Bonjour à tous,
J'ai l'habitude de mettre en place des firewalls (iptables, pf) sur des connexions "professionnelles" de type SDSL.
Que préconisez-vous dans le cas de lignes adsl et d'équipements de type "Livebox pro" ou autres box adsl ? Mon sentiment est que je n'ai pas confiance en ces pare-feu embarqués non configurables.
Exemple d'une entreprise de 5 postes, 1 serveur et une connexion adsl, pensez-vous qu'un firewall soit nécessaire sur la connexion ?
Merci par avance.
fiabilité des firewalls sur box adsl
10 message(s)
• Page 1 sur 1
fiabilité des firewalls sur box adsl
par ericbosba » 27 Nov 2011 14:17
- ericbosba
- Message(s) : 3
- Inscription : 27 Nov 2011 14:09
Re: fiabilité des firewalls sur box adsl
par jibe » 27 Nov 2011 20:48
Salut,
Personnellement, je travaille avec des TPE, et mes installations vont de 2 à une vingtaine de postes, rarement plus. Et même pour deux postes, je ne fais aucune confiance aux *box. Ni à W$, d'ailleurs ! Pour ces petites entreprises où les moyens sont souvent limités, je mets une SME qui assure à la fois la fonction de passerelle-firewall (en principe pas configurable par l'admin, mais auto-configuré en fonction des paramètres de config et parfaitement adapté à chaque cas précis) et de serveur multi-fonctions (mails, partages samba, impression, sauvegardes etc. etc.). Lorsque des applications nécessitent un serveur W$ et que samba ne convient pas, le serveur W$ est dans le LAN derrière la SME.
La SME assure une parfaite protection du réseau (aucun cas d'intrusion connu, hors SME "bricolées" ou failles de sécurité dans une appli web ouverte sur Internet, mais dans ce cas l'intrusion n'a jamais dépassé l'ibay (disons, l'ensemble des répertoires réservés) hébergeant l'appli). Le seul reproche qu'on puisse lui faire est de ne pas filtrer les flux sortants, mais pour les cas dont je m'occupe, ce n'est pas indispensable.
Il va sans dire que dans une entreprise plus importante, je mettrais PfSense ou autre firewall !
Personnellement, je travaille avec des TPE, et mes installations vont de 2 à une vingtaine de postes, rarement plus. Et même pour deux postes, je ne fais aucune confiance aux *box. Ni à W$, d'ailleurs ! Pour ces petites entreprises où les moyens sont souvent limités, je mets une SME qui assure à la fois la fonction de passerelle-firewall (en principe pas configurable par l'admin, mais auto-configuré en fonction des paramètres de config et parfaitement adapté à chaque cas précis) et de serveur multi-fonctions (mails, partages samba, impression, sauvegardes etc. etc.). Lorsque des applications nécessitent un serveur W$ et que samba ne convient pas, le serveur W$ est dans le LAN derrière la SME.
La SME assure une parfaite protection du réseau (aucun cas d'intrusion connu, hors SME "bricolées" ou failles de sécurité dans une appli web ouverte sur Internet, mais dans ce cas l'intrusion n'a jamais dépassé l'ibay (disons, l'ensemble des répertoires réservés) hébergeant l'appli). Le seul reproche qu'on puisse lui faire est de ne pas filtrer les flux sortants, mais pour les cas dont je m'occupe, ce n'est pas indispensable.
Il va sans dire que dans une entreprise plus importante, je mettrais PfSense ou autre firewall !
jibe. En vert ou en rouge-orangé : je modère - En noir ou autre couleur : je parle à titre personnel.
L'idée que quand on n'a pas quelque chose, on puisse se bouger pour l'avoir, c'est une démarche qui parait absolument normale pour les gens du Logiciel Libre et totalement surnaturelle pour tout le reste de la population. (Benjamin Bayart)
L'idée que quand on n'a pas quelque chose, on puisse se bouger pour l'avoir, c'est une démarche qui parait absolument normale pour les gens du Logiciel Libre et totalement surnaturelle pour tout le reste de la population. (Benjamin Bayart)
- jibe
- Message(s) : 943
- Inscription : 09 Sep 2011 23:19
- Localisation : Haute Savoie
Re: fiabilité des firewalls sur box adsl
par jdh » 27 Nov 2011 23:01
Concernant le filtrage en entrée, une box sait parfaitement faire ! (et de façon fiable)
Concernant le filtrage en sortie, nada.
Concernant un filtrage entre zones internes distinctes, nada.
Concernant un accès VPN, une box est très faible : j'ai vu récemment des Livebox permettant de se connecter en Ipsec à un point central.
