iptables-essentials — Iptables Essentials : Règles et commandes de pare-feu courantes. | Kitploit

- [rp_filter et la sécurité Linux LPIC-3](https://www.theurbanpenguin.com/rp_filter-and-lpic-3-linux-security/)
- [Paramètres rp_filter du noyau Linux (filtrage de chemin inverse)](https://www.slashroot.in/linux-kernel-rpfilter-settings-reverse-path-filtering)
- [Filtrage de chemin inverse](http://tldp.org/HOWTO/Adv-Routing-HOWTO/lartc.kernel.rpf.html)

##### log_martians

  > _Activer la journalisation des paquets avec des adresses IP mal formées._```bash
cat << EOF >> /etc/sysctl.d/40-custom.conf
net/ipv4/conf/all/log_martians = 1
EOF

- [Désactiver le routage source](https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/6/html/security_guide/sect-security_guide-server_security-disable-source-routing)
- [Que sont les redirections ICMP et doivent-elles être bloquées?](https://askubuntu.com/questions/118273/what-are-icmp-redirects-and-should-they-be-blocked)

##### accept_source_route

  > _Désactiver les paquets routés par la source (paquets avec l'option Strict Source Route (SSR) ou Loose Source Routing (LSR) définie)._```bash
cat << EOF >> /etc/sysctl.d/40-custom.conf
net/ipv4/conf/all/accept_source_route = 0
EOF

- [Que sont les redirections ICMP et doivent-elles être bloquées ?](https://askubuntu.com/questions/118273/what-are-icmp-redirects-and-should-they-be-blocked)
- [Le système d'exploitation Red Hat Enterprise Linux doit ignorer les messages de redirection du protocole de contrôle de messages Internet (ICMP) version 4 (IPv4).](https://www.stigviewer.com/stig/red_hat_enterprise_linux_7/2018-11-28/finding/V-73175)

##### tcp_syncookies

  > _Activer les protections contre les inondations SYN (protection contre les attaques par déni de service (DOS))._```bash
cat << EOF >> /etc/sysctl.d/40-custom.conf
net/ipv4/tcp_syncookies = 1
EOF

- [À quoi sert la diffusion ICMP ?](https://superuser.com/questions/306065/what-is-icmp-broadcast-good-for)
- [Le système ne doit pas répondre aux ICMPv4 envoyés à une adresse de diffusion.](https://www.stigviewer.com/stig/red_hat_enterprise_linux_6/2018-11-28/finding/V-38535)

##### ip_forward

  > _Activer le routage IP. Requis si votre pare-feu protège un réseau, NAT inclus._```bash
cat << EOF >> /etc/sysctl.d/40-custom.conf
net/ipv4/ip_forward = 1
EOF

#### Vider toutes les règles, supprimer toutes les chaînes, et tout accepter```bash
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT

iptables -t nat -F
iptables -t mangle -F
iptables -F
iptables -X

#### Autoriser tout SSH entrant```bash
iptables -A INPUT -p tcp --dport 22 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --sport 22 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### Autoriser SSH sortant```bash
iptables -A OUTPUT -p tcp --dport 22 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A INPUT -p tcp --sport 22 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### Autoriser tout le trafic HTTP entrant```bash
iptables -A INPUT -p tcp --dport 80 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --sport 80 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### Autoriser tout le trafic HTTP et HTTPS entrant```bash
iptables -A INPUT -p tcp -m multiport --dports 80,443 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp -m multiport --dports 80,443 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### Autoriser MySQL sur une interface réseau spécifique```bash
iptables -A INPUT -i eth1 -p tcp --dport 3306 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth1 -p tcp --sport 3306 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### Autoriser PostgreSQL à une interface réseau spécifique```bash
iptables -A INPUT -i eth1 -p tcp --dport 5432 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o eth1 -p tcp --sport 5432 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### Autoriser tout le SMTP entrant```bash
iptables -A INPUT -p tcp --dport 25 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --sport 25 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### Autoriser tous les IMAPS entrants```bash
iptables -A INPUT -p tcp --dport 993 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --sport 993 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### Autoriser tout POP3S entrant```bash
iptables -A INPUT -p tcp --dport 995 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --sport 995 -m conntrack --ctstate ESTABLISHED -j ACCEPT

#### Bloquer tout le trafic sortant vers les réseaux Facebook

Obtenir l'AS Facebook :```bash
whois -h v4.whois.cymru.com " -v $(host facebook.com | grep "has address" | cut -d " " -f4)" | tail -n1 | awk '{print $1}'

#### Journaliser et abandonner les paquets avec un nombre limité d'entrées de journal```bash
iptables -A INPUT -i eth1 -s 10.0.0.0/8 -m limit --limit 5/m --limit-burst 7 -j LOG --log-prefix "IP_SPOOF A: "
iptables -A INPUT -i eth1 -s 10.0.0.0/8 -j DROP

#### Équilibrage de charge avec `random*` ou `nth*````bash
_ips=("172.31.250.10" "172.31.250.11" "172.31.250.12" "172.31.250.13")

for ip in "${_ips[@]}" ; do
  iptables -A PREROUTING -i eth0 -p tcp --dport 80 -m state --state NEW -m nth --counter 0 --every 4 --packet 0 \
    -j DNAT --to-destination ${ip}:80
done

#### Limiter le nombre de connexions avec `limit` et `iplimit*````bash
iptables -A FORWARD -m state --state NEW -p tcp -m multiport --dport http,https -o eth0 -i eth1 \
    -m limit --limit 20/hour --limit-burst 5 -j ACCEPT

