Proxmox iptables - Historique des versions

Jc.forton : /* Persistance */

2026-06-30T15:51:07Z

Persistance

← Version précédente		Version du 30 juin 2026 à 17:51
Ligne 82 :		Ligne 82 :
	systemctl enable netfilter-persistent		systemctl enable netfilter-persistent
	</source>		</source>

			= Les autres interfaces =

			Si vous avez plusieurs cartes pour connecter vos conteneurs ou VM, vous ne devez avoir normalement qu'une seule interface d'administration. Cela veut dire que sur les autres interfaces il n'y a pas de configuration IP, donc pas de trafique qui circule.

			Je vous invite à installer un pare-feu sur chaque conteneurs et VM pour plus de sécurité...

Jc.forton : /* Persistance */

2026-06-30T15:39:32Z

Persistance

← Version précédente		Version du 30 juin 2026 à 17:39
Ligne 77 :		Ligne 77 :
	</source>		</source>
	\|}		\|}

			On n'oubliera pas d'enregistrer le service au démarrage de la machine:
			<source lang=bash>
			systemctl enable netfilter-persistent
			</source>

Jc.forton : /* Application des règles */

2026-06-30T15:37:05Z

Application des règles

← Version précédente		Version du 30 juin 2026 à 17:37
Ligne 41 :		Ligne 41 :
	iptables -A INPUT -i vmbr0 -p tcp -m state --state NEW -m tcp --dport 8006 -j ACCEPT		iptables -A INPUT -i vmbr0 -p tcp -m state --state NEW -m tcp --dport 8006 -j ACCEPT
	iptables -A INPUT -i vmbr0 -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT		iptables -A INPUT -i vmbr0 -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
	iptables -A INPUT -j DROP		iptables -P INPUT DROP
	iptables -A FORWARD -j DROP		iptables -P FORWARD DROP
	</source>		</source>

Jc.forton : /* Application des règles */

2026-06-30T15:35:50Z

Application des règles

← Version précédente		Version du 30 juin 2026 à 17:35
Ligne 31 :		Ligne 31 :
	* on autorise les messages ICMP (ping)		* on autorise les messages ICMP (ping)
	* on autorise le SSH (TCP/22)		* on autorise le SSH (TCP/22)
	* on ''drop'' tout le reste		* on ''drop'' tout le reste du trafique entrant
			* on ''drop'' tout le trafique traversant

	Et on oublie pas d'ajouter aussi le port de PveProxy (l'interface web) qui est le TCP/8006, ce qui nous donne:		Et on oublie pas d'ajouter aussi le port de PveProxy (l'interface web) qui est le TCP/8006, ce qui nous donne:
Ligne 41 :		Ligne 42 :
	iptables -A INPUT -i vmbr0 -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT		iptables -A INPUT -i vmbr0 -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
	iptables -A INPUT -j DROP		iptables -A INPUT -j DROP
			iptables -A FORWARD -j DROP
	</source>		</source>

Jc.forton : /* Persistance */

2026-06-30T15:08:48Z

Persistance

← Version précédente		Version du 30 juin 2026 à 17:08
Ligne 57 :		Ligne 57 :
	</source>		</source>
	Il vous propose de sauvegarder les règles IPv4 et IPv6 mais pour ceux qui auraient raté le message, vous pouvez toujours faire:		Il vous propose de sauvegarder les règles IPv4 et IPv6 mais pour ceux qui auraient raté le message, vous pouvez toujours faire:
			{\|align=center
			\|-
			\|align=left\|
			Pour IPv4
			\|width=10px\|
			\|align=left\|
			Pour IPv6
			\|-
			\|valign=top\|
			<source lang=bash>
			iptables-save > /etc/iptables/rules.v4
			</source>
			\|width=10px\|
			\|valign=top\|
			<source lang=bash>
			ip6tables-save > /etc/iptables/rules.v6
			</source>
			\|}

