 atom netfilter-persistent[1629]: Automatic flush disabled; use '/usr/sbin/netfilter-persistent flush'
    201. 

  201. févr. 11 13:50:22 atom systemd[1]: netfilter-persistent.service: Control process exited, code=exited status=1
    202. 

  202. févr. 11 13:50:22 atom systemd[1]: Stopped netfilter persistent configuration.
    203. 

  203. févr. 11 13:50:22 atom systemd[1]: netfilter-persistent.service: Unit entered failed state.
    204. 

  204. févr. 11 13:50:22 atom systemd[1]: netfilter-persistent.service: Failed with result 'exit-code'.
    205. 

  205. root@atom:/home/ericadmin#
    206. 

  206. 

  207. root@atom:/home/ericadmin# systemctl start netfilter-persistent
    208. 

  208. root@atom:/home/ericadmin# systemctl status netfilter-persistent
    209. 

  209. ● (**point en vert**) netfilter-persistent.service - netfilter persistent configuration
    210. 

  210.    Loaded: loaded (/lib/systemd/system/netfilter-persistent.service; enabled; vendor preset: enabled)
    211. 

  211.    Active: active (exited) since Sun 2018-02-11 13:51:09 CET; 2s ago
    212. 

  212.   Process: 1629 ExecStop=/usr/sbin/netfilter-persistent stop (code=exited, status=1/FAILURE)
    213. 

  213.   Process: 1641 ExecStart=/usr/sbin/netfilter-persistent start (code=exited, status=0/SUCCESS)
    214. 

  214.  Main PID: 1641 (code=exited, status=0/SUCCESS)
    215. 

  215. 

  216. févr. 11 13:51:09 atom systemd[1]: Starting netfilter persistent configuration...
    217. 

  217. févr. 11 13:51:09 atom netfilter-persistent[1641]: run-parts: executing /usr/share/netfilter-persistent/plugins.d/15-ip4tables start
    218. 

  218. févr. 11 13:51:09 atom netfilter-persistent[1641]: run-parts: executing /usr/share/netfilter-persistent/plugins.d/25-ip6tables start
    219. 

  219. févr. 11 13:51:09 atom systemd[1]: Started netfilter persistent configuration.
    220. 

  220. root@atom:/home/ericadmin#
    221. 

  221. </code></pre>
    222. 

  222. <p>Pour sauver des règles “entrées à la main”, tapez:</p>
    223. 

  223. <pre><code>root@atom:/home/ericadmin# service netfilter-persistent save
    224. 

  224. [....] Saving netfilter rules...run-parts: executing /usr/share/netfilter-persistent/plugins.d/15-ip4tables save
    225. 

  225. run-parts: executing /usr/share/netfilter-persistent/plugins.d/25-ip6tables save
    226. 

  226. done.
    227. 

  227. root@atom:/home/ericadmin#
    228. 

  228. </code></pre>
    229. 

  229. <p>ou</p>
    230. 

  230. <pre><code>root@atom:/home/ericadmin# iptables-save &gt; /etc/iptables/rules.v4
    231. 

  231. root@atom:/home/ericadmin# ip6tables-save &gt; /etc/iptables/rules.v6
    232. 

  232. </code></pre>
    233. 

  233. <h2 id="configuration-des-regles-iptables">Configuration des règles iptables</h2>
    234. 

  234. <p>Nous allons les configurer avec un script donné par Nicolargo: <a href="https://blog.nicolargo.com/2013/06/ma-methode-pour-gerer-les-regles-iptables.html">Site de NicoLargo</a></p>
    235. 

  235. <pre><code>#! /bin/sh
    236. 

  236. ### BEGIN INIT INFO
    237. 

  237. # Provides:          PersonalFirewall
    238. 

  238. # Required-Start:    $remote_fs $syslog
    239. 

  239. # Required-Stop:     $remote_fs $syslog
    240. 

  240. # Default-Start:     2 3 4 5
    241. 

  241. # Default-Stop:      0 1 6
    242. 

  242. # Short-Description: Personal Firewall
    243. 

  243. # Description:
    244. 

  244. ### END INIT INFO
    245. 

  245. 

  246. # programme iptables IPV4 et IPV6
    247. 

  247. IPT=/sbin/iptables
    248. 

  248. IP6T=/sbin/ip6tables
    249. 

  249. 

  250. # Les IPs
    251. 

  251. IPMAISON=192.168.111.150
    252. 

  252. IP6MAISON=fe80::1e6f:65ff:fe92:dd1f
    253. 

  253. 

  254. # fonction qui démarre le firewall
    255. 

