en to fr translation catalogue (88 entries)

note: type: Content of the iptables-size entity
en: 628 KB
fr: 628&nbsp;Ko

note: type: Content of the iptables-buildsize entity
en: 16 MB
fr: 16&nbsp;Mo

note: type: Content of the iptables-time entity
en: 0.1 SBU
fr: 0.1&nbsp;SBU

note: type: Content of: <sect1><sect2><title>
en: Introduction to iptables
fr: Introduction à iptables

note: type: Content of: <sect1><sect2><para>
en: <application>iptables</application> is a userspace command line program used to configure the Linux 2.4 and later kernel packet filtering ruleset.
fr: <application>iptables</application> est un programme en ligne de commande et en espace utilisateur utilisé pour configurer l'ensemble de règles de filtrage de paquets des noyaux Linux 2.4 et supérieurs

note: type: Content of: <sect1><sect2><bridgehead>
en: Package Information
fr: Informations sur le paquet

note: type: Content of: <sect1><sect2><itemizedlist><listitem><para>
en: Download (HTTP): <ulink url="&iptables-download-http;"/>
fr: Téléchargement (HTTP)&nbsp;: <ulink url="&iptables-download-http;"/>

note: type: Content of: <sect1><sect2><itemizedlist><listitem><para>
en: Download (FTP): <ulink url="&iptables-download-ftp;"/>
fr: Téléchargement (FTP)&nbsp;: <ulink url="&iptables-download-ftp;"/>

note: type: Content of: <sect1><sect2><itemizedlist><listitem><para>
en: Download MD5 sum: &iptables-md5sum;
fr: Somme de contrôle MD5&nbsp;: &iptables-md5sum;

note: type: Content of: <sect1><sect2><itemizedlist><listitem><para>
en: Download size: &iptables-size;
fr: Taille du téléchargement&nbsp;: &iptables-size;

note: type: Content of: <sect1><sect2><itemizedlist><listitem><para>
en: Estimated disk space required: &iptables-buildsize;
fr: Estimation de l'espace disque requis&nbsp;: &iptables-buildsize;

note: type: Content of: <sect1><sect2><itemizedlist><listitem><para>
en: Estimated build time: &iptables-time;
fr: Estimation du temps de construction&nbsp;: &iptables-time;

note: type: Content of: <sect1><sect2><bridgehead>
en: iptables Dependencies
fr: Dépendances de iptables

note: type: Content of: <sect1><sect2><bridgehead>
en: Optional
fr: Facultatives

note: <xref linkend="nftables"/> , type: Content of: <sect1><sect2><para>
en: <xref linkend="libpcap"/> (required for BPF compiler or nfsynproxy support), <ulink url="https://github.com/tadamdam/bpf-utils">bpf-utils</ulink> (required for Berkeley Packet Filter support), <ulink url="https://netfilter.org/projects/libnfnetlink/">libnfnetlink</ulink> (required for connlabel support), <ulink url="https://netfilter.org/projects/libnetfilter_conntrack/">libnetfilter_conntrack</ulink> (required for connlabel support), and <ulink url="https://netfilter.org/projects/nftables/">nftables</ulink>
fr: <xref linkend="libpcap"/> (requis pour la prise en charge du compilateur BPF et de nfsynproxy), <ulink url="https://github.com/tadamdam/bpf-utils">bpf-utils</ulink> (requis pour la prise en charge de Berkely Packet Filter), <ulink url="https://netfilter.org/projects/libnfnetlink/">libnfnetlink</ulink> (requis pour la prise en charge de connlabel), <ulink url="https://netfilter.org/projects/libnetfilter_conntrack/">libnetfilter_conntrack"</ulink> (requis pour la prise en charge de connlabel) et <ulink url="https://netfilter.org/projects/nftables/">nftables</ulink>

note: type: Content of: <sect1><sect2><title>
en: Kernel Configuration
fr: Configuration du noyau

note: type: Content of: <sect1><sect2><para>
en: A firewall in Linux is accomplished through the netfilter interface. To use <application>iptables</application> to configure netfilter, the following kernel configuration parameters are required:
fr: Sur Linux, on a un pare-feu via l'interface netfilter. Pour utiliser <application>iptables</application> pour configurer netfilter, les paramètres du noyau suivants sont requis&nbsp;:

note: type: Content of: <sect1><sect2><para>
en: Include any connection tracking protocols that will be used, as well as any protocols that you wish to use for match support under the "Core Netfilter Configuration" section. The above options are enough for running <xref linkend="fw-persFw-ipt"/> below.
fr: Ajoutez tous les protocoles de suivi de connexion que vous utiliserez, ainsi que tous les protocoles que vous voulez utiliser pour la prise en charge de leur détection dans la section «&nbsp;Core Netfilter Configuration&nbsp;». Les options ci-dessus sont suffisantes pour lancer <xref linkend="fw-persFw-ipt"/>.

note: type: Content of: <sect1><sect2><title>
en: Installation of iptables
fr: Installation de iptables

note: type: Content of: <sect1><sect2><note><para>
en: The installation below does not include building some specialized extension libraries which require the raw headers in the <application>Linux</application> source code. If you wish to build the additional extensions (if you aren't sure, then you probably don't), you can look at the <filename>INSTALL</filename> file to see an example of how to change the <parameter>KERNEL_DIR=</parameter> parameter to point at the <application>Linux</application> source code. Note that if you upgrade the kernel version, you may also need to recompile <application>iptables</application> and that the BLFS team has not tested using the raw kernel headers.
fr: L'installation ci-dessous n'inclut pas la construction de quelques bibliothèques d'extension spécialisées qui exigent les en-têtes raw dans le code source de <application>Linux</application>. Si vous souhaitez construire des extensions supplémentaires (si vous n'êtes pas sûr, vous n'en avez probablement pas besoin), vous pouvez regarder le fichier <filename>INSTALL</filename> pour voir un exemple de la façon de modifier le paramètre <parameter>KERNEL_DIR=</parameter> pour pointer vers le code source de <application>Linux</application>. Remarquez que si vous mettez à jour la version du noyau, il se peut que vous deviez aussi recompiler <application>iptables</application> et que l'équipe BLFS n'a pas testé l'utilisation des en-têtes du noyau raw.

note: type: Content of: <sect1><sect2><para>
en: Install <application>iptables</application> by running the following commands:
fr: Installez <application>iptables</application> en exécutant les commandes suivantes&nbsp;:

note: there is a iptables-test.py script which seems to run a lot of tests. Unfortunately, success rate is 50% only. Needs to be clarified how to use and which prerequisites are required to run to 100%. Contacted Shekhar Sharma for that (Dec'19), waiting for answer (thomas). type: Content of: <sect1><sect
en: This package does not come with a test suite.
fr: Ce paquet n'a pas de suite de tests.

note: type: Content of: <sect1><sect2><para>
en: Now, as the <systemitem class="username">root</systemitem> user:
fr: Maintenant, en tant qu'utilisateur <systemitem class="username">root</systemitem>&nbsp;:

note: type: Content of: <sect1><sect2><title>
en: Command Explanations
fr: Explication des commandes

note: Omit this switch if you have installed <xref linkend="nftables"/> . type: Content of: <sect1><sect2><para>
en: <parameter>--disable-nftables</parameter>: This switch disables building nftables compatibility.
fr: <parameter>--disable-nftables</parameter>&nbsp;: ce paramètre désactive la construction de la compatibilité nftables.

