Bloquer l’accès à Internet pour une machine

J’ai deux questions auxquelles je n’ai pas trouvé de vraie réponse jusqu’ici concernant une machine connectée à mon réseau local, ce qui est indispensable, mais que je cherche à isoler complètement par rapport à Internet.

Il s’agit d’un iMac de 2006 en Mac OS 10.6 et qui est encore utilisé journellement. D’une part 10.6 est nécessaire sur cette machine et d’autre part il n’est pas possible, vu son âge, de mettre son OS à jour. La conséquence est que la machine n’est plus du tout à jour pour ce qui est de la sécurité.
Toute activité liée à Internet a donc été arrêtée sur cette machines, navigation, mails, téléchargement, etc. Par contre elles est connectée au même réseau local que la Livebox qui fournit aux autres machines l’accès à Internet.

J’ai réglé le routeur de la Livebox pour bloquer spécifiquement l’accès de l’iMac au web en permanence. Les accès sortants sont effectivement bloqués.

Mes questions :

— Le blocage de l’accès internet est-il bien bidirectionnel ? On vérifie facilement qu’on ne peut plus sortir mais est-il certain qu’un accès depuis l’extérieur vers ces machines est aussi bloqué ? Peut-on le vérifier ? Dit autrement, je voudrais être sûr qu’une attaque venant de l’extérieur ne puisse pas atteindre cette machine, même si elle ne peut pas répondre.

— Y a-t-il une méthode de blocage sur la machine elle-même ? Dans le sens sortant, peut-on définir un blocage de tout ce qui ne commence pas par 192.168.1. ? Je pensais au fichier hosts ou quelque chose du même ordre. Hosts gère plutôt les accès vers l’extérieur mais peut-on aussi y définir des autorisations ou des blocages entrants ?

Je ne connais rien en LiveBox mais tu as ipfw sur cette machine.

Il y a même un logiciel pour le piloter "userfriendly" comme ils disent.

http://www.hanynet.com/waterroof/

Ah, merci pour ce waterproof. Je me souviens qu’on en avait déjà parlé pour une autre sujet.

Mon problème est plutôt une affaire de routeur du réseau que de pare-feu interne à la machine mais il est peut-être possible d’arriver à un résultat équivalent en bloquant dans les deux sens les accès sur la machine elle-même si on peut préciser une plage d’adresse débloquée.

Plus exactement il faudrait bloquer pour toutes les adresses avec comme exception la plage des adresses du réseau interne. Bon, je vais regarder ça, ça pourrait peut-être faire l’affaire.

Il n'y a pas trop d'inquiétude à avoir.
Je vais éclairer un peu ta lanterne et te donner une ou deux astuces complémentaires.

La box renferme 4 appareils en un seul :
- un modem ADSL
- un routeur NAT (network address translation)
- un firewall (plus que sommaire, il est vrai)
- un commutateur (switch)

Le modem est côté internet (dehors), le switch côté réseau local (dedans).
Le routeur est désactivable : dans ce cas, une seule machine peut accéder à internet (et elle est en grand danger, même si elle est à jour, bardée d'antivirus et de protection en tous genres) et reçoit tout le trafic.

La première protection est assurée par le routeur : vu de dehors, tout ton réseau n'a qu'une seule adresse IP (d'où le NAT). C'est le routeur qui prend la décision d'envoyer un paquet venant de dehors vers une machine de l'intérieur. Comment prend-il sa décision ? En fait, il ne fait qu'envoyer aux machines du réseau local les données qu'elles ont demandées : la communication a toujours été initiée par la machine qui va recevoir les données, données qui ne constituent donc qu'une réponse.
Dit autrement, une machine qui ne demande rien ne recevra rien. Tu as fait le nécessaire.

