# Digression Installation parefeu (iptables & ip6tables) "pour les nuls" **URL:** \ **Category:** Support Debian\ **Created:** [Février 19, 2016, 12:17 UTC](https://www.debian-fr.org/t/digression-installation-parefeu-iptables-ip6tables-pour-les-nuls/771 "2016-02-19T00:17:08Z")\ **Posts on this page:** 20\ **Page:** 23
**Author:** ![panthere](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/p/5daacb/32.png) [@panthere](https://www.debian-fr.org/u/panthere)\ **Post date:** [Février 21, 2016, 9:57 UTC](https://www.debian-fr.org/t/digression-installation-parefeu-iptables-ip6tables-pour-les-nuls/771/441 "2016-02-21T21:57:31Z")
[quote=“ricardo”]Tu n’as pas dû lire les 3 premières lignes du tuto : [quote]Voici une sorte de ‘tuto’ destiné à l’installation primaire d’un pare-feu (ou parefeu) sous Debian. Ce qui suit n’a pas pour objectif de renseigner les utilisateurs accomplis, qui n’y apprendront rien de plus que ce qu’ils savent mais est plutôt dirigé vers les débutants, avec un maximum d’explications.[/quote] Mais rien ne t’empêche d’écrire un tuto plus complet. 😉[/quote] avec mes fautes de français … 😒 sinon je pense que placer ce lien serai peut être un compromis: [inetdoc.net/guides/iptables-tutorial/](http://www.inetdoc.net/guides/iptables-tutorial/) Ignorer ipv6 reviens aux meme que d’ignorer ipv4… ---
**Author:** ![anon60101063](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/c4cdca/32.png) [@anon60101063](https://www.debian-fr.org/u/anon60101063)\ **Post date:** [Février 21, 2016, 9:57 UTC](https://www.debian-fr.org/t/digression-installation-parefeu-iptables-ip6tables-pour-les-nuls/771/442 "2016-02-21T21:57:32Z")
Après avoir installé une Debian pour mon desktop (utilisation très basique), je ne configure jamais iptables…C’est grave ? 😕 ---
**Author:** ![panthere](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/p/5daacb/32.png) [@panthere](https://www.debian-fr.org/u/panthere)\ **Post date:** [Février 21, 2016, 9:57 UTC](https://www.debian-fr.org/t/digression-installation-parefeu-iptables-ip6tables-pour-les-nuls/771/443 "2016-02-21T21:57:33Z")
> [@Stuffboxinou](#): > > Après avoir installé une Debian pour mon desktop (utilisation très basique), je ne configure jamais iptables…C’est grave ? 😕 Quand tu sors, tu fermes la porte. A clef ou pas ? 😉 ---
**Author:** ![PascalHambourg](https://www.debian-fr.org/user_avatar/www.debian-fr.org/pascalhambourg/32/5837_2.png) [@PascalHambourg](https://www.debian-fr.org/u/PascalHambourg)\ **Post date:** [Février 21, 2016, 9:57 UTC](https://www.debian-fr.org/t/digression-installation-parefeu-iptables-ip6tables-pour-les-nuls/771/444 "2016-02-21T21:57:33Z")
Ça dépend. Iptables n’est pas forcément utile. ---
**Author:** ![anon60101063](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/c4cdca/32.png) [@anon60101063](https://www.debian-fr.org/u/anon60101063)\ **Post date:** [Février 21, 2016, 9:57 UTC](https://www.debian-fr.org/t/digression-installation-parefeu-iptables-ip6tables-pour-les-nuls/771/445 "2016-02-21T21:57:45Z")
panthere \> Pas toujours ! Seulement, c’est vrai qu’hormis sur ce sujet, je ne vois pas vraiment l’intérêt de configurer iptables. Enfin, je cherche à comprendre. Il y a beaucoup de débutants qui se mettent à Debian, on ne trouve que rarement des gens qui disent : Une fois que tu as installé ta Debian, configure correctement iptables. Pareil sur Ubuntu (quoiqu’il est peut-être déjà configuré). C’est un peu problématique. J’utilise Debian depuis 4 ans sur plusieurs PC et jamais je n’ai configuré iptables, en fait… ---
