Règles iptables pour vos applications (pc de bureau)

Règles iptables pour vos applications (pc de bureau).

Il serait bon d'avoir une listes de règle iptables à disposition en fonction des applications installées sur un pc de bureau, dans son utilisation la plus courante, sans "nat" ni partage de connexion, juste un pc de travail connecté à Internet. Aussi pour débuter je poste mon script "iptables" qui bien que non exhaustif fera une base convenable. N'hésitez donc pas à rajouter les règles pour les applications qui n'y figurent pas.

Pour en discuter c'est par ici

Pour une utilisation optimal , Désactiver l'IPv6

! /bin/sh
BEGIN INIT INFO
Provides:          iptables
Required-Start:
Required-Stop:
Should-Start:
Should-Stop:
Default-Start:     1 2 3 4 5
Default-Stop:      0 6
Short-Description: script iptables
END INIT INFO

activer au demarage.
en root avec su ou sudo
cp ...iptables /etc/init.d/
chown root:root /etc/init.d/iptables
chmod 750 /etc/init.d/iptables
update-rc.d iptables defaults
/etc/init.d/iptables start

interface_WAN=$(ip route | awk '/^default via/{print $5}')  # suppose que la passerelle est la route par default
on="1"
off="0"
PATH=/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin
ipbox=$(ip route | grep default | cut -d " " -f3)   # suppose que la passerelle est la route par default
ipinterface_WAN=$(ifconfig $interface_WAN | grep adr: | cut -d":" -f2 | cut -d" " -f1)
reseau_box=$(ip route | grep / | grep "$interface_WAN" | cut -d" " -f1 )
ip_broadcast=$(ifconfig $interface_WAN | grep Bcast | cut -d":" -f3 | cut -d" " -f1)	
fileipblackliste="/usr/local/share/ipblacklist"

règles à appliquer ou non ######

ftp=$on
mailssl=$on
cupsServeur=$off
mail=$off
ipblacklist=$off
pingexterne=$off
SecondeLife=$off
LandesEternelles=$on
transmition=$off
clientNTP=$on
amsn=$on
Wesnothclient=$on
Wesnothserver=$on
NWNclient=$on
RegnumOnline=$on
CS16=$on

IPmaskValide() {
ip=$(echo $1 | cut -d"/" -f1)
mask=$(echo $1 | grep "/" | cut -d"/" -f2)
if [ $(echo $1 | grep -c "^\(\(2[0-5][0-5]\|2[0-4][0-9]\|1[0-9][0-9]\|[0-9]\{1,2\}\)\.\)\{3\}\(2[0-5][0-5]\|2[0-4][0-9]\|1[0-9][0-9]\|[0-9]\{1,2\}\)$") -eq 1 ];then
	echo "ip sans mask"
	return 1
fi
if [ ! $(echo $ip | grep -c "^\(\(2[0-5][0-5]\|2[0-4][0-9]\|1[0-9][0-9]\|[0-9]\{1,2\}\)\.\)\{3\}\(2[0-5][0-5]\|2[0-4][0-9]\|1[0-9][0-9]\|[0-9]\{1,2\}\)$") -eq 1 ];then
	return 0
fi
if [ $(echo $mask | grep -c "^\([1-9]\|[1-2][0-9]\|3[0-2]\)$") -eq 1 ];then
	echo "mask xx"
	return 1
fi
i=1 
octn=255
result=1
while [ $i -le 4 ]
do
oct=$( echo $mask | grep '\.'| cut -d "." -f$i )
if [ -z $oct ] ; then
	result=0
	break
fi
if [ ! $octn -eq 255 ];then
	if [ ! $oct -eq 0 ];then
		result=0
		break
	fi
fi 
octn=$oct
if [ ! $oct -eq 255 ] &&  [ ! $oct -eq 254 ]  &&  [ ! $oct -eq 252 ] &&  [ ! $oct -eq 248 ] &&  [ ! $oct -eq 240 ] &&  [ ! $oct -eq 224 ] &&  [ ! $oct -eq 192 ] &&  [ ! $oct -eq 128 ] &&  [ ! $oct -eq 0 ]; then
	result=0
	break

