Les correspondances explicites doivent être chargés spécifiquement par l'option -m ou --match. Par exemple, les correspondances d'état nécessitent la directive -m state avant d'entrer la véritable correspondance à prendre en compte. Certaines de ces correspondances sont spécifiques à un protocole. Certaines peuvent aussi être détachées de tout protocole spécifique - par exemple les états de connexion. Ils sont identifiés par NEW (pour le premier paquet d'une connexion non encore établie), ESTABLISHED (pour une connexion déjà enregistrée dans le noyau), RELATED (pour une nouvelle connexion créée par une connexion plus ancienne et déjà établie), etc. Parmi ces correspondances explicites, quelques-une peuvent avoir évolué pour des questions de test ou d'expérimentation, ou simplement pour mettre en évidence les capacités d'iptables. Par conséquent, ceci signifie que l'intégralité de ces correspondances n'est pas à première vue indispensable. Néanmoins, il y a de grandes chances que vous trouviez certaines des ces correspondances explicites particulièrement utiles. Et de nouvelles apparaissent en permanence, lors de chaque nouvelle version d'iptables. Que vous leur découvriez ou non une utilisation dépend de votre imagination et de vos besoins. Pour comprendre la différence entre une correspondance chargée implicitement et une chargée explicitement, il faut savoir que la première est chargée automatiquement quand par exemple vous établissez une correspondance avec une propriété des paquets TCP, alors que la seconde n'est jamais chargée automatiquement - c'est à vous d'activer une correspondance explicite.\nLe module addrtype sélectionne les paquets basés sur le type adresse. Le type adresse est utilisé dans le noyau pour placer différents paquets dans différentes catégories. Avec cette correspondance vous pourrez sélectionner tous les paquets basés sur leur adresse selon le noyau. Il faut noter que le comportement exact des différents types adresse varie entre les protocoles de la couche 3. je donnerai une brève description générale ici, mais pour plus d'information lire le Linux Advanced Routing and Traffic Control HOW-TO et le Policy Routing using Linux. Les types disponibles sont les suivants :\nTableau 10.6. Types adresse\nType de connexion associative unique-à-multiple, où seulement un des multiples destinataires reçoit les données. Par exemple, implémenté dans DNS. Vous avez une adresse unique pour un serveur racine , mais qui possède plusieurs localisations, votre paquet sera redirigé vers le plus proche serveur. Non implémenté dans IPv4.\nUne adresse blackhole supprimera simplement le paquet et n'enverra pas de réponse. Elle fonctionne, de façon basique, comme un trou noir dans l'espace. Elle est configurée dans les tables de routage de Linux.\nUn paquet broadcast (diffusion) est un simple paquet envoyé à tout le monde sur un réseau spécifique dans une relation unique-à-multiple. C'est, par exemple, utilisé dans la résolution ARP, où un paquet est envoyé pour s'informer de la façon de joindre une adresse IP spécifique, ensuite l'hôte autorisé répond avec sa propre adresse MAC.\nAdresse locale de la machine sur laquelle nous travaillons. 127.0.0.1 par exemple.\nUn paquet multicast (multidiffusion) est envoyé à divers hôtes utilisant la distance la plus courte et seulement un paquet est expédié à chaque point de cheminement où il sera copié plusieurs fois pour chaque hôte/routeur souscrivant à l'adresse multicast spécifique. Utilisé couramment dans le streaming media comme la vidéo ou le son.\nAdresse qui a été NATée (traduite) par le noyau.\nComme le blackhole sauf qu'une réponse "interdit" sera générée. Dans le cas de IPv4, ceci indique qu'une réponse ICMP communication prohibited (type 3, code 13) sera générée.\nRoute spéciale dans le noyau Linux. Si un paquet traverse un table de routage il se comportera comme si aucune route n'était trouvée dans la table. Dans le routage normal, ceci indique que le paquet se comporte comme s'il n'avait pas de route. En stratégie de routage, une autre route peut être trouvée dans une autre table.\nUne adresse réellement routable pour une adresse unique. Le type de route le plus commun.\nSignale une adresse injoignable (nous ne savons pas comment la joindre). Les paquets seront supprimés et un ICMP Host unreachable (type 3, code 1) sera généré.\nAdresse non spécifiée qui n'a pas de signification réelle.\nType d'adresse utilisée pour envoyer une recherche de route vers les applications utilisateur. Non implémenté dans Linux.\nLa correspondance addrtype est chargée en utilisant le mot-clé -m addrtype. Quand il est placé, des options de correspondance supplémentaires seront disponibles. Voir la table ci-dessous.\nTableau 10.7. Options de la correspondance Addrtype\nExemple iptables -A INPUT -m addrtype --src-type UNICAST\nL'option de correspondance --src-type est utilisée pour sélectionner le type d'adresse source du paquet. Elle peut soit prendre une adresse unique soit plusieurs adresses séparées par une virgule, par exemple --src-type BROADCAST,MULTICAST. L'option de correspondance peut aussi être intervertie en ajoutant un point d'exclamation devant, par exemple ! --src-type BROADCAST,MULTICAST.\nExemple iptables -A INPUT -m addrtype --dst-type UNICAST\nLe --dst-type fonctionne exactement comme le --src-type et possède la même syntaxe. La seule différence est qu'il sélectionnera les paquets basés sur leur destination.\nCes correspondances sont utilisées pour les protocoles IPSEC AH et ESP. IPSEC sert à créer des tunnels sécurisés par dessus une connexion Internet non sécurisée. Les protocoles AH et ESP sont utilisés par IPSEC pour créer ces connexions sécurisées. Les correspondances AH et ESP sont deux correspondances séparées, mais elles sont toutes les deux décrites ici car elles se ressemblent beaucoup, et toutes les deux ont le même usage.\nJe ne rentrerai pas dans les détails d'IPSEC ici, regardez les pages suivantes pour plus d'information :\nIl existe également des tonnes de documentation sur l'Internet à ce sujet.\nPour utiliser les correspondances AH/ESP, vous devrez vous servir de -m ah pour charger les correspondances AH, et -m esp pour charger les correspondances ESP.\nDans les noyaux 2.2 et 2.4, Linux utilise une chose appelée FreeS/WAN pour l'implémentation de IPSEC, mais à partir des noyaux 2.5.47 et supérieurs, ceux-ci ont une implémentation directe de IPSEC et donc ne nécessitent pas de patcher le noyau. C'est une réécriture complète de l'implémentation de IPSEC dans Linux.\nTableau 10.8. Options de la correspondance AH\nNoyau 2.5 et 2.6\nExemple iptables -A INPUT -p 51 -m ah --ahspi 500\nExplication Ceci vérifie le numéro de l'Index du Paramètre de Sécurité (SPI) des paquets AH. Notez que vous devez spécifier le protocole, car AH s'exécute sur un protocole différent des standards TCP, UDP et ICMP. Le numéro SPI est utilisé en conjonction avec les adresses source et destination et les clés secrètes pour créer une association de sécurité (SA). SA identifie chacun des tunnels IPSEC pour tous les hôtes. SPI est utilisé uniquement pour distinguer chaque tunnel IPSEC connecté entre deux tunnels identiques. Utiliser la correspondance --ahspi, nous permet de sélectionner un paquet basé sur le SPI des paquets. Cette correspondance peut sélectionner une chaîne complète de valeur SPI en utilisant un signe :, comme 500:520, qui vérifiera toute la chaîne des SPI.\nTableau 10.9. Options de la correspondance ESP\nExemple iptables -A INPUT -p 50 -m esp --espspi 500\nExplication La contrepartie de l'Index des Paramètres de Sécurité (SPI) est utilisée de la même façon que la variante AH. La correspondance semble exactement la même, avec seulement la différence esp/ah. Bien sûr, cette correspondance peut sélectionner un ensemble complet de numéros SPI de la même façon que la variante AH de la correspondance SPI, comme --espi 200:250 qui sélectionne la totalité de la chaîne des SPI.\nLa correspondance comment est utilisée pour ajouter des commentaires dans la table de règles de iptables et le noyau. Ceci peut grandement simplifier la compréhension de votre table de règles et le débogage. Par exemple, vous pouvez ajouter des commentaires qui documentent une fonction bash qui ajoute des règles spécifiques à netfilter. Il faut noter que ce n'est pas actuellement une correspondance. La "correspondance comment" est chargée en utilisant le mot-clé -m. Les options disponibles sont les suivantes :\nTableau 10.10. Options de la correspondance Comment\nExemple iptables -A INPUT -m comment --comment "A comment"\nL'option --comment spécifie le commentaire à ajouter à la règle dans le noyau. Le commentaire peut être au maximum de 256 caractères.\nLa correspondance connmark est utilisée de la même façon que la correspondance mark dans la combinaison de cible MARK/mark. Connmark sert à sélectionner les marques qui ont été placées sur une connexion avec la cible CONNMARK. Elle ne prend qu'une option.\nPour sélectionner une marque sur le paquet qui est le premier à créer la connexion marquée, vous devez utiliser la correspondance connmark après que la cible CONNMARK ait placé la marque sur le premier paquet.\nTableau 10.11. Options de la correspondance Connmark\nExemple iptables -A INPUT -m connmark --mark 12 -j ACCEPT\nL'option mark sert à sélectionner une marque spécifique associée à une connexion. Le correspondance mark doit être exacte, Par exemple, si vous avez une marque placée sur une connexion à 33 (10001 en binaire), et voulez sélectionner le premier bit seulement, vous ferez quelque chose comme ça --mark 1/1. Le masque (00001) sera masqué vers 10001, ainsi 10001 et 00001 égale 1, et ensuite sélectionner le 1.\nLa correspondance conntrack est une version étendue de la correspondance d'état, qui rend possible la sélection des paquets de façon un peu plus grossière. Ce qui vous permet d'avoir l'information directement disponible dans un système de traçage de connexion, sans applications frontales, comme dans la correspondance d'état. Pour plus de détails sur le système de traçage de connexion, regardez le chapitre La machine d'état.\nIl existe nombre de différentes options dans la correspondance conntrack, pour différents champs dans le système de traçage de connexion. Ils sont indiqués dans la liste ci-dessous. Pour charger ces options, vous devez spécifier -m conntrack.\nTableau 10.12. options de la correspondance Conntrack\nExemple iptables -A INPUT -p tcp -m conntrack --ctstate RELATED\nCette correspondance est utilisée pour distinguer l'état d'un paquet, selon l'état conntrack. Elle est utilisée pour sélectionner plus finement les mêmes états que dans la correspondance state d'origine. Les entrées valides pour cette correspondance sont :\nLes entrées peuvent être utilisées l'une avec l'autre en les séparant par une virgule. Par exemple, -m conntrack --ctstate ESTABLISHED,RELATED. Elles peuvent aussi être interverties en mettant un ! avant --ctstate. Exemple : -m conntrack ! --ctstate ESTABLISHED,RELATED, qui sélectionne tout sauf les états ESTABLISHED et RELATED.\nExemple iptables -A INPUT -p tcp -m conntrack --ctproto TCP\nCeci sélectionne le protocole, de la même façon que le fait --protocol. Il peut prendre les mêmes types de valeurs, et on peut l'intervertir en utilisant le signe !. Exemple, -m conntrack ! --ctproto TCP sélectionne tous les protocoles sauf TCP.\nExemple iptables -A INPUT -p tcp -m conntrack --ctorigsrc 192.168.0.0/24\n--ctorigsrc est une correspondance basée sur la spécification de la source IP d'origine de l'entrée conntrack en rapport avec le paquet. La correspondance peut être inversée en utilisant le ! entre le --ctorigsrc et la spécification IP, comme --ctorigsrc ! 192.168.0.1. Elle peut aussi prendre un masque de réseau de forme CIDR, comme --ctorigsrc 192.168.0.0/24.\nExemple iptables -A INPUT -p tcp -m conntrack --ctorigdst 192.168.0.0/24\nCette correspondance est utilisée de la même façon que --ctorigsrc, sauf qu'elle sélectionne le champ destination de l'entrée conntrack. Elle possède la même syntaxe.\nExemple iptables -A INPUT -p tcp -m conntrack --ctreplsrc 192.168.0.0/24\nLa correspondance --ctreplysrc est utilisée pour la sélection fondée sur la réponse source du conntrack d'origine du paquet. C'est à peu près la même chose que le --ctorigsrc, mais nous sélectionnons la réponse source attendue des paquets envoyés. Cette cible peut, bien sûr, être inversée et adresser une chaîne complète d'adresses, de la même façon que la cible précédente dans ce préfixe.