  255. do_start() {
    256. 

  256. 

  257.     # Efface toutes les règles en cours. -F toutes. -X utilisateurs
    258. 

  258.     $IPT -t filter -F
    259. 

  259.     $IPT -t filter -X
    260. 

  260.     $IPT -t nat -F
    261. 

  261.     $IPT -t nat -X
    262. 

  262.     $IPT -t mangle -F
    263. 

  263.     $IPT -t mangle -X
    264. 

  264.     #
    265. 

  265.     $IP6T -t filter -F
    266. 

  266.     $IP6T -t filter -X
    267. 

  267.     # Il n'y a pas de NAT en IPV6
    268. 

  268.     #$IP6T -t nat -F
    269. 

  269.     #$IP6T -t nat -X
    270. 

  270.     $IP6T -t mangle -F
    271. 

  271.     $IP6T -t mangle -X
    272. 

  272. 

  273.     # stratégie (-P) par défaut : bloc tout l'entrant le forward et autorise le sortant
    274. 

  274.     $IPT -t filter -P INPUT DROP
    275. 

  275.     $IPT -t filter -P FORWARD DROP
    276. 

  276.     $IPT -t filter -P OUTPUT ACCEPT
    277. 

  277.     #
    278. 

  278.     $IP6T -F INPUT
    279. 

  279.     $IP6T -F FORWARD
    280. 

  280.     $IP6T -X
    281. 

  281. 

  282.     # Loopback
    283. 

  283.     $IPT -t filter -A INPUT -i lo -j ACCEPT
    284. 

  284.     $IPT -t filter -A OUTPUT -o lo -j ACCEPT
    285. 

  285.     #
    286. 

  286.     $IP6T -t filter -A INPUT -i lo -j ACCEPT
    287. 

  287.     $IP6T -t filter -A OUTPUT -o lo -j ACCEPT
    288. 

  288. 

  289.     # ICMP
    290. 

  290.     $IPT -A INPUT -p icmp --icmp-type echo-request -j ACCEPT
    291. 

  291.     $IPT -A OUTPUT -p icmp --icmp-type echo-reply -j ACCEPT
    292. 

  292. 

  293.     # Permettre à une connexion ouverte de recevoir du trafic en entrée
    294. 

  294.     $IPT -t filter -A INPUT -m state --state ESTABLISHED -j ACCEPT
    295. 

  295.     #
    296. 

  296.     $IP6T -t filter -A INPUT -m state --state ESTABLISHED -j ACCEPT
    297. 

  297.     $IP6T -A INPUT -p icmpv6 --icmpv6-type neighbor-solicitation -j ACCEPT
    298. 

  298.     $IP6T -A INPUT -p icmpv6 --icmpv6-type neighbor-advertisement -j ACCEPT
    299. 

  299.     $IP6T -A INPUT -p icmpv6 --icmpv6-type echo-request -j ACCEPT
    300. 

  300.     $IP6T -A INPUT -j ACCEPT
    301. 

  301.     $IP6T -A INPUT -p icmpv6 --icmpv6-type router-solicitation -j ACCEPT
    302. 

  302.     $IP6T -P INPUT DROP
    303. 

  303.     $IP6T -A FORWARD -m state --state ESTABLISHED -j ACCEPT
    304. 

  304.     $IP6T -A FORWARD -p icmpv6 --icmpv6-type echo-request -j ACCEPT
    305. 

  305.     $IP6T -A FORWARD -i br0 -j ACCEPT
    306. 

  306.     $IP6T -A FORWARD -i br1 -o sit_sixxs -j ACCEPT
    307. 

  307.     $IP6T -P FORWARD DROP
    308. 

  308. 

  309.     # DNS:53
    310. 

  310.     # /!\ Il faut autoriser le DNS AVANT de déclarer des hosts sinon pas de résolution de nom possible
    311. 

  311.     $IPT -t filter -A INPUT -p tcp --dport 53 -j ACCEPT
    312. 

  312.     $IPT -t filter -A INPUT -p udp --dport 53 -j ACCEPT
    313. 

  313. 

  314.     # DNS:53
    315. 

  315.     $IP6T -t filter -A INPUT -p tcp --dport 53 -j ACCEPT
    316. 

  316.     $IP6T -t filter -A INPUT -p udp --dport 53 -j ACCEPT
    317. 

  317. 

  318.    # DNS:953
    319. 

  319.     # /!\ Il faut autoriser le DNS AVANT de déclarer des hosts sinon pas de résolution de nom possible
    320. 

  320.     $IPT -t filter -A INPUT -p tcp --dport 953 -j ACCEPT
    321. 

