nftables & iptables — Pare-feu Linux avancé

Avant toute modification

3 cmds

● Conserver une seconde session SSH ouverte
● Sauvegarder le ruleset actuel avant de modifier les politiques
● Autoriser SSH avant d'appliquer une politique input drop
● Tester le fichier avec nft -c avant de le charger
● Prévoir un accès console ou une tâche de retour arrière

Attention : une mauvaise règle peut couper immédiatement l'accès réseau. Ne jamais lancer flush ruleset à distance sans configuration complète prête, validée et mécanisme de récupération.

sudo nft list ruleset > /root/nftables-avant-modification.nftSauvegarder les règles nftablesCopier

sudo iptables-save > /root/iptables-avant-modification.rulesSauvegarder les règles iptablesCopier

sudo ss -lntupVérifier les services réellement en écouteCopier

Concepts nftables

4 cmds

● Une table regroupe des chaînes, règles, sets et objets
● Une chaîne de base est reliée à un hook : input, output, forward, prerouting ou postrouting
● La famille inet traite IPv4 et IPv6 dans les mêmes chaînes de filtrage
● Une règle associe des critères à une action comme accept, drop, reject, log ou counter
● La policy définit le verdict par défaut d'une chaîne de base

sudo nft list tablesLister les tablesCopier

sudo nft list rulesetAfficher toutes les règlesCopier

sudo nft -n -a list rulesetAfficher en numérique avec les handlesCopier

sudo nft list table inet filterAfficher une table préciseCopier

Créer une table et des chaînes

4 cmds

sudo nft add table inet filterCopier

sudo nft 'add chain inet filter input { type filter hook input priority filter; policy accept; }'Copier

sudo nft 'add chain inet filter forward { type filter hook forward priority filter; policy drop; }'Copier

sudo nft 'add chain inet filter output { type filter hook output priority filter; policy accept; }'Copier

Commencer avec une policy accept, ajouter et tester les règles indispensables, puis seulement basculer la chaîne input vers drop.

Règles d'entrée essentielles

7 cmds

sudo nft add rule inet filter input iifname "lo" counter acceptAutoriser loopbackCopier

sudo nft add rule inet filter input ct state invalid counter dropRejeter les états invalidesCopier

sudo nft add rule inet filter input ct state established,related counter acceptAutoriser les connexions existantesCopier

sudo nft add rule inet filter input ip protocol icmp counter acceptAutoriser ICMP IPv4Copier

sudo nft add rule inet filter input ip6 nexthdr ipv6-icmp counter acceptAutoriser ICMPv6Copier

sudo nft add rule inet filter input ip saddr 192.168.1.0/24 tcp dport 22 ct state new counter acceptSSH depuis le LANCopier

sudo nft add rule inet filter input tcp dport '{ 80, 443 }' ct state new counter acceptHTTP et HTTPSCopier

ICMPv6 est nécessaire au bon fonctionnement d'IPv6. Ne pas le bloquer globalement comme s'il s'agissait d'un service facultatif.

Ruleset de base persistant

28 cmds

Exemple de /etc/nftables.conf pour un serveur web administré depuis le réseau local. Adapter l'interface, le sous-réseau et les ports avant utilisation.

#!/usr/sbin/nft -f

flush rulesetCopier

table inet filter {Copier

set ssh_admins {Copier

type ipv4_addrCopier

flags intervalCopier

elements = { 192.168.1.0/24 }Copier

}Copier

chain input {Copier

type filter hook input priority filter; policy drop;Copier

iifname "lo" counter acceptCopier

ct state invalid counter dropCopier

ct state established,related counter acceptCopier

ip protocol icmp counter acceptCopier

ip6 nexthdr ipv6-icmp counter acceptCopier

ip saddr @ssh_admins tcp dport 22 ct state new counter acceptCopier

tcp dport { 80, 443 } ct state new counter acceptCopier

limit rate 5/second log prefix "nft-input-drop: " counter dropCopier

}Copier

chain forward {Copier

type filter hook forward priority filter; policy drop;Copier

}Copier

chain output {Copier

type filter hook output priority filter; policy accept;Copier

}Copier

}Copier

sudo nft -c -f /etc/nftables.confValider sans appliquerCopier

sudo nft -f /etc/nftables.confCharger le fichier validéCopier

sudo nft list rulesetContrôler le résultatCopier

Utiliser des sets

5 cmds

Les sets évitent de multiplier les règles identiques et permettent de modifier une liste d'adresses ou de ports efficacement.

sudo nft 'add set inet filter admins { type ipv4_addr; flags interval; }'Copier

sudo nft add element inet filter admins '{ 192.168.1.10, 192.168.1.20, 10.10.0.0/24 }'Copier

sudo nft add rule inet filter input ip saddr @admins tcp dport 22 counter acceptCopier

sudo nft delete element inet filter admins '{ 192.168.1.20 }'Copier

sudo nft list set inet filter adminsCopier

Ajouter, insérer et supprimer une règle

5 cmds

sudo nft add rule inet filter input tcp dport 8080 counter acceptAjouter en fin de chaîneCopier

sudo nft insert rule inet filter input tcp dport 22 counter acceptInsérer au débutCopier

sudo nft -a list chain inet filter inputTrouver le handleCopier

sudo nft delete rule inet filter input handle 12Supprimer par handleCopier

sudo nft flush chain inet filter inputVider une chaîne — dangereux à distanceCopier

Le handle peut changer après un rechargement complet. Toujours le relire avec nft -a juste avant une suppression.

