Une autre amélioration possible, à la fin du document, c'est de donner une petite liste de ports avec l'application qui l'utilise, par exemple.
Avec le suivit de connexion, ce n'est pas vraiment la peine. Par défaut, tous les ports de la machine peuvent être ouverts, SI et SEULEMENT SI, les connexions sont initialisées par, par exemple, les processus locaux.
Dans la documentation (http://olivieraj.free.fr/fr/linux/information/firewall/firewall.htm(...)), les 2 règles suivantes donnent accès à Internet à toutes les connexions faites par les programmes tournant sur votre machine:
iptables -A OUTPUT -o eth1 -s 10.0.0.1 -d 0.0.0.0/0 -p all -m state --state ! INVALID -j ACCEPT
iptables -A INPUT -i eth1 -s 0.0.0.0/0 -d 10.0.0.1 -p all -m state --state RELATED,ESTABLISHED -j ACCEPT
Il faut voir le "conntrack / suivi de connexion" comme un miroir sans tain: Vous pouvez voir sans être vu... ;=)
Vous voulez utiliser Kopete/Gaim, ouvrez le port XXX
J'utilise de temps à autre "Kopete" avec les 2 règles ci-dessus, et cela marche très bien.
Au cas où, charger les modules de suivit de connexion FTP et IRC:
modprobe ip_conntrack_ftp
modprobe ip_conntrack_irc
Sinon, expliquer comment trouver ces informations dans les logs, ca pourraient être pas mal.
Une technique qui marche assez bien:
- Utiliser un script Netfilter qui log toutes les connexions non valide Par exemple: http://olivieraj.free.fr/fr/linux/programme/netfilter_cfg/index.htm(...)
- Demander à votre correspondant son adresse IP
- Regarder dans le log de Netfilter les connexions venant de cette adresse IP là (information "SRC="), et venant ("SPT=") ou à destination ("DPT=") de quels ports. En général, on trouve des connexions répétées à un port en particulier.
- A partir de là, il faudra écrire une règle adéquate, en utilisant les options "-p" (pour le Protocole: TCP/UDP par exemple), "--sport", "--dport".
[^] # Re: Documentation: Firewall et sécurité d'un réseau personnel sous Linux
Posté par Olivier (site web personnel) . En réponse à la dépêche Documentation: Firewall et sécurité d'un réseau personnel sous Linux. Évalué à 2.
Avec le suivit de connexion, ce n'est pas vraiment la peine. Par défaut, tous les ports de la machine peuvent être ouverts, SI et SEULEMENT SI, les connexions sont initialisées par, par exemple, les processus locaux.
Dans la documentation (http://olivieraj.free.fr/fr/linux/information/firewall/firewall.htm(...)), les 2 règles suivantes donnent accès à Internet à toutes les connexions faites par les programmes tournant sur votre machine:
iptables -A OUTPUT -o eth1 -s 10.0.0.1 -d 0.0.0.0/0 -p all -m state --state ! INVALID -j ACCEPT
iptables -A INPUT -i eth1 -s 0.0.0.0/0 -d 10.0.0.1 -p all -m state --state RELATED,ESTABLISHED -j ACCEPT
Il faut voir le "conntrack / suivi de connexion" comme un miroir sans tain: Vous pouvez voir sans être vu... ;=)
Vous voulez utiliser Kopete/Gaim, ouvrez le port XXX
J'utilise de temps à autre "Kopete" avec les 2 règles ci-dessus, et cela marche très bien.
Au cas où, charger les modules de suivit de connexion FTP et IRC:
modprobe ip_conntrack_ftp
modprobe ip_conntrack_irc
Pour avoir la liste des modules de suivi de connexion de votre machine, voir l'explication écrite ici (rechercher "uname -a"): http://olivieraj.free.fr/fr/linux/information/firewall/firewall.htm(...)
Pop : ouvrez le port 110
La liste des ports usuels se trouve dans votre "/etc/services". Il y en a une copie ici:
http://olivieraj.free.fr/fr/linux/information/firewall/archives/ser(...)
Sinon, expliquer comment trouver ces informations dans les logs, ca pourraient être pas mal.
Une technique qui marche assez bien:
- Utiliser un script Netfilter qui log toutes les connexions non valide Par exemple: http://olivieraj.free.fr/fr/linux/programme/netfilter_cfg/index.htm(...)
- Demander à votre correspondant son adresse IP
- Regarder dans le log de Netfilter les connexions venant de cette adresse IP là (information "SRC="), et venant ("SPT=") ou à destination ("DPT=") de quels ports. En général, on trouve des connexions répétées à un port en particulier.
- A partir de là, il faudra écrire une règle adéquate, en utilisant les options "-p" (pour le Protocole: TCP/UDP par exemple), "--sport", "--dport".