URL: https://linuxfr.org/users/dunain/journaux/iptables-un-futur-firewall-applicatif Title: iptables, un futur firewall applicatif ? Authors: mcjyc Date: 2004年10月06日T15:24:55+02:00 Tags: Score: 0 bonjour cher journal, voila l'aventure que j'ai vécue aujourd'hui... un collègue jouant avec son AP wifi m'a fait découvrir le projet layer7... ça commence toujours de la même manière... "tu connais layer7 ?"... "euh... non, ça parle de quoi ?" et c'est la que ça commence... c'est comme une recette de cuisine, ça fait saliver... il existe des patchs disponible sur [http://l7-filter.sourceforge.net(...)](http://l7-filter.sourceforge.net) qui permettent à iptables de se comporter en partie comme un firewall applicatif. ce qui signifie pour ceux qui le découvriraient, qu'il pourrait taper sur la couche 7 du modèle iso, et non plus seulement sur la couche 3... (c'est plus clair hein ? :-) )... voila ce que j'ai fait. j'ai téléchargé un noyau 2.4.27 [ftp://ftp.kernel.org(...)](ftp://ftp.kernel.org) j'ai téléchargé le patch ebtables (pour en faire un bridge-firewall transparent) à l'adresse suivante : [http://ebtables.sourceforge.net/(...)](http://ebtables.sourceforge.net/) et le patch l7layer à l'adresse suivante : [http://sourceforge.net/projects/l7-filter/(...)](http://sourceforge.net/projects/l7-filter/) on obtient les fichiers suivants : l7-protocols-2004_09_13.tar.gz linux-2.4.27.tar.gz netfilter-layer7-v0.9.1.tar.gz ebtables-brnf-7_vs_2.4.27.diff.bz2 pour patcher tout cela, ce n'est pas bien difficile, et c'est plutot bien expliquer dans la doc : on se place dans /usr/src/linux puis, on lance un patch -p1 avec le fichier qui va bien (voir doc) on fait de meme pour netfilter. à la compilation du noyau, on demande à acceder aux modules experimentaux. on choisit d'avoir le support du bridge, et du layer7, ainsi que tout ce qu'il faut pour un firewall... mais ce journal n'est pas l'endroit pour apprendre ca, n'est il pas ? on recompile le tout, on modifie son lilo, on reboot. paf... deux cartes reseaux... en avant pour les tests ! (pour ce qui est de la configuration du bridge, je vous conseillerais de lire la doc tres bien faite sur [http://ebtables.sourceforge.net/(...)](http://ebtables.sourceforge.net/)) en gros, il faut les bridge-tools... et taper qqch comme ca brctl addbr br0 brctl addif br0 eth0 brctl addif br0 eth1 brctl setfd br0 1 ifconfig br0 up ifconfig eth0 up ifconfig eth1 up on verifie son iptables : which iptables /usr/local/sbin/iptables ca roule ! iptables -A FORWARD -m layer7 --l7proto http -j LOG on se lance un apache sur le port 81... on verifie qu'il marche bien... que ca loggue bien au niveau firewall... ensuite, on ferme ! iptables -A FORWARD -m layer7 --l7proto http -j DROP et la, Ô miracle ! plus de web ! bon, c'est encore experimental encore... mais c'est une tres bon debut. c'est pas bien compliqué à mettre en place, j'ai moi meme reussi... il y a environ une soixantaine de 60 protocoles plus ou moins detectés... à vous de jouer ! ps : desolé pour les accents perdus... ps/2: merci à mon collegue de m'avoir fait decouvrir ce nouveau jouet