shorewall_code/Shorewall-docs2/three-interface_fr.xml

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE article PUBLIC "-//OASIS//DTD DocBook XML V4.2//EN"
"http://www.oasis-open.org/docbook/xml/4.2/docbookx.dtd">
<article id="three-interface">
  <!--$Id$-->

  <articleinfo>
    <title>Three-Interface Firewall</title>

    <authorgroup>
      <author>
        <firstname>Tom</firstname>

        <surname>Eastep</surname>
      </author>

      <author>
        <firstname>Patrice</firstname>

        <surname>Vetsel</surname>
      </author>

      <author>
        <firstname>Fabien</firstname>

        <surname>Demassieux</surname>
      </author>
    </authorgroup>

    <pubdate>2004-04-03</pubdate>

    <copyright>
      <year>2002-2004</year>

      <holder>Thomas M. Eastep</holder>
    </copyright>

    <legalnotice>
      <para>Permission is granted to copy, distribute and/or modify this
      document under the terms of the GNU Free Documentation License, Version
      1.2 or any later version published by the Free Software Foundation; with
      no Invariant Sections, with no Front-Cover, and with no Back-Cover
      Texts. A copy of the license is included in the section entitled
      <quote><ulink url="GnuCopyright.htm">GNU Free Documentation
      License</ulink></quote>.</para>
    </legalnotice>
  </articleinfo>

  <note>
    <para><emphasis role="underline">Notes du traducteur :</emphasis> Le guide
    initial a été traduit par <ulink
    url="mailto:vetsel.patrice@wanadoo.fr">VETSEL Patrice</ulink> que je
    remercie. J'en ai assuré la révision pour l'adapter à la version 2 de
    Shorewall. J'espère vous faciliter l'accès et la prise en main d'un
    firewall performant, efficace, adaptable et facile d'utilisation. Donc
    félicitations pour la qualité du travail et la disponibilité offerte par
    Thomas M. Eastep. Si vous trouvez des erreurs ou des améliorations à
    apporter vous pouvez me contacter <ulink
    url="mailto:fd03x@wanadoo.fr">Fabien Demassieux</ulink></para>
  </note>

  <section>
    <title>Introduction</title>

    <para>Mettre en place un système Linux en tant que firewall pour un petit
    réseau contenant une DMZ est une chose assez simple, si vous comprenez les
    bases et suivez la documentation.</para>

    <para>Ce guide ne veut pas vous apprendre tous les rouages de Shorewall.
    Il se focalise sur ce qui est nécessaire pour configurer Shorewall, dans
    son utilisation la plus courante :</para>

    <itemizedlist>
      <listitem>
        <para>Un système Linux utilisé en tant que firewall/routeur pour un
        petit réseau local.</para>
      </listitem>

      <listitem>
        <para>Une seule adresse IP publique.</para>

        <note>
          <para>Si vous avez plus d'une adresse IP, ce n'est pas le guide qui
          vous convient -- regardez plutôt du coté du <ulink
          url="shorewall_setup_guide_fr.htm">Guide de Configuration
          Shorewall</ulink>.</para>
        </note>
      </listitem>

      <listitem>
        <para>Une DMZ (Zone démilitarisée) connectée sur une interface
        Ethernet séparée.</para>
      </listitem>

      <listitem>
        <para>Une connexion Internet par le biais d'un modem câble, ADSL,
        ISDN, "Frame Relay", RTC ...</para>
      </listitem>
    </itemizedlist>

    <para>Voici un schéma d'une installation typique.</para>

    <figure>
      <title>Schéma d'une installation typique</title>

      <mediaobject>
        <imageobject>
          <imagedata align="center" fileref="images/dmz1.png" format="PNG" />
        </imageobject>
      </mediaobject>
    </figure>

    <section>
      <title>Pré-requis</title>

      <para>Shorewall a besoin que le package
      <command>iproute</command>/<command>iproute2</command> soit installé
      (avec la distribution <trademark>RedHat</trademark>, le package
      s'appelle <command>iproute</command>). Vous pouvez vérifier si le
      package est installé par la présence du programme <command>ip</command>
      sur votre firewall. En tant que <systemitem
      class="username">root</systemitem>, vous pouvez utiliser la commande
      <command>which</command> pour cela:</para>

      <programlisting>[root@gateway root]# <command>which ip</command>
/sbin/ip
[root@gateway root]#</programlisting>
    </section>

    <section>
      <title>Avant de commencer</title>

      <para>Je recommande en premier la lecture complète du guide afin de se
      familiariser avec les tenants et aboutissants puis de revenir sur les
      modifications de votre configuration adapté à votre système.</para>

      <caution>
        <para>Si vous éditez vos fichiers de configuration sur un système
        <trademark>Windows</trademark>, vous devez les sauver comme des
        fichiers <trademark>Unix</trademark> si votre éditeur supporte cette
        option sinon vous devez les convertir avec <command>dos2unix</command>
        avant d'essayer de les utiliser. De la même manière, si vous copiez un
        fichier de configuration depuis votre disque dur
        <trademark>Windows</trademark> vers une disquette, vous devez lancer
        <command>dos2unix</command> sur la copie avant de l'utiliser avec
        Shorewall.<itemizedlist>
            <listitem>
              <para><ulink
              url="http://www.simtel.net/pub/pd/51438.html"><trademark>Windows</trademark>
              Version of <command>dos2unix</command></ulink></para>
            </listitem>

            <listitem>
              <para><ulink
              url="http://www.megaloman.com/%7Ehany/software/hd2u/">Linux
              Version of <command>dos2unix</command></ulink></para>
            </listitem>
          </itemizedlist></para>
      </caution>
    </section>

    <section>
      <title>Conventions</title>

      <para>Les points ou les modifications s'imposent sont indiqués par
      <inlinegraphic fileref="images/BD21298_.gif" format="GIF" />.</para>

      <para>Les notes de configuration qui sont propres à LEAF/Bering sont
      marqués avec <inlinegraphic fileref="images/leaflogo.gif"
      format="GIF" />.</para>
    </section>
  </section>