fi

i=$( expr $i + 1 )
done
if [ $result -eq 1 ] ;then

   echo "mask xxx.xxx.xxx.xxx"
   return 1

else

   return 0

fi

 
}
start() {

   ## parametrage pour ce protéger contre les attaques par spoofing et par synflood
   sysctl -w net.ipv4.conf.default.rp_filter=1
   sysctl -w net.ipv4.conf.all.rp_filter=1
   sysctl -w net.ipv4.tcp_syncookies=1
   sysctl -w net.ipv4.tcp_max_syn_backlog=1280
   ### SUPPRESSION de TOUTES LES ANCIENNES TABLES (OUVRE TOUT!!) ###
   iptables -F
   iptables -X
   ### BLOQUE TOUT PAR DEFAUT (si aucune règle n'est définie par la suite) ###
   iptables -P INPUT DROP
   iptables -P OUTPUT DROP
   iptables -P FORWARD DROP
   ### Iptables refuse les scans XMAS et NULL
  iptables -A INPUT -p tcp --tcp-flags FIN,URG,PSH FIN,URG,PSH -j DROP
  iptables -A INPUT -p tcp --tcp-flags ALL ALL -j DROP
  iptables -A INPUT -p tcp --tcp-flags ALL NONE -j DROP
  iptables -A INPUT -p tcp --tcp-flags SYN,RST SYN,RST -j DROP
   ### Iptables limite TCP, UDP, ICMP Flood !
   ### Une des attaques possible est de saturer votre interface réseau.
  # TCP Syn Flood
  iptables -A INPUT -i $interface_WAN -p tcp --syn -m limit --limit 3/s -j ACCEPT
  # UDP Syn Flood
  iptables -A INPUT -i $interface_WAN -p udp -m limit --limit 10/s -j ACCEPT
  # Ping Flood
  if [ $pingexterne  -eq $on ];then
     iptables -A INPUT -i $interface_WAN -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT
     iptables -A INPUT -i $interface_WAN -p icmp --icmp-type echo-reply -m limit --limit 1/s -j ACCEPT
  fi

   ### IP indésirables
   ## en gros elles sont sur le site du RIPE (organisme distribuant les IP ou plage   IP aux professionnels)
   ## site du RIPE https://apps.db.ripe.net/search/full-text.html (HADOPI et trident media guard (tmg) sont les mots à rechercher ;)
   if [ $ipblacklist=$on ];then
      if [ -e $fileipblackliste ]
      then

	   while read ligne
	   do
		ipdrop=`echo $ligne | cut -d " " -f1`
	        IPmaskValide $ipdrop
		if [ $? -eq 1 ]  ; then
			iptables -I INPUT  -s $ipdrop -j DROP
			iptables -I OUTPUT  -d $ipdrop -j DROP
		fi

         done < $fileipblackliste
      else

	    echo > $fileipblackliste
	    chown root:root $fileipblackliste
	    chmod 750 $fileipblackliste

      fi
   fi
  # les lignes du fichier ipblacklist doivent être de type :
  # xxx.xxx.xxx.xxx/xx <=espace commentaire sans le # au debut bien sûr
  # ou
  # xxx.xxx.xxx.xxx/xxx.xxx.xxx.xxx <=espace commentaire en fonction de comment on écrit le masque réseau

  iptables -I INPUT  -s 85.116.217.200/29 -j DROP # HADOPI
  iptables -I INPUT  -s 193.107.240.0/22  -j DROP  # trident media guard (tmg)
  iptables -I INPUT  -s 195.191.244.0/23  -j DROP # trident media guard (tmg)
  iptables -I INPUT  -s 193.105.197.0/24  -j DROP # trident media guard (tmg)

  iptables -I OUTPUT  -d 85.116.217.200/29 -j DROP # HADOPI
  iptables -I OUTPUT  -d 193.107.240.0/22  -j DROP # trident media guard (tmg)
  iptables -I OUTPUT  -d 195.191.244.0/23  -j DROP # trident media guard (tmg)
  iptables -I OUTPUT  -d 193.105.197.0/24  -j DROP # trident media guard (tmg)

   ### ACCEPT ALL interface loopback ###
   iptables -A INPUT  -i lo -j ACCEPT
   iptables -A OUTPUT -o lo -j ACCEPT

   ### accepte en entrée les connexions déjà établies (en gros cela permet d'accepter 
   ### les connexions initiées par sont propre PC)
   iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
   
   ### ftp 
   if [ $ftp=$on ];then
 	modprobe ip_conntrack_ftp	# chargement du module permettent le suivi des connections ftp

	iptables -A OUTPUT -p tcp --dport 21  -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

       iptables -A OUTPUT -p tcp --dport 1023:65535  -m state --state ESTABLISHED,RELATED -j ACCEPT
   fi