Si la sécurité qui vous va est une protection contre d'éventuelles entrée, et que vous ne souhaitez pas de filtrage en sortie, une box vous suffit.
(Or la protection en sortie est TOUT AUSSI indispensable ...)
Mais dès que vous pensez à un VPN pour permettre un accès distant à vos collègues, dès que vous pensez à un serveur accédé depuis l'extérieur, un firewall s'impose.
En plus , il y a des distributions tout en un, comme SME ou Zentyal capable de faire plein de fonctions avec firewall (avec 2 cartes réseaux) !
(Zentyal propose une interface de config peu pratique mais fonctionnelle).
Concernant le filtrage en sortie, nada.
Concernant un filtrage entre zones internes distinctes, nada.
Concernant un accès VPN, une box est très faible : j'ai vu récemment des Livebox permettant de se connecter en Ipsec à un point central.
Si la sécurité qui vous va est une protection contre d'éventuelles entrée, et que vous ne souhaitez pas de filtrage en sortie, une box vous suffit.
(Or la protection en sortie est TOUT AUSSI indispensable ...)
Mais dès que vous pensez à un VPN pour permettre un accès distant à vos collègues, dès que vous pensez à un serveur accédé depuis l'extérieur, un firewall s'impose.
En plus , il y a des distributions tout en un, comme SME ou Zentyal capable de faire plein de fonctions avec firewall (avec 2 cartes réseaux) !
(Zentyal propose une interface de config peu pratique mais fonctionnelle).
L'intelligence artificielle n'est rien à côté de la stupidité naturelle.
- jdh
- Message(s) : 731
- Inscription : 02 Nov 2011 00:36
- Localisation : Nantes - Angers
Re: fiabilité des firewalls sur box adsl
par Cool34000 » 28 Nov 2011 10:19
Salut,
Comme le dit très bien jdh, les box ADSL couvrent le minimum vital à savoir le filtrage entrant... Certaines offrent même un filtrage en sortie comme la Livebox (du moins, la mienne !)
Perso, je m'en débarrasse systématiquement si la téléphonie ou la TV ne sont pas dans inclus l'abonnement.
De plus, certains FAI louent leurs box donc au final cela revient plus cher sur la durée que d'investir dans un vrai routeur/firewall !
Par contre, je n'aime pas monter un routeur derrière une box ADSL si elle ne peut pas être passée en mode bridge...
J'aime bien coller un routeur CISCO 800 quand le budget le permet (jamais vu de CISCO cramer en 7 ans d'expérience) ou des appliances comme Alix2c3 + PfSense sur une carte flash.
Comme le dit très bien jdh, les box ADSL couvrent le minimum vital à savoir le filtrage entrant... Certaines offrent même un filtrage en sortie comme la Livebox (du moins, la mienne !)
Perso, je m'en débarrasse systématiquement si la téléphonie ou la TV ne sont pas dans inclus l'abonnement.
De plus, certains FAI louent leurs box donc au final cela revient plus cher sur la durée que d'investir dans un vrai routeur/firewall !
Par contre, je n'aime pas monter un routeur derrière une box ADSL si elle ne peut pas être passée en mode bridge...
J'aime bien coller un routeur CISCO 800 quand le budget le permet (jamais vu de CISCO cramer en 7 ans d'expérience) ou des appliances comme Alix2c3 + PfSense sur une carte flash.
In a world without walls and fences, who needs windows and gates?
- Cool34000
- Message(s) : 199
- Inscription : 12 Sep 2011 19:02
- Localisation : Nimes, France
Re: fiabilité des firewalls sur box adsl
par ccnet » 28 Nov 2011 12:07
Que préconisez-vous dans le cas de lignes adsl et d'équipements de type "Livebox pro" ou autres box adsl ?
Je pense que le type de liaison ne change rien au besoin de sécurité et, au cas précis, aux nécessités de filtrage réseau.
Mon sentiment est que je n'ai pas confiance en ces pare-feu embarqués non configurables.
Je suis d'accord. On a connu quelques précédent dur certains boitiers. Par ailleurs comme mes camarades, je pense que l'absence de filtrage du trafic sortant est une grave lacune de la majorité de ces boitiers. Les fonctionnalité de ces boitiers sont souvent assez sommaires et peu souples.
Exemple d'une entreprise de 5 postes, 1 serveur et une connexion adsl, pensez-vous qu'un firewall soit nécessaire sur la connexion ?
Je pense qu'il est indispensable d'avoir un firewall efficace et bien configuré, ceci indépendamment de la taille de la structure.
Idéalement je préfère que l'ip publique soit sur la patte wan du firewall, ou bien sur celle de du routeur d'accès avec un tronçon privé entre celui ci et le firawall, mais en routant les ip publiques. Je préfère éviter le double nat.
