[quote=“neibaf”]Tant que j’y suis, autant revenir à la question de base :
Est-ce que, que ce soit dans mon script ou directement en commande, l’ordre des commandes a une importance ?
[/quote]
Oui !
[quote]
Si je lui dis de tout fermer les communications entrantes, mais qu’avant je lui ai dit d’autoriser sur le port 22, est-ce que c’est bon ou pas ?
Merci.
Fabien 
[/quote]
C’est une solution…
Personnellement, je préfère celle qui ferme tout, et ensuite qui ouvre le nécessaire 
(la doc de Christian Caleca explique bien les tenants et aboutissants !!! un must to have !)
echo "########## Iptables flushing ##########"
iptables -F
iptables -X
iptables -t nat -F
iptables -t nat -X
iptables -t mangle -F
iptables -t mangle -X
# DROP All by default
echo "########## Iptables Filter Drop ##########"
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT DROP
echo "########## Iptables NAT Accept ##########"
iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P POSTROUTING ACCEPT
iptables -t nat -P OUTPUT ACCEPT
echo "########## Iptables MANGLE Accept ##########"
iptables -t mangle -P PREROUTING ACCEPT
iptables -t mangle -P INPUT ACCEPT
iptables -t mangle -P OUTPUT ACCEPT
iptables -t mangle -P FORWARD ACCEPT
iptables -t mangle -P POSTROUTING ACCEPT
echo "########## Iptables : connexion en etat établie, ou relative sont autorisées #########"
iptables -A INPUT -p tcp ! --syn -m conntrack --ctstate ESTABLISHED -j ACCEPT
iptables -A INPUT -p tcp -m conntrack --ctstate RELATED -j ACCEPT
iptables -A OUTPUT -p tcp ! --syn -m conntrack --ctstate ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp -m conntrack --ctstate RELATED -j ACCEPT
Pour SSH :
echo "########## Iptables : autorise SSH ###########"
iptables -A INPUT -p tcp -m tcp --dport 22 -m limit --limit 1/s -m conntrack --ctstate NEW -j ACCEPT
Mieux est de cibler aussi, ton interface d’entrée, et son adresse ip …
echo "########## Iptables : autorise SSH ###########"
iptables -A INPUT -i eth0 -d 192.168.0.1 -p tcp -m tcp --dport 22 -m limit --limit 1/s -m conntrack --ctstate NEW -j ACCEPT
(remplace 192.168.0.1 par l’adresse ip correcte … et mieux, de cibler aussi l’adresse ip de destination, utile si tu as une ip static publique … pour cela utilise le drapeau ‘-s’…)
Pense à autoriser le flux sur l’interface kernel, dite locale … ‘lo’ …
Ensuite, tu te rendras compte qu’il te faut à minima, autoriser la sortie vers le service DNS, sinon tu vas être aveugle, vers ICMP (et plus précisément, Ping et sa réponse), pour ne pas être sourd…
sans parler de l’utilité du port HTTP, en sortie.
Bref, “bon tricot” 
