Différences

Ci-dessous, les différences entre deux révisions de la page.

--- tech:hypervisor-01 [29/09/2023 17:58] – [Système d'exploitation] LibertAdmin
+++ tech:hypervisor-01 [17/09/2025 23:23] (Version actuelle) – [Paquets installés] LibertAdmin
@@ Ligne 19: / Ligne 19: @@
   * 1 hyperviseur KVM exposé sur Internet sur 159.69.59.13/32
   * plusieurs machines virtuelles KVM/QEMU pour les services, pilotées par libvirt, sur 192.168.10.0/24 :
-     * [[tech:audio-01|audio-01]] : Debian stable, Nginx, application Funkwhale, ffmpeg
+     * <del>[[tech:audio-01|audio-01]] : Debian stable, Nginx, application Funkwhale, ffmpeg</del> Serveur supprimé en 2024.
      * [[tech:mail-01|mail-01]] : Debian stable, services mail Postfix, Dovecot, Amavis, Spamassassin, ClamAV, Sieve (déploiement à venir)
      * <del>[[tech:proxy-01|proxy-01]] : Debian stable, proxy frontal Nginx et pare-feu iptables, bannissement par Fail2Ban</del> Serveur supprimé le 30 janvier 2022.
-     * [[tech:sql-01|sql-01]] : Debian stable, services MySQL et PostgreSQL
+     * [[tech:sql-01|sql-01]] : Debian stable, services MySQL, PostgreSQL et Redis
      * <del>[[tech:video-01|video-01]] : Debian stable, Nginx, application Peertube, ffmpeg</del> Serveur supprimé en 2023.
      * <del>[[tech:visio-01|visio-01]] : Debian stable, Nginx, application Jitsi Meet</del> Serveur supprimé en 2022.
-     * [[tech:web-01|web-01]] : Debian stable, Nginx, ffmpeg, services web, sites, blogs, sites internes
+     * [[tech:web-01|web-01]] : Debian stable, Nginx, ffmpeg, ensemble des applications web, sites, blogs, sites internes
-Toutes les requêtes venant d'internet sont pré-routées et redirigées via iptables vers la ou les machines virtuelles concernées. L'infrastructure interne est protégée par un pare-feu et un système de bannissement.
+Toutes les requêtes venant d'internet sont pré-routées et redirigées via iptables en IPv4 vers la ou les machines virtuelles concernées. L'infrastructure interne est protégée par un pare-feu et un système de bannissement. En IPv6, chaque machine a son IP routable sur internet.
 ===== Configuration =====
 ==== Système d'exploitation ====
   * Debian stable (Debian 12 « Bookworm »)
-  * Debian oldstable pour le serveur web-01 (Debian 11 « Bullseye »)
 ==== Adressage IP ====
-Hetzner offre une IP publique. Nous avons modifié l'adressage pour créer 2 réseaux internes : un pour les machines virtuelles et un pour notre administration, puis on bridgé le réseau des VM sur le réseau adressé avec l'IP publique. L'interface enp0trucmachin est devenue br0. La ligne « pre-up » corrige notamment un problème connu d'instabilité de connexion sur la carte réseau de ce serveur.
+Hetzner offre une IP publique. Nous avons modifié l'adressage pour créer 2 réseaux internes : un pour les machines virtuelles et un pour notre administration (auquel on accèdera via un VPN), puis on bridgé le réseau des VM sur le réseau adressé avec l'IP publique. L'interface enp0trucmachin est devenue br0. La ligne « pre-up » corrige notamment un problème connu d'instabilité de connexion sur la carte réseau de ce serveur.
-L'adressage du réseau d'administration (10.X.X.X) a été masqué pour des raisons de sécurité.
+L'adressage en IPv6 utilise le réseau /64 qu'Hetzner nous offre, ça fait quand même 2^64 adresses IP disponibles, à savoir 18 446 744 073 709 551 616 adresses !
-L'adressage en IPv6 est une adaptation du réseau IPv4 vers IPv6. À terme, il sera judicieux qu'on utilise le réseau /64 qu'Hetzner nous offre, ça fait quand même 2^64 adresses IP disponibles, à savoir 18 446 744 073 709 551 616 adresses !
 <code>
@@ Ligne 65: / Ligne 62: @@
 iface br0 inet6 static
 	bridge_ports enp0s31f6
-	bridge_hz enp0s31f6
+	bridge_hw enp0s31f6
 	bridge_fd 0
 	bridge_stp off
@@ Ligne 73: / Ligne 70: @@
 	gateway fe80::1
-# Management
+# Management (REPLACED WITH WIREGUARD VPN)
-auto br1
+#auto br1
-iface br1 inet static
+#iface br1 inet static
-	bridge_ports none
+#       bridge_ports none
-	bridge_fd 0
+#       bridge_fd 0
-	bridge_stp off
+#       bridge_stp off
-	address 10.X.Y.Z
+#       address 10.10.10.1
-	netmask 255.X.Y.Z
+#       netmask 255.255.255.0
+#
-iface br1 inet6 static
+#iface br1 inet6 static
-	bridge_ports none
+#       bridge_ports none
-	bridge_fd 0
+#       bridge_fd 0
-	bridge_stp off
+#       bridge_stp off
-	address ::ffff:a0a:a01
+#       address ::ffff:a0a:a01
-	netmask 120
+#       netmask 120
 # VM-LAN
@@ Ligne 102: / Ligne 99: @@
 	bridge_fd 0
 	bridge_stp off
-	address ::ffff:c0a8:a01
+	address 2a01:4f8:231:aa6::1
 	netmask 120
 </code>
+==== Paramètres réseau et swap dans sysctl ====
+Dans ''/etc/sysctl.d/99-liberta.conf'' nous avons dû activer les paramètres réseau pour permettre au bridge de router les paquets et passer également la « swappiness » à 0. La mémoire doit être donc complètement saturée avant de commencer à « swapper » sur le disque dur (c'est un SSD) :
+<code>
+net.ipv4.conf.all.accept_redirects = 0
+net.ipv4.conf.all.rp_filter=1
+net.ipv4.conf.default.rp_filter=1
+net.ipv4.icmp_echo_ignore_broadcasts=1
+net.ipv4.ip_forward=1
+net.ipv6.conf.all.accept_dad=0
+net.ipv6.conf.all.accept_ra=0
+net.ipv6.conf.all.accept_ra_defrtr=0
+net.ipv6.conf.all.accept_ra_pinfo=0
+net.ipv6.conf.all.accept_ra_rtr_pref=0
+net.ipv6.conf.all.accept_redirects = 0
+net.ipv6.conf.all.accept_redirects=0
+net.ipv6.conf.all.accept_source_route=0
+net.ipv6.conf.all.autoconf=0
+net.ipv6.conf.all.forwarding=1
+net.ipv6.conf.default.accept_dad=0
+net.ipv6.conf.default.accept_ra=0
+net.ipv6.conf.default.accept_ra_defrtr=0
+net.ipv6.conf.default.accept_ra_pinfo=0
+net.ipv6.conf.default.accept_ra_rtr_pref=0
+net.ipv6.conf.default.accept_redirects=0
+net.ipv6.conf.default.accept_source_route=0
+net.ipv6.conf.default.autoconf=0
+vm.swappiness=0
+</code>
 ==== Routage et filtrage avec iptables ====
@@ Ligne 113: / Ligne 139: @@
 Le paquet ''iptables-persistent'' doit avoir été installé pour conserver les modifications du pare-feu entre chaque redémarrage.
-Le port SSH a été masqué.