- ccnet
- Message(s) : 113
- Inscription : 02 Nov 2011 08:51
- Localisation : Paris
Re: fiabilité des firewalls sur box adsl
par ericbosba » 28 Nov 2011 14:14
Merci à tous pour vos réponses pertinentes !
Je pencherais donc pour une solution de ce type :
INTERNET ----- BOX ----- FW ----- LAN
Ceci me permettant un filtrage entrant et sortant. De plus au vu d'une récente mise à jour de firmware ayant réinitialisée les mots de passe de l'interface d'administration des Livebox, je souhaite m'affranchir de la gestion d'un point de vue sécurité de ce type d'équipement.
Les Livebox (pro) peuvent-elles fonctionner en mode bridge ? Sinon, quelles alternatives peut-on envisager ?
@ccnet : Comment procéder pour obtenir l'IP publique sur la patte wan du firewall ?
Je pencherais donc pour une solution de ce type :
INTERNET ----- BOX ----- FW ----- LAN
Ceci me permettant un filtrage entrant et sortant. De plus au vu d'une récente mise à jour de firmware ayant réinitialisée les mots de passe de l'interface d'administration des Livebox, je souhaite m'affranchir de la gestion d'un point de vue sécurité de ce type d'équipement.
Les Livebox (pro) peuvent-elles fonctionner en mode bridge ? Sinon, quelles alternatives peut-on envisager ?
Idéalement je préfère que l'ip publique soit sur la patte wan du firewall
@ccnet : Comment procéder pour obtenir l'IP publique sur la patte wan du firewall ?
- ericbosba
- Message(s) : 3
- Inscription : 27 Nov 2011 14:09
Re: fiabilité des firewalls sur box adsl
par kryboo » 28 Nov 2011 15:10
ericbosba a écrit :Que préconisez-vous dans le cas de lignes adsl et d'équipements de type "Livebox pro" ou autres box adsl ?
Internet -- BOX -- FW -- LAN
Le FW tu as le choix pf/ipcop/SME/..., je dirais que la dernière solution (SME) serait à mettre en place pour ces outils d'hébergement.
Par contre il faut penser à deux choses pour la BOX.
Désactiver les accès WAN de la BOX, ce qui n'est pas souvent le cas
Et si elle est récente elle peux être configurée en mode bridge, ce qui désactive toute ses fonction firewall
Flav, Alias C.E.C.
Ingénieur / Formateur Systèmes & Réseaux.
Ingénieur / Formateur Systèmes & Réseaux.
- kryboo
- Message(s) : 12
- Inscription : 23 Nov 2011 12:54
Re: fiabilité des firewalls sur box adsl
par Cool34000 » 28 Nov 2011 17:04
Drôle de question... En branchant le FW en direct sur le WAN bien sur !ericbosba a écrit :Comment procéder pour obtenir l'IP publique sur la patte wan du firewall ?
Le schéma doit ressembler à ceci :
- Code : Tout sélectionner
Internet --- Modem --- FW --- LAN
ou
- Code : Tout sélectionner
Internet --- Box en mode bridge --- FW --- LAN
Au passage, le mode bridge désactive le firewall + le NAT d'une box... La box n'est alors plus qu'un simple modem !
Eviter (surtout quand on débute) les montages du type :
- Code : Tout sélectionner
Internet --- Box --- FW --- LAN
Cela fonctionne très bien, mais le double paramétrage rend l'opération plus compliquée puisqu'on a un routeur derrière un autre routeur !
In a world without walls and fences, who needs windows and gates?
- Cool34000
- Message(s) : 199
- Inscription : 12 Sep 2011 19:02
- Localisation : Nimes, France
Re: fiabilité des firewalls sur box adsl
par ericbosba » 28 Nov 2011 20:47
Cool34000 a écrit :Drôle de question... En branchant le FW en direct sur le WAN bien sur !
En effet désolé...
Merci à tous pour vos indications.
- ericbosba
- Message(s) : 3
- Inscription : 27 Nov 2011 14:09
Re: fiabilité des firewalls sur box adsl
par jibe » 28 Nov 2011 21:44
Salut,
+1 !
Et la wifi également !
J'ai eu deux problèmes, tous deux avec des 9 box (peut-être simplement parce que j'ai très peu d'autres installations où j'aurais pu avoir un problème semblable) :
- L'une a été piratée (nom d'utilisateur, clé WPA, et autres modifiés) via la wifi. Et comme 9 / cegetel / SFR propose la téléphonie sans abonnement FT en zones non dégroupées (c'était le cas), la facture de téléphone a atteint des sommets : le pirate ne s'est pas gêné pour utiliser la ligne pour jouer en ligne sur des numéros hyper surtaxés !
