demande d'avis sur la sécurité d'un réseau

demande d'avis sur la sécurité d'un réseau - Sécurité - Systèmes & Réseaux Pro

Marsh Posté le 26-10-2008 à 10:28:49    

salut
 
je suis en trains de revoir toutes l'infra du mon réseau d'entreprise de mes parents mais j'ai des questions de sécurité
 
Voilà se que je doit répartir comme différents services
- contrôleur de domaine samba
- serveur asterisk  
- serveur postfix
- serveur vsftpd
- serveur apache2
- annuaire LADP  
et j'en oublie je pense
 
et voilà se que je voulais faire:
mettre les serveurs privé dans un vlan et les serveurs public dans un vlan DMZ avec au milieu une passerelle debian avec iptables.Mais mon problème c'est que postfix et vsftpd vont chercher les users sur LDAP donc je vais devoir les laisser communiquer avec le vlan des serveurs privé car LDAP sera sur le serveur du domaine samba qui sera dans le vlan privé.Donc logiquement ça va créer une faille non?ou si je configure iptables correctement y aura pas de problème? Merci

Reply

Marsh Posté le 26-10-2008 à 10:28:49   

Reply

Marsh Posté le 26-10-2008 à 10:32:19    

Si tu ouvres simplement le port entre les serveurs de dmz et le serveur ldap je ne vois pas vraiment le problème.


---------------
"Parceque toi tu fracasses du migrant à la batte de baseball, c'est ça ?" - Backbone-
Reply

Marsh Posté le 26-10-2008 à 10:42:34    

dreamer18 a écrit :

Si tu ouvres simplement le port entre les serveurs de dmz et le serveur ldap je ne vois pas vraiment le problème.


ok merci, je voulais en être sur.

Reply

Marsh Posté le 26-10-2008 à 12:02:35    

j'ai un autre question:

 

dans mon fichier iptables j'ai ces lignes.

 
Code :
  1. iptables -A FORWARD -i eth0.3 -s 172.25.3.13 -o eth0.5 -m state --state ! INVALID -j ACCEPT
  2. iptables -A FORWARD -i eth0.5 -d 172.25.3.13 -o eth0.3 -m state --state RELATED,ESTABLISHED -j ACCEPT
  3. iptables -A FORWARD -i eth0.3 -s 172.25.3.14 -o eth0.5 -m state --state ! INVALID -j ACCEPT
  4. iptables -A FORWARD -i eth0.5 -d 172.25.3.14 -o eth0.3 -m state --state RELATED,ESTABLISHED -j ACCEPT
 

et je voudrais les remplacer par:

 
Code :
  1. donc j'autorise tous en entrée de eth0.5 vers eth0.3
  2. iptables -A FORWARD -i eth0.5 -o eth0.3 -m state --state RELATED,ESTABLISHED -j ACCEPT
  3. mais je contrôle les sorties de eth0.3 vers eth0.5 (eth0.5 qui est ma connexion ADSL donc très dangereuse)
  4. iptables -A FORWARD -i eth0.3 -s 172.25.3.13 -m mac --mac-source 00:xx:xx:xx:xx:01 -o eth0.5 -m state --state ! INVALID -j ACCEPT
  5. iptables -A FORWARD -i eth0.3 -s 172.25.3.14 -m mac --mac-source 00:xx:xx:xx:xx:02 -o eth0.5 -m state --state ! INVALID -j ACCEPT
 


Mais est-ce que je crée une faille de sécurité là?avez vous des conseils pour pas avoir de failles dans mon fichier iptables? Merci Merci


Message édité par hppp le 26-10-2008 à 12:03:05
Reply

Marsh Posté le 29-10-2008 à 14:16:33    

Faudrait nous montrer la totalité de ton fichier pour qu'on puisse juger la sécurité du firewall.
Mais pourquoi autoriser tous en entré (internet -> lan // eth0.5 vers eth0.3) alors que tu filtres du lan vers le net ? ça j'ai pas bien compris  :??:


Message édité par Cyr1u$ le 29-10-2008 à 14:17:16
Reply

Marsh Posté le 03-11-2008 à 21:25:42    

1 - voilà mon fichier iptables :
 
