Installation d'un firewall/passerelle sous Mandrake 10
en construction
Introduction
Cette procédure va vous permettre d'installer une passerelle sécurisée.
Installation
Rien de bien compliqué :
$ rpm -ivh shorewall-2.0.1-3.1.100mdk
$ rpm -ivh shorewall-doc-2.0.1-3.1.100mdk
Configuration
nota : dans cette procedure le périphérique connecté à internet est
mentioné eth1 au lieu de ppp0.
/etc/shorewall/interfaces
lan eth0 detect
net eth1 detect
/etc/shorewall/masq
eth1 eth0
/etc/shorewall/policy
$FW all ACCEPT -
lan all ACCEPT -
net all DROP info
all all REJECT info
/etc/shorewall/routestopped
eth0 192.168.0.2
/etc/shorewall/rules
ACCEPT net $FW tcp 80 -
ACCEPT net $FW tcp 22 -
ACCEPT net $FW tcp 25 -
ACCEPT net $FW tcp 110 -
/etc/shorewall/zones
net Net Internet zone
lan LAN Local Area Network
/etc/shorewall/shorewall.conf
LOGFILE=/var/log/messages
LOGFORMAT="Shorewall:%s:%s:"
LOGRATE=
LOGBURST=
BLACKLIST_LOGLEVEL=
LOGNEWNOTSYN=info
MACLIST_LOG_LEVEL=info
TCP_FLAGS_LOG_LEVEL=info
RFC1918_LOG_LEVEL=info
SMURF_LOG_LEVEL=info
BOGON_LOG_LEVEL=info
PATH=/sbin:/bin:/usr/sbin:/usr/bin:/usr/local/bin:/usr/local/sbin
SHOREWALL_SHELL=/bin/sh
SUBSYSLOCK=/var/lock/subsys/shorewall
STATEDIR=/var/lib/shorewall
MODULESDIR=
FW=fw
IP_FORWARDING=On
ADD_IP_ALIASES=Yes
ADD_SNAT_ALIASES=No
TC_ENABLED=No
CLEAR_TC=Yes
MARK_IN_FORWARD_CHAIN=No
CLAMPMSS=No
ROUTE_FILTER=No
DETECT_DNAT_IPADDRS=No
MUTEX_TIMEOUT=60
NEWNOTSYN=Yes
ADMINISABSENTMINDED=Yes
BLACKLISTNEWONLY=Yes
MODULE_SUFFIX=
BRIDGING=No
BLACKLIST_DISPOSITION=DROP
MACLIST_DISPOSITION=REJECT
TCP_FLAGS_DISPOSITION=DROP
Préparation du système et partage de connexion internet
Par défaut Shorewall démarre automatiquement en troisième posisition dans le runlevel utilisé, nous allons supprimer cette apel pour le lancer depuis le /etc/rc.local :
$ rm /etc/rc5.d/S03shorewall
Ajoutons ces quelques lignes dans le fichier /etc/rc.local :
#Demarrage du firewall (Shorewall)
/sbin/shorewall start
#Définition des règles de partage internet
echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -F FORWARD
iptables -A FORWARD -j ACCEPT
iptables -A POSTROUTING -t nat -o eth1 -j MASQUERADE
#Empecher de faire un ping
iptables -A INPUT -p icmp -m state --state RELATED -j ACCEPT
|
