✎ shorewall [Wiki ubuntu-fr]

Vous affichez une ancienne révision du document ! Si vous l'enregistrez, vous créerez une nouvelle version avec ce contenu.

----

====== Shorewall ======

===== Qu'est-ce que Shorewall ? =====

Le pare-feu "Shoreline Firewall", plus communément appelé "Shorewall", est un outil pour configurer plus facilement [[:iptables|Netfilter]]. Shorewall peut être utilisé sur un serveur Linux en routeur/firewall, sur un gateway/routeur/serveur multi-fonction ou sur un système GNU/Linux autonome.

Shorewall ne tourne pas en tâche de fond comme dæmon. Une fois qu'il a configuré Netfilter, son travail est fini. Il peut être utilisé n'importe quand pour surveiller Netfilter.

Shorewall n'est pas l'outil de configuration de iptables le plus facile mais offre une grande puissance et flexibilité. D'autres alternatives sont plus faciles comme kmyfirewall ou [[:GuFw]].

===== Installation =====

[[:tutoriel:comment_installer_un_paquet|Installer les paquets]] **shorewall shorewall-doc**.

[[apt://shorewall,shorewall-doc|{{apt.png|Installer les paquets en 1 clic.}}]]

Nous allons voir ici la configuration simple pour un serveur équipé de 2 cartes réseaux.
Nous définirons que l'interface eth0 correspond à la carte réseau reliée à internet et l'interface eth1 correspond à celle reliée au réseau local.

La configuration de shorewall se fait dans /etc/shorewall mais pour l'instant le dossier ne contient pas tous les fichiers de configuration. Il faut donc copier le contenu de /usr/share/doc/shorewall/examples/two-interfaces dans le dossier /etc/shorewall .

<code>
sudo cp /usr/share/doc/shorewall-common/examples/two-interfaces/* /etc/shorewall/
</code>

Attention, avec Gutsy les exemples se trouvent dans /usr/share/doc/shorewall-common/examples. La documentation quant à elle est dans   /usr/share/doc/shorewall-doc.

Ensuite il faut décompresser les fichiers .gz que l'on vient de copier.

<code>
cd /etc/shorewall/
sudo gzip -d interfaces.gz masq.gz policy.gz rules.gz
</code>

===== Éditer les fichiers de configurations =====

#ZONE TYPE OPTIONS IN OUT

# TYPE OF OPTIONS IN ZONE OUT

# OPTIONS OPTIONS

fw firewall

net ipv4

#LAST LINE - ADD YOUR ENTRIES ABOVE THIS ONE - DO NOT REMOVE
~                                                                                                                                                                     
~                                                                                                                                                                     
~                                                                                                                                                                     
~                                                                                                                                                                     
~

==== /etc/shorewall/interfaces ====

Permet de définir à quoi correspondent nos 2 interfaces réseaux eth0 et eth1.

<file>
#ZONE   INTERFACE       BROADCAST       OPTIONS
net     eth0            detect          dhcp,tcpflags,routefilter,nosmurfs,logmartians
loc     eth1            detect          dhcp,tcpflags,detectnets,nosmurfs
#LAST LINE -- ADD YOUR ENTRIES BEFORE THIS ONE -- DO NOT REMOVE
</file>

==== /etc/shorewall/policy ====

Permet d'accepter ou de rejeter le trafic entre les différentes zones.

<file>
# Policies for traffic originating from the local LAN (loc)
#
# If you want to force clients to access the Internet via a proxy server
# on your firewall, change the loc to net policy to REJECT info.
loc             net             ACCEPT
loc             $FW             ACCEPT
loc             all             REJECT          info

#
# Policies for traffic originating from the firewall ($FW)
#
# If you want open access to the Internet from your firewall, change the
# $FW to net policy to ACCEPT and remove the 'info' LOG LEVEL.
# This may be useful if you run a proxy server on the firewall.
$FW             net             ACCEPT
$FW             loc             ACCEPT
$FW             all             ACCEPT

#
# Policies for traffic originating from the Internet zone (net)
#
net             $FW             DROP            info
net             loc             DROP            info
net             all             DROP            info

# THE FOLLOWING POLICY MUST BE LAST
all             all             REJECT          info

#LAST LINE -- ADD YOUR ENTRIES ABOVE THIS LINE -- DO NOT REMOVE
</file>

==== /etc/shorewall/rules ====

# AMULE 
ACCEPT net:192.168.1.11 fw tcp 16001
ACCEPT net fw tcp 12500
ACCEPT net fw tcp 22 (SSH) 
ACCEPT net fw tcp 21 (FTP) 
ACCEPT net:192.168.1.11/20 fw tcp 137,138,139,389,445 -
ACCEPT net: 192.168.1.11/20 fw tcp 137138139389445 --
ACCEPT net:192.168.1.11/20 fw udp 137,138,139,389,445 -
ACCEPT net: 192.168.1.11/20 fw udp 137138139389445 --

==== /etc/shorewall/routestopped ====

Permet le routage sur les interfaces défini dans ce fichier lorsque shorewall n'est pas démarré.

<file>
#INTERFACE      HOST(S)                  OPTIONS
eth1            -
#LAST LINE -- ADD YOUR ENTRIES BEFORE THIS ONE -- DO NOT REMOVE
</file>

Par défaut shorewall ne peut pas démarrer tant que vous n'avez pas modifié le fichier /etc/default/shorewall et changé la ligne :

<file>
startup=0
</file>

par

<file>
startup=1
</file>

Il faut également s'assurer que l'option STARTUP_ENABLED du fichier de configuration /etc/shorewall/shorewall.conf a la valeur "Yes".

Vous pouvez maintenant démarrer shorewall :

<code>
sudo /etc/init.d/shorewall start
</code>

===== Liens =====

* http://www.shorewall.net/
  * http://www.shorewall.net/two-interface_fr.html

----

//Contributeurs principaux : [[:utilisateurs:ButterflyOfFire]], FIXME.//

Merci de recopier le code ci-contre pour prouver que vous êtes humain : I V F M O Merci de laisser ce champ vide :

Résumé

Note : En modifiant cette page, vous acceptez que le contenu soit placé sous les termes de la licence suivante : CC Paternité-Partage des Conditions Initiales à l'Identique 3.0 Unported