2 - J'autorise pas tous en entré, car l'extérieur peut pas avoir accès au LAN comme il faut une ip dans 172.25.x.0/24  
 

Code :
  1. #!/bin/sh
  2. ####################################
  3. ##########  Variables  #############
  4. ####################################
  5. VLAN_2=eth0
  6. VLAN_3=eth0.3
  7. VLAN_4=eth0.4
  8. VLAN_5=eth0.5
  9. VLAN_6=eth0.6
  10. TUN0=tun0
  11. ####################################
  12. ###########  Général  ##############
  13. ####################################
  14. # REMISE à ZERO des règles de filtrage
  15. iptables -F
  16. iptables -X
  17. iptables -t nat -F
  18. iptables -t nat -X
  19. iptables -t nat -P PREROUTING ACCEPT
  20. iptables -t nat -P POSTROUTING ACCEPT
  21. iptables -t nat -P OUTPUT ACCEPT
  22. iptables -t mangle -F
  23. iptables -t mangle -X
  24. iptables -t mangle -P PREROUTING ACCEPT
  25. iptables -t mangle -P INPUT ACCEPT
  26. iptables -t mangle -P OUTPUT ACCEPT
  27. iptables -t mangle -P FORWARD ACCEPT
  28. iptables -t mangle -P POSTROUTING ACCEPT
  29. # Nous les faisons pointer par défaut sur DROP
  30. iptables -P INPUT DROP
  31. iptables -P OUTPUT DROP
  32. iptables -P FORWARD DROP
  33. # Les logs
  34. #iptables -A FORWARD -p tcp -j LOG --log-level debug
  35. # On enlève le firewall sur le loopback et le reseau local
  36. iptables -A INPUT -i lo -j ACCEPT
  37. iptables -A OUTPUT -o lo -j ACCEPT
  38. # Activation du routage
  39. echo 1 > /proc/sys/net/ipv4/ip_forward
  40. # On autorise tous les ports en sortie
  41. iptables -A OUTPUT -o $VLAN_5 -m state --state ! INVALID -j ACCEPT
  42. iptables -A INPUT -i $VLAN_5 -m state --state RELATED,ESTABLISHED -j ACCEPT
  43. # On autorise mais en limitant à un par seconde le ping en entrée
  44. iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT
  45. iptables -A OUTPUT -p icmp --icmp-type echo-reply -m limit --limit 1/s -j ACCEPT
  46. # Protége contre le scan des ports
  47. iptables -A FORWARD -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s -j ACCEPT
  48. # Translation d'adresses pour tout ce qui traverse la passerelle en sortant par $VLAN_5 INTERNET et vlan4
  49. iptables -t nat -A POSTROUTING -o $VLAN_5 -j MASQUERADE
  50. iptables -t nat -A POSTROUTING -o $VLAN_4 -j MASQUERADE
  51. # DROP des problème sip vers ovh
  52. #iptables -A INPUT -p udp -m udp --dport 5060 -m string --string "Cirpack KeepAlive Packet" --algo bm --to 65535 --source sip.ovh.net -j DROP
  53. # Proxy transparant
  54. # PC1
  55. iptables -t nat -A PREROUTING -i eth0.3 -s 172.25.3.14 -p tcp --dport 80 -j REDIRECT --to-port 3128
  56. # PC2
  57. iptables -t nat -A PREROUTING -i eth0.3 -s 172.25.3.12 -p tcp --dport 80 -j REDIRECT --to-port 3128
  58. # PC3
  59. iptables -t nat -A PREROUTING -i eth0.3 -s 172.25.3.15 -p tcp --dport 80 -j REDIRECT --to-port 3128
  60. # PC4
  61. iptables -t nat -A PREROUTING -i eth0.3 -s 172.25.3.11 -p tcp --dport 80 -j REDIRECT --to-port 3128
  62. #############################################################
  63. ########################    ########################
  64. ########################   Clients   ########################
  65. ########################    ########################
