Configuration d'IP Filter

La liste des tâches ci-dessous répertorie les procédures permettant de créer des règles IP Filter ainsi que d'activer et de désactiver le service.

Tableau 5-1 Configuration d'IP Filter (liste des tâches)

Tâche	Voir
Affichage des fichiers utilisés par IP Filter et du statut du service.	Affichage des valeurs par défaut du service IP Filter
Personnalisation des ensembles de règles de filtrage de paquets pour le trafic réseau, de paquets sur un NAT et de pools d'adresses.	Création de fichiers de configuration IP Filter
Activation, désactivation ou actualisation du service IP Filter.	Activation et actualisation d'IP Filter
Modification de la valeur par défaut des paquets arrivant en fragments.	Désactivation du réassemblage des paquets
Filtrage du trafic entre les zones sur votre système.	Activation du filtrage de loopback
Arrêt de l'utilisation d'IP Filter.	Désactivation du filtrage de paquets

Affichage des valeurs par défaut du service IP Filter

Avant de commencer

Pour exécuter la commande ipfstat, vous devez vous connecter en tant qu'administrateur disposant du profil de droits IP Filter Management (gestion IP Filter). Pour plus d'informations, reportez-vous à la section Utilisation de vos droits d’administration du manuel Administration d’Oracle Solaris 11.1 : Services de sécurité.

Affichez les noms de fichiers de configuration et les emplacements pour le service IP Filter.
```
% svccfg -s ipfilter:default listprop   | grep file
config/ipf6_config_file                      astring     /etc/ipf/ipf6.conf
config/ipnat_config_file                     astring     /etc/ipf/ipnat.conf
config/ippool_config_file                    astring     /etc/ipf/ippool.conf
firewall_config_default/custom_policy_file   astring     none
```
Des emplacements sont suggérés pour les trois premières propriétés de fichiers. Ces fichiers n'existent pas tant que vous ne les avez pas créés. Vous pouvez modifier l'emplacement d'un fichier de configuration en modifiant la valeur de la propriété de ce fichier. Pour plus d'informations sur cette procédure, reportez-vous à la section Création de fichiers de configuration IP Filter.
Vous modifiez la quatrième propriété de fichier lorsque vous personnalisez vos propres règles de filtrage de paquets. Reportez-vous à l'Étape 1 et à l'Étape 2 de la section Création de fichiers de configuration IP Filter.
Déterminez si le service IP Filter est activé.
- Sur un système en réseau manuel, IP Filter n'est pas activé par défaut.
```
% svcs -x ipfilter:default
svc:/network/ipfilter:default (IP Filter)
 State: disabled since Mon Sep 10 10:10:50 2012
Reason: Disabled by an administrator.
   See: http://oracle.com/msg/SMF-8000-05
   See: ipfilter(5)
Impact: This service is not running.
```
- Sur un système en réseau automatique sur un réseau IPv4, exécutez la commande suivante pour afficher la stratégie IP Filter :
```
$ ipfstat -io
```
  Pour afficher le fichier qui a créé la stratégie, reportez-vous à /etc/nwam/loc/NoNet/ipf.conf. Ce fichier est en lecture seule. Pour modifier la stratégie, reportez-vous à la section Création de fichiers de configuration IP Filter.
  
  Remarque - Pour afficher la stratégie IP Filter sur un réseau IPv6, ajoutez l'option -6, comme dans : ipfstat -6io. Pour plus d'informations, reportez-vous à la page de manuel ipfstat(1M).

Création de fichiers de configuration IP Filter

Pour modifier la stratégie IP Filter pour une configuration réseau configurée de manière automatique ou pour utiliser IP Filter dans un réseau configuré manuellement, créez des fichiers de configuration, informez le service de l'existence de ces fichiers, puis activez le service.

Avant de commencer

Vous devez vous connecter en tant qu'administrateur disposant du profil de droits IP Filter Management (gestion IP Filter). Pour plus d'informations, reportez-vous à la section Utilisation de vos droits d’administration du manuel Administration d’Oracle Solaris 11.1 : Services de sécurité.

