TARMAC.BE TECHNOTE #1

Transcription

1 TARMAC.BE C O N S U L T I N G M A I N T E N A N C E S U P P O R T TECHNOTE #1 Firewall, routeurs, routage et ouverture de ports, raison d être d un routeur comme protection, connexions wi-fi & airport, protection d accès.

2 Finalité La finalité de ce tutorial est d expliquer simplement à des utilisateurs de base ce qu est un routeur, un firewall, une connexion internet, ce que signifie router des ports, comment ils peuvent se protéger des tentatives d intrusion qui sont nombreuses, que signifie TCP/IP, DHCP et autres acronymes. Diverses ressources online seront mises à disposition sous la forme de liens internet. Finalement, vous serez capable de configurer votre routeur/firewall pour les fonctions les plus courantes, et mettre ainsi vos données à l abri. Vous pourrez aussi faire vite la différence entre ma machine a un problème et mon fournisseur d accès internet est planté... Jean-Luc Maréchal

3 Métaphores La situation est la suivante: deux mondes à mettre en connexion, internet et votre machine. Comme la rue et votre maison, par le biais de la porte d entrée... Cette porte d entrée possède une adresse, dans le genre pays, ville, rue, numéro, un peu comme une adresse IP qui pourrait être , qui vous est attribuée par votre founisseur d accès internet; cette porte possède une serrure: c est le mot de passe. Cette porte possède aussi des boîtes aux lettres, mais seulement quelques-unes laissent entrer le courrier. Seules les personnes adultes peuvent recevoir du courrier. Par ailleurs, le courrier destiné à votre petite fille de cinq ans vous est ROUTÉ, on doit le glisser dans votre boîte. C est le firewall qui interdit l entrée de courrier dans la boîte de votre fille, et c est le routeur qui le dirige vers la vôtre. Sur cette porte, il y a une sonnette, qui permet de savoir s il y a quelqu un. Mais, heureusement, on peut s arranger pour rendre toute la porte invisible... C est cette situation que vous allez apprendre à gérer, en configurant correctement votre routeur/firewall.

4 TCP/IP Voici donc le tableau de bord réseau / ethernet / tcp/ip de votre Mac. La connexion est confi gurée en DHCP comme souvent, et cela signifi e que le Mac demande une adresse IP au routeur ou au modem auquel il est connecté. Plusieurs cas de fi gures peuvent exister: - vous avez une adresse IP fi xe que vous payez au FAI. C est donc toujours elle qui vous est attribuée. - routeur: il vous attribue une adresse dans une des classes réservées ( / / ) pour les réseaux locaux. - modem adsl ou câble: le serveur DHCP du FAI regarde si la MAC Address de votre Mac est connue, si oui il vous attribue une adresse IP dans les classes qui lui sont réservées. Si votre Mac vous dit qu il possède une adresse IP auto-attribuée, vous avez un problème.

5 MAC Address La MAC Address (Media Access Control), sur un Mac, se nomme ID Ethernet, ou encore Hos- tid. Elle est unique à votre carte ethernet. C est la raison pour laquelle, avec les modems câble, il faut prévenir le FAI (Télédisnet par exemple) lorsqu on change de machine, puisque la MAC Address ne saurait être la même. Cette caractéristique est par ailleurs souvent utilisée par les éditeurs de logiciels pour lutter contre le piratage: ils fournissent une clé cryptée, logicielle, calculée d après la MAC Address. La seule façon de connecter plus d une machine au web est donc de mettre un routeur, qui va clôner la MAC Address connue du FAI et qui sera la seule visible.

6 Services Les Services sont des programmmes qui tournent en tâche de fond et qui ne possèdent pas d interface utilisateur (fenêtres, menus etc) mais simplement un tableau de bord destiné au paramétrage du service en question. Les services les plus courants sur Mac sont l AFP (partage de fi chiers Mac), FTP (Accès FTP), Apple Remote Desktop, HTTP (Partage web personnel). Pour que ces services soient accessibles par des tiers, il faut d une part qu ils soient activés, mais encore que les ports qu ils utilisent soient ouverts. C est la raison d être du fi rewall, ou coupe-feu...

7 Firewall Un fi rewall autorise une requête à utiliser un port afi n d arriver à l application ou le service qui est capable de la traiter. Les ports utilisables sont au nombre de 2 16 soit ports TCP, et ports UDP. Exemple: une machine distante veut se connecter en FTP sur votre machine pour y déposer un fi chier. La requête va donc ressembler à: ftp://ftp.tarmac.be...et comme la requête commence par ftp, le Mac sait qu il s agit du port 21, qui doit donc être ouvert. Si le service FTP a été activé, alors le port 21 est automatiquement ouvert par MacOS X. Si vous utilisez Acquisition par exemple, vous avez intérêt à ouvrir les ports 6881 & 6346 pour augmenter les résultats de recherche, afi n que la recherche ait lieu aussi sur Gnutella & Bit- Torrent.

