✎ shorewall [Wiki ubuntu-fr]

Vous affichez une ancienne révision du document ! Si vous l'enregistrez, vous créerez une nouvelle version avec ce contenu.

{{tag>pare-feu firewall sécurité réseau serveur}}
----
====== Shorewall ======

==== Qu'est-ce que Shorewall ? ====

Le pare-feu "Shoreline Firewall", plus communément appelé "Shorewall", est un outil pour configurer plus facilement [[:iptables|Netfilter]]. Shorewall peut être utilisé sur un serveur Linux en routeur/firewall, sur un gateway/routeur/serveur multi-fonction ou sur un système GNU/Linux autonome.

Shorewall ne tourne pas en tâche de fond comme daemon. Une fois qu'il a configuré Netfilter, son travail est fini. Il peut être utilisé n'importe quand pour surveiller Netfilter.

Shorewall n'est pas l'outil de configuration de iptables le plus facile mais offre une grande puissance et flexibilité. D'autres alternatives sont plus faciles comme kmyfirewall ou [[:Firestarter]].

==== Installation ====

<code>
sudo apt-get install shorewall shorewall-doc
</code>

Nous allons voir ici la configuration simple pour un serveur équipé de 2 cartes réseaux.
Nous définirons que l'interface eth0 correspond à la carte réseau reliée à internet et l'interface eth1 correspond à celle reliée au réseau local.

La configuration de shorewall se fait dans /etc/shorewall mais pour l'instant le dossier ne contient pas tous les fichiers de configuration. Il faut donc copier le contenu de /usr/share/doc/shorewall/examples/two-interfaces dans le dossier /etc/shorewall .

<code>
sudo cp /usr/share/doc/shorewall-common/examples/two-interfaces/* /etc/shorewall/
</code>

Attention, avec Gutsy les examples se trouvent dans /usr/share/doc/shorewall-common/examples. La documentation quant à elle est dans   /usr/share/doc/shorewall-doc.

Ensuite il faut décompresser les fichiers .gz que l'on vient de copier.
<code>
cd /etc/shorewall/
sudo gzip -d interfaces.gz masq.gz policy.gz rules.gz
</code>

==== Éditer les fichiers de configurations ====

== /etc/shorewall/zones ==

Permet de définir les zones que nous allons utiliser dans la configuration de shorewall.

<code>
#ZONE   TYPE    OPTIONS                 IN                      OUT
#                                       OPTIONS                 OPTIONS
fw      firewall
net     ipv4
loc     ipv4

#LAST LINE - ADD YOUR ENTRIES ABOVE THIS ONE - DO NOT REMOVE
</code>

== /etc/shorewall/interfaces ==

Permet de définir à quoi correspondent nos 2 interfaces réseaux eth0 et eth1.

<code>
#ZONE   INTERFACE       BROADCAST       OPTIONS
net     eth0            detect          dhcp,tcpflags,routefilter,nosmurfs,logmartians
loc     eth1            detect          dhcp,tcpflags,detectnets,nosmurfs
#LAST LINE -- ADD YOUR ENTRIES BEFORE THIS ONE -- DO NOT REMOVE
</code>

== /etc/shorewall/policy ==

Permet d'accepter ou de rejeter le trafic entre les différentes zones.

<code>
# Policies for traffic originating from the local LAN (loc)
#
# If you want to force clients to access the Internet via a proxy server
# on your firewall, change the loc to net policy to REJECT info.
loc             net             ACCEPT
loc             $FW             ACCEPT
loc             all             REJECT          info

#
# Policies for traffic originating from the firewall ($FW)
#
# If you want open access to the Internet from your firewall, change the
# $FW to net policy to ACCEPT and remove the 'info' LOG LEVEL.
# This may be useful if you run a proxy server on the firewall.
$FW             net             ACCEPT
$FW             loc             ACCEPT
$FW             all             ACCEPT

#
# Policies for traffic originating from the Internet zone (net)
#
net             $FW             DROP            info
net             loc             DROP            info
net             all             DROP            info

# THE FOLLOWING POLICY MUST BE LAST
all             all             REJECT          info

#LAST LINE -- ADD YOUR ENTRIES ABOVE THIS LINE -- DO NOT REMOVE
</code>

== /etc/shorewall/rules ==

Ceci est le fichier de configuration de la partie firewall.

A vous de le configurer selon vos besoins.

== /etc/shorewall/routestopped ==

Permet le routage sur les interfaces défini dans ce fichier lorsque shorewall n'est pas démarré.

<code>
#INTERFACE      HOST(S)                  OPTIONS
eth1            -
#LAST LINE -- ADD YOUR ENTRIES BEFORE THIS ONE -- DO NOT REMOVE
</code>

Par défaut shorewall ne peut pas démarrer tant que vous n'avez pas modifié le fichier /etc/default/shorewall et changé la ligne :

<code>
startup=0
</code>

par

<code>
startup=1
</code>

Il faut également s'assurer que l'option STARTUP_ENABLED du fichier de configuration /etc/shorewall.conf a la valeur "Yes".

Vous pouvez maintenant démarrer shorewall :

<code>
sudo /etc/init.d/shorewall start
</code>

=== Liens ===

http://www.shorewall.net/
http://www.shorewall.net/two-interface_fr.html

Merci de recopier le code ci-contre pour prouver que vous êtes humain : S Z S Q W Merci de laisser ce champ vide :

Résumé

Note : En modifiant cette page, vous acceptez que le contenu soit placé sous les termes de la licence suivante : CC Paternité-Partage des Conditions Initiales à l'Identique 3.0 Unported