   ### DHCP
   iptables -A OUTPUT -o $interface_WAN -p udp --sport 68 --dport 67 -j ACCEPT
   iptables -A INPUT -i $interface_WAN -p udp --sport 67 --dport 68 -j ACCEPT

   ### DNS indispensable pour naviguer facilement sur le web ###
   iptables -A OUTPUT -p udp -m udp --dport 53 -j ACCEPT

   ### HTTP navigation internet non sécurisée ###
   iptables -A OUTPUT -p tcp -m tcp --dport 80 -j ACCEPT

   ### HTTPS pour le site des banques .... ###
   iptables -A OUTPUT -p tcp -m tcp --dport 443 -j ACCEPT
   
   ### cups serveur , impriment partager sous cups
  if [  $cupsServeur -eq $on ]
  then
   iptables -A OUTPUT -d $ip_broadcast -p udp -m udp --sport 631 --dport 631 -j ACCEPT # diffusion des imprimantes partager sur le réseaux
   iptables -A INPUT -s $reseau_box -m state --state NEW -p TCP --dport 631 -j ACCEPT
   iptables -I INPUT -s $ipbox -m state --state NEW -p TCP --dport 631 -j DROP # drop les requette provenent de la passerelle
  fi
   ### emesene,pindgin,amsn...  ####
  if [  $amsn -eq $on ]
  then
      iptables -A OUTPUT -p tcp -m tcp --dport 1863 -j ACCEPT     
      iptables -A OUTPUT -p tcp -m tcp --dport 6891:6900 -j ACCEPT # pour transfert de fichiers , webcam
      iptables -A OUTPUT -p udp -m udp --dport 6891:6900 -j ACCEPT # pour transfert de fichiers , webcam
  fi
   ### smtp + pop ssl thunderbird ... réceptions des message ####
   if [  $mailssl -eq $on ]
   then

	iptables -A OUTPUT -p tcp -m tcp --dport 995 -j ACCEPT		# pop/ssl
	iptables -A OUTPUT -p tcp -m tcp --dport 465 -j ACCEPT      # smtp/ssl

   fi
   ###  smtp + pop thunderbird ... envoi des messages ###
   if [  $mail -eq $on ]

	then

       iptables -A OUTPUT -p tcp -m tcp --dport 25 -j ACCEPT
       iptables -A OUTPUT -p tcp -m tcp --dport 110 -j ACCEPT
   fi
   ### clientNTP ... syncro à un serveur de temps ###
   if [  $clientNTP -eq $on ]
   then
      iptables -A OUTPUT -p udp -m udp --dport 123 -j ACCEPT
   fi
   ### client-transmission
   if [  $transmition -eq $on ]
   then
      iptables -A OUTPUT -p udp -m udp --sport 51413 --dport 1023:65535  -j ACCEPT
      iptables -A OUTPUT -p tcp -m tcp --sport 30000:65535 --dport 1023:65535  -j ACCEPT
   fi
   ### ping ... autorise à "pinger" un ordinateur distant ###
   iptables -A OUTPUT -p icmp -j ACCEPT

   ### Regnum Online
   if [  $RegnumOnline -eq $on ]
   then
  	iptables -A OUTPUT  -d 91.123.197.131 -p tcp --dport 47300 -j ACCEPT # autentification

	iptables -A OUTPUT  -d 91.123.197.142 -p tcp --dport 48000:48002  -j ACCEPT # nemon

   fi
   
   if [  $NWNclient -eq $on ];then
      iptables -A OUTPUT  -p udp --dport 5120:5121 -j ACCEPT
      iptables -I OUTPUT  -d 204.50.199.9 -j DROP # nwmaster.bioware.com permet d'éviter le temps d'attente avant l'ouverture du multijoueur 
   fi

