Règles de Firewall. Exemple de configuration ZyXEL Série ZyWALL USG. Mars 2010 / SRU

Transcription

1 Règles de Firewall Exemple de configuration ZyXEL Série ZyWALL USG Mars 2010 / SRU

2 DEFINIR ET CONFIGURER LES REGES DE FIREWALL Mode de fonctionnement Les règles de firewall sont traitées par le ZyWALL USG dans l ordre de priorité. Dès que le transfert d un paquet de données correspond aux critères d une règle, leurs instructions sont suivies pour le transfert. Il est aussi possible de déterminer si le blocage ou l acceptation du transfert doit être enregistré dans le fichier log. Avec Enable Firewall, le firewall peut être désactivé. Cette option est très utile pour la recherche d erreur. Pendant la production, il n est pas conseillé de désactiver le firewall. Aussi, le firewall ne crée plus d entrée dans le log. On peut limiter l affichage des règles en choisissant From Zone et To Zone. Pour traiter les règles de firewall, les options suivantes sont disponibles : Ajoute une nouvelle règle derrière le choix. Edite une règle. Supprime les règles choisies. Active les règles choisies. Désactive les règles choisies. Déplace une règle. 2 Règles de firewall

3 Configuration de base L aperçu suivant montre les règles standard qui sont préconfigurées dans les paramètres d usine. L affichage est classé selon la priorité, le traitement se passe ainsi du haut vers le bas (principe du Top Down). Dans les paramètres de base, diverses directions sont bloquées ou acceptées selon les zones et l objectif de leur utilisation. Si aucune règle ne convient, c est la règle par défaut qui prend en charge le trafic. Celle-ci est marquée par allow, qui fait que chaque direction de transmission est acceptée, sans règle explicite de blocage. Indication : En effaçant des règles supposées inutiles, il peut se créer des trous dans la liste des règles! 3 Règles de firewall

4 Schéma de configuration alternatif La configuration suivante part du principe que la règle de base est déjà paramétrée sur bloquer. Ainsi, le firewall serait encore sûr si toutes les règles éditables étaient supprimées. Si toutefois la règle par défaut est modifiée sans autres règles de base valables, il est possible que le firewall et l accès à Internet ne fonctionnent plus. Créez trois règles de base : Règle 1 : Règle 2 : Règle 3 : From WAN to ZyWALL Default_Allow_WAN_To_ZyWALL From LAN1 to ZyWALL any From LAN1 to WAN any Règle 1 : Règle 2 : Règle 3 : Défaut : La première règle autorise la communication de services de base entre le WAN et le ZyWALL. Il s agit de services comme AH, ESP, HTTPS, IKE, NATT et VRRP, qui sont résumés dans le groupe Default_Allow_WAN_To_ZyWALL. Il est nécessaire d utiliser HTTPS pour le login chiffré et d autres protocoles tels que AH, ESP, IKE pour l établissement de connexions VPN. La deuxième règle sert à l administration et autorise l accès à l interface Web à partir du LAN. Il faut impérativement configurer cette règle avant de modifier les règles par défaut sur deny! Permet l établissement de la connexion à partir du LAN1 vers le WAN, et ainsi l accès à Internet. Configurée sur deny, la Default-Regel bloque tout transfert de données pour lequel aucune règle d exception n a été définie. 4 Règles de firewall

5 Autres règles souvent nécessaires : VPN IPSEC From: any To: IPSec_VPN Du site A vers le tunnel VPN From: IPSec_VPN To: any Du tunnel VPN vers le site A From: IPSec_VPN To: ZyWALL Accès au ZyWALL via le tunnel VPN VPN SSL From: any To: SSL_VPN Du site A vers le tunnel VPN From: SSL_VPN To: any Du tunnel VPN vers le site A From: SSL_VPN To: ZyWALL Accès au ZyWALL via le tunnel VPN Zone DMZ From: LAN To: DMZ Accès du LAN vers la DMZ From: DMZ To: ZyWALL Accès au ZyWALL à partir de la DMZ Le paramétrage sur any est très général. Il est possible de déterminer le degré de détail. Pour cela, utilisez les objets d adresse prédéfinis ou créez de nouveaux objets selon vos propres besoins. 5 Règles de firewall

6 DESACTIVER LE FIREWALL PAR LE BIAIS DE LA CONSOLE SERIE Si une règle qui définit l accès d administration au firewall est supprimée ou paramétrée sur bloquer, il n est plus possible d accéder à l appareil par le biais d une connexion réseau et d annuler le paramétrage. Par le biais de la console série, il est possible de désactiver complètement le firewall. Pour cela, connectez-vous sur l appareil à l aide d un programme terminal (par exemple HyperTerminal). Les valeurs de connexion sont 115k, 8 bits de données, pas de parité, un bit d arrêt, pas de contrôle de flux (115k, 8, n, 1, n). Après la connexion, les commandes configure terminal et no firewall activate désactivent le firewall. La double saisie de exit termine la session de configuration. Le paramétrage par le biais de la console correspond à l option Enable Firewall dans l interface Web. Après avoir retravaillé les règles de firewall, le firewall peut désormais être réactivé. 6 Règles de firewall