PCTAMALOU

🔬 Mission pratique – Laboratoire (2 heures)

Architecture du Lab Pare-feu

⚠️ Préparation de l'Environnement

Étapes Détaillées de Configuration

Étape 1 : Installation et Configuration de Base

# Sur Ubuntu (cible)
sudo apt update
sudo apt install nftables -y

# Désactiver iptables legacy si présent
sudo systemctl disable --now iptables
sudo systemctl disable --now ip6tables

# Activer nftables au boot
sudo systemctl enable nftables

# Vérifier l'état
sudo systemctl status nftables
sudo nft list ruleset  # Doit être vide initialementCopier

Étape 2 : Création de la Configuration nftables Complète

# Créer le fichier de configuration
sudo nano /etc/nftables.confCopier

#!/usr/sbin/nft -f
# Configuration pare-feu PCTAMALOU S32
# Politique: Default DROP, autorisations explicites

# Supprimer toutes les règles existantes
flush ruleset

# Table principale pour IPv4/IPv6 (famille inet)
table inet filter {
    # Set pour adresses IP suspectes (vide initialement)
    set blackhole {
        type ipv4_addr
        flags timeout
        timeout 1h
    }
    
    # Set pour les services autorisés
    set allowed_tcp_ports {
        type inet_service
        elements = { 2222 }  # SSH alternatif
    }
    
    # Set pour les services UDP autorisés
    set allowed_udp_ports {
        type inet_service
        elements = { 53 }    # DNS client
    }
    
    # Chaîne INPUT : trafic destiné à la machine
    chain input {
        type filter hook input priority 0; policy drop;
        
        # --------------------------------------------------------------------
        # RÈGLES ESSENTIELLES (ordre critique !)
        # --------------------------------------------------------------------
        
        # 1. Interface loopback (locahost) - toujours accepter
        iif "lo" accept comment "Loopback interface"
        
        # 2. Paquets invalides - DROP immédiat
        ct state invalid drop comment "Drop invalid packets"
        
        # 3. Connexions établies et related - accepter
        ct state established,related accept comment "Allow established/related"
        
        # --------------------------------------------------------------------
        # RÈGLES D'AUTORISATION SPÉCIFIQUES
        # --------------------------------------------------------------------
        
        # 4. ICMP (ping) - limité pour éviter DoS
        ip protocol icmp icmp type { echo-request, echo-reply } limit rate 10/second accept comment "Rate limited ICMP"
        
        # 5. SSH sur port alternatif 2222
        tcp dport @allowed_tcp_ports ct state new accept comment "SSH on alternate port"
        
        # 6. DNS client (sortant UDP)
        udp dport @allowed_udp_ports ct state new accept comment "DNS client"
        
        # --------------------------------------------------------------------
        # RÈGLES DE PROTECTION AVANCÉE
        # --------------------------------------------------------------------
        
        # 7. Rate limiting des scans SYN
        tcp flags syn tcp dport 1-65535 limit rate 10/second burst 5 packets accept comment "Rate limit SYN scans"
        
        # 8. Protection contre les paquets malformés
        tcp flags fin,syn fin,syn drop comment "Drop Xmas packets"
        tcp flags fin,psh,urg fin,psh,urg drop comment "Drop nmap Xmas scan"
        tcp flags syn,rst syn,rst drop comment "Drop SYN+RST packets"
        
        # 9. Blackhole pour IPs attaquantes
        ip saddr @blackhole drop comment "Drop blacklisted IPs"
        
        # --------------------------------------------------------------------
        # LOGGING ET FIN DE CHAÎNE
        # --------------------------------------------------------------------
        
        # 10. Log des paquets drop (limité pour éviter remplissage logs)
        log prefix "[nft-DROP] " limit rate 3/second comment "Log dropped packets"
        
        # 11. DROP silencieux pour le reste
        drop comment "Silent drop for everything else"
    }
    
    # Chaîne FORWARD : trafic à router (non utilisé ici)
    chain forward {
        type filter hook forward priority 0; policy drop;
        # Pas de forwarding dans ce lab
        drop comment "No forwarding allowed"
    }
    
    # Chaîne OUTPUT : trafic sortant
    chain output {
        type filter hook output priority 0; policy accept;
        # On accepte tout en sortie (peut être restreint selon besoin)
        accept comment "Allow all outgoing traffic"
    }
    