\nExemple iptables -A INPUT -p tcp -m conntrack --ctrepldst 192.168.0.0/24\nLa correspondance --ctreplydst est la même que --ctreplysrc, avec la différence qu'elle sélectionne la réponse de destination de l'entrée conntrack qui a sélectionné la paquet. Elle peut être inversée, et accepte les chaînes, comme la correspondance --ctreplysrc.\nExemple iptables -A INPUT -p tcp -m conntrack --ctstatus RELATED\nCeci sélectionne les statuts de la connexion, comme décrit dans la chapitre La machine d'état. Ces statuts sont les suivants :\nNONE - La connexion ne possède aucun statut.\nEXPECTED - Cette connexion est en attente et a été ajoutée par les gestionnaires d'attente.\nSEEN_REPLY - La connexion a vu une réponse mais n'en est cependant pas assurée.\nASSURED - La connexion est certaine et ne sera pas supprimée tant que le délai d'attente ne sera pas atteint ou qu'elle sera interrompue d'une autre façon.\nElle peut aussi être inversée par le signe !. Exemple, -m conntrack ! --ctstatus ASSURED qui sélectionne tout sauf le statut ASSURED.\nExemple iptables -A INPUT -p tcp -m conntrack --ctexpire 100:150\nCette correspondance sert à sélectionner les paquets basés sur la longueur du temps d'expiration de l'entrée conntrack, mesuré en secondes. Elle peut soit prendre une seule valeur, ou une chaîne comme dans l'exemple au-dessus. Elle peut aussi être inversée avec le signe !, comme -m conntrack ! --ctexpire 100. Ceci sélectionne chaque temps d'expiration, qui n'est pas exactement de 100 secondes.\nCette correspondance est utilisée pour distinguer les paquets basés sur leur champ DSCP (Differentiated Services Code Point). C'est documenté dans la RFC RFC 2638 - A Two-bit Differentiated Services Architecture for the Internet. La correspondance est chargée en spécifiant -m dscp. Elle peut prendre deux options mutuellement incompatibles, décrites ci-dessous.\nTableau 10.13. Options de la correspondance Dscp\nExemple iptables -A INPUT -p tcp -m dscp --dscp 32\nCette option prend une valeur DSCP soit en décimal soit en hexadécimal. Si la valeur de l'option est en décimal, elle sera écrite comme 32 ou 16, etc. Si elle est écrite en hexadécimal, elle pourrait être préfixée avec des 0x, comme ça : 0x20. Elle peut aussi être inversée par le signe !, comme : -m dscp ! --dscp 32.\nExemple iptables -A INPUT -p tcp -m dscp --dscp-class BE\nLa correspondance --dscp-class sert à la sélection d'une classe Diffserv d'un paquet. Les valeurs peuvent être l'une des classes BE, EF, AFxx ou CSxx comme spécifié dans les diverses RFC. Elle peut être inversée de la même façon qu'avec l'option --dscp.\nNotez que les options de classe --dscp et dscp-class sont mutuellement exclusives et ne peuvent pas être utilisées conjointement l'une avec l'autre.\nECN est utilisé pour sélectionner les différents champs ECN dans les en-têtes TCP et IPv4. ECN est décrit en détail dans la RFC RFC 3168 - The Addition of Explicit Congestion Notification (ECN) to IP. La correspondance est chargée par -m ecn dans la ligne de commande. Elle prend trois options différentes, comme décrit ci-dessous.\nTableau 10.14. Options de la correspondance Ecn\nNoyau 2.4, 2.5 et 2.6\nExemple iptables -A INPUT -p tcp -m ecn --ecn-tcp-cwr\nCette correspondance est utilisée pour sélectionner le bit CWR (Congestion Window Received), s'il a été placé. Le fanion CWR est placé pour notifier l'autre point limite de la connexion reçue (ECE), et qui a été réactivée. Par défaut elle vérifie si le bit CWR est placé, mais la correspondance peut aussi être inversée par le signe !.\nExemple iptables -A INPUT -p tcp -m ecn --ecn-tcp-ece\nCette correspondance peut être utilisée pour sélectionner le bit ECE (ECN-Echo). Le ECE est placé une fois que les points limite aient reçu un paquet avec un bit CE placé par un routeur. Le point limite place alors le ECE en renvoyant la paquet ACK, pour le notifier à l'autre point limite. Cet autre point limite envoie alors un paquet CWR comme décrit dans l'explication de --ecn-tcp-cwr. C'est le comportement par défaut si le bit ECE est placé, mais peut être interverti par le signe !.\nExemple iptables -A INPUT -p tcp -m ecn --ecn-ip-ect 1\n--ecn-ip-ect est utilisée pour sélectionner les codes caractères ECT (ECN Capable Transport). Les codes caractères ECT possèdent plusieurs types. Principalement, ils sont utilisés pour savoir si la connexion a les possibilités ECN en plaçant un des deux bits à 1. ECT est aussi utilisé par les routeurs pour indiquer qu'ils sont en processus d'engorgement, en plaçant les deux points limite ECT à 1. les valeurs ECT sont toutes disponibles dans la table Champ ECN dans IP ci-dessous.\nLa correspondance peut être inversée par un !, exemple ! --ecn-ip-ect 2 qui va sélectionner toutes les valeurs ECN sauf le point limite ECT(0). La chaîne de valeur correcte dans Iptables est de 0 à 3. Voir ci-dessous pour les valeurs :\nTableau 10.15. Champ ECN dans IP\n[Obsolète] Noms RFC 2481 pour les bits ECN.\n0 0 0 Not-ECT, ie. pas de possibilité de connexion non-ECN\n1 0 1 ECT(1), nouvelle convention de nommage des points limite ECT dans la RFC 3168\n2 1 0 ECT(0), nouvelle convention de nommage des points limite ECT dans la RFC 3168\n3 1 1 CE (Congestion Experienced), utilisé pour notifier les points limite pour l'engorgement.\nIl s'agit d'une version modifiée de la Correspondance Limit. Au lieu de placer une simple marque, elle met en place une table de hachage pointant vers les marques pour chaque destination IP, source IP, port source et destination. Par exemple, vous pouvez la placer pour chaque adresse IP qui reçoit au maximum 1000 paquets par seconde, ou vous pouvez dire que chaque service sur une adresse IP spécifique doit recevoir un maximum de 200 paquets par seconde. La correspondance hashlimit est chargée par le mot-clé -m hashlimit.\nChaque règle qui utilise la correspondance hashlimit crée une table de hachage séparée ayant une taille maximale spécifique et un nombre maximal de compartiments. Cette table de hachage contient une empreinte numérique de chaque valeur unique ou multiple. Les valeurs peuvent être la destination IP, la source IP,le port source ou le port destination, ou tout en même temps. Chaque entrée pointe alors vers une empreinte numérique qui fonctionne comme la correspondance limit.\nTableau 10.16. Options de la correspondance Hashlimit\nExemple iptables -A INPUT -p tcp --dst 192.168.0.3 -m hashlimit --hashlimit 1000/sec --hashlimit-mode dstip,dstport --hashlimit-name hosts\n--hashlimit spécifie la limite de chaque compartiment. Dans cet exemple, le hashlimit est placé à 1000. Nous avons placé le hashlimit-mode pour dstip, dstport et destination 192.168.0.3. Pour chaque port ou service le destinataire peut recevoir 1000 paquets par seconde. C'est le même paramètrage que l'option limit pour la correspondance limit. Limit peut prendre /sec, /minute, /hour, /day postfixé. Si aucun postfixage n'est spécifié, le postfixage par défaut est la seconde.\nCette option est obligatoire pour toutes les correspondances hashlimit.\nExemple iptables -A INPUT -p tcp --dst 192.168.0.0/16 -m hashlimit --hashlimit 1000/sec --hashlimit-mode dstip --hashlimit-name hosts\nL'option hashlimit-mode spécifie quelle valeur nous devrons utiliser comme valeur de hachage. Dans cet exemple, nous utilisons seulement dstip (destination IP) comme valeur de hachage. Ainsi, chaque hôte dans le réseau 192.168.0.0/16 sera limité en réception d'un maximum de 1000 paquets par seconde dans ce cas. Les valeurs possibles pour le mode hashlimit sont dstip (IP destination), srcip (IP source), dstport (port de destination), et srcport (port source). Toutes ces valeurs peuvent également être séparées par une virgule pour inclure plus d'une valeur de hachage, comme par exemple --hashlimit-mode dstip,dstport.\nExemple iptables -A INPUT -p tcp --dst 192.168.0.3 -m hashlimit --hashlimit 1000 --hashlimit-mode dstip,dstport --hashlimit-name hosts\nCette option spécifie le nom du hachage dans lequel il sera disponible. Il peut être vu dans le répertoire /proc/net/ipt_hashlimit. L'exemple ci-dessus peut être visible dans le fichier /proc/net/ipt_hashlimit/hosts. Seul le nom de fichier doit être spécifié.\nExemple iptables -A INPUT -p tcp --dst 192.168.0.3 -m hashlimit --hashlimit 1000 --hashlimit-mode dstip,dstport --hashlimit-name hosts --hashlimit-burst 2000\nCette correspondance est identique à --limit-burst en ce qu'elle indique la taille maximum du compartiment. Chaque compartiment aura une limite, qui est le montant maximal de paquets qui peuvent être sélectionnés pendant une unité de temps. Pour un exemple, voir la Correspondance Limit.\nExemple iptables -A INPUT -p tcp --dst 192.168.0.3 -m hashlimit --hashlimit 1000 --hashlimit-mode dstip,dstport --hashlimit-name hosts --hashlimit-htable-size 500\nIndique le maximum de compartiments disponibles. Dans cet exemple, ceci indique un maximum de 500 ports ouverts et actifs au même moment.\nExemple iptables -A INPUT -p tcp --dst 192.168.0.3 -m hashlimit --hashlimit 1000 --hashlimit-mode dstip,dstport --hashlimit-name hosts --hashlimit-htable-max 500\nLa --hashlimit-htable-max indique le nombre maximum d'entrées dans la table de hachage. Ce qui veut dire toutes les connexions, incluant les connexions inactives qui ne requièrent pas de compartiment pour l'instant.\nExemple iptables -A INPUT -p tcp --dst 192.168.0.3 -m hashlimit --hashlimit 1000 --hashlimit-mode dstip,dstport --hashlimit-name hosts --hashlimit-htable-gcinterval 1000\nÀ quelle fréquence la fonction de récupération des informations parasites doit elle être lancée. Cette valeur devra être plus basse que la valeur expire. Elle est mesurée en millisecondes. Si elle est trop basse elle consommera des ressources système et processeur non nécessaires, mais si elle est trop haute elle peut laisser des compartiments inutilisés trop longtemps et rendre d'autres connexions impossibles. Dans cet exemple la fonction de récupération est lancée chaque seconde.\nExemple iptables -A INPUT -p tcp --dst 192.168.0.3 -m hashlimit --hashlimit 1000 --hashlimit-mode dstip,dstport --hashlimit-name hosts --hashlimit-htable-expire 10000\nValeur qui indique la durée après laquelle une entrée dans la table de hachage expirera. Si un compartiment a été inutilisé plus longtemps que, il expirera et la fonction de récupération le supprimera de la table de hachage, ainsi que toutes les afférentes.\nC'est plutôt une correspondance pas très orthodoxe en comparaison des autres, dans ce sens qu'elle utilise une syntaxe spécifique. Elle est utilisée pour sélectionner les paquets, basés sur l'assistant conntrack en relation avec le paquet. Par exemple, regardons une session FTP. La session Contrôle est ouverte, et les ports/connexion sont négociés pour la session Data dans la session Control. Le module assistant ip_conntrack_ftp va trouver cette information, et créer une entrée dans la table conntrack. Maintenant, quand un paquet entre, nous pouvons voir quel protocole est en relation, et pouvons sélectionner le paquet dans nos propres tables de règles basées sur l'assistant qui a été utilisé.\nTableau 10.17. Options de la correspondance Helper\nExemple iptables -A INPUT -p tcp -m helper --helper ftp-21\nL'option --helper est utilisée pour spécifier une valeur de chaîne, indiquant à la correspondance quelle assistant conntrack sélectionner. Dans sa forme basique, elle peut ressembler à --helper irc. C'est l'endroit où la syntaxe démarre en variant par rapport à la syntaxe normale. Nous pouvons aussi choisir de sélectionner seulement les paquets basés sur tel port que l'original a pris. Exemple, la session Control FTP est normalement transférée sur le port 21, mais elle peut aussi bien l'être sur le port 954 ou un autre. Nous pouvons alors spécifier quel port sera utilisé, comme --helper ftp-954.\nLa correspondance de plage IP est utilisée pour sélectionner les plages IP, comme les correspondances --source et --destination peuvent le faire. Cependant, cette correspondance ajoute une sorte de tri différent dans le sens qu'elle peut faire la sélection dans la forme IP à IP, ce que les correspondances --source et --destination sont incapables de faire. Ceci peut être nécessaire dans certains réglages de réseaux spécifiques, et elle est légèrement plus souple.