🛡️ Firewall / Pare-feu – Filtrage, ACL, Stateful & NGFW

Le firewall "Stateless" (sans état) est la forme la plus basique de filtrage. Il traite chaque paquet isolément, sans mémoire des connexions passées.

Fonctionnement (ACL pure)

Il se base uniquement sur les ACL (Access Control Lists) (voir 3.1). Il vérifie l'IP source, l'IP destination, le protocole, et le port, puis applique la règle (Permit/Deny).

Règle (Outbound) :
  PERMIT TCP Source:192.168.1.50 Dest:ANY Port:80

Problème : Le trafic RETOUR (de Google)
  (Source:ANY Port:80, Dest:192.168.1.50)
  sera bloqué par l'Implicit Deny.

• Avantage : Très rapide, faible overhead CPU.
• Inconvénient : "Stupide". Pour autoriser le trafic retour, il faut ouvrir de larges plages de ports entrants, ce qui est une faille de sécurité majeure.

Un NGFW va au-delà du filtrage L3/L4 (IP/Port). Il utilise le DPI (Deep Packet Inspection) pour inspecter le contenu (L7 - Application) des paquets.

Le Problème (Port 80/443)

Un firewall Stateful autorise tout sur le port 443 (HTTPS). Mais ce port peut transporter des applications légitimes (Google) ou indésirables (BitTorrent, Facebook, Malwares).

Fonctionnalités Clés du NGFW

• Application-Aware : Peut identifier et bloquer "Facebook" ou "Netflix", même s'ils utilisent le port 443.
• IPS/IDS (Intrusion Prevention/Detection) : Analyse le trafic à la recherche de signatures de malwares, d'exploits (ex: Log4j), et les bloque.
• Filtrage URL : Bloque l'accès à des catégories de sites (ex: Adulte, Jeux d'argent).
• Gateway Anti-Virus : Scanne les fichiers téléchargés (HTTP/FTP) à la volée.

Ce sont deux concepts différents, bien que souvent confondus (un NGFW moderne agit souvent comme un proxy L7).

Client <-----> Firewall <-----> Serveur

(Connexion 1)  (Connexion 2)
Client <-----> PROXY <-----> Serveur

Le "Livre de Règles"

Une ACL est un ensemble de règles (Permit/Deny) appliquées à une interface (entrante ou sortante) pour filtrer le trafic. C'est la base des firewalls (Stateless et Stateful).

Le "5-Tuple"

Une règle ACL (étendue) se base sur 5 informations pour identifier un flux :

1. Protocole (ex: TCP, UDP, ICMP)
2. Adresse IP Source
3. Port Source (ex: >1024)
4. Adresse IP Destination
5. Port Destination (ex: 443)

Implicit Deny (Refus Implicite)

Les ACLs sont lues de haut en bas. La première règle qui "matche" est appliquée, et le firewall arrête la lecture.

Crucial : À la fin de chaque ACL se trouve une règle invisible : DENY ALL (Refus Implicite).

Cela signifie qu'un firewall ne doit contenir que des règles "PERMIT". Tout ce qui n'est pas explicitement autorisé est bloqué.

Une DMZ est un réseau "tampon" (une 3ème zone de confiance) créé par un firewall. C'est la zone destinée à héberger les serveurs qui doivent être accessibles depuis Internet (Untrust).

Le Problème

Si vous hébergez votre serveur web (Port 80) dans votre LAN (Trust), et qu'un pirate le compromet, il a un accès direct à tout votre réseau interne (PC, Serveurs de fichiers...).

La Solution (DMZ)

Le firewall crée 3 zones (ex: 3 interfaces physiques) :

Interface 1: WAN (Untrust)
Interface 2: LAN (Trust) - 192.168.1.0/24
Interface 3: DMZ (Semi-Trust) - 172.16.1.0/24
   (Héberge le Serveur Web 172.16.1.10)

Règles de Firewall :

• PERMIT WAN -> DMZ (Port 80/443) (Internet voit le serveur web)
• PERMIT LAN -> WAN (Sortie Internet)
• PERMIT LAN -> DMZ (Les admins accèdent au serveur web)
• DENY DMZ -> LAN (La règle la plus importante !)

Si le serveur web (DMZ) est piraté, le pirate est bloqué dans la DMZ et ne peut pas atteindre le LAN.

Le NAT est une fonction clé des firewalls (surtout Stateful).

"Tout trafic arrivant sur mon [IP Publique]
sur le [Port Public: 443]
doit être 'translaté' (DNAT)
vers [IP Interne: 172.16.1.10]
sur le [Port Interne: 443 (ou 8443...)]"

iptables est l'outil en ligne de commande (historique) pour configurer le firewall Netfilter intégré au noyau Linux. C'est un firewall Stateful L3/L4 très puissant (et complexe).

Structure : Tables & Chaînes (Chains)

iptables utilise des "Tables" (filter, nat, mangle) qui contiennent des "Chaînes" (listes de règles ACL).

La Table filter (la plus utilisée)

Contient 3 chaînes principales pour le trafic destiné au serveur lui-même :

• INPUT : Trafic entrant (destiné au serveur). (La plus importante pour la sécurité).
• OUTPUT : Trafic sortant (généré par le serveur).
• FORWARD : Trafic "routé" (si le serveur agit comme routeur/firewall pour un autre réseau).

# Exemple :
# 1. Politique par défaut : tout bloquer en entrée
iptables -P INPUT DROP

# 2. Autoriser le trafic "déjà établi" (Stateful)
iptables -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

# 3. Ouvrir le port SSH (22)
iptables -A INPUT -p tcp --dport 22 -j ACCEPT

UFW est un "frontend" (une interface de gestion simplifiée) pour iptables, très populaire sur Ubuntu.

Il est conçu pour rendre la configuration d'un firewall hôte (Stateful) très simple.

Exemple de Workflow

# 1. Activer le firewall
sudo ufw enable

# 2. Définir les politiques par défaut (Implicit Deny)
sudo ufw default deny incoming
sudo ufw default allow outgoing

# 3. Ouvrir des ports (Règles PERMIT)
sudo ufw allow ssh       (Lit /etc/services, = port 22)
sudo ufw allow http      (Port 80)
sudo ufw allow 443/tcp   (Port 443)

# 4. Autoriser une IP spécifique
sudo ufw allow from 1.2.3.4 to any port 22

# 5. Voir le statut
sudo ufw status verbose

Logique de configuration (de haut en bas) pour un firewall Stateful (ex: INPUT sur un serveur web).