Règle Ip sur une DMZ

par **sys** » 07 Sep 2003 21:35

Bonjour, J'aurais une question concernant l'élaboration d'un firewall. Je possède une adresse de classe C. Je souhaite monté un firewall avec 3 interfaces : - une qui serait connecté sur INTERNET - une autre sur un reseau prive (192.168.1....) par exemple - et la derniere sur une DMZ, avec 3 machines (un serveur web, un DNS, et un serveur de mail) Je voudrais savoir si cela est possible (sans danger !) de conserver les serveurs de la DMZ avec des adresses IP publics. Un grand merci à vous tous. <IMG SRC="images/smiles/icon_rolleyes.gif">

par **jdh** » 07 Sep 2003 22:22

Quand on définit un réseau privé avec le réseau interne (green), une DMZ (orange)et un firewall comportant une liaison internet (red), la sécurité impose de choisir des adressages ip pour le réseau interne ET la DMZ conforme à la RFC 1918. Cette RFC définit les adressages à utiliser en "interne" (la DMZ est un réseau interne même s'il est accessible de l'extérieur) selon les règles suivantes : Classe A : 10.x.x.x /8 (=255.0.0.0) Classe B : 172.16-31.x.x /16 (=255.255.0.0) Classe C : 192.168.0-254.x /24 (=255.255.255.0) Le plus usuel est, par exemple, de choisir : réseau interne : 192.168.1.x réseau DMZ : 192.168.2.x Pour le firewall, on choisira, par exemple : côté green : 192.168.1.1 = passerelle par défault pour les PC du réseau interne côté orange : 192.168.2.1 = passrelle par défault pour la DMZ

par **archi** » 07 Sep 2003 22:39

Salut, La DMZ est un espace entre internet et ton reseau privé. Cette portion de ton réseau est protégée par une premiere couche de ton firewall qui est chargée de translater un couple (adresse ip destination, port destination) venant d'internet vers (adresse ip dans dmz, port dest) dans la dmz Ex : (www.bidule.com,80) translaté sur ta dmz en 192.168.2.1,80 (mail.bidule.com,25) sur 192.168.2.2,25 (dns.bidule.com,53) sur 192.168.2.3,53 Tu laisse une porte d'entrée vers ta dmz(c le but d'un serveur web aussi...) Cette zone peut donc en théorie etre plus facilement compromise, en fonction de ce que tu installe sur ton serveur web,dns,mail ca peut aller vite. Qu'importe <IMG SRC="images/smiles/icon_smile.gif"> , pour passer de ta DMZ vers ton réseau interne il faudra que le méchant hacker passe une deuxieme couche qui en général ne laisse rien passer dans le sens DMZ->reseau interne. Donc pour repondre a ta question, tes serveurs dans la dmz auront chacun une adresse privée cachée. Si tu achetes 2 adresses ip par exemple tu pourra heberger deux site web physiquement séparés. Le DNS et le mail seront probablement qu'en sortie. et un dns interne cache n'est pas de trop en plus de ton dns "exposé". Tes stations ne doivent pas aller titiller le dns dans la dmz, c mieux <IMG SRC="images/smiles/icon_wink.gif"> @+

par **tomtom** » 08 Sep 2003 13:38

Je ne suis pas d'accord, tu peux eventuellement utiliser les ip publiques directement sur la DMZ. Tu perds 2 ip (une obligatoire pour le firewall vers l'exteieur, une vers la DMZ) mais sur une classe C ca peut être tolérable.... Un des interets peut etre si une appli ne supporte pas le nat..... T.

par **bobyII** » 08 Sep 2003 14:07

Salut, a mon avis, ca ne pause aucun problème de faire ca .... c'est juste que tu n'utilises pas une fonction du firewall ... le NAT. C'est quand meme dommage de ne pas l'utiliser, d'autant qu'il te faudra des adresses publiques supplémentaires. jdh : j'ai pas bien compris ton histoire de classe d'adresse. Pour moi, en adresse locale tu fais ce que tu veux (pas besoin de respecter la notion de classe) et en adresse publique, tu mets ce qu'on te donne.

par **archi** » 08 Sep 2003 14:09

Exact, j'avais repondu dans le cas d'une dmz bateau mais on peut effectivement avoir une adresse ip publique dans la dmz. Comment ca je me contredit? <IMG SRC="images/smiles/icon_smile.gif"> Dans ce cas tu ne fait pas de NAT mais du routage IP. Effectivement pour transformer un protocole pour traverser le NAT ca peut etre une grosse grosse galère. Ipsec, Secure DNS,... <a href="http://www.cs.utk.edu/~moore/what-nats-break.html" target="_blank">http://www.cs.utk.edu/~moore/what-nats-break.html</a>

par **archi** » 08 Sep 2003 14:30

Ben en interne tu met une adresse IP valide et differente de ton adresse publique. Meme pas obligé de mettre du non routable.Je sens le retour de flamme <IMG SRC="images/smiles/icon_smile.gif"> Et tu mets les masques que tu veux en fonction de tes besoins. Le tout c'est de mettre reseau interne, dmz et internet dans 3 domaines d'adresses differents. @+

Règle Ip sur une DMZ

Qui est en ligne ?