Bloquer le service FTP via le pare-feu

Ce document décrit comment restreindre le service FTP pour les clients du réseau local (LAN) en utilisant la fonction Pare-feu pour bloquer le trafic sur le port TCP 21. Dans cet exemple, nous voulons créer une règle de pare-feu pour tous les clients LAN. La configuration nécessaire est présentée ci-dessous.

Note : Il suffit de créer des règles de pare-feu pour le trafic sortant (de LAN vers WAN), car le routeur bloque déjà par défaut tout le trafic entrant.

Configuration sur DrayOS 5 et DrayOS

1. Allez à Object Setting >> Services Type Object pour créer un profil comme suit :

• Entrez le nom du profil en tant que "FTP"
• Définissez le Protocole sur "TCP"
• Définissez le Port de destination sur "= 21 - 21"

2. Allez à Firewall >> Filter Setup >> Filter Set 2, cliquez sur une règle vide et modifiez comme suit :

• Cochez "Enable"
• (Facultatif) Entrez des commentaires
• (Facultatif) Cliquez sur Éditer pour l'Adresse IP source et entrez l'IP qui doit suivre cette politique. Si non spécifié, cette règle s’appliquera à tous les hôtes LAN.
• Cliquez sur Éditer pour le Type de service et sélectionnez le profil créé au pas 1
• Sélectionnez "Block Immediately" pour le filtre. Vous pouvez également cocher Syslog si vous souhaitez que le routeur génère des journaux concernant cette règle.
• Cliquez sur OK pour enregistrer le profil.

3. La règle de pare-feu sera active tant qu'elle est activée. Dans Diagnostics >> Syslog Explorer, nous pouvons voir que le routeur a bloqué les tentatives de connexion au port TCP 21.

Configuration sous Linux

1. Allez à Security / Firewall Filters / IP Filters. Ajoutez une règle dans IP Filters et configurez-la comme suit.

• Entrez le nom de la règle.
• Cochez Enabled pour cette règle.
• Sélectionnez LAN to WAN en tant que Direction.
• Laissez Source/Destination IP à "Any".
• Sélectionnez Service Object en tant que Protocole. Ajoutez l'objet FTP à la liste des Type de service.
• Choisissez Block pour Action.
• Cochez Enable Syslog.

Ensuite, cliquez sur Apply pour sauvegarder les paramètres.

2. Dans Monitoring / Log Center. Nous pouvons voir que le routeur a bloqué les tentatives de connexion au serveur FTP.

Configuration supplémentaire sous Linux

1. Allez à Object Setting >> Services Type Object pour créer un profil comme suit :

• Entrez le nom du profil en tant que "FTP"
• Définissez le Protocole sur "TCP"
• Laissez Port source de 1 à 65535 (ce qui signifie tous les ports)
• Définissez le Port destination de 21 à 21.

2. Allez à Firewall >> Filter Setup >> IP Filter, créez un groupe de filtres IP et ajoutez une règle comme suit :

• Cochez Enable
• Sélectionnez "Block" pour Action
• (Facultatif) Sélectionnez "Enable" pour Syslog si vous souhaitez que le routeur génère des journaux concernant cette règle.
• Sélectionnez "Any" pour Interface d'entrée.
• Sélectionnez :Any" pour Interface de sortie
• Sélectionnez le profil créé au pas 1, "FTP", pour l’objet Type de service
• (Facultatif) Sélectionnez l'adresse IP à Source IP Object si vous souhaitez appliquer cette règle à certains hôtes uniquement. Si non spécifié, elle s’appliquera à tous les hôtes LAN.

Appliquez les paramètres.

Tant que la règle de filtre est activée, elle sera active. Nous pouvons aller à System Maintenance >> Syslog / Mail Alert >> Syslog File pour voir si le routeur a filtré tout trafic FTP.

Captures d'écran