DMZ et Firawall

par **slyattack** » 17 Oct 2002 13:58

Bonjour à tous, Je m'apprete à installer un firewall pour implementer une DMZ dans laquelle résidera un srv WEB. Sur ce serveur, il y a aussi des document que je ne souhaite pas voir disponible depuis internet mais uniquement depuis mon intranet. Si je ferme tous les ports sauf le 80 depuis le firewall vers ce srv, mes autres documents sont-ils en lieu sure et sinon, qu'elle sont les possibilité d'accés pour d'eventuelle user mal intentionné. Merci pour votre aide.

par **Yann** » 17 Oct 2002 14:52

L'usage d'une DMZ ne te sera pas de grand secours. En effet, le role d'une DMZ est de mettre à disposition sur un Internet un serveur web, ftp, ou email sans pour autant mettre en peril la securité de l'intranet (la zone protégée par le Firewall). A moins de renforcer la securité des fichiers confidentiels présents sur le serveur (et Prier pour que ton serveur n'est pas de faille., Moralité : Ton serveur Web confidentiel a tout interet à rester derriere ton firewall... _________________ "Ce ne sont que des 0 et des 1"

par **slyattack** » 17 Oct 2002 16:45

MErci pour ta réponse. Sais-tu quelle sont les risques si on maintient cette config. En gros que peut-on faire sur une machine où seul l'accés Http est ouvert?? <IMG SRC="images/smiles/icon_eek.gif">

par **micj** » 17 Oct 2002 16:59

C'est le même risque que de ne pas utiliser un firewall... La moindre faille dans ton OS ou dans l'application utilisée comme serveur web et c'est terminé de la confidentialité de tes données.

par **Yann** » 17 Oct 2002 17:06

Il n'y a pas (et il n'y aura jamais je pense) de solution COMPLETEMENT sécurisé concernant un serveur Web sur Internet. Que ce soit Windows, Linux voire MacOS X, il existe (ou existera) toujours une faille. Proteger un serveur Web en Interne par un firewall permet de pallier à ce problème...Installer un serveur Web "public" en DMZ aussi...mais nul n'est à l'abri... Je ne suis pas pessimiste, juste réaliste...

par **antolien** » 17 Oct 2002 17:26

c'est sûr que la sécurité ne pourra pas être véritablement assurée pour publier un serveur web perso. Mais le mettre en DMZ est déjà une meilleure solution pour protéger ton réseau vert. Il existe aussi des produits comme interscan qui scrutent tous les paquets échangés avant de les envoyer vers leur destination (serveur frontal http, ftp, smtp...), il ya aussi des sondes IDS qui réduisent encore le risque. C'est un peu fataliste ce que vous dites là, car si tout le monde réagissait comme cela, il n'y aurai pas beaucoup de sites internet. Un truc vachement important aussi est la SAUVEGARDE regulière avec disaster recovery de ton serveur(d'actualité sur ixus et on n'en parle pas assez sur les sites de sécurité). Chaque étape nécessite un investissement mais on a rien sans rien.

par **Tof** » 01 Nov 2002 13:10

j'ai installé un serveur (sme) dans la dmz d'un routeur (ipcop) j'utilise un portail web (xoops) sur ce serveur pour acceder a ce serveur de l'exterieur, j'utilise un dns dynamique mon probleme est que je doit donner un nom d'hote a xoops (pour ses liens) -si je met le nom d'hote de mon serveur, j'y accede sans probleme du vert mais pas de l'exterieur car les liens ne correspondes plus. -si je met le nom d'hote du dns dynamique, j'y accede de l'exterieur mais plus du vert comment avoir un serveur web accessible a la fois du vert et de l'internet ? <IMG SRC="images/smiles/icon_confused.gif">

par **mac** » 01 Nov 2002 13:32

mettre le nom du dns dynamique et paramétrer les fichiers host des clients du vert en leur associant le nom dnsdyn avec l'adresse ip du serveur Je pense que ça fonctionnera

par **Tof** » 01 Nov 2002 14:31

un grand merci, ca marche nickel ! j'ai simplement renseigné mon dns de la zone vert et hop, ca passe <IMG SRC="images/smiles/icon_razz.gif"> (mais comment j'y ai pas pensé plus tot <IMG SRC="images/smiles/icon_rolleyes.gif"> )

par **Xurlak** » 05 Nov 2002 13:36

Bonjour, Si j'ai compris tu as des docs "confidentiels" qui sont un futur WEBsite. Sur le principe de DMZ, je pense que les posts ont répondu au systeme de DMZ. Concernant tes docs sensibles, copie les dans un serveur dans ton inside protégé ils seront dispo sur intranet mais pas sur ton website. Ma réponse me semble si simple que j'ai peur de ne pas avoir compris ton pb !! Mais il faut limiter au stric minimum les ACL entre DMZ et INSIDE (relais smtp->mailboxes par exemple). SI tu autorises un WEBsite à accéder à ton LAN, il sera simple de rebondir sur le serveur dans la DMZ pour accéder à INSIDE....

par **knut1er** » 05 Nov 2002 16:50

just une ptite chose qui je crois n'a pas été mentionnée. La dmz n'a pour vocation d'exister que si les serveurs de ladite zone doivent d'une part publier des services sur l'internet(web, ftp, mail...et ce qu'on veut), et d'autre part doivent causer avec le réseau local (genre réplication de mails, de fichiers, dialogue avec une bdd...) Si c'est juste pour un site web, tu le mets tout seul derrière l'ip publique et là ton réseau il craint pas grand chose de ce côté. PArcontre, si t'as qu'une @ip publique.... faut ptet faire des frais pour une 2nde. Sinon qq'un saurait comment tester la vulnérabilité de son réseau sans se payer les services d'une boîte?

par **job** » 11 Déc 2002 13:15

bonjour je suis etudiant en informatique ert j'aimerai savoire si qqun peux m'explique le principe et le fonctionnement du DMZ ou lm'indiquer des liens merci

par **carbone** » 11 Déc 2002 13:35

une DMZ: Demilitarized Zone, c est une zone moins protégée, dans laquelle tu met des services qui doivent être accessibles depuis l extérieur. Le but d un firewall est de bloquer l acces à ton réseau interne pour toute personne de l extérieur. Cependant cela peut poser des problèmes, tu héberge un site, un serveur mail, ... qui doivent être accessible de l extérieur. Si tu le met dans ton réseau, un hacker pourra grace aux failles, ...accéder à la machine serveur et de la acceder a ton réseau interne. Cela crérait donc un trou de sécurité. Pour combler ce trou et diminuer les risques, on a créé la DMZ une 3eme zone accessible de l extérieur et qui normalement ne peut pas elle accéder a ton réseau interne. Voila en gros ce qu est une DMZ, cependant, il faut bien savoir que si un hacker veut pénétrer un réseau, il aura toujours moyen d y arriver (si il est doué) mais le firewall peut le gener et lui demander des compétences plus élevée, en tant qu admin systeme, tu peux le ralentir, ... mais il est presque impossible de sécuriser à 100% sauf en coupant les liens avec l extérieur.

DMZ et Firawall

Qui est en ligne ?