Packet Filter
Cet article est une ébauche concernant un logiciel et la sécurité informatique.
Vous pouvez partager vos connaissances en l’améliorant (comment ?) selon les recommandations des projets correspondants.
Consultez la liste des tâches à accomplir en page de discussion.
| Développé par | Projet OpenBSD (d) |
|---|---|
| Dépôt | cvsweb.openbsd.org/src |
| Écrit en | C |
| Type | Pare-feu |
| Licence | Licence BSD |
| Site web | www.openbsd.org/faq/pf/index.html |
Packet Filter (ou PF) est le pare-feu logiciel et officiel d'OpenBSD, écrit à l'origine par Daniel Hartmeier. C'est un logiciel libre gratuit.
Il remplace IPFilter de Darren Reed depuis la version 3.0 d'OpenBSD, à la suite de problèmes de licence, mais aussi des refus systématiques de Reed d'incorporer des modifications de code venant de développeurs OpenBSD.
Il a été porté sur DragonFly BSD 1.2 et NetBSD 3.0 ; il est fourni en standard sur FreeBSD (version 5.3 et ultérieures).
Depuis OS X v10.7 Lion, c'est le pare-feu par défaut des Apple Macintosh.
Un port gratuit de PF a également été réalisé pour les systèmes d'exploitation Windows 2000 et XP par la communauté Core FORCE. Ce port n'est cependant qu'un pare-feu personnel : il n'implémente pas les fonctions de PF permettant de faire du NAT ou d'utiliser ALTQ
Gestion de la bande passante[modifier | modifier le code]
Depuis OpenBSD 3.0, la mise en queue alternée (ALTQ) fait partie du système de base.
Depuis OpenBSD 3.3, ALTQ est intégrée dans PF.
L'implémentation d'ALTQ dans OpenBSD supporte les algorithmes de Mise en Queue par classes (CBQ) et de Mise en Queue par priorité (PRIQ), mais aussi la Détection Aléatoire Anticipée (RED) et la Notification de Congestion Explicite (ECN).
L'intégration d'ALTQ dans PF permet entre autres de définir la priorité d'un trafic dans le filtre qui l'autorise[1].
Ceci permet par exemple :
- de rendre HTTP prioritaire par rapport à SMTP pour rendre le surf sur internet prioritaire par rapport à l'envoi de mails ;
- de rendre les petits paquets d'acquittements prioritaires par rapport aux autres paquets, ce qui est très pratique pour les accès à Internet asymétriques (ADSL…) ;
- de réserver des bandes passantes minimums pour des applications temps réels comme la VoIP.
Particularités[modifier | modifier le code]
- Le chargement de la configuration est atomique : si une erreur de syntaxe ou de cohérence est trouvée dans le fichier configuration lors de la lecture des règles, le pare-feu n'est pas modifié ;
- Grâce à la Gestion de La Bande Passante et l'intégration de ALTQ, Packet Filter offre un contrôle souple des flux et des performances réseau ;
- Pour des raisons de sécurité, PF ne fait pas d'inspection de service (comme FTP, RPC) dans le noyau. En effet l'inspection de service étant complexe, tout bogue pourrait permettre la prise de contrôle de la machine. Pour faire de l'inspection de service, il faut installer un proxy qui lui tourne dans l'espace utilisateur ;
- Les développeurs ont fourni un effort important pour rendre la syntaxe lisible, souple et claire (les erreurs de configuration représentant un danger majeur pour la sécurité d'un pare-feu) ;
- Grâce à l'utilisation combinée de pfsync et CARP, PF peut utiliser de la redondance pour assurer de la haute disponibilité ;
- Le fait que PF (comme IPF) ne fasse pas d'inspection de service, mais impose l'utilisation de proxy est gênant quand il manque un proxy pour un protocole. Par exemple, il n'y a pas de proxy pour les protocoles basés sur RPC, ni pour le protocole UPnP (Universal Plug and Play) ;
- Comme la plupart des pare-feu libres, PF ne gère pas IPsec, les proxys, les IDS, les serveurs d'authentification ou d'autres technologies que les pare-feu commerciaux ont l'habitude de gérer. Pour faire cela, il faut utiliser d'autres modules BSD qui se configurent séparément ;
- Les IDS et logiciels antivirus conçus pour une intégration étroite avec les logiciels pare-feu supportent rarement PF (et plus généralement, les pare-feu des systèmes BSD) ;
Commandes et paramètres[modifier | modifier le code]
Quelques exemples d'utilisation de pfctl, l'outil d'administration en ligne de commande des pare-feu utilisant PF :
| Commande | Action |
|---|---|
| pfctl -e | Active Packet Filter. |
| pfctl -d | Désactive Packet Filter. |
| pfctl -f <fichier> | Charge les règles décrites par le fichier dans PF. Si une seule erreur de syntaxe est trouvée dans le fichier, rien n'est changé. |
| pfctl -s nat | Affiche les règles de NAT activées. |
| pfctl -s rules | Affiche les règles de filtrage activées. |
Exemple de configuration[modifier | modifier le code]
Explications élémentaires sur la syntaxe :
- les valeurs des macros sont automatiquement substituées lors de l'évaluation de la configuration ;
- la syntaxe $interface:network se voit automatiquement substituer l'adresse du réseau attachée à $interface ;
- le mot clef « egress » est automatiquement remplacé par le nom de l'interface à laquelle est attachée la route par défaut, et « (egress) » par son IP. Ces valeurs sont mises à jour dynamiquement en cas de changement.
# Macros int_if="rl0" ports_ouverts_pour_tous="{ http https }" ports_ouverts_pour_lequipe="{ ssh 21 60000:60100 }" # Tables table <ip_de_lequipe> { XXX.XXX.XXX.XXX, XXX.XXX.XXX.XXX, XXX.XXX.XXX.XXX } # Normalisation du trafic scrub in no-df # NAT nat on egress -> (egress) # Règles de filtrage block in pass out keep state pass in on egress proto tcp from <ip_de_lequipe> to port $ports_ouverts_pour_lequipe pass in on egress proto tcp to port $ports_ouverts_pour_tous block in quick on $int_if proto tcp from $int_if:network to port 4662 pass quick on !egress Références[modifier | modifier le code]
Voir aussi[modifier | modifier le code]
Les autres pare-feu libres[modifier | modifier le code]
- Linux nftables, pare-feu libre des noyaux Linux disponible depuis v 3.13
- Linux Netfilter, pare-feu libre des noyaux Linux 2.4 et 2.6.
- Linux Ipchains, pare-feu libre du noyau Linux 2.2.
- IPFilter ou IPF, pare-feu libre de BSD et Solaris 10.
- Ipfirewall ou IPFW, pare-feu libre de FreeBSD.
Liens externes[modifier | modifier le code]
- (en) [1]
- (en) La FAQ PF Officielle
- (fr) La FAQ PF Officielle
- (en) La page de manuel de pf.conf (le format de configuration)
- (en) La page de manuel de pfctl (la commande principale de pf)
- (en) La page de manuel de brconfig (Pont filtrant)
- (en) PF: Haute-disponibilité des pare-feu avec CARP et pfsync
- (fr) PF: Haute-disponibilité des pare-feu avec CARP et pfsync
- (en) Le site de la CoreForce
- (en) Projet de daemon UPnP pilotant PF
