Sommaire :Présentation de l'outil d'administration Web Utilisation de l'assistant de connexion Sécurité > |
Guide de l'utilisateur pour l'USR8200 Firewall/VPN/NAS
SécuritéLa suite de sécurité de l'USR8200 Firewall/VPN/NAS comporte des services de sécurité exhaustifs et fiables : pare-feu SPI (Stateful Packet Inspection ou Inspection contextuelle des paquets), protocoles d'authentification d'utilisateur et mécanismes de protection par mot de passe. Ces fonctionnalités combinées permettent aux utilisateurs de connecter leurs ordinateurs à Internet tout en étant protégés des menaces informatiques. Le pare-feu constitue la base de la suite de sécurité de l'USR8200 Firewall/VPN/NAS. Ce pare-feu a été spécialement conçu pour répondre aux besoins des utilisateurs à domicile et pré-configuré pour offrir une sécurité optimale. De plus, le pare-feu comporte de nombreuses fonctionnalités avancées qui vous permettent de le personnaliser en fonction de vos besoins. Les écrans d'administration de la section Security (Sécurité) vous permettent de :
Configuration du niveau de sécuritéL'écran Security Settings (Paramètres de sécurité) vous permet de configurer les paramètres de sécurité essentiels de l'USR8200 Firewall/VPN/NAS. Le pare-feu régule le flux de données entre le réseau domestique et Internet. Les données entrantes et sortantes sont inspectées, puis acceptées ou rejetées en fonction d'un ensemble de règles flexible et configurable. Ces règles sont conçues pour empêcher les intrusions tout en permettant aux utilisateurs du réseau domestique d'accéder aux services Internet dont ils ont besoin. Les règles du pare-feu précisent quels types de services Internet sont accessibles à partir du réseau domestique et vice-versa. Chaque demande de service reçue par le pare-feu, qu'elle provienne d'Internet ou d'un ordinateur du réseau domestique, doit être confrontée aux règles du pare-feu afin de déterminer si elle peut être autorisée à passer. Si la demande est autorisée à passer, toutes les données consécutives qui lui sont associées (au cours d'une même session) seront également autorisées, que ce soit en direction du réseau domestique ou d'Internet. Par exemple, lorsque vous souhaitez accéder à une page Web à partir de votre navigateur, une demande est envoyée sur Internet. Lorsque la demande atteint l'USR8200 Firewall/VPN/NAS, le pare-feu identifie son type et son origine (dans ce cas, HTTP et un ordinateur spécifique de votre réseau domestique). Si vous n'avez pas configuré le contrôle d'accès de façon à bloquer les demandes de ce type effectuées à partir de cet ordinateur, le pare-feu permettra à la demande de passer sur Internet. Lorsque la page Web est fournie par le serveur Web, le pare-feu l'associe à cette session et l'autorise à passer, que l'accès HTTP d'Internet au réseau domestique soit permis ou pas. Il est important de savoir que c'est l'origine de la demande, et non les réponses consécutives à cette demande, qui détermine si une session peut être établie ou pas. Vous avez le choix entre trois niveaux de sécurité prédéfinis pour l'USR8200 Firewall/VPN/NAS : Minimum, Typical (Normal, paramètre par défaut) et Maximum. Le tableau ci-après résume le comportement de l'USR8200 Firewall/VPN/NAS pour chacun de ces trois niveaux de sécurité. Notez que les écrans Access Control (Contrôle d'accès), Local Servers (Serveurs locaux) et Remote Access (Accès distant) permettent une personnalisation supplémentaire des paramètres de sécurité de la passerelle.
Ajout de contrôles d'accès
Ces services sont Telnet, FTP, HTTP, HTTPS, DNS, IMAP, POP3 et SMTP. Pour configurer les paramètres de sécurité de l'USR8200 Firewall/VPN/NAS :
Remarque : les VPN basés sur IPSec et certains services basés sur UDP utilisent légitimement les fragments IP. Pour utiliser ces services particuliers, vous devrez permettre le passage des fragments IP sur votre réseau domestique.
