[réglé] firewall nécessaire pour les clients??

[arnaud056]

Bonjour à tous tout d'abord!
Ayant réussi à faire fonctionner sme (passerelle perso + serveur de données) depuis 2 jours (ce qui n'est pas une performance car c'est génialement simple et simplement génial et en plus avec les différentes docs et topics des kadors ici présents...), me voici à ma première question:
vu que sme a son propre firewall, qui d'après ce que j'ai lu, fonctionne parfaitement de manière automatique, est-ce encore nécessaire d'avoir un firewall sur les clients? Moi je dirais que non, mais n'étant pas trop calé dans le domaine réseaux et leur sécurité, je préfère demander.
Ah oui, petite précision: il s'agit d'un environnement familial avec 3 PC's où il n'y a rien à craindre venant de l'intérieur: on se fait (encore!) confiance
Merci et @+
Arnaud

[jdh]

Bienvenue sur le forum.

Il serait bon de prendre juste un peu de temps pour décrire précisément (hors l'adresse ip publique) le contexte.
Cela aide considérablement les lecteurs : ils ne sont pas tous équipés de boule de cristal ...

Dans le cas, il est essentiel de préciser le mode choisi de SME : server only ou server+gateway !

Je suppose que c'est server+gateway.


Les 3 PC internes disposent-ils d'un antivirus ? pourquoi ?

Pourquoi ne devraient-ils pas disposer d'un firewall local ? (surtout si il y a des portables parmi ceux là !)

Quand on se pose la question, la réponse n'est pas loin ...

[arnaud056]

Merci jdh pour les infos.
Effectivement ma sme est en mode server + gateway, qui sont les "vrais" termes, pour mon petit réseau domestique.

Aucun des PC's n'a d'antivirus car....... ils sont tous les 3 sous Ubuntu. Je crois, pense, suppose, il me semble que, l'on n'en a pas vraiment besoin sous linux...Est-ce une erreur??

Pourquoi avoir un firewall local? Comme je l'ai indiqué, je ne crains pas une attaque volontaire venant du côté local car je suis plus ou moins le seul à me servir des PC's. Bien entendu, je ne sais pas ce qui peut se passer si je mets une clé usb infectée dans l'un des PC's...
Je suis donc tenté de désactiver les firewalls des clients pour me faciliter la vie, afin de ne plus être embêté par un blocage dû à un port non ouvert, comme c'est le cas pour le bittorent chez moi en ce moment. Et vu que je ne maitrise pas vraiment le paramétrage du firewall, j'aimerais avoir la configuration la plus simple possible.

@+
Arnaud

[jdh]

A-t-on besoin d'un antivirus sous Linux ? OUI absolument !
J'ai décrit comment ajouter HAVP (qui utilise Clamav) pour sécuriser un peu sa navigation sur ce site : c'est vraiment à faire.
Si les fichiers ne posent pas de problèmes (il doit bien exister des tableurs avec macro sous OpenOffice capables de faire des dégâts), la navigation et son cortège de scripts javascript est à protéger !
On peut ajouter à firefox un addon basé sur Clamav.

(Il serait d'ailleurs judicieux que je pense à ajouter une config pour Thunderbird + Clamav ...)


A-ton besoin d'un firewall sous Linux (pour un desktop) ? Pourquoi pas !
Si le desktop n'a pas de firewall, il serait possible de lancer une application de type ver (worm) par exemple.
C'est un peu difficile à configurer mais peut-être pas très utile s'il y a déjà un firewall qui fera un peu la même chose.
Perso, je saurai faire mais je ne l'ai pas fait sur mes pc.


Néanmoins, j'attire l'attention sur le fait que la SME en serveur + gateway se protège très bien elle-même mais sans fournir de filtrage spécifique sur le trafic sortant du LAN (à la manière d'une box standard). Ce qui n'est pas idéal.
Même si, déjà SME propose un proxy transparent pour http et smtp, j'ignore si pour hhtp cela est couplé au clamav local.

