Nathaly01 a écrit
lol, j'ai l'impression que la communauté se limite à toi pour mon sujet !!!
Mais comme je suis intéressée par apprendre, je serai pas contre quelques conseils pour l'améliorer ...
Hello,
[modéré : merci de ne pas polluer les sujets techniques avec des attaques ad hominem contre les autres contributeurs]
Donc oui, pour déjà améliorer tes règles actuelles, sans les changer, juste les améliorer, tu peux te référer au changement que je te propose via ce qui suit :
_Ici j'ai commencé par changer les options "-m state --state" par "-m conntrack --ctstate". En faisant donc ainsi, (j'ai)tu améliores grandement le suivi de connexions via ton pare-feu Iptables (donc tout ce qui transite par Internet, comme ton surf quotidien, tes logiciels utilisant Internet, etc...), car tu ne fais donc plus appel au module (à la correspondance) "state" mais tu fais appel au nouveau module "conntrack", qui est un module grandement amélioré et donc conçu pour les traçages de connexions, (qui transitent par ton interface "eth1" donc tout ton surf et les logiciels qui utilisent Internet comme dit au dessus), transformant ainsi ton pare-feu Iptables en véritable pare-feu à états (ou pare-feu SPI (Statefull Packet Inspection)), et donc en faisant évoluer très simplement tes règles actuelles, tu te retrouves avec un excelelnt parefeu SPI pour...
... pas un rond...
Tes règles à améliorer donneraient donc ceci :
# Generated by iptables-save v1.4.21 on Sun Dec 21 18:26:58 2014
*mangle
:PREROUTING ACCEPT [1371:644348]
:INPUT ACCEPT [1365:642164]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [1370:238522]
:POSTROUTING ACCEPT [1414:245691]
COMMIT
# Completed on Sun Dec 21 18:26:58 2014
# Generated by iptables-save v1.4.21 on Sun Dec 21 18:26:58 2014
*nat
:PREROUTING ACCEPT [12:3230]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [327:20619]
:POSTROUTING ACCEPT [327:20619]
COMMIT
# Completed on Sun Dec 21 18:26:58 2014
# Generated by iptables-save v1.4.21 on Sun Dec 21 18:26:58 2014
*filter
:INPUT DROP [95:15188]
:FORWARD DROP [0:0]
:OUTPUT DROP [0:0]
-A INPUT -i lo -j ACCEPT
-A INPUT -i eth1 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -o eth1 -m conntrack --ctstate NEW,RELATED,ESTABLISHED -j ACCEPT
COMMIT
# Completed on Sun Dec 21 18:26:58 2014
On peut ensuite, si tu es toujours intéressée, augmenter encore le flicage avec Iptables, pour affiner ta sécurité, pour mieux filtrer les packets tout simplement. Mais tu peux très bien t'arrêter là si tu veux, personne ne force personne, tu n'es même pas "obligée" d'appliquer ce que je te transmets, un pare-feu c'est personnel, donc...
Pour voir la différence entre les modules "state" et "conntrack", tu peux déjà te rendre
sur ce lien, en scrollant la page tu vas d'abord tomber sur le module "conntrack", puis ensuite plus bas sur la page, sur le module "state", voilou, ce que je te transmets est donc vérifiable par tes soins bien sûr... tcho
