Le pare-feu reste l’outil essentiel pour protéger les réseaux locaux sous Linux.
Maîtriser iptables permet d’appliquer un filtrage de paquets précis et réducteur de surface d’attaque, utile en production. Les points essentiels suivent immédiatement, présentés de façon synthétique ci‑dessous.
A retenir :
- Contrôle strict des ports ouverts et des services exposés
- Filtrage des paquets par tables, chaînes et modules spécialisés
- NAT et DNAT pour publication sécurisée des services en DMZ
- Persistance des règles et restauration automatique après redémarrage
Configurer iptables pour le filtrage de paquets sur Linux
Après ces éléments synthétiques, la configuration initiale d’iptables mérite une attention méthodique. Sur Ubuntu, l’installation et la vérification prennent quelques commandes simples à exécuter. Cette base est nécessaire avant de définir des règles plus fines et durables.
Installation et vérification d’iptables sur Ubuntu
La mise en place commence par installer le paquet et vérifier l’état courant. Exécutez sudo apt-get update puis sudo apt-get install iptables pour obtenir l’outil. Vérifiez l’état avec sudo iptables -L -v et observez les politiques par défaut.
Commande
Objectif
Exemple
sudo apt-get update
Actualiser les index de paquets
Préparer l’installation d’iptables
sudo apt-get install iptables
Installer l’utilitaire iptables
Rendre disponibles les commandes iptables
sudo iptables -L -v
Lister les règles et compteurs
Vérifier politiques INPUT/OUTPUT/FORWARD
sudo iptables-save
Exporter la configuration en texte
Backup vers /etc/iptables/rules.v4
sudo iptables-restore
Restaurer une configuration depuis un fichier
Réappliquer rules.v4 au démarrage
Commandes système essentielles :
- sudo apt-get update
- sudo apt-get install iptables
- sudo iptables -L -v
- sudo iptables-save > /etc/iptables/rules.v4
« J’ai sécurisé mon VPS en ajoutant des règles INPUT strictes et en sauvegardant les règles immédiatement. »
Fatima Z.
Règles de base pour autoriser localhost et ports courants
Après l’installation, autoriser le bouclage et les ports essentiels évite des blocages accidentels. Autorisez l’interface lo avec sudo iptables -A INPUT -i lo -j ACCEPT pour le bouclage. Ouvrez SSH, HTTP et HTTPS en précisant le protocole TCP et le paramètre –dport.
Ouvertures ports courants :
- sudo iptables -A INPUT -p tcp –dport 22 -j ACCEPT
- sudo iptables -A INPUT -p tcp –dport 80 -j ACCEPT
- sudo iptables -A INPUT -p tcp –dport 443 -j ACCEPT
Selon Hostinger, la règle DROP finale est essentielle pour fermer les portes non explicitement autorisées. Selon la documentation man, vérifiez toujours les numéros de ligne avant de supprimer une règle pour éviter une erreur.
Règles avancées et NAT pour réseaux locaux
Fort de la configuration initiale, abordons maintenant les règles avancées et la traduction d’adresses pour les réseaux locaux. Le NAT permet de publier ou masquer des adresses selon que l’IP publique soit statique ou dynamique. Apprendre SNAT, MASQUERADE et DNAT est crucial pour la protection réseau et la gestion des ports.
Utilisation du NAT : SNAT et MASQUERADE
Dans les topologies domestiques ou en entreprise, le choix entre SNAT et MASQUERADE dépend de l’IP publique. Utilisez MASQUERADE si l’adresse publique est dynamique, et SNAT si elle est fixe. Selon Netfilter.org, MASQUERADE remplace automatiquement l’adresse source par l’IP de sortie.
Bonnes pratiques NAT :
- Utiliser MASQUERADE pour IP publique dynamique
- Préférer SNAT pour IP publique statique et contrôle précis
- Limiter les services publiés au nécessaire dans la DMZ
- Documenter chaque redirection et son justificatif opérationnel
« La configuration DNAT nous a permis de publier le site sans exposer le réseau interne. »
Camille R.
DNAT et publication de services dans une DMZ
Pour exposer un serveur web, DNAT redirige le port public vers l’IP interne située en DMZ. Ensuite, la chaîne FORWARD doit autoriser le trafic vers le serveur et limiter les flux inutiles. Pour illustrer, le tableau ci‑dessous compare SNAT, DNAT et MASQUERADE selon l’usage.
Type
Direction
Usage typique
Remarque
SNAT
POSTROUTING
IP publique statique pour LAN sortant
Contrôle précis de l’adresse source
MASQUERADE
POSTROUTING
IP publique dynamique pour NAT sortant
Adapté aux interfaces DHCP
DNAT
PREROUTING/OUTPUT
Publication d’un service vers DMZ
Redirection port public → IP privée
Port forwarding
PREROUTING/FORWARD
Publication ciblée de services
Associer à règles FORWARD strictes
Selon la pratique, testez chaque DNAT en environnement non productif avant mise en service. L’usage conjoint de FORWARD et de politiques par défaut restrictives sécurise efficacement la DMZ.
Maintenance, persistance et bonnes pratiques pour la sécurité réseau
Après la publication des services, la persistance et la surveillance deviennent prioritaires pour maintenir la protection réseau. Sauvegarder les règles et automatiser leur restauration empêche les pertes après redémarrage ou mise à jour. Un passage régulier en revue réduit les erreurs et aligne le pare-feu avec la topologie.
Sauvegarde et restauration des règles iptables
La méthode standard consiste à exporter avec iptables-save et réappliquer avec iptables-restore. Placez les fichiers dans /etc/iptables et activez iptables-persistent pour automatiser le chargement. Selon Hostinger, iptables-persistent propose une installation guidée qui simplifie la persistance des règles.
Sauvegarde et restauration :
- Exporter : sudo iptables-save > /etc/iptables/rules.v4
- Restaurer : sudo iptables-restore < /etc/iptables/rules.v4
- Installer iptables-persistent pour chargement automatique
- Vérifier après restauration la connectivité SSH et services essentiels
« J’ai évité une coupure SSH grâce à un script de restauration automatique après une mauvaise règle. »
Alexandre L.
Audit, journalisation et durcissement opérationnel
Enfin, l’audit régulier et la journalisation complète permettent de détecter et corriger des comportements anormaux rapidement. Activez des règles LOG judicieuses et intégrez un IDS/IPS comme Suricata pour la détection. Selon la pratique, limitez les sources théoriquement invalides et documentez chaque ouverture de port.
Pratiques opérationnelles recommandées :
- Utiliser -m state –state ESTABLISHED,RELATED pour réponses légitimes
- Grouper les ports avec –dports pour simplifier les règles
- Créer chaînes personnalisées pour fonctions récurrentes et clarté
- Consigner tentatives bloquées pour analyse postérieure
« Un pare-feu bien documenté simplifie grandement les opérations et réduit les risques. »
Marc N.
Source : Fatima Z., « Tutoriel iptables pour VPS », Hostinger, 17 mai 2025.