Besoin de conseils pour la config de mon réseau

Clyde · 11-09-2015 16:42:52

Bonjour,

Je souhaite sécuriser mon « réseau » et j’aurai besoin de vos lumières sur la config, en sachant que :
Toutes les connexions seront filaires, que je veux activer la fonction routeur de ma freebox (avec son DHCP / NAT / DNS / Firewall). Sur cette même freebox, désactiver la réponse au ping, le Proxy WOL (Wake on Lan) et UPnP me semble nécessaire (à vous de confirmer ou d'infirmer). J’ai un Imac, un laptop sous Linux et une PS3. Je souhaite que chaque machine soit indépendante (i.e je n’ai pas l’utilité d’accéder à mon laptop avec mon Imac et vice-versa). Le seul partage de fichiers qui m’intéresse est celui de µ-torrent installé sur mon mac. Je souhaiterai donc profiter de vos connaissances et de vos conseils pour éclairer les zones d’ombres qui subsistent malgré mes recherches. (ex. avec le DHCP ; baux statiques ou pas ?)

1/ Quels sont les pièges et/ou erreurs à éviter lorsque je vais configurer les ports et adresses IP ? Je parle ici de sécurité et non de problèmes dus à de mauvais adressages.
2/ Dois-je configurer une DMZ pour ma PS3 ou me contenter d’ouvrir les ports TCP/UDP nécessaires ?
3/ Selon vous, serait-il judicieux de dédier un pc (avec firewall, un IDS, etc) entre mon routeur freebox et mes postes ? Voire même, de m’en servir comme routeur au lieu de la freebox. Je dois bien avouer que ma confiance (peut-être à tort) envers le firewall de la box est très limité.
4/ Aurai-je intérêt à créer un sous-réseau pour chaque poste ? Il y a un gain en bande-passante et sécurité au sein d'une entreprise avec un gros réseau, mais en tant que particulier ; cela en vaut-il la peine ?

Je n’ai pas encore soulevé la question d’installation OpenVPN, Tor ou HideMyAss ; elle se posera en fonction de vos conseils de config'.

En vous remerciant par avance de vos réponses et de votre patience face à ma noobitude

Clyde

PS : Une dernière question « Selon vous, faut-il, comme Lacan, réévaluer la spéculation astro-mythologique de Freud dans son approche structuraliste de la psychosomatique fliessienne ?" :stone:

IceF0x · 11-09-2015 17:09:53

Je ne connais pas les box française, mais je pense pas qu'il faille créer de DMZ pour une PS3 ni d'ouvrir de port pour celle-ci, tu peux te contenter de la connecter au même réseau local.
En filaire tu ne risque beaucoup moins niveau intrusion, c'est surtout le WIFI qui est attaqué en général, de plus c'est ta box qui nat tout de l'extérieur vers chaque machine donc lui qui gère le firewall.

WarLocG · 11-09-2015 18:41:33

Je ne connais pas les box francaises non plus mais, personnellement, j'aime bien ton idée d'avoir un pc 'parefeu/IDS' entre ta box et tes autres machines. Quelles seraient tes moyens matériels à disposition ? (Il te faudrait au moins une machine avec 2 cartes réseaux pour faire ca: une vers ta box et l autre vers le LAN), sinon un parefeu matériel ferait deja le boulot.

penthium2 · 11-09-2015 18:49:42

pourquoi tant de parano surtout ? surtout qu'il y a aucun postes windows donc "pas de virus/ trojan/backdoor/et autres" dans l'installation réseau.

Clyde · 11-09-2015 19:38:52

IceF0x a écrit :

Je ne connais pas les box française, mais je pense pas qu'il faille créer de DMZ pour une PS3 ni d'ouvrir de port pour celle-ci, tu peux te contenter de la connecter au même réseau local.
En filaire tu ne risque beaucoup moins niveau intrusion, c'est surtout le WIFI qui est attaqué en général, de plus c'est ta box qui nat tout de l'extérieur vers chaque machine donc lui qui gère le firewall.

