forked from extern/shorewall_code
9fd5780f36
git-svn-id: https://shorewall.svn.sourceforge.net/svnroot/shorewall/trunk@1439 fbd18981-670d-0410-9b5c-8dc0c1a9a2bb
1052 lines
48 KiB
XML
1052 lines
48 KiB
XML
<?xml version="1.0" encoding="UTF-8"?>
|
|
<!DOCTYPE article PUBLIC "-//OASIS//DTD DocBook XML V4.2//EN"
|
|
"http://www.oasis-open.org/docbook/xml/4.2/docbookx.dtd">
|
|
<article id="three-interface">
|
|
<!--$Id$-->
|
|
|
|
<articleinfo>
|
|
<title>Three-Interface Firewall</title>
|
|
|
|
<authorgroup>
|
|
<author>
|
|
<firstname>Tom</firstname>
|
|
|
|
<surname>Eastep</surname>
|
|
</author>
|
|
|
|
<author>
|
|
<firstname>Patrice</firstname>
|
|
|
|
<surname>Vetsel</surname>
|
|
</author>
|
|
|
|
<author>
|
|
<firstname>Fabien</firstname>
|
|
|
|
<surname>Demassieux</surname>
|
|
</author>
|
|
</authorgroup>
|
|
|
|
<pubdate>2004-04-03</pubdate>
|
|
|
|
<copyright>
|
|
<year>2002-2004</year>
|
|
|
|
<holder>Thomas M. Eastep</holder>
|
|
</copyright>
|
|
|
|
<legalnotice>
|
|
<para>Permission is granted to copy, distribute and/or modify this
|
|
document under the terms of the GNU Free Documentation License, Version
|
|
1.2 or any later version published by the Free Software Foundation; with
|
|
no Invariant Sections, with no Front-Cover, and with no Back-Cover
|
|
Texts. A copy of the license is included in the section entitled
|
|
<quote><ulink url="GnuCopyright.htm">GNU Free Documentation
|
|
License</ulink></quote>.</para>
|
|
</legalnotice>
|
|
</articleinfo>
|
|
|
|
<note>
|
|
<para><emphasis role="underline">Notes du traducteur :</emphasis> Le guide
|
|
initial a été traduit par <ulink
|
|
url="mailto:vetsel.patrice@wanadoo.fr">VETSEL Patrice</ulink> que je
|
|
remercie. J'en ai assuré la révision pour l'adapter à la version 2 de
|
|
Shorewall. J'espère vous faciliter l'accès et la prise en main d'un
|
|
firewall performant, efficace, adaptable et facile d'utilisation. Donc
|
|
félicitations pour la qualité du travail et la disponibilité offerte par
|
|
Thomas M. Eastep. Si vous trouvez des erreurs ou des améliorations à
|
|
apporter vous pouvez me contacter <ulink
|
|
url="mailto:fd03x@wanadoo.fr">Fabien Demassieux</ulink></para>
|
|
</note>
|
|
|
|
<section>
|
|
<title>Introduction</title>
|
|
|
|
<para>Mettre en place un système Linux en tant que firewall pour un petit
|
|
réseau contenant une DMZ est une chose assez simple, si vous comprenez les
|
|
bases et suivez la documentation.</para>
|
|
|
|
<para>Ce guide ne veut pas vous apprendre tous les rouages de Shorewall.
|
|
Il se focalise sur ce qui est nécessaire pour configurer Shorewall, dans
|
|
son utilisation la plus courante :</para>
|
|
|
|
<itemizedlist>
|
|
<listitem>
|
|
<para>Un système Linux utilisé en tant que firewall/routeur pour un
|
|
petit réseau local.</para>
|
|
</listitem>
|
|
|
|
<listitem>
|
|
<para>Une seule adresse IP publique.</para>
|
|
|
|
<note>
|
|
<para>Si vous avez plus d'une adresse IP, ce n'est pas le guide qui
|
|
vous convient -- regardez plutôt du coté du <ulink
|
|
url="shorewall_setup_guide_fr.htm">Guide de Configuration
|
|
Shorewall</ulink>.</para>
|
|
</note>
|
|
</listitem>
|
|
|
|
<listitem>
|
|
<para>Une DMZ (Zone démilitarisée) connectée sur une interface
|
|
Ethernet séparée.</para>
|
|
</listitem>
|
|
|
|
<listitem>
|
|
<para>Une connexion Internet par le biais d'un modem câble, ADSL,
|
|
ISDN, "Frame Relay", RTC ...</para>
|
|
</listitem>
|
|
</itemizedlist>
|
|
|
|
<para>Voici un schéma d'une installation typique.</para>
|
|
|
|
<figure>
|
|
<title>Schéma d'une installation typique</title>
|
|
|
|
<mediaobject>
|
|
<imageobject>
|
|
<imagedata align="center" fileref="images/dmz1.png" format="PNG" />
|
|
</imageobject>
|
|
</mediaobject>
|
|
</figure>
|
|
|
|
<section>
|
|
<title>Pré-requis</title>
|
|
|
|
<para>Shorewall a besoin que le package
|
|
<command>iproute</command>/<command>iproute2</command> soit installé
|
|
(avec la distribution <trademark>RedHat</trademark>, le package
|
|
s'appelle <command>iproute</command>). Vous pouvez vérifier si le
|
|
package est installé par la présence du programme <command>ip</command>
|
|
sur votre firewall. En tant que <systemitem
|
|
class="username">root</systemitem>, vous pouvez utiliser la commande
|
|
<command>which</command> pour cela:</para>
|
|
|
|
<programlisting>[root@gateway root]# <command>which ip</command>
|
|
/sbin/ip
|
|
[root@gateway root]#</programlisting>
|
|
</section>
|
|
|
|
<section>
|
|
<title>Avant de commencer</title>
|
|
|
|
<para>Je recommande en premier la lecture complète du guide afin de se
|
|
familiariser avec les tenants et aboutissants puis de revenir sur les
|
|
modifications de votre configuration adapté à votre système.</para>
|
|
|
|
<caution>
|
|
<para>Si vous éditez vos fichiers de configuration sur un système
|
|
<trademark>Windows</trademark>, vous devez les sauver comme des
|
|
fichiers <trademark>Unix</trademark> si votre éditeur supporte cette
|
|
option sinon vous devez les convertir avec <command>dos2unix</command>
|
|
avant d'essayer de les utiliser. De la même manière, si vous copiez un
|
|
fichier de configuration depuis votre disque dur
|
|
<trademark>Windows</trademark> vers une disquette, vous devez lancer
|
|
<command>dos2unix</command> sur la copie avant de l'utiliser avec
|
|
Shorewall.<itemizedlist>
|
|
<listitem>
|
|
<para><ulink
|
|
url="http://www.simtel.net/pub/pd/51438.html"><trademark>Windows</trademark>
|
|
Version of <command>dos2unix</command></ulink></para>
|
|
</listitem>
|
|
|
|
<listitem>
|
|
<para><ulink
|
|
url="http://www.megaloman.com/%7Ehany/software/hd2u/">Linux
|
|
Version of <command>dos2unix</command></ulink></para>
|
|
</listitem>
|
|
</itemizedlist></para>
|
|
</caution>
|
|
</section>
|
|
|
|
<section>
|
|
<title>Conventions</title>
|
|
|
|
<para>Les points ou les modifications s'imposent sont indiqués par
|
|
<inlinegraphic fileref="images/BD21298_.gif" format="GIF" />.</para>
|
|
|
|
<para>Les notes de configuration qui sont propres à LEAF/Bering sont
|
|
marqués avec <inlinegraphic fileref="images/leaflogo.gif"
|
|
format="GIF" />.</para>
|
|
</section>
|
|
</section>
|
|
|
|
<section>
|
|
<title>PPTP/ADSL</title>
|
|
|
|
<para><inlinegraphic fileref="images/BD21298_.gif" format="GIF" /></para>
|
|
|
|
<para>Si vous êtes équipé d'un modem <acronym>ADSL</acronym> et utilisez
|
|
<acronym>PPTP</acronym> pour communiquer avec un serveur à travers ce
|
|
modem, vous devez faire le changement <ulink
|
|
url="PPTP.htm#PPTP_ADSL">suivant</ulink> en plus de ceux ci-dessous.
