Home Explore Help
Sign In
eric
/
Yojik.net
1
0
Fork 0
Files Issues 0 Pull Requests 0 Wiki
Tree: 8b90efd5d3
Branches Tags
Yojik.net
/
site
/
Tutoriels
/
tutoraspi
/
Firewall
/
index.html

index.html 34 KB
History Raw

123456789101112131415161718192021222324252627282930313233343536373839404142434445464748495051525354555657585960616263646566676869707172737475767778798081828384858687888990919293949596979899100101102103104105106107108109110111112113114115116117118119120121122123124125126127128129130131132133134135136137138139140141142143144145146147148149150151152153154155156157158159160161162163164165166167168169170171172173174175176177178179180181182183184185186187188189190191192193194195196197198199200201202203204205206207208209210211212213214215216217218219220221222223224225226227228229230231232233234235236237238239240241242243244245246247248249250251252253254255256257258259260261262263264265266267268269270271272273274275276277278279280281282283284285286287288289290291292293294295296297298299300301302303304305306307308309310311312313314315316317318319320321322323324325326327328329330331332333334335336337338339340341342343344345346347348349350351352353354355356357358359360361362363364365366367368369370371372373374375376377378379380381382383384385386387388389390391392393394395396397398399400401402403404405406407408409410411412413414415416417418419420421422423424425426427428429430431432433434435436437438439440441442443444445446447448449450451452453454455456457458459460461462463464465466467468469470471472473474475476477478479480481482483484485486487488489490491492493494495496497498499500501502503504505506507508509510511512513514515516517518519520521522523524525526527528529530531532533534535536537538539540541542543544545546547548549550551552553554555556557558559560561562563564565566567568569570571572573574575576577578579580581582583584585586587588589590591592593594595596597598599600601602603604605606607608609610611612613614615616617618619620621622623624625626627628629630631632633634635636637638639640641642643644645646647648649650651652653654655656657658659660661662663664665666667668669670 
  1. <!DOCTYPE html>
    2. 

  2. <!--[if IE 8]><html class="no-js lt-ie9" lang="en" > <![endif]-->
    3. 

  3. <!--[if gt IE 8]><!--> <html class="no-js" lang="en" > <!--<![endif]-->
    4. 

  4. <head>
    5. 

  5.   <meta charset="utf-8">
    6. 

  6.   <meta http-equiv="X-UA-Compatible" content="IE=edge">
    7. 

  7.   <meta name="viewport" content="width=device-width, initial-scale=1.0">
    8. 

  8.   
    9. 

  9.   
    10. 

  10.   
    11. 

  11.   <link rel="shortcut icon" href="../../../img/favicon.ico">
    12. 

  12.   <title>Installation d'un pare-feux - Les Tutoriels du Yojik</title>
    13. 

  13.   <link rel="stylesheet" href="../../../css/theme.css" />
    14. 

  14.   <link rel="stylesheet" href="../../../css/theme_extra.css" />
    15. 

  15.   <link rel="stylesheet" href="https://cdnjs.cloudflare.com/ajax/libs/highlight.js/9.12.0/styles/github.min.css" />
    16. 

  16.   
    17. 

  17.   <script>
    18. 

  18.     // Current page data
    19. 

  19.     var mkdocs_page_name = "Installation d'un pare-feux";
    20. 

  20.     var mkdocs_page_input_path = "Tutoriels/tutoraspi/Firewall.md";
    21. 

  21.     var mkdocs_page_url = null;
    22. 

  22.   </script>
    23. 

  23.   
    24. 

  24.   <script src="../../../js/jquery-2.1.1.min.js" defer></script>
    25. 

  25.   <script src="../../../js/modernizr-2.8.3.min.js" defer></script>
    26. 

  26.   <script src="https://cdnjs.cloudflare.com/ajax/libs/highlight.js/9.12.0/highlight.min.js"></script>
    27. 

  27.   <script>hljs.initHighlightingOnLoad();</script> 
    28. 

  28.   
    29. 

  29. </head>
    30. 

  30. 

  31. <body class="wy-body-for-nav" role="document">
    32. 

  32. 

  33.   <div class="wy-grid-for-nav">
    34. 

  34. 

  35.     
    36. 

  36.     <nav data-toggle="wy-nav-shift" class="wy-nav-side stickynav">
    37. 

  37.     <div class="wy-side-scroll">
    38. 

  38.       <div class="wy-side-nav-search">
    39. 

  39.         <a href="../../.." class="icon icon-home"> Les Tutoriels du Yojik</a>
    40. 

  40.         <div role="search">
    41. 

  41.   <form id ="rtd-search-form" class="wy-form" action="../../../search.html" method="get">
    42. 

  42.     <input type="text" name="q" placeholder="Search docs" title="Type search term here" />
    43. 

  43.   </form>
    44. 

  44. </div>
    45. 

  45.       </div>
    46. 

  46. 

  47.       <div class="wy-menu wy-menu-vertical" data-spy="affix" role="navigation" aria-label="main navigation">
    48. 

  48.                 <p class="caption"><span class="caption-text">Home</span></p>
    49. 

  49.                 <ul>
    50. 

  50.                     <li class="toctree-l1"><a class="reference internal" href="../../..">Page d'accueil</a>
    51. 

  51.                     </li>
    52. 

  52.                 </ul>
    53. 

  53.                 <p class="caption"><span class="caption-text">Tutoriels</span></p>
    54. 

  54.                 <ul class="current">
    55. 

  55.                     <li class="toctree-l1"><a class="reference internal" href="../../tutos/">Introduction</a>
    56. 

  56.                     </li>
    57. 

  57.                     <li class="toctree-l1"><a class="reference internal" href="#">Installation d'un serveur sécurisé, version Debian/Stretch (obsolète)</a>
    58. 

  58.     <ul>
    59. 

  59.                 <li class="toctree-l2"><a class="reference internal" href="../../tutostretch/tutostretch/">Présentation</a>
    60. 

  60.                 </li>
    61. 

  61.                 <li class="toctree-l2"><a class="reference internal" href="#">Installation</a>
    62. 

  62.     <ul>
    63. 

