Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

Iptable bien configuré ?

8140david

Voici ma config Iptable:
iptables -F
iptables -X
iptables -A INPUT -j ACCEPT
iptables -A OUTPUT -j ACCEPT

Et voici le resultat de la commande 'sudo nmap localhost --system-dns':
Starting Nmap 5.21 ( http://nmap.org ) at 2014-07-10 16:24 CEST
Nmap scan report for localhost (127.0.0.1)
Host is up (0.0000090s latency).
Not shown: 996 closed ports
PORT STATE SERVICE
53/tcp open domain
139/tcp open netbios-ssn
445/tcp open microsoft-ds
631/tcp open ipp
Nmap done: 1 IP address (1 host up) scanned in 0.09 seconds

Est-ce que tout est bon, ou y a-t-il un probleme de securite ?

tiramiseb

Salut,

Plusieurs problèmes...

1/ ta "config Iptable" est juste une série de règles iptables qui autorisent tout en entrée et tout en sortie, donc ça ne sert à rien vu que le défaut c'est de tout autoriser ;
2/ un nmap en localhost, ça n'a pas de sens, vu que certaines choses écoutent uniquement en localhost et non sur le réseau (notamment dnsmasq sur le port 53 et cups sur le port 631) ;
3/ tu as probablement des partages de fichiers en place (serveur Samba), du coup on voit ces partages (ports 139 et 445) ;
4/ ce que tout cela prouve, c'est qu'un pare-feu est inutile...

8140david

Merci pour ces explications.
J'ai supprime Samba qui me servait a rien.
Maintenant j'ai:
Starting Nmap 5.21 ( http://nmap.org ) at 2014-07-10 17:08 CEST
Nmap scan report for localhost (127.0.0.1)
Host is up (0.0000090s latency).
Not shown: 998 closed ports
PORT STATE SERVICE
53/tcp open domain
631/tcp open ipp
Nmap done: 1 IP address (1 host up) scanned in 0.25 seconds

Loupus11

tiramiseb a écritSalut,

Plusieurs problèmes...

1/ ta "config Iptable" est juste une série de règles iptables qui autorisent tout en entrée et tout en sortie, donc ça ne sert à rien vu que le défaut c'est de tout autoriser ;
2/ un nmap en localhost, ça n'a pas de sens, vu que certaines choses écoutent uniquement en localhost et non sur le réseau (notamment dnsmasq sur le port 53 et cups sur le port 631) ;
3/ tu as probablement des partages de fichiers en place (serveur Samba), du coup on voit ces partages (ports 139 et 445) ;
4/ ce que tout cela prouve, c'est qu'un pare-feu est inutile...

Bonjour,

J'ai une question qui j'espère ne va pas polluer le forum,
Mais pourquoi iptable alors qu'il existe ufw et GUFW ?
Merci par avance @tiramiseb de répondre, cela pourrait servir aux débutants tel que moi. :rolleyes:

tiramiseb

pourquoi iptable alors qu'il existe ufw et GUFW ?

C'est une bonne question : pourquoi donc certains utilisent encore directement iptables alors qu'il existe ufw !?

Et une autre question : pourquoi des gens qui n'ont pas besoin de pare-feu tiennent absolument à en mettre un !?

Loupus11

Merci d'avoir pris le temps de répondre :

Exemple mon FAI est orange donc je suis derrière une Live Box routeur, avec Debian et Ubuntu pas besoin de firewal logiciel, car avec un routeur normalement configuré pas de soucis.

Suis-je dans l’erreur ?

Je pense que ta réponse servira aux libristes.

Merci par avance
Cela est ma dernière question !!!

Brunod

Loupus11 a écrit...
Mais pourquoi iptable alors qu'il existe ufw et GUFW ?
Merci par avance @tiramiseb de répondre, cela pourrait servir aux débutants tel que moi. :rolleyes:

Pour ne pas devoir mettre une couche interface graphique sur un serveur sans X par exemple.

tiramiseb

Pour ne pas devoir mettre une couche interface graphique sur un serveur sans X par exemple.

UFW est en ligne de commande...

Exemple mon FAI est orange donc je suis derrière une Live Box routeur, avec Debian et Ubuntu pas besoin de firewal logiciel, car avec un routeur normalement configuré pas de soucis.

Bah même sans routeur, aucun port n'est ouvert par défaut, il n'y a pas de raison de mettre un pare-feu s'il n'y a pas de port ouvert...

PerfMonk

Ha! Ha ! Ha!
Tes commandes iptables sont l'équivalent de ne pas avoir de pare-feu!!! 😃

Tu peux utiliser UFW (sudo apt-get install ufw) ou faire ton script de iptables maison.

Voici un exemple de script maison que j'utilise :
===========================================================
#!/bin/bash

# Constantes
IPT=/sbin/iptables

# Interface qui est dans votre réseau

# Mon réseau local
LAN="192.168.1.0/24"

# Interface Loopback

LOOP_IFACE="lo"
LOOP_IP="127.0.0.1"

### On commence par effacer tout ####

$IPT -P INPUT ACCEPT
$IPT -P FORWARD ACCEPT
$IPT -P OUTPUT ACCEPT
$IPT -t nat -P PREROUTING ACCEPT
$IPT -t nat -P POSTROUTING ACCEPT
$IPT -t nat -P OUTPUT ACCEPT
$IPT -t mangle -P PREROUTING ACCEPT
$IPT -t mangle -P OUTPUT ACCEPT

