Voir la source de Configuration de Shorewall (Firewall)


== Shorewall : Présentation ==
''''Shorewall'''' ('''Shoreline Firewall''') est un outil de gestion de pare-feu basé sur '''iptables''', conçu pour simplifier la configuration et la gestion de pare-feu sous Linux. Shorewall permet de créer des règles de sécurité réseau complexes en définissant des zones, des interfaces, et des politiques de sécurité, rendant la configuration plus accessible que d'écrire directement des règles '''iptables'''. 

=== Fonctionnalités principales ===
Shorewall permet aux administrateurs de :
* '''Gérer les politiques de filtrage''' entre les zones de réseau (par exemple, LAN, Internet, DMZ).
* '''Contrôler les interfaces réseau''' et restreindre le trafic entrant et sortant.
* '''Configurer le NAT (Network Address Translation)''' et le '''masquerading''' pour permettre aux machines d’un réseau local de communiquer avec l'extérieur.
* '''Définir des règles spécifiques''' pour des services ou applications, comme le SSH, HTTP, ou d'autres ports personnalisés.
* '''Effectuer des redirections de ports''' (DNAT) pour accéder aux services internes depuis l’extérieur.

=== Structure de configuration ===
Shorewall utilise plusieurs fichiers de configuration pour organiser les paramètres du pare-feu :
* ''''/etc/shorewall/zones'''' : Définit les zones de réseau (par exemple, '''fw''' pour le firewall, '''net''' pour le réseau externe).
* ''''/etc/shorewall/interfaces'''' : Associe les interfaces réseau aux zones.
* ''''/etc/shorewall/policy'''' : Définit les politiques de filtrage par défaut entre les zones.
* ''''/etc/shorewall/rules'''' : Spécifie les règles spécifiques pour le trafic réseau (par exemple, autoriser SSH ou HTTP).
* ''''/etc/shorewall/snat'''' : Configure le '''masquerading''' ou le NAT pour masquer les adresses IP locales derrière une IP publique.

Ces fichiers permettent une séparation logique des paramètres, rendant la gestion et la maintenance du pare-feu plus claires et modulaires.
== Installation des paquets ==
Sur la machine virtuelle '''vmlb''', installez les paquets suivants :
<syntaxhighlight lang="bash">
# apt install shorewall tcpdump nmap
</syntaxhighlight>

== Configuration des fichiers de Shorewall ==
Les fichiers de configuration de Shorewall sont modifiés pour définir les zones, les interfaces, les politiques, le SNAT, les variables de paramètres et les règles d'accès.

=== Fichier des zones ===
Définissez les zones dans '''/etc/shorewall/zones''' :
<syntaxhighlight lang="text">
# cat /etc/shorewall/zones
fw  firewall
net ipv4
lan ipv4
</syntaxhighlight>

* '''fw''' : Zone représentant le firewall lui-même.
* '''net''' : Zone pour le réseau externe (Internet).
* '''lan''' : Zone pour le réseau local (LAN).

=== Fichier des interfaces ===
Associez les interfaces réseau aux zones dans '''/etc/shorewall/interfaces''' :
<syntaxhighlight lang="text">
# cat /etc/shorewall/interfaces
?FORMAT 2
net enp0s3 dhcp,tcpflags,nosmurfs,sourceroute=0
lan enp0s8 tcpflags,nosmurfs,sourceroute=0
</syntaxhighlight>

* '''enp0s3''' : Interface pour le réseau externe avec des options de sécurité activées.
* '''enp0s8''' : Interface pour le réseau local, également avec options de sécurité.

=== Fichier des politiques ===
Définissez les politiques de filtrage de Shorewall dans '''/etc/shorewall/policy''' :
<syntaxhighlight lang="text">
# cat /etc/shorewall/policy
lan     net     ACCEPT
lan     $FW     ACCEPT

$FW     net     ACCEPT
$FW     lan     ACCEPT

net     all     DROP    info
all     all     REJECT  info
</syntaxhighlight>

* '''ACCEPT''' : Autorise le trafic entre '''lan''' vers '''net''' et le '''firewall''' ('''$FW''').
* '''DROP''' : Bloque tout trafic entrant du réseau '''net''' par défaut, avec enregistrement.
* '''REJECT''' : Rejette tout autre trafic, avec enregistrement.

=== Fichier SNAT ===
Pour effectuer du masquerading, configurez le fichier '''/etc/shorewall/snat''' :
<syntaxhighlight lang="text">
# cat /etc/shorewall/snat
MASQUERADE 192.168.72.0/24 enp0s3
</syntaxhighlight>

* '''MASQUERADE''' : Applique le NAT source (SNAT) pour masquer les adresses du réseau local '''192.168.72.0/24''' à travers l'interface externe '''enp0s3'''.

=== Fichier des paramètres (params) ===
Définissez une variable de paramètres dans '''/etc/shorewall/params''' :
<syntaxhighlight lang="text">
# cat /etc/shorewall/params
IP_GCH=192.168.1.18
</syntaxhighlight>

* '''IP_GCH''' : Définit l’adresse IP externe spécifique utilisée dans certaines règles.

=== Fichier des règles ===
Définissez les règles de filtrage spécifiques dans '''/etc/shorewall/rules''' :
<syntaxhighlight lang="text">
# cat /etc/shorewall/rules
ACCEPT   all     all     icmp    8

ACCEPT   net:$IP_GCH    $FW     tcp     22

ACCEPT   net     $FW     tcp     80

ACCEPT   net:$IP_GCH    $FW     tcp     8282

# DNAT
DNAT     net:$IP_GCH    lan:192.168.72.11:22    tcp     2221
DNAT     net:$IP_GCH    lan:192.168.72.12:22    tcp     2222
</syntaxhighlight>

* '''ACCEPT''' : 
  * Autorise les paquets ICMP de type 8 ('''ping''') de n'importe quelle source vers n'importe quelle destination.
  * Permet l'accès SSH (port 22), HTTP (port 80), et 8282 à partir de l'IP définie par '''IP_GCH''' vers le firewall.
* '''DNAT''' :
  * Redirige le trafic externe vers l’IP '''192.168.1.18''' sur les ports '''2221''' et '''2222''' vers les adresses locales '''192.168.72.11:22''' et '''192.168.72.12:22''' respectivement (pour le SSH).

== Validation et démarrage de Shorewall ==
Exécutez les commandes suivantes pour vérifier et démarrer Shorewall :
<syntaxhighlight lang="bash">
# shorewall check
# shorewall safe-start
# systemctl enable shorewall
</syntaxhighlight>

== Test de configuration avec nmap ==
Depuis une machine externe, testez la configuration du pare-feu avec '''nmap''' en scannant les ports autorisés :
<syntaxhighlight lang="bash">
$ nmap -p 22,80,8282,2221,2222 IP_FIREWALL
</syntaxhighlight>

Le test doit vérifier que les ports 22, 80, 8282, 2221, et 2222 sont ouverts sur '''IP_FIREWALL''', conformément aux règles de Shorewall définies dans la configuration.