Transparent firewall - Historique des versions

Magsss : /* Exemple de configuration */

2014-03-10T17:14:58Z

Exemple de configuration

← Version précédente		Version du 10 mars 2014 à 19:14
Ligne 78 :		Ligne 78 :
	= Exemple de configuration =		= Exemple de configuration =

	On va configurer le pare-feu pour que le serveur de mails ainsi que le serveur web ~~puisse~~ avoir accès à Internet (pour les mises à jour) et que les clients puissent les ~~joindres~~		On va configurer le pare-feu pour que le serveur de mails ainsi que le serveur web puissent avoir accès à Internet (pour les mises à jour) et que les clients puissent les joindre
	== Mise en place ==		== Mise en place ==
	Tout d'abord on va autoriser tout le trafic initié depuis l'intérieur (par les deux serveurs)		Tout d'abord, on va autoriser tout le trafic initié depuis l'intérieur (par les deux serveurs)
	<pre>		<pre>
	-A FORWARD -m state --state RELATED,ESTABLISHED -o br0 -j ACCEPT		-A FORWARD -m state --state RELATED,ESTABLISHED -o br0 -j ACCEPT
Ligne 98 :		Ligne 98 :
	-A FORWARD -i br0 -p tcp --dport 80 -j ACCEPT		-A FORWARD -i br0 -p tcp --dport 80 -j ACCEPT
	</pre>		</pre>
	De manière ~~optionnel~~ on peut autoriser le ''PING''		De manière optionnelle, on peut autoriser le ''PING''
	<pre>		<pre>
	-A FORWARD -i br0 -p icmp -j ACCEPT		-A FORWARD -i br0 -p icmp -j ACCEPT
Ligne 114 :		Ligne 114 :
	</pre>		</pre>

	Et si vous ~~faites~~ une requête ''HTTP'' on voit bien le compteur de la ligne ''-A FORWARD -i br0 -p tcp --dport 80 -j ACCEPT'' s'incrémenter.		Et si vous faîtes une requête ''HTTP'' on voit bien le compteur de la ligne ''-A FORWARD -i br0 -p tcp --dport 80 -j ACCEPT'' s'incrémenter.

	Une fois que la connexion ''TCP'' est établie (3 échanges) on passe par la ligne ''-A FORWARD -m state --state RELATED,ESTABLISHED -o br0 -j ACCEPT''		Une fois que la connexion ''TCP'' est établie (3 échanges) on passe par la ligne ''-A FORWARD -m state --state RELATED,ESTABLISHED -o br0 -j ACCEPT''

Magsss : /* Embrayes Iptables ! */

2014-03-10T17:13:46Z

Embrayes Iptables !

← Version précédente		Version du 10 mars 2014 à 19:13
Ligne 64 :		Ligne 64 :
	</pre>		</pre>

	C'est fini !! Enfin presque, il ne reste plus qu'à configurer les règles de filtrage dans la ~~chaine~~ ''FORWARD''		C'est fini !! Enfin presque, il ne reste plus qu'à configurer les règles de filtrage dans la chaîne ''FORWARD''

	On peut s'en rendre compte grâce au compteur de la chaîne ''FORWARD'' qui ne fait qu'augmenter:		On peut s'en rendre compte grâce au compteur de la chaîne ''FORWARD'' qui ne fait qu'augmenter:

Magsss : /* Configuration réseau */

2014-03-10T17:12:49Z

Configuration réseau

← Version précédente		Version du 10 mars 2014 à 19:12
Ligne 36 :		Ligne 36 :
	Notre bridge est donc accessible à l'adresse ''10.0.0.20'' et nos serveurs le seront aux adresses 10.0.0.21, 10.0.0.22, ...		Notre bridge est donc accessible à l'adresse ''10.0.0.20'' et nos serveurs le seront aux adresses 10.0.0.21, 10.0.0.22, ...