note: type: Content of: <sect1><sect2><para>
en: <parameter>--enable-libipq</parameter>: This switch enables building of <filename class="libraryfile">libipq.so</filename> which can be used by some packages outside of BLFS.
fr: <parameter>--enable-libipq</parameter>&nbsp;: Ce paramètre active la construction de <filename class="libraryfile">libipq.so</filename> qui peut être utilisé par certains paquets extérieurs à BLFS.

note: type: Content of: <sect1><sect2><para>
en: <option>--enable-nfsynproxy</option>: This switch enables installation of <application>nfsynproxy</application> SYNPROXY configuration tool.
fr: <option>--enable-nfsynproxy</option>&nbsp;: Ce paramètre active l'installation de l'outil de configuration SYNPROXY de <application>nfsynproxy</application>.

note: type: Content of: <sect1><sect2><title>
en: Configuring iptables
fr: Configuration de iptables

note: type: Content of: <sect1><sect2><note><para>
en: In the following example configurations, <emphasis role="strong">LAN1</emphasis> is used for the internal LAN interface, and <emphasis role="strong">WAN1</emphasis> is used for the external interface connected to the Internet. You will need to replace these values with appropriate interface names for your system.
fr: Dans les exemples de configuration suivants, <emphasis role="strong">LAN1</emphasis> est utilisé pour l'interface LAN et <emphasis role="strong">WAN1</emphasis> pour l'interface externe connectée à Internet. Vous devrez remplacer ces valeurs avec les noms d'interfaces correspondants à votre système.

note: type: Attribute 'xreflabel' of: <sect1><sect2><sect3>
en: Creating a Personal Firewall With iptables
fr: Créer un pare-feu personnel avec iptables

note: type: Content of: <sect1><sect2><sect3><title>
en: Personal Firewall
fr: Pare-feu personnel

note: type: Content of: <sect1><sect2><sect3><para>
en: A Personal Firewall is designed to let you access all the services offered on the Internet while keeping your computer secure and your data private.
fr: Un pare-feu personnel est conçu pour vous permettre d'accéder à tous les services offerts sur internet, mais de garder votre ordinateur sécurisé et vos données privées.

note: type: Content of: <sect1><sect2><sect3><para>
en: Below is a slightly modified version of Rusty Russell's recommendation from the <ulink url="https://www.netfilter.org/documentation/HOWTO/packet-filtering-HOWTO.html"> Linux 2.4 Packet Filtering HOWTO</ulink>. It is still applicable to the Linux 6.x kernels.
fr: Voici une version légèrement modifiée de la recommandation de Rusty Russell sur <ulink url="https://www.netfilter.org/documentation/HOWTO/packet-filtering-HOWTO.html">le guide de Packet Filter de Linux 2.4</ulink>. Elle est toujours d'actualité pour les noyaux 6.x.

note: type: Content of: <sect1><sect2><sect3><screen>
en: <?dbfo keep-together="auto"?><userinput>cat &gt; /etc/rc.d/rc.iptables &lt;&lt; "EOF"
    <literal>#!/bin/sh
    
    # Begin rc.iptables
    
    # Insert connection-tracking modules
    # (not needed if built into the kernel)
    modprobe nf_conntrack
    modprobe xt_LOG
    
    # Enable broadcast echo Protection
    echo 1 &gt; /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
    
    # Disable Source Routed Packets
    echo 0 &gt; /proc/sys/net/ipv4/conf/all/accept_source_route
    echo 0 &gt; /proc/sys/net/ipv4/conf/default/accept_source_route
    
    # Enable TCP SYN Cookie Protection
    echo 1 &gt; /proc/sys/net/ipv4/tcp_syncookies
    
    # Disable ICMP Redirect Acceptance
    echo 0 &gt; /proc/sys/net/ipv4/conf/default/accept_redirects
    
    # Do not send Redirect Messages
    echo 0 &gt; /proc/sys/net/ipv4/conf/all/send_redirects
    echo 0 &gt; /proc/sys/net/ipv4/conf/default/send_redirects
    
    # Drop Spoofed Packets coming in on an interface, where responses
    # would result in the reply going out a different interface.
    echo 1 &gt; /proc/sys/net/ipv4/conf/all/rp_filter
    echo 1 &gt; /proc/sys/net/ipv4/conf/default/rp_filter
    
    # Log packets with impossible addresses.
    echo 1 &gt; /proc/sys/net/ipv4/conf/all/log_martians
    echo 1 &gt; /proc/sys/net/ipv4/conf/default/log_martians
    
    # be verbose on dynamic ip-addresses  (not needed in case of static IP)
    echo 2 &gt; /proc/sys/net/ipv4/ip_dynaddr
    
    # disable Explicit Congestion Notification
    # too many routers are still ignorant
    echo 0 &gt; /proc/sys/net/ipv4/tcp_ecn
    
    # Set a known state
    iptables -P INPUT   DROP
    iptables -P FORWARD DROP
    iptables -P OUTPUT  DROP
    
    # These lines are here in case rules are already in place and the
    # script is ever rerun on the fly. We want to remove all rules and
    # pre-existing user defined chains before we implement new rules.
    iptables -F
    iptables -X
    iptables -Z
    
    iptables -t nat -F
    
    # Allow local-only connections
    iptables -A INPUT  -i lo -j ACCEPT
    
    # Free output on any interface to any ip for any service
    # (equal to -P ACCEPT)
    iptables -A OUTPUT -j ACCEPT
    
    # Permit answers on already established connections
    # and permit new connections related to established ones
    # (e.g. port mode ftp)
    iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
    
    # Drop any incoming MULTICAST or BROADCAST packet before logging:
    # The box outputs several of them when using netbios or mDNS, and those
    # appear immediately as incoming, which clutters the log.
    iptables -A INPUT -m addrtype --dst-type BROADCAST,MULTICAST -j DROP
    
    # Log everything else.
    iptables -A INPUT -j LOG --log-prefix "FIREWALL:INPUT "
    
    # End $rc_base/rc.iptables</literal>
    EOF
    chmod 700 /etc/rc.d/rc.iptables</userinput>
fr: <?dbfo keep-together="auto"?><userinput>cat &gt; /etc/rc.d/rc.iptables &lt;&lt; "EOF"
    <literal>#!/bin/sh
    
    # Début de rc.iptables
    
    # Insertion des modules de suivie de connection
    # (inutile si vous les avez construit en dur dans le noyau)
    modprobe nf_conntrack
    modprobe xt_LOG
    
    # Activation de la protection contre echo en broadcast
    echo 1 &gt; /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
    
    # Désactivation des paquets routés à la source
    echo 0 &gt; /proc/sys/net/ipv4/conf/all/accept_source_route
    echo 0 &gt; /proc/sys/net/ipv4/conf/default/accept_source_route
    
    # Activation de la protection du cookie TCP SYN
    echo 1 &gt; /proc/sys/net/ipv4/tcp_syncookies
    
    # Désactivation de l'acceptation des redirections ICMP
    echo 0 &gt; /proc/sys/net/ipv4/conf/default/accept_redirects
    
    # Ne pas envoyer de messages de redirection
    echo 0 &gt; /proc/sys/net/ipv4/conf/all/send_redirects
    echo 0 &gt; /proc/sys/net/ipv4/conf/default/send_redirects
    
    # Abandon des paquets spoofés qui arrivent sur une interface si une réponse
    # demanderait d'envoyer la réponse sur une autre interface.
    echo 1 &gt; /proc/sys/net/ipv4/conf/all/rp_filter
    echo 1 &gt; /proc/sys/net/ipv4/conf/default/rp_filter
    
    # Enregistrement des paquets avec des adresses impossibles.
    echo 1 &gt; /proc/sys/net/ipv4/conf/all/log_martians
    echo 1 &gt; /proc/sys/net/ipv4/conf/default/log_martians
    
