D’accord, donc en gros, tes deux ordis n’utilisent que eth0, ont pour ip 192.168.0.1 et 192.168.0.2 et devraient pouvoir accéder à Internet et se parler entre eux, c’est ca ?
Si oui, tu pourrais avoir un truc du genre (attention aux ips, des fois tu dis 192.168.1.0, d’autres fois 192.168.0.1) :
[code]#Suppression de toutes les chaînes
iptables -t filter -F
iptables -t filter -X
#Définition de la cibles par défaut
iptables -t mangle -P PREROUTING ACCEPT
iptables -t mangle -P INPUT ACCEPT
iptables -t mangle -P FORWARD ACCEPT
iptables -t mangle -P OUTPUT ACCEPT
iptables -t mangle -P POSTROUTING ACCEPT
iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P OUTPUT ACCEPT
iptables -t nat -P POSTROUTING ACCEPT
iptables -t filter -P INPUT DROP
iptables -t filter -P FORWARD DROP
iptables -t filter -P OUTPUT ACCEPT
#On autorise les réponses
iptables -t filter -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
#On autorise le réseaux lo (les -s et -d sont inutiles ici)
iptables -t filter -A INPUT -i lo -j ACCEPT
#On autorise le réseaux eth0 (le -d est inutile ici)
#la plage 192.168.0.0 - 192.168.0.255 (ton réseau local) peut acceder à ton pc,
#sur tous les ports sur eth0 uniquement
iptables -t filter -A INPUT -i eth0 -s 192.168.0.0/24 -j ACCEPT
#On autorise mumble
iptables -t filter -A INPUT -p udp --dport 64739 -j ACCEPT
iptables -t filter -A INPUT -p tcp --dport 64739 -j ACCEPT
#On autorise SSH (udp est inutile pour ssh)
iptables -t filter -A INPUT -p tcp --dport 22 -j ACCEPT
#On autorise FTP
iptables -t filter -A INPUT -p udp --dport 21 -j ACCEPT
iptables -t filter -A INPUT -p tcp --dport 21 -j ACCEPT
#On autorise les ping
iptables -t filter -A INPUT -p icmp -j ACCEPT[/code]
La ton réseau local est ouvert, c’est-à dire que tous les pc de la plage 192.168.0.0-192.168.0.255 peuvent se parler sans restriction sur tous les ports sur l’interface eth0. C’est en genéral assez sur, un ordi de ton réseau local n’étant généralement pas une menace, sauf quand tu controles pas le réseau local (hot spot wifi, résidence étudiante), ou tu voudrais remplacer le
iptables -t filter -A INPUT -i eth0 -s 192.168.0.0/24 -j ACCEPT
par
iptables -t filter -A INPUT -i eth0 -s 192.168.0.0/24 -p udp --dport XX -j ACCEPT
iptables -t filter -A INPUT -i eth0 -s 192.168.0.0/24 -p tcp --doprt YY -j ACCEPT
...
Attention, un hotspot wifi se connecterait surement avec eth1, potentiellement avec une plage d’ip différente, il faudrait peut-être modifier les règles.
Inutile toutefois de rouvrir les ports 22, 21 et mumble, les dernières règles les ouvrant pour toutes les ip sur toutes les interfaces (tu pourrais d’ailleurs rajouter des -i eth0 si tu veux pas les ouvrir sur autres choses que ton cable ethernet).
Les ordinateurs n’étant pas sur ce réseau local n’auront accès à ton ordi que sur les ports 64739, 22 et 21, comme spécifié. Si tu veux autoriser ton serveur web depuis l’extérieur du réseau local, tu dois ouvrir les ports 80/443 de la même façon.
[quote=“lolit0”]mais le problème avec
iptables -t filter -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
Si j’envoie des requêtes au méchant pirate lui peut me répondre … non ? je suis paranoïaque ?[/quote]
Euh me suis jamais posé la question mais à mon avis doit pas y avoir de problèmes. Déja doit y avoir un timeout, il peut pas répondre éternellement, donc un pirate qui irait voir ses logs pourrait pas se dire “tiens il m’a contacté lui, m’en vais le cracker”, il faudrait que la réponse soit quasi immédiate, donc un truc du style un serveur malveillant, mais bon t’es sous Debian, ou du man in the middle, mais la c’est que quelqu’un t’en veux vraiment, et je sais même pas s’il porrait vraiment faire quelque chose de dangereux excepté t’espionner/te voler tes pass, etc.
Mais de toutes façons, si on veut Internet on a pas le choix, on doit accepter les réponses.
( sur lo , eth0 et eth1 )
