Memoire stage d'application Mastere SIO 2003

Le serveur Hercule est destiné à pouvoir établir des tunnels IPSEC entre un client distant et les DMZ au travers d’Internet. Installer cette fonctionnalité passe par une mise à jour et une recompilation du noyau Linux mis à jour à l’aide du patch FreeSwan.

8.2.3.A.1 - Installation du noyau généré :

Le noyau généré par les opérations décrites ci-dessus se trouve dans le répertoire « /usr/src ». Pour installer ce noyau il faut effectuer les opérations suivantes :

8.2.3.A.2 - Mise en place des tunnels IPSEC :

Un tunnel IPSEC se traduit par l’utilisation de deux certificats. Les manipulations décrites paragraphe ‎8.2.1 - doivent être mises en œuvre pour la génération d’un certificat IPSEC destiné au concentrateur FreeSwan ainsi que d’un certificat IPSEC par client devant se connecter sur le concentrateur.

Le fichier de configuration du serveur FreeSwan est le fichier « /etc/ipsec.conf ». Le fonctionnement de FreeSwan est d’indiquer ce qu’il doit considérer comme étant à « gauche » de lui et ce qu’il doit considérer comme étant à droite de lui. La notion de gauche et de droite n’a aucune signification particulière, la seule contrainte étant que les informations doivent être cohérente entre ce que le concentrateur FreeSwan considère comme étant à gauche ou à droite et ce que le client IPSEC considère lui comme étant la gauche et la droite !!!.

Le fichier de configuration de FreeSwan du serveur Hercule est relativement explicite et est donné ci-dessous :

# Emplacement : Maquette de test SGA

# Description : Fichier de configuration du concentrateur FreeSwan

# : Voir /usr/share/doc/freeswan/doc/index.htmlpour tous les details

# Serveur : Hercule

# Copyright : marc.boget@gendarmerie.org

# Paramétrage par defaut du concentrateur FreeSwan

config setup

# defaultroute correspond à la route correspondante au paquet

# c'est a dire celle trouvée en appliquant les regles classiques

# du routage IP

#interfaces=%defaultroute

# On peut aussi définir specifiquement l'interfaces qui fait

# de l'IPSEC

interfaces="ipsec0=eth1"

# Controle du mode debug : bon courage !!!

klipsdebug=none

plutodebug=none

# Permet de definir si la connexion definie est automatiquement

# activée au demarrage au juste chargée

# Use auto= parameters in conn descriptions to control startup actions.

plutoload=%search

plutostart=%search

#plutoload="sga"

#plutostart="sga"

# Option permettant de fermer les vieilles connections quand une nelle

# portant le meme ID se pointe : cela permet de retomber sur ces pieds

# en cas d'arret brutal de la connexion

uniqueids=yes

# Paramétrage par defaut des connexions

conn %default

keyingtries=1

compress=yes

disablearrivalcheck=no

# Definition du réseau des clients

conn sga2-net

leftsubnet=192.168.0.0/24

also=sga2

# Definition de la connexion IPSEC

conn sga2

authby=rsasig

leftrsasigkey=%cert

left=%any

rightrsasigkey=%cert

right=192.168.0.1

rightsubnet=10.1.4.0/24

rightcert=/etc/ipsec.d/hercule.pem

pfs=yes

auto=add

# Des exemples en vrac ...

# connection description for (experimental!) opportunistic encryption

# (requires KEY record in your DNS reverse map; see doc/opportunism.howto)

#conn me-to-anyone

# left=%defaultroute

# right=%opportunistic

# keylife=1h

# rekey=no

# # uncomment this next line to enable it

# #auto=route

# sample VPN connection

#conn sample

# # Left security gateway, subnet behind it, next hop toward right.

# left=%any

# leftsubnet=192.168.0.0/24

# #leftnexthop=10.22.33.44

# # Right security gateway, subnet behind it, next hop toward left.

# right=10.12.12.1

# rightsubnet=192.168.0.0/24

# rightnexthop=10.101.102.103

# # To authorize this connection, but not actually start it, at startup,

# # uncomment this.

# #auto=add

#conn sga

# # Left security gateway, subnet behind it, next hop toward right.

# left=%any

# #leftsubnet=192.168.0.0/24

# #leftnexthop=10.22.33.44

# # Right security gateway, subnet behind it, next hop toward left.

# right=192.168.0.1

# rightsubnet=10.1.4.0/24

# rightnexthop=10.1.4.5

# # To authorize this connection, but not actually start it, at startup,

# # uncomment this.

# auto=add

#leftid="C=FR, ST=France, L=MALAKOFF, O=SGA, OU=Maquette de test, CN=cassiopee7"

