Databases, Systems & Networks

Packet filtering using network rules such as NAT (network address translation) can be accomplished by using iptables. Iptables utilize ports and protocols and may also be used as a firewall.

Using iptables for IPv4

By default, the iptables tool is included with your Linode supplied distribution. In order to use iptables, you will have to have root privileges to make changes. The location of the iptables files is in the /sbin directory. However, you will make changes to these files by invoking commands, not with a text editor.

The iptables Command

There are a number of options that can be used with iptables. Before you begin, you need to understand how iptables work. As stated above, iptables are used to set the rules governing network traffic. You can define different tables to handle these rules. The table contains a variety of built-in chains, but you can add your own chains. A chain is a list of rules that match a set of packets.

Basic iptables Parameters

In order to start using iptables, you will need to understand some basics about the command syntax. For example:

iptables -I INPUT -s 12.34.56.78 -j DROP

In the sample above you are invoking iptables by its name. The -I option is for insertion. Using a rule with the insertion option will add it at the beginning of a chain, it will also be the rule that is applied first. You may also use a number with -I option to indicate its placement in the chain. The -s parameter along with the IP address (12.34.56.78) indicates the source. Finally the -j parameter is for jump. It specifies the target of the rule i.e. what action it is to perform if the packet is a match.

For example, the rule above is added to the beginning of the chain, and it will drop all packets from the address 12.34.56.78 received from anywhere.

Default Tables

A root or sudo user can create tables. Tables are comprised of built-in chains and may also contain user-defined chains. The built-in tables present will depend on the kernel configuration and the installed modules. Below is a list of the tables available.

The default tables are as follows:

• Filter – this is the default table. Its built-in chains are:
  • Input – is for packets going to local sockets
  • Forward – is for packets routed through the server
  • Output – is for locally-generated packets
• Nat – when a packet creates a new connection this is the table that is used. Its built-in chains are Prerouting, Output, and Postrouting
  • Prerouting is for packets when they come in
  • Output is for locally-generated packets before routing takes place
  • Postrouting is for altering packets on the way out
• Mangle – is used for special altering of packets. Its chains are Pre/Post routing, Forward, Input, and Output
  • Prerouting is for incoming packets
  • Postrouting is for packets going out
  • Output is for locally generated packets that are being altered.
  • Input is for packets coming directly into the server
  • Forward is for packets being routed through the server
• Raw – is used primarily for configuring exemptions from connection tracking. The built-in chains are Prerouting and Output.
  • Prerouting is for packets that arrive by the network interface
  • Output is for processes that are locally generated
• Security – is used for Mandatory Access Control (MAC) rules. After the filter table, the security table is accessed next. The built-in chains are Input, Output, and Forward.
  • Input pertains to packets entering the server
  • Output is for locally-generated packets
  • Forward is for packet passing through the server

Lire la suite…

Les tunnels

Le principe

Imaginons que nous ayons à intervenir sur deux réseaux privés différents, géographiquement éloignés, les réseaux A et B. Si nous voulons interconnecter ces deux réseaux, nous avons à priori deux possibilités :

• L’une chère, qui consiste à utiliser une liaison spécialisée, proposée par tout bon opérateur de télécoms. Les technologies utilisées par ces opérateurs afin de créer notre réseau privé sont principalement du type ATM¹⁾, MPLS²⁾ et, plus anciennement, Frame Relay.
  Les avantages apportés sont la garantie d’un SLA³⁾ et d’une étanchéité renforcée,
• l’autre, moins chère, qui consiste à interconnecter ces deux réseaux via de l’internet public.

Oui, mais la seconde solution, à priori moins chère, sera plus limitative.

• Soit, comme c’est le plus souvent le cas, nous ne disposerons que d’une seule adresse IP publique pour accéder à chaque réseau et dans ce cas, nous ne pourrons pas faire facilement communiquer n’importe quelle machine du réseau A avec n’importe quelle machine du réseau B, puisque ces LANs seront montés avec des adresses IP privées. (Voyez le Partage de connexion, mis en œuvre dans de telles configurations),
• Soit nous disposons de suffisamment d’adresses IP publiques pour monter nos réseaux avec ces adresses, mais alors, toutes nos machines seront directement exposées sur le Net. Cher et difficile (il n’est pas simple, et encore moins gratuit d’obtenir des plages, même petites,  d’adresses IPv4 publiques, encore qu’avec IPv6, ce sera tout à fait réalisable) et pour le moins dangereux.

Comment faire alors ?

Créer une ligne spécialisée virtuelle, qui passera par l’internet, mais qui fonctionnera presque comme une liaison spécialisée.  Bien sûr, pour ce faire, un tunnel est nécessaire afin de créer l’interconnexion, de garantir l’étanchéité. L’avantage est de ne pas être dépendant d’un opérateur et ainsi, de pouvoir choisir la sortie Internet de chaque site indépendamment les unes des autres. Rien en effet n’interdit de construire plusieurs tunnels, éventuellement sur des connexions internet différentes. Nous disposons de plusieurs technologies telles que PPtP, IPSec et celles qui nous intéressent dans cette documentation : Le tunnel GRE et OpenVPN.

Au niveau IP, un tunnel se présente comme ceci :

Et nous aurons l’impression d’avoir à peu près cela :

Bien que la première couche IP circule normalement sur l’internet, en suivant les routes définies par les opérateurs, celle-ci transporte une seconde couche IP et sur cette couche, tout va se passer comme si les deux routeurs communiquaient directement, par l’intermédiaire d’un réseau IP ne comportant que deux nœuds : les deux routeurs.

Grâce à ce tunnel, tout nœud du réseau A pourra communiquer avec tout nœud du réseau B, les deux réseaux étant construits avec des adresses IP privées.

