Documentation Linux : Les HOWTO Linux en français sur jp.barralis.com

Page suivante - Page précédente - Table des matières

---

7. Un exemple sérieux

Cet exemple est extrait du tutorial donné par Michael Neuling et moi-même en mars 1999 lors du LinuxWorld ; ce n'est pas le seul moyen de régler le problème donné, mais c'est probablement le plus simple. J'espère que vous le jugerez informatif.

7.1 L'arrangement

• Un réseau interne camouflé (sous divers systèmes d'exploitation), que nous appellerons "BON" ;
• des serveurs exposés dans un réseau séparé (nommé "ZDM" pour Zone Démilitarisée) ;
• une connexion PPP à l'Internet (nommé "MAUVAIS").

 Réseau externe (MAUVAIS)
 |
 |
 ppp0|
 ---------------
 | 192.84.219.1|             Réseau des serveurs (ZDM)
 |             |eth0
 |             |----------------------------------------------
 |             |192.84.219.250 |             |              |
 |             |               |             |              |
 |192.168.1.250|               |             |              |
 ---------------          --------       -------        -------
 | eth1            | SMTP |       | DNS |        | WWW |
 |                 --------       -------        -------
 |              192.84.219.128  192.84.219.129  192.84.218.130
 |
 Réseau Interne (BON)

7.2 Buts

Sur la machine filtrant les paquets :

PING tout réseau

Très utile si la machine est hors-service.

TRACEROUTE tout réseau

Une fois de plus, utile pour les diagnostics.

Accès au DNS

Pour rendre ping et DNS plus utile.

À l'intérieur de la Zone Démilitarisée :

Serveur mail

• SMTP vers l'extérieur
• Accepte le SMTP de l'intérieur et de l'extérieur
• Accepte le POP3 de l'intérieur

Serveur de nom

• Envoi de requêtes DNS vers l'extérieur
• Accepte les requêtes DNS de l'intérieur, l'extérieur, et du filtre de paquets

Serveur web

• Accepte les requêtes HTTP de l'intérieur et de l'extérieur
• Accès rsync de l'intérieur

En interne :

Autorise WWW, ftp, traceroute et ssh vers l'extérieur

Ce sont des services standards à autoriser : on autorise parfois les machines internes à tout faire, mais ici nous serons plus restrictifs.

Autorise le SMTP vers le serveur mail

Bien entendu, nous voulons qu'il leur soit possible d'envoyer du courrier vers l'extérieur.

Autorise le POP3 vers le serveur mail

C'est ainsi qu'ils lisent leur courrier.

Autorise les requêtes DNS vers le serveur de nom

Ils doivent pouvoir rechercher des noms externes pour le web, le ftp, traceroute ou ssh.

Autorise rsync vers le serveur web

C'est ainsi qu'ils synchronisent le serveur web externe avec l'interne.

Autorise les requêtes WWW vers le serveur web

Bien entendu, nous voulons qu'ils puissent se connecteur au serveur web externe.

Autorise le ping vers le filtre de paquets

Il est courtois de l'autoriser ; ils peuvent ainsi tester si le pare-feu est coupé (ainsi nous ne serons pas tenus responsables si un site extérieur est coupé).

7.3 Avant le filtrage des paquets

• Protection anti-spoofing

  Puisque nous n'avons pas de routage asymétrique, nous pouvons simplement mettre en marche l'anti-spoofing pour toutes les interfaces.

  # for f in /proc/sys/net/ipv4/conf/*/rp_filter; do echo 1> $f; done
  #
  

• Mettre en place des règles de filtrage en interdiction (DENY) totale :

  Nous autorisons tout de même le traffic local, mais nous interdisons tout le reste.

  # ipchains -A input -i ! lo -j DENY
  # ipchains -A output -i ! lo -j DENY
  # ipchains -A forward -j DENY
  #
  

• Configurer les interfaces

  Ceci est généralement réalisé par les scripts de lancement. Faîtes bien attention à ce que les règles ci-dessus soient insérées avant que les interfaces ne soient configurées, afin de prévenir le passage de paquets avant l'insertion des règles.

