Script firewall au démarrage

Claude Reveret

14/05/2005 à 18:20

Le Samedi 14 Mai 2005 17:30, guillaume a écrit :

Bonjour.

Salut,

J'ai récupéré sur trustonme.net un script basé sur ip-tables
(http://www.trustonme.net/didactels/downloads/firewall)
et j'aimerais le lancer au démarrage.
Mais, bien sûr, je ne sais pas comment faire :'(

Installe webmin, et dans la partie système, Actions de démarrage et d'a rret,
tu crée une nouvelle action.

Qui pourrait-m'aider ?

Merci d'avance !

@+, Claude

Jacques L'helgoualc'h

14/05/2005 à 18:30

guillaume a écrit, samedi 14 mai 2005, à 17:30 :

Bonjour.

bonjour,

J'ai récupéré sur trustonme.net un script basé sur ip-tables
(http://www.trustonme.net/didactels/downloads/firewall)
et j'aimerais le lancer au démarrage.

Le B.A-BA de la sécurité, c'est d'être parano : il ne faut pas faire
confiance à un script quelconque sans comprendre ce qu'il fait !

Mais, bien sûr, je ne sais pas comment faire :'(

Le répertoire /etc/init.d/ sert à stocker les scripts de démarrage ; ils
sont ensuite appelés via les liens symboliques des répertoires
/etc/rc*.d/ : rcS.d au démarrage, rc0.d pour l'arrêt, rc6 pour rebouter,
les rc[1-5].d pour changer de niveau.

Les liens S démarrent les scripts avec l'argument start, les K avec
stop, dans l'ordre (alpha)numérique.

Donc mettre ton parefeu.sh dans /etc/init.d/, le rendre exécutable, et
créer un lien symbolique vers lui depuis /etc/rc.S pourrait marcher ---
ça dépend du contenu du script. Idéalement, le filtrage devrait être
activé avant le réseau.

Merci d'avance !

de rien, hop zat elpse
--
Jacques L'helgoualc'h

--
Pensez à lire la FAQ de la liste avant de poser une question :
http://wiki.debian.net/?DebianFrench

Pensez à rajouter le mot ``spam'' dans vos champs "From" et "Reply-To:"

To UNSUBSCRIBE, email to
with a subject of "unsubscribe". Trouble? Contact

Troumad

14/05/2005 à 18:40

Jacques L'helgoualc'h a écrit :

guillaume a écrit, samedi 14 mai 2005, à 17:30 :

Bonjour.

bonjour,

J'ai récupéré sur trustonme.net un script basé sur ip-tables
(http://www.trustonme.net/didactels/downloads/firewall)
et j'aimerais le lancer au démarrage.

Le B.A-BA de la sécurité, c'est d'être parano : il ne faut pas faire
confiance à un script quelconque sans comprendre ce qu'il fait !

Mais, bien sûr, je ne sais pas comment faire :'(

Le répertoire /etc/init.d/ sert à stocker les scripts de démarrage ; ils
sont ensuite appelés via les liens symboliques des répertoires
/etc/rc*.d/ : rcS.d au démarrage, rc0.d pour l'arrêt, rc6 pour rebouter,
les rc[1-5].d pour changer de niveau.

Les liens S démarrent les scripts avec l'argument start, les K avec
stop, dans l'ordre (alpha)numérique.

Donc mettre ton parefeu.sh dans /etc/init.d/, le rendre exécutable, et
créer un lien symbolique vers lui depuis /etc/rc.S pourrait marcher ---
ça dépend du contenu du script. Idéalement, le filtrage devrait être
activé avant le réseau.