  63.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Installation-de-base/">Installation du système de base</a>
    64. 

  64.                 </li>
    65. 

  65.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/ovh/">Démarrage sur serveur OVH</a>
    66. 

  66.                 </li>
    67. 

  67.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Premi%C3%A8re-Etape-S%C3%A9curisation/">Première étapes de sécurisation du serveur</a>
    68. 

  68.                 </li>
    69. 

  69.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Configuration-R%C3%A9seau/">Configuration du réseau</a>
    70. 

  70.                 </li>
    71. 

  71.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Installation-Serveur-Temps/">Installation d'un serveur de temps</a>
    72. 

  72.                 </li>
    73. 

  73.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Installation-Parre-Feu/">Installation d'un pare-feu</a>
    74. 

  74.                 </li>
    75. 

  75.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Installation-Fail2ban/">Contrer les attaques de brute-force avec fail2ban</a>
    76. 

  76.                 </li>
    77. 

  77.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Installation-Serveur-Courrier-Basique/">Installation d'un serveur de courrier basique</a>
    78. 

  78.                 </li>
    79. 

  79.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Installation-Serveur-DNS/">Installation du serveur DNS</a>
    80. 

  80.                 </li>
    81. 

  81.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Installation-Serveur-Web/">Installation d'un serveur web</a>
    82. 

  82.                 </li>
    83. 

  83.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Installation-Dovecot-Authentification/">Installation de dovecot et de l'authentification</a>
    84. 

  84.                 </li>
    85. 

  85.                 <li class="toctree-l3"><a class="" href="../../tutostretch/Installation-Certificats-Letsencrypt.md)">Installation des certificats letsencrypt</a>
    86. 

  86.                 </li>
    87. 

  87.                 <li class="toctree-l3"><a class="" href="../../tutostretch/courrier-SPF-DKIM-OPENDMARC.md">Ajout des enregistrements **spf**, **DKIM**, **DMARC** au fichier de zone DNS</a>
    88. 

  88.                 </li>
    89. 

  89.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Courrier-Comptes-Virtuels/">Ajout des comptes émail virtuels</a>
    90. 

  90.                 </li>
    91. 

  91.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Surveillance-Serveur/">Installation de programmes de surveillance du serveur</a>
    92. 

  92.                 </li>
    93. 

  93.                 <li class="toctree-l3"><a class="reference internal" href="../../tutostretch/Installation-Webmail/">Installation d'un webmail (rainloop)</a>
    94. 

  94.                 </li>
    95. 

  95.                 <li class="toctree-l3"><a class="" href="../../tutostretch/Sécurisation-Serveur-Web">Sécurisation d'un serveur WEB</a>
    96. 

  96.                 </li>
    97. 

  97.     </ul>
    98. 

  98.                 </li>
    99. 

  99.     </ul>
    100. 

  100.                     </li>
    101. 

  101.                     <li class="toctree-l1"><a class="reference internal" href="#">Installation d'un serveur sécurisé, version Debian/Buster (en cours d'écriture)</a>
    102. 

  102.     <ul>
    103. 

  103.                 <li class="toctree-l2"><a class="reference internal" href="../../tutobuster/1-tutobuster/">Présentation</a>
    104. 

  104.                 </li>
    105. 

  105.                 <li class="toctree-l2"><a class="reference internal" href="../../tutobuster/2-Installation-de-base/">Installation de base</a>
    106. 

  106.                 </li>
    107. 

  107.                 <li class="toctree-l2"><a class="reference internal" href="../../tutobuster/3-ovh/">Démarrage sur serveur OVH</a>
    108. 

  108.                 </li>
    109. 

  109.                 <li class="toctree-l2"><a class="reference internal" href="../../tutobuster/4-Plan/">Plan d'ensemble</a>
    110. 

  110.                 </li>
    111. 

  111.                 <li class="toctree-l2"><a class="reference internal" href="../../tutobuster/5-Premi%C3%A8re-Etape-S%C3%A9curisation/">Premières étapes de sécurisation du serveur</a>
    112. 

  112.                 </li>
    113. 

  113.     </ul>
    114. 

  114.                     </li>
    115. 

  115.                     <li class="toctree-l1 current"><a class="reference internal current" href="#">Installation d'un serveur sécurisé, version Debian/Buster sur RaspberryPI</a>
    116. 

  116.     <ul class="current">
    117. 

  117.                 <li class="toctree-l2"><a class="reference internal" href="../R%C3%A9sum%C3%A9/">Résumé</a>
    118. 

  118.                 </li>
    119. 

  119.                 <li class="toctree-l2"><a class="reference internal" href="../tutoraspi/">Présentation</a>
    120. 

  120.                 </li>
    121. 

  121.                 <li class="toctree-l2"><a class="reference internal" href="../Installation-de-base/">Installation de base</a>
    122. 

  122.                 </li>
    123. 

  123.                 <li class="toctree-l2"><a class="reference internal" href="../Premier-d%C3%A9marrage/">Premier démarrage</a>
    124. 

  124.                 </li>
    125. 

  125.                 <li class="toctree-l2"><a class="reference internal" href="../Etat-des-lieux/">État des lieux</a>
    126. 

  126.                 </li>
    127. 

  127.                 <li class="toctree-l2"><a class="reference internal" href="../S%C3%A9curisation-SSH/">Sécurisation SSH</a>
    128. 

  128.                 </li>
    129. 

  129.                 <li class="toctree-l2"><a class="reference internal" href="../R%C3%A9seau/">Réseau (des IPs fixes)</a>
    130. 

  130.                 </li>
    131. 

  131.                 <li class="toctree-l2"><a class="reference internal" href="../Knot/">Installation de Knot-resolver</a>
    132. 

  132.                 </li>
    133. 

  133.                 <li class="toctree-l2 current"><a class="reference internal current" href="./">Installation d'un pare-feux</a>
    134. 

  134.     <ul class="current">
    135. 

  135.     <li class="toctree-l3"><a class="reference internal" href="#installation-de-iptables-et-de-firewalld">Installation de IPtables et de Firewalld</a>
    136. 

  136.     </li>
    137. 