• Insertion des modules de camouflage par protocole

  Nous devons insérer le module de camouflage du FTP, ainsi le ftp passif et actif fonctionnera `uniquement' du réseau interne.

  # insmod ip_masq_ftp
  #
  

7.4 Filtrage de paquets pour les paquets traversants

Avec le camouflage, il vaut mieux filtrer la chaîne de retransmission.

Cassez la chaîne de retransmission en plusieurs chaînes utilisateurs dépendant des interfaces sources/destination ; ceci ramène le problème à des problèmes plus gérables.

ipchains -N bon-zdm
ipchains -N mauvais-zdm
ipchains -N bon-mauvais
ipchains -N zdm-bon
ipchains -N zdm-mauvais
ipchains -N mauvais-bon

ACCEPTer les codes standards d'erreur ICMP est un fait classique, nous lui créons donc une chaîne.

ipchains -N icmp-acc

Configurer les sauts de la chaîne de transmission

Malheureusement, nous connaissons seulement (dans la chaîne de transmission) quelle est l'interface externe. Ainsi, pour se représenter de quelle interface vient le paquet, nous utilisons l'adresse source (l'anti-spoofing évite les problèmes liés aux adresses).

Notez que nous enregistrons tout ce qui ne vérifie aucune de ces règles (cependant, ceci ne devrait jamais arriver).

ipchains -A forward -s 192.168.1.0/24 -i eth0 -j bon-zdm
ipchains -A forward -s 192.168.1.0/24 -i ppp0 -j bon-mauvais
ipchains -A forward -s 192.84.219.0/24 -i ppp0 -j zdm-mauvais
ipchains -A forward -s 192.84.219.0/24 -i eth1 -j zdm-bon
ipchains -A forward -i eth0 -j mauvais-zdm
ipchains -A forward -i eth1 -j mauvais-bon
ipchains -A forward -j DENY -l

Définir la chaîne icmp-acc

Les paquets correspondant à l'une des erreurs ICMP sont acceptés, sinon le contrôle les rendra à la chaîne appellante.

ipchains -A icmp-acc -p icmp --icmp-type destination-unreachable -j ACCEPT
ipchains -A icmp-acc -p icmp --icmp-type source-quench -j ACCEPT
ipchains -A icmp-acc -p icmp --icmp-type time-exceeded -j ACCEPT
ipchains -A icmp-acc -p icmp --icmp-type parameter-problem -j ACCEPT

Bon (interne) vers ZDM (serveurs)

Restrictions internes :

• Autorise WWW, ftp, traceroute, ssh vers l'extérieur
• Autorise le SMTP vers le serveur mail
• Autorise le POP3 vers le serveur mail
• Autorise les requêtes DNS vers le serveur de nom
• Autorise le rsync vers le serveur web
• Autorise le WWW vers le serveur web
• Autorise le ping vers le filtre de paquets

On pourrait utiliser le camouflage du réseau interne vers la ZDM, mais ici nous ne le ferons pas. Puisque personne du réseau interne ne devrait tenter de choses démoniaques, nous enregistrons les paquets qui sont interdits.

ipchains -A bon-zdm -p tcp -d 192.84.219.128 smtp -j ACCEPT
ipchains -A bon-zdm -p tcp -d 192.84.219.128 pop-3 -j ACCEPT
ipchains -A bon-zdm -p udp -d 192.84.219.129 domain -j ACCEPT
ipchains -A bon-zdm -p tcp -d 192.84.219.129 domain -j ACCEPT
ipchains -A bon-zdm -p tcp -d 192.84.218.130 www -j ACCEPT
ipchains -A bon-zdm -p tcp -d 192.84.218.130 rsync -j ACCEPT
ipchains -A bon-zdm -p icmp -j icmp-acc
ipchains -A bon-zdm -j DENY -l

Mauvais (extérieur) vers ZDM (serveurs)