Merci d'avance !

de rien, hop zat elpse

#!/bin/sh
# ATTENTION la ligne du dessus
# n'est pas un commentaire

# variable (ipt) pour l'appel à l'exécutable de iptables
# => tester le même script avec plusieurs version de iptables
ipt=/sbin/iptables

# Pour simplifier une modification éventuelle des cartes réseaux
LOCAL="eth0"
NET="eth1"
case "$1" in
start)
Ton script

stop)
echo "Arret du mur de feu"
# On vide (flush) toutes les regle existantes
$ipt -F
$ipt -X

# On remet la police par defaut
$ipt -P INPUT ACCEPT
$ipt -P FORWARD ACCEPT
$ipt -P OUTPUT ACCEPT

;;

restart)
# Le stop est inutile car le start vide aussi les chaînes et
redéfinit les politiques par défaut
# $0 stop
# /bin/sleep 1
#/usr/bin/sleep 1
$0 start
;;

+ le mettre dans les /etc/rcX.d :

# ll /etc/rc1.d/
[...]
lrwxrwxrwx 1 root root 20 avr 16 21:41 K90firewall -> /etc/init.d/firewall*
[...]
#ll /etc/rc2.d/
[...]
lrwxrwxrwx 1 root root 20 avr 16 21:42 S10firewall -> /etc/init.d/firewall*
[...]

--
Amicalement vOOotre Troumad Alias Bernard SIAUD
mon site : http://troumad.free.fr : AD&D maths WEB sectes
Pour la liberté http://lea-linux.org http://www.eurolinux.org/index.fr.html
N'envoyez que des documents avec des formats ouverts, comme
http://fr.openoffice.org

--
Pensez à lire la FAQ de la liste avant de poser une question :
http://wiki.debian.net/?DebianFrench

Pensez à rajouter le mot ``spam'' dans vos champs "From" et "Reply-To:"

To UNSUBSCRIBE, email to
with a subject of "unsubscribe". Trouble? Contact

Jacques L'helgoualc'h a écrit :

guillaume a écrit, samedi 14 mai 2005, à 17:30 :

Bonjour.

bonjour,

J'ai récupéré sur trustonme.net un script basé sur ip-tables
(http://www.trustonme.net/didactels/downloads/firewall)
et j'aimerais le lancer au démarrage.

Le B.A-BA de la sécurité, c'est d'être parano : il ne faut pas faire
confiance à un script quelconque sans comprendre ce qu'il fait !

Mais, bien sûr, je ne sais pas comment faire :'(

Le répertoire /etc/init.d/ sert à stocker les scripts de démarrage ; ils
sont ensuite appelés via les liens symboliques des répertoires
/etc/rc*.d/ : rcS.d au démarrage, rc0.d pour l'arrêt, rc6 pour rebouter,
les rc[1-5].d pour changer de niveau.

Les liens S démarrent les scripts avec l'argument start, les K avec
stop, dans l'ordre (alpha)numérique.

Donc mettre ton parefeu.sh dans /etc/init.d/, le rendre exécutable, et
créer un lien symbolique vers lui depuis /etc/rc.S pourrait marcher ---
ça dépend du contenu du script. Idéalement, le filtrage devrait être
activé avant le réseau.

Merci d'avance !

de rien, hop zat elpse

#!/bin/sh
# ATTENTION la ligne du dessus
# n'est pas un commentaire

# variable (ipt) pour l'appel à l'exécutable de iptables
# => tester le même script avec plusieurs version de iptables
ipt=/sbin/iptables

# Pour simplifier une modification éventuelle des cartes réseaux
LOCAL="eth0"
NET="eth1"
case "$1" in
start)
Ton script

stop)
echo "Arret du mur de feu"
# On vide (flush) toutes les regle existantes
$ipt -F
$ipt -X

# On remet la police par defaut
$ipt -P INPUT ACCEPT
$ipt -P FORWARD ACCEPT
$ipt -P OUTPUT ACCEPT

;;

restart)
# Le stop est inutile car le start vide aussi les chaînes et
redéfinit les politiques par défaut
# $0 stop
# /bin/sleep 1
#/usr/bin/sleep 1
$0 start
;;

+ le mettre dans les /etc/rcX.d :

# ll /etc/rc1.d/
[...]
lrwxrwxrwx 1 root root 20 avr 16 21:41 K90firewall -> /etc/init.d/firewall*
[...]
#ll /etc/rc2.d/
[...]
lrwxrwxrwx 1 root root 20 avr 16 21:42 S10firewall -> /etc/init.d/firewall*
[...]

