{"id":63,"date":"2008-03-18T13:49:50","date_gmt":"2008-03-18T12:49:50","guid":{"rendered":"http:\/\/blog.guiguiabloc.fr\/?p=63"},"modified":"2008-03-18T13:49:50","modified_gmt":"2008-03-18T12:49:50","slug":"anatomie-dune-architecture-3","status":"publish","type":"post","link":"http:\/\/blog.guiguiabloc.fr\/index.php\/2008\/03\/18\/anatomie-dune-architecture-3\/","title":{"rendered":"Anatomie d’une architecture (3)"},"content":{"rendered":"

Conception d’un Firewall Rouge en Haute-Disponiblit\u00e9 (1\u00e8re Partie)
\n<\/strong><\/u><\/p>\n

En mati\u00e8re de Firewall, il existe pl\u00e9thore de solutions payantes ou libres, packag\u00e9es ou non.<\/p>\n

Vous trouverez bien entendu les solutions propri\u00e9taires, mat\u00e9rielles ou logicielles, telles que CheckPoint, Pix, WatchGuard, Juniper, Arkoon etc… et des solutions libres \u00ab\u00a0tout en un\u00a0\u00bb, comme Ipcop, M0n0wall, PfSense etc…<\/p>\n

Bref, je ne ferais pas le tour, Google est votre ami, mais dans notre architecture, nous avons principalement deux choix : Iptables sous Linux ou PacketFilter sour *BSD.<\/p>\n

Mon choix s’est port\u00e9 sur PacketFilter sous OpenBSD.<\/p>\n

Je ne m’engagerais pas dans une longue discussion sur les diff\u00e9rences Iptables\/PacketFilter, mais pour avoir longuement utilis\u00e9 les deux, ma pr\u00e9f\u00e9rence va vers PacketFilter.<\/p>\n

Je vous conseille d’ailleurs la lecture de cet excellent article :<\/p>\n

http:\/\/www.unixgarden.com\/index.php\/securite\/pf-pour-les-nuls<\/a><\/p>\n

Mise au point<\/u> : Avant tout, je veux que vous preniez pleinement conscience qu’un Firewall ne r\u00e9glera pas d\u00e9finitivement vos probl\u00e8mes de s\u00e9curit\u00e9.<\/p>\n

Ce n’est qu’un \u00e9l\u00e9ment parmi tant d’autres et la fa\u00e7on dont vous allez l’utiliser contribuera \u00e9galement \u00e0 votre protection.<\/p>\n

D’ailleurs, je vais vous donner un petit exemple (l’analogie est tordue je l’avoue, mais moi aussi \ud83d\ude00 ) :<\/p>\n

Imaginons que vous d\u00e9cidiez de faire une f\u00eate chez vous (ou le chez vous est votre LAN).<\/p>\n

Vous embauchez un type baraqu\u00e9, tout en muscles, qui se chargera de v\u00e9rifier que les gens entrent bien par la porte d’entr\u00e9e et non par les fen\u00eatres ou la porte arri\u00e8re et qu’ils ne se baladent pas non plus dans votre chambre ou des pi\u00e8ces de la maison qui n’ont rien \u00e0 voir avec la f\u00eate.<\/p>\n

On peut dire que c’est le comportement basique d’un firewall.<\/p>\n

Par contre, tout le monde vient et pas forc\u00e9ment des gens que vous souhaitiez voir. Donc vous d\u00e9cidez de ne laisser entrer que les gens que vous avez invit\u00e9 et votre Mastodonte vous aide \u00e0 ne laisser assister \u00e0 votre f\u00eate que les gens d\u00fbment accr\u00e9dit\u00e9s.<\/p>\n

L\u00e0, vous vous dites, \u00ab\u00a0ouais super, pas de soucis\u00a0\u00bb. Erreur, jeune padawan…<\/p>\n

Ne laisser entrer que les gens invit\u00e9s est une bonne chose (et un comportement un peu plus \u00e9volu\u00e9 de votre firewall), mais votre pote qui 4 heures plus tard, compl\u00e8tement bourr\u00e9, vomi sur votre canap\u00e9, vous regrettez am\u00e9rement de l’avoir invit\u00e9…<\/p>\n

Si vous l’aviez fouill\u00e9 \u00e0 l’entr\u00e9e et d\u00e9couvert une bouteille de whisky dans son blouson, cela vous aurait peut-\u00eatre mis la puce \u00e0 l’oreille sur ses intentions futures.<\/p>\n

Et m\u00eame s’il n’avait rien, jeter un petit coup d’oeil sur lui durant la soir\u00e9e et voir qu’il abuse un peu des verres pr\u00e9sents, vous aurez peut-\u00eatre alert\u00e9 et permettre d’intervenir avant qu’il salisse votre beau canap\u00e9 en tissu \ud83d\ude42<\/p>\n

Bref, vous voyez que la s\u00e9curit\u00e9 de ne se limite pas \u00e0 controler qui entre et qui sort, mais \u00e9galement \u00e0 surveiller le comportement des invit\u00e9s \ud83d\ude09 . Le pire \u00e9tant, quand vous vous interrogerez sur votre s\u00fbret\u00e9, de vous demander pourquoi votre copine \u00e0 son pull \u00e0 l’envers \u00e0 la fin de la soir\u00e9e…<\/p>\n

