Guide de configuration du pare-feu Vigor2136 pour les débutants

Ce guide présente le fonctionnement du pare-feu dans les routeurs DrayOS 5 de DrayTek, tels que le Vigor2136. Nous examinerons deux scénarios à titre d'exemple.

Le Vigor2136 dispose de quatre filtres dans la page de configuration des Filtres Pare-feu : Filtres IP de Réputation, Filtres IP, Filtres Contenu et Actions par Défaut. Tous ces filtres sont indépendants. Les paquets reçus seront vérifiés dans l'ordre suivant :

1. Filtres IP de Réputation (si activé.)

2. Règles des Filtres IP

3. Règles des Filtres Contenu

4. Action par Défaut des Filtres IP (lorsqu'il n'y a pas de règle correspondante dans les filtres IP ou contenu)

5. Action par Défaut des Filtres Contenu (applique l'action par défaut du filtre contenu si une règle est trouvée. Sinon, effectue l'opposé de l'action par défaut du filtre contenu. Voir Actions des Filtres ci-dessous.)

Cela signifie que les paquets sont d'abord examinés par les Filtres IP avant d'être vérifiés par les Filtres Contenu avant que les règles des Filtres IP ne les laissent passer ou lorsqu'aucune règle de filtre IP n'est trouvée.

Enfin, les Actions par Défaut interviennent lorsque les paquets ne correspondent à aucune règle des Filtres IP ou Contenu.

Note :

Si le filtre de réputation IP est activé, il inspectera d'abord les paquets avant que les règles des Filtres IP et Contenu ne s'en occupent. Pour en savoir plus sur la Réputation IP, cliquez ici.

Dans l'introduction et le flux de ce guide, nous supposons que le filtre de réputation IP n'est pas utilisé.

Voici un flux de travail montrant comment les filtres fonctionnent pour les paquets sortants.

Filtres IP : Vérifie les adresses IP source et destination des données du paquet, le protocole et le service (numéro de port).

Filtres Contenu : Ces derniers incluent APPE, Filtre URL et WCF. L'APPE est filtrée par un motif défini. Les filtres URL et WCF filtrent les serveurs auxquels ils peuvent se connecter en vérifiant le nom de domaine dans la requête DNS ou SNI (Indication du Nom du Serveur) dans le paquet TLS Client Hello.

Actions par Défaut : Vérifie les paquets qui ne correspondent à aucun filtre IP ou contenu.

Actions des Filtres

Filtres IP

Passer - Passe immédiatement le paquet si aucune règle de filtre de contenu n'est trouvée.

Bloquer - Discarde immédiatement le paquet ; aucune autre règle de filtre ne s'appliquera.

Filtres Contenu

Passer - Passe immédiatement le paquet ; aucune autre règle de filtre ne s'appliquera.

Bloquer - Discarde immédiatement le paquet ; aucune autre règle de filtre ne s'appliquera.

Action par Défaut des Filtres IP

Passer - Passe immédiatement le paquet si la règle de filtre de contenu par défaut est désactivée.

Bloquer - Discarde immédiatement le paquet ; aucune autre règle de filtre ne s'appliquera.

Action par Défaut des Filtres Contenu

Passer - Passe uniquement les paquets correspondants et discarde les paquets non correspondants.

Bloquer - Discarde uniquement les paquets correspondants et passe les paquets non correspondants.

Redirection DNS Forcée

Par défaut, la Redirection DNS Forcée est activée dans chaque profil LAN. Toutes les recherches DNS sortantes seront redirigées vers l'adresse IP LAN du routeur pour améliorer le rendement de la recherche de domaine en mettant en cache les requêtes et les résultats DNS.

Lorsque cette option est activée, ou lorsque les clients utilisent le routeur comme serveur DNS, le trafic DNS sera traité comme LAN -> Localhost. Les règles des Filtres IP et l'action par défaut du filtre IP ignoreront ce trafic DNS et continueront à inspecter par les Filtres Contenu et l'Action par Défaut des Filtres Contenu.

Note :

Si aucune règle de filtre contenu ne correspond, le trafic DNS sera inspecté par la règle d'action par défaut du filtre contenu.

Si aucune règle de filtre contenu n'est trouvée et que la règle d'action par défaut du filtre contenu est désactivée, le trafic DNS sera passé immédiatement.

Voici un flux de travail montrant un paquet DNS lorsque la Redirection DNS Forcée est activée.

Scénario 1. Liste noire. Passer plus par défaut (Action par Défaut des Filtres IP Passer) mais bloquer quelques exceptions

Dans un réseau d'utilisation simple où seul du contenu spécifié doit être restreint (comme à la maison ou à l'école), il est recommandé de laisser l'action par défaut des filtres IP sur "Passer" et de bloquer uniquement les adresses IP et le contenu spécifiques.

Par exemple, dans une institution d'enseignement, les exigences du réseau sont :

Tous les enseignants et étudiants peuvent accéder à Internet mais sont restreints pour le contenu adulte.

Empêcher les étudiants de diffuser des médias et de jouer à des jeux.

On peut activer la règle d'action par défaut du filtre contenu pour bloquer l'accès au contenu adulte pour tous les utilisateurs.

Ensuite, une règle de filtre de contenu sera définie pour bloquer le streaming de médias et les jeux pour tous les étudiants.

Scénario 2. Liste blanche. Bloquer plus par défaut (Action par Défaut des Filtres IP Bloquer) mais passer quelques exceptions

Pour les réseaux restreints avec des exigences en matière de sécurité élevées (comme dans une banque ou une entreprise IT), il est recommandé d'installer l'action par défaut des filtres IP sur "Bloquer". Le pare-feu ne permettra que l'accès aux serveurs spécifiés (adresses IP) et au contenu.

Par exemple, dans un réseau d'entreprise ; chaque département de l'entreprise a différentes politiques de pare-feu ; par exemple,

L'équipe support peut utiliser Anydesk et consulter des sites d'actualités, tandis que le département marketing et ventes ne peuvent voir que les sites d'actualités.

L'équipe support a accès au serveur web externe.

Définir une règle de filtre contenu pour permettre à l'équipe support d'utiliser Anydesk. Définir la deuxième règle de filtre contenu pour autoriser l'acc

Captures d'écran