\nTableau 10.18. Options de la correspondance de plage IP\nExemple iptables -A INPUT -p tcp -m iprange --src-range 192.168.1.13-192.168.2.19\nCeci sélectionne une plage d'adresses source IP. La plage inclut chaque adresse depuis la première jusqu'à la dernière, ainsi l'exemple ci-dessus inclut toutes les adresses depuis 192.168.1.13 jusqu'à 192.168.2.19. Elle peut aussi être inversée avec le !. L'exemple du dessus ressemblera alors à -m iprange ! --src-range 192.168.1.13-192.168.2.19, qui va sélectionner chaque adresse, sauf celles spécifiées.\nExemple iptables -A INPUT -p tcp -m iprange --dst-range 192.168.1.13-192.168.2.19\n--dst-range fonctionne exactement de la même façon que la correspondance --src-range, sauf qu'elle sélectionne la destination IP au lieu de la source IP.\nLa correspondance Length est utilisée pour sélectionner les paquets basés sur leur longueur. C'est très simple. Si vous voulez limiter la longueur des paquets pour quelque étrange raison, ou bloquer ce qui ressemble à un ping-of-death, utilisez cette correspondance.\nTableau 10.19. Options de la correspondance Length\nExemple iptables -A INPUT -p tcp -m length --length 1400:1500\nL'exemple --length va sélectionner tous les paquets de longueur comprise entre 1400 et 1500 octets. Elle peut être inversée en utilisant le signe !, comme ça : -m length ! --length 1400:1500. Elle peut aussi être utilisée pour sélectionner certaines tailles seulement, en supprimant le signe :, comme ceci : -m length --length 1400. La plage est bien sûr inclusive, ce qui inclut tous les paquets dont la longueur est comprise dans les valeurs que vous avez spécifiées.\nL'extension de correspondance limit doit être chargée explicitement avec l'option -m limit. Cette correspondance peut être employée avantageusement pour limiter la journalisation de certaines règles, etc. Par exemple, vous pouvez établir une correspondance avec tous les paquets qui n'excèdent pas une quantité donnée, et au-delà de ce seuil, limiter la journalisation de l'évènement en question. Considérez ce seuil comme une limite temporelle : vous pouvez limiter le nombre de correspondances d'une certaine règle dans un certain laps de temps, par exemple pour atténuer l'impact des attaques de type déni de service (DoS). C'est d'ailleurs la principale application qu'on en fait, mais naturellement, il en existe d'autres. La correspondance limit peut également être inversée en ajoutant le symbole ! juste après le mot limit. Elle s'exprime alors sous la forme -m limit ! --limit 5/s, autrement dit tous les paquets sont sélectionnés quand la limite est dépassée.\nPour décrire plus précisément la correspondance limit, c'est essentiellement un filtre à jetons. Considérez un seau percé qui laisse fuir N paquets par unité de temps. N est défini en fonction du nombre de paquets que nous voulons sélectionner, ainsi si nous voulons 3 paquets, le seau laisse fuir 3 paquets par unité de temps. L'option --limit détermine le nombre de paquets qui peuvent remplir le seau par unité de temps, alors que l'option --limit-burst définit la contenance initiale du seau. Par conséquent, en définissant --limit 3/minute --limit-burst 5, puis en recevant 5 correspondances, le seau sera vidé. Après une attente de 20 secondes, le seau est rempli d'un nouveau jeton, et ainsi de suite jusqu'à ce que le paramètre --limit-burst soit atteint ou jusqu'à ce que les jetons soient tous utilisés.\nConsidérez l'exemple ci-dessous pour approfondir ce fonctionnement.\nOn définit une règle avec les paramètres -m limit --limit 5/second --limit-burst 10/second. Le paramètre limit-burst du seau à jetons est fixé initialement à 10. Chaque paquet qui établit une correspondance avec la règle consomme un jeton.\nOn reçoit alors des paquets qui correspondent à la règle, 1-2-3-4-5-6-7-8-9-10, tous arrivent dans un intervalle de 1/1000ème de seconde.\nLe seau de jetons se retrouve complètement vide. Et puisque le seau est vide, les paquets qui rencontrent la règle ne peuvent plus correspondre et poursuivent leur route vers la règle suivante, ou subissent le comportement par défaut de la chaîne.\nPour chaque tranche de 1/5ème de seconde sans qu'un paquet ne corresponde, le compteur de jetons augmente de 1, jusqu'à un maximum de 10. Et 1 seconde après avoir reçu 10 paquets, on aura de nouveau 5 jetons de moins.\nEt naturellement, le seau sera vidé d'1 jeton par paquet reçu.\nTableau 10.20. Options de la correspondance Limit\nExemple iptables -A INPUT -m limit --limit 3/hour\nExplication Ceci définit le taux de correspondance moyen maximum pour la correspondance limit. Il est spécifié par un nombre suivi éventuellement d'une unité de temps. Les unités suivantes sont actuellement reconnues : /second, /minute, /hour et /day. La valeur par défaut est fixée à 3 correspondances par heure, soit 3/hour. Ceci indique à la correspondance limit combien de fois la correspondance avec un paquet est autorisé par unité de temps (par exemple par minute).\nExemple iptables -A INPUT -m limit --limit-burst 5\nExplication Ceci définit la réserve maximale (ou la salve) de la correspondance limit. Il indique à iptables le nombre maximum de paquets pouvant correspondre pendant l'unité de temps donnée. Ce nombre est décrémenté de 1 après chaque unité de temps (spécifiée par l'option --limit) pendant laquelle l'évènement ne s'est pas produit, jusqu'à atteindre la plus faible valeur, 1. Si l'évènement se produit de façon répétée, le compteur est alors incrémenté jusqu'à atteindre la valeur de réserve maximale, et ainsi de suite. La valeur par défaut de --limit-burst est 5. Pour comprendre simplement comment ceci fonctionne, utilisez le script d'exemple Limit-match.txt composé d'une règle. Grâce à ce script, vous pouvez voir vous-mêmes comment fonctionne la règle limit, en envoyant des paquets d'écho (de type ping) à des intervalles différents et en différentes rafales. Toutes les réponses d'écho seront bloquées jusqu'à ce que le seuil de réserve maximale soit de nouveau atteint.\nLa correspondance MAC (Ethernet Media Access Control - Interface réseau ethernet) permet de sélectionner des paquets à partir de leur adresse MAC source. Lors de l'écriture de ce document, cette correspondance s'avère quelque peu limitée, cependant elle pourrait être plus évoluée à l'avenir, donc plus utile. Cette correspondance peut être utilisée pour sélectionner les paquets sur la source de l'adresse MAC seulement comme précédemment indiqué.\nRemarquez que l'utilisation de ce module impose de le charger explicitement avec l'option -m mac. Il est nécessaire de le rappeler ici vu le nombre de personne croyant pouvoir l'invoquer seulement par -m mac-source, ce qui n'est pas possible.\nTableau 10.21. Options de la correspondance Mac\nExemple iptables -A INPUT -m mac --mac-source 00:00:00:00:00:01\nExplication Cette correspondance permet de sélectionner des paquets à partir de leur adresse MAC source. L'adresse MAC doit être spécifiée de la forme XX:XX:XX:XX:XX:XX, autrement elle n'est pas valide. La correspondance peut être inversée avec le signe ! et ressemble alors à --mac-source ! 00:00:00:00:00:01. Autrement dit, ceci inverse le sens de la corrrespondance, en sélectionnant tous les paquets sauf ceux possédant l'adresse MAC spécifiée. Notez que comme les adresses MAC ne sont utilisées que dans les réseaux de type Ethernet, cette correspondance ne s'applique qu'aux interfaces Ethernet. La correspondance MAC est valide seulement dans les chaînes PREROUTING, FORWARD et INPUT, et nulle part ailleurs.\nL'extension de correspondance mark permet de sélectionner des paquets à partir de leur marquage. Le marquage désigne un champ particulier, pris en charge uniquement au sein du noyau, et lié aux paquets circulant à travers la machine. Le marquage peut être employé par différentes routines du noyau pour des tâches comme de la régulation de trafic ou du filtrage. Aujourd'hui, il n'existe qu'un seul moyen de définir un marquage sous Linux, c'est la cible MARK dans iptables. Auparavant, il s'agissait de la cible FWMARK dans ipchains, et c'est pourquoi nombre de gens se réfèrent encore à FWMARK dans les documentations avancées sur le routage. Le champ de marquage est actuellement défini comme un entier non signé, soit 4294967296 valeurs possibles sur un système 32 bits. En d'autres termes, vous ne risquez pas de sitôt de dépasser cette limite et vous êtes tranquille pour quelques temps.\nTableau 10.22. Options de la correspondance Mark\nExemple iptables -t mangle -A INPUT -m mark --mark 1\nExplication Cette correspondance permet de sélectionner des paquets qui ont été préalablement marqués. Les marquages peuvent être positionnés avec la cible MARK développée dans la section suivante. Tous les paquets transitant par Netfilter se voient affectés d'un champ de marquage spécial. Notez que ce champ de marquage n'est propagé en aucune manière, que ce soit à l'intérieur ou à l'extérieur du paquet. Il reste exclusivement à l'intérieur de la machine qui l'a créé. Si le champ de marquage est égal à la valeur de l'option --mark, il y a correspondance. Le champ de marquage est un entier non signé, par conséquent 4294967296 différents marquages peuvent exister. Vous pouvez également utiliser un masque avec le marquage. Dans ce cas, la spécification de marquage ressemble, par exemple, à --mark 1/1. Quand un masque est spécifié, on effectue un ET logique avec le marquage spécifié avant de réaliser la comparaison réelle.\nL'extension de correspondance multiport permet de spécifier plusieurs ports et intervalles et ports destination. Sans cette possibilité, vous devriez utiliser différentes règles du même genre, juste pour établir une correspondance avec différents ports.\nVous ne pouvez pas utiliser simultanément la correspondance de port standard et la correspondance multiport. Par exemple, il est inutile d'écrire : --sport 1024:63353 -m multiport --dport 21,23,80, car ça ne marchera pas. Si vous le faites quand même, iptables considèrera le premier élément de la règle et ignorera l'instruction multiport.\nTableau 10.23. Options de la correspondance Multiport\nExemple iptables -A INPUT -p tcp -m multiport --source-port 22,53,80,110\nExplication Cette correspondance sélectionne plusieurs ports source. Au maximum, 15 ports peuvent être spécifiés. Les ports doivent être séparés par des virgules, comme dans l'exemple ci-dessus. Cette correspondance ne peut être employée qu'avec les correspondances -p tcp ou -p udp. C'est principalement une version améliorée de la correspondance classique --source-port.\nExemple iptables -A INPUT -p tcp -m multiport --destination-port 22,53,80,110\nExplication Cette correspondance sélectionne plusieurs ports destination. Elle fonctionne exactement de la même façon que la correspondance de port source mentionnée précédemment, excepté qu'elle s'applique aux ports destination. Elle dispose aussi d'une limite de 15 ports, et ne peut être employée qu'avec -p tcp et -p udp.\nExemple iptables -A INPUT -p tcp -m multiport --port 22,53,80,110\nExplication Cette extension de correspondance permet de sélectionner les paquets à partir à la fois de leur port destination et de leur port source. Elle fonctionne de la même façon que les correspondances --source-port et --destination-port présentées ci-dessus. Elle accepte 15 ports au maximum, et ne peut être employée qu'avec -p tcp et -p udp. Notez que la correspondance --port ne peut sélectionner que les paquets qui viennent et vont vers le même port, par exemple, du port 80 au port 80, du port 110 au port 110, etc.\nL'extension de correspondance owner permet de sélectionner des paquets à partir de l'identité du processus qui les a créés. Le propriétaire (owner) peut être spécifié comme étant l'identifiant de l'utilisateur qui a lancé la commande en question, de son groupe, du processus, de la session, ou bien de la commande elle-même. À l'origine, cette extension a été écrite pour donner un exemple des utilisations possibles d'iptables. La correspondance owner fonctionne seulement dans la chaîne OUTPUT pour des raisons évidentes : il est presque impossible d'extraire des éléments d'information sur l'identité de l'instance ayant envoyé un paquet à partir de l'autre extrémité, et où a lieu le saut intermédiaire avant la destination finale. Et même dans la chaîne OUTPUT, ce n'est pas vraiment fiable puisque certains paquets peuvent ne pas avoir de propriétaire. Les célèbres paquets de ce genre sont, entre-autres, les réponses ICMP. Donc les réponses ICMP ne correspondront jamais.