Configuration netfilter

Support Debian
#1

Bonjour,

mon script de firewall ressemble à ça:
iptables -t filter -P INPUT DROP
iptables -t filter -P OUTPUT DROP
iptables -t filter -P FORWARD DROP

iptables -t filter -A OUTPUT -o lo -j ACCEPT
iptables -t filter -A INPUT -i lo -j ACCEPT

#ssh et Mpd
iptables -t filter -A INPUT -i wlan0 -p tcp --dport 6600 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

iptables -t filter -A INPUT -i wlan0 -p tcp --dport 22 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
iptables -t filter -A INPUT -i wlan0 -p tcp --dport 8025 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

iptables -t filter -A OUTPUT -o wlan0 -p tcp --sport 6600 -j ACCEPT
iptables -t filter -A OUTPUT -o wlan0 -p tcp --sport 22 -j ACCEPT
iptables -t filter -A OUTPUT -o wlan0 -p tcp --sport 8025 -j ACCEPT

Pour ddclient

iptables -t filter -A INPUT -i wlan0 -p tcp --sport 80 -m state --state NEW,ESTABLISHED,RELATED ACCEPT
iptables -t filter -A INPUT -i wlan0 -p udp --sport 53 -j ACCEPT
iptables -t filter -A OUTPUT -o wlan0 -p tcp --dport 80 -j ACCEPT
iptables -t filter -A OUTPUT -o wlan0 -p udp --dport 53 -j ACCEPT

Suite à quelque message de Fran.b (ci dessous), j’ai appris que j’ai un belle faille de sécurité. Maintenant je voudrai savoir comment regler le problème.

Sachant que je veux pouvoir utiliser ssh,mpd(port 6600) et le streamingmpd(port 8025) à distance

[quote=“fran.b”]Tes règles

Citer:
iptables -t filter -A OUTPUT -o wlan0 -p tcp --sport 6600 -j ACCEPT
iptables -t filter -A OUTPUT -o wlan0 -p tcp --sport 22 -j ACCEPT
iptables -t filter -A OUTPUT -o wlan0 -p tcp --sport 8025 -j ACCEPT
sont inutiles et induisent un trou de sécurité, n’importe quel programme utilisant les ports 6600 ou 8025 pourront sortir de ta machine sans pbm de même pour les règles

Citer:
ptables -t filter -A INPUT -i wlan0 -p tcp --sport 80 -m state --state NEW,ESTABLISHED,RELATED ACCEPT
iptables -t filter -A INPUT -i wlan0 -p udp --sport 53 -j ACCEPT
(là c’est moins grave car il faut être root pour utiliser les ports < 1024)

Par ailleurs, tu devrais accepter les ESTABLISHED,RELATED en général. [/quote]

#2

iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPTdevrait régler ton problème.

#3

Merci.
Je crois que je vais me repencher un peu sur les tuto sur iptables.
Pour le moment j’ai trouvé ce lien qui me semble pas mal:
olivieraj.free.fr/fr/linux/infor … index.html

Si vous avez d’autres liens interressant…

#4

Attention : le chapitre sur le suivi d’état de connexion (conntrack) est abominable, truffé d’erreurs et d’approximations. Je suggère le tutorial iptables d’Oskar Andreasson (trouvable facilement avec votre moteur de recherche web préféré). Des versions françaises sont disponibles, mais je ne garantis pas la qualité de la traduction qui est toujours délicate dans ce genre de domaine où le jargon anglophone domine.

#5

Merci pour ta reponse.
Pour ceux qui sont interressé vous pourrez trouver le tuto ici:
linux-france.org/prj/inetdoc … torial.pdf