  321.     $IPT -t filter -A INPUT -p udp --dport 953 -j ACCEPT
    322. 

  322.     #
    323. 

  323.     $IP6T -t filter -A INPUT -p tcp --dport 953 -j ACCEPT
    324. 

  324.     $IP6T -t filter -A INPUT -p udp --dport 953 -j ACCEPT
    325. 

  325. 

  326. 

  327.     # accepte tout d'une ip en TCP (de la maison)
    328. 

  328.     $IPT -t filter -A INPUT -p tcp -s $IPMAISON -j ACCEPT
    329. 

  329.     $IP6T -t filter -A INPUT -p tcp -s $IP6MAISON -j ACCEPT
    330. 

  330. 

  331.     # ssh
    332. 

  332.     $IPT -t filter -A INPUT -p tcp --dport 22  -j ACCEPT
    333. 

  333.     $IPT -t filter -A OUTPUT -p tcp --dport 22  -j ACCEPT
    334. 

  334.     #
    335. 

  335.     $IP6T -t filter -A INPUT -p tcp --dport 22  -j ACCEPT
    336. 

  336.     $IP6T -t filter -A OUTPUT -p tcp --dport 22  -j ACCEPT
    337. 

  337. 

  338. 

  339.    #NTP out
    340. 

  340.     $IPT -t filter -A OUTPUT -p udp --dport 123 -j ACCEPT
    341. 

  341.     $IP6T -t filter -A OUTPUT -p udp --dport 123 -j ACCEPT
    342. 

  342. 

  343. 

  344. #    # HTTP + HTTPS Out
    345. 

  345. #     $IPT -t filter -A OUTPUT -p tcp --dport 80 -j ACCEPT
    346. 

  346. #     $IPT -t filter -A OUTPUT -p tcp --dport 443 -j ACCEPT
    347. 

  347. 

  348. #     $IP6T -t filter -A OUTPUT -p tcp --dport 80 -j ACCEPT
    349. 

  349. #     $IP6T -t filter -A OUTPUT -p tcp --dport 443 -j ACCEPT
    350. 

  350. 

  351. #     # HTTP + HTTPS In
    352. 

  352. #     $IPT -t filter -A INPUT -p tcp --dport 80 -j ACCEPT
    353. 

  353. #     $IPT -t filter -A INPUT -p tcp --dport 443 -j ACCEPT
    354. 

  354. 

  355. #     $IP6T -t filter -A INPUT -p tcp --dport 80 -j ACCEPT
    356. 

  356. #     $IP6T -t filter -A INPUT -p tcp --dport 443 -j ACCEPT
    357. 

  357. 

  358. 

  359. #    # Mail SMTP:25
    360. 

  360. #    $IPT -t filter -A INPUT -p tcp --dport 25 -j ACCEPT
    361. 

  361. #    $IPT -t filter -A OUTPUT -p tcp --dport 25 -j ACCEPT
    362. 

  362. 

  363. #    $IP6T -t filter -A INPUT -p tcp --dport 25 -j ACCEPT
    364. 

  364. #    $IP6T -t filter -A OUTPUT -p tcp --dport 25 -j ACCEPT
    365. 

  365. 

  366. 

  367. #    # Mail SMTP:587
    368. 

  368. #    $IPT -t filter -A INPUT -p tcp --dport 587 -j ACCEPT
    369. 

  369. #    $IPT -t filter -A OUTPUT -p tcp --dport 587 -j ACCEPT
    370. 

  370. 

  371. #    $IP6T -t filter -A INPUT -p tcp --dport 597 -j ACCEPT
    372. 

  372. #    $IP6T -t filter -A OUTPUT -p tcp --dport 587 -j ACCEPT
    373. 

  373. 

  374. #    # Mail IMAP:143
    375. 

  375. #    $IPT -t filter -A INPUT -p tcp --dport 143 -j ACCEPT
    376. 

  376. #    $IPT -t filter -A OUTPUT -p tcp --dport 143 -j ACCEPT
    377. 

  377. 

  378. #    $IP6T -t filter -A INPUT -p tcp --dport 143 -j ACCEPT
    379. 

  379. #    $IP6T -t filter -A OUTPUT -p tcp --dport 143 -j ACCEPT
    380. 

  380. 

  381. #    # Mail IMAPS:993
    382. 

  382. #    $IPT -t filter -A INPUT -p tcp --dport 993 -j ACCEPT
    383. 

  383. #    $IPT -t filter -A OUTPUT -p tcp --dport 993 -j ACCEPT
    384. 

