Paramètres de pare-feu

Définissez la stratégie pour la chaîne ENTRÉE du tableau de filtre.

Définissez la stratégie pour la chaîne SORTIE du tableau de filtre.

Définissez la stratégie pour la chaîne TRANSFERT du tableau de filtre.

Activez la protection contre les inondations SYN (rendue obsolète par le paramètre synflood_protect).

Nom de zone unique. 11 caractères correspond à la longueur maximale du nom de zone du pare-feu.

Définissez la stratégie pour la chaîne ENTRÉE du tableau de filtre.

Définissez la stratégie pour la chaîne SORTIE du tableau de filtre.

Définissez la stratégie pour la chaîne TRANSFERT du tableau de filtre.

Indique si le trafic de zone sortant doit être masqué : cette option est généralement activée sur la zone wan.

Activez la retenue MSS pour le trafic de zone sortant.

Liste des interfaces connectées à cette zone. Si cette valeur n’est pas spécifiée et qu'aucun(e) option, sous-réseau ou périphérique supplémentaire* n'est fourni(e), la valeur de nom est utilisée par défaut. Les interfaces d’alias définies dans la configuration réseau ne peuvent pas être utilisées en tant que réseaux « autonomes » valides. Utilisez la syntaxe de liste comme expliqué dans uci.

Famille de protocoles (IPv4, IPv6 ou autre) pour laquelle générer des règles iptables.

Limitez le masquage aux sous-réseaux sources donnés. La négation est possible en faisant précéder le sous-réseau par ! ; plusieurs sous-réseaux sont autorisés.

Limitez le masquage aux sous-réseaux de destination donnés. La négation est possible en faisant précéder le sous-réseau par ! ; plusieurs sous-réseaux sont autorisés.

Forcer le suivi de connexion pour cette zone (voir la remarque relative au suivi des connexions).

Créez des règles de journalisation pour le trafic rejeté et abandonné dans cette zone.

Indique la zone source de trafic. Doit faire référence à l’un des noms de zone définis.

Activez ou non la règle de redirection.

Nom de redirection unique.

Faites correspondre le trafic entrant à l’aide du protocole donné.

Indique la zone source de trafic. Doit faire référence à l’un des noms de zone définis. Pour les transferts de port classiques, il s’agit généralement de wan.

Faites correspondre le trafic entrant de l’adresse mac spécifiée.

Faites correspondre le trafic entrant de l’adresse ip de la source spécifiée.

Faites correspondre le trafic entrant émanant du port source ou de la plage de ports donné(e) (ex : « 5000-5100 ») sur l’hôte client.

Pour DNAT, faites correspondre le trafic entrant dirigé vers l’adresse IP de destination indiquée. Pour SNAT, réécrivez l’adresse source à l’adresse donnée.

Pour DNAT, faites correspondre le trafic entrant dirigé vers le port ou la plage de ports de destination donné(e) (ex : « 5000-5100 ») sur cet hôte. Pour SNAT, réécrivez les ports de source à la valeur donnée.

Indique la zone de destination de trafic. Doit faire référence à l’un des noms de zone définis. Pour la cible DNAT sur l’ajustement d’attitude, la réflexion NAT ne fonctionne que si elle est égale à LAN.

Pour DNAT, redirigez le trafic entrant correspondant à l’hôte interne indiqué. Pour SNAT, faites correspondre le trafic dirigé à l’adresse indiquée. Pour DNAT, si la valeur dest_ip correspond aux adresses IP locales du routeur, comme illustré dans la commande ifconfig, la règle est traduite dans une règle DNAT + entrée « accept ». Dans le cas contraire, il s’agit d’une règle de DNAT + transfert.

Pour DNAT, redirigez le trafic entrant correspondant au port donné vers l’hôte interne. Pour SNAT, faites correspondre le trafic dirigé aux ports indiqués. Un seul port ou une seule plage peut être spécifié(e) (par exemple, « 5000-5100 »), et non pas des ports disparates, comme avec les règles (voir ci-après).

Activez ou désactivez la règle.

Nom de règle unique.

Famille de protocoles (IPv4, IPv6 ou autre) pour laquelle générer des règles iptables.

Faites correspondre le trafic entrant à l’aide du protocole donné. Il peut s’agir de l’un des protocoles tcp, udp, tcpudp, udplite, icmp, esp, ah, sctp ou de tous, ou d’une valeur numérique, représentant l’un de ces protocoles ou un autre. Un nom de protocole de /etc/protocols est également autorisé. Le nombre 0 équivaut à tous.

Indique la zone source de trafic. Doit faire référence à l’un des noms de zone définis.

Faites correspondre le trafic entrant de l’adresse mac spécifiée.

Faites correspondre le trafic entrant de l’adresse ip de la source spécifiée.

Faites correspondre le trafic entrant du port source ou de la plage de ports source spécifié(e) (par exemple, « 5000:5100 », la plage de ports ne s’applique pas à tous les protocoles), si le proto approprié est spécifié. Plusieurs ports peuvent être spécifiés comme « 80 443 465 » 1.

Indique la zone de destination de trafic. Doit faire référence à l’un des noms de zone définis ou * pour n'importe quelle zone. Si cette option est spécifiée, la règle s’applique au trafic transféré. Dans le cas contraire, elle est traitée comme une règle d’entrée.

Faites correspondre le trafic entrant dirigé vers l’adresse IP de destination indiquée. Sans zone de destination, il est considéré comme une règle d’entrée.

Faites correspondre le trafic entrant dirigé au port de destination ou à la plage de ports de destination spécifié(e) (par exemple, « 5000:5100 », la plage de ports ne s’applique pas à tous les protocoles), si le proto approprié est spécifié. Plusieurs ports peuvent être spécifiés comme « 80 443 465 » 1.

Activez la réflexion NAT pour cette redirection ; applicable aux cibles DNAT.

Si cette option est spécifiée, faites correspondre le trafic uniquement durant les jours de la semaine spécifiés, par exemple dim/lun/jeu/ven, ce qui correspond à dimanche, lundi, jeudi et vendredi. La liste peut être inversée en la faisant précéder d’un point d’exclamation, par exemple ! sam dim indiquera que la mise en correspondance du trafic doit se faire tous les jours sauf le samedi et le dimanche.

Si cette option est spécifiée, faites correspondre le trafic durant certains jours donnés du mois, par exemple, 2 5 30, ce qui signifie que le trafic ne doit être mis en correspondance que le 2, le 5 et le 30 du mois. La liste peut être inversée en la faisant précéder d’un point d’exclamation, par exemple ! 31, ce qui signifiera que la mise en correspondance doit se faire tous les jours sauf le 31 du mois.

Si cette option est spécifiée, ne faites correspondre le trafic qu’après l’heure de la journée indiquée (incluse).

Si cette option est spécifiée, ne faites correspondre le trafic qu’avant l’heure de la journée indiquée (incluse).

Si cette option est spécifiée, ne faites correspondre le trafic qu’après la date indiquée (incluse).

Si cette option est spécifiée, ne faites correspondre le trafic qu’avant la date indiquée (incluse).