**Author:** ![ricardo](https://www.debian-fr.org/user_avatar/www.debian-fr.org/ricardo/32/3864_2.png) [@ricardo](https://www.debian-fr.org/u/ricardo)\ **Post date:** [Février 21, 2016, 9:57 UTC](https://www.debian-fr.org/t/digression-installation-parefeu-iptables-ip6tables-pour-les-nuls/771/446 "2016-02-21T21:57:45Z")
Iptables n’est pas le seul parefeu, je crois, donc ptet en utilises-tu un autre. Le parefeu, quel qu’il soit, est surtout recommandé pour un serveur qui est ouvert sur l’extérieur. Pour une machine qui n’est que rarement en liaison web, e-mails, etc. il y a beaucoup moins de risques d’être attaqué par des malveillants. Je dis ptet des conneries mais dans ce cas, Pascal saura corriger. ---
**Author:** ![panthere](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/p/5daacb/32.png) [@panthere](https://www.debian-fr.org/u/panthere)\ **Post date:** [Février 21, 2016, 9:57 UTC](https://www.debian-fr.org/t/digression-installation-parefeu-iptables-ip6tables-pour-les-nuls/771/447 "2016-02-21T21:57:45Z")
[quote=“ricardo”]Iptables n’est pas le seul parefeu, je crois, donc ptet en utilises-tu un autre. Le parefeu, quel qu’il soit, est surtout recommandé pour un serveur qui est ouvert sur l’extérieur. Pour une machine qui n’est que rarement en liaison web, e-mails, etc. il y a beaucoup moins de risques d’être attaqué par des malveillants. Je dis ptet des conneries mais dans ce cas, Pascal saura corriger.[/quote] 1.- Les attaque ddos son constituer en grand partie d’ordinateur particulier… 2.- je confirme iptables n’est pas le seul par feux, debian est très bien sécuriser par défaut. et donc iptables n’est pas forcement utile… 3.-la majorité des utilisateur ne filtre pas la sorties. sa reviens a dire je suis intouchable… et pour moi le problème est là Un pirate qui cherche a faire du ddos va chercher être le moins visible pour l’utiliser aux bon moment… bon je parle ddos mai il y a pas que ça, y compris celle qu’on ne connaît pas … laisser les clef sur la voitures et la fermer avec la “télécommande” n’empêchera pas d’entrer sans laisser de trace … ---
**Author:** ![anon60101063](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/c4cdca/32.png) [@anon60101063](https://www.debian-fr.org/u/anon60101063)\ **Post date:** [Février 21, 2016, 9:57 UTC](https://www.debian-fr.org/t/digression-installation-parefeu-iptables-ip6tables-pour-les-nuls/771/448 "2016-02-21T21:57:45Z")
Concrètement, quels sont les risques pour un ordinateur connecté à Internet qui n’est pas un serveur ? Des attaques DDOS ? Quel intérêt ? ---
**Author:** ![Cluxter](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/c/13edae/32.png) [@Cluxter](https://www.debian-fr.org/u/Cluxter)\ **Post date:** [Février 21, 2016, 9:58 UTC](https://www.debian-fr.org/t/digression-installation-parefeu-iptables-ip6tables-pour-les-nuls/771/449 "2016-02-21T21:58:03Z")
> [@Stuffboxinou](#): > > Concrètement, quels sont les risques pour un ordinateur connecté à Internet qui n’est pas un serveur ? Des attaques DDOS ? Quel intérêt ? Pour faire du spoofing : [fr.wikipedia.org/wiki/Usurpation\_d’adresse\_IP](https://fr.wikipedia.org/wiki/Usurpation_d'adresse_IP) EDIT : je cite : > [@](#): > > L’usurpation d’adresses IP peut être combinée avec des attaques de dénis de service de la machine dont l’IP est usurpée afin d’empêcher toute réponse de celle-ci, car la machine enverrait un paquet qui invaliderait toute connexion car elle n’en a pas de trace dans son système ---