Super non ?

Oui, mais souvenez-vous que IPv4 est un protocole qui n’est pas sécurisé, que nous allons l’utiliser et qui plus est, sur un réseau plutôt mal famé. L’opération n’est donc pas sans risques.

Lire la suite…

Every business needs DDoS protection.

Today it’s important for the success of your business to have an online presence. You always thought that you would never be a victim of DDoS attacks. But, what would happen if your website or online application is down because of a DDoS attack?

Here are some facts taken from digitalattackmap:

• Attacks are cheaper (150$ for a week long DDoS)
• Their number are increasing every weeks (2000/day)
• Increase attributed downtime (1/3 of all downtime incidents)

You can even block a 1TB DDoS attack!

With enough preparation, anybody can block a DDoS attack of any size and we will tell you how in 5 steps.

1. Become invisible
2. Filter aggressively
3. Identify attack patterns
4. Block traffic patterns
5. Deploy counter-measures solutions

Lire la suite…

Source: Developpez.com

1. Introduction

Le 10 décembre 1948, l’adoption de la Déclaration universelle des droits de l’homme par l’Assemblée générale des Nations unies a marqué le début d’une nouvelle ère.

Un des droits fondamentaux décrits par l’article 19 de la Déclaration universelle est le droit à la liberté d’expression. Il y a 60 ans, lorsque ces mots ont été écrits, personne n’imaginait la façon dont le phénomène global qu’est Internet étendrait la capacité des gens à chercher, recevoir et transmettre des informations, pas seulement à travers les frontières, mais aussi à une vitesse hallucinante et sous des formes pouvant être copiées, éditées, manipulées, recombinées et partagées avec un petit nombre ou un large public, d’une manière fondamentalement différente des moyens de communication existant en 1948. Ce guide introduit et explique l’utilisation de quelques logiciels et techniques parmi les plus utilisés pour outrepasser la censure.

Il apporte aussi des informations pour éviter la surveillance et la détection lors du contournement de la censure. Attention, ce document n’est pas un document de hacking, vous n’y trouverer aucune technique par exemple pour contourner votre proxy d’entreprise. Ce livre vous est offert par Floss Manuals

1-1. Plus d’informations et autant d’endroits inimaginables▲

L’incroyable augmentation ces dernières années de ce qui est disponible sur Internet et des lieux où se trouve l’information a eu pour effet de mettre une partie incroyablement vaste du savoir humain et de ses activités à disposition, et à des endroits que nous n’imaginions pas : dans un hôpital d’un lointain village de montagne, dans la chambre de votre enfant de 12 ans, dans la salle de conférence où vous montrez à vos collègues le design du nouveau produit qui vous donnera de l’avance sur la concurrence, chez votre grand-mère. Dans tous ces endroits, se connecter au monde ouvre un nombre impressionnant d’opportunités pour améliorer la vie des gens. Si vous attrapez une maladie rare pendant vos vacances, le petit hôpital du village peut vous sauver la vie en envoyant vos analyses à un spécialiste de la capitale, voire dans un autre pays ; votre enfant de 12 ans peut faire des recherches pour son projet scolaire ou se faire des amis à l’étranger ; vous pouvez présenter votre nouveau produit à des responsables de bureaux du monde entier simultanément et ils pourront vous aider à l’améliorer ; votre grand-mère peut rapidement vous envoyer par mail sa recette spéciale de tarte aux pommes afin que vous ayez le temps de la faire pour le dessert de ce soir. Mais Internet ne contient pas seulement des informations pertinentes et utiles à l’éducation, l’amitié ou la tarte aux pommes. Comme le monde, il est vaste, complexe et souvent effrayant. Il est également accessible à des gens malveillants, avides, sans scrupules, malhonnêtes ou simplement malpolis, tout comme il est accessible à vous ainsi qu’à votre enfant de 12 ans et à votre grand-mère.

1-2. Personne ne veut laisser entrer chez soi le monde entier▲

Avec le meilleur et le pire de la nature humaine transposés sur Internet et certains types d’escroquerie et de harcèlement rendus plus faciles par la technologie, il n’est pas surprenant que la croissance d’Internet ait été accompagnée de tentatives de contrôle de l’utilisation qui en est faite. Les motivations sont nombreuses, telles que :

• protéger les enfants de contenus perçus comme inappropriés ou limiter leur contact avec des gens pouvant leur nuire ;
• réduire le flot d’offres commerciales non désirées dans les e-mails ou sur le web ;
• contrôler la taille du flux de données auquel chaque utilisateur est capable d’accéder en même temps ;
• empêcher les employés de partager des informations considérées comme la propriété de leur employeur, d’utiliser une ressource technique de ce dernier ou leur temps de travail dans le cadre d’activités personnelles ;
• restreindre l’accès à des contenus ou activités en ligne bannis ou réglementés dans une juridiction spécifique (un pays ou une organisation comme une école) tels que du contenu explicitement sexuel ou violent, des drogues ou de l’alcool, des jeux et de la prostitution, des informations sur des groupes religieux, politiques ou autres groupes et idées réputés dangereux.

Certaines de ces préoccupations impliquent de permettre aux gens de contrôler leur propre expérience d’Internet, par exemple en utilisant des filtres bloquant les spams sur leur propre compte e-mail, mais d’autres préoccupations impliquent de restreindre la manière dont d’autres personnes peuvent utiliser Internet et ce à quoi elles peuvent ou non accéder. Ce dernier cas entraine d’importants conflits et désaccords lorsque les personnes dont l’accès est restreint ne pensent pas que le blocage soit approprié ou dans leur intérêt. Lire la suite…

Source: DigitalOcean – Mitchell Anicas