|
|
<acronym>ADSL</acronym> avec <acronym>PPTP</acronym> est commun en Europe,
|
|
ainsi qu'en Australie.</para>
|
|
</section>
|
|
|
|
<section>
|
|
<title>Les Concepts de Shorewall</title>
|
|
|
|
<para><inlinegraphic fileref="images/BD21298_.gif" format="GIF" /></para>
|
|
|
|
<para>Les fichiers de configuration pour Shorewall sont situés dans le
|
|
répertoire /etc/shorewall -- pour de simples paramétrages, vous n'avez à
|
|
faire qu'avec quelques un d'entre eux comme décris dans ce guide.<tip>
|
|
<para>Après avoir <ulink url="Install.htm">installé Shorewall</ulink>,
|
|
téléchargez <ulink
|
|
url="http://www1.shorewall.net/pub/shorewall/Samples/">l'exemple
|
|
three-interface</ulink>, décompressez le (<command>tar
|
|
<option>-zxvf</option>
|
|
<filename>two-interfaces.tgz</filename></command>) et copiez les
|
|
fichiers dans <filename class="directory">/etc/shorewall</filename>
|
|
<emphasis role="bold">(ces fichiers remplaceront les
|
|
initiaux)</emphasis>.</para>
|
|
</tip>Parallèlement à la présentation, je vous suggère de jeter un oeil
|
|
à ceux physiquement présents sur votre système -- chacun des fichiers
|
|
contient des instructions de configuration détaillées et des entrées par
|
|
défaut.</para>
|
|
|
|
<para>Shorewall voit le réseau où il fonctionne, comme un ensemble de
|
|
zones. Dans une configuration avec trois interfaces, les noms des zones
|
|
suivantes sont utilisés:</para>
|
|
|
|
<informaltable>
|
|
<tgroup align="left" cols="2">
|
|
<thead valign="middle">
|
|
<row>
|
|
<entry align="center">Name</entry>
|
|
|
|
<entry align="center">Description</entry>
|
|
</row>
|
|
</thead>
|
|
|
|
<tbody>
|
|
<row>
|
|
<entry>net</entry>
|
|
|
|
<entry>The Internet</entry>
|
|
</row>
|
|
|
|
<row>
|
|
<entry>loc</entry>
|
|
|
|
<entry>Your Local Network</entry>
|
|
</row>
|
|
|
|
<row>
|
|
<entry>dmz</entry>
|
|
|
|
<entry>Demilitarized Zone</entry>
|
|
</row>
|
|
</tbody>
|
|
</tgroup>
|
|
</informaltable>
|
|
|
|
<para>Les zones de Shorewall sont définies dans le fichier <ulink
|
|
url="Documentation.htm#Zones"><filename
|
|
class="directory">/etc/shorewall/</filename><filename>zones</filename></ulink>.</para>
|
|
|
|
<para>Shorewall reconnaît aussi le système de firewall comme sa propre
|
|
zone - par défaut, le firewall est connu comme <emphasis
|
|
role="bold"><varname>fw</varname></emphasis>.</para>
|
|
|
|
<para>Les règles à propos du trafic à autoriser et à interdire sont
|
|
exprimées en terme de zones.</para>
|
|
|
|
<itemizedlist>
|
|
<listitem>
|
|
<para>Vous exprimez votre politique par défaut pour les connexions
|
|
d'une zone vers une autre zone dans le fichier <ulink
|
|
url="Documentation.htm#Policy"><filename
|
|
class="directory">/etc/shorewall/</filename><filename>policy</filename></ulink>.</para>
|
|
</listitem>
|
|
|
|
<listitem>
|
|
<para>Vous définissez les exceptions à ces politiques pas défaut dans
|
|
le fichier <ulink url="Documentation.htm#Rules"><filename
|
|
class="directory">/etc/shorewall/</filename><filename>rules</filename></ulink>.</para>
|
|
</listitem>
|
|
</itemizedlist>
|
|
|
|
<para>Pour chaque connexion demandant à entrer dans le firewall, la
|
|
requête est en premier lieu comparée par rapport au fichier <filename
|
|
class="directory">/etc/shorewall/</filename><filename>rules</filename>. Si
|
|
aucune règle dans ce fichier ne correspond à la demande de connexion alors
|
|
la première politique dans le fichier <filename
|
|
class="directory">/etc/shorewall/</filename><filename>policy</filename>
|
|
qui y correspond sera appliquée. Si cette politique est
|
|
<varname>REJECT</varname> ou <varname>DROP</varname> la requête est dans
|
|
un premier temps comparée par rapport aux règles contenues dans le fichier
|
|
<filename
|
|
class="directory">/etc/shorewall/</filename><filename>common</filename>,
|
|
si ce fichier existe; sinon les régles dans le fichier <filename
|
|
class="directory">/etc/shorewall/</filename><filename>common.def</filename>
|
|
sont vérifiées.</para>
|
|
|
|
<para>Le fichier /etc/shorewall/policy inclus dans l'archive d'exemple
|
|
(three-interface) contient les politiques suivantes:</para>
|
|
|
|
<programlisting>#SOURCE DEST POLICY LOG LEVEL LIMIT:BURST
|
|
loc net ACCEPT
|
|
net all DROP info
|
|
all all REJECT info</programlisting>
|
|
|
|
<important>
|
|
<para>Dans le fichier d'exemple (three-interface), la ligne suivante est
|
|
incluse mais elle est commentée. Si vous voulez que votre firewall
|
|
puisse avoir un accès complet aux serveurs sur Internet, décommentez la
|
|
ligne.</para>
|
|
|
|
<programlisting>#SOURCE DEST POLICY LOG LEVEL LIMIT:BURST
|
|
fw net ACCEPT</programlisting>
|
|
</important>
|
|
|
|
<para>Les politiques précédentes vont: <itemizedlist>
|
|
<listitem>
|
|
<para>Permettre toutes demandes de connexion depuis votre réseau
|
|
local vers Internet</para>
|
|
</listitem>
|
|
|
|
<listitem>
|
|
<para>Drop (ignorer) toutes les demandes de connexion depuis
|
|
l'Internet vers votre firewall ou votre réseau local</para>
|
|
</listitem>
|
|
|
|
<listitem>
|
|
<para>Accept (accepter) facultativement toutes les demandes de
|
|
connexion de votre firewall vers l'Internet (si vous avez décommenté
|
|
la politique additionnelle)</para>
|
|
</listitem>
|
|
|
|
<listitem>
|
|
<para>Reject (rejeter) toutes les autres requêtes de
|
|
connexion.</para>
|
|
</listitem>
|
|
</itemizedlist></para>
|
|
|
|
<para><inlinegraphic fileref="images/BD21298_.gif" format="GIF" /></para>
|
|
|
|
<para>Maintenant, editez votre propre fichier <filename><filename
|
|
class="directory">/etc/shorewall/</filename><filename>policy</filename></filename>
|
|
et apportez les modifications et ajouter ce que vous voulez.</para>
|
|
</section>
|
|
|
|
<section>
|
|
<title>Les Interfaces Réseau</title>