\nTableau 10.24. Options de la correspondance Owner\nExemple iptables -A OUTPUT -m owner --cmd-owner httpd\nC'est la correspondance de la commande owner, utilisée pour faire la sélection sur la base du nom de commande du processus qui a envoyé le paquet. Dans l'exemple, httpd est sélectionné. Cette correspondance peut aussi être intervertie par un point d'exclamation, par exemple -m owner ! --cmd-owner ssh\nExemple iptables -A OUTPUT -m owner --uid-owner 500\nExplication Avec cette correspondance, le paquet est sélectionné s'il a été créé par l'identifiant d'utilisateur (UID) donné. Ceci permet d'établir une correspondance avec les paquets sortants basée sur celui qui les a créés. Une utilisation possible serait d'empêcher tout utilisateur autre que root d'ouvrir de nouvelles connexions extérieures au pare-feu. Une autre possibilité pourrait être d'empêcher tout le monde sauf l'utilisateur http d'envoyer des paquets à partir du port HTTP.\nExemple iptables -A OUTPUT -m owner --gid-owner 0\nExplication Cette correspondance permet de sélectionner des paquets à partir de leur identifiant de groupe (GID). Ainsi on établit une correspondance avec tous les paquets associés au groupe auquel appartient l'utilisateur ayant créé le paquet. Par exemple, ceci permet d'empêcher tous les utilisateurs sauf ceux appartenant au groupe network de naviguer sur Internet, ou comme précédemment, d'autoriser seulement les membres du groupe http à créer des paquets sortants par le port HTTP.\nExemple iptables -A OUTPUT -m owner --pid-owner 78\nExplication Cette correspondance permet de sélectionner des paquets à partir de l'identifiant de processus (PID) qui est responsable d'eux. Cette correspondance est un peu plus difficile à utiliser, mais il est possible, par exemple, d'autoriser seulement le PID 94 à envoyer des paquets par le port HTTP (si le processus HTTP n'est pas un fil d'exécution, bien sûr). Une autre alternative serait d'écrire un petit script qui récupère le PID à partir de la sortie d'une commande ps pour un "démon" spécifique, et qui ajoute ensuite une règle pour le numéro récupéré. Pour donner un exemple, vous pouvez élaborer une règle comme celle présente dans l'exemple .\nExemple iptables -A OUTPUT -m owner --sid-owner 100\nExplication Cette correspondance permet de sélectionner des paquets à partir de l'identifiant de session (SID) utilisé par le programme en question. La valeur du SID d'un processus est celle du processus lui-même et de tous les processus découlant du processus d'origine. Ces derniers peuvent être un fil d'exécution ("thread"), ou un processus fils du processus d'origine. Donc par exemple, tous les processus HTTPD devraient posséder le même SID que leur processus parent (le processus HTTPD d'origine), si le HTTPD appartient à un fil d'exécution (comme la plupart des processus HTTPD, Apache et Roxen par exemple). Ceci est illustré par un petit script qui s'appelle Sid-owner.txt. Celui-ci pourrait éventuellement être lancé toutes les heures et enrichi de code supplémentaire pour vérifier que l'exécution du processus HTTPD est toujours en cours et le redémarrer sinon, avant de vider et redéfinir la chaîne OUTPUT si nécessaire.\nLa sélection des pid et sid ne fonctionne pas avec les noyaux SMP car ils utilisent différents processus pour chaque processeur. Ce devrait être réglé dans le futur.\nCette correspondance sert à sélectionner les paquets basés sur leur type. C'est à dire, ceux destinés à une personne précise, à tout le monde ou à un groupe de machines spécifique ou encore des utilisateurs. Ces trois groupes sont généralement appelés unicast, broadcast et multicast, comme nous l'avons vu dans le chapitre Rappel TCP/IP. La correspondance est chargée par la commande : -m pkttype.\nTableau 10.25. Options de la correspondance type de paquet\nExemple iptables -A OUTPUT -m pkttype --pkt-type unicast\nLa correspondance --pkttype sert à indiquer quel type de paquet sélectionner. Elle peut prendre soit unicast, broadcast ou multicast comme argument, voir l'exemple. Elle peut aussi être inversée par ! comme ceci : -m pkttype --pkttype ! broadcast, qui va sélectionner tous les autres types de paquets.\nLa correspondance realm est utilisée pour sélectionner les paquets basés sur le domaine de routage dont il font partie. Les domaines de routage sont utilisés dans Linux pour les scénarios de routage complexe comme BGP, etc. La correspondance realm est chargée en ajoutant le mot-clé -m realm à la ligne de commande.\nUn domaine de routage est utilisé dans Linux pour classer les routes en groupes logiques. Dans la plupart des routeurs dédiés aujourd'hui, la Base d'Information de Routage (Routing Information Base - RIB) et le moteur de transfert sont très proches. Dans le noyau par exemple. Linux n'est pas réellement un système de routage dédié, il a été forcé de séparer ses RIB et FIB (Base d'Information de Transfert). Le RIB se situe au niveau domaine utilisateur et le FIB au niveau du noyau. À cause de cette séparation, il devient gourmand en ressource de faire des recherches rapides dans le RIB. Le domaine de routage est la solution Linux pour ça, il rend le système plus flexible et plus riche.\nLes domaines Linux peuvent être utilisés avec BGP et autres protocoles de routage qui délivrent une grande quantité de routes. Le démon de routage peut alors trier les routes par leur préfixe, chemin ou source par exemple, et les placer dans différents domaines. Le domaine est numérique, mais peut aussi être nommé par le fichier /etc/iproute2/rt_realms.\nTableau 10.26. Options de la correspondance Realm\nExemple iptables -A OUTPUT -m realm --realm 4\nCette option sélectionne le nombre de domaines et optionnellement un masque. Si ce n'est pas un nombre, il résoudra le domaine par le fichier /etc/iproute2/rt_realms. Si un domaine nommé est utilisé, aucun masque ne devra être utilisé. Le domaine peut aussi être interverti en plaçant un point d'exclamation, par exemple --realm ! cosmos.\nLa correspondance recent est une système plutôt important et complexe, qui nous permet de sélectionner des paquets basés sur les événements récents. Exemple, si nous voulons voir une sortie de connexion IRC, nous pouvons placer l'adresse IP dans une liste d'hôtes, et avoir une autre règle qui permet des requêtes d'identification en retour d'un serveur IRC dans les 15 secondes de veille du paquet d'origine.\nAvant nous pouvons avoir une vue plus précise de cette correspondance, voyons comment elle fonctionne. En premier, nous utilisons différentes règles pour utiliser l'appariement récent. Celui-ci se sert de plusieurs listes d'événements récents. Par défaut la liste utilisée est DEFAULT. Nous créons une nouvelle entrée dans la liste avec cette option, ainsi une fois qu'une règle est complètement vérifiée (l'option placée est toujours une correspondance), nous pouvons ajouter une entrée dans la liste récente spécifiée. L'entrée de la liste contient un horodatage, et l'adresse source IP utilisée dans le paquet qui déclenche l'option. Une fois ceci fait, nous pouvons utiliser une série d'options différentes pour sélectionner cette information, comme la mise à jour des entrées d'horodatage, etc.\nEnfin, si nous voulons pour quelque raison supprimer une entrée de la liste, nous pouvons le faire en supprimant la correspondance du module récent. Toutes les règles utilisant la correspondance Recent, doivent charger ce module (-m recent). Voyons en les options.\nTableau 10.27. Options de la correspondance Recent\nExemple iptables -A OUTPUT -m recent --name examplelist\nL'option "name" donne le nom de la liste à utiliser. Par défaut la liste DEFAULT est utilisée, ce qui n'est probablement pas ce que nous voulons si nous nous servons de plus d'une liste.\nExemple iptables -A OUTPUT -m recent --set\nCeci crée une nouvelle entrée dans la liste récente, qui contient un horodatage et l'adresse source IP de l'hôte qui a déclenché la règle. Cette correspondance retournera toujours vrai, sauf si elle précédée du signe !, auquel cas elle renverra faux.\nExemple iptables -A OUTPUT -m recent --name examplelist --rcheck\nL'option --rcheck vérifie si l'adresse IP source du paquet est dans la liste nommée. Si c'est le cas, la correspondance renvoit un "vrai", dans le cas contraire elle renverra un "faux". Cette option peut être inversée avec le signe !. Dans ce dernier cas, elle renverra vrai si l'adresse IP source n'est pas dans la liste, et faux si elle est dans la liste.\nExemple iptables -A OUTPUT -m recent --name examplelist --update\nCette correspondance est vraie si la source est disponible dans la liste spécifiée et met à jour le dernier horodatage dans la liste. Elle peut aussi être inversée par le ! devant le module. Exemple, ! --update.\nExemple iptables -A INPUT -m recent --name example --remove\nCette correspondance essaie de trouver l'adresse source du paquet dans la liste, et renvoie un vrai si le paquet est présent. Elle supprimera aussi l'entrée de liste correspondante de la liste. Cette commande peut être inversée avec le signe !.\nExemple iptables -A INPUT -m recent --name example --check --seconds 60\nCette correspondance n'est valide seulement qu'avec les commandes --check et --update. Le module --seconds est utilisé pour spécifier le délai de mise à jour de la colonne "dernier apperçu" dans la liste récente. Si la colonne dernier apperçu est plus ancienne qu'un certain nombre de secondes, la correspondance renvoit faux. Si la correspondance récent fonctionne normalement, l'adresse source doit toujours être dans la liste pour un retour vrai de la correspondance.\nExemple iptables -A INPUT -m recent --name example --check --hitcount 20\nLa correspondance --hitcount doit être utilisée avec les commandes --check ou --update, elle limitera la sélection aux seuls paquets vus par le compteur. Si cette correspondance est utilisée avec la commande --seconds, cela nécessite que le compteur de paquets spécifié soit vu dans le bloc de temps. Elle peut être inversée par le signe ! devant la commande. Avec la commande --seconds, elle indique le maximum de paquets qui peuvent avoir été vus durant le bloc de temps spécifié. Si les deux correspondances sont inversées, alors un maximum de paquets peuvent avoir été vus durant le dernier minimum de secondes.\nExemple iptables -A INPUT -m recent --name example --check --rttl\nLa correspondance --rttl vérifie que la valeur TTL du paquet est la même que celle du paquet original utilisé pour placer l'entrée dans la liste récente. Ceci peut être utilisé pour vérifier que les adresses sources de personnes n'ont pas été mystifiées (spoofing) pour interdire aux autres l'accès à leur serveur en faisant usage de la correspondance recent.\nExemple iptables -A INPUT -m recent --name example --rsource\nLa correspondance --rsource indique au module recent de sauvegarder l'adresse source et les ports dans la liste recent. C'est le comportement par défaut.\nExemple iptables -A INPUT -m recent --name example --rdest\n--rdest est l'opposé de --rsource en ce qu'elle indique à la correspondance recent d'enregistrer l'adresse et le port de destination dans la liste recent.\nj'ai créé un petit exemple de script sur la façon d'utiliser la correspondance recent, vous pouvez le trouver dans la section Recent-match.txt.\nEn bref, c'est une pauvre variation de la machine d'état disponible dans netfilter. Cette version fut créé avec à l'esprit un serveur http, mais qui fonctionnera avec n'importe quelle connexion TCP. En premier, nous avons créé deux chaînes nommées http-recent et http-final. La chaîne http-recent est utilisée aux étapes du démarrage de la connexion, et pour la transmission des données, tandis que la chaîne http-final est utilisée pour les derniers FIN, FIN/ACK dans l'établissement de la liaison.\nC'est une très mauvaise alternative pour la machine d'état et elle ne dispose pas de toutes les possibilités de la machine d'état. Cependant, c'est un bon exemple de ce qui peut être fait avec la correspondance Recent sans être trop spécifique. N'utilisez pas cet exemple en production. Il est lent, gère mal les cas spéciaux, et ne doit être jamais être utilisé que comme un exemple.