[arnaud056]

Merci pour le tuyau "clair et net" pour l'antivirus je vais m'en occuper.

Donc si je comprends bien ta réponse, tu conseilles d'avoir un firewall sur les clients "au cas ou" et pour contrôler le trafic de sortie.
Et comment faut-il le configurer? Comme si le PC était utilisé sans sme cad relié directement au modem? Ou est-ce qu'il y a quelque chose de particulier à prendre en compte / à respecter?

Moi qui espérais pouvoir tout ouvrir et faire aveuglément (= bêtement?) confiance à la sme......

Perso...... je ne l'ai pas fait sur mes pc.

À moi de te renvoyer la balle: pourquoi ????

@+
Arnaud

[Franck78]

Salut,

Le firewall sur le PC, en linux de plus, est simplissime.

C'est l'occasion de plonger dans IPTABLES si on veut faire simple (il devient vite rébarbatif)
ou dans
'shorewall' pour manager plus facilement le IPTABLES
ou surement dans ubuntu, il doit y avoir un genre d'interface graphique dédiée firewall.
Dans Opensuse c'est AppArmor par exemple.

Dans tout les cas il est bien de comprendre les bases de IPTables avec un cours tel que celui de 'Christian Caleca' (google)!

[jibe]

Salut,

À moi de te renvoyer la balle: pourquoi ????

J'attends avec beaucoup d'intérêt la réponse de jdh, mais je donne déjà la mienne : parce que la paranoïa d'un expert en sécurité est un devoir professionnel, non une psychose

Une question : tu as certainement une bonne serrure sur ta porte d'entrée. En as-tu sur les portes intérieures ? Sur la porte de la cuisine ? Sur la porte du salon ? Sur la porte de la chambre ? Sur la porte de la salle de bains ? Sur la porte des WC ? Quel genre de vitrage/rideaux as-tu pour chacune de ces pièces ?

[arnaud056]

Une question : tu as certainement une bonne serrure sur ta porte d'entrée. En as-tu sur les portes intérieures ? Sur la porte de la cuisine ? Sur la porte du salon ? Sur la porte de la chambre ? Sur la porte de la salle de bains ? Sur la porte des WC ? Quel genre de vitrage/rideaux as-tu pour chacune de ces pièces ?

salut jbe,
et tout d'abord merci pour ton site
Ton exemple concret résume ce que je voulais dire: j'ai une (bonne) serrure sur ma porte d'entrée, mais aucune serrure sur le reste (juste un carton sur la porte de WC "OQP/lib' ") --> c'est exactement ce que je que je pensais: ma sme=ma porte d'entrée... --> pas de nécessité derrière.
Bien sur, si un gugus que j'invite me vole des CD's ou me torche mon pinard.....

@Frank78: simplissime??? alors je dois être certainement très mauvais, ce que je ne conteste pas . J'ai bien une interface graph. sous Untuntu (Firestarter) mais j'ai quand même eu quelques expériences que je n'ai pas compris: lors de la config d'un partage NFS, je pensais avoir déactivé (et non bloqué!) le firewall et j'ai galéré 2 jours jusqu'à ce que je le configure et actuellement j'ai le bittorent qui fonctionne sur un PC mais pas sur l'autre alors qu'apparemment tout est configuré de la même façon.
Tout cela pour dire que j'aurais bien aimé tout désactiver et bêtement déléguer ce problème à ma sme......
@+
Arnaud

[jdh]

Bonsoir Franck78

Sous Ubuntu, il existe, en effet, AppArmor qui est un système semblable à SELinux, et qui est développé par Novell.
Le but d'AppArmor est de définir des règles d'exécution pour des applications ("profiles") : on peut contrôler l'accès d'une application à des fichiers.
Les plus geek pourront lire http://en.opensuse.org/SDB:AppArmor_geeks
Je comprends AppArmor comme un contrôle user/applications/fichiers, et donc pas vraiment proche d'un firewall qui s'intéresse au réseau.