  <section>
    <title>PPTP/ADSL</title>

    <para><inlinegraphic fileref="images/BD21298_.gif" format="GIF" /></para>

    <para>Si vous êtes équipé d'un modem <acronym>ADSL</acronym> et utilisez
    <acronym>PPTP</acronym> pour communiquer avec un serveur à travers ce
    modem, vous devez faire le changement <ulink
    url="PPTP.htm#PPTP_ADSL">suivant</ulink> en plus de ceux ci-dessous.
    <acronym>ADSL</acronym> avec <acronym>PPTP</acronym> est commun en Europe,
    ainsi qu'en Australie.</para>
  </section>

  <section>
    <title>Les Concepts de Shorewall</title>

    <para><inlinegraphic fileref="images/BD21298_.gif" format="GIF" /></para>

    <para>Les fichiers de configuration pour Shorewall sont situés dans le
    répertoire /etc/shorewall -- pour de simples paramétrages, vous n'avez à
    faire qu'avec quelques un d'entre eux comme décris dans ce guide.<tip>
        <para>Après avoir <ulink url="Install.htm">installé Shorewall</ulink>,
        téléchargez <ulink
        url="http://www1.shorewall.net/pub/shorewall/Samples/">l'exemple
        three-interface</ulink>, décompressez le (<command>tar
        <option>-zxvf</option>
        <filename>two-interfaces.tgz</filename></command>) et copiez les
        fichiers dans <filename class="directory">/etc/shorewall</filename>
        <emphasis role="bold">(ces fichiers remplaceront les
        initiaux)</emphasis>.</para>
      </tip>Parallèlement à la présentation, je vous suggère de jeter un oeil
    à ceux physiquement présents sur votre système -- chacun des fichiers
    contient des instructions de configuration détaillées et des entrées par
    défaut.</para>

    <para>Shorewall voit le réseau où il fonctionne, comme un ensemble de
    zones. Dans une configuration avec trois interfaces, les noms des zones
    suivantes sont utilisés:</para>

    <informaltable>
      <tgroup align="left" cols="2">
        <thead valign="middle">
          <row>
            <entry align="center">Name</entry>

            <entry align="center">Description</entry>
          </row>
        </thead>

        <tbody>
          <row>
            <entry>net</entry>

            <entry>The Internet</entry>
          </row>

          <row>
            <entry>loc</entry>

            <entry>Your Local Network</entry>
          </row>

          <row>
            <entry>dmz</entry>

            <entry>Demilitarized Zone</entry>
          </row>
        </tbody>
      </tgroup>
    </informaltable>

    <para>Les zones de Shorewall sont définies dans le fichier <ulink
    url="Documentation.htm#Zones"><filename
    class="directory">/etc/shorewall/</filename><filename>zones</filename></ulink>.</para>

    <para>Shorewall reconnaît aussi le système de firewall comme sa propre
    zone - par défaut, le firewall est connu comme <emphasis
    role="bold"><varname>fw</varname></emphasis>.</para>

    <para>Les règles à propos du trafic à autoriser et à interdire sont
    exprimées en terme de zones.</para>

    <itemizedlist>
      <listitem>
        <para>Vous exprimez votre politique par défaut pour les connexions
        d'une zone vers une autre zone dans le fichier <ulink
        url="Documentation.htm#Policy"><filename
        class="directory">/etc/shorewall/</filename><filename>policy</filename></ulink>.</para>
      </listitem>

      <listitem>
        <para>Vous définissez les exceptions à ces politiques pas défaut dans
        le fichier <ulink url="Documentation.htm#Rules"><filename
        class="directory">/etc/shorewall/</filename><filename>rules</filename></ulink>.</para>
      </listitem>
    </itemizedlist>

    <para>Pour chaque connexion demandant à entrer dans le firewall, la
    requête est en premier lieu comparée par rapport au fichier <filename
    class="directory">/etc/shorewall/</filename><filename>rules</filename>. Si
    aucune règle dans ce fichier ne correspond à la demande de connexion alors
    la première politique dans le fichier <filename
    class="directory">/etc/shorewall/</filename><filename>policy</filename>
    qui y correspond sera appliquée. Si cette politique est
    <varname>REJECT</varname> ou <varname>DROP</varname> la requête est dans
    un premier temps comparée par rapport aux règles contenues dans le fichier
    <filename
    class="directory">/etc/shorewall/</filename><filename>common</filename>,
    si ce fichier existe; sinon les régles dans le fichier <filename
    class="directory">/etc/shorewall/</filename><filename>common.def</filename>
    sont vérifiées.</para>

    <para>Le fichier /etc/shorewall/policy inclus dans l'archive d'exemple
    (three-interface) contient les politiques suivantes:</para>

    <programlisting>#SOURCE    DEST        POLICY      LOG LEVEL    LIMIT:BURST
loc        net         ACCEPT
net        all         DROP        info
all        all         REJECT      info</programlisting>

    <important>
      <para>Dans le fichier d'exemple (three-interface), la ligne suivante est
      incluse mais elle est commentée. Si vous voulez que votre firewall
      puisse avoir un accès complet aux serveurs sur Internet, décommentez la
      ligne.</para>

      <programlisting>#SOURCE    DEST        POLICY      LOG LEVEL    LIMIT:BURST
fw         net         ACCEPT</programlisting>
    </important>

    <para>Les politiques précédentes vont: <itemizedlist>
        <listitem>
          <para>Permettre toutes demandes de connexion depuis votre réseau
          local vers Internet</para>
        </listitem>

        <listitem>
          <para>Drop (ignorer) toutes les demandes de connexion depuis
          l'Internet vers votre firewall ou votre réseau local</para>
        </listitem>

        <listitem>
          <para>Accept (accepter) facultativement toutes les demandes de
          connexion de votre firewall vers l'Internet (si vous avez décommenté
          la politique additionnelle)</para>
        </listitem>

        <listitem>
          <para>Reject (rejeter) toutes les autres requêtes de
          connexion.</para>
        </listitem>
      </itemizedlist></para>

    <para><inlinegraphic fileref="images/BD21298_.gif" format="GIF" /></para>

    <para>Maintenant, editez votre propre fichier <filename><filename
    class="directory">/etc/shorewall/</filename><filename>policy</filename></filename>
    et apportez les modifications et ajouter ce que vous voulez.</para>
  </section>