  384. #    $IP6T -t filter -A INPUT -p tcp --dport 993 -j ACCEPT
    385. 

  385. #    $IP6T -t filter -A OUTPUT -p tcp --dport 993 -j ACCEPT
    386. 

  386. 

  387. #    # Mail 465
    388. 

  388. #    $IPT -t filter -A INPUT -p tcp --dport 465 -j ACCEPT
    389. 

  389. #    $IPT -t filter -A OUTPUT -p tcp --dport 465 -j ACCEPT
    390. 

  390. 

  391. #    $IP6T -t filter -A INPUT -p tcp --dport 465 -j ACCEPT
    392. 

  392. #    $IP6T -t filter -A OUTPUT -p tcp --dport 465 -j ACCEPT
    393. 

  393. 

  394. 

  395.     #
    396. 

  396.     echo "firewall started [OK]"
    397. 

  397. }
    398. 

  398. 

  399. # fonction qui arrête le firewall
    400. 

  400. do_stop() {
    401. 

  401. 

  402.     # Efface toutes les règles
    403. 

  403.     $IPT -t filter -F
    404. 

  404.     $IPT -t filter -X
    405. 

  405.     $IPT -t nat -F
    406. 

  406.     $IPT -t nat -X
    407. 

  407.     $IPT -t mangle -F
    408. 

  408.     $IPT -t mangle -X
    409. 

  409.     #
    410. 

  410.     $IP6T -t filter -F
    411. 

  411.     $IP6T -t filter -X
    412. 

  412.     #$IP6T -t nat -F
    413. 

  413.     #$IP6T -t nat -X
    414. 

  414.     $IP6T -t mangle -F
    415. 

  415.     $IP6T -t mangle -X
    416. 

  416. 

  417.     # remet la stratégie
    418. 

  418.     $IPT -t filter -P INPUT ACCEPT
    419. 

  419.     $IPT -t filter -P OUTPUT ACCEPT
    420. 

  420.     $IPT -t filter -P FORWARD ACCEPT
    421. 

  421.     #
    422. 

  422.     $IP6T -t filter -P INPUT ACCEPT
    423. 

  423.     $IP6T -t filter -P OUTPUT ACCEPT
    424. 

  424.     $IP6T -t filter -P FORWARD ACCEPT
    425. 

  425. 

  426.     #
    427. 

  427.     echo "firewall stopped [OK]"
    428. 

  428. }
    429. 

  429. 

  430. # fonction status firewall
    431. 

  431. do_status() {
    432. 

  432. 

  433.     # affiche les règles en cours
    434. 

  434.     clear
    435. 

  435.     echo Status IPV4
    436. 

  436.     echo --
    437. 

  437.     $IPT -L -n -v
    438. 

  438.     echo
    439. 

  439.     echo --
    440. 

  440.     echo
    441. 

  441.     echo status IPV6
    442. 

  442.     echo --
    443. 

  443.     $IP6T -L -n -v
    444. 

  444.     echo
    445. 

  445. }
    446. 

  446. 

  447. case "$1" in
    448. 

  448.     start)
    449. 

  449.         do_start
    450. 

  450.         # quitte sans erreur
    451. 

  451.         exit 0
    452. 

  452.     ;;
    453. 

  453. 

  454.     stop)
    455. 

  455.         do_stop
    456. 

  456.         # quitte sans erreur
    457. 

  457.         exit 0
    458. 

  458.     ;;
    459. 

  459. 

  460.     restart)
    461. 

  461.         do_stop
    462. 

  462.         do_start
    463. 

  463.         # quitte sans erreur
    464. 

  464.         exit 0
    465. 

  465.     ;;
    466. 

  466. 

  467.     status)
    468. 

  468.         do_status
    469. 

  469.         # quitte sans erreurs
    470. 

  470.         exit 0
    471. 

  471.     ;;
    472. 

  472. 

  473.     *)
    474. 

  474.         # Si on ne tape ni "start" ni "stop"... on affiche une erreur
    475. 

  475.         echo "Usage: /etc/init.d/firewall {start|stop|restart|status}"
    476. 

  476.         # quitte le script avec un etat "en erreur"
    477. 

  477.         exit 1
    478. 

  478.     ;;
    479. 

  479. 

  480. esac
    481. 

  481. </code></pre>
    482. 

  482. <p>Explications:</p>
    483. 

  483. <p>Création de 4 chaînes pour faciliter les opérations:</p>
    484. 

  484. <pre><code># iptables -N TCP
    485. 

  485. # iptables -N UDP
    486. 

  486. 

  487. # ip6tables -N TCP
    488. 

