18.3. Options utilis�es avec les commandes iptables

18.3.1. Structure des options d'iptables

Beaucoup de commandes iptables ont la structure suivante�:

iptables [-t <table-name>] <command> <chain-name> <parameter-1> \
         <option-1> <parameter-n> <option-n>

L'option <table-name> permet � l'utilisateur de s�lectionner une autre table que la table filter par d�faut devant �tre utilis�e avec cette commande. L'option <command> stipule une action sp�cifique � accomplir, telle que l'ajout ou l'�limination d'une r�gle sp�cifi�e par <chain-name>. Apr�s l'option <chain-name> figurent des paires de param�tres et d'options qui d�finissent comment traiter un paquet r�pondant aux crit�res de la r�gle.

En examinant la structure d'une commande iptables, il est important de se rappeler que contrairement � la plupart autres commandes, la longueur et la complexit� d'une commande iptables varie en fonction de son but. Une commande destin�es � �liminer une r�gle d'une cha�ne peut �tre tr�s courte, alors qu'une commande visant � filtrer les paquets d'un sous-r�seau � l'aide d'un certain nombre de param�tres et d'options peut �tre plut�t longue. Lors de la cr�ation de commandes iptables, il est important de savoir que nombre de param�tres et d'options peuvent n�cessiter des param�tres et d'options suppl�mentaires pour mieux rafiner la requ�te de l'option pr�c�dente. Pour �laborer une r�gle valide, cette cha�ne d'actions doit continuer jusqu'� ce que chaque param�tre et option n�cessitant un autre ensemble d'options ait �t� trait�.

Saisissez la commande iptables -h pour obtenir une liste exhaustive de structures de la commande iptables.

18.3.2. Options de commande

Les options de commande donnent � iptables l'instruction d'ex�cuter une action sp�cifique. Une seule option de commande est autoris�e pour chaque commande iptables. � l'exception de la commande d'aide, toutes les autres commandes doivent �tre �crites en majuscules.

Les options de commande disponibles avec iptables sont les suivantes�:

• -A — Ajoute la r�gle iptables � la fin d'une cha�ne donn�e. On utilise cette option pour ajouter simplement une r�gle lorsque l'ordre des r�gles � l'int�rieur de la cha�ne n'est pas primordial.

• -C — Contr�le une r�gle donn�e avant de l'ajouter � la cha�ne sp�cifi�e par l'utilisateur. Cette commande peut vous aider � �crire des r�gles iptables compliqu�es en vous indiquant les param�tres et options suppl�mentaires � �tablir.

• -D — �limine une r�gle � l'int�rieur d'une cha�ne donn�e de fa�on num�rique (comme par exemple en utilisant 5 pour la cinqui�me r�gle d'une cha�ne). Il est �galement possible de taper la r�gle compl�te et iptables efface la r�gle dans la cha�ne correspondante.

• -E — Change le nom d'une cha�ne sp�cifi�e par un utilisateur. Cette option n'affecte en aucun cas la structure de la table.

• -F — Supprime la cha�ne s�lectionn�e, entra�nant par l�-m�me l'�limination de toutes les r�gles de la cha�ne. Si aucune cha�ne n'est sp�cifi�e, cette commande supprime chaque r�gle contenue dans chaque cha�ne.

• -h — Fournit une liste des structures de scommande, ainsi qu'un bref r�sum� des param�tres et options des commandes.

• -I — Ins�re une r�gle � l'int�rieur d'une cha�ne, � un point pr�cis, sp�cifi� par une valeur enti�re d�finie par l'utilisateur. Si aucun num�ro n'est sp�cifi�, iptables place la commande au tout d�but de la cha�ne.

  	Attention
  	Lors de l'utilisation de l'option -A ou de l'option -I, pr�tez une attention toute particuli�re � l'ordre dans lequel les r�gles apparaissent dans une cha�ne. En effet, ce dernier est tr�s important car il permet de d�terminer les r�gles pr�cises devant s'appliquer � des paquets sp�cifiques.

