Iptables

[gressot]

Il faut mettre les commandes iptables ou le resultat de la configuration iptable dans un fichiers qui se chargera au démarrage. Sans cela, les modifications ne seront pas mises en place.

[gressot]

Il nous faut ecrire un script que l'on placera dans l'inittab qui contiendra toutes les commandes iptables pour gerer les acces aux machines.

[gressot]

Finalement, rien a été mis dans l'inittab. J'ai créé un script dans /etc/init.d/script-iptables et j'ai rajouté cette ligne dans /etc/rc.local afin qu'il demarre automatiquement au demarrage.

Voici le contenu du fichier /etc/rc.local

pc10-baie2:~# cat /etc/rc.local 
#!/bin/sh -e
#
# rc.local
#
# This script is executed at the end of each multiuser runlevel.
# Make sure that the script will "exit 0" on success or any other
# value on error.
#
# In order to enable or disable this script just change the execution
# bits.
#
# By default this script does nothing.

/etc/init.d/script-iptables

exit 0

et celui de /etc/init.d/script-iptables

pc10-baie2:~# cat /etc/init.d/script-iptables 
#!/bin/bash

###############################################################
# Permet de gérer les connexions entrantes vers cette machine #
###############################################################

# Par defaut, on bloque tout le trafic entrant
iptables -P INPUT DROP

# On authorise les connexions du serveur
iptables -A INPUT -s 10.0.255.254/32 -i eth3 -j ACCEPT
iptables -A INPUT -s 10.0.2.255/32 -i eth3 -j ACCEPT

# On authorise les connexions des 3 machines de l'ARI qui doivent s'y connecter 
iptables -A INPUT -s 10.0.0.11/32 -i eth3 -j ACCEPT 
iptables -A INPUT -s 10.0.0.10/32 -i eth3 -j ACCEPT 
iptables -A INPUT -s 10.0.0.9/32 -i eth3 -j ACCEPT 

# On authorise tout le trafic sur eth0, eth1, eth2 et lo
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -i eth0 -j ACCEPT
iptables -A INPUT -i eth1 -j ACCEPT
iptables -A INPUT -i eth2 -j ACCEPT

Une fois que la machine a fini de redemarrer, on a :

pc10-baie2:~# iptables -L
Chain INPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     all  --  10.0.255.254         anywhere            
ACCEPT     all  --  10.0.2.255           anywhere            
ACCEPT     all  --  10.0.0.11            anywhere            
ACCEPT     all  --  10.0.0.10            anywhere            
ACCEPT     all  --  10.0.0.9             anywhere            
ACCEPT     all  --  anywhere             anywhere            
ACCEPT     all  --  anywhere             anywhere            
ACCEPT     all  --  anywhere             anywhere            
ACCEPT     all  --  anywhere             anywhere            

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

Cela est donc fonctionnel. Il restera a tester si toutes les politiques de filtrages sont opérationnelles :)