# Règle IPTABLE **URL:** \ **Category:** Support Debian\ **Tags:** iptables\ **Created:** [Avril 10, 2019, 12:45 UTC](https://www.debian-fr.org/t/regle-iptable/79030 "2019-04-10T12:45:05Z")\ **Posts on this page:** 16\ **Page:** 1
**Author:** ![fabdunet1313](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/f/3da27b/32.png) [@fabdunet1313](https://www.debian-fr.org/u/fabdunet1313)\ **Post date:** [Avril 10, 2019, 12:45 UTC](https://www.debian-fr.org/t/regle-iptable/79030/1 "2019-04-10T12:45:06Z")
Bonjour, Je recherche une règle IPTABLE pour autoriser toute les adresse IP sur le port 32400 pour une adresse IP comencant par 74.X.X.X.X `iptables -t filter -A OUTPUT -s 74.x.x.x -p tcp --dport 32400 -j ACCEPT` Auriez vous une idée car ma règle fonctionne trés bien mais uniquement quand je tape l’adresse complète. ---
**Author:** ![fabdunet1313](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/f/3da27b/32.png) [@fabdunet1313](https://www.debian-fr.org/u/fabdunet1313)\ **Post date:** [Avril 10, 2019, 12:49 UTC](https://www.debian-fr.org/t/regle-iptable/79030/2 "2019-04-10T12:49:57Z")
En fait je vous explique, mon téléphone portable change tout le temps d’adresse IP, et mon FAI (Fournisseur d’accès internet) a tout ces @IP commençant par 74.X.X.X.X. Non-opérateur m’a dit que c’était impossible d’obtenir une adresse IP fixe depuis une connexion GSM et j’ai pensé à faire un filtre fia les deux premiers chiffres de mon adresse IP publique de mon téléphone portable qui ne change jamais. ---
**Author:** ![PascalHambourg](https://www.debian-fr.org/user_avatar/www.debian-fr.org/pascalhambourg/32/5837_2.png) [@PascalHambourg](https://www.debian-fr.org/u/PascalHambourg)\ **Post date:** [Avril 10, 2019, 1:02 UTC](https://www.debian-fr.org/t/regle-iptable/79030/3 "2019-04-10T13:02:08Z")
``` -s 74.0.0.0/8 ``` Mais il est improbable que ton FAI ait cette plage entière, et il est probable qu’il ait d’autres plages. Et pourquoi vouloir filtrer sur l’adresse source alors qu’ils s’agit de paquets sortants, donc émis par la machine elle-même ? ---
**Author:** ![anon16237994](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/ac91a4/32.png) [@anon16237994](https://www.debian-fr.org/u/anon16237994)\ **Post date:** [Avril 10, 2019, 1:07 UTC](https://www.debian-fr.org/t/regle-iptable/79030/4 "2019-04-10T13:07:07Z")
iptables -A INPUT -m iprange --src-range 74.0.0.0-74.255.255.255 -j ACCEPT not sure ^^ ---
**Author:** ![mattotop](https://www.debian-fr.org/user_avatar/www.debian-fr.org/mattotop/32/3942_2.png) [@mattotop](https://www.debian-fr.org/u/mattotop)\ **Post date:** [Avril 10, 2019, 1:10 UTC](https://www.debian-fr.org/t/regle-iptable/79030/5 "2019-04-10T13:10:25Z")
> [@fabdunet1313](#): > > Non-opérateur m’a dit que c’était impossible d’obtenir une adresse IP fixe depuis une connexion GSM et j’ai pensé à faire un filtre fia les deux premiers chiffres de mon adresse IP publique de mon téléphone portable qui ne change jamais. En ouvrant à 74.XXX.XXX.XXX , tu vas ouvrir le port à tous les clients de ton opérateur, autant carrément ouvrir ce port là à tout le monde. Il y a des solutions de « port knocking », qui peuvent t’ouvrir un port si tu frappes à la bonne porte: > **[Mettre en place le port-knocking avec knockd sous Linux et un client Windows](https://www.deltasight.fr/port-knocking-knockd-linux/)** > > Le port knocking est une technique réseau qui consiste à déclencher des règles de pare-feu d’ouverture après détection d’une séquence particulière sur un port prévu à cet effet. Voici comment le mettre en place avec un serveur Linux Debian et un... Tu as aussi la solution d’utiliser un dyndns, pour associer automatiquement l’ip de ton ordi où qu’il soit à son adresse ip dynamique. Si ce que tu veux faire peut passer par un nom de machine et une résolution de nom au lieu d’une adresse ip, ça peut être plus simple aussi. Bref, si tu expliquais encore mieux ton problème de base, notamment pourquoi tu as besoin d’attaquer ce port 32400 spécifiquement sur ton ip de portable ? On pourrait peut être te suggérer une solution adaptée. ---