   ### LandesEternelles
   if [  $LandesEternelles -eq $on ]
   then
       iptables -A OUTPUT  -d 62.93.225.45 -p tcp --dport 3000 -j ACCEPT
   fi
   ### SecondeLife
   if [  $SecondeLife -eq $on ]
  then
      iptables -A OUTPUT -p tcp -m tcp --dport 53 -j ACCEPT
      iptables -A INPUT  -s 216.82.0.0/18 -p tcp --dport 1023:65535 -j ACCEPT # Secondelife
      iptables -A INPUT  -s 64.94.252.0/23 -p tcp --dport 1023:65535 -j ACCEPT # Voice
      iptables -A INPUT  -s 70.42.62.0/24 -p tcp --dport 1023:65535 -j ACCEPT # Voice
      iptables -A INPUT  -s 74.201.98.0/23 -p tcp --dport 1023:65535 -j ACCEPT # Voice

      iptables -A INPUT  -s 216.82.0.0/18 -p udp --dport 1023:65535 -j ACCEPT # Secondelife
      iptables -A INPUT  -s 64.94.252.0/23 -p udp --dport 1023:65535 -j ACCEPT # Voice
      iptables -A INPUT  -s 70.42.62.0/24 -p udp --dport 1023:65535 -j ACCEPT # Voice
      iptables -A INPUT  -s 74.201.98.0/23 -p udp --dport 1023:65535 -j ACCEPT # Voice

      iptables -A OUTPUT  -d 216.82.0.0/18 -p tcp --sport 1023:65535 -j ACCEPT # Secondelife
      iptables -A OUTPUT  -d 64.94.252.0/23 -p tcp --sport 1023:65535 -j ACCEPT # Voice
      iptables -A OUTPUT  -d 70.42.62.0/24 -p tcp --sport 1023:65535 -j ACCEPT # Voice
      iptables -A OUTPUT  -d 74.201.98.0/23  -p tcp --sport 1023:65535 -j ACCEPT # Voice

      iptables -A OUTPUT  -d 216.82.0.0/18 -p udp --sport 1023:65535 -j ACCEPT # Secondelife
      iptables -A OUTPUT  -d 64.94.252.0/23 -p udp --sport 1023:65535 -j ACCEPT # Voice
      iptables -A OUTPUT  -d 70.42.62.0/24 -p udp --sport 1023:65535 -j ACCEPT # Voice
      iptables -A OUTPUT  -d 74.201.98.0/23  -p udp --sport 1023:65535 -j ACCEPT # Voice
   fi
   if [  $Wesnothclient -eq $on ];then
      #14998 pour version stable.
      #14999 pour version stable précédente.
      #15000 pour version de dévelopement. 
      #15001 télécharger addons
      iptables -A OUTPUT  -d 65.18.193.12 -p tcp --sport 1023:65535 --dport 14998:15001 -j ACCEPT
   fi
   if [  $Wesnothserver -eq $on ];then
      iptables -A INPUT   -p tcp --sport 1023:65535 --dport 15000 -j ACCEPT
   fi
   if [  $CS16 -eq $on ];then

	    # Steam: CS 1.6

           iptables -A INPUT -p tcp --sport 27030 -j ACCEPT
           iptables -A OUTPUT -p udp --dport 27015:27020 -j ACCEPT

	    iptables -A INPUT -p udp --sport 27015:27020 -j ACCEPT

  	    iptables -A OUTPUT -p tcp --dport 27030 -j ACCEPT
   fi

   ### LOG ### Log tout ce qui qui n'est pas accepté par une règles précédente                   
   iptables -A OUTPUT -j LOG  --log-prefix "iptables: "
   iptables -A INPUT -j LOG   --log-prefix "iptables: "
   iptables -A FORWARD -j LOG  --log-prefix "iptables: "
   echo "############ <START> ##############"
   iptables -L -n
   echo "############ </START> ##############"

}
stop() {

OUVRE TOUS !! ###

   iptables -F
   iptables -X
   iptables -P INPUT ACCEPT
   iptables -P OUTPUT ACCEPT
   iptables -P FORWARD ACCEPT
   echo "############ <STOP> ##############"
   iptables -L -n
   echo "############ </STOP> ##############"

}
case "$1" in

 start)
  start
   ;;
 stop)
     stop
   ;;
 restart)
  stop
  start
   ;;
 *)
   N=/etc/init.d/${0##*/}
   echo "Usage: $N {start|stop|restart}" >&2
   exit 1
   ;;

esac

exit 0

Pour la séparation des log avec rsyslog :

apt-get install rsyslog

créer le fichier /etc/rsyslog.d/iptables.conf et y copier le code suivant

msg,contains,"iptables" /var/log/iptables.log

& ~

Règles iptables pour vos applications (pc de bureau)

Règles iptables pour vos applications (pc de bureau).

Menu de navigation