Documentation<Précédent | Table des matières | Suivant>
3.3.2. iptables mascarade
iptables peut également être utilisé pour activer le mascarade.
• Semblable à ufw, la première étape consiste à activer le transfert de paquets IPv4 en éditant /etc/sysctl.conf et décommentez la ligne suivante :
net.ipv4.ip_forward = 1
Si vous souhaitez activer le transfert IPv6, décommentez également :
net.ipv6.conf.default.forwarding=1
• Ensuite, exécutez la commande sysctl pour activer les nouveaux paramètres dans le fichier de configuration :
sudo sysctl -p
• Le masquage IP peut désormais être accompli avec une seule règle iptables, qui peut différer légèrement en fonction de la configuration de votre réseau :
sudo iptables -t nat -A POSTROUTING -s 192.168.0.0/16 -o ppp0 -j MASQUERADE
La commande ci-dessus suppose que votre espace d'adressage privé est 192.168.0.0/16 et que votre périphérique connecté à Internet est ppp0. La syntaxe se décompose comme suit :
• -t nat -- la règle est d'aller dans la table nat
• -A POSTROUTING -- la règle est à ajouter (-A) à la chaîne POSTROUTING
• -s 192.168.0.0/16 -- la règle s'applique au trafic provenant de l'espace d'adressage spécifié
• -o ppp0 -- la règle s'applique au trafic programmé pour être acheminé via le périphérique réseau spécifié
• -j MASQUERADE -- le trafic correspondant à cette règle doit "sauter" (-j) vers la cible MASQUERADE à manipuler comme décrit ci-dessus
• De plus, chaque chaîne de la table de filtrage (la table par défaut, et où la plupart ou la totalité du filtrage de paquets se produit) a une valeur par défaut politique d'ACCEPTER, mais si vous créez un pare-feu en plus d'un périphérique de passerelle, vous avez peut-être défini les politiques sur DROP ou REJECT, auquel cas votre trafic masqué doit être autorisé à travers la chaîne FORWARD pour que la règle ci-dessus fonctionne :
sudo iptables -A FORWARD -s 192.168.0.0/16 -o ppp0 -j ACCEPTER sudo iptables -A FORWARD -d 192.168.0.0/16 -m état \
--state ÉTABLI, ASSOCIÉ -i ppp0 -j ACCEPTER
Les commandes ci-dessus permettront à toutes les connexions de votre réseau local à Internet et à tout le trafic lié à ces connexions de retourner à la machine qui les a initiées.
• Si vous souhaitez que le masquage soit activé au redémarrage, ce que vous faites probablement, modifiez /etc/rc.local et ajoutez toutes les commandes utilisées ci-dessus. Par exemple, ajoutez la première commande sans filtrage :
iptables -t nat -A POSTROUTING -s 192.168.0.0/16 -o ppp0 -j MASQUERADE