[TUTO] Filtrer adresse(s) IP sous XP avec IPSEC

[zebuntu]

Bonjour,

 

J'ai eu ce problème à régler (filtrer/bannir/interdire des connexions entrantes) et, ayant cherché sur le net (plusieurs heures à mouliner quand même...), j'ai enfin trouvé le moyen d'y remédier...

Du coup un petit post ici pour vous en faire profiter.

 

Notes :

- J'ai comme pare-feu ZoneAlarm Free qui ne permet pas de le faire - contrairement à la version Pro, à ce que j'ai pu lire sur le net.

- Cette solution peut se faire sur XP Pro, je n'ai pas pu vérifier si ça peut se faire sur XP Edition Familiale. Pour Vista, je ne sais pas du tout, ne connaissant pas encore cette nouvelle version de Windows.

- Si votre pare-feu - une version free, ou le pare-feu d'XP SP2 - n'a pas ça dans ses options, ceci devrait pouvoir vous aider.

 

Notes (bis) : <de PANG>

Ces services doivent être démarrés :

- Services IPSEC

- Appel de procédure distante (RPC)

 

Pour l'illustration, je vais choisir le groupe d'adresses 192.168.15.* en exemple.

Adaptez avec votre(vos) adresse(s) à filtrer.

 

Allez dans le Panneau de Configuration, lancez Outils d'Administration, puis Stratégie de Sécurité Locale.

Cliquez, dans le panneau de gauche, la (dernière) ligne Stratégies de sécurité IP sur Ordinateur local, pour voir son contenu dans le panneau de droite.

Ensuite, bouton droit->Créer une stratégie de sécurité IP... :

 

Ça lance cet assistant :

Cliquez sur Suivant...

 

Vous arrivez ici :

 

Mettez un nom, et un descriptif de votre filtre (pas obligatoire, mais c'est plus clair pour relire plus tard) :

Puis cliquez sur Suivant...

 

Par défaut l'option Activer la règle de réponse par défaut est cochée :

Pour notre cas - bannir IP(s) - décochez cette option puis cliquez sur Suivant...

 

Enfin, pour finir cette 1ère partie, laissez coché Modifier les propriétés :

puis cliquez sur Terminer.

 

Maintenant, notre 1ère fenêtre ressemble à ceci :

 

Et nous avons cette nouvelle fenêtre qui vient de s'ouvrir après avoir cliqué sur Terminer dans l'étape précédente :

Laissez décoché l'élément de la liste, puis cliquez sur Ajouter...

 

Un nouvel assistant s'ouvre :

Cliquez sur Suivant...

 

Cette page de l'assistant ne nous intéresse pas :

Cliquez sur Suivant...

 

Sélectionnez le type de réseau à filtrer :

- Toutes les connexions réseau (Intranet+Internet)

- Réseau local (Intranet : vos bécanes raccordées ensemble en réseau interne)

- Accès distant (Internet : connexions de l'extérieur)

Dans le doute, ou si vous ne voulez pas de spécialisation, choisissez Toutes les connexions réseau (vous couvrirez tout avec votre filtre) :

Puis, cliquez sur Suivant...

 

Laissez tel quel :

Puis, cliquez sur Suivant...

 

A cet avertissement :

Cliquez sur Oui

 

Ici :

Cliquez sur Ajouter...

 

Ici :

Cliquez sur Ajouter...

 

(Encore) un assistant... :

Cliquez sur Suivant...

 

Source du trafic à filtrer (dans notre cas : un groupe d'adresses 192.168.15.*)

Choisissez Sous réseau IP spécifique...

 

Puis entrez en 1ère ligne, l'adresse IP (notre cas : 192, 168, 15, 0)

Et en 2ème ligne, le masque : mettez 255 pour les non-*, et 0 pour les * (notre cas : 255, 255, 255, 0) :

Cliquez sur Suivant...

 

Destination du trafic :

Choisissez Mon adresse IP (on veut interdire des connexions entrantes)

Puis, cliquez sur Suivant...