#rightid="E=root@sga.def, C=FR, ST=FRANCE, L=MALAKOFF, O=SGA, OU=Maquette de test, CN=Hercule"

NB : le fichier /etc/ipsec.d/hercule.pem doit être enregistré au format PEM (cf. paragraphe ‎8.2.1.B - ). La clé correspondante « hercule.key » est situé dans le répertoire défini dans le fichier « /etc/ipsec.secrets » dont un exemple est donné ci-dessous :

: RSA /etc/ipsec.d/private/hercule.key

Le caractère « : » permet éventuellement de specifier quelle connexion doit utiliser cette clé secrète …

8.2.3.A.3 - Installation des clients IPSEC Windows :

L’installation des clients IPSEC sous Windows 2000 s’effectue en deux temps :

8.2.3.A.3.a - Installation du certificat IPSEC :

8.2.3.A.3.b - Paramétrage de la stratégie IP :

La stratégie IP se paramètre à l’aide de la MMC « Stratégie de sécurité locale » (Menu Edition / Paramètres / Outils d’administration / Stratégie de sécurité locale). L’installation des outils de Marcus Muller (http://vpn.ebootis.de) permet l’adoption d’un fichier de configuration du client ressemblant au fichier de configuration du concentrateur Freeswan. Il est à noter que ces outils ne font que paramétrer automatiquement la liaison (il suffit d’examiner la politique FreeSwan au travers de la MMC pour en avoir la preuve). De manière à permettre un affichage plus concis le contenu de ce fichier est donné ci-dessous en lieu et place des copies d’écran de la MMC :

8.2.3.A.3.c - Activation du mode DEBUG des clients IPSEC :

Pour activer le mode debug des clients Windows IPSEC il faut effectuer les manipulations suivantes :

8.2.3.B - Serveur de temps :

NTP signifie Network Time Protocol et permet a une machine cliente de synchroniser son horloge sur un serveur de strate N lui même se synchronisant sur un serveur de strate supérieure ou directement sur un serveur de référence.

8.2.3.B.1 - Partie serveur :

La partie serveur du démon NTP (version 1:4.1.0-8) s’installe à l’aide de la commande suivante :

L’installation de ce démon nécessite l’installation des programmes suivants :

Le fichier de configuration de ce démon est le fichier /etc/ntp.conf. La configuration employée sur le serveur Hercule est la suivante :

8.2.3.C - Déport des logs :

Il a été fait le choix de concentrer les logs sur la machine « PetiteOurse ». De manière à ne pas aider un éventuel pirate à deviner le déport de logs il a été mis en place les mécanismes suivants :

- création d’une partition spéciale pour le répertoire « /var/log » : en effet dans le cas ou une attaque en déni de service par submersion des logs du firewall il faut impérativement empêcher que la partition hébergeant le répertoire « / » soit pleine sous peine de voir le serveur s’écrouler ;

- compression des logs à l’aide de la commande « logrotate » dont le fichier de configuration « /etc/logrotate.conf » est donné ci-dessous :

- déport des logs vers le serveur « PetiteOurse » à l’aide du démon syslog dont le fichier de configuration /etc/syslog.conf est donné ci-dessous :

8.2.3.D - Firewall de paquets :

Le démon iptables (version 1.2.6a-5) s’installe à l’aide de la commande suivante :

Il est entièrement paramétré à l’aide du script « /etc/init.d/rc.firewall » lancé au démarrage du serveur (il faut créer les liens symboliques Sxxfirewall et Kxxfirewall dans le répertoire correspondant au niveau de démarrage par défaut du serveur Linux, ici « /etc/rc2.d/ ») :