Jc.forton : /* Application des règles */

2026-06-30T15:07:17Z

Application des règles

← Version précédente		Version du 30 juin 2026 à 17:07
Ligne 49 :		Ligne 49 :
	ip6tables -P OUTPUT DROP		ip6tables -P OUTPUT DROP
	</source>		</source>

			= Persistance =

			Maintenant que nous avons toutes nos règles, ils faut les faire persister au redémarrage du serveur et pour cela nous allons utiliser le paquetage ''iptables-persistent'':
			<source lang=bash>
			apt -y install iptables-persistent
			</source>
			Il vous propose de sauvegarder les règles IPv4 et IPv6 mais pour ceux qui auraient raté le message, vous pouvez toujours faire:

Jc.forton : /* Application des règles */

2026-06-30T15:03:06Z

Application des règles

← Version précédente		Version du 30 juin 2026 à 17:03
Ligne 26 :		Ligne 26 :
	= Application des règles =		= Application des règles =

	Nous allons paramétrer quelques règles de bases sur l'interface vmbr0 qui nous sert de management, les mêmes qui sont présentes sur une machine Rocky à l'installation d'iptables, à savoir :		Nous allons paramétrer quelques règles de bases sur l'interface ''vmbr0'' qui nous sert de management, les mêmes qui sont présentes sur une machine Rocky à l'installation d'iptables, à savoir :
	* on autorise tout ce qui fait parti d'une session déjà démarrée		* on autorise tout ce qui fait parti d'une session déjà démarrée
	* on autorise tout le trafique sur l'interface de loopback		* on autorise tout le trafique sur l'interface de loopback
Ligne 41 :		Ligne 41 :
	iptables -A INPUT -i vmbr0 -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT		iptables -A INPUT -i vmbr0 -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
	iptables -A INPUT -j DROP		iptables -A INPUT -j DROP
			</source>

			Si vous n'utilisez pas d'IPv6, autant tout bloquer:
			<source lang=bash>
			ip6tables -P INPUT DROP
			ip6tables -P FORWARD DROP
			ip6tables -P OUTPUT DROP
	</source>		</source>

Jc.forton : /* Application des règles */

2026-06-30T15:01:14Z

Application des règles

← Version précédente		Version du 30 juin 2026 à 17:01
Ligne 26 :		Ligne 26 :
	= Application des règles =		= Application des règles =

	Nous allons paramétrer quelques règles de bases, les mêmes qui sont présentes sur une machine Rocky ~~de base~~ à l'installation d'iptables, à savoir :		Nous allons paramétrer quelques règles de bases sur l'interface vmbr0 qui nous sert de management, les mêmes qui sont présentes sur une machine Rocky à l'installation d'iptables, à savoir :
	* on autorise tout ce qui fait parti d'une session déjà démarrée		* on autorise tout ce qui fait parti d'une session déjà démarrée
	* on autorise tout le trafique sur l'interface de loopback		* on autorise tout le trafique sur l'interface de loopback
Ligne 33 :		Ligne 33 :
	* on ''drop'' tout le reste		* on ''drop'' tout le reste

	Et on oublie pas d'ajouter aussi le port de PveProxy (l'interface web), ce qui nous donne:		Et on oublie pas d'ajouter aussi le port de PveProxy (l'interface web) qui est le TCP/8006, ce qui nous donne:
	<source lang=bash>		<source lang=bash>
	# iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT		iptables -A INPUT -i vmbr0 -m state --state RELATED,ESTABLISHED -j ACCEPT
	# iptables -A INPUT -p icmp -j ACCEPT		iptables -A INPUT -i vmbr0 -p icmp -j ACCEPT
	# iptables -A INPUT -i lo -j ACCEPT		iptables -A INPUT -i lo -j ACCEPT
	# iptables -A INPUT -p tcp -m state --state NEW -m tcp --dport 8006 -j ACCEPT		iptables -A INPUT -i vmbr0 -p tcp -m state --state NEW -m tcp --dport 8006 -j ACCEPT
	# iptables -A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT		iptables -A INPUT -i vmbr0 -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
	# iptables -A INPUT -j DROP		iptables -A INPUT -j DROP
	</source>		</source>