  <section>
    <title>Les Interfaces Réseau</title>

    <figure>
      <title>DMZ</title>

      <mediaobject>
        <imageobject>
          <imagedata align="center" fileref="images/dmz1.png" format="PNG" />
        </imageobject>
      </mediaobject>
    </figure>

    <para>Le firewall a trois interfaces de réseau. Lorsque la connexion
    Internet passe par le câble ou par un ROUTEUR (pas un simple modem) ADSL
    (non USB) <quote>Modem</quote>, l'interface vers l'extérieur (External
    Interface) sera l'adaptateur sur lequel est connecté le routeur
    <quote>Modem</quote> (e.g., <filename class="devicefile">eth0</filename>)
    à moins que vous ne vous connectiez par <emphasis>Point-to-Point
    Protocol</emphasis> over Ethernet (PPPoE) ou par <emphasis>Point-to-Point
    Tunneling Protocol</emphasis> (PPTP),dans ce cas l'interface extérieure
    sera une interface de type ppp (e.g., <filename
    class="devicefile">ppp0</filename>). Si vous vous connectez par un simple
    modem (RTC), votre interface extérieure sera aussi ppp0. Si votre
    connexion passe par Numéris (ISDN), votre interface extérieure sera
    <filename class="devicefile">ippp0</filename>.</para>

    <para><inlinegraphic fileref="images/BD21298_.gif" format="GIF" /></para>

    <para>Si votre interface vers l'extérieur est <filename
    class="devicefile">ppp0</filename> ou <filename
    class="devicefile">ippp0</filename> alors vous mettrez CLAMPMSS=yes dans
    le fichier <filename>/etc/shorewall/shorewall.conf</filename>.</para>

    <para>Votre <emphasis>Interface locale</emphasis> sera un adaptateur
    Ethernet (<filename class="devicefile">eth0</filename>, <filename
    class="devicefile">eth1</filename> or <filename
    class="devicefile">eth2</filename>) et sera connecté à un hub ou un
    switch. Vos ordinateurs locaux seront connectés à ce même switch (note :
    si vous n'avez qu'un seul ordinateur en local, vous pouvez le connecter
    directement au firewall par un câble croisé).</para>

    <para>Votre <emphasis>interface DMZ</emphasis> sera aussi un adaptateur
    Ethernet (<filename class="devicefile">eth0</filename>, <filename
    class="devicefile">eth1</filename> or <filename
    class="devicefile">eth2</filename>) et sera connecté à un hub ou un
    switch. Vos ordinateurs appartenant à la DMZ seront connectés à ce même
    switch (note : si vous n'avez qu'un seul ordinateur dans la DMZ, vous
    pouvez le connecter directement au firewall par un câble croisé).</para>

    <caution>
      <para>Ne connectez pas l'interface interne et externe sur le même hub ou
      switch, sauf pour tester avec une version postérieure à Shorewall 1.4.7.
      Quand vous utilisez ces versions récentes, vous pouvez tester ce type de
      configuration si vous spécifiez l'option arp_filter dans le fichier
      <filename
      class="directory">/etc/shorewall/</filename><filename>interfaces</filename>
      pour toutes les interfaces connectées au hub/switch commun. Utiliser une
      telle configuration avec un firewall en production est fortement
      déconseillé.</para>
    </caution>

    <para><inlinegraphic fileref="images/BD21298_.gif" format="GIF" /></para>

    <para>L'exemple de configuration de Shorewall pour trois interfaces
    suppose que l'interface externe est <filename
    class="devicefile">eth0</filename>, l'interface locale est <filename
    class="devicefile">eth1</filename> et que la DMZ est sur l'interface
    <filename class="devicefile">eth2</filename>. Si votre configuration
    diffère, vous devrez modifier le fichier d'exemple
    <filename>/etc/shorewall/interfaces</filename> en conséquence. Tant que
    vous y êtes, vous pourriez parcourir la liste des options qui sont
    spécifiées pour les interfaces. Quelques trucs :</para>

    <tip>
      <para>Si votre interface vers l'extérieur est <filename
      class="devicefile">ppp0</filename> ou <filename
      class="devicefile">ippp0</filename>, vous pouvez remplacer le
      <varname>detect</varname> dans la seconde colonne par un
      <quote>-</quote> (sans les quotes).</para>
    </tip>

    <tip>
      <para>Si votre interface vers l'extérieur est <filename
      class="devicefile">ppp0</filename> or <filename
      class="devicefile">ippp0</filename> u si vous avez une adresse
      <acronym>IP</acronym> statique, vous pouvez enlever
      <varname>dhcp</varname> dans la liste des options .</para>
    </tip>

    <tip>
      <para>Si votre interface est un bridge utilisant l'utilitaire
      <command>brctl</command> alors vous devez ajouter l'option
      <varname>routeback</varname> à la liste des options.</para>
    </tip>

    <tip>
      <para>Si vous spécifiez <emphasis>norfc1918</emphasis> pour votre
      interface externe, vous pouvez vérifier périodiquement le <ulink
      url="errata.htm">Shorewall Errata</ulink> pour mettre à jour le fichier
      <filename>/usr/share/shorewall/rfc1918</filename>. Sinon, vous pouvez
      copier le fichier <filename>/usr/share/shorewall/rfc1918</filename> vers
      <filename>/etc/shorewall/rfc1918</filename> et <ulink
      url="myfiles.htm#RFC1918">adapter votre fichier
      <filename>/etc/shorewall/rfc1918</filename> comme je le
      fais</ulink>.</para>
    </tip>
  </section>

  <section>
    <title>Adresses IP</title>

    <para>Avant d'aller plus loin, nous devons dire quelques mots au sujet des
    adresses Internet Protocol (<acronym>IP</acronym>). Normalement, votre
    fournisseur Internet <acronym>ISP</acronym> vous assignera une seule
    adresse IP. Cette adresse peut être assignée par le Dynamic Host
    Configuration Protocol (<acronym>DHCP</acronym>) ou lors de
    l'établissement de votre connexion lorsque vous vous connectez (modem
    standard) ou établissez votre connexion <acronym>PPP</acronym>. Dans de
    rares cas , votre provider peut vous assigner une adresse statique
    <acronym>IP</acronym> ; cela signifie que vous devez configurer
    l'interface externe de votre firewall afin d'utiliser cette adresse de
    manière permanente. Votre adresse externe assignée, elle va être partagée
    par tous vos systèmes lors de l'accès à Internet. Vous devrez assigner vos
    propres adresses dans votre réseau local (votre interface interne sur le
    firewall ainsi que les autres ordinateurs). La <emphasis role="bold">RFC
    1918</emphasis> réserve plusieurs plages d'adresses privées
    <emphasis>Private</emphasis> <acronym>IP</acronym> à cet fin:</para>

