ajout regle iptables

README.md

@@ -105,5 +105,5 @@ cd tools/ansible/gsb2023
 bash agoss # lance le test portant le nom de la machine 
 ```
 
-`agoss -f tap` permet de lancer le test avec le détail d'exécution
+`bash agoss -f tap` permet de lancer le test avec le détail d'exécution
 

roles/fw-ferm/files/ferm-vp1.conf

@@ -0,0 +1,47 @@
+# -*- shell-script -*-
+
+@def $DEV_VPN= wg0;
+
+table filter {
+    chain INPUT {
+        policy DROP;
+
+        # connection tracking
+        mod state state INVALID DROP;
+        mod state state (ESTABLISHED RELATED) ACCEPT;
+
+        # allow local connections
+        interface lo ACCEPT;
+        interface $DEV_VPN{
+        # respond to ping
+        proto icmp icmp-type echo-request ACCEPT;
+        # disallow ssh
+        saddr proto tcp dport ssh DROP;
+        }
+    }#FIN INPUT
+
+    # outgoing connections are not limited
+    chain OUTPUT {
+        policy ACCEPT;
+        interface $DEV_VPN{
+        # allow ssh
+        daddr proto tcp dport ssh ACCEPT;
+        # respond to ping
+        proto icmp icmp-type echo-request ACCEPT;
+        }
+     }#FIN OUTPUT
+
+    chain FORWARD {
+        policy ACCEPT;
+
+        # connection tracking
+        mod state state INVALID DROP;
+        mod state state (ESTABLISHED RELATED) ACCEPT;
+
+        # connections from the internal net to the internet or to other
+        # internal nets are allowed
+        interface $DEV_VPN ACCEPT;
+
+        # the rest is dropped by the above policy
+    }#FIN FO
+}

roles/fw-ferm/files/ferm.conf.r-vp1

@@ -4,7 +4,7 @@
 
 @def $DEV_PRIVATE = enp0s8;
 @def $DEV_WORLD = enp0s9;
-
+@def $DEV_VPN= wg0;
 @def $NET_PRIVATE = 172.16.0.0/24;
 
 table filter {
@@ -33,23 +33,33 @@ table filter {
         # we provide DNS and SMTP services for the internal net
         interface $DEV_PRIVATE saddr $NET_PRIVATE {
             proto (udp tcp) dport domain ACCEPT;
-            proto udp dport bootps ACCEPT;            
+            proto udp dport bootps ACCEPT;
         }
 
-        # interface réseau 
+        # interface réseau
         interface $DEV_WORLD {
-            
+
         }
 
         # the rest is dropped by the above policy
     }#FIN INPUT
 
     # outgoing connections are not limited
-    chain OUTPUT policy ACCEPT;
+    chain OUTPUT {policy ACCEPT;
+    }#FIN OUTPUT
 
     chain FORWARD {
         policy ACCEPT;
 
+        interface $DEV_VPN{
+            # respond to ping
+            proto icmp icmp-type echo-request ACCEPT;
+            # disallow ssh
+            saddr($DEV_VPN) proto tcp dport ssh DROP;
+            # allow ssh
+            daddr($DEV_VPN) proto tcp dport ssh ACCEPT;
+
+        }
         # connection tracking
         mod state state INVALID DROP;
         mod state state (ESTABLISHED RELATED) ACCEPT;

roles/fw-ferm/files/ferm.conf.r-vp2

@@ -4,7 +4,7 @@
 
 @def $DEV_PRIVATE = enp0s9;
 @def $DEV_WORLD = enp0s8;
-
+@def $DEV_VPN= wg0;
 @def $NET_PRIVATE = 172.16.0.0/24;
 
 table filter {
@@ -34,7 +34,12 @@ table filter {
             proto (udp tcp) dport domain ACCEPT;
             proto udp dport bootps ACCEPT;
         }
-
+        interface $DEV_VPN{
+        # respond to ping
+        proto icmp icmp-type echo-request ACCEPT;
+        # disallow ssh
+        saddr proto tcp dport ssh ACCEPT;
+        }
         # interface réseau
         interface $DEV_WORLD {
 
@@ -44,8 +49,14 @@ table filter {
     }#FIN INPUT
 
     # outgoing connections are not limited
-    chain OUTPUT policy ACCEPT;
+    chain OUTPUT {policy ACCEPT;
-
+        interface $DEV_VPN{
+        # allow ssh
+        daddr proto tcp dport ssh DROP;
+        # respond to ping
+        proto icmp icmp-type echo-request ACCEPT;
