# Digression Installation parefeu (iptables & ip6tables) "pour les nuls" **URL:** \ **Category:** Support Debian\ **Created:** [Février 19, 2016, 12:17 UTC](https://www.debian-fr.org/t/digression-installation-parefeu-iptables-ip6tables-pour-les-nuls/771 "2016-02-19T00:17:08Z")\ **Posts on this page:** 20\ **Page:** 24
**Author:** ![ricardo](https://www.debian-fr.org/user_avatar/www.debian-fr.org/ricardo/32/3864_2.png) [@ricardo](https://www.debian-fr.org/u/ricardo)\ **Post date:** [Mars 12, 2016, 5:34 UTC](https://www.debian-fr.org/t/digression-installation-parefeu-iptables-ip6tables-pour-les-nuls/771/461 "2016-03-12T17:34:23Z")
C’est prévu mais je suis entrain de terminer quelque chose d’urgent. Demain …ptet. 😄 ---
**Author:** ![ricardo](https://www.debian-fr.org/user_avatar/www.debian-fr.org/ricardo/32/3864_2.png) [@ricardo](https://www.debian-fr.org/u/ricardo)\ **Post date:** [Mars 13, 2016, 1:50 UTC](https://www.debian-fr.org/t/digression-installation-parefeu-iptables-ip6tables-pour-les-nuls/771/462 "2016-03-13T01:50:59Z")
Les liens sont corrigés demain ou plus tard, je mets un ajout pour IPv6. ---
**Author:** ![ricardo](https://www.debian-fr.org/user_avatar/www.debian-fr.org/ricardo/32/3864_2.png) [@ricardo](https://www.debian-fr.org/u/ricardo)\ **Post date:** [Mars 13, 2016, 11:50 UTC](https://www.debian-fr.org/t/digression-installation-parefeu-iptables-ip6tables-pour-les-nuls/771/463 "2016-03-13T11:50:07Z")
Tuto IPv6 : message ajouté à la suite de l’original. Reste encore un lien à apporter … cet AM. ---
**Author:** ![ricardo](https://www.debian-fr.org/user_avatar/www.debian-fr.org/ricardo/32/3864_2.png) [@ricardo](https://www.debian-fr.org/u/ricardo)\ **Post date:** [Mars 13, 2016, 2:06 UTC](https://www.debian-fr.org/t/digression-installation-parefeu-iptables-ip6tables-pour-les-nuls/771/464 "2016-03-13T14:06:32Z")
Tout est fait, si tu peux aller vérifier qu’il n’y a pas d’erreurs, ça n’en sera que mieux. 😉 ---
**Author:** ![seb-ksl](https://www.debian-fr.org/user_avatar/www.debian-fr.org/seb-ksl/32/2946_2.png) [@seb-ksl](https://www.debian-fr.org/u/seb-ksl)\ **Post date:** [Mars 13, 2016, 5:23 UTC](https://www.debian-fr.org/t/digression-installation-parefeu-iptables-ip6tables-pour-les-nuls/771/465 "2016-03-13T17:23:50Z")
À moi ça me semble correct, on peut attendre l’avis de @PascalHambourg. La seule chose que j’aurais à suggérer, c’est éventuellement (peut-être à terme, mais pourquoi pas dès maintenant ?) de proposer un script complet IPv4/v6 dans le tuto. La façon dont tu as tourné le message dédié à l’IPv6 m’a fait pensé que tu suggères la création de 2 scripts distincts alors que rien n’empêche d’utiliser un même script pour iptables et ip6tables (ce que j’ai fait). ---
**Author:** ![ricardo](https://www.debian-fr.org/user_avatar/www.debian-fr.org/ricardo/32/3864_2.png) [@ricardo](https://www.debian-fr.org/u/ricardo)\ **Post date:** [Mars 13, 2016, 6:15 UTC](https://www.debian-fr.org/t/digression-installation-parefeu-iptables-ip6tables-pour-les-nuls/771/466 "2016-03-13T18:15:21Z")
Oui, c’est ce qu’avait préconisé Pascal mais j’avoue que je n’ai pas cherché plus loin et j’ai laissé les deux voies. Par contre, pourquoi ne pas le proposer, toi. Je crois que tu dois pouvoir lier un fil au mien, ainsi, ça restera ta création, au lieu d’écrire à la suite. Si tu veux, envoie-le ici, on pourra en discuter et ça évitera d’éparpiller plusieurs sujet identiques. je suis d’ailleurs curieux de voir comment tu as transcrit tout ça. ---
