Utilisation des ensembles de règles IP Filter

La liste des tâches ci-dessous identifie les procédures associées aux ensembles de règles IP Filter.

Tableau 21-3 Utilisation des ensembles de règles IP Filter (liste des tâches)

Gérez les ensembles de règles de filtrage de paquets d'IP Filter

Lorsque cette option est activée, les ensembles actif et inactif de règles de filtrage de paquets peuvent résider dans le noyau. L'ensemble de règles actif détermine le filtrage appliqué aux paquets entrants et aux paquets sortants. L'ensemble de règles inactif contient également des règles. Ces règles ne sont pas appliquées, sauf si vous définissez l'ensemble de règles inactif comme l'ensemble de règles actif. Vous pouvez gérer, afficher et modifier les ensembles actif et inactif de règles de filtrage de paquets.

Affichage de l'ensemble actif de règles de filtrage de paquets

1. Connectez-vous en tant que superutilisateur ou prenez un rôle bénéficiant du profil des droits de gestion IP Filter.

   Vous pouvez créer un rôle et lui attribuer le profil de droits de gestion IP Filter. Pour créer un rôle et l'attribuer à un utilisateur, reportez-vous à la section Configuration initiale RBAC (liste des tâches) du manuel Administration d’Oracle Solaris : services de sécurité.

2. Affichez l'ensemble actif de règles de filtrage de paquets chargé dans le noyau.

   # ipfstat -io

Exemple 21-1 Affichage de l'ensemble actif de règles de filtrage de paquets

L'exemple ci-dessous présente la sortie de l'ensemble actif de règles de filtrage de paquets chargé dans le noyau.

# ipfstat -io
empty list for ipfilter(out)
pass in quick on dmfe1 from 192.168.1.0/24 to any
pass in all
block in on dmfe1 from 192.168.1.10/32 to any

Affichage de l'ensemble inactif de règles de filtrage de paquets

1. Connectez-vous en tant que superutilisateur ou prenez un rôle bénéficiant du profil des droits de gestion IP Filter.

   Vous pouvez créer un rôle et lui attribuer le profil de droits de gestion IP Filter. Pour créer un rôle et l'attribuer à un utilisateur, reportez-vous à la section Configuration initiale RBAC (liste des tâches) du manuel Administration d’Oracle Solaris : services de sécurité.

2. Affichez l'ensemble inactif de règles de filtrage de paquets.

   # ipfstat -I -io

Exemple 21-2 Affichage de l'ensemble inactif de règles de filtrage de paquets

L'exemple ci-dessous présente la sortie d'un ensemble inactif de règles de filtrage de paquets.

# ipfstat -I -io
pass out quick on dmfe1 all
pass in quick on dmfe1 all

Activation d'un nouvel ensemble de règles de filtrage de paquets ou d'un ensemble mis à jour

Effectuez la procédure ci-dessous pour exécuter l'une ou l'autre des tâches suivantes :

• Activation d'un ensemble de règles de filtrage de paquets différent de celui que IP Filter utilise actuellement

• Rechargement du même ensemble de règles de filtrage mis à jour.

1. Connectez-vous en tant que superutilisateur ou prenez un rôle bénéficiant du profil des droits de gestion IP Filter.

   Vous pouvez créer un rôle et lui attribuer le profil de droits de gestion IP Filter. Pour créer un rôle et l'attribuer à un utilisateur, reportez-vous à la section Configuration initiale RBAC (liste des tâches) du manuel Administration d’Oracle Solaris : services de sécurité.

2. Procédez de l'une des façons suivantes :

   • Si vous souhaitez activer un ensemble de règles complètement différent, créez-le dans un fichier distinct.

   • Pour mettre à jour l'ensemble de règles actuel, modifiez le fichier de configuration contenant l'ensemble de règles.

3. Supprimez l'ensemble de règles actuel et chargez le nouvel ensemble de règles.

   # ipf -Fa -f filename

   La variable filename peut correspondre à un fichier contenant un ensemble de règles complètement différent, ou au fichier contenant l'ensemble de règles actif, mis à jour.

   L'ensemble de règles actif est supprimé du noyau. Les règles du fichier filename constituent dorénavant l'ensemble de règles actif.

   ---

   Remarque - Même si vous rechargez le fichier de configuration actuel, vous devez exécuter la commande. Dans le cas contraire, le système ignore l'ensemble de règles modifié défini dans le fichier de configuration mis à jour et continue d'appliquer l'ancien ensemble de règles.

