Étude de cas
Mise en œuvre d’un pare-feu gratuit à base d’IP Filter

3.1 Détails de l’architecture

Dans cette architecture, les besoins à satisfaire sont :

• permettre aux stations de travail (sur le segment 10.0.0.0/24) d’aller sur Internet, mais aussi d’accéder aux machines dans la DMZ en 192.168.250.0/24 pour relever leur courrier ;

• lorsque les stations de travail surfent sur Internet, leurs flux doivent être redirigés vers un proxy HTTP transparent pour économiser la bande passante et bloquer les sites non autorisés ;

• il doit être possible depuis Internet de se connecter sur le serveur Web ;

• tout le courrier envoyé vers l’entreprise (ou le particulier) arrive sur le serveur de messagerie ;

• il est possible de consulter la messagerie depuis Internet via un protocole POP ou IMAP chiffré en SSL.

3.2 Jeu de règles de translation d’IP Filter

Compte tenu que l’on ne dispose que d’une seule adresse IP sur Internet, celle du pare-feu, différentes règles de translation doivent être mises en place :

• le réseau d’entreprise doit être masqué d’Internet en une seule adresse IP, celle du pare-feu ;

• les serveurs qui sont accessibles d’Internet doivent pouvoir être atteints par ce réseau à travers l’adresse du pare-feu, nécessitant une translation des ports des services réseaux concernés.

De plus, l’ordre des règles est important car, par exemple, la redirection vers le proxy doit se faire avant la translation d’adresse vers Internet. Le fichier /etc/ipnat.rules pour l’architecture contient alors :