  137.     <li class="toctree-l3"><a class="reference internal" href="#test">Test</a>
    138. 

  138.         <ul>
    139. 

  139.     <li class="toctree-l4"><a class="reference internal" href="#la-notion-de-zones">La notion de zones</a>
    140. 

  140.     </li>
    141. 

  141.     <li class="toctree-l4"><a class="reference internal" href="#les-differentes-zones">Les différentes zones</a>
    142. 

  142.     </li>
    143. 

  143.     <li class="toctree-l4"><a class="reference internal" href="#les-fichiers-de-configuration">Les fichiers de configuration</a>
    144. 

  144.     </li>
    145. 

  145.     <li class="toctree-l4"><a class="reference internal" href="#quelques-commandes">Quelques commandes</a>
    146. 

  146.     </li>
    147. 

  147.     <li class="toctree-l4"><a class="reference internal" href="#premiere-etape-de-configuration">Première étape de configuration</a>
    148. 

  148.     </li>
    149. 

  149.     <li class="toctree-l4"><a class="reference internal" href="#les-services">Les services</a>
    150. 

  150.     </li>
    151. 

  151.     <li class="toctree-l4"><a class="reference internal" href="#etat-des-lieux">État des lieux</a>
    152. 

  152.     </li>
    153. 

  153.         </ul>
    154. 

  154.     </li>
    155. 

  155.     </ul>
    156. 

  156.                 </li>
    157. 

  157.                 <li class="toctree-l2"><a class="reference internal" href="../Fail2ban/">Contrer les attaques de force brute</a>
    158. 

  158.                 </li>
    159. 

  159.                 <li class="toctree-l2"><a class="reference internal" href="../Logwatch/">Surveillance du serveur</a>
    160. 

  160.                 </li>
    161. 

  161.                 <li class="toctree-l2"><a class="reference internal" href="../Installation-courrier-basique/">Installation d'un serveur de courriers basique</a>
    162. 

  162.                 </li>
    163. 

  163.                 <li class="toctree-l2"><a class="reference internal" href="../Exemple-d-utilisation-serveur-Web/">Exemple d'utilisation avec un serveur Web</a>
    164. 

  164.                 </li>
    165. 

  165.                 <li class="toctree-l2"><a class="reference internal" href="../Annexe/">Annexe</a>
    166. 

  166.                 </li>
    167. 

  167.     </ul>
    168. 

  168.                     </li>
    169. 

  169.                     <li class="toctree-l1"><a class="reference internal" href="#">Domotique</a>
    170. 

  170.     <ul>
    171. 

  171.                 <li class="toctree-l2"><a class="reference internal" href="../../Domotique/Introduction/">Introduction</a>
    172. 

  172.                 </li>
    173. 

  173.                 <li class="toctree-l2"><a class="reference internal" href="../../Domotique/Le-mat%C3%A9riel/">Le matériel</a>
    174. 

  174.                 </li>
    175. 

  175.     </ul>
    176. 

  176.                     </li>
    177. 

  177.                     <li class="toctree-l1"><a class="reference internal" href="#">Tutoriel Anki</a>
    178. 

  178.     <ul>
    179. 

  179.                 <li class="toctree-l2"><a class="reference internal" href="../../tutoanki/Introduction/">Introduction</a>
    180. 

  180.                 </li>
    181. 

  181.                 <li class="toctree-l2"><a class="reference internal" href="../../tutoanki/Installation/">Installation</a>
    182. 

  182.                 </li>
    183. 

  183.                 <li class="toctree-l2"><a class="reference internal" href="../../tutoanki/Les-fiches/">Les fiches</a>
    184. 

  184.                 </li>
    185. 

  185.                 <li class="toctree-l2"><a class="reference internal" href="../../tutoanki/Premi%C3%A8re-utilisation/">Premières utilisations et impressions</a>
    186. 

  186.                 </li>
    187. 

  187.                 <li class="toctree-l2"><a class="reference internal" href="../../tutoanki/Personnalisation/">Personnalisation</a>
    188. 

  188.                 </li>
    189. 

  189.                 <li class="toctree-l2"><a class="reference internal" href="../../tutoanki/Cartes/">Les cartes</a>
    190. 

  190.                 </li>
    191. 

  191.     </ul>
    192. 

  192.                     </li>
    193. 

  193.                 </ul>
    194. 

  194.       </div>
    195. 

  195.     </div>
    196. 

  196.     </nav>
    197. 

  197. 

  198.     <section data-toggle="wy-nav-shift" class="wy-nav-content-wrap">
    199. 

  199. 

  200.       
    201. 

  201.       <nav class="wy-nav-top" role="navigation" aria-label="top navigation">
    202. 

  202.         <i data-toggle="wy-nav-top" class="fa fa-bars"></i>
    203. 

  203.         <a href="../../..">Les Tutoriels du Yojik</a>
    204. 

  204.       </nav>
    205. 

  205. 

  206.       
    207. 

  207.       <div class="wy-nav-content">
    208. 

  208.         <div class="rst-content">
    209. 

  209.           <div role="navigation" aria-label="breadcrumbs navigation">
    210. 

  210.   <ul class="wy-breadcrumbs">
    211. 

  211.     <li><a href="../../..">Docs</a> &raquo;</li>
    212. 

  212.     
    213. 

  213.       
    214. 

  214.         
    215. 

  215.           <li>Installation d'un serveur sécurisé, version Debian/Buster sur RaspberryPI &raquo;</li>
    216. 

  216.         
    217. 

  217.       
    218. 

  218.         
    219. 

  219.           <li>Tutoriels &raquo;</li>
    220. 

  220.         
    221. 

  221.       
    222. 

  222.     
    223. 

  223.     <li>Installation d'un pare-feux</li>
    224. 

  224.     <li class="wy-breadcrumbs-aside">
    225. 

  225.       
    226. 

  226.     </li>
    227. 

  227.   </ul>
    228. 

  228.   
    229. 

  229.   <hr/>
    230. 

  230. </div>
    231. 

  231.           <div role="main">
    232. 

  232.             <div class="section">
    233. 

  233.               
    234. 

