# Configuration pare-feu

**URL:** <https://www.debian-fr.org/t/configuration-pare-feu/58336>\
**Category:** Programmation\
**Created:** [Février 21, 2016, 5:41 UTC](https://www.debian-fr.org/t/configuration-pare-feu/58336 "2016-02-21T17:41:18Z")\
**Posts on this page:** 4\
**Page:** 1

<div class="post-metadata">

**Author:** ![Dunatotatos](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/d/c2a13f/32.png) [@Dunatotatos](https://www.debian-fr.org/u/Dunatotatos)\
**Post date:** [Février 21, 2016, 5:41 UTC](https://www.debian-fr.org/t/configuration-pare-feu/58336/1 "2016-02-21T17:41:18Z")

</div>

Salut à tous,

Je m’intéresse aux fonctionnements des communications réseaux, et le sujet du “port knocking” m’a plu. Du coup, j’essaie de développer un outil un petit peu plus évolué que le démon knockd. J’implémente essentiellement deux améliorations :  
[ul][li]la séquence de ports change selon divers paramètres (temps, adresse IP source, …)[/li]  
[li]le contenu du paquet envoyé entre en jeu[/li][/ul]

Pour l’évolution de la séquence, il n’y a aucun souci. Par contre, pour analyser le contenu du paquet, il doit parvenir jusqu’à l’application qui écoute sur certains ports. Mais pour que le système de port knocking reste muet, un paquet “ICMP Destination Unreachable” doit être envoyé. Existe-t-il une règle (de préférence pour iptables) qui permettent de faire croire de l’extérieur à un REJECT, tout en transmettant le paquet à une application ?

---

<div class="post-metadata">

**Author:** ![MisterFreez](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/m/bb73d2/32.png) [@MisterFreez](https://www.debian-fr.org/u/MisterFreez)\
**Post date:** [Février 21, 2016, 5:41 UTC](https://www.debian-fr.org/t/configuration-pare-feu/58336/2 "2016-02-21T17:41:19Z")

</div>

Le plus simple à mon avis est d’utiliser nfqueue ça permet de demander à netfilter de déléguer la décision de quoi faire d’un paquet à un processus à part entière. Du coup tu peut avoir ton processus qui reçois les paquets depuis cette queue est qui agit comme bon te semble tout en refusant le paquet d’un point de vu netfilter.

[unixgarden.com/index.php/gnu … plications](http://www.unixgarden.com/index.php/gnu-linux-magazine-hs/nfqueue-la-meteo-et-autres-applications)

---

<div class="post-metadata">

**Author:** ![PascalHambourg](https://www.debian-fr.org/user_avatar/www.debian-fr.org/pascalhambourg/32/5837_2.png) [@PascalHambourg](https://www.debian-fr.org/u/PascalHambourg)\
**Post date:** [Février 21, 2016, 5:41 UTC](https://www.debian-fr.org/t/configuration-pare-feu/58336/3 "2016-02-21T17:41:43Z")

</div>

Ou bien utiliser libpcap pour capturer les paquets reçus à bas niveau, comme le font knockd et bien d’autres outils. Ainsi pas besoin de s’occuper des ICMP port unreachable, c’est la pile IP qui les envoie elle-même comme pour n’importe quel autre port UDP fermé.

---

<div class="post-metadata">

**Author:** ![Dunatotatos](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/d/c2a13f/32.png) [@Dunatotatos](https://www.debian-fr.org/u/Dunatotatos)\
**Post date:** [Février 21, 2016, 5:41 UTC](https://www.debian-fr.org/t/configuration-pare-feu/58336/4 "2016-02-21T17:41:44Z")

</div>

Awesome \o/  
Vos deux solutions me conviennent parfaitement. Pour le moment, j’opte pour NFQUEUE, mais libpcap me servira pour d’autres projets.

Merci à tous les deux 🙂