Iptables rules - Historique des versions

217.174.199.129 le 6 mai 2013 à 16:57

2013-05-06T16:57:57Z

← Version précédente		Version du 6 mai 2013 à 16:57
Ligne 9 :		Ligne 9 :
	</pre>		</pre>

	# Règles de base (fichier [https://~~wiki.blaxeenprod.com~~/BENPERSO/files/iptables-rules.sh ici])		# Règles de base (fichier [https://{{SERVERNAME}}/BENPERSO/files/iptables-rules.sh ici])
	<pre>		<pre>

Admin : a déplacé Iptables Rules vers Iptables rules

2013-01-30T11:49:31Z

a déplacé Iptables Rules vers Iptables rules

← Version précédente	Version du 30 janvier 2013 à 11:49
(Aucune différence)

217.174.199.129 le 28 avril 2010 à 16:25

2010-04-28T16:25:47Z

← Version précédente		Version du 28 avril 2010 à 16:25
Ligne 88 :		Ligne 88 :
	$iptables -A INPUT -p tcp --dport 20 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT		$iptables -A INPUT -p tcp --dport 20 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
	# dans la ligne ci-dessous; cela implique que le serveur ftp a dans sa configuration "PassivePorts 49152 65534"		# dans la ligne ci-dessous; cela implique que le serveur ftp a dans sa configuration "PassivePorts 49152 65534"
	$iptables -A INPUT -p tcp --sport 49152:53248 --dport 21 -m state --state ESTABLISHED -j ACCEPT		$iptables -A INPUT -p tcp --dport 49152:65534 -m state --state RELATED,ESTABLISHED -j ACCEPT
			# ou
			$iptables -A INPUT -p tcp --sport 49152:53248 --dport 21 -m state --state RELATED,ESTABLISHED -j ACCEPT

	# Autres paquets		# Autres paquets

88.183.179.48 le 12 avril 2009 à 14:31

2009-04-12T14:31:32Z

← Version précédente		Version du 12 avril 2009 à 14:31
Ligne 9 :		Ligne 9 :
	</pre>		</pre>

	# Règles de base		# Règles de base (fichier [https://wiki.blaxeenprod.com/BENPERSO/files/iptables-rules.sh ici])
	<pre>		<pre>

Admin le 6 avril 2009 à 08:11

2009-04-06T08:11:08Z

← Version précédente		Version du 6 avril 2009 à 08:11
Ligne 4 :		Ligne 4 :

	Pour que cela match, il nous faut une regle :		Pour que cela match, il nous faut une regle :
			<pre>
	$ip -A INPUT -p tcp --syn --dport 25 -i eth0 -j accept-smtp		$ip -A INPUT -p tcp --syn --dport 25 -i eth0 -j accept-smtp

	$ip -A INPUT -p tcp --dport 25 -i eth0 -j ACCEPT		$ip -A INPUT -p tcp --dport 25 -i eth0 -j ACCEPT
			</pre>

			# Règles de base
	Règles de base
	<pre>		<pre>

Admin le 6 avril 2009 à 08:10

2009-04-06T08:10:41Z

← Version précédente		Version du 6 avril 2009 à 08:10
Ligne 1 :		Ligne 1 :
			# Affiche le nombre de connexions SMTP IPv4 et remet le compteur à 0. Dans les regles de firewall sur le port 25

			/sbin/iptables -Z -L accept-smtp -n -v -x \| /bin/grep 'ACCEPT' \| while read a b; do echo $a; done

			Pour que cela match, il nous faut une regle :
			$ip -A INPUT -p tcp --syn --dport 25 -i eth0 -j accept-smtp

			$ip -A INPUT -p tcp --dport 25 -i eth0 -j ACCEPT


	Règles de base		Règles de base

	<pre>		<pre>

Admin le 2 avril 2009 à 14:17

2009-04-02T14:17:08Z

← Version précédente		Version du 2 avril 2009 à 14:17
Ligne 68 :		Ligne 68 :
	$iptables -A INPUT -s ${NUALA} -p udp --dport 161 -j ACCEPT		$iptables -A INPUT -s ${NUALA} -p udp --dport 161 -j ACCEPT