  234.                 <h1 id="le-pare-feu">Le pare-feu</h1>
    235. 

  235. <p>Il nous faut installer un pare-feu sur notre raspi pour éviter les intrusions.</p>
    236. 

  236. <p>Nous allons limiter les machines susceptibles de se connecter à celles de notre réseau local, et également limiter les ports accessibles sur notre réseau.</p>
    237. 

  237. <p>Nous allons utiliser IPtables et Firewalld.</p>
    238. 

  238. <p>J'aurai préféré utiliser <strong>nftables</strong> qui est le successeur de <strong>iptables</strong>, mais j'ai eu quelques soucis à l'utilisation. Peut-être est-ce pour ça que la distribution RaspiOS a configuré <strong>firewalld</strong> avec <strong>IPtables</strong>...</p>
    239. 

  239. <h2 id="installation-de-iptables-et-de-firewalld">Installation de IPtables et de Firewalld</h2>
    240. 

  240. <pre><code>pi@raspi:~ $ sudo apt install firewalld
    241. 

  241. </code></pre>
    242. 

  242. <p>IPtables est installé par défaut : rien à faire ici.</p>
    243. 

  243. <h2 id="test">Test</h2>
    244. 

  244. <p>Si on tape  : </p>
    245. 

  245. <pre><code>pi@raspberrypi:~ $ sudo iptables -L
    246. 

  246. Chain INPUT (policy ACCEPT)
    247. 

  247. target     prot opt source               destination
    248. 

  248. 

  249. Chain FORWARD (policy ACCEPT)
    250. 

  250. target     prot opt source               destination
    251. 

  251. 

  252. Chain OUTPUT (policy ACCEPT)
    253. 

  253. target     prot opt source               destination
    254. 

  254. pi@raspberrypi:~ $
    255. 

  255. </code></pre>
    256. 

  256. <p>On voit que c'est iptables qui a été chosi par RaspiOS.</p>
    257. 

  257. <p>D'abord, il faut comprendre comment fonctionne Firewalld. Je me suis basé sur les sites suivant :</p>
    258. 

  258. <ul>
    259. 

  259. <li><a href="https://lwn.net/Articles/484506/">lw.net</a></li>
    260. 

  260. <li><a href="https://www.certdepot.net/rhel7-get-started-firewalld/">How to get started with Firewalld</a></li>
    261. 

  261. <li><a href="https://www.tutorialspoint.com/network_security/network_security_firewalls.htm">tutorial points</a></li>
    262. 

  262. <li><a href="https://firewalld.org/documentation/zone/predefined-zones.html">la documentation officielle</a></li>
    263. 

  263. <li><a href="https://linuxconfig.org/introduction-to-firewalld-and-firewall-cmd-command-on-linux">introduction-to-firewalld</a></li>
    264. 

  264. <li><a href="https://doc.fedora-fr.org/wiki/Parefeu_-_firewall_-_FirewallD">La documentation de Fedora</a></li>
    265. 

  265. <li><a href="https://www.it-connect.fr/centos-7-utilisation-et-configuration-de-firewalld/">it connect</a></li>
    266. 

  266. </ul>
    267. 

  267. <p>La documentation de Fedora est la plus compréhensible.</p>
    268. 

  268. <h3 id="la-notion-de-zones">La notion de zones</h3>
    269. 

  269. <p>Firewalld définit 9 zones qui sont en fait des règles de pare-feux par défaut. Une zone va par exemple bloquer toute entrée sauf SSH, une autre permettre l'accès en HTTP et HTTPS. Ces zones correspondent à des utilisations types, comme un serveur dans une DMZ, ou un serveur <strong>chez soi</strong>, un serveur public, etc.</p>
    270. 

  270. <p>On peut imaginer une zone <strong>émail</strong> qui ne laisserait passer que les ports spécifiques à l'émail et DNS bien sûr.</p>
    271. 

  271. <p>Il est possible de créer des zones personnelles.</p>
    272. 

  272. <p>Un certain nombre de zones sont prédéfinies. Voyons leur contenu.</p>
    273. 

  273. <h3 id="les-differentes-zones">Les différentes zones</h3>
    274. 

  274. <p>Les différentes zones sont :</p>
    275. 

  275. <ul>
    276. 

  276. <li>trusted: non modifiable</li>
    277. 

  277. <li>home: modifiable</li>
    278. 

  278. <li>work: modifiable</li>
    279. 

  279. <li>internal: modifiable</li>
    280. 

  280. <li>dmz: modifiable</li>
    281. 

  281. <li>public: modifiable</li>
    282. 

  282. <li>external: modifiable</li>
    283. 

  283. <li>block: non modifiable</li>
    284. 

  284. <li>drop: non modifiable</li>
    285. 

  285. </ul>
    286. 

  286. <p>Une très bonne présentation des zones est ici : <a href="https://www.it-connect.fr/centos-7-utilisation-et-configuration-de-firewalld/">it connect</a></p>
    287. 

  287. <h3 id="les-fichiers-de-configuration">Les fichiers de configuration</h3>
    288. 

  288. <p>Ils sont situés à 2 endroits :</p>
    289. 

  289. <ul>
    290. 

  290. <li>/usr/lib/firewalld/ : il ne faut pas toucher au contenu de ce répertoire</li>
    291. 

  291. <li>/etc/firewalld/ : c'est là que nous mettrons notre configuration, en copiant les fichiers de /usr/lib/firewalld si besoin est.</li>
    292. 

  292. </ul>
    293. 

  293. <p>Dans le répertoire /etc/firewalld, le fichier firewalld.conf permet de configurer la zone par défaut, ainsi que le backend (iptables, nftables et autre).</p>
    294. 

  294. <p>La zone par défaut est <strong>public</strong> : pas de confiance, mais possibilité d'ajuster au cas par cas les règles. Le seul accès autorisé est l'accès <strong>ssh</strong> et <strong>dhcp</strong>.</p>
    295. 

  295. <h3 id="quelques-commandes">Quelques commandes</h3>
    296. 

  296. <ul>
    297. 

