freebox routeur, firewall ?

Albert ARIBAUD wrote:

Certes, mais la NAT ça ne protège pas. Alors un firewall qui ne protège
pas, je ne vois pas trop l'intérêt.

Si, un peu : les scan entrants tombent dans le vide si le routeur NAT n'a
pas de mapping vers une machine interne au LAN.

Le mécanisme de NAT n'est en rien responsable de ce comportement. Ce
serait la même chose sans NAT : quand on scanne les ports d'une machine
(ici, le routeur-firewall), celle-ci répond "fermé" si aucun service
n'écoute dessus.

Heu, pas forcément : un routeur sans NAT "propulse" tout paquet susceptible
d'être traité "de l'autre côté".

Néanmoins je suis d'accord sur le fait que la protection est un effet de
bord et non une fonction explicite du NAT.

Amicalement,
--
Albert.

Albert ARIBAUD wrote:

les scan entrants tombent dans le vide si le routeur NAT n'a
pas de mapping vers une machine interne au LAN.

Le mécanisme de NAT n'est en rien responsable de ce comportement. Ce
serait la même chose sans NAT : quand on scanne les ports d'une machine
(ici, le routeur-firewall), celle-ci répond "fermé" si aucun service
n'écoute dessus.

Heu, pas forcément : un routeur sans NAT "propulse" tout paquet
susceptible d'être traité "de l'autre côté".

[Je vois que je ne suis pas la seule à chercher une bonne traduction de
"forward".]

Qu'entendez-vous par "susceptible d'être traité" ? Pour moi, tout paquet
entrant est non seulement "susceptible d'être traité", mais traité d'une
façon ou d'une autre.

Néanmoins je suis d'accord sur le fait que la protection est un effet de
bord et non une fonction explicite du NAT.

Je crois surtout que la protection en question est un effet de bord du
routage amont.

Albert ARIBAUD wrote:

les scan entrants tombent dans le vide si le routeur NAT n'a
pas de mapping vers une machine interne au LAN.

Le mécanisme de NAT n'est en rien responsable de ce comportement. Ce
serait la même chose sans NAT : quand on scanne les ports d'une machine
(ici, le routeur-firewall), celle-ci répond "fermé" si aucun service
n'écoute dessus.

Heu, pas forcément : un routeur sans NAT "propulse" tout paquet
susceptible d'être traité "de l'autre côté".

[Je vois que je ne suis pas la seule à chercher une bonne traduction de
"forward".]

Si tu me demandes une traduction et plus un simple papotage :), je propose
"faire suivre".

Qu'entendez-vous par "susceptible d'être traité" ? Pour moi, tout paquet
entrant est non seulement "susceptible d'être traité", mais traité d'une
façon ou d'une autre.

Le routeur est relié à deux "sous-réseaux" au sens large, l'un d'eux
pouvant être en fait l'intégralité de l'espace IP moins le LAN de l'autre
côté.

Exemple : routeur en 192.168.0.254, routant 192.168.0/24 vers Le Vaste
Monde.

Eh bien le routeur qui reçoit du Vaste Monde un paquet pour 192.168.1.0 n'a
pas à le... faire suivre côté LAN, tandis qu'un paquet pour 192.168.0.56,
oui.

Néanmoins je suis d'accord sur le fait que la protection est un effet de
bord et non une fonction explicite du NAT.

Je crois surtout que la protection en question est un effet de bord du
routage amont.

Pas nécessairement, le routeur ne sachant pas la liste de machines
réellement connectées côté LAN avec une IP en 192.168.0.XXX, il fait tout
suivre, y compris vers des adresses LAN non attribuées ou vers des machines
non susceptibles de traiter le paquet.

Le routeur NAT, lui, connaît les machines réellement connectées, soit parce
qu'elles ont initié une connexion, soit parce qu'elles sont en serveur via
le NAT. Dans tous les cas, seuls les paquets vers des machines actuellement
susceptibles d'en recevoir passent le NAT.

Amicalement,
--
Albert.

Le Mon, 12 Jul 2004 14:06:44 +0200, Albert ARIBAUD a écrit
dans le message <40f27ed2$0$7736$626a14ce@news.free.fr> :

Le routeur est relié à deux "sous-réseaux" au sens large, l'un d'eux
pouvant être en fait l'intégralité de l'espace IP moins le LAN de l'autre
côté.

Exemple : routeur en 192.168.0.254, routant 192.168.0/24 vers Le Vaste
Monde.