	De la sorte, il n'y a aucune translation d'adresse, ce qui peut être intéressant pour ~~certain~~ protocoles (eg. IPSec, AH, ...) et, on peut également filtrer les accès à ces machines sans appliquer aucune ligne de commande sur ces dernières.		De la sorte, il n'y a aucune translation d'adresse, ce qui peut être intéressant pour certains protocoles (eg. IPSec, AH, ...) et on peut également filtrer les accès à ces machines sans appliquer aucune ligne de commande sur ces dernières.


	= Embrayes Iptables ! =		= Embrayes Iptables ! =

Magsss : /* Introduction */

2014-03-10T17:11:52Z

Introduction

← Version précédente		Version du 10 mars 2014 à 19:11
Ligne 7 :		Ligne 7 :
	</div>		</div>

	L'objectif est de constituer un point de passage obligatoire pour tout le trafic ce qui peut, par exemple, être intéressant pour filtrer le trafic d'une DMZ publique, construire des ~~statistique~~ sur le trafic sur un LAN, etc...		L'objectif est de constituer un point de passage obligatoire pour tout le trafic, ce qui peut, par exemple, être intéressant pour filtrer le trafic d'une DMZ publique, construire des statistiques sur le trafic sur un LAN, etc...

	= Pré-requis =		= Pré-requis =

Jc.forton : /* Test */

2014-02-18T07:31:12Z

Test

← Version précédente		Version du 18 février 2014 à 09:31
Ligne 129 :		Ligne 129 :
	0 0 ACCEPT udp -- br0 * 0.0.0.0/0 0.0.0.0/0 udp dpt:53		0 0 ACCEPT udp -- br0 * 0.0.0.0/0 0.0.0.0/0 udp dpt:53
	1 60 ACCEPT tcp -- br0 * 0.0.0.0/0 0.0.0.0/0 tcp dpt:80		1 60 ACCEPT tcp -- br0 * 0.0.0.0/0 0.0.0.0/0 tcp dpt:80
	~~0 0 ACCEPT all -- eth2 br0 0.0.0.0/0 0.0.0.0/0~~
	~~0 0 ACCEPT all -- eth3 br0 0.0.0.0/0 0.0.0.0/0~~
	0 0 ACCEPT icmp -- br0 * 0.0.0.0/0 0.0.0.0/0		0 0 ACCEPT icmp -- br0 * 0.0.0.0/0 0.0.0.0/0
	0 0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0		0 0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0

Jc.forton : /* Test */

2014-02-18T07:14:05Z

Test

← Version précédente		Version du 18 février 2014 à 09:14
Ligne 139 :		Ligne 139 :
	{\| class="wikitable"		{\| class="wikitable"
	\|-		\|-
	! Paquet !! Sens de ciculation !! Règle Iptables		! Index \|\| Paquet !! Sens de ciculation !! Règle Iptables
	\|-		\|-
	\| SYN \|\| Client → Serveur \|\| -A FORWARD -i br0 -p tcp --dport 80 -j ACCEPT		\| 1 \|\| SYN \|\| Client → Serveur \|\| -A FORWARD -i br0 -p tcp --dport 80 -j ACCEPT
	\|-		\|-
	\| SYN+ACK \|\| Client ← Serveur \|\| -A FORWARD -m state --state RELATED,ESTABLISHED -o br0 -j ACCEPT		\| 2 \|\| SYN+ACK \|\| Client ← Serveur \|\| -A FORWARD -m state --state RELATED,ESTABLISHED -o br0 -j ACCEPT
	\|-		\|-
	\| ACK \|\| Client → Serveur \|\| -A FORWARD -m state --state RELATED,ESTABLISHED -o br0 -j ACCEPT		\| 3 \|\| ACK \|\| Client → Serveur \|\| -A FORWARD -m state --state RELATED,ESTABLISHED -o br0 -j ACCEPT
	\|-		\|-
	\| GET / \|\| Client → Serveur \|\| -A FORWARD -m state --state RELATED,ESTABLISHED -o br0 -j ACCEPT		\| 4 \|\| GET / \|\| Client → Serveur \|\| -A FORWARD -m state --state RELATED,ESTABLISHED -o br0 -j ACCEPT
	\|-		\|-
	\| CONTENU \|\| Client ← Serveur \|\| -A FORWARD -m state --state RELATED,ESTABLISHED -o br0 -j ACCEPT		\| 5 \|\| CONTENU \|\| Client ← Serveur \|\| -A FORWARD -m state --state RELATED,ESTABLISHED -o br0 -j ACCEPT
	\|}		\|}