    <programlisting>10.0.0.0    - 10.255.255.255
172.16.0.0  - 172.31.255.255
192.168.0.0 - 192.168.255.255</programlisting>

    <para><inlinegraphic fileref="images/BD21298_.gif" format="GIF" /></para>

    <para>Avant de lancer Shorewall, regarder l'adresse IP de votre interface
    externe, et si elle est dans les plages précédentes, vous devez enlever
    l'option 'norfc1918' dans la ligne concernant l'interface externe dans le
    fichier <filename
    class="directory">/etc/shorewall/</filename><filename>interfaces</filename>.</para>

    <para>Vous devrez assigner vos adresses depuis le même sous-réseau
    (sub-network-subnet). Pour ce faire, nous pouvons considérer un
    sous-réseau dans une plage d'adresses <varname>x.y.z.0 -
    x.y.z.255</varname>. Chaque sous-réseau aura un masque (Subnet Mask)
    <systemitem class="netmask">255.255.255.0</systemitem>. L'adresse
    <varname>x.y.z.0</varname> est réservée comme l'adresse de sous-réseau
    <emphasis>Subnet Address</emphasis> et <varname>x.y.z.255</varname> est
    réservée en tant qu'adresse de broadcast <emphasis>Subnet Broadcast
    Address</emphasis>. Dans Shorewall, un sous-réseau est décrit en utilisant
    <ulink url="shorewall_setup_guide.htm#Subnets">Classless InterDomain
    Routing (CIDR) notation</ulink> Il consiste en l'adresse du sous-réseau
    suivie par<varname>/24</varname>. Le <quote>24</quote> se réfère au nombre
    consécutif de bits marquant <quote>1</quote> dans la partie gauche du
    masque de sous-réseau. </para>

    <table>
      <title>Un exemple de sous-réseau (sub-network) :</title>

      <tgroup cols="2">
        <colspec align="left" />

        <tbody>
          <row>
            <entry>Range:</entry>

            <entry><systemitem class="ipaddress">10.10.10.0</systemitem> -
            <systemitem class="ipaddress">10.10.10.255</systemitem></entry>
          </row>

          <row>
            <entry>Subnet Address:</entry>

            <entry><systemitem
            class="ipaddress">10.10.10.0</systemitem></entry>
          </row>

          <row>
            <entry>Broadcast Address:</entry>

            <entry><systemitem
            class="ipaddress">10.10.10.255</systemitem></entry>
          </row>

          <row>
            <entry>CIDR Notation:</entry>

            <entry><systemitem
            class="ipaddress">10.10.10.0/24</systemitem></entry>
          </row>
        </tbody>
      </tgroup>
    </table>

    <para>Il est de mise d'assigner l'interface interne à la première adresse
    utilisable du sous-réseau (<systemitem
    class="ipaddress">10.10.10.1</systemitem> dans l'exemple précédent) ou la
    dernière adresse utilisable (<systemitem
    class="ipaddress">10.10.10.254</systemitem>).</para>

    <para>L'un des buts d'un sous-réseau est de permettre à tous les
    ordinateurs dans le sous-réseau de savoir avec quels autres ordinateurs
    ils peuvent communiquer directement. Pour communiquer avec des systèmes en
    dehors du sous-réseau, les ordinateurs envoient des paquets à travers le
    gateway (routeur).</para>

    <para><inlinegraphic fileref="images/BD21298_.gif" format="GIF" /></para>

    <para>Vos ordinateurs en local (ordinateur 1 et ordinateur 2 dans le
    diagramme) devraient être configurés avec leur passerelle par défaut
    (default gateway) pointant sur l'adresse <acronym>IP</acronym> de
    l'interface interne du firewall.</para>

    <para>La présentation précédente ne fait que d'effleurer la question des
    sous réseaux et du routage. Si vous êtes intéressé pour apprendre plus sur
    l'adressage <acronym>IP</acronym> et le routage, je recommande <quote>IP
    Fundamentals: What Everyone Needs to Know about Addressing &amp;
    Routing</quote>, Thomas A. Maufer, Prentice-Hall, 1999, ISBN 0-13-975483-0
    (<ulink
    url="http://www.phptr.com/browse/product.asp?product_id={58D4F6D4-54C5-48BA-8EDD-86EBD7A42AF6}">link</ulink>).</para>

    <para>Le reste de ce guide assumera que vous avez configuré votre réseau
    comme montré ci-dessous :</para>

    <figure>
      <title>DMZ</title>

      <graphic align="center" fileref="images/dmz2.png" />
    </figure>

    <para>La passerelle par défaut (default gateway) pour les ordinateurs de
    la DMZ sera <systemitem class="ipaddress">10.10.11.254</systemitem> et le
    passerelle par défaut pour les ordinateurs en local sera <systemitem
    class="ipaddress">10.10.10.254</systemitem></para>

    <warning>
      <para>Votre <acronym>FAI</acronym> (fournisseur d'accés) pourrait
      assigner une adresse <emphasis role="bold">RFC 1918</emphasis> à votre
      interface externe. Si cette adresse est le sous-réseau <systemitem
      class="ipaddress">10.10.10.0/24</systemitem> alors vous aurez besoin
      d'un sous-réseau DIFFERENT RFC 1918 pour votre réseau local.</para>
    </warning>
  </section>