  488. # ip6tables -N UDP
    489. 

  489. </code></pre>
    490. 

  490. <p>On est sur un serveur, pas un routeur, donc, on interdit la règle FORWARD:</p>
    491. 

  491. <pre><code># iptables -P FORWARD DROP
    492. 

  492. 

  493. # ip6tables -P FORWARD DROP
    494. 

  494. </code></pre>
    495. 

  495. <p>On autorise tout en sortie:</p>
    496. 

  496. <pre><code># iptables -P OUTPUT ACCEPT
    497. 

  497. 

  498. # ip6tables -P OUTPUT ACCEPT
    499. 

  499. </code></pre>
    500. 

  500. <p>Nous allons accepter les connexions déjà établies:</p>
    501. 

  501. <pre><code># iptables -A INPUT -m conntrack --ctstate ESTABLISHED -j ACCEPT
    502. 

  502. 

  503. # ip6tables -A INPUT -m conntrack --ctstate ESTABLISHED -j ACCEPT
    504. 

  504. </code></pre>
    505. 

  505. <p>En entrée, on commence par interdire tout; on ouvrira les ports suivantles besoins:</p>
    506. 

  506. <pre><code># iptables -P INPUT DROP
    507. 

  507. 

  508. # ip6tables -P INPUT DROP
    509. 

  509. </code></pre>
    510. 

  510. <p>Autorisation des connexions <strong>loopback</strong> (internes):</p>
    511. 

  511. <pre><code># iptables -A INPUT -i lo -j ACCEPT
    512. 

  512. 

  513. # ip6tables -A INPUT -i lo -j ACCEPT
    514. 

  514. </code></pre>
    515. 

  515. <p>Nous allons interdire les paquets marqués <strong>INVALID</strong>; il faudra auparavant accepter les paquets <strong>ICMPv6 Neighbor Discovery</strong> qui apparaissent invalides:</p>
    516. 

  516. <pre><code>#iptables -A INPUT -p 41 -j ACCEPT
    517. 

  517. 

  518. #ip6tables -A INPUT -p 41 -j ACCEPT
    519. 

  519. 

  520. # iptables -A INPUT -m conntrack --ctstate INVALID -j DROP
    521. 

  521. 

  522. # ip6tables -A INPUT -m conntrack --ctstate INVALID -j DROP
    523. 

  523. </code></pre>
    524. 

  524. <p>Pour IPV6, il faut rajouter la règle suivante qui permet de faire passer le protocol de découverte des ordinateurs sur le même réseau:</p>
    525. 

  525. <pre><code># ip6tables -A INPUT -s fe80::/10 -p ipv6-icmp -j ACCEPT
    526. 

  526. </code></pre>
    527. 

  527. <p>L'adresse fe80:: est l'adresse ipv6 valable uniquement sur le réseau local.</p>
    528. 

  528. <p>On accepte les paquets <strong>ping</strong>:</p>
    529. 

  529. <pre><code># iptables -A INPUT -p icmp --icmp-type 8 -m conntrack --ctstate NEW -j ACCEPT
    530. 

  530. 

  531. # ip6tables -A INPUT -p icmpv6 -m conntrack --ctstate NEW -j ACCEPT
    532. 

  532. </code></pre>
    533. 

  533. <p>On peut maintenant accepter les nouveaux paquets entrants. Les connexions entrantes doivent commencer avec un paquet <strong>SYNC</strong>. Elles seront rejetées si ce n'est pas le cas:</p>
    534. 

  534. <pre><code># iptables -A INPUT -p udp -m conntrack --ctstate NEW -j UDP
    535. 

  535. # iptables -A INPUT -p tcp --syn -m conntrack --ctstate NEW -j TCP
    536. 

  536. 

  537. # ip6tables -A INPUT -p udp -m conntrack --ctstate NEW -j UDP
    538. 

  538. # ip6tables -A INPUT -p tcp --syn -m conntrack --ctstate NEW -j TCP
    539. 

  539. </code></pre>
    540. 

  540. <p>On rejette les paquets du protocole <strong>icmp unreachable</strong></p>
    541. 

  541. <pre><code># iptables -A INPUT -j REJECT --reject-with icmp-proto-unreachable
    542. 

  542. 

  543. # iptables -A INPUT -p tcp -j REJECT --reject-with tcp-reset
    544. 

  544. 

  545. # ip6tables -A INPUT -p ipv6-icmp --icmpv6-type 128 -m conntrack --ctstate NEW -j ACCEPT
    546. 

  546. 

  547. # ip6tables -A INPUT -p tcp -j REJECT --reject-with tcp-reset
    548. 