	# FTP		# FTP Actif
	$ip -A INPUT -p tcp --dport 21 -m state --state NEW,ESTABLISHED -j ACCEPT		$iptables -A INPUT -p tcp --sport 20 -m state --state ESTABLISHED,RELATED -j ACCEPT
	$ip -A INPUT -p tcp --dport 20 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT		$iptables -A OUTPUT -p tcp --dport 20 -m state --state ESTABLISHED -j ACCEPT

			# FTP Passif
			#$iptables -A INPUT -p tcp --sport 1024: --dport 1024: -m state --state ESTABLISHED -j ACCEPT
			#$iptables -A OUTPUT -p tcp --sport 1024: --dport 1024: -m state --state ESTABLISHED,RELATED -j ACCEPT

			$iptables -A INPUT -p tcp --dport 21 -m state --state NEW,ESTABLISHED -j ACCEPT
			$iptables -A INPUT -p tcp --dport 20 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
	# dans la ligne ci-dessous; cela implique que le serveur ftp a dans sa configuration "PassivePorts 49152 65534"		# dans la ligne ci-dessous; cela implique que le serveur ftp a dans sa configuration "PassivePorts 49152 65534"
	$ip -A INPUT -p tcp --sport 49152:53248 --dport 21 -m state --state ESTABLISHED -j ACCEPT		$iptables -A INPUT -p tcp --sport 49152:53248 --dport 21 -m state --state ESTABLISHED -j ACCEPT

	# Autres paquets		# Autres paquets

Admin le 25 mars 2009 à 17:16

2009-03-25T17:16:11Z

← Version précédente		Version du 25 mars 2009 à 17:16
Ligne 5 :		Ligne 5 :
	#!/bin/bash		#!/bin/bash
	#		#
	# Ce fichier est un script shell ~~executÃ©~~ quand l'interface eth0 est mise up		# Ce fichier est un script shell execute quand l'interface eth0 est mise up
	# (voir fichier /etc/network/interfaces)		# (voir fichier /etc/network/interfaces)

Ligne 37 :		Ligne 37 :
	$iptables -A OUTPUT -o lo -j ACCEPT		$iptables -A OUTPUT -o lo -j ACCEPT

	##### En entree ##### ==============================================================================		#### En entree ##### ==============================================================================

	# Les paquets TCP SYN + FIN sont droppes par securite.		# Les paquets TCP SYN + FIN sont droppes par securite.
	$iptables -A INPUT -p tcp --tcp-flags SYN,FIN SYN,FIN -j log-drop		$iptables -A INPUT -p tcp --tcp-flags SYN,FIN SYN,FIN -j log-drop

	# Les connexions deja etablies (initiees par la machine locale) sont permises.		# Les connexions deja etablies (initiees par la machine locale) sont permises.
	$iptables -A INPUT -p tcp -m state --state ESTABLISHED -j ACCEPT		$iptables -A INPUT -p tcp -m state --state ESTABLISHED -j ACCEPT
	$iptables -A INPUT -p udp -m state --state ESTABLISHED -j ACCEPT		$iptables -A INPUT -p udp -m state --state ESTABLISHED -j ACCEPT
	$iptables -A INPUT -p icmp -m state --state ESTABLISHED,RELATED -j ACCEPT		$iptables -A INPUT -p icmp -m state --state ESTABLISHED,RELATED -j ACCEPT

	# Regles globales en entree ---------------------------------------------------------------		# Regles globales en entree ---------------------------------------------------------------

	# Pings.		# Pings.
	$iptables -A INPUT -p icmp --icmp-type 'echo-request' -m length --length 1500: -j log-drop		$iptables -A INPUT -p icmp --icmp-type 'echo-request' -m length --length 1500: -j log-drop
	$iptables -A INPUT -p icmp --icmp-type 'echo-request' -j ACCEPT		$iptables -A INPUT -p icmp --icmp-type 'echo-request' -j ACCEPT

	# Sonde Nagios		# Sonde Nagios
	$iptables -A INPUT -p tcp -s ${NAGIOS} --dport 11111 -j REJECT --reject-with host-prohib		$iptables -A INPUT -p tcp -s ${NAGIOS} --dport 11111 -j REJECT --reject-with host-prohib