8 DLink DI-624+ Routeur/Firewall Wifi Voici un exemple précis, applicable au monde Mac comme au monde PC, puisque les Macs sous Intel exécutent Windows maintenant... Il s agit simplement de l administration du routeur, au travers de quelques écrans. A toutes fins utiles, voici un descriptif du D-Link DI-624+: h t t p : / / w w w. l d l c. b e / f i c h e / PB html

9 DLink Status La partie LAN concerne le réseau local, et on voit que l adresse IP du routeur est , cette adresse est donc le Gateway ou Passerelle. Le masque de sous-réseau est classiquement (on verra plus tard...). Le serveur DHCP du routeur est activé, donc il distribue des adresses aux machines connectées. (apple.com) avec une adresse IP ( ). La partie WAN (Wide Area Network) montre que le routeur est connecté à internet, possède une adresse IP externe, une passerelle chez le FAI et un masque de sous-réseau attribué par ce dernier. Le FAI transmet aussi les DNS (Domain Name Servers) qui permettent de relier l URL d un site Vous pouvez connaître votre adresse IP externe en tapant: dans Safari.

10 DLink Services routés Voici quelques exemples de routage de ports... Par exemple, on peut voir les deux lignes AFP au mileu, qui ouvrent les ports pour que le partage de fi chiers Mac puisse circuler de l extérieur vers la machine possédant l adresse IP locale Après avoir paramétré quoi que ce soit sur un routeur, n oubliez jamais de le redémarrer pour être sûr que les modifi cations soient prises en compte et activées. Quels ports correspondent à quoi? Tout simple: html?artnum=106439

11 DLink Zone DMZ Mettre une, et une seule, machine en zone Démilitarisée la positionne avant le fi rewall et le routage, c est-à-dire en direct sur le web. C est utile si votre Mac a plusieurs services activés et que vous ne souhaitez pas router beaucoup de ports au niveau du routeur. Cette façon de faire ne pose pas de problème avec un Mac, car le fi rewall de MacOS X est vraiment très solide. Par contre, ne faites jamais cela avec un PC, ou encore avec un Mac Intel sous Windows, car vous serez très vite la cible de tentatives d intrusion qui souvent réussiront. Dans le cas des PC d ailleurs, je conseille toujours de mettre un routeur/fi rewall entre le modem et le PC, même s il n y a qu une seule machine.

12 Masque de sous-réseau Le masque de sous-réseau que vous utiliserez chez vous sera en général parce que vous possédez un petit nombre de machines, et vous souhaitez pouvoir les voir toutes sur votre réseau. Dans une entreprise, il est souvent utile que les machines du département technique ne voient pas par exemple les machines de la comptabilité ou même les autres. Cela permet de limiter l accès à ce qui est réellement utile, et aussi de freiner les abus... Le masque de sous-réseau sert donc à masquer à une ou des machines celles qui ne font pas partie de leur groupe, tout simplement. Parfois, les Macs initialisent certaines connexions TCP/IP, par exemple avec une imprimante connectée en ethernet, avec un masque de sous-réseau de et c est évidemment une erreur. Vous devrez le remmplacer par le masque pour que la connexion fonctionne.

13 Wifi & Airport La technologie Wifi satisfait aux même règles que les connexions ethernet: adresse IP, masque, passerelle etc. A cela s ajoutent le canal d émission, la protection d accès, la restriction d accès, le taux de transfert utilisé. - le canal choisi est souvent le résultat d essais après problème; il n y a pas de règle; - la protection d accès revient à mettre un mot de passe sur la connexion. Lors de la première connexion, le Mac demandera ce mot de passe et proposera de le stocker; - la restriction d accès limite la connexion à une ou plusieurs MAC Address connues du routeur. En clair, il faudra voler votre portable pour pouvoir se connecter; - votre portable Mac se connecte en Airport à 54 MBps par exemple; règlez votre routeur pour qu il n accepte de dialogue initial qu à ce taux de transfert. Le portable qui cherche à se connecter doit utiliser cette vitesse. En résumé: pour pouvoir se connecter, l utilisateur devra avoir un portable qui a votre MAC Address, votre vitesse, votre mot de passe: pas simple pour un amateur...

14 Questions & Réponses