Proxmox iptables - Historique des versions

Jc.forton : /* Application des règles */

2026-10-13T15:48:18Z

Application des règles

← Version précédente		Version du 13 octobre 2026 à 16:48
Ligne 41 :		Ligne 41 :
	iptables -A INPUT -i vmbr0 -p tcp -m state --state NEW -m tcp --dport 8006 -j ACCEPT		iptables -A INPUT -i vmbr0 -p tcp -m state --state NEW -m tcp --dport 8006 -j ACCEPT
	iptables -A INPUT -i vmbr0 -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT		iptables -A INPUT -i vmbr0 -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
	iptables -A INPUT DROP		iptables -A INPUT -j DROP
	iptables -A FORWARD DROP		iptables -A FORWARD -j DROP
	</source>		</source>

Jc.forton : /* Application des règles */

2026-10-13T15:47:34Z

Application des règles

← Version précédente		Version du 13 octobre 2026 à 16:47
Ligne 41 :		Ligne 41 :
	iptables -A INPUT -i vmbr0 -p tcp -m state --state NEW -m tcp --dport 8006 -j ACCEPT		iptables -A INPUT -i vmbr0 -p tcp -m state --state NEW -m tcp --dport 8006 -j ACCEPT
	iptables -A INPUT -i vmbr0 -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT		iptables -A INPUT -i vmbr0 -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
	iptables -P INPUT DROP		iptables -A INPUT DROP
	iptables -P FORWARD DROP		iptables -A FORWARD DROP
	</source>		</source>

Jc.forton : /* Persistance */

2026-06-30T15:51:07Z

Persistance

← Version précédente		Version du 30 juin 2026 à 16:51
Ligne 82 :		Ligne 82 :
	systemctl enable netfilter-persistent		systemctl enable netfilter-persistent
	</source>		</source>

			= Les autres interfaces =

			Si vous avez plusieurs cartes pour connecter vos conteneurs ou VM, vous ne devez avoir normalement qu'une seule interface d'administration. Cela veut dire que sur les autres interfaces il n'y a pas de configuration IP, donc pas de trafique qui circule.

			Je vous invite à installer un pare-feu sur chaque conteneurs et VM pour plus de sécurité...

Jc.forton : /* Persistance */

2026-06-30T15:39:32Z

Persistance

← Version précédente		Version du 30 juin 2026 à 16:39
Ligne 77 :		Ligne 77 :
	</source>		</source>
	\|}		\|}

			On n'oubliera pas d'enregistrer le service au démarrage de la machine:
			<source lang=bash>
			systemctl enable netfilter-persistent
			</source>

Jc.forton : /* Application des règles */

2026-06-30T15:37:05Z

Application des règles

← Version précédente		Version du 30 juin 2026 à 16:37
Ligne 41 :		Ligne 41 :
	iptables -A INPUT -i vmbr0 -p tcp -m state --state NEW -m tcp --dport 8006 -j ACCEPT		iptables -A INPUT -i vmbr0 -p tcp -m state --state NEW -m tcp --dport 8006 -j ACCEPT
	iptables -A INPUT -i vmbr0 -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT		iptables -A INPUT -i vmbr0 -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
	iptables -A INPUT -j DROP		iptables -P INPUT DROP
	iptables -A FORWARD -j DROP		iptables -P FORWARD DROP
	</source>		</source>

Jc.forton : /* Application des règles */

2026-06-30T15:35:50Z

Application des règles

← Version précédente		Version du 30 juin 2026 à 16:35
Ligne 31 :		Ligne 31 :
	* on autorise les messages ICMP (ping)		* on autorise les messages ICMP (ping)
	* on autorise le SSH (TCP/22)		* on autorise le SSH (TCP/22)
	* on ''drop'' tout le reste		* on ''drop'' tout le reste du trafique entrant
			* on ''drop'' tout le trafique traversant

	Et on oublie pas d'ajouter aussi le port de PveProxy (l'interface web) qui est le TCP/8006, ce qui nous donne:		Et on oublie pas d'ajouter aussi le port de PveProxy (l'interface web) qui est le TCP/8006, ce qui nous donne:
Ligne 41 :		Ligne 42 :
	iptables -A INPUT -i vmbr0 -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT		iptables -A INPUT -i vmbr0 -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
	iptables -A INPUT -j DROP		iptables -A INPUT -j DROP
			iptables -A FORWARD -j DROP
	</source>		</source>

Jc.forton : /* Persistance */

2026-06-30T15:08:48Z

Persistance

← Version précédente		Version du 30 juin 2026 à 16:08
Ligne 57 :		Ligne 57 :
	</source>		</source>
	Il vous propose de sauvegarder les règles IPv4 et IPv6 mais pour ceux qui auraient raté le message, vous pouvez toujours faire:		Il vous propose de sauvegarder les règles IPv4 et IPv6 mais pour ceux qui auraient raté le message, vous pouvez toujours faire:
			{\|align=center
			\|-
			\|align=left\|
			Pour IPv4
			\|width=10px\|
			\|align=left\|
			Pour IPv6
			\|-
			\|valign=top\|
			<source lang=bash>
			iptables-save > /etc/iptables/rules.v4
			</source>
			\|width=10px\|
			\|valign=top\|
			<source lang=bash>
			ip6tables-save > /etc/iptables/rules.v6
			</source>
			\|}

