1

CHAPITRE II. GENERALITES SUR LES PARE-FEUX

(FIREWALLS)
2.1. Introduction

Un firewall - littéralement "mur de feu" parfois appelé

coupe-feu, garde-barrière, barrière de sécurité- est un ordinateur (et un
programme) qui filtre ce qui passe d'un réseau à un autre. On s'en sert
pour sécuriser les réseaux et les ordinateurs, c'est-à-dire contrôler les
accès et bloquer ce qui est interdit. Souvent, on utilise un firewall pour
protéger un réseau local du réseau Internet.

Un pare feu peut-être :

 Un ordinateur
 Un routeur
 Un matériel propriétaire

 Notion de guichet : restriction de passage en un point précis et

contrôle des requêtes
 Notion d’éloignement : empêcher un attaquant d’entrer dans un
réseau protégé ou même de s’approcher de trop près de
machines sensibles
 Notion de confinement : empêcher les utilisateurs internes de
sortir du domaine protégé sauf par un point précis.

2.2. Les différents types de pare-feux (firewall)

2.2.1.Les pare-feux matériels.

Ils se trouvent souvent sur des routeurs achetés dans le commerce par
de grands constructeurs comme Cisco, Nortel ou Mikrotik. Intégrés
directement dans la machine, ils font office de « boite noire », et ont
une intégration parfaite avec le matériel. Leur configuration est souvent
relativement ardue, mais leur avantage est que leur interaction avec les
autres fonctionnalités du routeur est simplifiée de par leur présence sur
le même équipement réseau. Souvent relativement peu flexibles en
terme de configuration, ils sont aussi peu vulnérables aux attaques, car
présent dans la « boite noire » qu'est le routeur. De plus, étant souvent
très liés au matériel, l'accès à leur code est assez difficile, et le
 2

constructeur a eu toute latitude pour produire des systèmes de codes «

signés » afin d'authentifier le logiciel (système RSA ou assimilés). Ce
système n'est implanté que dans les pare-feux haut de gamme, car cela
évite un remplacement du logiciel par un autre non produit par le
fabricant, ou toute modification de ce dernier, rendant ainsi le pare-feu
très sûr. Leur niveau de sécurité est de plus très bon, sauf découverte
de faille éventuelle comme tout pare-feu. Néanmoins, il faut savoir que
l'on est totalement dépendant du constructeur du matériel pour cette
mise à jour, ce qui peut être, dans certains cas, assez contraignant.
Enfin, seules les spécificités prévues par le constructeur du matériel
sont implémentées. Cette dépendance induit que si une possibilité nous
intéresse sur un pare-feu d'une autre marque, son utilisation est
impossible. Il faut donc bien déterminer à l'avance ses besoins et
choisir le constructeur du routeur avec soin.

Fig7. Quelques pare-feu "matériels"

a) Avantages.

Intégré au matériel réseau.

Administration relativement simple.

Bon niveau de sécurité. 
b) Inconvénients.

Dépendant du constructeur pour les mises à jour.

Souvent peu flexibles.

2.2.2.Les pare-feux logiciels.

Présents à la fois dans les serveurs et les routeurs « faits

maison », on peut les classer en plusieurs catégories :
 3

exemple de 2 pare-feux logiciel: jetico et zone alarm, pfsence etc…..

1. Généralités
2. Architecture / utilisation
3. Filtrage
4. Iptables
5. Exemple
 4

●
.

Généralement ils concernent les couches basses (IP/TCP/UDP), mais

peuvent également comprendre la couche application (HTTP, FTP,
SMTP…)
Ce que peut faire un pare-feu :

●
Être un point central de contrôle de sécurité plutôt que de
multiples contrôles dans différents logiciels clients ou serveurs
 5

Ce que peut faire un pare-feu :

 6

●
Appliquer une politique de contrôle d’accès
●
Enregistrer le trafic (journaux de sécurité / logs) Ce que peut faire
un pare-feu :
●
Appliquer une défense en profondeur (multiples parefeux)
Ce que ne peut pas faire un pare-feu :
●
Protéger contre les utilisateurs internes (selon leurs droits)
●
Protéger un réseau d’un trafic qui ne passe pas par le pare-feu
(eg. Modems)
●
Protéger contre les virus
 7

Fonctionnalités :
●
Principale → filtrage IP (TCP/UDP)
 8

Supplémentaire → traduction d’adresses et de ports.

