Serveur groupwise derrière MNF

par **risinsmok** » 21 Mai 2003 14:53

Bonjour, J'utilise un serveur groupwise (e.g : Lotus note ou exchange), je me demande ce qui serai le plus judicieux au niveau sécurité : -le mettre sur la DMZ ? -sur le réseau lan avec un forward ? Quelle type de config est le mieux appropriée dans ce cas et comment la réaliser ? J'utilise un serveur/firewall avec 4 cartes ethernet : eth0 ->lan 192.168.1.0/24 - 255.255.255.0 eth1 -> dmz 192.168.0/24 - 255.255.255.0 eth2 -> wan 212.234.x.x - 255.255.255.248 eth3 -> lan 192.168.2.0/24 - 255.255.255.0 Merci d'avance pour vos réponses que je sais fort judicieuses <IMG SRC="images/smiles/icon_smile.gif">

par **grosbedos** » 22 Mai 2003 02:19

je ne connais pas ce dont tu parles.. mais en theorie tu dois mettre en DMZ tout serveur qui est accessible au net! donc si ton serveur doit etre accesible au net mais le dans la DMZ, si juste local, dans le LAN alors..

par **arapaho** » 22 Mai 2003 03:34

Le mieux que tu puisses faire est de laisser ton serveur groupwise dans ton LAN. Par contre dans cette configuration brute, le serveur de mail ne peut que traiter les mails internes ainsi que ceux destinés à l'extérieur. C'est pourquoi je me permet de t'apporter une solution: Dans ta DMZ, tu montes un serveur sous Linux (Debian par exemple) sur lequel tu installes seulement Sendmail. Ce serveur va alors te permettre de recevoir des mails venant du net et sert simplement de relais entre le net et ta DMZ. Tu peux donc te permettre d'intaller un Antivirus (ClamAv qui est libre ou Trend Micro qui est pas mal du tout) sur ce serveur qui ne sera dedié qu'aux relaying de mail et à leur etude-désinfection si nécessaire. Ton serveur groupwise reste alors entierement opérationnel pour le traitement des opérations standards qui demandent tout de même bcp de puissance (tout depend du nombre de compte) sans avoir un installer une politique antivirus lourde sur celui-ci qui ne ferait que ralentir les processus de traitement. Ensuite pour le problème de l'accés aux mail depuis l'extérieur par tes salariés, tu as le choix entre deux solutions: 1 - Soit les salariés se connectes en VPN au réseau de l'entreprise et ont accés à leur compte Win pour consulter leurs mails, 2 - Soit tu montes un serveur Win2000 dans ta DMZ [si c'est Exchange] (non je ne rigole pas et ce n'est pas inscensé !!) avec le Exchange Frontweb Server (avec le link de ports qui va bien) et tes salariés se connectent dessus via le web et ont accés à leur mail tout naturellement, avec leur liste de contacts, leur agenda, etc .... NB: la mise en place d'un solution linux pour avoir un accés webmail depuis l'extèrieur et basée sur un produit su type Horde/imp ou squirelmail n'est pas vraiment réalisable àcause d'un problème de protocoles (SMTP/POP) de la part de Win. En plus tes salariés n'auront pas accés à leur liste de contacts

par **risinsmok** » 22 Mai 2003 10:25

Merci pour tes conseils Arapaho mais tout cela me semble un peu compliqué pour un débutant comme moi... <IMG SRC="images/smiles/icon_find.gif"> Je pense que je vais opter pour une solution plus simple, de toute façon je n'ai pas d'autre machine à ma disposition pour l'instant. Je vais donc mettre le serveur dans ma DMZ et essayer de faire un masquage vers mon lan... Mais j'avoue que je suis un peu largué, la documentation "officielle" de la MNF n'est pas très claire et ne donne pas de réels exemples de configuration complète, comme je l'indique dans mon post précédent, mon serveur à pour adresse interne 192.168.0.2, l'interface DmZ du FW est en 192.168.0.1 et mon pc sur le lan : 192.168.1.50, je voudrais que le serveur soi visible sur le net par une ip publique 212.234.x.x, sur le lan par son ip interne ou publique. Pour rappel : eth0 -> LAN eth1 -> DMZ eth2 -> WAN j'ai donc les masquages classiques suivant : ID | INTERFACE | MASQUE | SNAT 1 | eth2:0.0.0.0/0 | 192.168.0.0/24 | 212.234.x.x //DMZ 2 | eth2:0.0.0.0/0 | 192.168.1.0/24 | //LAN puis une traduction statique : ID | IP PUBLIQUE| INTERFACE|IP INTERNE |Tous les hôtes| local 1 | 212.234.x.x | eth2 | 192.168.0.2 | yes | yes et enfin comme rien n'y fît une règle de proxy ARP (faut bien tenter qd ça veut pas marcher <IMG SRC="images/smiles/icon_frown.gif"> : ID| IP DU SERVEUR | INTERFACE INTERNE | INTERFACE EXTERNE | route active 1 | 212.234.x.x | eth1 | eth2 | yes Au niveau des règles j'ai essyé diverses soluces trouvées sur des docs, dans les post d'Ixus (une vraie mine d'info d'ailleurs, félicitations à tous, particulièrement à Jacques que je lis souvent et qui m'a déjà donné plein de bons conseil !!), comme rien ne fonctionne dans mon cas (ou je me plante sur autre chose ??!??) j'ai pour l'instant mis dans les règles par défaut : DMZ -> WAN ACCEPT WAN -> DMZ ACCEPT et dans les exceptions : 30 | ACCEPT | WAN | DMZ | TCP | HTTP 31 | ACCEPT | LAN | DMZ |TCP | HTTP Voilà, j'ai fait à peu près le tour et j'avoue que je ne comprend pas ou ça cloche... D'autre part est-il selon vous normal que je doive faire un "shorewall clear" chaque fois que je change une règle sur MNF ? Sans ça je n'ai plus accès au web, ni à l'admin https de MNF... Merci d'avance pour vos idées ! @ +

