Listes de contrôle d'accès étendues pour les zones DMZ (zones démilitarisées) simples

TP : Listes de contrôle d'accès étendues pour les zones DMZ (zones démilitarisées) simples

Objectif

Au cours de ce TP, vous apprendrez à utiliser des listes de contrôle d'accès étendues pour créer une zone DMZ (ou zone démilitarisée) simple.

Scénario

La BMTC est une petite entreprise de fabrication située à Gadsden, qui a décidé de faire connaître ses produits via Internet. Ses besoins immédiats consistent donc à assurer la promotion de ses produits auprès des clients potentiels au moyen de présentations, de rapports et de témoignages concernant les produits. Ses besoins futurs peuvent impliquer la mise en œuvre de services de commerce électronique en ligne, de courrier électronique, FTP et DNS.

L'entreprise vous a donc engagé pour concevoir et configurer une infrastructure réseau sécurisée qui répond à ses besoins internes et externes en la matière, tout en respectant ses impératifs financiers, en d'autres termes : la sécurité à bas coût.

Après une analyse minutieuse, vous proposez de créer une architecture sécurisée à deux niveaux composée d'une zone réseau d'entreprise et d'une zone DMZ (zone démilitarisée). La zone réseau d'entreprise hébergera les serveurs privés et les clients internes. La zone DMZ accueillera un seul serveur externe fournissant des services Web. Il est vrai que ce serveur représente un point de

défaillance unique mais le service associé est uniquement informatif et n’est en aucun cas d’une importance capitale.

L'entreprise accepte votre proposition et conclut un contrat avec vous. Étape 1 Configuration de base des routeurs et des hôtes

a. Connectez les routeurs et les hôtes comme indiqué dans le schéma. Définissez tous les paramètres de base des routeurs : nom d'hôte, interface et protocole de routage notamment. Utilisez le schéma et les tableaux ci-dessus à titre de référence.

La configuration de chaque routeur doit être similaire à celle-ci :

GAD#show running-config

!

hostname GAD

!

interface FastEthernet0

ip address 10.1.1.1 255.255.255.0

!

interface Serial0

ip address 172.16.1.2 255.255.255.0

!

interface FastEthernet1

ip address 10.10.10.1 255.255.255.0

!

router rip

network 10.0.0.0

network 172.16.0.0

! GAD#

ISP#show running-config

!

hostname ISP

!

interface FastEthernet0

ip address 172.16.2.1 255.255.255.0

!

interface Serial0

ip address 172.16.1.1 255.255.255.0

!

router rip

network 172.16.0.0

!

ISP#

1. Configurez les hôtes en utilisant les informations appropriées définies précédemment.
2. Pour que ce TP soit plus réaliste, installez un logiciel de serveur Web sur l'hôte serveur Web, par exemple Microsoft IIS ou Microsoft Personal Web Server (Windows 98). Vous pouvez utiliser un logiciel tiers tel qu'un serveur TinyWeb (http://www.ritlabs.com/tinyweb/). Dans ce cas, il est recommandé d'installer également TinyBox (http://people.freenet.de/ralph.becker/tinybox/), qui est un frontal graphique pour ce serveur.

Veillez à créer une page index.html par défaut. La page Web doit contenir un message du type

« Hello World ». Enregistrez-la en suivant les instructions du logiciel du serveur Web.

1. Avant d’appliquer une liste de contrôle d'accès, il est important de vérifier l’accessibilité entre les systèmes.

[ ] Vérifier l'accessibilité en envoyant, depuis chaque système, une requête ping à tous les systèmes et à tous les routeurs.

L’hôte A peut-il envoyer une requête ping à l’hôte B ?_____________________________________

L’hôte A peut-il envoyer une requête ping au serveur Web ?________________________________

L’hôte B peut-il envoyer une requête ping à l’hôte A ?_____________________________________

L’hôte B peut-il envoyer une requête ping au serveur Web ?________________________________

Chacun des hôtes doit être capable d’envoyer une requête ping aux autres. Un dépannage sera nécessaire en cas d'échec des requêtes ping vers certaines interfaces. Vérifiez systématiquement les connexions de la couche physique qui est à l’origine de la plupart des problèmes de connectivité. Ensuite, vérifiez les interfaces de routeur. Assurez-vous que ces dernières ne sont pas désactivées, mal configurées et que RIP est correctement configuré.

Enfin, n’oubliez pas que les hôtes doivent avoir des adresses IP valides ainsi que des passerelles par défaut spécifiées.

1. Ouvrez un navigateur Web sur l’hôte A (Windows Explorer ou Netscape Navigator) et entrez l’adresse du serveur Web dans la zone d’adresse.