Si tu veux, tu peux encore blinder ta machine :
- dans ses réglages réseau, vire l'adresse IP de la passerelle (ou du routeur ou de la gateway, c'est la même chose). Ne sachant plus où est la porte de sortie, aucun logiciel ne pourra plus communiquer avec l'extérieur
- au même endroit, profites-en pour virer les DNS. Aucune communication nécessitant ces relais ne pourra avoir lieu
- si tu veux, tu peux pourrir ton cache ARP avec une association permanente défectueuse reliant l'adresse IP de ton routeur avec une adresse MAC (qui ne veut pas dire Macintosh) inexistante

Si avec ça ta machine arrive à causer au routeur, c'est que tu as un pirate dans ta maison.
Idéalement, utilise pour cette machine une adresse IP fixe, hors de la plage DHCP.

Il reste un problème potentiel à vérifier.
Si tu as programmé la box pour qu'elle relaie un certain type de trafic (fonction parfois appelée virtual server), assure-toi que ce n'est pas vers cette machine. Je ne sais pas comment ça se modifie sur une LiveBox mais tu devrais trouver.

Citation :

Dit autrement, une machine qui ne demande rien ne recevra rien. Tu as fait le nécessaire.

Ah ben me voilà rassuré ! Un grand merci !
C’est ce que j’avais pensé mais dans le doute j’ai préféré poser la question. Je craignais que le routeur empêche la machine locale de demander mais pas de recevoir. Donc tout va bien.

Citation :

La box renferme 4 appareils en un seul :
- un modem ADSL

Jusque là ça va…

Citation :

- un routeur NAT (network address translation)

Celui-là j’ai dû chercher un peu et j’ai cru comprendre qu’il transmet quelque chose qui vient de dehors à une machine locale précise en changeant éventuellement de port mais je n’avais pas compris ce que tu expliques plus loin, c’est à dire que c’est la fonction de base pour faire le lien entre dehors et dedans.

Ce qui répond à une question que je me suis toujours posée, est-ce que de dehors on sait faire la différence entre les différentes machines locales. Si je comprend bien, non. Le monde extérieur ne voit ni l’adresse interne ni l’adresse mac. En fait, le routeur c’est ça dans sa fonction la plus basique.
Ça commence à prendre une forme un peu plus concrète dans mon esprit nébuleux.

Citation :

- un firewall (plus que sommaire, il est vrai)

Sur la Livebox ça va encore, on peut choisir entre trois niveaux, moulin à vent, pas trop mal et bunker ou alors le mode taillé à la main. Dans la version à la main, on peut définir par machine quels ports avec quel protocole mais seulement dans le sens entrant. C’est un peu plus simple que le mode moyen de réglage du pare-feu de Linux et dont j’ai l’habitude (le niveau complet je m’y perds… ) mais ce n’est pas trop mal.

Citation :

- un commutateur (switch)

Ça au moins, ça va, c’est clair. On branche tout là-dessus et ça marche. Faut juste éviter de mettre deux câbles en même temps entre le switch de la livebox et l’externe que j’ai ajouté parce que le réseau tombe immédiatement, comme tu me l’a expliqué il y a fort longtemps mais je m’en suis souvenu ! Ça ne m’a pas empêché de le faire un jour par erreur et le résultat fut instantané… Il a même fallu débrancher l’alimentation du switch pour qu’il redémarre !

Citation :

Le routeur est désactivable : dans ce cas, une seule machine peut accéder à internet (et elle est en grand danger, même si elle est à jour, bardée d'antivirus et de protection en tous genres) et reçoit tout le trafic.

C’est le DMZ, ça, non ? Le routeur peut être complètement transparent pour une ou plusieurs machines locale, si j’ai bien compris. Quand j’ai vu ça, j’ai vite compris qu’il était indispensable de ne pas toucher à ce réglage-là !

