# Firewall ( Poste Bureautique)

**URL:** <https://www.debian-fr.org/t/firewall-poste-bureautique/83577>\
**Category:** Support Debian\
**Created:** [Décembre 20, 2020, 11:14 UTC](https://www.debian-fr.org/t/firewall-poste-bureautique/83577 "2020-12-20T11:14:18Z")\
**Posts on this page:** 20\
**Page:** 3

<div class="post-metadata">

**Author:** ![invar](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/i/6de8d8/32.png) [@invar](https://www.debian-fr.org/u/invar)\
**Post date:** [Décembre 28, 2020, 8:37 UTC](https://www.debian-fr.org/t/firewall-poste-bureautique/83577/41 "2020-12-28T08:37:00Z")

</div>

Bonjour,  
Je me permets de mettre en avant un autre logiciel :  
FirewallD  
qui semble assez similaire, facile d’utilisation, avec une interface graphique assez claire  
Bien documenté

> **[FirewallD : Le pare-feu facile sous Linux - Wiki](https://www.linuxtricks.fr/wiki/firewalld-le-pare-feu-facile-sous-linux)**
>
> Introduction
> firewalld est un pare-feu sous Linux qui est facile à mettre en oeuvre et paramétrer, par rapport à iptables ou son...

Invar

---

<div class="post-metadata">

**Author:** ![grandtoubab](https://www.debian-fr.org/user_avatar/www.debian-fr.org/grandtoubab/32/4505_2.png) [@grandtoubab](https://www.debian-fr.org/u/grandtoubab)\
**Post date:** [Décembre 28, 2020, 10:42 UTC](https://www.debian-fr.org/t/firewall-poste-bureautique/83577/42 "2020-12-28T10:42:56Z")

</div>

je ne comprends toujours pas pourquoi vous ne passez pas à nft

```auto
systemctl status nftables.service
● nftables.service - nftables
     Loaded: loaded (/lib/systemd/system/nftables.service; enabled; vendor preset: enabled)
     Active: active (exited) since Mon 2020-12-28 08:18:04 CET; 3h 22min ago
       Docs: man:nft(8)
             http://wiki.nftables.org
   Main PID: 223 (code=exited, status=0/SUCCESS)
      Tasks: 0 (limit: 4298)
     Memory: 0B
     CGroup: /system.slice/nftables.service

déc. 28 08:18:04 debian systemd[1]: Finished nftables.

```

```auto
 nft list ruleset
table inet filter {
	chain input {
		type filter hook input priority filter; policy accept;
		iif "lo" accept
		ct state established,related accept
		tcp dport { 25, 80, 143, 443, 465, 587, 993, 8200 } ct state new accept
		udp dport { 53, 67, 68 } ct state new accept
		counter packets 190 bytes 5470 drop
	}
}

```

C’est le firewall par defaut de Debian depuis buster

> **[Chapitre 2. Nouveautés de Debian 10](https://www.debian.org/releases/buster/amd64/release-notes/ch-whats-new.fr.html#nftables)**

---

<div class="post-metadata">

**Author:** ![nh3oh](https://www.debian-fr.org/user_avatar/www.debian-fr.org/nh3oh/32/4475_2.png) [@nh3oh](https://www.debian-fr.org/u/nh3oh)\
**Post date:** [Décembre 28, 2020, 10:55 UTC](https://www.debian-fr.org/t/firewall-poste-bureautique/83577/43 "2020-12-28T10:55:06Z")

</div>

> [@grandtoubab](#):
>
> je ne comprends toujours pas pourquoi vous ne passez pas à nft

Moi aussi 🙂

En tant que débutant en Firewall,  
je ne veux pas apprendre des choses qui seront caduques d’ici peu,  
je regarde en avant.

Maintenant il faut admettre qu’on est encore en phase de transition,  
et que c’est un peu la pagaille au niveau des doc/tuto/logiciels qui n’ont pas encore évolués ou sont en cours de mutation.

