<HTML>
<HEAD>
<TITLE>FIREWALLING</TITLE>
</HEAD>
<BODY>
<A NAME="FIREWALLING"></A> <H1>4. <A NAME="s4"></A>FIREWALLING</H1>
<P>
<A HREF="Bridge+Firewall.html#toc4">Contenu de cette section</A></P>
<A NAME="Software and reading"></A> <H2>4.1 <A NAME="ss4.1"></A> Logiciel et lectures</H2>
<P>Vous devriez lire le
<A HREF="ftp://sunsite.unc.edu/pub/Linux/docs/HOWTO/Firewall-HOWTO">Firewall-HOWTO</A>
.</P>
<P></P>
<P>Il vous indiquera où trouver <CODE>ipfwadm</CODE> si vous ne l'avez pas déjà. Vous pouvez également récupérer d'autres outils, mais seulement <CODE>ipfwadm</CODE> m'a été utile. C'est pratique et de bas niveau ! Vous pouvez voir exactement ce qu'il fait.</P>
<P></P>
<A NAME="Preliminary checks"></A> <H2>4.2 <A NAME="ss4.2"></A> Vérifications préliminaires</H2>
<P>Vous avez compilé l'IP-forwarding et le masquerading dans le noyau, et vous allez vérifier que le <EM>firewall</EM> est dans son état par défaut (il accepte) grâce à :</P>
<P>
<BLOCKQUOTE><CODE>
<PRE>
ipfwadm -I -l
ipfwadm -O -l
ipfwadm -F -l
</PRE>
</CODE></BLOCKQUOTE>
</P>
<P></P>
<P>Ce qui, dans l'ordre, 'affiche les règles affectant la partie ..'entrante ou sortante ou qui fait suivre (<EM>masquerading</EM>) '.. du <EM>firewall</EM>'. L'option '-l' signifie 'lister'.</P>
<P></P>
<P>Si vous avez compilé l'IP accounting également :</P>
<P>
<BLOCKQUOTE><CODE>
<PRE>
ipfwadm -A -l
</PRE>
</CODE></BLOCKQUOTE>
</P>
<P></P>
<P>Vous devriez constater qu'aucune règle n'est définir et que l'action par défaut est d'accepter tous les paquets. Vous pouvez retourner à cet état à tout moment, avec :</P>
<P>
<BLOCKQUOTE><CODE>
<PRE>
ipfwadm -I -f
ipfwadm -O -f
ipfwadm -F -f
</PRE>
</CODE></BLOCKQUOTE>
</P>
<P></P>
<P>L'option '-f' signifie 'flush' (en français, 'vider'). Vous pourriez en avoir besoin.</P>
<P></P>
<P></P>
<A NAME="Default rule"></A> <H2>4.3 <A NAME="ss4.3"></A> Règle par défaut</H2>
<P>Je veux interdire l'accès au monde entier depuis mon réseau interne, et rien d'autre, donc je vais donner comme dernière règle (comme règle par défaut) une règle indiquant d'ignorer les paquets venant du réseau interne et dirigés vers l'extérieur. Je place toutes les règles (dans cet ordre) dans le fichier <CODE>/etc/rc.d/rc.firewall</CODE> que j'execute depuis <CODE>/etc/rc.d/rc.local</CODE> au démarrage.</P>
<P>
<BLOCKQUOTE><CODE>
<PRE>
ipfwadm -I -a reject -S 192.168.2.0/255.255.255.128 -D 0.0.0.0/0.0.0.0
</PRE>
</CODE></BLOCKQUOTE>
</P>
<P></P>
<P>Le '-S' représente l'adresse source/masque de sous-réseau. L'option '-D' est pour l'adresse destination/masque de sous-réseau.</P>
<P></P>
<P>Ce format n'a plus le vent en poupe. <CODE>ipfwadm</CODE> est intelligent et connaît des abréviations courantes. Vérifier les pages de manuel.</P>
<P></P>
<P>Il peut être plus pratique de placer certaines ou toutes les règles sur la partie sortante du firewall en utilise '-O' au lieu de '-I', mais je supposerai que les règles sont conçues pour être utilisées sur la moitié entrante.</P>
