Catalogue système › Passerelles › NET - Passerelle de sortie réseau avec pare-feu (iptables)

NET - Passerelle de sortie réseau avec pare-feu (iptables)

Dernière version : 3.0.2-1

Présentation fonctionnelle

NET est une passerelle de sortie qui fournit un accès à la sortie vers un réseau situé à l'extérieur d'une application. NET accepte le trafic de l'application sur son terminal in et le transfère au réseau externe via son interface externe (par exemple, Internet).

NET dispose d'un pare-feu qui autorise uniquement le trafic sortant (connexions et datagrammes). Il n'achemine pas le trafic entrant qui n'est pas destiné à une connexion déjà établie ou relatif à une demande de datagramme. NET peut être configuré pour limiter davantage l'ensemble d'adresses IP autorisées à y accéder.

NET fait office de passerelle réseau par défaut et de serveur DNS pour les appliances connectées à son terminal in.

Important : Seuls les terminaux de sortie de la passerelle doivent être reliés au terminal in de NET.

NET permet d'accéder à des services en dehors d'une application dont les noms d'hôte sont déterminés au moment de l'exécution (par exemple, des adresses de serveur de messagerie obtenues à partir d'enregistrements DNS MX ou de robots de moteur de recherche devant parcourir Internet).

Périmètre

Ressources

Terminaux

L'interface externe est activée. Elle est utilisée pour le trafic sortant. Ses paramètres réseau sont configurés à l'aide des propriétés.

L'interface par défaut est activée. Elle est utilisée pour la maintenance (connexions SSH entrantes).

Propriétés

Messages d'erreur

Les messages suivants peuvent s'afficher dans le fichier journal de l'appliance ou dans le journal système du contrôleur de grille lorsque l'appliance ne parvient pas à démarrer :

• iptables failed to start
• named service failed to start
• Failed to set up rules (exit code <code>); using backup rule set

Failed to set up backup rule set (exit code <code>)

Utilisation standard

Le diagramme suivant affiche une utilisation standard de NET pour une application de serveur de messagerie simple qui accède à Internet pour transférer du courrier à l'aide de NET.

Récapitulatif des parties

• in - appliance de passerelle d'entrée, classe in
• mailman - appliance de serveur SMTP, classe smtp
• out - appliance de passerelle de sortie, classe net

in transfère les connexions entrantes au serveur mailman. Mailman traite la requête de messagerie et envoie le courrier sortant via la passerelle net. Pour chaque message, le courrier est envoyé en deux étapes : d'abord, l'envoi d'une requête DNS au serveur de messagerie cible, puis l'envoi du message à ce serveur. La passerelle net envoie la requête DNS du serveur mailman au serveur DNS spécifié et établit la connexion avec le serveur de messagerie cible.

L'appliance smtp affichée dans l'exemple susmentionné n'est pas livrée avec CA 3Tera AppLogic.

Les sections suivantes décrivent la configuration de NET dans plusieurs cas d'utilisation standard.

Accès illimité aux domaines standard

Dans ce mode, NET est configuré d'une façon très similaire à une passerelle réseau standard (par exemple, pour la connexion d'un réseau LAN à Internet à l'aide d'ISP).

Exemple :

Remarque : Beaucoup de sociétés ont des domaines internes qui ne peuvent être résolus que via leurs serveurs DNS privés (par exemple, .local ou .localdomain). Pour utiliser ces domaines, configurez les propriétés dns1 et dns2 afin de les faire pointer vers ces serveurs DNS privés. Reportez-vous également à la fonctionnalité de restrictions d'hôtes ci-dessous.

Accès illimité aux domaines standard à l'aide de serveurs DNS racines

Dans ce mode, NET ne nécessite aucun serveur DNS spécifique et utilise un ensemble de serveurs racines Internet préconfigurés.

Exemple :

Important : Dans ce mode, NET doit accéder aux serveurs DNS racines (faute de quoi il fait échouer toutes les requêtes DNS). La propriété gateway doit être spécifiée.

Accès restreint aux domaines privés

Dans ce mode, NET est limité à l'accès de certains réseaux, en autorisant et en refusant certains hôtes et sous-réseaux.

Exemple :

Important : Dans ce mode, les serveurs DNS doivent figurer dans l'ensemble des hôtes autorisés.

Remarques

Remarques générales

En général, le seul type de terminal de sortie qui devrait être connecté au terminal in de NET est une sortie de passerelle. Ces sorties diffèrent des sorties standard en agissant comme des passerelles par défaut pour leurs appliances, en permettant des connexions à plusieurs hôtes (par opposition à l'accès hôte unique fourni par les sorties standard). Les sorties de passerelle sont représentées par un carré bleu dans la forme du terminal, tandis que les sorties standard sont représentées par des flèches rouges.

Remarques :

• Pour plus d'informations sur les types de terminal de sortie, reportez-vous au Manuel de référence du langage ADL.
• La connexion d'une sortie standard à la passerelle NET fournit uniquement des résolutions DNS. Il s'agit d'une utilisation valide de la passerelle NET (essentiellement en tant que service de résolution DNS).
• Si un hôte figure, directement ou en tant que partie d'un sous-réseau, à la fois dans les listes allowed_hosts et denied_hosts, NET lui refuse l'accès. NET rejette d'abord tous les hôtes refusés, puis autorise uniquement ceux figurant dans la liste des hôtes autorisés (pratique de sécurité standard).
• Si votre application ne doit pas accéder à un réseau entier mais à un hôte particulier (par exemple, ftp.CA.com), il est recommandé d'utiliser l'appliance de passerelle OUT.

NET n'est pas utilisé pour fournir des requêtes entrantes à une application. La requête entrante peut être gérée à l'aide de l'appliance de passerelle d'entrée.

Logiciels tiers et Open Source utilisés dans l'appliance

NET utilise les packages Open Source tiers suivants en plus des packages Open Source tiers utilisés par sa classe de base LUX5.