  297. <li>Démarrer Firewalld:<strong>$ sudo systemctl start firewalld</strong></li>
    298. 

  298. <li>Stopper Fireawalld:<strong>$ sudo systemctl stop firewalld</strong></li>
    299. 

  299. <li>Tester le fonctionnement de Firewalld:<strong>$ sudo firewall-cmd --state</strong></li>
    300. 

  300. <li>Connaître les zones prédéfinies : <strong>$ sudo firewall-cmd --get-zones</strong></li>
    301. 

  301. <li>Connaître la zone par défaut :<strong>$ sudo firewall-cmd --get-default-zone</strong></li>
    302. 

  302. <li>Connaître la zone active :<strong>$ sudo firewall-cmd --get-active-zones</strong></li>
    303. 

  303. </ul>
    304. 

  304. <p>Exemples :</p>
    305. 

  305. <pre><code>pi@piras:~ $ sudo firewall-cmd --state
    306. 

  306. running
    307. 

  307. pi@piras:~ $
    308. 

  308. </code></pre>
    309. 

  309. <p>Le service tourne.</p>
    310. 

  310. <pre><code>pi@piras:~ $ sudo firewall-cmd --get-default-zone
    311. 

  311. public
    312. 

  312. pi@piras:~ $
    313. 

  313. </code></pre>
    314. 

  314. <p>La zone par défaut est : public</p>
    315. 

  315. <pre><code>pi@piras:~ $ sudo firewall-cmd --get-zones
    316. 

  316. block dmz drop external home internal public trusted work
    317. 

  317. pi@piras:~ $
    318. 

  318. </code></pre>
    319. 

  319. <p>Les zones prédéfinies sont : <strong>block dmz drop external home internal public trusted work</strong></p>
    320. 

  320. <p>Quelle est la zone active : aucune !</p>
    321. 

  321. <pre><code>pi@piras:~ $ sudo firewall-cmd --get-active-zones
    322. 

  322. pi@piras:~ $
    323. 

  323. </code></pre>
    324. 

  324. <p>Nous pouvons vérifier la zone en fonctionnement et l'interface réseau qui y est attachée :</p>
    325. 

  325. <pre><code>pi@piras:~ $ sudo firewall-cmd --list-all
    326. 

  326. public
    327. 

  327. target: default
    328. 

  328. icmp-block-inversion: no
    329. 

  329. interfaces: 
    330. 

  330. sources: 
    331. 

  331. services: dhcpv6-client ssh
    332. 

  332. ports: 
    333. 

  333. protocols: 
    334. 

  334. masquerade: no
    335. 

  335. forward-ports: 
    336. 

  336. source-ports: 
    337. 

  337. icmp-blocks: 
    338. 

  338. rich rules:
    339. 

  339. 

  340. pi@piras:~ $
    341. 

  341. </code></pre>
    342. 

  342. <p>Aucune interface n'est attachée. Les seuls services autorisé sont : dhcp et ssh.</p>
    343. 

  343. <h3 id="premiere-etape-de-configuration">Première étape de configuration</h3>
    344. 

  344. <p>Nous allons utiliser les commandes en ligne de commande pour configurer Firewalld, mais il existe une GUI pour le faire graphiquement. Référez-vous aux liens que j'ai indiqués au-dessus.</p>
    345. 

  345. <ul>
    346. 

  346. <li>
    347. 

  347. <p>Définition de la zone par défaut : (public)</p>
    348. 

  348. <pre><code>pi@piras:~ $ sudo firewall-cmd --set-default-zone=public
    349. 

  349. Warning: ZONE_ALREADY_SET: public
    350. 

  350. success
    351. 

  351. pi@piras:~ $
    352. 

  352. </code></pre>
    353. 

  353. </li>
    354. 

  354. <li>
    355. 

  355. <p>Attribution de l'interface réseau à cette zone :</p>
    356. 

  356. <pre><code>pi@piras:~ $ sudo firewall-cmd --zone=public --change-interface=eth0
    357. 

  357. success
    358. 

  358. pi@piras:~ $
    359. 

  359. </code></pre>
    360. 

  360. <p>Attention, ce changement n'est pas permanent ! (voir ci-dessous)</p>
    361. 

  361. </li>
    362. 

  362. <li>
    363. 

  363. <p>Test :</p>
    364. 

  364. <pre><code>pi@piras:~ $ sudo firewall-cmd --list-all
    365. 

  365. public (active)
    366. 

  366. target: default
    367. 

  367. icmp-block-inversion: no
    368. 

  368. interfaces: eth0
    369. 

  369. sources:
    370. 

  370. services: dhcpv6-client ssh
    371. 

  371. ports:
    372. 

  372. protocols:
    373. 

  373. masquerade: no
    374. 

  374. forward-ports:
    375. 

  375. source-ports:
    376. 

  376. icmp-blocks:
    377. 

  377. rich rules:
    378. 

  378. 

  379. pi@piras:~ $
    380. 

  380. </code></pre>
    381. 

  381. </li>
    382. 

  382. </ul>
    383. 

  383. <p>Nous voyons que l'interface <strong>eth0</strong> a bien été attribuée à la zone <strong>public</strong>.</p>
    384. 

  384. <h3 id="les-services">Les services</h3>
    385. 

  385. <p>Il est possible de configurer les services accessibles (ou pas) attribués à la zone active.</p>
    386. 

  386. <p>Pour connaître les différents services disponibles, tapez la commande suivante :</p>
    387. 

  387. <pre><code>pi@piras:~ $ sudo firewall-cmd --get-services
    388. 

  388. RH-Satellite-6 amanda-client amanda-k5-client amqp amqps apcupsd audit bacula bacula-client bgp bitcoin bitcoin-rpc bitcoin-testnet bitcoin-testnet-rpc ceph
    389. 

  389. ceph-mon cfengine cockpit condor-collector ctdb dhcp dhcpv6 dhcpv6-client distcc dns docker-registry docker-swarm dropbox-lansync elasticsearch etcd-client 
    390. 

  390. etcd-server finger freeipa-ldap freeipa-ldaps freeipa-replication freeipa-trust ftp ganglia-client ganglia-master git gre high-availability http https imap imaps
    391. 