\nPar exemple, il ne gère pas les ports fermés dans une connexion, les établissements de liaison FIN asynchrones (où une des parties connectée se ferme, tandis que l'autre continue d'envoyer des données), etc.\nSuivons un paquet à travers l'exemple de la table de règles. D'abord le paquet entre dans la chaîne INPUT, et nous l'envoyons à la chaîne http-recent.\nLe premier paquet sera un paquet SYN, et n'aura pas de bit ACK, FIN ou RST placé. Il est sélectionné en utilisant la ligne --tcp-flags SYN,ACK,FIN,RST SYN. À ce niveau nous ajoutons la connexion à httplist avec la ligne -m recent --name httplist --set. Enfin nous acceptons le paquet.\nAprès le premier paquet nous recevons un paquet SYN/ACK indiquant que le paquet SYN a été reçu. Ceci peut être vérifié en utilisant la ligne --tcp-flags SYN,ACK,FIN,RST SYN,ACK. FIN et RST sont illégaux à ce niveau. Nous mettons à jour l'entrée dans httplist par -m recent --name httplist --update et finalement nous avons l'ACCEPT du paquet.\nMaintenant nous obtenons un paquet final ACK, venant du créateur de la connexion, nous permettant de savoir que le SYN/ACK a été envoyé par le serveur. SYN, FIN et RST devraient être illégaux à ce point de la connexion, et la ligne ressemblera à --tcp-flags SYN,ACK,FIN,RST ACK. Nous mettons à jour la liste de la même façon que dans l'étape précédente, et nous ACCEPTons.\nÀ ce niveau, la transmission de données peut démarrer. La connexion ne contiendra jamais aucun paquet SYN maintenant, mais contiendra des paquets ACK pour permettre de savoir que les données sont envoyées. Chaque fois que nous voyons un paquet comme celui-là, nous mettons à jour la liste et ACCEPTons les paquets.\nLa transmission peut se terminer de deux façons, la plus simple est le paquet RST. RST réinitialisera la connexion et la coupera. Avec FIN/ACK le correspondant répond avec un FIN, et ferme la connexion ainsi l'expéditeur du FIN/ACK ne peut plus envoyer de données. L'hôte qui reçoit le FIN pourra toujours envoyer des données, et nous arrivons à l'étape finale de la connexion.\nDans les chaînes http-recent-final nous vérifions si le paquet est toujours dans la httplist, et si c'est le cas, nous l'envoyons à la chaîne http-recent-final1. Dans cette chaîne nous supprimons la connexion de la httplist l'ajoutons à la liste http-recent-final. Si la connexion a déjà été supprimée et déplacée vers la liste http-recent-final, nous envoyons le paquet vers la chaîne http-recent-final2.\nDans la chaîne http-recent-final2, nous attendons que la partie non fermée finisse d'envoyer ses données, et fermons ensuite la connexion. Une fois ceci fait, la connexion est définitivement fermée.\nComme nous l'avons vu la liste recent peut devenir tout à fait complexe, mais elle nous donne un vaste éventail de possibilités si nécessaire. Encore une fois, nous ne réinventons pas la roue. Si la fonctionnalité que vous désirez est déjà implémentée, utilisez la au lieu d'essayer de créer votre propre solution.\nL'extension de correspondance state est associée au code de traçage de connexion dans le noyau. La correspondance d'état accède à l'état du traçage de connexion des paquets grâce à la machine de "conntracking". Elle permet de savoir dans quel état se trouve la connexion, et fonctionne pour quasiment tous les protocoles y compris les protocoles sans état tels que ICMP et UDP. Dans tous les cas, la connexion est sujette à un dépassement de temps établi par défaut ("default timeout") et sera, le cas échéant, supprimée de la base de données du traçage de connexion. Cette correspondance exige d'être chargée explicitement en ajoutant la directive -m state à la règle. Vous disposerez alors d'une nouvelle correspondance appelée state. Le concept de correspondance d'état est couvert plus en détail dans le chapitre La machine d'état, étant donné que le sujet est assez vaste.\nTableau 10.28. Options de la correspondance State\nExemple iptables -A INPUT -m state --state RELATED,ESTABLISHED\nCette option indique à la correspondance state dans quels états doivent être les paquets pour être sélectionnés. Actuellement, 4 états sont disponibles : INVALID, ESTABLISHED, NEW et RELATED. INVALID signifie que le paquet n'est associé à aucun flux, ni à aucune connexion connus, et qu'il peut contenir des données ou des en-têtes erronés. ESTABLISHED signifie que le paquet est lié à une connexion déjà établie, qui a vu passer des paquets dans les deux directions et qui est considérée comme valide. NEW signifie que le paquet a démarré ou démarrera une nouvelle connexion, ou bien qu'il est associé à une connexion qui n'a pas vu passer des paquets dans les deux directions. Enfin, RELATED signifie que le paquet démarre une nouvelle connexion et qu'il est associé à une connexion déjà établie. Ceci peut évoquer par exemple un transfert de données par FTP, ou une erreur ICMP associée à une connexion TCP ou UDP. Notez que l'état NEW n'examine pas les bits SYN des paquets TCP qui tentent de démarrer une nouvelle connexion. Par conséquent, cet état ne devrait pas être utilisé tel quel dans les situations où il n'existe qu'un seul pare-feu, ou quand il n'y a pas d'équilibrage de charge entre les différents pare-feux. Cependant, cet état se révèle utile dans certains cas. Pour en savoir plus, consultez le chapitre La machine d'état.\nLa correspondance tcpmss est utilisée pour sélectionner un paquet basé sur le Maximum Segment Size (Taille maximum de segment) dans TCP. Ceci vérifie seulement la validité des paquets SYN et SYN/ACK. Pour une explication plus détaillée de la valeur MSS, voir l'annexe, Options TCP la RFC 793 - Transmission Control Protocol et la RFC 1122 - Requirements for Internet Hosts - Communication Layers. Cette correspondance est chargée en utilisant -m tcpmss et prend uniquement cette option.\nTableau 10.29. Options de la correspondance Tcpmss\nExemple iptables -A INPUT -p tcp --tcp-flags SYN,ACK,RST SYN -m tcpmss --mss 2000:2500\nL'option --mss indique à la correspondance tcpmss quel Maximum Segment Size sélectionner. Ceci peut être soit une simple valeur MSS, soit une plage de valeurs MSS séparées par :. La valeur peut être inversée par le signe !, comme dans l'exemple suivant :\nCet exemple vérifiera toutes les valeurs MSS, sauf les valeurs comprises dans la plage 2000 à 2500.\nLa correspondance TOS peut servir à sélectionner les paquets à partir de leur champ de TOS. TOS signifie type de service ; il est constitué de 8 bits et se situe dans l'en-tête IP. Cette correspondance est chargée explicitement en ajoutant -m tos à la règle. Elle est normalement utilisée afin d'informer les hôtes intermédiaires de l'ordre de priorité du flux et de son contenu (ce n'est pas vraiment le cas, mais il informe des besoins spécifiques au flux, comme une réexpédition aussi rapide que possible, ou un impératif de débit). Les différents routeurs et administrateurs gèrent ces valeurs de façon variable. La plupart ne s'en préoccupent pas du tout, alors que d'autres font de leur mieux pour gérer les paquets en question et les données qu'ils fournissent.\nTableau 10.30. Options de la correspondance Tos\nExemple iptables -A INPUT -p tcp -m tos --tos 0x16\nExplication Cette correspondance s'utilise tel que décrit ci-dessus. Elle sélectionne les paquets à partir de leur champ de TOS et de sa valeur. Ceci peut être employé avec le programme iproute2 et les fonctions avancées de routage de Linux pour effectuer un marquage des paquets pour un usage ultérieur. La correspondance prend en option une valeur hexadécimale ou numérique, ou éventuellement un des noms fournis par la commande 'iptables -m tos -h'. Actuellement, elle fournit les noms suivants : Minimize-Delay 16 (0x10), Maximize-Throughput 8 (0x08), Maximize-Reliability 4 (0x04), Minimize-Cost 2 (0x02), et Normal-Service 0 (0x00). Minimize-Delay signale de minimiser le retard pour les paquets qui traversent - les services classiques qui requièrent ceci peuvent être, par exemple, telnet, SSH et FTP-control. Maximize-Throughput précise de trouver un chemin qui offre le plus haut débit possible - un protocole typique est FTP-data. Maximize-Reliability indique de maximiser la fiabilité de la connexion, donc d'utiliser des lignes aussi fiables que possible - deux exemples typiques sont BOOTP et TFTP. Minimize-Cost signale de minimiser le coût des paquets qui traversent tous les liens vers le client ou le serveur ; par exemple, déterminer la route qui offre le voyage le moins onéreux de bout en bout. Des exemples de protocoles classiques qui peuvent l'utiliser sont RTSP ("Real Time Stream Control Protocol" ou protocole de contrôle de flux en temps-réel) et d'autres protocoles de flux vidéo/audio. Enfin, Normal-Service désigne tout protocole classique n'ayant aucun besoin particulier.\nLa correspondance TTL permet de sélectionner les paquets à partir de leur champ TTL ("Time To Live" ou durée de vie) localisé dans l'en-tête IP. Le champ TTL contient 8 bits de données, et il est décrémenté de 1 à chaque fois qu'il est traité par un hôte intermédiaire entre le client et l'hôte destinataire. Si le TTL atteint 0, un message ICMP type 11 code 0 (TTL égal à 0 pendant le transit) ou code 1 (TTL égal à 0 pendant le réassemblage) est transmis à l'expéditeur du paquet pour l'informer du problème. Cette correspondance est utilisée seulement pour sélectionner les paquets à partir de leur TTL, et non pour effectuer une modification quelle qu'elle soit. Ce comportement, soit dit en passant, s'applique à tout type de correspondance. Pour charger cette correspondance, vous devez ajouter -m ttl à la règle.\nTableau 10.31. Options de la correspondance Ttl\nExemple iptables -A OUTPUT -m ttl --ttl-eq 60\nExplication Cette option de correspondance permet de spécifier la valeur TTL à sélectionner. Cette option requiert une valeur numérique et établit une correspondance avec cette valeur dans le paquet. Aucune inversion n'est disponible et il n'y a rien d'autre, en particulier, à sélectionner. Mais ceci peut être utile, par exemple, pour déboguer votre réseau local - c'est-à-dire les hôtes de votre LAN qui semblent présenter des problèmes de connexion avec un hôte sur Internet - ou pour trouver d'éventuelles entrées de chevaux de Troie, etc. Les possibilités de cette option sont relativement limitées, cependant son intérêt dépend essentiellement de votre imagination. Un exemple pourrait être de trouver des hôtes avec de mauvaises valeurs par défaut de TTL (pouvant être la conséquence d'un pile TCP/IP mal implémentée, ou simplement d'un défaut de configuration).\nExemple iptables -A OUTPUT -m ttl --ttl-gt 64\nExplication Cette option sert à sélectionner un TTL plus grand que la valeur spécifiée. La valeur peut être comprise entre 0 et 255 et la correspondance ne peut pas être intervertie. Elle peut, par exemple sélectionner un TTL plus grand qu'une valeur spécifiée et ensuite la forcer vers une valeur standardisée. Elle peut être utilisée pour contourner certaines formes d'espionnage de la part des fournisseurs d'accès qui cherchent à savoir si vous avez plusieurs machines derrière un pare-feu, à l'encontre de leurs règlements.\nExemple iptables -A OUTPUT -m ttl --ttl-lt 64\nExplication La correspondance --ttl-lt est utilisée pour sélectionner les TTL plus petits qu'une valeur spécifiée. C'est à peu près la même que --ttl-gt, mais sélectionne les TTL plus petits. Elle peut être utilisée également de la même façon que --ttl-gt, ou pour simplement homogénéiser les paquets quittant votre réseau en général.\nLa correspondance unclean ne prend aucune option et ne nécessite rien de plus qu'un chargement explicite si vous souhaitez l'utiliser. Notez que cette option est considérée comme expérimentale, qu'elle peut ne pas fonctionner en toutes circonstances et qu'elle ne prendra pas en charge tous les paquetages ou problèmes relatifs à unclean. La correspondance unclean tente de sélectionner les paquets qui paraissent malformés ou inhabituels, comme des paquets avec des en-têtes ou des sommes de contrôle (checksums) erronés. Elle peut être utilisée pour rejeter des connexions (avec la cible DROP) et pour rechercher les flux douteux par exemple. Cela dit, vous devez être conscient qu'il existe un risque d'interruption de connexions saines.