Filtrage IP ( TCP/UDP )
●
Idée → contrôler les paquets IP (TCP/UDP) autorisés à atteindre
un groupe de machines

●
Intérêt → sécuriser de manière globale !
 9

Traduction d’adresses et de ports

__________
OSI
_ 2
__________
_
OSI 3

__________
_
OSI 4

__________
_

●
Idée → réécrire les en-têtes des paquets ; Intérêt :
 10

→ faire face à la pénurie d’adresses routables sur l’Internet (NAT)

→ laisser entrer certains paquets (PAT)

Traduction d’adresses :
●
Uni-directionnelle :
●
Traduction en sortie d’adresses (typiquement adresses privées en
publiques)
●
Possibilité de changer le port source
●
Bidirectionnelle : traduction d’une adresse publique en une
adresse privée et réciproquement
●
Redirection de ports en entrée vers une adresse privée, en
modifiant le port de destination ou non (PAT)
Translation d’adresses uni-directionnelles (NAT) :

Traduction de ports (PAT) :

 11

Avantages :
●
gestion de la sécurité concentrée
●
capacité d’audit du trafic réseau
●
concentrer la maintenance sur une machine plutôt qu’un parc

Inconvénients :
●
nécessite une connaissance des protocoles filtrés
( TCP/IP, HTTP, FTP, SQL, … )
●
Compréhension du fonctionnement du pare-feu
(divers niveaux de filtrage, traduction d’adresses, …)
Implémentations logicielles :
Netfilter (moteur d'Iptables) ( Paul Russell )
●
Filtre de paquets du noyau Linux 2.4
●
Successeur d’IPChains (Linux 2.2)
 12

IP Filter ( Darren Reed )

●
Filtre de paquets fonctionnant sous Unix libres et propriétaires
●
Intégré dans FreeBSD et NetBSD

Packet Filter ( Daniel Hartmeier )

●
Filtre de paquets dans OpenBSD (à partir de la version 3.0)
 13

Architecture / utilisation
 14

DMZ (demilitarized zone) : est un sous-réseau séparé du réseau local et

d'Internet par un pare-feu.

Dans une configuration en étoile, nécessite un pare-feu à trois interfaces

(pattes) minimum
Dans une configuration en sas, nécessite deux pare-feux à deux
interfaces (pattes)

Il existe deux types de DMZ : publiques et privées

Les flux autorisés sont :
 15

WAN → DMZ publique

(DMZ publique → WAN)

LAN → DMZ privée

(DMZ privée → LAN)

DMZ privée → DMZ publique

(DMZ publique → DMZ privée)

Que mettre dans la DMZ ?

● Publique : les services joignables depuis Internet (HTTP, DNS, …)

● Privée : les services joignables depuis le LAN

(DNS, DHCP, SQL, …)
Pourquoi la DMZ ?
● En cas de compromission d'un des services dans la DMZ, le pirate
n'aura accès qu'aux machines de la DMZ et non au réseau local.
Architecture de pare-feu avec routeur filtrant : « screening router »
 16

Bastion (hôte exposé au réseau externe)

● Il constitue un point de contact entre réseau externe et réseau
interne

● S'occupe d'un ensemble de services prédéfinis HTTP, DNS, SMTP,

…
● Il peut agir :
● en rendant directement le service concerné
● en relayant les requêtes vers d’autres serveurs après avoir effectué
un contrôle d’accès applicatif (proxy) Bastion (hôte exposé au
réseau externe) Le bastion peut servir dans la détection d’intrusions,
il analyse
 17

● des communications pour détecter des attaques : IDS

 18

Le bastion peut servir de pot de miel (Honeypot): un service semblant

attractif pour un attaquant et qui n’est en réalité

(« Intrusion Detection System

). »
 19

Filtrage
 20

Il existe différents critères de filtrage :

● interface réseau :
● entrée
● sortie
 21

Il existe différents critères de filtrage :

● adresses mac (source / destination)
● protocoles de niveau 3 (IP, ICMP, …)

Il existe différents critères de filtrage :

● adresses IP (source / destination) :
● hôte (eg. 192.168.1.1)
● sous-réseau (eg. 192.168.1.0/24)
● protocoles de niveau 4 (TCP, UDP, …)
● champs de l'en-tête IP (TOS / TTL, codes ICMP, …)
…

Il existe différents critères de filtrage :

 22

● ports source et destination (TCP et UDP)

● drapeaux (TCP)
● …

Il est possible d'appliquer différentes actions :

● Laisser passer (ACCEPT)
● Bloquer (DENY ou DROP)
● Rejeter (REJECT) => message ICMP ou segment TCP avec
drapeau RST.

Le filtrage « stateful » ou filtrage dynamique, permet de suivre les états

des connexions en cours .

Seuls des paquets correspondants à un état pré-existant sont acceptés.