	On a bien 5 paquets, le compte y est !		On a bien 5 paquets, le compte y est !

Jc.forton : /* Exemple de configuration */

2014-02-18T07:13:20Z

Exemple de configuration

← Version précédente		Version du 18 février 2014 à 09:13
Ligne 78 :		Ligne 78 :

	= Exemple de configuration =		= Exemple de configuration =

			On va configurer le pare-feu pour que le serveur de mails ainsi que le serveur web puisse avoir accès à Internet (pour les mises à jour) et que les clients puissent les joindres
			== Mise en place ==
			Tout d'abord on va autoriser tout le trafic initié depuis l'intérieur (par les deux serveurs)
			<pre>
			-A FORWARD -m state --state RELATED,ESTABLISHED -o br0 -j ACCEPT
			</pre>
			On va accepter tous les paquets ''DHCP''
			<pre>
			-A FORWARD -i br0 -p udp --dport 67 -j ACCEPT
			-A FORWARD -i br0 -p udp --dport 68 -j ACCEPT
			</pre>
			On va maintenant autoriser les requêtes ''DNS''
			<pre>
			-A FORWARD -i br0 -p udp --dport 53 -j ACCEPT
			</pre>
			On va autoriser le trafic ''SMTP'' et ''HTTP''
			<pre>
			-A FORWARD -i br0 -p tcp --dport 25 -j ACCEPT
			-A FORWARD -i br0 -p tcp --dport 80 -j ACCEPT
			</pre>
			De manière optionnel on peut autoriser le ''PING''
			<pre>
			-A FORWARD -i br0 -p icmp -j ACCEPT
			</pre>
			Enfin on ''DROP'' tout le reste !
			<pre>
			-A FORWARD -j DROP
			</pre>
			== Test ==

			Tout d'abord, on va lancer la commande suivante qui va afficher les compteurs de la chaîne ''FORWARD'' toutes les secondes

			<pre>
			# watch -n 1 'iptables -nvL FORWARD'
			</pre>

			Et si vous faites une requête ''HTTP'' on voit bien le compteur de la ligne ''-A FORWARD -i br0 -p tcp --dport 80 -j ACCEPT'' s'incrémenter.

			Une fois que la connexion ''TCP'' est établie (3 échanges) on passe par la ligne ''-A FORWARD -m state --state RELATED,ESTABLISHED -o br0 -j ACCEPT''

			<pre>
			Every 1,0s: iptables -nvL FORWARD Tue Feb 18 08:03:21 2014

			Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
			pkts bytes target prot opt in out source destination
			4 224 ACCEPT all -- * br0 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
			0 0 ACCEPT udp -- br0 * 0.0.0.0/0 0.0.0.0/0 udp dpt:67
			0 0 ACCEPT udp -- br0 * 0.0.0.0/0 0.0.0.0/0 udp dpt:68
			0 0 ACCEPT udp -- br0 * 0.0.0.0/0 0.0.0.0/0 udp dpt:53
			1 60 ACCEPT tcp -- br0 * 0.0.0.0/0 0.0.0.0/0 tcp dpt:80
			0 0 ACCEPT all -- eth2 br0 0.0.0.0/0 0.0.0.0/0
			0 0 ACCEPT all -- eth3 br0 0.0.0.0/0 0.0.0.0/0
			0 0 ACCEPT icmp -- br0 * 0.0.0.0/0 0.0.0.0/0
			0 0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0