|
|
|
|
<figure>
|
|
<title>DMZ</title>
|
|
|
|
<mediaobject>
|
|
<imageobject>
|
|
<imagedata align="center" fileref="images/dmz1.png" format="PNG" />
|
|
</imageobject>
|
|
</mediaobject>
|
|
</figure>
|
|
|
|
<para>Le firewall a trois interfaces de réseau. Lorsque la connexion
|
|
Internet passe par le câble ou par un ROUTEUR (pas un simple modem) ADSL
|
|
(non USB) <quote>Modem</quote>, l'interface vers l'extérieur (External
|
|
Interface) sera l'adaptateur sur lequel est connecté le routeur
|
|
<quote>Modem</quote> (e.g., <filename class="devicefile">eth0</filename>)
|
|
à moins que vous ne vous connectiez par <emphasis>Point-to-Point
|
|
Protocol</emphasis> over Ethernet (PPPoE) ou par <emphasis>Point-to-Point
|
|
Tunneling Protocol</emphasis> (PPTP),dans ce cas l'interface extérieure
|
|
sera une interface de type ppp (e.g., <filename
|
|
class="devicefile">ppp0</filename>). Si vous vous connectez par un simple
|
|
modem (RTC), votre interface extérieure sera aussi ppp0. Si votre
|
|
connexion passe par Numéris (ISDN), votre interface extérieure sera
|
|
<filename class="devicefile">ippp0</filename>.</para>
|
|
|
|
<para><inlinegraphic fileref="images/BD21298_.gif" format="GIF" /></para>
|
|
|
|
<para>Si votre interface vers l'extérieur est <filename
|
|
class="devicefile">ppp0</filename> ou <filename
|
|
class="devicefile">ippp0</filename> alors vous mettrez CLAMPMSS=yes dans
|
|
le fichier <filename>/etc/shorewall/shorewall.conf</filename>.</para>
|
|
|
|
<para>Votre <emphasis>Interface locale</emphasis> sera un adaptateur
|
|
Ethernet (<filename class="devicefile">eth0</filename>, <filename
|
|
class="devicefile">eth1</filename> or <filename
|
|
class="devicefile">eth2</filename>) et sera connecté à un hub ou un
|
|
switch. Vos ordinateurs locaux seront connectés à ce même switch (note :
|
|
si vous n'avez qu'un seul ordinateur en local, vous pouvez le connecter
|
|
directement au firewall par un câble croisé).</para>
|
|
|
|
<para>Votre <emphasis>interface DMZ</emphasis> sera aussi un adaptateur
|
|
Ethernet (<filename class="devicefile">eth0</filename>, <filename
|
|
class="devicefile">eth1</filename> or <filename
|
|
class="devicefile">eth2</filename>) et sera connecté à un hub ou un
|
|
switch. Vos ordinateurs appartenant à la DMZ seront connectés à ce même
|
|
switch (note : si vous n'avez qu'un seul ordinateur dans la DMZ, vous
|
|
pouvez le connecter directement au firewall par un câble croisé).</para>
|
|
|
|
<caution>
|
|
<para>Ne connectez pas l'interface interne et externe sur le même hub ou
|
|
switch, sauf pour tester avec une version postérieure à Shorewall 1.4.7.
|
|
Quand vous utilisez ces versions récentes, vous pouvez tester ce type de
|
|
configuration si vous spécifiez l'option arp_filter dans le fichier
|
|
<filename
|
|
class="directory">/etc/shorewall/</filename><filename>interfaces</filename>
|
|
pour toutes les interfaces connectées au hub/switch commun. Utiliser une
|
|
telle configuration avec un firewall en production est fortement
|
|
déconseillé.</para>
|
|
</caution>
|
|
|
|
<para><inlinegraphic fileref="images/BD21298_.gif" format="GIF" /></para>
|
|
|
|
<para>L'exemple de configuration de Shorewall pour trois interfaces
|
|
suppose que l'interface externe est <filename
|
|
class="devicefile">eth0</filename>, l'interface locale est <filename
|
|
class="devicefile">eth1</filename> et que la DMZ est sur l'interface
|
|
<filename class="devicefile">eth2</filename>. Si votre configuration
|
|
diffère, vous devrez modifier le fichier d'exemple
|
|
<filename>/etc/shorewall/interfaces</filename> en conséquence. Tant que
|
|
vous y êtes, vous pourriez parcourir la liste des options qui sont
|
|
spécifiées pour les interfaces. Quelques trucs :</para>
|
|
|
|
<tip>
|
|
<para>Si votre interface vers l'extérieur est <filename
|
|
class="devicefile">ppp0</filename> ou <filename
|
|
class="devicefile">ippp0</filename>, vous pouvez remplacer le
|
|
<varname>detect</varname> dans la seconde colonne par un
|
|
<quote>-</quote> (sans les quotes).</para>
|
|
</tip>
|
|
|
|
<tip>
|
|
<para>Si votre interface vers l'extérieur est <filename
|
|
class="devicefile">ppp0</filename> or <filename
|
|
class="devicefile">ippp0</filename> u si vous avez une adresse
|
|
<acronym>IP</acronym> statique, vous pouvez enlever
|
|
<varname>dhcp</varname> dans la liste des options .</para>
|
|
</tip>
|
|
|
|
<tip>
|
|
<para>Si votre interface est un bridge utilisant l'utilitaire
|
|
<command>brctl</command> alors vous devez ajouter l'option
|
|
<varname>routeback</varname> à la liste des options.</para>
|
|
</tip>
|
|
|
|
<tip>
|
|
<para>Si vous spécifiez <emphasis>norfc1918</emphasis> pour votre
|
|
interface externe, vous pouvez vérifier périodiquement le <ulink
|
|
url="errata.htm">Shorewall Errata</ulink> pour mettre à jour le fichier
|
|
<filename>/usr/share/shorewall/rfc1918</filename>. Sinon, vous pouvez
|
|
copier le fichier <filename>/usr/share/shorewall/rfc1918</filename> vers
|
|
<filename>/etc/shorewall/rfc1918</filename> et <ulink
|
|
url="myfiles.htm#RFC1918">adapter votre fichier
|
|
<filename>/etc/shorewall/rfc1918</filename> comme je le
|
|
fais</ulink>.</para>
|
|
</tip>
|
|
</section>
|
|
|
|
<section>
|
|
<title>Adresses IP</title>
|
|
|
|
<para>Avant d'aller plus loin, nous devons dire quelques mots au sujet des
|
|
adresses Internet Protocol (<acronym>IP</acronym>). Normalement, votre
|
|
fournisseur Internet <acronym>ISP</acronym> vous assignera une seule
|
|
adresse IP. Cette adresse peut être assignée par le Dynamic Host
|
|
Configuration Protocol (<acronym>DHCP</acronym>) ou lors de
|
|
l'établissement de votre connexion lorsque vous vous connectez (modem
|
|
standard) ou établissez votre connexion <acronym>PPP</acronym>. Dans de
