Règles de pare-feu avancées (IPTables)

IPTables est le puissant pare-feu intégré de Linux. Même si nous en avons vu les bases, il offre des fonctionnalités avancées pour un contrôle précis.

Cette leçon vous permet d'utiliser des règles complexes, le filtrage avec suivi d'état et la traduction d'adresses réseau (NAT) afin de sécuriser et de gérer réellement le réseau de votre serveur.

IPTables organise les règles en tables, chacune ayant un objectif précis. Les tables contiennent des chaînes, c'est-à-dire des listes de règles évaluées dans l'ordre.

• table filter : table par défaut, utilisée pour filtrer (bloquer ou autoriser) les paquets. Elle contient les chaînes INPUT, OUTPUT et FORWARD.
• table nat : utilisée pour la traduction d'adresses réseau (NAT). Elle contient les chaînes PREROUTING, POSTROUTING et OUTPUT.
• D'autres tables, comme mangle et raw, servent à la modification spécialisée des paquets.

Un pare-feu avec suivi d'état suit l'état des connexions réseau. Au lieu de vérifier chaque paquet individuellement, il mémorise si un paquet appartient à une connexion existante et établie.

Principaux états de connexion :

• NEW : premier paquet d'une nouvelle connexion.
• ESTABLISHED : paquets appartenant à une connexion existante et active.
• RELATED : paquets démarrant une nouvelle connexion liée à une connexion existante (par exemple, un transfert de données FTP).

Les règles avec suivi d'état simplifient considérablement la gestion du pare-feu. Vous pouvez autoriser tout le trafic appartenant à des connexions établies, ce qui signifie qu'il vous suffit de définir des règles pour l'initiation des connexions NEW.

Cette règle autorise tous les paquets entrants qui font partie d'une connexion déjà établie ou associée :

IPTables vous permet de combiner différents modules et options de correspondance afin de créer des règles très précises. Cela aide à affiner l'accès pour différents services et sources.

Exemple : autoriser SSH (port 22) depuis un sous-réseau précis (192.168.1.0/24) uniquement pour les nouvelles connexions.

La traduction d'adresses réseau (NAT) modifie les informations d'adresse réseau dans l'en-tête IP des paquets pendant leur transit. Elle est essentielle pour :

• Permettre à plusieurs appareils d'un réseau privé de partager une seule adresse IP publique (par exemple, avec les routeurs domestiques).
• Effectuer une redirection de port, en dirigeant les requêtes externes vers des serveurs internes.

Il existe deux principaux types : NAT source (SNAT) et NAT destination (DNAT).

Le NAT source (SNAT) modifie l'adresse IP source des paquets. Il est couramment utilisé lorsque des serveurs internes doivent accéder à Internet via un serveur passerelle possédant une adresse IP publique.

La mascarade est une forme particulière de SNAT dans laquelle l'adresse IP de l'interface sortante est automatiquement utilisée comme adresse IP source. Elle est utile avec les adresses IP dynamiques.

Exemple : autoriser le réseau interne 192.168.0.0/24 à accéder à Internet via eth0.

Le NAT de destination (DNAT) modifie l’adresse IP de destination des paquets. C’est idéal pour la redirection de ports, qui permet d’exposer sur Internet, via l’adresse IP publique de votre serveur passerelle, un service exécuté sur un serveur interne.

Exemple : rediriger les requêtes web entrantes (port 80) sur eth0 vers un serveur web interne à l’adresse 192.168.1.100.

IPTables peut aider à se protéger contre des attaques courantes, comme les tentatives de connexion par force brute (par exemple avec SSH), en limitant le débit auquel les nouvelles connexions sont acceptées depuis une adresse IP source.

Le module limit permet de définir un débit et une limite de rafale. N’oubliez pas de supprimer les connexions suivantes une fois la limite atteinte.

Exemple : limiter les nouvelles connexions SSH à 3 par minute, avec une rafale initiale de 3 connexions, puis supprimer les autres.

Imaginez un serveur qui joue le rôle de passerelle. Il possède une interface publique eth0 et une interface interne eth1 (connectée à 192.168.1.0/24).

Quelle commande IPTables permettrait de rendre accessible depuis Internet, sur le port 80, un serveur web interne à l’adresse 192.168.1.50 ?

Félicitations ! Vous avez exploré des concepts avancés d’IPTables :

• Pare-feu à états avec les états ESTABLISHED, RELATED et NEW.
• Création de règles complexes en combinant plusieurs critères de correspondance.
• Mise en œuvre de la traduction d’adresses réseau (NAT) pour le trafic sortant (SNAT/Masquerade) et entrant (DNAT/Port Forwarding).
• Utilisation du module limit pour une protection de base contre les attaques.

Ces compétences sont essentielles pour créer des environnements de serveurs Linux robustes et sécurisés. N’oubliez pas d’enregistrer vos règles IPTables après toute modification, car elles ne sont pas persistantes par défaut !