EXPOSE : Traitements Intermédiaires : NAT, Proxy, Firewall

Juliette André
Renaud Pelloux
EXPOSE : Traitements Intermédiaires :
NAT, Proxy, Firewall
Octobre 2002
Le document présenté ci-dessous reprend tout le contenu du site
Web que nous avons réalisé.
Il traite des mécanismes mis en place à l'intermédiaire de deux
réseaux et en particulier de la translation d'adresse, des
proxys et des firewalls. Le document qui suit, tout comme le
site Web réalisé traitent de la philosophie appliquée aux
mécanismes dont nous parlons. Volontairement, nous ne parlerons
pas de la fa çon de les configurer ou de les installer, d'autres
exposés réalisés à l'ENIC traitant de ces sujets plus
sp écifiques.
Nous avons r éalisé cet exposé dans le cadre de l'option RIO
(R éseaux et Interconnexion d'odinateurs) de l'ENIC T élécom Lille
1, option qui termine notre cursus scolaire.
Aucune mise en page sp écifique n'a été appliqu ée à ce document,
il reprend simplement le contenu de chaque page présentée dans
le site Web.
SOMMAIRE
I) [Introduction]
II) [Une pénurie d'adresses IP]
II.1) [Adressage IPv4]
II.2) [Pénurie d'adresses]
II.3) [Utilisation des adresses privées]
III) [NAT]
III.1) [Pricipe Général]
III.2) [NAT statique et dynamique]
III.3) [NAT multiple]
III.4) [Comparaison et Problèmes]
IV) [Proxy]
IV.1) [Principe de fonctionnement]
IV.2) [Services ajoutés aux proxys]
IV.3) [Comparaison Proxy et NAT]
V) [Firewall]
V.1)
V.2)
V.3)
V.4)
V.5)
V.6)
[Principe de fonctionnement]
[Politique de sécurité]
[Filtre de paquets]
[Passerelles]
[Architectures]
[Problèmes Rencontrés]
VI) [Glossaire]
VII) [Références]
Site réalis é par
Juliette André (mailto:[email protected])
Renaud Pelloux (mailto:[email protected])
Octobre 2002
I) [Introduction]
Le site Web qui va suivre a été réalisé dans le cadre de
l'option RIO (Réseaux et Interconnexion d'Ordinateurs) de l'ENIC
Télécom Lille 1. Il est destiné à pr ésenter les aspects
techniques et pratiques relatifs aux :
Firewalls, NAT et Proxy
En effet, deux problèmes majeurs ont ammené les entreprises à
utiliser ce type de matériel : la pénurie d'adresses IP
publiques ainsi que la multiplication des attaques sur les
réseaux. Une entreprise, quelle qu'elle soit, connectée à
l'Internet est souvent la cible d'attaques, qui affectent son
propre système ou s'installent sur son réseau pour attaquer en
toute tranquilité d'autres entreprises.
Les concepts de NAT et de proxy sont très liés puisqu'ils sont
utilisés pour permettre à des stations ayant des adresses IP
privées de communiquer avec des réseaux externes. Avec certaines
configurations (NAT dynamique par exemple, filtrage sur les
proxys), il est possible d'augmenter un peu le niveau de
sécurité du réseau de l'entreprise. Ceci n'est en aucun cas
suffisant et c'est pour cel à qu'il est pr éférable d'utiliser des
matériels sp éciaux pour garantir la s écurité tels que des PareFeu ou Firewalls.
Le site que nous vous proposons est illustré afin d'en
simplifier la compréhension.
II) [Une pénurie d'adresses IP]
II.1) L'adressage sur IPv4
Le modèle dominant sur Internet est le modèle TCP/IP. Dans ce
modèle, les machines et les réseaux des entreprises sont
identifiés par une adresse IP. Pour les machines, l'adresse est
codée sur 4 octets et écrite de la forme a.b.c.d. Dans cette
adresse, on trouve un dientfiant de r éseau codé sur 1 à 3 octets
selon la classe de l'adresse et un identifiant de machine codé
sur 3 à 1 octet. L'ICANN est chargé d'attribuer les adresses
réseaux.
5 classes d'adresses, permettant de r épartir les adresses sont
disponibles :
A l'int érieur de ces classes, il existe des adresses réservées qui ne
doivent pas être utilisées : identifiant machine tout à 1 : broadcast sur
le réseau, identifiant machine tout à 0 : désigne la machine elle-même.
II.2) Une pénurie d'adresses
Le problème vient aujourd'hui du fait que le nombre de r éseaux
connect és à l'Internet a eu une très forte croissance. De
nombreux gaspillages d'adresses ont aussi eu lieu rendant
aujourd'hui impossible de trouver une classe A ou une classe B
disponible.
Des entreprises souhaitant aujourd'hui plus de 254 adresses et
voulant se connecter en réseau à Internet ont donc un problème
pour disposer d'adresses IP.
Il a donc fallu trouver des solutions pour pallier à ce manque.
En voici les principales :
l
l
l
IPv6 : Ce nouveau protocole permet de coder les adresses IP
sur 128 bits, soit 16 octets. Le problème de ce protocole
est qu'il n'est pas encore standardis é et donc pas encore
employé.
CIDR : Il s'agit ici de coupler plusieurs adresses réseaux
de classe C choisies pour avoir un masque de sous-réseau
commun et pouvoir ainsi communiquer sans passer par un
routeur à l'intérieur d'une entreprise disposant de réseaux
de classe C en CIDR. Cette solution pourra elle aussi n'être
que temporaire puisqu'il viendra un moment où il manquera
aussi de réseaux de classe C. De plus, avec ce système, des
gaspillages d'adresse réseau sont faits, en effet, une
entreprise qui aurait besoin de 3 réseaux de classe C (3*254
adresse machine) se verra attribuer 4 réseaux, une
entreprise en ayant besoin de 10 en aura 16...
Utilisation des classes d'adresses privées : C'est cette
solution que nous allons développer plus précisément par la
suite :
II.3) Utilisation des adresses privées ( RFC 1918 )
La RFC 1918 définit des plages d'adresses de r éseaux de classe
A, B et C qui ne peuvent pas être utilisées sur Internet. Par
contre, ces adresses peuvent être utilisées en même temps par
plusieurs entreprises : Voici la liste des adresses privées
disponibles :
- classe A : de 10.0.0.0 à 10.255.255.255 soit 1 adresse réseau
de classe A privée
- classe B : de 172.16.0.0 à 172.31.255.255 soit 16 adresses
réseau de classe B privées
- classe C : de 192.168.0.0 à 192.168.255.255 soit 255 adresses
réseau de classe C privées
Le problème d'utiliser les adresses privées vient de leur
définition, : pas de routage sur Internet. Il a donc fallu
trouver des solutions pour permettre à ceux qui les utilisent de
pouvoir communiquer vers l'extérieur. Des mécanismes de
traitement interm édiaires ont été mis en place, notamment la
translation d'adresse (NAT) et la mise en place de proxys .
