2.2.5.2 La sécurité autour du
pare-feu
Comme nous l'avons vu, le pare-feu vise à filtrer les
flots de paquets sans empêcher le passage des flots utiles à
l'entreprise, flots que peut essayer d'utiliser un pirate. La structure
Mémoire présenté et soutenu par Bertrand
MOHOTE TADZONG Page 46
Sécurisation d'un réseau intranet : cas de
CAMTEL
de l'entreprise peut être conçue de
différentes façons. Deux solutions générales sont
mises en oeuvre. La première est illustrée à la figure
2.11, et la seconde à la figure 2.12.
Dans le premier cas, la communication, après avoir
traversé le pare-feu, se dirige au travers du réseau d'entreprise
vers le poste de travail de l'utilisateur. Dans ce cas, il faut que les postes
de travail de l'utilisateur soient des machines sécurisées afin
d'empêcher les flots pirates qui auraient réussi à passer
le pare-feu d'entrer dans des failles du système de la station. Comme
cette solution est très difficile à sécuriser, puisqu'elle
dépend de l'ensemble des utilisateurs d'une entreprise, la plupart des
architectes réseau préfèrent mettre en entrée de
réseau une machine sécurisée, que l'on appelle machine
bastion (voir figure 2.12).
La machine bastion apporte quelques difficultés
supplémentaires de gestion. En effet, elle prend en charge l'ouverture
et la fermeture des communications d'un utilisateur avec l'extérieur.
Par exemple, un client avec son navigateur ne peut plus accéder à
un serveur externe puisque la machine bastion l'arrête automatiquement.
[2]
Figure 2.11 : place d'un pare-feu dans
l'infrastructure réseau [2]
Mémoire présenté et soutenu par Bertrand
MOHOTE TADZONG Page 47
Sécurisation d'un réseau intranet : cas de
CAMTEL
Figure 2.12 : pare-feu associé à une
machine bastion [2]
Le bastion doit être équipé d'un serveur
proxy, et chaque navigateur être configuré pour utiliser le proxy.
La communication se fait donc en deux temps. L'utilisateur communique avec son
proxy, et celui-ci ouvre une communication avec le serveur distant. Lorsqu'une
page parvient au proxy, ce dernier peut la distribuer au client. Le bastion
peut d'ailleurs servir de cache pour les pages standards utilisées par
une entreprise.
Le défaut de cette dernière architecture
provient de sa relative lourdeur, puisqu'il est demandé à une
machine spécifique d'effectuer le travail réseau pour toutes les
machines de l'entreprise. De plus, la sécurité de toute
l'entreprise peut être menacée si l'ordinateur bastion n'est pas
parfaitement sécurisé, car un pirate externe peut avoir
accès à l'ensemble des ressources de l'entreprise. De fait,
l'architecture de sécurité peut s'avérer plus complexe
lorsqu'un ordinateur bastion est mis en place.
La figure 2.16 illustre quelques-unes des architectures de
sécurité qui peuvent être mises en place.
Figure 2.13 : architectures de sécurité
avec machine bastion [2]
Mémoire présenté et soutenu par Bertrand
MOHOTE TADZONG Page 48
Sécurisation d'un réseau intranet : cas de
CAMTEL
La partie supérieure de la figure représente une
organisation assez classique, dans laquelle l'ordinateur bastion est
protégé des deux côtés par des pare-feu, pour
filtrer aussi bien ce qui arrive de l'entreprise que ce qui arrive de
l'extérieur. Le schéma montre deux pare-feu. Il est possible
d'utiliser un seul pare-feu connecté à l'ordinateur bastion. Il
est aussi possible de mettre en place manuellement une connexion directe entre
les deux pare-feu pour effectuer des tests et des mises au point.
La deuxième partie de la figure est assez semblable
à la précédente. Elle montre toutefois une organisation un
peu différente, utilisant un réseau local pour relier les deux
pare-feu et l'ordinateur bastion. La troisième partie de la figure
montre une architecture encore plus complexe, dans laquelle une entreprise peut
accéder à plusieurs opérateurs simultanément. Dans
ce cas, un pirate peut entrer dans le réseau d'un opérateur en
provenance d'un autre opérateur en passant par la passerelle d'une
entreprise. Là, le piratage ne vise pas l'entreprise mais une autre
entreprise, située sur le réseau de l'opérateur
piraté. Pour sécuriser ce passage, l'ordinateur bastion doit de
nouveau jouer le rôle de proxy, empêchant le passage direct.
[2]
| 