Je sais l’exemple est facile et un peu large, mais il a le m\u00e9rite d’essayer de vous faire comprendre que votre Firewall ne fera pas tout.<\/p>\n

Sur ce, commencons.<\/p>\n

J’ai d\u00e9cid\u00e9 de d\u00e9dier des \u00e9quipements au r\u00f4le de Firewall.<\/p>\n

Pour cela, vous pouvez tr\u00e8s bien r\u00e9cup\u00e9rer de vieux Pentium 266 Mhz qui feront tr\u00e8s bien l’affaire (quoiqu’un peu bruyant \ud83d\ude00 ).<\/p>\n

Personnellement, j’ai choisi la solution Soekris<\/a>.<\/p>\n

Les boitiers Soekris sont des \u00ab\u00a0mini-pc\u00a0\u00bb (commun\u00e9ment appel\u00e9 Appliance) compos\u00e9 d’un processeur 266 Mhz (pour le mien), de 256 Mo de RAM et de 3 ports ethernet.<\/p>\n

Ils ont l’avantage d’\u00eatre totalement silencieux (pas de ventilateur) et ne consomme qu’environ 15 W.<\/p>\n

\"soekris1\"<\/a><\/p>\n

\"soekris2\"<\/a><\/p>\n

Je l’ai achet\u00e9 chez KD85<\/a> , le site de l’excellent Wim<\/a>, personnage d\u00e9j\u00e0 embl\u00e9matique du monde OpenBSD en Europe \ud83d\ude00
\nToujours pour Elwina \ud83d\ude09 , je l’ai achet\u00e9 :<\/p>\n

Total: EUR 275.00 + Shipping (EUR 19.98) + VAT (21% EUR 61.95)= EUR 356.93<\/p>\n

(4801-60 + boitier + alim + support disque ) .<\/p>\n

L’id\u00e9al pour notre infrastructure \u00e9tant d’en avoir 2 (pour la haute disponibilit\u00e9).<\/p>\n

Le co\u00fbt de la \u00ab\u00a0b\u00eate\u00a0\u00bb \u00e9tant assez \u00e9lev\u00e9, le deuxi\u00e8me firewall peut tr\u00e8s bien (et c’est ce que j’ai fait), tourn\u00e9 dans une machine virtuelle (VMware, Xen etc…) a qui l’ont aura affact\u00e9 des cartes r\u00e9seaux d\u00e9di\u00e9s.<\/p>\n

L’installation d’OpenBSD 4.2<\/a> sur Soekris ne pose vraiment aucun soucis et vous trouverez des tutos \u00e0 foison sur le Net (idem pour l’installation sous VMware).<\/p>\n

Personnellement, j’ai opt\u00e9 pour une installation sur un disque dur de 40Go via PXE.<\/p>\n

C\u00f4t\u00e9 configuration de base, j’ai affect\u00e9 aux pattes rouges sisO et em0 (carte ethernet cot\u00e9 Freebox), l’ip 192.168.0.5 pour le firewall-a et 192.168.0.15 pour le firewall-b.<\/p>\n

Les interfaces c\u00f4t\u00e9 Vert ont pour ip 192.168.1.5 et 192.168.1.15.<\/p>\n

Nous gardons la troisi\u00e8me interface pour la synchronisation des \u00e9tats firewall que nous allons voir plus loin.<\/p>\n

Nos deux \u00ab\u00a0firewalls\u00a0\u00bb install\u00e9s et configur\u00e9s sous OpenBSD 4.2, nous allons maintenant mont\u00e9 notre haute disponibilit\u00e9 avec un concept de tuerie : CARP<\/a>.<\/p>\n

A suivre…<\/p>\n","protected":false},"excerpt":{"rendered":"

Conception d’un Firewall Rouge en Haute-Disponiblit\u00e9 (1\u00e8re Partie) En mati\u00e8re de Firewall, il existe pl\u00e9thore de solutions payantes ou libres, packag\u00e9es ou non. Vous trouverez bien entendu les solutions propri\u00e9taires, mat\u00e9rielles ou logicielles, telles que CheckPoint, Pix, WatchGuard, Juniper, Arkoon … Read More →<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":[],"categories":[16,3,8],"tags":[],"_links":{"self":[{"href":"http:\/\/blog.guiguiabloc.fr\/index.php\/wp-json\/wp\/v2\/posts\/63"}],"collection":[{"href":"http:\/\/blog.guiguiabloc.fr\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"http:\/\/blog.guiguiabloc.fr\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"http:\/\/blog.guiguiabloc.fr\/index.php\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"http:\/\/blog.guiguiabloc.fr\/index.php\/wp-json\/wp\/v2\/comments?post=63"}],"version-history":[{"count":0,"href":"http:\/\/blog.guiguiabloc.fr\/index.php\/wp-json\/wp\/v2\/posts\/63\/revisions"}],"wp:attachment":[{"href":"http:\/\/blog.guiguiabloc.fr\/index.php\/wp-json\/wp\/v2\/media?parent=63"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"http:\/\/blog.guiguiabloc.fr\/index.php\/wp-json\/wp\/v2\/categories?post=63"},{"taxonomy":"post_tag","embeddable":true,"href":"http:\/\/blog.guiguiabloc.fr\/index.php\/wp-json\/wp\/v2\/tags?post=63"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}