 Il est bien sûr extrêmement important de sécuriser SSH : interdire le login root avec mot de passe, utiliser de bons algorithmes de chiffrement, changer le port, n'autoriser qu'une IP distante (ou mieux, ne rien autoriser depuis internet et utiliser un VPN) et mettre en place un faux serveur SSH pour que les attaquants perdent leur temps à essayer de se connecter, sans vous faire perdre le vôtre (et ajouter un Fail2Ban évidemment). La recette reste secrète, désolé ! ;-)
-Les règles concernant le réseau d'administration n'apparaissent pas non plus ici.
+Cela dit, pour information une configuration similaire à la suivante est en place :
-Pour IPv4, dans ''/etc/iptables-persistent/rules.v4'' :
 <code bash>
+# /etc/ssh/sshd_config.d/liberta.conf
-*nat
+# Common parameters:
+Port <un_port>
+Port <un_autre_port>
+AcceptEnv LANG LC_*
+ChallengeResponseAuthentication no
+KbdInteractiveAuthentication no
+PrintMotd no
+PasswordAuthentication no
+Subsystem sftp /usr/lib/openssh/sftp-server
+UsePAM yes
+X11Forwarding no
-# Router le trafic Web vers le serveur web :
+# Port <un_port> configuration for IPv4/IPv6:
--A PREROUTING -d 159.69.59.13/32 -p tcp -m tcp --syn -m multiport --dports 80,443 -j DNAT --to-destination 192.168.10.5
+Match Address="<adresse_ipv4_de_confiance>,127.0.0.0/8,<adresse_ipv6_de_confiance>,fd00::/8" LocalPort=<un_port>
+    AllowUsers root <utilisateurice_de_confiance>
-# Router le mail envoi/réception vers le serveur mail :
+# Port <un_autre_port> configuration for IPv4/IPv6:
--A PREROUTING -d 159.69.59.13/32 -p tcp -m tcp --syn -m multiport --dports 587,993,25 -j DNAT --to-destination 192.168.10.7
+Match LocalPort=<un_autre_port>
+    AllowUsers <utilisateurice_de_confiance>
+</code>
-# Tests
+Les règles concernant le réseau d'administration n'apparaissent pas non plus ici.
-## Router les ports des applications vers le serveur web :
-#-A PREROUTING -d 159.69.59.13/32 -p tcp -m tcp --syn -m multiport --dports 1935,1936,3000,3001,9000,9001 -j DNAT --to-destination 192.168.10.5
-#
-## Router le port 5868 vers le serveur audio pour Funkwhale :
-#-A PREROUTING -d 159.69.59.13/32 -p tcp -m tcp --syn -m multiport --dports 5868 -j DNAT --to-destination 192.168.10.9
-# Router le 8484 pour Zabbix vers le serveur monitoring :
+Pour IPv4, dans ''/etc/iptables-persistent/rules.v4'' :
--A PREROUTING -d 159.69.59.13/32 -p tcp -m tcp --syn -m multiport --dports 8484 -j DNAT --to-destination 192.168.10.250
-# Ne pas appliquer le masquerading sur le broadcast/multicast :
--A POSTROUTING -s 192.168.10.0/24 -d 224.0.0.0/24 -j RETURN
--A POSTROUTING -s 192.168.10.0/24 -d 255.255.255.255/32 -j RETURN
-# Masquerading sur tous les ports dans le sens sortant (VM -> Internet)
--A POSTROUTING -s 192.168.10.0/24 ! -d 192.168.10.0/24 -p tcp -j MASQUERADE --to-ports 1024-65535
--A POSTROUTING -s 192.168.10.0/24 ! -d 192.168.10.0/24 -p udp -j MASQUERADE --to-ports 1024-65535
--A POSTROUTING -s 192.168.10.0/24 ! -d 192.168.10.0/24 -j MASQUERADE
+<code bash>
+*nat
+-A PREROUTING -d 159.69.59.13/32 -p tcp -m tcp --syn -m multiport --dports 80,443,1935 -m comment --comment "Router le trafic Web vers le serveur web" -j DNAT --to-destination 192.168.10.5
+-A PREROUTING -d 159.69.59.13/32 -p tcp -m tcp --syn -m multiport --dports 587,993,25 -m comment --comment "Router le mail envoi/réception vers le serveur mail" -j DNAT --to-destination 192.168.10.7
+-A PREROUTING -d 159.69.59.13/32 -p tcp -m tcp --syn -m multiport --dports 8484 -m comment --comment "Router le 8484 pour Zabbix vers le serveur monitoring" -j DNAT --to-destination 192.168.10.250
+-A POSTROUTING -s 10.10.10.0/24 -d 192.168.10.0/24 -m comment --comment "On masquerade le trafic du réseau admin/VPN vers les VM" -j MASQUERADE
+-A POSTROUTING -s 192.168.10.0/24 -d 224.0.0.0/24 -m comment --comment "Ne pas appliquer le masquerading sur le broadcast/multicast" -j RETURN
+-A POSTROUTING -s 192.168.10.0/24 -d 255.255.255.255/32 -m comment --comment "Ne pas appliquer le masquerading sur le broadcast/multicast" -j RETURN
+-A POSTROUTING -s 192.168.10.0/24 ! -d 192.168.10.0/24 -p tcp -m comment --comment "Masquerading sur tous les ports dans le sens sortant (VM -> Internet)" -j MASQUERADE --to-ports 1024-65535
+-A POSTROUTING -s 192.168.10.0/24 ! -d 192.168.10.0/24 -p udp -m comment --comment "Masquerading sur tous les ports dans le sens sortant (VM -> Internet)" -j MASQUERADE --to-ports 1024-65535
+-A POSTROUTING -s 192.168.10.0/24 ! -d 192.168.10.0/24 -m comment --comment "Masquerading dans le sens sortant (VM -> Internet)" -j MASQUERADE
 COMMIT
 *filter
+-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -m comment --comment "Accepter le trafic des connexions établies, en entrée" -j ACCEPT
-# Accepter le trafic basique : ICMP, boucle locale et connexions établies, en entrée :
+-A INPUT -i lo  -m comment --comment "Accepter le trafic basique depuis la boucle locale, en entrée"-j ACCEPT
--A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
+-A INPUT -p icmp --icmp-type 8 -m conntrack --ctstate NEW -m comment --comment "Accepter le trafic basique ICMP, en entrée" -j ACCEPT
--A INPUT -i lo -j ACCEPT
+-A INPUT -p tcp -m tcp --syn -m conntrack --ctstate NEW -m multiport --dports 22,1984,52365 -m comment --comment "Accepter le SSH et le tunnel" -j ACCEPT
--A INPUT -p icmp --icmp-type 8 -m conntrack --ctstate NEW -j ACCEPT
+-A INPUT -p tcp -m tcp --syn -m conntrack --ctstate NEW -m multiport --dports 587,993,25 -m comment --comment "Accepter les connexions pour le mail" -j ACCEPT
+-A INPUT -p udp --dport 51510 -m comment --comment "Accepter les connexions au VPN Wireguard depuis l'extérieur" -j ACCEPT
-# Accepter le SSH :
+-A INPUT -i br2 -p udp -m udp -m multiport --dports 53 -m comment --comment "Accepter les requêtes DNS (port 53) depuis les VM" -j ACCEPT
--A INPUT -p tcp -m tcp --syn -m conntrack --ctstate NEW --dport 22 -j ACCEPT
+-A INPUT -i br2 -p tcp -m tcp -m multiport --dports 53 -m comment --comment "Accepter les requêtes DNS (port 53) depuis les VM" -j ACCEPT
--A INPUT -p tcp -m tcp --syn -m conntrack --ctstate NEW --dport 1984 -j ACCEPT
+-A INPUT -i br2 -p tcp -m multiport --dport 2049 -m comment --comment "Bloquer les requêtes rpcbind/portmap en entrée depuis l'extérieur" -j ACCEPT
+-A INPUT -i br2 -p tcp -m multiport --dport 111 -m comment --comment "Bloquer les requêtes rpcbind/portmap en entrée depuis l'extérieur" -j ACCEPT
-# Accepter les connexions pour le mail :
+-A INPUT -p tcp -s 127.0.0.1 --dport 111 -m comment --comment "Bloquer les requêtes rpcbind/portmap en entrée depuis l'extérieur" -j ACCEPT
--A INPUT -p tcp -m tcp --syn -m conntrack --ctstate NEW -m multiport --dports 587,993,25 -j ACCEPT