|
|
rares cas , votre provider peut vous assigner une adresse statique
|
|
<acronym>IP</acronym> ; cela signifie que vous devez configurer
|
|
l'interface externe de votre firewall afin d'utiliser cette adresse de
|
|
manière permanente. Votre adresse externe assignée, elle va être partagée
|
|
par tous vos systèmes lors de l'accès à Internet. Vous devrez assigner vos
|
|
propres adresses dans votre réseau local (votre interface interne sur le
|
|
firewall ainsi que les autres ordinateurs). La <emphasis role="bold">RFC
|
|
1918</emphasis> réserve plusieurs plages d'adresses privées
|
|
<emphasis>Private</emphasis> <acronym>IP</acronym> à cet fin:</para>
|
|
|
|
<programlisting>10.0.0.0 - 10.255.255.255
|
|
172.16.0.0 - 172.31.255.255
|
|
192.168.0.0 - 192.168.255.255</programlisting>
|
|
|
|
<para><inlinegraphic fileref="images/BD21298_.gif" format="GIF" /></para>
|
|
|
|
<para>Avant de lancer Shorewall, regarder l'adresse IP de votre interface
|
|
externe, et si elle est dans les plages précédentes, vous devez enlever
|
|
l'option 'norfc1918' dans la ligne concernant l'interface externe dans le
|
|
fichier <filename
|
|
class="directory">/etc/shorewall/</filename><filename>interfaces</filename>.</para>
|
|
|
|
<para>Vous devrez assigner vos adresses depuis le même sous-réseau
|
|
(sub-network-subnet). Pour ce faire, nous pouvons considérer un
|
|
sous-réseau dans une plage d'adresses <varname>x.y.z.0 -
|
|
x.y.z.255</varname>. Chaque sous-réseau aura un masque (Subnet Mask)
|
|
<systemitem class="netmask">255.255.255.0</systemitem>. L'adresse
|
|
<varname>x.y.z.0</varname> est réservée comme l'adresse de sous-réseau
|
|
<emphasis>Subnet Address</emphasis> et <varname>x.y.z.255</varname> est
|
|
réservée en tant qu'adresse de broadcast <emphasis>Subnet Broadcast
|
|
Address</emphasis>. Dans Shorewall, un sous-réseau est décrit en utilisant
|
|
<ulink url="shorewall_setup_guide.htm#Subnets">Classless InterDomain
|
|
Routing (CIDR) notation</ulink> Il consiste en l'adresse du sous-réseau
|
|
suivie par<varname>/24</varname>. Le <quote>24</quote> se réfère au nombre
|
|
consécutif de bits marquant <quote>1</quote> dans la partie gauche du
|
|
masque de sous-réseau. </para>
|
|
|
|
<table>
|
|
<title>Un exemple de sous-réseau (sub-network) :</title>
|
|
|
|
<tgroup cols="2">
|
|
<colspec align="left" />
|
|
|
|
<tbody>
|
|
<row>
|
|
<entry>Range:</entry>
|
|
|
|
<entry><systemitem class="ipaddress">10.10.10.0</systemitem> -
|
|
<systemitem class="ipaddress">10.10.10.255</systemitem></entry>
|
|
</row>
|
|
|
|
<row>
|
|
<entry>Subnet Address:</entry>
|
|
|
|
<entry><systemitem
|
|
class="ipaddress">10.10.10.0</systemitem></entry>
|
|
</row>
|
|
|
|
<row>
|
|
<entry>Broadcast Address:</entry>
|
|
|
|
<entry><systemitem
|
|
class="ipaddress">10.10.10.255</systemitem></entry>
|
|
</row>
|
|
|
|
<row>
|
|
<entry>CIDR Notation:</entry>
|
|
|
|
<entry><systemitem
|
|
class="ipaddress">10.10.10.0/24</systemitem></entry>
|
|
</row>
|
|
</tbody>
|
|
</tgroup>
|
|
</table>
|
|
|
|
<para>Il est de mise d'assigner l'interface interne à la première adresse
|
|
utilisable du sous-réseau (<systemitem
|
|
class="ipaddress">10.10.10.1</systemitem> dans l'exemple précédent) ou la
|
|
dernière adresse utilisable (<systemitem
|
|
class="ipaddress">10.10.10.254</systemitem>).</para>
|
|
|
|
<para>L'un des buts d'un sous-réseau est de permettre à tous les
|
|
ordinateurs dans le sous-réseau de savoir avec quels autres ordinateurs
|
|
ils peuvent communiquer directement. Pour communiquer avec des systèmes en
|
|
dehors du sous-réseau, les ordinateurs envoient des paquets à travers le
|
|
gateway (routeur).</para>
|
|
|
|
<para><inlinegraphic fileref="images/BD21298_.gif" format="GIF" /></para>
|
|
|
|
<para>Vos ordinateurs en local (ordinateur 1 et ordinateur 2 dans le
|
|
diagramme) devraient être configurés avec leur passerelle par défaut
|
|
(default gateway) pointant sur l'adresse <acronym>IP</acronym> de
|
|
l'interface interne du firewall.</para>
|
|
|
|
<para>La présentation précédente ne fait que d'effleurer la question des
|
|
sous réseaux et du routage. Si vous êtes intéressé pour apprendre plus sur
|
|
l'adressage <acronym>IP</acronym> et le routage, je recommande <quote>IP
|
|
Fundamentals: What Everyone Needs to Know about Addressing &
|
|
Routing</quote>, Thomas A. Maufer, Prentice-Hall, 1999, ISBN 0-13-975483-0
|
|
(<ulink
|
|
url="http://www.phptr.com/browse/product.asp?product_id={58D4F6D4-54C5-48BA-8EDD-86EBD7A42AF6}">link</ulink>).</para>
|
|
|
|
<para>Le reste de ce guide assumera que vous avez configuré votre réseau
|
|
comme montré ci-dessous :</para>
|
|
|
|
<figure>
|
|
<title>DMZ</title>
|
|
|
|
<graphic align="center" fileref="images/dmz2.png" />
|
|
</figure>
|
|
|
|
<para>La passerelle par défaut (default gateway) pour les ordinateurs de
|
|
la DMZ sera <systemitem class="ipaddress">10.10.11.254</systemitem> et le
|
|
passerelle par défaut pour les ordinateurs en local sera <systemitem
|
|
class="ipaddress">10.10.10.254</systemitem></para>
|
|
|
|
<warning>
|
|
<para>Votre <acronym>FAI</acronym> (fournisseur d'accés) pourrait
|
|
assigner une adresse <emphasis role="bold">RFC 1918</emphasis> à votre
|
|
interface externe. Si cette adresse est le sous-réseau <systemitem
|
|
class="ipaddress">10.10.10.0/24</systemitem> alors vous aurez besoin
|
|
d'un sous-réseau DIFFERENT RFC 1918 pour votre réseau local.</para>
|
|
</warning>
|
|
</section>
|
|
|
|
<section>
|
|
<title>IP Masquerading (SNAT)</title>
|
|
|
|
<para>Les adresses réservées par la RFC 1918 sont parfois désignées comme
|
|
non-routables car les routeurs Internet (backbone) ne font pas circuler
|
|
les paquets qui ont une adresse de destination appartenant à la RFC-1918.
