shorewall_code/Shorewall-docs2/standalone_fr.xml

<?xml version="1.0" encoding="ISO-8859-15"?>
<!DOCTYPE article PUBLIC "-//OASIS//DTD DocBook XML V4.2//EN"
"http://www.oasis-open.org/docbook/xml/4.2/docbookx.dtd">
<article id="standalone" lang="fr">
  <!--$Id$-->

  <articleinfo>
    <title>Firewall Monoposte (une interface)</title>

    <authorgroup>
      <author>
        <firstname>Tom</firstname>

        <surname>Eastep</surname>
      </author>

      <author>
        <firstname>Patrice</firstname>

        <surname>Vetsel</surname>
      </author>

      <author>
        <firstname>Fabien</firstname>

        <surname>Demassieux</surname>
      </author>

      <author>
        <firstname>Guy</firstname>

        <surname>Marcenac</surname>
      </author>
    </authorgroup>

    <pubdate>2005-12-18</pubdate>

    <copyright>
      <year>2002-2005</year>

      <holder>Thomas M. Eastep</holder>

      <holder>Patrice Vetsel</holder>

      <holder>Fabien Demassieux</holder>

      <holder>Guy Marcenac</holder>
    </copyright>

    <legalnotice>
      <para>Permission est accord<72>e de copier, distribuer et/ou modifier ce
      document selon les termes de la Licence de Documentation Libre GNU (GNU
      Free Documentation License), version 1.2 ou toute version ult<6C>rieure
      publi<6C>e par la Free Software Foundation ; sans section Invariables, sans
      premi<6D>re de Couverture, et sans texte de quatri<72>me de couverture. Une
      copie de la pr<70>sente Licence est incluse dans la section intitul<75>e. Une
      traduction fran<61>aise de la licence se trouve dans la section
      <quote><ulink
      url="http://www.idealx.org/dossier/oss/gfdl.fr.html">Licence de
      Documentation Libre GNU</ulink></quote>. Ce paragraphe est une
      traduction fran<61>aise pour aider <20> votre compr<70>hension. Seul le texte
      original en anglais pr<70>sent<6E> ci-dessous fixe les conditions
      d'utilisation de cette documentation.</para>

      <para>Permission is granted to copy, distribute and/or modify this
      document under the terms of the GNU Free Documentation License, Version
      1.2 or any later version published by the Free Software Foundation; with
      no Invariant Sections, with no Front-Cover, and with no Back-Cover
      Texts. A copy of the license is included in the section entitled
      <quote><ulink url="GnuCopyright.htm">GNU Free Documentation
      License</ulink></quote>.</para>
    </legalnotice>
  </articleinfo>

  <note>
    <para><emphasis role="underline">Notes du traducteur :</emphasis> Le guide
    initial a <20>t<EFBFBD> traduit par <ulink
    url="mailto:vetsel.patrice@wanadoo.fr">VETSEL Patrice</ulink> et la
    r<>vision pour la version 2 de Shorewall a <20>t<EFBFBD> effectu<74>e par <ulink
    url="mailto:fd03x@wanadoo.fr">Fabien Demassieux</ulink>. J'ai assur<75> la
    r<>vision pour l'adapter <20> la version 3 de Shorewall. Si vous trouvez des
    erreurs ou des am<61>liorations <20> y apporter vous pouvez me contacter <ulink
    url="mailto:guy@posteurs.com">Guy Marcenac</ulink>.</para>
  </note>

  <caution>
    <para><emphasis role="bold">Cet article s'applique <20> Shorewall 3.0 et <20>
    ses versions ult<6C>rieures. Si vous utilisez une version plus ancienne de
    Shorewall, r<>f<EFBFBD>rez-vous <20> la documentation s'appliquant <20> votre
    version.</emphasis></para>
  </caution>

  <warning>
    <para>Les fichiers de configuration pour l'exemple fournis avec Shorewall
    3.0.0 et 3.0.1 ne fonctionnaient pas. La premi<6D>re erreur <20> se produire
    <20>tait:</para>

    <para><emphasis role="bold">ERROR: No Firewall Zone
    Defined</emphasis></para>