Remarque : si vous choisissez le niveau de sécurité minimum, votre réseau domestique sera exposé à des risques informatiques considérables. Ce niveau ne doit être utilisé que si cela est vraiment nécessaire et pendant une courte durée. Il peut arriver que vous souhaitiez empêcher certains ordinateurs du réseau domestique (ou même de l'ensemble du réseau) d'accéder à certains services sur Internet. Par exemple, vous pouvez interdire à un ordinateur de surfer sur le Web, à un autre de transférer des fichiers via FTP, et à l'ensemble du réseau de recevoir des e-mails. Les contrôles d'accès fonctionnent en plaçant des restrictions sur les types de demandes pouvant passer du réseau domestique à Internet. Ainsi, le trafic peut être bloqué dans les deux directions. Dans l'exemple ci-dessus, vous pouvez empêcher les ordinateurs du réseau domestique de recevoir des e-mails en bloquant leurs demandes à destination des serveurs POP3 sur Internet.
Cliquez sur le bouton Access Control (Contrôle d'accès) pour afficher la liste des services auxquels l'accès a été restreint. Pour ajouter un ou plusieurs services au tableau de contrôle d'accès :
Pour changer les ordinateurs qui ne sont pas autorisés à accéder à un service particulier, modifiez les entrées correspondantes dans le tableau de contrôle d'accès. Pour modifier une entrée dans le tableau de contrôle d'accès :
Pour désactiver un contrôle d'accès et rendre un service disponible, il n'est pas indispensable de le supprimer du tableau. Ainsi, vous pouvez rendre le service disponible provisoirement et rétablir l'interdiction plus tard.
Services définis par l'utilisateurLes tableaux qui apparaissent sur les écrans Add Access Control Rules (Ajouter des règles de contrôle d'accès) et Add Local Servers (Ajouter des serveurs locaux) sont pré-configurés de façon à inclure la plupart des services que les utilisateurs souhaiteront bloquer ou activer. Il peut arriver, cependant, qu'il soit nécessaire d'ajouter un service prédéfini supplémentaire. Pour cela, l'USR8200 Firewall/VPN/NAS permet d'utiliser une liste de services définis par l'utilisateur. Tous les services de cette liste apparaissent également en haut des écrans Add Access Control Rules (Ajouter des règles de contrôle d'accès) et Add Local Servers (Ajouter des serveurs locaux). Lorsque vous ajoutez un service à une liste, il apparaît automatiquement dans les autres. Ainsi, il n'est pas nécessaire de saisir plusieurs fois les services définis par l'utilisateur. Pour ajouter un nouveau service à la liste :
La définition de ce service est à présent terminée. Vous pouvez vous rendre aux écrans Add Access Control Rules (Ajouter des règles de contrôle d'accès) ou Add Local Servers (Ajouter des serveurs locaux) pour le bloquer ou l'activer.
Pour modifier un service défini par l'utilisateur qui se trouve déjà dans la liste :
Pour supprimer un service de la liste, cliquez sur le bouton Remove (Supprimer) de ce service. Le service est alors supprimé de la liste. Serveurs locauxPar défaut, l'USR8200 Firewall/VPN/NAS empêche tous les utilisateurs extérieurs de se connecter à votre réseau ou de communiquer avec lui. Le système est ainsi protégé des pirates qui pourraient tenter de s'introduire sur le réseau et de l'endommager. Cependant, dans certains cas, vous devrez rendre votre réseau accessible à partir d'Internet de façon limitée et contrôlée afin de permettre à certaines applications de fonctionner à partir du LAN (jeux, applications vocales ou messagerie instantanée, par exemple) et pour établir des serveurs sur le réseau domestique. La fonctionnalité de serveurs locaux prend ces deux aspects en charge. L'écran Local Servers (Serveurs locaux) de la console d'administration offre une liste des applications les plus fréquemment utilisées qui nécessitent un traitement spécial de l'USR8200 Firewall/VPN/NAS. Il vous suffit d'identifier celles que vous souhaitez utiliser et l'adresse IP locale de l'ordinateur attribuée pour ce service. Par exemple, pour utiliser l'application vocale Net2Phone sur l'un de vos ordinateurs, il vous suffit de sélectionner ce service dans la liste et de saisir l'adresse IP locale de cet ordinateur dans la colonne de droite. Par la suite, toutes les données relatives à Net2Phone qui arriveront à l'USR8200 Firewall/VPN/NAS depuis Internet seront transmises à l'ordinateur spécifié. De même, si vous souhaitez autoriser les utilisateurs d'Internet à accéder à des serveurs au sein de votre réseau domestique, vous devez identifier chaque service à fournir et l'ordinateur qui permettra d'y accéder. Par exemple, si vous souhaitez héberger un serveur Web au sein du réseau domestique, vous devez sélectionner HTTP Web Server (Serveur Web HTTP) dans la liste et saisir l'adresse IP locale de l'ordinateur hôte dans la colonne de droite. Par la suite, lorsqu'un utilisateur d'Internet pointera vers l'adresse IP externe de l'USR8200 Firewall/VPN/NAS à l'aide de son navigateur, la passerelle transmettra la demande http entrante à l'ordinateur qui héberge le serveur Web. Si une application Internet que vous souhaitez utiliser ou un service que vous souhaitez proposer n'est pas encore dans la liste, vous pouvez facilement l'ajouter.