--
Amicalement vOOotre Troumad Alias Bernard SIAUD
mon site : http://troumad.free.fr : AD&D maths WEB sectes
Pour la liberté http://lea-linux.org http://www.eurolinux.org/index.fr.html
N'envoyez que des documents avec des formats ouverts, comme
http://fr.openoffice.org

--
Pensez à lire la FAQ de la liste avant de poser une question :
http://wiki.debian.net/?DebianFrench

Pensez à rajouter le mot ``spam'' dans vos champs "From" et "Reply-To:"

To UNSUBSCRIBE, email to debian-user-french-REQUEST@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listmaster@lists.debian.org

Vous avez filtré cet utilisateur ! Consultez son message

Jacques L'helgoualc'h a écrit :

guillaume a écrit, samedi 14 mai 2005, à 17:30 :

Bonjour.

bonjour,

J'ai récupéré sur trustonme.net un script basé sur ip-tables
(http://www.trustonme.net/didactels/downloads/firewall)
et j'aimerais le lancer au démarrage.

Le B.A-BA de la sécurité, c'est d'être parano : il ne faut pas faire
confiance à un script quelconque sans comprendre ce qu'il fait !

Mais, bien sûr, je ne sais pas comment faire :'(

Le répertoire /etc/init.d/ sert à stocker les scripts de démarrage ; ils
sont ensuite appelés via les liens symboliques des répertoires
/etc/rc*.d/ : rcS.d au démarrage, rc0.d pour l'arrêt, rc6 pour rebouter,
les rc[1-5].d pour changer de niveau.

Les liens S démarrent les scripts avec l'argument start, les K avec
stop, dans l'ordre (alpha)numérique.

Donc mettre ton parefeu.sh dans /etc/init.d/, le rendre exécutable, et
créer un lien symbolique vers lui depuis /etc/rc.S pourrait marcher ---
ça dépend du contenu du script. Idéalement, le filtrage devrait être
activé avant le réseau.

Merci d'avance !

de rien, hop zat elpse

#!/bin/sh
# ATTENTION la ligne du dessus
# n'est pas un commentaire

# variable (ipt) pour l'appel à l'exécutable de iptables
# => tester le même script avec plusieurs version de iptables
ipt=/sbin/iptables

# Pour simplifier une modification éventuelle des cartes réseaux
LOCAL="eth0"
NET="eth1"
case "$1" in
start)
Ton script

stop)
echo "Arret du mur de feu"
# On vide (flush) toutes les regle existantes
$ipt -F
$ipt -X

# On remet la police par defaut
$ipt -P INPUT ACCEPT
$ipt -P FORWARD ACCEPT
$ipt -P OUTPUT ACCEPT

;;

restart)
# Le stop est inutile car le start vide aussi les chaînes et
redéfinit les politiques par défaut
# $0 stop
# /bin/sleep 1
#/usr/bin/sleep 1
$0 start
;;

+ le mettre dans les /etc/rcX.d :

# ll /etc/rc1.d/
[...]
lrwxrwxrwx 1 root root 20 avr 16 21:41 K90firewall -> /etc/init.d/firewall*
[...]
#ll /etc/rc2.d/
[...]
lrwxrwxrwx 1 root root 20 avr 16 21:42 S10firewall -> /etc/init.d/firewall*
[...]