L'objet de la première partie de ce site Web est de vous
pr ésenter ces deux m écanismes.
Voyons donc d'abord la translation d'adresse.
III) [NAT]
III.1) Principe Général
La NAT (Network Adress Translation) est un syst ème utilisé quand
on souhaite connecter un réseau consitué de machines posédant
des adresses priv ées à Internet.
Le protocole NAT est implémenté sur des routeurs. Ce protocole
repose sur IP.
Nous pr ésenterons ici le mécanisme de base de la NAT, il existe
aujourd'hui des m écanismes beaucoup plus évolués.
En effet, une station de travail du r éseau (possédant une
adresse priv ée) qui souhaite communiquer vers l'extérieur
enverra les données à transmettre vers son routeur par défaut
(routeur définit dans la configuration de la machine ou obtenu
par DHCP).
Le routeur aura donc pour mission de transmettre la demande à
l'extérieur, de récupérer la réponse et de la transmettre à la
station qui a fait la requête. Pour ce faire, il met en oeuvre
la NAT.
Trois types de NAT peuvent être utilisés : la NAT statique, la
NAT dynamique et la NAT multiple .
Voyons dans un premier temps la NAT statique. Son fonctionnement
plus simple nous permettra de comprendre plus facilement les
autres mécanismes.
III.2) NAT Statique et dynamique
Le principe de NAT statique et dynamique est tr ès simple et très
proche. Voyons dans un premier temps la NAT statique.
NAT Statique
Son principe est d'associer une adresse IP interne (privée) à
une adresse IPpublique. Son fonctionnement est très simple :
Lorsque A fait une requête sur le serveur Web :
l
l
l
La station A envoie à son routeur par défaut le message en
pr écisant, comme pour toute communication, son adresse IP :
IPa (privée) comme adresse source et l'adresse IP du serveur
Web : Ipweb comme adresse destination.
Le routeur NAT qui re çoit ce datagramme regarde dans sa
table et voit qu' à l 'adresse privée IPa est associée
l'adresse publique (ou virtuelle) IPpub.
Il modifie donc le message pour intégrer comme adresse
source l'adresse IPpub et fait suivre le message sur son
l
interface connect ée à Internet.
Le serveur Web recevra donc un message de requ ête provenant
de l'adresse IPpub.
Le schéma suivant reprend la vie du message lors de cette phase
d'envoi de requête.
Une fois que le serveur Web a traité la requête, il doit envoyer
la réponse. Voici le cheminement du mesage :
l
l
l
l
Le serveur Web cr ée sa réponse et l'encapsule dans un
datagramme IP avec comme adresse source la sienne : Ipweb et
comme adresse destination l'adresse inscrite dans la
requête, c'est à dire IPpub.
Ce message est donc envoyé et reçu par notre routeur NAT qui
reconna ît IPpub comme une adresse ne correspondant pas à une
adresse de son réseau mais devant être translatée pour
continuer son chemin.
Il regarde donc de nouveau sa table de correspondance NAT et
constate qu' à l'adresse publique IPpub est associée
l'adresse privée IPa.
Il modifie le message et le transmet sur le réseau local où
la machine A est connectée.
Le schéma ci dessous vous résume les étapes d écrites.
Avec ce syst ème, une station interne aura toujours, lorsqu'elle
souhaite se connecter à Internet, la même adresse IP publique .
La NAT dynamique
La NAT dynamique fonctionne sur le même principe que la NAT
statique mis à part que l'adresse publique qui sera attribuée à
la station A (station en adressage privé) ne sera pas toujours
la même. Cette adresse sera choisie dans un "pool d'adresses" à
la disposition du routeur et donnée pour un temps d éfini.
L'adresse obtenue par A sera potentiellement à chaque fois
différente. Mais une fois toutes les adresses du pool utilisées,
les stations qui feront la demande d'une adresse publique ne
pourront pas être satisfaites, il faut donc trouver encore une
autre solution permettant de satisfaire tous les utilisateurs.
Cette solution peut âr exemple êter la NAT multiple ou PAT.
Voyons ceci.
III.3) NAT multiple
La NAT multiple
Ce que l'on appelle communément NAT dynamique est en fait la
mise en place d'une autre translation : la translation de port
ou PAT (Port Adresse Translation). Ce protocole s'appuyant sur
UDP est lui aussi impl émenté sur les routeurs en complément de
la translation d'adresse.
Principe :
La translation de port permet d'associer une même adresse IP
publique à plusieurs adresses IP privées en jouant sur les ports
de connexion. Ainsi, plusieurs machines pourront se connecter en
même temps à Internet alors que le routeur ne dispose que d'une
adresse publique.
Prenons comme exemple une situation o ù deux machines du réseau
local souhaitent aller visiter un site Internet en m ême temps.
La première : A, qui possède l'adresse IP IPa, initialise la
connexion en choisissant au hasard le port source Porta. Au même
instant, la machine B fait la même démarche, elle initialise la
connexion en prenant comme port source (choisi de fa çon
al éatoire) le port Portb. Nous allons nous placer dans le cas le
plus défavorable, par manque de chance les deux machines A et B
ont choisi le même numéro de port (Porta=Portb)...
Voyons ce qui se passe au niveau du routeur NAT/PAT :
Le routeur reçoit les deux demandes de connexion en même temps.
Il va donc regarder dans sa table l'adresse IP source, le port
source et l'adresse publique allouée (la seule à sa
disposition). Il continue donc à faire suivre le paquet de la
machine A sur Internet avec les caractéristiques suivantes :
@src = IPpub, port src = Porta...
Le paquet provenant de B arrive lui aussi au routeur, le routeur
fait de même qu'avec A, il note dans sa table qu'à l'adresse
source IPb et num éro de port Portb est associ é l'adresse Ip
publique IPpub avec le port Portb...
Mais, lors de l'arrivée des réponses en provenance du Web, le
routeur qui reçoit un paquet pour @IP : IPpub et port dest Porta
(=Portb) ne saura pas à qui l'envoyer...
Avec ce mécanisme, il serait possible que le routeur lance des
connexions vers l'extérieur avec le même numéro de port,
connexions qu'il n'arriverait plus à distinguer par la suite...
C'est pour celà que lorsqu'une demande de connexion arrive, le
routeur, en plus de changer l'adresse IP source contenue dans le
paquet, va aussi modifier le port source en en choisissant un
lui même. De cette manière, il ne choisira jamais deux fois le
même numéro en m ême temps, il pourra donc bien suivre toutes les
connexions en même temps.
