7- Tout bloquer d'abord, puis autoriser ensuite (inversement de la politique d'ipcop 1.4)

Vous avez envie d'être plus retrictif avec vos utilisateurs et de leur autoriser de faire seulement du http, https, ftp pour tout le lan, et autoriser le pop3 juste pour une @ip (par exemple...)

En ligne de commande, authentifié en tant que root, tapez :

root@ipcop:~ # vi /etc/rc.d/rc.firewall

vous êtes dans le fichier de configuration des règles du firewall ipcop.

Tapez "156G " pour aller à la ligne 106, soit la ligne " /sbin/iptables -A FORWARD -i $GREEN_DEV -m state --state NEW -j ACCEPT"

Ajoutez un # au début afin de la commenter, ce qui nous donne :

# /sbin/iptables -A FORWARD -i $GREEN_DEV -m state --state NEW -j ACCEPT

Sortez du mode insert et tapez " :wq " pour enregistrer les modifications et quitter vi.

Nous allons maintenant éditer un autre fichier, ce qui permet une meilleure lisibilité de vos propres règles :

root@ipcop:~ # vi /etc/rc.d/rc.firewall.local

insérez vos autorisations après la ligne
## add your 'start' rules here

#Comme exemple nous allons autoriser le lan (en 10.0.0.0/24) à faire du http,https,ftp.

/sbin/iptables -A FORWARD -i eth0 -s 10.0.0.0/24 -m multiport -p tcp --dport 80,443,21 -m state --state NEW -j ACCEPT

#Voici une règle spécifique pour que l'@ip 10.0.0.20 ait le droit de récupérer des e-mails en pop3

/sbin/iptables -A FORWARD -i eth0 -s 10.0.0.20 -p tcp --dport 110 -m state --state NEW -j ACCEPT

Après avoir entré toutes vos règles, vous pouvez enregistrer et quitter vi (:wq)

Pour appliquer les règles tapez /etc/rc.d/rc.firewall restart (rc.firewall.local est appelé par le rc.firewall)

Tout besoin spécifique nécessitera de lire et de comprendre un peu le manuel d'iptables, où alors si vous êtes perdus ,posez votre question sur le forum d'ixus.net (sans oublier d'y faire une recherche) ;)

Note : Comme c'est un script à part, la variable pour l'interface verte n'est pas interpretée, donc pour ne pas ajouter du code, il suffit de déterminer l'interface du LAN, d'après ce que je vois c'est tout le temps eth0. Pour vérifier, faites un ifconfig, et remplacez eth0 par l'interface du LAN.