  391. ipp ipp-client ipsec irc ircs iscsi-target isns jenkins kadmin kerberos kibana klogin kpasswd kprop kshell ldap ldaps libvirt libvirt-tls lightning-network
    392. 

  392. llmnr managesieve matrix mdns minidlna mongodb mosh mountd mqtt mqtt-tls ms-wbt mssql murmur mysql nfs nfs3 nmea-0183 nrpe ntp nut openvpn 
    393. 

  393. ovirt-imageio ovirt-storageconsole ovirt-vmconsole plex pmcd pmproxy pmwebapi pmwebapis pop3 pop3s postgresql privoxy proxy-dhcp ptp pulseaudio
    394. 

  394. puppetmaster quassel radius redis rpc-bind rsh rsyncd rtsp salt-master samba samba-client samba-dc sane sip sips slp smtp smtp-submission smtps 
    395. 

  395. snmp snmptrap spideroak-lansync squid ssh steam-streaming svdrp svn syncthing syncthing-gui synergy syslog syslog-tls telnet tftp tftp-client
    396. 

  396. tinc tor-socks transmission-client upnp-client vdsm vnc-server wbem-http wbem-https wsman wsmans xdmcp xmpp-bosh xmpp-client xmpp-local
    397. 

  397. xmpp-server zabbix-agent zabbix-server
    398. 

  398. pi@piras:~ $
    399. 

  399. </code></pre>
    400. 

  400. <p>Chaque détail des services est détaillé dans un fichier xml dans /usr/lib/firewalld.</p>
    401. 

  401. <p>Voyons quels services sont actuellement activés sur notre raspi :</p>
    402. 

  402. <pre><code>pi@piras:~ $ ss -t -u -l -a
    403. 

  403. Netid          State           Recv-Q          Send-Q                     Local Address:Port                          Peer Address:Port
    404. 

  404. udp            UNCONN          0               0                                0.0.0.0:55853                              0.0.0.0:*
    405. 

  405. udp            UNCONN          0               0                              127.0.0.1:domain                             0.0.0.0:*
    406. 

  406. udp            UNCONN          0               0                                0.0.0.0:bootpc                             0.0.0.0:*
    407. 

  407. udp            UNCONN          0               0                                0.0.0.0:mdns                               0.0.0.0:* 
    408. 

  408. udp            UNCONN          0               0                                  [::1]:domain                                   *:*
    409. 

  409. udp            UNCONN          0               0                                      *:59578                                    *:*
    410. 

  410. udp            UNCONN          0               0                                      *:mdns                                     *:*
    411. 

  411. tcp            LISTEN          0               511                            127.0.0.1:domain-s                           0.0.0.0:*
    412. 

  412. tcp            LISTEN          0               511                            127.0.0.1:domain                             0.0.0.0:*
    413. 

  413. tcp            LISTEN          0               128                              0.0.0.0:ssh                                0.0.0.0:*
    414. 

  414. tcp            ESTAB           0               0                        192.168.111.170:ssh                        192.168.111.150:59092
    415. 

  415. tcp            LISTEN          0               511                                [::1]:domain-s                              [::]:*
    416. 

  416. tcp            LISTEN          0               511                                [::1]:domain                                [::]:*
    417. 

  417. tcp            LISTEN          0               128                                 [::]:ssh                                   [::]:*
    418. 

  418. pi@piras:~ $
    419. 

  419. </code></pre>
    420. 

  420. <p>Nous voyons notre connexion <strong>ssh</strong> établie entre ma machine de travail en ip 192.168.111.150 et piras 192.168.111.170.</p>
    421. 

  421. <p>Notre raspi écoute également le port 22 sur toutes les interfaces présentes.</p>
    422. 

  422. <p>Liste des ports en écoute (TCP) :</p>
    423. 

  423. <pre><code>pi@piras:~ $ ss -ltn
    424. 

  424. State              Recv-Q             Send-Q                           Local Address:Port                           Peer Address:Port
    425. 

  425. LISTEN             0                  511                                  127.0.0.1:853                                 0.0.0.0:*
    426. 

  426. LISTEN             0                  511                                  127.0.0.1:53                                  0.0.0.0:*
    427. 

  427. LISTEN             0                  128                                    0.0.0.0:22                                  0.0.0.0:*
    428. 

  428. LISTEN             0                  511                                      [::1]:853                                    [::]:*
    429. 

  429. LISTEN             0                  511                                      [::1]:53                                     [::]:*
    430. 

  430. LISTEN             0                  128                                       [::]:22                                     [::]:*
    431. 

  431. pi@piras:~ $
    432. 

  432. </code></pre>
    433. 

  433. <p>Les ports 22 (ssh), 53 (dns), 853 (dns) sont à l'écoute en IPV4 et IPV6.</p>
    434. 

  434. <p>Liste des ports en écoute (UDP) :</p>
    435. 

  435. <pre><code>pi@piras:~ $ ss -lun
    436. 

  436. State              Recv-Q             Send-Q                          Local Address:Port                            Peer Address:Port
    437. 

  437. UNCONN             0                  0                                   127.0.0.1:53                                   0.0.0.0:*
    438. 

  438. UNCONN             0                  0                                     0.0.0.0:68                                   0.0.0.0:*
    439. 

  439. UNCONN             0                  0                                     0.0.0.0:5353                                 0.0.0.0:*
    440. 

  440. UNCONN             0                  0                                       [::1]:53                                         *:*
    441. 

  441. UNCONN             0                  0                                           *:59578                                      *:*
    442. 

  442. UNCONN             0                  0                                           *:5353                                       *:* 
    443. 

  443. pi@piras:~ $
    444. 

  444. </code></pre>
    445. 

  445. <h3 id="etat-des-lieux">État des lieux</h3>
    446. 

  446. <p>Vérifions le fonctionnement de  Firewalld. Souvenez-vous qu'il était configuré pour fonctionner avec Iptables.</p>
    447. 

  447. <p>Vérifions les règles établies :</p>
    448. 

  448. <pre><code>pi@piras:~ $ sudo iptables -L
    449. 