|
|
Lorsqu'un de vos systèmes en local (supposons l'ordinateur1) demande une
|
|
connexion à un serveur par Internet, le firewall doit appliquer un
|
|
<emphasis>Network Address Translation</emphasis> (<acronym>NAT</acronym>).
|
|
Le firewall réécrit l'adresse source dans le paquet, et l'a remplacé par
|
|
l'adresse de l'interface externe du firewall; en d'autres mots, le
|
|
firewall fait croire que c'est lui même qui initie la connexion. Ceci est
|
|
nécessaire afin que l'hôte de destination soit capable de renvoyer les
|
|
paquets au firewall (souvenez vous que les paquets qui ont pour adresse de
|
|
destination, une adresse réservée par la RFC 1918 ne pourront pas être
|
|
routés à travers Internet, donc l'hôte Internet ne pourra adresser sa
|
|
réponse à l'ordinateur 1). Lorsque le firewall reçoit le paquet de
|
|
réponse, il remet l'adresse de destination à <systemitem
|
|
class="ipaddress">10.10.10.1</systemitem> et fait passer le paquet vers
|
|
l'ordinateur 1.</para>
|
|
|
|
<para>Sur les systèmes Linux, ce procédé est souvent appelé <emphasis>IP
|
|
Masquerading</emphasis> mais vous verrez aussi le terme de
|
|
<emphasis>Source Network Address Translation</emphasis>
|
|
(<acronym>SNAT</acronym>). Shorewall suit la convention utilisée avec
|
|
Netfilter:<itemizedlist>
|
|
<listitem>
|
|
<para><emphasis>Masquerade</emphasis> désigne le cas ou vous laissez
|
|
votre firewall détecter automatiquement l'adresse de l'interface
|
|
externe.</para>
|
|
</listitem>
|
|
|
|
<listitem>
|
|
<para><emphasis><acronym>SNAT</acronym></emphasis> désigne le cas où
|
|
vous spécifiez explicitement l'adresse source des paquets sortant de
|
|
votre réseau local.</para>
|
|
</listitem>
|
|
</itemizedlist>Sous Shorewall, autant le
|
|
<emphasis>Masquerading</emphasis> et le
|
|
<emphasis><acronym>SNAT</acronym></emphasis> sont configuré avec des
|
|
entrés dans le fichier <filename
|
|
class="directory">/etc/shorewall/</filename><filename>masq</filename>.
|
|
Vous utiliserez normalement le Masquerading si votre adresse
|
|
<acronym>IP</acronym> externe i est dynamique, et <acronym>SNAT</acronym>
|
|
si l'adresse <acronym>IP</acronym> est statique.</para>
|
|
|
|
<para><inlinegraphic fileref="images/BD21298_.gif" format="GIF" /></para>
|
|
|
|
<para>Si votre interface externe est <filename
|
|
class="devicefile">eth0</filename>, votre interface locale <filename
|
|
class="devicefile">eth1</filename> et votre interface pour la DMZ
|
|
<filename class="devicefile">eth2</filename> vous n'avez pas besoin de
|
|
modifier le fichier fourni avec l'exemple. Dans le cas contraire, éditez
|
|
<filename
|
|
class="directory">/etc/shorewall/</filename><filename>masq</filename> et
|
|
changez le en conséquence.</para>
|
|
|
|
<para>Si, malgré les avertissements, vous utilisez ce guide pour un
|
|
utilisation de one-to-one NAT ou de Proxy ARP pour votre DMZ, enlever
|
|
l'entrée pour <filename class="devicefile">eth2</filename> de
|
|
<filename><filename
|
|
class="directory">/etc/shorewall/</filename><filename>masq</filename></filename>.</para>
|
|
|
|
<para><inlinegraphic fileref="images/BD21298_.gif" format="GIF" /></para>
|
|
|
|
<para>Si votre IP externe est statique, vous pouvez la mettre dans la
|
|
troisième colonne dans <filename
|
|
class="directory">/etc/shorewall/</filename><filename>masq</filename> si
|
|
vous le désirez, de toutes façons votre firewall fonctionnera bien si vous
|
|
laissez cette colonne vide. Le fait de mettre votre IP statique dans la
|
|
troisième colonne permet un traitement des paquets sortant un peu plus
|
|
efficace.</para>
|
|
|
|
<para><inlinegraphic fileref="images/BD21298_.gif" format="GIF" /></para>
|
|
|
|
<para>Si vous utilisez les paquets Debian, vérifiez que votre fichier de
|
|
configuration <filename>shorewall.conf</filename> contient bien les
|
|
valeurs suivantes, si elles n'y sont pas faite les changements
|
|
nécessaires:<itemizedlist spacing="compact">
|
|
<listitem>
|
|
<para><varname>NAT_ENABLED=Yes</varname> (Shorewall versions earlier
|
|
than 1.4.6)</para>
|
|
</listitem>
|
|
|
|
<listitem>
|
|
<para><varname>IP_FORWARDING=On</varname></para>
|
|
</listitem>
|
|
</itemizedlist></para>
|
|
</section>
|
|
|
|
<section>
|
|
<title>Port Forwarding (DNAT)</title>
|
|
|
|
<para>Un de nos buts est de, peut être, faire tourner un ou plusieurs
|
|
serveurs sur nos ordinateurs dans la DMZ. que ces ordinateurs on une
|
|
adresse RFC-1918, il n'est pas possible pour les clients sur Internet de
|
|
se connecter directement à eux. Il est nécessaire à ces clients d'adresser
|
|
leurs demandes de connexion au firewall qui ré écrit l'adresse de
|
|
destination de votre serveur, et fait passer le paquet à celui-ci. Lorsque
|
|
votre serveur répond, le firewall applique automatiquement un SNAT pour
|
|
réécrire l'adresse source dans la réponse.</para>
|
|
|
|
<para>Ce procédé est appelé <emphasis>Port Forwarding</emphasis> ou
|
|
<emphasis>Destination Network Address Translation</emphasis> (DNAT). Vous
|
|
configurez le port forwarding en utilisant les règles DNAT dans le fichier
|
|
<filename
|
|
class="directory">/etc/shorewall/</filename><filename>rules</filename>
|
|
file.</para>
|
|
|
|
<para>La forme générale d'une simple règle de port forwarding dans
|
|
<filename
|
|
class="directory">/etc/shorewall/</filename><filename>rules</filename>
|
|