    <para>Vous trouverez les fichiers corrig<69>s 'zones' et 'interfaces' <20> cette
    adresse <ulink
    url="http://www.shorewall.net/pub/shorewall/3.0/shorewall-3.0.1/errata/one-interface/">http://www.shorewall.net/pub/shorewall/3.0/shorewall-3.0.1/errata/one-interface/</ulink>.</para>

    <para>Le probl<62>me a <20>t<EFBFBD> r<>solu avec Shorewall 3.0.2.</para>
  </warning>

  <section>
    <title>Introduction</title>

    <para>Configurer Shorewall sur un syst<73>me isol<6F> Linux est tr<74>s simple si
    vous comprenez les bases et suivez la documentation.</para>

    <para>Ce guide ne pr<70>tend pas vous apprendre tous les rouages de
    Shorewall. Il se concentre sur ce qui est n<>cessaire pour configurer
    Shorewall dans son utilisation la plus courante :</para>

    <itemizedlist>
      <listitem>
        <para>Un syst<73>me Linux</para>
      </listitem>

      <listitem>
        <para>Une seule adresse IP externe</para>
      </listitem>

      <listitem>
        <para>Une connexion passant par un modem c<>ble,
        <acronym>ADSL</acronym>, <acronym>ISDN-RNIS</acronym>, Frame Relay,
        <acronym>RTC</acronym>... ou bien une connexion <20> un r<>seau local
        (<acronym>LAN</acronym>) et vous souhaitez simplement prot<6F>ger votre
        syst<73>me Linux des autres syst<73>mes sur ce r<>seau local.</para>
      </listitem>
    </itemizedlist>

    <section>
      <title>Pr<EFBFBD>-requis syst<73>me</title>

      <para>Shorewall a besoin que le package
      <command><command>iproute</command></command>/<command><command>iproute2</command></command>
      soit install<6C> (avec la distribution <trademark>RedHat</trademark>, le
      package s'appelle <command>iproute</command>). Vous pouvez v<>rifier que
      le package est install<6C> en contr<74>lant la pr<70>sence du programme
      <command><command>ip</command></command> sur votre firewall. En tant que
      <systemitem class="username">root</systemitem>, vous pouvez utiliser la
      commande <command><command>which</command></command> pour cela:</para>

      <programlisting>[root@gateway root]# <command>which ip</command>
/sbin/ip
[root@gateway root]#</programlisting>
    </section>

    <section>
      <title>Avant de commencer</title>

      <para>Je vous recommande de commencer par une lecture compl<70>te du guide
      afin de vous familiariser avec les concepts mis en oeuvre, puis de
      recommencer la lecture et seulement alors d'appliquer vos modifications
      de configuration.</para>

      <caution>
        <para>Si vous <20>ditez vos fichiers de configuration sur un syst<73>me
        <trademark>Windows</trademark>, vous devez les enregistrer comme des
        fichiers <trademark>Unix</trademark> si votre <20>diteur supporte cette
        option, sinon vous devez les convertir avec
        <command>dos2unix</command> avant d'essayer de les utiliser. De la
        m<>me mani<6E>re, si vous copiez un fichier de configuration depuis votre
        disque dur <trademark>Windows</trademark> vers une disquette, vous
        devez lancer <command>dos2unix</command> sur la copie avant de
        l'utiliser avec Shorewall.</para>

        <simplelist>
          <member><ulink url="http://www.simtel.net/pub/pd/51438.html">Version
          Windows de dos2unix</ulink></member>

          <member><ulink
          url="http://www.megaloman.com/~hany/software/hd2u/">Version Linux de
          dos2unix</ulink></member>
        </simplelist>
      </caution>
    </section>

    <section>
      <title>Conventions</title>

      <para>Les points ou les modifications qui s'imposent sont indiqu<71>s par
      <inlinegraphic fileref="images/BD21298_.gif" format="GIF" />.</para>
    </section>
  </section>