	# HTTTP		# HTTTP
Ligne 60 :		Ligne 60 :
	$iptables -A INPUT -p tcp --dport 80 -j ACCEPT		$iptables -A INPUT -p tcp --dport 80 -j ACCEPT

			# SSH
			$iptables -A INPUT -s ${SRI} -p tcp --dport 22 -j ACCEPT
			$iptables -A INPUT -s ${NAGIOS} -p tcp --dport 22 -j ACCEPT

	~~# SSH~~		# SNMP
	~~$iptables -A INPUT -s ${SRI} -p tcp --dport 22 -j ACCEPT~~		$iptables -A INPUT -s ${NAGIOS} -p udp --dport 161 -j ACCEPT
	~~$iptables -A INPUT -s ${NAGIOS} -p tcp --dport 22 -j ACCEPT~~		$iptables -A INPUT -s ${NUALA} -p udp --dport 161 -j ACCEPT

	# SNMP
	$iptables -A INPUT -s ${NAGIOS} -p udp --dport 161 -j ACCEPT
	$iptables -A INPUT -s ${NUALA} -p udp --dport 161 -j ACCEPT

	# FTP		# FTP
	$ip -A INPUT -p tcp --dport 21 -m state --state NEW,ESTABLISHED -j ACCEPT		$ip -A INPUT -p tcp --dport 21 -m state --state NEW,ESTABLISHED -j ACCEPT
	$ip -A INPUT -p tcp --dport 20 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT		$ip -A INPUT -p tcp --dport 20 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
			# dans la ligne ci-dessous; cela implique que le serveur ftp a dans sa configuration "PassivePorts 49152 65534"
	$ip -A INPUT -p tcp --sport 49152:53248 --dport 21 -m state --state ESTABLISHED -j ACCEPT		$ip -A INPUT -p tcp --sport 49152:53248 --dport 21 -m state --state ESTABLISHED -j ACCEPT

			# Autres paquets
			$iptables -A INPUT -j log-drop
			$iptables -A INPUT -j DROP

	~~# Autres paquets~~		##### En sortie ##### ===============================================================================
	~~$iptables -A INPUT -j log-drop~~
	~~$iptables -A INPUT -j DROP~~


	##### En sortie ##### ===============================================================================

	# Les paquets RFC 1918 sont ~~droppÃ©s~~ en sortie		# Les paquets RFC 1918 sont droppe©s en sortie

	$iptables -A OUTPUT -d 10.0.0.0/8 -o eth0 -j log-drop		$iptables -A OUTPUT -d 10.0.0.0/8 -o eth0 -j log-drop
	$iptables -A OUTPUT -d 127.0.0.0/8 -o eth0 -j log-drop		$iptables -A OUTPUT -d 127.0.0.0/8 -o eth0 -j log-drop
	$iptables -A OUTPUT -d 192.168.0.0/16 -o eth0 -j log-drop		$iptables -A OUTPUT -d 192.168.0.0/16 -o eth0 -j log-drop
	$iptables -A OUTPUT -d 172.16.0.0/12 -o eth0 -j log-drop		$iptables -A OUTPUT -d 172.16.0.0/12 -o eth0 -j log-drop
	$iptables -A OUTPUT -d 224.0.0.0/4 -o eth0 -j log-drop		$iptables -A OUTPUT -d 224.0.0.0/4 -o eth0 -j log-drop

	# Tout le reste est permis		# Tout le reste est permis

	$iptables -A OUTPUT -j ACCEPT		$iptables -A OUTPUT -j ACCEPT

	# ~~TerminÃ©.~~		# Termine

	exit 0		exit 0
	</pre>		</pre>

	[[Catégorie:Software]]		[[Catégorie:Software]]

Admin le 25 mars 2009 à 17:13

2009-03-25T17:13:31Z

← Version précédente		Version du 25 mars 2009 à 17:13
Ligne 1 :		Ligne 1 :
	Règles de base		Règles de base

			<pre>

			#!/bin/bash
			#
			# Ce fichier est un script shell executÃ© quand l'interface eth0 est mise up
			# (voir fichier /etc/network/interfaces)

			logger -t "/etc/iptables.sh" "Setting up iptables rules."