Choisir Prix CHF 0.00 - CHF 24.99 (28) CHF 25.00 - CHF 49.99 (19) CHF 50.00 - CHF 74.99 (2) CHF 75.00 et au dessus (2)\nChoisir Sexe Pour elle (39) Pour lui (50) Pour couples (4)\nChoisir Âge 3-6 (9) 7-12 (27) 13-17 (21) 18-29 (32) 30-60 (22) 60+ (7)\nChoisir Occasion Bon rétablissement (5) Déménagement (23) employee (4) Fête des pères (7) party (11) Porte-bonheur (3) standard_present (11) 1er août (4) Anniversaire de mariage (1) Bonne chance (1) Carnaval (5) Consolation (3) Départ (4) Enterrement de vie de célibataire (10) Jubilé (1) Pâques (3) Remerciement (2) Souvenirs (42) Anniversaire (46) Noël (42)\nChoisir Marque Carta.Media (3) Gentlemen's Hardware (1) HABA (2) Hasbro (4) Mattel (1) Philippi (1) Piatnik (1) Ravensburger (1) Spin Master (2) Uno (3)\nChoisir Couleur Bleu (1) Brun (1) Doré (1) Noir (3)\nJeux de table (8)\nAutres jeux de société (31)\nChoisir une catégorie Jeux de table Jeux de cartes Autres jeux de société\nBuzzer Cactus Jeu d'adresse Commandé av. 16h, livré le lendemain\nJeu de cartes en feuilles d’or avec certificat Commandé av. 16h, livré le lendemain\nHasbro Crocodile Kroko Doc - Jeu d'adresse Commandé av. 16h, livré le lendemain\nJeu à boire Echecs avec verres à shot Commandé av. 16h, livré le lendemain\nMélangeur de cartes automatique Commandé av. 16h, livré le lendemain\nCoffret de jeu Dominos personnalisé Délai de livraison 3 jours ouvrables\nCoffret de jeu Dominos personnalisé\nJeu des échelles Suisse Commandé av. 16h, livré le lendemain\nKit de Jass Suisse Commandé av. 16h, livré le lendemain\nJeu de cartes waterproof Survival de Gentlemen’s Hardware Commandé av. 16h, livré le lendemain\nJeu de cartes Uno Emoticônes Commandé av. 16h, livré le lendemain\nJeu de cartes Uno Emoticônes\nJeu de société éducatif Memory Maze Commandé av. 16h, livré le lendemain\nCasse-tête Perplexus Original, difficulté : 6/10 Commandé av. 16h, livré le lendemain\nCasse-tête Perplexus Original, difficulté : 6/10\nPuissance 4 en bois Commandé av. 16h, livré le lendemain\n30 Days Challenge Box Happiness Commandé av. 16h, livré le lendemain\nMini-jeu de bowling de table Commandé av. 16h, livré le lendemain\nMini-jeu de bowling de table\nSpinderella - Lauréat du Jeu d'enfant 2015 Commandé av. 16h, livré le lendemain\nJeu de Mikado XXL 50 cm Commandé av. 16h, livré le lendemain\nJeu à boire Bingo Commandé av. 16h, livré le lendemain\nJeu de cartes Phase 10 Commandé av. 16h, livré le lendemain\nJeu S.O.S. Minions Commandé av. 16h, livré le lendemain\nJeu S.O.S. Minions\nActivity Suisse - Jeu de société Commandé av. 16h, livré le lendemain\nCoffret avec 8 jeux de voyage magnétiques Commandé av. 16h, livré le lendemain\nJeu de dés Yathzee Commandé av. 16h, livré le lendemain\nJeu tarte à la crème Le duel Pie Face Hasbro Commandé av. 16h, livré le lendemain\nJeu Mémo mimique HABA Commandé av. 16h, livré le lendemain\nJeu Mémo mimique HABA\nHABA attrappe-moi souris et chat Commandé av. 16h, livré le lendemain\nMini-jeu de football de table Commandé av. 16h, livré le lendemain\nJeu Je n'ai jamais Commandé av. 16h, livré le lendemain\nJeu Memory exclusif Talons hauts Commandé av. 16h, livré le lendemain\nJeu d’échecs version sorcier Harry Potter Délai de livraison 10 jours ouvrables\nJeu d’échecs version sorcier Harry Potter\nUNO Deluxe boîte métallique Commandé av. 16h, livré le lendemain\nDog Royal – Jeu de société Commandé av. 16h, livré le lendemain\nDog Royal – Jeu de société


NOMINATION : Les généraux en 2018.\nPosté le jeudi 28 décembre 2017\nComme à chaque fin d’année, la liste d’aptitude de l’armée de Terre est désormais connue. Parmi les 18 généraux de brigade inscrits pour le grade de général de division, on retrouve le général Benoît Durieux, l’actuel chef du cabinet militaire du Premier ministre. Ce légionnaire à l’esprit brillant, au parcours d’homme de cabinet (il a été la plume du général Georgelin puis adjoint-terre au cabinet militaire du MinArm), a commandé le 2e REI et la 6e BLB, avant d’être nommé à Matignon pour remplacer le général Lecointre, sur décision du Premier ministre.\nOn retrouve aussi le général Daniel Menaouine, actuel général adjoint cohérence du COM-FT, après avoir été notamment chef du cabinet du CEMAT puis chef d’état-major de la MINUSMA. Autre légionnaire inscrit, le général Thierry Marchand, qui a notamment commandé la 13e DBLE avant de passer par la DGRIS, le cabinet de Jean-Yves Le Drian, la DRHAT et, dernièrement, de prendre le commandement des Forces Armées de Nouvelle-Calédonie (FANC).\nParmi ceux passés par l’Alat, on citera le général Gilles Darricau (adjoint au représentant militaire permanent de la France auprès du Comité militaire de l’Otan) et le général Olivier Bonnet de Paillerets, un ancien du 5e RHC, au parcours original et aux compétences reconnues : passé par la Direction du Renseignement et la Direction Technique de la DGSE, il est revenu à l’EMA pour remplacer le vice-amiral Coustillière à la tête du Cyber commandement.\nAutre inscrit, grand travailleur au parcours remarqué, le général Christian Bailly, un sapeur récemment nommé commandant Terre pour le Territoire national après avoir notamment été chef du bureau “infras” de l’armée de Terre. Toujours dans le génie, on citera aussi le général Christophe Abad, plus jeune chef de corps du 31e RG (à 39 ans), puis sous-directeur des études et de la politique à la DRHAT, avant de passer par Matignon et, récemment, d’être nommé commandant en second de la 3e Division (Marseille). Enfin, le général François Labuze, commandant les Ecoles de Coëtquidan, après avoir, entre autres, été aide de camp de Jacques Chirac et commandé la 9e BIMa.\nParmi les colonels inscrits pour le grade de général de brigade, on citera le colonel Olivier Serra, commandant du Centre de transmissions gouvernemental, un organisme discret rattaché au SGDSN.\nOn retrouve aussi la «jeune génération» ayant fait ses preuves en Afghanistan, comme les colonels Jérôme Goisque, Pierre-Joseph Givre et Nicolas Le Nen. Mais aussi l’«Alpin» Hervé de Courrèges, le plus jeune de la liste, qui a commandé le 4e RCh (GAP) avant de devenir «l’homme des Conseils de Défense» au SGDSN. Toujours dans l’orbite du SGDSN, le colonel Philippe Susnjara, ancien chef de corps de la 16e BIMa et spécialiste de l’Afrique passé par le CPCO et l’EMA, aujourd’hui sous-directeur «affaires internationales» au SGDSN, en charge des questions de synthèse du renseignement. Une montée en puissance du pilier «Conseil de Défense» qui se confirme avec l’inscription, sur la liste de l’armée de l’Air (pour le grade de général de brigade aérienne), du colonel Stéphane Dupont, adjoint du colonel de Courrèges et qui le remplacera à l’été 2018.\nEnfin, deux proches du CEMAT, les colonels Bruno Baratz (1er RPIMa), aujourd’hui chef du cabinet du général Bosser, et Yann Gravêthe, un sapeur ancien patron du Sirpa Terre et ancien chef de corps du 13e RG, aujourd’hui en charge des relations extérieures de l’armée de Terre.\nDu côté de la DGA, citons l’ingénieur général de 2e classe (IG2A) Thierry Carlier, directeur-adjoint «affaires internationales, stratégiques et technologiques» au SGDSN, qui devrait être promu 1ère classe (IG1A) puis rapidement hors classe (IGHCA) puisqu’il va être nommé directeur du développement international de la DGA. Et l’ingénieur en chef de l’armement (ICA) Frédéric Valette, responsable du pôle «sécurité des systèmes d’information» de la DGA et rapporteur de la Revue stratégique de cybersécurité en cours, qui est inscrit pour le grade d’ingénieur général de 2e classe.\nNous avons 278 visiteurs en ligne


Saint-Bonnet-près-Orcival (63210) : Résultats de l'élection présidentielle 2002 - L'Express\nRésultats de l'élection présidentielle 2002 Saint-Bonnet-près-Orcival (63210), Puy-de-Dôme\nL'élection présidentielle 2002 s'est déroulée les 21 avril (1er tour) et 5 mai 2002 (2ème tour) à Saint-Bonnet-près-Orcival.\nL'Express vous propose de retrouver l'ensemble des résultats de l'élection présidentielle 2002 à Saint-Bonnet-près-Orcival.\nJacques Chirac, Rassemblement pour la République, arrive en tête du scrutin au second tour avec 90.13% des voix devant Jean-Marie Le Pen, Front national, 9.87% des voix. Au 1er tour, Jacques Chirac, Rassemblement pour la République, avait réuni 35.48% des voix devant Lionel Jospin, Parti socialiste, 14.34% des voix. Le taux d'absention au 2nd tour est de 9.29%, il était de 19.13% lors du premier tour.\n90.13% Jacques Chirac, RPR\n35.48% Jacques Chirac, RPR\n4.66% Jean-Marie Le Pen, FN\nRésultats des autres élections à Saint-Bonnet-près-Orcival


Acheter Flekosteel à Bethune\nCommandez Flekosteel a Bethune Gel\nPour ceux qui veulent commander le gel anti-dos Flekosteel à Bethune, il est nécessaire de le commander sur le site officiel au meilleur prix 49 €. Dans l'application, indiquez votre numéro de téléphone et votre nom - le responsable vous appellera pour répondre à toutes vos questions d'intérêt et passer une commande et clarifier tous les détails de la commande.\nSeulement maintenant, vous pouvez acheter -50% de réduction.\nComment obtenir Flekosteel un gel Bethune?\nSi vous souhaitez obtenir le gel Flekosteel à un prix réduit de 49 €, vous laissez une demande sur notre site, en indiquant vos coordonnées, et attendez l'appel du responsable. Il répondra à toutes les questions, vous parlera des promotions et des réductions, et clarifiera également les données pour l'envoi des marchandises. Il est possible de régler le colis après l'avoir reçu entre vos mains au bureau de poste ou auprès du courrier après l'avoir reçu.\nVous pouvez commander et recevoir des produits à Bethune dans un délai de 1, 5 à 2 jours. Remplissez le nom et le numéro de téléphone dans le bon de commande aussi précisément que possible afin que les employés ne commettent pas d'erreurs lors de l'envoi, et le lendemain, vous recevrez et payerez dans 2 à 14 jours. Le coût de livraison par le facteur à votre adresse peut être différent dans d'autres villes. Lorsque vous passez une commande, vérifiez auprès d'un consultant combien coûtera la livraison à la ville de Béthune.