#!/bin/bash

# Emplacement : Maquette de test SGA

# Description : Fichier de parametrage du firewall par paquets

# Serveur : Hercule

# Copyright : marc.boget@gendarmerie.org

# Definition des différentes interfaces du FW

#--------------------------------------------

interface_pub_externe=eth0

interface_externe=eth1

interface_reverse=eth2

interface_conf_externe=eth3

interface_esentry=eth4

# Définition des différents réseaux raccordés au FW

#--------------------------------------------

reseau_externe=192.168.0.0/24

reseau_pub_externe=10.1.2.0/24

reseau_conf_externe=10.1.1.0/24

reseau_esentry=10.1.3.0/24

reseau_interne=52.30.184.0/24

reseau_reverse=10.1.4.0/24

reseau_interco=10.1.6.0/24

# Définition des éléments clés du réseau

#--------------------------------------------

colombe=10.1.1.2

pegase=10.1.2.2

eridan=10.1.3.3

grandeourse=10.1.3.2

dauphin=52.30.184.1

fleche=10.1.4.2

petiteourse=10.1.4.3

routeur_internet=192.168.0.101

firewall_applicatif=10.1.6.2

honeypot=10.1.1.4

# Définition des éléments clés externe au réseau

#--------------------------------------------

serveur_ref_ntp1=$(host ntp.univ-lyon1.fr|grep address|cut -d' ' -f4)

serveur_ref_ntp2=$(host ntp.obspm.fr|grep address|cut -d' ' -f4)

serveur_ref_ntp3=$(host ntp.tuxfamily.net|grep address|cut -d' ' -f4)

serveur_ref_dns1=212.46.206.2

serveur_ref_dns2=194.2.0.20

serveur_ref_dns3=194.2.0.50

serveurs_maj_debian="security.debian.org debian.via.ecp.fr non-us.debian.org ftp.fr.debian.org"

# Définition des ports utilisés dans le cadre de la maquette

#--------------------------------------------

port_web=80

port_web_ssl=443

port_web_fullssl=4443

port_dns=53

port_ntp=123

port_ipsec=500

port_imap=143

port_imap_ssl=993

port_smtp=25

port_syslog=514

port_ldap=389

port_ldap_ssl=636

port_agent_esentry=1701

port_ssh=22

ports_tcp_windows="138 139 445"

ports_udp_windows="137 138 139"

case "$1" in

start)

#==================================

# PARTIE INITIALISATION

#--------------------------------------------

# -F: permet de vider toutes les regles d'une chaine

# -X: permet d'effacer une chaine

# -P: permet de spécifier au kernel la target par defaut d'une chaine

# PREROUTING : a l'arrivee du firewall

# POSTROUTING: a la sortie du firewall

#==================================

# On va utiliser iptable si on l'a compilé en module

# dans le kernel, il faut charger le module ip_tables

#--------------------------------------------

modprobe ip_tables

# On va charger quelques modules supplémentaires

# pour gérer la translation d'adresse

#--------------------------------------------

modprobe iptable_filter

modprobe iptable_nat

# Vidage des chaînes

#--------------------------------------------

iptables -F

iptables -F INPUT

iptables -F OUTPUT

iptables -F FORWARD

iptables -t nat -F

#Destruction des chaînes "personnelles"

#--------------------------------------------

iptables -X

# Définition d'une chaîne permettant de logguer puis de dropper

#--------------------------------------------------------------

iptables -N LOG_PUIS_DROP 2>/dev/null

iptables -F LOG_PUIS_DROP

iptables -A LOG_PUIS_DROP -j LOG --log-prefix="[FW Paquet rejete]: " #--log-level notice