**Author:** ![PascalHambourg](https://www.debian-fr.org/user_avatar/www.debian-fr.org/pascalhambourg/32/5837_2.png) [@PascalHambourg](https://www.debian-fr.org/u/PascalHambourg)\ **Post date:** [Mars 13, 2016, 6:16 UTC](https://www.debian-fr.org/t/digression-installation-parefeu-iptables-ip6tables-pour-les-nuls/771/467 "2016-03-13T18:16:02Z")
Dans les éventuels ajustements à faire pour convertir un jeu de règles iptables vers ip6tables, ajouter le remplacement d’icmp par icmpv6. A noter que certains types/codes ICMP changent de nom en ICMPv6 (destination-unreachable/fragmentation-needed -\> packet-too-big) voire n’existent plus (source-quench), et d’autres font leur apparition. Sur une machine faisant office de routeur IPv6, les types ICMPv6 router-advertisement et router-solicitation doivent être intervertis entre INPUT et OUTPUT. La règle MASQUERADE n’a normalement pas lieu d’être, l’un des objectifs d’IPv6 étant de pouvoir allouer des adresses globales à toutes les machines. PS : le message initial contient des balises de formatage qui ne semblent pas interprétées par le nouveau forum. ---
**Author:** ![ricardo](https://www.debian-fr.org/user_avatar/www.debian-fr.org/ricardo/32/3864_2.png) [@ricardo](https://www.debian-fr.org/u/ricardo)\ **Post date:** [Mars 13, 2016, 6:23 UTC](https://www.debian-fr.org/t/digression-installation-parefeu-iptables-ip6tables-pour-les-nuls/771/468 "2016-03-13T18:23:38Z")
Pascal, sur [l’ajout](https://www.debian-fr.org/t/installation-parefeu-iptables-ip6tables-pour-les-nuls/2183/4) que j’ai fait, dis-moi ce qui est à modifier 😳 ou à ajouter, concrètement. ---
**Author:** ![PascalHambourg](https://www.debian-fr.org/user_avatar/www.debian-fr.org/pascalhambourg/32/5837_2.png) [@PascalHambourg](https://www.debian-fr.org/u/PascalHambourg)\ **Post date:** [Mars 13, 2016, 6:42 UTC](https://www.debian-fr.org/t/digression-installation-parefeu-iptables-ip6tables-pour-les-nuls/771/469 "2016-03-13T18:42:36Z")
- Remplacer “icmp” par “icmpv6”. - Attention : certains types/codes ICMP n’existent pas ou changent de nom en IPv6 et vice versa. - Sur une machine faisant office de routeur IPv6, remplacer `ip6tables -A INPUT -p icmpv6 --icmpv6-type router-advertisement -m hl --hl-eq 255 -j ACCEPT ip6tables -A OUTPUT -p icmpv6 --icmpv6-type router-solicitation -j ACCEPT` par `ip6tables -A INPUT -p icmpv6 --icmpv6-type router-solicitation -m hl --hl-eq 255 -j ACCEPT ip6tables -A OUTPUT -p icmpv6 --icmpv6-type router-advertisement -j ACCEPT` - La cible MASQUERADE n’est normalement pas nécessaire, l’un des objectifs d’IPv6 étant de pouvoir allouer des adresses globales à toutes les machines. ---
**Author:** ![ricardo](https://www.debian-fr.org/user_avatar/www.debian-fr.org/ricardo/32/3864_2.png) [@ricardo](https://www.debian-fr.org/u/ricardo)\ **Post date:** [Mars 13, 2016, 11:28 UTC](https://www.debian-fr.org/t/digression-installation-parefeu-iptables-ip6tables-pour-les-nuls/771/470 "2016-03-13T23:28:37Z")
Copié/collé du message 469 sur le tuto, fait. ---
