A.11. Menu « IP: Netfilter Configuration »

L'option « Connection tracking (required for masq/NAT) » permet de suivre la connexions courantes afin de déterminer à quelle connexion un paquet appartient. Cela peut être utile si l'on désire créer des règles de filtrage des paquets se basant sur les informations de gestion des connexions pour les protocoles comme TCP. Cette option est également nécessaire pour utiliser les mécanismes de translation d'adresse, vous devrez donc l'activer si vous désirez effectuer un partage de connexion à Internet. La réponse recommandée est 'N'.

L'option « FTP protocol support » active la gestion du suivi des connexions FTP. Ces connexions nécessitent en effet un traitement particulier, et vous devrez activer cette option si vous voulez utiliser des connexions FTP avec un partage de connexion à Internet. La réponse recommandée est 'Y'.

L'option « IRC protocol support » active la prise en charge des commandes de transfert de fichiers DDC du protocole IRC. Si vous utiliser IRC couramment, il est expréssément recommandé de répondre 'Y' à cette question, faute de quoi vous ne pourrez pas échanger de fichiers avec vos interlocuteurs.

L'option « Userspace queueing via NETLINK (EXPERIMENTAL) » permet de mettre à disposition de programmes clients les paquets traités par le code de filtrage, par l'intermédiaire de l'interface Netlink. La réponse recommandée est 'N'.

L'option « IP tables support (required for filtering/masq/NAT) » permet d'activer la gestion des tables au sein du code de filtrage du noyau. Une table est en réalité un ensemble cohérent de fonctionnalités permettant d'appliquer des traitements aux paquets selon des règles organisées en groupes. Ces traitements peuvent intervenir à différents endroits dans la gestion des paquets par le code réseau du noyau. Les deux tables les plus importantes sont celles qui permettent de réaliser le filtrage des paquets et les translations d'adresses. Vous devez donc activer cette fonctionnalité si vous désirez réaliser un Firewall ou un partage de connexion à Internet. La réponse recommandée est 'N'.

L'option « limit match support » active la gestion de la limitation du nombre de fois par seconde qu'une règle peut être vérifiée par un paquet. Cette limitation est utile lorsqu'on enregistre des messages pour tous les paquets qui vérifient certaines règles, afin d'éviter l'engorgement des fichiers de traces du système. La réponse recommandée est 'N'.

L'option « MAC address match support » active la gestion du critère de sélection des paquets basé sur leur adresse Ethernet source. Cette règle n'est utilisable que pour les paquets provenant d'une interface réseau de type Ethernet. La réponse recommandée est 'N'.

L'option « Packet type match support » vous permet de sélectionner les paquets en fonction de leur nature (broadcast, multicast, etc...). La réponse recommandée est 'N'.

L'option « netfilter MARK match support » active la gestion du critère de sélection des paquets basé sur le champ MARK de leur en-tête. Ce champ peut être modifié par certaines règles des chaînes précédemment traversées par les paquets, afin de les marquer pour un traitement ultérieur. Cette option doit donc obligatoirement être activée si l'on désire détecter ces paquets pour effectuer ce traitement. La réponse recommandée est 'N'.

L'option « Multiple port match support » permet d'utiliser des plages de valeurs pour les ports TCP et UDP dans les critères de sélection des règles pour ces deux protocoles. Sans cette option, les ports doivent être spécifiés un à un, ce qui peut rendre relativement peu pratique la définition de certaines règles. La réponse recommandée est 'Y'.

L'option « TOS match support » active la gestion du critère de sélection des paquets basé sur le champ TOS de leur en-tête. Ce champ permet de définir le type de service des paquets, principalement afin de distinguer les paquets prioritaires des paquets normaux. La réponse recommandée est 'N'.

L'option « ECN match support » active la gestion du critère de sélection des paquets basé sur le champ ECN de leur en-tête. La réponse recommandée est 'N'.