Jc.forton : Page créée avec « = Introduction = Vous n'êtes pas sans savoir qu'iptables est une commande permettant configurer [https://fr.wikipedia.org/wiki/Netfilter ''netfilter''] la partie du noyau chargé du filtrage réseau. Iptables est installé de base sur Proxmox mais, comme Proxmox hérite de Debian, aucune configuration n'est faite et aucun moyen de charger la configuration n'est présent... Si jamais vous voulez plus d'information à ce sujet, je vous invite à lire le cours su... »

2026-06-30T14:56:20Z

Page créée avec « = Introduction = Vous n'êtes pas sans savoir qu'iptables est une commande permettant configurer [https://fr.wikipedia.org/wiki/Netfilter ''netfilter''] la partie du noyau chargé du filtrage réseau. Iptables est installé de base sur Proxmox mais, comme Proxmox hérite de Debian, aucune configuration n'est faite et aucun moyen de charger la configuration n'est présent... Si jamais vous voulez plus d'information à ce sujet, je vous invite à lire le cours su... »

Nouvelle page

= Introduction =

Vous n'êtes pas sans savoir qu'iptables est une commande permettant configurer [https://fr.wikipedia.org/wiki/Netfilter ''netfilter''] la partie du noyau chargé du filtrage réseau. Iptables est installé de base sur Proxmox mais, comme Proxmox hérite de Debian, aucune configuration n'est faite et aucun moyen de charger la configuration n'est présent...

Si jamais vous voulez plus d'information à ce sujet, je vous invite à lire le cours sur les [[:Media:Les pare-feux.pdf|pare-feux]] ou les différents articles traitant du sujet !

Avant d'aller plus loin, veuillez configurer des noms explicite sur vos [[Proxmox_first_start#Nommage_des_cartes_réseaux | interfaces réseaux]], dans cet article, l'interface que nous allons sécuriser est l'interface de management.

= État des lieux =

Vous pouvez voir la configuration en tapant la commande suivante:
<source lang=bash>
# iptables -nvL
Chain INPUT (policy ACCEPT 8969 packets, 2422K bytes)
pkts bytes target prot opt in out source destination

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination

Chain OUTPUT (policy ACCEPT 2885 packets, 1041K bytes)
pkts bytes target prot opt in out source destination
</source>

Vous pouvez constater que les polices sont sur ''ACCEPT'' et qu'aucune règle n'est présente dans la chaîne ''INPUT''. C'est ce que les experts appellent une configuration en mode '''passoire''' 😂

= Application des règles =

Nous allons paramétrer quelques règles de bases, les mêmes qui sont présentes sur une machine Rocky de base à l'installation d'iptables, à savoir :
* on autorise tout ce qui fait parti d'une session déjà démarrée
* on autorise tout le trafique sur l'interface de loopback
* on autorise les messages ICMP (ping)
* on autorise le SSH (TCP/22)
* on ''drop'' tout le reste

Et on oublie pas d'ajouter aussi le port de PveProxy (l'interface web), ce qui nous donne:
<source lang=bash>
# iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
# iptables -A INPUT -p icmp -j ACCEPT
# iptables -A INPUT -i lo -j ACCEPT
# iptables -A INPUT -p tcp -m state --state NEW -m tcp --dport 8006 -j ACCEPT
# iptables -A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
# iptables -A INPUT -j DROP
</source>

Proxmox iptables - Historique des versions

Jc.forton : /* Persistance */

Jc.forton : /* Persistance */

Jc.forton : /* Application des règles */

Jc.forton : /* Application des règles */

Jc.forton : /* Persistance */

Jc.forton : /* Application des règles */

Jc.forton : /* Application des règles */

Jc.forton : /* Application des règles */

Jc.forton : /* Persistance */

Jc.forton : /* Persistance */

Jc.forton : /* Application des règles */

Jc.forton : /* Application des règles */

Jc.forton : /* Persistance */

Jc.forton : /* Application des règles */

Jc.forton : /* Application des règles */

Jc.forton : /* Application des règles */