[ ] Vérifier que chaque hôte bénéficie d’un accès Internet au serveur Web.

L’hôte A peut-il visualiser la page index.html ?_______________________________________

L’hôte B peut-il visualiser la page index.html ?_______________________________________

Les deux hôtes doivent être capables de visualiser la page index.html via le navigateur Web. Effectuez un dépannage, si nécessaire.

1. f. Maintenant que l'infrastructure est en place, vous devez sécuriser l'interréseau. Étape 2 Protégez le réseau d'entreprise
   1. La zone réseau d'entreprise héberge les serveurs privés et les clients internes. Aucun autre réseau ne doit être en mesure d'y accéder.
   2. Configurez une liste de contrôle d'accès étendue afin de protéger le réseau d'entreprise. Vous devez commencer par indiquer le type de trafic autorisé à quitter le réseau. Cela peut sembler étrange à première vue, mais il faut savoir que la plupart des pirates sont des employés de l'entreprise. La première liste de contrôle d'accès indiquera le type de trafic autorisé à sortir du réseau.

Précisez les éléments suivants :

GAD#conf terminal

Entrez les commandes de configuration (une par ligne). Terminez avec CNTL/Z.

GAD(config)#access-list 101 permit ip 10.10.10.0 0.0.0.255 any GAD(config)#access-list 101 deny ip any any

La première ligne définit la liste de contrôle d'accès « 101 » qui permet uniquement aux utilisateurs internes valables sur le réseau 10.10.10.0 d'accéder aux routeurs. La seconde ligne n'est pas vraiment nécessaire en raison du refus global qu'elle implique ; elle a été ajoutée pour des raisons de lisibilité.

1. À présent, il faut appliquer la liste de contrôle d’accès à l'interface du réseau d'entreprise. Précisez les éléments suivants :

GAD(config)#interface fa1 GAD(config-if)#ip access-group 101 in

1. Vous devez maintenant tester les listes.

[ ] Vérifier l'accessibilité en envoyant, depuis chaque système, une requête ping à tous les systèmes et à tous les routeurs.

L’hôte A peut-il envoyer une requête ping au serveur Web ?_______________________________

L’hôte A peut-il envoyer une requête ping à l’hôte B ?____________________________________

L’hôte B peut-il envoyer une requête ping au serveur Web ?_______________________________

L’hôte B peut-il envoyer une requête ping à l’hôte A ?____________________________________

Tous les hôtes doivent être capables d'envoyer des requêtes ping vers n'importe quel emplacement.

1. Configurez ensuite une liste de contrôle d'accès étendue pour le trafic externe sur l'interface du réseau d'entreprise. Le trafic entrant sur le réseau d'entreprise proviendra d'Internet ou de la zone DMZ. C'est pourquoi vous devez restreindre le type de trafic autorisé à entrer sur le réseau d'entreprise.
2. La première chose à faire est de s'assurer que seul le trafic en provenance du réseau d'entreprise peut être autorisé à y revenir. Précisez les éléments suivants :

GAD(config)#access-list 102 permit tcp any any established

Dans cette ligne, le mot clé established autorise uniquement le trafic TCP en provenance du réseau 10.10.10.0

1. Pour faciliter l'administration et le dépannage du réseau, vous devez également autoriser le trafic ICMP vers le réseau. Les hôtes internes pourront ainsi recevoir des messages ICMP (par exemple, des messages ping).

Précisez les éléments suivants :

GAD(config)#access-list 102 permit icmp any any echo-reply GAD(config)#access-list 102 permit icmp any any unreachable

La première ligne autorise uniquement le renvoi des réponses aux requêtes ping abouties dans le réseau d'entreprise. La seconde ligne autorise l'affichage de messages relatifs aux requêtes ping qui ont échoué.

1. À ce stade, aucun autre type de trafic vers le réseau d'entreprise n'est autorisé. Précisez les éléments suivants :

GAD(config)#access-list 102 deny ip any any

1. Enfin, vous devez appliquer la liste de contrôle d'accès au port Fast Ethernet du réseau d'entreprise.

GAD(config)#interface fa 1 GAD(config-if)#ip access-group 102 out

1. N'oubliez pas qu'une interface ne peut prendre en charge qu'une seule liste pour le trafic interne et qu'une seule liste pour le trafic externe. Pour vérifier cela, entrez la commande show ip interface fa1. Le résultat devrait confirmer que la liste pour le trafic externe est 102 et celle pour le trafic interne est est 101.
2. Utilisez la commande show access-lists pour vérifier la syntaxe des listes de contrôle d'accès. Le résultat généré doit être similaire à celui-ci :

GAD#show access-lists

Extended IP access list 101

permit ip 10.10.10.0 0.0.0.255 any deny ip any any

Extended IP access list 102

permit tcp any any established permit icmp any any echo-reply permit icmp any any unreachable deny ip any any

S’il y a une différence entre le résultat présenté ci-dessus et la configuration, il faudra peut-être supprimer et recréer les listes de contrôle d’accès.

