Bon, je suis en train d'essayer de rendre mes règles un peu plus stricte, mais je me retrouve face à un problème inattendu : comment m'y prendre.
Je travail essentiellement sur le Forward (ma passerelle ne fait que du filtrage, donc très simple).
Et jusqu'a present, j'avais quelque chose comme :
Code :
- $IPTABLES -A FORWARD -i $LAN_IFACE -j ACCEPT
- $IPTABLES -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
|
Qui a le mérite d'être très simple et relativement efficace. En cas de backdoor, je suis à poil...
Donc, pour l'éviter, je me suis lancé dans une restriction plus importante de ce qui rentre (donc sur la 2nde règle). Je me suis mit à préciser les ports qui étaient autorisés....
Soit :
Code :
- $IPTABLES -A FORWARD -i $LAN_IFACE -j ACCEPT
- $IPTABLES -A FORWARD -i $EXT_IFACE -p tcp --sport 80 \
- -m state --state ESTABLISHED,RELATED -j ACCEPT
- etc...
- etc...
|
Hormis que c'est une prise de tête pas possible, je ne suis toujours pas à l'abris des backdoor.
Donc, ma question : est-ce si choquant de vouloir controler tout ce qui sort, sans trop faire attention à ce qui rentre ??
Soit, quelque chose de la forme :
Code :
- $IPTABLES -A FORWARD -i $LAN_IFACE -p tcp --dport 80 -j ACCEPT
- etc...
- etc...
- $IPTABLES -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
|
Je pose la question, car je n'ai rien trouvé du style sur le Net, donc est-ce une énorme bourde ?? ou pas ?
Le passant.
Message édité par le passant le 30-12-2002 à 17:33:26