Bonjour (ou bonsoir),
nouveau venu sur Linux, j'ai récemment installé Ubuntu 12.04 sur deux pc portables, dont un sans dual boot. Bref, dans un excès de folie, j'ai voulu configurer un firewall, d'abord avec gufw, puis en grand malade que je suis, en ligne de commande. Je me suis fais un petit script qui me paraît pas mal, le problème, c'est que ufw, que j'ai désinstallé via la logithèque, semble prendre le pas sur mon script iptables, et écraser celui-ci à chaque démarrage.
J'ai passé la commande
sudo ufw disable
pour désactiver le pare feu, mais au redémarrage du PC,
iptables -L
me donne les infos suivantes :
Chain INPUT (policy ACCEPT) target prot opt source destination
Chain FORWARD (policy ACCEPT) target prot opt source destination
Chain OUTPUT (policy ACCEPT)
Un peu comme si je n'avais pas de firewall...
J'ai pourtant installé le paquet iptables-persistent, et saisis mes règles, sauvegarder et reloader. mais rien n'y fait...
Voici mon script, qui séjourne en /etc/ipatbles/rules.v4
#!/bin/sh
# On efface les précédents paramètres du Firewall
sudo iptables -t filter -F
sudo iptables -t filter -X
# On bloque, par défaut, tout le trafic
sudo iptables -t filter -P INPUT DROP
sudo iptables -t filter -P FORWARD DROP
sudo iptables -t filter -P OUTPUT DROP
# On ne ferme pas les connexions établies et on autorise le loopback sur localhost
sudo iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
sudo iptables -A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
sudo iptables -t filter -A INPUT -i lo -j ACCEPT
sudo iptables -t filter -A OUTPUT -o lo -j ACCEPT
# On spécifie les ports que l'on souhaite ouvrir :
# On ouvre le port 53 pour la résolution des DNS
sudo iptables -t filter -A OUTPUT -p tcp --dport 53 -j ACCEPT
sudo iptables -t filter -A INPUT -p tcp --dport 53 -j ACCEPT
sudo iptables -t filter -A OUTPUT -p udp --dport 53 -j ACCEPT
sudo iptables -t filter -A INPUT -p udp --dport 53 -j ACCEPT
# On ouvre le port 80 ou http pour la navigation sur Internet
sudo iptables -t filter -A OUTPUT -p tcp --dport 80 -j ACCEPT
sudo iptables -t filter -A INPUT -p tcp --dport 80 -j ACCEPT
# On ouvre les ports POP3 et SMTP spécifiques à la messagerie gmail
sudo iptables -t filter -A OUTPUT -p tcp --dport 995 -j ACCEPT
sudo iptables -t filter -A INPUT -p tcp --dport 995 -j ACCEPT
sudo iptables -t filter -A OUTPUT -p tcp --dport 465 -j ACCEPT
sudo iptables -t filter -A INPUT -p tcp --dport 465 -j ACCEPT
# On ouvre les ports SMTP et IMAP pour la consultation des mails sur numéricable
sudo iptables -t filter -A OUTPUT -p tcp --dport 25 -j ACCEPT
sudo iptables -t filter -A INPUT -p tcp --dport 25 -j ACCEPT
sudo iptables -t filter -A OUTPUT -p tcp --dport 143 -j ACCEPT
sudo iptables -t filter -A INPUT -p tcp --dport 143 -j ACCEPT
# On ouvre le port 6881 pour l'utilisation d'un client Torrent
sudo iptables -t filter -A OUTPUT -p udp --dport 6881 -j ACCEPT
sudo iptables -t filter -A INPUT -p udp --dport 6881 -j ACCEPT
sudo iptables -t filter -A OUTPUT -p tcp --dport 6881 -j ACCEPT
sudo iptables -t filter -A INPUT -p tcp --dport 6881 -j ACCEPT
# Se prémunir d'une attaque par déni de service
sudo iptables -A FORWARD -p tcp --syn -m limit --limit 1/second -j ACCEPT
sudo iptables -A FORWARD -p udp -m limit --limit 1/second -j ACCEPT
sudo iptables -A FORWARD -p icmp --icmp-type echo-request -m limit --limit 1/second -j ACCEPT
# On limite les scans de port
sudo iptables -A FORWARD -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s -j ACCEPT
Merci de votre aide