• -L — �tablit la liste compl�te des r�gles dans la cha�ne indiqu�e apr�s la commande. Pour dresser une liste de toutes les r�gles pr�sentes dans toutes les cha�nes contenues dans la table defilter par d�faut, ne pr�cisez ni cha�ne, ni table. Sinon, la syntaxe � utiliser pour �tablir la liste des r�gles contenues dans une cha�ne donn�e d'une table pr�cise, doit �tre la suivante�:

  iptables -L <chain-name> -t <table-name>

  Pour toute information sur les options suppl�mentaires utilis�es avec l'option de commande -L qui fournit le nombre de r�gles et permet une description plus d�taill�e de ces derni�res, consultez la Section 18.3.6.

• -N — Cr�e une nouvelle cha�ne avec un nom sp�cifi� par l'utilisateur.

• -P — D�finit la politique par d�faut d'une cha�ne donn�e, de sorte que des paquets traversant une cha�ne enti�re sans satisfaire les crit�res d'une r�gle soient envoy�s vers la cible sp�cifi�e, telle que ACCEPT ou DROP.

• -R — Remplace une r�gle dans une cha�ne donn�e. Il est imp�ratif d'utiliser un num�ro de r�gle apr�s le nom de cha�ne. La premi�re r�gle dans une cha�ne correspond � la r�gle num�ro un.

• -X — Supprime une cha�ne sp�cifi�e par un utilisateur. L'�limination d'une cha�ne int�gr�e appartenant � une table quelconque n'est pas permise.

• -Z — Remet � z�ro les compteurs d'octets et de paquets dans toutes les cha�nes pour une table sp�cifique.

18.3.3. Options de param�tre d'iptables

Une fois que certaines commandes iptables ont �t� sp�cifi�es (y compris celles utilis�es pour l'ajout, l'�limination, l'insertion ou le remplacement de r�gles � l'int�rieur d'une cha�ne donn�e), il est n�cessaire d'ajouter d'autres param�tres pour la construction d'une r�gle de filtrage de paquets.

• -c — Effectue une remise � z�ro des compteurs pour une r�gle donn�e. Ce param�tre accepte les options PKTS (paquets) et BYTES (octets) pour sp�cifier le compteur � remettre � z�ro.

• -d — D�finit le nom d'h�te du destinataire, l'adresse IP ou le r�seau du paquetage qui correspond � la r�gle. Lorsqu'un r�seau r�pond aux crit�res de la r�gle, les formats suivants sont pris en charge pour l'adresse IP/masque r�seau�:

  • N.N.N.N/M.M.M.M — o� N.N.N.N correspond � la plage d'adresses IP et M.M.M.M au masque r�seau.

  • N.N.N.N/M — o� N.N.N.N correspond � la plage d'adresses IP et M au masque r�seau.

• -f — Applique cette r�gle uniquement aux paquets fragment�s.

  En utilisant le point d'exclamation comme option (!) apr�s ce param�tre, seuls les paquets non-fragment�s seront compar�s aux crit�res des r�gles.

• -i — R�gle l'interface r�seau entrante, telle que eth0 ou ppp0. Avec iptables, ce param�tre optionnel ne peut �tre utilis� qu'avec des cha�nes INPUT et FORWARD lorsqu'elles sont utilis�es avec la table filter et la cha�ne PREROUTING lorsqu'elle est utilis�e avec les tables nat et mangle.

  Ce param�tre prend �galement en charge les options sp�ciales ci-dessous�:

  • Point d'exclamation (!) — Inverse la directive, c'est-�-dire que toutes les interfaces sp�cifi�es sont exclues de cette r�gle.

  • Le symbole plus (+) — Repr�sente un caract�re g�n�rique utilis� pour comparer toutes les interfaces qui correspondent � la cha�ne sp�cifi�e. Par exemple, le param�tre -i eth+ appliquerait cette r�gle � toutes les interfaces Ethernet, mais ne prendrait pas en compte les autres interfaces, comme ppp0.

  Si le param�tre -i est utilis� sans qu'aucune interface ne soit sp�cifi�e, toutes les interfaces sont affect�es par la r�gle.