			</pre>

			Si on récapitule:
			{\| class="wikitable"
			\|-
			! Paquet !! Sens de ciculation !! Règle Iptables
			\|-
			\| SYN \|\| Client → Serveur \|\| -A FORWARD -i br0 -p tcp --dport 80 -j ACCEPT
			\|-
			\| SYN+ACK \|\| Client ← Serveur \|\| -A FORWARD -m state --state RELATED,ESTABLISHED -o br0 -j ACCEPT
			\|-
			\| ACK \|\| Client → Serveur \|\| -A FORWARD -m state --state RELATED,ESTABLISHED -o br0 -j ACCEPT
			\|-
			\| GET / \|\| Client → Serveur \|\| -A FORWARD -m state --state RELATED,ESTABLISHED -o br0 -j ACCEPT
			\|-
			\| CONTENU \|\| Client ← Serveur \|\| -A FORWARD -m state --state RELATED,ESTABLISHED -o br0 -j ACCEPT
			\|}

			On a bien 5 paquets, le compte y est !

Jc.forton : /* Embrayes Iptables ! */

2014-02-18T06:55:46Z

Embrayes Iptables !

← Version précédente		Version du 18 février 2014 à 08:55
Ligne 76 :		Ligne 76 :
	5 215 DROP all -- * * 0.0.0.0/0 0.0.0.0/0		5 215 DROP all -- * * 0.0.0.0/0 0.0.0.0/0
	</pre>		</pre>

			= Exemple de configuration =

Jc.forton : /* Embrayes Iptables ! */

2014-02-17T10:28:15Z

Embrayes Iptables !

← Version précédente		Version du 17 février 2014 à 12:28
Ligne 41 :		Ligne 41 :
	= Embrayes Iptables ! =		= Embrayes Iptables ! =

	Les puristes diront tout de suite: impossible d'activer Iptables (IP $rarr; niveau 3 OSI) sur un bridge (MAC $rarr; niveau 2 OSI)...		Les puristes diront tout de suite: impossible d'activer Iptables (IP → niveau 3 OSI) sur un bridge (MAC → niveau 2 OSI)...

	Eh ben si !		Eh ben si !

Jc.forton : /* Embrayes Iptables ! */

2014-02-15T18:27:23Z

Embrayes Iptables !

← Version précédente		Version du 15 février 2014 à 20:27
Ligne 58 :		Ligne 58 :

	</pre>		</pre>

			On n’oublie pas de recharger les paramètres du noyau

			<pre>
			# sysctl -p
			</pre>

	C'est fini !! Enfin presque, il ne reste plus qu'à configurer les règles de filtrage dans la chaine ''FORWARD''		C'est fini !! Enfin presque, il ne reste plus qu'à configurer les règles de filtrage dans la chaine ''FORWARD''

Transparent firewall - Historique des versions

Magsss : /* Exemple de configuration */

Magsss : /* Embrayes Iptables ! */

Magsss : /* Configuration réseau */

Magsss : /* Introduction */

Jc.forton : /* Test */

Jc.forton : /* Test */

Jc.forton : /* Exemple de configuration */

Jc.forton : /* Embrayes Iptables ! */

Jc.forton : /* Embrayes Iptables ! */

Jc.forton : /* Embrayes Iptables ! */

Magsss : /* Exemple de configuration */

Magsss : /* Embrayes Iptables ! */

Magsss : /* Configuration réseau */

Magsss : /* Introduction */

Jc.forton : /* Test */

Jc.forton : /* Test */

Jc.forton : /* Exemple de configuration */

Jc.forton : /* Embrayes Iptables ! */

Jc.forton : /* Embrayes Iptables ! */

Jc.forton : /* Embrayes Iptables ! */