Mise%en%œuvre%% d’un%pare/feu%PFsense%% dans%un ... · 3& Contexte% Fusion&des&services&informaHques& Systèmes&d’informaHons&et&organisaHons&diﬀérentes& AppariHon&d’une&problémaHque&mulHsite&

©2016&

Mise%en%œuvre%%d’un%pare/feu%PFsense%%dans%un%laboratoire%de%

recherche%

16/03/2016&

Jean/Marc%Muller&

Journées%Mathrice%2016%Strasbourg%

Unité&mixte&de&recherche&&CNRS&–&Université&de&Strasbourg&

Laboratoire%ICube%%(UMR7357)%

7&Sites&géographiques&

Environ&600&membres&

14&équipes&de&recherche&

Science&de&l’ingénieur,&&de&l’informaHque&et&de&l’imagerie&


3&

Contexte%

Fusion&des&services&informaHques&

Systèmes&d’informaHons&et&organisaHons&différentes&

AppariHon&d’une&problémaHque&mulHsite&

RéducHon&des&crédits&

Fusion&de&4&laboratoires&de&la&place&strasbourgeoise&en&2013&


4&

MoMvaMons%

Besoin&de&sécurité&


APaques&en&déni&de&service&

Vulnérabilité&aux&aPaques&de&type&force&brute&

ParHcipaHon&des&machines&du&laboratoire&à&des&botnets&

ExposiHon&d’équipements&vulnérables&sur&internet&

Imprimantes,&caméras&IP,&&systèmes&obsolètes&d’expérimentaHon,&…&

5&

MoMvaMons%

Besoin&de&sécurité&


APaques&en&déni&de&service&

Vulnérabilité&aux&aPaques&de&type&force&brute&

ParHcipaHon&des&machines&du&laboratoire&à&des&botnets&

ExposiHon&d’équipements&vulnérables&sur&internet&

Imprimantes,&caméras&IP,&&systèmes&obsolètes&d’expérimentaHon,&…&

Contraintes&poliHques&

PSSI&d’état&et&des&tutelles&

Mises&en&place&de&ZRR&

6&

Etat%des%lieux%

Service&informaHque&central&

Des&organisaHons&différentes&


Service&informaHque&distribué&au&niveau&des&équipes&

Service&informaHque&externalisé&

7&

Etat%des%lieux%


Différentes&cultures&



Ligne&de&commande,&interface&web/clic,&sous]traitance&



8&

Etat%des%lieux%


Différentes&cultures&



Ligne&de&commande,&interface&web/clic,&sous]traitance&

Des&soluHons&différentes&sur&chaque&site&

Linux&iptables,&Netasq/Stormshield,&rien&du&tout&



9&

Besoins%

SoluHon&de&filtrage&pour&tous&les&sites&


AdministraHon&centralisée&

10&

Besoins%

SoluHon&de&filtrage&pour&tout&les&sites&



Performances&élevées/garanHes&&Haute&disponibilité&

11&

Besoins%





ÉvoluHvité&(nombre&de&réseaux,&débits,&…)&&

IPv4&et&IPv6&

12&

Besoins%





ÉvoluHvité&(nombre&de&réseaux,&débits,&…)&&

IPv4&et&IPv6&

RéducHon/maîtrise&des&coûts&

Clickodrome&

13&

OpenBSD&avec&Packet&Filter&

Linux&avec&iptables&


Choix%possibles%

14&


Firewall&Builder&

PFSense&(FreeBSD&avec&packet&filter)&



Choix%possibles%

15&


Firewall&Builder&

PFSense&(FreeBSD&avec&packet&filter)&


Netasq/Stormshield&

D’autres&produits&commerciaux…&


Choix%possibles%

16&

Filtre&de&paquets&avec&états&en&IPv4&et&IPv6&

Produit&open&source&basé&sur&FreeBSD&avec&pf&


PFsense%

17&


MulHprocesseur&(garanHe&de&bonnes&performances)&

EvoluHvité&(serveurs&Dell&R420&avec&des&cartes&1Go&mulHports)&


Robuste&et&fiable&(soluHon&routée,&haute&dispo&via&CARP&et&pfsync)&


PFsense%

18&


MulHprocesseur&(garanHe&de&bonnes&performances)&

EvoluHvité&(serveurs&Dell&R420&avec&des&cartes&1Go&mulHports)&


Interface&web&d’administraHon&

Robuste&et&fiable&(soluHon&routée,&haute&dispo&via&CARP&et&pfsync)&


PFsense%

Shell&disponible&via&SSH&

19&

Routeur&IPv4&et&IPv6&

Serveur&DHCP,&DNS&

Pare]feu&avec&état&en&IPv4&et&IPv6&

Serveur&VPN&(IPSEC,&openVPN)&

Portail&capHf&

TranslaHon&d’adresse&


FoncMonnalités%

GesHon&des&logs&(en&local&ou&déportée)&

OuHls&de&capture&de&trafic&

20&

Bilan&

Clickodrome&et&terminal&avec&shell&

Facilité&d’installaHon&/&mise&à&jour&


21&

Bilan&


MulHples&foncHonnalités&réseau&


Routage&et&sous]adressage&


22&

Bilan&




Règles&communes&IPv4&et&IPv6&


Filtrage&sur&adresses&MAC&liées&aux&baux&DHCP&


23&

Bilan&




Règles&communes&IPv4&et&IPv6&


Filtrage&sur&adresses&MAC&liées&aux&baux&DHCP&

Bonnes&performances&

Des&ouHls&de&diagnosHc&


24&

EvoluHvité&matérielle&


Bilan&

25&


AuthenHficaHon&LDAP/AD&


Bilan&

GesHon&fine&des&uHlisateurs/groupes/droits&&

26&

Coûts&




Stormshield&SN710&à&8000&€&(redondant&et&5&ans&de&maintenance)&

3000&€&

Bilan&


27&

Coûts&




Stormshield&SN710&à&8000&€&(redondant&et&5&ans&de&maintenance)&

3000&€&

Bilan&


Riches&en&foncHonnalités&supplémentaires&faciles&à&installer&

Routage&RIP,&BGP&et&OSPF,&Arpwatch,&Squid,&ModSecurity,&Snort,&Suricata,&Zabbix,&…&

DocumentaHon&en&ligne,&communauté&d’uHlisateurs&

28&

Points%faibles&

Pas&de&haute&disponibilité&en&IPv6&pour&l’instant&

Clickodrome&

Prise&en&charge&des&matériels&


Pas&de&filtrage&applicaHf&

30&

Merci%pour%votre%aQenMon.%%

Des%quesMons%?%


Documents

Mise%en%œuvre%% d’un%pare/feu%PFsense%% dans%un ... · 3& Contexte% Fusion&des&services&informaHques& Systèmes&d’informaHons&et&organisaHons&diﬀérentes& AppariHon&d’une&problémaHque&mulHsite&