    # être verbeux pour les adresses dynamiques (inutile pour les adresses IP statiques)
    echo 2 &gt; /proc/sys/net/ipv4/ip_dynaddr
    
    # désactivation de la notification de congestion explicite
    # trop de routeurs les ignorent encore
    echo 0 &gt; /proc/sys/net/ipv4/tcp_ecn
    
    # Appliquer un état connu
    iptables -P INPUT   DROP
    iptables -P FORWARD DROP
    iptables -P OUTPUT  DROP
    
    # Ces lignes se trouvent ici au cas où les règles seraient déjà mises en place et que le
    # script est relancé à la volée. Nous voulons supprimer toutes les règles et
    # les chaînes personnalisées préexistantes avant d'implanter de nouvelles règles.
    iptables -F
    iptables -X
    iptables -Z
    
    iptables -t nat -F
    
    # Permettre les connections locales
    iptables -A INPUT  -i lo -j ACCEPT
    
    # Libère la sortie sur toutes les interfaces vers n'importe quelle IP pour n'importe quel service
    # (équivalent à -P ACCEPT)
    iptables -A OUTPUT -j ACCEPT
    
    # Permet au réponses aux connections déjà établie et permet de nouvelles connections
    # liées à celles qui sont déjà établies
    # (p. ex. le mode port de ftp)
    iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
    
    # Supprime tous les paquets MULTICAST ou BROADCAST entrants avant de journaliser :
    # Votre box en crée plusieurs lorsqu'elle utilise netbios ou mDNS, et ils apparaissent
    # immédiatement comme entrants, ce qui encombre les journaux.
    iptables -A INPUT -m addrtype --dst-type BROADCAST,MULTICAST -j DROP
    
    # Enregistrer tout le reste.
    iptables -A INPUT -j LOG --log-prefix "FIREWALL:INPUT "
    
    # Find de $rc_base/rc.iptables</literal>
    EOF
    chmod 700 /etc/rc.d/rc.iptables</userinput>

note: type: Content of: <sect1><sect2><sect3><screen>
en: <?dbfo keep-together="auto"?><userinput>install -v -dm755 /etc/systemd/scripts
    
    cat &gt; /etc/systemd/scripts/iptables &lt;&lt; "EOF"
    <literal>#!/bin/sh
    
    # Begin /etc/systemd/scripts/iptables
    
    # Insert connection-tracking modules
    # (not needed if built into the kernel)
    modprobe nf_conntrack
    modprobe xt_LOG
    
    # Enable broadcast echo Protection
    echo 1 &gt; /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
    
    # Disable Source Routed Packets
    echo 0 &gt; /proc/sys/net/ipv4/conf/all/accept_source_route
    echo 0 &gt; /proc/sys/net/ipv4/conf/default/accept_source_route
    
    # Enable TCP SYN Cookie Protection
    echo 1 &gt; /proc/sys/net/ipv4/tcp_syncookies
    
    # Disable ICMP Redirect Acceptance
    echo 0 &gt; /proc/sys/net/ipv4/conf/default/accept_redirects
    
    # Do not send Redirect Messages
    echo 0 &gt; /proc/sys/net/ipv4/conf/all/send_redirects
    echo 0 &gt; /proc/sys/net/ipv4/conf/default/send_redirects
    
    # Drop Spoofed Packets coming in on an interface, where responses
    # would result in the reply going out a different interface.
    echo 1 &gt; /proc/sys/net/ipv4/conf/all/rp_filter
    echo 1 &gt; /proc/sys/net/ipv4/conf/default/rp_filter
    
    # Log packets with impossible addresses.
    echo 1 &gt; /proc/sys/net/ipv4/conf/all/log_martians
    echo 1 &gt; /proc/sys/net/ipv4/conf/default/log_martians
    
    # be verbose on dynamic ip-addresses  (not needed in case of static IP)
    echo 2 &gt; /proc/sys/net/ipv4/ip_dynaddr
    
    # disable Explicit Congestion Notification
    # too many routers are still ignorant
    echo 0 &gt; /proc/sys/net/ipv4/tcp_ecn
    
    # Set a known state
    iptables -P INPUT   DROP
    iptables -P FORWARD DROP
    iptables -P OUTPUT  DROP
    
    # These lines are here in case rules are already in place and the
    # script is ever rerun on the fly. We want to remove all rules and
    # pre-existing user defined chains before we implement new rules.
    iptables -F
    iptables -X
    iptables -Z
    
    iptables -t nat -F
    
    # Allow local-only connections
    iptables -A INPUT  -i lo -j ACCEPT
    
    # Free output on any interface to any ip for any service
    # (equal to -P ACCEPT)
    iptables -A OUTPUT -j ACCEPT
    
    # Permit answers on already established connections
    # and permit new connections related to established ones
    # (e.g. port mode ftp)
    iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
    
    # Log everything else.
    iptables -A INPUT -j LOG --log-prefix "FIREWALL:INPUT "
    
    # End /etc/systemd/scripts/iptables</literal>
    EOF
    chmod 700 /etc/systemd/scripts/iptables</userinput>
fr: <?dbfo keep-together="auto"?><userinput>install -v -dm755 /etc/systemd/scripts
    
    cat &gt; /etc/systemd/scripts/iptables &lt;&lt; "EOF"
    <literal>#!/bin/sh
    
    # Début de /etc/systemd/scripts/iptables
    
    # Insertion des modules de suivie de connection
    # (inutile si vous les avez construit en dur dans le noyau)
    modprobe nf_conntrack
    modprobe xt_LOG
    
    # Activation de la protection contre echo en broadcast
    echo 1 &gt; /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
    
    # Désactivation des paquets routés à la source
    echo 0 &gt; /proc/sys/net/ipv4/conf/all/accept_source_route
    echo 0 &gt; /proc/sys/net/ipv4/conf/default/accept_source_route
    
    # Activation de la protection du cookie TCP SYN
    echo 1 &gt; /proc/sys/net/ipv4/tcp_syncookies
    
    # Désactivation de l'acceptation des redirections ICMP
    echo 0 &gt; /proc/sys/net/ipv4/conf/default/accept_redirects
    
    # Ne pas envoyer de messages de redirection
    echo 0 &gt; /proc/sys/net/ipv4/conf/all/send_redirects
    echo 0 &gt; /proc/sys/net/ipv4/conf/default/send_redirects
    
    # Abandon des paquets spoofés qui arrivent sur une interface si une réponse
    # demanderait d'envoyer la réponse sur une autre interface.
    echo 1 &gt; /proc/sys/net/ipv4/conf/all/rp_filter
    echo 1 &gt; /proc/sys/net/ipv4/conf/default/rp_filter
    
    # Enregistrement des paquets avec des adresses impossibles.
    echo 1 &gt; /proc/sys/net/ipv4/conf/all/log_martians
    echo 1 &gt; /proc/sys/net/ipv4/conf/default/log_martians
    
    # être verbeux pour les adresses dynamiques (inutile pour les adresses IP statiques)
    echo 2 &gt; /proc/sys/net/ipv4/ip_dynaddr
    
    # désactivation de la notification de congestion explicite
    # trop de routeurs les ignorent encore
    echo 0 &gt; /proc/sys/net/ipv4/tcp_ecn
    