# Les tables sont effacées.
$IPT -F
$IPT -t nat -F
$IPT -t mangle -F
$IPT -X
$IPT -t nat -X
$IPT -t mangle -X

### Le défaut sécuritaire on bloque tout ce qui veut entrer ###
$IPT -P INPUT DROP
$IPT -P OUTPUT ACCEPT
$IPT -P FORWARD DROP

#### Maintenant on va ouvrir ce qu'on veut laisser passer

# Tout le trafic venant de l'interface Loopback est accepté.
$IPT -A INPUT -p ALL -i $LOOP_IFACE -j ACCEPT

# Si un packet est invalide, on le drop pour ne pas causer d'erreur
$IPT -A INPUT -m state --state INVALID -j DROP

# On accepte le trafic en entrée si et seulement si il a été initié par notre ordinateur.

$IPT -A INPUT -p ALL -m state --state ESTABLISHED,RELATED -j ACCEPT

# On accepte le trafic en entrée de notre réseau local
$IPT -A INPUT -s $LAN -j ACCEPT

# On accepte seulement les packet ICMP du WAN à une fréquence de 1 par seconde
$IPT -A INPUT -p icmp -m icmp --icmp-type 8 -m limit --limit 1/s -j ACCEPT

# Petite amélioration pour accélérer une connexion IRC
$IPT -A INPUT -p tcp -m tcp --dport 113 -j REJECT --reject-with tcp-reset

# Je permet à SSH d*entrer

$IPT -A INPUT -p tcp --dport 22 -m state --state NEW -j ACCEPT

### Ajout pour IPV6 ###
ip6tables -P INPUT DROP
ip6tables -P FORWARD DROP
ip6tables -P OUTPUT ACCEPT
ip6tables -A INPUT -s 2000::/3 -j REJECT
ip6tables -A OUTPUT -d 2000::/3 -j REJECT
#ip6tables -A INPUT -p tcp --destination-port 22 -j ACCEPT

exit
================================================================================
NB : ajuster le sous-réseau pour celui que tu utilise.

Ce script configure iptables pour bloquer tout ce qui veut entrer (sauf ssh et le ping) et permet à tes connexions déjà établies de sortir.

Salutations,
Bernard :cool:

PS: Tu peux ajouter ce script à /etc/init.d/rc.local qui est exécuté au démarrage de ta machine.

tiramiseb

Tes commandes iptables sont l'équivalent de ne pas avoir de pare-feu!!!

C'est ce que j'ai dit en #2 quatre heures auparavant...

Voici un exemple de script

Ton script n'apporte pas grand chose (voire rien) sur une configuration classique...

Tu peux ajouter ce script à /etc/init.d/rc.local

rc.local !? C'est vraiment la plus crado des manières pour mettre quelque chose au démarrage...

pires57

ahah, ton script .... ne sert strictement à rien...

Brunod

tiramiseb a écrit
Pour ne pas devoir mettre une couche interface graphique sur un serveur sans X par exemple.
UFW est en ligne de commande...
...

Je parlais de gufw.

Sinon aussi pourquoi les gens se cassent la tête avec des scripts, des modif de répertoire de conf alors qu'il existe iptables-persistent ? :/

8140david

tiramiseb a écritBah même sans routeur, aucun port n'est ouvert par défaut, il n'y a pas de raison de mettre un pare-feu s'il n'y a pas de port ouvert...

Que se passe-t-il alors quand on fait du P2P (avec Transmission dans mon cas)?
Est-il preferable de creer un regle iptables ou pas? Et si oui, laquelle ?

bruno

Au passage lancer la commande nmap sur l'adresse de bouclage (127.0.0.1) cela ne sert strictement à rien…

8140david

bruno a écritAu passage lancer la commande nmap sur l'adresse de bouclage (127.0.0.1) cela ne sert strictement à rien…

Merci de faire des commentaires constructifs:
Que faudrait-il faire a la place?

bruno

Lire la page de man de nmap ? Et comprendre à quoi sert cet outil 😉
Si tu veux absolument utiliser nmap il fut le faire depuis une autre machine avec une adresse IP publique.

8140david

Merci. Puisque tu reponds, tu pourrais expliquer en quelques mots a quoi ca sert...

Brunod

A voir les ports ouverts, fermés, trouver les services qui tournent sur le pc, déterminer l'os, trouver les failles correspondantes. Ensuite on les colmate ou on les exploite selon la couleur du chapeau que l'on porte.

tiramiseb

bruno a écritaussi pourquoi les gens se cassent la tête avec des scripts, des modif de répertoire de conf alors qu'il existe iptables-persistent ?

Parce qu'il y a de très nombreux tutoriels de mauvaise qualité ou trop vieux sur Internet...

8140david a écritQue se passe-t-il alors quand on fait du P2P (avec Transmission dans mon cas)?

Ça dépend. Grosso modo il y a un port qui s'ouvre pour que les tiers puissent se connecter chez toi et puis toi tu te connectes à l'extérieur..

8140david a écritEst-il preferable de creer un regle iptables ou pas? Et si oui, laquelle ?

Bah non : si un port s'ouvre, c'est pour qu'il soit utilisé...

bruno a écritAu passage lancer la commande nmap sur l'adresse de bouclage (127.0.0.1) cela ne sert strictement à rien…

Oui, comme je l'ai indiqué en #2...

8140david a écritQue faudrait-il faire a la place?

Exécuter nmap à partir d'une autre machine...

Brunod

@tiramiseb : Attention, tu confonds bruno et brunod dans tes citations, nous sommes plusieurs 😃
Moi je suis le daemon
😉

Page suivante »