L'option « DSCP match support » active la gestion du critère de sélection des paquets basé sur le champ DSCP de leur en-tête. La réponse recommandée est 'N'.

L'option « AH/ESP match support » active la gestion des critères de sélection basés sur les informations utilisées par les protocoles de sécurisation AH et ESP de l'extension IPSec du protocole IP. La réponse recommandée est 'N'.

L'option « LENGTH match support » active la gestion du critère de sélection basé sur la longueur des paquets. La réponse recommandée est 'N'.

L'option « TTL match support » permet d'utiliser le champ TTL des paquets comme critère de sélection. Ce champ permet de définir la durée de vie des paquets au travers des différents routeurs, et permet de limiter la propagation des paquets sur Internet à un certain nombre d'interconnexions seulement. La réponse recommandée est 'N'.

L'option « tcpmss match support » permet de prendre en compte le champ MSS des paquets de demande de connexion dans les critères de sélection. Ce champ indique la taille maximale que les paquets de cette connexion devront utiliser pas la suite. La réponse recommandée est 'N'.

L'option « Helper match support » active la gestion du critère de sélection des paquets participant à une connexion établie et suivie par l'une des fonctionnalités activées par l'option « Connection tracking (required for masq/NAT) » . La réponse recommandée est 'N'.

L'option « Connection state match support » permet de sélectionner les paquets selon leur rôle dans la gestion des connexions réseau. Par exemple, cette option permet de distinguer les paquets qui établissent une connexion réseau des autres paquets. La réponse recommandée est 'Y'.

L'option « Connection tracking match support » permet de sélectionner les paquets selon les connexions réseau auxquels ils appartiennent. Par exemple, cette option permet de distinguer les paquets de différentes connexions virtuelles dans le cas du tunneling. La réponse recommandée est 'N'.

L'option « Unclean match support (EXPERIMENTAL) » permet de sélectionner les paquets dont les en-têtes IP ne sont pas corrects ou contiennent des valeurs incohérentes. Ces paquets doivent d'abord avoir traversé le code de validation de l'intégrité des paquets des interfaces réseau pour pouvoir être filtrés selon ce critère. La réponse recommandée est 'N'.

L'option « Owner match support (EXPERIMENTAL) » permet de sélectionner les paquets créés par les processus locaux en utilisant comme critère les identifiants de groupe, de processus et d'utilisateur de celui qui les a créés. Ces critères de sélection ne sont pas utilisables sur les paquets provenant de l'extérieur. La réponse recommandée est 'N'.

L'option « Packet filtering » active la gestion de la table filter, couramment utilisée pour filtrer les paquets autorisés et réaliser un Firewall. La réponse recommandée est 'N'.

L'option « REJECT target support » active la gestion de la cible REJECT dans les règles des chaînes de la table filter. Cette cible se distingue de la cible DROP, gérée nativement par la table filter, par le fait qu'un message d'erreur est renvoyé à la machine source du paquet. La réponse recommandée est 'Y'.

L'option « MIRROR target support (EXPERIMENTAL) » active la gestion de la cible MIRROR, qui permet de renvoyer à l'émetteur les paquets qui sont dirigés vers cette cible dans une règle de filtrage. La réponse recommandée est 'N'.

L'option « Full NAT » active les fonctionnalités de translation d'adresse, au travers de la table nat. Cette option doit être activée si vous désirez réaliser un partage de connexion à Internet. Dans le cas contraire, la réponse recommandée est 'N'.

L'option « MASQUERADE target support » active la gestion du masquerading des paquets réseau. Vous devez activer cette option si vous désirez réaliser un partage de connexion à Internet. La réponse recommandée est 'N'.

L'option « REDIRECT target support » active la gestion de la translation d'adresse destination pour rediriger les paquets vers la machine locale. Cette option est très utilisée pour réaliser des proxies qui devront fonctionner de manière transparente pour les clients. La réponse recommandée est 'N'.