iptables -A LOG_PUIS_DROP -j DROP

#Stratégie par défaut: DROP

#--------------------------------------------

#iptables -P INPUT DROP

#iptables -P FORWARD DROP

#iptables -P OUTPUT DROP

#==================================

# PARTIE DEFINITION

#==================================

# Toutes les connexions établies et relatives sont acceptées

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

# Autorise accès machine locale

#--------------------------------------------

iptables -A INPUT -i lo -p ALL -j ACCEPT

iptables -A OUTPUT -o lo -p ALL -j ACCEPT

# Autorise acces DNS des serveurs de la maquette

#--------------------------------------------

for serveur_ref_dns in $serveur_ref_dns1 $serveur_ref_dns2 $serveur_ref_dns3

iptables -A OUTPUT \

-p udp --destination-port $port_dns \

-d $serveur_ref_dns \

-o $interface_externe \

-j ACCEPT

iptables -A FORWARD \

-p udp --destination-port $port_dns \

-s $reseau_pub_externe -d $serveur_ref_dns \

-i $interface_pub_externe -o $interface_externe \

-j ACCEPT

iptables -A FORWARD \

-p udp --destination-port $port_dns \

-s $reseau_conf_externe -d $serveur_ref_dns \

-i $interface_conf_externe -o $interface_externe \

-j ACCEPT

iptables -A FORWARD \

-p udp --destination-port $port_dns \

-s $reseau_esentry -d $serveur_ref_dns \

-i $interface_esentry -o $interface_externe \

-j ACCEPT

iptables -A FORWARD \

-p udp --destination-port $port_dns \

-s $reseau_interco -d $serveur_ref_dns \

-i $interface_reverse -o $interface_externe \

-j ACCEPT

iptables -A FORWARD \

-p udp --destination-port $port_dns \

-s $reseau_interne -d $serveur_ref_dns \

-i $interface_reverse -o $interface_externe \

-j ACCEPT

iptables -A FORWARD \

-p udp --destination-port $port_dns \

-s $reseau_reverse -d $serveur_ref_dns \

-i $interface_reverse -o $interface_externe \

-j ACCEPT

done

# Autorise acces WEB

#--------------------------------------------

iptables -A FORWARD \

-p tcp --destination-port $port_web \

-s $reseau_externe -d $fleche \

-i $interface_externe -o $interface_reverse \

-j ACCEPT

iptables -A FORWARD \

-p tcp --destination-port $port_web \

-s $firewall_applicatif -d $colombe \

-i $interface_reverse -o $interface_conf_externe \

-j ACCEPT

iptables -A FORWARD \

-p tcp --destination-port $port_web \

-s $firewall_applicatif -d $pegase \

-i $interface_reverse -o $interface_pub_externe \

-j ACCEPT

iptables -A FORWARD \

-p tcp --destination-port $port_web_ssl \

-s $reseau_externe -d $eridan \

-i $interface_externe -o $interface_esentry \

-j ACCEPT

iptables -A FORWARD \

-p tcp --destination-port $port_web_ssl \

-s $reseau_externe -d $fleche \

-i $interface_externe -o $interface_reverse \

-j ACCEPT

iptables -A FORWARD \

-p tcp --destination-port $port_web_ssl \

-s $fleche -d $eridan \

-i $interface_reverse -o $interface_esentry \

-j ACCEPT

iptables -A FORWARD \

-p tcp --destination-port $port_web_ssl \

-s $fleche -d $colombe \

-i $interface_reverse -o $interface_conf_externe \

-j ACCEPT

# Autorise dialogue agents E-Sentry

#--------------------------------------------

iptables -A FORWARD \

-p tcp --destination-port $port_agent_esentry \

-s $fleche -d $eridan \

-i $interface_reverse -o $interface_esentry \

-j ACCEPT

iptables -A FORWARD \

-p tcp --destination-port $port_agent_esentry \

-s $colombe -d $eridan \

-i $interface_conf_externe -o $interface_esentry \

-j ACCEPT

# Autorise acces LDAPS pour authentification utilisateur

#--------------------------------------------

iptables -A OUTPUT \

-p tcp --destination-port $port_ldap_ssl \

-d $grandeourse \

-o $interface_esentry \

