SISR2 - Séance 9

Mise en oeuvre d'un routeur filtrant dans une configuration à 3 réseaux

• carte 1 (bridgée) : connectée au réseau externe représentant l'internet : 192.168.0.200/24
• carte 2 (réseau interne dmz) : connectée à la DMZ : 172.16.0.1/16
• carte 3 (réseau interne local) : connectée au réseau interne : 10.0.0.1/16

• carte 1 : réseau interne local
• paquets : lynks, lynx, tcpdump, nmap

• carte 1 : réseau interne dmz
• paquets : apache2, ssh, lynks, lynx, tcpdump, nmap,

• carte 1 : bridgée : 192.168.0.x
• paquets : lynks, lynx, tcpdump, nmap

• assurer la NAT pour les machines du réseau local
• donner la possibilité d'accéder au serveur srvweb en http et ssh depuis partout
• les machines srvweb et pf doivent etre capable de récuperer des paquets sur les depots debian et de les installer
• autoriser les requetes DNS sortantes pour toutes les machines
• la machine parefeu PF doit etre accessible en ssh
• tous les autres flux sont bloqués

• il est impératif de repérer les chaines concernées par la modification avant d'utiliser iptables
• on pourra utilser iptables -L pour vérifier l'effet produit
• on pourra également utiliser nmap depuis le bon endroit

• aucune couche de filtrage sur PF
• chacune des 3 machines doit être capable de pinguer l'interface de PF située sur le même réseau

• vérifier les passerelles par défaut pour chacune des machines
  • cli :
  • srvweb :
  • cliext :
  • PF :
• activer le routage
• tester les ping
  • cli → srvweb
  • cli → cliext
  • srvweb → cli
  • srvweb → cliext
  • cliext → cli
  • cliext → srvweb

• créer le script fw.sh dans /root/tppf (on devra créer le répertoire tppf dans /root)
• politique par défaut (DROP), remise à zéro des chaines
• vérifier avec iptables -L
• vérifier les ping

• modifier le script fw2.sh dans /root/tppf
• indiquer les chaines concernées
• tester en se connectant en ssh depuis cli, cliext et srvweb

• modifier le script fw3.sh dans /root/tppf
• indiquer les chaines concernées
• autoriser les requetes DNS depuis PF, verifier avec host ou nslookup
• autoriser les requetes http et ftp sortantes, tester avec aptitude update

• modifier le script fw5.sh dans /root/tppf
• vérifier l'accès à une page web avec lynx http://10.121.32.6

• modifier le script fw4.sh dans /root/tppf
• indiquer les chaines concernées
• autoriser les requetes DNS depuis le reseau local, tester avec host ou nslookup depuis cli
• autoriser les requetes DNS depuis le reseau dmz, tester avec host ou nslookup depuis srvweb

• modifier le script fw6.sh dans /root/tppf
• vérifier l'accès à une page web avec lynx http://172.16.0.2 depuis cli
• vérifier l'accès à une page web avec lynx http://172.16.0.2 depuis cliext

• modifier le script fw7.sh dans /root/tppf
• vérifier avec aptitude update

• modifier le script fw8.sh dans /root/tppf
• tester