Donc pour ceux qui arrivent maintenant,  
le sujet déjà pas trop sympa,  
devient une vraie prise de tête ☹

---

<div class="post-metadata">

**Author:** ![nh3oh](https://www.debian-fr.org/user_avatar/www.debian-fr.org/nh3oh/32/4475_2.png) [@nh3oh](https://www.debian-fr.org/u/nh3oh)\
**Post date:** [Décembre 28, 2020, 11:00 UTC](https://www.debian-fr.org/t/firewall-poste-bureautique/83577/44 "2020-12-28T11:00:03Z")

</div>

> [@grandtoubab](#):
>
> `nft list ruleset`

La sortie de cette commande bien que courte,  
sans mauvaise volonté,  
elle est pour moi totalement «&nbsp;imbitable&nbsp;» 😊

---

<div class="post-metadata">

**Author:** ![grandtoubab](https://www.debian-fr.org/user_avatar/www.debian-fr.org/grandtoubab/32/4505_2.png) [@grandtoubab](https://www.debian-fr.org/u/grandtoubab)\
**Post date:** [Décembre 28, 2020, 11:07 UTC](https://www.debian-fr.org/t/firewall-poste-bureautique/83577/45 "2020-12-28T11:07:39Z")

</div>

no pain, no gain 😆  
c’est l’état des règles  
Globalement on accepte le dialogue sur ce dont on est à l’initiative sur l’interface local, en précisant les ports ouverts  
on affiche un bilan des compteurs dont les paquets écartés (drop)  
il y a plein de description de nft  
je ne répète pas ce qui est ici

> **[Pare-feu: nftables](https://bidouilledebian.wordpress.com/2019/02/19/pare-feu-nftables/)**
>
> Comme nftables va devenir le pare-feu par défaut dans Debian, j’ai activé l’outil.

---

<div class="post-metadata">

**Author:** ![nh3oh](https://www.debian-fr.org/user_avatar/www.debian-fr.org/nh3oh/32/4475_2.png) [@nh3oh](https://www.debian-fr.org/u/nh3oh)\
**Post date:** [Décembre 28, 2020, 11:30 UTC](https://www.debian-fr.org/t/firewall-poste-bureautique/83577/46 "2020-12-28T11:30:55Z")

</div>

> [@grandtoubab](#):
>
> no pain, no gain

Oui, c’est ce que disent les body-builders 😉

La lecture du manuel de nft va bien au-delà de ça,  
c’est pour les fakirs qui pratiquent la lévitation au quotidien !

… On est pas sorti d’affaire 💔

---

<div class="post-metadata">

**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\
**Post date:** [Décembre 28, 2020, 2:20 UTC](https://www.debian-fr.org/t/firewall-poste-bureautique/83577/47 "2020-12-28T14:20:16Z")

</div>

sachant qu’actuellement ipables renvoie en fait vers nftables sauf tu as configuré ta debian pour utiliser iptables legacy (ce qu n’est pas la configuration par defaut).

---

<div class="post-metadata">

**Author:** ![PascalHambourg](https://www.debian-fr.org/user_avatar/www.debian-fr.org/pascalhambourg/32/5837_2.png) [@PascalHambourg](https://www.debian-fr.org/u/PascalHambourg)\
**Post date:** [Décembre 28, 2020, 3:10 UTC](https://www.debian-fr.org/t/firewall-poste-bureautique/83577/48 "2020-12-28T15:10:01Z")

</div>

> [@grandtoubab](#):
>
> je ne comprends toujours pas pourquoi vous ne passez pas à nft

Parce qu’il faut un temps d’adaptation quand on est habitué à iptables/ebtables/arptables.  
Parce que toutes les fonctionnalités de ces derniers ne sont pas encore disponibles dans nftables.

> [@grandtoubab](#):
>
> C’est le firewall par defaut de Debian depuis buster

Alors pourquoi le paquet nftables n’est pas installé par défaut alors que iptables l’est ?

> [@nh3oh](#):
>
> La sortie de cette commande bien que courte, sans mauvaise volonté, elle est pour moi totalement « imbitable »

C’est une question d’habitude. Les règles iptables équivalentes ne seraient probablement pas plus faciles à comprendre.

> [@grandtoubab](#):
>
> Globalement on accepte le dialogue sur ce dont on est à l’initiative sur l’interface local, en précisant les ports ouverts

Soit tu expliques très mal, soit tu n’as pas compris ces règles.