-j ACCEPT

iptables -A FORWARD \

-p tcp --destination-port $port_ldap_ssl \

-s $reseau_reverse -d $grandeourse \

-i $interface_reverse -o $interface_esentry \

-j ACCEPT

iptables -A FORWARD \

-p tcp --destination-port $port_ldap_ssl \

-s $reseau_conf_externe -d $grandeourse \

-i $interface_conf_externe -o $interface_esentry \

-j ACCEPT

iptables -A FORWARD \

-p tcp --destination-port $port_ldap_ssl \

-s $reseau_pub_externe -d $grandeourse \

-i $interface_pub_externe -o $interface_esentry \

-j ACCEPT

iptables -A FORWARD \

-p tcp --destination-port $port_ldap_ssl \

-s $reseau_interne -d $grandeourse \

-i $interface_reverse -o $interface_esentry \

-j ACCEPT

iptables -A FORWARD \

-p tcp --destination-port $port_ldap_ssl \

-s $firewall_applicatif -d $grandeourse \

-i $interface_reverse -o $interface_esentry \

-j ACCEPT

# Autorise acces SYSLOG pour deport des logs

#--------------------------------------------

iptables -A OUTPUT \

-p udp --destination-port $port_syslog \

-d $petiteourse \

-o $interface_reverse \

-j ACCEPT

iptables -A FORWARD \

-p udp --destination-port $port_syslog \

-s $reseau_conf_externe -d $petiteourse \

-i $interface_conf_externe -o $interface_reverse \

-j ACCEPT

iptables -A FORWARD \

-p udp --destination-port $port_syslog \

-s $reseau_pub_externe -d $petiteourse \

-i $interface_pub_externe -o $interface_reverse \

-j ACCEPT

iptables -A FORWARD \

-p udp --destination-port $port_syslog \

-s $reseau_esentry -d $petiteourse \

-i $interface_esentry -o $interface_reverse \

-j ACCEPT

# Autorise acces NTP pour mise a l'heure des serveurs

#--------------------------------------------

for serveur_ref_ntp in $serveur_ref_ntp1 $serveur_ref_ntp2 $serveur_ref_ntp3

iptables -A OUTPUT \

-p udp --destination-port $port_ntp \

-d $serveur_ref_ntp \

-o $interface_externe \

-j ACCEPT

done

iptables -A INPUT \

-p udp --destination-port $port_ntp \

-s $reseau_esentry \

-i $interface_esentry \

-j ACCEPT

iptables -A INPUT \

-p udp --destination-port $port_ntp \

-s $reseau_reverse \

-i $interface_reverse \

-j ACCEPT

iptables -A INPUT \

-p udp --destination-port $port_ntp \

-s $reseau_conf_externe \

-i $interface_conf_externe \

-j ACCEPT

iptables -A INPUT \

-p udp --destination-port $port_ntp \

-s $reseau_pub_externe \

-i $interface_pub_externe \

-j ACCEPT

# Autorise transfert de messages entre serveurs

#--------------------------------------------

iptables -A FORWARD \

-p tcp --destination-port $port_smtp \

-s $pegase -d $dauphin \

-i $interface_pub_externe -o $interface_reverse \

-j ACCEPT

iptables -A FORWARD \

-p tcp --destination-port $port_smtp \

-s $firewall_applicatif -d $pegase \

-i $interface_reverse -o $interface_pub_externe \

-j ACCEPT

# Autorise acces Messagerie pour les clients

#--------------------------------------------

iptables -A FORWARD \

-p tcp --destination-port $port_imap \

-s $reseau_externe -d $pegase \

-i $interface_externe -o $interface_pub_externe \

-j ACCEPT

iptables -A FORWARD \

-p tcp --destination-port $port_imap_ssl \

-s $reseau_externe -d $pegase \

-i $interface_externe -o $interface_pub_externe \

-j ACCEPT

iptables -A FORWARD \

-p tcp --destination-port $port_smtp \

-s $reseau_externe -d $pegase -o $interface_pub_externe \

-i $interface_externe \

-j ACCEPT

# Autorise MAJ des serveurs sur sites debian

#--------------------------------------------

for serveur_maj in $serveurs_maj_debian

iptables -A OUTPUT \

-p tcp --destination-port $port_web \

-d $serveur_maj \

-o $interface_externe \

-j ACCEPT

iptables -A FORWARD \

-p tcp --destination-port $port_web \

