147
Sécurité du réseau
Chapitre 6
La seconde mesure de protection consiste à avoir deux serveurs DNS maîtres, un
qui fait autorité (et de ce fait nommé Start of Authority, SOA) vis-à-vis du
monde extérieur, l’autre SOA à usage interne. Le serveur à usage externe
divulgue une vue du réseau de l’entreprise réduite aux seules machines qui
doivent être visibles de l’Internet. Le serveur à usage interne détient les
informations complètes sur le réseau interne.
La troisième mesure de sécurité interdit toute interrogation directe du serveur
SOA interne : les stations ne peuvent interroger qu’un serveur cache, esclave du précédent.
La quatrième mesure est la suivante : lorsque le serveur cache interne veut résoudre
un nom de domaine inconnu, c’est-à-dire qui correspond à une adresse du
monde extérieur, sur l’Internet, il transmet la requête à un serveur cache
en DMZ externe.
La cinquième mesure indique que les serveurs SOA ne doivent répondre que pour
des requêtes qui concernent un ou plusieurs domaines propres à l’entreprise, ils n’effectuent donc aucune interrogation récursive.
Des mesures complémentaires visent à empêcher les utilisateurs de postes de travail
de contourner les mesures de sécurité en réécrivant de façon créative leur
fichier hosts ; les méthodes d’attribution d’adresses qui exigent la modification dynamique du DNS (DHCP, contrôleur de domaine Windows)
demandent des précautions supplémentaires, qui pour bien faire devraient
aller jusqu’à l’authentification des transactions.
On mesure, par le résumé succinct qui est donné ici d’un article fort détaillé, que
l’administration sûre du DNS n’est pas une affaire facile.
Traduction d’adresses (NAT)
Le système de traduction d’adresses 7 NAT (Network Address Translation) est apparu en 1994 dans la RFC 1631 [46] (remplacé maintenant par le 3022 [105]), initialement pour permettre la communication entre l’Internet et des réseaux privés
contenant des adresses IP non conformes au plan d’adressage de l’Internet, et il a
été ensuite très largement utilisé pour pallier le déficit d’adresses IP engendré par
7 Notons que l’anglais translation se traduit ici en français par traduction, translation d’adresse ne
veut rien dire.
Sécurité du réseau
Chapitre 6
La seconde mesure de protection consiste à avoir deux serveurs DNS maîtres, un
qui fait autorité (et de ce fait nommé Start of Authority, SOA) vis-à-vis du
monde extérieur, l’autre SOA à usage interne. Le serveur à usage externe
divulgue une vue du réseau de l’entreprise réduite aux seules machines qui
doivent être visibles de l’Internet. Le serveur à usage interne détient les
informations complètes sur le réseau interne.
La troisième mesure de sécurité interdit toute interrogation directe du serveur
SOA interne : les stations ne peuvent interroger qu’un serveur cache, esclave du précédent.
La quatrième mesure est la suivante : lorsque le serveur cache interne veut résoudre
un nom de domaine inconnu, c’est-à-dire qui correspond à une adresse du
monde extérieur, sur l’Internet, il transmet la requête à un serveur cache
en DMZ externe.
La cinquième mesure indique que les serveurs SOA ne doivent répondre que pour
des requêtes qui concernent un ou plusieurs domaines propres à l’entreprise, ils n’effectuent donc aucune interrogation récursive.
Des mesures complémentaires visent à empêcher les utilisateurs de postes de travail
de contourner les mesures de sécurité en réécrivant de façon créative leur
fichier hosts ; les méthodes d’attribution d’adresses qui exigent la modification dynamique du DNS (DHCP, contrôleur de domaine Windows)
demandent des précautions supplémentaires, qui pour bien faire devraient
aller jusqu’à l’authentification des transactions.
On mesure, par le résumé succinct qui est donné ici d’un article fort détaillé, que
l’administration sûre du DNS n’est pas une affaire facile.
Traduction d’adresses (NAT)
Le système de traduction d’adresses 7 NAT (Network Address Translation) est apparu en 1994 dans la RFC 1631 [46] (remplacé maintenant par le 3022 [105]), initialement pour permettre la communication entre l’Internet et des réseaux privés
contenant des adresses IP non conformes au plan d’adressage de l’Internet, et il a
été ensuite très largement utilisé pour pallier le déficit d’adresses IP engendré par
7 Notons que l’anglais translation se traduit ici en français par traduction, translation d’adresse ne
veut rien dire.