Architecture à deux parefeu - Préambule

Préambule

Le contexte :
Une entreprise possédant un réseau informatique à été scindée en deux entreprises distinctes Alpha et Beta, ces entreprises sont maintenues par un administrateur unique.
Les deux PDG se sont mis d'accord pour faire intervenir un prestataire externe pour faire un audit sécurité et proposer une solution afin de palier les éventuels hackings externes et internes.

D'autres contraintes ont renforcées la difficulté de l'exercice :
- Les réseaux de la société Alpha et de la société Beta doivent être dissociés le plus possible (aucune données n'est commune).
- L'administrateur doit pouvoir se connecter à tous les postes, soit en mode texte, soit en mode graphique depuis son poste ou les postes clients.
- Les accès de type msn messenger ou P2P doivent être impossibles.
- La listes des sites consultés par poste doit être consignée dans un fichier.
- La direction de la société Alpha souhaite que le courrier reçu soit centralisé sur un serveur, puis controlé (virus) avant d'être distribué à chaque destinataire.
- La société Alpha héberge un serveur accessible depuis l'Internet.

Solution

Le cloisonnement des réseaux :
La solution apporté à ces deux sociétés à été de cloisonner les différents réseaux. La société Alpha dispose de son propre réseau informatique avec un adressage IP propre, de même pour la société Beta et l’administrateur. Un routeur parefeu à quatre ports assure l’aiguillage entre la société alpha, beta et l’administrateur. La quatrième interface réseau du routeur sera
connecté à un second routeur parefeu, lui-même connecté à l’Internet.


Les deux parefeu (ROUTEUR et PAREFEU NAT) sont des machines Linux. Nous utilisons les fonctionnalités du noyau pour le routage des paquets IP entre les réseaux.
Le routage n’est pas dynamique. Il faut ajouter des routes statiques, elles indiqueront à chaque routeur quel routeur (gateway) contacter pour envoyer le paquet à destination.
 Pour contrôler les paquets IP transitant sur le ROUTEUR ou le PAREFEU NAT, on utilise Netfilter/Iptables.
Pour enregistrer une trace des connexions web des utilisateurs, on les oblige a utiliser un proxy. Celui-ci est installé sur ROUTEUR.
Le PAREFEU NAT utilise la technologie NAT (Network Adress Translation) pour masquer les connexions du réseau interne vers Internet. Seule le serveur Internet est accessible depuis l’Internet.

 Les fichiers de configuration de Netfiler sont présenté en détails dans les articles suivants.