  <section>
    <title>PPTP/ADSL</title>

    <para><inlinegraphic fileref="images/BD21298_.gif" format="GIF" /></para>

    <para>Si vous <20>tes <20>quip<69> d'un modem
    <acronym><acronym>ADSL</acronym></acronym> et que vous utilisez
    <acronym><acronym>PPTP</acronym></acronym> pour communiquer avec un
    serveur <20> travers ce modem, vous devez faire les changements <ulink
    url="PPTP.htm#PPTP_ADSL">suivants</ulink> en plus de ceux d<>crits
    ci-dessous. <acronym><acronym>ADSL</acronym></acronym> avec
    <acronym><acronym>PPTP</acronym></acronym> est r<>pandu en Europe,
    notamment en Autriche.</para>
  </section>

  <section>
    <title>Les Concepts de Shorewall</title>

    <para><inlinegraphic fileref="images/BD21298_.gif" format="GIF" /></para>

    <para>Les fichiers de configuration pour Shorewall sont situ<74>s dans le
    r<>pertoire <filename class="directory">/etc/shorewall</filename> -- pour
    de simples param<61>trages, vous n'aurez <20> faire qu'avec quelques-uns d'entre
    eux comme d<>crit dans ce guide. Apr<70>s avoir <ulink
    url="Install.htm">install<6C> Shorewall</ulink>,vous pourrez trouver les
    exemples de la mani<6E>re suivante:</para>

    <para><orderedlist>
        <listitem>
          <para>Si vous avez install<6C> shorewall en utilisant un
          <acronym>RPM</acronym>, les exemples seront dans le sous-r<>pertoire
          <filename class="directory">Samples/one-interface/</filename> du
          r<>pertoire de la documentation de Shorewall. Si vous ne savez pas o<>
          se trouve le r<>pertoire de la documentation de Shorewall, vous
          pouvez trouver les exemples en utilisant cette commande:</para>

          <programlisting>~# rpm -ql shorewall | fgrep one-interface
/usr/share/doc/packages/shorewall/Samples/one-interface
/usr/share/doc/packages/shorewall/Samples/one-interface/interfaces
/usr/share/doc/packages/shorewall/Samples/one-interface/policy
/usr/share/doc/packages/shorewall/Samples/one-interface/rules
/usr/share/doc/packages/shorewall/Samples/one-interface/zones
~#</programlisting>
        </listitem>

        <listitem>
          <para>Si vous avez install<6C> depuis le tarball, les exemples sont
          dans le r<>pertoire <filename>Samples/one-interface</filename> du
          tarball.</para>
        </listitem>

        <listitem>
          <para>Si vous avez install<6C> en utilisant un .deb, les exemples sont
          dans
          <filename>/usr/share/doc/shorewall/examples/one-interface</filename>.</para>
        </listitem>
      </orderedlist><warning>
        <para><emphasis role="bold">Note aux utilisateurs de
        Debian</emphasis></para>

        <para>Si vous vous servez du .deb pour installer, vous vous rendrez
        compte que votre r<>pertoire <filename>/etc/shorewall</filename> est
        vide. Ceci est voulu. Les squelettes des fichiers de configuration se
        trouvent sur votre syst<73>me dans le r<>pertoire <filename
        class="directory">/usr/share/doc/shorewall/default-config</filename>.
        Copiez simplement les fichiers dont vous avez besoin depuis ce
        r<>pertoire dans <filename class="directory">/etc/shorewall</filename>,
        puis modifiez ces copies.</para>

        <para>Remarquez que vous devez copier
        <filename>/usr/share/doc/shorewall/default-config/shorewall.conf</filename>
        et
        <filename>/usr/share/doc/shorewall/default-config/modules</filename>
        dans <filename
        class="directory"><filename>/etc/shorewall</filename></filename> m<>me
        si vous ne modifiez pas ces fichiers.</para>
      </warning></para>

    <para>Au fur et <20> mesure de la pr<70>sentation de chaque fichier, je vous
    sugg<67>re de jeter un oeil <20> ceux qui sont physiquement pr<70>sents sur votre
    syst<73>me -- chacun de ces fichiers contient des instructions de
    configuration d<>taill<6C>es et des entr<74>es par d<>faut.</para>