  449. Chain INPUT (policy ACCEPT)
    450. 

  450. target     prot opt source               destination 
    451. 

  451. ACCEPT     all  --  anywhere             anywhere             ctstate RELATED,ESTABLISHED
    452. 

  452. ACCEPT     all  --  anywhere             anywhere
    453. 

  453. INPUT_direct  all  --  anywhere             anywhere
    454. 

  454. INPUT_ZONES_SOURCE  all  --  anywhere             anywhere
    455. 

  455. INPUT_ZONES  all  --  anywhere             anywhere
    456. 

  456. DROP       all  --  anywhere             anywhere             ctstate INVALID
    457. 

  457. REJECT     all  --  anywhere             anywhere             reject-with icmp-host-prohibited
    458. 

  458. 

  459. Chain FORWARD (policy ACCEPT)
    460. 

  460. target     prot opt source               destination
    461. 

  461. ACCEPT     all  --  anywhere             anywhere             ctstate RELATED,ESTABLISHED
    462. 

  462. ACCEPT     all  --  anywhere             anywhere
    463. 

  463. FORWARD_direct  all  --  anywhere             anywhere
    464. 

  464. FORWARD_IN_ZONES_SOURCE  all  --  anywhere             anywhere
    465. 

  465. FORWARD_IN_ZONES  all  --  anywhere             anywhere
    466. 

  466. FORWARD_OUT_ZONES_SOURCE  all  --  anywhere             anywhere
    467. 

  467. FORWARD_OUT_ZONES  all  --  anywhere             anywhere
    468. 

  468. DROP       all  --  anywhere             anywhere             ctstate INVALID
    469. 

  469. REJECT     all  --  anywhere             anywhere             reject-with icmp-host-prohibited
    470. 

  470. 

  471. Chain OUTPUT (policy ACCEPT)
    472. 

  472. target     prot opt source               destination
    473. 

  473. OUTPUT_direct  all  --  anywhere             anywhere
    474. 

  474. 

  475. Chain INPUT_direct (1 references)
    476. 

  476. target     prot opt source               destination
    477. 

  477. 

  478. Chain INPUT_ZONES_SOURCE (1 references)
    479. 

  479. target     prot opt source               destination
    480. 

  480. 

  481. Chain INPUT_ZONES (1 references)
    482. 

  482. target     prot opt source               destination
    483. 

  483. IN_public  all  --  anywhere             anywhere            [goto] 
    484. 

  484. IN_public  all  --  anywhere             anywhere            [goto]
    485. 

  485. 

  486. Chain FORWARD_direct (1 references)
    487. 

  487. target     prot opt source               destination
    488. 

  488. 

  489. Chain FORWARD_IN_ZONES_SOURCE (1 references)
    490. 

  490. target     prot opt source               destination
    491. 

  491. 

  492. Chain FORWARD_IN_ZONES (1 references)
    493. 

  493. target     prot opt source               destination
    494. 

  494. FWDI_public  all  --  anywhere             anywhere            [goto] 
    495. 

  495. FWDI_public  all  --  anywhere             anywhere            [goto]
    496. 

  496. 

  497. Chain FORWARD_OUT_ZONES_SOURCE (1 references)
    498. 

  498. target     prot opt source               destination
    499. 

  499. 

  500. Chain FORWARD_OUT_ZONES (1 references)
    501. 

  501. target     prot opt source               destination
    502. 

  502. FWDO_public  all  --  anywhere             anywhere            [goto] 
    503. 

  503. FWDO_public  all  --  anywhere             anywhere            [goto]
    504. 

  504. 

  505. Chain OUTPUT_direct (1 references)
    506. 

  506. target     prot opt source               destination
    507. 

  507. 

  508. Chain IN_public (2 references)
    509. 

  509. target     prot opt source               destination
    510. 

  510. IN_public_log  all  --  anywhere             anywhere
    511. 

  511. IN_public_deny  all  --  anywhere             anywhere
    512. 

  512. IN_public_allow  all  --  anywhere             anywhere 
    513. 

  513. ACCEPT     icmp --  anywhere             anywhere
    514. 

  514. 

  515. Chain IN_public_log (1 references)
    516. 

  516. target     prot opt source               destination
    517. 

  517. 

  518. Chain IN_public_deny (1 references)
    519. 

  519. target     prot opt source               destination
    520. 

  520. 

  521. Chain IN_public_allow (1 references)
    522. 

  522. target     prot opt source               destination
    523. 

  523. ACCEPT     tcp  --  anywhere             anywhere             tcp dpt:ssh ctstate NEW,UNTRACKED
    524. 

  524. 

  525. Chain FWDI_public (2 references)
    526. 

  526. target     prot opt source               destination
    527. 

  527. FWDI_public_log  all  --  anywhere             anywhere
    528. 

  528. FWDI_public_deny  all  --  anywhere             anywhere
    529. 

  529. FWDI_public_allow  all  --  anywhere             anywhere 
    530. 

  530. ACCEPT     icmp --  anywhere             anywhere
    531. 

  531. 

  532. Chain FWDI_public_log (1 references)
    533. 

  533. target     prot opt source               destination
    534. 

  534. 

  535. Chain FWDI_public_deny (1 references)
    536. 

  536. target     prot opt source               destination
    537. 

  537. 

  538. Chain FWDI_public_allow (1 references)
    539. 

  539. target     prot opt source               destination
    540. 

  540. 

  541. Chain FWDO_public (2 references)
    542. 

  542. target     prot opt source               destination
    543. 

  543. FWDO_public_log  all  --  anywhere             anywhere
    544. 

  544. FWDO_public_deny  all  --  anywhere             anywhere
    545. 

  545. FWDO_public_allow  all  --  anywhere             anywhere
    546. 

  546. 

  547. Chain FWDO_public_log (1 references)
    548. 

  548. target     prot opt source               destination
    549. 

  549. 

  550. Chain FWDO_public_deny (1 references)
    551. 

  551. target     prot opt source               destination
    552. 

  552. 

  553. Chain FWDO_public_allow (1 references)
    554. 

  554. target     prot opt source               destination
    555. 