+-A INPUT -p udp --dport 111 -m comment --comment "Bloquer les requêtes rpcbind/portmap en entrée depuis l'extérieur" -j DROP
+-A INPUT -p tcp --dport 111 -m comment --comment "Bloquer les requêtes rpcbind/portmap en entrée depuis l'extérieur" -j DROP
-# Accepter le tunnel SSH vers le serveur web-01 sur le port 52365 :
+-A INPUT -i br2 -p tcp -m tcp -m multiport --dports 10050 -m comment --comment "Accepter les requêtes Zabbix passives (port 10050) depuis les VM" -j ACCEPT
--A INPUT -p tcp -m tcp -m conntrack --ctstate NEW --dport 52365 -j ACCEPT
+-A INPUT -p icmp  --icmp-type 8 -m conntrack --ctstate NEW -m limit --limit 1/s --limit-burst 1 -m comment --comment "On refuse les trop nombreux ping" -j ACCEPT
+-A INPUT -p icmp -m comment --comment "On refuse les trop nombreux ping" -j DROP
-# Accepter les requêtes DNS (port 53) depuis les VM :
+-A INPUT -m conntrack --ctstate INVALID -m comment --comment "On refuse tout le reste" -j DROP
--A INPUT -i br2 -p udp -m udp -m multiport --dports 53 -j ACCEPT
+-A INPUT -p tcp -m tcp -m comment --comment "On refuse tout le reste" -j REJECT --reject-with tcp-reset
--A INPUT -i br2 -p tcp -m tcp -m multiport --dports 53 -j ACCEPT
+-A INPUT -m comment --comment "On refuse tout le reste" -j REJECT --reject-with icmp-port-unreachable
+-A FORWARD -d 192.168.10.0/24 -o br2 -m conntrack --ctstate RELATED,ESTABLISHED -m comment --comment "Accepter les connexions établies sur le LAN" -j ACCEPT
-# Bloquer les requêtes rpcbind/portmap en entrée ***depuis l'extérieur*** :
+-A FORWARD -s 192.168.10.0/24 -i br2 -m comment --comment "Accepter le trafic sortant depuis le LAN" -j ACCEPT
--A INPUT -i br2 -p tcp -m multiport --dport 2049 -j ACCEPT
+-A FORWARD -i br2 -o br2 -m comment --comment "Accepter le trafic interne entre les VM" -j ACCEPT
--A INPUT -i br2 -p tcp -m multiport --dport 111 -j ACCEPT
+-A FORWARD -i wg0 -o br2 -m comment --comment "Accepter le trafic interne depuis le VPN vers les VM" -j ACCEPT
--A INPUT -p tcp -s 127.0.0.1 --dport 111 -j ACCEPT
+-A FORWARD -i br2 -o wg0 -m comment --comment "Accepter le trafic interne depuis les VM vers le VPN" -j ACCEPT
--A INPUT -p udp --dport 111 -j DROP
+-A FORWARD -d 192.168.10.5/32 -o br2 -p tcp -m tcp --syn -m conntrack --ctstate NEW -m multiport --dports 80,443,1935,8484 -m comment --comment "Accepter les paquets redirigés vers des ports particuliers pour le Web vers le serveur web" -j ACCEPT
--A INPUT -p tcp --dport 111 -j DROP
+-A FORWARD -d 192.168.10.7/32 -o br2 -p tcp -m tcp --syn -m conntrack --ctstate NEW -m multiport --dports 587,993,25 -m comment --comment "Accepter les paquets redirigés vers des ports particuliers pour le mail vers le serveur mail" -j ACCEPT
+-A FORWARD -d 192.168.10.250/32 -o br2 -p tcp -m tcp -m conntrack --ctstate NEW -m multiport --dports 8484 -m comment --comment "Accepter les paquets redirigés vers des ports particuliers pour le monitoring vers le serveur de monitoring" -j ACCEPT
-# Accepter les requêtes Zabbix passives (port 10050) depuis les VM :
+-A INPUT -s 102.132.96.0/20 -m comment --comment    "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -i br2 -p tcp -m tcp -m multiport --dports 10050 -j ACCEPT
+-A INPUT -s 103.4.96.0/22 -m comment --comment      "Meta/Facebook/Instagram/Threads Adios!" -j DROP
+-A INPUT -s 129.134.0.0/17 -m comment --comment     "Meta/Facebook/Instagram/Threads Adios!" -j DROP
-# On refuse les trop nombreux ping :
+-A INPUT -s 129.134.160.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -p icmp  --icmp-type 8 -m conntrack --ctstate NEW -m limit --limit 1/s --limit-burst 1 -j ACCEPT
+-A INPUT -s 129.134.25.0/24 -m comment --comment    "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -p icmp -j DROP
+-A INPUT -s 129.134.26.0/24 -m comment --comment    "Meta/Facebook/Instagram/Threads Adios!" -j DROPip
+-A INPUT -s 129.134.27.0/24 -m comment --comment    "Meta/Facebook/Instagram/Threads Adios!" -j DROP
-# On refuse tout le reste :
+-A INPUT -s 129.134.28.0/24 -m comment --comment    "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -m conntrack --ctstate INVALID -j DROP
+-A INPUT -s 129.134.29.0/24 -m comment --comment    "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -p tcp -m tcp -j REJECT --reject-with tcp-reset
+-A INPUT -s 129.134.30.0/24 -m comment --comment    "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -j REJECT --reject-with icmp-port-unreachable
+-A INPUT -s 129.134.31.0/24 -m comment --comment    "Meta/Facebook/Instagram/Threads Adios!" -j DROP
+-A INPUT -s 139.223.200.130/32 -m comment --comment "Meta/Facebook/Instagram/Threads Adios!" -j DROP
-# Accepter les connexions établies sur le LAN :
+-A INPUT -s 157.240.0.0/17 -m comment --comment     "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A FORWARD -d 192.168.10.0/24 -o br2 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
+-A INPUT -s 157.240.192.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
+-A INPUT -s 157.240.195.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
-# Accepter le trafic sortant depuis le LAN :
+-A INPUT -s 157.240.196.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A FORWARD -s 192.168.10.0/24 -i br2 -j ACCEPT
+-A INPUT -s 157.240.197.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
+-A INPUT -s 157.240.198.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
-# Accepter le trafic interne entre les VM :
+-A INPUT -s 157.240.199.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A FORWARD -i br2 -o br2 -j ACCEPT
+-A INPUT -s 157.240.200.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
+-A INPUT -s 157.240.201.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
-# Accepter les paquets redirigés vers des ports particuliers pour le Web vers le serveur web :
+-A INPUT -s 157.240.202.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A FORWARD -d 192.168.10.5/32 -o br2 -p tcp -m tcp --syn -m conntrack --ctstate NEW -m multiport --dports 80,443,8484 -j ACCEPT
+-A INPUT -s 157.240.203.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
+-A INPUT -s 157.240.204.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
-# Accepter les paquets redirigés vers des ports particuliers pour le mail vers le serveur mail :
+-A INPUT -s 157.240.205.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A FORWARD -d 192.168.10.7/32 -o br2 -p tcp -m tcp --syn -m conntrack --ctstate NEW -m multiport --dports 587,993,25 -j ACCEPT
+-A INPUT -s 157.240.207.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
+-A INPUT -s 157.240.208.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
-# Accepter les paquets redirigés vers des ports particuliers pour le monitoring vers le serveur de monitoring :
