VPN et accès FTP

[MaxPecas]

Bonjour,

J'ai installé IPCOP pour sécuriser un réseau local de environ 10 postes.
Le réseau en question disposait de deux serveurs FTP.
je ne souhaite pas mettre leur serveur FTP (données confidentielles)sur DMZ. je souhaite les laisser sur le réseau local

Si j'installe Zerina en add-on, pourront-ils accéder aux serveurs FTP du réseau local depuis chez eux sans problème?

Est-ce fiable d'un point de vue sécuritaire?

Merci

[slyfennec]

Je ne suis pas sûr à 100%, donc si je me trompe, n'hésitez pas à me corriger.

Pour la 1ere question, c'est oui sans soucis. Le fait d'être connecté en VPN revient à être sur le réseau GREEN.

Pour la 2eme, si tu ne rediriges pas ton port 21 sur IPCOP, aucun souci de sécurité car ton serveur FTP ne sera pas visible de l'extérieur.

[MaxPecas]

Ok slyfennec,

Merci des infos.

Après avoir parcouru quelques tutos. Il y a quelque chose que je ne saisis pas:

Pour le paramétrage de Zerina, dans le menu "Global settings" apparemment, il faut mettre son IP publique de RED( ça ok ) et il faut apparemment choisir un sous-réseau dans lequel open VPN va opérer.

Est-ce qu'il faut le choisir au hasard ou alors est-ce qu'il faut tout simplement y mettre l'adresse du réseau local (Green)?

Si quelqu'un pouvait me dire quoi mettre et surtout pourquoi ce serait plutôt sympa.

Merci

[slyfennec]

Ok slyfennec,

Merci des infos.

Après avoir parcouru quelques tutos. Il y a quelque chose que je ne saisis pas:

Pour le paramétrage de Zerina, dans le menu "Global settings" apparemment, il faut mettre son IP publique de RED( ça ok ) et il faut apparemment choisir un sous-réseau dans lequel open VPN va opérer.

Est-ce qu'il faut le choisir au hasard ou alors est-ce qu'il faut tout simplement y mettre l'adresse du réseau local (Green)?

Si quelqu'un pouvait me dire quoi mettre et surtout pourquoi ce serait plutôt sympa.

Merci

C'est plutot un sous-réseau "au hasard". Pour ma part, j'ai pris 10.0.10.0/255.255.255.0 (comme dans l'exemple).

[MaxPecas]

Merci slyfennec,

Je vais faire comme ça.

Est-ce que tu saurais m'expliquer pourquoi le VPN a besoin d'un sous-réseau pour opérer?

Merci

[ccnet]

Bonjour,

J'ai installé IPCOP pour sécuriser un réseau local de environ 10 postes.
Le réseau en question disposait de deux serveurs FTP.
je ne souhaite pas mettre leur serveur FTP (données confidentielles)sur DMZ. je souhaite les laisser sur le réseau local

Si j'installe Zerina en add-on, pourront-ils accéder aux serveurs FTP du réseau local depuis chez eux sans problème?

Est-ce fiable d'un point de vue sécuritaire?

Merci

Je ne remet pas en cause la réponse de Slyfennec mais en complément j'attire votre attention sur un point, s'agissant des données sensibles d'un serveur. Le danger, pour des données sensibles, vient autant de l'extérieur que de l'intérieur. La connexion vpn, si elle fourni bien une connexion sécurisée, reste néanmoins une connexion venant de l'extérieur avec les risques que cela représente. Pour ces différentes raisons je suis partisant de placer tous les serveurs de l'entreprise dans une dmz. Dans plusieurs dmz en fait (2 en général) selon que le serveur supporte ou non des accès externes. Ceci dépassant le cadre d'IPcop j'en suis d'accord. Cette méthode évite en cas de compromission d'une machine serveur de fournir un accès à tout le reste du réseau. Le plus souvent il n'est pas utile que les serveurs d'une même dmz communiquent entre eux, on pourra aussi, si l'équipement le permet, utiliser des vlans secondaires pour cloisonner les trafics de chaque serveur.

L'idée générale est que je ne fais pas une confiance aveugle à une connexion vpn, même si je l'estime sûre. Suivant le degré de sécurité que j'attends, c'est à dire la sensibilité de mes données je peux être conduit à envisager des choix différents. Ce choix n'étant pas toujours : le vpn est sûr comme le réseau interne.

Pour apporter un élément de réponse à cette question :

Est-ce fiable d'un point de vue sécuritaire?

Je pense que le réponse ne peut pas être binaire. La bonne question serait plutôt : est-ce assez fiable face à mon risque ?

[MaxPecas]

Pour apporter un élément de réponse à cette question :

Est-ce fiable d'un point de vue sécuritaire?

Je pense que le réponse ne peut pas être binaire. La bonne question serait plutôt : est-ce assez fiable face à mon risque ?[/quote]
Et quelle est ta réponse à cette dernière question?

[ccnet]

N'ayant ni analyser vos risques et menaces et ne connaissant pas la sensibilité des informations à protéger je ne sais pas répondre.
J'ai vu des cas où la sensibilité et les risques sont tels qu'il n'était même pas envisageable de connecter le réseau à Internet. Un autre où un réseau interne en Wifi (WPA2 - TKIP) est acceptable avec un vlan spécifique connecté au firewall mais où tous les serveurs sont répartis entre 2 dmz selon usage. Et un autre encore où il n' y a pas de dmz, 3 ou 4 postes un seul petit serveur et des accès vpn.
Le plus souvent la sécurité est envisagé sous le seul angle des technologies de protection. Or cela n'est rien si on n'y confronte pas les risques et menaces.
Risques : quelles conséquences lors d'une attaque réussie (vol, destruction, falsification, divulgation des données...).
Menaces : Qui peut être intéressé, comment peut il y parvenir, quels points sensibles ...