**Author:** ![vger](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/v/87869e/32.png) [@vger](https://www.debian-fr.org/u/vger)\ **Post date:** [Février 21, 2016, 10:17 UTC](https://www.debian-fr.org/t/digression-installation-parefeu-iptables-ip6tables-pour-les-nuls/771/450 "2016-02-21T22:17:51Z")
Ca ne fonctionne pas chez moi [quote]ls /etc/rcS.d | grep S\*\*networking S14networking [/quote] [quote]ls /etc/rc0.d | grep K\*\*networking K06networking [/quote] ```auto ``` [quote]update-rc.d: warning: start and stop actions are no longer supported; falling back to defaults update-rc.d: warning: start runlevel arguments (s) do not match mon\_parefeu Default-Start values (2 3 4 5) update-rc.d: warning: stop runlevel arguments (0 6) do not match mon\_parefeu Default-Stop values (0 1 6) [/quote] ---
**Author:** ![ricardo](https://www.debian-fr.org/user_avatar/www.debian-fr.org/ricardo/32/3864_2.png) [@ricardo](https://www.debian-fr.org/u/ricardo)\ **Post date:** [Février 21, 2016, 10:17 UTC](https://www.debian-fr.org/t/digression-installation-parefeu-iptables-ip6tables-pour-les-nuls/771/451 "2016-02-21T22:17:51Z")
[quote=“vger”]Ca ne fonctionne pas chez moi [quote]ls /etc/rcS.d | grep S\*\*networking S14networking [/quote] [quote]ls /etc/rc0.d | grep K\*\*networking K06networking [/quote] ```auto ``` [quote]update-rc.d: warning: start and stop actions are no longer supported; falling back to defaults update-rc.d: warning: start runlevel arguments (s) do not match mon\_parefeu Default-Start values (2 3 4 5) update-rc.d: warning: stop runlevel arguments (0 6) do not match mon\_parefeu Default-Stop values (0 1 6) [/quote][/quote] Ce n’est qu’un warning . C’est Pascal qui m’avait demandé d’ajouter ça. je crois qu’il y a un blocage avec ce qui est déclaré dans le script. Perso, je ne m’en suis jamais occupé et ça ne m’a pas créé de problème. ---
**Author:** ![ricardo](https://www.debian-fr.org/user_avatar/www.debian-fr.org/ricardo/32/3864_2.png) [@ricardo](https://www.debian-fr.org/u/ricardo)\ **Post date:** [Février 21, 2016, 10:17 UTC](https://www.debian-fr.org/t/digression-installation-parefeu-iptables-ip6tables-pour-les-nuls/771/452 "2016-02-21T22:17:51Z")
En effet, je suis allé voir le script : [mono]# Default-Start: 2 3 4 5 # Default-Stop: 0 1 6[/mono] Je suppose qu’en supprimant ces deux lignes, il n’y aura plus de warning ![:017](https://www.debian-fr.org/uploads/default/original/1X/7bbea83f89515ab7c7a738dddb86c4d4f140bd13.gif "reflechit") Ptet que Pascal passera par là ??? ---
**Author:** ![PascalHambourg](https://www.debian-fr.org/user_avatar/www.debian-fr.org/pascalhambourg/32/5837_2.png) [@PascalHambourg](https://www.debian-fr.org/u/PascalHambourg)\ **Post date:** [Février 21, 2016, 10:17 UTC](https://www.debian-fr.org/t/digression-installation-parefeu-iptables-ip6tables-pour-les-nuls/771/453 "2016-02-21T22:17:59Z")
Je recommande de mettre “S” en start au lieu de “2 3 4 5” pour le script iptable afin qu’il soit démarré le plus tôt possible. ---
**Author:** ![Clochette](https://www.debian-fr.org/user_avatar/www.debian-fr.org/clochette/32/8757_2.png) [@Clochette](https://www.debian-fr.org/u/Clochette)\ **Post date:** [Février 21, 2016, 10:18 UTC](https://www.debian-fr.org/t/digression-installation-parefeu-iptables-ip6tables-pour-les-nuls/771/454 "2016-02-21T22:18:05Z")
> [@PascalHambourg](#): > > Je recommande de mettre « S » en start au lieu de « 2 3 4 5 » pour le script iptable afin qu’il soit démarré le plus tôt possible. Idéalement il faudrait une prise en compte avant le montage des interfaces réseaux, non ? ---