  548. </code></pre>
    549. 

  549. <p>Pour IPV6, nous pouvons rajouter un filtrage pour le "kernel reverse path filter":</p>
    550. 

  550. <pre><code># ip6tables -t raw -A PREROUTING -m rpfilter -j ACCEPT
    551. 

  551. # ip6tables -t raw -A PREROUTING -j DROP
    552. 

  552. </code></pre>
    553. 

  553. <p>On accepte les paquets <strong>ssh</strong> sur le port 22 (changez ce port si vous avez configuré vos ports différemment)</p>
    554. 

  554. <pre><code># iptables -A TCP -p tcp --dport 22 -j ACCEPT
    555. 

  555. 

  556. # ip6tables -A TCP -p tcp --dport 22 -j ACCEPT
    557. 

  557. </code></pre>
    558. 

  558. <p>Règles pour le DNS et NTP (ports 53 et 41)</p>
    559. 

  559. <pre><code># iptables -A INPUT  -p udp -m state --state ESTABLISHED --sport 53 -j ACCEPT
    560. 

  560. # iptables -A OUTPUT  -p udp -m state --state NEW,ESTABLISHED --dport 53 -j ACCEPT
    561. 

  561. # iptables -A INPUT  -p tcp -m state --state ESTABLISHED --sport 53 -j ACCEPT
    562. 

  562. # iptables -A OUTPUT  -p tcp -m state --state NEW,ESTABLISHED --dport 53 -j ACCEPT
    563. 

  563. 

  564. 

  565. # iptables -A INPUT  -p udp -m state --state ESTABLISHED --sport 123 -j ACCEPT
    566. 

  566. # iptables -A OUTPUT -p udp -m state --state NEW,ESTABLISHED --dport 123 -j ACCEPT
    567. 

  567. </code></pre>
    568. 

  568. <p>La même chose pour IPV6:</p>
    569. 

  569. <pre><code># ip6tables -A INPUT  -p udp -m state --state ESTABLISHED --sport 53 -j ACCEPT
    570. 

  570. # ip6tables -A OUTPUT  -p udp -m state --state NEW,ESTABLISHED --dport 53 -j ACCEPT
    571. 

  571. # ip6tables -A INPUT  -p tcp -m state --state ESTABLISHED --sport 53 -j ACCEPT
    572. 

  572. # ip6tables -A OUTPUT  -p tcp -m state --state NEW,ESTABLISHED --dport 53 -j ACCEPT
    573. 

  573. 

  574. 

  575. # ip6tables -A INPUT  -p udp -m state --state ESTABLISHED --sport 123 -j ACCEPT
    576. 

  576. # ip6tables -A OUTPUT -p udp -m state --state NEW,ESTABLISHED --dport 123 -j ACCEPT
    577. 

  577. </code></pre>
    578. 

  578. <p>Nous pouvons maintenant lister nos règles. Nous allons commencer par IPV4:</p>
    579. 

  579. <p>Listons les règles actuelles, ensuite ajoutons 2 règles et sauvons celles-ci, puis listons le résultat. Vous pouvez faire de même pour toutes les règles.</p>
    580. 

  580. <pre><code>root@atom:/etc/iptables# cat rules.v4
    581. 

  581. # Generated by iptables-save v1.6.0 on Sun Feb 11 14:27:32 2018
    582. 

  582. *filter
    583. 

  583. :INPUT ACCEPT [491:50774]
    584. 

  584. :FORWARD ACCEPT [0:0]
    585. 

  585. :OUTPUT ACCEPT [267:23983]
    586. 

  586. COMMIT
    587. 

  587. # Completed on Sun Feb 11 14:27:32 2018
    588. 

  588. 

  589. root@atom:/etc/iptables# iptables -N TCP
    590. 

  590. root@atom:/etc/iptables# iptables -N UDP
    591. 

  591. 

  592. root@atom:/etc/iptables# service netfilter-persistent save
    593. 

  593. [....] Saving netfilter rules...run-parts: executing /usr/share/netfilter-persistent/plugins.d/15-ip4tables save
    594. 

  594. run-parts: executing /usr/share/netfilter-persistent/plugins.d/25-ip6tables save
    595. 

  595. done.
    596. 

  596. 

  597. root@atom:/etc/iptables# cat rules.v4
    598. 

  598. # Generated by iptables-save v1.6.0 on Sun Feb 11 14:28:24 2018
    599. 

  599. *filter
    600. 

  600. :INPUT ACCEPT [13:888]
    601. 

  601. :FORWARD ACCEPT [0:0]
    602. 