- L'autre est tout bêtement tombée en panne. Le fait que ce soit une entreprise n'y change rien : procédures de vérification interminables, puis ne donnant aucun résultat parce qu'il y a un serveur linux derrière et pas un poste W$... Bref, un modem à 50€ coûte infiniment moins cher que le temps passé + la hotline surtaxée !
Et c'est là où j'en viens à mon principe : si le client veut garder sa box, qu'il le fasse, mais il est prévenu : au moindre problème, ça lui coûtera beaucoup plus cher qu'un modem + une distrib faisant firewall sur un PC de récupération + sa config, et on a quelque chose de bien mieux ! Et si, de toutes manières, un firewall ou un serveur-passerelle est prévu, il n'y a pas photo !
Et comme il faudra de toutes manière changer la box un jour ou l'autre (ne serait-ce que pour maintenance), autant prévoir le coup dès le départ et, si elle est conservée, la court-circuiter par un moyen queconque (bridge, dmz, redirection de tous les ports...) et tout faire faire au firewall derrière.
Fiabilité des *box ? Ma freebox perd sa synchro régulièrement les rares fois où je la remets en service. Mon modem (un bête DLink 320) ne l'a jamais perdue en plusieurs années. La téléphonie qui va avec ? Prendre un FAI qui fait de la vraie téléphonie SIP : je me sers de la téléphonie sans la freebox ! La TV ? Alors, ce n'est pas une installation pro
kryboo a écrit :Désactiver les accès WAN de la BOX, ce qui n'est pas souvent le cas
+1 !
Et la wifi également !
J'ai eu deux problèmes, tous deux avec des 9 box (peut-être simplement parce que j'ai très peu d'autres installations où j'aurais pu avoir un problème semblable) :
- L'une a été piratée (nom d'utilisateur, clé WPA, et autres modifiés) via la wifi. Et comme 9 / cegetel / SFR propose la téléphonie sans abonnement FT en zones non dégroupées (c'était le cas), la facture de téléphone a atteint des sommets : le pirate ne s'est pas gêné pour utiliser la ligne pour jouer en ligne sur des numéros hyper surtaxés !
- L'autre est tout bêtement tombée en panne. Le fait que ce soit une entreprise n'y change rien : procédures de vérification interminables, puis ne donnant aucun résultat parce qu'il y a un serveur linux derrière et pas un poste W$... Bref, un modem à 50€ coûte infiniment moins cher que le temps passé + la hotline surtaxée !
Et c'est là où j'en viens à mon principe : si le client veut garder sa box, qu'il le fasse, mais il est prévenu : au moindre problème, ça lui coûtera beaucoup plus cher qu'un modem + une distrib faisant firewall sur un PC de récupération + sa config, et on a quelque chose de bien mieux ! Et si, de toutes manières, un firewall ou un serveur-passerelle est prévu, il n'y a pas photo !
Et comme il faudra de toutes manière changer la box un jour ou l'autre (ne serait-ce que pour maintenance), autant prévoir le coup dès le départ et, si elle est conservée, la court-circuiter par un moyen queconque (bridge, dmz, redirection de tous les ports...) et tout faire faire au firewall derrière.
Fiabilité des *box ? Ma freebox perd sa synchro régulièrement les rares fois où je la remets en service. Mon modem (un bête DLink 320) ne l'a jamais perdue en plusieurs années. La téléphonie qui va avec ? Prendre un FAI qui fait de la vraie téléphonie SIP : je me sers de la téléphonie sans la freebox ! La TV ? Alors, ce n'est pas une installation pro
jibe. En vert ou en rouge-orangé : je modère - En noir ou autre couleur : je parle à titre personnel.
L'idée que quand on n'a pas quelque chose, on puisse se bouger pour l'avoir, c'est une démarche qui parait absolument normale pour les gens du Logiciel Libre et totalement surnaturelle pour tout le reste de la population. (Benjamin Bayart)
L'idée que quand on n'a pas quelque chose, on puisse se bouger pour l'avoir, c'est une démarche qui parait absolument normale pour les gens du Logiciel Libre et totalement surnaturelle pour tout le reste de la population. (Benjamin Bayart)
- jibe
- Message(s) : 943
- Inscription : 09 Sep 2011 23:19
- Localisation : Haute Savoie
10 message(s)
• Page 1 sur 1
Retour vers Sécurité et réseaux
Qui est en ligne ?
Utilisateur(s) parcourant ce forum : Aucun utilisateur inscrit et 0 invité(s)