  66. #############################################################
  67. ################################################################
  68. ########################         ########################
  69. ########################   Passerelle   ########################
  70. ########################       ########################
  71. ################################################################
  72. # Les réseaux
  73. iptables -I OUTPUT -o $VLAN_2 -d 172.25.2.0/24 -j ACCEPT
  74. iptables -I OUTPUT -o $VLAN_3 -d 172.25.3.0/24 -j ACCEPT
  75. iptables -I OUTPUT -o $TUN0 -d 172.20.0.0/24 -j ACCEPT
  76. iptables -I OUTPUT -o $TUN0 -d 172.30.0.0/24 -j ACCEPT
  77. # switch CISCO 2950
  78. iptables -I INPUT -i $VLAN_2 -s 172.25.2.254 -j ACCEPT
  79. # Merlin
  80. iptables -I INPUT -i $VLAN_2 -s 172.25.2.241 -m mac --mac-source 00:1e:8c:46:10:54 -j ACCEPT
  81. # Cameras
  82. iptables -I INPUT -i $VLAN_3 -s 172.25.3.25 -j ACCEPT
  83. iptables -I INPUT -i $VLAN_3 -s 172.25.3.26 -j ACCEPT
  84. # Téléphone PAP2T
  85. iptables -I INPUT -i $VLAN_3 -s 172.25.3.2 -j ACCEPT
  86. # PC3
  87. iptables -A INPUT -i $VLAN_3 -s 172.25.3.15 -j ACCEPT
  88. # PC2
  89. iptables -A INPUT -i $VLAN_3 -s 172.25.3.12 -j ACCEPT
  90. # PC1
  91. iptables -I INPUT -i $VLAN_3 -s 172.25.3.14 -j ACCEPT
  92. ####  Montpellier  ####
  93. # Serveur-lcg
  94. iptables -I INPUT -i $TUN0 -s 172.30.0.1 -j ACCEPT
  95. iptables -I INPUT -i $TUN0 -s 172.20.0.254 -j ACCEPT
  96. # ROUTEUR D-LINK
  97. iptables -I INPUT -i $TUN0 -s 172.20.0.1 -j ACCEPT
  98. # PC1
  99. iptables -I INPUT -i $TUN0 -s 172.20.0.13 -j ACCEPT
  100. ############################################################
  101. ########################   ########################
  102. ########################   VLAN 2   ########################
  103. ########################   ########################
  104. ############################################################
  105. # Les réseaux
  106. iptables -A FORWARD -i $VLAN_2 -d 172.20.0.0/24 -o $TUN0 -m state --state RELATED,ESTABLISHED -j ACCEPT # Clients Montepllier
  107. iptables -A FORWARD -i $VLAN_2 -d 172.25.3.0/24 -o $VLAN_3 -m state --state RELATED,ESTABLISHED -j ACCEPT # Clients Roses
  108. iptables -A FORWARD -i $VLAN_2 -d 172.30.0.0/24 -o $TUN0 -m state --state RELATED,ESTABLISHED -j ACCEPT # Clients OPENVPN
  109. ####  Réseau espagne  ####
  110. # PC4
  111. iptables -A FORWARD -i $VLAN_3 -s 172.25.3.11 -m mac --mac-source 00:0x:xx:xx:xx:xx -o $VLAN_2 -m state --state ! INVALID -j ACCEPT
  112. # PC2
  113. iptables -A FORWARD -i $VLAN_3 -s 172.25.3.12 -m mac --mac-source 00:0x:xx:xx:xx:x1 -o $VLAN_2 -m state --state ! INVALID -j ACCEPT
  114. # PC1
  115. iptables -A FORWARD -i $VLAN_3 -s 172.25.3.14 -m mac --mac-source 00:0x:xx:xx:xx:x2 -o $VLAN_2 -m state --state ! INVALID -j ACCEPT
  116. # PC3
  117. iptables -A FORWARD -i $VLAN_3 -s 172.25.3.15 -m mac --mac-source 00:0x:xx:xx:xx:x3 -o $VLAN_2 -m state --state ! INVALID -j ACCEPT
  118. ####  Réseau Montepllier  ####
  119. # PC1
  120. iptables -A FORWARD -i $TUN0 -s 172.20.0.13 -m mac --mac-source 00:0x:xx:xx:xx:x2 -o $VLAN_2 -m state --state ! INVALID -j ACCEPT