+-A INPUT -s 157.240.209.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A FORWARD -d 192.168.10.250/32 -o br2 -p tcp -m tcp -m conntrack --ctstate NEW -m multiport --dports 8484 -j ACCEPT
+-A INPUT -s 157.240.210.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
+-A INPUT -s 157.240.211.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
-# Tests
+-A INPUT -s 157.240.212.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
-## Accepter les paquets redirigés vers des ports particuliers vers le serveur web :
+-A INPUT -s 157.240.214.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
-#-A FORWARD -d 192.168.10.5/32 -o br2 -p tcp -m tcp --syn -m conntrack --ctstate NEW -m multiport --dports 1935,1936,3000,3001,9000,9001 -j ACCEPT
+-A INPUT -s 157.240.215.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
-#
+-A INPUT -s 157.240.216.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
-## Accepter les paquets redirigés vers des ports particuliers pour funkwhale service 5868 vers le serveur audio :
+-A INPUT -s 157.240.217.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
-#-A FORWARD -d 192.168.10.9/32 -o br2 -p tcp -m tcp --syn -m conntrack --ctstate NEW -m multiport --dports 5868 -j ACCEPT
+-A INPUT -s 157.240.218.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
+-A INPUT -s 157.240.22.0/24 -m comment --comment    "Meta/Facebook/Instagram/Threads Adios!" -j DROP
-# On bloque TOUT le trafic en provenance de Meta/Facebook/Instagram/Threads :
+-A INPUT -s 157.240.221.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 102.132.96.0/20 -j DROP
+-A INPUT -s 157.240.222.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 103.4.96.0/22 -j DROP
+-A INPUT -s 157.240.223.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 129.134.0.0/17 -j DROP
+-A INPUT -s 157.240.224.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 129.134.160.0/24 -j DROP
+-A INPUT -s 157.240.225.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 129.134.25.0/24 -j DROP
+-A INPUT -s 157.240.226.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 129.134.26.0/24 -j DROP
+-A INPUT -s 157.240.227.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 129.134.27.0/24 -j DROP
+-A INPUT -s 157.240.228.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 129.134.28.0/24 -j DROP
+-A INPUT -s 157.240.229.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 129.134.29.0/24 -j DROP
+-A INPUT -s 157.240.23.0/24 -m comment --comment    "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 129.134.30.0/24 -j DROP
+-A INPUT -s 157.240.231.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 129.134.31.0/24 -j DROP
+-A INPUT -s 157.240.232.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 139.223.200.130/32 -j DROP
+-A INPUT -s 157.240.233.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.0.0/17 -j DROP
+-A INPUT -s 157.240.234.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.192.0/24 -j DROP
+-A INPUT -s 157.240.235.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.195.0/24 -j DROP
+-A INPUT -s 157.240.236.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.196.0/24 -j DROP
+-A INPUT -s 157.240.237.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.197.0/24 -j DROP
+-A INPUT -s 157.240.238.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.198.0/24 -j DROP
+-A INPUT -s 157.240.239.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.199.0/24 -j DROP
+-A INPUT -s 157.240.240.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.200.0/24 -j DROP
+-A INPUT -s 157.240.24.0/24 -m comment --comment    "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.201.0/24 -j DROP
+-A INPUT -s 157.240.241.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.202.0/24 -j DROP
+-A INPUT -s 157.240.242.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.203.0/24 -j DROP
+-A INPUT -s 157.240.243.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.204.0/24 -j DROP
+-A INPUT -s 157.240.244.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.205.0/24 -j DROP
+-A INPUT -s 157.240.245.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.207.0/24 -j DROP
+-A INPUT -s 157.240.247.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.208.0/24 -j DROP
+-A INPUT -s 157.240.249.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.209.0/24 -j DROP
+-A INPUT -s 157.240.250.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.210.0/24 -j DROP
+-A INPUT -s 157.240.25.0/24 -m comment --comment    "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.211.0/24 -j DROP
+-A INPUT -s 157.240.251.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.212.0/24 -j DROP
+-A INPUT -s 157.240.252.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.214.0/24 -j DROP
+-A INPUT -s 157.240.253.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.215.0/24 -j DROP
+-A INPUT -s 157.240.254.0/24 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.216.0/24 -j DROP
+-A INPUT -s 157.240.26.0/24 -m comment --comment    "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.217.0/24 -j DROP
+-A INPUT -s 157.240.27.0/24 -m comment --comment    "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.218.0/24 -j DROP
+-A INPUT -s 157.240.28.0/24 -m comment --comment    "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.22.0/24 -j DROP
+-A INPUT -s 157.240.29.0/24 -m comment --comment    "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.221.0/24 -j DROP
+-A INPUT -s 157.240.30.0/24 -m comment --comment    "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.222.0/24 -j DROP
+-A INPUT -s 157.240.3.0/24 -m comment --comment     "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.223.0/24 -j DROP
+-A INPUT -s 157.240.31.0/24 -m comment --comment    "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.224.0/24 -j DROP
+-A INPUT -s 157.240.5.0/24 -m comment --comment     "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.225.0/24 -j DROP
+-A INPUT -s 157.240.6.0/24 -m comment --comment     "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.226.0/24 -j DROP
+-A INPUT -s 157.240.7.0/24 -m comment --comment     "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.227.0/24 -j DROP
+-A INPUT -s 157.240.8.0/24 -m comment --comment     "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.228.0/24 -j DROP
+-A INPUT -s 157.240.9.0/24 -m comment --comment     "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.229.0/24 -j DROP
+-A INPUT -s 162.254.207.51/32 -m comment --comment  "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.23.0/24 -j DROP
+-A INPUT -s 162.255.119.207/32 -m comment --comment "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.231.0/24 -j DROP
