Sur la machine srv-lin-01. Lire le ticket, agir dans le terminal, puis vérifier.
Ticket 9957, ouvert par Léna Guérin : l'audit de la semaine a vu la base SQL Server de srv-lin-01 (port 1433) répondre au poste 10.20.1.57 du siège. Le pare-feu de la machine devait la réserver au serveur d'application SRV-APP-01 (10.20.1.40), et les règles écrites par Samir le disent : l'une d'elles refuse même la base à tous les autres.
Faire appliquer au pare-feu la matrice des flux de srv-lin-01, et rien d'autre. Tout ce qui y figure doit continuer de passer.
| Depuis | Vers srv-lin-01 | Port |
|---|---|---|
| tous les postes internes (10.20.0.0/16) | l'application de suivi des interventions | 443 |
| tous les postes internes | le collecteur de journaux | 6514 |
| le réseau d'administration (10.20.90.0/24) | l'administration à distance (SSH) | 22 |
| SRV-APP-01 (10.20.1.40) | la base SQL Server | 1433 |
srv-lin-01 doit aussi continuer d'envoyer ses sauvegardes au NAS (10.20.90.40), et ses applications de se joindre entre elles sur la machine.
Rappel
Le pare-feu de srv-lin-01 est nftables, commandé par nft (avec sudo). Comme dans le chapitre, une chaîne se lit de haut en bas, et la première règle qui reconnaît un paquet décide ; la politique par défaut ne s'applique qu'à ce qu'aucune règle n'a reconnu.
nft list rulesetmontre les règles en place ;nft -a list rulesetajoute à chacune son numéro, lehandle.nft delete rule inet filtre entree handle 7retire la règle numéro 7 ;nft replace rule inet filtre entree handle 7 ...la remplace par une autre, à la même place.nft add rule inet filtre entree ...ajoute une règle en bas de la chaîne,nft insert ruleen haut ; avecposition 7,addla place juste après la règle 7, etinsertjuste avant.- Une règle nomme ce qu'elle reconnaît, puis l'action :
ip saddr 10.20.1.40(l'origine),tcp dport 443(le port visé),iifname "v-postes"(l'interface par où le paquet arrive), puisacceptoudrop.
La machine simule les réseaux de la matrice. sudo ip netns exec reseau-postes nc -zv -w 2 10.20.1.31 443 tente une connexion depuis le poste 10.20.1.57 ; avec -s 10.20.1.64, depuis un autre poste du siège, et avec -s 10.20.1.40, comme SRV-APP-01. reseau-admin joue le réseau d'administration (poste en 10.20.90.12).
Boîte à outils
Un clic écrit la commande au curseur, sans la lancer.
Indications
Le ticket se prépare dès que la machine est prête.
Ce terminal ouvre une vraie machine Linux, srv-lin-01, qui tourne dans la page.
Environ 14 Mo à télécharger la première fois, et 300 Mo de mémoire. Sur un téléphone, le travail se fait à l'étroit : un ordinateur avec un clavier convient mieux.