Voici donc un sch éma synthétisant le fonctionnement de la
translation de port:
Lors de l'envoi de requêtes :
Lors de la réponse à la requête :
Les mécanismes de NAT et PAT sont très liés, ils ont le même
but, voyons en maintenant une comparaison :
III.4) Comparaison et problèmes
Comparaison NAT statique et NAT dynamique
NAT statique
1 adresse IP
publique par
machine du r éseau
local
NAT dynamique
NAT multiple (PAT)
1 pool d'adresses
publiques pour un
réseau complet
1 seule adresse
publique pour un
réseau complet
Initialisation des
connexions TCP
uniquement par
l'intérieur
Gestion plus
Une fois que toutes
facile, on sait qui les adresses du pool
a quelle adresse IP sont utilisées, plus
publique
de connexion possible
Problèmes pour ARP,
FTP
Machines
accessibles par
l'extérieur
Initialisation des
connexions TCP
uniquement par
l'intérieur
L'idéal serait donc de pouvoir coupler ces sytèmes pour n'en
garder que les avantages, ce qui est bien évidemment possible,
voici comment faire :
Couplage NAT et PAT
Sur un réseau, toutes les machines n'ont pas les mêmes besoins
en terme de connexion à Internet, d' établissement de connexion
par l'extérieur etc... Ainsi, il est possible d'impl émenter les
deux systèmes sur le routeur NAT.
Les machines devant être jointes de l'extérieur ou utilisant
fr équemment des services comme FTP peuvent utiliser une NAT
statique. Il peut s'agir par exemple de serveurs Web,
fr équemment appelés. Pour les postes de simples utilisateurs, il
est en général suffisant de faire de la PAT et donc ainsi
économiser le nombre d'adresses publiques disponibles dans
l'entreprise.
Problèmes liés à la NAT
Certains problèmes persistent quand m ême :
Requêtes ARP : Lorqu'une requête ARP est à destination d'une
machine "NAT ée", la requête se fait par l'adresse virutelle
utilisée en dehors du réseau local. Or aucune machine du réseau
ne poss ède cette adresse, c'est le routeur qui doit répondre à
la place de la machine, on dit alors que le routeur fait "proxy
ARP". Le proxy ARP est souvent implémenté automatiquement sur
les routeurs,sinon il existe plusieurs solutions pour pallier à
ce problème : mettre en place un mécanisme de proxy ARP sur la
machine qui fait de la NAT statique, ajouter une entrée statique
dans la table ARP du routeur Internet (pas le routeur NAT mais
le suivant vers Internet) avec l'adresse MAC du routeur
commande : arp -s @IPvirutelle @MACRouteur
ICMP : La NAT multiple demande l'utilisation des ports TCP/UDP
mais certains protocoles ne les utilisent pas, c'est par exemple
le cas d'ICMP, PPP ou Netbios. Par exemple ICMP, il se limite à
la couche 3, il n'a donc pas de ports TCP/UDP. La plupart du
temps, il faudra mettre en place une méthode sp écifique pour
permettre la NAT du trafic ICMP, il suffira de baser la
translation sur l'identifiant de l'entête IP plutôt que sur les
numéros de port.
On peut donc se demander pourquoi ce mécanisme, plus universel
ne serait pas mis en place pour toutes les translations... Mais
il existe maintenant une solution à ce problème, il s'agit du
tracking de paquets ICMP. Ce mécanisme permet entre autres
d'utiliser le procole ICMP avec la translation d'adresses. le
tracking de paquets ICMP est un module compris dans un mécanisme
de NAT évolué tel que "Masquerading".
FTP : FTP est un protocole qui utilise deux connexions en
parallèle, la première pour le contrôle de la connexion et la
seconde pour le transfert des données. FTP fonctionne selon deux
modes : passif (connexions initialisées de l'extérieur) ou mode
actif (la demande de données vient de l'extérieur).Cette seconde
possibilité empêche de faire de la NAT dynamique.
De plus, le protocole FTP contient des informations concernant
les machines et donc celà pose problème si les adresses de ces
machines sont translat ées. Il faut alors utiliser un module
capable de lire les informations contenues dans les données FTP
ou utiliser un proxy FTP qui sera capable de suivre la connexion
et de modifier les données FTP rendant ainsi la connexion
possible. Ce type de module est également disponible dans le
mécanisme de "masquerading" et il peut ête activé ou non selon
l'utilisation.
VPN : Les réseaux privés virtuels ( VPN) utilisent une
communiaction via un tunnel. Le contenu des messages qui
transitent dans ce tunnel est crypté, y compris l'entête IP du
message (protocole IPsec). Ainsi, il n'est plus possible, une
fois le message crypté, de trouver en clair l'adresse IP de
l' émetteur ainsi que le port source, il n'est donc pas non plus
possible de les modifier. Il est donc difficile de faire de la
translation d'adresse dans un VPN. La solution est très simple,
elle consiste à translater l'adresse avant de crypter le message
IP. Là aussi, des mécanismes évolués tels que le "masquerading"
permettent de résoudre le problème.
Certains problèmes renconctrés avec la translation d'adresses ne
le sont pas avec l'utilisation des proxys, voyons donc comment
les proxys fonctionnent.
IV) Proxy
IV.1) Principe de fonctionnement du proxy
Le proxy fonctionne au niveau applicatif. Il est utilisé comme
mandataire par des machines présentes sur un réseau, n'ayant pas
d'accès direct à l'extérieur et souhaitant s'y connecter pour
une application donnée .
Comme pour les routeurs, le nom du serveur proxy doit être
configuré, pour chaque type d'application, sur les machines
clientes. Il peut alors s'agir de proxy HTTP, FTP, ARP etc...
Afin de bien comprendre comment tout celà fonctionne, prenons
comme exemple l'architecture réseau suivante avec un proxy HTTP.
Exemple 1 : La station A veut consulter le site Web Interne
Voici, vus de la machine A les mécanismes mis en place :
l
l
l
l
Résolution DNS pour le serveur WebInterne
Connexion TCP de A vers le serveur WebInterne
A vers WebInterne : requête http GET URL index.htm
WebInterne vers A : envoi du contenu de index.htm
Ici, le serveur WebInterne communique donc directement avec la
station A.
Exemple 2 : La station A veut consulter le site Web Externe
La machine A ne peut pas se connecter directement à Internet,
elle regarde donc dans sa configuration et voit qu'elle doit
passer par le proxy
Voici, tout d'abord vus de la machine A les mécanismes mis en
place :
l
l
l
l
Résolution DNS pour le serveur ProxyHttp
Connexion TCP de A vers le ProxyHttp
A vers ProxyHttp : requête http GET URL WebExterne/index.htm
ProxyHttp vers A : envoi du contenu de WebExterne/index.htm
Voici ensuite, vus du proxy les mécanismes mis en place :
l
l
l
l
l
l
Connexion TCP de A
A vers ProxyHttp : requête http GET URL WebExterne/index.htm
Connexion TCP de ProxyHttp vers WebExterne
ProxyHttp vers WebExterne GET URL index.htm
WebExterne vers ProxyHttp envoi du contenu de index.htm
Proxy vers A envoi du contenu de WebExterne/index.htm
Nous voyons donc ici que la station A ne communique jamais
directment avec le WebExterne (pas de connexion TCP entre A et
le serveur WebExterne.
