<\/span><\/h3>\n\n\n\nExemple de script de configuration (\u00e0 am\u00e9liorer) :<\/p>\n\n\n\n
#!\/bin\/bash\n\n\necho \"--------------------------\"\necho \"-- Configuration IPSET ---\"\necho \"--------------------------\"\n\nwget -O \/home\/xavior\/scripts\/bl_all.txt https:\/\/lists.blocklist.de\/lists\/all.txt # t\u00e9l\u00e9chargement black list : derni\u00e8re attaque connue -24h tout port confondu\nipset -exist create blacklist hash:ip # cr\u00e9ation de la liste \"blacklist\"\nipset flush blacklist # vide la table\n\n# parcours fichier et int\u00e9gration dans ipset\nwhile read line \ndo \n \tipset add blacklist $line \ndone < \/home\/xavior\/scripts\/bl_all.txt\n\n\n\necho \"--------------------------\"\necho \"- Configuration parefeu --\"\necho \"--------------------------\"\n\nIPTABLES='\/usr\/sbin\/iptables'\t# Commande par defaut\n\n# argument ?\nif [ -n \"$1\" ]; then\t# Teste si arg1 contient une string\n\tIPTABLES=$1\nfi \necho \"Utilisation de la commande : $IPTABLES\"\n\n# R\u00e9initialisation des chaines\n$IPTABLES -F\n$IPTABLES -X\n$IPTABLES -t nat -F\n$IPTABLES -t nat -X\n$IPTABLES -t mangle -F\n$IPTABLES -t mangle -X\n\n# Politique par d\u00e9faut des chaines\n$IPTABLES -P INPUT DROP\n$IPTABLES -P FORWARD ACCEPT\n$IPTABLES -P OUTPUT ACCEPT\n\n\n$IPTABLES -A INPUT -m conntrack --ctstate ESTABLISHED -j ACCEPT # Autoriser les connexions d\u00e9j\u00e0 \u00e9tablies\n\n\n#######################\n# Chaine OUPUT \/ INPUT\n\n$IPTABLES -A INPUT -i lo -j ACCEPT # Boucle locale\n$IPTABLES -A OUTPUT -o lo -j ACCEPT # Boucle locale\n\n# IPSET\n\n$IPTABLES -A INPUT -m set --match-set blacklist src -j LOG --log-prefix 'IPTABLES_DROP_IN_BL '\n$IPTABLES -A INPUT -m set --match-set blacklist src -j DROP\n\n$IPTABLES -A OUTPUT -m set --match-set blacklist dst -j LOG --log-prefix 'IPTABLES_DROP_OUT_BL '\n$IPTABLES -A OUTPUT -m set --match-set blacklist dst -j DROP\n\n\n\n# PING\n$IPTABLES -A INPUT -i wlp2s0 -p icmp -j ACCEPT \t# On autorise les pings sur carte WIFI\n$IPTABLES -A INPUT -i eno1 -p icmp -j ACCEPT \t# On autorise les pings sur carte LAN\n#$IPTABLES -A OUTPUT -p icmp -j ACCEPT \t# Autorise sortie PING\n\n\n###############################\n# Services SERVEUR sur PC\n\n# Port web \n$IPTABLES -A INPUT -p tcp --dport 80 -j LOG --log-prefix 'IPTABLES_IN_80 '\n$IPTABLES -A INPUT -p tcp --dport 80 -j ACCEPT\n\n$IPTABLES -A INPUT -p tcp --dport 443 -j LOG --log-prefix 'IPTABLES_IN_443 '\n$IPTABLES -A INPUT -p tcp --dport 443 -j ACCEPT\n\n\n\n$IPTABLES -A INPUT -p tcp --dport 22 -j ACCEPT \t# Serveur SSH\n$IPTABLES -A INPUT -p tcp --dport 4049 -j ACCEPT \t# Munin-node\n\n\n# regle pour que ces protocoles \/ port n'apparaissent pas dans les log\n$IPTABLES -A INPUT -p udp --dport 5353 -j DROP # Multicast DNS\n$IPTABLES -A INPUT -p udp --dport 7437 -j DROP # Multicast du routeur maison (? service)\n$IPTABLES -A INPUT -p udp --dport 135 -j DROP # EPMAP (RPC)\n$IPTABLES -A INPUT -p udp --dport 137 -j DROP # NetBios Name Service\n$IPTABLES -A INPUT -p udp --dport 138 -j DROP # Netbios Datagram Service\n$IPTABLES -A INPUT -p udp --dport 139 -j DROP # Netbios Session Service\n$IPTABLES -A INPUT -p tcp --dport 135 -j DROP # EPMAP RPC\n$IPTABLES -A INPUT -p tcp --dport 137 -j DROP # NetBios \/ SMB\n$IPTABLES -A INPUT -p tcp --dport 138 -j DROP # NetBios \/ SMB\n$IPTABLES -A INPUT -p tcp --dport 139 -j DROP # NetBios \/ SMB\n$IPTABLES -A INPUT -p udp --dport 67 -j DROP # Bootp du routeur local\n$IPTABLES -A INPUT -p udp --dport 68 -j DROP # Bootp du routeur local\n\n$IPTABLES -A INPUT -p udp --dport 20002 -j DROP # Multicast routeur maison\n$IPTABLES -A INPUT -p igmp -d 224.0.0.1\/24 -j DROP #IGMP Multicast routeur maison\n\n# LOG du reste ...\n$IPTABLES -A INPUT -j LOG --log-prefix 'IPTABLES_IN_DROP ' # on loggue les DROP ...\n$IPTABLES -A OUTPUT -j LOG --log-prefix 'IPTABLES_OUT ' # on loggue la sortie ...\n\n# Affichage global\n\necho \"IPATBLES : \"\n$IPTABLES -L -v # Affichage des r\u00e8gles\necho \"IPSET : \"\nipset list -t\n\n<\/code><\/pre>\n\n\n\n