Les composants netfilter et iptables sont chargés de filtrer et de manipuler les paquets réseau, ainsi que de traduire les adresses réseau (NAT, Network Address Translation). Les critères de filtrage ainsi que toute action leur étant associée sont enregistrés dans des chaînes qui doivent être vérifiées l'une après l'autre par tout paquet réseau entrant. Les chaînes de règles sont enregistrées dans des tables. La commande iptables a permet de modifier ces tables et ces ensembles de règles.

Linux dispose de trois tables pour les différentes fonctions d'un filtre de paquets :

Figure 34.1. iptables : chemins pouvant être suivis par un paquet

Dans les tables citées, il y a plusieurs chaînes prédéfinies par lesquelles les paquets doivent passer :

Figure 34.1, « iptables : chemins pouvant être suivis par un paquet » illustre le cheminement possible d'un paquet réseau à travers le système. Pour la clarté de l'exposé, les tables sont groupées par chaînes, bien que dans la réalité les chaînes se trouvent à l'intérieur des tables.

Dans le cas le plus simple, un paquet qui est destiné au système lui-même arrive sur l'interface eth0 du système. Ce paquet est d'abord dirigé dans la chaîne PREROUTING de la table mangle, puis dans la chaîne PREROUTING de la table nat. L'étape de routage suivante permet d'établir que le paquet est destiné à un processus dans le système lui-même. Après être passé par la chaîne INPUT dans les deux tables mangle et filter, le paquet arrive à son lieu de destination, en supposant que les règles de filtrage dans la table ne l'en empêchent pas.

Le masquage est le cas particulier sous Linux de NAT (Network Address Translation), la traduction des adresses réseau. Il est mis en œuvre quand un petit réseau local ayant ses adresses IP du domaine privé (voir section Section 22.1.2, « Masques réseau et routage ») est connecté à l'Internet avec ses adresses IP officielles. Pour que les ordinateurs du réseau local puissent établir des connexions à l'Internet, une correspondance entre les adresses privées et les adresses officielles s'impose. Ce processus a lieu sur le routeur, qui sert de passerelle entre le réseau local et l'Internet. Le principe sous-jacent est simple : le routeur possède plusieurs interfaces réseau, généralement une carte réseau et une interface séparée d'accès à l'Internet. Celle-ci raccorde le routeur à l'extérieur, tandis qu'une ou plusieurs autres le raccordent aux ordinateurs du réseau local. Les ordinateurs du réseau local étant connectés à la carte réseau du routeur (par exemple eth0), ils peuvent envoyer à leur passerelle par défaut ou au routeur tous les paquets non destinés au réseau local.

	Utiliser le bon masque réseau
Lorsque vous configurez votre réseau, veillez toujours à la concordance entre les adresses de diffusion et les masques réseau. Autrement, votre réseau ne fonctionnera pas correctement, puisque les paquets réseau ne pourront pas être routés.

Comme expliqué plus haut, si un des ordinateurs de votre réseau envoie un paquet destiné à l'Internet, ce paquet arrive sur le routeur par défaut. Toutefois, celui-ci doit préalablement être configuré de manière à transmettre aussi ce type de paquets. Pour des raisons de sécurité, SUSE LINUX ne permet pas, par défaut, un tel fonctionnement. Pour activer cette fonctionnalité, modifiez la variable IP_FORWARD dans le fichier /etc/sysconfig/sysctl pour lui attribuer la valeur IP_FORWARD=yes.

L'ordinateur cible de la connexion ne connaît que votre routeur, et non l'ordinateur expéditeur de votre réseau interne proprement dit. Celui-ci se cache derrière votre routeur. C'est de là que vient le terme de masquage. Du fait de la traduction d'adresses, l'adresse cible pour les paquets reçus est à nouveau notre routeur. Ce dernier doit reconnaître les paquets et réécrire l'adresse cible de manière à ce qu'ils arrivent sur l'ordinateur qui convient dans le réseau local.

Comme le chemin parcouru par les paquets de l'extérieur vers l'intérieur dépend du tableau de masquage, il n'est pas possible d'ouvrir une connexion de l'extérieur vers l'intérieur. Il n'y aurait pour cette connexion aucun élément dans le tableau. Une connexion établie possède ainsi un état particulier dans ce tableau, de manière à ce que cet élément de tableau ne puisse être utilisé par une deuxième connexion.

En conséquence, on rencontre à présent des problèmes avec certaines applications, ICQ, CU-SeeMe, IRC (DCC, CTCP) et FTP (en mode PORT). Netscape, le programme FTP standard et beaucoup d'autres applications utilisent le mode PASV qui, en ce qui concerne le filtrage des paquets et le masquage, rencontre beaucoup moins de problèmes.