Compteurs et journalisation

5 cmds

sudo nft list countersLister les compteurs nommésCopier

sudo nft reset countersRemettre les compteurs à zéroCopier

sudo journalctl -k -g 'nft-input-drop'Filtrer les logs noyau nftablesCopier

sudo dmesg --level=warn,errVoir les messages noyau récentsCopier

limit rate 5/second burst 10 packets log prefix "nft-drop: " counter dropCopier

Toujours limiter les règles de log. Sans limite, un scan ou une attaque peut saturer les journaux et masquer les événements importants.

Routage et NAT

9 cmds

Activer le transfert IPv4

sysctl net.ipv4.ip_forwardCopier

sudo sysctl -w net.ipv4.ip_forward=1Copier

echo 'net.ipv4.ip_forward=1' | sudo tee /etc/sysctl.d/99-router.confCopier

sudo sysctl --systemCopier

Masquerader un réseau privé

sudo nft add table ip natCopier

sudo nft 'add chain ip nat postrouting { type nat hook postrouting priority srcnat; policy accept; }'Copier

sudo nft add rule ip nat postrouting oifname "eth0" ip saddr 10.10.0.0/24 counter masqueradeCopier

Autoriser le forwarding

sudo nft add rule inet filter forward ct state established,related counter acceptCopier

sudo nft add rule inet filter forward iifname "lan0" oifname "eth0" ip saddr 10.10.0.0/24 counter acceptCopier

Persistance nftables

5 cmds

sudo nft list ruleset > /etc/nftables.confExporter le ruleset actuelCopier

sudo nft -c -f /etc/nftables.confVérifier le fichierCopier

sudo systemctl enable --now nftablesActiver le service au démarrageCopier

sudo systemctl status nftablesCopier

sudo journalctl -u nftables -bLogs du chargement au démarrageCopier

Le chemin et le service peuvent varier selon la distribution. Sur Debian et Ubuntu, le paquet nftables utilise généralement /etc/nftables.conf.

iptables — commandes essentielles

12 cmds

sudo iptables -SRègles IPv4 sous forme de commandesCopier

sudo iptables -L -n -v --line-numbersRègles, compteurs et numérosCopier

sudo ip6tables -SRègles IPv6Copier

sudo iptables -A INPUT -i lo -j ACCEPTAutoriser loopbackCopier

sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPTConnexions établiesCopier

sudo iptables -A INPUT -p tcp -s 192.168.1.0/24 --dport 22 -j ACCEPTSSH depuis le LANCopier

sudo iptables -A INPUT -p tcp -m multiport --dports 80,443 -j ACCEPTHTTP et HTTPSCopier

sudo iptables -P INPUT DROPPolitique par défaut — après les autorisationsCopier

Supprimer et sauvegarder

sudo iptables -L INPUT -n -v --line-numbersCopier

sudo iptables -D INPUT 4Supprimer la règle numéro 4Copier

sudo iptables-save > /root/iptables.rulesCopier

sudo iptables-restore < /root/iptables.rulesCopier

Savoir quel backend iptables utilise

3 cmds

iptables --versionAffiche souvent nf_tables ou legacyCopier

sudo update-alternatives --display iptablesBackend sélectionné sur Debian et UbuntuCopier

sudo nft list rulesetVoir si les règles iptables apparaissent dans nftablesCopier

Ne pas administrer simultanément le même flux avec des règles nftables natives et des scripts iptables sans comprendre l'ordre des hooks. Le résultat devient difficile à prédire et à dépanner.

Traduire iptables vers nftables

5 cmds

iptables-translate -A INPUT -p tcp --dport 22 -j ACCEPTCopier

iptables-restore-translate -f /root/iptables.rulesCopier

sudo iptables-save > /root/iptables-a-migrer.rulesCopier

sudo iptables-restore-translate -f /root/iptables-a-migrer.rules > /root/nftables-migre.nftCopier

sudo nft -c -f /root/nftables-migre.nftCopier

La traduction aide à démarrer, mais elle ne remplace pas une relecture. Profiter de la migration pour regrouper les règles avec des sets et adopter une table inet cohérente.

Docker et le pare-feu

4 cmds

Docker crée ses propres règles pour les réseaux bridge et les ports publiés. Une politique INPUT stricte ne suffit pas toujours à filtrer les flux transférés vers les conteneurs, qui passent par le chemin FORWARD.

sudo nft list ruleset | lessInspecter les règles ajoutées par DockerCopier

sudo iptables -S DOCKER-USERChaîne de filtrage utilisateur avec le backend iptablesCopier

docker network inspect bridgeVoir le sous-réseau Docker par défautCopier

sudo conntrack -LExaminer les connexions suiviesCopier

Ne pas vider aveuglément les tables gérées par Docker. Placer les règles personnalisées dans les mécanismes prévus par la version et le backend Docker utilisés, puis tester les ports depuis une autre machine.

Retour arrière et dépannage

7 cmds

sudo nft -c -f /root/nftables-avant-modification.nftVérifier la sauvegardeCopier

sudo nft -f /root/nftables-avant-modification.nftRestaurer nftablesCopier

sudo iptables-restore < /root/iptables-avant-modification.rulesRestaurer iptablesCopier

sudo nft add rule inet filter input ip saddr 192.0.2.10 meta nftrace set 1Marquer temporairement une IP de testCopier

sudo nft monitor traceTracer les paquets marqués nftraceCopier

sudo tcpdump -ni any port 22Vérifier l'arrivée du trafic SSHCopier

sudo ss -lntupVérifier que le service écouteCopier

Checklist

● Le ruleset actuel est sauvegardé
● SSH est autorisé depuis l'adresse d'administration
● Les connexions established,related sont acceptées
● ICMP et ICMPv6 nécessaires sont traités
● Le fichier passe nft -c sans erreur
● Les logs sont limités en fréquence
● La persistance a été testée après redémarrage
● Les ports sont testés depuis une machine extérieure