• Restrictions de la ZDM :
  • Serveur mail :
    • SMTP vers l'extérieur
    • Accepte le SMTP venant de l'intérieur et extérieur
    • Accepte le POP3 de l'intérieur
  • Serveur de noms :
    • Envoi de requêtes DNS vers l'extérieur
    • Accepte le DNS venant de l'intérieur, extérieur et du filtre de paquets
  • Serveur web :
    • Accepte les requêtes HTTP venant de l'intérieur et de l'extérieur
    • Accès rsync de l'intérieur
• Les trucs à autoriser du réseau extérieur vers la ZDM
  • N'enregistre pas les violations, elles peuvent arriver.

  ipchains -A mauvais-zdm -p tcp -d 192.84.219.128 smtp -j ACCEPT
  ipchains -A mauvais-zdm -p udp -d 192.84.219.129 domain -j ACCEPT
  ipchains -A mauvais-zdm -p tcp -d 192.84.219.129 domain -j ACCEPT
  ipchains -A mauvais-zdm -p tcp -d 192.84.218.130 www -j ACCEPT
  ipchains -A mauvais-zdm -p icmp -j icmp-acc
  ipchains -A mauvais-zdm -j DENY
  

Bon (intérieur) vers Mauvais (extérieur).

• Restrictions internes :
  • Autorise le WWW, ftp, traceroute, ssh vers l'extérieur
  • Autorise SMTP vers le serveur mail
  • Autorise POP-3 vers le serveur mail
  • Autorise DNS vers le serveur de nom
  • Autorise rsync vers le serveur web
  • Autorise WWW vers le serveur web
  • Autorise ping vers le filtre de paquets
• Un grand nombre de gens autorisent tout venant de l'intérieur vers les réseaux extérieurs, puis ajoutent des restrictions. Nous sommes fascistes.
  • Enregistre les violations.
  • Le ftp passif est géré par le module de camouflage.

  ipchains -A bon-mauvais -p tcp --dport www -j MASQ
  ipchains -A bon-mauvais -p tcp --dport ssh -j MASQ
  ipchains -A bon-mauvais -p udp --dport 33434:33500 -j MASQ
  ipchains -A bon-mauvais -p tcp --dport ftp --j MASQ
  ipchains -A bon-mauvais -p icmp --icmp-type ping -j MASQ
  ipchains -A bon-mauvais -j REJECT -l
  

ZDM vers Bon (intérieur)

• Restrictions internes :
  • Autorise WWW, ftp, traceroute, ssh vers l'extérieur
  • Autorise SMTP vers le serveur mail
  • Autorise POP3 vers le serveur mail
  • Autorise DNS vers le serveur de noms
  • Autorise rsync vers le serveur web
  • Autorise WWW vers le serveur web
  • Autorise ping vers le filtre de paquets
• Si nous camouflions le réseau intérieur de la ZDM, nous refuserions simplement les paquets venant d'un autre moyen. Tel quel, il autorise uniquement les paquets qui peuvent provenir d'une connexion pré-établie.

  ipchains -A zdm-bon -p tcp ! -y -s 192.84.219.128 smtp -j ACCEPT
  ipchains -A zdm-bon -p udp -s 192.84.219.129 domain -j ACCEPT
  ipchains -A zdm-bon -p tcp ! -y -s 192.84.219.129 domain -j ACCEPT
  ipchains -A zdm-bon -p tcp ! -y -s 192.84.218.130 www -j ACCEPT
  ipchains -A zdm-bon -p tcp ! -y -s 192.84.218.130 rsync -j ACCEPT
  ipchains -A zdm-bon -p icmp -j icmp-acc
  ipchains -A zdm-mauvais -j DENY -l
  

ZDM vers Mauvais (extérieur)

• Restrictions de la ZDM :
  • Serveur mail
    • SMTP vers l'extérieur
    • Accepte SMTP venant de l'intérieur et de l'extérieur
    • Accepte POP3 venant de l'intérieur
  • Serveur de noms
    • Envoi de requêtes DNS vers l'extérieur
    • Accepte le DNS de l'intérieur, l'extérieur et du filtre de paquets
  • Serveur web
    • Accepte HTTP venant de l'intérieur et de l'extérieur
    • Accès rsync de l'intérieur