  602. :OUTPUT ACCEPT [8:944]
    603. 

  603. :TCP - [0:0]
    604. 

  604. :UDP - [0:0]
    605. 

  605. COMMIT
    606. 

  606. # Completed on Sun Feb 11 14:28:24 2018
    607. 

  607. </code></pre>
    608. 

  608. <p>Ne pas oublier de valider la règle d'acceptation des connexions existantes AVANT d'entrer la règle INPUT DROP sinon, vous perdez toute connexion avec votre serveur :).</p>
    609. 

  609. <p>Il suffit de répéter pour les autres règles puis pour IPV6.</p>
    610. 

  610. <p>Nous obtenons donc les règles suivantes:</p>
    611. 

  611. <p>Pour IPV4:</p>
    612. 

  612. <pre><code>root@atom:/etc/iptables# cat rules.v4
    613. 

  613. # Generated by iptables-save v1.6.0 on Sun Feb 11 15:33:41 2018
    614. 

  614. *filter
    615. 

  615. :INPUT DROP [0:0]
    616. 

  616. :FORWARD DROP [0:0]
    617. 

  617. :OUTPUT ACCEPT [105:27592]
    618. 

  618. :TCP - [0:0]
    619. 

  619. :UDP - [0:0]
    620. 

  620. -A INPUT -m conntrack --ctstate ESTABLISHED -j ACCEPT
    621. 

  621. -A INPUT -i lo -j ACCEPT
    622. 

  622. -A INPUT -m conntrack --ctstate INVALID -j DROP
    623. 

  623. -A INPUT -p icmp -m icmp --icmp-type 8 -m conntrack --ctstate NEW -j ACCEPT
    624. 

  624. -A INPUT -p udp -m conntrack --ctstate NEW -j UDP
    625. 

  625. -A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -m conntrack --ctstate NEW -j TCP
    626. 

  626. -A INPUT -j REJECT --reject-with icmp-proto-unreachable
    627. 

  627. -A INPUT -p tcp -j REJECT --reject-with tcp-reset
    628. 

  628. -A TCP -p tcp -m tcp --dport 22 -j ACCEPT
    629. 

  629. COMMIT
    630. 

  630. # Completed on Sun Feb 11 15:33:41 2018
    631. 

  631. root@atom:/etc/iptables#
    632. 

  632. </code></pre>
    633. 

  633. <p>Pour IPV6:</p>
    634. 

  634. <pre><code>root@atom:/etc/iptables# cat rules.v6
    635. 

  635. # Generated by ip6tables-save v1.6.0 on Sun Feb 11 15:33:41 2018
    636. 

  636. *raw
    637. 

  637. :PREROUTING ACCEPT [0:0]
    638. 

  638. :OUTPUT ACCEPT [0:0]
    639. 

  639. -A PREROUTING -m rpfilter -j ACCEPT
    640. 

  640. -A PREROUTING -j DROP
    641. 

  641. COMMIT
    642. 

  642. # Completed on Sun Feb 11 15:33:41 2018
    643. 

  643. # Generated by ip6tables-save v1.6.0 on Sun Feb 11 15:33:41 2018
    644. 

  644. *filter
    645. 

  645. :INPUT DROP [1:144]
    646. 

  646. :FORWARD DROP [0:0]
    647. 

  647. :OUTPUT ACCEPT [0:0]
    648. 

  648. :TCP - [0:0]
    649. 

  649. :UDP - [0:0]
    650. 

  650. -A INPUT -m conntrack --ctstate ESTABLISHED -j ACCEPT
    651. 

  651. -A INPUT -i lo -j ACCEPT
    652. 

  652. -A INPUT -p ipv6 -j ACCEPT
    653. 

  653. -A INPUT -m conntrack --ctstate INVALID -j DROP
    654. 

  654. -A INPUT -p udp -m conntrack --ctstate NEW -j UDP
    655. 

  655. -A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -m conntrack --ctstate NEW -j TCP
    656. 

  656. -A INPUT -p tcp -j REJECT --reject-with tcp-reset
    657. 

  657. -A INPUT -p ipv6-icmp -m icmp6 --icmpv6-type 128 -m conntrack --ctstate NEW -j ACCEPT
    658. 

  658. -A OUTPUT -p ipv6-icmp -j ACCEPT
    659. 

  659. -A TCP -p tcp -m tcp --dport 22 -j ACCEPT
    660. 

  660. COMMIT
    661. 

  661. # Completed on Sun Feb 11 15:33:41 2018
    662. 

  662. root@atom:/etc/iptables#
    663. 

