7.6. iptables et suivi de connexions

iptables inclut un module qui permet aux administrateurs d'inspecter et de restreindre les connexions aux services disponibles sur un r�seau interne � l'aide d'une m�thode appel�e suivi de connexions. Cette derni�re enregistre les connexions dans une table, permettant aux administrateurs d'autoriser ou de refuser l'acc�s selon les �tats de connexion suivants�:

• NEW — Un paquet demandant une nouvelle connexion, comme une requ�te HTTP.

• ESTABLISHED — Un paquet qui fait parti d'une connexion existante.

• RELATED — Un paquet qui demande une nouvelle connexion mais qui fait parti d'une connexion existante, comme des connexions FTP passives o� le port de connexion est 20, mais le port de transfert peut �tre tout port inutilis� 1024 ou sup�rieur.

• INVALID — Un paquet qui ne fait parti d'aucune connexion dans la table de suivi de connexions.

Vous pouvez utiliser la fonctionnalit� � �tats du suivi de connexions de iptables avec tout protocole r�seau, m�me si le protocole lui-m�me est sans �tat (comme UDP). L'exemple suivant illustre une r�gle qui utilise le suivi de connexions pour retransmettre uniquement les paquets qui sont associ�s � une connexion �tablie�:

iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ALLOW