Filtres de paquets
Pare-feu

4.1 Paramètres de filtrage

Le filtrage s’effectue en fonction des informations habituellement trouvées dans l’en-tête des paquets IP [4] :

• les numéros de protocole ;

• les adresses IP source et/ou destination ;

• les numéros des ports source et/ou destination, qui sont intégrés dans le message TCP ou UDP (User Datagram Protocol) ;

• les drapeaux de connexion TCP ;

• d’autres options.

Le filtrage sur les numéros de port permet de faire une sélection en fonction des services utilisés car ils sont généralement associés à des numéros de port TCP ou UDP particuliers. Tous les numéros de port de 0 à 1023 sont réservés tandis que les numéros de port supérieurs à 1024 peuvent être librement utilisés. Le service telnet par exemple peut très bien être filtré en fonction du numéro de port 23 qui lui est attribué, et non en fonction du numéro de port du client telnet puisque celui‐ci porte un numéro de port supérieur à 1024 attribué dynamiquement. Le problème de baser le filtrage sur le numéro de port est qu’un utilisateur peut créer son propre serveur telnet avec un numéro de port supérieur à 1024, ce qui rend le filtrage inefficace.

Le filtrage sur les drapeaux TCP s’effectue le plus souvent sur les drapeaux ACK et SYN. Il permet de se prémunir de l’attaque couramment appelée SYN flooding. Cette attaque consiste à émettre une multitude de messages SYN de demande d’ouverture de connexion TCP. Le serveur destinataire doit retourner, pour chaque message SYN reçu, un message SYN-ACK d’acquittement et conserver dans sa mémoire système l’ensemble des connexions en attente d’un message ACK d’acquittement de la part du client. Plus exactement, la mémoire système est occupée jusqu’à la réception de l’acquittement du client, dans une limite maximale T fixée dans le système. La mémoire système étant de taille finie, l’envoi...