ignus a écritNon, tu fais un amalgame, Iptables est un programme en ligne de commande qui n'améliore rien du tout
Si, il a pris de l'avance par rapport à cette règle :
# echo 1 > /proc/sys/net/ipv4/conf/all/rp_filter
Car cette règle ci-dessus n'agit pas sur la table raw, et la table raw a été implémenté et est active avant tous processus (comme c'est expliqué dans le MISC 64). De ce faite, pour que cette règle du dessus ne soit plus désuète, il faudrait qu'eele se modifie par exemple en ceci (ce n'est qu'un exempel hein) :
# echo 1 > /proc/sys/net/ipv4/conf/all/raw/rp_filter
(tu auras remarqué le /raw/ ajouté)
Là ok, le noyau en sera informé !
Si tu veux en savoir un peu plus et comprendre que c'est le noyau qui gère la table raw (cette table raw qui figure donc dans ma règle Iptables antispoofing trouvé dans MISC), tu peux déjà te rendre sur cette page :
http://man7.org/linux/man-pages/man7/raw.7.html
Donc il faut bien comprendre que la commande que donne MISC, est lancés dans Iptables, que Iptables est la "télécommande" de Netfilter, que Netfilter fait partie intégrente du noyau qui gère le réseaux et ses paquets (tous paquets Internet ou transitant sur le réseau local), et que le noyau comporte en lui-même cette fameuse table raw, et que cette dernière va être solicité pour DROPER toutes tentatives de spoofing, mais pour le coup VRAIMENT AVANT que les paquets qui portent cette anomalie passe par les tables de Netfilter (Iptables ou pas activé), Ou bien la commande qui suit activée ou pas :
# echo 1 > /proc/sys/net/ipv4/conf/all/rp_filter
Et c'est un fait, tout est expliqué dans le MISC 64
Donc oui la règle suivante
est désuète à l'heure actuelle :
# echo 1 > /proc/sys/net/ipv4/conf/all/rp_filter
Désuète en comparaison à celle-ci qui est l'amélioration direct sur la table raw et directement sur le Kernel de Linux :
# iptables -A PREROUTING -t raw -m rpfilter --invert -j DROP
il faut bien que tu comprennes une chose, ce n'est pas mois qui suit en train de t'expliquer que cette règle est désuète en terme d'efficacité, je ne fais que lire l'article de ce MISC numéro 64, c'est tout, que tu le veuilles ou non, le jour où tu auras cet article sous les yeux je peux te dire qu'il y a de fortes chances que tu penses à moi, et que tu te dises, ah oui, vu comme ça et avec les explications et les références des RFC que me donnent MISC sur cette nouvelle façon beaucoup plus efficace à stopper dans l'oeuf les attauqes par spoofing
que me permet maintenant Iptables grâce à l'action sur cette table raw, je n'ai plus aucune excuse pour ne pas l'utiliser !
Et là je te dirai ben oui, vu tout ce qu'il expliquent dessus, mmmm on peut difficilement les contredire.
ignus a écritBonne nuit, je débranche et je vous lirai demain.
Au fait, Iptables est bien pratique pour FAIL2BAN 😉
Bonne nuit merci, à plus oui