En règle génrérale, on profite du proxy pour lui adjoindre des
fonctionnalités spéciales. Nous allons donc voir quels services
peuvent lui être ajoutés.
IV.2) Services ajoutés au proxy
Comme nous venons de la voir, le proxy est simplement un
intermédiaire de connexion entre une station du réseau local et
des stations plac ées sur d'autres r éseaux. Néanmoins, des
options lui sont souvent associées, en voici quelques-unes :
Proxy-Cache
Tr ès souvent, un cache est installé sur les proxys. Le cache est
une mémoire installée sur les proxys lui permettant de conserver
dans sa propre mémoire le contenu des requêtes qui ont déjà été
effectu ées.
Le serveur de cache, avant de se connecter au r éseau externe
pour relayer la demande de son client interne, détermine s’il
peut satisfaire la demande du client avec son cache. Un serveur
Proxy utilisant le cache place une copie des objets téléchargés
dans le cache et associe à ces objets une dur ée de vie. Pendant
toute sa dur ée de vie, toutes les demandes pour cet objet seront
satisfaites par le cache. Quand la durée de vie de cet objet est
passée, le prochain client qui demandera cet objet en recevra un
tout nouveau reçu du réseau externe. Si le cache du Proxy est
plein, le serveur Proxy élimine les objets de son cache suivant
certains critères tels que l'âge, l’utilisation et la taille.
Il est possible de paramètrer le cache afin de donner un temps
de validité limité aux pages stockées.
Ceci donne donc l' avantage d'économiser la bande passante
disponible pour toute l'entreprise et aussi les coûts de
connexion à Internet si l'entreprise ne dispose pas d'une
connexion permanente à Internet.
L'utilisation d'un proxy-cache a quand même des inconvénients .
Le premier est que le serveur qui héberge le cache doit avoir de
bonnes performances afin de ne pas trop ralentir les requ êtes,
de plus, le passage dans ce serveur peut provoquer un goulet
d' étranglement au niveau du réseau (le temps de traitement des
requêtes adressées au proxy n'est pas négligeable). Il est
néanmoins possible de placer plusieurs proxys en parallèle afin
de leur répartir la charge.
Proxy-Authentification
Le fait de relier un serveur proxy à un mécanisme
d'authentification permet de ne donner l'accès à Internet qu' à
certaines personnes autoris ées à qui on distribue un login et un
mot de passe. On évite ainsi que toute l'entreprise ait accès à
Internet si les personnes qui en ont besoin sont très rares. On
peut aussi profiter de ce mode de fonctionnement pour répartir
les frais de la connexion à Internet en donnant un mot de passe
par service et ainsi on calcule le trafic inhérent à chaque
service pour redistribuer les co ûts.
Proxy Anonyme
Le proxy anonyme est utilis é pour permettre une conservation de
la vie privée. En effet,lorsqu'une connexion Internet a lieu,
des informations sur le système sont fournies au site Web. Des
informations peuvent alors être utilisées pour suivre les
mouvements de l'internaute. Afin d'éviter de divulguer des
informations sur sa vie privée, il est possible de mettre en
place des proxys anonymes. Ceux-ci détruisent les informations
issues des entêtes des requ êtes provenant d'un ordinateur
sp écifique.
Afin de bénéficier d'un niveau de sécurité optimal, il est
possible de chainer des proxys. Au lieu de saisir une demande de
connexion à un site Internet de la façon suivante :
http://www.enic.fr on tape :
http://proxyA:portA/proxyB:portB/www.enic.fr ou
http://proxyA:portA/proxyB:portB/http://www.enic.fr
Failles de sécurité
Comme tout équipement, le proxy souffre de failles de sécurité.
Même si les pirates les détectent plus vite que les
administrateurs r éseaux, il est préférable d'en connaître les
principaux d éfauts.
La principale faille concerne la liste des utilisateurs
autoris és à se connecter. En effet, si la liste est inexistante
ou mal configurée, n'importe qui pourra venir s'y connecter pour
aller de façon anonyme sur Internet. Il est relativement simple
pour un hacker de se procurer sur Internet une liste de serveurs
proxys et de leur configuration car certaines entreprises
publient sans s'en rendre compte leur adresse de proxy et leur
configuration.
IV.3) Comparaison Proxy et NAT
Les proxys et la translation d'adresse ont le m ême but,
connecter des machines à Internet, mais quel système est-il
pr éférable d'utiliser ?
Vaut-il mieux mettre en place la translation d'adresse ou
utiliser des serveurs proxys ?
Selon les besoins de l'entreprise, chaque matériel peut avoir
ses avantages et ses inconv énients, voici ce qui peut faire
pencher la balance...
Penchant sur les proxys :
Le Proxy est dédi é à une seule application, l'avantage est qu'il
peut interpr éter le contenu de ce qu'il voit passer et donc il
évite des problèmes tels que l'utilisation du protocole FTP avec
la NAT.
Il est possible de mettre un cache sur un proxy, permettant
ainsi de réduire significativement le trafic de l'entreprise
vers l'extérieur si de nombreuses personnes se connectent
souvent au m ême site. La bande passante est alors mieux
utilisée.
Avec les proxys, il est possible d'autoriser ou non l'acc ès à
certaines ressources et il est possible d'avoir un bon contrôle
de ce qui passe sur le réseau.
Les proxys ne sont pas seulement utilisés quand l'entreprise
possède un r éseau en adresses privées, les services à valeur
ajoutée proposés le rendent flexible.Il peut donc être utilisé
pour accroître quelque peu la sécurité sur un réseau.
Penchant pour la NAT :
La NAT est transparente pour les utilisateurs, c'est à dire que
rien ne doit être configur é sur leurs postes pour que le système
fonctionne.
Elle est ind épendante des applications utilis ées, si une
nouvelle application apparait, elle peut tout de suite
communiquer vers l'ext érieur, il n'est pas nécessaire
d'installer un nouveau proxy.
Maintenant que la connexion à Internet est assurée , il faut voir
comment se protéger des malveillances qui peuvent provenir de
l'extérieur. Pour celà, étudions les firewalls.