1. Maintenant les listes de contrôle d’accès doivent être vérifiées.

[ ] Vérifier l'accessibilité en envoyant, depuis chaque système, une requête ping à tous les systèmes et à tous les routeurs.

L’hôte A peut-il envoyer une requête ping au serveur Web ?______________________________

L’hôte A peut-il envoyer une requête ping à l’hôte B ?___________________________________

L’hôte B peut-il envoyer une requête ping au serveur Web ?______________________________

L’hôte B peut-il envoyer une requête ping à l’hôte A ?___________________________________

L’hôte A doit être capable d’envoyer des requêtes ping vers tous les emplacements. Toutefois, aucun autre hôte ne doit pouvoir lui envoyer de requêtes ping.

1. Ouvrez un navigateur Web sur l’hôte A (Windows Explorer ou Netscape Navigator) et entrez l’adresse du serveur Web dans la zone d’adresse.

[ ] Vérifier que l'hôte A bénéficie toujours d’un accès Internet au serveur Web.

L’hôte A peut-il visualiser la page index.html ?_________________________________________

1. L'hôte A doit toujours être capable de visualiser la page index.html via le navigateur Web. Effectuez un dépannage, si nécessaire.

o. Le réseau d’entreprise interne est maintenant sécurisé. Ensuite, il faut sécuriser le réseau DMZ. Étape 3 Protégez le réseau DMZ

1. Le réseau DMZ accueillera un seul serveur externe fournissant des services Web. Les autres services, tels que le courrier électronique, FTP et DNS, seront mis en œuvre ultérieurement. Il est vrai que ce serveur représente un point de défaillance unique mais le service associé est uniquement informatif et n’est en aucun cas d’une importance capitale.
2. Configurez une liste de contrôle d'accès étendue afin de protéger le réseau DMZ. Comme pour le réseau d'entreprise, indiquez le type de trafic qui peut quitter le réseau, puis appliquez la liste à l'interface.

Précisez les éléments suivants :

GAD#conf terminal

Entrez les commandes de configuration (une par ligne). Terminez avec CNTL/Z.

GAD(config)#access-list 111 permit ip 10.1.1.0 0.0.0.255 any GAD(config)#access-list 111 deny ip any any

GAD(config)#interface fa0 GAD(config-if)#ip access-group 111 in

1. Vous devez maintenant tester les nouvelles listes de contrôle d'accès.

[ ] Vérifier l'accessibilité en envoyant, depuis chaque système, une requête ping à tous les systèmes et à tous les routeurs.

L’hôte A peut-il envoyer une requête ping au serveur Web ?_______________________________

L’hôte A peut-il envoyer une requête ping à l’hôte B ?____________________________________

L’hôte B peut-il envoyer une requête ping au serveur Web ?_______________________________

L’hôte B peut-il envoyer une requête ping à l’hôte A ?____________________________________

L’hôte A doit être capable d’envoyer des requêtes ping vers tous les emplacements. Toutefois, aucun autre hôte externe ne doit pouvoir lui envoyer de requêtes ping.

1. Vous devez ensuite définir une liste de contrôle d'accès étendue pour le trafic externe afin de déterminer le type de trafic autorisé à entrer sur le réseau DMZ. Le trafic entrant sur le réseau DMZ proviendra d'Internet ou du réseau d'entreprise demandant des services Web.
2. Configurez une liste de contrôle d'accès étendue pour le trafic externe qui autorise l'entrée de demandes Web sur le réseau. Précisez les éléments suivants :

GAD(config)#access-list 112 permit tcp any host 10.1.1.10 eq www Cette ligne autorise l'entrée sur le réseau DMZ des services Web destinés au serveur Web.

Quelle commande devez-vous exécuter pour autoriser l'entrée de requêtes DNS sur le réseau DMZ ?

Quelle commande devez-vous exécuter pour autoriser l'entrée de requêtes de courrier électronique sur le réseau DMZ ?

Quelle commande devez-vous exécuter pour autoriser l'entrée de requêtes FTP sur le réseau DMZ ?