			set -e

			iptables='/sbin/iptables'

			# Defenition des adresses IP.

			IP_ALPES='212.43.194.72'
			IP_FTP='212.43.194.73'

			SRI='212.43.232.64/27'
			NAGIOS='212.43.194.38'

			# Flush toutes les regles/chaines existantes -----------------------------------------------------------------------
			$iptables -F
			$iptables -X

			# log-drop LOG puis DROP
			$iptables -N log-drop
			#iptables -A log-drop -j LOG --log-prefix "DROPPED: "
			$iptables -A log-drop -j DROP

			# Le forwarding entre interfaces est completement interdit.
			#$iptables -A FORWARD -j LOG --log-prefix "FORWARD: "
			$iptables -A FORWARD -j DROP
			$iptables -A INPUT -i lo -j ACCEPT
			$iptables -A OUTPUT -o lo -j ACCEPT

			##### En entree ##### ==============================================================================

			# Les paquets TCP SYN + FIN sont droppes par securite.
			$iptables -A INPUT -p tcp --tcp-flags SYN,FIN SYN,FIN -j log-drop

			# Les connexions deja etablies (initiees par la machine locale) sont permises.
			$iptables -A INPUT -p tcp -m state --state ESTABLISHED -j ACCEPT
			$iptables -A INPUT -p udp -m state --state ESTABLISHED -j ACCEPT
			$iptables -A INPUT -p icmp -m state --state ESTABLISHED,RELATED -j ACCEPT

			# Regles globales en entree ---------------------------------------------------------------

			# Pings.
			$iptables -A INPUT -p icmp --icmp-type 'echo-request' -m length --length 1500: -j log-drop
			$iptables -A INPUT -p icmp --icmp-type 'echo-request' -j ACCEPT

			# Sonde Nagios
			$iptables -A INPUT -p tcp -s ${NAGIOS} --dport 11111 -j REJECT --reject-with host-prohib

			# HTTTP
			$iptables -A INPUT -p tcp -s 41.223.248.0/22 --dport 80 -j DROP
			$iptables -A INPUT -p tcp --dport 80 -j ACCEPT


			# SSH
			$iptables -A INPUT -s ${SRI} -p tcp --dport 22 -j ACCEPT
			$iptables -A INPUT -s ${NAGIOS} -p tcp --dport 22 -j ACCEPT

			# SNMP
			$iptables -A INPUT -s ${NAGIOS} -p udp --dport 161 -j ACCEPT
			$iptables -A INPUT -s ${NUALA} -p udp --dport 161 -j ACCEPT

			# FTP
			$ip -A INPUT -p tcp --dport 21 -m state --state NEW,ESTABLISHED -j ACCEPT
			$ip -A INPUT -p tcp --dport 20 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
			$ip -A INPUT -p tcp --sport 49152:53248 --dport 21 -m state --state ESTABLISHED -j ACCEPT


			# Autres paquets
			$iptables -A INPUT -j log-drop
			$iptables -A INPUT -j DROP


			##### En sortie ##### ===============================================================================

			# Les paquets RFC 1918 sont droppÃ©s en sortie

			$iptables -A OUTPUT -d 10.0.0.0/8 -o eth0 -j log-drop
			$iptables -A OUTPUT -d 127.0.0.0/8 -o eth0 -j log-drop
			$iptables -A OUTPUT -d 192.168.0.0/16 -o eth0 -j log-drop
			$iptables -A OUTPUT -d 172.16.0.0/12 -o eth0 -j log-drop
			$iptables -A OUTPUT -d 224.0.0.0/4 -o eth0 -j log-drop

			# Tout le reste est permis

			$iptables -A OUTPUT -j ACCEPT

			# TerminÃ©.

			exit 0
			</pre>

	[[Catégorie:Software]]		[[Catégorie:Software]]

212.43.232.68 : Page créée avec « Règles de base Catégorie:Software »

2009-03-24T16:23:48Z

Page créée avec « Règles de base Catégorie:Software »

Nouvelle page

Règles de base

[[Catégorie:Software]]