V) Firewall
V.1) Principe général
Selon la définition de Cheswick et Bellovin, un firewall (ou
pare-feu en français) est un ensemble de composants placé entre
deux réseaux ayant les propriétés suivantes :
l
l
l
Tout le trafic transitant entre les deux r éseaux passe
nécessairement par le firewall
Seul le trafic explicitement autorisé par la politique de
sécurité appliqu ée localement est autorisé à passer au
travers du firewall
Le firewall est immunisé contre toute intrusion.
Il s'agit donc ici de contr ôler tout ce qui se passe à
l'interconnection des deux réseaux et de garantir que
l' équipement réalisant ce contrôle ne peut pas lui-même être
attaqué afin de modifier ses r ègles de filtrage.
Les notions de NAT et de proxy vues précédemment aideront
largement à la compréhension du fonctionnement des firewalls
puisque ces mécanismes y sont utilis és.
Deux principaux types de firewalls existent, les filtres de
paquets et les passerelles applicatives, ceci fera l'objet de la
suite de ce site.
Il faut néanmoins noter qu'il ne suffit pas de mettre en place
un firewall pour se pr émunir de toutes les attaques sur un
réseau, une politique de gestion de la sécurité doit être
définie, surveillée et mise à jour régulièrement, n'oublions pas
que la machine ne fera que ce que l'homme (la femme) lui aura
demandé de faire !
Voyons donc comment se définit une politique de sécurité.
V.2) Politique de sécurité
Stratégies de configuration d'un firewall
Deux grandes stratégies sont utilis ées pour configurer les
firewalls :
l
l
Tout ce qui n'est pas explicitement interdit est autorisé
Tout ce qui n'est psa explicitement permis est interdit.
La seconde règle est la plus utilisée, elle permet en effet de
limiter les failles de sécurité dues à des oublis ou à de
nouvelles sortes d'attaques. Elle est néanmoins longue à mettre
en place et à appliquer. c'est celle qui est la plus souvent
choisie.
Un langage de définition des politiques de sécurité a été cr éé
afin de définir les règles de filtrage. Il a été étudié à l' IETF
et peut se r ésumer comme suit :
SI <condition> ALORS <action>
La condition reprend un critère de s élection (par exemple
l'adresse IP source) en relation avec un opérateur et une
catégorie d'utilisateurs . Les op érateurs sont les suivants : IN,
NOT IN, EQUALS, GREATER THAN, GREATER THAN OR EQUAL TO, LESS
THAN, LESS THAN OR EQUAL TO.
Les actions sont PERMIT (trafic autorisé) et DENY (trafic
interdit). Il existe également une action REJECT qui, en plus de
refuser le passage du paquet, avertit l'émetteur que son paquet
a été détruit. Cette action est très peu utilis ée car elle peut
donner des informations à l'éventuel intru, on préfèrera donc
utiliser DENY.
Différents types de firewalls
dans la suite de ce document, vous connaitrez les deux
principaux types de firewall, leurs fonctionnalités, leur mise
en place et leurs protections.
Le filtre de paquets
La passerelle applicative
V.3) Filtres de paquets
Il filtre le trafic des données au niveau des couches réseau et
transport (niveaux 3 et 4 du modèle OSI).
Le filtrage est principalement r éalisé en fonction des critères
suivants :
l
l
l
l
Numéros de protocole
Adresses IP source et destination
Numéros de ports sources et destinations
Drapeaux de connexion TCP
Gr âce aux numéros de port, il est possible d'effectuer un
filtrage en fonction des services proposés car il existe une
correspondance entre les numéros de ports et les services
associés. Néanmoins, ceci n'est pas tout à fait satisfaisant car
des num éros de port non r éservés existent et peuvent être
utilisés sans être filtrés. Il faut donc bien faire l'inventaire
des ports utilisés par les applications de l'entreprise et
veiller à n'ouvrir que ces ports.
Dans le cas du filtrage par paquets, le firewall ne prête aucune
attention aux données véhiculées sur le réseau. De ce fait, il
ne peut s'agir que d'une maille dans le système de s écurité et
il ne constitue en lui même pas un rempart suffisant.
2 types de filtres de paquets :
Filtre sans Etat : Il ne garde en m émoire aucun contexte, il
traite de fa çon identique tous les paquets IP qu'il voit passer,
c'est à dire qu'il analyse l'ent ête IP selon ses r ègles de
filtrage. C'est le type de filtre de paquet le plus couramment
utilisé.
Filtre avec Etat : Le premier paquet d'une communication IP est
analysé selon les règles de filtrage. L'action réalisée (DENY ou
PERMIT) est gardée en mémoire. Les paquets suivants faisant
partie de la même communication seront traités avec la même
action.
En règle générale, les filtres de niveau paquet offrent de tr ès
bonnes performances en terme de temps de traitement, par contre,
ils ne savent pas comprendre ce qui circule dans la partie
"donnée" des messages ce qui peut être également dangereux. Pour
ce faire, les passerelles applicatives ont été créé es.
V.4) Les Passerelles
La passerelle agit de la couche transport à la couche
application du modèle OSI.
Ici, le firewall effectue un filtrage plus ou moins fin sur les
données échangées entre deux réseaux, pour un service TCP/IP
particulier.
La passerelle sera donc placée sur le même réseau que le client
qui devra obligatoirement passer par elle pour se connecter à
l'extérieur. Ainsi, deux connexions TCP doivent être prises en
compte : une connexion du client vers la passerelle applicative
et une autre de la passerelle applicative vers l'ext érieur. Dans
ce cas, le firewall effectue un contr ôle pour voir s'il autorise
ou non le transit des paquets sur ces connexions. Le firewall va
alors chercher dans ses règles de fonctionnement pour savoir
s'il doit relayer le trafic ou le bloquer.
Il existe deux principaux types de passerelles, les passerelles
de niveau circuit et les passerelles applicatives. Elles sont en
général regroupées sous le terme générique de "passerelles
applicatives" mais ne fonctionnent en fait pas de la même
manière :
Passerelles de niveau circuit :
Dans ce cas, le client effectue une connexion TCP vers la
passerelle pour demander sa connexion au serveur. La passerelle
peut effectuer des contrôles relatifs permettant :
l
l
l
l
de contrôler l'adresse IP d'un client,
d'autoriser pour une durée maximale fixée les communications
sur un port donné
de permettre la r éutilisation d'un même port seulement après
un délai fix é
d'authentifier un terminal
Ici, une seule passerelle peut être mise en oeuvre pour toutes
les applications basées sur TCP/IP.
Dans ce type de configuration, il est nécessaire de modifier la
configuration de la pile TCP/IP du client afin de forcer le
client à se connecter via la passerelle.