**Author:** ![ricardo](https://www.debian-fr.org/user_avatar/www.debian-fr.org/ricardo/32/3864_2.png) [@ricardo](https://www.debian-fr.org/u/ricardo)\ **Post date:** [Février 21, 2016, 10:18 UTC](https://www.debian-fr.org/t/digression-installation-parefeu-iptables-ip6tables-pour-les-nuls/771/455 "2016-02-21T22:18:06Z")
C’est ce qu’avait préconisé Pascal et que j’avais ajouté au script : [quote]update-rc.d mon\_parefeu start XX S . stop YY 0 6 . (Respectez bien les espacements et les points) (Remplacez XX par le nombre immédiatement inférieur à celui qui indique la priorité de ‘networking’ dans /etc/rcS.d. ($ ls /etc/rcS.d | grep S**networking (renvoie chez moi “S15networking”. Il conviendra donc de remplacer XX par 14 (Remplacez YY par le nombre immédiatement supérieur à celui qui indique la priorité de ‘networking’ dans /etc/rc0.d ($ ls /etc/rc0.d | grep K**networking (renvoie chez moi “K07networking”. Il conviendra donc de remplacer YY par 08 (Ainsi, le parefeu sera actif avant l’activation des interfaces réseau configurées en auto dans /etc/network/interfaces et le restera jusqu’à leur désactivation)[/quote] ---
**Author:** ![PascalHambourg](https://www.debian-fr.org/user_avatar/www.debian-fr.org/pascalhambourg/32/5837_2.png) [@PascalHambourg](https://www.debian-fr.org/u/PascalHambourg)\ **Post date:** [Février 21, 2016, 10:18 UTC](https://www.debian-fr.org/t/digression-installation-parefeu-iptables-ip6tables-pour-les-nuls/771/456 "2016-02-21T22:18:07Z")
> [@Clochette](#): > > Idéalement il faudrait une prise en compte avant le montage des interfaces réseaux, non ? Oui. > [@ricardo](#): > > C’est ce qu’avait préconisé Pascal et que j’avais ajouté au script Mais depuis qu’insserv gère l’ordre des scripts d’init ça ne marche plus, il faut utiliser les en-têtes LSB avec X-Start-Before ou approchant. ---
**Author:** ![vger](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/v/87869e/32.png) [@vger](https://www.debian-fr.org/u/vger)\ **Post date:** [Février 21, 2016, 10:18 UTC](https://www.debian-fr.org/t/digression-installation-parefeu-iptables-ip6tables-pour-les-nuls/771/457 "2016-02-21T22:18:07Z")
Sinon les programmes comme iptables-persistent, ils le démarrent avant les interface réseaux ou c’est pas vraiment ca? ---
**Author:** ![PascalHambourg](https://www.debian-fr.org/user_avatar/www.debian-fr.org/pascalhambourg/32/5837_2.png) [@PascalHambourg](https://www.debian-fr.org/u/PascalHambourg)\ **Post date:** [Février 21, 2016, 10:18 UTC](https://www.debian-fr.org/t/digression-installation-parefeu-iptables-ip6tables-pour-les-nuls/771/458 "2016-02-21T22:18:07Z")
Je ne sais pas. Il faut vérifier. ---
**Author:** ![ricardo](https://www.debian-fr.org/user_avatar/www.debian-fr.org/ricardo/32/3864_2.png) [@ricardo](https://www.debian-fr.org/u/ricardo)\ **Post date:** [Février 29, 2016, 2:50 UTC](https://www.debian-fr.org/t/digression-installation-parefeu-iptables-ip6tables-pour-les-nuls/771/459 "2016-02-29T14:50:30Z")
J’ai modifié le tuto pour cette partie. Il est maintenant rédigé comme l’a expliqué Pascal. ---
**Author:** ![seb-ksl](https://www.debian-fr.org/user_avatar/www.debian-fr.org/seb-ksl/32/2946_2.png) [@seb-ksl](https://www.debian-fr.org/u/seb-ksl)\ **Post date:** [Mars 12, 2016, 5:18 UTC](https://www.debian-fr.org/t/digression-installation-parefeu-iptables-ip6tables-pour-les-nuls/771/460 "2016-03-12T17:18:48Z")
J’ai vu que tu avais mis ton T&A à jour, @ricardo, mais deux petites questions : - Pourquoi ne pas avoir mis à jour le lien vers cette discussion ? - Pourquoi ne pas avoir inclus l’IPv6, suite au fil récent avec notamment Pascal Hambourg ? [Page précédente](https://www.debian-fr.org/t/digression-installation-parefeu-iptables-ip6tables-pour-les-nuls/771.md?page=22) [Page suivante](https://www.debian-fr.org/t/digression-installation-parefeu-iptables-ip6tables-pour-les-nuls/771.md?page=24)