+        }
+}
     chain FORWARD {
         policy ACCEPT;
 

roles/fw-ferm/files/iptables.test.r-vp1

@@ -0,0 +1,43 @@
+# Définir la politique par défaut
+iptables -P INPUT DROP
+iptables -P OUTPUT ACCEPT
+iptables -P FORWARD ACCEPT
+
+# Autoriser le trafic pour le VPN
+iptables -A INPUT -p udp --dport 51820 -j ACCEPT
+
+# Autoriser les connexions établies et connexes
+iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
+
+# Autoriser les connexions sur l'interface loopback
+iptables -A INPUT -i lo -j ACCEPT
+
+# Autoriser les requêtes ping
+iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT
+
+# Autoriser les connexions SSH depuis le réseau privé et depuis certains hôtes internet
+iptables -A INPUT -p tcp -s 172.16.0.0/24,81.209.165.42 --dport ssh -j ACCEPT
+
+# Autoriser les connexions DNS et SMTP sur l'interface privée
+iptables -A INPUT -i enp0s9 -s 172.16.0.0/24 -p udp --dport domain -j ACCEPT
+iptables -A INPUT -i enp0s9 -s 172.16.0.0/24 -p tcp --dport domain -j ACCEPT
+iptables -A INPUT -i enp0s9 -s 172.16.0.0/24 -p udp --dport bootps -j ACCEPT
+
+# Autoriser les requêtes ping sur l'interface VPN
+iptables -A INPUT -i wg0 -p icmp --icmp-type echo-request -j ACCEPT
+
+# Interdire les connexions SSH sur l'interface VPN
+iptables -A INPUT -i wg0 -s 0.0.0.0/0 -p tcp --dport ssh -j DROP
+
+# Interdire les connexions SSH sortantes sur l'interface VPN
+iptables -A OUTPUT -o wg0 -d 0.0.0.0/0 -p tcp --dport ssh -j DROP
+
+# Autoriser le trafic sur l'interface publique
+iptables -A INPUT -i enp0s8 -j ACCEPT
+
+# Autoriser les connexions depuis l'interface privée vers l'interface publique ou une autre interface privée
+iptables -A FORWARD -i enp0s9 -o enp0s8 -j ACCEPT
+iptables -A FORWARD -i enp0s9 -o enp0s9 -j ACCEPT
+
+# Interdire toutes les autres connexions de forwarding
+iptables -A FORWARD -j DROP

roles/fw-ferm/files/iptables.test.r-vp2

@@ -0,0 +1,50 @@
+# Politique par défaut : DROP
+iptables -P INPUT DROP
+iptables -P FORWARD ACCEPT
+iptables -P OUTPUT ACCEPT
+
+# Autoriser les connexions VPN entrantes
+iptables -A INPUT -p udp --dport 51820 -j ACCEPT
+
+# Autoriser les connexions établies et apparentées
+iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
+
+# Autoriser les connexions depuis l'interface locale
+iptables -A INPUT -i lo -j ACCEPT
+
+# Autoriser les requêtes ping
+iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT
+
+# Autoriser les connexions SSH depuis le réseau privé et depuis certains hôtes Internet
+iptables -A INPUT -s 172.16.0.0/24 -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
+iptables -A INPUT -s 81.209.165.42 -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
+
+# Autoriser les connexions DNS et SMTP depuis le réseau privé
+iptables -A INPUT -i enp0s8 -s 172.16.0.0/24 -p udp --dport 53 -j ACCEPT
+iptables -A INPUT -i enp0s8 -s 172.16.0.0/24 -p tcp --dport 53 -j ACCEPT
+iptables -A INPUT -i enp0s8 -s 172.16.0.0/24 -p udp --dport 67 -j ACCEPT
+
+# Autoriser le trafic sortant
+iptables -A OUTPUT -j ACCEPT
+
+# Autoriser les requêtes ping sortantes
+iptables -A OUTPUT -p icmp --icmp-type echo-request -j ACCEPT
+
+# Autoriser les connexions SSH sortantes
+iptables -A OUTPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
+
+# Autoriser les connexions VPN sortantes
+iptables -A FORWARD -i wg0 -o enp0s9 -j ACCEPT
+iptables -A FORWARD -i enp0s9 -o wg0 -j ACCEPT
+
+# Interdire les connexions SSH entrantes depuis l'interface VPN
+iptables -A FORWARD -i wg0 -p tcp --dport 22 -j DROP
+
+# Autoriser les connexions SSH sortantes vers l'interface VPN
+iptables -A FORWARD -o wg0 -p tcp --dport 22 -j ACCEPT
+
+# Autoriser les connexions établies et apparentées
+iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
+
+# Autoriser le trafic depuis le réseau privé
+iptables -A FORWARD -i enp0s8 -o enp0s9 -j ACCEPT

roles/lb-web/tasks/main.yml

@@ -13,16 +13,3 @@
   apt:
     name: nfs-common
     state: present
-
-- name: montage nfs pour word press
-  blockinfile:
-    path: /etc/fstab
-    block: |
-      192.168.102.253:/home/wordpress /var/www/html nfs soft,timeo=5,intr,rsize=8192,wsize=8192,wsize=8192 0 0
-
-      #- name: monte export wordpress
-      #  ansible.posix.mount:
-      #    path: /var/www/html
-      #    state: mounted
-      #    fstype: nfs
-      #    src: 192.168.102.253:/exports/wordpress

roles/nagios/files/cfg/localhost.cfg

@@ -26,6 +26,7 @@ define host {
     host_name               localhost
     alias                   localhost
     address                 127.0.0.1
+    parents		    r-int
 }
 
 

roles/nagios/files/cfg/s-adm.cfg

@@ -9,5 +9,6 @@ define host{
         host_name               s-adm
         alias                   debian-servers
         address                 192.168.99.99
+	parents			r-int
         }
 

roles/nagios/files/cfg/s-appli.cfg

@@ -9,5 +9,6 @@ define host{
         host_name               s-appli
         alias                   debian-servers
         address                 172.16.0.3
+	parents			r-int
         }
 

roles/nagios/files/cfg/s-backup.cfg

@@ -9,5 +9,6 @@ define host{
         host_name               s-backup
         alias                   serveur proxy
         address                 172.16.0.4
+	parents			r-int
         }
 

roles/nagios/files/cfg/s-fog.cfg

@@ -9,6 +9,7 @@ define host{
         host_name               s-fog
         alias                   serveur proxy
         address                 172.16.0.16
+	parents			r-int
         }
 
 

roles/nagios/files/cfg/s-infra.cfg

@@ -9,5 +9,6 @@ define host{
         host_name               s-infra
         alias                   debian-servers
         address                 172.16.0.1
+	parents			r-int
         }
 

roles/nagios/files/cfg/s-itil.cfg

@@ -9,6 +9,7 @@ define host{
         host_name               s-itil
         alias                   serveur proxy
         address                 172.16.0.9
+	parents			r-int
         }
 
 

roles/nagios/files/cfg/s-nxc.cfg

@@ -9,5 +9,6 @@ define host{
         host_name               s-nxc
         alias                   debian-servers
         address                 172.16.0.7
+	parents			r-int
         }
 

roles/nagios/files/cfg/s-proxy.cfg

@@ -9,6 +9,7 @@ define host{
         host_name               s-proxy
         alias                   serveur proxy
         address                 172.16.0.2
+	parents			r-int
         }
 
 

roles/nagios/files/cfg/s-win.cfg

@@ -9,6 +9,7 @@ define host{
         host_name               s-win
         alias                   serveur proxy
         address                 172.16.0.6
+	parents			r-int
         }
 
 

roles/peertube/tasks/main.yml

@@ -0,0 +1,11 @@
+---
+  - name: installation de docker...
+    shell: curl https://releases.rancher.com/install-docker/20.10.sh | sh
+
+  - name: installation de k3s...
+    shell: curl -sfL https://get.k3s.io | sh -s - --docker
+
+  - name: activationde k3s au démarrage...
+    systemd:
+      name: k3s
+      enabled: true

roles/post-lb/README.md

@@ -0,0 +1,7 @@
+# Rôle Post
+
+Le rôle "post" copie la configuration des interfaces des cartes réseaux nécessaires selon la machine sur laquelle on exécute le rôle. Il place cette configuration dans /etc/network/interfaces.
+
+Ensuite, on copie le fichier "resolv.conf" dans /etc/ lorsque que la machine qui exécute le rôle n'est pas "s-adm", "s-proxy" ou "r-vp2".