  555. pi@piras:~ $
    556. 

  556. </code></pre>
    557. 

  557. <p>Les règles Iptables ont bien été configurées par Firewalld.</p>
    558. 

  558. <p>Après reboot, nous voyons que rien n'a été conservé !</p>
    559. 

  559. <p>Il va falloir investiguer ...</p>
    560. 

  560. <p>Bien : voilà la procédure à suivre :</p>
    561. 

  561. <p>sudo firewall-cmd <strong>--permanent</strong> --zone=public --change-interface=eth0</p>
    562. 

  562. <p>Permet de changer de façon <strong>permanente</strong> l'interface associée à la zone <strong>public</strong>.</p>
    563. 

  563. <pre><code>Test :
    564. 

  564. pi@piras:~ $ sudo firewall-cmd --permanent --zone=public --change-interface=eth0
    565. 

  565. success
    566. 

  566. 

  567. pi@piras:~ $ sudo cat /etc/firewalld/zones/public.xml
    568. 

  568. &lt;?xml version="1.0" encoding="utf-8"?&gt;
    569. 

  569. &lt;zone&gt;
    570. 

  570. &lt;short&gt;Public&lt;/short&gt;
    571. 

  571. &lt;description&gt;For use in public areas. You do not trust the other computers on networks to not harm your computer. Only selected incoming connections are accepted.&lt;/description&gt;
    572. 

  572. &lt;interface name="eth0"/&gt;
    573. 

  573. &lt;service name="ssh"/&gt;
    574. 

  574. &lt;service name="dhcpv6-client"/&gt;
    575. 

  575. &lt;/zone&gt;
    576. 

  576. pi@piras:~ $
    577. 

  577. 

  578. Nous voyons que firewalld a créé des répertoires et un fichier dans le répertoire **zones** dont le contenu correspond à ce que nous avons demandé.
    579. 

  579. 

  580. pi@piras:~ $ sudo firewall-cmd --list-all
    581. 

  581. public (active)
    582. 

  582. target: default
    583. 

  583. icmp-block-inversion: no
    584. 

  584. interfaces: eth0
    585. 

  585. sources: 
    586. 

  586. services: dhcpv6-client ssh
    587. 

  587. ports: 
    588. 

  588. protocols: 
    589. 

  589. masquerade: no
    590. 

  590. forward-ports: 
    591. 

  591. source-ports: 
    592. 

  592. icmp-blocks: 
    593. 

  593. rich rules:
    594. 

  594. 

  595. pi@piras:~ $
    596. 

  596. </code></pre>
    597. 

  597. <p>Test après redémarrage :</p>
    598. 

  598. <p>Cette fois-ci, ça marche ! (Yes !)</p>
    599. 

  599. <pre><code>pi@piras:~ $ sudo firewall-cmd --list-all
    600. 

  600. public (active)
    601. 

  601. target: default
    602. 

  602. icmp-block-inversion: no
    603. 

  603. interfaces: eth0
    604. 

  604. sources: 
    605. 

  605. services: dhcpv6-client ssh
    606. 

  606. ports: 
    607. 

  607. protocols: 
    608. 

  608. masquerade: no
    609. 

  609. forward-ports: 
    610. 

  610. source-ports: 
    611. 

  611. icmp-blocks: 
    612. 

  612. rich rules:
    613. 

  613. 

  614. pi@piras:~ $
    615. 

  615. </code></pre>
    616. 

  616. <p>Nous verrons ensuite comment ajouter des règles suivant les services que nous voudrons déployer.</p>
    617. 

  617.               
    618. 

  618.             </div>
    619. 

  619.           </div>
    620. 

  620.           <footer>
    621. 

  621.   
    622. 

  622.     <div class="rst-footer-buttons" role="navigation" aria-label="footer navigation">
    623. 

  623.       
    624. 

  624.         <a href="../Fail2ban/" class="btn btn-neutral float-right" title="Contrer les attaques de force brute">Next <span class="icon icon-circle-arrow-right"></span></a>
    625. 

  625.       
    626. 

  626.       
    627. 

  627.         <a href="../Knot/" class="btn btn-neutral" title="Installation de Knot-resolver"><span class="icon icon-circle-arrow-left"></span> Previous</a>
    628. 

  628.       
    629. 

  629.     </div>
    630. 

  630.   
    631. 

  631. 

  632.   <hr/>
    633. 

  633. 

  634.   <div role="contentinfo">
    635. 

  635.     <!-- Copyright etc -->
    636. 

  636.     
    637. 

  637.   </div>
    638. 

  638. 

  639.   Built with <a href="https://www.mkdocs.org/">MkDocs</a> using a <a href="https://github.com/snide/sphinx_rtd_theme">theme</a> provided by <a href="https://readthedocs.org">Read the Docs</a>.
    640. 

  640. </footer>
    641. 

  641.       
    642. 

  642.         </div>
    643. 

  643.       </div>
    644. 

  644. 

  645.     </section>
    646. 

  646. 

  647.   </div>
    648. 

  648. 

  649.   <div class="rst-versions" role="note" aria-label="versions">
    650. 

  650.     <span class="rst-current-version" data-toggle="rst-current-version">
    651. 

  651.       
    652. 

  652.       
    653. 

  653.         <span><a href="../Knot/" style="color: #fcfcfc;">&laquo; Previous</a></span>
    654. 

  654.       
    655. 

  655.       
    656. 

  656.         <span style="margin-left: 15px"><a href="../Fail2ban/" style="color: #fcfcfc">Next &raquo;</a></span>
    657. 

  657.       
    658. 

  658.     </span>
    659. 

  659. </div>
    660. 

  660.     <script>var base_url = '../../..';</script>
    661. 

  661.     <script src="../../../js/theme.js" defer></script>
    662. 

  662.       <script src="../../../search/main.js" defer></script>
    663. 

  663.     <script defer>
    664. 

  664.         window.onload = function () {
    665. 

  665.             SphinxRtdTheme.Navigation.enable(true);
    666. 

  666.         };
    667. 

  667.     </script>
    668. 

  668. 

  669. </body>
    670. 

  670. </html>
    671.