La mise en place d'un firewall

Résumé du document

Comme le nom Firewall le suggère, un des principaux objectifs d'un garde-barrière est de limiter les dégâts en cas de désastre, comme c'est le cas quand il y a un feu dans une voiture ou un bâtiment.

Extraits

[...] Il réécrit ensuite les réponses afin qu'elles semblent venir du destinataire originel. Le camouflage dispose de modules séparés afin de gérer des protocoles différents, comme FTP, RealAudio, Quake, etc. Pour les protocoles vraiment difficiles à gérer, la spécificité de "redirection automatique" (auto forwarding) peut en gérer quelques-uns en configurant automatiquement la redirection de ports pour un ensemble donné de ports. Tous les services auxquels nous voulons que l'Internet puisse avoir accès doivent être sur le pare-feu. Exemple : autoriser l'accès web du réseau privé sur l'Internet On a assigné les adresses 192.168 .70.* au réseau privé, l'adresse de notre machine firewall étant pour le réseau de l'école, et l'interface Ethernet du pare- feu étant assignée à Le pare- feu est configuré pour camoufler tous les paquets venant du réseau privé et allant sur le port 80 d'un hôte sur Internet Netscape est configuré pour se connecter directement Le DNS est configuré correctement sur le réseau privé Le pare- feu est la route par défaut (passerelle) du réseau privé. [...]

[...] Lorsqu'un paquet arrive par une carte Ethernet, le noyau utilise la chaîne input pour décider de son destin. S'il survit à ce passage, alors le noyau décide où envoyer le paquet par la suite (ceci est appelé routage). S'il est destiné à une autre machine, il consulte alors la chaîne de transmission. Enfin, juste avant que le paquet ne ressorte, le noyau consulte la chaîne de sortie. Une chaîne est une vérification de règles. Chaque règle dit `si l'entête de ce paquet ressemble à ceci, alors voilà quoi faire de ce paquet'. [...]

[...] Nous pouvons utiliser le programme "ping" pour générer de tels paquets (il envoie simplement un paquet ICMP de type 8 (requête d'écho) à qui tous les hôtes coopératifs doivent obligeamment répondre avec un paquet ICMP de type 0 (réponse à un écho)). Ceci le rend utile pour les tests. # ping PING ( 56 data bytes 64 bytes from : icmp_seq=0 ttl=64 time= 0.2 ms ping statistics packets transmitted packets received packet loss round-trip min/avg/max = 0.2 / 0.2 / 0.2 ms # ipchains input icmp DENY # ping PING ( 56 data bytes ping statistics packets transmitted packets received packet loss # On peut voir ici que le premier ping réussit (le dit à ping de n'envoyer qu'un seul paquet). [...]

[...] Ce qui suit en est une description exhaustive. II Spécifier les adresses IP source et destination Les adresses IP source et destination peuvent être spécifiées de quatre façons différentes. La façon la plus classique est d'utiliser le nom complet, comme "localhost" ou "www.linuxhq.com". La deuxième méthode est de spécifier l'adresse IP, comme " Les deux autres méthodes permettent la spécification d'un groupe d'adresses IP, comme " ou " / Toutes deux spécifient toutes les adresses IP de à incluse ; les chiffres suivant le indiquent quelles parties de l'adresse IP sont significatives. [...]

[...] les gardes-barrières ne fournissent, pour la plupart, aucune confidentialité des informations. Bien que beaucoup de fournisseurs de garde-barrière permettent maintenant un trafic chiffré entre deux gardes-barrières, cette possibilité demande que toutes les personnes avec lesquelles vous communiquez est le mê me garde-barrière installé sur leur site. De plus il ne fournit aucune confidentialité pour des informations sur le réseau interne. les gardes-barrières ne protègent pas contre des menaces internes, un garde-barrière solide peut vous protéger de la plupart des attaques venant d'Internet, mais il ne fera rien contre le travail de quelqu'un à l'intérieur. [...]