   N'utilisez pas de commandes telles que ipf -D ou svcadm restart pour charger l'ensemble de règles mis à jour. Ces commandes affectent la sécurité du réseau, car elles désactivent le pare-feu avant de charger le nouvel ensemble de règles.

   ---

Exemple 21-3 Activation d'un nouvel ensemble de règles de filtrage de paquets

Dans l'exemple ci-dessous, un ensemble de règles de filtrage de paquets est remplacé par un autre ensemble se trouvant dans un fichier de configuration distinct, /etc/ipf/ipf.conf.

# ipfstat -io
empty list for ipfilter(out)
pass in quick on dmfe all
# ipf -Fa -f /etc/ipf/ipf.conf
# ipfstat -io
empty list for ipfilter(out)
block in log quick from 10.0.0.0/8 to any

Exemple 21-4 Rechargement d'un ensemble de règles de filtrage de paquets mis à jour

Dans l'exemple ci-dessous, un ensemble de règles de filtrage de paquets actuellement actif est rechargé suite à sa mise à jour. Dans cet exemple, le fichier utilisé est /etc/ipf/ipf.conf.

# ipfstat -io (Optional)
empty list for ipfilter (out)
block in log quick from 10.0.0.0/8 to any

(Edit the /etc/ipf/ipf.conf configuration file.)

# ipf -Fa -f /etc/ipf/ipf.conf
# ipfstat -io (Optional)
empty list for ipfilter (out)
block in log quick from 10.0.0.0/8 to any
block in quick on elx10 from 192.168.0.0/12 to any

Suppression d'un ensemble de règles de filtrage de paquets

1. Connectez-vous en tant que superutilisateur ou prenez un rôle bénéficiant du profil des droits de gestion IP Filter.

   Vous pouvez créer un rôle et lui attribuer le profil de droits de gestion IP Filter. Pour créer un rôle et l'attribuer à un utilisateur, reportez-vous à la section Configuration initiale RBAC (liste des tâches) du manuel Administration d’Oracle Solaris : services de sécurité.

2. Supprimez l'ensemble de règles.

   # ipf -F [a|i|o]

   -a

   Supprime toutes les règles de filtrage de l'ensemble de règles.

   -i

   Supprime les règles de filtrage pour les paquets entrants.

   -o

   Supprime les règles de filtrage pour les paquets sortants.

Exemple 21-5 Suppression d'un ensemble de règles de filtrage de paquets

Dans l'exemple ci-dessous, toutes les règles de filtrage sont supprimées de l'ensemble de règles de filtrage actif.

# ipfstat -io
block out log on dmf0 all
block in log quick from 10.0.0.0/8 to any
# ipf -Fa
# ipfstat -io
empty list for ipfilter(out)
empty list for ipfilter(in)

Ajout de règles à l'ensemble actif de règles de filtrage de paquets

1. Connectez-vous en tant que superutilisateur ou prenez un rôle bénéficiant du profil des droits de gestion IP Filter.

   Vous pouvez créer un rôle et lui attribuer le profil de droits de gestion IP Filter. Pour créer un rôle et l'attribuer à un utilisateur, reportez-vous à la section Configuration initiale RBAC (liste des tâches) du manuel Administration d’Oracle Solaris : services de sécurité.

2. Appliquez l'une des méthodes ci-dessous pour ajouter des règles à l'ensemble de règles actif :

   • Pour ajouter des règles à l'ensemble de règles via la ligne de commande, exécutez la commande ipf -f -.

     # echo "block in on dmfe1 proto tcp from 10.1.1.1/32 to any" | ipf -f -

   • Exécutez les commandes ci-dessous :

     1. Créez un ensemble de règles dans le fichier de votre choix.

     2. Ajoutez ces règles à l'ensemble de règles actif.

        # ipf -f filename

        Les règles présentes dans le fichier filename sont ajoutées à la fin de l'ensemble de règles actif. IP Filter utilise un algorithme de type "dernière règle correspondante", de sorte que les nouvelles règles déterminent les priorités de filtrage, sauf si l'utilisateur ajoute le mot-clé quick. Si le paquet correspond à une règle contenant le mot-clé quick, l'action associée à cette règle est exécutée et les règles suivantes sont ignorées.