-s $reseau_reverse -d $serveur_maj \

-i $interface_reverse -o $interface_externe \

-j ACCEPT

iptables -A FORWARD \

-p tcp --destination-port $port_web \

-s $reseau_pub_externe -d $serveur_maj \

-i $interface_pub_externe -o $interface_externe \

-j ACCEPT

iptables -A FORWARD \

-p tcp --destination-port $port_web \

-s $reseau_conf_externe -d $serveur_maj \

-i $interface_conf_externe -o $interface_externe \

-j ACCEPT

iptables -A FORWARD \

-p tcp --destination-port $port_web \

-s $reseau_esentry -d $serveur_maj \

-i $interface_esentry -o $interface_externe \

-j ACCEPT

iptables -A FORWARD \

-p tcp --destination-port $port_web \

-s $reseau_interco -d $serveur_maj \

-i $interface_reverse -o $interface_externe \

-j ACCEPT

iptables -A FORWARD \

-p tcp --destination-port $port_web \

-s $reseau_interne -d $serveur_maj \

-i $interface_reverse -o $interface_externe \

-j ACCEPT

done

# Autorise acces Webmail pour les clients

#--------------------------------------------

iptables -A FORWARD \

-p tcp --destination-port $port_web_ssl \

-s $reseau_externe -d $dauphin \

-i $interface_externe -o $interface_reverse \

-j ACCEPT

# Autorise administration SSH des serveurs

#--------------------------------------------

iptables -A INPUT \

-p tcp --destination-port $port_ssh \

-j ACCEPT

iptables -A OUTPUT \

-p tcp --destination-port $port_ssh \

-j ACCEPT

iptables -A FORWARD \

-p tcp --destination-port $port_ssh \

-d $reseau_conf_externe \

-o $interface_conf_externe \

-j ACCEPT

iptables -A FORWARD \

-p tcp --destination-port $port_ssh \

-d $reseau_pub_externe \

-o $interface_pub_externe \

-j ACCEPT

iptables -A FORWARD \

-p tcp --destination-port $port_ssh \

-d $reseau_reverse \

-o $interface_reverse \

-j ACCEPT

iptables -A FORWARD \

-p tcp --destination-port $port_ssh \

-d $reseau_interne \

-o $interface_reverse \

-j ACCEPT

iptables -A FORWARD \

-p tcp --destination-port $port_ssh \

-d $reseau_esentry \

-o $interface_esentry \

-j ACCEPT

# Autorise acces Windows avec controleur SAMBA

#--------------------------------------------

for port_tcp_windows in $ports_tcp_windows

iptables -A FORWARD \

-p tcp --destination-port $port_tcp_windows \

-d $colombe \

-o $interface_conf_externe \

-j ACCEPT

done

for port_tcp_windows in $ports_tcp_windows

iptables -A FORWARD \

-p tcp --source-port $port_tcp_windows \

-s $colombe \

-i $interface_conf_externe \

-j ACCEPT

done

for port_udp_windows in $ports_udp_windows

iptables -A FORWARD \

-p udp --source-port $port_udp_windows \

-d $colombe \

-o $interface_conf_externe \

-j ACCEPT

done

for port_udp_windows in $ports_udp_windows

iptables -A FORWARD \

-p udp --destination-port $port_udp_windows \

-s $colombe \

-i $interface_conf_externe \

-j ACCEPT

done

# Autorise tout acces sur honeyPot

#--------------------------------------------

iptables -A FORWARD \

-d $honeypot \

-o $interface_conf_externe \

-j ACCEPT

# Mise en place du masquage d'adresse pour les adresses internes

#----------------------------------------------------------------

iptables -t nat -A POSTROUTING -s $reseau_interne -o $interface_externe -j MASQUERADE

iptables -t nat -A POSTROUTING -s $reseau_interco -o $interface_externe -j MASQUERADE

iptables -t nat -A POSTROUTING -s $reseau_reverse -o $interface_externe -j MASQUERADE

iptables -t nat -A POSTROUTING -s $reseau_esentry -o $interface_externe -j MASQUERADE

iptables -t nat -A POSTROUTING -s $reseau_conf_externe -o $interface_externe -j MASQUERADE

iptables -t nat -A POSTROUTING -s $reseau_pub_externe -o $interface_externe -j MASQUERADE

