Que signifie inverser une directive ?
d = Directive()
le ou, c’est une suite de règles le et, c’est le regroupement en chaines, mais pour l’instant, les chaines sont utilises pour le découpage de la matrice de flux.
non (-s ip_list DROP) <=> -s ip1 ACCEPT or -s ip2 ACCEPT or... <=> -s ip1 ACCEPT -s ip2 ACCEPT ... DROP TOUT LE RESTE (pour la zone considérée)
{ interdire le port 8080 pour tous sauf ip1, ip2, ip3; } <=> { autoriser le port 8080 pour ip1, ip2, ip3; interdire le port 8080 pour toute la zone; } <=> { iptables -s ip1 –dport 8080 -j ACCEPT; iptables -s ip2 –dport 8080 -j ACCEPT; iptables -s ip3 –dport 8080 -j ACCEPT; iptables -s zone –dport 800 -j DROP; }
{ interdire tous les services sauf ceux des ports 110, 80, 143 ; } <=> { pour tous, autoriser les ports 110, 80, 143 ; interdire tous les services ; } <=> { iptables -s zone –dport 110 -j ACCEPT ; iptables -s zone –dport 80 -j ACCEPT ; iptables -s zone –dport 143 -j ACCEPT ;
iptables -s zone -j DROP ; }
Pour gérer facilement les ensembles d’extrémités, nous pouvons utiliser [http://ipset.netfilter.org/ ipset]. Il faut pour cela un noyau modifié. Voir [http://ipset.netfilter.org/install.html la page d’installation d’ipset].
Nous allons créer un ensemble d’adresses IP appelé ‘’suspect’’ (à l’aide du programme ‘’‘ipset’‘’) et faire référence à cet ensemble dans nos règles iptables.
ipset -N suspect iphash
ipset -A suspect 192.168.15.15
ipset -A suspect 192.168.15.30
ipset -D suspect 192.168.15.15
iptables -A FORWARD -m set ! --set suspect src -j ACCEPT