Wiki Enseignement

Lancez la configuration du TP4.

$ cd /net/stockage/auesnard/UML/
$ ./launch.sh ./TP-Rx/tp4.txt ./TP-Rx/tp4.tgz 

Voici la configuration du réseau.

                                  
                            opeth    grave 
                  INTERNET    \       /
                               \     /
                                \   /
                     -------- immortal --------
                                /   \
                         DMZ   /\    \   RX INTERNE
                              /  \    \
                            syl  dt  nile

Les IP et les tables de routage sont déjà configurées pour vous

Firewall

On configurera le firewall sur la passerelle immortal.

0. Relevez sur un schéma les IP et les interfaces réseaux de toutes les machines. Vérifiez avec ping que tout le monde peut communiquer ensemble.

1. Positionnez la politique par défaut à DROP.

2. Autoriser le ping vers Internet, mais interdire l'inverse.

3. Autoriser l'accès au web aux machines du réseau interne.

4. Autoriser grave à accèder au serveur ssh (port 22) de dt. Tester.

5. Autoriser l'accès au serveur web de syl. Faire un test avec telnet ou netcat.

6. Depuis opeth, tester votre firewall avec nmap !

Memento

Voici quelques notes concernant l'utilisation d'iptables pour configurer un firewall. La configuration du firewall se base sur la table “filter” et est subdivisée en 3 chaînes (notée <CHAIN>) :

1. INPUT : tout ce qui rentre dans la machine ;
2. OUTPUT : tout ce qui sort dans la machine ;
3. FORWARD : tout ce qui traverse la machine (i.e. lors du routage).

* Pour afficher les règles de la table filter :

  $ iptables -t filter -L

* Pour effacer toutes les règles ajoutées :

  $ iptables -t filter -F

Pour chaque règle que l'on ajoute, trois actions sont possibles (notée <ACTION>) :

1. ACCEPT : on accepte ;
2. REJECT : on rejette poliment (réponse d'erreur envoyé à l'émetteur) ;
3. DROP : on jette à la poubelle (pas de réponse d'erreur).

* Pour modifier la politique par défaut du firewall :

  $ iptables -t filter -P <CHAIN> <ACTION>

* Pour ajouter une nouvelle règle à une chaîne du firewall (attention à l'ordre des règles) :

  $ iptables -t filter -A <CHAIN> <SRC> <DST> <...> -j <ACTION>

  avec <SRC> des indications sur la provenance des paquets IP, comme
  par exemple "-i eth0" ou "-s 192.168.0.0/24" ou encore "-s 0/0" ;

  avec <DST> des indications sur la destination des paquets IP,
  comme par exemple : "-o eth1" ou "-d 147.210.0.0/24" ;

  avec <...> des infos complémentaires sur par exemple la nature du
  protocole "-p icmp" ou "-p tcp", avec éventuellement des
  precisions spécifiques à ces protocoles ("--dport 80" pour TCP) ou
  encore sur l'état "-m state --state NEW", ... 

Pour plus d'info, consulter le manuel : man iptables.