  121. ####  Réseau OPENVPN  ####
  122. # Serveur-lcg
  123. iptables -A FORWARD -i $TUN0 -s 172.30.0.1 -o $VLAN_2 -m state --state ! INVALID -j ACCEPT
  124. # PC1
  125. iptables -A FORWARD -i $TUN0 -s 172.30.0.10 -o $VLAN_2 -m state --state ! INVALID -j ACCEPT
  126. ############################################################
  127. ########################   ########################
  128. ########################   VLAN 3   ########################
  129. ########################   ########################
  130. ############################################################
  131. # Les réseaux
  132. iptables -A FORWARD -i $VLAN_3 -d 172.20.0.0/24 -o $TUN0 -m state --state RELATED,ESTABLISHED -j ACCEPT # Clients Montepllier
  133. iptables -A FORWARD -i $VLAN_3 -d 172.30.0.0/24 -o $TUN0 -m state --state RELATED,ESTABLISHED -j ACCEPT # Clients OPENVPN
  134. ####  Réseau Montepllier  ####
  135. # PC1
  136. iptables -A FORWARD -i $TUN0 -s 172.20.0.13 -o $VLAN_3 -m state --state ! INVALID -j ACCEPT
  137. ####  Réseau OPENVPN  ####
  138. # PC1
  139. iptables -A FORWARD -i $TUN0 -s 172.30.0.10 -o $VLAN_3 -m state --state ! INVALID -j ACCEPT
  140. # Serveur-lcg
  141. iptables -A FORWARD -i $TUN0 -s 172.30.0.1 -o $VLAN_3 -m state --state ! INVALID -j ACCEPT
  142. ############################################################
  143. ########################   ########################
  144. ########################   VLAN 4   ########################
  145. ########################   ########################
  146. ############################################################
  147. # Les Réseaux
  148. iptables -A FORWARD -i $VLAN_4 -d 172.30.0.0/24 -o $TUN0 -m state --state RELATED,ESTABLISHED -j ACCEPT # Clients OPENVPN
  149. ####  Réseau Montepllier  ####
  150. # serveur-lcg
  151. iptables -A FORWARD -i $TUN0 -s 172.30.0.1 -o $VLAN_4 -m state --state ! INVALID -j ACCEPT
  152. ############################################################
  153. ########################   ########################
  154. ########################   VLAN 5   ########################
  155. ########################   ########################
  156. ############################################################
  157. # Les Réseaux
  158. iptables -A FORWARD -i $VLAN_5 -d 172.25.2.0/24 -o $VLAN_2 -m state --state RELATED,ESTABLISHED -j ACCEPT # Serveurs Roses
  159. iptables -A FORWARD -i $VLAN_5 -d 172.25.3.0/24 -o $VLAN_3 -m state --state RELATED,ESTABLISHED -j ACCEPT # Clients Roses
  160. iptables -A FORWARD -i $VLAN_5 -d 172.25.4.0/24 -o $VLAN_4 -m state --state RELATED,ESTABLISHED -j ACCEPT # Foneras Roses
  161. iptables -A FORWARD -i $VLAN_5 -d 172.25.6.0/24 -o $VLAN_6 -m state --state RELATED,ESTABLISHED -j ACCEPT
  162. # Merlin
  163. iptables -A FORWARD -i $VLAN_2 -s 172.25.2.241 -o $VLAN_5 -m state --state ! INVALID -j ACCEPT
  164. # PC4
  165. iptables -A FORWARD -i $VLAN_3 -s 172.25.3.11 -m mac --mac-source 00:0x:xx:xx:xx:xx -o $VLAN_5 -m state --state ! INVALID -j ACCEPT
  166. # PC2
  167. iptables -A FORWARD -i $VLAN_3 -s 172.25.3.12 -m mac --mac-source 00:0x:xx:xx:xx:x1 -o $VLAN_5 -m state --state ! INVALID -j ACCEPT