 23

Intérêt

● simplifier l’écriture des règles de filtrage

● améliorer la sécurité, en n’autorisant que le trafic licite Cela
permet en TCP de contrôler un segment appartenant à une
connexion en cours

Cela permet en UDP d'autoriser un datagramme en réponse à un

datagramme précédemment émis.
Exemple avec une requête DNS (UDP 53), les paquets en rouges sont
dynamiquement acceptés :
Cela permet en ICMP d'autoriser la réponse à un message ICMP émis.
 24

Exemple avec un ping (echo request), les paquets en rouges sont

dynamiquement acceptés :
 25

Filtrage : notion de flux

Les règles sont souvent exprimées selon une notion de direction :

entrant ou sortant.
Par exemple en fonction du réseau à protéger

Filtrage : notion de flux

Les règles sont souvent exprimées selon une notion de direction :

entrant ou sortant.
Par exemple en fonction de la position du filtrage dans un
routeur selon l’interface
 26

Filtrage : politique par défaut

Autoriser tout par défaut

On permet tout sauf ce qui est considéré comme dangereux → Tout ce
qui n’est pas explicitement interdit est autorisé.
On analyse les différents risques des applications qui doivent s’exécuter.
→ On en déduit les interdictions à appliquer, on autorise tout le reste.
Avantages/inconvénients :
● inconfortable pour l’administrateur de la sécurité
● facilite l’accès des usagers au réseau
● peu recommandée et peu utilisée.
Filtrage : politique par défaut

Interdire tout par défaut

→ Tout ce qui n’est pas explicitement permis est interdit.
Avantages/inconvénients :
● plus sécuritaire et plus confortable pour l’administrateur de la
sécurité
● limite considérablement les droits des usagers recommandée et
plus souvent utilisée.
Filtrage : Spécification abstraite

Définir de manière abstraite la politique de sécurité : ce qui est autorisé

et ce qui est interdit ● Choisir une politique d’ensemble :

Solution 1 → Autoriser tout par défaut

Solution 2 → Interdire tout par défaut

● Énoncer les règles :

Exemple 1 : Autoriser un hôte interne à recevoir des mails parce que

c’est un serveur de mail (SMTP / POP / IMAP).
 27

Le principe de fonctionnement est simple :

● lorsque la carte réseau reçoit un paquet celui-ci est

transmis à la partie Netfilter du noyau
● Netfilter va ensuite étudier ce paquet (les en-têtes et le
contenu)
● En se basant sur les règles que l'administrateur aura
définies, il va choisir :
● de laisser passer le paquet intact
● de le modifier
● de le transmettre à une autre machine ● d'interdire son
passage.
● Iptables s'organise par tables.
● Chaque table contient une série de chaînes.
● Il existe 3 tables :
● FILTER :correspond aux notions de filtrage réseaux
( accepter/refuser un paquet )
● NAT : correspond à des fonctions de routage et s’occupe
de la conversion d’adresse réseau.
● MANGLE : est utilisée pour modifier les paquets à la volée.
 28

Tables Chaînes
FILTER INPUT, FORWARD, OUPUT
NAT PREROUTING, POSTROUTING, OUTPUT
MANGLE PREROUTING, INPUT, FORWARD, OUTPUT,
PORTROUTING
Voici le chemin d'un paquet à destination de la machine:
1.Netfilter vérifie les règles de la chaîne PREROUTING et effectue le
changement d'adresse destination si une règle de PAT est trouvée

2.Le noyau regarde la destination du paquet

3.Si ce paquet est destiné à cette machine, le paquet est filtré par la
chaîne INPUT et les processus qui attendent le paquet le recevront.

Sinon, si :
4.le noyau n'a pas le forwarding autorisé (machine qui n'est pas
configurée en routeur), ou qu'il ne sait pas comment forwarder le
paquet, le paquet est 'dropé' (supprimé).
 29

Sinon, si :
5.le forwarding est autorisé et que le paquet est destiné à un autre
réseau, le paquet va directement à la chaîne FORWARD.