Exemple 21-6 Ajout de règles à l'ensemble actif de règles de filtrage de paquets

Dans l'exemple ci-dessous, une règle est ajoutée à l'ensemble actif de règles de filtrage de paquets à partir de la ligne de commande.

# ipfstat -io
empty list for ipfilter(out)
block in log quick from 10.0.0.0/8 to any
# echo "block in on dmfe1 proto tcp from 10.1.1.1/32 to any" | ipf -f -
# ipfstat -io
empty list for ipfilter(out)
block in log quick from 10.0.0.0/8 to any
block in on dmfe1 proto tcp from 10.1.1.1/32 to any

Ajout de règles à l'ensemble inactif de règles de filtrage de paquets

1. Connectez-vous en tant que superutilisateur ou prenez un rôle bénéficiant du profil des droits de gestion IP Filter.

   Vous pouvez créer un rôle et lui attribuer le profil de droits de gestion IP Filter. Pour créer un rôle et l'attribuer à un utilisateur, reportez-vous à la section Configuration initiale RBAC (liste des tâches) du manuel Administration d’Oracle Solaris : services de sécurité.

2. Créez un ensemble de règles dans le fichier de votre choix.
3. Ajoutez ces règles à l'ensemble de règles inactif.

   # ipf -I -f filename

   Les règles présentes dans le fichier filename sont ajoutées à la fin de l'ensemble de règles inactif. IP Filter utilise un algorithme de type "dernière règle correspondante", de sorte que les nouvelles règles déterminent les priorités de filtrage, sauf si l'utilisateur ajoute le mot-clé quick. Si le paquet correspond à une règle contenant le mot-clé quick, l'action associée à cette règle est exécutée et les règles suivantes sont ignorées.

Exemple 21-7 Ajout de règles à l'ensemble de règles inactif

Dans l'exemple ci-dessous, une règle est ajoutée à l'ensemble de règles inactif à partir d'un fichier.

# ipfstat -I -io
pass out quick on dmfe1 all
pass in quick on dmfe1 all
# ipf -I -f /etc/ipf/ipf.conf
# ipfstat -I -io
pass out quick on dmfe1 all
pass in quick on dmfe1 all
block in log quick from 10.0.0.0/8 to any

Basculement entre les ensembles actif et inactif de règles de filtrage de paquets

1. Connectez-vous en tant que superutilisateur ou prenez un rôle bénéficiant du profil des droits de gestion IP Filter.

   Vous pouvez créer un rôle et lui attribuer le profil de droits de gestion IP Filter. Pour créer un rôle et l'attribuer à un utilisateur, reportez-vous à la section Configuration initiale RBAC (liste des tâches) du manuel Administration d’Oracle Solaris : services de sécurité.

2. Basculez entre les ensembles de règles actif et inactif.

   # ipf -s

   Cette commande permet de basculer entre les ensembles de règles actif et inactif dans le noyau. Si l'ensemble de règles inactif est vide, aucun filtrage de paquets n'est effectué.

Exemple 21-8 Basculement entre les ensembles actif et inactif de règles de filtrage de paquets

Dans l'exemple ci-dessous, la commande ipf -s est exécutée. L'ensemble de règles inactif devient alors l'ensemble de règles actif, tandis que l'ensemble de règles actif devient l'ensemble de règles inactif.

• Avant l'exécution de la commande ipf -s, la sortie de la commande ipfstat -I -io permet d'afficher les règles de l'ensemble de règles inactif. La sortie de la commande ipfstat -io affiche les règles de l'ensemble de règles actif.

  # ipfstat -io
  empty list for ipfilter(out)
  block in log quick from 10.0.0.0/8 to any
  block in on dmfe1 proto tcp from 10.1.1.1/32 to any
  # ipfstat -I -io
  pass out quick on dmfe1 all
  pass in quick on dmfe1 all
  block in log quick from 10.0.0.0/8 to any

• Une fois la commande ipf -s exécutée, les sorties des commandes ipfstat -I -io et ipfstat -io indiquent que le contenu des deux ensembles de règles a été échangé.

