Complement: Si tu veux utiliser le Freeplayer pour la Freebox ajoutes parmis les regels ACCEPT aussi:

iptables -A INPUT -p tcp -s 212.27.38.253  --dport 8080 -j ACCEPT

Salutatousse,
Après la bonne analyse de kmf, je passe ajouter un quelque chose :

# on autorise tout sur le réseau local

iptables -A INPUT -s 192.168.0.0/24 -j ACCEPT
iptables -A OUTPUT -d 192.168.0.0/24 -j ACCEPT 

Bon merci beaucoup pour votre aide
j'ai donc fait deux trois modifs
1- j'ai mis le chemin complet pour iptables ...
2- j'ai viré la ligne qui interdit l'icmp entrant
de toute façon je drop tout ce qui rentre ? ça faisait doublon non ?
3- j'ai remonté les lignes concernant le réseau local

petite question : si je remplace 192.168.0.0/24 par eth0 ça ne risque pas de poser problème ? ma freebox elle aussi arrive sur eth0 ! à moins d'avoir deux cartes


#!/bin/sh
#script de configuration /sbin/iptables
#SERGIO 04-10-2005

#Remise à zero

/sbin/iptables -F
/sbin/iptables -t nat -F
/sbin/iptables -X
/sbin/iptables -t nat -X


#Regles par fedaut

/sbin/iptables -P INPUT DROP
/sbin/iptables -P FORWARD DROP
/sbin/iptables -P OUTPUT ACCEPT


# Interface locale

/sbin/iptables -A INPUT -i lo -j ACCEPT
/sbin/iptables -A OUTPUT -o lo -j ACCEPT


# on autorise tout sur le réseau local

/sbin/iptables -A INPUT -s 192.168.0.0/24 -j ACCEPT
/sbin/iptables -A OUTPUT -d 192.168.0.0/24 -j ACCEPT


# on accepte les packets entrants relatifs à des connexions déjà établies

/sbin/iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

# on accepte webmin sur le port 10000

/sbin/iptables -A INPUT -m state --state NEW -p tcp --dport 10000 -j ACCEPT

# on autorise les connexions FTP

/sbin/iptables -A INPUT -m state --state NEW -p tcp --dport 20:21 -j ACCEPT

# on autorise les connexions en SSH

/sbin/iptables -A INPUT -m state --state NEW -p tcp --dport 22 -j ACCEPT


#fin du fichier

2- j'ai viré la ligne qui interdit l'icmp entrant
de toute façon je drop tout ce qui rentre ? ça faisait doublon non ?

Oui, ca fait doublon avec la regle "RELATED, ...".

petite question : si je remplace 192.168.0.0/24 par eth0 ça ne risque pas de poser problème ? ma freebox elle aussi arrive sur eth0 ! à moins d'avoir deux cartes

En efft, il y a deux cas de figures:

1) Ton pc fait lui meme routeur NAT, donc avec deux cartes reseau:

eth0 => reseau local
et:
eth1 => internet
(ou a l'inverse), dans ce cas tu peux en effet remplacer le reseau local par le machin avec eth0, mais le mieux c'est garder le 192.168.0.0/24 et simplement ajouter la condition pour eth0.

2) Tu as un autre routeur comme la Freebox et ici tout sort par un device, par exemple eth0. Dans ce cas tu as raison que ca pose de problemes.

Je crois Xenor a pense a la situation 1 qui ne s'applique pas a toi.

De facon generale et independant de ca, je crois c'est une bonne idee de preciser en plus des autres conditions (numeros IP et/ou ports tcp/udp) aussi le device mais bien sur en gardant les autres conditions.
Par exemple, au lieu de:

/sbin/iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

de mettre:

/sbin/iptables -A INPUT -i eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT

Donc de specifier les devices eth0, eth1, ppp0 etc. parrait plus propre. Cependant, il y a aussi un (tout petit) inconvenient de ca: Supposons tu utilises de temps en temps une connexion 56 K (par exemple la connexion de secour chez Free). Dans ce cas le device eth0 sera remplace par ppp0 et le pare feu peut bloquer ca si tu as mis partout eth0. En fait sans specifier le device, comme tu le fais maintenant, ca va bien marcher. Si on specifie le device on a interet de faire un deuxieme script pour ppp0 ou d'ajouter de regles specifiques pour ppp0. Par exemple la regle RELATED, ... devrait aussi y etre pour ppp0 (c.-a-d. => deuxieme regle comme ca avec ppp0) par contre pour les autres regles reseau local et meme l'ouverture des ports 20, 21, 22, ... je ne mettrais que l'eth0 et pas ppp0. En ppp0 avec 56 K le reseau local ne fait pas de sens et probablement tu ne souhaites pas accepter de connexions ftp, ssh sur ton pc avec une bande passante tellement faible.

Par rapport a tes dernieres modifs: tu peux quand-meme garder une regle qui fait un DROP ou REJECT general a la fin, meme si ca fait un doublon avec la politique de defaut (le machin avec "-P").

Pour le reseau local une variante interessante serait aussi de mettre le numero MAC d'une carte reseau des autres PCs, par exemple tu mettrais plutot:

NUMMAC=00:0E:12:34:56:CD
/sbin/iptables -A INPUT -i eth0 -m mac --mac-source $NUMMAC -s 192.168.0.0/24 -j ACCEPT 

Je test ça ce soir et je vous dis ce qu'il en est !

merci

Bon, après des soucis avec mon serveur X ... je me suis enfin occupé du FW

ça marche impécable
petite précision : j'ai mis deux cartes réseau
1 pour pour communiquer avec le net et une autre pour le cas ou je voudrais rajouter une machine sur mon reseau (pour le moment la machine est seule)
du coup j'ai put affiner mes règles

j'ai du aussi comme dit plus haut charger le module ip_conntrack_ftp

j'ai fait testé par un pote qui me dis qu'en se connectant sur mon ftp (proftpd) il voyait mon IP privée 192.168.0.x c'est normal ?

Sergio

Bon non il s'est connecté de chez lui ... !!!

J'ai rajouté un message de bienvenue à la connexion avec l'option AccessGrantMsg dans proftpd.conf
du coup on ne vois plus mon IP privée ...

voila

Lio
ce script est bien finis
# on autorise les connexions en SSH

/sbin/iptables -A INPUT -m state --state NEW -p tcp --dport 22 -j ACCEPT

je serais plus selectif en ajoutant

/sbin/iptables -t filter -A INPUT -p tcp --dport 22 -d 192.168.1.100 -j ACCEPT

#ICI 192.168.1.100 EST LE PC AVEC LEQUEL TU TE CONNECTES PAR SSH=LIMITATION D'UN PC AUTORISER À SE CONNECTER VIA SSH

Bonjour jai slackware 10.2 comme firewall et jaimerai le configurer qq peut maider? une fois qu'on a taper les regles dans le fichier /etc/rc.d/rc.local
on fait quoi pour executer ces regles?? jai pas le fichier rc.firewall est ce que je dois le creer ou pas? svp aidez moi c tres important
merci d'avance.