  <section>
    <title>IP Masquerading (SNAT)</title>

    <para>Les adresses réservées par la RFC 1918 sont parfois désignées comme
    non-routables car les routeurs Internet (backbone) ne font pas circuler
    les paquets qui ont une adresse de destination appartenant à la RFC-1918.
    Lorsqu'un de vos systèmes en local (supposons l'ordinateur1) demande une
    connexion à un serveur par Internet, le firewall doit appliquer un
    <emphasis>Network Address Translation</emphasis> (<acronym>NAT</acronym>).
    Le firewall réécrit l'adresse source dans le paquet, et l'a remplacé par
    l'adresse de l'interface externe du firewall; en d'autres mots, le
    firewall fait croire que c'est lui même qui initie la connexion. Ceci est
    nécessaire afin que l'hôte de destination soit capable de renvoyer les
    paquets au firewall (souvenez vous que les paquets qui ont pour adresse de
    destination, une adresse réservée par la RFC 1918 ne pourront pas être
    routés à travers Internet, donc l'hôte Internet ne pourra adresser sa
    réponse à l'ordinateur 1). Lorsque le firewall reçoit le paquet de
    réponse, il remet l'adresse de destination à <systemitem
    class="ipaddress">10.10.10.1</systemitem> et fait passer le paquet vers
    l'ordinateur 1.</para>

    <para>Sur les systèmes Linux, ce procédé est souvent appelé <emphasis>IP
    Masquerading</emphasis> mais vous verrez aussi le terme de
    <emphasis>Source Network Address Translation</emphasis>
    (<acronym>SNAT</acronym>). Shorewall suit la convention utilisée avec
    Netfilter:<itemizedlist>
        <listitem>
          <para><emphasis>Masquerade</emphasis> désigne le cas ou vous laissez
          votre firewall détecter automatiquement l'adresse de l'interface
          externe.</para>
        </listitem>

        <listitem>
          <para><emphasis><acronym>SNAT</acronym></emphasis> désigne le cas où
          vous spécifiez explicitement l'adresse source des paquets sortant de
          votre réseau local.</para>
        </listitem>
      </itemizedlist>Sous Shorewall, autant le
    <emphasis>Masquerading</emphasis> et le
    <emphasis><acronym>SNAT</acronym></emphasis> sont configuré avec des
    entrés dans le fichier <filename
    class="directory">/etc/shorewall/</filename><filename>masq</filename>.
    Vous utiliserez normalement le Masquerading si votre adresse
    <acronym>IP</acronym> externe i est dynamique, et <acronym>SNAT</acronym>
    si l'adresse <acronym>IP</acronym> est statique.</para>

    <para><inlinegraphic fileref="images/BD21298_.gif" format="GIF" /></para>

    <para>Si votre interface externe est <filename
    class="devicefile">eth0</filename>, votre interface locale <filename
    class="devicefile">eth1</filename> et votre interface pour la DMZ
    <filename class="devicefile">eth2</filename> vous n'avez pas besoin de
    modifier le fichier fourni avec l'exemple. Dans le cas contraire, éditez
    <filename
    class="directory">/etc/shorewall/</filename><filename>masq</filename> et
    changez le en conséquence.</para>

    <para>Si, malgré les avertissements, vous utilisez ce guide pour un
    utilisation de one-to-one NAT ou de Proxy ARP pour votre DMZ, enlever
    l'entrée pour <filename class="devicefile">eth2</filename> de
    <filename><filename
    class="directory">/etc/shorewall/</filename><filename>masq</filename></filename>.</para>

    <para><inlinegraphic fileref="images/BD21298_.gif" format="GIF" /></para>

    <para>Si votre IP externe est statique, vous pouvez la mettre dans la
    troisième colonne dans <filename
    class="directory">/etc/shorewall/</filename><filename>masq</filename> si
    vous le désirez, de toutes façons votre firewall fonctionnera bien si vous
    laissez cette colonne vide. Le fait de mettre votre IP statique dans la
    troisième colonne permet un traitement des paquets sortant un peu plus
    efficace.</para>

    <para><inlinegraphic fileref="images/BD21298_.gif" format="GIF" /></para>

    <para>Si vous utilisez les paquets Debian, vérifiez que votre fichier de
    configuration <filename>shorewall.conf</filename> contient bien les
    valeurs suivantes, si elles n'y sont pas faite les changements
    nécessaires:<itemizedlist spacing="compact">
        <listitem>
          <para><varname>NAT_ENABLED=Yes</varname> (Shorewall versions earlier
          than 1.4.6)</para>
        </listitem>

        <listitem>
          <para><varname>IP_FORWARDING=On</varname></para>
        </listitem>
      </itemizedlist></para>
  </section>

  <section>
    <title>Port Forwarding (DNAT)</title>

    <para>Un de nos buts est de, peut être, faire tourner un ou plusieurs
    serveurs sur nos ordinateurs dans la DMZ. que ces ordinateurs on une
    adresse RFC-1918, il n'est pas possible pour les clients sur Internet de
    se connecter directement à eux. Il est nécessaire à ces clients d'adresser
    leurs demandes de connexion au firewall qui ré écrit l'adresse de
    destination de votre serveur, et fait passer le paquet à celui-ci. Lorsque
    votre serveur répond, le firewall applique automatiquement un SNAT pour
    réécrire l'adresse source dans la réponse.</para>

    <para>Ce procédé est appelé <emphasis>Port Forwarding</emphasis> ou
    <emphasis>Destination Network Address Translation</emphasis> (DNAT). Vous
    configurez le port forwarding en utilisant les règles DNAT dans le fichier
    <filename
    class="directory">/etc/shorewall/</filename><filename>rules</filename>
    file.</para>

    <para>La forme générale d'une simple règle de port forwarding dans
    <filename
    class="directory">/etc/shorewall/</filename><filename>rules</filename>
    est: <programlisting>#ACTION   SOURCE    DEST                                          PROTO      DEST PORT(S)
DNAT      net       dmz:<emphasis>&lt;server local IP address&gt;</emphasis>[:<emphasis>&lt;server port&gt;</emphasis>] <emphasis>&lt;protocol&gt;</emphasis> <emphasis>&lt;port&gt;</emphasis></programlisting>
    Si vous ne spécifiez pas le <emphasis><varname>&lt;server
    port&gt;</varname></emphasis>, il est supposé être le même que
    <emphasis><varname>&lt;port&gt;</varname></emphasis>.</para>