  # ipf -s
  Set 1 now inactive
  # ipfstat -io
  pass out quick on dmfe1 all
  pass in quick on dmfe1 all
  block in log quick from 10.0.0.0/8 to any
  # ipfstat -I -io
  empty list for inactive ipfilter(out)
  block in log quick from 10.0.0.0/8 to any
  block in on dmfe1 proto tcp from 10.1.1.1/32 to any

Suppression d'un ensemble inactif de règles de filtrage de paquets du noyau

1. Connectez-vous en tant que superutilisateur ou prenez un rôle bénéficiant du profil des droits de gestion IP Filter.

   Vous pouvez créer un rôle et lui attribuer le profil de droits de gestion IP Filter. Pour créer un rôle et l'attribuer à un utilisateur, reportez-vous à la section Configuration initiale RBAC (liste des tâches) du manuel Administration d’Oracle Solaris : services de sécurité.

2. Spécifiez l'ensemble de règles inactif via la commande "flush all".

   # ipf -I -Fa

   Cette commande vide l'ensemble de règles inactif du noyau.

   ---

   Remarque - Si vous exécutez ensuite la commande ipf -s, l'ensemble de règles inactif vide devient l'ensemble de règles actif. Si l'ensemble de règles actif est vide, aucun filtrage n'est effectué.

   ---

Exemple 21-9 Suppression d'un ensemble inactif de règles de filtrage de paquets du noyau

Dans l'exemple ci-dessous, l'ensemble inactif de règles de filtrage de paquets est vidé afin de supprimer toutes les règles.

# ipfstat -I -io
empty list for inactive ipfilter(out)
block in log quick from 10.0.0.0/8 to any
block in on dmfe1 proto tcp from 10.1.1.1/32 to any
# ipf -I -Fa
# ipfstat -I -io
empty list for inactive ipfilter(out)
empty list for inactive ipfilter(in)

Gestion des règles NAT d'IP Filter

Appliquez les procédures ci-dessous pour gérer, afficher et modifier les règles NAT.

Affichage des règles NAT actives

1. Connectez-vous en tant que superutilisateur ou prenez un rôle bénéficiant du profil des droits de gestion IP Filter.

   Vous pouvez créer un rôle et lui attribuer le profil de droits de gestion IP Filter. Pour créer un rôle et l'attribuer à un utilisateur, reportez-vous à la section Configuration initiale RBAC (liste des tâches) du manuel Administration d’Oracle Solaris : services de sécurité.

2. Affichez les règles NAT actives.

   # ipnat -l

Exemple 21-10 Affichage des règles NAT actives

L'exemple ci-dessous présente la sortie de l'ensemble de règles NAT actif.

# ipnat -l
List of active MAP/Redirect filters:
map dmfe0 192.168.1.0/24 -> 20.20.20.1/32

List of active sessions:

Suppression des règles NAT

1. Connectez-vous en tant que superutilisateur ou prenez un rôle bénéficiant du profil des droits de gestion IP Filter.

   Vous pouvez créer un rôle et lui attribuer le profil de droits de gestion IP Filter. Pour créer un rôle et l'attribuer à un utilisateur, reportez-vous à la section Configuration initiale RBAC (liste des tâches) du manuel Administration d’Oracle Solaris : services de sécurité.

2. Supprimez les règles NAT actuelles.

   # ipnat -C

Exemple 21-11 Suppression des règles NAT

Dans l'exemple ci-dessous, les entrées des règles NAT actuelles sont supprimées.

# ipnat -l
List of active MAP/Redirect filters:
map dmfe0 192.168.1.0/24 -> 20.20.20.1/32

List of active sessions:
# ipnat -C
1 entries flushed from NAT list
# ipnat -l
List of active MAP/Redirect filters:

List of active sessions:

Ajout de règles aux règles NAT

1. Connectez-vous en tant que superutilisateur ou prenez un rôle bénéficiant du profil des droits de gestion IP Filter.

   Vous pouvez créer un rôle et lui attribuer le profil de droits de gestion IP Filter. Pour créer un rôle et l'attribuer à un utilisateur, reportez-vous à la section Configuration initiale RBAC (liste des tâches) du manuel Administration d’Oracle Solaris : services de sécurité.

2. Appliquez l'une des méthodes ci-dessous pour ajouter des règles à l'ensemble de règles actif :

   • Pour ajouter des règles à l'ensemble de règles NAT via la ligne de commande, exécutez la commande ipnat -f -.

     # echo "map dmfe0 192.168.1.0/24 -> 20.20.20.1/32" | ipnat -f -

   • Exécutez les commandes ci-dessous :

     1. Créez des règles NAT supplémentaires dans le fichier de votre choix.

     2. Ajoutez ces règles aux règles NAT actives.

        # ipnat -f filename

        Les règles présentes dans le fichier filename sont ajoutées à la fin des règles NAT.

