Installation du paquet qui ajoute un script de démarrage/flush iptables et qui génère un fichier de config par défaut à la base de ce qui est en place au moment de l'installation.
apt install netfilter-persistent ulogd2
Créer ensuite le fichier /etc/iptables/rules.v4 avec la syntaxe de la commande iptables-save.
Créer ses propres règles en commande et ensuite enregistrer la configuration.
iptables-save > /etc/iptables/rules.v4 ip6tables-save > /etc/iptables/rules.v6
systemctl status netfilter-persistent systemctl status ulogd systemctl start netfilter-persistent systemctl enable netfilter-persistent systemctl enable ulogd
Pour voir la liste des extensions utilisables avec l'option -j.
man iptables-extensions
Avec ulogd2, il faut utiliser la chaine -j NFLOG –nflog-prefix.
Le log spécifique pour observer les drop des règles de filtrage est par défaut ici :
/var/log/ulog/syslogemu.log
Pour flusher la configuration au stop, il faut lui indiquer sinon par défaut, les règles persistent à l'arrêt du service. vi /etc/default/netfilter-persistent
FLUSH_ON_STOP=1
Redémarrer le service pour prendre en compte le fichier et ensuite on peut restoper.
Création d'un script de démarrage sysV qui appel un script pour positionner les règles lors du start et un autre pour les effacer lors du stop.
Création/récupération des trois fichiers suivants.
/etc/init.d/iptables /etc/security/iptables.sh /etc/security/flush_iptables.sh
Position des permissions.
chmod 700 /etc/security/iptables.sh chmod 700 /etc/security/flush_iptables.sh chmod 700 /etc/init.d/iptables
Positionner le service iptables au lancement de la machine.
insserv -n iptables (-n = dry run) insserv iptables ll /etc/rc2.d
Accès FTP
Sauvegarder les fichiers Netfilter par défaut.
cd /etc/sysconfig cp -p iptables iptables.orig cp -p iptables-config iptables-config.orig
Charger le module ip_conntrack_ftp pour activer le suivi de connexion et rendre la configuration Netfilter statefull.
vi /etc/sysconfig/iptables-config IPTABLES_MODULES="ip_conntrack_ftp"
Ajouter une ligne supplémentaire pour autoriser les accès FTP.
vi /etc/sysconfig/iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 21 -j ACCEPT
Relancer iptables.
/etc/init.d/iptables restart