    # Appliquer un état connu
    iptables -P INPUT   DROP
    iptables -P FORWARD DROP
    iptables -P OUTPUT  DROP
    
    # Ces lignes se trouvent ici au cas où les règles seraient déjà mises en place et que le
    # script est relancé à la volée. Nous voulons supprimer toutes les règles et
    # les chaînes personnalisées préexistantes avant d'implanter de nouvelles règles.
    iptables -F
    iptables -X
    iptables -Z
    
    iptables -t nat -F
    
    # Permettre les connections locales
    iptables -A INPUT  -i lo -j ACCEPT
    
    # Libère la sortie sur toutes les interfaces vers n'importe quelle IP pour n'importe quel service
    # (équivalent à -P ACCEPT)
    iptables -A OUTPUT -j ACCEPT
    
    # Permet au réponses aux connections déjà établie et permet de nouvelles connections
    # liées à celles qui sont déjà établies
    # (p. ex. le mode port de ftp)
    iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
    
    # Enregistrer tout le reste.
    iptables -A INPUT -j LOG --log-prefix "FIREWALL:INPUT "
    
    # Fin de /etc/systemd/scripts/iptables</literal>
    EOF
    chmod 700 /etc/systemd/scripts/iptables</userinput>

note: type: Content of: <sect1><sect2><sect3><para>
en: This script is quite simple, it drops all traffic coming into your computer that wasn't initiated from your computer, but as long as you are simply surfing the Internet you are unlikely to exceed its limits.
fr: Ce script est assez simple, il jette tout le trafic entrant dans votre ordinateur s'il n'a pas été initié par votre ordinateur, mais tant que vous vous contentez de surfer sur internet, vous ne dépasserez pas les limites.

note: type: Content of: <sect1><sect2><sect3><para>
en: If you frequently encounter certain delays at accessing FTP servers, take a look at <xref linkend="fw-BB-4-ipt"/>.
fr: Si vous rencontrez régulièrement des délais lors de l'accès à des serveurs FTP, regardez <xref linkend="fw-BB-4-ipt"/>.

note: type: Content of: <sect1><sect2><sect3><para>
en: Even if you have daemons or services running on your system, these will be inaccessible everywhere but from your computer itself.  If you want to allow access to services on your machine, such as <command>ssh</command> or <command>ping</command>, take a look at <xref linkend="fw-busybox-ipt"/>.
fr: Même si vous avez des démons ou des services qui tournent sur votre système, ils seront inaccessibles de n'importe où en dehors de l'ordinateur lui-même. Si vous voulez permettre l'accès aux services sur votre machine, comme <command>ssh</command> ou <command>ping</command>, regardez <xref linkend="fw-busybox-ipt"/>.

note: type: Attribute 'xreflabel' of: <sect1><sect2><sect3>
en: Creating a Masquerading Router With iptables
fr: Création d'un routeur masquant avec iptables

note: type: Content of: <sect1><sect2><sect3><title>
en: Masquerading Router
fr: Routeur masquant

note: type: Content of: <sect1><sect2><sect3><para>
en: A Network Firewall has two interfaces, one connected to an intranet, in this example <emphasis role="strong">LAN1</emphasis>, and one connected to the Internet, here <emphasis role="strong">WAN1</emphasis>. To provide the maximum security for the firewall itself, make sure that there are no unnecessary servers running on it such as <application>X11</application>.  As a general principle, the firewall itself should not access any untrusted service (think of a remote server giving answers that makes a daemon on your system crash, or even worse, that implements a worm via a buffer-overflow).
fr: Un pare-feu réseau a deux interface, l'une connectée à un intranet, dans cet exemple <emphasis role="strong">LAN1</emphasis> et l'autre connectée à internet, ici <emphasis role="strong">WAN1</emphasis>. Pour fournir le plus de sécurité au pare-feu lui-même, assurez-vous qu'il n'y a pas de serveurs inutiles dessus comme <application>X11</application> et compagnie. En général, le pare-feu lui-même ne devrait pas accéder à des services qui ne sont pas de confiance (pensez à un serveur distant qui donne des réponses qui font crasher un démon de votre système, ou pire, qui implémente un vers via un dépassement de tampon).

note: type: Content of: <sect1><sect2><sect3><screen>
en: <?dbfo keep-together="auto"?><userinput>cat &gt; /etc/rc.d/rc.iptables &lt;&lt; "EOF"
    <literal>#!/bin/sh
    
    # Begin rc.iptables
    
    echo
    echo "You're using the example configuration for a setup of a firewall"
    echo "from Beyond Linux From Scratch."
    echo "This example is far from being complete, it is only meant"
    echo "to be a reference."
    echo "Firewall security is a complex issue, that exceeds the scope"
    echo "of the configuration rules below."
    echo "You can find additional information"
    echo "about firewalls in Chapter 4 of the BLFS book."
    echo "https://www.&lfs-domainname;/blfs"
    echo
    
    # Insert iptables modules (not needed if built into the kernel).
    
    modprobe nf_conntrack
    modprobe nf_conntrack_ftp
    modprobe xt_conntrack
    modprobe xt_LOG
    modprobe xt_state
    
    # Enable broadcast echo Protection
    echo 1 &gt; /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
    
    # Disable Source Routed Packets
    echo 0 &gt; /proc/sys/net/ipv4/conf/all/accept_source_route
    
    # Enable TCP SYN Cookie Protection
    echo 1 &gt; /proc/sys/net/ipv4/tcp_syncookies
    
    # Disable ICMP Redirect Acceptance
    echo 0 &gt; /proc/sys/net/ipv4/conf/all/accept_redirects
    
    # Don't send Redirect Messages
    echo 0 &gt; /proc/sys/net/ipv4/conf/default/send_redirects
    
    # Drop Spoofed Packets coming in on an interface where responses
    # would result in the reply going out a different interface.
    echo 1 &gt; /proc/sys/net/ipv4/conf/default/rp_filter
    
    # Log packets with impossible addresses.
    echo 1 &gt; /proc/sys/net/ipv4/conf/all/log_martians
    
    # Be verbose on dynamic ip-addresses  (not needed in case of static IP)
    echo 2 &gt; /proc/sys/net/ipv4/ip_dynaddr
    
    # Disable Explicit Congestion Notification
    # Too many routers are still ignorant
    echo 0 &gt; /proc/sys/net/ipv4/tcp_ecn
    
    # Set a known state
    iptables -P INPUT   DROP
    iptables -P FORWARD DROP
    iptables -P OUTPUT  DROP
    
    # These lines are here in case rules are already in place and the
    # script is ever rerun on the fly. We want to remove all rules and
    # pre-existing user defined chains before we implement new rules.
    iptables -F
    iptables -X
    iptables -Z
    
    iptables -t nat -F
    
    # Allow local connections
    iptables -A INPUT  -i lo -j ACCEPT
    iptables -A OUTPUT -o lo -j ACCEPT
    
    # Allow forwarding if the initiated on the intranet
    iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
    iptables -A FORWARD ! -i WAN1 -m conntrack --ctstate NEW       -j ACCEPT
    
    # Do masquerading
    # (not needed if intranet is not using private ip-addresses)
    iptables -t nat -A POSTROUTING -o WAN1 -j MASQUERADE
    
    # Log everything for debugging
    # (last of all rules, but before policy rules)
    iptables -A INPUT   -j LOG --log-prefix "FIREWALL:INPUT "
    iptables -A FORWARD -j LOG --log-prefix "FIREWALL:FORWARD "
    iptables -A OUTPUT  -j LOG --log-prefix "FIREWALL:OUTPUT "
    
    # Enable IP Forwarding
    echo 1 &gt; /proc/sys/net/ipv4/ip_forward</literal>
    EOF
    chmod 700 /etc/rc.d/rc.iptables</userinput>
fr: <?dbfo keep-together="auto"?><userinput>cat &gt; /etc/rc.d/rc.iptables &lt;&lt; "EOF"
    <literal>#!/bin/sh
    
