Cours 10

Ma Leger

Sujets

• réseau
• réseaux

Informations

• Publié par: Undoe
• Nombre de lectures: 63
• Langue: Catalan

Extrait

Co urs 10
Mise en pla ce des me sures de
prote ction – Proxy et Fire wall

©2 004, Marc-An dré LégerChoix
(rappel du cour s 9 )
• Ségr égatio n d es réseau x
• Défin ition de r ôle s
• Fire walls
• IDS
• NVAS
• Hon ey pots
• HP Ope nvie w et o utils de ge stion
• Filtre s et p roxy

©2 004, Marc-An dré LégerFire wal l
• Sy stème d’exploitatio n e t m até riel conçus
par le c onstructeur et spécifiquement
pour d u fil trage
• Sim ple PC, m até riel déd ié, circuit intégré
spéc iali sé (ASIC)
• Ex de fi rew all non ma tériel

©2 004, Marc-An dré Léger Source: http:/igm.univ-mlv.fr/~du ris/NT REZO/20032004/Che ynet -DaS ilva-Seb ban -Pres en ta tion-Fir ewalls. pptDifférences firew all logiciel/ matér iel
• Peuvent offr ir foncti ons et ser vices identiques
• Différenc es:
– SAV: 1 seu l constr ucteur fo urnit la solution c omplète
– Rési stance: conçu p our être un p rodu it de s écurité
– Di stribution de la f onction firewall dan s les point s
strat égique s du r éseau

©2 004, Marc-An dré Léger Source: http:/igm.univ-mlv.fr/~du ris/NT REZO/20032004/Che ynet -DaS ilva-Seb ban -Pres en ta tion-Fir ewalls. pptCat égories de f irew alls mat ériels
• Routeurs:
– filtre s entran ts/sortan ts, règles s ur adre sses, ports, type s ICMP, flags
T CP
– Statel ess ou Stateful
– Mo ins d’ap plicatio ns comp lexe s/multimé dia supportée s que firew all
spéci ali sés (NAT )
– Routeurs conçu s initiale men t pou r commuter pa quets -> atten tion
– Fil tre s des t abl es de rou tage
– Performan ces:
• de qqu es kb/s -> plusieur s Mb/s
• Perte de per formances de 15 à 20% en Statef ul
• Performanc es dépe nden t du nombre de fonct ions utilis ée s (IPSec, dé tect ion
d’intrusion, c odecs pour v oix sur I P, QOS)
– Routeur st atefu l idé aux pour re lie r bure aux via intern et: site a pro tége r
ra remen t importan t

©2 004, Marc-An dré Léger Source: http:/igm.univ-mlv.fr/~du ris/NT REZO/20032004/Che ynet -DaS ilva-Seb ban -Pres en ta tion-Fir ewalls. pptCat égories de f irew alls mat ériels
• Firew alls spécia lisés
– Conçus uniquement pour faire du f iltrag e
– T rès performant:
• > 1Gbit /s
• 500 000 c onnex ions
• Plusieurs diz aines de milliers de nouv elles connex ions par sec onde
– Su pportent raremen t les interfaces WAN  né cessit é d’être ass ociés à des
routeu rs po ur la conne ctivité
• Di sponib le s égal eme nt pour le gran d pub lic
– Po ur ac cès toujours conne ctés (DSL, câb le)
– Ouve rts en sortie
– Certains permett en t le f iltrag e dans les deux sens  adaptés à l’hé bergemen t de
serv ic es
– Performanc es:
• 1à 2 Mb/s (vites se d’ac cès)
• Limit ations au ni veau du nombre de s es sions supportées et nombr e de nouvelle s
connex ions par s ec onde.
• Mei lleu r cho ix po ur pro téger l’accè s princi pa l à Internet ou serv eurs pu bli cs

©2 004, Marc-An dré Léger Source: http:/igm.univ-mlv.fr/~du ris/NT REZO/20032004/Che ynet -DaS ilva-Seb ban -Pres en ta tion-Fir ewalls. pptCat égories de f irew alls mat ériels
• Mo dules fire wall p our comm utat eurs
– So us forme de carte
– Firew all stateful
– Intégrés au x commutat eurs pour fournir protec tion entre
différe nts VLAN
– Su pport de contex tes v irtuel s  se rvic es de filtra ges a de s
rése aux distincts
– Performan ces :
• jusqu’à 5 Gb/s
• 1 00 0 000 de con ne xions
• 10 nouvel les con nex ions par seco nd e
• Jusq u’à 100 interfaces virtuell es
• Possi bi lité d’ utiliser pl usieurs cartes  débi t de 3 0 Gb/s
– Utilisés pour cloisonner le réseau inter ne

©2 004, Marc-An dré Léger Source: http:/igm.univ-mlv.fr/~du ris/NT REZO/20032004/Che ynet -DaS ilva-Seb ban -Pres en ta tion-Fir ewalls. pptFirew alls logiciels professionnels

©2 004, Marc-An dré Léger Source: http:/igm.univ-mlv.fr/~du ris/NT REZO/20032004/Che ynet -DaS ilva-Seb ban -Pres en ta tion-Fir ewalls. pptFirew alls logiciels professionnels
Plan
• Deu x fir ew alls state ful :
–Firewall libr e : Netfilter / iptabl es
–Firewall comm er cial : Check Point Firewall -1
• Ce q ue les fire walls lais sent pass er

©2 004, Marc-An dré Léger Source: http:/igm.univ-mlv.fr/~du ris/NT REZO/20032004/Che ynet -DaS ilva-Seb ban -Pres en ta tion-Fir ewalls. pptFirew alls logiciels en pa sser el le
libre : Net filter
• Intégré au noyau 2.4 de lin ux
• Inter face ut ilisateu r s épa rée : ipta bles
• State le ss :
– iptables -A INPUT -s 200.200.200.1 -p tcp --
destination-port telnet -j DROP
• State ful :
– iptables -A INPUT -p tcp -m state --state
ESTABLISHED -j ACCEPT
– INVALI D / ESTABL ISH ED / NEW / RELAT ED

©2 004, Marc-An dré Léger Source: http:/igm.univ-mlv.fr/~du ris/NT REZO/20032004/Che ynet -DaS ilva-Seb ban -Pres en ta tion-Fir ewalls. ppt