Shorewall - Historique des versions

Frank le 6 novembre 2013 à 13:50

2013-11-06T13:50:16Z

Frank le 10 octobre 2013 à 13:55

2013-10-10T13:55:57Z

Frank : /* rules */

2013-07-31T22:19:23Z

‎rules

Frank : /* tcclasses */

2013-07-30T21:51:40Z

‎tcclasses

Frank : /* Optionnel : Traffic Shaping */

2013-07-30T16:12:40Z

‎Optionnel : Traffic Shaping

Frank : /* Optionnel : Traffic Shaping */

2013-07-30T15:51:10Z

‎Optionnel : Traffic Shaping

Frank : /* Optionnel : Traffic Shaping */

2013-07-30T15:50:10Z

‎Optionnel : Traffic Shaping

Frank : /* FORWARD:REJECT */

2013-07-30T15:48:42Z

‎FORWARD:REJECT

Frank : /* tcclasses */

2013-07-30T15:47:58Z

‎tcclasses

Frank le 30 juillet 2013 à 15:46

2013-07-30T15:46:47Z

@@ Ligne 23 : / Ligne 23 : @@
   update-rc.d shorewall remove
   update-rc.d shorewall defaults
 = Configuration =

@@ Ligne 3 : / Ligne 3 : @@
 = Installation sur Debian =
   apt-get install shorewall
 = Configuration =

@@ Ligne 36 : / Ligne 36 : @@
   ACCEPT     net           fw        tcp        22       -         -         1/min:3
   ACCEPT     net           fw        tcp        80,443
-  ACCEPT     net           fw        udp        53
+  ACCEPT     net           fw        udp        53       -         -         100/min:300
   Ping/ACCEPT net          fw
   #Ping/ACCEPT fw           net
-La première règle limite à une connexion ssh par minute (avec un burst de 3/minute) venant de la même IP (évite les attaques SSH). L'avant-dernière utilise une macro ("Ping") pour éviter d'avoir à gérer les types de paquets de protocoles (icmp 8, 13, etc...). La dernière ligne n'est pas nécessaire puisqu'on a une politique "ACCEPT" du firewall vers l'extérieur.
+La première règle limite à une connexion ssh par minute (avec un burst de 3/minute) venant de la même IP (évite les attaques SSH, idem pour DNS). L'avant-dernière utilise une macro ("Ping") pour éviter d'avoir à gérer les types de paquets de protocoles (icmp 8, 13, etc...). La dernière ligne n'est pas nécessaire puisqu'on a une politique "ACCEPT" du firewall vers l'extérieur.
 Eventuellement, rules peut servir pour blacklister des adresses IP

@@ Ligne 52 : / Ligne 52 : @@
   eth1            1mbit           5mbit
 === tcclasses ===
-  #INTERFACE      MARK    RATE            CEIL      PRIORITY   OPTIONS
+  #INTERFACE      MARK    RATE            CEIL       PRIORITY   OPTIONS
   #  mark/prio 1 for interactive (only remote administration, very little),
   #  mark/prio 2 for DNS (normally much much less, this is a worst case ceiling,
@@ Ligne 65 : / Ligne 65 : @@
   #  depends on "surplus" bandwidth cascading down unused from higher
   #  priorities, and as a result is too bursty for interactive use
-  eth1            1       full*2/100      full      1
+  eth1            1       full*2/100      full       1
-  eth1            2       full*20/100     full      2          tcp-ack
+  eth1            2       full*20/100     full*5/10  2          tcp-ack
-  eth1            3       full*10/100     full      3
+  eth1            3       full*10/100     full       3
-  eth1            4       full*64/100     full      4
+  eth1            4       full*64/100     full       4
-  eth1            5       full*4/100      full*8/10 5          default
+  eth1            5       full*4/100      full*8/10  5          default
   #                       Note sum of RATEs is exactly 100%.

@@ Ligne 45 : / Ligne 45 : @@
 == Optionnel : Traffic Shaping ==
-Manuel : http://www.shorewall.net/traffic_shaping.htm#tcclasses
+Manuel : http://www.shorewall.net/traffic_shaping.htm
 Exemple : http://www.ckollars.org/shaping.html

@@ Ligne 106 : / Ligne 106 : @@
 apparaissent, c'est qu'on essaie de faire discuter une zone avec elle-même (typiquement : shorewall installé sur un host KVM, les paquets arrivent sur son interface bridge vmbr0 à destination d'un machine virtuelle, via cette même interface vmbr0).
-Dans ce cas, dans le fixhier interfaces remplacer '''routefilter''' par
+Dans ce cas, dans le fichier interfaces remplacer '''routefilter''' par
 loc        vmbr0          detect       '''routeback'''
 = NOTES =
 * Les scripts sont interprétés, on peut donc y insérer du code. Par exemple dans rules :

@@ Ligne 52 : / Ligne 52 : @@
   #  mark/prio 1 for interactive (only remote administration, very little),
   #  mark/prio 2 for DNS (normally much much less, this is a worst case ceiling,
-  #   the high priority is to minimize hangs as much as possible)
+  #   the high priority is to minimize hangs as much as possible), and tcp-ack
   #  mark/prio 3 for email in (usually uses above allocations too, runs quickly
   #   when needed, but just passes allocation down most of the time),

@@ Ligne 6 : / Ligne 6 : @@
 = Configuration =
 Dans /etc/shorewall créer les fichiers :
-* zones
+== zones ==
   #ZONE   TYPE    OPTIONS                 IN                      OUT
   #                                       OPTIONS                 OPTIONS
@@ Ligne 15 : / Ligne 15 : @@
   #dmz     ipv4
 "fw" désigne la machine elle-même. Relier ces zones à des cartes réseau :
-* interfaces
+== interfaces ==
   #ZONE      INTERFACE     BROADCAST     OPTIONS
   net        eth1           detect       routefilter
@@ Ligne 22 : / Ligne 22 : @@
   #dmz        eth2          detect
 Ici la carte eth3 est reliée en direct à un autre serveur pour un cluster DRBD. Il n'y a pas de zone DMZ. Indiquer ensuite la politique par défaut de chaque zone :
-* policy
+== policy ==
   #SOURCE    DEST        POLICY      LOG LEVEL    LIMIT:BURST
   loc        net         ACCEPT
@@ Ligne 31 : / Ligne 31 : @@
   all        all         REJECT      info
 Il faut se souvenir que les paquets en sortie (de "fw" vers internet ou le réseau local) sont aussi bloqués par défaut. Soit on déclare une politique "ACCEPT" du serveur vers l'extérieur, soit il faudra penser à créer des règles dans les 2 sens si nécessaire.
-* rules
+== rules ==
   #ACTION    SOURCE        DEST      PROTO      DEST     SOURCE    ORIGINAL  RATE
   #                                             PORT(S)  PORTS(S)  DEST      LIMIT
@@ Ligne 41 : / Ligne 41 : @@
 La première règle limite à une connexion ssh par minute (avec un burst de 3/minute) venant de la même IP (évite les attaques SSH). L'avant-dernière utilise une macro ("Ping") pour éviter d'avoir à gérer les types de paquets de protocoles (icmp 8, 13, etc...). La dernière ligne n'est pas nécessaire puisqu'on a une politique "ACCEPT" du firewall vers l'extérieur.
-* Optionnel : params
+Eventuellement, rules peut servir pour blacklister des adresses IP
   NET_IF=eth0
   NET_BCAST=130.252.100.255