    # Début de rc.iptables
    
    echo
    echo "Vous utilisez la configuration d'exemple de mise en place d'un pare-feu"
    echo "de Beyond Linux From Scratch."
    echo "Cet exemple est loin d'être complet, il n'est conçu que"
    echo "pour référence."
    echo "La sécurité des pare-feux est un problème complexe qui dépasse la portée"
    echo "des règles de configuration ci-dessous."
    echo "Vous trouverez des compléments d'information"
    echo "sur les pare-feux au chapitre 4 du livre BLFS."
    echo "https://www.&lfs-domainname;/blfs"
    echo
    
    # Insertion des modules iptables (inutile si vous les avez construits en dur dans le noyau).
    
    modprobe nf_conntrack
    modprobe nf_conntrack_ftp
    modprobe xt_conntrack
    modprobe xt_LOG
    modprobe xt_state
    
    # Activation de la protection contre echo en broadcast
    echo 1 &gt; /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
    
    # Désactivation des paquets routés à la source
    echo 0 &gt; /proc/sys/net/ipv4/conf/all/accept_source_route
    
    # Activation de la protection du cookie TCP SYN
    echo 1 &gt; /proc/sys/net/ipv4/tcp_syncookies
    
    # Désactivation de l'acceptation des redirections ICMP
    echo 0 &gt; /proc/sys/net/ipv4/conf/all/accept_redirects
    
    # Ne pas envoyer de messages de redirection
    echo 0 &gt; /proc/sys/net/ipv4/conf/default/send_redirects
    
    # Abandon des paquets spoofés qui arrivent sur une interface si une réponse
    # demanderait d'envoyer la réponse sur une autre interface.
    echo 1 &gt; /proc/sys/net/ipv4/conf/default/rp_filter
    
    # Enregistrement des paquets avec des adresses impossibles.
    echo 1 &gt; /proc/sys/net/ipv4/conf/all/log_martians
    
    # être verbeux pour les adresses dynamiques (inutile pour les adresses IP statiques)
    echo 2 &gt; /proc/sys/net/ipv4/ip_dynaddr
    
    # désactivation de la notification de congestion explicite
    # trop de routeurs les ignorent encore
    echo 0 &gt; /proc/sys/net/ipv4/tcp_ecn
    
    # Appliquer un état connu
    iptables -P INPUT   DROP
    iptables -P FORWARD DROP
    iptables -P OUTPUT  DROP
    
    # Ces lignes se trouvent ici au cas où les règles seraient déjà mises en place et que le
    # script est relancé à la volée. Nous voulons supprimer toutes les règles et
    # les chaînes personnalisées préexistantes avant d'implanter de nouvelles règles.
    iptables -F
    iptables -X
    iptables -Z
    
    iptables -t nat -F
    
    # Permettre les connections locales
    iptables -A INPUT  -i lo -j ACCEPT
    iptables -A OUTPUT -o lo -j ACCEPT
    
    # Permettre le transfert s'il est initié par l'intranet
    iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
    iptables -A FORWARD ! -i WAN1 -m conntrack --ctstate NEW       -j ACCEPT
    
    # Effectuer le masquage
    # (pas requis si l'intranet n'utilise pas des adresses IP privéesf intranet is not using private ip-addresses)
    iptables -t nat -A POSTROUTING -o WAN1 -j MASQUERADE
    
    # Tout enregistrer pour le débogage
    # (dernière de toutes les règles, mais avant les règles de politique)
    iptables -A INPUT   -j LOG --log-prefix "FIREWALL:INPUT "
    iptables -A FORWARD -j LOG --log-prefix "FIREWALL:FORWARD "
    iptables -A OUTPUT  -j LOG --log-prefix "FIREWALL:OUTPUT "
    
    # Activation du transfert IP
    echo 1 &gt; /proc/sys/net/ipv4/ip_forward</literal>
    EOF
    chmod 700 /etc/rc.d/rc.iptables</userinput>

note: type: Content of: <sect1><sect2><sect3><screen>
en: <?dbfo keep-together="auto"?><userinput>install -v -dm755 /etc/systemd/scripts
    
    cat &gt; /etc/systemd/scripts/iptables &lt;&lt; "EOF"
    <literal>#!/bin/sh
    
    # Begin /etc/systemd/scripts/iptables
    
    echo
    echo "You're using the example configuration for a setup of a firewall"
    echo "from Beyond Linux From Scratch."
    echo "This example is far from being complete, it is only meant"
    echo "to be a reference."
    echo "Firewall security is a complex issue, that exceeds the scope"
    echo "of the configuration rules below."
    
    echo "You can find additional information"
    echo "about firewalls in Chapter 4 of the BLFS book."
    echo "https://www.&lfs-domainname;/blfs"
    echo
    
    # Insert iptables modules (not needed if built into the kernel).
    
    modprobe nf_conntrack
    modprobe nf_conntrack_ftp
    modprobe xt_conntrack
    modprobe xt_LOG
    modprobe xt_state
    
    # Enable broadcast echo Protection
    echo 1 &gt; /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
    
    # Disable Source Routed Packets
    echo 0 &gt; /proc/sys/net/ipv4/conf/all/accept_source_route
    
    # Enable TCP SYN Cookie Protection
    echo 1 &gt; /proc/sys/net/ipv4/tcp_syncookies
    
    # Disable ICMP Redirect Acceptance
    echo 0 &gt; /proc/sys/net/ipv4/conf/all/accept_redirects
    
    # Don't send Redirect Messages
    echo 0 &gt; /proc/sys/net/ipv4/conf/default/send_redirects
    
    # Drop Spoofed Packets coming in on an interface where responses
    # would result in the reply going out a different interface.
    echo 1 &gt; /proc/sys/net/ipv4/conf/default/rp_filter
    
    # Log packets with impossible addresses.
    echo 1 &gt; /proc/sys/net/ipv4/conf/all/log_martians
    
    # Be verbose on dynamic ip-addresses  (not needed in case of static IP)
    echo 2 &gt; /proc/sys/net/ipv4/ip_dynaddr
    
    # Disable Explicit Congestion Notification
    # Too many routers are still ignorant
    echo 0 &gt; /proc/sys/net/ipv4/tcp_ecn
    
    # Set a known state
    iptables -P INPUT   DROP
    iptables -P FORWARD DROP
    iptables -P OUTPUT  DROP
    
    # These lines are here in case rules are already in place and the
    # script is ever rerun on the fly. We want to remove all rules and
    # pre-existing user defined chains before we implement new rules.
    iptables -F
    iptables -X
    iptables -Z
    
    iptables -t nat -F
    
    # Allow local connections
    iptables -A INPUT  -i lo -j ACCEPT
    iptables -A OUTPUT -o lo -j ACCEPT
    
    # Allow forwarding if the initiated on the intranet
    iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
    iptables -A FORWARD ! -i WAN1 -m conntrack --ctstate NEW       -j ACCEPT
    
    # Do masquerading
    # (not needed if intranet is not using private ip-addresses)
    iptables -t nat -A POSTROUTING -o WAN1 -j MASQUERADE
    
    # Log everything for debugging
    # (last of all rules, but before policy rules)
    iptables -A INPUT   -j LOG --log-prefix "FIREWALL:INPUT "
    iptables -A FORWARD -j LOG --log-prefix "FIREWALL:FORWARD "
    iptables -A OUTPUT  -j LOG --log-prefix "FIREWALL:OUTPUT "
    