est: <programlisting>#ACTION SOURCE DEST PROTO DEST PORT(S)
|
|
DNAT net dmz:<emphasis><server local IP address></emphasis>[:<emphasis><server port></emphasis>] <emphasis><protocol></emphasis> <emphasis><port></emphasis></programlisting>
|
|
Si vous ne spécifiez pas le <emphasis><varname><server
|
|
port></varname></emphasis>, il est supposé être le même que
|
|
<emphasis><varname><port></varname></emphasis>.</para>
|
|
|
|
<example>
|
|
<title>Vous faites tourner un serveur Web dans votre DMZ (2) et vous
|
|
voulez faire passer les paquets entrant en TCP sur le port 80 à ce
|
|
système</title>
|
|
|
|
<para><programlisting>#ACTION SOURCE DEST PROTO DEST PORT(S)
|
|
DNAT net dmz:10.10.11.2 tcp 80
|
|
ACCEPT loc dmz:10.10.11.2 tcp 80</programlisting><itemizedlist>
|
|
<listitem>
|
|
<para>L'entrée 1 forward le port 80 depuis Internet.</para>
|
|
</listitem>
|
|
|
|
<listitem>
|
|
<para>L'entrée 2 autorise les connexions du réseau local.</para>
|
|
</listitem>
|
|
</itemizedlist>Deux points importants à garder en mémoire
|
|
:<itemizedlist>
|
|
<listitem>
|
|
<para>Lorsque vous vous connectez à votre serveur à partir de
|
|
votre réseau local, vous devez utiliser l'adresse IP interne du
|
|
serveur (<systemitem
|
|
class="ipaddress">10.10.11.2</systemitem>).</para>
|
|
</listitem>
|
|
|
|
<listitem>
|
|
<para>Quelques fournisseurs Internet (Provider/ISP) bloquent les
|
|
requêtes de connexion entrantes sur le port 80. Si vous avez des
|
|
problèmes pour vous connecter à votre serveur web, essayez la
|
|
règle suivante et connectez vous sur le port 5000 (c.a.d.,
|
|
connectez vous à <literal>http://w.x.y.z:5000 ou w.x.y.z</literal>
|
|
est votre IP externe).<programlisting>#ACTION SOURCE DEST PROTO DEST PORT(S) SOURCE
|
|
# PORT(S)
|
|
DNAT net dmz:10.10.11.2:80 tcp 80 5000</programlisting></para>
|
|
</listitem>
|
|
|
|
<listitem>
|
|
<para>Si vous voulez avoir la possibilité de vous connecter à
|
|
votre serveur depuis le réseau local en utilisant votre adresse
|
|
externe, et si vous avez une adresse IP externe statique (fixe),
|
|
vous pouvez remplacer la règle loc->dmz précédente par
|
|
:<programlisting>#ACTION SOURCE DEST PROTO DEST PORT(S) SOURCE ORIGINAL
|
|
# PORT(S) DEST
|
|
DNAT loc dmz:10.10.11.2 tcp 80 - <emphasis><external IP></emphasis></programlisting>Si
|
|
vous avez une IP dynamique, alors vous devez vous assurer que
|
|
votre interface externe est en route avant de lancer Shorewall et
|
|
vous devez suivre les étapes suivantes (en supposant que votre
|
|
interface externe est <filename
|
|
class="devicefile">eth0</filename>):<orderedlist>
|
|
<listitem>
|
|
<para>Insérez ce qui suit dans /etc/shorewall/params:</para>
|
|
|
|
<para><command>ETH0_IP=$(find_interface_address
|
|
eth0)</command></para>
|
|
</listitem>
|
|
|
|
<listitem>
|
|
<para>Faites votre règle <literal>loc->dmz</literal>
|
|
rule: <programlisting>#ACTION SOURCE DEST PROTO DEST PORT(S) SOURCE ORIGINAL
|
|
# PORT(S) DEST
|
|
DNAT loc dmz:10.10.11.2 tcp 80 - $ETH0_IP</programlisting></para>
|
|
</listitem>
|
|
</orderedlist></para>
|
|
</listitem>
|
|
|
|
<listitem>
|
|
<para>Si vous voulez accéder à votre serveur dans la DMZ en
|
|
utilisant votre adresse IP externe, regardez <ulink
|
|
url="FAQ.htm#faq2a">FAQ 2a</ulink>.</para>
|
|
</listitem>
|
|
</itemizedlist></para>
|
|
</example>
|
|
|
|
<para><inlinegraphic fileref="images/BD21298_.gif" format="GIF" /></para>
|
|
|
|
<para>A ce point, ajoutez les règles DNAT et ACCEPT pour vos
|
|
serveurs.</para>
|
|
</section>
|
|
|
|
<section>
|
|
<title>Domain Name Server (DNS)</title>
|
|
|
|
<para>Normalement, quand vous vous connectez à votre fournisseur
|
|
(FAI/ISP), une partie consiste à obtenir votre adresse IP, votre
|
|
<emphasis>Domain Name Service</emphasis> (<acronym>DNS</acronym>) pour le
|
|
firewall est configuré automatiquement (c.a.d.,le fichier <filename
|
|
class="directory">/etc/</filename><filename>resolv.conf</filename> sera
|
|
mis à jour). Il arrive que votre provider vous donne une paire d'adresse
|
|
<acronym>IP</acronym> pour les serveurs <acronym>DNS</acronym> afin que
|
|
vous configuriez manuellement votre serveur de nom primaire et secondaire.
|
|
La manière dont le <acronym>DNS</acronym> est configuré sur votre firewall
|
|
est de votre responsabilité. Vous pouvez procéder d'une de ses deux façons
|
|
:<itemizedlist>
|
|
<listitem>
|
|
<para>Vous pouvez configurer votre système interne pour utiliser les
|
|
noms de serveurs de votre provider. Si votre fournisseur vous donne
|
|
les adresses de leurs serveurs ou si ces adresses sont disponibles
|
|
sur leur site web, vous pouvez configurer votre système interne afin
|
|
de les utiliser. Si cette information n' est pas disponible,
|
|
regardez dans <filename
|
|
class="directory"><filename>/etc/</filename></filename><filename>resolv.conf</filename>
|
|
sur votre firewall -- les noms des serveurs sont donnés dans
|
|
l'enregistrement "nameserver" dans ce fichier.</para>
|
|
</listitem>
|
|
|
|
<listitem>
|
|
<para><anchor id="cachingdns" />Vous pouvez configurer un cache dns
|
|
<emphasis>Caching Name Server</emphasis> sur votre firewall.
|
|
<trademark>Red Hat</trademark> a un <acronym>RPM</acronym> pour
|
|
serveur dns de cache (le <acronym>RPM</acronym> à besoin aussi du
|
|
paquetage <command>bind </command><acronym>RPM</acronym>) et pour
|
|
les utilisateurs de Bering, il y a <command>dnscache.lrp</command>.
