[TUTORIAL] Guide de Survie Iptable/Netfilter

[Muzo]

Bonjour,

Un petit post dédié à Iptables, celui ci va recenser les questions/réponses courantes à Iptables.

Merci de n'y mettre que des liens vers des sites traitant de ce sujet, ou des Questions dont vous avez la réponse. Par exemple vous avez posez la question et obtenu la réponse dans le forum Ipcop, et vous pensez que ca peut intéresser du monde.

Mettez ici la question formulée en francais avec des "mots clefs" si possible. Et la réponse précise et commentée si possible.

Sites

je vais donc commencer par poster quelques liens :
Le principal : http://www.netfilter.org/
Les bases Iptables : http://lea-linux.org/reseau/iptables.php3
Site dédié IpCop, mais surtout iptables (Merci Antolien): http://ipcop.hn.org/
Tous sur les réseaux et la sécurité, avec un chapitre Iptables : http://christian.caleca.free.fr/
Ensembles de liens sur Iptables/Netfilter : http://www.linuxguruz.com/iptables/
Un sympatique débat avec tomtom en prof sur le forum SME : viewtopic.php?t=10867
Firewall et sécurité d'un réseau personnel sous Linux : http://olivieraj.free.fr/fr/linux/information/firewall/
Writing Linux firewall rules with IPTables: http://www.tipmonkies.com/2005/07/08/wr ... w-iptables
Didacticiel sur Iptables: http://www.linux-france.org/prj/inetdoc ... -tutorial/

Scripts
Script de base à 4 interfaces : http://gcu-squad.org/viewtip/85
Configurations Iptables avec plusieurs fichiers de conf : http://www.malibyte.net/iptables/scripts/fwscripts.html

[Muzo]

Question : Comment forwarder des ports avec iptables?
Mots clefs : port forwarding, portforwarding, transfert de ports

Réponse :
iptables -t nat -A PREROUTING -p tcp --dport NUMERO_PORT_DESTINATION -i INTERFACE -j DNAT --to-destination IP_DESTINATION:PORT_DESTINATION

Exemple :
Vous voulez forwarder le port 80 recu sur voter serveur sur l'interface eth0 vers le beau serveur web de votre lan qui tourne sur le port 8090 lui, et qui set à l'adresse ip 162.168.0.5. Cela donne :

iptables -t nat -A PREROUTING -p tcp --dport 80 -i eth0 -j DNAT --to-destination 192.168.0.5:8090

[Muzo]

Question : Comment ouvrir/fermer un port avec Iptables?
Mots Clefs: iptables port opening portopening ouverture de ports

Réponse :

Ouverture d'un seul port :
iptables -A INPUT -p tcp --dport NUMERO_PORT -j ACCEPT

Ouverture d'une plage de ports :
iptables -A INPUT -p tcp --dport NUMERO_PORT_DEBUT:NUMERO_PORT_FIN -j ACCEPT

Fermeture de port :
Pour interdire un port il suffit de mettre REJECT ou DENY à la place de ACCEPT

[Fredish]

Y a celui-là aussi sur lea: http://lea-linux.org/reseau/murdefeu.html

J'espère que ce post sera utile et répondra au moins en partie aux besoins de ceux pour qui, comme moi, iptables est un peu vaste.

[Muzo]

Question : Comment empêcher un spoofing?
Mots Clefs : iptables antispoofing spoofing

Réponse :
/sbin/iptables -t nat -I PREROUTING -i INTERFACE_EXTERNE -s ADRESS_IP/MASK -j DROP

Exemple :
Vous voulez vous prémenir des attaques de l'extérieur utilisant le spoofing sur la palge d'adresse ip pour un réseau local : 192.168.X.X. Votre interface externe est l'interface eth0.

/sbin/iptables -t nat -I PREROUTING -i eth0 -s 192.168.0.0/16 -j DROP

Pour faire la même chose sur les adresses de type : 127.0.0.X :
/sbin/iptables -t nat -I PREROUTING -i eth0 -s 127.0.0.0/8 -j DROP


Pour savoir comment faire cela utilisez le calculteur ip d'iXUS : Calculateur d'ip


Qu'est ce que le Spoofing?

[antolien]

Merci muzo pour ce post ,

Juste un truc, le lien nerim est down pour mon site, je l'ai repassé chez free : http://antolien.free.fr

@+

[Muzo]

Question : Comment bloquer le ping de mon Firewall depuis internet?
Mots clefs: bloquer ping icmp echo-request

Réponse :

/sbin/iptables -A INPUT --proto icmp --icmp-type echo-request -j DROP

On va bloquer sur l'entrée (INPUT) les demandes icmp echo-request.

