Firewalld
Firewalld : configuration de base sur Debian 10
Par défaut, il faut ajouter les interfaces et les services; autrement, on se met dehors soi-même.
Par défaut, la zone active est "public"; on peut utiliser les commandes suivantes:
firewall-cmd --list-all-zones firewall-cmd --get-zones firewall-cmd --get-active-zones firewall-cmd --get-default-zone
Si ça ne donne rien, il faut malheureusement reboot; bug ou feature ?
<source lang="bash"> firewall-cmd --add-interface=ens18
- Ensuite, on peut ajouter des services
firewall-cmd --zone=public --add-service=ssh --permanent
- ... Ou des ports
firewall-cmd --add-port=80/tcp --permanent </source>
Le problème semble venir de l'utilisation suite à ces commandes de "firewall-cmd --reload". Dès que je la lance, j'ai une erreur nftables et je n'ai plus rien dans firewalld ? De toute façon, il suffit d'utiliser l'argument "--permanent" pour s'en passer.
Il s'agit d'une configuration très simple.
Bloquer une liste de blocs d'IPs
Source ...la Chine, par exemple.
Je télécharge la liste de tous les blocs d'IP de la Chine, Ici.
Ensuite, je vais créer un ipset, soit une longue liste d'IPs (ou d'adresses MAC).
Je commence par créer l'ipset:
firewall-cmd --permanent --new-ipset=blacklist_china --type=hash:net --option=family=inet --option=hashsize=4096 --option=maxelem=200000
- permanent : permanent...
- new-ipset : je la crée et lui donne un nom
- type : hash:net : Type de stockage. net pour des blocs, ip pour des adresses. On peut avoir la liste de tous les types avec firewall-cmd --get-ipset-types
- option:family:inet : ipv4
- hashize : Taille initiale de hash de la liste
- maxelem : nombre maximum d'élements
Je vais ensuite peupler mon ipset à partir du fichier téléchargé.
firewall-cmd --permanent --ipset=blacklist_china --add-entries-from-file=cn-aggregated.zone
Enfin, je vais ajouter mon ipset à la zone "DROP" : ils ne nous embêteront plus.
firewall-cmd --permanent --zone=drop --add-source=ipset:blacklist_china firewall-cmd --reload
Si je veux bloquer tout sauf un seul port il suffit de créer une nouvelle zone qui droppe avec :
firewall-cmd --new-zone=blackhole --permanent firewall-cmd --zone=blackhole --set-target=DROP --permanent
...et de lui passer l'IPSet.