--
Amicalement vOOotre Troumad Alias Bernard SIAUD
mon site : http://troumad.free.fr : AD&D maths WEB sectes
Pour la liberté http://lea-linux.org http://www.eurolinux.org/index.fr.html
N'envoyez que des documents avec des formats ouverts, comme
http://fr.openoffice.org

--
Pensez à lire la FAQ de la liste avant de poser une question :
http://wiki.debian.net/?DebianFrench

Pensez à rajouter le mot ``spam'' dans vos champs "From" et "Reply-To:"

To UNSUBSCRIBE, email to
with a subject of "unsubscribe". Trouble? Contact

Jacques L'helgoualc'h

14/05/2005 à 19:20

Troumad a écrit, samedi 14 mai 2005, à 18:38 :

Jacques L'helgoualc'h a écrit :
>guillaume a écrit, samedi 14 mai 2005, à 17:30 :

[citations inutiles]

#!/bin/sh

[...]

# Pour simplifier une modification éventuelle des cartes réseaux
LOCAL="eth0"
NET="eth1"

# J'ai préféré mettre le fichier de configuration (plus long) à part

# définitions de variables
DEFS="/etc/network/fw.conf"
if [ -f "$DEFS" ] ; then
source $DEFS
else
echo "$0 : fichier de configuration $DEFS manquant..." >&2
exit 1
fi

version="$(uname -r)"
case "$version" in
2.2.*)
source /etc/init.d/fw-2.2.sh
;;
2.4.*)
source /etc/init.d/fw-2.4.sh
;;
*)
echo "erreur de version, noyau $version"
exit 1
esac

case "$1" in
start)
Ton script

à voir ...

stop)
echo "Arret du mur de feu"
# On vide (flush) toutes les regle existantes
$ipt -F
$ipt -X

# On remet la police par defaut
$ipt -P INPUT ACCEPT
$ipt -P FORWARD ACCEPT
$ipt -P OUTPUT ACCEPT

$iptables -F
$iptables -t nat -F
$iptables -t mangle -F

$iptables -X
$iptables -t nat -X
$iptables -t mangle -X

$iptables -P INPUT DROP
$iptables -P OUTPUT DROP
$iptables -P FORWARD DROP
$iptables -t nat -P PREROUTING ACCEPT
$iptables -t nat -P POSTROUTING ACCEPT
$iptables -t nat -P OUTPUT ACCEPT

$iptables -A OUTPUT -o lo -j ACCEPT
$iptables -A INPUT -i lo -j ACCEPT

# Un bon firewall arrêté est un firewall *fermé*,
# je suis laxiste, je laisse le loopback ouvert.

;;

restart)

[...]

+ le mettre dans les /etc/rcX.d :

# ll /etc/rc1.d/
[...]
lrwxrwxrwx 1 root root 20 avr 16 21:41 K90firewall -> /etc/init.d/firewall*
[...]
#ll /etc/rc2.d/
[...]
lrwxrwxrwx 1 root root 20 avr 16 21:42 S10firewall -> /etc/init.d/firewall*
[...]

Je préfère démarrer avant le réseau, dans rcS.d, et ne jamais l'ouvrir ;
là, avec ta définition de stop), la machine serait ouverte à tous vents
en mode single ...
--
Jacques L'helgoualc'h

--
Pensez à lire la FAQ de la liste avant de poser une question :
http://wiki.debian.net/?DebianFrench

Pensez à rajouter le mot ``spam'' dans vos champs "From" et "Reply-To:"

To UNSUBSCRIBE, email to
with a subject of "unsubscribe". Trouble? Contact

Troumad a écrit, samedi 14 mai 2005, à 18:38 :

Jacques L'helgoualc'h a écrit :
>guillaume a écrit, samedi 14 mai 2005, à 17:30 :

[citations inutiles]

#!/bin/sh

[...]