• -j — Passe directement � la cible sp�cifi�e lorsqu'un paquetage correspond � une r�gle particuli�re. Les cibles valides pouvant �tre utilis�es apr�s l'option -j incluent des options standard (� savoir ACCEPT, DROP, QUEUE et RETURN), ainsi que des options �tendues qui sont disponibles gr�ce aux modules charg�s par d�faut avec le paquetage RPM iptables de Red Hat Enterprise Linux, comme par exemple LOG, MARK et REJECT. Consultez la page de manuel d'iptables pour obtenir plus d'informations sur les cibles mentionn�es ici et sur d'autres cibles.

  Il est �galement possible de diriger un paquet correspondant � une r�gle vers une cha�ne d�finie par l'utilisateur, situ�e en dehors de la cha�ne actuelle, afin que d'autres r�gles puissent �tre appliqu�es � ce paquet.

  Si aucune cible n'est sp�cifi�e, le paquet continue sans qu'aucune autre action ne soit entreprise. Ceci �tant, le compteur de cette r�gle avance tout de m�me d'une unit�.

• -o — Param�tre l'interface sortante pour une r�gle donn�e et ne peut �tre utilis�e qu'avec des cha�nes OUTPUT et FORWARD dans la table filter et la cha�ne POSTROUTING dans les tables nat et mangle. Les options de ce param�tre sont les m�mes que pour les param�tres relatifs aux interfaces r�seau entrantes (-i).

• -p — Param�tre le protocole IP pour la r�gle, qui peut �tre icmp, tcp, udp ou all, afin qu'il corresponde � tous les protocoles possibles. De plus, il est possible d'utiliser tout protocole inclus dans /etc/protocols. Si l'option est omise lors de la cr�ation de la r�gle, l'option all est consid�r�e comme �tant la valeur par d�faut.

• -s — D�finit l'origine d'un paquet particulier en utilisant la m�me syntaxe que pour le param�tre de destination (-d).

18.3.4. Options de concordance d'iptables

Diff�rents protocoles r�seau offrent des options de contr�le de concordance sp�cifiques qui peuvent �tre configur�es de mani�re � comparer un paquet donn� en utilisant ce protocole. �videmment, il est n�cessaire d'identifier pr�alablement le protocole en question dans la commande iptables. Par exemple, -p tcp <protocol-name> (o� <protocol-name> correspond au protocole cible) fait en sorte que des options soient disponibles pour le protocole sp�cifi�.

18.3.5. Options de cible

Une fois qu'un paquet concorde avec une r�gle sp�cifique, cette derni�re peut diriger le paquet vers un certain nombre de cibles qui d�cideront de son traitement et, si possible, effectueront des actions suppl�mentaires. Chaque cha�ne poss�de une cible par d�faut qui est utilis�e si aucune des r�gles de cette cha�ne ne correspond � un paquet ou si aucune des r�gles qui correspondent au paquet ne sp�cifie de cible particuli�re.

Ci-dessous figurent les cibles standard�:

• <user-defined-chain> — Remplacez <user-defined-chain> par le nom d'une cha�ne d�finie par l'utilisateur au sein de cette table. Cette cible transmet le paquet � la cha�ne cible.

• ACCEPT — Autorise le paquet � continuer sa progression vers sa destination ou une autre cha�ne.

• DROP — Abandonne le paquet sans r�pondre au demandeur. Le syst�me ayant exp�di� ce paquet n'est pas inform� de l'�chec de l'op�ration.

• QUEUE — Met le paquet en attente pour un traitement par une application de l'espace-utilisateur (user-space).

• RETURN — Arr�te le contr�le du paquet en fonction des r�gles en vigueur dans la cha�ne actuelle. Si le paquet avec la cible RETURN correspond � une certaine r�gle appel�e depuis une autre cha�ne, le paquet est renvoy� � la premi�re cha�ne pour que le contr�le de la r�gle reprenne au point o� il s'�tait arr�t�. Dans le cas o� la r�gle RETURN est utilis�e dans une cha�ne int�gr�e et que le paquet ne peut pas aller vers sa cha�ne pr�c�dente, la cible par d�faut pour la cha�ne actuelle d�termine l'action � entreprendre.