J'ai abandonné le wifi depuis un bail à cause de ça wink

WarLocG a écrit :

Je ne connais pas les box francaises non plus mais, personnellement, j'aime bien ton idée d'avoir un pc 'parefeu/IDS' entre ta box et tes autres machines. Quelles seraient tes moyens matériels à disposition ? (Il te faudrait au moins une machine avec 2 cartes réseaux pour faire ca: une vers ta box et l autre vers le LAN), sinon un parefeu matériel ferait deja le boulot.

Pour le moment, je n'ai pas investi dans du matos juste pour ça. C'est une idée que j'ai eu et sur laquelle je voulais avoir votre avis.

viperr a écrit :

pourquoi tant de parano surtout ? surtout qu'il y a aucun postes windows donc "pas de virus/ trojan/backdoor/et autres" dans l'installation réseau.

Oui, effectivement, tu as raison et je comprends tout à fait que tu aies parlé de parano. Mais tu as répondu à une question que je n'avais pas posée directement : "C'est pas un peu too much tout ce que j'essaye de faire?" C'est une façon de mettre en pratique ce que j'apprends. Il y a toujours un fossé entre la théorie et la pratique (quelque soit le domaine). Selon moi, on apprend toujours mieux une fois qu'on a les mains dans le cambouis.

Merci à tous de m'avoir répondu.

rodrigue daniel · 15-11-2015 04:43:17

Salut, je suis Rodrigue Daniel

viperr a écrit :

pourquoi tant de parano surtout ? surtout qu'il y a aucun postes windows donc "pas de virus/ trojan/backdoor/et autres" dans l'installation réseau.

viperr, tu te trompes. Il existe des virus pour tout type de plateforme utilisée. De manière simple, un virus c'est juste un programme qui exécute une tâche maveillante dans le sytème. Sinon, pourquoi il existe des antivirus pour linux (Exemple : clamav libre et gratuit, certains antivirus sont payants). SVP cessez de penser comme certaines personnes qui affirment qu'il n'existe pas de virus pour linux,mac et autres. Règle importante en sécurité : Il n'y a pas de sécurité à 100%.

Bon clyde, Je suis d'accord avec IceFox.
Une DMZ est un sous-réseau isolé qu'une entité configure pour mettre ses services à la disposition du public. Donc dans le cas où tu veux le faire alors tu pourras le configurer mais d'après tes spécifications, tu n'as pas besoin de cela.
+ Pour la sécurité sur ton système Linux, tu pourras : (en supposant que tu utilises un Debian et ses dérivés ou alors un RedHat et ses dérivés)
- configurer le pare-feu par défaut netfilter via la commande iptables mais je préfère que tu installes l'interface graphique de manipulation de netfilter
appelé fwbuilder. C'est un programme qui te permet de générer un script bash basé sur la commande iptables pour ton pare-feu que tu pourras mettre au démarrage de ton système.
- configurer un système de détection ou de prévention d'intruision comme SNORT
- pour ton navigateur, tu pourras opter pour un plugin antivirus, tu pourras configurer ton navigateur pour qu'il vide ton cache automatiquement car sinon quelqu'un pourra, avec des injections javascript dans une page que tu visiteras, d'atteindre.

+ pour ton Mac, il faut en faire de même (configurer son pare-feu, antivirus et navigateur)

Conseils: Ne pas cliquer sur n'importe quel lien, ou alors ouvrir n'importe quel mail car même avec linux comme cible, on peut injecter un cheval de troie et pousser la victime à l'éxécuter. Voici une vidéo sur youtube : https://www.youtube.com/watch?v=lnxWdAJmIDw

Dernière modification par rodrigue daniel (15-11-2015 04:48:25)

IceF0x · 15-11-2015 09:27:37

rodrigue daniel a écrit :

Salut, je suis Rodrigue Daniel
Il existe des virus pour tout type de plateforme utilisée. De manière simple, un virus c'est juste un programme qui exécute une tâche maveillante dans le sytème. Sinon, pourquoi il existe des antivirus pour linux (Exemple : clamav libre et gratuit, certains antivirus sont payants). SVP cessez de penser comme certaines personnes qui affirment qu'il n'existe pas de virus pour linux,mac et autres. Règle importante en sécurité : Il n'y a pas de sécurité à 100%.