<P></P>
<A NAME="Holes per address"></A> <H2>4.4 <A NAME="ss4.4"></A> Accès par adresse</H2>
<P>Avant la règle par défaut, je dois placer des règles qui servent d'exceptions pour cette interdiction générale des services extérieurs aux clients intérieurs.</P>
<P></P>
<P>Je veux traiter les adresses des machines derrière le firewall de manière spéciale. Je veux empêcher aux gens de se loguer sur la machine qui sert de firewall à moins qu'elles aient une permission spéciale, mais une fois connectées, elles devraient être capables de parler au monde extérieur.</P>
<P>
<BLOCKQUOTE><CODE>
<PRE>
ipfwadm -I -i accept -S 192.168.2.100/255.255.255.255 \
-D 0.0.0.0/0.0.0.0
</PRE>
</CODE></BLOCKQUOTE>
</P>
<P></P>
<P>Je veux également que les clients internes soient capables de parler à la machine faisant <EM>firewall</EM>. Peut-être pourront-elles la persuader de les laisser sortir !</P>
<P>
<BLOCKQUOTE><CODE>
<PRE>
ipfwadm -I -i accept -S 192.168.2.0/255.255.255.128 \
-D 192.168.2.100/255.255.255.255
</PRE>
</CODE></BLOCKQUOTE>
</P>
<P></P>
<P>Vérifiez que vous pouvez joindre les machines à l'intérieur du firewall depuis l'extérieur par <CODE>telnet</CODE>, mais que vous ne pouvez pas sortir. Vous pouvez faire le premier pas, mais les clients ne peuvent pas vous envoyer de messages. Essayez également <CODE>rlogin</CODE> et <CODE>ping</CODE> avec <CODE>tcpdump</CODE> lancé sur une carte ou l'autre. Vous devriez être capable de comprendre ce que vous lirez.</P>
<P></P>
<A NAME="Holes per protocol"></A> <H2>4.5 <A NAME="ss4.5"></A> Accès par protocole</H2>
<P>J'assouplis les règles protocole par protocole. Je veux que les <CODE>ping</CODE>s depuis l'extérieur vers l'intérieur obtiennent une réponse, par exemple, donc j'ai ajouté la règle :</P>
<P>
<BLOCKQUOTE><CODE>
<PRE>
ipfwadm -I -i accept -P icmp -S 192.168.2.0/255.255.255.128 \
-D 0.0.0.0/0.0.0.0
</PRE>
</CODE></BLOCKQUOTE>
</P>
<P></P>
<P>L'option '<CODE>-P icmp</CODE>' correspond au protocole tout entier.</P>
<P></P>
<P>Avant que j'installe un <EM>proxy ftp</EM>, j'autorise également les appels ftp sortants en relâchant les restrictions sur un port donné. Ceci vise les ports 20, 21 et 115 sur les machines externes :</P>
<P>
<BLOCKQUOTE><CODE>
<PRE>
ipfwadm -I -i accept -P tcp -S 192.168.2.0/255.255.255.128 \
-D 0.0.0.0/0.0.0.0 20 21 115
</PRE>
</CODE></BLOCKQUOTE>
</P>
<P></P>
<P>Je n'ai pas pu faire fonctionner <CODE>sendmail</CODE> entre les clients locaux sans serveur de noms. Au lieu d'installer un serveur de nom directement sur le <EM>firewall</EM>, j'ai juste autorisé les requêtes TCP de résolution de nom visant le plus proche serveur de nom, et j'ai placé son adresse dans le fichier <CODE>/etc/resolv.conf</CODE> des clients. ('<CODE>nameserver 123.456.789.31</CODE>' sur une ligne séparée).</P>
<P>
<BLOCKQUOTE><CODE>
<PRE>
ipfwadm -I -i accept -P tcp -S 192.168.2.0/255.255.255.128 \
-D 123.456.789.31/255.255.255.255 54