1. Ce jeu de règles ne concerne que les paquets entrants. Il n’y a aucun filtrage des paquets sortants.
2. La politique par défaut est d’accepter les paquets entrants.
3. Les paquets reçus (et donc émis) par l’interface de loopback sont acceptés.
4. Les paquets reçus appartenant ou liés à des connexions existantes sont acceptés.
5. Les paquets TCP reçus à destination des ports 25, 80, 443… créant une nouvelle connexion sont acceptés.
6. Les paquets UDP reçus à destination des ports 53, 67 et 68 créant une nouvelle connexion sont acceptés.
7. Les autres paquets reçus sont comptés et bloqués.

Vu tous les ports autorisés en entrée, ce jeu de règles n’est pas adapté à un poste bureautique mais plutôt à un serveur SMTP+HTTP+POP3+IMAP+DNS+DHCP et que sais-je encore…

---

<div class="post-metadata">

**Author:** ![grandtoubab](https://www.debian-fr.org/user_avatar/www.debian-fr.org/grandtoubab/32/4505_2.png) [@grandtoubab](https://www.debian-fr.org/u/grandtoubab)\
**Post date:** [Décembre 28, 2020, 4:12 UTC](https://www.debian-fr.org/t/firewall-poste-bureautique/83577/49 "2020-12-28T16:12:56Z")

</div>

> [@](#):
>
> [https://www.debian.org/releases/buster/amd64/release-notes/ch-whats-new.fr.html#nftables](https://www.debian.org/releases/buster/amd64/release-notes/ch-whats-new.fr.html#nftables)
> 
> ### 2.2.6. Filtrage réseau basé sur le cadriciel nftables
> 
> À partir de la version 1.8.2 de `iptables` , le paquet binaire contient `iptables-nft` et `iptables-legacy` , deux variantes de l’interface en ligne de commande `iptables` . La variante basée sur nftables est celle par défaut dans Buster et utilise le sous-système `nf_tables` du noyau Linux. L’ancienne version utilise le sous-système `x_tables` du noyau Linux. Le système `update-alternatives` peut être utilisé pour choisir une des deux variantes.
> 
> Cela s’applique aux outils et utilitaires suivants :
> 
> - iptables
> - iptables-save
> - iptables-restore
> - ip6tables
> - ip6tables-save
> - ip6tables-restore
> - arptables
> - arptables-save
> - arptables-restore
> - ebtables
> - ebtables-save
> - ebtables-restore
> 
> Tous ces utilitaires ont maintenant une variante `-nft` et une variante `-legacy` . La variante `-nft` est adaptée aux utilisateurs qui ne veulent ou ne peuvent migrer vers l’interface `nftables` . Cependant, les utilisateurs sont encouragés à basculer vers l’interface `nftables` plutôt que d’utiliser l’ancienne `iptables` .
> 
> `nftables` est un remplaçant complet pour `iptables` , avec de meilleures performances, une syntaxe réécrite, une meilleure prise en charge des pare-feux double couche IPv4/IPv6, des opérations atomiques, une classification plus rapide des paquets grâce à un set générique amélioré et des infrastructures de routage, et [beaucoup d’autres améliorations](https://wiki.nftables.org/).
> 
> Cette migration est en phase avec les autres distributions, comme Red Hat, qui utilisent maintenant `nftables` comme [pare-feu par défaut](https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/8-beta/html-single/8.0_beta_release_notes/index#networking_2).
> 
> Veuillez noter que tous les binaires `iptables` sont maintenant installés dans `/usr/sbin` à la place de `/sbin` . Un lien symbolique, pour la compatibilité, est en place, mais sera supprimé après le cycle de Buster. Ainsi, veillez à ne pas utiliser de chemins explicites dans les scripts, ou pensez à les mettre à jour manuellement.
> 
> Une documentation plus complète est disponible dans les fichiers README et NEWS du paquet, ainsi que sur le [Wiki Debian](https://wiki.debian.org/nftables).