Un virus est un programme qui s'intègre dans le système et qui "se duplique tout seul" sinon il s'agit simplement de "malware" quand à clamav et autres antivirus, il ne contiennent qu'a 90% des définition de malware n'affectant que "Windows" pour les 10% qui restent ce sont des malwares qui sont resté ) l'état historique car plus actif actuellement et incompatible avec les kernels actuel.

Je n'ai jamais utilisé d'antivirus, et j'utilise les systèmes GNU/Linux depuis 2006/2007 j'ai même été demandé sur des chan IRC de sécurité info pour demander de me trouver un virus qui passerais les droit root sans mon mot de passe pour un test et personnes, je dis bien personnes, n'a été capable de m'en fournir un.

Le seul qui plus ou moins fonctionné ne s'est cantiné qu'au compte utilisateur.

Il n'y as pas de sécurité à 100% je suis tout à fait d'accord mais, pour trouver un virus qui s'attaque à une autre distribution qu'ubuntu ou à android faut se lever tôt.

PS: je suis toujours OK pour en tester un sur ma machine test qui outrepasserais les droits root.

WarLocG · 15-11-2015 14:50:53

Un virus est un malware avec des techniques d'évasions et de persistances tout simplement, donc capable de se muter (de changer de nom) et biensur de se dupliquer en est un aspect, ils sont également capable de se cacher des outils de listing des processus, de se créer des backup afin d'être relancé au démarrage, d'affecter le système de fichier (édition, renommage, suppression de fichiers), ... ainsi que d'autres aspects codés par le dev vu que ce n'est jamais qu'un programme et biensur il doit avoir les droits pour s'éxecuter.

Et c'est le problème sous Windows où la grosse majorité des utilisateurs utilisent un compte Administrateur au lieu d'un compte Utilisateur, donc faut pas s'étonner que des programmes malicieux arrivent à faire ce pourquoi ils sont programmés (dont installer des chevaux de Troyes qui eux même installent en masse d'autres malwares et virus/trojan).

Pour linux, il existe des virus aussi (voir ici), cependant, les linuxiens en général sont plus responsables avec leur système et (kali faisant exception), ne se baladent pas sur la toile depuis le compte root et n'installent pas n'importe quoi non plus. Je veux dire, en général, le linuxien sait ce qu'il fait sur sa machine, il est plus averti.

Clyde · 23-11-2015 17:46:53

Bonjour Rodrigue,

Merci d'avoir pris le temps de me lire et de me répondre.

Je suis allé au plus simple et j'ai fini ma config il y a quelque temps déjà (dans l'esprit de tes préconisations).
Je n'étais pas venu sur le forum depuis un bail.

rodrigue daniel a écrit :

Conseils: Ne pas cliquer sur n'importe quel lien, ou alors ouvrir n'importe quel mail car même avec linux comme cible, on peut injecter un cheval de troie et pousser la victime à l'éxécuter. Voici une vidéo sur youtube : https://www.youtube.com/watch?v=lnxWdAJmIDw

C'est le b.a.-ba. C'est quelque chose que j'ai toujours appliqué. wink

#1 11-09-2015 16:42:52

Besoin de conseils pour la config de mon réseau

#2 11-09-2015 17:09:53

Re : Besoin de conseils pour la config de mon réseau

#3 11-09-2015 18:41:33

Re : Besoin de conseils pour la config de mon réseau

#4 11-09-2015 18:49:42

Re : Besoin de conseils pour la config de mon réseau

#5 11-09-2015 19:38:52

Re : Besoin de conseils pour la config de mon réseau

#6 15-11-2015 04:43:17

Re : Besoin de conseils pour la config de mon réseau

#7 15-11-2015 09:27:37

Re : Besoin de conseils pour la config de mon réseau

#8 15-11-2015 14:50:53

Re : Besoin de conseils pour la config de mon réseau

#9 23-11-2015 17:46:53

Re : Besoin de conseils pour la config de mon réseau

Pied de page des forums