URL: https://linuxfr.org/forums/linux-general/posts/securite-comment-proteger-ses-services-auto-heberges-sans-empiler-les-par-feux-physique Title: [Sécurité] Comment protéger ses services auto-hebergés sans empiler les par-feux physique ? Authors: Kwiknclean Date: 2014年10月18日T13:18:09+02:00 License: CC By-SA Tags: sécurité, nat, packet, filter, pare-feu et auto-hébergement Score: 2 Salut les packets IP ;) Mes connaissances en architectures réseaux sont un peu lointaines et j'aimerais profiter de cette manne de connaissances qu'est LinuxFr pour m'aider dans ma réflexion. Avec la recrudescence des failles découvertes un peu partout en ce moment, les super h4ck3rs du dimanche s'en donnent à coeur joie dans les log Nginx notamment. C'est l'occasion de revoir un peu l'aspect sécurité sur mes services auto-hébergés, notamment sur la gestion des IP/packets entrant vers mes services. J'aimerais beaucoup exclure tout un range d'IP, que je trouve après whois qu'il n'ont pas grand chose à faire chez moi (des IP Asiatiques vous vous en doutez). Sachant que : 1. Je n'ai pas envie (enfin j'aimerais éviter pour continuer de sauver les ours polaire) de multiplier le matériel filtrant physique. 2. Mon Host (un p'tit PC pas trop musclé) est un FreeBSD hostant des Jails le firewalling étant effectué par le méchant Packet Filter (à la rigueur on s'en branle le fonctionnement reste fondamentalement le même sur le fond que sous Linux). 3. Faire de l'exclusion de 15 000 ranges d'ip sur la conf du serveur Web n'est clairement pas une options. Voici mon archi ultra complexe : Box FAI (qui sait pas faire grand chose à part planter) --- Host / Firewall (192.168.x.x ) --- Jails (10.x.x.x) Ip Natées donc. Si je ne dis pas de conneries le principe de fonctionnement de tout firewall se résume grosso-merdo à ces trois étapes : 1. NAT -> Vers mes IP de services "ouverts" 2. Redirections 3. Filtering (Ici s'applique les règles de Firewalling). **Un paquet arrivant donc à destination de http/https sortira directement du "firewall" dés l'étape 1, et ne passera pas par les règles de filtrage filtrant uniquement l’hôte "local"** visant à exclure les vilains et les gens de la côte Est Eurasienne. Sauf qu'a l'intérieur d'une Jail (de mémoire c'est le même dilemme avec un LxC), pas moyen de rajouter une couche Firewall :( Donc hormis passer sur de la Virtu LOURDE du genre KVM, VMware .. (ce qui est exclu) ... je procède comment ? OpenVz par exemple permet-il de faire tourner du Iptable à l'interieur de ses VPS ? Par avance merci pour vos idées les gars (et les filles y a pas de raisons).