Passerelles Applicatives :
Il s'agit en fait ici de mettre en oeuvre le mécanisme de proxy
(d écrit plus tôt dans cet exposé). Il faudra par contre
installer une passerelle applicative par service utilisé dans
l'entrprise devant se connecter à Internet. Ceci permet d'avoir
un filtrage très fin au niveau de l'analyse du contenu de ce qui
transite mais cel à peut s'avérer lourd à gérer car, dès qu'une
nouvelle application qui doit communiquer vers l'ext érieur
apparait, il faut installer un nouveau proxy. Il est possible
d'héberger sur un même serveur plusieurs proxys, limitant ainsi
les coûts au niveau matériel.
Plusieurs types d'architectures permettent d'obtenir le niveau
de sécurité souhaité et de résoudre certains problèmes, par
exemple le fait de devoir installer un proxy par application.
C'est ce que nous allons voir dans le chapitre Architectures.
V.5) Architectures
Il existe plusieurs solutions permettant de connecter le
firewall au réseau Internet, selon le niveau de paranoïa du
responsable sécurité de l'entreprise. Nous allons donc voir ici
quelques possibilités d'architecture et leur intérêt :
Il existe deux éléments indispensables à toutes ces
architectures :
Le routeur filtrant : il s'agit ici d'un routeur où sont
implémentées certaines règles lui permettant de savoir, en
fonction des adresses IP, des protocoles utilis és ou des num éros
de ports à quelle machine envoyer le message.
Le bastion : On appelle bastion un serveur regroupant plusieurs
proxys.
Un routeur filtrant et un bastion ayant deux interfaces r éseau :
Avec ce type d'architecture, le routeur filtrant va vérifier que
tous les paquets issus d'Internet sont adressés au bastion.
Le bastion utilise ses règles de filtrage pour savoir s'il doit
relayer ou non les paquets.
Ce type d'architecture est très fiable car seuls les services
pour lesquels un proxy a été install é peuvent communiquer. Le
problème est donc toujours persistant pour les services qui ne
disposent pas de proxys (certains protocoles propriétaires, par
exemple Lotus Notes ou le service DNS). De plus, toute la
fiabilité de cette architecture repose sur le bastion, une
simple faille au niveau de celui -ci rend toute la structure
ouverte aux attaques.
Un routeur filtrant et un bastion ayant une seule interface
réseau :
Ici, le routeur v érifie la conformit é des paquets issus
d'Internet, il vérifie qu'ils sont bien adressés au bastion. Un
avantage et un inconvénient proviennent du fait que le routeur
peut être contourné. Ceci peut se révéler utile lorsqu'on
souhaite utiliser des services qui ne disposent pas de proxys,
DNS par exemple. On ordonne alors au routeur d'envoyer ce type
de paquets directement sur le réseau, ceci donne une certaine
flexibilité.
La sécurité est ici basée sur les tables de filtrage du routeur
autorisant ou non la connexion directe au réseau interne.
Deux routeurs filtrants et un bastion :
Ici, une zone dite démilitarizée est créé e entre les deux
routeurs, elle est appelée DMZ. L'intérêt vient du fait qu'il
est nettement plus difficle de r éussir à contourner deux
routeurs filrants.
Le routeur R1 envoi les données qui doivent être filtrées au
bastion et les autres vers le second routeur filtrant. Le second
Routeur (R2) vérifie que toutes les informations qui doivent
être filrées viennent du proxy et il laisse passer les messages
qui ne doivent pas être filtrés. Comme dans l'exemple précédent
les services ne disposant pas de firewall peuvent passer.
Autres utilisation des DMZ :
De nombreux firewall permettent sur au moins une de leurs
branches une DMZ. On place alors sur la DMZ tous les serveurs
qui peuvent être accessibles de l'Internet (ne contenant pas de
données critiques). Ainsi, tout le reste du réseau reste
inaccessible de l'extérieur. Voici un exemple d'architecture qui
intègre une DMZ pour une entreprise qui souhaite héberger ellemême son serveur Web et avoir un serveur de mail accessible à
partir d'Internet. Le firewall dans ce cas peut aussi bien être
un filtre de paquets ou une passerelle applicative.
Nous voyons donc ici qu'il n'est pas simple d'installer un
firewall, il faut savoir quelle politique appliquer, quel type
de filtrage on souhaite réaliser, quelles applications auront le
droit de communiquer vers l'extérieur mais aussi quel type
d'architecture mettre en place. Tout dépend du degr é de sécurité
souhait é, des moyens à disposition mais aussi des données à
protéger... car malgré la présence d'un firewall, toutes les
attaques ne peuvent pas être arr êtées, nous verrons dans la
prochaine partie comment attaquent les pirates et s'il existe
des solutions pour déjouer ces attaques.
V.6) Problèmes
Aussi performant que pourra être un firewall, il existera
toujours des failles qu'il ne pourra pas g érer et pour faire
face à des attaques spécifique il devra être configurée de
manière optimale.
Failles
Il existe trois catégories de failles contre lesquelles les
firewalls restent impuissants :
La première catégorie met en cause les protocoles des couches
basses du modèle OSI (de 2 à 4) comme par exemple TCP, IP, UDP,
Ethernet, Token Ring qui ne sont pas nativement sécurisés. En
effet ces protocoles ne nécessitent en aucun cas une
authentification et la confidentialit é des données qu'ils
supportent n'est pas assurée car toutes les informations
circulent en clair.
La deuxième catégorie est liée aux protocoles des couches hautes
et notamment à certains, utilisés fréquemment sur intenet et
pouvant facilement être utilisée à des fins malveillantes par
exemple Telnet ou FTP. En effet il est délicat de noter dans les
régles du firewall que l'utilisation de ces services est
interdit car ils sont pratiques et fr équement utilisés. Bien sur
le firewall ne peux les accepter que s'ils proviennent de
certaines adresses, mais si un pirate usurpe les adresses
autoris ées il pourra faire transiter le contenu qu'il souhaite
sans avoir à s'authentifier, et/ou il pourra lire les
informations qui transitent puisqu'elles ne sont pas codées.
Le troisième risque provient des faiblesses des sytèmes
d'exploitation utilis és sur les réseaux locaux. Il est tr és
facile pour les pirates d'obtenir des renseignements sur les
faiblesses de sécurité des différents système et de concevoir
des attaques appropriées qui ne pourront être détectées par le
firewall qui pensera que ce sont des messages normaux ou et sans
risques.
De plus il faut bien r éaliser que le firewall est incapable
d'empêcher les attaques ne passant pas par lui. Par exemple il
n'est pas rare de constater que certains utilisateurs possèdent
des liaisons modem directe vers l'internet, ce qui constitue une
porte d'entr ée idéale pour un pirate. Il faut également être
conscient que la sécurité absolue n'est pas encore possible et
que la meilleure façon de protéger des documents sensible est de
les stocker sur des supports non accessibles depuis le réseaux :
réseau ou machine en "standalone" c'est à dire sans liaisons
avec le reste de l'entreprise, support de stockage physique :
cd -rom, bandes magnétiques...