**Author:** ![PascalHambourg](https://www.debian-fr.org/user_avatar/www.debian-fr.org/pascalhambourg/32/5837_2.png) [@PascalHambourg](https://www.debian-fr.org/u/PascalHambourg)\ **Post date:** [Avril 10, 2019, 1:32 UTC](https://www.debian-fr.org/t/regle-iptable/79030/6 "2019-04-10T13:32:59Z")
> [@mattotop](#): > > En ouvrant à 74.XXX.XXX.XXX , tu vas ouvrir le port à tous les clients de ton opérateur Non puisqu’il s’agit d’une connexion sortante (OUTPUT). > [@mattotop](#): > > pourquoi tu as besoin d’attaquer ce port 32400 spécifiquement sur ton ip de portable ? _Depuis_ l’adresse IP de son portable. ---
**Author:** ![mattotop](https://www.debian-fr.org/user_avatar/www.debian-fr.org/mattotop/32/3942_2.png) [@mattotop](https://www.debian-fr.org/u/mattotop)\ **Post date:** [Avril 10, 2019, 1:38 UTC](https://www.debian-fr.org/t/regle-iptable/79030/7 "2019-04-10T13:38:19Z")
> [@PascalHambourg](#): > > _Depuis_ l’adresse IP de son portable. Je n’avais même pas lu la règle, je n’avais pas compris, tellement l’idée même de bloquer l’OUTPUT me parait idiote. ---
**Author:** ![PascalHambourg](https://www.debian-fr.org/user_avatar/www.debian-fr.org/pascalhambourg/32/5837_2.png) [@PascalHambourg](https://www.debian-fr.org/u/PascalHambourg)\ **Post date:** [Avril 10, 2019, 1:39 UTC](https://www.debian-fr.org/t/regle-iptable/79030/8 "2019-04-10T13:39:59Z")
Cela n’a rien d’idiot et peut être parfaitement légitime. Notamment quand on n’a pas une confiance absolue dans les applications qu’on fait tourner et les accès réseau qu’elles font. Par contre je ne comprends pas pourquoi vouloir filtrer sur l’adresse source d’une connexion sortante. C’est forcément l’adresse actuelle de la machine, quelle qu’elle soit. ---
**Author:** ![mattotop](https://www.debian-fr.org/user_avatar/www.debian-fr.org/mattotop/32/3942_2.png) [@mattotop](https://www.debian-fr.org/u/mattotop)\ **Post date:** [Avril 10, 2019, 1:50 UTC](https://www.debian-fr.org/t/regle-iptable/79030/9 "2019-04-10T13:50:31Z")
[HS] > [@PascalHambourg](#): > > quand on n’a pas une confiance absolue dans les applications qu’on fait tourner et les accès réseau qu’elles font Oui, mais dans ce cas là, c’est du diagnostic, tu peux loguer, mais pas obligé de bloquer. Et sur les machines vraiment critiques où on ne veut pas que le contenu sorte, je veux bien à la limite que ce soit légitime de bloquer, mais déjà on y installe pas d’applis qu’on soupçonne de fuiter, et ça ne protège pas contre les intrusions: quand on a quelque chose d’anormal qui sort, c’est qu’un intrus est déjà entré. [/HS] ---
**Author:** ![fabdunet1313](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/f/3da27b/32.png) [@fabdunet1313](https://www.debian-fr.org/u/fabdunet1313)\ **Post date:** [Avril 11, 2019, 8:46 UTC](https://www.debian-fr.org/t/regle-iptable/79030/10 "2019-04-11T08:46:31Z")
En fait oui en autorisant le 74.x.x.x j’autoriserais moins de personne que si j’ouvre tout a tout le monde. en tout cas Merci pour votre travail, je testerais à midi. Merci Merci 🙂 ---
**Author:** ![fabdunet1313](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/f/3da27b/32.png) [@fabdunet1313](https://www.debian-fr.org/u/fabdunet1313)\ **Post date:** [Avril 11, 2019, 11:10 UTC](https://www.debian-fr.org/t/regle-iptable/79030/11 "2019-04-11T11:10:14Z")
Autoriser un site internet avec une adresse IP, c’est possible ? c’est simple ? ---