    <example>
      <title>Vous faites tourner un serveur Web dans votre DMZ (2) et vous
      voulez faire passer les paquets entrant en TCP sur le port 80 à ce
      système</title>

      <para><programlisting>#ACTION   SOURCE    DEST                PROTO      DEST PORT(S)
DNAT      net       dmz:10.10.11.2      tcp        80
ACCEPT    loc       dmz:10.10.11.2      tcp        80</programlisting><itemizedlist>
          <listitem>
            <para>L'entrée 1 forward le port 80 depuis Internet.</para>
          </listitem>

          <listitem>
            <para>L'entrée 2 autorise les connexions du réseau local.</para>
          </listitem>
        </itemizedlist>Deux points importants à garder en mémoire
      :<itemizedlist>
          <listitem>
            <para>Lorsque vous vous connectez à votre serveur à partir de
            votre réseau local, vous devez utiliser l'adresse IP interne du
            serveur (<systemitem
            class="ipaddress">10.10.11.2</systemitem>).</para>
          </listitem>

          <listitem>
            <para>Quelques fournisseurs Internet (Provider/ISP) bloquent les
            requêtes de connexion entrantes sur le port 80. Si vous avez des
            problèmes pour vous connecter à votre serveur web, essayez la
            règle suivante et connectez vous sur le port 5000 (c.a.d.,
            connectez vous à <literal>http://w.x.y.z:5000 ou w.x.y.z</literal>
            est votre IP externe).<programlisting>#ACTION   SOURCE    DEST                PROTO      DEST PORT(S)    SOURCE
#                                                                  PORT(S)
DNAT      net       dmz:10.10.11.2:80   tcp        80              5000</programlisting></para>
          </listitem>

          <listitem>
            <para>Si vous voulez avoir la possibilité de vous connecter à
            votre serveur depuis le réseau local en utilisant votre adresse
            externe, et si vous avez une adresse IP externe statique (fixe),
            vous pouvez remplacer la règle loc-&gt;dmz précédente par
            :<programlisting>#ACTION   SOURCE    DEST            PROTO  DEST PORT(S)  SOURCE   ORIGINAL
#                                                        PORT(S)  DEST
DNAT      loc       dmz:10.10.11.2  tcp    80            -        <emphasis>&lt;external IP&gt;</emphasis></programlisting>Si
            vous avez une IP dynamique, alors vous devez vous assurer que
            votre interface externe est en route avant de lancer Shorewall et
            vous devez suivre les étapes suivantes (en supposant que votre
            interface externe est <filename
            class="devicefile">eth0</filename>):<orderedlist>
                <listitem>
                  <para>Insérez ce qui suit dans /etc/shorewall/params:</para>

                  <para><command>ETH0_IP=$(find_interface_address
                  eth0)</command></para>
                </listitem>

                <listitem>
                  <para>Faites votre règle <literal>loc-&gt;dmz</literal>
                  rule: <programlisting>#ACTION   SOURCE    DEST             PROTO   DEST PORT(S)  SOURCE   ORIGINAL
#                                                          PORT(S)  DEST
DNAT      loc       dmz:10.10.11.2   tcp     80            -        $ETH0_IP</programlisting></para>
                </listitem>
              </orderedlist></para>
          </listitem>

          <listitem>
            <para>Si vous voulez accéder à votre serveur dans la DMZ en
            utilisant votre adresse IP externe, regardez <ulink
            url="FAQ.htm#faq2a">FAQ 2a</ulink>.</para>
          </listitem>
        </itemizedlist></para>
    </example>

    <para><inlinegraphic fileref="images/BD21298_.gif" format="GIF" /></para>

    <para>A ce point, ajoutez les règles DNAT et ACCEPT pour vos
    serveurs.</para>
  </section>

  <section>
    <title>Domain Name Server (DNS)</title>

    <para>Normalement, quand vous vous connectez à votre fournisseur
    (FAI/ISP), une partie consiste à obtenir votre adresse IP, votre
    <emphasis>Domain Name Service</emphasis> (<acronym>DNS</acronym>) pour le
    firewall est configuré automatiquement (c.a.d.,le fichier <filename
    class="directory">/etc/</filename><filename>resolv.conf</filename> sera
    mis à jour). Il arrive que votre provider vous donne une paire d'adresse
    <acronym>IP</acronym> pour les serveurs <acronym>DNS</acronym> afin que
    vous configuriez manuellement votre serveur de nom primaire et secondaire.
    La manière dont le <acronym>DNS</acronym> est configuré sur votre firewall
    est de votre responsabilité. Vous pouvez procéder d'une de ses deux façons
    :<itemizedlist>
        <listitem>
          <para>Vous pouvez configurer votre système interne pour utiliser les
          noms de serveurs de votre provider. Si votre fournisseur vous donne
          les adresses de leurs serveurs ou si ces adresses sont disponibles
          sur leur site web, vous pouvez configurer votre système interne afin
          de les utiliser. Si cette information n' est pas disponible,
          regardez dans <filename
          class="directory"><filename>/etc/</filename></filename><filename>resolv.conf</filename>
          sur votre firewall -- les noms des serveurs sont donnés dans
          l'enregistrement "nameserver" dans ce fichier.</para>
        </listitem>

        <listitem>
          <para><anchor id="cachingdns" />Vous pouvez configurer un cache dns
          <emphasis>Caching Name Server</emphasis> sur votre firewall.
          <trademark>Red Hat</trademark> a un <acronym>RPM</acronym> pour
          serveur dns de cache (le <acronym>RPM</acronym> à besoin aussi du
          paquetage <command>bind </command><acronym>RPM</acronym>) et pour
          les utilisateurs de Bering, il y a <command>dnscache.lrp</command>.
          Si vous adoptez cette approche, vous configurez votre système
          interne pour utiliser le firewall lui même comme étant le seul
          serveur de nom primaire. Vous pouvez utiliser l'adresse
          <acronym>IP</acronym> interne du firewall (<systemitem
          class="ipaddress">10.10.10.254</systemitem> dans l'exemple
          précédent) pour l'adresse de serveur de nom. Pour permettre à vos
          systèmes locaux de discuter avec votre serveur cache de nom, vous
          devez ouvrir le port 53 (à la fois <acronym>UDP</acronym> and
          <acronym>TCP</acronym>) sur le firewall vers le réseau local; vous
          ferez ceci en ajoutant les règles suivantes dans <filename
          class="directory">/etc/shorewall/</filename><filename>rules</filename>.</para>