Le terme pare-feu est probablement le terme le plus utilisé pour décrire un mécanisme qui fournit et gère une connexion entre deux réseaux mais en contrôlant le trafic autant que possible. Au sens strict du terme, le mécanisme décrit dans cette section serait plus correctement désigné par l'expression filtre de paquets. Un filtre de paquets régule le passage des données au moyen de critères tels que le protocole, le port et l'adresse IP. De cette manière, vous pouvez bloquer des paquets qui, en raison de leur adressage, ne devraient pas s'infiltrer dans votre réseau. Si, par exemple, vous souhaitez autoriser les accès à votre serveur web, vous devez explicitement ouvrir le port correspondant. Toutefois, un filtre de paquets ne contrôle pas le contenu de paquets adressés correctement, comme ceux ayant votre serveur web pour cible. Ainsi, si un paquet est envoyé dans le but d'attaquer l'un des programmes CGI de votre serveur web, votre filtre de paquets le laissera passer.

Une structure plus efficace—mais aussi plus complexe—consiste à combiner plusieurs types de systèmes, par exemple, un filtre de paquets interagissant avec des passerelles applicatives ou des serveurs mandataires supplémentaires. Dans ce cas, le filtre de paquets rejette tous les paquets destinés à des ports non ouverts. Seuls les paquets destinés à une passerelle applicative doivent pouvoir être autorisés à passer. Ce serveur mandataire fonctionne alors comme s'il s'agissait du véritable interlocuteur du serveur qui établit une connexion avec nous. En ce sens, un tel serveur mandataire peut être considéré comme une machine de masquage au niveau du protocole de chaque application. Un exemple de ce type de serveur mandataire est Squid, un serveur mandataire HTTP. Pour utiliser Squid, vous devez configurer votre navigateur de manière à communiquer à travers le proxy. La mémoire cache du serveur mandataire répond à toute demande de page HTML, et si une page n'y est pas enregistrée, c'est le serveur mandataire qui récupère la page depuis l'Internet. Un autre exemple serait SuSE proxy-suite (paquetage proxy-suite) qui propose un serveur mandataire pour le protocole FTP.

Nous souhaitons à présent nous concentrer sur le paquetage « filtre de paquets » de SUSE LINUX. Pour obtenir plus d'informations ainsi que d'autres liens à propos des pare-feu, consultez le document Firewall-HOWTO (en anglais) contenu dans le paquetage howto. Pour le lire, utilisez la commande less /usr/share/doc/howto/en/txt/Firewall-HOWTO.gz si ce paquetage est installé.

SuSEfirewall2 est un script qui convertit les variables configurées dans /etc/sysconfig/SuSEfirewall2 en un ensemble de règles iptables. SuSEfirewall2 définit trois zones de sécurité  cependant, dans l'exemple de configuration suivant, on ne prendra en considération que les deux premières zone :

Tout trafic réseau qui n'a pas fait l'objet d'une autorisation explicite dans le jeu de règles de filtrage est interrompu par iptables. Par conséquent, chaque interface ayant un trafic entrant doit être affectée à une des trois zones. Pour chacune de ces zones, il faut définir les services ou protocoles autorisés. L'ensemble de règles ne contrôle toutefois que les paquets provenant d'hôtes distants. Les paquets générés localement ne sont pas filtrés par le pare-feu.

La configuration se fait soit avec YaST (voir section Section 34.1.4.1, « Configuration avec YaST »), soit manuellement dans le fichier /etc/sysconfig/SuSEfirewall2 qui contient des commentaires détaillés en anglais. Vous trouverez de plus quelques exemples de scénarios dans /usr/share/doc/packages/SuSEfirewall2/EXAMPLES.

34.1.4.1. Configuration avec YaST

Configuration automatique du pare-feu

Après l'installation, YaST démarre automatiquement un pare-feu sur toutes vos interfaces configurées. Si un serveur est configuré et activé sur votre système, YaST modifie la configuration du pare-feu générée automatiquement au travers des options ‘Ouvrir le pare-feu sur les ports sélectionnés’ ou ‘Ouvrir port sur pare-feu’ du module de configuration du serveur. Certaines boites de dialogue de module serveur proposent un bouton ‘Détails du pare-feu’ permettant d'activer d'autres services ou ports. Le module de YaST pour la configuration du pare-feu sert à activer ou désactiver le pare-feu ou à le reconfigurer indépendamment.