</PRE>
</CODE></BLOCKQUOTE>
</P>
<P></P>
<P>Vous pouvez trouver quel numéro de port et protocole requiert un service grâce à <CODE>tcpdump</CODE>. Utilisez ce service avec un <CODE>ftp</CODE> ou un <CODE>telnet</CODE> ou autre vers ou depuis une machine interne, et observez-le sur les ports d'entrée et de sortie du <EM>firewall</EM> avec <CODE>tcpdump</CODE> :</P>
<P>
<BLOCKQUOTE><CODE>
<PRE>
tcpdump -i eth1 -e host client04
</PRE>
</CODE></BLOCKQUOTE>
</P>
<P></P>
<P>par exemple. Le fichier <CODE>/etc/services/</CODE> est une importante source d'indices. Pour laisser ENTRER le <CODE>telnet</CODE> et le <CODE>ftp</CODE> depuis l'extérieur, vous devez autoriser un client local à envoyer des données vers l'extérieur sur un port donné. Je comprends pourquoi ceci est nécessaire pour le <CODE>ftp</CODE> (c'est le serveur qui établit la connexion de données), mais je me demande pourquoi <CODE>telnet</CODE> en a également besoin.</P>
<P>
<BLOCKQUOTE><CODE>
<PRE>
ipfwadm -I -i accept -P tcp -S 192.168.2.0/255.255.255.128 ftp telnet \
-D 0.0.0.0/0.0.0.0
</PRE>
</CODE></BLOCKQUOTE>
</P>
<P></P>
<P>Il existe un problème particulier avec certains démons qui cherchent le nom d'hôte de la machine <EM>firewall</EM> afin de décider quelle est leur adresse réseau. J'ai eu des problèmes avec <CODE>rpc.yppasswdd</CODE>. Il insiste sur des informations <EM>broadcast</EM> qui indiquent qu'il se trouve en dehors du <EM>firewall</EM> (sur la seconde carte). Cela signifie que les clients à l'intérieur ne peuvent pas le contacter.</P>
<P></P>
<P>Au lieu de lancer l'IP aliasing ou de changer le code source du démon, j'ai traduit le nom vers l'adresse de la carte du côté intérieur sur les clients, dans leur fichier <CODE>/etc/hosts</CODE>.</P>
<P></P>
<H2>4.6 <A NAME="ss4.6"></A> Vérifications</H2>
<P>Vous voudrez tester que vous pouvez toujours utiliser <CODE>telnet</CODE>, <CODE>rlogin</CODE> et <CODE>ping</CODE> depuis l'extérieur. Depuis l'intérieur, vous devriez être capable d'utiliser <CODE>ping</CODE> vers la sortie. Vous devriez également être capables d'utiliser le <CODE>telnet</CODE> vers la machine <EM>firewall</EM> depuis l'intérieur, et cette dernière manipulation devrait vous permettre d'accéder au reste.</P>
<P></P>
<P>Et voilà. A présent, vous voulez probablement apprendre <B>rpc</B>/<B>Y</B>ellow <B>P</B>ages et leur interaction avec le fichier de mots de passe. Le réseau derrière le firewall devrait vouloir empêcher aux utilisateurs non privilégiés de se logguer sur le <EM>firewall</EM>, et donc de sortir. C'est traité dans un autre HOWTO !</P>
<P></P>
<HR>
<P>
Chapitre <A HREF="Bridge+Firewall-3.html">Précédent</A>
<P>
Table des matières de <A HREF="Bridge+Firewall.html#toc4">ce chapitre</A>,
<A HREF="Bridge+Firewall.html#toc">Table des matières</A> générale</P>
<P>
<A HREF="Bridge+Firewall.html">Début</A> du document,
<A HREF="#0"> Début de ce chapitre</A></P>
</BODY>
</HTML>
