Comment répertorier et supprimer les règles du pare-feu Iptables

Iptables est un pare-feu qui joue un rôle essentiel dans la sécurité du réseau pour la plupart des systèmes Linux. Alors que de nombreux tutoriels iptables vous apprendront https://www.digitalocean.com/community/tutorials/iptables-essentials-common-firewall-rules-and-candsandshow pour créer des règles de pare-feu pour sécuriser votre serveur], celui-ci portera sur sur un aspect différent de la gestion du pare-feu: lister et supprimer des règles.

Dans ce tutoriel, nous expliquerons comment effectuer les tâches iptables suivantes:

Avant de commencer à utiliser ce didacticiel, vous devez avoir un compte superutilisateur distinct, non root, un utilisateur disposant de privilèges sudo et configuré sur votre serveur. Si vous devez le configurer, suivez le guide approprié:

Voyons comment lister les règles en premier. Il existe deux manières différentes d’afficher vos règles iptables actives: dans un tableau ou sous forme de liste de spécifications de règles. Les deux méthodes fournissent à peu près les mêmes informations dans différents formats.

Pour lister toutes les règles iptables actives par spécification, exécutez la commande + iptables + avec l’option + -S +:

Comme vous pouvez le constater, la sortie ressemble à la commande utilisée pour la créer, sans la commande + iptables + précédente. Cela ressemblera également aux fichiers de configuration des règles iptables, si vous avez déjà utilisé + iptables-persistent + ou + + iptables save +.

Lister les règles iptables dans la vue table peut être utile pour comparer différentes règles les unes par rapport aux autres,

Pour sortir toutes les règles iptables actives dans une table, exécutez la commande + iptables + avec l’option + -L +:

Cela affichera toutes les règles actuelles triées par chaîne.

Si vous souhaitez limiter la sortie à une chaîne spécifique (+ INPUT,` + OUTPUT`, + TCP, etc.), vous pouvez spécifier le nom de la chaîne directement après l’option` + -L + `.

Jetons un coup d’œil à un exemple de chaîne INPUT:

La première ligne de sortie indique le nom de la chaîne (INPUT, dans ce cas), suivi de sa stratégie par défaut (DROP). La ligne suivante comprend les en-têtes de chaque colonne du tableau et est suivie des règles de la chaîne. Voyons ce que chaque en-tête indique:

La dernière colonne, qui n’est pas libellée, indique les * options * d’une règle. C’est-à-dire toute partie de la règle qui n’est pas indiquée par les colonnes précédentes. Cela peut être n’importe quoi, depuis les ports source et destination, jusqu’à l’état de connexion du paquet.

Si vous souhaitez effacer ou mettre à zéro les compteurs de paquets et d’octets de vos règles, utilisez l’option + -Z +. Ils réinitialisent également si un redémarrage se produit. Ceci est utile si vous voulez voir si votre serveur reçoit un nouveau trafic correspondant à vos règles existantes.

Pour effacer les compteurs de toutes les chaînes et règles, utilisez l’option + -Z + par elle-même:

Pour effacer les compteurs de toutes les règles d’une chaîne spécifique, utilisez l’option + -Z + et spécifiez la chaîne. Par exemple, pour effacer les compteurs de chaîne INPUT, exécutez la commande suivante:

Si vous souhaitez effacer les compteurs d’une règle spécifique, spécifiez le nom de la chaîne et le numéro de la règle. Par exemple, pour mettre à zéro les compteurs de la 1ère règle de la chaîne INPUT, exécutez ceci:

Maintenant que vous savez comment réinitialiser les compteurs de paquets et d’octets iptables, examinons les deux méthodes pouvant être utilisées pour les supprimer.

L’un des moyens de supprimer les règles iptables consiste à spécifier une règle. Pour ce faire, vous pouvez exécuter la commande + iptables + avec l’option + -D + suivie de la spécification de la règle. Si vous souhaitez supprimer des règles à l’aide de cette méthode, vous pouvez utiliser la sortie de la liste des règles, + iptables -S +, pour obtenir de l’aide.

Par exemple, si vous souhaitez supprimer la règle qui supprime les paquets entrants non valides (+ -A INPUT -m conntrack --ctstate INVALID -j DROP +), vous pouvez exécuter cette commande:

Notez que l’option + -A +, utilisée pour indiquer la position de la règle au moment de la création, doit être exclue ici.

L’autre moyen de supprimer les règles iptables consiste à * chaîne * et * numéro de ligne *. Pour déterminer le numéro de ligne d’une règle, répertoriez-les dans le format de tableau et ajoutez l’option + - line-numbers +:

Cela ajoute le numéro de ligne à chaque ligne de la règle, indiqué par l’en-tête * num *.

Une fois que vous savez quelle règle vous souhaitez supprimer, notez la chaîne et le numéro de ligne de la règle. Puis exécutez la commande + iptables -D + suivie de la chaîne et du numéro de règle.

Par exemple, si nous voulons supprimer la règle d’entrée qui supprime les paquets non valides, nous pouvons voir que c’est la règle + 3 + de la chaîne + INPUT +. Nous devrions donc lancer cette commande:

Maintenant que vous savez comment supprimer des règles de pare-feu individuelles, voyons comment «vider» les chaînes de règles.

Iptables offre un moyen de supprimer toutes les règles d’une chaîne ou de "purger *" une chaîne. Cette section couvrira les différentes façons de le faire.

Cette section vous montrera comment vider toutes vos règles, tables et chaînes de pare-feu et autoriser tout le trafic réseau.

Commencez par définir les stratégies par défaut pour chacune des chaînes intégrées sur + ACCEPT +. La raison principale est de vous assurer que votre serveur ne sera pas verrouillé via SSH:

Puis effacez les tables + nat + et + mangle +, effacez toutes les chaînes (+ -F +) et supprimez toutes les chaînes autres que celles par défaut (+ -X +):

Votre pare-feu autorisera désormais tout le trafic réseau. Si vous listez vos règles maintenant, vous verrez qu’il n’y en a pas et que seules les trois chaînes par défaut (INPUT, FORWARD et OUTPUT) restent.

Après avoir suivi ce didacticiel, vous devez savoir comment répertorier et supprimer vos règles de pare-feu iptables.

N’oubliez pas que toutes les modifications apportées à iptables via la commande + iptables + sont éphémères et doivent être enregistrées pour être persistantes lors des redémarrages du serveur. Cela est couvert dans la section Saving Rules du didacticiel Règles de pare-feu communes et commandes.