+-A INPUT -s 172.67.135.213/32 -m comment --comment  "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.232.0/24 -j DROP
+-A INPUT -s 173.252.64.0/18 -m comment --comment    "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.233.0/24 -j DROP
+-A INPUT -s 179.60.192.0/22 -m comment --comment    "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.234.0/24 -j DROP
+-A INPUT -s 185.199.108.153/32 -m comment --comment "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.235.0/24 -j DROP
+-A INPUT -s 185.199.111.153/32 -m comment --comment "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.236.0/24 -j DROP
+-A INPUT -s 185.60.216.0/22 -m comment --comment    "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.237.0/24 -j DROP
+-A INPUT -s 198.54.117.211/32 -m comment --comment  "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.238.0/24 -j DROP
+-A INPUT -s 204.15.20.0/22 -m comment --comment     "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.239.0/24 -j DROP
+-A INPUT -s 27.124.125.189/32 -m comment --comment  "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.240.0/24 -j DROP
+-A INPUT -s 31.13.24.0/21 -m comment --comment      "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.24.0/24 -j DROP
+-A INPUT -s 31.13.64.0/18 -m comment --comment      "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.241.0/24 -j DROP
+-A INPUT -s 34.117.168.233/32 -m comment --comment  "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.242.0/24 -j DROP
+-A INPUT -s 37.9.175.187/32 -m comment --comment    "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.243.0/24 -j DROP
+-A INPUT -s 45.130.41.7/32 -m comment --comment     "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.244.0/24 -j DROP
+-A INPUT -s 45.64.40.0/22 -m comment --comment      "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.245.0/24 -j DROP
+-A INPUT -s 45.91.92.164/32 -m comment --comment    "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.247.0/24 -j DROP
+-A INPUT -s 54.81.116.232/32 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.249.0/24 -j DROP
+-A INPUT -s 61.9.242.43/32 -m comment --comment     "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.250.0/24 -j DROP
+-A INPUT -s 64.225.91.73/32 -m comment --comment    "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.25.0/24 -j DROP
+-A INPUT -s 66.220.144.0/20 -m comment --comment    "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.251.0/24 -j DROP
+-A INPUT -s 69.171.224.0/19 -m comment --comment    "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.252.0/24 -j DROP
+-A INPUT -s 74.119.76.0/22 -m comment --comment     "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.253.0/24 -j DROP
+-A INPUT -s 89.223.68.248/32 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -s 157.240.254.0/24 -j DROP
+-A FORWARD -i br2 -m comment --comment "Rejeter tout le reste" -j REJECT --reject-with icmp-port-unreachable
--A INPUT -s 157.240.26.0/24 -j DROP
+-A FORWARD -o br2 -m comment --comment "Rejeter tout le reste" -j REJECT --reject-with icmp-port-unreachable
--A INPUT -s 157.240.27.0/24 -j DROP
--A INPUT -s 157.240.28.0/24 -j DROP
--A INPUT -s 157.240.29.0/24 -j DROP
--A INPUT -s 157.240.30.0/24 -j DROP
--A INPUT -s 157.240.3.0/24 -j DROP
--A INPUT -s 157.240.31.0/24 -j DROP
--A INPUT -s 157.240.5.0/24 -j DROP
--A INPUT -s 157.240.6.0/24 -j DROP
--A INPUT -s 157.240.7.0/24 -j DROP
--A INPUT -s 157.240.8.0/24 -j DROP
--A INPUT -s 157.240.9.0/24 -j DROP
--A INPUT -s 162.254.207.51/32 -j DROP
--A INPUT -s 162.255.119.207/32 -j DROP
--A INPUT -s 172.67.135.213/32 -j DROP
--A INPUT -s 173.252.64.0/18 -j DROP
--A INPUT -s 179.60.192.0/22 -j DROP
--A INPUT -s 185.199.108.153/32 -j DROP
--A INPUT -s 185.199.111.153/32 -j DROP
--A INPUT -s 185.60.216.0/22 -j DROP
--A INPUT -s 198.54.117.211/32 -j DROP
--A INPUT -s 204.15.20.0/22 -j DROP
--A INPUT -s 27.124.125.189/32 -j DROP
--A INPUT -s 31.13.24.0/21 -j DROP
--A INPUT -s 31.13.64.0/18 -j DROP
--A INPUT -s 34.117.168.233/32 -j DROP
--A INPUT -s 37.9.175.187/32 -j DROP
--A INPUT -s 45.130.41.7/32 -j DROP
--A INPUT -s 45.64.40.0/22 -j DROP
--A INPUT -s 45.91.92.164/32 -j DROP
--A INPUT -s 54.81.116.232/32 -j DROP
--A INPUT -s 61.9.242.43/32 -j DROP
--A INPUT -s 64.225.91.73/32 -j DROP
--A INPUT -s 66.220.144.0/20 -j DROP
--A INPUT -s 69.171.224.0/19 -j DROP
--A INPUT -s 74.119.76.0/22 -j DROP
--A INPUT -s 89.223.68.248/32 -j DROP
-# Rejeter tout le reste :
--A FORWARD -i br2 -j REJECT --reject-with icmp-port-unreachable
--A FORWARD -o br2 -j REJECT --reject-with icmp-port-unreachable
 COMMIT
 </code>
@@ Ligne 338: / Ligne 328: @@
 <code bash>
-*nat
-# Router le Web vers le serveur web :
--A PREROUTING -d 2a01:4f8:231:aa6::13 -p tcp -m tcp --syn -m multiport --dports 80,443 -j DNAT --to-destination ::ffff:c0a8:a05
-# Router le mail envoi/réception vers le serveur mail :
--A PREROUTING -d 2a01:4f8:231:aa6::13 -p tcp -m tcp --syn -m multiport --dports 587,993,25 -j DNAT --to-destination ::ffff:c0a8:a07
-# Tests
-## Router les ports des applications vers le serveur web :
-#-A PREROUTING -d 2a01:4f8:231:aa6::13 -p tcp -m tcp --syn -m multiport --dports 1935,1936,3000,3001,9000,9001 -j DNAT --to-destination ::ffff:c0a8:a05
-#
-## Router le port 5868 pour Funkwhale vers le serveur audio :
-#-A PREROUTING -d 2a01:4f8:231:aa6::13 -p tcp -m tcp --syn -m multiport --dports 5868 -j DNAT --to-destination ::ffff:c0a8:a09
-## Router le 8484 pour Zabbix vers le serveur monitoring (inactif, pas d'IPv6 pour l'instant sur ce serveur) :
-#-A PREROUTING -d 2a01:4f8:231:aa6::13 -p tcp -m tcp --syn -m multiport --dports 8484 -j DNAT --to-destination ::ffff:c0a8:XYZ
-# Masquerading sur tous les ports dans le sens sortant (VM -> Internet)
--A POSTROUTING -s ::ffff:c0a8:a00/64 ! -d ::ffff:c0a8:0a00/64 -p tcp -j MASQUERADE --to-ports 1024-65535
--A POSTROUTING -s ::ffff:c0a8:a00/64 ! -d ::ffff:c0a8:0a00/64 -p udp -j MASQUERADE --to-ports 1024-65535
--A POSTROUTING -s ::ffff:c0a8:a00/64 ! -d ::ffff:c0a8:0a00/64 -j MASQUERADE
-COMMIT
 *filter
+-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED  -m comment --comment "Accepter le trafic basique : ICMP, boucle locale et connexions établies, en entrée" -j ACCEPT
-# Accepter le trafic basique : ICMP, boucle locale et connexionx établies, en entrée :
+-A INPUT -i lo  -m comment --comment "Accepter le trafic basique : ICMP, boucle locale et connexions établies, en entrée" -j ACCEPT
--A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
+-A INPUT ! -i lo -d ::1/128  -m comment --comment "Accepter le trafic basique : ICMP, boucle locale et connexions établies, en entrée" -j REJECT
