Université Mundiapolis Sécurité des Réseaux Informatiques
TD Sécurité des Réseaux
Exercice 1
• Dans le cadre de sa nouvelle stratégie, une entreprise a décidé d’accorder à certains
employés la possibilité d’accéder au réseau de l’entreprise à partir de leurs domiciles (via
Internet)
• Les services accessibles sont : le serveur de messagerie (POP3) et le serveur Telnet (23)
• L’administrateur a mis en place l’architecture de sécurité décrite ci-dessous
Compléter avec les mesures de sécurité adéquates pour mieux protéger les serveurs et le trafic.
Client POP3
Client Telnet
@IP Fixe
Routeur filtrant
Internet
Serveur POP3(110)
Firewall dynamique
Serveur Telnet (23)
LAN
VPN, reverse proxy
Exercice 2
Contexte de travail
L’entreprise SAGI externalisait ses serveurs HTTP, NNTP et SMTP pour l’Internet et
l’extranet. Elle a décidé d’accueillir dans une zone démilitarisée ces serveurs. Ceci l’a conduit
à revoir son architecture réseau et sa politique de sécurité. Le routeur d’accès distant (R1) est
un routeur filtrant, il permet d’interdire certains flux et en autoriser d'autres. Vous êtes chargé
d’implémenter dans le routeur R1 les règles définies par la politique de sécurité de
l'entreprise.
Mettre en œuvre les règles de sécurités suivantes sur les interfaces du routeur R1 :
A. Toutes les communications entre le poste195.115.100.2 et Internet sont autorisées.
B. Tous les flux depuis l'Intranet (le réseau local) vers la DMZ sont autorisés mais l'inverse
n'est pas vrai.
C. Les serveurs HTTP du réseau [Link] peuvent accéder à la base de données du poste
[Link], sur le port TCP 4523.
D. Le serveur [Link] est un serveur "relais" pour les flux DNS et SMTP du réseau
[Link]. Les communications SMTP et DNS sont autorisées entre les serveurs du réseau
local et ceux de la DMZ.
1/3
Université Mundiapolis Sécurité des Réseaux Informatiques
E. On autorise les connexions SSH sur les postes de la DMZ à partir de l'Internet et de
l'Intranet mais pas sur le réseau [Link].
F. Les adresses réseaux autorisées à accéder aux "données partenaires" sont [Link],
[Link] et [Link] (qui correspondent aux adresses IP des réseaux des entreprises
partenaires).
G. Le réseau [Link] n'est pas autorisé à utiliser le service NNTP/119 sur les données
partenaires.
H. Il faut interdire tout trafic ICMP en provenance de l'extérieur.
Vous trouverez en annexe 1 la structure schématique du nouveau réseau de l’entreprise
Vous trouverez en annexe 2, des exemples de règles précisant la syntaxe à utiliser.
Annexes
Annexe 1 : Structure schématique du réseau d'une entreprise
Annexe 2 : Exemple de règles précisant la syntaxe à utiliser
No de Interface Action Adresse Source Port Adresse Port Protocol Description
règle d'arrivée source Destination destination e
1 [Link] accepte [Link]/32 * * 53 * accepte les connexions
DNS sortantes
2 [Link] accepte * 53 [Link]/32 * * accepte le retour DNS
3 [Link] bloque [Link]/24 * 1 (ICMP) empêche le trafic ICMP
sortant
4 [Link] bloque * * 1 empêche tout le trafic
(ICMP) ICMP entrant de
l'Internet
défaut Toutes bloque toutes tous toutes tous tous Règle par défaut, tout ce
qui n’est pas autorisé est
interdit
2/3
Université Mundiapolis Sécurité des Réseaux Informatiques
Ici les règles numéro 1 et 2 permettent au serveur DNS [Link] de relayer les demandes DNS (il
s'agit vraisemblablement d'un serveur cache).
La règle numéro 3 interdit tout trafic ICMP (émis ou en réponse) à partir de l'Intranet. Il s'agit
d'interdire ici essentiellement un trafic ICMP entre la DMZ et l'Intranet puisque la règle 4 interdit le
trafic ICMP en provenance de L'internet. Mais on évite aussi de fait un flux ICMP possible émis vers
l'Internet.
La règle numéro 4 interdit tout trafic ICMP en provenance de l'Internet.
La règle "défaut" est la règle appliquée quand aucune autre règle n'est applicable.
Le routeur est SPI (stateful Inspection Packet) c'est à dire qu'il peut s'appuyer sur l'état TCP. Le
routeur gère deux valeurs pour l'état TCP :
nul ou non renseigné : l'état n'est pas testé par le routeur
Établi : la connexion TCP est établie
Attention les règles sont appliquées dans l'ordre.
Annexe 3 : Tableau à utiliser pour rédiger les règles
No de Interface Action Adresse Source Port Adresse Port Protocole
règle d'arrivée source Destination destination
3/3