Les firewalls ne sont également pas bien adapter à la protection
contre les virus car ce ne sont rien d'autre que des programme
ou documents à l'apparence des plus normale, et il existe
tellement de mani ère de coder les informations qu'il est
difficile de détecter les virus sur le firewall. Il est donc
nécessaire de bien sensibiliser les utilisateurs aux problème de
sécurité et leur donner les directives de bases, la première
étant de ne rien ouvrir provenant d'un mail dont on n'est pas
sur de la provenance.
L'investissement dans un firewall est assez lourd et une bonne
administration prend énormément de temps.
Quelques types d'attaques :
Voici quelques types d'attaques qu'il est possible de contrer
grace à une bonne configuration du firewall.
Le "SYN flooding" . Cette attaque s'adresse aux équpement
fonctionnant avec le protocole TCP. Le principe étant d'inonder
la machine avec des messages comporantant le drapeaux SYN à 1 et
de ne pas répondre, la machine visée reste donc dans l'attente
d'un message avec le drapeau ACK à 1. Cela n'affecte pas
l'intégriter du système mais le mais dans l'incapacit é de
répondre à d'autre requète, cela le rend indisponible. La
solution est de configurer le firewall pour qu'il examine les
requettes TCP et qu'il contrôle le nombre de messages SYN émis
par une même source.
L´IP spoofing. La mascarade autrement appelée IP spoofing
consiste à falsifier l´adresse source d´un datagramme IP pour se
connecter à une machine qui connaît ses hosts amis. La machine
estime donc qu´elle a affaire à un utilisateur reconnu et
laissera ouvertes ses protections. Cette attaque qui est causée
par les faiblesse de certain protocole ne faisant pas
d'authentification, peut être éviter si le firewall fais lui
même de l'authentification (notament en dialoguant avec un
serveur d'authentification) en controlant de manière performante
l'identité du correspondant (mécanisme de signature digitales ou
à base de clef secrète).
Le Pinging. L´exploitation de ces failles se traduit par un
certain nombre de techniques. La première se nomme "pinging" ou
"ping of death". Son principe est très simple : la machine cible
est bombardée par des milliers de messages (de type ICMP envoyés
par la commande ping). Cet équipement se trouve alors saturé et
passe en mode administration. Le pirate peut alors reconfigurer
le syst ème à sa guise. La parade est la même que pour toutes les
attaques de type "flood" c'est à dire de controler le nombre de
message de type signalisation à destination d'une même machine.
Les attaques sur les autres matériels réseaux. En effet si un
routeur est attaquer et que le pirate parvient à modifier les
table de routage afin de rediriger du traffic sur sa propre
machine, le firewall sera impuissant. Il faut donc le
positionner corectement et notament avant les routeur internes à
l'entreprise.
Les journaux de s écurité . Afin de ne laisser aucune trace de son
passage le pirate peux saturer les journaux de sécurité avec des
tentatives de connexions "leure" puis réaliser en toute
discrétion une véritable attaque, puisque les actions ne seront
plus enregistrée. Afin de paré à ce problème il faut que
l'administation du firewall soit irréprochable et surtout que
cette machine soit la moins visible possible par un pirate. Par
exemple il ne faut en aucun cas héberger d'autre service sur
cette m ême machine car elle risquerais d' être vue de
l'extérieur.
En conclusion, on pourra dire que si les capacités du firewall
et sa puissance entrent en jeu dans le niveau de sécurité qu'il
procurera, l'élément essentiel réside dans une administration et
une configuration des plus soign ées et des plus rigoureuses.
VI) Glossaire
Vous trouverez dans ce glossaire les termes que nous avons
utilisés ainsi qu'une définition rapide de ceux-ci. Certains
termes ont été plus expliqu és dans le site lui-même, n'h ésitez
pas à aller consulter les parties correspondantes.
AFNIC : Association Française pour le Nommage Internet en
Coopération
ARP : (Adresse Resolution Protocole) : Protocole permettant sur
un réseau local, d'associer les adresses physique des machines
(adresses MAC) au adresses IP en envoyant une requette en
diffusion à toute les machine pour demander laquelle posséde
l'adresse ip recherché.
Broadcast : Ou diffusion, mécanisme permettant à toutes les
stations d'un réseau de recevoir le message envoyé. Pour le
protocole IP les adresses de broadcast se terminent par 255, par
exemple un message envoyé à l'adresse 192.168.1.255 sera pris en
compte par toutes les machines du réseau 192.168.1.10.
Cache : Le cache est une notion trés présente dans les réseaux,
il s'agit de conserver en m émoire une information que l'on vient
d'aller chercher sur le réseau afin de ne plus avoir à emprunter
le réseau pour la retrouver. Naturellement, il faut mettre en
place des mécanismes de durée de vie limitée ou de mise à jour
pour s'assurer de la validité de l'information.
CIDR : (Classless Inter Domain Routing) Système permettant de
réaliser un seul réseau logique à partir de plusieurs adresses
de classe C contigues. On s'arrange pour que les adersses de
classe C choisies aient le même masque de "Sur -Réseau".
Datagramme : Suite de bit Standardisée. Pour IP, l'entête
comporte 20 octets précisant notamment l'adresse source et
l'adresse destination du message. Les donn ées de la couche
supérieure suivent cet ent ête.
DHCP : Système permettant d'attribuer dynamiquement aux machines
d'un réseau donné une configuration réseau, contenant notamment
l'adresse IP, le masque de sous réseau et le routeur par défaut.
DNS : (Domain Naming Service) Le DNS est un service qui fournit
une base de donnée permettant de faire la relation entre une
adresse IP et le nom de la machine correspondant à cette adresse
IP.
Firewall : Machine placée au point de communication d'un réseau
vers l'extérieur assurant la non-intrusion dans ce réseau.
FTP : (File Transfert Protocole) Protocole applicatif utilisé
dans le transfert de fichier.
HTTP : (HyperText Transfert Protocole). Protocole applicatif de
transmission de donnée s'appuyant sur le protocole TCP. C'est le
protocole le plus employé sur l'Internet notamment pour le
transfert des pages Web.
ICANN : Entitée charg ée de gérer les noms de domaines au niveau
mondial de l'Internet (www.icaan.org)
ICMP : (Internet Control Message Protocole) Protocole permettant
la communication entre routeur pour échanger des informations.
Les messages ICMP sont encapsuler dans les datagramme IP. PPP
(Point to Point protocol) Protocole utilis ée le plus souvent
pour les connexion modem entre le modem et un routeur.