    <para>Shorewall voit le r<>seau o<> il fonctionne, comme <20>tant compos<6F> d'un
    ensemble de <emphasis>zones</emphasis>. Dans les fichiers de configuration
    fournis dans l'archive d'exemples pour une seule interface, deux zones
    seulement sont d<>finies :</para>

    <para><programlisting>#ZONE   TYPE    OPTIONS                 IN                      OUT
#                                       OPTIONS                 OPTIONS
fw      firewall
net     ipv4</programlisting></para>

    <para>Les zones de Shorewall sont d<>finies dans <filename><ulink
    url="Documentation.htm#Zones">/etc/shorewall/zones</ulink></filename>.</para>

    <para>Remarquez que Shorewall reconna<6E>t le syst<73>me de firewall comme <20>tant
    sa propre zone. Le nom de la zone firewall (<emphasis
    role="bold">fw</emphasis> dans l'exemple plus haut) est stock<63> dans la
    variable d'environnement <emphasis>$FW,</emphasis> qui peut <20>tre utilis<69>e
    depuis l'ensemble des autres fichiers de configuration de Shorewall pour
    faire r<>f<EFBFBD>rence au firewall lui-m<>me.</para>

    <para>Les r<>gles concernant le trafic <20> autoriser ou <20> interdire sont
    exprim<69>es en utilisant les termes de zones.</para>

    <itemizedlist>
      <listitem>
        <para>Vous exprimez votre politique par d<>faut pour les connexions
        d'une zone vers une autre zone dans le fichier <ulink
        url="Documentation.htm#Policy"><filename
        class="directory">/etc/shorewall/policy</filename></ulink>.</para>
      </listitem>

      <listitem>
        <para>Vous d<>finissez les exceptions <20> ces politiques pas d<>faut dans
        le fichier <ulink
        url="Documentation.htm#Rules"><filename>/etc/shorewall/rules</filename></ulink>.</para>
      </listitem>
    </itemizedlist>

    <para>Pour chaque connexion demandant <20> entrer dans le firewall, la
    requ<71>te est en premier lieu v<>rifi<66>e par rapport au contenu du fichier
    <filename class="directory">/etc/shorewall/rules</filename>. Si aucune
    r<>gle dans ce fichier ne correspond <20> la demande de connexion alors la
    premi<6D>re politique dans le fichier
    <filename>/etc/shorewall/policy</filename> qui y correspond sera
    appliqu<71>e. S'il y a une <ulink
    url="shorewall_extension_scripts.htm">action commune</ulink> d<>finie pour
    cette politique dans <filename>/etc/shorewall/actions</filename> ou dans
    <filename>/usr/share/shorewall/actions.std</filename> cette action commune
    sera ex<65>cut<75>e avant que la politique ne soit appliqu<71>e.</para>

    <para>Le fichier <filename>/etc/shorewall/policy</filename> inclus dans
    l'archive d'exemple (one-interface) contient les politiques
    suivantes:</para>

    <programlisting>#SOURCE ZONE   DESTINATION ZONE   POLICY   LOG LEVEL   LIMIT:BURST
$FW            net                ACCEPT
net            all                DROP     info
all            all                REJECT   info</programlisting>

    <para>Ces politiques vont :</para>

    <orderedlist>
      <listitem>
        <para>Autoriser (ACCEPT) toute demande de connexion depuis le firewall
        vers internet</para>
      </listitem>

      <listitem>
        <para>Ignorer (DROP) toutes les demandes de connexion depuis internet
        vers votre firewall</para>
      </listitem>

      <listitem>
        <para>Rejeter (REJECT) toutes les autres requ<71>tes de connexion.
        Shorewall <20> toujours besoin de cette derni<6E>re politique.</para>
      </listitem>
    </orderedlist>

    <para><inlinegraphic fileref="images/BD21298_.gif" /> A ce point, <20>ditez
    votre <filename>/etc/shorewall/policy</filename> et faites y les
    changements que vous d<>sirez.</para>
  </section>