---

<div class="post-metadata">

**Author:** ![PascalHambourg](https://www.debian-fr.org/user_avatar/www.debian-fr.org/pascalhambourg/32/5837_2.png) [@PascalHambourg](https://www.debian-fr.org/u/PascalHambourg)\
**Post date:** [Décembre 28, 2020, 4:33 UTC](https://www.debian-fr.org/t/firewall-poste-bureautique/83577/50 "2020-12-28T16:33:12Z")

</div>

Et donc, où veux-tu en venir avec cette citation trop longue ?

---

<div class="post-metadata">

**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\
**Post date:** [Décembre 28, 2020, 4:46 UTC](https://www.debian-fr.org/t/firewall-poste-bureautique/83577/51 "2020-12-28T16:46:56Z")

</div>

Pour nftables, il faut savoir que la doc n’est pas terrible et rend le passage de iptables vers nftables assez difficile.  
je dirais même que c’est monstrueux, geek-only-doc.

---

<div class="post-metadata">

**Author:** ![nh3oh](https://www.debian-fr.org/user_avatar/www.debian-fr.org/nh3oh/32/4475_2.png) [@nh3oh](https://www.debian-fr.org/u/nh3oh)\
**Post date:** [Décembre 29, 2020, 8:49 UTC](https://www.debian-fr.org/t/firewall-poste-bureautique/83577/52 "2020-12-29T08:49:59Z")

</div>

Je n’ai pas encore eu le temps de m’y mettre sérieusement,  
mais je crois tenir un tuto qui tient la route :

[https://wiki.archlinux.org/index.php/Nftables](https://wiki.archlinux.org/index.php/Nftables)

Ça devrait permettre aux utilisateurs intermédiaires de s’en sortir.

---

<div class="post-metadata">

**Author:** ![nh3oh](https://www.debian-fr.org/user_avatar/www.debian-fr.org/nh3oh/32/4475_2.png) [@nh3oh](https://www.debian-fr.org/u/nh3oh)\
**Post date:** [Décembre 30, 2020, 10:30 UTC](https://www.debian-fr.org/t/firewall-poste-bureautique/83577/53 "2020-12-30T10:30:20Z")

</div>

Conscient de me contredire et au risque de me faire huer …

Je me rends compte, après coup,  
que _ **iptables** _ reste une solution tout-à-fait viable,  
et qu’il n’y a finalement pas d’urgence à utiliser _ **nftables** _.

Donc pour celles et ceux qui ne sont pas armés pour batailler avec les Tables dans un terminal,  
les solutions déjà mentionnées **Shorewall** , **FirewallD** ainsi que **GUFW** ,  
devraient fournir des possibilités d’accéder au pare-feu _ **"sans trop de complications"** _  
même si simplement savoir ce qu’on doit ou pas autoriser, n’est déjà pas trop évident en soit.

… en attendant de nouveaux outils pour faciliter l’usage de _ **nftables** _ 😉

_Personnellement, je pense tenter d’abord le coup au plus facile avec GUFW._  
_Puis en marge, je testerai nft suivant le wiki d’Arch… pour ne pas mourir idiot 😇_

---

<div class="post-metadata">

**Author:** ![PascalHambourg](https://www.debian-fr.org/user_avatar/www.debian-fr.org/pascalhambourg/32/5837_2.png) [@PascalHambourg](https://www.debian-fr.org/u/PascalHambourg)\
**Post date:** [Décembre 30, 2020, 10:37 UTC](https://www.debian-fr.org/t/firewall-poste-bureautique/83577/54 "2020-12-30T10:37:54Z")

</div>

Les dernières versions de firewalld ont migré vers nftables. ufw peut aussi utiliser nftables. Il y a fort à parier que les autres gestionnaires de pare-feu vont suivre. De toute façon, si on utilise ces surchouches, c’est qu’on ne veut pas s’embêter avec iptables ou nftables, donc ça devrait être transparent.

---

<div class="post-metadata">

**Author:** ![nh3oh](https://www.debian-fr.org/user_avatar/www.debian-fr.org/nh3oh/32/4475_2.png) [@nh3oh](https://www.debian-fr.org/u/nh3oh)\
**Post date:** [Décembre 30, 2020, 10:51 UTC](https://www.debian-fr.org/t/firewall-poste-bureautique/83577/55 "2020-12-30T10:51:27Z")

</div>

Merci pour cette bonne nouvelle !

