Next: Application à notre pare-feu.
Up: Netfilter avec Iptables.
Previous: Tables.
Table des matières
Il est bien entendu nécessaire de visiter iptables(8),
mais nous allons voir quelques éléments essentiels.
Les comportements adressés à l'endroit d'un paquet sont:
- ACCEPT: paquet autorisé,
- REJECT: le paquet est rejeté et il y a
envoi d'un message à l'expéditeur,
- DROP: le paquet est ignoré,
- LOG: le paquet est journalisé.
Les principales options de manipulation des chaînes sont:
- A: ajoute une règle à une chaîne,
- D: supprime une règle à une chaîne,
- F: supprime les règles une à une (flush),
- I: insertion d'une règle à une position
donnée dans une chaîne,
- L: affichage des règles,
- N: création d'une nouvelle chaîne par un
utilisateur,
- P: politique par défaut à l'endroit d'une
chaîne,
- R: remplacement d'une chaîne donnée par
une autre,
- X: suppression d'une chaîne vide.
Les paramètres principaux sont:
- c: permet d'initialiser le compteur de
paquets et d'octets d'une règle,
- d: spécifie la destination (voir le paramètre
-s),
- i: le sémaphore -i
désigne l'interface d'entrée et n'est fonctionnel que dans les chaînes
INPUT et OUTPUT,
- j: le sémaphore -j
signifie: ``que faut-il faire du paquet?''. Il est typiquement
suivi des termes ACCEPT, DROP
ou REJECT,
- o: le sémaphore -o
désigne l'interface de sortie et n'est fonctionnel que dans les chaînes
FORWARD et OUTPUT.
- p: il s'agit du protocole (tcp,
udp, icmp ou
all),
- s: indique la source (nom de réseau, nom
d'hôte, adresse d'un réseau ou adresse IP),
- [!]: un paquet auquel ce sémaphore
s'applique ne correspondra à aucune des règles spécifiées.
Notez encore que:
- les ports TCP et UDP doivent être mentionnés avec les options -source/port/-sport
(ou -destination-port/-dport). Ils
doivent être placés après les options -p
tcp ou -p udp. Ceci permet de charger
les extensions TCP et UDP, respectivement. Peut suivre: (i) le numéro
du port (iptables -A INPUT -p tcp -dport
110 -j DENY), (ii) une série de ports décrits un à un (iptables
-A INPUT -p tcp -m multiport -dport 110,4242,119 -j DROP) ou (iii)
une série de ports sous forme d'une plage (iptables
-A INPUT -p tcp -sport 4925:4633 -j ACCEPT),
- grâce à -tcp-flags, la possibilité existe
de spécifier une correspondance sur un sémaphore tcp
(SYN, ACK, FIN,
RST, URG, PSH,
ALL, NONE) comme
dans iptables -A INPUT -p tcp -dport 42
-tcp-flags SYN,ACK -j ACCEPT,
- grâce à -icmp-type, on peut indiquer
une action à conduire sur un paquet icmp
(8 pour ping):
par exemple, iptables -A INPUT -p icmp -icmp-type
8 -j ACCEPT,
- grâce à -mac-address, il est possible
d'établir une règle pour une adresse MAC comme dans iptables
-A INPUT -mac-source 42.42.AA.42.AA -j DROP.
Next: Application à notre pare-feu.
Up: Netfilter avec Iptables.
Previous: Tables.
Table des matières
1-01-2006