# Règles iptables **URL:** \ **Category:** Support Debian\ **Created:** [Novembre 25, 2016, 1:38 UTC](https://www.debian-fr.org/t/regles-iptables/71847 "2016-11-25T13:38:58Z")\ **Posts on this page:** 1\ **Showing post:** 14
**Author:** ![PengouinPdt](https://www.debian-fr.org/user_avatar/www.debian-fr.org/pengouinpdt/32/3978_2.png) [@PengouinPdt](https://www.debian-fr.org/u/PengouinPdt)\ **Post date:** [Décembre 14, 2016, 11:04 UTC](https://www.debian-fr.org/t/regles-iptables/71847/14 "2016-12-14T11:04:39Z")
> [@PascalHambourg](#): > > -A INPUT -o lo J’avais même pas vu, au petit matin … il faut espérer que c’est une faute de doigt ! > [@PascalHambourg](#): > > Elle bloque les paquets TCP entrants qui ont uniquement les drapeaux SYN et ACK activés. Or cette configuration correspond au premier paquet de réponse renvoyé par un serveur pour accepter une demande de connexion. Si on le bloque, on bloque l’établissement de la connexion. Exactement ! Je vais chipoter : par tout service, utilisant le protocol TCP, sur _toute machine_ connecté à un réseau. En fait, il vous faut comprendre que c’est là, le fonctionnement du protocol TCP. La machine, normalement, envoie une première demande de connexion, ayant le drapeau SYN, à un service basé sur le protocole TCP - _par exemple, un service web, sur le port 80_. Le service correspondant lui renvoie un drapeau SYN+ACK, pour lui dire qu’il accepte la communication … Puis, la première machine envoie, en confirmation, un drapeau ACK . C’est la fameuse « [poignée à 3 mains](https://fr.wikipedia.org/wiki/Transmission_Control_Protocol) ». Donc, bloquer SYN/ACK est une inepsie, si on veut pouvoir communiquer sur un réseau. Puisque la machine doit recevoir en entrée les réponses à ses demandes de communication sur le protocole TCP. * * * De la raison de la règle « maintenir une connexion établie » que vous avez sur le « tutoriel de base » que nous proposons … > [@Pare-feu IPv4/IPv6, versions bureau et serveur](https://www.debian-fr.org/t/pare-feu-ipv4-ipv6-versions-bureau-et-serveur/68665/1): > > iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT Et, idem, pour la sortie qui en a aussi besoin. --- _[View the full topic](https://www.debian-fr.org/t/regles-iptables/71847)._