    # Enable IP Forwarding
    echo 1 &gt; /proc/sys/net/ipv4/ip_forward
    
    # The following sections allow inbound packets for specific examples
    # Uncomment the example lines and adjust as necessary
    
    # Allow ping on the external interface
    #iptables -A INPUT  -p icmp -m icmp --icmp-type echo-request -j ACCEPT
    #iptables -A OUTPUT -p icmp -m icmp --icmp-type echo-reply   -j ACCEPT
    
    # Reject ident packets with TCP reset to avoid delays with FTP or IRC
    #iptables -A INPUT  -p tcp --dport 113 -j REJECT --reject-with tcp-reset
    
    # Allow HTTP and HTTPS to 192.168.0.2
    #iptables -A PREROUTING -t nat -i WAN1 -p tcp --dport 80 -j DNAT --to 192.168.0.2
    #iptables -A PREROUTING -t nat -i WAN1 -p tcp --dport 443 -j DNAT --to 192.168.0.2
    #iptables -A FORWARD -p tcp -d 192.168.0.2 --dport 80 -j ACCEPT
    #iptables -A FORWARD -p tcp -d 192.168.0.2 --dport 443 -j ACCEPT
    
    # End /etc/systemd/scripts/iptables</literal>
    EOF
    chmod 700 /etc/systemd/scripts/iptables</userinput>
fr: <?dbfo keep-together="auto"?><userinput>install -v -dm755 /etc/systemd/scripts
    
    cat &gt; /etc/systemd/scripts/iptables &lt;&lt; "EOF"
    <literal>#!/bin/sh
    
    # Début de /etc/systemd/scripts/iptables
    
    echo
    echo "Vous utilisez la configuration d'exemple de mise en place d'un pare-feu"
    echo "de Beyond Linux From Scratch."
    echo "Cet exemple est loin d'être complet, il n'est conçu que"
    echo "pour référence."
    echo "La sécurité des pare-feux est un problème complexe qui dépasse la portée"
    echo "des règles de configuration ci-dessous."
    
    echo "Vous trouverez des compléments d'information"
    echo "sur les pare-feux au chapitre 4 du livre BLFS."
    echo "https://www.&lfs-domainname;/blfs"
    echo
    
    # Insertion des modules iptables (inutile si vous les avez construits en dur dans le noyau).
    
    modprobe nf_conntrack
    modprobe nf_conntrack_ftp
    modprobe xt_conntrack
    modprobe xt_LOG
    modprobe xt_state
    
    # Activation de la protection contre echo en broadcast
    echo 1 &gt; /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
    
    # Désactivation des paquets routés à la source
    echo 0 &gt; /proc/sys/net/ipv4/conf/all/accept_source_route
    
    # Activation de la protection du cookie TCP SYN
    echo 1 &gt; /proc/sys/net/ipv4/tcp_syncookies
    
    # Désactivation de l'acceptation des redirections ICMP
    echo 0 &gt; /proc/sys/net/ipv4/conf/all/accept_redirects
    
    # Ne pas envoyer de messages de redirection
    echo 0 &gt; /proc/sys/net/ipv4/conf/default/send_redirects
    
    # Abandon des paquets spoofés qui arrivent sur une interface si une réponse
    # demanderait d'envoyer la réponse sur une autre interface.
    echo 1 &gt; /proc/sys/net/ipv4/conf/default/rp_filter
    
    # Enregistrement des paquets avec des adresses impossibles.
    echo 1 &gt; /proc/sys/net/ipv4/conf/all/log_martians
    
    # être verbeux pour les adresses dynamiques (inutile pour les adresses IP statiques)
    echo 2 &gt; /proc/sys/net/ipv4/ip_dynaddr
    
    # désactivation de la notification de congestion explicite
    # trop de routeurs les ignorent encore
    echo 0 &gt; /proc/sys/net/ipv4/tcp_ecn
    
    # Appliquer un état connu
    iptables -P INPUT   DROP
    iptables -P FORWARD DROP
    iptables -P OUTPUT  DROP
    
    # Ces lignes se trouvent ici au cas où les règles seraient déjà mises en place et que le
    # script est relancé à la volée. Nous voulons supprimer toutes les règles et
    # les chaînes personnalisées préexistantes avant d'implanter de nouvelles règles.
    iptables -F
    iptables -X
    iptables -Z
    
    iptables -t nat -F
    
    # Permettre les connections locales
    iptables -A INPUT  -i lo -j ACCEPT
    iptables -A OUTPUT -o lo -j ACCEPT
    
    # Permettre le transfert s'il est initié par l'intranet
    iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
    iptables -A FORWARD ! -i WAN1 -m conntrack --ctstate NEW       -j ACCEPT
    
    # Effectuer le masquage
    # (pas requis si l'intranet n'utilise pas des adresses IP privéesf intranet is not using private ip-addresses)
    iptables -t nat -A POSTROUTING -o WAN1 -j MASQUERADE
    
    # Tout enregistrer pour le débogage
    # (dernière de toutes les règles, mais avant les règles de politique)
    iptables -A INPUT   -j LOG --log-prefix "FIREWALL:INPUT "
    iptables -A FORWARD -j LOG --log-prefix "FIREWALL:FORWARD "
    iptables -A OUTPUT  -j LOG --log-prefix "FIREWALL:OUTPUT "
    
    # Activer le transfert IP
    echo 1 &gt; /proc/sys/net/ipv4/ip_forward
    
    # Les sections suivantes permettent les paquets entrants pour des exemples spécifiques
    # Décommentez les lignes d'exemple et ajustez-les au besoin
    
    # Permet le ping sur l'interface externe
    #iptables -A INPUT  -p icmp -m icmp --icmp-type echo-request -j ACCEPT
    #iptables -A OUTPUT -p icmp -m icmp --icmp-type echo-reply   -j ACCEPT
    
    # Rejette les paquets ident avec un TCP reset pour éviter les délais avec FTP ou IRC
    #iptables -A INPUT  -p tcp --dport 113 -j REJECT --reject-with tcp-reset
    
    # Permet HTTP et HTTPS vers 192.168.0.2
    #iptables -A PREROUTING -t nat -i WAN1 -p tcp --dport 80 -j DNAT --to 192.168.0.2
    #iptables -A PREROUTING -t nat -i WAN1 -p tcp --dport 443 -j DNAT --to 192.168.0.2
    #iptables -A FORWARD -p tcp -d 192.168.0.2 --dport 80 -j ACCEPT
    #iptables -A FORWARD -p tcp -d 192.168.0.2 --dport 443 -j ACCEPT
    
    # Fin de /etc/systemd/scripts/iptables</literal>
    EOF
    chmod 700 /etc/systemd/scripts/iptables</userinput>

note: type: Content of: <sect1><sect2><sect3><para>
en: With this script your intranet should be reasonably secure against external attacks. No one should be able to setup a new connection to any internal service and, if it's masqueraded, makes your intranet invisible to the Internet. Furthermore, your firewall should be relatively safe because there are no services running that a cracker could attack.
fr: Avec ce script votre intranet devrait être raisonnablement sécurisé contre les attaques externes. Personne ne devrait être capable d'initialiser une nouvelle connexion vers un service interne et, s'il est masquant, le pare-feu rend votre intranet invisible depuis internet. En plus, votre pare-feu devrait être relativement sécurisé parce qu'aucun service attaquable ne tourne dessus.

