Serveur de fichier plutôt en green ou en DMZ ??

par **the_g_cat** » 12 Mars 2004 18:31

Salut !! J'utilise l'IPCop 1.4a10, et je voulais savoir la configuration la plus sûre pour mettre un serveur de fichier public et privé. En l'occurence, ce serais un serveur ftp pour le monde extérieur, et un serveur SaMBa, NFS et certaienement Appleshare pour nous autres du réseau local. J'ai donc deux choix pour mettre le serveur : soit un green avec un forward des ports qui vont bien sur ma machine avec le ftp, mais je suppose que ça présente de relativement gros risques, ou je la met dans la DMZ, mais pourrais-je alors avoir un accès libre aux serveurs NFS, SMB et Appleshare depuis le green ?? Merci d'avance <IMG SRC="images/smiles/icon_bise.gif">

par **tomtom** » 12 Mars 2004 19:11

La règle de base est la suivante : Tout serveur accessible depuis internet devrait etre mis en dmz ET Tout serveur en DMZ devrait avoir le moins d'acces possible vers le reseau green. Dans ton cas, la dmz semble un bon choix, mais cela depend de la teneur des fichiers que tu vas y mettre pour le green. Si ce sont des fichiers sensibles, le mieux serait de separer les services.. 1 ftp en dmz + 1 seveur de fichiers en green pour le green. L'idée que tu dois garder en tete : Comment un attaquant peut-il me nuire ? 1- vol de données confidentielles -> ne pas mettre ces données sur un serveur accessible depuis le net ! 2- prise de controle d'un ou plusieurs serveurs du green -> isoler les services accessibles de l'exterieur dan sla DMZ 3- mise hors service de mes serveurs... etc.. reflechis en terme de problemes.. Suppose qu'un attaquant trouve une faille dans le servuer ftp que tu utilises (disons proftpd), sur la dmz. Il prend le controle de la machine, il devient root. Si tu as les données utilisées par ton green sur ce serveur, elles sont perdues (corrompues, volées, inutilisables). sens inverse : si une faille sur le même serveur est utilisée alors que ce serveur est dans le green, alors les mêmes données sont perdues ET le lan est corrompu. Typiquement, ce n'est pas la bonne solution ! Donc pour moi : le top = un serveur ftp dedié en orange et un serveur de fichier privé dans le green (avec eventuellement des acces discrets du green vers le ftp orange) moins bon = le tout en dmz (economie d'une machine, mais réélle baisse de secu !) nul = le tout en green avec des services sensibles comme un ftp accessibles ! Mais attention, si des données vraiment sensibles (== le coeur de metier de ta boite) sont sur la dmz avec le ftp, alors la 2ème solution ne vaut pas mieux que la 3 ème ! Séparation des services + Segmentation des réseaux !!!! t.

par **the_g_cat** » 12 Mars 2004 19:41

Bof, données sensibles, pas trop : étudiants inside. Non, je voulais juste savoir quelle utilisation présente le moins de risque, je me doute bien qu'avec une seule machine accessible et en local et en public, y'a des risques. M'enfin, d'un autre côté, je vois pas trop pourquoi on se payerait le 'luxe' de se faire 2 serveurs de fichiers alors qu'on est trois dans la coloc <IMG SRC="images/smiles/icon_wink.gif"> <IMG SRC="images/smiles/icon_biggrin.gif"> !! Bon, mais si je te comprends bien, ça conforte ma première idée : le serveur de fichier en DMZ !! Par contre, IPCop laisse passer le green vers DMZ de façon transparente, ou est-ce qu'il faut configurer des choses en plus ??

par **Franck78** » 12 Mars 2004 19:55

Bravo Tomtom, belle explication, claire argumentée et tout. Résultat : bof non. Ca servira à d'autres. Et les colocs, si vous n'etes que trois, vraiment besoin de ftp? Pas possible vpn vos postes externe vers le cop ? Bye

par **the_g_cat** » 12 Mars 2004 20:10

Ben, le ftp, d'une, c'est pas que pour nous trois, et de deux, c'est une solution de facilitée, parce que les deux autres, c'est pas des cracks en info ... En fait, ils en ont rien à battre comment ça marche, ils veulent que ça amrche, et le plus simplement possible ... D'ailleurs, je pense que je vais être le seul à me servir du ftp, style pour mettre mes progs pour que les profs puissent les dl (marre d'imprimer/graver dans tous les sens ...). Enfin bon, comme je disais, ça a pas une sécurité cruciale qui va faire que la coloc' va couler ou pas <IMG SRC="images/smiles/icon_lol.gif"> <IMG SRC="images/smiles/icon_wink.gif"> ... Au passage, merci pour l'explication, tomtom <IMG SRC="images/smiles/icon_bise.gif"> <IMG SRC="images/smiles/icon_bise.gif">

Serveur de fichier plutôt en green ou en DMZ ??

Qui est en ligne ?