    # Chaîne personnalisée pour gestion blackhole
    chain manage_blackhole {
        # Ajouter une IP au blackhole
        add @blackhole { ip saddr } comment "Add IP to blackhole"
        
        # Supprimer toutes les IPs du blackhole
        flush set @blackhole comment "Flush blackhole set"
    }
}Copier

Étape 3 : Application et Persistance

# Appliquer la configuration
sudo nft -f /etc/nftables.conf

# Vérifier que les règles sont actives
sudo nft list ruleset

# Rendre persistant au reboot
sudo systemctl restart nftables
sudo systemctl status nftables

# Sauvegarder la configuration actuelle
sudo nft list ruleset > /etc/nftables_backup.confCopier

Étape 4 : Tests de Fonctionnalité

# Voir toutes les règles
sudo nft list ruleset

# Voir uniquement la chaîne INPUT
sudo nft list chain inet filter input

# Voir les compteurs de paquets (très utile)
sudo nft list ruleset -a  # Affiche les compteurs

# Voir les sets
sudo nft list set inet filter blackhole
sudo nft list set inet filter allowed_tcp_portsCopier

# Scan SYN (-sS) devrait être limité/blocké
nmap -sS 192.168.56.20

# Scan de tous les ports (-p-) devrait être complètement bloqué
nmap -p- 192.168.56.20

# SSH sur port 2222 devrait fonctionner
ssh -p 2222 utilisateur@192.168.56.20

# Ping devrait fonctionner (mais limité à 10/second)
ping 192.168.56.20 -c 20  # Observer les pertes après 10Copier

Étape 5 : Monitoring et Logging

# Voir les logs de nftables
sudo dmesg | grep -i nft
sudo journalctl -f | grep -i nft

# Alternative: logs kernel
sudo tail -f /var/log/kern.log | grep -i nft

# Voir les connexions établies
sudo conntrack -L

# Statistiques de la table de connexion
sudo conntrack -SCopier

Étape 6 : Gestion Dynamique (Sans Redémarrage)

# Ajouter une IP au blackhole dynamiquement
sudo nft add element inet filter blackhole { 192.168.56.100 }

# Ajouter un nouveau port TCP autorisé
sudo nft add element inet filter allowed_tcp_ports { 8080 }

# Supprimer un port
sudo nft delete element inet filter allowed_tcp_ports { 8080 }

# Vider le blackhole
sudo nft flush set inet filter blackhole

# Ajouter une règle temporaire (ne survit pas au reboot)
sudo nft add rule inet filter input tcp dport 3306 accept

# Supprimer une règle par handle
sudo nft -a list chain inet filter input  # Note handles
sudo nft delete rule inet filter input handle 42Copier

Exercice Avancé : Pare-feu Multi-Zones

table inet firewall {
    # Zones
    set trusted_ips { type ipv4_addr; }
    set dmz_ips { type ipv4_addr; }
    set internet_ips { type ipv4_addr; }
    
    chain input {
        # Décision basée sur l'interface source
        iif "eth0" jump zone_internet
        iif "eth1" jump zone_dmz
        iif "eth2" jump zone_trusted
    }
    
    chain zone_trusted {
        # Politique permissive pour réseau interne
        ct state established,related accept
        tcp dport { 22, 443, 80 } accept
        udp dport { 53, 123 } accept
    }
    
    chain zone_dmz {
        # Politique restrictive pour DMZ
        ct state established,related accept
        tcp dport { 80, 443 } accept  # Web seulement
    }
    
    chain zone_internet {
        # Politique très restrictive pour Internet
        ct state established,related accept
        tcp dport 2222 accept  # SSH alternatif seulement
        log prefix "[INTERNET-DROP] " drop
    }
}

Migration depuis iptables

# Installer l'outil de conversion
sudo apt install iptables-nftables-compat -y

# Convertir les règles iptables existantes
sudo iptables-save > iptables-backup.rules
sudo iptables-restore-translate -f iptables-backup.rules > nftables-converted.conf

# Appliquer les règles converties
sudo nft -f nftables-converted.conf

# Vérifier la conversion
sudo nft list ruleset