Citation :

Si tu veux, tu peux encore blinder ta machine :
- dans ses réglages réseau, vire l'adresse IP de la passerelle (ou du routeur ou de la gateway, c'est la même chose). Ne sachant plus où est la porte de sortie, aucun logiciel ne pourra plus communiquer avec l'extérieur
- au même endroit, profites-en pour virer les DNS. Aucune communication nécessitant ces relais ne pourra avoir lieu
…
Idéalement, utilise pour cette machine une adresse IP fixe, hors de la plage DHCP.

Pas mal comme idée. J’essayerai mais je pense que ça va m’embêter parce que j’ai donné des noms simples et clairs aux machines et aux imprimantes dans le DHCP ce qui me simplifie beaucoup la vie pour connecter les machines entre elles. Si je place l’iMac à isoler hors de la plage, je ne sais pas si son nom voudra encore dire quelque chose aux autres machines.
Mais ça ne coûte rien d’essayer et ce sera l’occasion d’en apprendre encore un peu plus.

Citation :

- si tu veux, tu peux pourrir ton cache ARP avec une association permanente défectueuse reliant l'adresse IP de ton routeur avec une adresse MAC (qui ne veut pas dire Macintosh) inexistante

Oui, idée diabolique, mais même doute que pour le précédent point. À voir dans un deuxième temps.

Citation :

Si avec ça ta machine arrive à causer au routeur, c'est que tu as un pirate dans ta maison.

Si c’est le cas, je sais qui c’est : c’est le chat du voisin qui est le seul individu louche à s’introduire régulièrement chez nous !

Citation :

Il reste un problème potentiel à vérifier.
Si tu as programmé la box pour qu'elle relaie un certain type de trafic (fonction parfois appelée virtual server), assure-toi que ce n'est pas vers cette machine. Je ne sais pas comment ça se modifie sur une LiveBox mais tu devrais trouver.

Je ne sais pas, la seule rubrique qui reste et qui m’est d’ailleurs très obscure, c’est DynDNS mais je ne sais pas si c’est ça. J’ai cru entrevoir que c’est pour rendre un serveur local genre web ou ftp visible de l’extérieur. En tout cas je suis sûr que la machine en question n’y est pas mentionnée. Aucune d’ailleurs…

Merci encore pour toutes ces infos. Non seulement j’ai ma réponse mais j’ai d’autres choses à essayer. Je raconterai ce que ça a donné.

Suite de l’affaire.
Donc j’ai essayé les bonnes recettes de Tonton TG. J’ai opéré sur le G4 en 10.5 qui est lui aussi à isolé. C’était plus facile que l’Imac 10.6 qui est dans une autre pièce surtout avec quelqu’un assis devant.

Donc, dans la configuration réseau du G4, je commence par effacer l’adresse du serveur DNS qui est aussi celle du routeur, évidemment.
Je tente de consulter la météo dans TenFourFox et je vois des nuages et de la pluie à l’horizon… Pas trop étonnant, faute d’adresse de serveur DNS, le G4 doit poser la question au routeur, ça ne paraît pas anormal. Je supprime donc aussi l’adresse du routeur et là, la météo est remplacé par un brouillard épais. Ça marche ! Logique mais ça fait tout de même plaisir.

Je me dis que zut, il n’a plus accès au DNS des adresses internes non plus du coup. En effet, j’ai rentré les adresses locales dans le routeur pour qu’il fasse DNS aussi pour le réseau interne, ce qui fait que tout le monde sur le réseau local, y compris les visiteurs, peuvent se connecter facilement.

Je tente de me connecter sur mon PC Linux et hop, ça marche ! Comment que quoi ? Aurai-je mis les adresses dans le hosts du G4 ? Non, il est vide…

Mais bon sang mais c’est Bonjour ! Eh oui, les machines linux causent le bonjour comme des macs, même s’ils appellent ça zeroconf, c’est la même chose. Ils se sont rencontrés sur le réseau, se sont présentés et donc, sans routeur, sans config hosts rentrée à la main, le G4 a pu connaître le nom du PC et s’y connecter comme si de rien n’était.