|
|
Si vous adoptez cette approche, vous configurez votre système
|
|
interne pour utiliser le firewall lui même comme étant le seul
|
|
serveur de nom primaire. Vous pouvez utiliser l'adresse
|
|
<acronym>IP</acronym> interne du firewall (<systemitem
|
|
class="ipaddress">10.10.10.254</systemitem> dans l'exemple
|
|
précédent) pour l'adresse de serveur de nom. Pour permettre à vos
|
|
systèmes locaux de discuter avec votre serveur cache de nom, vous
|
|
devez ouvrir le port 53 (à la fois <acronym>UDP</acronym> and
|
|
<acronym>TCP</acronym>) sur le firewall vers le réseau local; vous
|
|
ferez ceci en ajoutant les règles suivantes dans <filename
|
|
class="directory">/etc/shorewall/</filename><filename>rules</filename>.</para>
|
|
|
|
<para>Si vous faites tourner le serveur de nom sur le firewall:
|
|
<programlisting>#ACTION SOURCE DEST PROTO DEST PORT(S)
|
|
AllowDNS loc fw
|
|
AllowDNS dmz fw </programlisting></para>
|
|
</listitem>
|
|
</itemizedlist>Dans la régle ci-dessus, <quote>AllowDNS</quote> est un
|
|
exemple d'action prédéfinie <emphasis>defined action</emphasis>. Shorewall
|
|
inclus un nombre d'actions prédéfinies et vous pouvez <ulink
|
|
url="User_defined_Actions.html">ajouter les vôtres</ulink>. Pour voir les
|
|
actions comprises avec votre version de Shorewall, regardez dans le
|
|
fichier <filename>/etc/shorewall/actions.std</filename>. Le nom de celles
|
|
qui acceptent des connexions débutent par <quote>Allow</quote>.</para>
|
|
|
|
<para>Vous n'êtes pas obligé d'utiliser des actions prédéfinies quand vous
|
|
ajoutez des régles dans le fichier
|
|
<filename>/etc/shorewall/rules</filename>; les régles générées par
|
|
Netfilter sont plus performantes sans actions prédéfinies. La régle vue
|
|
ci-dessus peut aussi être codé comme cela:</para>
|
|
|
|
<programlisting>#ACTION SOURCE DEST PROTO DEST PORT(S)
|
|
ACCEPT loc fw tcp 53
|
|
ACCEPT loc fw udp 53
|
|
ACCEPT dmz fw tcp 53
|
|
ACCEPT dmz fw udp 53 </programlisting>
|
|
|
|
<para>Au cas ou Shorewall n'inclue pas d'actions définies qui vous
|
|
conviennent, vous pouvez les définir vous même ou coder directement les
|
|
régles.</para>
|
|
</section>
|
|
|
|
<section>
|
|
<title>Autres Connexions</title>
|
|
|
|
<para>Les fichiers exemples inclus dans l'archive (three-interface)
|
|
contiennent les règles suivantes :<programlisting>#ACTION SOURCE DEST PROTO DEST PORT(S)
|
|
AllowDNS fw net </programlisting>Ces règles autorisent l'accès
|
|
<acronym>DNS</acronym> à partir de votre firewall et peuvent être enlevées
|
|
si vous avez décommenté la ligne dans <filename
|
|
class="directory">/etc/shorewall/</filename><filename>policy</filename>
|
|
autorisant toutes les connexions depuis le firewall vers Internet.</para>
|
|
|
|
<para>L'exemple inclus aussi: <programlisting>#ACTION SOURCE DEST PROTO DEST PORT(S)
|
|
AllowSSH loc fw
|
|
AllowSSH loc dmz </programlisting>Ces régles autorisent un
|
|
serveur <acronym>SSH</acronym> sur votre firewall et chacun des systèmes
|
|
de votre DMZ et y autoriser la connexion à ceux-ci depuis votre réseau
|
|
local.</para>
|
|
|
|
<para>Si vous désirez permettre d'autres connexions entre vos systèmes, la
|
|
syntaxe générale est:<programlisting>#ACTION SOURCE DEST PROTO DEST PORT(S)
|
|
<<emphasis>action</emphasis>> <emphasis><source zone> <destination zone></emphasis></programlisting></para>
|
|
|
|
<para>La syntaxe générale lorsqu'on utilise pas des actions prédéfinies
|
|
est:<programlisting>#ACTION SOURCE DEST PROTO DEST PORT(S)
|
|
ACCEPT <emphasis><source zone> <destination zone> <protocol> <port> </emphasis></programlisting></para>
|
|
|
|
<example>
|
|
<title>Vous souhaitez rendre publiquement accessible votre serveur DNS
|
|
sur le firewall</title>
|
|
|
|
<para>En utiliser une action prédéfinie:</para>
|
|
|
|
<programlisting>#ACTION SOURCE DEST PROTO DEST PORT(S)
|
|
AllowDNS net fw</programlisting>
|
|
|
|
<para>Sans action prédéfinie:</para>
|
|
|
|
<programlisting>#ACTION SOURCE DEST PROTO DEST PORT(S)
|
|
ACCEPT net fw tcp 53
|
|
ACCEPT net fw udp 53 </programlisting>
|
|
|
|
<para>Ces deux régles viennent évidemment s'ajouter à celles listées
|
|
sous <quote><link linkend="cachingdns">Vous pouvez configurer un cache
|
|
dns sur votre firewall</link></quote>.</para>
|
|
</example>
|
|
|
|
<para>Si vous ne savez pas quel port(s) et protocole(s) requièrent une
|
|
application particulière, vous pouvez regarder <ulink
|
|
url="ports.htm">ici</ulink>.</para>
|
|
|
|
<important>
|
|
<para>Je ne recommande pas d'autoriser <command>telnet</command> vers/de
|
|
l'Internet parce qu'il utilise du texte en clair (même pour le login!).