**Author:** ![PascalHambourg](https://www.debian-fr.org/user_avatar/www.debian-fr.org/pascalhambourg/32/5837_2.png) [@PascalHambourg](https://www.debian-fr.org/u/PascalHambourg)\ **Post date:** [Avril 11, 2019, 11:31 UTC](https://www.debian-fr.org/t/regle-iptable/79030/12 "2019-04-11T11:31:59Z")
> [@fabdunet1313](#): > > En fait oui en autorisant le 74.x.x.x j’autoriserais moins de personne que si j’ouvre tout a tout le monde. Non, tu fais erreur. Cette règle dans la chaîne OUTPUT filtre les paquets sortants. Sur quelle machine est-elle installée, le portable qui a l’adresse 74.x.x.x ou le serveur qui écoute sur le port 32400 ? > [@fabdunet1313](#): > > Autoriser un site internet avec une adresse IP Que veux tu dire par là ? Autoriser à quel endroit ? L’adresse IP de quoi ? ---
**Author:** ![fabdunet1313](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/f/3da27b/32.png) [@fabdunet1313](https://www.debian-fr.org/u/fabdunet1313)\ **Post date:** [Avril 11, 2019, 12:04 UTC](https://www.debian-fr.org/t/regle-iptable/79030/13 "2019-04-11T12:04:56Z")
Peux tétère changer ma méthodologie dans var/www/mon2\_site\_PV.com l’autoriser dans apache l’adresse IP de chez moi uniquement, suis parti sur les règles IPTABLE mais c’est trop bloquant. Ex : /etc/apache2.conf/site-enabled/00default.conf ---
**Author:** ![fabdunet1313](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/f/3da27b/32.png) [@fabdunet1313](https://www.debian-fr.org/u/fabdunet1313)\ **Post date:** [Avril 11, 2019, 3:08 UTC](https://www.debian-fr.org/t/regle-iptable/79030/14 "2019-04-11T15:08:59Z")
désolé pour mes explications, J’ai mon site internet sur le quelle je publie toutes mes notes de travail que j’héberge sur un serveur dédié KIMSUFI (Linux debian 9). Je souhaiterais autoriser l’adresse IP de mon travail et l’adresse IP de chez moi à consulter ce site internet sans bloquer les autres sites internet que j’héberge. www.xxxxx.xx va dans var/www/xxxxxxx yyy.yyy.yy et dans le dossier /var/www/yyyy zzz.zzzzzzz.zz dans le dossier /var/www/zzz ---
**Author:** ![fabdunet1313](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/f/3da27b/32.png) [@fabdunet1313](https://www.debian-fr.org/u/fabdunet1313)\ **Post date:** [Avril 11, 2019, 3:27 UTC](https://www.debian-fr.org/t/regle-iptable/79030/15 "2019-04-11T15:27:00Z")
J’ai trouvé voici la solution : [https://www.it-connect.fr/filtrer-les-acces-par-ip-dans-apache/](https://www.it-connect.fr/filtrer-les-acces-par-ip-dans-apache/) Merci pour tout l’équipe, vous m’avez super bien aidé. ---
**Author:** ![PascalHambourg](https://www.debian-fr.org/user_avatar/www.debian-fr.org/pascalhambourg/32/5837_2.png) [@PascalHambourg](https://www.debian-fr.org/u/PascalHambourg)\ **Post date:** [Avril 11, 2019, 6:30 UTC](https://www.debian-fr.org/t/regle-iptable/79030/16 "2019-04-11T18:30:23Z")
> [@fabdunet1313](#): > > J’ai mon site internet sur le quelle je publie toutes mes notes de travail que j’héberge sur un serveur dédié KIMSUFI (Linux debian 9). Et le port 32400 figurant dans la règle iptables de ton message initial, c’est le port d’écoute du serveur web ? > [@fabdunet1313](#): > > Je souhaiterais autoriser l’adresse IP de mon travail et l’adresse IP de chez moi à consulter ce site internet sans bloquer les autres sites internet que j’héberge. iptables est utilisable si les autres sites sont accessibles en se connectant à une adresse IP ou un port différent. Mais les règles doivent aller dans la chaîne INPUT pour filtrer les paquets entrants, pas la chaîne OUTPUT. Par contre si tous les sites sont accessibles aux mêmes adresse IP et port, alors iptables n’est d’aucune aide car il ne peut pas filtrer sur le nom du site. Seul le serveur web lui-même, ou un reverse proxy situé en frontal le peut. Mais ce filtrage est plus coûteux en ressources que le filtrage par iptables, car il faut qu’une connexion TCP soit établie et une requête HTTP soit transmise et traitée.