Spécifiez l'emplacement du fichier de stratégie pour le service IP Filter.
Ce fichier contient l'ensemble des règles de filtrage de paquets.
1. Définissez tout d'abord le fichier de stratégie sur custom.
```
$ svccfg -s ipfilter:default setprop firewall_config_default/policy = astring: "custom"
```
2. Indiquez ensuite l'emplacement.
  Par exemple, placez votre ensemble de règles de filtrage de paquets à l'emplacement /etc/ipf/myorg.ipf.conf.
```
$ svccfg -s ipfilter:default \
setprop firewall_config_default/custom_policy_file = astring: "/etc/ipf/myorg.ipf.conf"
```
Créez votre ensemble de règles de filtrage de paquets.
Pour plus d'informations sur le filtrage de paquets, reportez-vous à la section Utilisation de la fonctionnalité de filtrage de paquets d'IP Filter. Pour consulter des exemples de fichiers de configuration, reportez-vous à la section Exemples de fichiers de configuration IP Filter et au fichier /etc/nwam/loc/NoNet/ipf.conf.
Remarque - Si le fichier de stratégie spécifié est vide, aucun filtrage n'est effectué. Un fichier de filtrage de paquets vide correspond à un ensemble de règles défini comme suit :
```
pass in all
pass out all
```
(Facultatif) Créez un fichier de configuration de translation d'adresse réseau (NAT, Network Address Translation) pour IP Filter.
Pour filtrer des paquets par le biais d'une NAT, créez un fichier destiné à contenir les règles NAT sous un nom pertinent, tel que /etc/ipf/ipnat.conf par exemple. Pour modifier ce nom, modifiez la valeur de la propriété de service config/ipnat_config_file, comme illustré ci-dessous :
```
$ svccfg -s ipfilter:default \
setprop config/ipnat_config_file = astring: "/etc/ipf/myorg.ipnat.conf"
```
Pour plus d'informations sur NAT, reportez-vous à la section Utilisation de la fonctionnalité NAT d'IP Filter.
(Facultatif) Créez un fichier de configuration de pool d'adresses.
Pour pouvoir faire référence à un groupe d'adresses par le biais d'un pool d'adresses unique, créez un fichier contenant le pool sous un nom approprié, tel que /etc/ipf/ippool.conf par exemple. Pour modifier ce nom, modifiez la valeur de la propriété de service config/ippool_config_file , comme illustré ci-dessous :
```
$ svccfg -s ipfilter:default \
setprop config/ippool_config_file = astring: "/etc/ipf/myorg.ippool.conf"
```
Un pool d'adresses peut contenir un ensemble quelconque d'adresses IPv4 et IPv6. Pour plus d'informations sur les pools d'adresses, reportez-vous à la section Utilisation de la fonctionnalité de pools d'adresses d'IP Filter.
(Facultatif) Activez le filtrage du trafic en loopback.
Pour filtrer le trafic entre les zones configurées sur le système, le cas échéant, activez le filtrage de loopback. Reportez-vous à la section Activation du filtrage de loopback. Vous devez également définir des ensembles de règles applicables aux zones.
(Facultatif) Désactivez le réassemblage des paquets fragmentés.
Par défaut, les fragments sont réassemblés dans IP Filter. Pour modifier cette valeur par défaut, reportez-vous à la section Désactivation du réassemblage des paquets.

Activation et actualisation d'IP Filter

Avant de commencer

Vous avez effectué les étapes de la section Création de fichiers de configuration IP Filter.

Activez IP Filter.
Pour activer IP Filter pour la première fois, saisissez la commande suivante :
```
$ svcadm enable network/ipfilter
```
Si vous modifiez des fichiers de configuration d'IP Filter alors que le service est en cours d'exécution, actualisez le service.
```
$ svcadm refresh network/ipfilter
```
Remarque - La commande refresh désactive brièvement le pare-feu. Pour ne pas désactiver le pare-feu, ajoutez des règles ou un nouveau fichier de configuration. Pour consulter des procédures illustrées à l'aide d'exemples, reportez-vous à la section Utilisation des ensembles de règles IP Filter.