Dans l’autre sens ça marche aussi, évidemment, puisque le PC non seulement voit le G4 par Bonjour mais en plus peut demander au routeur qui, lui, connaît parfaitement le G4 et son adresse. Je me suis rendu compte que j’ai par-dessus le marché rentré le nom et l’adresse du G4 dans le hosts du PC… L’art de la redondance poussé jusqu’à l’excès !

Donc le problème est bien résolu et de façon tout à fait satisfaisante. L’accès vers l’extérieur est coupé mais tout est fonctionnel avec les autres machines du réseau local.

Ah, une parenthèse, il y a semble-t-il un bug de la Livebox qui a perdu la configuration du du blocage des deux machines, probablement à la suite d’un reset. Je m’en suis rendu compte en voyant que Syncthing (un synchroniseur de dossiers en réseau) s’était mis à jour automatiquement sur l’iMac pourtant censé n’avoir aucun accès à Internet !   
J’ai vérifié sur la Livebox, la config avait sauté…

Hum… Faudra surveiller ça de près.
C’est peut-être à la suite d’une mise à jour du logiciel de la Livebox qui a été faite dernièrement. Après un simple reset, je n’ai jamais vu ce problème.

hr a écrit:

Citation :

- un routeur NAT (network address translation)

Celui-là j’ai dû chercher un peu et j’ai cru comprendre qu’il transmet quelque chose qui vient de dehors à une machine locale précise en changeant éventuellement de port mais je n’avais pas compris ce que tu expliques plus loin, c’est à dire que c’est la fonction de base pour faire le lien entre dehors et dedans.

Ce qui répond à une question que je me suis toujours posée, est-ce que de dehors on sait faire la différence entre les différentes machines locales. Si je comprend bien, non. Le monde extérieur ne voit ni l’adresse interne ni l’adresse mac. En fait, le routeur c’est ça dans sa fonction la plus basique.
Ça commence à prendre une forme un peu plus concrète dans mon esprit nébuleux.

En fait il existe deux types de routeurs :

- les routeurs
- les routeurs NAT

Les premiers sont les "vrais" routeurs qui relient entre eux des réseaux (au sens IP). Ils sont simples et rapides et n'ont pas besoin d'une grande puissance et d'une grande mémoire pour opérer (la quantité de mémoire nécessaire dépend de la taille maximale du datagramme et du différentiel de vitesse entre les deux réseaux mis en relation). Il n'y a pas véritablement de notion interne/externe pour ces routeurs.

Les seconds permettent de partager une adresse IP unique entre plusieurs machines.
Ils ont besoin de plus de mémoire et de plus de puissance. Car ils doivent garder une trace de chaque communication en cours pour distribuer en interne les réponses venant de l'extérieur. C'est très important : une communication, en mode NAT, ne peut être initiée que de l'intérieur (en dehors des fonctionnalités de serveur virtuel ou de DMZ).

Les machines de dehors ne savent même pas, juste avec IP, s'il y a une ou plusieurs machines dedans (à un niveau plus élevé, notamment en s'appuyant sur la signature de l'agent utilisateur, elles peuvent tracer ces machines quand même). Et elle ne peuvent pas connaître leur IP locale. C'est une conséquence du NAT. Ceci dit, les IP sont souvent 192.168.1.x, configuration par défaut des routeurs NAT. On peut donc les deviner dans une certaine mesure. Mais ces adresses sont normalement réservées à cet usage local. Elles ne peuvent "voyager" sur la partie publique de l'internet. Aucun routeur du net ne les relaie.

hr a écrit:

Citation :

Le routeur est désactivable : dans ce cas, une seule machine peut accéder à internet (et elle est en grand danger, même si elle est à jour, bardée d'antivirus et de protection en tous genres) et reçoit tout le trafic.

C’est le DMZ, ça, non ? Le routeur peut être complètement transparent pour une ou plusieurs machines locale, si j’ai bien compris. Quand j’ai vu ça, j’ai vite compris qu’il était indispensable de ne pas toucher à ce réglage-là !

