Nicolas Sadeg

Projet VPN2 – Configuration du Firewall Clavister

VPN 2 – LAN to LAN avec l’EIVD
Du côté EIG, le gateway VPN utilisé est un Firewall Clavister (www.clavister.com). Clavister Firewall est un pare-feu logiciel basé sur une architecture de type Stateful Inspection, assurant ainsi un haut niveau de sécurité. Contrairement à la plupart des firewall logiciels, Clavister Firewall n’utilise pas de système d’exploitation, ce qui supprime les risques d’instabilités qui y sont liés. Ce qui se traduit également par une installation simple et rapide. Le noyau développé par Clavister est extrêmement compacte, environ 400 Koctets et comprend tous les éléments nécessaires à la gestion de la mémoire, des fichiers, de la pile IP et des algorithmes de chiffrement, pour chiffrer les connexions avec le manager. 700 Koctets supplémentaires sont ajoutés lors de l’utilisation de l’option VPN. En raison de son noyau compacte et hautement optimisé, ce firewall n’a besoin que d’un matériel très modeste pour fonctionner. Le matériel minimum requis est le suivant : • • • • • • Processeur compatible Intel : 486 à 25 MHz Mémoire vive : 4 Mo Carte mère Support d’amorçage : Disquette, disque flash amovible, Disk-On-Chip, Disk-onModule ou disque dur. 2 adaptateurs réseau Un port parallèle pour la clé matérielle.

Ce pare-feu n’exige ni carte graphique, ni écran, ni clavier pour fonctionner. Cependant, ces équipement sont tout de même utilisés pour la configuration des cartes réseau lors de la première utilisation. Le disque dur n’est également pas requis selon le type de support d’amorçage choisi. Le support d’amorçage est utilisé uniquement au lancement du firewall. Il contient : • • • • Les fichiers de démarrage de Clavister Firewall Le noyau du firewall Les fichiers de configurations pour les adaptateurs réseau et le firewall Les clés de chiffrements pour la gestion à distance.

Les fichiers de configurations sont ainsi stockés à deux endroits, sur le firewall et sur le poste manager utilisé pour la gestion à distance. Les logs, sont directement envoyé au Logger et ne sont pas stockés sur le firewall. Puisque le noyau de Clavister Firewall occupe moins de 512 Ko, la mémoire du système sera essentiellement utilisée pour la mémoire tampon des paquets et les entrées de la table d’état (connexions). La quantité de mémoire requise dans le système dépend du nombre d’interfaces de réseau, du nombre d’utilisateurs et du choix des modules activés dans le noyau du pare-feu. La mémoire minimale requise est de 4 Mo à peine, mais pour une configuration système élargie, 8 ou 16 Mo sont recommandés.

EIG - Labo de transmission de données

-1-

Janvier 2003

Nicolas Sadeg

Projet VPN2 – Configuration du Firewall Clavister

Objectifs

Mettre en place un tunnel VPN entre le firewall Clavister situé à l’EIG et un firewall linux situé à l’EIVD.

10.1.2.10 255.255.0.0 10.1.0.1 Manager / Logger

Int_I 10.1.0.1 255.255.0.0 Firewall Clavister EIG Ext_I 129.194.187.49 255.255.252.0 129.194.184.3 INTERNET Firewall Linux EIVD Ext 193.134.216.154 Int 10.4.0.0 255.255.0.0

Vpn_I 10.5.0.1 255.255.0.0

La mise en place de ce scénario s’effectue en deux parties : • • Configuration du firewall situé à l’EIG Et configuration du firewall Linux situé à l’EIVD

Seul la configuration du firewall de l’EIG est décrite dans ce document. La configuration du firewall Linux est effectuée par l’EIVD Pour l’instant aucun post ne se trouve sur la zone vpn du firewall. Ceci sera définit plus tard par les besoins du projet VPN2 effectué en collaboration avec l’EIVD.

EIG - Labo de transmission de données

-2-

Janvier 2003

Nicolas Sadeg

Projet VPN2 – Configuration du Firewall Clavister

Configuration du firewall Clavister
La configuration du vpn depuis le manager s’effectue en quatre étapes : 1) 2) 3) 4) 1) • • Création des listes de proposition IKE et IPSec Définition du vpn dans la section VPN Conns Définition du contrôle d’accès dans la section Access Et autorisation du trafique dans le vpn dans la section Rules Listes de proposition IKE et IPSec Menu Tools → Edit proposal lists Ouvrir le dossier Datasource “Firewall_Labo”

Remarque : L’éditeur des propositions se présente sous une forme d’arborescence. A chaque fois qu’il est écrit “créer une nouvelle…“, cliquer avec le bouton droit de la souris sur l’élément le plus bas de l’arborescence. Création de la liste de proposition IKE : • • • • • Dans le dossier IKE Proposal lists, créer une nouvelle liste et lui donner un nom, dans notre cas ike-eivd. Ensuite créer une nouvelle chaîne de proposition IKE.

Entrer les valeurs des temps de vie des paramètres IPSec. Les valeurs choisies sont : Lifetime in Kilobytes : 2024 (Soft limit) 4096 (Hard limit) Lifetime in Seconds : 14400 (Soft limit) 28800 (Hard limit) Créer une nouvelle proposition de paramètres IKE. Puis donner les algorithmes de chiffrage et d’authentification. 3DES - MD5

Création de la liste de proposition IPSec : • • • Dans le dossier IPSec Proposal lists, créer une nouvelle liste et lui donner un nom, dans notre cas esp-eivd. Ensuite créer une nouvelle chaîne de proposition IPSec . Entrer les valeurs des temps de vie des paramètres IPSec. Les valeurs choisies sont : Lifetime in Kilobytes : 300000 (Soft limit) 409600 (Hard limit) Lifetime in Seconds : 3200 (Soft limit) 3900 (Hard limit) Créer une nouvelle proposition de paramètres IPSec : ESP - Tunnel Puis donner les algorithmes de chiffrage et d’authentification ainsi que le mode IPSec. Tunnel - 3DES - MD5-96

• •

EIG - Labo de transmission de données

-3-

Janvier 2003

Nicolas Sadeg

Projet VPN2 – Configuration du Firewall Clavister

2)

Définition du vpn dans la section VPN Conns

Paramètres nécessaire pour la définition d’une connexion sécurisée : Name : Eig-Eivd Local Net : vpn_N (10.5.0.0/16) Remote Net : eivd_N (10.4.0.0/16) Remote Gw : Eivd-Gw (193.134.216.154) IKE Prop list : ike-eivd IPSec Prop list : esp-eivd Authentication : ***** (Pre Shared Secret) Flags : IKE main mode DH group 2, SA per net, PFS group 2 3) Définition du contrôle d’accès dans la section Access

Contrôle l’accès au tunnel vpn. 4) Autorisation du trafique dans le vpn dans la section Rules

Deux règles sont nécessaires pour la mise en place de ce vpn, affin que les connexions puissent être initiées depuis les deux extrémités du vpn.

EIG - Labo de transmission de données

-4-

Janvier 2003

Sign up to vote on this title
UsefulNot useful