Linux et firewall

Le Tue, 04 Apr 2006 19:11:12 +0000, Emmanuel Durand a écrit :

A noter, quand je reteste immédiatement aprés, tout va bien, sauf le
port 80 (web), qui rest ouvert, les autres se ferment au 2eme essai. C'est
peut etre normal, merci pour vos contributions

Si tu veux tout fermer, le plus simple c'est de le faire à partir du
routeur. Quel est le type du routeur?

--
Dix grammes d'abstraction valent des tonnes de bricolage.
Loi de Booker.

Emmanuel Durand <emmanuel.le4@wanadoo.fr> wrote in
news:4432a99b$0$18341$8fcfb975@news.wanadoo.fr:

firewall. J'ai essayé celui fournis avec ma distribution, ainsi que
Guarddog. Mon modem/routeur est sensé posséder un firewall intégré,
mais la doc est plutot légére. Mon probléme : aprés avoir lut une
partie du FAQ, et fait des tests sur les liens fournis, certains ports
sont toujours grand ouvert : FTP, WEB et Telnet.

Le firewall de Linux est netfilter. tous les outils propres au
distributions ne sont que des front-ends à netfilter. Donc si tu veux te
documenter sur le firewall de Linux, documentes-toi sur netfilter ! une
bonne doc à ce sujet est le tutorial d'Oskar Andreasson, dispo en
français à cette adresse :
<http://www.linux-france.org/prj/inetdoc/guides/iptables-tutorial/>

Concernant ton problème, il fudrait savoir exactement quels sont les
tests que tu as effectué, car amha tu interprètes mal les résulats :
puisque tu disposes d'un modem/routeur, si tu utilises des tests en ligne
genre <https://www.grc.com/x/ne.dll?bh0bkyd2>
la machine scannée _est_ le modem/routeur, donc rien à voir avec ton
poste sous Linux, et ça ne signifie pas forcément grand chose, selon la
configuration du routeur...

A noter, quand je reteste immédiatement aprés, tout va bien, sauf le
port 80 (web), qui rest ouvert, les autres se ferment au 2eme essai.
C'est peut etre normal, merci pour vos contributions

peut etre ton routeur bannit-il un hôte distant qui effectue un scan de

port ?

--
Rico

Salut,

Le firewall de Linux est netfilter.

Je dirais plutôt que le firewall de Linux est iptables (noyaux 2.4 et
+), ou ipchains (noyaux 2.2 et +), ou ipfwadm (noyaux 2.0 et +).
Netfilter est l'infrastructure du noyau 2.4/2.6 dans laquelle iptables
(ou ipchains, ou ipfwadm) vient s'insérer.

Emmanuel Florac wrote:

Si tu veux tout fermer, le plus simple c'est de le faire à partir du
routeur. Quel est le type du routeur?

Olitec WF 402G

Pascal Hambourg <boite-a-spam@plouf.fr.eu.org> wrote in news:e10j66$2ple$1
@biggoron.nerim.net:

Je dirais plutôt que le firewall de Linux est iptables (noyaux 2.4 et
+), ou ipchains (noyaux 2.2 et +), ou ipfwadm (noyaux 2.0 et +).

<capilotractage>
non, iptables est l'outil userland pour configurer netfilter , qui est le
filtre de paquets en lui-même (et qui opère en kernel-land)
</capilotractage>

Netfilter est l'infrastructure du noyau 2.4/2.6 dans laquelle iptables
(ou ipchains, ou ipfwadm) vient s'insérer.

ipchains etait l'outil de configuration du filtre de paquets des noyaux

2.2, et ipfwadm etait l'outil de configuration encore avant (noyaux 2.0) et
ces 2 outils sont _totalement_ incompatibles avec netfilter !

--
Rico

Eric Belhomme wrote:

Le firewall de Linux est netfilter. tous les outils propres au
distributions ne sont que des front-ends à netfilter. Donc si tu veux te
documenter sur le firewall de Linux, documentes-toi sur netfilter ! une
bonne doc à ce sujet est le tutorial d'Oskar Andreasson, dispo en
français à cette adresse :
<http://www.linux-france.org/prj/inetdoc/guides/iptables-tutorial/>

Merci, je vais consulter la doc

Concernant ton problème, il fudrait savoir exactement quels sont les
tests que tu as effectué, car amha tu interprètes mal les résulats :
puisque tu disposes d'un modem/routeur, si tu utilises des tests en ligne
genre <https://www.grc.com/x/ne.dll?bh0bkyd2>
la machine scannée _est_ le modem/routeur, donc rien à voir avec ton
poste sous Linux, et ça ne signifie pas forcément grand chose, selon la
configuration du routeur...

Je comprends mieux, c'est le modem/routeur qui est scanné, donc, si je
comprends bien les changements faits sur un firewall logiciel ne vont pas
se voir sur un test de ce genre. En fait, je ne suis pas trop inquiet. Je
me sens juste concerné par la sécurité de mon ordi et des données qu'il
contient. Ta réponse commence à me rassurer. Mais dans ce cas, comment
savoir si mon ordinateur est assez efficacement protégé contre des
intrusions ?

A noter, quand je reteste immédiatement aprés, tout va bien, sauf le
port 80 (web), qui rest ouvert, les autres se ferment au 2eme essai.
C'est peut etre normal, merci pour vos contributions

peut etre ton routeur bannit-il un hôte distant qui effectue un scan de

port ?

Je pense que le routeur bannit simplement le site ww.grc.com sur lequel
s'effectue le test.

Emmanuel

On Wed, 05 Apr 2006 15:46:18 +0000, Emmanuel Durand wrote:

comment savoir si mon ordinateur est assez efficacement protégé contre des
intrusions ?

En vrac.

Fermes tout. Ensuite n'ouvre que le necessaire. C'est censé être la marche
à suivre. Par contre, en "ouvrant" pose toi la question de savoir si en
ouvrant tu ne va pas laisser un traffic indésirable _entrer_. Tu as choisi
la paranoia, donc t'inquiète pas ça fait un peu mal à la tête au début ;-).
Sinon, abonne toi à la liste de diffusion de chaque logiciel que tu
utilise et surveilles ce qui s'y dit.
Dès qu'il y aura une annonce de faille de sécurité, alors tu réagira en
conséquence.
Au début, j'étais paranoiaque comme toi, mais avec le temps j'ai vu que
c'était exagéré :-)

--
Debian/apt Repo: http://locataire-serveur.info/sections/liens/debian-repository
Fedora/yum Repo: http://locataire-serveur.info/sections/liens/fedora-core-yum

Pascal Hambourg <boite-a-spam@plouf.fr.eu.org> wrote in news:e10j66$2ple$1
@biggoron.nerim.net:

[Ton logiciel coupe les lignes bizarrement, à moins que ce soit le robot
de modération.]

Je dirais plutôt que le firewall de Linux est iptables (noyaux 2.4 et
+), ou ipchains (noyaux 2.2 et +), ou ipfwadm (noyaux 2.0 et +).

<capilotractage>
non, iptables est l'outil userland pour configurer netfilter , qui est le
filtre de paquets en lui-même (et qui opère en kernel-land)

Non, iptables comporte une partie userland (le programme iptables) et
une partie noyau (dont le module principal ip_tables.[k]o si compilée en
module). Le filtrage de paquets n'est pas réalisé par Netfilter mais par
la partie noyau d'iptables (ou d'ipchains, ou d'ipfwadm). Tu noteras que
Netfilter et iptables ont des options de compilation séparées :
CONFIG_NETFILTER et CONFIG_IP_NF_IPTABLES.

</capilotractage>

Netfilter est l'infrastructure du noyau 2.4/2.6 dans laquelle iptables
(ou ipchains, ou ipfwadm) vient s'insérer.

ipchains etait l'outil de configuration du filtre de paquets des noyaux
2.2, et ipfwadm etait l'outil de configuration encore avant (noyaux 2.0) et
ces 2 outils sont _totalement_ incompatibles avec netfilter !

Ces outils et les modules noyau correspondants sont incompatibles avec
iptables, pas avec Netfilter. Extraits de Configure.help :

CONFIG_IP_NF_COMPAT_IPCHAINS
This option places ipchains (with masquerading and redirection
support) back into the kernel, using the new netfilter
infrastructure. It is not recommended for new installations (see
`Packet filtering'). With this enabled, you should be able to use
the ipchains tool exactly as in 2.2 kernels.

CONFIG_IP_NF_COMPAT_IPFWADM
This option places ipfwadm (with masquerading and redirection
support) back into the kernel, using the new netfilter
infrastructure. It is not recommended for new installations (see
`Packet filtering'). With this enabled, you should be able to use
the ipfwadm tool exactly as in 2.0 kernels.

[Je prie les lecteurs de me pardonner pour l'absence de traduction, mais
je n'ai pas voulu risquer de dénaturer la teneur du texte original.]

Pascal Hambourg <boite-a-spam@plouf.fr.eu.org> wrote in
news:e1105s$30qh$1@biggoron.nerim.net:

Non, iptables comporte une partie userland (le programme iptables) et
une partie noyau (dont le module principal ip_tables.[k]o si compilée
en module). Le filtrage de paquets n'est pas réalisé par Netfilter
mais par la partie noyau d'iptables (ou d'ipchains, ou d'ipfwadm). Tu
noteras que Netfilter et iptables ont des options de compilation
séparées : CONFIG_NETFILTER et CONFIG_IP_NF_IPTABLES.