1. Pour des raisons d'administration, il peut s'avérer utile de permettre aux utilisateurs internes d'envoyer des requêtes ping au serveur Web. Toutefois, les utilisateurs d'Internet ne doivent pas bénéficier du même privilège. Ajoutez une ligne à la liste de contrôle d'accès afin d'accorder aux utilisateurs internes seulement un accès ICMP au réseau DMZ.

Précisez les éléments suivants :

GAD(config)#access-list 112 permit icmp 10.10.10.0 0.0.0.255 host 10.1.1.10

Cette ligne autorise uniquement les hôtes du réseau d'entreprise à envoyer des requêtes ping au serveur Web. Bien que la configuration puisse être plus restrictive avec les options ICMP, cela ne s'avère pas nécessaire.

1. D'autres services pourront être autorisés sur le réseau DMZ ultérieurement. À ce stade toutefois, aucun autre type de trafic vers le réseau DMZ ne doit être autorisé. Précisez les éléments suivants :

GAD(config)#access-list 112 deny ip any any

1. Appliquez la liste de contrôle d'accès pour le trafic externe au port Fast Ethernet du réseau DMZ.

GAD(config)#interface fa 0 GAD(config-if)#ip access-group 112 out

1. Utilisez la commande show-access-lists pour vérifier la syntaxe des listes de contrôle d'accès. Le résultat généré doit être similaire à celui-ci :

GAD#show access-lists

Extended IP access list 101

permit ip 10.10.10.0 0.0.0.255 any (70 matches)

deny ip any any

Extended IP access list 102

permit tcp any any established (8 matches)

permit icmp any any echo-reply (12 matches)

permit icmp any any unreachable

deny ip any any (4 matches) Extended IP access list 111

permit ip 10.1.1.0 0.0.0.255 any (59 matches)

deny ip any any

Extended IP access list 112

permit tcp any host 10.1.1.10 eq www (29 matches)

permit icmp 10.10.10.0 0.0.0.255 host 10.1.1.10 (4 matches)

deny ip any any (14 matches)

S’il y a une différence entre le résultat présenté ci-dessus et la configuration, il faudra peut-être supprimer et recréer les listes de contrôle d’accès.

1. Vous devez maintenant tester les listes de contrôle d'accès.

[ ] Vérifier l'accessibilité en envoyant, depuis chaque système, une requête ping à tous les systèmes et à tous les routeurs.

L’hôte A peut-il envoyer une requête ping au serveur Web ?_______________________________

L’hôte A peut-il envoyer une requête ping à l’hôte B ?____________________________________

L’hôte B peut-il envoyer une requête ping au serveur Web ?_______________________________

L’hôte B peut-il envoyer une requête ping à l’hôte A ?_____________________________________

1. Seul l’hôte A doit être capable d’envoyer des requêtes ping vers tous les emplacements.

Ouvrez un navigateur Web tel que Windows Explorer ou Netscape Navigator sur chaque hôte et entrez l’adresse du serveur Web dans la zone d’adresse.

[ ] Vérifier que les hôtes bénéficient toujours d’un accès Internet au serveur Web.

L’hôte A peut-il visualiser la page index.html ?__________________________________________

L’hôte B peut-il visualiser la page index.html ?__________________________________________

Les deux hôtes doivent toujours être capables de visualiser la page index.html via le navigateur Web. Effectuez un dépannage, si nécessaire.

1. Le réseau DMZ est maintenant sécurisé. Vous devez à présent configurer l'interface externe afin de prévenir les techniques de « spoofing » et de piratage.

Étape 4 Prévenez les attaques de type « spoofing »

1. Les réseaux font de plus en plus l'objet d'attaques par des utilisateurs externes. Pirates informatiques, apprentis pirates (« script kiddies »), casseurs de code, crackers, hackers : ces différents termes décrivent les individus malveillants qui tentent de pénétrer sur les réseaux ou de les empêcher de répondre à des demandes légitimes (attaques par déni de service). Ces méthodes sont une source de gêne pour la communauté Internet.
2. Vous êtes conscient des méthodes utilisées par certains de ces pirates. L'une des méthodes les plus courantes consiste à tenter d'usurper une adresse IP source interne valide. On parle alors de « spoofing ».
3. Pour prévenir ce type d'attaque, vous devez configurer une liste de contrôle d'accès de manière à ce que des hôtes Internet ne puissent pas facilement usurper une adresse réseau interne. Les trois types d'adresse IP source que les pirates tentent souvent d'usurper sont les adresses internes valides (par exemple, 10.10.10.0), les adresses réservées aux essais en mode bouclé (c'est-à-dire 127.x.x.x) et les adresses de multicast (c'est-à-dire 224.x.x.x – 239.x.x.x).
4. Configurez une liste de contrôle d'accès pour le trafic interne qui empêchera les utilisateurs externes d'usurper des adresses internes, et appliquez-la à l'interface série Serial 0.