  <section>
    <title>Interface Externe</title>

    <para>Le firewall poss<73>de une seule interface r<>seau. Lorsque la connexion
    internet passe par un "modem" c<>ble ou
    <acronym><acronym>ADSL</acronym></acronym>, l'<emphasis>Interface
    Externe</emphasis> sera l'adaptateur <20>thernet qui est connect<63> <20> ce
    <quote>Modem</quote> (par exemple <filename
    class="devicefile">eth0</filename>). Par contre, si vous vous connectez
    par <emphasis role="bold"><acronym>PPPoE</acronym></emphasis>
    (<emphasis>Point-to-Point Protocol</emphasis> over Ethernet) ou par
    <emphasis role="bold"><acronym>PPTP</acronym></emphasis>
    <emphasis>(Point-to-Point Tunneling Protocol), </emphasis>l'interface
    externe sera une interface ppp (par exemple <filename
    class="devicefile">ppp0</filename>). Si vous vous connectez par un simple
    modem <acronym><acronym>RTC</acronym></acronym>, votre interface externe
    sera aussi <filename class="devicefile">ppp0</filename>. Si vous vous
    connectez en utilisant l'<acronym><acronym>ISDN</acronym></acronym>, votre
    interface externe sera <filename
    class="devicefile">ippp0</filename>.</para>

    <para><inlinegraphic fileref="images/BD21298_.gif" format="GIF" /></para>

    <para>Les fichiers de configuration d'exemple pour le firewall monoposte
    (one-interface) supposent que votre interface externe est <filename
    class="devicefile">eth0</filename>. Si votre configuration est diff<66>rente,
    vous devrez modifier le
    fichier<filename>/etc/shorewall/interfaces</filename> en cons<6E>quence. Tant
    que vous y <20>tes, vous pourriez parcourir la liste des options qui sont
    sp<73>cifi<66>es pour les interfaces. Quelques astuces:</para>

    <tip>
      <para>Si votre interface vers l'ext<78>rieur est <emphasis
      role="bold"><filename class="devicefile">ppp0</filename></emphasis>
      ou<emphasis role="bold"> <filename
      class="devicefile">ippp0</filename></emphasis>, vous pouvez remplacer le
      <quote>detect</quote> dans la seconde colonne par un <quote>-</quote>
      (sans guillemets).</para>
    </tip>

    <tip>
      <para>Si votre interface vers l'ext<78>rieur est <emphasis
      role="bold"><filename class="devicefile">ppp0</filename></emphasis> or
      <emphasis role="bold"><filename
      class="devicefile">ippp0</filename></emphasis> ou si vous avez une
      adresse <acronym>IP</acronym> statique, vous pouvez enlever
      <quote>dhcp</quote> de la liste des options .</para>
    </tip>
  </section>

  <section>
    <title>Adresses IP</title>

    <para>Avant d'aller plus loin, nous devons dire quelques mots au sujet des
    adresses IP. Normalement, votre Fournisseur d' Acc<63>s Internet
    (<acronym>FAI</acronym>) ne vous allouera qu'une seule adresse IP. Cette
    adresse peut vous <20>tre allou<6F>e par <acronym>DHCP</acronym> (Dynamic Host
    Configuration Protocol), lors de l'<27>tablissement de votre connexion (modem
    standard) ou bien lorsque vous <20>tablissez un autre type de connexion
    <acronym>PPP</acronym> (<acronym>PPPoA</acronym>,
    <acronym>PPPoE</acronym>, etc.). Dans certains cas , votre fournisseur
    peut vous allouer une adresse statique IP. Dans ce cas vous devez
    configurer l'interface externe de votre firewall afin d'utiliser cette
    adresse de mani<6E>re permanente.</para>

    <para>La RFC 1918 r<>serve des plages d'adresses IP pour utilisation dans
    les r<>seau priv<69>s:</para>

    <programlisting>10.0.0.0    - 10.255.255.255
172.16.0.0  - 172.31.255.255
192.168.0.0 - 192.168.255.255</programlisting>