Présentation | Medved, le Fondateur.\nSujet: Présentation | Medved, le Fondateur. Mar 29 Déc - 2:17\nBonjour, ou Bonsoir selon votre heure de lecture, à toute la communauté.\nJ'ai aujourd'hui pris individuellement les devants pour me présenter sur le forum de Fallen Order, non pas pour "engraisser" les topics du Forum mais bel et bien parce qu'il me paraît important pour vous que vous connaissiez le fondateur de la plateforme que vous avez rejoint.\nPar ce fait, commençons par une base, qui suis-je ?\nJe suis donc un jeune homme de 17 ans, actuellement en Bac Littéraire au lycée. Je ne dévoilerai pas pour l'instant, de manière ouverte, mon prénom sachez simplement que les intimes sur Internet m'appellent Shernov, et non cela n'est pas mon vrai pseudo.\nJ'ai la particularité d'avoir appris à me plonger dans mon RP, avec une expérience de presque 10 ans de RP à l'heure actuelle car j'ai été formé très jeune par mon père qui lui aussi était, car il ne l'est plus à temps "plein", rôliste. Par conséquent j'ai appris le rôleplay à l'ancienne et cela m'horripile de voir comment la dernière génération tourne le RP autour du troll intensif. Vous le verrez bien assez tôt, mais je suis quelqu'un qui aime le JdR Papier, et l'une des particularités de ce serveur réside dans le fait que je tire certains attraits de cette façon de rôleplay pour les implanter sur FO:RP.\nCertains me qualifient comme un joueur de ClockWork, je dirai plutôt que je suis quelqu'un qui a été habitué au RP Strict dans des communautés où j'ai souvent été le plus jeune, j'ai donc une vision du Rôleplay très "vieille école".\nIl n'est pas narcissique de dire que je compte faire de cette communauté un exemple du rôleplay, chacun à son niveau car il est dans la nature humaine de chercher à s'améliorer. J'essaierai de vous faire prendre goût à une vision du rôleplay encore inexploité grâce à mon expérience RP. Je suis très communautariste et je prend soin de ma communauté, ceux qui iront sur le Serveur seront sûrement content de voir que je cherche à améliorer le RP d'autrui, que cela soit dans leurs actions ou dans leurs descriptions, ceci est une vraie fierté personnelle.\nVous me verrez principalement sur trois personnages :\nBrogg Kass'Fer, un Ork que l'on peut qualifier de Nob, cherchant à piller, piller, tuer et encore piller. Plus il y a de ressources "bling bling" ou mécanique à un endroit, plus vous avez de la chance de l'y croiser. Un peu bête, il réunit sa petite Waagh ! au nom de Gork et Mork.\nThaddius Prestor, premier personnage sur le serveur, chapelain des Salamanders, il est celui qui garde fièrement l'artefact de Vulkan que le vaisseau transporte, quiconque s'en approche sera considéré comme étant un hérétique. Il prend sa tâche très au sérieux.\nTichondrius Ravendar, personnage principal, seigneur du Chaos de la Légion Noire, il fait parti du grand dessein qui a conduit les Salamanders sur Arkatus. Autoritaire, fanatique et meurtrier, il est reconnu dans la Légion pour ses pratiques morbides, surtout lorsque cela tourne autour des Profanations, d'où le surnom que ses Spacemarines lui ont donnés : "Tichondrius le Morbide".\nVoilà, je pense que votre Fondateur est désormais identifié parmi vous !\nSujet: Re: Présentation | Medved, le Fondateur. Sam 2 Jan - 3:35\nBONSOIR OH MAITRE AS DES DIEUX SUPPREME\nSujet: Re: Présentation | Medved, le Fondateur. Mar 5 Jan - 15:58\nBonjour à toi.Merci pour cette présentation.\nSujet: Re: Présentation | Medved, le Fondateur.


Entre les fées, les sirènes et les princesses, je me plonge dans mes activités – 1maman2filles\nPublié le 31 mars 2017 par 1maman2filles\nBonjour à tous, aujourd’hui, nous allons parler des fées et des sirènes à travers différents livres d’activités.\n1 – Le palais des fées\nCe livre de peinture magique a toujours autant de succès à la maison, c’est juste superbe.\nIl suffit de tremper le pinceau dans de l’eau, de le passer sur les traits noirs vers le blanc et les couleurs apparaissent.\nRegarder, ci-dessous, j’ai photographié le début d’une des pages que Chloé a faite.\nAuteur : Barbara Bongini\nIllustrateur : Brenda Cole\n2 – Ma petite collection J’habille mes amies les princesses\nIci, nous allons aider les jolies princesses à s’habiller. Qui n’a jamais rêver d’être une princesse étant enfant ? Entre les déguisements et ces jolis livres d’activités, nous pouvons laisser nos enfants rêver et y croire ;)\nLes couleurs des illustrations sont vraiment sympa et girly. J’aime aussi les différents décors tels qu’au bal, à l’écurie, dans la roseraie, …\n3 – Ma petite collection J’habille mes amies les sirènes\nNous allons découvrir l’univers des sirènes ainsi que leurs tenues pour les différents évènements de leurs vies ;) Nous irons voir la barrière de corail, écouter les chants nocturne, observer des hippocampes ou encore des dauphins.\nCe livre raconte l’histoire de plusieurs sirènes sous forme de petits textes très sympa qui nous font voyager. Et les tenues sont très jolies.\n4 – Coloriages et autocollants les fées\nDans ce dernier livre, on découvre de grands paysages où l’enfant doit positionner les fées que l’on retrouve au milieu du livre, car après la partie autocollants, il y a la partie coloriages avec de jolies fées blanches sur un fond colorés à mettre en couleur.\nJe trouve cela très sympa pour les enfants de ne pas avoir un fond blanc. Je me suis amusée, une fois une page complétée, à demander à Chloé de me raconter l’histoire. C’était un moment vraiment sympa et cela lui a permis d’inventer sa propre histoire.\nIllustrateur : Rebecca Finn\nEt vous, vous êtes plus princesses, sirènes ou fées ?\nPublié dans Activités éducatives, Livres enfants\n6 réflexions sur “Entre les fées, les sirènes et les princesses, je me plonge dans mes activités”\nNon mais encore une fois, Usborne tape dans le mille! J’ai moi aussi deux petites filles, et si la petite est encore trop jeune pour y arriver, la grande baverait devant les 3 activités!\nOh oui, les petites filles sont folles de joie !!! 😉\nMes puces adorent surtout ma grande pour l’instant !\nOn a découvert la peinture magique et c’est une très belle découverte\nLa peinture magique pour les vacances ideale car il n’y a pas besoin d’emporter tout les materiel dans la valise !


UN SOUFFLE VÉCU EST UN SOUFFLE QUI RESPIRE LA VIE\nLe souffle produit la respiration\nLa respiration, en manifestant le souffle, produit la source du mouvement\nLe mouvement, à la fois fond et forme, produit à son tour la fonction du geste.\nNotre processus alchimique de mise en vie, dans l’espace et le temps de cette retraite initiatique, sera la pleine étude du souffle, en tant que sujet et guide pour toute la pratique.\nNos ritualisations ne seront pas des productions de rituels vides de sens, nous serons attentifs à traduire notre propre perception sensorielle, afin d’aiguiser notre sensorium.\nAttentif à ce qui est présent de la présence, et aussi, présent à notre attention.\nTout au long de cette retraite initiatique et progressivement au-delà, le souffle sera rituellement vocalisé, selon la double spire, de l’inspiration et de l’expiration. Double spire, qu’il nous faudra harmoniser à jeu égal, afin que le re-flux, des énergies en é-mouvance, circule selon la nature de notre corps essentiel.\nEn s’é-mouvant dans l’ainsi, nous solliciterons notre squelette, ses muscles, ses tendons, ses ligaments, pour mieux nous ancrer.\nNos pieds et nos mains pour nous relier à la terre et à l’air(e). Le bassin, le ventre, le buste, le cou et la tête seront les lieux d’où partira la vie de chaque respiration, de chaque son vocalisé, de chaque geste.\nDynamique et pulssante, intériorisée et élevée vers la nature essentielle du souffle, la respiration sera celle du coeur.\nAvec les poumons apaisés, le foie revitalisé, les reins tonifiés, notre corps sera pensé par l’étude et étudié en retour par la pensée.\nDe l’intérieur vers l’extérieur et inversement dans ce qu’il est naturellement, libre de ce qu’il était devenu culturellement.\nCette retraite initiatique avec Raji, spécialement ouverte aux hommes, est accessible à tous les hommes. Aucun prérequis n’est nécessaire pour apprendre et ou réapprendre à respirer, à renaitre dans son corps.\nRespectueux du chemin de chacun, quel que soit le parcours personnel et ou professionnel, elle ouvre vers la pratique de nouvelles connaissances, permet de vivre directement et dans l’instant présent, une autre voie du souffle.\nRituellement vécue dans la conscience d’être pleinement présent à sa respiration, elle permet de pratiquer matériellement et spirituellement le sens d’être vivant.\nRETRAITE DES ALCHIMISTES DU SOUFFLE\nà Durbuy du 11 au 17 Février 2018\ncontact joachimnour(at)gmail.com 0479/53.31.99\nCette retraite est organisée par l’ASBL MUDRIAM dans le cadre de « DANZA DUENDE NETWORK »\nMichel Raji est né « en-danse ». Il a transformé son corps par sa propre découverte personnelle et alchimique du souffle et du sensorium. Il a développé depuis plus de 30 ans des outils extrêmement variés et des clefs extraordinaires, efficaces et cohérents, pour la Chorésophie. Son oeuvre immense offre une cohérence implacable qui permet à l’étudiant de de décoder petit à petit l’essence de la forme et de la non-forme en soi- même, et aussi de trouver des voies pour la manifester artistiquement avec puissance.\nPage Facefook Chorésophie / Vidéos Chorésophie / Facebook Raji Chorésophe\nArticle précédentPetits Rituels entre Amis – 17 février\nArticle suivantConférence / présentation : Danza Duende, Danser sa vie – 3 mars 2018