Outre ces cibles standard, d'autres cibles peuvent �tre utilis�es avec des extensions appel�es modules cibles. Pour obtenir de plus amples informations sur les modules d'options pour la concordance, reportez-vous � la Section 18.3.4.4.

Il existe de nombreux modules cibles �tendus�; la plupart d'entre eux s'appliquent � des tables ou � des situations sp�cifiques. Ci-dessous figurent certains des modules cibles les plus r�pandus, inclus par d�faut dans Red Hat Enterprise Linux�:

• LOG — Journalise tous les paquets correspondant � cette r�gle. �tant donn� que les paquets sont journalis�s par le noyau, le fichier /etc/syslog.conf d�termine l'emplacement o� ces entr�es de journal sont enregistr�es. Par d�faut, elles sont plac�es dans le fichier /var/log/messages.

  D'autres options peuvent �tre utilis�es apr�s la cible LOG pour sp�cifier le processus de journalisation, telles que�:

  • --log-level — D�termine le niveau de priorit� d'un �v�nement de journalisation. Une liste des niveaux de priorit� est disponible dans la page de manuel de syslog.conf.

  • --log-ip-options — Journalise toute option indiqu�e dans l'en-t�te d'un paquet IP.

  • --log-prefix — Ajoute une cha�ne d'un maximum de 29 caract�res avant la ligne de journal, lorsqu'elle est �crite. Cette option est utile lors de l'�criture de filtres syslog utilis�s conjointement avec la journalisation de paquets.

  • --log-tcp-options — Journalise toute option pr�cis�e dans l'en-t�te d'un paquet TCP.

  • --log-tcp-sequence — �crit le num�ro de s�quence TCP relatif au paquet dans le journal.

• REJECT — Renvoie un paquet d'erreur au syst�me distant et abandonne le paquet.

  La cible REJECT accepte une option --reject-with <type> (o� <type> correspond au type de rejet) qui permet d'inclure des informations plus d�taill�es avec le paquet d'erreur. Le message d'erreur port-unreachable (impossible d'atteindre le port) repr�sente l'erreur <type> par d�faut envoy�e si aucune autre option n'est utilis�e. Pour obtenir une liste compl�te des options disponibles pour <type>, consultez la page de manuel d'iptables.

D'autres extensions de cibles, dont bon nombre sont tr�s utiles pour le masquage d'IP � l'aide de la table nat ou avec la modification de paquets � l'aide de la table mangle, figurent dans la page de manuel d'iptables.

18.3.6. Options de listage

La commande de listage par d�faut, iptables -L, fournit un aper�u tr�s �l�mentaire des cha�nes actuelles contenues dans la table de filtres par d�faut. L'utilisation d'options suppl�mentaires telles que celles �num�r�es ci-dessous, permettent d'obtenir davantage d'informations�:

• -v — Affiche une sortie d�taill�e, incluuant le nombre de paquets et d'octets lus par chaque cha�ne, le nombre de paquets et d'octets contr�l�s par chaque r�gle et l'identit� des interfaces li�es � une r�gle particuli�re.

• -x — Pr�sente les nombres selon leur valeur exacte. Sur un syst�me tr�s charg�, le nombre de paquets et d'octets vus par une cha�ne donn�e peut �tre abr�g� en utilisant K (milliers), M (millions) et G (milliards) � la fin du nombre. Cette option force l'affichage du nombre complet.

• -n — Affiche les adresses IP et les num�ros de port dand un format num�rique, plut�t que d'utiliser le format par d�faut constitu� du nom d'h�te et du service r�seau.

• --line-numbers — �num�re les r�gles dans chaque cha�ne � c�t� de leur ordre num�rique dans la cha�ne. Cette option est utile lors de la tentative de suppression d'une r�gle donn�e dans une cha�ne ou lors dela localisation de l'emplacement d'une r�gle � ins�rer dans une cha�ne.

• -t — Sp�cifie un nom de table.