Cliquez sur le bouton Local Servers (Serveurs locaux) pour afficher la liste des services spéciaux et des serveurs locaux qui sont actuellement activés sur le réseau domestique. Pour ajouter un nouveau service à la liste de serveurs locaux actifs :
Pour ajouter un service qui ne figure pas dans la liste, cliquez sur le bouton User Defined Services (Services définis par l'utilisateur). L'écran Edit Service (Modifier un service) s'affiche. Définissez le service, puis cliquez sur OK pour enregistrer vos modifications. Le service sera alors ajouté automatiquement en haut de l'écran Add Local Servers (Ajouter des serveurs locaux). Vous pouvez désormais sélectionner le service comme s'il avait été prédéfini.
Désignation d'un hôte DMZ (Zone démilitarisée)La fonctionnalité d'hôte DMZ permet d'autoriser l'accès à un ordinateur local à partir d'Internet. Désignez un hôte DMZ lorsque :
Attention : l'hôte DMZ n'est pas protégé par le pare-feu et peut-être exposé à des attaques. Si vous désignez un hôte DMZ, cela peut également constituer un risque pour les autres ordinateurs de votre réseau domestique. Lorsque vous désignez un hôte DMZ, vous devez tenir compte des risques encourus et prendre des mesures de protection si besoin est. Une demande entrante d'accès à un service se trouvant sur le réseau domestique, par exemple à un serveur Web, est indexée par l'USR8200 Firewall/VPN/NAS. L'USR8200 Firewall/VPN/NAS va transmettre cette demande à l'hôte DMZ (s'il en existe un) à moins que le service ne soit fourni par un autre ordinateur du réseau domestique (affecté au niveau des serveurs locaux), auquel cas c'est l'ordinateur qui recevra la demande. Pour désigner un ordinateur local comme hôte DMZ :
Déclenchement des portsLe déclenchement des ports peut servir à configurer le transfert dynamique de port. En définissant des règles de déclenchement de port, vous autorisez le trafic entrant à arriver jusqu'à un hôte spécifique du LAN en utilisant des ports différents de ceux servant au trafic sortant. Cette opération est appelée déclenchement de port car c'est le trafic sortant qui déclenche le renvoi du trafic entrant vers l'hôte LAN. Imaginons par exemple que vous avez un serveur de jeux auquel vous accédez à l'aide du protocole TCP par le port 2222. Le serveur de jeux répond et vous connecte en utilisant le TCP sur le port 3333 pour que vous puissiez commencer votre session de jeu. Dans un tel cas, vous devez utiliser la fonction de réexpédition par un port différent puisque ce scénario est en conflit avec le paramètre par défaut suivant du pare-feu :
Pour résoudre ce problème, vous devez définir une entrée de déclenchement des port qui permettra au trafic d'entrer sur le port 3333 TCP, mais seulement après que l'hôte LAN aura généré le trafic sur le port 2222 TCP. Il en résulte que le trafic entrant provenant du serveur de jeux sera accepté et renvoyé vers l'hôte LAN ayant envoyé le trafic sortant vers le port 2222. Définition du déclenchement des portsCette section explique comment définir une entrée de déclenchement des ports. Les valeurs d'entrée correspondent à l'exemple de jeu présenté dans la section précédente. 1. Cliquez sur l'icône de sécurité de la barre de gauche. 2. Cliquez sur l'onglet Port Triggering (Déclenchement des ports) de l'écran de sécurité. L'écran Port Triggering (Déclenchement des ports) s'affiche. Cet écran présente la liste de toutes les entrées de déclenchement des ports. 3. Cliquez sur New Entry (Nouvelle entrée) pour ajouter une entrée. 4. Cliquez sur New User-Defined Service (Nouveau service défini par l'utilisateur) pour ajouter une entrée. 5. Précisez les entrées de déclenchement des ports suivantes dans les champs New Triggering Ports (Nouveaux ports de déclenchement) et New Incoming Ports (Nouveaux ports entrants), respectivement, puis cliquez sur OK :
Une fois ces deux entrées tapées, cliquez sur OK. Cochez la case du nouveau service à l'écran Add Port Triggering Rule (Ajouter une règle de déclenchement des ports) et cliquez sur OK. 6. Assurez-vous que la case du nouveau service est cochée à l'écran Port Triggering (Déclenchement des ports) afin que le réacheminement des ports soit activé. Il se peut que quelques règles de déclenchement des ports par défaut figurent sur l'écran de déclenchement des ports lorsque vous y accèderez pour la première fois. Veuillez noter que le fait de désactiver ces règles risque d'affecter négativement le fonctionnement de l'USR8200 Firewall/VPN/NAS.