          <para>Si vous faites tourner le serveur de nom sur le firewall:
          <programlisting>#ACTION   SOURCE    DEST                PROTO      DEST PORT(S)                      
AllowDNS  loc       fw
AllowDNS  dmz       fw             </programlisting></para>
        </listitem>
      </itemizedlist>Dans la régle ci-dessus, <quote>AllowDNS</quote> est un
    exemple d'action prédéfinie <emphasis>defined action</emphasis>. Shorewall
    inclus un nombre d'actions prédéfinies et vous pouvez <ulink
    url="User_defined_Actions.html">ajouter les vôtres</ulink>. Pour voir les
    actions comprises avec votre version de Shorewall, regardez dans le
    fichier <filename>/etc/shorewall/actions.std</filename>. Le nom de celles
    qui acceptent des connexions débutent par <quote>Allow</quote>.</para>

    <para>Vous n'êtes pas obligé d'utiliser des actions prédéfinies quand vous
    ajoutez des régles dans le fichier
    <filename>/etc/shorewall/rules</filename>; les régles générées par
    Netfilter sont plus performantes sans actions prédéfinies. La régle vue
    ci-dessus peut aussi être codé comme cela:</para>

    <programlisting>#ACTION   SOURCE    DEST                PROTO      DEST PORT(S)                      
ACCEPT    loc       fw                  tcp        53
ACCEPT    loc       fw                  udp        53
ACCEPT    dmz       fw                  tcp        53
ACCEPT    dmz       fw                  udp        53              </programlisting>

    <para>Au cas ou Shorewall n'inclue pas d'actions définies qui vous
    conviennent, vous pouvez les définir vous même ou coder directement les
    régles.</para>
  </section>

  <section>
    <title>Autres Connexions</title>

    <para>Les fichiers exemples inclus dans l'archive (three-interface)
    contiennent les règles suivantes :<programlisting>#ACTION   SOURCE    DEST                PROTO      DEST PORT(S)                      
AllowDNS  fw        net       </programlisting>Ces règles autorisent l'accès
    <acronym>DNS</acronym> à partir de votre firewall et peuvent être enlevées
    si vous avez décommenté la ligne dans <filename
    class="directory">/etc/shorewall/</filename><filename>policy</filename>
    autorisant toutes les connexions depuis le firewall vers Internet.</para>

    <para>L'exemple inclus aussi: <programlisting>#ACTION   SOURCE    DEST                PROTO      DEST PORT(S)                      
AllowSSH  loc       fw
AllowSSH  loc       dmz        </programlisting>Ces régles autorisent un
    serveur <acronym>SSH</acronym> sur votre firewall et chacun des systèmes
    de votre DMZ et y autoriser la connexion à ceux-ci depuis votre réseau
    local.</para>

    <para>Si vous désirez permettre d'autres connexions entre vos systèmes, la
    syntaxe générale est:<programlisting>#ACTION   SOURCE        DEST                PROTO      DEST PORT(S)                      
&lt;<emphasis>action</emphasis>&gt;  <emphasis>&lt;source zone&gt; &lt;destination zone&gt;</emphasis></programlisting></para>

    <para>La syntaxe générale lorsqu'on utilise pas des actions prédéfinies
    est:<programlisting>#ACTION   SOURCE        DEST                PROTO      DEST PORT(S)                      
ACCEPT    <emphasis>&lt;source zone&gt; &lt;destination zone&gt;  &lt;protocol&gt; &lt;port&gt; </emphasis></programlisting></para>

    <example>
      <title>Vous souhaitez rendre publiquement accessible votre serveur DNS
      sur le firewall</title>

      <para>En utiliser une action prédéfinie:</para>

      <programlisting>#ACTION   SOURCE    DEST                PROTO      DEST PORT(S)
AllowDNS  net       fw</programlisting>

      <para>Sans action prédéfinie:</para>

      <programlisting>#ACTION   SOURCE    DEST                PROTO      DEST PORT(S)                      
ACCEPT    net       fw                  tcp        53
ACCEPT    net       fw                  udp        53        </programlisting>

      <para>Ces deux régles viennent évidemment s'ajouter à celles listées
      sous <quote><link linkend="cachingdns">Vous pouvez configurer un cache
      dns sur votre firewall</link></quote>.</para>
    </example>

    <para>Si vous ne savez pas quel port(s) et protocole(s) requièrent une
    application particulière, vous pouvez regarder <ulink
    url="ports.htm">ici</ulink>.</para>

    <important>
      <para>Je ne recommande pas d'autoriser <command>telnet</command> vers/de
      l'Internet parce qu'il utilise du texte en clair (même pour le login!).
      Si vous voulez un accés shell à votre firewall, utilisez
      <acronym>SSH</acronym>:</para>

      <programlisting>#ACTION    SOURCE    DEST               PROTO     DEST PORT(S)
AllowSSH   net       fw</programlisting>
    </important>

    <para><inlinegraphic fileref="images/leaflogo.gif" format="GIF" /> Les
    utilisateurs de Bering pourront ajouter les deux régles suivantes pour
    être compatible avec la configuration du firewall Jacques's
    Shorewall.<programlisting>#ACTION   SOURCE    DEST                PROTO      DEST PORT(S)                      
ACCEPT    loc       fw                  udp        53
ACCEPT    net       fw                  tcp        80       </programlisting><itemizedlist>
        <listitem>
          <para>L'entrée 1 autorise l'utilisation du Cache DNS.</para>
        </listitem>

        <listitem>
          <para>L'entrée 2 autorise le <quote>weblet</quote> à
          fonctionner.</para>
        </listitem>
      </itemizedlist><inlinegraphic fileref="images/BD21298_.gif"
    format="GIF" /></para>

    <para>Maintenant, éditez votre fichier de configuration <filename
    class="directory">/etc/shorewall/</filename><filename>rules</filename>
    pour ajouter, modifier ou supprimer les autres connexions voulues.</para>
  </section>