La problématique d'un firewall est de gérer l'accès réseau (entrant / sortant) soit globalement soit par application soit par user.
L'approche "par application" est très souvent présente dans les firewall pour Windows : p.e. Sunbelt Kerio ou la plupart des suites antivirus F-Secure, Symantec, Kaspersky, ... (contrôle applicatif)
L'approche "globalement" est celle du firewall de Windows XP (uniquement en entrée) ou Vista/Seven (en entrée et en sortie).
Je préconise, professionnellement, toujours une suite complète : antivirus + firewall (et donc contrôle applicatif).
Même si les réglages sont un peu identiques à Windows XP : aucun accès entrants sauf ceux que j'ai spécifiquement installé (p.e. vnc) ou les standards ("partage fichiers"), et accès sortants tout autorisé.
Je compte donc beaucoup sur l'antivirus pour empêcher l'exécution d'un ver ou autre malware, mais je n'empêche pas l'utilisateur d'utiliser un peu n'importe quoi (mais il est le plus souvent pas administrateur local).
Au bureau, j'installe par contre systématiquement un firewall avec filtrage sortant assez restrictif : p.e. mes utilisateurs étant en pop3/smtp, ils ne peuvent envoyer en smtp que vers le smtp du fai et recevoir en pop que du fai (pas de serveur mail interne).


Sous Linux, on utilisera un script iptables (méthode vieillie) ou un générateur comme Shorewall (quand même simple à réaliser).
Il existe des interfaces plus ou moins sophistiquées pour Gnome (ou Kde ou X) dans un contexte desktop : filebuilder (lourd), firestarter, ...

Sous Ubuntu, on utilisera plutôt ufw (et éventuellement son interface gufw) : cf http://doc.ubuntu-fr.org/ufw
Le U signifiant uncomplicated, l'utilisation de ufw est extrêmement simple (encore plus qu'un shorewall).
On peut définir
- des policy : "ufw default deny" ou "ufw default deny incoming" (mieux)
- des règles : "ufw allow out 22/tcp" ou "ufw allow proto tcp from 10.0.0.0/8 to any port 80"
L'interface gufw est vraiment très simple : pas besoin de la ligne de commande !


Ce faisant, je viens à l'instant d'activer ufw pour ma config personnelle (Ubuntu maverick) dans le mode "Windows XP" : entrant interdit mais sortant tout autorisé. (Va falloir adapter ...)

Merci de m'avoir "poussé" ! Je ne pourrais désormais plus dire "pas de firewall pour un desktop linux" vu la facilité de mise en oeuvre !

[jibe]

Salut,

c'est exactement ce que je que je pensais: ma sme=ma porte d'entrée... --> pas de nécessité derrière.

Ça, c'est à toi seul de juger, et de toutes manières nous n'avons pas assez d'éléments pour te conseiller valablement. Il ne faut pas oublier ce qu'a souligné jdh : mettre quelques règles sur les clients peut être utile pour compenser les "manques" au niveau SME.

Fermer la porte des WC peut être nécessaire pour éviter que quelqu'un y entre malencontreusement ou volontairement au mauvais moment, mais peut aussi s'avérer utile - comme pour l'OS commençant par la même lettre - pour éviter la diffusion des odeurs. Il ne faut pas oublier que l'OS émet souvent de fortes "odeurs" qui se propagent librement à travers SME jusque sur la voie publique Et ce n'est pas seulement vrai qu'en présence d'un virus ou d'un ver détectable facilement par un antivirus...

Donc, c'est ce que je disais - et je crois que tu l'as bien compris - cela dépend d'un tas de choses sur chaque poste, particulièrement de l'usage que tu en fais et de son OS.

[arnaud056]

oui, merci, je pense avoir pigé et j'ai de ce pas supprimé firestarter et configuré ufw (qui était déjà installé par défaut ).
C'est vrai que c'est très simple à faire, mais je ne sais pas si ça fonctionne correctement...
Je vais donc faire des essais durant les prochains jours...
@+

[arnaud056]

Bonjour,
bon, et bien apparemment il me semble ne pas encore avoir tout compris sur le paramétrage d'un firewall!