 

Type de protocole :

Laissez N'importe lequel, le filtre couvrira tous les protocoles (TCP, UDP, ...)

Cliquez sur Suivant...

 

Laissez décoché l'option Modifier les propriétés :

Puis sur Terminer...

 

On se retrouve ici :

 

Mettez un nom, par ex. 192.168.15.*

Cliquez sur Ok...

 

On se retrouve ici :

Selectionnez le filtre qu'on vient de céer (nous : "192.168.15.*")

Puis sur Suivant...

 

On va maintenant créer l'action "Refuser" (si elle n'existe pas déjà) :

Cliquez sur Ajouter...

 

Boum ! Assistant...

Passez la première page en cliquant sur Suivant...

 

Entrez un nom et une description pour l'action :

Puis sur Suivant...

 

Choisissez "Refuser"

puis cliquez sur Suivant...

Enfin, sur Terminer

 

De retour ici (avec notre action "Refuser" créée) :

Choisissez-là, puis cliquez sur Suivant

Enfin, décochez "Modifier les paramètres", puis cliquez sur Terminer

 

On se retrouve ici :

Cliquez sur Fermer

 

Pour terminer ("Enfin", me direz-vous...), on va activer notre filtre :

Ensuite vous pouvez refermer cette fenêtre.

 

Attendez un peu (le PC mouline pour installer ce filtre)...

Et Voilà ! (dans notre cas : toute connexion entrante commençant par 192.168.15 sera refusée)

 

C'est-y-pas-beau-ça ?

 

Bon, vu le temps que je viens de passer à faire ce post (plusieurs heures, mine de rien), j'espère ne pas avoir fait d'oubli ni d'erreur dans ma description.

 

EDIT (07/04/2008) : Après une re-lecture de mon post, j'ai remarqué que la cinquième image avait disparu .oO(sympa !) Du coup, j'ai transferé les trente images d'imageshack vers pix.nofrag .oO(Oh, quel boulot encore !)

EDIT (13/02/2009) : Comme pix.nofrag ferme définitivement bientôt, j'ai transferé -- encore ! -- les trente images de pix.nofrag vers un autre serveur (dans la dedibox de mon pote qui héberge mon petit site -- donc là, les images ne disparaitront pas -- j'en ai même une sauvegarde en local, au cas où).

Modifié le 15 janvier 2011 par zebuntu

[KewlCat]

Wow ! Merci d'avoir passé tout ce temps pour ces explications !

Trente captures d'écran ! Tu parles d'un clickodrome...

Tu as du sacrément galérer...

 

[troll]

(c'est là qu'on te mine le moral en te donnant l'unique règle à ajouter à netfilter pour faire la même chose sous Linux ?)

[/troll]

[zebuntu]

Salut, p'tit chat !

 

Wow ! Merci d'avoir passé tout ce temps pour ces explications !

Trente captures d'écran ! Tu parles d'un clickodrome...

Tu as du sacrément galérer...

Vu comment j'ai galéré pour résoudre mon problème :

- J'ai d'abord essayé de trouver ça tout seul dans les service d'administration (j'étais pas trop loin de la soluce en plus),

- puis j'ai cherché de l'aide sur le net, et n'ai trouvé qu'une aide partielle qui a confirmé que j'étais sur la bonne voie et qui a complété ce qui me manquait en informations,

- enfin j'ai réussi à créer mon filtre (tant désiré, et qui marche bien)

Alors, comme j'ai vu dans mes recherches pas mal de questions sur ce sujet, mais tous sans vraiment de réponse idéale, je me suis dit que de faire un post quelque part serait pas superflu.

Mais, au fur et à mesure que je tapais mon post, j'voyais les heures passer ("Hou-là-là, j'me suis encore embarqué dans un truc assez gros encore")

Et, v'là le résultat : une trentaine de capture (+ quelques flèches rajoutées ici et là)

Effectivement, ça a été un p'tit peu galère à rentrer, mais bon, je sais qu'il va être utile à pas mal de monde, ça en valait la peine.