# Pour simplifier une modification éventuelle des cartes réseaux
LOCAL="eth0"
NET="eth1"

# J'ai préféré mettre le fichier de configuration (plus long) à part

# définitions de variables
DEFS="/etc/network/fw.conf"
if [ -f "$DEFS" ] ; then
source $DEFS
else
echo "$0 : fichier de configuration $DEFS manquant..." >&2
exit 1
fi

version="$(uname -r)"
case "$version" in
2.2.*)
source /etc/init.d/fw-2.2.sh
;;
2.4.*)
source /etc/init.d/fw-2.4.sh
;;
*)
echo "erreur de version, noyau $version"
exit 1
esac

case "$1" in
start)
Ton script

à voir ...

stop)
echo "Arret du mur de feu"
# On vide (flush) toutes les regle existantes
$ipt -F
$ipt -X

# On remet la police par defaut
$ipt -P INPUT ACCEPT
$ipt -P FORWARD ACCEPT
$ipt -P OUTPUT ACCEPT

$iptables -F
$iptables -t nat -F
$iptables -t mangle -F

$iptables -X
$iptables -t nat -X
$iptables -t mangle -X

$iptables -P INPUT DROP
$iptables -P OUTPUT DROP
$iptables -P FORWARD DROP
$iptables -t nat -P PREROUTING ACCEPT
$iptables -t nat -P POSTROUTING ACCEPT
$iptables -t nat -P OUTPUT ACCEPT

$iptables -A OUTPUT -o lo -j ACCEPT
$iptables -A INPUT -i lo -j ACCEPT

# Un bon firewall arrêté est un firewall *fermé*,
# je suis laxiste, je laisse le loopback ouvert.

;;

restart)

[...]

+ le mettre dans les /etc/rcX.d :

# ll /etc/rc1.d/
[...]
lrwxrwxrwx 1 root root 20 avr 16 21:41 K90firewall -> /etc/init.d/firewall*
[...]
#ll /etc/rc2.d/
[...]
lrwxrwxrwx 1 root root 20 avr 16 21:42 S10firewall -> /etc/init.d/firewall*
[...]

Je préfère démarrer avant le réseau, dans rcS.d, et ne jamais l'ouvrir ;
là, avec ta définition de stop), la machine serait ouverte à tous vents
en mode single ...
--
Jacques L'helgoualc'h

--
Pensez à lire la FAQ de la liste avant de poser une question :
http://wiki.debian.net/?DebianFrench

Pensez à rajouter le mot ``spam'' dans vos champs "From" et "Reply-To:"

To UNSUBSCRIBE, email to debian-user-french-REQUEST@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listmaster@lists.debian.org

Vous avez filtré cet utilisateur ! Consultez son message

Troumad a écrit, samedi 14 mai 2005, à 18:38 :

Jacques L'helgoualc'h a écrit :
>guillaume a écrit, samedi 14 mai 2005, à 17:30 :

[citations inutiles]

#!/bin/sh

[...]

# Pour simplifier une modification éventuelle des cartes réseaux
LOCAL="eth0"
NET="eth1"

# J'ai préféré mettre le fichier de configuration (plus long) à part

# définitions de variables
DEFS="/etc/network/fw.conf"
if [ -f "$DEFS" ] ; then
source $DEFS
else
echo "$0 : fichier de configuration $DEFS manquant..." >&2
exit 1
fi

version="$(uname -r)"
case "$version" in
2.2.*)
source /etc/init.d/fw-2.2.sh
;;
2.4.*)
source /etc/init.d/fw-2.4.sh
;;
*)
echo "erreur de version, noyau $version"
exit 1
esac

case "$1" in
start)
Ton script

à voir ...

stop)
echo "Arret du mur de feu"
# On vide (flush) toutes les regle existantes
$ipt -F
$ipt -X

# On remet la police par defaut
$ipt -P INPUT ACCEPT
$ipt -P FORWARD ACCEPT
$ipt -P OUTPUT ACCEPT

$iptables -F
$iptables -t nat -F
$iptables -t mangle -F

$iptables -X
$iptables -t nat -X
$iptables -t mangle -X

$iptables -P INPUT DROP
$iptables -P OUTPUT DROP
$iptables -P FORWARD DROP
$iptables -t nat -P PREROUTING ACCEPT
$iptables -t nat -P POSTROUTING ACCEPT
$iptables -t nat -P OUTPUT ACCEPT

$iptables -A OUTPUT -o lo -j ACCEPT
$iptables -A INPUT -i lo -j ACCEPT

# Un bon firewall arrêté est un firewall *fermé*,
# je suis laxiste, je laisse le loopback ouvert.

;;

restart)

[...]