Non. Quand on désactive le routeur d'une Box, on est en mode modem. La machine, car il ne peut y en avoir qu'une derrière le modem, dispose de toute la bande passante mais se retrouve directement sur l'internet. Dans ce cas, tout le trafic parvenant à la box lui est adressé sans filtre. Autant dire que la machine n'a pas longtemps à vivre si elle n'est pas configurée par quelqu'un qui connait son affaire.

La DMZ, c'est, dans le cas d'une Box (ou d'un routeur NAT), un mécanisme qui permet de désigner une adresse IP vers laquelle tout le trafic parvenant à la Box ne résultant pas d'une communication NAT orthodoxe sera dirigé.
Et le serveur virtuel, c'est presque pareil sauf que la Box ne dirige vers l'IP que le trafic parvenant de l'extérieur ne résultant pas d'une communication NAT orthodoxe et adressé à un port particulier.

Les flux sont aiguillés, dans l'ordre de priorité :

- aux destinataires internes légitimes ayant initié la communication NAT
- aux serveurs virtuels en fonction du port adressé hors le cas ci-dessus
- à la machine en DMZ hors les cas ci-dessus

hr a écrit:

Citation :

Il reste un problème potentiel à vérifier.
Si tu as programmé la box pour qu'elle relaie un certain type de trafic (fonction parfois appelée virtual server), assure-toi que ce n'est pas vers cette machine. Je ne sais pas comment ça se modifie sur une LiveBox mais tu devrais trouver.

Je ne sais pas, la seule rubrique qui reste et qui m’est d’ailleurs très obscure, c’est DynDNS mais je ne sais pas si c’est ça. J’ai cru entrevoir que c’est pour rendre un serveur local genre web ou ftp visible de l’extérieur. En tout cas je suis sûr que la machine en question n’y est pas mentionnée. Aucune d’ailleurs…

Le serveur virtuel, c'est bien pour rendre "visible" (ou plutôt accessible) une machine.
La DMZ aussi. En plus "violent".

DynDNS, c'est carrément autre chose.
C'est normalement utilisé pour "publier" avec un nom symbolique (c'est à dire autre chose qu'une adresse IP) ta Box sur l'internet quand son adresse n'est pas fixe (on la dit dynamique). Comme on ne peut pas associer le nom symbolique avec une adresse qui change tout le temps, il faut mettre en oeuvre un dispositif d'association dynamique.
La Box, quand elle change d'adresse IP, remonte l'info au serveur DynDNS qui se met  immédiatement à jour.
Les utilisateurs extérieurs sont alors informés du changement et peuvent s'adresser à la nouvelle IP.
Dans la pratique, l'association restant en cache un certain temps au niveau de la machine cliente, on constate souvent une rupture momentanée de service au moment du changement d'IP.

TG a écrit:

En fait il existe deux types de routeurs :
- les routeurs
- les routeurs NAT
Les premiers sont les "vrais" routeurs qui […]
Les seconds permettent de […]

Donc, sauf folie furieuse autodestructrice, un routeur qui est derrière un modem ne peut être raisonnablement qu’un NAT, si je comprends bien. J’imagine que les « vrais » routeurs existent plutôt dans les gros réseaux internes pour en régir la circulation entre diverses parties. Ou au contraire entre divers réseaux externes peut-être, puisqu’on ne filtre pas entres les diverses zones de jungle.
Encore que ça doit arriver quand un pays bloque les réseaux sociaux ou l’accès à certains sites pour des raisons qui n’ont rien de techniques. En jouant juste sur les DNS, ce serait trop facilement contournable, je pense.

TG a écrit:

Les machines de dehors ne savent même pas, juste avec IP, s'il y a une ou plusieurs machines dedans  (à un niveau plus élevé, notamment en s'appuyant sur la signature de l'agent utilisateur, elles peuvent tracer ces machines quand même).

