Question Regles iptables input et output

mangue · Le 21/11/2011, à 13:51

Bonjour,

Je suis en train de preparer mes regles iptables pour un serveur distant et je me posais une question.
Si les regles suivantes sont appliquees, et que les INPUT OUTPUT et FORWARD sont en DROP par defaut :

iptables -A INPUT -p tcp --dport ssh -j accept
iptables -i lo -j accept
iptables -m state --state ESTABLISHED,RELATED -j ACCEPT

Est ce que le SSH sera bloque du serveur vers mon pc, ou est-ce que la regle sur les connections etablies fera que le SSH pourra sortir ?

D'avance merci.

Mangue

PS : Desole pour les accents, je suis sur clavier US.

melinameline · Le 24/11/2011, à 10:55

Bonjour mangue,

je ne maitrise pas bien les iptables, mais je crois que tant que la regle de output n'est pas mensionnée cela veut dire que le ssh est bloqué de ton serveur vers ton pc,
la regle sur les connections etablies s'applique sur les paqués accepté, il me semble.

bonne chance

mangue · Le 24/11/2011, à 11:56

Merci a toi pour cette reponse !

Dans le doute j'ai mis en place, et ca a l'air de fonctionner.

NooP · Le 24/11/2011, à 13:10

Bonjour.

Effectivement, si tu n'as pas de règle 'OUTPUT', alors tu ne peux établir une nouvelle 'NEW' connexion sortante.
Dans le cas que tu montres, ton PC est autorisé à se connecter à ton SERVEUR, mais pas l'inverse.

Par contre, il faut savoir que netfilter traite les règles dans l'ordre où elles lui sont données. Dans le cas que tu donnes, à chaque paquet ESTABLISHED où RELATED qui passe par netfilter, celui teste d'abord si il correspond à ta règle SSH.

La bonne méthode est :

1) Configurer la politique de filtrage (iptables -P INPUT DROP)
2) Placer ensuite les règles 'lo', puisque ce sont des règles internes au noyau, cela fera gagner du temps en ne scannant pas toutes les règles.
3) Puis placer les règles 'ESTABLISHED,RELATED' en troisième.
4) Et enfin placer les règles pour les connexions 'NEW', donc ta règle autorisant SSH.

melinameline · Le 24/11/2011, à 15:20

tu peux voir de ce côté
tu trouvra un petit exemple assais interessant à la premiere reponce.

bonne chance

mangue · Le 26/11/2011, à 19:20

Bon j'ai vérifier, je n'avais pas activer le OUTPUT et le FORWARD en drop, et manifestement, j'ai bien fait.
Je vais donc configurer mes régles OUTPUT en même temps

Merci pour vos réponses !

mangue · Le 01/12/2011, à 14:02

Ok donc j'ai plante mon serveur a cause d'un iptables -F en ssh

Ensuite j'ai reconfigure mes regles iptables de facon a pouvoir passer mon OUTPUT en Drop, j'ai donc ajoute

iptables -A OUTPUT -p tcp --sport ssh -j ACCEPT

et j'ai ensuite passe le FORWARD en DROP. Tout fonctionne je n'ai pas de soucis.
Par contre une question me taraude l'esprit, si j'avais fait :

iptables -A OUTPUT -p tcp --[b]dport[/b] ssh -j ACCEPT

Quelle difference cela aurait fait d'apres vous ?

NooP · Le 04/12/2011, à 12:00

Attention !

Le 'SOURCE PORT' est rarement à utiliser. La majorité des applications réseau créent un port source aléatoire > 1024. Les règles de filtrage s'appliquent TOUJOURS* sur le 'DESTINATION PORT'.

* Excepté quelques très rares cas ou tu auras besoin de travailler avec le port source

mangue · Le 07/12/2011, à 05:39

Merci Noop, et a tous pour vos reponses !

Ubuntu-fr

Navigation

Liens de recherche

Annonce

#1 Le 21/11/2011, à 13:51

Question Regles iptables input et output

#2 Le 24/11/2011, à 10:55

Re : Question Regles iptables input et output

#3 Le 24/11/2011, à 11:56

Re : Question Regles iptables input et output

#4 Le 24/11/2011, à 13:10

Re : Question Regles iptables input et output

#5 Le 24/11/2011, à 15:20

Re : Question Regles iptables input et output

#6 Le 26/11/2011, à 19:20

Re : Question Regles iptables input et output

#7 Le 01/12/2011, à 14:02

Re : Question Regles iptables input et output

#8 Le 04/12/2011, à 12:00

Re : Question Regles iptables input et output

#9 Le 07/12/2011, à 05:39

Re : Question Regles iptables input et output

Pied de page des forums