Désactivation du réassemblage des paquets

Par défaut, les fragments sont réassemblés dans IP Filter. Pour désactiver le réassemblage, insérez une règle au début du fichier de stratégie.

Avant de commencer

Vous devez vous connecter en tant qu'administrateur disposant du profil de droits IP Filter Management (gestion IP Filter) ainsi que de l'autorisation solaris.admin.edit/path-to-IPFilter-policy-file. Le rôle root dispose de tous ces droits. Pour plus d'informations, reportez-vous à la section Utilisation de vos droits d’administration du manuel Administration d’Oracle Solaris 11.1 : Services de sécurité.

Désactivez IP Filter.
```
$ svcadm disable network/ipfilter
```
Ajoutez la règle suivante au début du fichier de stratégie IP Filter.
```
set defrag off;
```
Utilisez la commande pfedit, comme illustré ci-dessous :
```
$ pfedit /etc/ipf/myorg.ipf.conf
```
Cette règle doit précéder toutes les règles block et pass définies dans le fichier. Toutefois, vous pouvez insérer des commentaires avant la ligne, comme dans l'exemple ci-dessous :
```
# Disable fragment reassembly
#
set defrag off;
# Define policy
#
block in all
block out all
other rules
```
Activez IP Filter.
```
$ svcadm enable network/ipfilter
```
Assurez-vous que les paquets ne sont pas réassemblés.
```
$ ipf -T defrag
defrag  min 0   max 0x1 current 0
```
Si la valeur associée à current est 0, les fragments ne sont pas réassemblés. Si la valeur associée à current est 1, les fragments sont réassemblés.

Activation du filtrage de loopback

Avant de commencer

Le cas échéant, arrêtez IP Filter.
```
$ svcadm disable network/ipfilter
```
Ajoutez la règle suivante au début du fichier de stratégie IP Filter.
```
set intercept_loopback true;
```
Utilisez la commande pfedit, comme illustré ci-dessous :
```
$ pfedit /etc/ipf/myorg.ipf.conf
```
Cette ligne doit précéder toutes les règles block et pass définies dans le fichier. Toutefois, vous pouvez insérer des commentaires avant la ligne, comme dans l'exemple ci-dessous :
```
...
#set defrag off;
# 
# Enable loopback filtering to filter between zones 
# 
set intercept_loopback true; 
# 
# Define policy 
# 
block in all 
block out all 
other rules
```
Activez IP Filter.
```
$ svcadm enable network/ipfilter
```
Pour vérifier le statut du filtrage de loopback, exécutez la commande ci-dessous :
```
$ ipf -T ipf_loopback
ipf_loopback    min 0   max 0x1 current 1
$
```
Si la valeur associée à current est 0, le filtrage de loopback est désactivé. Si la valeur associée à current est 1, le filtrage de loopback est activé.

Désactivation du filtrage de paquets

Cette procédure supprime toutes les règles à partir du noyau et désactive le service. Si vous avez recours à cette procédure, vous devez activer IP Filter avec les fichiers de configuration appropriés pour redémarrer le filtrage de paquets et la translation NAT. Pour plus d'informations, reportez-vous à la section Activation et actualisation d'IP Filter.

Avant de commencer

Pour désactiver le service, utilisez la commande svcadm.
```
$ svcadm disable network/ipfilter
```
Pour tester ou déboguer le service, vous pouvez supprimer des ensembles de règles pendant que le service est en cours d'exécution. Pour plus d'informations, reportez-vous à la section Utilisation des ensembles de règles IP Filter.

Ignorer les liens de navigation
Quitter l'aperu
	Sécurisation du réseau dans Oracle Solaris 11.1 Oracle Solaris 11.1 Information Library (Français)