Architecture réseau - besoin de conseils

Système d'exploitation Linux
1

Bonjour,

je souhaite monter un serveur Linux qui aura pour mission principale l’héberger une messagerie. J’aimerai aussi monter un serveur Proxy, firewall, partage (samba) et un serveur FTP. Cependant je n’aurai qu’une seule machine pour faire tout ça. Je me posais la question suivante : "est-ce que c’est pas dangereux de mettre sur la même machine ma messagerie et mon proxy/firewall ? Sachant que le proxy/firewall est intercalé entre l’extérieur (danger!) et mon lan (zone verte). Le proxy/firewall est là pour “prendre les coups” du monde externe pour sécuriser mon lan; si il se fait attaquer c’est aussi mon serveur de messagerie qui se fait attaquer (et ca je veux pas !).
Je sais pas si j’ai été clair…

Merci.

2

Si, tu as raison: il faut separer le firewall du serveur. Mais bon, après on fait selon ses moyens: on a pas tjs deux pc de dispo.
Dans le cas d’un firewall qui tourne sur la même machine que le serveur, si l’un des services comporte une failles, il expose tout ton reseau, alors que s’il est derriere le firewall, il faudra d’abord compromettre le firewall avant de pouvoir exploiter la faille du serveur :slight_smile:

3

En principe, le pare-feu et le serveur de messagerie sont dans une zone "exterieur".

LAN (en MZ 1) --> routeur --> parefeu (avec plusieurs cartes réseaux) [serveur de messagerie en MZ 2] --> routeur --> Internet

4

jcomprend pas trop…

((LAN))-----((Parefeu/Proxy/SrvMessagerie))-----((Routeur))-----(Internet))

OU

            ((Internet))  
                    |
                    |
          ((Proxy / Firewall)) -------------- (( DMZ : Messagerie/FTP/Samba ...)
                    |
                    |
                 ((LAN))

???

5

Perso j’y connais rien mais ici il y a peut etre ce qui t’interesse.
ipcop sur generation nt
:sol:

6

Le 2eme ! :wink:

7

non, soyons franc… les DMZ dans les placards ca sert a rien !

si tu veux monter ton serveur mail, http, ftp chez toi il faut que tu garantisse un niveau de sécurité suffisant mais pas abhérent non plus

typiquement, une machine qui fait firewall avec netfilter/iptables branchée directement derriere ton modem et n’offrant aucun service (sauf ssh l’indispensable) est un bon début

aprés tu met en place ton serveur et sur le firewall tu configure le forwarding de port pour que les connections extérieures qui vont vers les port 20,21,25, 80, 443 arrivent directement sur ton serveur

et la tu garanti un niveau de sécu déjà pas mal :slight_smile:

2 astuces:
*quand tu fais du ftp, ton firewall doit utiliser les modules ipt_nat_ftp et ipt_conntrack_ftp pour que ca marche bien
*sur ton firewall, change le port de connection ssh car les ports 22 sont souvent bombardés par les scanneurs

8

[dg-switcher]

Comme tu semble connaitre le domaine j’aimerais bien que tu me dises ce que tu pensses d’une solution compléte comme ip cop

9

trés trés bien pour faire une passerelle/firewall si tu veux pas te prendre la tete

l’interface https est claire et vraiment bien foutue, dans l’ensemble ipcop est la meilleure distribution préconfigurée pour faire ce boulot

aprés, mais c’est un choix perso, je préfère prendre une distrib quelconque et tout configurer a la main pour comprendre comment ca marche :slight_smile: