La différence entre la gestion des politiques basée sur les règles et celle basée sur l'utilisateur

Introduction

Ce document explique les différences entre la gestion des politiques basées sur les règles (Rule-Based) et celles basées sur l'utilisateur (User-Based), deux méthodes proposées par Vigor pour appliquer différentes règles de pare-feu aux clients LAN.

Types de règles de pare-feu

Avant d'expliquer comment ces modes fonctionnent, il est utile de comprendre les différents types de règles de pare-feu :

• **Règle active** : Une règle filtrante qui est activée. Dans Firewall > Filter Setup, elle est cochée pour être active.
• **Règle inactive** : Une règle filtrante qui n'est pas activée. Elle peut être configurée comme une politique pour un compte utilisateur uniquement si elle est inactivée.
• **Règle par défaut** : La règle définie dans Firewall > General Setup > Default Rule page. Dans le mode basé sur les règles, c'est la règle de pare-feu à suivre en l'absence d'une règle active correspondante. Dans le mode basé sur l'utilisateur, elle ne s'applique que si elle est configurée comme une politique pour un compte utilisateur.

A. gestion des politiques basées sur les règles (rule-based)

La figure suivante illustre comment fonctionne la gestion basée sur les règles :

1. Filtrage IP actif : Lors de la réception d'un paquet, vérifiez si l'adresse IP est dans le plage IP de la première règle active. Si oui, appliquez l'action filtrante. Sinon, passez à la prochaine règle active. Si aucune adresse IP ne correspond à une règle active, appliquez la règle par défaut.

2. Action filtrante : Si l'adresse IP est dans le plage IP d'une règle active, il y a quatre actions possibles :

• Bloquer immédiatement : Déséquipe le paquet
• Bloquer si aucune correspondance ultérieure : Vérifie les autres règles actives jusqu'à ce qu'il y en ait une qui corresponde, puis applique l'action filtrante de cette règle. Si aucune autre règle active ne correspond, déséquipe le paquet.
• Passer immédiatement : Passe et applique les applications.
• Passer si aucune correspondance ultérieure : Vérifie les autres règles actives jusqu'à ce qu'il y en ait une qui corresponde, puis applique l'action filtrante de cette règle. Si aucune autre règle active ne correspond, passe et applique l'action filtrante.

3. Application : Si l'action filtrante est "passer", applique les applications telles que la gestion des utilisateurs, le filtre du contenu URL, le filtre du contenu Web ou le filtre DNS, qui peuvent être configurées pour bloquer ou passer un contenu spécifique.

Dans le mode basé sur les règles, c'est l'adresse IP du paquet qui détermine quelle règle de pare-feu sera appliquée. L'administrateur peut diviser les clients LAN en plusieurs groupes par leurs adresses IP et définir des règles différentes pour chaque plage d'adresses IP.

B. gestion des politiques basées sur l'utilisateur (user-based)

La figure suivante illustre comment fonctionne la gestion basée sur l'utilisateur :

1. Filtrage IP actif : Lors de la réception d'un paquet, vérifiez si l'adresse IP correspond à une plage IP de règle active. Si oui, suivez le processus décrit dans la section A. Sinon, l'authentification utilisateur sera requise.

2. Authentification utilisateur : Si aucune règle active ne correspond, demandez l'authentification utilisateur et appliquez la politique pour ce compte utilisateur. Ensuite, suivez un processus similaire à celui basé sur les règles.

3. Filtrage IP de la politique : Tout d'abord, vérifiez si l'adresse IP est dans la plage IP de la politique. Si non, déséquipe le paquet. Sinon, appliquez son action filtrante. Note : Si une politique est définie pour une plage IP spécifique, les utilisateurs ne pourront pas accéder à Internet s'ils n'utilisent pas l'adresse IP correspondant à leur politique, même avec un nom d'utilisateur et un mot de passe corrects.

4. Action filtrante : Si l'adresse IP est dans la plage IP de la politique, appliquez son action filtrante. Il y a deux actions possibles :

• Bloquer immédiatement/Bloquer si aucune correspondance ultérieure : Déséquipe le paquet
• Passer immédiatement/Passer si aucune correspondance ultérieure : Passe et applique les applications.

5. Application : Si l'action filtrante est "passer", appliquez des applications telles que la gestion des utilisateurs, le filtre du contenu URL, le filtre du contenu Web ou le filtre DNS, qui peuvent être configurées pour bloquer ou passer un contenu spécifique.

Dans le mode basé sur l'utilisateur, si le paquet ne correspond à aucune règle active, le client LAN doit s'authentifier pour accéder à Internet. L'administrateur peut définir des règles différentes pour différents comptes utilisateurs. Ainsi, même si les clients LAN obtiennent souvent différentes adresses IP, ils doivent simplement se connecter et suivre la politique de pare-feu associée à leur compte utilisateur.

C. gestion basée sur les règles ou gestion basée sur l'utilisateur ?

En résumé, Vigor propose deux méthodes différentes pour gérer les utilisateurs : le mode basé sur les règles est basé sur l'adresse IP du client LAN et le mode basé sur l'utilisateur est basé sur le compte utilisateur. Comment choisir entre le mode basé sur les règles ou celui basé sur l'utilisateur ?

• Pour les administrateurs qui gèrent les clients LAN par leurs adresses IP, nous recommandons d'utiliser le mode basé sur les règles. Cependant, notez que les politiques de pare-feu peuvent ne pas être appliquées comme prévu si les clients LAN obtiennent une adresse IP différente, donc "Lier l'IP à la MAC", définir des adresses IP statiques ou activer plusieurs sous-réseaux LAN pour différents clients peut être nécessaire.
• Pour les administrateurs qui n'aiment pas restreindre les clients LAN à une adresse IP fixe, nous recommandons le mode basé sur l'utilisateur. De cette façon, le compte utilisateur que le client LAN utilise est plus important que son adresse IP. Cependant, notez que dans ce cas, les clients LAN doivent se connecter chaque fois qu'ils accèdent à Internet et cela peut être un peu inconfortable.