# Autorise le ping

#--------------------------------------------

iptables -A INPUT -p icmp -j ACCEPT

iptables -A OUTPUT -p icmp -j ACCEPT

iptables -A FORWARD -p icmp -j ACCEPT

# Log ce qui a ete refuse

#--------------------------------------------

iptables -A INPUT -j LOG_PUIS_DROP

iptables -A OUTPUT -j LOG_PUIS_DROP

iptables -A FORWARD -j LOG_PUIS_DROP

# Mise en place du routage du noyau

#--------------------------------------------

echo "1" > /proc/sys/net/ipv4/ip_forward

# Mise en place des routes

#--------------------------------------------

route add default gw $routeur_internet >/dev/null 2>&1

route add -net $reseau_interne gw $firewall_applicatif >/dev/null 2>&1

route add -net $reseau_reverse gw $firewall_applicatif >/dev/null 2>&1

# Affiche l'etat des regles

#--------------------------------------------

echo ">Etat des regles du FW"

iptables -L

echo ">"

;;

stop)

# Vidage des chaînes

#--------------------------------------------

iptables -F

iptables -F INPUT

iptables -F OUTPUT

iptables -F FORWARD

iptables -t nat -F

#Destruction des chaînes "personnelles"

#--------------------------------------------

iptables -X

# Ouverture du firewall

#----------------------

iptables -A INPUT -j ACCEPT

iptables -A OUTPUT -j ACCEPT

iptables -A FORWARD -j ACCEPT

# Mise en place des routes

#--------------------------------------------

route add default gw $routeur_internet >/dev/null 2>&1

route add -net $reseau_interne gw $firewall_applicatif >/dev/null 2>&1

route add -net $erseau_reverse gw $firewall_applicatif >/dev/null 2>&1

;;

echo "Usage: /etc/init.d/rc.firewall {start|stop}"

exit 1

esac

exit 0

8.2.3.E - Serveur SSH :

Le serveur SSH (version 1:3.4p1-0.0woody1) s’installe de la manière suivante :

L’ensemble des serveurs SSH des différents serveurs de la maquette est configuré de la manière suivante :

- mise en place d’un serveur SSH non encagé écoutant sur le port 22 mais n’acceptant des connexions que depuis le serveur local.

Cette configuration est mise en place en modifiant le fichier « /etc/init.d/ssh » de la manière indiquée ci-dessous :

et en paramétrant les fichiers de configuration des serveurs SSH « /etc/ssh/sshd_config » de la manière suivante :

8.2.3.F - Mise en places des adresses ARP statiques :

De manière à éviter l’ARP Poisoning, chaque serveur se voit doter d’un fichier de définition des adresses ARP. Le fichier suivant est implémenté sur chaque serveur à l’aide de la commande « arp -s -f nom_fichier » :

8.2.3.G - Authentification des utilisateurs sur l’annuaire LDAP :

Le paramétrage de l’authentification des utilisateurs sur l’annuaire GrandeOurse est décrit au paragraphe ‎8.2.6.D - .

8.2.3 - Serveur Hercule :

8.2.3.A - Concentrateur IPSEC :

8.2.3.A.1 - Installation du noyau généré :

8.2.3.A.2 - Mise en place des tunnels IPSEC :

8.2.3.A.3 - Installation des clients IPSEC Windows :

8.2.3.A.3.a - Installation du certificat IPSEC :

8.2.3.A.3.b - Paramétrage de la stratégie IP :

8.2.3.A.3.c - Activation du mode DEBUG des clients IPSEC :

8.2.3.B - Serveur de temps :

8.2.3.B.1 - Partie serveur :

8.2.3.C - Déport des logs :

8.2.3.D - Firewall de paquets :

8.2.3.E - Serveur SSH :

8.2.3.F - Mise en places des adresses ARP statiques :

8.2.3.G - Authentification des utilisateurs sur l’annuaire LDAP :