    <para>Ces adresses sont parfois nomm<6D>es <emphasis>non-routables</emphasis>
    car les routeurs centraux d'internet ne transf<73>rent pas un paquet dont la
    destination est une adresse r<>serv<72>e par la RFC 1918. Dans certain cas
    cependant, les <acronym>FAI</acronym> (fournisseurs d'acc<63>s Internet)
    peuvent vous affecter une de ces adresses et utiliser la Traduction
    d'Adresses R<>seau (<acronym>NAT</acronym> <emphasis>Network Address
    Translation</emphasis>) pour r<><72>crire les en-t<>tes des paquets transmis en
    provenance ou <20> destination d'internet.</para>

    <para><inlinegraphic fileref="images/BD21298_.gif" format="GIF" /></para>

    <para>Avant de lancer Shorewall, <emphasis role="bold">il faut
    imp<6D>rativement regarder l'adresse IP de votre interface externe, et, si
    elle est dans l'une des plages pr<70>c<EFBFBD>dentes, vous devez enlever l'option
    "norfc1918" dans la ligne concernant l'interface externe dans le fichier
    <filename><filename
    class="directory">/etc/shorewall/</filename><filename>interfaces</filename></filename></emphasis>.</para>
  </section>

  <section>
    <title>Permettre d'autres connexions</title>

    <para>Shorewall inclue une collection de <ulink url="???">macros</ulink>
    qui peuvent <20>tre utilis<69>es pour rapidement autoriser ou refuser des
    services. Vous pouvez trouver une liste des macros comprises dans votre
    version de Shorewall en utilisant la commande <command>ls
    <filename>/usr/share/shorewall/macro.*</filename></command> ou bien la
    commande <command>shorewall show macros</command> si vous utilisez une
    version 3.0.3 ou ult<6C>rieure de shorewall.</para>

    <para>Si vous souhaitez autoriser des connexions depuis internet vers
    votre firewall et que vous avez trouv<75> une macro appropri<72>e dans
    <filename><filename>/etc/shorewall/macro.*</filename></filename>, le
    format g<>n<EFBFBD>ral d'une r<>gle dans <filename>/etc/shorewall/rules</filename>
    est le suivant:</para>

    <programlisting>#ACTION         SOURCE    DESTINATION     PROTO       DEST PORT(S)
&lt;<emphasis>macro</emphasis>&gt;/ACCEPT  net       $FW</programlisting>

    <example>
      <title>Un serveur Web et un serveur IMAP sur votre firewall, accessibles
      depuis l'ext<78>rieur:</title>

      <programlisting>#ACTION     SOURCE    DESTINATION     PROTO       DEST PORT(S)
Web/ACCEPT  net       $FW
IMAP/ACCEPT net       $FW</programlisting>
    </example>

    <para>Vous pouvez aussi choisir de coder vos r<>gles directement, sans
    utiliser de macro pr<70>-d<>finie. Ceci sera n<>cessaire quand aucune macro
    pr<70>-d<>finie ne r<>pond <20> vos besoins. Dans ce cas, le format g<>n<EFBFBD>ral d'une
    r<>gle dans <filename>/etc/shorewall/rules</filename> est:</para>

    <programlisting>#ACTION   SOURCE    DESTINATION     PROTO       DEST PORT(S)
ACCEPT    net       $FW             <emphasis>&lt;protocol&gt;</emphasis>  <emphasis>&lt;port&gt;</emphasis></programlisting>

    <example>
      <title>Un serveur Web et un serveur IMAP sur votre firewall, accessibles
      depuis l'ext<78>rieur:</title>

      <para><programlisting>#ACTION   SOURCE    DESTINATION     PROTO       DEST PORT(S)
ACCEPT    net       $FW             tcp          80
ACCEPT    net       $FW             tcp          143</programlisting></para>
    </example>

    <para>Si vous ne savez pas quel port ou protocole utilise une application
    donn<6E>e, allez voir <ulink url="ports.htm">ici</ulink>.</para>

    <important>
      <para>Je ne recommande pas d'activer <command>telnet</command>
      depuis/vers internet car il utilise du texte en clair (y compris pour le
      login !). Si vous voulez un acc<63>s shell <20> votre firewall, utilisez
      SSH:</para>