|
|
Si vous voulez un accés shell à votre firewall, utilisez
|
|
<acronym>SSH</acronym>:</para>
|
|
|
|
<programlisting>#ACTION SOURCE DEST PROTO DEST PORT(S)
|
|
AllowSSH net fw</programlisting>
|
|
</important>
|
|
|
|
<para><inlinegraphic fileref="images/leaflogo.gif" format="GIF" /> Les
|
|
utilisateurs de Bering pourront ajouter les deux régles suivantes pour
|
|
être compatible avec la configuration du firewall Jacques's
|
|
Shorewall.<programlisting>#ACTION SOURCE DEST PROTO DEST PORT(S)
|
|
ACCEPT loc fw udp 53
|
|
ACCEPT net fw tcp 80 </programlisting><itemizedlist>
|
|
<listitem>
|
|
<para>L'entrée 1 autorise l'utilisation du Cache DNS.</para>
|
|
</listitem>
|
|
|
|
<listitem>
|
|
<para>L'entrée 2 autorise le <quote>weblet</quote> à
|
|
fonctionner.</para>
|
|
</listitem>
|
|
</itemizedlist><inlinegraphic fileref="images/BD21298_.gif"
|
|
format="GIF" /></para>
|
|
|
|
<para>Maintenant, éditez votre fichier de configuration <filename
|
|
class="directory">/etc/shorewall/</filename><filename>rules</filename>
|
|
pour ajouter, modifier ou supprimer les autres connexions voulues.</para>
|
|
</section>
|
|
|
|
<section>
|
|
<title>Quelques Points à Garder en Mémoire</title>
|
|
|
|
<itemizedlist>
|
|
<listitem>
|
|
<para><emphasis role="bold">Vous ne pouvez tester votre firewall de
|
|
l'intérieur de votre réseau</emphasis>. Car les requêtes que vous
|
|
envoyez à votre adresse IP ne veux pas dire qu'elle seront associées à
|
|
votre interface externe ou la zone <quote>net</quote>. Tout trafic
|
|
généré par le réseau local sera traité par loc->fw.</para>
|
|
</listitem>
|
|
|
|
<listitem>
|
|
<para><emphasis role="bold">Les adresses IP sont des propriétés des
|
|
systèmes, pas des interfaces</emphasis>. C'est une erreur de croire
|
|
que votre firewall est capable de renvoyer des paquets simplement
|
|
parce que vous pouvez faire un ping sur l'adresse IP de toutes les
|
|
interfaces du firewall depuis le réseau local. La seul conclusion est
|
|
de conclure que le lien entre le réseau local et le firewall est
|
|
établi et que vous avez probablement la bonne adresse de la passerelle
|
|
sur votre système.</para>
|
|
</listitem>
|
|
|
|
<listitem>
|
|
<para><emphasis role="bold">Toutes les adresses IP configurées sur le
|
|
firewall sont dans la zone $FW (fw)</emphasis>. Si 192.168.1.254 est
|
|
l'adresse IP de votre interface interne, alors vous pouvez écrire
|
|
<quote><emphasis role="bold">$FW:192.168.1.254</emphasis></quote> dans
|
|
une régle mais vous ne devez pas écrire <quote><emphasis
|
|
role="bold">loc:192.168.1.254</emphasis></quote>. C'est aussi un
|
|
non-sens d'ajouter 192.168.1.254 à la zone <emphasis
|
|
role="bold">loc</emphasis> en utilisant une entrée dans
|
|
<filename>/etc/shorewall/hosts</filename>.</para>
|
|
</listitem>
|
|
|
|
<listitem>
|
|
<para><emphasis role="bold">Les paquets de retour (Reply) ne suivent
|
|
PAS automatiquement le chemin inverse de la requête
|
|
d'origine</emphasis>. Tous les paquets sont routés en se référant à la
|
|
table de routage respective de chaque hôte à chaque étape du trajet.
|
|
C'est commun chez ceux qui installent le firewall Shorewall en
|
|
parallèle à une passerelle existante et essayent d'utiliser DNAT dans
|
|
Shorewall sans changer la passerelle par défaut sur les systèmes
|
|
recevant le retour des requêtes. Les requêtes dont, à travers le
|
|
firewall Shorewall, l'adresse de destination IP est réécrite mais la
|
|
réponse va directement vers l'ancienne passerelle.</para>
|
|
</listitem>
|
|
|
|
<listitem>
|
|
<para><emphasis role="bold">Shorewall lui-même n'a aucune notion du
|
|
dedans et du dehors</emphasis>. Ces concepts dépendent de la façon
|
|
dont Shorewall est configuré.</para>
|
|
</listitem>
|
|
</itemizedlist>
|
|
</section>
|
|
|
|
<section>
|
|
<title>Démarrer et Arrêter Votre Firewall</title>
|
|
|
|
<para><inlinegraphic fileref="images/BD21298_.gif" format="GIF" /></para>
|
|
|
|
<para>La <ulink url="Install.htm">procédure d'installation</ulink>
|
|
configure votre système pour lancer Shorewall au boot du système, mais au
|
|
début avec la version 1.3.9 de Shorewall le lancement est désactivé,
|
|
n'essayer pas de lancer Shorewall avec que la configuration soit finie.
|
|
Une fois que vous en aurez fini avec la configuration du firewall, vous
|
|
pouvez permettre le lancement de Shorewall en supprimant le fichier
|
|
<filename
|
|
class="directory">/etc/shorewall/</filename><filename>startup_disabled</filename>.
|
|
<important>
|
|
<para>Les utilisateurs des paquets .deb doivent éditer <filename
|
|
class="directory">/etc/default/</filename><filename>shorewall</filename>
|
|
and set <varname>startup=1</varname>.</para>
|
|
</important>Le firewall est activé en utilisant la commande
|
|
<quote><command>shorewall start</command></quote> et arrêté avec
|
|
<quote><command>shorewall stop</command></quote>. Lorsque le firewall est
|
|
stoppé, le routage est autorisé sur les hôtes qui possèdent une entrée
|
|
dans <filename
|
|
class="directory">/etc/shorewall/</filename><filename><ulink
|
|
url="Documentation.htm#Routestopped">routestopped</ulink></filename>. Un
|
|
firewall qui tourne peut être relancé en utilisant la commande
|
|
<quote><command>shorewall restart</command></quote> command. Si vous
|
|
voulez enlever toutes traces de Shorewall sur votre configuration de
|
|
Netfilter, utilisez <quote><command>shorewall
|
|
clear</command></quote>.</para>
|
|
|
|
<para><inlinegraphic fileref="images/BD21298_.gif" format="GIF" /></para>
|
|
|
|
<para>Les exemples (three-interface) supposent que vous voulez permettre
|
|
le routage depuis ou vers <filename class="devicefile">eth1</filename> (le
|
|
réseau local) et <filename class="devicefile">eth2</filename> (DMZ)
|
|
lorsque Shorewall est stoppé. Si ces deux interfaces ne sont pas
|
|
connectées à votre réseau local et votre DMZ, ou si vous voulez permettre
|
|
un ensemble d'hôtes différents, modifiez <filename
|
|
class="directory">/etc/shorewall/</filename><filename><ulink
|
|
url="Documentation.htm#Routestopped">routestopped</ulink></filename> en
|
|
conséquence. <warning>
|
|
<para>Si vous êtes connecté à votre firewall depuis Internet,
|
|
n'essayez pas une commande <quote><command>shorewall
|
|
stop</command></quote> tant que vous n'avez pas ajouté une entrée pour
|
|
votre adresse <acronym>IP</acronym> (celle à partir de laquelle vous
|
|
êtes connectée) dans <filename
|
|
class="directory">/etc/shorewall/</filename><filename>routestopped</filename>.
|
|
De la même manière, je ne vous recommande pas d'utiliser
|
|
<quote><command>shorewall restart</command></quote>; il est plus
|
|
intéressant de créer <ulink
|
|
url="configuration_file_basics.htm#Configs">une configuration
|
|
alternative</ulink> et de la tester en utilisant la commande
|
|
<quote><command>shorewall try</command></quote>.</para>
|
|
</warning></para>
|
|
</section>
|
|
|
|
<section>
|
|
<title>Autres Lectures Recommandées</title>
|
|
|
|
<para>Je vous recommande vivement de lire la <ulink
|
|
url="configuration_file_basics.htm">page des Fonctionnalités Générales des
|
|
Fichiers de Configuration</ulink> -- elle contient des trucs sur les
|
|
possibilités de Shorewall pour rendre aisé l'administration de votre
|
|
firewall Shorewall.</para>
|
|
</section>
|
|
</article> |