Bonsoir a tous,
Je rajoute un petit post pour vous dire ou j'en suis (et aussi pour avoir vos conseils ou modifications :-D )
J'ai suivi les bons conseils de philippe_PMA (de commencer à configurer la future passerelle/parefeu comme un poste client) et j'ai repris une page blanche et bricolé ceci :
#!/bin/sh
# RAZ table FILTER
iptables -t filter -F
iptables -t filter -X
# POLITIQUE table FILTER
iptables -t filter -P INPUT DROP
iptables -t filter -P OUTPUT DROP
iptables -t filter -P FORWARD DROP
# RAZ table NAT
iptables -t nat -F
iptables -t nat -X
# POLITIQUE table NAT
iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P OUTPUT ACCEPT
iptables -t nat -P POSTROUTING ACCEPT
# Désactivation du NAT
echo 0 > /proc/sys/net/ipv4/ip_forward
# Règles pour Localhost
iptables -t filter -A OUTPUT -o lo -p all -j ACCEPT
iptables -t filter -A INPUT -i lo -p all -j ACCEPT
# Règles pour carte LAN
iptables -t filter -A OUTPUT -o eth1 -s 192.168.1.251 -d 192.168.1.192/26 -p all -j ACCEPT
iptables -t filter -A INPUT -i eth1 -s 192.168.1.192/26 -d 192.168.1.251 -p all -j ACCEPT
# Règles pour carte WAN
# Chargement du module de SUIVI de CONNEXION
#modprobe ip_conntrack # Chargement désactivé car module inclu dans kernel
#iptables -t filter -A OUTPUT -o eth0 -s 192.168.0.251 -d 192.168.0.192/26 -p all -m state --state ! INVALID -j ACCEPT
#iptables -t filter -A INPUT -i eth0 -s 192.168.0.192/26 -d 192.168.0.251 -p all -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -t filter -A OUTPUT -o eth0 -s 192.168.0.251 -d 0.0.0.0/0 -p all -m state --state ! INVALID -j ACCEPT
iptables -t filter -A INPUT -i eth0 -s 0.0.0.0/0 -d 192.168.0.251 -p all -m state --state RELATED,ESTABLISHED -j ACCEPT
# Règles pour IP MASQUERADING
# Chargement du module NAT
modprobe iptable_nat
iptables -t filter -A FORWARD -i eth1 -o eth0 -s 192.168.1.192/26 -d 192.168.0.192/26 -p all -m state --state ! INVALID -j ACCEPT
iptables -t filter -A FORWARD -i eth0 -o eth1 -s 192.168.0.192/26 -d 192.168.1.192/26 -p all -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -t nat -A POSTROUTING -o eth0 -s 192.168.1.192/26 -d 192.169.0.192/26 -p all -j MASQUERADE
# Activation du NAT
echo 1 > /proc/sys/net/ipv4/ip_forward
# sauvegarde les regles
service iptables save
# redemarrage du service
service iptables restart
J'ai du apporté quelques modifs à ma machine car c'est elle qui faisait serveur DNS, j'ai modifié également la config pour la carte WAN (je pense que c'est parce qu'il y a le modem entre le pc et internet et surtout que les adresses internet ne font pas parties de mon réseau privé 192.168.0.192/26 sur lequel est le modem ; c'est la conclusion que j'en ai déduit).
Je continu dans ma lancée pour la suite de ma config iptables, si des fois et par envie vous vouliez bien jeter un petit coup d'oeil à mon script et le critiquer, me dire (si vous le voulez bien), ce que je pourrai mieux faire comme règle ou que je fais mal, merci d'avance à vous.
Voici le résultat de la commande # nmap mon_pc.com -g 80 -PO
1710 ports closed
# nmap mon_pc.com -g 80 -PO
PORT STATE SERVICE
21/tcp filtered ftp
22/tcp filtered ssh
23/tcp filtered telnet
80/tcp filtered http
la meme chose depuis mon réseau
# nmap 192.168.0.251 -g 80 -PO
1714 ports closed
1 IP address (1 host up) scanned in 36.251 seconds
J'en déduis que cette différence pour la même commande vient du simple fait que ma connexion internet passe par un modem qui a sa propre configuration (pourtant aucune), j'ai essayé en ouvrant ces ports sur le modem, mais nmap me dit simplement qu'ils sont ouverts.
Vous auriez une idée pour confirmer ces résultats ?
Enfin
www.pcflank me donne ceci comme résultat de scan quick test
Results of the test:
Check for vulnerabilities of your computer system to remote attacks
Safe
Trojan horse check
Safe
Browser privacy check
Danger!
Vous auriez une explication ?
Je ferai un autre post quand la prochaine évolution fonctionnera.
Dernier petit point, y-a-t-il des types de paquets icmp que l'on doit laisser passer pour internet (ou autre), ou je peux tout bloquer ?
Encore merci à vous
