Iptables et encapsulation

par **desvers** » 13 Oct 2008 22:19

Bonjour,

Est-il possible de filtrer avec Iptables l'encapsulation, par exemple, les demandes de connexions TCP dans une requête DNS qui permettent de contourner facilement firewall et proxy?

Merci d'avance.

par **Franck78** » 14 Oct 2008 11:13

Salut,

Filter, bien évidement, c'est l'objet même d'IPTables.

Par contre,et c'est sans doute ta question, sait-il reconnaitre quand filtrer? Non à priori! C'est l'objet de 'LAYER 7', ton mot clé.
Mais ca vient.

http://l7-filter.sourceforge.net/

par **ccnet** » 14 Oct 2008 11:43

les demandes de connexions TCP dans une requête DNS qui permettent de contourner facilement firewall et proxy?

Pouvez vous expliciter cela ?

par **desvers** » 01 Nov 2008 13:17

Pouvez vous expliciter cela ?

Voir http://www.hsc.fr/ressources/outils/dns2tcp/index.html.fr

Les outils de ce genre contournent le firewall (iptables) et le proxy Squid (+Squidguard).

Sans en être certain, il me semble qu'un IDS tel que snort permet d'analyser le contenu des paquets et peut être de les bloquer. Est-ce vrai?

Merci

par **ccnet** » 01 Nov 2008 14:42

La stricte limitation des sources et destinations dns réduit considérablement le risque.
Les machines du réseau local devraient n'utiliser qu'un dns interne. Seuls des machines serveurs clairement identifiées accèdent à des dns externe eux aussi identifiés. Et bien sûr udp/tcp:53 sortants sont interdits à l'exception des serveurs évoqués plus haut.
Si cela n'élimine pas les risques à 100%, cela les réduit considérablement. Par ailleurs dans le cas que vous citez il faut un serveur externe et un client qui ne sont pas disponibles pour Windows.

par **desvers** » 05 Nov 2008 01:21

La stricte limitation des sources et destinations dns réduit considérablement le risque.....

Les clients et serveurs de notre réseau sont paramètrés tels que vous le préconisez (serveur dns interne, clients avec ce serveur dns dans leur configuration réseau et seul ce serveur dns peut émettre des requêtes dns.).

Pourtant, j'arrive à naviguer sur les sites normalement bloqués depuis Windows car cette solution existe pour Windows.

par **ccnet** » 05 Nov 2008 02:38

les sites normalement bloqués depuis Windows

Je ne comprend pas. Quelque chose m'échappe.

par **Franck78** » 06 Nov 2008 23:44

C'est quand même par compliqué de fournir une capture du flux en provenance de la machine soi-disant bloquée. Au moins on saura quels port/proto elle utilise pour percer le fw....

normalement bloqués

Rien n'est normal. Le normal, c'est le routage et le dialogue entre les machines.
Tout le reste, c'est du explicite. Et la, ca discute sur du vent.
C'est quoi qui est installé? C'est quoi qui ne devrait pas passer. Ca affecte tout les postes? Un seul? Pourquoi ce lien vers HSC?

Iptables et encapsulation

Iptables et encapsulation

Qui est en ligne ?