En tous cas, celui de mes pc clients fonctionne, mais simplement de façon binaire: quand il est arrêté, la connexion passe, quand il est en marche, ça bloque. C'est le point positif.

Mais le problème est qu'il continue de bloquer la connexion, même quand j'autorise quelque chose.
Prenons un exemple concret pas à pas: je veux tout bloquer sauf le HTTP qui circule normalement par le port 80.

Première question: la sme émet-elle sur le réseau local le HTTP vers le port 80 des clients?

Commençons:
1) activation du firewall:

Code: Tout sélectionner

arnaud@compaq-portable:~$ sudo ufw enable
Le pare-feu est actif et lancé au démarrage du système


2) on ferme tout en entrée et en sortie:

Code: Tout sélectionner

arnaud@compaq-portable:~$ sudo ufw default deny incoming
La stratégie par défaut pour le sens « incoming » a été remplacée par « deny »
(veillez à mettre à jour vos règles en conséquence)
arnaud@compaq-portable:~$ sudo ufw default deny outgoing
La stratégie par défaut pour le sens « outgoing » a été remplacée par « deny »
(veillez à mettre à jour vos règles en conséquence)


3) on vérifie:

Code: Tout sélectionner

arnaud@compaq-portable:~$ sudo ufw status
État : actif


4) on autorise le http et on contrôle:

Code: Tout sélectionner

arnaud@compaq-portable:~$ sudo ufw allow http
La règle a été ajoutée
arnaud@compaq-portable:~$ sudo ufw status
État : actif

Vers                       Action      Depuis
----                       ------      ------
80/tcp                     ALLOW       Anywhere


Normalement, je devrais alors avoir accès au www.
Mais ça ne marche pas...

5) maintenant autorisons tout:

Code: Tout sélectionner

arnaud@compaq-portable:~$ sudo ufw default allow incoming
La stratégie par défaut pour le sens « incoming » a été remplacée par « allow »
(veillez à mettre à jour vos règles en conséquence)
arnaud@compaq-portable:~$ sudo ufw default allow outgoing
La stratégie par défaut pour le sens « outgoing » a été remplacée par « allow »
(veillez à mettre à jour vos règles en conséquence)
arnaud@compaq-portable:~$ sudo ufw status
État : actif

Vers                       Action      Depuis
----                       ------      ------
80/tcp                     ALLOW       Anywhere


Je suis étonné que le "ufw status" reste le même!

J'ai maintenant accès au www, ce qui est normal.

6) interdisons le http:

Code: Tout sélectionner

arnaud@compaq-portable:~$ sudo ufw deny http
La règle a été mise à jour
arnaud@compaq-portable:~$ sudo ufw status
État : actif

Vers                       Action      Depuis
----                       ------      ------
80/tcp                     DENY        Anywhere


Le "ufw status" montre que ça a été pris en compte. Mais...
j'ai encore accès au www .......

--> on dirait que le firewall ne filtre pas le port 80, ou
--> on dirait que chez moi le http ne passe pas par le port 80...
--> mais alors par où??
--> ma question préliminaire...

Merci de me mettre sur la voie
@+
Arnaud

PS: libre aux modos de (me faire) déplacer ce post dans un nouveau topic car c'est limite hors-sujet par rapport au titre

[Franck78]

le http (80) passe souvent par un proxy qui écoute sur un autre port....(genre 3128, 8080,...)
ensuite 'anywhere', d'accord dans les règles.
Mais s'applique à quoi?

a la machine locale faisant tourner 'ufw' (INPUT OUPUT)
ou
entre carte réseau (FORWARD)

Va potasser un peu le site de Christian Caleca !

[jdh]

Pour un poste "client" (=un PC standard, pas un serveur !) :

Code: Tout sélectionner

ufw enable
ufw default deny incoming

Cela suffit à le protéger d'accès extérieur (il ne répond même pas au ping !). (C'est le mode "firewall XP activé" standard ... sauf le ping)

Code: Tout sélectionner

ufw default deny outgoing

Ca va l'empêcher de causer avec l'extérieur ! Pas bon !!!!