  <section>
    <title>Quelques Points à Garder en Mémoire</title>

    <itemizedlist>
      <listitem>
        <para><emphasis role="bold">Vous ne pouvez tester votre firewall de
        l'intérieur de votre réseau</emphasis>. Car les requêtes que vous
        envoyez à votre adresse IP ne veux pas dire qu'elle seront associées à
        votre interface externe ou la zone <quote>net</quote>. Tout trafic
        généré par le réseau local sera traité par loc-&gt;fw.</para>
      </listitem>

      <listitem>
        <para><emphasis role="bold">Les adresses IP sont des propriétés des
        systèmes, pas des interfaces</emphasis>. C'est une erreur de croire
        que votre firewall est capable de renvoyer des paquets simplement
        parce que vous pouvez faire un ping sur l'adresse IP de toutes les
        interfaces du firewall depuis le réseau local. La seul conclusion est
        de conclure que le lien entre le réseau local et le firewall est
        établi et que vous avez probablement la bonne adresse de la passerelle
        sur votre système.</para>
      </listitem>

      <listitem>
        <para><emphasis role="bold">Toutes les adresses IP configurées sur le
        firewall sont dans la zone $FW (fw)</emphasis>. Si 192.168.1.254 est
        l'adresse IP de votre interface interne, alors vous pouvez écrire
        <quote><emphasis role="bold">$FW:192.168.1.254</emphasis></quote> dans
        une régle mais vous ne devez pas écrire <quote><emphasis
        role="bold">loc:192.168.1.254</emphasis></quote>. C'est aussi un
        non-sens d'ajouter 192.168.1.254 à la zone <emphasis
        role="bold">loc</emphasis> en utilisant une entrée dans
        <filename>/etc/shorewall/hosts</filename>.</para>
      </listitem>

      <listitem>
        <para><emphasis role="bold">Les paquets de retour (Reply) ne suivent
        PAS automatiquement le chemin inverse de la requête
        d'origine</emphasis>. Tous les paquets sont routés en se référant à la
        table de routage respective de chaque hôte à chaque étape du trajet.
        C'est commun chez ceux qui installent le firewall Shorewall en
        parallèle à une passerelle existante et essayent d'utiliser DNAT dans
        Shorewall sans changer la passerelle par défaut sur les systèmes
        recevant le retour des requêtes. Les requêtes dont, à travers le
        firewall Shorewall, l'adresse de destination IP est réécrite mais la
        réponse va directement vers l'ancienne passerelle.</para>
      </listitem>

      <listitem>
        <para><emphasis role="bold">Shorewall lui-même n'a aucune notion du
        dedans et du dehors</emphasis>. Ces concepts dépendent de la façon
        dont Shorewall est configuré.</para>
      </listitem>
    </itemizedlist>
  </section>

  <section>
    <title>Démarrer et Arrêter Votre Firewall</title>

    <para><inlinegraphic fileref="images/BD21298_.gif" format="GIF" /></para>

    <para>La <ulink url="Install.htm">procédure d'installation</ulink>
    configure votre système pour lancer Shorewall au boot du système, mais au
    début avec la version 1.3.9 de Shorewall le lancement est désactivé,
    n'essayer pas de lancer Shorewall avec que la configuration soit finie.
    Une fois que vous en aurez fini avec la configuration du firewall, vous
    pouvez permettre le lancement de Shorewall en supprimant le fichier
    <filename
    class="directory">/etc/shorewall/</filename><filename>startup_disabled</filename>.
    <important>
        <para>Les utilisateurs des paquets .deb doivent éditer <filename
        class="directory">/etc/default/</filename><filename>shorewall</filename>
        and set <varname>startup=1</varname>.</para>
      </important>Le firewall est activé en utilisant la commande
    <quote><command>shorewall start</command></quote> et arrêté avec
    <quote><command>shorewall stop</command></quote>. Lorsque le firewall est
    stoppé, le routage est autorisé sur les hôtes qui possèdent une entrée
    dans <filename
    class="directory">/etc/shorewall/</filename><filename><ulink
    url="Documentation.htm#Routestopped">routestopped</ulink></filename>. Un
    firewall qui tourne peut être relancé en utilisant la commande
    <quote><command>shorewall restart</command></quote> command. Si vous
    voulez enlever toutes traces de Shorewall sur votre configuration de
    Netfilter, utilisez <quote><command>shorewall
    clear</command></quote>.</para>

    <para><inlinegraphic fileref="images/BD21298_.gif" format="GIF" /></para>

    <para>Les exemples (three-interface) supposent que vous voulez permettre
    le routage depuis ou vers <filename class="devicefile">eth1</filename> (le
    réseau local) et <filename class="devicefile">eth2</filename> (DMZ)
    lorsque Shorewall est stoppé. Si ces deux interfaces ne sont pas
    connectées à votre réseau local et votre DMZ, ou si vous voulez permettre
    un ensemble d'hôtes différents, modifiez <filename
    class="directory">/etc/shorewall/</filename><filename><ulink
    url="Documentation.htm#Routestopped">routestopped</ulink></filename> en
    conséquence. <warning>
        <para>Si vous êtes connecté à votre firewall depuis Internet,
        n'essayez pas une commande <quote><command>shorewall
        stop</command></quote> tant que vous n'avez pas ajouté une entrée pour
        votre adresse <acronym>IP</acronym> (celle à partir de laquelle vous
        êtes connectée) dans <filename
        class="directory">/etc/shorewall/</filename><filename>routestopped</filename>.
        De la même manière, je ne vous recommande pas d'utiliser
        <quote><command>shorewall restart</command></quote>; il est plus
        intéressant de créer <ulink
        url="configuration_file_basics.htm#Configs">une configuration
        alternative</ulink> et de la tester en utilisant la commande
        <quote><command>shorewall try</command></quote>.</para>
      </warning></para>
  </section>

  <section>
    <title>Autres Lectures Recommandées</title>

    <para>Je vous recommande vivement de lire la <ulink
    url="configuration_file_basics.htm">page des Fonctionnalités Générales des
    Fichiers de Configuration</ulink> -- elle contient des trucs sur les
    possibilités de Shorewall pour rendre aisé l'administration de votre
    firewall Shorewall.</para>
  </section>
</article>