Contrôle de l'accès à distance à l'USR8200 Firewall/VPN/NAS Il est possible d'accéder à l'USR8200 Firewall/VPN/NAS et de le contrôler non seulement au sein du réseau domestique mais également à partir d'Internet. Cela vous permet d'afficher ou de modifier les paramètres lorsque vous êtes en déplacement. Par ailleurs, votre FAI peut ainsi modifier les paramètres ou vous aider à dépanner des fonctionnalités ou à résoudre des problèmes de communication à partir d'un site distant. L'accès à distance à l'USR8200 Firewall/VPN/NAS est bloqué par défaut pour garantir la sécurité de votre réseau domestique. Cependant, l'accès à distance est pris en charge par les services ci-après, et vous pouvez utiliser l'écran Remote Access Configuration (Configuration par accès à distance) pour les activer si besoin est.
Pour autoriser l'accès aux services de l'USR8200 Firewall/VPN/NAS depuis un site distant :
Filtrage IP/Nom d'hôteVous pouvez configurer l'USR8200 Firewall/VPN/NAS de façon à bloquer certains sites Web et les rendre inaccessibles aux ordinateurs du réseau domestique. Par ailleurs, des restrictions peuvent s'appliquer à une liste complète, automatiquement mise à jour, de sites auxquels l'accès est déconseillé.
Pour ajouter un nouveau site Web à la liste : L'écran Restricted IP Address (Adresse IP interdite) ou Hostname (Nom d'hôte) s'affiche. 2. Saisissez l'adresse du site Web (IP ou URL) que vous souhaitez rendre inaccessible à partir de votre réseau domestique (toutes les pages Web du site seront également bloquées). Si ce site Web a plusieurs adresses IP, l'USR8200 Firewall/VPN/NAS les retrouvera et les ajoutera automatiquement à la liste des interdictions. Précisez si vous voulez que cette interdiction s'applique à tout le réseau local ou seulement à un ordinateur précis du réseau. Vous pouvez également cliquer sur New (Nouveau) dans la ligne Schedule (Programme) et taper le nombre de fois où la règle s'appliquera. Une fois que vous avez fini de créer une interdiction, cliquez sur OK. 3. Vous reviendrez à l'écran précédent pendant que l'USR8200 Firewall/VPN/NAS tente de trouver le site. Le terme Resolving... (Recherche en cours) s'affichera dans la colonne Status (Etat) pendant la localisation du site (l'URL est traduite en une ou plusieurs adresses IP). 4. Si le site est localisé, le terme Resolved (Résolu) s'affiche dans la barre d'état. Sinon, c'est le terme Error (Erreur) qui apparaît. Si besoin est, cliquez sur le bouton Refresh (Actualiser) pour mettre à jour l'état. Si l'USR8200 Firewall/VPN/NAS ne parvient pas à localiser le site Web, procédez de la façon suivante :
Pour modifier une adresse de site Web actuellement dans la liste : 1. Cliquez sur le bouton Edit (Modifier) situé dans la colonne Action. L'écran Restricted IP Address (Adresse IP interdite) or Hostname (Nom d'hôte) s'affiche. 2. Modifiez l'adresse du site Web si nécessaire. Si elle est longue et/ou complexe, vous pouvez la copier à partir du champ d'adresse puis la coller dans la console d'administration. N'incluez pas la partie « http:// » au début, ni la barre oblique « / » à la fin de l'adresse. 3. Cliquez sur le bouton OK pour enregistrer vos modifications. Pour vous assurer que toutes les adresses IP de la liste des sites Web sont bloquées, cliquez sur Resolve Now (Retrouver maintenant). L'USR8200 Firewall/VPN/NAS vérifiera chacune des adresses de sites Web de la liste et s'assurera que toutes les adresses IP permettant d'accéder à un site sont incluses dans la colonne correspondante. Vous pouvez désactiver une interdiction et rendre le site Web à nouveau disponible sans qu'il soit nécessaire de le supprimer de la liste. Ainsi, vous pouvez rendre le site Web accessible provisoirement et rétablir l'interdiction plus tard.