Jc.forton : /* Application des règles */

2026-06-30T15:07:17Z

Application des règles

← Version précédente		Version du 30 juin 2026 à 16:07
Ligne 49 :		Ligne 49 :
	ip6tables -P OUTPUT DROP		ip6tables -P OUTPUT DROP
	</source>		</source>

			= Persistance =

			Maintenant que nous avons toutes nos règles, ils faut les faire persister au redémarrage du serveur et pour cela nous allons utiliser le paquetage ''iptables-persistent'':
			<source lang=bash>
			apt -y install iptables-persistent
			</source>
			Il vous propose de sauvegarder les règles IPv4 et IPv6 mais pour ceux qui auraient raté le message, vous pouvez toujours faire:

Jc.forton : /* Application des règles */

2026-06-30T15:03:06Z

Application des règles

← Version précédente		Version du 30 juin 2026 à 16:03
Ligne 26 :		Ligne 26 :
	= Application des règles =		= Application des règles =

	Nous allons paramétrer quelques règles de bases sur l'interface vmbr0 qui nous sert de management, les mêmes qui sont présentes sur une machine Rocky à l'installation d'iptables, à savoir :		Nous allons paramétrer quelques règles de bases sur l'interface ''vmbr0'' qui nous sert de management, les mêmes qui sont présentes sur une machine Rocky à l'installation d'iptables, à savoir :
	* on autorise tout ce qui fait parti d'une session déjà démarrée		* on autorise tout ce qui fait parti d'une session déjà démarrée
	* on autorise tout le trafique sur l'interface de loopback		* on autorise tout le trafique sur l'interface de loopback
Ligne 41 :		Ligne 41 :
	iptables -A INPUT -i vmbr0 -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT		iptables -A INPUT -i vmbr0 -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
	iptables -A INPUT -j DROP		iptables -A INPUT -j DROP
			</source>

			Si vous n'utilisez pas d'IPv6, autant tout bloquer:
			<source lang=bash>
			ip6tables -P INPUT DROP
			ip6tables -P FORWARD DROP
			ip6tables -P OUTPUT DROP
	</source>		</source>

Jc.forton : /* Application des règles */

2026-06-30T15:01:14Z

Application des règles

← Version précédente		Version du 30 juin 2026 à 16:01
Ligne 26 :		Ligne 26 :
	= Application des règles =		= Application des règles =

	Nous allons paramétrer quelques règles de bases, les mêmes qui sont présentes sur une machine Rocky ~~de base~~ à l'installation d'iptables, à savoir :		Nous allons paramétrer quelques règles de bases sur l'interface vmbr0 qui nous sert de management, les mêmes qui sont présentes sur une machine Rocky à l'installation d'iptables, à savoir :
	* on autorise tout ce qui fait parti d'une session déjà démarrée		* on autorise tout ce qui fait parti d'une session déjà démarrée
	* on autorise tout le trafique sur l'interface de loopback		* on autorise tout le trafique sur l'interface de loopback
Ligne 33 :		Ligne 33 :
	* on ''drop'' tout le reste		* on ''drop'' tout le reste

	Et on oublie pas d'ajouter aussi le port de PveProxy (l'interface web), ce qui nous donne:		Et on oublie pas d'ajouter aussi le port de PveProxy (l'interface web) qui est le TCP/8006, ce qui nous donne:
	<source lang=bash>		<source lang=bash>
	# iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT		iptables -A INPUT -i vmbr0 -m state --state RELATED,ESTABLISHED -j ACCEPT
	# iptables -A INPUT -p icmp -j ACCEPT		iptables -A INPUT -i vmbr0 -p icmp -j ACCEPT
	# iptables -A INPUT -i lo -j ACCEPT		iptables -A INPUT -i lo -j ACCEPT
	# iptables -A INPUT -p tcp -m state --state NEW -m tcp --dport 8006 -j ACCEPT		iptables -A INPUT -i vmbr0 -p tcp -m state --state NEW -m tcp --dport 8006 -j ACCEPT
	# iptables -A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT		iptables -A INPUT -i vmbr0 -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
	# iptables -A INPUT -j DROP		iptables -A INPUT -j DROP
	</source>		</source>

Proxmox iptables - Historique des versions

Jc.forton : /* Application des règles */

Jc.forton : /* Application des règles */

Jc.forton : /* Persistance */

Jc.forton : /* Persistance */

Jc.forton : /* Application des règles */

Jc.forton : /* Application des règles */

Jc.forton : /* Persistance */

Jc.forton : /* Application des règles */

Jc.forton : /* Application des règles */

Jc.forton : /* Application des règles */

Jc.forton : /* Application des règles */

Jc.forton : /* Application des règles */

Jc.forton : /* Persistance */

Jc.forton : /* Persistance */

Jc.forton : /* Application des règles */

Jc.forton : /* Application des règles */

Jc.forton : /* Persistance */

Jc.forton : /* Application des règles */

Jc.forton : /* Application des règles */

Jc.forton : /* Application des règles */