IP Filter autorise l'hébergement dans le noyau d'un ensemble de règles de filtrage de paquets actif et d'un ensemble de règles inactif. L'ensemble de règles actif détermine le filtrage appliqué aux paquets entrants et aux paquets sortants. L'ensemble de règles inactif contient également des règles. Ces règles ne sont pas appliquées, sauf si vous définissez l'ensemble de règles inactif comme l'ensemble de règles actif. Vous pouvez gérer, afficher et modifier les ensembles actif et inactif de règles de filtrage de paquets.
Avant de commencer
Vous devez vous connecter en tant qu'administrateur disposant du profil de droits IP Filter Management (gestion IP Filter). Pour plus d'informations, reportez-vous à la section A l’aide de vos droits administratifs attribués du manuel Sécurisation des utilisateurs et des processus dans Oracle Solaris 11.2 .
L'exemple ci-dessous présente la sortie de l'ensemble actif de règles de filtrage de paquets chargé dans le noyau.
# ipfstat -io empty list for ipfilter(out) pass in quick on net1 from 192.168.1.0/24 to any pass in all block in on net1 from 192.168.1.10/32 to any
Avant de commencer
Vous devez vous connecter en tant qu'administrateur disposant du profil de droits IP Filter Management (gestion IP Filter). Pour plus d'informations, reportez-vous à la section A l’aide de vos droits administratifs attribués du manuel Sécurisation des utilisateurs et des processus dans Oracle Solaris 11.2 .
L'exemple ci-dessous présente la sortie d'un ensemble inactif de règles de filtrage de paquets.
# ipfstat -I -io pass out quick on net1 all pass in quick on net1 all
Effectuez la procédure ci-dessous pour exécuter l'une ou l'autre des tâches suivantes :
activation d'un ensemble de règles de filtrage de paquets différent de celui que IP Filter utilise actuellement ;
Rechargement du même ensemble de règles de filtrage mis à jour.
Avant de commencer
Vous devez vous connecter en tant qu'administrateur disposant du profil de droits IP Filter Management (gestion IP Filter). Pour plus d'informations, reportez-vous à la section A l’aide de vos droits administratifs attribués du manuel Sécurisation des utilisateurs et des processus dans Oracle Solaris 11.2 .
Si vous souhaitez activer un ensemble de règles complètement différent, créez un nouvel ensemble de règles dans un fichier distinct.
Mettez à jour l'ensemble de règles actuel dans votre fichier de configuration.
# ipf -Fa -f filename
Les règles présentes dans filename remplacent l'ensemble de règles actif.
L'exemple suivant illustre le remplacement d'un ensemble de règles de filtrage de paquets par un autre ensemble de règles.
# ipfstat -io empty list for ipfilter(out) pass in quick on net0 all # ipf -Fa -f /etc/ipf/ipfnew.conf # ipfstat -io empty list for ipfilter(out) block in log quick from 10.0.0.0/8 to anyExemple 5-2 Rechargement d'un ensemble de règles de filtrage de paquets mis à jour
Dans l'exemple ci-dessous, un ensemble de règles de filtrage de paquets actuellement actif est rechargé suite à sa mise à jour.
Liste de l'environnement d'initialisation actif de règles dans l'état (facultatif).
# ipfstat -io empty list for ipfilter (out) block in log quick from 10.0.0.0/8 to any
Ensuite, modifiez le fichier de configuration /etc/ipf/myorg.ipf.conf, actualisez le service et répertoriez à nouveau l'ensemble de règles actif.
# svcadm refresh network/ipfilter # ipfstat -io empty list for ipfilter (out) block in log quick from 10.0.0.0/8 to any block in quick on net1 from 192.168.0.0/12 to any
Avant de commencer
Vous devez vous connecter en tant qu'administrateur disposant du profil de droits IP Filter Management (gestion IP Filter). Pour plus d'informations, reportez-vous à la section A l’aide de vos droits administratifs attribués du manuel Sécurisation des utilisateurs et des processus dans Oracle Solaris 11.2 .
# ipf -F [a|i|o]
Supprime toutes les règles de filtrage de l'ensemble de règles.
Supprime les règles de filtrage pour les paquets entrants.
Supprime les règles de filtrage pour les paquets sortants.
Dans l'exemple ci-dessous, toutes les règles de filtrage sont supprimées de l'ensemble de règles de filtrage actif.
# ipfstat -io block out log on net0 all block in log quick from 10.0.0.0/8 to any # ipf -Fa # ipfstat -io empty list for ipfilter(out) empty list for ipfilter(in)
L'ajout de règles à un ensemble de règles existant peut être utile lors de la réalisation de tests ou lors du dépannage. Le service IP Filter reste activé lorsque les règles sont ajoutées. Toutefois, lorsque le service est actualisé, redémarré ou activé, les règles sont perdues, sauf si elles existent dans des fichiers constituant des propriétés du service IP Filter.
Avant de commencer
Vous devez vous connecter en tant qu'administrateur disposant du profil de droits IP Filter Management (gestion IP Filter). Pour plus d'informations, reportez-vous à la section A l’aide de vos droits administratifs attribués du manuel Sécurisation des utilisateurs et des processus dans Oracle Solaris 11.2 .
Pour ajouter des règles à l'ensemble de règles via la ligne de commande, exécutez la commande ipf -f -.
# echo "block in on net1 proto tcp from 10.1.1.1/32 to any" | ipf -f -
Ces règles ajoutées ne font pas partie de la configuration d'IP Filter lorsque le service est actualisé, redémarré ou activé.
Exécutez les commandes ci-dessous :
Créez un ensemble de règles dans le fichier de votre choix.
