7.5. Virus et adresses IP usurp�es

Des r�gles plus �labor�es peuvent �tre cr��es qui contr�lent l'acc�s � des sous-r�seaux sp�cifiques ou m�me des noeuds sp�cifiques, au sein d'un LAN. Vous pouvez �galement restreindre certains services douteux tels que les chevaux de Troie, les vers et d'autres virus client / serveur, � contacter leur serveur. Par exemple, il existe certains chevaux de Troie qui analysent les r�seaux et recherchent des services sur les ports 31337 � 31340 (appel�s les ports �lite en argot de piratage). Vu qu'il n'existe pas de services l�gitimes qui communiquent via ces ports non standards, le fait de les bloquer r�duit les chances qu'ont les noeuds infect�s de votre r�seau de communiquer ind�pendamment avec leurs serveurs ma�tres � distance.

iptables -A OUTPUT -o eth0 -p tcp --dport 31337 --sport 31337 -j DROP
iptables -A FORWARD -o eth0 -p tcp --dport 31337 --sport 31337 -j DROP

Vous pouvez �galement bloquer des connexions externes qui essaient d'usurper des gammes d'adresses IP priv�es afin d'infiltrer votre LAN. Par exemple, si votre LAN utilise la gamme 192.168.1.0/24, une r�gle peut d�finir le p�riph�rique r�seau faisant face � l'internet (par exemple, eth0) de fa�on � ne pas prendre en compte tout paquet destin� � ce p�riph�rique ayant une adresse dans votre gamme d'IP du LAN. Vu qu'il est recommand� de rejeter les paquets retransmis en tant que politique par d�faut, toute autre adresse IP usurp�e vers le p�riph�rique vers l'ext�rieur (eth0) sera automatiquement rejet�e.

iptables -A FORWARD -s 192.168.1.0/24 -i eth0 -j DROP

Remarque

Il existe une diff�rence entre les actions de cible REJECT et DROP lorsqu'il s'agit de r�gles ajout�es. La cible REJECT refuse l'acc�s et renvoie une erreur connection refused (connexion refus�e) aux utilisateurs qui essaient de se connecter au service. La cible DROP ne prend pas en compte les paquets sans avertissement. Les administrateurs peuvent utiliser ces cibles � leur discr�tion. Toutefois, pour rendre la situation plus claire et pour �viter que l'utilisateur n'essaie de continuer � se connecter, il est recommand� d'utiliser la cible REJECT.