* un lien vers le site de netfilter : <http://www.netfilter.org>

"What is netfilter.org?

netfilter.org is home to the software of the packet filtering framework
inside theLinux 2.4.x and 2.6.x kernel series. Software commonly associated
with netfilter.org is iptables.

Software inside this framework enables packet filtering, network address
[and port] translation (NA[P]T) and other packet mangling. It is the re-
designed and heavily improved successor of the previous Linux 2.2.x
ipchains and Linux 2.0.x ipfwadm systems.

netfilter is a set of hooks inside the Linux kernel that allows kernel
modules to register callback functions with the network stack. A registered
callback function is then called back for every packet that traverses the
respective hook within the network stack.

iptables is a generic table structure for the definition of rulesets. Each
rule within an IP table consists of a number of classifiers (iptables
matches) and one connected action (iptables target).

netfilter, ip_tables, connection tracking (ip_conntrack, nf_conntrack) and
the NAT subsystem together build the major parts of the framework."

* traduction à la bucheron :

Qu'est-ce que netfilter.org ?

netfilter.org est le site officiel pour le code du sous-système de filtrage
de paquets inclus dans les séries de noyau Linux 2.4 et 2.6. Le logiciel
régulièrement associé à netfilter est iptables.

Le code de ce sous-système autorise le filtrage de paquets, la translation
d'adresse (et de ports) et autres manipulations de paquets. Sa conception a
été revue, il est un successeur largement améliorée des version précédentes
de ipchains (linux 2.2 et ipfwadm (linux 2.0).

[...]

netfilter, ip_tables, suivi de connexion (ip_conntrack, nf_conntrack) et le
sous-système NAT représentent la plus grande partie de netfilter"

* interprétation personnelle :

netfilter est l'infrastructure (des ancres de la couche réseau du kernel)
qui permet de placer des fonctions callback en fonction de ce qu'on
souhaite faire :
- filtrage de paquets ipv4 avec ip_tables - le module en kernel-land, et
iptables en userland)
- filtrage de paquets ipv6 avec ip6tables,
- filtrage arp avec arptables
- filtrage au niveau bridge avec brtables
- ...

Ces outils et les modules noyau correspondants sont incompatibles avec
iptables, pas avec Netfilter. Extraits de Configure.help :

CONFIG_IP_NF_COMPAT_IPCHAINS
This option places ipchains (with masquerading and redirection
support) back into the kernel, using the new netfilter
infrastructure. It is not recommended for new installations (see
`Packet filtering'). With this enabled, you should be able to use
the ipchains tool exactly as in 2.2 kernels.

CONFIG_IP_NF_COMPAT_IPFWADM
This option places ipfwadm (with masquerading and redirection
support) back into the kernel, using the new netfilter
infrastructure. It is not recommended for new installations (see
`Packet filtering'). With this enabled, you should be able to use
the ipfwadm tool exactly as in 2.0 kernels.

oui mais c'est caca, il faut pas faire ! (c'est d'ailleurs dit dans le

configure.help, que tu n'as pas osé traduire ;)

Néanmoins je dois te remercier car si ma 1ere réaction a été l'aggacement,
tu m'a forcé à me poser des questions et à constater que j'avais fini par
simplifier un peu trop ma compréhension de netfilter et ses outils
associés, donc mea culpa, et merci ;)

--
Rico

Emmanuel Durand <emmanuel.le4@wanadoo.fr> wrote in
news:4433d778$0$18312$8fcfb975@news.wanadoo.fr:

Je comprends mieux, c'est le modem/routeur qui est scanné, donc, si je
comprends bien les changements faits sur un firewall logiciel ne vont
pas se voir sur un test de ce genre. En fait, je ne suis pas trop
inquiet. Je me sens juste concerné par la sécurité de mon ordi et des
données qu'il contient. Ta réponse commence à me rassurer.

attention tout de même : un modem, ou un routeur (voire meme un switch) est
composé de hardware assimilable à un ordinateur, et à un software
assimilable à un OS. d'ailleurs, il offre des services réseau
(configuration via http, telnet, ssh,...)

Tout ca pour dire que ces équipements peuvent êtres (et sont) aussi
vulnérables (failles dans un porotocole, mauvaise configuration,...) et un
attaquant qui prendrait la main sur ton routeur aurait accès à ton LAN, et
donc à ton micro qui est derrière...

Sans tomber dans l'alarmisme, un routeur adsl devrait être _totalement_
muet vu depuis son interface externe, sauf cas particulier.

--
Rico