--A INPUT -i lo -j ACCEPT
+-A INPUT -p tcp -m tcp --syn -m conntrack --ctstate NEW --dport 22 -m comment --comment "Accepter le SSH" -j ACCEPT
--A INPUT ! -i lo -d ::1/128 -j REJECT
+-A INPUT -p tcp -m tcp --syn -m conntrack --ctstate NEW --dport 1984 -m comment --comment "Accepter le SSH" -j ACCEPT
+-A INPUT -p tcp -m tcp -m conntrack --ctstate NEW --dport 52365 -m comment --comment "Accepter le tunnel SSH vers le serveur web-01 sur le port 52365" -j ACCEPT
-# Accepter le SSH :
+-A INPUT -i br2 -p udp -m udp -m multiport --dports 53 -m comment --comment "Accepter les requêtes DNS (port 53) depuis les VM" -j ACCEPT
--A INPUT -p tcp -m tcp --syn -m conntrack --ctstate NEW --dport 22 -j ACCEPT
+-A INPUT -i br2 -p tcp -m tcp -m multiport --dports 53 -m comment --comment "Accepter les requêtes DNS (port 53) depuis les VM" -j ACCEPT
--A INPUT -p tcp -m tcp --syn -m conntrack --ctstate NEW --dport 1984 -j ACCEPT
+-A INPUT -i br2 -p tcp -m multiport --dport 2049 -m comment --comment "Bloquer les requêtes rpcbind/portmap en entrée depuis l'extérieur" -j ACCEPT
+-A INPUT -i br2 -p tcp -m multiport --dport 111 -m comment --comment "Bloquer les requêtes rpcbind/portmap en entrée depuis l'extérieur" -j ACCEPT
-# Accepter le tunnel SSH vers le serveur web-01 sur le port 52365 :
+-A INPUT -p tcp -s ::1/128  --dport 111  -m comment --comment "Bloquer les requêtes rpcbind/portmap en entrée depuis l'extérieur" -j ACCEPT
--A INPUT -p tcp -m tcp -m conntrack --ctstate NEW --dport 52365 -j ACCEPT
+-A INPUT -p udp --dport 111 -m comment --comment "Bloquer les requêtes rpcbind/portmap en entrée depuis l'extérieur" -j DROP
+-A INPUT -p tcp --dport 111 -m comment --comment "Bloquer les requêtes rpcbind/portmap en entrée depuis l'extérieur" -j DROP
-# Accepter les requêtes DNS (port 53) depuis les VM :
+-A INPUT -i br2 -p tcp -m tcp -m multiport --dports 10050 -m comment --comment "Accepter les requêtes Zabbix passives (port 10050) depuis les VM" -j ACCEPT
--A INPUT -i br2 -p udp -m udp -m multiport --dports 53 -j ACCEPT
+-A INPUT -p icmpv6 --icmpv6-type parameter-problem -m comment --comment "On accepte l'ICMPv6 indispensable au fonctionnement d'IPv6" -j ACCEPT
--A INPUT -i br2 -p tcp -m tcp -m multiport --dports 53 -j ACCEPT
+-A INPUT -p icmpv6 --icmpv6-type echo-request -m comment --comment "On accepte l'ICMPv6 indispensable au fonctionnement d'IPv6" -j ACCEPT
+-A INPUT -p icmpv6 --icmpv6-type echo-reply -m comment --comment "On accepte l'ICMPv6 indispensable au fonctionnement d'IPv6" -j ACCEPT
-# Bloquer les requêtes rpcbind/portmap en entrée ***depuis l'extérieur*** :
+-A INPUT -p icmpv6 --icmpv6-type router-advertisement -m hl --hl-eq 255 -m comment --comment "On accepte l'ICMPv6 indispensable au fonctionnement d'IPv6" -j ACCEPT
--A INPUT -i br2 -p tcp -m multiport --dport 2049 -j ACCEPT
+-A INPUT -p icmpv6 --icmpv6-type router-solicitation -m hl --hl-eq 255 -m comment --comment "On accepte l'ICMPv6 indispensable au fonctionnement d'IPv6" -j ACCEPT
--A INPUT -i br2 -p tcp -m multiport --dport 111 -j ACCEPT
+-A INPUT -p icmpv6 --icmpv6-type neighbour-advertisement -m hl --hl-eq 255 -m comment --comment "On accepte l'ICMPv6 indispensable au fonctionnement d'IPv6" -j ACCEPT
--A INPUT -p tcp -s ::1/128  --dport 111 -j ACCEPT
+-A INPUT -p icmpv6 --icmpv6-type neighbour-solicitation -m hl --hl-eq 255 -m comment --comment "On accepte l'ICMPv6 indispensable au fonctionnement d'IPv6" -j ACCEPT
--A INPUT -p udp --dport 111 -j DROP
+-A INPUT  -p icmpv6 --icmpv6-type echo-request -m conntrack --ctstate NEW -m limit --limit 1/s --limit-burst 1 -m comment --comment "On refuse les trop nombreux ping" -j ACCEPT
--A INPUT -p tcp --dport 111 -j DROP
+-A INPUT  -p icmpv6 --icmpv6-type echo-request -m comment --comment "On refuse les trop nombreux ping" -j DROP
+-A INPUT -m conntrack --ctstate INVALID -m comment --comment "On refuse tout le reste en entrée" -j DROP
-# Accepter les requêtes Zabbix passives (port 10050) depuis les VM :
+-A INPUT -m comment --comment "On refuse tout le reste en entrée" -j REJECT
--A INPUT -i br2 -p tcp -m tcp -m multiport --dports 10050 -j ACCEPT
+-A FORWARD -d 2a01:4f8:231:aa6::/64 -o br2 -m conntrack --ctstate RELATED,ESTABLISHED -m comment --comment "Accepter les connexions établies sur le LAN" -j ACCEPT
+-A FORWARD -s 2a01:4f8:231:aa6::/64 -i br2 -m comment --comment "Accepter le trafic sortant depuis le LAN" -j ACCEPT
-# On accepte l'ICMPv6 indispensable au fonctionnement d'IPv6 :
+-A FORWARD -i br2 -o br2  -m comment --comment "Accepter le trafic interne entre les VM" -j ACCEPT
--A INPUT -p icmpv6 --icmpv6-type parameter-problem -j ACCEPT
+-A FORWARD -i wg0 -o br2 -m comment --comment "Accepter le trafic interne depuis le VPN vers les VM" -j ACCEPT
--A INPUT -p icmpv6 --icmpv6-type echo-request -j ACCEPT
+-A FORWARD -i br2 -o wg0 -m comment --comment "Accepter le trafic interne depuis les VM vers le VPN" -j ACCEPT
--A INPUT -p icmpv6 --icmpv6-type echo-reply -j ACCEPT
+-A FORWARD -d 2a01:4f8:231:aa6::5/128 -o br2 -p tcp -m tcp --syn -m conntrack --ctstate NEW -m multiport --dports 80,443,1935  -m comment --comment "Accepter les paquets redirigés vers des ports particuliers pour le Web vers le serveur web (inutile, mais au cas où)" -j ACCEPT
--A INPUT -p icmpv6 --icmpv6-type router-advertisement -m hl --hl-eq 255 -j ACCEPT
+-A FORWARD -d 2a01:4f8:231:aa6::7/128 -o br2 -p tcp -m tcp --syn -m conntrack --ctstate NEW -m multiport --dports 587,993,25  -m comment --comment "Accepter les paquets redirigés vers des ports particuliers pour le mail vers le serveur mail (inutile, mais au cas où)" -j ACCEPT
--A INPUT -p icmpv6 --icmpv6-type router-solicitation -m hl --hl-eq 255 -j ACCEPT
+-A FORWARD -d 2a01:4f8:231:aa6::250/128 -o br2 -p tcp -m tcp --syn -m conntrack --ctstate NEW -m multiport --dports 8484  -m comment --comment "Accepter les paquets redirigés vers des ports particuliers pour Zabbix tcp 8484 vers le serveur monitoring (inutile, mais au cas où)" -j ACCEPT
--A INPUT -p icmpv6 --icmpv6-type neighbour-advertisement -m hl --hl-eq 255 -j ACCEPT
+-A INPUT -s 2620:0:1c00::/40 -m comment --comment    "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -p icmpv6 --icmpv6-type neighbour-solicitation -m hl --hl-eq 255 -j ACCEPT
+-A INPUT -s 2620:10d:c090::/44 -m comment --comment  "Meta/Facebook/Instagram/Threads Adios!" -j DROP
+-A INPUT -s 2a03:2880::/32 -m comment --comment      "Meta/Facebook/Instagram/Threads Adios!" -j DROP
-# On refuse les trop nombreux ping :
+-A INPUT -s 2a03:2887:ff02::/47 -m comment --comment "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT  -p icmpv6 --icmpv6-type echo-request -m conntrack --ctstate NEW -m limit --limit 1/s --limit-burst 1 -j ACCEPT