Code: Tout sélectionner

ufw allow http

Cela permettrait à l'extérieur d'accéder au service Apache (s'il était lancé sur le client ... ce qui n'est pas le cas).


Il est grand temps de regarder Christian Caleca et de prendre un papier, un crayon et de décrire les flux entrants et sortants de ce PC

[arnaud056]

Bonjour,
merci pour l'info concernant le site de Christian Caleca
J'ai également lu ce tuto http://olivieraj.free.fr/fr/linux/information/firewall/ qui m'a paru un peu plus simple à comprendre.
Même si pour moi les choses indiquées deviennent vite abstraites dès que ca part dans le détail et que je perds assez vite pied, j'ai beaucoup appris et j'ai compris les erreurs que j'avais commises.

J'avais en effet confondu le fonctionnement du client avec celui du serveur…….port 80 par exemple…..

OK, je sais maintenant ce qui ne fonctionne pas et pourquoi. Ce que par contre je ne sais pas encore, c'est comment il faudrait que ce soit pour que cela fonctionne. Je m'explique:

- ces 2 tutos expliquent en général comment configurer le serveur et son firewall. Sur la configuration du firewall du client, pas mot, ou alors il faut que j'aille chez l'opticien…car je n'ai rien trouvé. En général sur le net se trouvent également des explications en pagaille pour configurer le firewall du serveur. Mais je là aussi n'ai rien trouvé concernant le client.

En ce qui concerne le serveur, tout est réglé car j'ai sme qui compense mes lacunes…..

- en réfléchissant à partir de ce que m'ont appris les tutos:
pour les ports de sortie du client: le client émet une requête sur un port quelconque et attend la réponse du serveur soit sur ce port, soit sur un autre port quelconque que le client a décidé lors de sa requête. --> comment savoir quel port ouvrir en sortie? Comment savoir que le client ne va pas vouloir émettre à partir d'un port qu'on a fermé? ou est-ce que le client est assez "intelligent" pour n'émettre à partir des ports que nous avons laissés ouverts?

Il en va de même pour les ports d'entrée du client: comment savoir quel port fermer? Comment être sûr de ne pas avoir fermé un port sur lequel le client va attendre une réponse? Est-ce que le port sur lequel la réponse est attendue est automatiquement ouvert le temps de la réception de cette dernière?

Est-il possible de "dire" au client: pour émettre du http, tu vas obligatoirement sur le port 2569 et attends la réponse sur ce même port? Pour le FTP c'est le port 2687 et réponse sur le 3564 et ainsi de suite???

Il est grand temps ...de prendre un papier, un crayon et de décrire les flux entrants et sortants de ce PC

oui, je le reconnais.
Alors voila ce que j'aimerais que mes client fassent:
- émettre une requête HTTP vers un serveur quelque part sur internet et recevoir la réponse de cette requête (pour pourvoir aller sur ce forum par ex.)
- émettre une requête HTTP vers mon sme (je pense que le client se fiche de la différence car tout arrive au sme. Vrai?) et en recevoir la réponse
- émettre une requête FTP vers un serveur (internet ou sme) et en recevoir la réponse
- émettre une requête samba vers mon sme et en recevoir la réponse
- émettre une requête NTP vers un serveur horloge et en recevoir la réponse
- émettre une requête ssh vers mon sme et en recevoir la réponse
- émettre une requête FTP vers mes autres clients et en recevoir la réponse (pour communication directe entre les PC's lors d'un arrêt de sme par ex.)
- attendre la requête de mes autre clients FTP cités + haut et leur envoyer la réponse --> mode serveur FTP
- attendre la requête FTP de mon sme qui aimerait effectuer une sauvegarde (si j'ai bien compris, mais je n'en suis pas encore là) ou recharger quelque chose de sauvegardé --> mode serveur là aussi.

C'est bien ça les flux?

Merci.
@+
Arnaud