par **risinsmok** » 22 Mai 2003 14:54

Additionnellement voici le log de démarrage de shorewall : Processing /etc/shorewall/shorewall.conf ... Processing /etc/shorewall/params ... Restarting Shorewall... Loading Modules... Initializing... Determining Zones... Zones: lan dmz wan vpn Validating interfaces file... Validating hosts file... Validating Policy file... Determining Hosts in Zones... LAN Zone: eth0:192.168.1.50 eth0:0.0.0.0/0 DMZ Zone: eth1:192.168.0.2 eth1:0.0.0.0/0 NET Zone: eth2:0.0.0.0/0 VPN Zone: ipsec0:0.0.0.0/0 Deleting user chains... Creating input Chains... Configuring Proxy ARP Host 212.234.x.x connected to eth1 added to ARP on eth2 Setting up NAT... Host 192.168.0.2 NAT 212.234.x.x on eth2 Adding Common Rules Adding rules for DHCP Enabling RFC1918 Filtering IP Forwarding Enabled Processing /etc/shorewall/tunnels... IPSEC tunnel to 0.0.0.0/0 defined. Processing /etc/shorewall/rules... Rule "ACCEPT fw wan tcp 53 -" added. Rule "ACCEPT fw wan udp 53 -" added. Rule "ACCEPT dmz wan udp 53 -" added. Rule "ACCEPT lan wan udp 53 -" added. Rule "REJECT wan fw tcp 113 -" added. Rule "ACCEPT lan fw tcp 22 -" added. Rule "ACCEPT lan fw tcp 8443 -" added. Rule "ACCEPT fw lan icmp 8 -" added. Rule "ACCEPT lan fw icmp 8 -" added. Rule "ACCEPT lan dmz icmp 8 -" added. Rule "ACCEPT dmz lan icmp 8 -" added. Rule "ACCEPT dmz fw icmp 8 -" added. Rule "ACCEPT fw dmz icmp 8 -" added. Rule "ACCEPT lan wan tcp pop3 -" added. Rule "ACCEPT lan wan tcp smtp -" added. Rule "ACCEPT lan wan tcp http -" added. Rule "ACCEPT lan wan tcp https -" added. Rule "ACCEPT lan wan tcp ssh -" added. Rule "ACCEPT lan wan tcp ftp -" added. Rule "ACCEPT lan wan tcp nntp -" added. Rule "ACCEPT fw wan udp ntp -" added. Rule "ACCEPT lan wan tcp imap -" added. Rule "ACCEPT fw wan:20022 tcp ftp -" added. Rule "ACCEPT lan fw udp 53 -" added. Rule "ACCEPT fw wan tcp www -" added. Rule "ACCEPT wan lan tcp pop3 -" added. Rule "ACCEPT wan fw udp 500 -" added. Rule "ACCEPT wan dmz tcp http -" added. Rule "ACCEPT lan dmz tcp http -" added. Setting up ICMP Echo handling... Processing /etc/shorewall/policy... Policy REJECT for fw to lan using chain fw2all Policy REJECT for fw to dmz using chain fw2all Policy REJECT for fw to wan using chain fw2all Policy ACCEPT for fw to vpn using chain all2vpn Policy REJECT for lan to fw using chain lan2all Policy REJECT for lan to lan using chain lan2all Policy REJECT for lan to dmz using chain lan2all Policy REJECT for lan to wan using chain lan2all Policy REJECT for dmz to fw using chain all2all Policy REJECT for dmz to lan using chain all2all Policy REJECT for dmz to dmz using chain all2all Policy ACCEPT for dmz to wan using chain dmz2wan Policy DROP for wan to fw using chain wan2all Policy DROP for wan to lan using chain wan2all Policy ACCEPT for wan to dmz using chain wan2dmz Policy ACCEPT for vpn to fw using chain vpn2all Masqueraded Subnets and Hosts: To 0.0.0.0/0 from 192.168.1.0/24 through eth2 To 0.0.0.0/0 from 192.168.0.0/24 through eth2 Processing /etc/shorewall/tos... Rule "all all tcp - ssh 16" added. Rule "all all tcp ssh - 16" added. Rule "all all tcp - ftp 16" added. Rule "all all tcp ftp - 16" added. Rule "all all tcp - ftp-data 8" added. Rule "all all tcp ftp-data - 8" added. Activating Rules... Adding IP Addresses... IP Address 212.234.x.x added to interface eth2 Shorewall Restarted En espérant que vous y voyiez plus clair que moi ! PS : J'ai mis dhcpd à l'écoute sur la DMZ, il m'assigne une ip du type 192.168.0.0/24 mais je ne peux toujours pas accéder au web avec ou sans squid... Rien ne me semble étrange dans les logs du système... <IMG SRC="images/smiles/icon_help.gif"> <IMG SRC="images/smiles/icon_help.gif"> <IMG SRC="images/smiles/icon_help.gif"> En un mot : HELP !! <IMG SRC="images/smiles/icon_cry.gif">

Serveur groupwise derrière MNF

Qui est en ligne ?