Règle Firewall
-
Bonjour à tous,
Je suis nouveau sous pfSense et en train de le tester sous VirtualBox.
Lorsqu'on crée des règles du firewall, on a le choix de l'interface (comme WAN ou LAN). Je ne comprend pas bien ce choix, ni son utilité, puisqu'on doit renseigner la source et le destinataire pour chaque règle. Y a-t-il un risque de conflits en créant des règles dans WAN et LAN?
Merci d'avance.
Meirick
-
Mes excuses pour le mauvais français, je me sers translate.google.com
Les règles de filtrage doit être appliqué à l'interface qui sera d'abord voir le trafic réseau. Donc, si le trafic est en provenance d'Internet, vous souhaitez créer des règles sur l'interface WAN. Par ailleurs, si vous essayez de bloquer le trafic à partir du réseau local à Internet, les règles doivent être appliquées à l'interface LAN.
Rappelez-vous aussi que les règles de pare-feu sont évalués sur "premier match gagne" une telle ordonnance sera certainement compte.
-
Lorsqu'on crée des règles du firewall, on a le choix de l'interface (comme WAN ou LAN). Je ne comprend pas bien ce choix, ni son utilité, puisqu'on doit renseigner la source et le destinataire pour chaque règle.
Si les adresses source et destination sont effectivement renseignées dans la règle il faut bien comprendre que l'interface sur laquelle se présente le paquet a son importance, (c'est le moins que l'on puisse dire). Pour un même paquet (j'entends pas là couple ip source - destination) il peut être licite selon qu'il arrive sur wan ou sur lan. Il est donc nécessaire de préciser sur quelle interface s'applique la règle.
Y a-t-il un risque de conflits en créant des règles dans WAN et LAN?
Je ne sais pas ce que vous entendez par conflit. Le seul risque est "juste" un mauvais paramétrage du firewall et un comportement qui ne répond pas aux besoins, ou un nib=veau de sécurité qui ne correspond pas à ce qui est souhaité. Je vous recommande sérieusement de lire la documentation disponible avant vous mettre devant le clavier.
La première réponse qui vous a été donné n'est pas fausse mais elle est incomplète et mal formulée (la traduction automatique).
1. Pfsense n'applique les règles pour une interface donnée que sur le trafic qui vient de l'extérieur vers le firewall.
2. Les règles de nat s'appliquent avant les règles de filtrage.
3. Les règles sont lues de bas en haut
4. Dès qu'une règle est évaluée positivement, elles est appliquée et l'évaluation des règles cesse. Le paquet est traité selon la règle. -
Comme d'hab, ccnet est très complet !
J'ajoute qu'une règle ne se rédige que pour le "paquet initial". Par exemple : tel PC de la DMZ peut envoyer des mails (smtp=25/tcp) vers "any" donne une règle :
- interface : DMZ
- source : serveur mail (situé en DMZ)
- destination : any
- protocole : tcp
- port destination : 25 ou smtp
On ne décrira pas le paquet retour (interface WAN, source any, destination srv mail).
On peut observer que, l'adresse ip de la source fait FORCEMENT partie du réseau lié à l'interface.
-
Salut,
Merci à tous, vous m'avez bien éclairé.
A+
Meirick