Il faut savoir que iptable permet de bloquer les icmp type soit en nommant me type (Cf man iptable) soit en indiquant sont numéro. Dans notre cas :
echo-request = 8

Ce qui nous donnera :
/sbin/iptables -A INPUT --proto icmp --icmp-type 8 -j DROP

(Modifié suite aux conseils zavisés d'Antolien)

[Edit suite à quelques MP explicatifs]
Attention cette politique est à adapter en fonction de la configuration de base de votre firewall. Certains accepteront toute requete icmp par défaut, d'autres rejetteront tout par défaut.

Et dans le cas ci-dessus, le ping n'est pas rejeter (-j REJECT) mais mis à la "poubelle" (DROP). Ce qui fait que techniquement je ne peux pas dire que l'on bloque le ping, mais on y répond simplement pas.
[/Edit]

[Fredish]

Puisque c'est pour les noobs...

Question: Comment discuter sous msn(texte seulement)?

Réponse:

iptables -A OUTPUT --protocol tcp --dport 1863 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A INPUT --protocol tcp --sport 1863 -m state --state ESTABLISHED -j ACCEPT


Le NEW, est pour indiquer qu'on effectue une nouvelle connection, le ESTABLISHED indique que ce qui rentre depuis le port 1863 doit être lié à une connection existante(dans les deux directions, cf. "man iptables"). Je lis souvent qu'on a besoin d'ouvrir aussi en udp. Perso, je n'en ai pas besoin, et cela fonctionne. Donc, j'attends des retours si il y a lieu. Je précise quand même, au cas où, que c'est dans un contexte où la police bloque tout, et sans forward. J'y pense, pour icq ou d'autres, il suffit de changer le port(4190 pour icq par exemple). Voilà

[Muzo]

Question : Comment bloquer les ports en sortie de mon firewall
Mots Clefs : deny port FORWARD

Réponse :

Par défaut Iptables n'a pas de port ouvert vers l'extérieur, sauf si cela a été fait explicitement (Cf plus haut ouverture de port). Il est donc inutile de faire de fermeture de port.

Dans le cas ou vous avez fait un script acceptant tout en sortie (il est préférable de faire l'inverse de tout fermer par défaut et d'ouvrir au cas par cas). Si votre script ouvre tout par défaut, faites bien attention à placer ces règles de fermeture de port AVANT cette ouverture. Sinon iptables va considérer la règle d'ouverture comme la bonne et ne jamais passer par la règle de fermeture.

Voici la conduite à suivre :

Vérifiez que ces 3 variables n'existent pas déjà dans votre script sous un autre nom. Si le nom change adaptez ces règles avec les noms de variable de votre script.

#interface interne (lan)
InternalIF=eth0
#interface externe (internet)
OuterIF=eth1
#source réseau (l'adressage du lan)
Lan=192.168.0.0/255.255.255.0

Vérifiez aussi que la chaine que vous allez créer n'existe pas déjà sous un autre nom.
#Création d'une nouvelle chaine
/sbin/iptables --new-chain ForwardOutBound
/sbin/iptables -A FORWARD -i $InternalIF -o $OuterIF -j ForwardOutBound

#Refus d'un port de sortie pour la classe d'adresses
/sbin/iptables -A ForwardOutBound -s $Lan -p PROTOCOLE --dport PORT -j DROP

#Refus d'une plage de port de sortie pour la classe d'adresses
/sbin/iptables -A ForwardOutBound -s $Lan -p PROTOCOLE --dport PORT:PORT -j DROP

#Refus d'un port pour une adresse spécifique
/sbin/iptables -A ForwardOutBound -s 192.168.0.25 -p PROTOCOLE --dport PORT -j DROP

PROTOCOLE peut prendre la valeur tcp ou udp en fonction du protocole que vous voulez bloquer.
PORT est le numéro de port que vous voulez bloquer.

[cf]

Question : Comment sécuriser la pile TCP/IP?
Mots Clefs : spoofing, syn flood, etc...