Utilisez le centre de contrôle de YaST pour accéder à la configuration en mode graphique. Choisissez dans la catégorie ‘Sécurité et utilisateurs’ l'option ‘Pare-feu’. La configuration se divise en sept sous-sections auxquelles on peut accéder directement dans la partie gauche de l'arborescence à l'écran.

Démarrage

Définissez le comportement au démarrage dans ce dialogue. Dans l'installation par défaut, SuSEfirewall2 fonctionne déjà sur un système nouvellement installé. Vous pouvez également démarrer et arrêter le pare-feu ici. Si vous souhaitez tester les paramètres actuels de votre pare-feu, utilisez le bouton ‘Enregistrer les paramètres et redémarrer le pare-feu maintenant’.

Figure 34.2. La configuraton YaST du pare-feu

Interfaces

Toutes les interfaces réseau connues sont répertoriées ici. Pour supprimer une interface d'une zone, sélectionnez l'interface, cliquez sur ‘Changer’ et choisissez ‘____pas_de_zone____’. Pour ajouter une interface dans une zone, sélectionnez l'interface, cliquez sur ‘Changer’ et choisissez une des zones disponibles. Vous pouvez également créer une interface spéciale avec vos propres paramètres en utilisant ‘Personnalisé’.

Services autorisés

Vous nécessitez cette option pour offrir des services de votre système à une zone protégée. Par défaut, seule la zone externe est protégée. Dans ce cas, vous devez autoriser explicitement les services qui doivent être vus par des hôtes externes. Après avoit sélectionné la zone concernée, activez le service correspondant dans ‘Services autorisés pour la zone sélectionnée’.

Masquage

Le masquage vous permet de cacher votre réseau interne des réseaux externes comme Internet. Il permet aussi au réseau interne d'accéder au réseau externe de façon transparente. Les requêtes du réseau externe vers le réseau interne sont bloquées alors que les requêtes du réseau interne vers le réseau externe semblent être faites par le serveur de masquage lorsqu'elles sont vues à l'extérieur.

Si des services spéciaux d'une machine interne doivent être disponibles pour le réseau externe, vous pouvez ajouter des règles spéciales de redirection pour les services correspondants.

Diffusion générale

Dans ce dialogue, les ports UDP qui permettent les diffusions générales sont configurés. Les numéros ou services de port nécessaires doivent être ajoutés à la zone correspondante en les séparant par un espace. Voyez également le fichier /etc/services.

La journalisation des diffusions générales non autorisées peut être activée ici. Cela peut être problématique car les hôtes Windows utilisent les diffusions générales pour se connaître les uns les autres et génèrent donc de nombreux paquets non autorisés.

Support IPsec

Dans ce dialogue, vous pouvez définir si le service IPsec sera autorisée depuis le réseau externe. La configuration des paquets qui sont de confiance doit être faite sous ‘Détails’.

Niveau de journalisation

Il existe deux règles de journalisation  paquets autorisés ou non autorisés. Les paquets autorisés sont ACCEPTÉS, les paquets non autorisés sont ABANDONNÉS ou REJETÉS. Pour ces deux règles, vous pouvez sélectionner parmi ‘Tout journaliser’, ‘Journaliser ce qui est critique’ ou ‘Ne rien journaliser’.

Lorsque vous avez terminé la configuration du pare-feu, quittez ce formulaire en cliquant sur ‘Suivant’. Vous obtenez alors un résumé par zone de la configuration du pare-feu où vous pouvez encore vérifier tous les paramètres. Tous les services ports et protocoles qui ont été autorisés sont répertoriés dans le résumé. Si vous voulez retourner en arrière dans la configuration, utilisez ‘Retour’, sinon cliquez sur ‘Accepter’ afin d'enregistrer votre configuration.

Mar 15 13:21:38 linux kernel: SFW2-INext-DROP-DEFLT IN=eth0 OUT=
MAC=00:80:c8:94:c3:e7:00:a0:c9:4d:27:56:08:00 SRC=192.168.10.0
DST=192.168.10.1 LEN=60 TOS=0x10 PREC=0x00 TTL=64 ID=15330 DF
PROTO=TCP SPT=48091 DPT=23 WINDOW=5840 RES=0x00 SYN URGP=0 OPT
(020405B40402080A061AFEBC0000000001030300)

Vous trouverez les informations les plus récentes et de la documentation sur le paquetage SuSEfirewall2 dans /usr/share/doc/packages/SuSEfirewall2. http://www.netfilter.org est la page d'accueil des projets netfilter/iptables. Vous y trouverez de la documentation en abondance en différentes langues.