IETF : Internet Engineering Task Force. Il s'agit d'une
communauté internationale regroupant des architectes réseau, des
op érateurs, des vendeurs concernés par l' évolution d'Internet et
de son architecture. l'IETF publie des RFC (Request for Comment)
donnant des instrutions sur l'utilisation d'Internet. voir site
IETF. voir RFC 1918
Intrusion : En réseau, la notion d'intrusion signifie qu'une
personne malveillante a réussi à pouvoir lancer des commandes
sur la machine dans laquelle elle s'est "introduite" sans y être
autoris ée.
IP : (Internet Protocol)
Protocole - : Protocole de réseau (de niveau 3) non fiable,
c'est à dire qu'on ne sait pas si les messages envoy és sont
réceptionnés. IP fait communiquer des machines grâce aux
adresses IP.
Datagramme IP : Voir datagramme
IPSec : Protocole IP sécurisé. Ce protocole encrypte les
datagrammes IP afin de garantir leur intégrité. IL s'occupe de
chiffrer non seulement les données présentes amis aussi
l'entête.
Mandataire : Persone à qui on délègue un service, par exemple on
délègue à un mandataire automobile l'achat d'une voiture.
NAT : (Network Adress Translation) Ce mécanisme de translation
d'adresses permet de routeur sur Internet les adresses privées
d'un réseau. Voir exposé . NAT est souvent associé à PAT
(translation de Port). Voir PAT
NetBios : L'interface NetBios permet d'établir des
communications poste à poste. C'est un progicile d'interface
entre le système d'exploitation d'un ordinateur et les
applications. Ce standard permet de g érer les échanges entre
ordinateurs dans un réseau.
OSI (modèle) : C'est un plan de base mis au point par l'ISO
(International Standard Organization), qui définit comment
seront envoy és les paquets d'informations sur les réseaux
standards. Ce mod èle est composé de 7 couches: la couche
d'application, pr ésentation, session, transport, r éseau, liaison
de donn ées et physique. Il permet d' étudier les différents
niveaux de la transmission séparément en faisant abstaction des
autres couches et en s'appuyant sur celles -ci.
RFC 1918 : (Request For Comment n° 1918) C'est le texte qui
sp écifie les adresses priv ées et publiques. Les adresses privées
ne sont, par normalisation, pas routées sur les routeurs de
l'Internet. http://www.ietf.org/rfc/rfc1918.txt?number=1918.
Passerelle : C'est un équipement agissant de la couche transport
à la couche application du modèle OSI. Les passerelles ont
plusieurs rôles : soit convertir des données entre deux
protocoles de même niveau soit lire le contenu des données qui
passent par elles. les proxys ou firewalls de type passerelles
applicatives utilisent ce second rôle.
PAT : Port Adress Transaltion. ce mécanismé, complémentaire à la
translation d'adresse permet de connecter des machines disposant
d'adresses privées au réseau Internet. Par rapport à NAT, il
permet de connecter plusieurs machines avec une seule adresse
publique. Lorsque la translation de port est mise en oeuvre, on
parle de NAT multiple.
Port : Pour bien comprendre ce qu'est la notion de port, il faut
comprendre la notion de socket . Une socket est un programme
tournant sur une machine et pouvant communiquer avec un autre
programme (une autre socket) tournant sur une autre machine.
Comme il n'y a pas un seul programme communiquant fonctionnant
sur une machine il est nécessaire de les différencier. Des
numéros d'identification ont donc été attribu é à chaque
programme communiquant, c'est ce que l'on appelle le numéro de
port. Ce numéro étant codé sur 16 bits il est possible de
définir 65635 numéros de ports. Les premiers, de 0 à 1024 étant
normalisés et attribu és à des applications particulières.
PPP : (Point to Point Protocole) Il s'agit d'un protocole réseau
permettant à des routeurs de communiquer entre eux. PPP est ausi
utilisé pour connecter un modem au routeur de son fournisseur
d'accès.
Proxy : El ément réseau agissant au niveau applicatif servant de
mandataire lors de connexions vers un autre réseau que celui de
la machine l'utilisant. Le proxy ne fonctionne que pour une
application donnée. Voir Exposé
Routeur : Equipement r éseau de niveau 3, chargé de faire
circuler les paquets de données qu'il reçoit sur une interface
en les orientant correctement sur ses autres interfaces de
sortie de manière à ce qu'il puisse atteindre leur adresse de
destination. Pour cela le routeur gére des tables de routage
associant les interfaces du routeur aux adresses de destination.
Serveur d'authentification : Ce serveur permet de r éaliser une
authentification en interrogeant une liste d'utilisateurs
autoris és à se connecter à certaines ressources.
TCP : (Transport Control Protol).
Protocole - : Protocole de transport (de niveau 4) fiable, c'est
à dire qu'il peut garantir l'acheminement des paquets grace à un
système d'accusé de reception. TCP fait communiquer des
applications grace aux numéros de port.
Connexion - : Avant toute communication entre deux application
par TCP il faut d'abord effectuer une connexion TCP se fait en
trois passes. Le client envoie un requette au serveur, le
serveru accepte ou non cette connexion et le fait savoit au
client, le client confirme la connexion au serveur. Trois
messages sont donc transmis.
TCP/IP (syst ème) : système de r éseaux s'appuyant sur la
collaboration efficace des protocoles TCP (fiable) Et IP (non
fiable) et qui est utilisé comme référence dans les réseaux de
type internet. TCP/IP s'inscrit dans le modéle OSI.
UDP : (User Datagramme Protocole). Protocole de transport de
niveau 3 non fiable mais assurant la communication entre
application grace au numéro de port.
VPN : (Virtual Private Network) ou Réseau privé
s'agit de recréer virtuellement un réseau privé
Internet, notamment en utilisant des techniques
protocoles r éalisant des tunnels sécurisés (par
virtuel. Il
à travers
et des
exemple Ipsec)
VII) Références
- La sécurité des réseaux, polycopié de cours ENIC télécom Lille
1, INT, par Maryline Maknavicius
- Les réseaux, Pujolle, édition 2003, ISBN : 2212110863
- TCP/IP, Douglas Comer, 4ème version, ISBN : 2100054325
NAT :
http://wapiti.enic.fr/commun/ens/peda/options/ST/RIO/pub/exposes/exposesrio200
-Prum/frame.htm
http://usenet-fr.news.eu.org/fur/comp/reseaux/nat.html
http://www.tinysoftware.com/tiny/files/online/wrpro/fr/131.htm#o131
Proxy :
http://perso.wanadoo.fr/fiweb/proxyfiweb.htm
http://ibelgique.ifrance.com/secur/p34.html
Firewall :
Exposé RIO 1997
http://www.nwinternet.com/~pchelp/security/firewalls.htm
http://usenet-fr.news.eu.org/fur/comp/securite/firewall.html
Merci aussi à Denis pour le code Html de ses liens ; -)