Développement personnel et efficacité: janvier 2008\nLe développement de la personnalité [Citation]\nLa personnalité est rarement dès le début ce qu’elle sera plus tard. C’est pourquoi elle a, du moins dans la première moitié de la vie, la possibilité de s’accroître ou de se modifier. Cette possibilité peut se réaliser par un accroissement venu du dehors, la vie recevant de l’extérieur et assimilant un flux de contenus nouveaux. La croissance que la personnalité connaît de cette manière peut être d’une importance capitale. C’est pourquoi l’on suppose volontiers que cette extension ne peut venir que de l’extérieur, et l’on fonde là-dessus le préjugé selon lequel pour devenir une personnalité il faut se bourrer autant que l’on peut de ce qui vient du dehors. Or plus on suit cette recette, plus on pense que tout accroissement vient du dehors et plus on s’appauvrit intérieurement. En conséquence, quand une grande idée venue du dehors s’impose à nous, il nous faut bien comprendre qu’elle ne s’empare de nous que parce qu’il y a en nous quelque chose qui va à sa rencontre et qui lui correspond. C’est le capital de disponibilité psychique qui fait la richesse, et non l’accumulation des trophées de chasse. Tout ce qui vient de l’extérieur, de même que tout ce qui émerge au-dedans des profondeurs, en effet, ne devient notre bien propre que si nous sommes capables de développer un espace intérieur assez vaste pour recevoir dans toute leur grandeur les contenus qui nous viennent, de l’extérieur ou de l’intérieur. Le véritable accroissement de la personnalité, c’est l’accès à la conscience d’un afflux intérieur qui repousse les limites de la personnalité. Sans cette ampleur de l’âme, l’objet sera toujours trop grand pour nous. C’est pourquoi l’on dit avec raison que l’être humain croit avec l’ampleur de sa tâche. Mais il faut qu’il ait en lui une capacité de croître, sinon la tâche la plus difficile même ne lui sert à rien. Elle est tout au plus l’écueil sur lequel il se brise.\nExtrait de : Jung, Carl Gustav, L’Ame et le Soi, Albin Michel (1990), ISBN 2-226-03944-9, p.25-26.\nPublié par Fred à 3:38 PM Aucun commentaire:\nAccepter la diversité [Citation]\nCitation extraite de la première page du livre de David Keirsey et Marilyn Bates "Please Understand Me". ISBN-10: 0960695400\nPublié par Fred à 11:31 PM Aucun commentaire:\nLibellés : changement, citation, MBTI. différences, types de personnalités\nStatistiquement, la plupart des bonnes résolutions ne seront pas tenues et pourtant cette tradition qui nous vient des romains à la vie dure. Voici donc quelques liens pour vous aider à prendre de bonnes résolutions pour 2008.\nDépenser moins chaque jour\nQue cette nouvelle année vous apporte tout ce qui fait que la vie vaut d'être vécue : santé, joie, bonheur, réussite... et toutes les petites choses qui facilitent la vie au quotidien.\nPublié par Fred à 9:09 PM Aucun commentaire:\nLibellés : bonheur, habitudes, liens, résolutions


Danse avec les stars 9: Iris Mittenaere dévoile sa prochaine danse !\nIris Mittenaere s'entraîne plusieurs heures par jour pour pour le prochain prime de DALS 9 et elle vient de dévoiler sa prochaine danse avec Anthony Colette\nIris Mittenaere veut aussi réussir son aventure Danse avec les Stars 9 et va tout faire pour gagner. Elle s’entraîne plusieurs heures par jour et partage ces moments avec ses fans sur Instagram. Et aujourd’hui, elle vient aussi de dévoiler sa prochaine danse avec Anthony Colette.\nAprès avoir été élue Miss France puis Miss univers, Iris Mittenaere s’est lancée dans l’aventure Danse avec les stars 9. Après deux primes réussis, la jeune femme souhaite cartonner pour le troisième. Elle s’entraîne plusieurs heures par jour avec son danseur Anthony Colette pour y arriver.\nL’ex Miss Univers partage tous ses entraînements avec ses fans sur Instagram. Et aujourd’hui elle dévoile sa danse de samedi soir pour l’émission. Elle a aussi posté pour cela une photo d’elle assise dans un joli canapé gris en tenue de sport. Elle a aussi accompagné cette photo avec le message « Entraînement terminé ! Le prime c’est déjà dans 2 jours 😱 Un prime vraiment spécial pour moi. Et nous danserons un foxtrot sur une musique qui me tient particulièrement à cœur 💃🏻 Vous aimez cette danse ? 📸 @anthonydehodencq »\nIris Mittenaere et Anthony Colette danseront donc sur un foxtrot et aussi sur une musique qui lui tient particulièrement à coeur. L’ex Miss France souhaite aussi aller le plus loin possible dans Danse avec les stars 9.\nEntraînement terminé ! Le prime c’est déjà dans 2 jours 😱 Un prime vraiment spécial pour moi … et nous danserons un foxtrot sur une musique qui me tient aussi particulièrement à cœur 💃🏻 Vous aimez cette danse ? 📸 @anthonydehodencq\nUne publication partagée aussi par Iris Mittenaere (@irismittenaeremf) le 11 Oct. 2018 à 11 :13 PDT\nDanse avec les stars 9: Iris Mittenaere et Anthony Colette en couple ?\nEn couple avant l’émission avec l’acteur et humoriste Kev Adams, Iris Mittenaere aurait rompu. Très proche d’Anthony Colette depuis le début de l’aventure Danse avec les Stars 9, l’ex Miss Univers aurait succombé à ses charmes. Il y a quelques jours, la jeune femme l’a même présenté à sa mère. C »tait lors d’un déjeuner dans un restaurant parisien.\nL’acteur de Alad’2 aurait décidé de partir se reposer un peu au Maroc pour essayer aussi de ses remettre de cette rupture.\nTags : Anthony Colette - dals - DALS 9 - danse avec les stars - Danse avec les stars 9 - Iris Mittenaere - Kev Adams


Rénovation radiateur fonte Ain 01 | Sablage peinture ᵈᵉᶜᵃᵖᶠᵒᶰᵗᵉ ᶜᵒᵐ\nSablage radiateur fonte Ain 01\nActualisé le 31/01/2019\nSablage radiateur fonte Ain 01 - Decapfonte entreprise de rénovation, achat / vente de radiateur fonte. Vous avez besoin de faire décaper vos anciens radiateur fonte par sablage ou plûtot aérogommage sur le département de l'Ain 01 ? Notre société est leader sur le département 01 dans l'Ain.\nBeaucoup de clients basés dans l'Ain fonte appellent à nous car nous sommes spécialisées en sablage radiateur fonte dans le département de l'Ain 01. Rénovation radiateur et finition peinture époxy sur tout type de radiateurs en fonte, Decapfonte est la société N° 1 du sablage radiateur fonte. Ci-dessous vous allez pouvoir accéder à nos prix rénovation radiateur fonte, ou faire une simulation de devis en ligne en quelques clics, ou bien obtenir les réponses à vos questions concernant le sablage radiateur fonte Ain 01, Comment fonctionne le transport de radiateur fonte, car ils sons lourd ! etc consultez la foire aux questions ici...\nSablage radiateur fonte Ain (01)\nSablage radiateur fonte dans l'Ain - Decapfonte décape par sablage et rénove vos radiateurs en fonte intégralement\nSablage radiateur fonte Ain - Decapfonte décape par sablage ou plutôt par aérogommage et rénove vos radiateurs fonte intégralement, peinture époxy et épreuve des radiateurs à 8 bars garantie 10 ans.\nNotre société de décapage est spécialisée en sablage radiateur dans l'Ain (01) grâce à nos propres chauffeurs, Decapfonte sablage radiateur fonte Ain se trouve prêt de chez vous.\nNotre prestation comprend le sablage de radiateur fonte sur le département de l'Ain 01, mais pas seulement. Voici la liste de la prestation que nous effectuons sur les radiateurs fonte de nos clients dans l'Ain comme ailleurs en France.\nSablage radiateur fonte Ain - Faire renover mes anciens radiateurs fonte\nSablage radiateur fonte Ain - Faire rénover mes anciens radiateurs fonte, va me permettre de réaliser une grande économie dans le temps. accouplé a une chaudière au fuel ou au gaz, mon ancien convecteur en fonte garde la chaleur longtemps, très longtemps ! Faire sabler et désembouer vos radiateurs est un très bon investissement dans le temps.\nInformations sur le département de l'Ain (01)\nAin sur Wikipédia\nActualités à Ain


Make Up,la touche pro de Marie... - Guinee People\nMake Up,la touche pro de Marie…\nCamus Momo19 juillet 2018 14 h 40 min 1\nPlus qu’un plaisir, notre maquillage nous défini dans notre rapport aux autres et à nous même. On vous parle de rouge à lèvres, fond de teint etc… Et que vous disent les professionnels ? Pour vous nous avons rencontré Marie Christelle Haba.\nGuinéenne de 30ans, elle est née à Abidjan où elle passe son adolescence puis la guerre civile l’amène en Guinée. Après obtention de son diplôme en gestion des ressources naturelles à L’UDECOM de N’Zérékoré, elle se rendit au Bénin pour une formation en Anglais. Interprète traductrice français-anglais,Marie a travaillé dans une grande Université à Cotonou avant de se lancer dans entrepreneuriat. Avec l’aide de ses proches, Marie va suivre une autre formation professionnelle mais cette fois en maquillage a l’académie Jaga beauty de Lagos, une des Top5 des écoles de maquillage au Nigeria.\nLa spécificité de notre jeune maquilleuse est le choix de la meilleure qualité de ses produits et ceux qui vous conviennent car pour elle votre peau est précieuse et elle possède des maquillages adaptés à chaque saison. Bien qu’elle n’ait pas ouvert de salon pour le moment,Marie sublime ses clientes chez elle mais aussi sur déplacement.\nComme chaque métier les difficultés sont présentes: «Les gens ne sont pas habitués au maquillage professionnel donc il faut leur faire comprendre la différence, mais celles qui passent sous mes pinceaux restent accros » nous a t-elle confié.\nDans ces projets à venir Marie projette la création d’un institut de formation professionnelle en maquillage avec hébergement et l’octroi de bourses pour les plus démunis; la création de sa propre marque et plein d’autres projets. La réussite professionnelle est de parvenir à lier travail et passion, se réveiller chaque jour en allant faire ce que l’on aime procure un bonheur inouï et des journées pleines de joie: «j’encourage quelqu’un quelque part à ne pas être décourager malgré les obstacles et je l’invite à redoubler d’efforts la persévérance paye » conclut-elle.\nBah 4 mois\n6 ASTUCES POUR GOÛTER AU PLAISIR DE L’ORGASME EN MOINS D’UNE MINUTE…


Mentions légales | Pompes Funèbres Maimir-Bazerque\nPOMPES FUNEBRES MAIMIR-BAZERQUE, société à responsabilité limitée est en activité depuis 1 an.\nLocalisée à MIRANDE (32300), elle est spécialisée dans le secteur d’activité des services funéraires. Philippe MAIMIR, est gérant de l’entreprise POMPES FUNEBRES MAIMIR-BAZERQUE.\nADRESSE : POMPES FUNEBRES MAIMIR-BAZERQUE, 6 RUE DE L’INDUSTRIE 32300 MIRANDE\nCONTACT : 05 62 66 50 75\nSIRET : 830 412 300 00014\nLes données enregistrées sur ce site sont exclusivement destinées à POMPES FUNÈBRES MAÏMIR-BAZERQUE. Conformément à la loi Informatique et Libertés n° 78-17 du 6 janvier 1978, vous disposez à tout moment d’un droit d’accès et de rectification aux données vous concernant. Vous pouvez accepter ou refuser l’utilisation de ces données par le service clients de POMPES FUNÈBRES MAÏMIR-BAZERQUE. Pour cela, il vous suffit d’en faire la demande en précisant vos coordonnées, par courrier à POMPES FUNÈBRES MAÏMIR-BAZERQUE, 6 RUE DE L’INDUSTRIE 32300 MIRANDE.\nCe site utilise des cookies qui sont des fichiers stockés sur votre ordinateur permettant une facilité d’accès aux services proposés. En aucun cas, les cookies de ce site ne pourront servir à collecter des données personnelles sans votre accord exprès. Ces informations ne seront pas transmises en dehors du service client de POMPES FUNÈBRES MAÏMIR-BAZERQUE et ne seront pas utilisées dans le cadre de campagnes de communication non sollicitées. Nous vous informons que vous pouvez vous opposer à l’enregistrement de ces cookies en configurant votre ordinateur selon les modalités détaillées sur le site : CNIL.