Exemple 21-12 Ajout de règles à l'ensemble de règles NAT

Dans l'exemple ci-dessous, une règle est ajoutée à l'ensemble de règles NAT via la ligne de commande.

# ipnat -l
List of active MAP/Redirect filters:

List of active sessions:
# echo "map dmfe0 192.168.1.0/24 -> 20.20.20.1/32" | ipnat -f -
# ipnat -l
List of active MAP/Redirect filters:
map dmfe0 192.168.1.0/24 -> 20.20.20.1/32

List of active sessions:

Gestion des pools d'adresses d'IP Filter

Appliquez les procédures ci-dessous pour gérer, afficher et modifier les pools d'adresses.

Affichage des pools d'adresses actifs

1. Connectez-vous en tant que superutilisateur ou prenez un rôle bénéficiant du profil des droits de gestion IP Filter.

   Vous pouvez créer un rôle et lui attribuer le profil de droits de gestion IP Filter. Pour créer un rôle et l'attribuer à un utilisateur, reportez-vous à la section Configuration initiale RBAC (liste des tâches) du manuel Administration d’Oracle Solaris : services de sécurité.

2. Affichez le pool d'adresses actif.

   # ippool -l

Exemple 21-13 Affichage du pool d'adresses actif

Dans l'exemple ci-dessous, le contenu du pool d'adresses actif est affiché.

# ippool -l
table role = ipf type = tree number = 13
        { 10.1.1.1/32, 10.1.1.2/32, 192.168.1.0/24; };

Suppression d'un pool d'adresses

1. Connectez-vous en tant que superutilisateur ou prenez un rôle bénéficiant du profil des droits de gestion IP Filter.

   Vous pouvez créer un rôle et lui attribuer le profil de droits de gestion IP Filter. Pour créer un rôle et l'attribuer à un utilisateur, reportez-vous à la section Configuration initiale RBAC (liste des tâches) du manuel Administration d’Oracle Solaris : services de sécurité.

2. Supprimez les entrées du pool d'adresses actuel.

   # ippool -F

Exemple 21-14 Suppression d'un pool d'adresses

Dans l'exemple ci-dessous, un pool d'adresses est supprimé.

# ippool -l
table role = ipf type = tree number = 13
        { 10.1.1.1/32, 10.1.1.2/32, 192.168.1.0/24; };
# ippool -F
1 object flushed
# ippool -l

Ajout de règles à un pool d'adresses

1. Connectez-vous en tant que superutilisateur ou prenez un rôle bénéficiant du profil des droits de gestion IP Filter.

   Vous pouvez créer un rôle et lui attribuer le profil de droits de gestion IP Filter. Pour créer un rôle et l'attribuer à un utilisateur, reportez-vous à la section Configuration initiale RBAC (liste des tâches) du manuel Administration d’Oracle Solaris : services de sécurité.

2. Appliquez l'une des méthodes ci-dessous pour ajouter des règles à l'ensemble de règles actif :

   • Pour ajouter des règles à l'ensemble de règles via la ligne de commande, exécutez la commande ippool -f -.

     # echo "table role = ipf type = tree number = 13 {10.1.1.1/32, 10.1.1.2/32, 192.168.1.0/24};" | ippool -f -

   • Exécutez les commandes ci-dessous :

     1. Créez des pools d'adresses supplémentaires dans le fichier de votre choix.

     2. Ajoutez ces règles au pool d'adresses actif.

        # ippool -f filename

        Les règles présentes dans le fichier filename sont ajoutées à la fin du pool d'adresses actif.

Exemple 21-15 Ajout de règles à un pool d'adresses

Dans l'exemple ci-dessous, un pool d'adresses est ajouté à l'ensemble de règles de pool d'adresses via la ligne de commande.

# ippool -l
table role = ipf type = tree number = 13
        { 10.1.1.1/32, 10.1.1.2/32, 192.168.1.0/24; };
# echo "table role = ipf type = tree number = 100 {10.0.0.0/32, 172.16.1.2/32, 192.168.1.0/24};" | ippool -f -
# ippool -l
table role = ipf type = tree number = 100
        { 10.0.0.0/32, 172.16.1.2/32, 192.168.1.0/24; };
table role = ipf type = tree number = 13
        { 10.1.1.1/32, 10.1.1.2/32, 192.168.1.0/24; };