  168. # PC1
  169. iptables -A FORWARD -i $VLAN_3 -s 172.25.3.14 -m mac --mac-source 00:0x:xx:xx:xx:x2 -o $VLAN_5 -m state --state ! INVALID -j ACCEPT
  170. # PC3
  171. iptables -A FORWARD -i $VLAN_3 -s 172.25.3.15 -m mac --mac-source 00:0x:xx:xx:xx:x3 -o $VLAN_5 -m state --state ! INVALID -j ACCEPT
  172. # Vlan 6
  173. iptables -A FORWARD -i $VLAN_6 s 172.25.6.0/24 -o $VLAN_5 -m state --state ! INVALID -j ACCEPT
  174. ####################################
  175. ############   VLAN 6   ############
  176. ####################################
  177. ####################################
  178. ############    VPN     ############
  179. ####################################
  180. ###############################
  181. ###  OPENVPN Réseau Local  ####
  182. ###############################
  183. # Les Réseaux
  184. iptables -A FORWARD -i $TUN0 -d 172.25.2.0/24 -o $VLAN_2 -m state --state RELATED,ESTABLISHED -j ACCEPT # Serveurs Roses
  185. iptables -A FORWARD -i $TUN0 -d 172.25.3.0/24 -o $VLAN_3 -m state --state RELATED,ESTABLISHED -j ACCEPT # Clients Roses
  186. ####  Réseau espagne  ####
  187. # switch CISCO 2950
  188. iptables -A FORWARD -i $VLAN_2 -s 172.25.2.241 -o $TUN0 -m state --state ! INVALID -j ACCEPT
  189. # Merlin
  190. iptables -A FORWARD -i $VLAN_2 -s 172.25.2.241 -o $TUN0 -m state --state ! INVALID -j ACCEPT
  191. # PC1
  192. iptables -A FORWARD -i $VLAN_3 -s 172.25.3.14 -m mac --mac-source 00:0x:xx:xx:xx:x2 -o $TUN0 -m state --state ! INVALID -j ACCEPT
  193. # PC3
  194. iptables -A FORWARD -i $VLAN_3 -s 172.25.3.15 -m mac --mac-source 00:0x:xx:xx:xx:x3 -o $TUN0 -m state --state ! INVALID -j ACCEPT
  195. # ************************************************************************************************************************************************ #
  196. ####################################
  197. ############    NAT     ############
  198. ####################################
  199. #iptables -A FORWARD -i $VLAN_5 -o $VLAN_2 -d 172.25.2.242 -p tcp --dport 25 -j ACCEPT
  200. #iptables -A FORWARD -i $VLAN_5 -o $VLAN_2 -d 172.25.2.242 -p tcp --dport 110 -j ACCEPT
  201. #iptables -A FORWARD -i $VLAN_5 -o $VLAN_2 -d 172.25.2.242 -p tcp --dport 143 -j ACCEPT
  202. #iptables -A FORWARD -i $VLAN_5 -o $VLAN_2 -d 172.25.2.240 -p tcp --dport 21 -j ACCEPT
  203. #iptables -A INPUT -i $VLAN_5 -p tcp --dport 21 -m state --state ! INVALID -j ACCEPT
  204. iptables -A INPUT -i $VLAN_5 -p tcp --dport 25 -m state --state ! INVALID -j ACCEPT
  205. #iptables -t nat -A PREROUTING -j DNAT -i $VLAN_5 -p TCP --dport 25 --to-destination 172.25.2.242
  206. #iptables -t nat -A PREROUTING -j DNAT -i $VLAN_5 -p TCP --dport 143 --to-destination 172.25.2.242
  207. #iptables -t nat -A PREROUTING -j DNAT -i $VLAN_5 -p TCP --dport 110 --to-destination 172.25.2.242
  208. # ************************************************************************************************************************************************ #

Reply

Marsh Posté le 16-11-2008 à 16:25:53    

up, personne pour me répondre? merci

Reply

Sujets relatifs:

Leave a Replay

Make sure you enter the(*)required information where indicate.HTML code is not allowed