note: type: Attribute 'xreflabel' of: <sect1><sect2><sect3>
en: Creating a BusyBox With iptables
fr: Créer un BusyBox avec iptables

note: type: Content of: <sect1><sect2><sect3><para>
en: This scenario isn't too different from the <xref linkend="fw-masqRouter-ipt"/>, but additionally offers some services to your intranet. Examples of this can be when you want to administer your firewall from another host on your intranet or use it as a proxy or a name server.
fr: Ce scénario n'est pas très différent de <xref linkend="fw-masqRouter-ipt"/>, mais en plus fournit des services à votre intranet. C'est le cas par exemple si vous voulez administrer votre pare-feu depuis un autre hôte sur votre intranet ou si vous voulez l'utiliser comme proxy ou serveur de nom.

note: type: Content of: <sect1><sect2><sect3><note><para>
en: Outlining specifically how to protect a server that offers services on the Internet goes far beyond the scope of this document. See the references in <xref linkend="fw-extra-info"/> for more information.
fr: Expliquer comment protéger un serveur qui offre des services sur internet n'est pas du ressort de ce document. Consultez les références dans <xref linkend="fw-extra-info"/> pour plus d'informations.

note: type: Content of: <sect1><sect2><sect3><para>
en: Be cautious. Every service you have enabled makes your setup more complex and your firewall less secure. You are exposed to the risks of misconfigured services or running a service with an exploitable bug. A firewall should generally not run any extra services.  See the introduction to the <xref linkend="fw-masqRouter-ipt"/> for some more details.
fr: Soyez prudent. Chaque service activé rend votre configuration plus complexe et votre pare-feu moins sécurisé. Vous vous exposez au risque d'avoir un service mal configuré ou de lancer un service avec un bogue exploitable. Un pare-feu ne devrait en général faire tourner aucun service supplémentaire. Consultez l'introduction de <xref linkend="fw-masqRouter-ipt"/> pour plus de détails.

note: type: Content of: <sect1><sect2><sect3><para>
en: If you want to add services such as internal Samba or name servers that do not need to access the Internet themselves, the additional statements are quite simple and should still be acceptable from a security standpoint. Just add the following lines into the script <emphasis>before</emphasis> the logging rules.
fr: Si vous voulez ajouter un service interne comme un serveur Samba ou un serveur de nom qui n'ont pas eux-même besoin d'accéder à internet, les règles supplémentaires sont assez simples et devraient toujours être acceptables du point de vue de la sécurité. Ajoutez simplement les lignes suivantes au script <emphasis>avant</emphasis> les règles de journalisation.

note: type: Content of: <sect1><sect2><sect3><para>
en: If daemons, such as squid, have to access the Internet themselves, you could open OUTPUT generally and restrict INPUT.
fr: Si des démons, comme squid, doivent accéder à internet, vous pouvez ouvrir OUTPUT par défaut et restreindre INPUT.

note: type: Content of: <sect1><sect2><sect3><para>
en: However, it is generally not advisable to leave OUTPUT unrestricted. You lose any control over trojans who would like to "call home", and a bit of redundancy in case you've (mis-)configured a service so that it broadcasts its existence to the world.
fr: Cependant, il n'est généralement pas recommandé de laisser OUTPUT sans restriction. Vous perdez le contrôle sur les chevaux de Troie qui aiment «&nbsp;appeler la maison&nbsp;» et une redondance dans la sécurité au cas où vous auriez mal configuré un service qui annoncerait sa présence au monde entier.

note: type: Content of: <sect1><sect2><sect3><para>
en: To accomplish this, you should restrict INPUT and OUTPUT on all ports except those that it's absolutely necessary to have open. Which ports you have to open depends on your needs: mostly you will find them by looking for failed accesses in your log files.
fr: Pour cela, vous devriez restreindre INPUT et OUTPUT sur tous les ports sauf ceux qui sont absolument nécessaires. Les ports à ouvrir dépendent de vos besoins&nbsp;: vous les trouverez surtout en regardant les accès échoués dans vos journaux.

note: type: Content of: <sect1><sect2><sect3><itemizedlist><title>
en: Have a Look at the Following Examples:
fr: Consultez les exemples suivants&nbsp;:

note: type: Content of: <sect1><sect2><sect3><itemizedlist><listitem><para>
en: Squid is caching the web:
fr: Squad crée un cache du web&nbsp;:

note: type: Content of: <sect1><sect2><sect3><itemizedlist><listitem><para>
en: Your caching name server (e.g., named) does its lookups via UDP:
fr: Votre serveur de cache de noms de domaines (p. ex. named) lance ses requêtes en UDP&nbsp;:

note: type: Content of: <sect1><sect2><sect3><itemizedlist><listitem><para>
en: You want to be able to ping your computer to ensure it's still alive:
fr: Si vous voulez pouvoir envoyer un ping à votre ordinateur pour vous assurer qu'il est toujours lancé&nbsp;:

note: type: Attribute 'xreflabel' of: <sect1><sect2><sect3><itemizedlist><listitem><para>
en: BusyBox with iptables example number 4
fr: Example de BusyBox avec iptables numéro 4

note: type: Content of: <sect1><sect2><sect3><itemizedlist><listitem><para>
en: If you are frequently accessing FTP servers or enjoy chatting, you might notice delays because some implementations of these daemons query an identd daemon on your system to obtain usernames. Although there's really little harm in this, having an identd running is not recommended because many security experts feel the service gives out too much additional information.
fr: Si vous accéder souvent à des serveurs FTP ou que vous tchattez en ligne, vous pourriez remarquer des délais à cause d'implémentations de ces démons qui tentent d'accéder à un démon identd sur votre système pour obtenir des noms d'utilisateur. Bien que se soit plutôt bénin, de nombreux experts en sécurité recommandent de ne pas avoir un identd sur sa machine parce qu'ils ont l'impression qu'il donne trop d'information.

note: type: Content of: <sect1><sect2><sect3><itemizedlist><listitem><para>
en: To avoid these delays you could reject the requests with a 'tcp-reset' response:
fr: Pour éviter ces délais vous pouvez rejeter les requêtes avec une réponse «&nbsp;tcp-reset&nbsp;»&nbsp;:

note: type: Content of: <sect1><sect2><sect3><itemizedlist><listitem><para>
en: To log and drop invalid packets (packets that came in after netfilter's timeout or some types of network scans) insert these rules at the top of the chain:
fr: Pour enregistrer et jeter les paquets invalides (des paquets qui arrivent après le délai d'attente de netfilter ou certains types de scan réseau) ajoutez ces règles au début de la chaîne&nbsp;:

note: type: Content of: <sect1><sect2><sect3><itemizedlist><listitem><para>
en: Anything coming from the outside should not have a private address, this is a common attack called IP-spoofing:
fr: Tout ce qui vient de l'extérieur ne devrait pas avoir une adresse privée, c'est une attaque courante par usurpation d'IP&nbsp;:

note: type: Content of: <sect1><sect2><sect3><itemizedlist><listitem><para>
en: There are other addresses that you may also want to drop: 0.0.0.0/8, 127.0.0.0/8, 224.0.0.0/3 (multicast and experimental), 169.254.0.0/16 (Link Local Networks), and 192.0.2.0/24 (IANA defined test network).
fr: Il y a d'autres adresses que vous pourriez vouloir jeter&nbsp;: 0.0.0.0/8, 127.0.0.0/8,224.0.0.0/3 (multicast et expérimental), 169.254.0.0/16 (réseaux lien-local) et 192.0.2.0/24 (réseau de test défini par l'IANA).

