Voici Mon Firewall Il est déjà très efficace. Si vous avez des idées pour l'améliorer davantage....

Impressionnant, j'en ai jamais vu un aussi complet sur internet Sinon 2 choses : - Pourquoi ne pas mettre les règles sysctl directement dans /etc/sysctl.d/xx-rules.conf par exemple ? Ça me semble plus adapté de les mettre ici, en plus elles seront chargées automatiquement au démarrage. https://wiki.archlinux.org/index.php/sysctl http://superuser.com/questions/625840/how-do-i-reload-sysctl-from-sysctl-d-directory - Pourquoi définir la policy en ACCEPT par défaut ? Moi j'aurais fait le contraire justement. Sinon GG pour ton script.

Impressionant le script en effet oO Thanks! EDIT: En regardant ton script de plus près, ça se voit que tu sais ce que tu fais et que tu connais très bien ton domaine

comment fais t'on pour l'installer car il m’intéresse merci

Vu que c'est un script init avec des en-têtes LSB, tu dois le mettre dans le répertoire /etc/init.d , par exemple /etc/init.d/firewall puis : # Rendre exécutable le script : chmod +x /etc/init.d/firewall # Activer le service au démarrage insserv firewall A toi d'adapter le script pour qu'il corresponde à tes besoins.

Hardware wrote: Vu que c'est un script init avec des en-têtes LSB, tu dois le mettre dans le répertoire /etc/init.d , par exemple /etc/init.d/firewall puis : # Rendre exécutable le script : chmod +x /etc/init.d/firewall # Activer le service au démarrage insserv firewall A toi d'adapter le script pour qu'il corresponde à tes besoins. oki et je fais un nano firewall pour créer le script?

Beaucoup de règles pour serveur CSS par contre prise en compte automatiquement, dommage ça

Bonjour; Vous trouverez ici un topic très intéressant sur l'utilité réelle d'un pare-feu sous linux; surtout les propos d'un certain TIRAxxx qui a publié un article a ce sujet dans la revue "LINUX-PRATIQUE" de janvier-février. Surtout la métaphore utilisée, pour se demander l'utilité de mettre une porte cadenassée devant un mur; et si il y a une porte, c'est qu'il y a un soft en écoute dessus, et donc on ne peut la fermer; ce qui met un sérieux doute sur l'utilité du tout drop pour ouvrir ce que l'on a besoin ensuite; puisque par défaut les ports sont fermés sous linux...plein de bon sens... http://forum.ubuntu-fr.org/d/1285441 http://forum.ubuntu-fr.org/d/1758661 C'est un peu long à lire, mais reste néanmoins très intéressant, et fait se poser beaucoup de questions sur plein d'idées reçues. Bonne lecture : (zapper les interventions du firewall derrière une box qui ne nous concerne pas); et a chacun d'en tirer ses propres conclusions.

Je suis pas d'accord avec toi Jean-luc, ce n'est pas un simple script qui ne fait qu'ouvrir les ports nécessaires pour ses services, MorgenDavid va beaucoup plus loin que ça, il se protège de pas mal d'attaques courantes, il a mis aussi quelques check sur le traffic entrant en fonction de ses services. Sinon pour ce qui est du tout drop, par défaut oui tous les ports sont fermés, mais si un jour une application vérolée ouvre un nouveau port sans que tu le saches et que ce port permet de prendre le contrôle de ton serveur avec imaginons une faille 0day pas encore connue, tu fais quoi ? L'intérêt majeur est là justement, un pare-feu permet de contrôler tous les flux entrants/sortants, donc tu sais exactement ce que ton serveur à le droit de reçevoir et ce qu'il ne peut pas, parce que c'est toi qui l'aura définit. Je t'invite à lire ces deux fils de discussion sur serverfault : http://serverfault.com/questions/232642/why-would-i-need-a-firewall-if-my-server-is-well-configured http://serverfault.com/questions/201298/why-should-i-firewall-servers MadHatter wrote: A firewall which defaults to DENY ANY ANY is the sysadmin way of saying that if something new comes along and opens up a network listener on this server, noone will be able to talk to it until I have given explicit permission. Tout est dit Un conseil, même si l'article est parut dans LINUX-PRATIQUE, il répond peut-être à un usage mais les besoins varies d'une infrastucture/environnement à un(e) autre.