 

[troll]

(c'est là qu'on te mine le moral en te donnant l'unique règle à ajouter à netfilter pour faire la même chose sous Linux ?)

[/troll]

Mmmmh... mwouais, ça s'rait rigolo de voir la soluce, histoire de rire à comparer Windows/Linux

En plus ça pourrait m'être utile pour mon Ubuntu, quoique un coup de recherche dans le forum d'Ubuntu... j'suis sûr qu'ça y est ça.

[Sacles]

Bonjour,

 

Si je peux me permettre une petite intrusion dans ce tuto.

 

Pour information, pour ceux qui utiliseraient Look 'n' Stop.

 

Pour bloquer une plage d'adresses, il suffit d'importer une règle et de noter la plage d'adresses:

 

 

-----------------

 

Voir aussi: Bloquer Lop.com et ses variantes, Règle à créer dans Look'n'Stop

 

-----------------

 

Jeux de règles pour Look 'n' Stop:

 

http://looknstop.soft4ever.com/Rules/Fr/

http://www.looknstop.com/Fr/rules/rules.htm

 

Salut.

Modifié le 15 février 2008 par Sacles

[Greywolf]

iptables -A INPUT -s 192.168.15.0/24 -j DROP

[Pang]

Bonjour,

 

Merci pour ce tuto détaillé.

J'ignorais totalement que l'on pouvait utiliser Ipsec sur un workgroup !!!!

 

Et Voilà ! (dans notre cas : toute connexion entrante commençant par 192.168.15 sera refusée)

As tu réellement essayé de connecter une machine portant cette adresse sur le réseau et fais des essais réel ?

N'y a t'il pas de ralentissement dans le trafic local ?

Modifié le 15 février 2008 par Pang

[GOTCHA]

super le tuto ! j'aime utiliser les capacités de windows pour éviter d'installer plusieurs logiciels pour diverses choses

 

je vais tester ca et vous dire si ca filtre bien

[zebuntu]

Salut Pang,

 

As tu réellement essayé de connecter une machine portant cette adresse sur le réseau et fais des essais réel ?

N'y a t'il pas de ralentissement dans le trafic local ?

 

Pour mon tuto, j'ai pris une adresse (locale) en exemple, mais de mon côté j'ai vraiment installé un tel filtre pour un groupe d'adresses qui me cassait les pieds : un p'tit malin, ou un serveur (j'sais pas trop là), qui utilise toutes les adresses du type AA.BB.*.*:* (ça fait un paquet de combinaisons : 256x256x65536 en gros) qui me saturait ma bande passante (pour rien en faire en plus). Et je confirme, cette méthode fonctionne : j'ai vu disparaitre petit à petit toutes ces adresses AA.BB.... se déconnecter et n'ont plus réapparu.

Par contre, j'ai pas eu le temps de vérifier si mon trafic local en souffre. Faudrait que je vois si mon 2me PC (sous XP & Ubuntu) est affecté par ce filtre, mais, à priori j'vois de raison.

 

Je serai quand même preneur d'avis d'autres personnes qui auraient testé cette méthode.

 

++

[Sacles]

Re,

 

j'aime utiliser les capacités de windows pour éviter d'installer plusieurs logiciels pour diverses choses

Cela ne dispense évidemment pas d'avoir un pare-feu bien configuré.

 

Salut.

[Pang]

Je viens de reproduire ce filtrage sur un workroup avec deux sous réseaux.

Ça fonctionne très bien.

 

Rajoutes sur le tuto que les services doivent être démarrés :

- Services IPSEC (ça semble bien logique mais mieux vaut le préciser)

- Appel de procédure distante (RPC)

 

Je n'ai pas constaté de ralentissement particulier sur le réseau.

 

Tuto a épingler sur zebulon !!!

 

edit :

Cela ne dispense évidemment pas d'avoir un pare-feu bien configuré.

J'ai essayé nmap sur IPSEC.

Aucun port détecté (et pourtant ils le sont), et le fingerprints : i686-pc-windows-windows....

un peu maigre...

Modifié le 15 février 2008 par Pang