Eh bien le routeur qui reçoit du Vaste Monde un paquet pour 192.168.1.0 n'a
pas à le... faire suivre côté LAN, tandis qu'un paquet pour 192.168.0.56,
oui.

Cela va dépendre de la topologie en aval. Si on est en queue de réseau,
comme dans le cas que tu évoques (destination directement connectée
sur une patte du routeur) alors le routeur interroge le réseau de niveau 2
pour savoir ce qu'il s'y passe.

Sur de l'Ethernet, il va faire une requête ARP, et si personne n'y répond,
le routeur peut alors adopter plusieurs comportements, mais celui qui est
"normal" est de renvoyer un message ICMP "host unreachable".

Si on n'est pas encore en queue de réseau, alors il y a deux cas :

- le routeur n'a pas de route correspondant à l'adresse IP de destination,
et il renvoie un message ICMP "network unreachable" ;
- le routeur a une route qui correspond, et renvoie alors le paquet à
cette passerelle.

Comme la plupart des routeurs fonctionnent avec des routes par défaut,
envoyer un paquet avec une adresse de destination vers un routeur qui
n'a pas de route spécifique pour cela provoquera un aller-retour du
paquet au mieux, une boucle de routage au pire.

Le routeur NAT, lui, connaît les machines réellement connectées, soit parce
qu'elles ont initié une connexion, soit parce qu'elles sont en serveur via
le NAT. Dans tous les cas, seuls les paquets vers des machines actuellement
susceptibles d'en recevoir passent le NAT.

Le cas du NAT est un peu spécial car aucun paquet venant de "l'extérieur"
est censé avoir pour adresse de destination une adresse de "l'intérieur".

Toutefois si cela arrive, le routeur NAT se comporte comme un routeur
simple. Pour peu qu'on connaisse l'adressage du LAN derrière le NAT
et qu'on puisse envoyer un paquet directement au routeur NAT depuis
le segment IP en amont (en gros, dans le cas d'un accès ADSL, depuis
le dernier routeur du FAI avant le routeur ADSL), on peut réaliser
des attaques par spoofing.

Si le routeur NAT reçoit un paquet pour lui mais ne trouve aucune
correspondance dans sa table NAT pour ces ports source et de
destination, il se comporte comme un hôte pour ce paquet, ne
fait pas de translation, et renvoie la réponse appropriée, s'il
y a lieu.

--
Raphael Bouaziz.

Le Mon, 12 Jul 2004 14:06:44 +0200, Albert ARIBAUD a écrit
dans le message <40f27ed2$0$7736$626a14ce@news.free.fr> :

Le routeur est relié à deux "sous-réseaux" au sens large, l'un d'eux
pouvant être en fait l'intégralité de l'espace IP moins le LAN de l'autre
côté.

Exemple : routeur en 192.168.0.254, routant 192.168.0/24 vers Le Vaste
Monde.

Eh bien le routeur qui reçoit du Vaste Monde un paquet pour 192.168.1.0 n'a
pas à le... faire suivre côté LAN, tandis qu'un paquet pour 192.168.0.56,
oui.

Cela va dépendre de la topologie en aval. Si on est en queue de réseau,
comme dans le cas que tu évoques (destination directement connectée
sur une patte du routeur) alors le routeur interroge le réseau de niveau 2
pour savoir ce qu'il s'y passe.

Sur de l'Ethernet, il va faire une requête ARP, et si personne n'y répond,
le routeur peut alors adopter plusieurs comportements, mais celui qui est
"normal" est de renvoyer un message ICMP "host unreachable".

Si on n'est pas encore en queue de réseau, alors il y a deux cas :

- le routeur n'a pas de route correspondant à l'adresse IP de destination,
et il renvoie un message ICMP "network unreachable" ;
- le routeur a une route qui correspond, et renvoie alors le paquet à
cette passerelle.

Comme la plupart des routeurs fonctionnent avec des routes par défaut,
envoyer un paquet avec une adresse de destination vers un routeur qui
n'a pas de route spécifique pour cela provoquera un aller-retour du
paquet au mieux, une boucle de routage au pire.

Le routeur NAT, lui, connaît les machines réellement connectées, soit parce
qu'elles ont initié une connexion, soit parce qu'elles sont en serveur via
le NAT. Dans tous les cas, seuls les paquets vers des machines actuellement
susceptibles d'en recevoir passent le NAT.

Le cas du NAT est un peu spécial car aucun paquet venant de "l'extérieur"
n'est censé avoir pour adresse de destination une adresse de "l'intérieur".