Mais ça a une utilité de fournir ces signatures à tout vent sur le www ? J’imagine que oui si c’est là mais c’est un peu en dire trop, non ?

TG a écrit:

hr a écrit:

Je ne sais pas, la seule rubrique qui reste et qui m’est d’ailleurs très obscure, c’est DynDNS

DynDNS, c'est carrément autre chose.
C'est normalement utilisé pour "publier" avec un nom symbolique ta Box sur […]

Entre temps j’ai lu l’aide interne de la Livebox et j’avais à peu près compris mais ton explication est beaucoup plus claire !

Au fait, en faisant des recherches sur les Airports et TC en réseau, je suis tombé là-dessus.

Un peu trop pointu pour moi par ces chaleurs mais ça pourrait vous intéresser :

Cocoa Packet Analyser

Puisque vous êtes embarqués dans ces machins.

Doubleyou a écrit:

Un peu trop pointu pour moi par ces chaleurs mais ça pourrait vous intéresser :
Cocoa Packet Analyser

Je vois, ça ressemble beaucoup à Wireshark que j’ai tenté d’utiliser sur la banquise où, bien qu’il fasse frisquet, je n’ai pas pu tirer grand chose de ces flots de données abscons sauf la certitude qu’il se passe des choses obscures sous la table…
J’essayerai peut-être un peu plus obstinément un soir de fraîcheur d’automne… À court terme je dois dire que ça dépasse mes ressources de courage.

Je regarderai ça.
Mais il faut avouer que ce genre de soft, c'est réservé à des gens qui connaissent et qui ont du temps. Et, surtout, un problème à analyser. Si on ne sais pas ce qu'on cherche, ça ne sert pas à grand chose.

hr a écrit:

TG a écrit:

En fait il existe deux types de routeurs :
- les routeurs
- les routeurs NAT
Les premiers sont les "vrais" routeurs qui […]
Les seconds permettent de […]

Donc, sauf folie furieuse autodestructrice, un routeur qui est derrière un modem ne peut être raisonnablement qu’un NAT, si je comprends bien. J’imagine que les « vrais » routeurs existent plutôt dans les gros réseaux internes pour en régir la circulation entre diverses parties. Ou au contraire entre divers réseaux externes peut-être, puisqu’on ne filtre pas entres les diverses zones de jungle.
Encore que ça doit arriver quand un pays bloque les réseaux sociaux ou l’accès à certains sites pour des raisons qui n’ont rien de techniques. En jouant juste sur les DNS, ce serait trop facilement contournable, je pense.

Oui. Les routeurs au sens strict sont utilisés pour relier des réseaux entre eux.
L'objectif peut-être de segmenter le réseau pour créer des zones afin de ménager la bande-passante. Mais depuis l'avénement des commutateurs (switches), ce n'est plus vraiment une raison valable.
Les routeurs agissent au niveau 3 au sens de l'ISO. Justement la couche dite réseau. C'est à dire, en gros, la couche IP dans notre monde actuel.
Au dessus, on commence à se charger du contenu. Et c'est surtout sur le contenu que les filtres dont tu parles agissent.

hr a écrit:

TG a écrit:

Les machines de dehors ne savent même pas, juste avec IP, s'il y a une ou plusieurs machines dedans  (à un niveau plus élevé, notamment en s'appuyant sur la signature de l'agent utilisateur, elles peuvent tracer ces machines quand même).

Mais ça a une utilité de fournir ces signatures à tout vent sur le www ? J’imagine que oui si c’est là mais c’est un peu en dire trop, non ?

On peut voir ça de façon bienveillante. Pour optimiser les services web par exemple. Pour mieux présenter le contenu aux postes clients.
Ou de façon moins bienveillante. Pour recouper, entre sites, les visites, les centres d'intérêt, les habitudes. Bref. Des choses qui n'existent que dans l'imagination des paranoïaques.