+
+Cependant, si la machine qui exécute le rôle est "s-proxy", on copie le fichier "resolv.conf.s-proxy" dans /etc/resolv.conf

roles/post-lb/files/interfaces.s-lb-web1

@@ -0,0 +1,21 @@
+### 0.2 - putconf - jeudi 7 janvier 2016, 16:18:49 (UTC+0100)
+
+# The loopback network interface
+auto lo
+iface lo inet loopback
+
+# carte n-adm
+allow-hotplug enp0s3
+iface enp0s3 inet static
+	address 192.168.99.101/24
+
+# Réseau n-dmz-lb
+allow-hotplug enp0s8
+iface enp0s8 inet static
+        address 192.168.101.1/24
+
+# réseau n-dmz-db
+allow-hotplug enp0s9
+iface enp0s9 inet static
+        address 192.168.102.1/24
+	post-up mount -o rw 192.168.102.253:/home/wordpress /var/www/html

roles/post-lb/files/interfaces.s-lb-web2

@@ -0,0 +1,21 @@
+### 0.2 - putconf - jeudi 7 janvier 2016, 16:18:49 (UTC+0100)
+
+# The loopback network interface
+auto lo
+iface lo inet loopback
+
+# carte n-adm
+allow-hotplug enp0s3
+iface enp0s3 inet static
+	address 192.168.99.101/24
+
+# Réseau n-dmz-lb
+allow-hotplug enp0s8
+iface enp0s8 inet static
+        address 192.168.101.1/24
+
+# réseau n-dmz-db
+allow-hotplug enp0s9
+iface enp0s9 inet static
+        address 192.168.102.1/24
+	post-up mount -o rw 192.168.102.253:/home/wordpress /var/www/html

roles/post-lb/files/resolv.conf

@@ -0,0 +1,4 @@
+search gsb.lan
+domain gsb.lan
+nameserver 172.16.0.1
+

roles/post-lb/tasks/main.yml

@@ -0,0 +1,24 @@
+---
+
+
+- name: Copie interfaces
+  copy: src=interfaces.{{ ansible_hostname }} dest=/etc/network/interfaces
+
+- name: Copie resolv.conf
+  copy: src=resolv.conf dest=/etc/
+  when: ansible_hostname != "s-adm" and ansible_hostname != "s-proxy"
+
+- name: pas de chgt resolv.conf pour r-vp2
+  meta: end_play
+  when: ansible_hostname == "r-vp2"
+
+- name: Copie resolv.conf pour s-proxy
+  copy: src=resolv.conf.s-proxy dest=/etc/resolv.conf
+  when: ansible_hostname == "s-proxy"
+
+#- name: Confirm
+#  prompt: "<Entree> pour redemarrer ..."
+
+#- name: Reboot
+#  shell: reboot
+

roles/post/files/interfaces.s-peertube

@@ -0,0 +1,16 @@
+### 0.1 - putconf - jeudi 30 mars 2023, 8:11:30 (UTC+0100)
+
+# The loopback network interface
+auto lo
+iface lo inet loopback
+
+# carte n-adm
+allow-hotplug enp0s3
+iface enp0s3 inet static
+	address 192.168.99.120/24
+
+# Réseau n-dmz
+allow-hotplug enp0s8
+iface enp0s8 inet static
+        address 192.168.100.20/24
+

roles/post/tasks/main.yml

@@ -21,4 +21,3 @@
 
 #- name: Reboot
 #  shell: reboot
-

s-lb-web1.yml

@@ -4,7 +4,7 @@
 
   roles:
     - base
-    - post
+    - post-lb
     - lb-web
     - snmp-agent
     - ssh-cli

s-lb-web2.yml

@@ -4,7 +4,8 @@
 
   roles:
     - base
-    - post
+    - post-lb
     - lb-web
     - snmp-agent
     - ssh-cli
+

s-peertube.yml

@@ -0,0 +1,10 @@
+---
+- hosts: localhost
+  connection: local
+
+  roles:
+    - base
+    - peertube
+    - post
+    - snmp-agent
+    - ssh-cli

scripts/addint.s-peertube

@@ -0,0 +1,18 @@
+#!/bin/bash
+nom=s-peertube
+
+# N-adm (enp0s3)
+
+VBoxManage modifyvm $nom --nic1 intnet
+VBoxManage modifyvm $nom --intnet1 "n-adm"
+VBoxManage modifyvm $nom --nictype1 82540EM
+VBoxManage modifyvm $nom --cableconnected1 on
+VBoxManage modifyvm $nom --nicpromisc1 allow-all
+
+# N-dmz (enp0s8)
+
+VBoxManage modifyvm $nom --nic2 intnet
+VBoxManage modifyvm $nom --intnet2 "n-dmz"
+VBoxManage modifyvm $nom --nictype2 82540EM
+VBoxManage modifyvm $nom --cableconnected2 on
+VBoxManage modifyvm $nom --nicpromisc2 allow-all

scripts/mkvm

@@ -110,6 +110,8 @@ elif [[ "${vm}" == "s-lb-bd" ]] ; then
         create_if "${vm}" "n-adm" "n-dmz-db"
 elif [[ "${vm}" == "s-nas" ]] ; then
         create_if "${vm}" "n-adm" "n-dmz-db"
+elif [[ "${vm}" == "s-peertube" ]] ; then
+	./addint.s-peertube
 elif [[ "${vm}" == "r-vp1" ]] ; then
 	./addint.r-vp1
 elif [[ "${vm}" == "r-vp2" ]] ; then