---

<div class="post-metadata">

**Author:** ![grandtoubab](https://www.debian-fr.org/user_avatar/www.debian-fr.org/grandtoubab/32/4505_2.png) [@grandtoubab](https://www.debian-fr.org/u/grandtoubab)\
**Post date:** [Décembre 30, 2020, 1:08 UTC](https://www.debian-fr.org/t/firewall-poste-bureautique/83577/56 "2020-12-30T13:08:31Z")

</div>

j’ai fait une propreté , plus pour un Pc familial

cat /etc/nftables.conf

```auto
#!/usr/sbin/nft -f
# 
flush ruleset

table inet ma_table {
	chain trafic_entrant {
		type filter hook input priority 0; policy drop;
# par defaut le trafic entrant est rejeté		
		iif lo accept comment "Accepter le trafic local"
#	
#		
		ct state invalid drop comment "Rejeter les connexions invalides"
#	
		ct state established,related accept comment "Accepter le trafic dont nous sommes à l'origine"
#
		counter drop comment "Compter et rejeter tout le reste"
	}

	chain trafic_transfert {
		type filter hook forward priority 0; policy drop; 
		# Pas de transfert, on est pas un routeur 
	}

	chain trafic_sortant {
		type filter hook output priority 0; policy accept; 
		# Accepter tout ce qui sort
	}

}

```

Ce qui donne

```auto
root@debian:~# nft list ruleset
table inet ma_table {
	chain trafic_entrant {
		type filter hook input priority filter; policy drop;
		iif "lo" accept comment "Accepter le trafic local"
		ct state invalid drop comment "Rejeter les connexions invalides"
		ct state established,related accept comment "Accepter le trafic dont nous sommes à l'origine"
		counter packets 308 bytes 15290 drop comment "Compter et rejeter tout le reste"
	}

	chain trafic_transfert {
		type filter hook forward priority filter; policy drop;
	}

	chain trafic_sortant {
		type filter hook output priority filter; policy accept;
	}
}
root@debian:~#

```

---

<div class="post-metadata">

**Author:** ![Jean-Do](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/j/46a35a/32.png) [@Jean-Do](https://www.debian-fr.org/u/Jean-Do)\
**Post date:** [Janvier 16, 2021, 7:18 UTC](https://www.debian-fr.org/t/firewall-poste-bureautique/83577/57 "2021-01-16T19:18:31Z")

</div>

(message effacé)

---

<div class="post-metadata">

**Author:** ![anon81880513](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/45deac/32.png) [@anon81880513](https://www.debian-fr.org/u/anon81880513)\
**Post date:** [Janvier 31, 2021, 2:47 UTC](https://www.debian-fr.org/t/firewall-poste-bureautique/83577/58 "2021-01-31T14:47:24Z")

</div>

Je viens de trouver cette vidéo sur les pare feux Linux :

[Pare feux Linux](https://www.youtube.com/watch?v=nZrPOsqXF8U)

[https://www.youtube.com/watch?v=nZrPOsqXF8U](https://www.youtube.com/watch?v=nZrPOsqXF8U)

C’est très clair et facile a comprendre.

---

<div class="post-metadata">

**Author:** ![anon90668717](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/3e96dc/32.png) [@anon90668717](https://www.debian-fr.org/u/anon90668717)\
**Post date:** [Janvier 31, 2021, 3:14 UTC](https://www.debian-fr.org/t/firewall-poste-bureautique/83577/59 "2021-01-31T15:14:49Z")

</div>

> [@PascalHambourg](#):
>
> ufw peut aussi utiliser nftables

Comment?

---

<div class="post-metadata">

**Author:** ![PascalHambourg](https://www.debian-fr.org/user_avatar/www.debian-fr.org/pascalhambourg/32/5837_2.png) [@PascalHambourg](https://www.debian-fr.org/u/PascalHambourg)\
**Post date:** [Janvier 31, 2021, 3:45 UTC](https://www.debian-fr.org/t/firewall-poste-bureautique/83577/60 "2021-01-31T15:45:21Z")

</div>

Vérification faite, j’ai mal interprété une phrase du changelog d’ufw. Désolé.

[Page précédente](https://www.debian-fr.org/t/firewall-poste-bureautique/83577.md?page=2)