+-A INPUT -s 2a03:2887:ff19::/48 -m comment --comment "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT  -p icmpv6 --icmpv6-type echo-request -j DROP
+-A INPUT -s 2a03:2887:ff1b::/48 -m comment --comment "Meta/Facebook/Instagram/Threads Adios!" -j DROP
+-A INPUT -s 2a03:2887:ff1c::/46 -m comment --comment "Meta/Facebook/Instagram/Threads Adios!" -j DROP
-# On refuse tout le reste en entrée :
+-A INPUT -s 2a03:2887:ff23::/48 -m comment --comment "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -m conntrack --ctstate INVALID -j DROP
+-A INPUT -s 2a03:2887:ff25::/48 -m comment --comment "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A INPUT -j REJECT
+-A INPUT -s 2a03:2887:ff27::/48 -m comment --comment "Meta/Facebook/Instagram/Threads Adios!" -j DROP
+-A INPUT -s 2a03:2887:ff28::/46 -m comment --comment "Meta/Facebook/Instagram/Threads Adios!" -j DROP
-# Accepter les connexions établies sur le LAN :
+-A INPUT -s 2a03:2887:ff2f::/48 -m comment --comment "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A FORWARD -d ::ffff:c0a8:a00/64 -o br2 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
+-A INPUT -s 2a03:2887:ff30::/48 -m comment --comment "Meta/Facebook/Instagram/Threads Adios!" -j DROP
+-A INPUT -s 2a03:2887:ff35::/48 -m comment --comment "Meta/Facebook/Instagram/Threads Adios!" -j DROP
-# Accepter le trafic sortant depuis le LAN :
+-A INPUT -s 2a03:2887:ff37::/48 -m comment --comment "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A FORWARD -s ::ffff:c0a8:a00/64 -i br2 -j ACCEPT
+-A INPUT -s 2a03:2887:ff38::/46 -m comment --comment "Meta/Facebook/Instagram/Threads Adios!" -j DROP
+-A INPUT -s 2a03:2887:ff3f::/48 -m comment --comment "Meta/Facebook/Instagram/Threads Adios!" -j DROP
-# Accepter le trafic interne entre les VM :
+-A INPUT -s 2a03:2887:ff40::/48 -m comment --comment "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A FORWARD -i br2 -o br2 -j ACCEPT
+-A INPUT -s 2a03:2887:ff43::/48 -m comment --comment "Meta/Facebook/Instagram/Threads Adios!" -j DROP
+-A INPUT -s 2a03:2887:ff44::/47 -m comment --comment "Meta/Facebook/Instagram/Threads Adios!" -j DROP
-# Accepter les paquets redirigés vers des ports particuliers pour le Web vers le serveur web :
+-A INPUT -s 2a03:2887:ff48::/46 -m comment --comment "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A FORWARD -d ::ffff:c0a8:a05 -o br2 -p tcp -m tcp --syn -m conntrack --ctstate NEW -m multiport --dports 80,443 -j ACCEPT
+-A INPUT -s 2a03:2887:ff4d::/48 -m comment --comment "Meta/Facebook/Instagram/Threads Adios!" -j DROP
+-A INPUT -s 2a03:2887:ff4e::/47 -m comment --comment "Meta/Facebook/Instagram/Threads Adios!" -j DROP
-# Accepter les paquets redirigés vers des ports particuliers pour le mail vers le serveur mail :
+-A INPUT -s 2a03:2887:ff50::/47 -m comment --comment "Meta/Facebook/Instagram/Threads Adios!" -j DROP
--A FORWARD -d ::ffff:c0a8:a05 -o br2 -p tcp -m tcp --syn -m conntrack --ctstate NEW -m multiport --dports 587,993,25 -j ACCEPT
+-A INPUT -s 2a03:2887:ff52::/48 -m comment --comment "Meta/Facebook/Instagram/Threads Adios!" -j DROP
+-A INPUT -s 2a03:2887:ff58::/47 -m comment --comment "Meta/Facebook/Instagram/Threads Adios!" -j DROP
-# Tests
+-A INPUT -s 2c0f:ef78:3::/48 -m comment --comment    "Meta/Facebook/Instagram/Threads Adios!" -j DROP
-## Accepter les paquets redirigés vers des ports particuliers vers le serveur web :
+-A INPUT -s 2c0f:ef78:5::/48 -m comment --comment    "Meta/Facebook/Instagram/Threads Adios!" -j DROP
-#-A FORWARD -d ::ffff:c0a8:a05 -o br2 -p tcp -m tcp --syn -m conntrack --ctstate NEW -m multiport --dports 1935,1936,3000,3001,9000,9001 -j ACCEPT
+-A INPUT -s 2c0f:ef78:6::/48 -m comment --comment    "Meta/Facebook/Instagram/Threads Adios!" -j DROP
-#
+-A INPUT -s 2c0f:ef78:9::/48 -m comment --comment    "Meta/Facebook/Instagram/Threads Adios!" -j DROP
-## Accepter les paquets redirigés vers des ports particuliers pour funkwhale service 5868 vers le serveur audio :
+-A INPUT -s 2c0f:ef78:d::/48 -m comment --comment    "Meta/Facebook/Instagram/Threads Adios!" -j DROP
-#-A FORWARD -d ::ffff:c0a8:a09 -o br2 -p tcp -m tcp --syn -m conntrack --ctstate NEW -m multiport --dports 5868 -j ACCEPT
+-A INPUT -s 2c0f:ef78:e::/47 -m comment --comment    "Meta/Facebook/Instagram/Threads Adios!" -j DROP
+-A INPUT -s 2c0f:ef78:11::/48 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
-# Pas d'IPv6 pour le moment, inactif :
+-A INPUT -s 2c0f:ef78:12::/48 -m comment --comment   "Meta/Facebook/Instagram/Threads Adios!" -j DROP
-## Accepter les paquets redirigés vers des ports particuliers pour Zabbix tcp 8484 vers le serveur monitoring :
+-A FORWARD -i br2 -m comment --comment "Rejeter tout le reste" -j REJECT
-#-A FORWARD -d ::ffff:c0a8:XYZ -o br2 -p tcp -m tcp --syn -m conntrack --ctstate NEW -m multiport --dports 8484 -j ACCEPT
+-A FORWARD -o br2 -m comment --comment "Rejeter tout le reste" -j REJECT
-# On bloque TOUT le trafic en provenance de Meta/Facebook/Instagram/Threads :
--A INPUT -s 2620:0:1c00::/40 -j DROP
--A INPUT -s 2620:10d:c090::/44 -j DROP
--A INPUT -s 2a03:2880::/32 -j DROP
--A INPUT -s 2a03:2887:ff02::/47 -j DROP
--A INPUT -s 2a03:2887:ff19::/48 -j DROP
--A INPUT -s 2a03:2887:ff1b::/48 -j DROP
--A INPUT -s 2a03:2887:ff1c::/46 -j DROP
--A INPUT -s 2a03:2887:ff23::/48 -j DROP
--A INPUT -s 2a03:2887:ff25::/48 -j DROP
--A INPUT -s 2a03:2887:ff27::/48 -j DROP
--A INPUT -s 2a03:2887:ff28::/46 -j DROP
--A INPUT -s 2a03:2887:ff2f::/48 -j DROP
--A INPUT -s 2a03:2887:ff30::/48 -j DROP
--A INPUT -s 2a03:2887:ff35::/48 -j DROP
--A INPUT -s 2a03:2887:ff37::/48 -j DROP
--A INPUT -s 2a03:2887:ff38::/46 -j DROP
--A INPUT -s 2a03:2887:ff3f::/48 -j DROP
--A INPUT -s 2a03:2887:ff40::/48 -j DROP
--A INPUT -s 2a03:2887:ff43::/48 -j DROP
--A INPUT -s 2a03:2887:ff44::/47 -j DROP
--A INPUT -s 2a03:2887:ff48::/46 -j DROP
--A INPUT -s 2a03:2887:ff4d::/48 -j DROP
--A INPUT -s 2a03:2887:ff4e::/47 -j DROP
--A INPUT -s 2a03:2887:ff50::/47 -j DROP
--A INPUT -s 2a03:2887:ff52::/48 -j DROP
--A INPUT -s 2a03:2887:ff58::/47 -j DROP
--A INPUT -s 2c0f:ef78:3::/48 -j DROP
--A INPUT -s 2c0f:ef78:5::/48 -j DROP
--A INPUT -s 2c0f:ef78:6::/48 -j DROP
--A INPUT -s 2c0f:ef78:9::/48 -j DROP
--A INPUT -s 2c0f:ef78:d::/48 -j DROP
--A INPUT -s 2c0f:ef78:e::/47 -j DROP
--A INPUT -s 2c0f:ef78:11::/48 -j DROP
--A INPUT -s 2c0f:ef78:12::/48 -j DROP
-# Rejeter tout le reste :
--A FORWARD -i br2 -j REJECT
--A FORWARD -o br2 -j REJECT
 COMMIT
 </code>
 ==== Paquets installés ====
-Pour virtualiser, il a fallu installer en particulier libvirt-daemon, qemu et zfsutils-linux ainsi que bridge-utils pour créer nos réseaux internes virtuels.