      <programlisting>#ACTION     SOURCE    DESTINATION     PROTO       DEST PORT(S)
SSH/ACCEPT  net       $FW           </programlisting>
    </important>

    <para><inlinegraphic fileref="images/BD21298_.gif" format="GIF" /></para>

    <para>Maintenant, <20>ditez votre fichier de configuration <filename
    class="directory">/etc/shorewall/</filename><filename>rules</filename>
    pour ajouter, modifier ou supprimer d'autres connexions suivant vos
    besoins.</para>
  </section>

  <section>
    <title>D<EFBFBD>marrer et Arr<72>ter Votre Firewall</title>

    <para><inlinegraphic fileref="images/BD21298_.gif" format="GIF" /></para>

    <para>La <ulink url="Install.htm">proc<EFBFBD>dure d'installation</ulink>
    configure votre syst<73>me pour lancer Shorewall d<>s le boot du syst<73>me, mais
    le lancement est d<>sactiv<69>, de fa<66>on <20> ce que votre syst<73>me ne tente pas
    de lancer Shorewall avant que la configuration ne soit termin<69>e. Une fois
    que vous en avez fini avec la configuration du firewall, vous devez <20>diter
    /etc/shorewall/shorewall.conf et y mettre STARTUP_ENABLED=Yes.</para>

    <important>
      <para><emphasis role="bold">Les utilisateurs des paquets .deb doivent
      <20>diter <filename>/etc/default/shorewall</filename> et mettre
      <varname>startup=1</varname></emphasis>.</para>
    </important>

    <important>
      <para><emphasis role="bold">Vous devez activer le lancement de Shorewall
      en <20>ditant <filename>/etc/shorewall/shorewall.conf</filename> et en y
      mettant <command>STARTUP_ENABLED=Yes</command>.</emphasis></para>
    </important>

    <para>Le firewall est activ<69> en utilisant la commande
    <quote><command>shorewall start</command></quote> et arr<72>t<EFBFBD> avec la
    commande <quote><command>shorewall stop</command></quote>. Lorsque le
    firewall est arr<72>t<EFBFBD>, le routage est autoris<69> sur les h<>tes qui poss<73>dent
    une entr<74>e dans <filename class="directory"><ulink
    url="Documentation.htm#Routestopped">/etc/shorewall/routestopped</ulink></filename>.
    Un firewall qui tourne peut <20>tre relanc<6E> en utilisant la commande
    <quote><command>shorewall restart</command></quote>. Si vous voulez
    enlever toute trace de Shorewall sur votre configuration de Netfilter,
    utilisez <quote><emphasis role="bold">shorewall
    clear</emphasis></quote></para>

    <warning>
      <para>Si vous <20>tes connect<63> <20> votre firewall depuis internet, n'essayez
      pas d'ex<65>cuter une commande <quote><command>shorewall
      stop</command></quote> tant que vous n'avez pas ajout<75> une entr<74>e dans
      <filename><filename
      class="directory">/etc/shorewall/</filename><filename>routestopped</filename></filename>
      pour l'adresse IP <20> partir de laquelle vous <20>tes connect<63> . De la m<>me
      mani<6E>re, je vous d<>conseille d'utiliser <quote><command>shorewall
      restart</command></quote>; il est plus int<6E>ressant de cr<63>er <ulink
      url="configuration_file_basics.htm#Configs">une configuration
      alternative</ulink> et de la tester en utilisant la commande
      <quote><ulink url="starting_and_stopping_shorewall.htm">shorewall
      try</ulink></quote></para>
    </warning>
  </section>

  <section>
    <title>Autres Lectures Recommand<6E>es</title>

    <para>Je vous recommande vivement de lire la <ulink
    url="configuration_file_basics.htm">page des fonctionnalit<69>s g<>n<EFBFBD>rales des
    fichiers de configuration</ulink> -- elle contient des astuces sur des
    possibilit<69>s de Shorewall qui peuvent rendre plus ais<69>e l'administration
    de votre firewall Shorewall.</para>
  </section>
</article>