Voir la source de Routage et Firewall

= Routage et Firewall =

== Sysctl ==
'''sysctl''' permet de gérer certains paramètres conjointement à Netfilter. Ces paramètres permettent d'agir sur la configuration du kernel.

Les modifications peuvent se faire :
* En "live" dans les fichiers ''/proc/sys/*''
* En "dur" dans le fichier ''/etc/sysctl.conf''

Pour valider la configuration de sysctl :
 # sysctl -p

=== Configuration courante ===
* Activer le routage :
** En live :
 echo '1' > /proc/sys/net/ipv4/ip_forward
** Dans le fichier :
 net.ipv4.ip_forward=1

* Protection contre le spoofing :
 net.ipv4.conf.all.rp_filter = 1

* Protection contre le syn-flood :
 net.ipv4.tcp_syncookies = 1
 net.ipv4.tcp_max_syn_backlog = 1024

== Routage statique ==

=== Concepts ===
Lorsqu'un hôte (A) cherche à communiquer avec un autre hôte (C) :
# L'hôte (A) détermine si l'hôte distant (C) est sur le même réseau logique
# Si non, il recherche dans sa table de routage une route vers le réseau de destination
# Il extrait l'adresse de passerelle (B)
# Il transmet le paquet à la passerelle (B)

=== Types de routes ===
* '''Route d'hôte''' : route vers un seul hôte ciblé
* '''Route de réseau''' : route vers les hôtes d'un réseau distant 
* '''Route par défaut''' : route utilisée en l'absence des autres types

=== Commande IP ===
* Ajout de route d'hôte :
 # ip route add 10.11.12.3 via 172.16.6.123

* Ajout de route réseau :
 # ip route add 10.56.0.0/16 via 172.16.6.253

* Route par défaut :
 # ip route add default via 172.16.6.1

== Firewall ==

=== Netfilter ===
Netfilter est un module qui permet de filtrer et manipuler les paquets réseau. Il fournit :
* Des fonctions de pare-feu
* De la traduction d'adresse (NAT)
* De l'historisation du trafic réseau

==== Tables ====
Il existe 3 tables principales :
* '''Filter''' : filtrage des paquets
* '''Nat''' : translation d'adresses ou de ports
* '''Mangle''' : modification des en-têtes des paquets

==== Chaînes ====
Les chaînes principales sont :
* '''INPUT''' : paquets à destination du système
* '''OUTPUT''' : paquets émis par les processus
* '''FORWARD''' : paquets à transmettre

=== Commandes iptables ===

==== Syntaxe générale ====
 iptables [-t <table>] <commande> <options>

==== Commandes principales ====
* Lister les règles :
 # iptables -L

* Ajouter une règle :
** En fin de chaîne : ''-A''
** En début de chaîne : ''-I''

* Supprimer :
** Une règle : ''-D''
** Toutes les règles : ''-F''

==== Critères principaux ====
{| class="wikitable"
! Critère !! Description
|-
| -p <protocole> || tcp, udp, icmp ou all
|-
| -s <adresse>[/masque] || Adresse source
|-
| -d <adresse>[/masque] || Adresse destination
|-
| -dport <port> || Port destination
|-
| -sport <port> || Port source
|-
| -i <interface> || Interface d'entrée
|-
| -o <interface> || Interface de sortie
|}

==== Cibles ====
* '''-j ACCEPT''' : autorise le paquet
* '''-j DROP''' : rejette sans notification
* '''-j REJECT''' : rejette avec notification
* '''-j LOG''' : enregistre dans les logs

=== Solutions de firewall ===

==== Shorewall ====
Shorewall est un outil de configuration haut niveau pour Netfilter, permettant de définir les règles via des fichiers de configuration.

'''Configuration principale''' :
* /etc/shorewall/zones : définition des zones
* /etc/shorewall/interfaces : association zones/interfaces
* /etc/shorewall/policy : politiques par défaut
* /etc/shorewall/rules : règles spécifiques
* /etc/shorewall/snat : configuration du masquerading

==== PfSense ====
PfSense est une solution complète de routeur/firewall basée sur FreeBSD :
* Interface web de gestion
* Multiple fonctionnalités de sécurité
* Configuration simple et intuitive

== Outils de diagnostic ==

=== netstat/ss ===
Affiche les connexions réseau :
 # netstat -paunt
* ''-p''' : nom du programme et PID
* '''-a''' : tous les ports
* '''-u''' : ports UDP
* '''-t''' : ports TCP
* '''-n''' : affiche les IP

=== nmap ===
Scanner réseau :
* Détection des machines :
 # nmap -sP 192.168.20.0/24
* Détection OS :
 # nmap -O 192.168.20.20
* Scan complet :
 # nmap -p- 192.168.20.20

=== tcpdump ===
Analyseur de paquets en ligne de commande :
* Capture basique :
 # tcpdump -nv
* Capture sur port spécifique :
 # tcpdump port http
* Capture avancée :
 # tcpdump src 192.168.1.100 and dst 192.168.1.2 and port ftp -w capture.log

=== Solutions de sécurité additionnelles ===
* '''Fail2ban''' : bannissement automatique d'IP malveillantes
* '''PSAD''' : détection d'intrusion et analyse de ports

[[Category:Sécurité]]
[[Category:Réseau]]
[[Category:Administration système]]