+ le mettre dans les /etc/rcX.d :

# ll /etc/rc1.d/
[...]
lrwxrwxrwx 1 root root 20 avr 16 21:41 K90firewall -> /etc/init.d/firewall*
[...]
#ll /etc/rc2.d/
[...]
lrwxrwxrwx 1 root root 20 avr 16 21:42 S10firewall -> /etc/init.d/firewall*
[...]

Je préfère démarrer avant le réseau, dans rcS.d, et ne jamais l'ouvrir ;
là, avec ta définition de stop), la machine serait ouverte à tous vents
en mode single ...
--
Jacques L'helgoualc'h

--
Pensez à lire la FAQ de la liste avant de poser une question :
http://wiki.debian.net/?DebianFrench

Pensez à rajouter le mot ``spam'' dans vos champs "From" et "Reply-To:"

To UNSUBSCRIBE, email to
with a subject of "unsubscribe". Trouble? Contact

Leopold BAILLY

14/05/2005 à 22:00

guillaume writes:

Bonjour.

J'ai récupéré sur trustonme.net un script basé sur ip-tables
(http://www.trustonme.net/didactels/downloads/firewall)
et j'aimerais le lancer au démarrage.
Mais, bien sûr, je ne sais pas comment faire :'(

Alors pourquoi ne pas faire confiance à ta distribution favorite ?

Tu trouveras dans Debian des paquets facilement configurables, qui font la même
chose et qui s'intègreront au mieux dans le reste du système.

Personnellement, j'utilise shorewall.

Léo.

Laurent Brayard

14/05/2005 à 22:50

guillaume a écrit:

Bonjour.

J'ai récupéré sur trustonme.net un script basé sur ip-tables
(http://www.trustonme.net/didactels/downloads/firewall)
et j'aimerais le lancer au démarrage.
Mais, bien sûr, je ne sais pas comment faire :'(

Qui pourrait-m'aider ?

Merci d'avance !

bonsoir,

Voilà ce que j'ai mis dans /etc/network/interfaces :

pre-up /etc/network/if-pre-up.d/rc.firewall.sh
post-down /etc/network/if-post-down.d/rc.firewall-stop.sh

--
Laurent

Pour me répondre enlever le .PASDEPUB

--
To UNSUBSCRIBE, email to
with a subject of "unsubscribe". Trouble? Contact

--
Pensez à lire la FAQ de la liste avant de poser une question :
http://wiki.debian.net/?DebianFrench

Pensez à rajouter le mot ``spam'' dans vos champs "From" et "Reply-To:"

To UNSUBSCRIBE, email to
with a subject of "unsubscribe". Trouble? Contact

Guillaume

15/05/2005 à 08:20

Leopold BAILLY a écrit :

Alors pourquoi ne pas faire confiance à ta distribution favorite ?

Bonjour et merci de la réponse !
En fait, je m'aperçoit que je suis un peu binaire : quand j'étais sous
Mdk, j'utilisais ce script :-)

Tu trouveras dans Debian des paquets facilement configurables, qui font la même
chose et qui s'intègreront au mieux dans le reste du système.

Je regarderai !

Guillaume

--
Pensez à lire la FAQ de la liste avant de poser une question :
http://wiki.debian.net/?DebianFrench

Pensez à rajouter le mot ``spam'' dans vos champs "From" et "Reply-To:"

To UNSUBSCRIBE, email to
with a subject of "unsubscribe". Trouble? Contact

Script firewall au démarrage

7 réponses

Veuillez sélectionner un problème