6.l'adresse source pourra être modifiée par la chaîne POSTROUTING

7.il sera envoyé vers le réseau de destination ;

Voici le chemin d'un paquet originaire de la machine :

1.Netfilter vérifie la chaîne OUTPUT pour voir si le paquet a le droit de

sortir
2.l'adresse source pourra être modifiée par la chaîne POSTROUTING

3.il sera envoyé vers le réseau de destination ;

 30

Les règles de chaque chaîne dépendent de leur ordre (du

Quand un paquet arrive, il est comparé aux règles de la chaîne

pertinente appartenant à la table pertinente, depuis la première jusqu’à
la dernière.
Par exemple pour un paquet traversant (routé)
1.table NAT, chaîne PREROUTING
2.table FILTER, chaîne FORWARD
Chacune de ces chaînes permet de « sauter sur une cible » (jump
at target), ci-dessous un exemple pour FILTER :
 ACCEPT : le paquet est accepté
 DROP : le paquet est refusé , on l'efface et on ne répond
rien
 31

Chaque chaîne possède une règle « policy » qui définit la cible par
défaut lorsqu'un paquet ne correspond à aucune règle.
Cela permet de définir si l'on accepte ou refuse les paquets par défaut.
Elle est généralement toujours à ACCEPT.
On peut la modifier grâce à l'option '-P' : # iptables -P INPUT ACCEPT

o
Options Voici les cibles les plus utilisées:

• De la table FILTER :
1.ACCEPT
2.DROP
3.REJECT

● De la table NAT :
1.chaîne POSTROUTING → SNAT (IP source convertie)
2.chaîne PREROUTING → DNAT (IP destination convertie)

● Dans n'importe quelle table :

1.LOG: permet d'enregistrer le passage d'un paquet Iptables: options
Quelques commandes :
 -N (--new-chain)
 -X (--delete-chain)
 -F (--flush) : supprime toutes les règles de la chaîne et de
la table concernée
Quelques options :
● -i [!] interface : spécifie l’interface de réception, valable pour
les chaînes INPUT, FORWARD et PREROUTING
● -o [!] interface : spécifie l’interface d’expédition, valable pour
les chaînes OUTPUT, FORWARD et POSTROUTING
 32

● [!] –syn : spécifie que cette règle ne devrait satisfaire que les
paquets TCP qui initient la connexion Iptables: le module
state
● Capacité de créer des règles de comparaison fondées sur les
états des paquets grâce au module 'state' :
iptables –m state –state [!] [state1, state2, …]
Voici les états possibles :
● NEW : compare les paquets n’appartenant à aucune
connexion en cours
● ESTABLISHED : compare les paquets appartenant à une
connexion déjà ouverte
● RELATED : compare les paquets qui appartiennent à une
autre connexion.

Exemple : messages ICMP d’erreur, trafic d’un protocole applicatif (FTP

passif ou actif), …

● INVALID : compare les paquets qui n’ont aucun sens dans le

contexte de la connexion existante, ou ceux qui n’ont pu être
reçus pour une raison quelconque.
 33

Tout d'abord, listons les règles qui sont présentes sur la machine :

# iptables -nvL

- L liste les règles

- v active le mode 'verbeux'
- n pour les sorties numériques

Vous devriez voir quelque chose qui ressemble à :

Nous allons maintenant autoriser les connexions HTTP entrantes :

H
TTP = TCP:80 Si on fait
naïvement :
# iptables -A INPUT -p tcp --dport 80 -j ACCEPT
Cette commande signifie :
-A INPUT => ajoute en bas de la liste des règles de la chaîne INPUT
- p tcp => pour les paquets TCP
-- dport => à destination du port 80
-j ACCEPT => accepte les paquets
On ajoute donc la règle en bas de la chaîne INPUT, c'est à dire après la
règle :
 34

… et comme les règles sont lues dans l'ordre, aucune des règles
ajoutées après le « REJECT ALL » ne seront lues.
Il faut donc les insérer plutôt que de les ajouter :
# iptables -I INPUT 2 -p tcp --dport 80 -j ACCEPT
Gardez à l'esprit que vos règles ne sont pas sauvegardées tant que
vous n'avez pas exécuté la commande :

Sur les systèmes avec un noyau systemd, il est possible de retrouver

cette fonctionnalité en installant le paquet grâce à yum:
# yum -y install iptables-sevices
Pour information, les règles sont sauvegardées dans le fichier
/etc/sysconfig/iptables

N'hésitez pas à utiliser la commande 'iptables -nvL' pour voir les

compteurs de paquets qui évoluent en fonction de vos tests ou la
commande watch :
# watch -n 1 'iptables -nvL'
NB: vous pouvez utiliser la commande 'iptables -Z' pour
remettre à zéro les compteurs de paquets et d'octets
 35

Nous avons vu comment ajouter et insérer des règles, on peut aussi

les effacer en utilisant l'option -D, par exemple en faisant :
# iptables -D INPUT 2

Vous effacez la deuxième règle de la chaîne INPUT.

Il peut être pratique de voir les numéros de chaque règle lorsqu'on liste
les règles:
# iptables -nvL --line-numbers