Architectures d’utilisation
Pare-feu

Nous montrons ici à quel point l’organisation des différents organes de filtrage est importante dans un réseau et qu’elle peut déterminer le niveau de sécurité à attendre de l’architecture et du filtrage. Par la suite, les seuls éléments de base utilisés sont les routeurs filtrants et les passerelles de niveau applicatif. Cette sélection permet de bien distinguer les filtrages de niveaux réseau/transport et transport/applicatif et de se rendre compte de la problématique d’une configuration cohérente de l’ensemble des équipements de filtrage sur une même architecture.

Les passerelles applicatives et filtres de paquets peuvent être utilisés sur différentes architectures de réseau. Trois architectures sont étudiées ici :

• un routeur filtrant et un bastion doté de deux interfaces réseau ;

• un routeur filtrant et un bastion doté d’une interface réseau ;

• deux routeurs filtrants et un bastion doté d’une interface réseau. Cette architecture définit une zone tampon entre les réseaux privé et public bien connue sous le nom de DMZ ou zone démilitarisée.

Le terme bastion désigne ici un équipement sur lequel tournent des passerelles applicatives. Plus précisément, un bastion est le premier équipement auquel ont accès les utilisateurs depuis l’extérieur. Il sert en quelque sorte de bouclier face à des actes malintentionnés. Plusieurs règles sont donc à observer lors de son installation. Le bastion ne doit pas héberger de données sensibles pour éviter qu’une attaque réussie ne se solde par la perte de confidentialité de ces données, voire leur destruction. Il ne doit héberger qu’un nombre minimum d’applications. L’idéal serait de limiter ces applications aux passerelles applicatives. Il faut en effet être conscient que plus les applications sont nombreuses sur le bastion, plus le risque est grand qu’un trou de sécurité (OS, protocole...) existe et soit utilisé par une personne malveillante. En fait, si une instrusion réussit sur le bastion, cette intrusion doit se limiter au bastion et ne pas avoir d’autres désagréments pour l’administrateur du site que de redémarrer le bastion.

• Routeur filtrant et bastion doté de deux interfaces réseau : cette architecture met en jeu un routeur filtrant et un bastion qui dispose de deux accès au réseau. Comme le montre la...