+Pour virtualiser, il a fallu installer en particulier libvirt-daemon, qemu et zfsutils-linux ainsi que bridge-utils pour créer nos réseaux internes virtuels. Avec le temps, nous avons évolué vers l'utilisation d'outils « Infrastructure as Code » ou IaC afin d'utiliser des programmes comme ''ansible'' ou ''tofu'' (le remplaçant libre de Terraform).
 La liste des paquets :
@@ Ligne 493: / Ligne 416: @@
 aptitude
 aptitude-common
+apt-transport-https
 apt-utils
 at
@@ Ligne 518: / Ligne 442: @@
 cpio
 cpp
-cpp-10
 cpp-12
 cron
@@ Ligne 540: / Ligne 463: @@
 debianutils
 diffutils
+dirmngr
 discover
 discover-data
@@ Ligne 565: / Ligne 489: @@
 fonts-dejavu-core
 gcc
-gcc-10
-gcc-10-base:amd64
-gcc-11-base:amd64
 gcc-12
 gcc-12-base:amd64
-gcc-9-base:amd64
 gdisk
+genisoimage
 gettext-base
+gnupg
+gnupg-l10n
+gnupg-utils
+gpg
+gpg-agent
+gpgconf
+gpgsm
 gpgv
+gpg-wks-client
+gpg-wks-server
 grep
 groff-base
@@ Ligne 617: / Ligne 547: @@
 libapt-pkg6.0:amd64
 libargon2-1:amd64
-libasan6:amd64
 libasan8:amd64
 libasound2:amd64
 libasound2-data
+libassuan0:amd64
 libasyncns0:amd64
 libatk1.0-0:amd64
@@ Ligne 633: / Ligne 563: @@
 libavahi-common-data:amd64
 libbinutils:amd64
+libblas3:amd64
 libblkid1:amd64
 libboost-iostreams1.74.0:amd64
@@ Ligne 712: / Ligne 643: @@
 libfuse3-3:amd64
 libgbm1:amd64
-libgcc-10-dev:amd64
 libgcc-12-dev:amd64
 libgcc-s1:amd64
@@ Ligne 762: / Ligne 692: @@
 libkrb5-3:amd64
 libkrb5support0:amd64
+libksba8:amd64
 liblcms2-2:amd64
 libldap-2.5-0:amd64
 libldap-common
 liblerc4:amd64
+liblinear4:amd64
 libllvm15:amd64
 liblmdb0:amd64
@@ Ligne 772: / Ligne 704: @@
 liblognorm5:amd64
 liblsan0:amd64
+liblua5.3-0:amd64
 liblvm2cmd2.03:amd64
 liblz4-1:amd64
@@ Ligne 800: / Ligne 733: @@
 libnl-genl-3-200:amd64
 libnl-route-3-200:amd64
+libnpth0:amd64
 libnsl2:amd64
 libnsl-dev:amd64
@@ Ligne 889: / Ligne 823: @@
 libtirpc-common
 libtirpc-dev:amd64
-libtsan0:amd64
 libtsan2:amd64
 libubsan1:amd64
@@ Ligne 964: / Ligne 897: @@
 libzstd1:amd64
 linux-base
-linux-compiler-gcc-10-x86
 linux-compiler-gcc-12-x86
-linux-headers-5.10.0-15-amd64
+linux-headers-6.1.0-38-amd64
-linux-headers-5.10.0-15-common
+linux-headers-6.1.0-38-common
-linux-headers-5.10.0-16-amd64
+linux-headers-6.1.0-39-amd64
-linux-headers-5.10.0-16-common
+linux-headers-6.1.0-39-common
-linux-headers-5.10.0-17-amd64
-linux-headers-5.10.0-17-common
-linux-headers-5.10.0-18-amd64
-linux-headers-5.10.0-18-common
-linux-headers-5.10.0-19-amd64
-linux-headers-5.10.0-19-common
-linux-headers-5.10.0-25-amd64
-linux-headers-5.10.0-25-common
-linux-headers-6.1.0-12-amd64
-linux-headers-6.1.0-12-common
 linux-headers-amd64
-linux-image-5.10.0-25-amd64
+linux-image-6.1.0-38-amd64
-linux-image-6.1.0-12-amd64
+linux-image-6.1.0-39-amd64
 linux-image-amd64
-linux-kbuild-5.10
 linux-kbuild-6.1
 linux-libc-dev:amd64
@@ Ligne 995: / Ligne 916: @@
 lsb-release
 lsof
+lua-lpeg:amd64
 lvm2
 mailcap
@@ Ligne 1019: / Ligne 941: @@
 nfs-kernel-server
 nftables
+nmap
+nmap-common
 openssh-client
 openssh-server
@@ Ligne 1030: / Ligne 954: @@
 perl-base
 perl-modules-5.36
+pinentry-curses
 pkexec
 policykit-1
@@ Ligne 1066: / Ligne 991: @@
 readline-common
 reportbug
+rkhunter
 rpcbind
 rpcsvc-proto
@@ Ligne 1079: / Ligne 1005: @@
 shim-signed:amd64
 shim-signed-common
-shim-unsigned
+shim-unsigned:amd64
 smartmontools
 spl-dkms
@@ Ligne 1095: / Ligne 1021: @@
 task-ssh-server
 tcpdump
+tofu
 traceroute
 tree
@@ Ligne 1110: / Ligne 1037: @@
 wget
 whiptail
+whois
+wireguard
+wireguard-tools
 x11-common
 xfsprogs