**Author:** ![seb-ksl](https://www.debian-fr.org/user_avatar/www.debian-fr.org/seb-ksl/32/2946_2.png) [@seb-ksl](https://www.debian-fr.org/u/seb-ksl)\ **Post date:** [Mars 14, 2016, 8:50 UTC](https://www.debian-fr.org/t/digression-installation-parefeu-iptables-ip6tables-pour-les-nuls/771/471 "2016-03-14T08:50:24Z")
Je mets mes scripts au propre et je propose ça dans la journée 🙂. ---
**Author:** ![ricardo](https://www.debian-fr.org/user_avatar/www.debian-fr.org/ricardo/32/3864_2.png) [@ricardo](https://www.debian-fr.org/u/ricardo)\ **Post date:** [Mars 14, 2016, 9:43 UTC](https://www.debian-fr.org/t/digression-installation-parefeu-iptables-ip6tables-pour-les-nuls/771/472 "2016-03-14T09:43:28Z")
impec, j’attends. Comment fais-tu pour ajouter le nom du destinataire en H à DR ? ---
**Author:** ![seb-ksl](https://www.debian-fr.org/user_avatar/www.debian-fr.org/seb-ksl/32/2946_2.png) [@seb-ksl](https://www.debian-fr.org/u/seb-ksl)\ **Post date:** [Mars 14, 2016, 12:42 UTC](https://www.debian-fr.org/t/digression-installation-parefeu-iptables-ip6tables-pour-les-nuls/771/473 "2016-03-14T12:42:31Z")
Je clique sur le bouton “Répondre” en bas à droite du message auquel je réponds en particulier, en l’occurrence le tien, donc Discourse estime que je te réponds à toi. Si je clique sur le bouton “Répondre” bleu en bas du fil, là je réponds au fil et non à un message particulier. Édit : tiens, ça ne marche pas à chaque fois ! Je n’avais pas fait attention ! ---
**Author:** ![ricardo](https://www.debian-fr.org/user_avatar/www.debian-fr.org/ricardo/32/3864_2.png) [@ricardo](https://www.debian-fr.org/u/ricardo)\ **Post date:** [Mars 14, 2016, 1:49 UTC](https://www.debian-fr.org/t/digression-installation-parefeu-iptables-ip6tables-pour-les-nuls/771/475 "2016-03-14T13:49:59Z")
test2 ---- OK, vu. ---
**Author:** ![ricardo](https://www.debian-fr.org/user_avatar/www.debian-fr.org/ricardo/32/3864_2.png) [@ricardo](https://www.debian-fr.org/u/ricardo)\ **Post date:** [Mars 14, 2016, 1:57 UTC](https://www.debian-fr.org/t/digression-installation-parefeu-iptables-ip6tables-pour-les-nuls/771/476 "2016-03-14T13:57:37Z")
Essai avec un message plus haut que le dernier EDIT : J’ai l’impression que ça ne fonctionne pas si on répond au dernier message mais que ça marche s’il s’agit d’un message antérieur. À tester ---
**Author:** ![seb-ksl](https://www.debian-fr.org/user_avatar/www.debian-fr.org/seb-ksl/32/2946_2.png) [@seb-ksl](https://www.debian-fr.org/u/seb-ksl)\ **Post date:** [Mars 14, 2016, 2:43 UTC](https://www.debian-fr.org/t/digression-installation-parefeu-iptables-ip6tables-pour-les-nuls/771/477 "2016-03-14T14:43:19Z")
> [@ricardo](#): > > Je crois que tu dois pouvoir lier un fil au mien, ainsi, ça restera ta création, au lieu d’écrire à la suite. Ça y’est, j’ai déposé ma prose [ici](https://www.debian-fr.org/t/pare-feu-ipv4-ipv6-versions-bureau-et-serveur/). Un coup d’œil de @ricardo et @PascalHambourg me rendraient plus serein 🙂. ---
**Author:** ![ricardo](https://www.debian-fr.org/user_avatar/www.debian-fr.org/ricardo/32/3864_2.png) [@ricardo](https://www.debian-fr.org/u/ricardo)\ **Post date:** [Mars 14, 2016, 3:11 UTC](https://www.debian-fr.org/t/digression-installation-parefeu-iptables-ip6tables-pour-les-nuls/771/478 "2016-03-14T15:11:13Z")
Un parcours complet mais pas vraiment approfondi ne m’a révélé aucune erreur. Il est possible que je teste ton script dans quelques temps car je suis entrain de revoir complètement mon serveur de video-surveillance. ---