note: type: Content of: <sect1><sect2><sect3><itemizedlist><listitem><para>
en: If your firewall is a DHCP client, you need to allow those packets:
fr: Si votre pare-feu est un client DHCP, vous devez autoriser ces paquets&nbsp;:

note: type: Content of: <sect1><sect2><sect3><itemizedlist><listitem><para>
en: To simplify debugging and be fair to anyone who'd like to access a service you have disabled, purposely or by mistake, you could REJECT those packets that are dropped.
fr: Pour simplifier le débogage et être honnête avec ceux qui voudraient accéder à un service que vous avez désactivé, à dessein ou par erreur, vous pouvez utiliser REJECT pour les paquet qui sont jetés.

note: type: Content of: <sect1><sect2><sect3><itemizedlist><listitem><para>
en: Obviously this must be done directly after logging as the very last lines before the packets are dropped by policy:
fr: Évidemment, vous devez faire cela directement après l'enregistrement dans les journaux sur les toutes dernières lignes avant que les paquets ne soient jetés par la politique.

note: type: Content of: <sect1><sect2><sect3><para>
en: These are only examples to show you some of the capabilities of the firewall code in Linux. Have a look at the man page of iptables.  There you will find much more information. The port numbers needed for this can be found in <filename>/etc/services</filename>, in case you didn't find them by trial and error in your log file.
fr: Ce ne sont que des exemples pour vous montrer certaines possibilités du pare-feu sur Linux. Consultez la page de manuel d'iptables. Vous y trouverez bien plus d'informations. Les numéros de port requis pour cela se trouvent dans <filename>/etc/services</filename> au cas où vous ne les trouviez pas dans vos journaux par essai et erreur.

note: type: Content of: <sect1><sect2><sect3><title>
en: <phrase revision="sysv">Boot Script</phrase> <phrase revision="systemd">Systemd Unit</phrase>
fr: <phrase revision="sysv">Script de démarrage</phrase> <phrase revision="systemd">Unité Systemd</phrase>

note: type: Content of: <sect1><sect2><sect3><para>
en: To set up the iptables firewall at boot, install the <filename>/etc/rc.d/init.d/iptables</filename> init script included in the <xref linkend="bootscripts"/> package.
fr: Pour paramétrer le pare-feu d'iptables au démarrage, installez le script d'initialisation <filename>/etc/rc.d/init.d/iptables</filename> fourni dans le paquet <xref linkend="bootscripts"/>.

note: type: Content of: <sect1><sect2><sect3><para>
en: To set up the iptables firewall at boot, install the <filename>iptables.service</filename> unit included in the <xref linkend="systemd-units"/> package.
fr: Pour paramétrer le pare-feu d'iptables au démarrage, installez l'unité <filename>iptables.service</filename> fournie dans le paquet <xref linkend="systemd-units"/>.

note: type: Content of: <sect1><sect2><title>
en: Contents
fr: Contenu

note: type: Content of: <sect1><sect2><segmentedlist><segtitle>
en: Installed Programs
fr: Programmes installés

note: type: Content of: <sect1><sect2><segmentedlist><segtitle>
en: Installed Libraries
fr: Bibliothèques installées

note: type: Content of: <sect1><sect2><segmentedlist><segtitle>
en: Installed Directories
fr: Répertoires installés

note: type: Content of: <sect1><sect2><segmentedlist><seglistitem><seg>
en: ip6tables, ip6tables-apply, ip6tables-legacy, ip6tables-legacy-restore, ip6tables-legacy-save, ip6tables-restore, ip6tables-save, iptables, iptables-apply, iptables-legacy, iptables-legacy-restore, iptables-legacy-apply, iptables-restore, iptables-save, iptables-xml, nfsynproxy (optional), and xtables-multi
fr: ip6tables, ip6tables-apply, ip6tables-legacy, ip6tables-legacy-restore, ip6tables-legacy-save, ip6tables-restore, ip6tables-save, iptables, iptables-apply, iptables-legacy, iptables-legacy-restore, iptables-legacy-apply, iptables-restore, iptables-save, iptables-xml, nfsynproxy (facultatif) et xtables-multi

note: type: Content of: <sect1><sect2><segmentedlist><seglistitem><seg>
en: libip4tc.so, libip6tc.so, libipq.so, libiptc.so, and libxtables.so
fr: libip4tc.so, libip6tc.so, libipq.so, libiptc.so et libxtables.so

note: type: Content of: <sect1><sect2><segmentedlist><seglistitem><seg>
en: /lib/xtables and /usr/include/libiptc
fr: /lib/xtables et /usr/include/libiptc

note: type: Content of: <sect1><sect2><variablelist><bridgehead>
en: Short Descriptions
fr: Descriptions courtes

note: type: Content of: <sect1><sect2><variablelist><varlistentry><listitem><para>
en: is used to set up, maintain, and inspect the tables of IP packet filter rules in the Linux kernel
fr: est utilisé pour paramétrer, maintenir et inspecter les tables de règles de filtrage de paquets IP du noyau Linux

note: type: Content of: <sect1><sect2><variablelist><varlistentry><listitem><para>
en: is a safer way to update iptables remotely
fr: est une manière plus sure de mettre à jour iptables à distance

note: type: Content of: <sect1><sect2><variablelist><varlistentry><listitem><para>
en: is used to interact with iptables using the legacy command set
fr: est utilisé pour interagir avec iptables par l'ensemble de commandes obsolète

note: type: Content of: <sect1><sect2><variablelist><varlistentry><listitem><para>
en: is used to restore a set of legacy iptables rules
fr: est utilisé pour restaurer un ensemble de règles iptables obsolètes

note: type: Content of: <sect1><sect2><variablelist><varlistentry><listitem><para>
en: is used to save a set of legacy iptables rules
fr: est utilisé pour sauvegarder un ensemble de règles iptables obsolètes

note: type: Content of: <sect1><sect2><variablelist><varlistentry><listitem><para>
en: is used to restore IP Tables from data specified on STDIN. Use I/O redirection provided by your shell to read from a file
fr: est utilisé pour restaurer des tables IP à partir de données spécifiées sur STDIN. Utilise la redirection E/S fournie par votre shell pour lire un fichier

note: type: Content of: <sect1><sect2><variablelist><varlistentry><listitem><para>
en: is used to dump the contents of an IP Table in easily parseable format to STDOUT. Use I/O-redirection provided by your shell to write to a file
fr: est utilisé pour envoyer le contenu d'une table IP dans un format facilement analysable vers STDOUT. Utilisez la redirection E/S fournie par votre shell pour écrire dans un fichier

note: type: Content of: <sect1><sect2><variablelist><varlistentry><listitem><para>
en: is used to convert the output of <command>iptables-save</command> to an XML format. Using the <filename>iptables.xslt</filename> stylesheet converts the XML back to the format of <command>iptables-restore</command>
fr: est utilisé pour convertir la sortie de <command>iptables-save</command> au format XML. L'utilisation de la feuille de style <filename>iptables.xslt</filename> convertit le fond XML au format <command>iptables-restore</command>

note: type: Content of: <sect1><sect2><variablelist><varlistentry><listitem><para>
en: are a set of commands for IPV6 that parallel the iptables commands above
fr: sont un ensemble de commandes pour IPV6 qui sont similaires aux commandes iptables vu précédemment

note: type: Content of: <sect1><sect2><variablelist><varlistentry><listitem><para>
en: (optional) configuration tool. SYNPROXY target makes handling of large SYN floods possible without the large performance penalties imposed by the connection tracking in such cases
fr: (facultatif) outil de configuration.  La cible synproxy facilite la manipulation des grands afflux de SYN sans les lourdes pertes de performance imposées par le suivi des connexions dans de tels cas

note: type: Content of: <sect1><sect2><variablelist><varlistentry><listitem><para>
en: is a binary that behaves according to the name it is called by
fr: est un binaire qui se comporte en fonction du nom par lequel il est appelé
