IPTables - Maîtriser le pare-feu Linux

Ce cours sur les iptables couvre les compétences fondamentales pour sécuriser un réseau informatique grâce au filtrage des paquets. Il aborde la mise en place des règles iptables, leur configuration et leur gestion pour protéger efficacement les systèmes contre les intrusions et les attaques. Le tutoriel PDF gratuit de 15 pages, rédigé par Patrick Cegielski, explique en détail les principes de base du filtrage, les différentes chaînes et tables, ainsi que les commandes essentielles pour personnaliser les règles selon les besoins. Vous y trouverez également des exemples pratiques pour bloquer ou autoriser du trafic, masquer des adresses IP et surveiller les connexions. Ce guide est conçu pour les administrateurs réseau débutants ou intermédiaires souhaitant maîtriser iptables et renforcer la sécurité de leur infrastructure. Il offre une approche claire et progressive, permettant de comprendre et d'appliquer rapidement les concepts abordés.

Contenus explorés en détail

Ce cours approfondit les iptables, l'outil standard de filtrage de paquets sous Linux. Vous apprendrez à configurer des règles pour sécuriser un réseau, gérer le trafic entrant/sortant et comprendre les chaînes (INPUT, OUTPUT, FORWARD). Les concepts clés incluent les tables (filter, nat, mangle), les cibles (ACCEPT, DROP, REJECT) et les mécanismes de journalisation (LOG).

• Maîtriser la syntaxe des règles iptables et leur priorité
• Implémenter des politiques de sécurité réseau adaptatives
• Diagnostiquer des problèmes de filtrage avec des outils comme tcpdump

Public concerné par ce PDF

Destiné aux administrateurs systèmes Linux, ingénieurs réseau et étudiants en cybersécurité. Prérequis : connaissances de base en ligne de commande et architecture TCP/IP. Les professionnels en transition vers DevOps y trouveront aussi des compétences clés pour sécuriser des conteneurs ou clouds.

Exemples pratiques et applications réelles

Un cas typique : bloquer les attaques DDoS en limitant les connexions SYN avec iptables -A INPUT -p tcp --syn -m connlimit --connlimit-above 30 -j DROP. Autre scénario : rediriger du trafic web vers un proxy transparent avec la table NAT. Les utilisateurs avancés créeront des règles dynamiques intégrées à des scripts bash pour réagir aux menaces en temps réel.

Secteurs d'application professionnelle

• Hébergement web : Isolation des clients sur un serveur mutualisé via des règles par utilisateur. Exemple : restreindre l'accès SSH à certaines IP.
• IoT industriel : Protection des équipements critiques en whitelistant uniquement les protocoles nécessaires (Modbus/TCP).
• Télécoms : Optimisation du trafic avec QoS via la table mangle pour prioriser la VoIP.

Nouveauté 2025 : L'intégration croissante d'iptables avec eBPF pour une inspection plus fine des paquets sans compromettre les performances.

Guide des termes importants

• Netfilter : Framework noyau Linux traitant les paquets, dont iptables est l'interface utilisateur.
• Chaîne : Point de décision pour les paquets (ex: INPUT pour le trafic destiné à la machine locale).
• SNAT/DNAT : Traduction d'adresses source/destination pour le routage ou le masquerading.
• Conntrack : Module de suivi des connexions permettant un filtrage stateful.
• User-defined Chain : Ensemble de règles personnalisables pour organiser des politiques complexes.

Réponses aux questions fréquentes

Comment sauvegarder/restaurer des règles iptables ?
Utilisez iptables-save > fichier.rules pour l'export et iptables-restore < fichier.rules pour la restauration. Persister les règles au reboot avec le paquet iptables-persistent (Debian) ou en intégrant la restauration dans /etc/rc.local.

Quelle différence entre DROP et REJECT ?
DROP supprime silencieusement le paquet tandis que REJECT envoie un message d'erreur (comme un ICMP port unreachable). REJECT est plus "gentil" pour les utilisateurs légitimes mais peut aider les attaquants à cartographier le réseau.

Comment bloquer un pays entier ?
Utilisez des ensembles IP comme ipset avec des plages d'IP par pays : iptables -A INPUT -m set --match-set pays_malveillant src -j DROP. Des listes géolocalisées sont disponibles via des outils comme ip2location.

iptables est-il obsolète avec nftables ?
Non, bien que nftables soit le successeur officiel, iptables reste largement utilisé. Une couche de compatibilité permet même de traduire les règles via iptables-nft.

Comment debugger une règle qui ne fonctionne pas ?
Ajoutez temporairement une règle LOG en haut de la chaîne : iptables -I INPUT 1 -j LOG --log-prefix "DEBUG INPUT" puis consultez /var/log/syslog. Vérifiez aussi l'ordre des règles avec iptables -L -v -n.

Exercices appliqués et études de cas

Projet 1 : Pare-feu pour serveur web
1. Bloquer tout le trafic entrant sauf HTTP/HTTPS/SSH
2. Limiter les connexions SSH à 3 tentatives/min
3. Autoriser le ping mais limiter les requêtes ICMP à 5/sec
4. Journaliser les tentatives d'accès aux ports non ouverts

Projet 2 : Routeur sécurisé pour petite entreprise
1. Configurer le NAT masquerading pour le partage de connexion
2. Isoler les services internes (comptabilité) du réseau guest
3. Prioriser le trafic Teams/Slack sur le WiFi
4. Mettre en place une honeypot sur un port inutilisé