**Author:** ![PascalHambourg](https://www.debian-fr.org/user_avatar/www.debian-fr.org/pascalhambourg/32/5837_2.png) [@PascalHambourg](https://www.debian-fr.org/u/PascalHambourg)\ **Post date:** [Mars 14, 2016, 7:14 UTC](https://www.debian-fr.org/t/digression-installation-parefeu-iptables-ip6tables-pour-les-nuls/771/479 "2016-03-14T19:14:13Z")
Sur le script `init_firewall` : - Sauf erreur, je ne vois pas la sauvegarde et la restauration du jeu de règles `ip6tables`. - Attention avec Wheezy : la table `nat` IPv6 n’existe pas dans le noyau 3.2. Sur le script `config_firewall` : - En IPv4, je ne vois pas l’utilité d’accepter tous les paquets ICMP. - En IPv6, je ne vois pas l’utilité d’accepter tous les paquets ICMPv6. - Pourquoi accepter tous les paquets ICMPv6 echo-reply en sortie mais pas en entrée et pas en IPv4 ? Note : ce n’est utile que si l’adresse source de la réponse est différente de l’adresse destination de la requête, ce qui n’est à ma connaissance possible que si cette dernière est une adresse anycast ou multicast. Dans le cas contraire, la réponse est dans l’état ESTABLISHED et donc déjà acceptée par une autre règle. Sur les paragraphes **Vérification** et **À l’usage** : - Avis personnel : je trouve que le format de sortie d’`ip(6)tables -vL` est moins lisible que celui d’`ip(6)tables-save` d’une part, et rend la comparaison avec le fichier `config_parefeu` plus difficile d’autre part. ---
**Author:** ![PengouinPdt](https://www.debian-fr.org/user_avatar/www.debian-fr.org/pengouinpdt/32/3978_2.png) [@PengouinPdt](https://www.debian-fr.org/u/PengouinPdt)\ **Post date:** [Mars 14, 2016, 10:03 UTC](https://www.debian-fr.org/t/digression-installation-parefeu-iptables-ip6tables-pour-les-nuls/771/480 "2016-03-14T22:03:42Z")
Bonsoir, Dans la partie **Vérification** , peut-être informer/rajouter l’option ‘–line-numbers’ qui est bien pratique, non ?! Dans la partie **Configuration** , peut-être mettre un laïus plus explicite, sur les ports à ouvrir absolument sur une machine pour qu’elle puisse discuter sur un réseau, et bien-sûr lié à Internet a-fortiori. Tels que 53 (dns:tcp/udp), 67 & 68 (dhcp:udp), 123 (ntp:udp), 5353 (multicast:udp) - qui ne sont vraiment qu’un minimum … non ?! Et, pourquoi pas faire un petit rappel, sur ceux liés à la gestion de mails, hkp, cups, samba, bref, les plus courants … ?! En tout cas, j’aime bien les explications claires, limpides… ---
**Author:** ![ricardo](https://www.debian-fr.org/user_avatar/www.debian-fr.org/ricardo/32/3864_2.png) [@ricardo](https://www.debian-fr.org/u/ricardo)\ **Post date:** [Mars 14, 2016, 11:07 UTC](https://www.debian-fr.org/t/digression-installation-parefeu-iptables-ip6tables-pour-les-nuls/771/481 "2016-03-14T23:07:09Z")
Sur une machine non serveur (sauf SSH), est-ce que le port 443 doit être obligatoirement ouvert ? Si oui : tcp, udp, les deux ? Merci [Page précédente](https://www.debian-fr.org/t/digression-installation-parefeu-iptables-ip6tables-pour-les-nuls/771.md?page=23) [Page suivante](https://www.debian-fr.org/t/digression-installation-parefeu-iptables-ip6tables-pour-les-nuls/771.md?page=25)