Oh excellent !! Pile-poil comme à mes débuts, en te lisant je comprends tout de suite que tu n'as pas assimilé la logique du logiciel iptables, c'est flagrant. Une fois comprise ça ira mieux, mais ce n'est pas si compliqué que cela, nous le voyons ensemble tout de suite :
Ici tu nous dis :
UbNeBe a écritPar contre mettre un DROP après des ACCEPT je trouve ça nul, ça pourrait laisser des paquets passés qui aurait pu être bloqués si l'ordre avait été mieux établi.
Donc tu affirmes cela, et c'est donc ce que tu penses actuellement, et je te remercie de le faire partager car nous pouvons réctifier cela tout de suite, avec les explications qui suivent :
Dans ton script tu as cette partie au début :
echo "# Interdire toutes connexions entrantes et sortantes"
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT DROP
Donc là tu mets tout en DROP et après ton script fait quoi ? Il met des ACCEPT, pile-poil ce que tu dis trouver nul 😉 Il met des ACCEPT avec ceci par exemple (si tu l'analyses mieux, il en met beaucoup plus dans la totalité de ton script, et heureusement, sinon si tu laisses toutes tes politiques en DROP (INPUT,FORWARD,OUTPUT), alors rien ne sort, rien ne rentre, là par contre ce serait bête, il faut donc mettre des ACCEPT pour autoriser le surf et compagnie ! Je pense que tu vois déjà un peu mieux ce qui se passe, et si ce n'est pas encore le cas, les explications plus en détails suivent :
Au début de ton message tu nous dit ça :
UbNeBe a écritPour ce qui est des règles XMAS et NULL, je ne sais pas du tout si c'est utile derrière une box donc dans le doute si ça ne m'empêche pas d'accéder à mes pages web je les laisse en attendant.
Là aussi tu n'as pas bien compris la règle de ton script qui est celle-ci, ce qui est normal, je suis passé par là aussi je le répète lol, mon mot d'ordre étant toujours "méfiance à ce que nous balance les internautes lol" :
iptables -P INPUT DROP
Cette règle là DROP sert à bloquer absolument tout le trafique entrant, donc par définition les XMAS et NULL. (Voilà comment ça fonctionne IPTABLES).
Donc en gros, tu peux tout à fait laisser ton INPUT en DROP, mais comme le montre ton script ou bien mes règles, il te faudra automatiquement, des ACCEPT pour tes DROP sinon rien ne passera jamais. Et puis ton script montre aussi que la personne qui l'a fait n'avait pas bien saisi la fonction DROP sur la
Politique INPUT.
Pour aller plus loin et mieux comprendre cette ligne tu peux la découper :
iptables -P INPUT DROP
Elle est composé de
iptables qui sert à parler à Iptables.
Ensuite de :
-P qui veut dire POLICY (en anglais dans le logiciel iptables mais en français on peut le traduire par "politique", ce qui veut dire que quand tu indiques ce -P après le mot iptables (toujours dans cette commande), alors iptables comprend tout de suite que ce qui va suivre dans cette commande sera à appliquer à la Politique complète de l'ordinateur (mais encore faut-il indiquer à Iptables sur quelle chaine tu veux faire appliquer ton "ordre" (j'appelle "ordre" ces paramètres "ACCEPT" ou par exemple "DROP" pour rester dans ce que l'on analyse en ce moment).
Ensuite tu as la chaîne :
INPUT Là iptables comprends que tu lui donne un ordre pour INPUT.
Et ensuite
DROP ça c'est ce qu'on a en toute fin de commande, iptables comprends donc qu'il doit mettre la politique DROP à la totalité de chaîne INPUT, d'où les filtres XMAS et NULL supperflus malheureusement pour iptables, car par définition, tant que tu ne mets pas un accept, absolument tout sera DROPÉ ! Tu te rends compte de la puissance de cette commande :
iptables -P INPUT DROP
Elle bloque tout et "tout de suite", pour évidemment faciliter les architectes réseaux dans leurs règles sur iptables, ensuite ils mettent du ACCEPT pour autoriser ce qu'ils veulent. Il faudra donc mettre du ACCEPT pour XMAS et NULL pour les autoriser à se faire depuis l'extérieur, vu que l'on est en ce moment en train de bosser sur la chaîne INPUT (INPUT tu l'auras compris est donc ce qui vient de l'extérieur... Voili voilou, je suis nul en ulog, je sais même pas ce que c'est désolé.
@ toute
Le gros
Post Scriptum d'aujourd'hui ce sera de dire (de ma part) :
Que je n'avais pas compris ta phrase de départ pffff, j'ai expliqué tout ça pour rien, désolé, j'ai du te faire perdre ton temps, mais bon, la commande Netstat associée à Wireshark et d'autres trucs encore peuvent t'aider à savoir si des trucs "fuitent" quand tu laisses une politique en ACCEPT et que tu lui colles des DROP, je fonctionne comme ce que tu n'aimes pas faire, et je n'ai jamais eu aucun soucis, au contraire, que des facilités. Par exemple peux-tu nous dire si ton logiciel Transmission est utilisable avec ton script stp ? Si tu veux télécharger en P2P via le réseau Bitorrent une bonne grosse image Debian énorme(ou bien si tu veux violer la loi pour récupérer un film ou un album avec Transmission, mais là le forum déclinera toutes résponsabilités !), ça passe sans problème stp ?