#### Maintenir une liste des connexions récentes à comparer```bash
iptables -A FORWARD -m recent --name portscan --rcheck --seconds 100 -j DROP
iptables -A FORWARD -p tcp -i eth0 --dport 443 -m recent --name portscan --set -j DROP

#### Règles basées sur le temps avec `time*````bash
iptables -A FORWARD -p tcp -m multiport --dport http,https -o eth0 -i eth1 \
    -m time --timestart 21:30 --timestop 22:30 --days Mon,Tue,Wed,Thu,Fri -j ACCEPT

#### Protection contre le scan de ports```bash
iptables -N port-scanning
iptables -A port-scanning -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s --limit-burst 2 -j RETURN
iptables -A port-scanning -j DROP

#### Protection contre le Syn-flood```bash
iptables -N syn_flood

iptables -A INPUT -p tcp --syn -j syn_flood
iptables -A syn_flood -m limit --limit 1/s --limit-burst 3 -j RETURN
iptables -A syn_flood -j DROP

iptables -A INPUT -p icmp -m limit --limit  1/s --limit-burst 1 -j ACCEPT

iptables -A INPUT -p icmp -m limit --limit 1/s --limit-burst 1 -j LOG --log-prefix PING-DROP:
iptables -A INPUT -p icmp -j DROP

iptables -A OUTPUT -p icmp -j ACCEPT

#### Bloquer les paquets avec des flags TCP invalides```bash
iptables -t mangle -A PREROUTING -p tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG NONE -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags FIN,SYN FIN,SYN -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags SYN,RST SYN,RST -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags FIN,RST FIN,RST -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags FIN,ACK FIN -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ACK,URG URG -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ACK,FIN FIN -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ACK,PSH PSH -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL ALL -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL NONE -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL FIN,PSH,URG -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL SYN,FIN,PSH,URG -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL SYN,RST,ACK,FIN,URG -j DROP

## Exemples de configuration avancée

### Gestion des paquets en Python à l'aide de la cible NFQUEUE

  > _Cette cible transmet le paquet à l'espace utilisateur à l'aide du gestionnaire nfnetlink_queue. Le paquet est placé dans la file d'attente identifiée par son numéro de file sur 16 bits. L'espace utilisateur peut inspecter et modifier le paquet si souhaité. L'espace utilisateur doit alors abandonner ou réinjecter le paquet dans le noyau._

#### ACCEPTER tous les paquets provenant d'une source spécifique sur (filter:INPUT) et DROP tout le reste

  > _Cette règle transmet tous les paquets filter:INPUT à la file 1 avec la cible NFQUEUE._```bash
iptables -A INPUT -j NFQUEUE --queue-num 1

#### Écrivez votre propre script de port knocking pour sécuriser l'accès ssh

> _DROP toutes les requêtes ssh et envoyez des requêtes secrètes de port vers l'espace utilisateur avec la cible NFQUEUE._```bash
iptables -t filter -I INPUT -p tcp --dport 22 -j DROP
iptables -t raw -I PREROUTING -p tcp --sport 65534 --dport 65535 -j NFQUEUE --queue-num 1

iptables-essentials

Populaires

Iptables Essentials : Règles et commandes courantes de pare-feu

☑️ À FAIRE

Table des matières

Outils pour vous aider à configurer Iptables

Manuels/Procédures/Tutoriels

Configuration utile des paramètres du noyau (sysctl)

rp_filter

send_redirects

accept_redirects

icmp_echo_ignore_broadcasts

Comment ça marche ?

Règles Iptables

Sauvegarde des règles

Distributions basées sur Debian```bash

Lister toutes les règles iptables actives avec verbose```bash

Afficher toutes les règles iptables actives```bash

Imprimer toutes les spécifications de règles dans la chaîne INPUT```bash

Pour afficher les règles de chaîne INPUT ou OUTPUT avec numéros de ligne et verbose```bash

Supprimer une règle par spécification```bash

Vider toutes les chaînes```bash

Insérer les règles de pare-feu```bash

Autoriser les connexions entrantes établies et liées```bash

Interne vers Externe```bash

Bloquer une adresse IP```bash

Bloquer les connexions vers une interface réseau```bash

Autoriser SSH entrant depuis une adresse IP ou un sous-réseau spécifique```bash

Autoriser le Rsync entrant depuis une adresse IP ou un sous-réseau spécifique```bash

Autoriser tout le HTTPS entrant```bash

Autoriser MySQL à partir d'une adresse IP ou d'un sous-réseau spécifique```bash

PostgreSQL depuis une adresse IP ou un sous-réseau spécifique```bash

Bloquer le courrier SMTP sortant```bash

Autoriser tous les IMAP entrants```bash

Autoriser tout le POP3 entrant```bash

Supprimer l'adresse de réseau privé sur l'interface publique```bash

Refuser ou accepter le trafic provenant d'une adresse MAC```bash

Spécifier plusieurs ports avec `multiport````bash

Correspondance avec un string* dans la charge utile d'un paquet```bash

Correspondance de paquets basée sur les valeurs TTL```bash

Protection contre le brute-force SSH```bash

Atténuer les SYN Floods avec SYNPROXY```bash

XMAS packets```bash

Bloquer les valeurs MSS inhabituelles```bash

Bloquer les paquets des sous-réseaux privés (Spoofing)```bash

Correspondance avec un `string*` dans la charge utile d'un paquet```bash