• ipchains -A zdm-mauvais -p tcp -s 192.84.219.128 smtp -j ACCEPT
  ipchains -A zdm-mauvais -p udp -s 192.84.219.129 domain -j ACCEPT
  ipchains -A zdm-mauvais -p tcp -s 192.84.219.129 domain -j ACCEPT
  ipchains -A zdm-mauvais -p tcp ! -y -s 192.84.218.130 www -j ACCEPT
  ipchains -A zdm-mauvais -p icmp -j icmp-acc
  ipchains -A zdm-mauvais -j DENY -l
  

Mauvais (extérieur) vers Bon (intérieur)

• Nous n'autorisons rien (de non camouflé) à passer du réseau extérieur vers le réseau intérieur.

  ipchains -A mauvais-bon -j REJECT
  

Filtrage de paquets pour la machine Linux elle-même

• Si nous désirons utiliser le filtrage de paquets sur les paquets arrivant sur la machine elle-même, nous devons filtrer la chaîne d'entrée. Nous créons une chaîne pour chaque interface de destination :

  ipchains -N mauvais-if
  ipchains -N zdm-if
  ipchains -N bon-if
  

• Créons les sauts vers elles :

  ipchains -A input -d 192.84.219.1 -j mauvais-if
  ipchains -A input -d 192.84.219.250 -j zdm-if
  ipchains -A input -d 192.168.1.250 -j bon-if
  

Interface Mauvais (extérieur)

• Machine de filtrage des paquets :
  • PING tous les réseaux
  • TRACEROUTE tous les réseaux
  • Accès DNS
• L'interface extérieure reçoit aussi des réponses aux paquets camouflés, les erreurs ICMP leur correspondant et les réponses PING.

  ipchains -A mauvais-if -i ! ppp0 -j DENY -l
  ipchains -A mauvais-if -p TCP --dport 61000:65096 -j ACCEPT
  ipchains -A mauvais-if -p UDP --dport 61000:65096 -j ACCEPT
  ipchains -A mauvais-if -p ICMP --icmp-type pong -j ACCEPT
  ipchains -A mauvais-if -j icmp-acc
  ipchains -A mauvais-if -j DENY
  

Interface ZDM

• Restrictions du filtre de paquets :
  • PING tous les réseaux
  • TRACEROUTE tous les réseaux
  • Accès DNS
• L'interface ZDM reçoit les réponses DNS, ping et les erreurs ICMP

  ipchains -A zdm-if -i ! eth0 -j DENY
  ipchains -A zdm-if -p TCP ! -y -s 192.84.219.129 53 -j ACCEPT
  ipchains -A zdm-if -p UDP -s 192.84.219.129 53 -j ACCEPT
  ipchains -A zdm-if -p ICMP --icmp-type pong -j ACCEPT
  ipchains -A zdm-if -j icmp-acc
  ipchains -A zdm-if -j DENY -l
  

Interface Bon (intérieur)

• Restrictions du filtre de paquets
  • PING tous les réseaux
  • TRACEROUTE tous les réseaux
  • Accès DNS
• Restrictions intérieures :
  • Autorise WWW, ftp, traceroute, ssh vers l'extérieur
  • Autorise SMTP vers le serveur mail
  • Autorise POP3 vers le serveur mail
  • Autorise DNS vers le serveur de noms
  • Autorise rsync vers le serveur web
  • Autorise WWW vers le serveur web
  • Autorise ping vers le filtre de paquets
• L'interface intérieure reçoit les pings, les réponses ping et les erreurs ICMP.

  ipchains -A bon-if -i ! eth1 -j DENY
  ipchains -A bon-if -p ICMP --icmp-type ping -j ACCEPT
  ipchains -A bon-if -p ICMP --icmp-type pong -j ACCEPT
  ipchains -A bon-if -j icmp-acc
  ipchains -A bon-if -j DENY -l
  

7.5 Finalement

• Supprime les règles de bloquage :

  ipchains -D input 1
  ipchains -D forward 1
  ipchains -D output 1
  

---

Page suivante - Page précédente - Table des matières