Précisez les éléments suivants :

GAD(config)#interface serial 0 GAD(config-if)#ip access-group 121 in

La première ligne empêche les utilisateurs externes d'usurper une adresse IP source valide. La deuxième ligne les empêche d'utiliser la plage d'adresses réservées aux essais en mode bouclé. La troisième ligne empêche les pirates d'utiliser la plage d'adresses de multicast (c'est-à-dire 224.0.0.0 – 239.255.255.255) pour générer du trafic interne indésirable.

1. Utilisez la commande show-access-lists pour vérifier la syntaxe des listes de contrôle d'accès. Le résultat généré doit être similaire à celui-ci :

GAD#show access-lists GAD#show access-lists Extended IP access list 101

permit ip 10.10.10.0 0.0.0.255 any (168 matches)

deny ip any any Extended IP access list 102

permit tcp any any established (24 matches) permit icmp any any echo-reply (28 matches) permit icmp any any unreachable

deny ip any any (12 matches)

Extended IP access list 111

permit ip 10.1.1.0 0.0.0.255 any (122 matches) deny ip any any

Extended IP access list 112

permit tcp any host 10.1.1.10 eq www (69 matches)

permit icmp 10.10.10.0 0.0.0.255 host 10.1.1.10 (12 matches)

deny ip any any (22 matches)

Extended IP access list 121

deny ip 10.10.10.0 0.0.0.255 any

deny ip 127.0.0.0 0.255.255.255 any

deny ip 224.0.0.0 31.255.255.255 any permit ip any any (47 matches)

S’il y a une différence entre le résultat présenté ci-dessus et la configuration, il faudra peut-être supprimer et recréer les listes de contrôle d’accès.

1. Pour finir, vérifiez la connectivité.

[ ] Vérifier l'accessibilité en envoyant, depuis chaque système, une requête ping à tous les systèmes et à tous les routeurs.

L’hôte A peut-il envoyer une requête ping au serveur Web ?_______________________________

L’hôte A peut-il envoyer une requête ping à l’hôte B ?____________________________________

L’hôte B peut-il envoyer une requête ping au serveur Web ?_______________________________

L’hôte B peut-il envoyer une requête ping à l’hôte A ?____________________________________

Seul l’hôte A doit être capable d’envoyer des requêtes ping vers tous les emplacements.

1. Ouvrez un navigateur Web tel que Windows Explorer ou Netscape Navigator sur chaque hôte et entrez l’adresse du serveur Web dans la zone d’adresse.

[ ] Vérifier que les hôtes bénéficient toujours d’un accès Internet au serveur Web.

L’hôte A peut-il visualiser la page index.html ?__________________________________________

L’hôte B peut-il visualiser la page index.html ?__________________________________________

Les deux hôtes doivent toujours être capables de visualiser la page index.html via le navigateur Web. Effectuez un dépannage, si nécessaire.

1. Le réseau BMTC est maintenant sécurisé.

Remarque : Le TP ci-dessus représente une solution de base pour l'établissement d'un réseau sécurisé. Il ne constitue en aucun cas une solution complète.

Pour assurer une protection efficace des réseaux d'entreprise, il est recommandé d'installer un équipement réseau dédié, par exemple, la gamme Cisco PIX. Par ailleurs, des fonctionnalités avancées, telles que NAT (Network Address Translation - traduction d'adresses réseau), ainsi que des options avancées de listes de contrôle d'accès, telles que les listes de contrôle d'accès réflexives ou les listes de contrôle d'accès basées sur le contenu (CBAC - Content Based Access List), sont fortement recommandées, et dépassent largement le cadre de la certification CCNA.

Enfin, il est préférable que les administrateurs réseau entretiennent des relations privilégiées avec leurs fournisseurs de services pour assurer la sécurité du réseau.

Étape 7 Décrivez par écrit la liste de contrôle d'accès

a. Toute administration réseau doit comporter une documentation. Utilisez le fichier texte créé pour la configuration et ajoutez-y des commentaires. Ce fichier doit également contenir les résultats générés par les commandes show access-list et show ip interface.

1. Le fichier doit être sauvegardé avec le reste de la documentation réseau. La convention d'attribution de noms doit refléter la fonction du fichier et indiquer la date de mise en œuvre.
2. Lorsque vous avez terminé, effacez la configuration de démarrage sur les routeurs, retirez les câbles et les adaptateurs, puis rangez-les. Enfin, déconnectez-vous et mettez le routeur hors tension.