Filtrage avancéLe filtrage avancé est conçu pour permettre un contrôle exhaustif du comportement du pare-feu. Vous pouvez définir des règles spécifiques d'entrée et de sortie, contrôler l'ordre d'ensembles de règles ayant une logique similaire et faire la distinction entre celles qui s'appliquent aux périphériques réseau WAN et LAN. Pour accéder à l'écran Advanced Filtering (Filtrage avancé), cliquez sur l'icône Security (Sécurité) de la barre latérale pour afficher les fonctionnalités de sécurité, puis sur le bouton Advanced Filtering (Filtrage avancé). L'écran Advanced Filtering (Filtrage avancé) s'affiche. Vous pouvez configurer deux ensembles de règles : entrée (Input) et sortie (Output). Chaque ensemble de règles se compose de trois sous-ensembles : règles initiales, règles des périphériques réseau et règles finales. Ceux-ci déterminent l'ordre dans lequel les règles s'appliqueront. Pour configurer les règles de filtrage avancées, cliquez sur le bouton Edit (Modifier) accolé au nom de la règle, ou cliquez directement sur ce nom. L'écran Configure Rules (Configuration des règles) présente alors les entrées constituant actuellement le sous-ensemble de règles que vous avez sélectionné. Cliquez sur le bouton Edit (Modifier) accolé à une entrée ou cliquez directement sur l'entrée, ou encore cliquez sur New Entry (Nouvelle entrée) pour passer à l'écran Add Advanced Filter (Ajouter un filtre avancé). Ajout d'une règle de filtrage avancéPour ajouter une règle de filtrage avancé, définissez soigneusement les paramètres suivants : Matching (Association) Opération
Logging (Journal) Services Journal de sécuritéLe journal de sécurité présente une liste d'événements liés au pare-feu : tentatives d'établir des connexions entrantes et sortantes, tentatives d'authentification dans une interface d'administration (Administration Web ou terminal Telnet), configuration du pare-feu et démarrage du système. Pour afficher le journal du pare-feu, cliquez sur le bouton Firewall Log proposé à l'écran Security Settings (Paramètres de sécurité). Les événements et types d'événements suivants sont automatiquement enregistrés dans le journal du pare-feu : Inbound/Outbound Traffic (Trafic entrant/sortant)
Firewall Setup (Configuration du pare-feu)
WBM Login (Connexion à l'outil d'administration Web)
Telnet Login (Connexion à Telnet)
System Up/Down (Démarrage/arrêt du système)
S'affiche uniquement pour le trafic entrant. Vous pouvez choisir des activités supplémentaires à enregistrer dans le journal du pare-feu à partir de l'écran Firewall Log Settings (Paramètres du journal du pare-feu). Pour chaque type d'activité, vous pouvez choisir d'afficher les messages associés aux tentatives acceptées (Accepted), bloquées (Blocked) ou les deux. Pour afficher/modifier les paramètres du journal du pare-feu :
Administration locale sécuriséeVous pouvez vous connecter directement à l'USR8200 Firewall/VPN/NAS afin d'accomplir vos tâches d'administration locale. Pour ce faire, vous devez établir une connexion PPPoS (PPP over Serial) entre l'hôte d'administration et l'USR8200 Firewall/VPN/NAS. Pour accomplir vos tâches d'administration locale via une connexion PPPoS, procédez comme suit :
Lancement de clients PPP sur Linux Pour lancer un client PPP sur un hôte Linux, saisissez la ligne suivante :
A la ligne précédente, saisissez les informations suivantes : SERIAL_DEV_NAME : nom du périphérique en série
sur l'ordinateur Linux, par exemple : /dev/ttyS1
Lancement de clients PPP sur Windows Pour lancer un client PPP sur Windows XP, vous devrez installer un pilote NULL modem. Procédez de la façon suivante :
|