Hardware wrote: Je suis pas d'accord avec toi Jean-luc. J'ai dit, chacun en tire ses propres conclusions....!!! mais si un jour une application vérolée ouvre un nouveau port sans que tu le saches Ils en parlent d'ailleurs de celà dans le topic (faut le lire..); et sur un système propre à la base ça ne doit et ne devrait pas arriver, et que dans ce cas autant repartir à zéro.

Je vois que tu as pas lu ce qu'il y a sur serveur fault, MadHatter donne un exemple tout con qui fout en l'air la sécurité d'un serveur même propre à la base Encore une fois je suis pas d'accord, ok un système est propre à la base, mais rien te dit qu'après quelques mois il le soit encore, donc quand tu as un doute, tu repart de 0 à chaque fois ? Tu dis "ça ne devrait pas arriver" mais rien ne peut te le garantir, on ne base pas la sécurité informatique d'un serveur en utilisant le conditionnel, tu vois ce que je veux dire ? Le risque 0 n'existe pas, mais un pare-feu augmente de manière non négligable la sécurité, encore faut-il le configurer correctement.

Firewall linux (iptables) : Page 2

Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

Firewall linux (iptables)

setsuneh

Plop,

En mettant des ip simples sous /etc/ipbanlist.txt, je reçois ce genre de soucis:

-> Protection Scan. OK
iptables v1.4.21: Couldn't load match `geoip':No such file or directory

Try `iptables -h' or 'iptables --help' for more information.
iptables v1.4.21: Couldn't load match `geoip':No such file or directory

Try `iptables -h' or 'iptables --help' for more information.
-> Mise en place des BansBad argument `LOG_DROP'
Try `iptables -h' or 'iptables --help' for more information.
Bad argument `LOG_DROP'
Try `iptables -h' or 'iptables --help' for more information.
Bad argument `LOG_DROP'
Try `iptables -h' or 'iptables --help' for more information.
Bad argument `LOG_DROP'
Try `iptables -h' or 'iptables --help' for more information.
Bad argument `LOG_DROP'
Try `iptables -h' or 'iptables --help' for more information.
Bad argument `LOG_DROP'
Try `iptables -h' or 'iptables --help' for more information.
Bad argument `LOG_DROP'
Try `iptables -h' or 'iptables --help' for more information.
Bad argument `LOG_DROP'
Try `iptables -h' or 'iptables --help' for more information.
Bad argument `LOG_DROP'
Try `iptables -h' or 'iptables --help' for more information.
Bad argument `LOG_DROP'
Try `iptables -h' or 'iptables --help' for more information.
 OK
-> No Broadcast/Multicast. OK

Des pistes?

xataz

Wow, moi qui pensait plutôt bien connaitre iptables, et bien je me prends une leçon dans la gueule ^^, y'a des options que je connaissait même pas.

Par contre personnellement je suis pas dans la même politique, je suis plutôt "Tout ce qui n'est pas explicitement autorisé est interdit". Ce script est pour ma part mis de cotés, et me servira à refaire le mien.

@setsuneh :
Après quelques recherche essaie en installant ceci :

apt-get install geoip-database libgeoip1

setsuneh

root@vpn:/etc/init.d# apt-get install geoip-database libgeoip1
Reading package lists... Done
Building dependency tree
Reading state information... Done
libgeoip1 is already the newest version.
geoip-database is already the newest version.
0 upgraded, 0 newly installed, 0 to remove and 0 not upgraded.

Les paquets sont déjà installés, mais ce qui me pose le plus de soucis, c'est le retour d'erreur au niveau iptables, et LOG_DROP. Même en ayant laissé le .txt vide, j'ai ce soucis ..

xataz

En attendant que MD regarde ton problème, pour geoip, regarde ce lien.

Pour les log_drop, modifier le script en ajoutant set -x après ### END INIT INFO, pour avoir plus d'information sur les endroits de l'erreur.

« Page précédente