L'option « NAT on local connections (READ HELP) » permet d'activer le support des translations d'adresses entre les processus de la machine locale. La réponse recommandée est 'N'.

L'option « Basic SNMP-ALG support (EXPERIMENTAL) » active la gestion de la translation d'adresse pour permettre l'accès et le contrôle à des machines situées sur le réseau et pour lesquelles un partage de connexion à Internet est réalisé. À moins que vous n'utilisiez le protocole SNMP pour administrer les machines de votre réseau, vous pouvez répondre 'N' à cette question.

L'option « Packet mangling » active la gestion de la table mangle. Cette table a pour but de donner les moyens d'effectuer diverses modifications des en-têtes des paquets, afin de les marquer pour un traitement ultérieur spécifique. La réponse recommandée est 'N'.

L'option « TOS target support » permet d'utiliser la cible TOS dans les règles des chaînes de la table mangle. Cette cible autorise la modification du champ « Type Of Service » des paquets, principalement dans le but de modifier leur priorité. La réponse recommandée est 'N'.

L'option « ECN target support » permet d'utiliser la cible ECN dans les règles des chaînes de la table mangle. Cette cible autorise la modification du champ « ECN » des paquets. La réponse recommandée est 'N'.

L'option « DSCP target support » permet d'utiliser la cible DSCP dans les règles des chaînes de la table mangle. Cette cible autorise la modification du champ « DSCP » des paquets. La réponse recommandée est 'N'.

L'option « MARK target support » active la gestion de la cible MARK, qui permet de marquer les paquets avec un traceur afin de pouvoir les identifier ultérieurement. Par exemple, il est possible de modifier le routage de certains paquets selon qu'ils sont marqués ou non. On peut ainsi réaliser des liaisons prioritaires pour certaines catégories de paquets. La réponse recommandée est 'N'.

L'option « LOG target support » active la gestion de la cible LOG. Cette cible permet d'enregistrer des messages de débogage dans les fichiers de traces du système. On veillera à activer également la gestion des limites sur les règles de filtrage afin d'éviter d'engorger les fichiers de traces si l'on désire utiliser cette option. La réponse recommandée est 'N'.

L'option « ULOG target support » active la gestion de la cible ULOG. Cette cible permet d'enregistrer des messages de débogage au niveau d'un processus de gestion de traces fonctionnant dans l'espace utilisateur. La réponse recommandée est 'N'.

L'option « TCPMSS target support » active la gestion de la cible TCPMSS, qui permet de modifier le champ MSS des paquets TCP. Cette cible est utilisée généralement pour réduire cette taille à la valeur fixée par le champ MTU des interfaces réseau, afin de prévenir la perte de paquets quand cette taille n'est pas correctement définie. Cela peut se produire avec certains fournisseurs d'accès à Internet, dont les passerelles sont mal configurées. En général, vous pouvez répondre 'N' à cette question.

L'option « ARP tables support » n'est pas documentée et ne sera pas décrite ici.

L'option « ARP packet filtering » n'est pas documentée et ne sera pas décrite ici.

L'option « ipchains (2.2-style) support » n'est disponible que si l'on utilise les modules du noyau pour Netfilter. Elle permet d'utiliser les outils de configuration des Firewall et des translations d'adresses ipchains, qui étaient utilisés avec les noyaux 2.2. de Linux. Il s'agit donc d'une option de compatibilité. On préférera dorénavant la commande iptables, aussi la réponse recommandée est-elle 'N'.

L'option « ipfwadm (2.0-style) support » n'est disponible que si l'on utilise les modules du noyau pour Netfilter. Elle permet d'utiliser les outils de configuration des Firewall et des translations d'adresses ipfwadm, qui étaient utilisés avec les noyaux 2.0. de Linux. Il s'agit donc d'une option de compatibilité. On préférera dorénavant la commande iptables, aussi la réponse recommandée est-elle 'N'.