Toutefois si cela arrive, le routeur NAT se comporte comme un routeur
simple. Pour peu qu'on connaisse l'adressage du LAN derrière le NAT
et qu'on puisse envoyer un paquet directement au routeur NAT depuis
le segment IP en amont (en gros, dans le cas d'un accès ADSL, depuis
le dernier routeur du FAI avant le routeur ADSL), on peut réaliser
des attaques par spoofing.

Si le routeur NAT reçoit un paquet pour lui mais ne trouve aucune
correspondance dans sa table NAT pour ces ports source et de
destination, il se comporte comme un hôte pour ce paquet, ne
fait pas de translation, et renvoie la réponse appropriée, s'il
y a lieu.

--
Raphael Bouaziz.

"François Yves Le Gal" wrote:

Certes, mais la NAT ça ne protège pas.

Ah bon.

Alors dites-moi comment.
Que je sache, la NAT (on va prendre le cas dynamique) ça fait trois
choses :

NAT source
1) Remplacement de l'adresse source privée des paquets sortants par une
adresse source publique (celle du routeur dans le cas de NAT n vers 1).

2) Remplacement de l'adresse destination publique des paquets entrants
reconnus grâce au suivi des connexions comme réponse d'un paquet sortant
du 1) par l'adresse privée de la machine concernée.

NAT destination
3) Remplacement, sur la base du protocole+port, de l'adresse destination
des paquets entrants par l'adresse privée d'une machine désignée comme
serveur.

Aurais-je oublié quelque chose ? (Je passe sur des détails techniques
mineurs comme la modification des ports TCP|UDP)

Le Mon, 12 Jul 2004 13:15:56 +0000, Raphael Bouaziz a écrit :

Le cas du NAT est un peu spécial car aucun paquet venant de "l'extérieur"
n'est censé avoir pour adresse de destination une adresse de "l'intérieur".

Toutefois si cela arrive, le routeur NAT se comporte comme un routeur
simple. Pour peu qu'on connaisse l'adressage du LAN derrière le NAT

Euh, non, là la question est d'ouvrir une connexion sur un port de
l'adresse WAN du routeur, et que celui-ci transmette la connexion vers une
machine du LAN sans qu'on en sache rien de l'extérieur.

et qu'on puisse envoyer un paquet directement au routeur NAT depuis le
segment IP en amont (en gros, dans le cas d'un accès ADSL, depuis le
dernier routeur du FAI avant le routeur ADSL), on peut réaliser des
attaques par spoofing.

Si le routeur NAT reçoit un paquet pour lui mais ne trouve aucune
correspondance dans sa table NAT pour ces ports source et de
destination, il se comporte comme un hôte pour ce paquet, ne fait pas
de translation, et renvoie la réponse appropriée, s'il y a lieu.

Il peut justement être configuré pour transmettre à une machine du LAN.

Bon, dans tous les cas de figure, le fait demeure que le routeur NAT ne
transmettra rien s'il n'a pas des instructions *explicites* pour le faire,
donc bloquera des paquets même si ce n'est pas sa fonction.

Amicalement,
--
Albert.

JL <JL@Jlamy.com> wrote:

Oui et non. Oui car les ports des machines du LAN ne sont pas directement
accessibles (donc pas de cheval de troie ou autre vers), non car en sortie
les ports ne sont pas suurveillés. Mais à mon avis c'est le premier point
qui est important, donc je dirais oui.

Est-ce que l'on peut n'ouvrir que certains ports ?

Est-ce que l'on peut mapper certains ports vers une machine et d'autres
vers une autre (comme je peux le faire sur un router netgear) ?

--
Fra

"Annie D." <annie.demur@free.fr> a écrit news:40F1ADC5.572E7CDC@free.fr:

"François Yves Le Gal" wrote:

Coupe-feu <> filtrage.

Faites excuses, je croyais. Et donc que fait un coupe-feu s'il ne
filtre

pas ?

ça c'est pour le firewall :

http://www.commentcamarche.net/protect/firewall.php3


ça c'est pour le nat :

http://www.commentcamarche.net/internet/nat.php3

--
--------------------------------------------------------
toute ressemblance ou similitude avec des messages existant ou ayant
existé serait purement fortuite ..
--------------------------------------------------------

Albert ARIBAUD avait prétendu :

Bon, dans tous les cas de figure, le fait demeure que le routeur NAT ne
transmettra rien s'il n'a pas des instructions *explicites* pour le faire,
donc bloquera des paquets même si ce n'est pas sa fonction.

Amicalement,

..et je confirme que ça soulage incroyablement le firewall logiciel des
pc derrière le routeur ! Donc de la cpu!

Jil