Réponse : En passant des paramètres au kernel

En pratique, on peut ajouter à son script iptables (ou au fichier /etc/sysctl.conf, sous la forme:
net.ipv4.conf.all.nom_action=0/1) :

Code: Tout sélectionner

# Ignore 'ICMP Redirects' message
echo "0" > /proc/sys/net/ipv4/conf/all/accept_redirects

# Ignore 'ICMP Echo Request' message
echo "1" > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
echo "1" > /proc/sys/net/ipv4/icmp_echo_ignore_all

# Ignore 'ICMP Bogus Response' message
echo "1" > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses

# Interdire 'Source Routing'
echo "0" > /proc/sys/net/ipv4/conf/all/accept_source_route

# Surveiller 'martians' (adresse source falsifée ou non routable)
echo "1" > /proc/sys/net/ipv4/conf/all/log_martians

# Se protéger de l'IP Spoofing bis
echo "1" > /proc/sys/net/ipv4/conf/all/rp_filter

# Se protéger des attaques 'SYN Flood'
echo "1" > /proc/sys/net/ipv4/tcp_syncookies



[OverCiv]

Pour continuer dans les articles sur Iptables / Netfilter je vous conseille aussi celui du labo-linux, à cette adresse :

http://www.labo-linux.org/cours/module-3/chapitre-04-firewalling/?searchterm=iptables

Sommaire:

=Firewalling=
1 Introduction
1.1 Concepts
1.1.1 Notion de firewall
1.1.2 Principe de translation d'adresse
1.2 Netfilter
2 Installation
2.1 Partie noyau : Netfilter
2.2 Partie administration : ipatbles
3 Utilisation d'Ipatbles
3.1 La table FILTER
3.1.1 Les cibles de la table Filter
3.1.2 Les cibles personnalisées
3.1.2.1 Création de chaîne :
3.1.2.2 Suppression de chaîne
3.2 Enregistrement et chargement de règles
3.2.1 Sauvegarder les règles
3.2.2 Charger les règles
3.3 Les commandes principales
3.4 Options
3.4.1 Options globales
3.4.2 Options protocoles
3.4.3 Options de correspondance
3.5 NAT (Network Address Translation)
3.5.1 Les cibles pour NAT
4 Options noyau
4.1 Options relatives aux ICMP
4.2 Options relatives aux IP

[Jacques-]

Question : Comment bloquer MSN avec iptables ?
Mots clefs : blocage filtrage MSN

Réponse :
Suite à la suggestion de Muzo, voici un petit tuto sur le blocage de MSN.
Dans ma config, une MNF sert de passerelle vers le web, les postes du LAN ont acès au Web via le proxy squid de la MNF.
Le port classique de MSN (1863) est bloqué et celui-ci ne peut donc que passer par l'encapsulation en HTTP sur les passerelles prévues à cet effet. Toutes ces passerelles sont (pour le moment) dans le réseau 207.46.0.0/16.

J'utilise iptables pour bloquer selon les heures les accès à MSN via une tache cron (en fait il y a un script lancé toutes les heures qui lit un fichier de config décrivant ce qu'il doit faire, selon le jour et l'heure, les paquets sont jetés ou non).

Remarque : les paquets venant du proxy, c'est dans la chaîne OUTPUT qu'il faut bloquer et non dans la chaîne FORWARD (cette dernière est à utiliser si les machines ne passent pas par le proxy mais que le 1863 bloqué les empêche de se connecter normalement).

Il suffit de lancer ces règles iptables par exemple pour bloquer :
# Nouvelle cible pour logguer les paquets
/sbin/iptables -N msn-drop
/sbin/iptables -A msn-drop -j LOG --log-prefix "Iptables:msn:DROP:" --log-level 6
/sbin/iptables -A msn-drop -j DROP
# Blocage des paquets entrants des gateways MS
# (cette règle est à supprimer si on veut laisser l'accès à d'autre machines)
/sbin/iptables -I INPUT -s 207.46.0.0/16 -j msn-drop
# Blocage des paquets sortants pour les machines d'adresse AdresseIPx
/sbin/iptables -I OUTPUT -s AdresseIP1 -d 207.46.0.0/16 -j msn-drop
/sbin/iptables -I OUTPUT -s AdresseIP2 -d 207.46.0.0/16 -j msn-drop


et pour débloquer :
# Déblocage des paquets sortants pour les machines d'adresse AdresseIPx
/sbin/iptables -D OUTPUT -s AdresseIP1 -d 207.46.0.0/16 -j msn-drop
/sbin/iptables -D OUTPUT -s AdresseIP2 -d 207.46.0.0/16 -j msn-drop
# Déblocage des paquets entrants des gateways MS
# (dans le cas où on l'a utilisée au dessus bien entendu)
/sbin/iptables -D INPUT -s 207.46.0.0/16 -j msn-drop
# Suppression de la cible
/sbin/iptables -F msn-drop
/sbin/iptables -X msn-drop

Jacques

[dexinou]

Celui-ci est pas mal non plus:
http://ashgenesis.debian-fr.net/ricardo/iptables/