Ajoutez les règles que vous avez créées à l'ensemble de règles actif.
# ipf -f filename
Les règles présentes dans le fichier filename sont ajoutées à la fin de l'ensemble de règles actif. IP Filter utilise un algorithme de type "dernière règle correspondante", de sorte que les nouvelles règles déterminent les priorités de filtrage, sauf si l'utilisateur ajoute le mot-clé quick. Si le paquet correspond à une règle contenant le mot-clé quick, l'action associée à cette règle est exécutée et les règles suivantes sont ignorées.
Si filename est la valeur de l'une des propriétés de fichiers de configuration IP Filter, les règles sont rechargées lorsque le service est activé, redémarré ou actualisé. Dans le cas contraire, les règles ajoutées forment un ensemble de règles temporaire.
Dans l'exemple ci-dessous, une règle est ajoutée à l'ensemble actif de règles de filtrage de paquets à partir de la ligne de commande.
# ipfstat -io empty list for ipfilter(out) block in log quick from 10.0.0.0/8 to any # echo "block in on net1 proto tcp from 10.1.1.1/32 to any" | ipf -f - # ipfstat -io empty list for ipfilter(out) block in log quick from 10.0.0.0/8 to any block in on net1 proto tcp from 10.1.1.1/32 to any
La création d'un ensemble de règles inactif dans le noyau peut être utile pour la réalisation de tests ou le dépannage. Cet ensemble de règles peut être substitué à l'ensemble de règles actif sans qu'il soit nécessaire d'arrêter le service IP Filter. Toutefois, lorsque le service est actualisé, redémarré ou activé, l'ensemble de règles inactif doit être ajouté.
Avant de commencer
Vous devez vous connecter en tant qu'administrateur disposant du profil de droits IP Filter Management (gestion IP Filter). Pour plus d'informations, reportez-vous à la section A l’aide de vos droits administratifs attribués du manuel Sécurisation des utilisateurs et des processus dans Oracle Solaris 11.2 .
# ipf -I -f filename
Les règles présentes dans le fichier filename sont ajoutées à la fin de l'ensemble de règles inactif. IP Filter utilise un algorithme de type "dernière règle correspondante", de sorte que les nouvelles règles déterminent les priorités de filtrage, sauf si l'utilisateur ajoute le mot-clé quick. Si le paquet correspond à une règle contenant le mot-clé quick, l'action associée à cette règle est exécutée et les règles suivantes sont ignorées.
Dans l'exemple ci-dessous, une règle est ajoutée à l'ensemble de règles inactif à partir d'un fichier.
# ipfstat -I -io pass out quick on net1 all pass in quick on net1 all # ipf -I -f /etc/ipf/ipftrial.conf # ipfstat -I -io pass out quick on net1 all pass in quick on net1 all block in log quick from 10.0.0.0/8 to any
Le passage à un autre ensemble de règles dans le noyau peut être utile lors de la réalisation de tests ou du dépannage. L'ensemble de règles peut être rendu actif sans qu'il soit nécessaire d'arrêter le service IP Filter.
Avant de commencer
Vous devez vous connecter en tant qu'administrateur disposant du profil de droits IP Filter Management (gestion IP Filter). Pour plus d'informations, reportez-vous à la section A l’aide de vos droits administratifs attribués du manuel Sécurisation des utilisateurs et des processus dans Oracle Solaris 11.2 .
# ipf -s
Cette commande permet de basculer entre les ensembles de règles actif et inactif dans le noyau. Si l'ensemble de règles inactif est vide, aucun filtrage de paquets n'est effectué.
L'exemple ci-dessous illustre l'utilisation de la commande ipf -s, laquelle a pour effet de rendre actif l'ensemble de règles inactif et de rendre inactif l'ensemble de règles actif.
Avant l'exécution de la commande ipf -s, la sortie de la commande ipfstat -I -io met en évidence les règles de l'ensemble de règles inactif. La sortie de la commande ipfstat -io affiche les règles dans l'ensemble de règles actif.
# ipfstat -io empty list for ipfilter(out) block in log quick from 10.0.0.0/8 to any block in on net1 proto tcp from 10.1.1.1/32 to any # ipfstat -I -io pass out quick on net1 all pass in quick on net1 all block in log quick from 10.0.0.0/8 to any
Après l'exécution de la commande ipf -s, les sorties des commandes ipfstat -I -io et ipfstat -io indiquent que le contenu des deux ensembles de règles a été échangé.
# ipf -s Set 1 now inactive # ipfstat -io pass out quick on net1 all pass in quick on net1 all block in log quick from 10.0.0.0/8 to any # ipfstat -I -io empty list for inactive ipfilter(out) block in log quick from 10.0.0.0/8 to any block in on net1 proto tcp from 10.1.1.1/32 to any
Avant de commencer
Vous devez vous connecter en tant qu'administrateur disposant du profil de droits IP Filter Management (gestion IP Filter). Pour plus d'informations, reportez-vous à la section A l’aide de vos droits administratifs attribués du manuel Sécurisation des utilisateurs et des processus dans Oracle Solaris 11.2 .
# ipf -I -Fa
Dans l'exemple ci-dessous, l'ensemble inactif de règles de filtrage de paquets est vidé afin de supprimer toutes les règles.
# ipfstat -I -io empty list for inactive ipfilter(out) block in log quick from 10.0.0.0/8 to any block in on net1 proto tcp from 10.1.1.1/32 to any # ipf -I -Fa # ipfstat -I -io empty list for inactive ipfilter(out) empty list for inactive ipfilter(in)