III.11.2.2. Règles concernant les flux IP de la
chaîne FORWARD
Nous entrons cette fois dans le vif du sujet et un petit
schéma s'impose car les règles s'établissent tour à
tour suivant la position des serveurs/clients dans le réseau de
l'entreprise
6
3
4
SVRDMZ
SVRFWL
EXTERIEUR
5
2
SVRLAN/ CLIENT
1
Figure 82 : Schéma de circulation des flux pour la
chaîne FORWARD
(1) SVRLAN/CLIENT vers SVRDMZ
Le but est d'autoriser les communications pour le routage des
demandes de la part du réseau internes. Suivant les services, nous avons
le DNS, http (en fait le proxy squid) et HTTPS, SMTP, POP3, IMAP et FTP :
Figure 83 : autorisation de la communication pour le
routage des demandes pour le LAN
(2) SVRLAN/CLIENTS vers Internet
Son but est d'interdire toutes les communications vers
l'extérieur donc obliger le passage vers SVRDMZ.
Rédiger par NGOUCHEME MBOUOMBOUO A. Page
71
Concevoir et déployer d'une architecture de
réseau sécurisée à l'IUT
Figure 84 : interdiction de la communication vers
l'exterieur
(3) SVRDMZ vers SVRLAN/CLIENTS
Son but est d'autoriser les communications initiées par
le réseau interne
(4) SVRDMZ vers Internet
Le but c'est d'autoriser les communications utiles pour notre
réseau comme le DNS, http ...
Figure 85 : autorisation de la communication pour la
DMZ
(5) Internet vers SVRDMZ
Le but est d'autorisé les communications en relation avec
les services publics de la DMZ
Figure 86 : autorisation de la communication avec les
services publics de la DMZ
(6) Internet vers SVRLAN/CLIENTS
Le rôle est d'interdire les communications venant de
l'extérieur, considérées comme suspectes :
Rédiger par NGOUCHEME MBOUOMBOUO A. Page
72
Concevoir et déployer d'une architecture de
réseau sécurisée à l'IUT
Figure 87 : blocage des paquets suspect venant de
l'extérieur
Nous pouvons effectuer des tests à partir du CLIENT, les
communications Internet pour vérifier la bomme tenue de notre pare-feu.
Il nous reste règle deux problèmes celui du VPN et la
vérification par l'extérieur, en ajoutant la fin script
Figure 88 : autorisation du trafic dans le réseau
d'entreprise
Nous disposons désormais d'une ébauche de pare-feu
efficace, stable et il faut le reconnaitre peu ouvert. Nous n'autorisons pas
par exemple les ports pour les flux vidéo... Tout est question de
politique de sécurité : laisser trop de libertés conduit
parfois à l'utilisation de ports de logiciels de peer to peer. Mais il
est encore possible d'ajouter au script
| 