  663. </code></pre>
    664. 

  664. <h2 id="test-dns-et-du-serveur-de-temps-avec-iptables-actif">Test DNS et du serveur de temps (avec iptables actif)</h2>
    665. 

  665. <pre><code>root@atom:/home/ericadmin# nslookup www.gnome.org
    666. 

  666. Server:     192.168.111.254
    667. 

  667. Address:    192.168.111.254#53
    668. 

  668. 

  669. Non-authoritative answer:
    670. 

  670. www.gnome.org   canonical name = proxy.gnome.org.
    671. 

  671. Name:   proxy.gnome.org
    672. 

  672. Address: 209.132.180.168
    673. 

  673. Name:   proxy.gnome.org
    674. 

  674. Address: 209.132.180.180
    675. 

  675. 

  676. root@atom:/home/ericadmin# timedatectl status
    677. 

  677.       Local time: dim. 2018-04-01 12:26:57 CEST
    678. 

  678.   Universal time: dim. 2018-04-01 10:26:57 UTC
    679. 

  679.         RTC time: dim. 2018-04-01 10:26:58
    680. 

  680.        Time zone: Europe/Paris (CEST, +0200)
    681. 

  681.  Network time on: yes
    682. 

  682. NTP synchronized: yes
    683. 

  683.  RTC in local TZ: no
    684. 

  684. </code></pre>
    685. 

  685. <p>Ça fonctionne.</p>
    686. 

  686. <p>Il faut re-tester la connectivité en IPV4 et IPV6</p>
    687. 

  687. <ol>
    688. 

  688. <li>Serveur -&gt; extérieur</li>
    689. 

  689. <li>Extérieur -&gt; serveur</li>
    690. 

  690. </ol>
    691. 

  691. <p>On peut utiliser l'adresse <strong>ipv6.google.com</strong> pour vérifier la connexion IPV6 en dehors du réseau local.</p>
    692. 

  692.               
    693. 

  693.             </div>
    694. 

  694.           </div>
    695. 

  695.           <footer>
    696. 

  696.   
    697. 

  697.     <div class="rst-footer-buttons" role="navigation" aria-label="footer navigation">
    698. 

  698.       
    699. 

  699.         <a href="../Installation-Fail2ban/" class="btn btn-neutral float-right" title="Contrer les attaques de brute-force avec fail2ban">Next <span class="icon icon-circle-arrow-right"></span></a>
    700. 

  700.       
    701. 

  701.       
    702. 

  702.         <a href="../Installation-Serveur-Temps/" class="btn btn-neutral" title="Installation d'un serveur de temps"><span class="icon icon-circle-arrow-left"></span> Previous</a>
    703. 

  703.       
    704. 

  704.     </div>
    705. 

  705.   
    706. 

  706. 

  707.   <hr/>
    708. 

  708. 

  709.   <div role="contentinfo">
    710. 

  710.     <!-- Copyright etc -->
    711. 

  711.     
    712. 

  712.   </div>
    713. 

  713. 

  714.   Built with <a href="https://www.mkdocs.org/">MkDocs</a> using a <a href="https://github.com/snide/sphinx_rtd_theme">theme</a> provided by <a href="https://readthedocs.org">Read the Docs</a>.
    715. 

  715. </footer>
    716. 

  716.       
    717. 

  717.         </div>
    718. 

  718.       </div>
    719. 

  719. 

  720.     </section>
    721. 

  721. 

  722.   </div>
    723. 

  723. 

  724.   <div class="rst-versions" role="note" aria-label="versions">
    725. 

  725.     <span class="rst-current-version" data-toggle="rst-current-version">
    726. 

  726.       
    727. 

  727.       
    728. 

  728.         <span><a href="../Installation-Serveur-Temps/" style="color: #fcfcfc;">&laquo; Previous</a></span>
    729. 

  729.       
    730. 

  730.       
    731. 

  731.         <span style="margin-left: 15px"><a href="../Installation-Fail2ban/" style="color: #fcfcfc">Next &raquo;</a></span>
    732. 

  732.       
    733. 

  733.     </span>
    734. 

  734. </div>
    735. 

  735.     <script>var base_url = '..';</script>
    736. 

  736.     <script src="../js/theme.js" defer></script>
    737. 

  737.       <script src="../search/main.js" defer></script>
    738. 

  738.     <script defer>
    739. 

  739.         window.onload = function () {
    740. 

  740.             SphinxRtdTheme.Navigation.enable(true);
    741. 

  741.         };
    742. 

  742.     </script>
    743. 

  743. 

  744. </body>
    745. 

  745. </html>
    746.