firewall
Pascal
je sais bien que le sujet a �t� trait� maintes et maintes fois mais je n'ai pas
les posts sous les yeux.
Je suis � la recherche d'un firewall simple et l�ger mais performant pour window
Le site de matousec met en avant les avantages de certains firewall pour
certains v�ritables usine � gaz.
Serait t'il possible, afin d'aider au choix de lister les firewall de
qualit� et le retour d'experience des utilisateurs agr�ment�s
d'arguments s�rieux.
�a m'aiderait grandement dans mon choix et j'ose imaginer que je ne
serai pas le seul
Je suis tomb� sur openfirewall qui m'al'air bien (bas� sur tdi et wipfw)
qu'en penser.
merci d'avance
Christophe Bachmann
Pour un firewall simple et l�ger, utilise celui de windows (� partir de
XP SP2) pour un firewall r�ellement efficace ne compte pas sur le fait
qu'il soit simple et l�ger, car vu la complexit� du sujet il faut du
peaufinage en r�gle.
--
Greetings, Salutations,
Guiraud Belissen, Ch�teau du Ciel, Drachenwald,
Chris CII, Rennes, France
Fabien LE LEZ
>pour un firewall r�ellement efficace ne compte pas sur le fait
>qu'il soit simple et l�ger, car vu la complexit� du sujet il faut du
>peaufinage en r�gle.
Pas simple, peut-�tre.
Mais un firewall configurable et configur� peut rester l�ger, tant
qu'il se limite � autoriser, ou non, un paquet � entrer ou sortir.
S'il se met � faire des trucs louches (modifier les paquets � la
vol�e, acc�der � des fichiers, etc.), l� �videmment il devient lourd
et inefficace.
Pascal
Az Sam
4b1d4497$0$12802$426a...@news.free.fr...
> du coup lequel correspond � �a ?
celui de windows.
Tres bien a partir de XP
complet entree/sortie a partir de vista
--
Cordialement,
Az Sam.
Rickyki
> "Pascal" <xxx...@xxx.fr> a ï¿œcrit dans le message de news:
> 4b1d4497$0$12802$426a...@news.free.fr...
>> du coup lequel correspond ￜ ￜa ?
> celui de windows.
> Tres bien a partir de XP
> complet entree/sortie a partir de vista
Regarde Online Armor gratuit
Il est leger ,fait son boulot sans t'enquiquiner et le plus il a un
Hipps (gardien des programmes)supper
--
Jean
Stephane Catteau
> Je suis ￜ la recherche d'un firewall simple et lￜger mais performant pour
> window Le site de matousec met en avant les avantages de certains firewall
> pour certains vￜritables usine ￜ gaz.
Sunbelt Personnal Firewall est trï¿œs bon et gratuit. Il fait juste
chier une fois de temps en temps en rappelant que la pï¿œriode d'essais
est terminï¿œe et que l'on peut payer pour bï¿œnï¿œficier des plus gï¿œniaux
super ou continuer avec la version gratuite (qui est suffisante).
Par contre si je n'ai jamais eu de problï¿œmes avec l'ordinateur de ma
femme (XP SP2 puis Vista) il a fini par plantￜ irrￜmￜdiablement sur le
mien (XP SP3).
Sinon, en complï¿œment d'un firewall extï¿œrieur (qui comblera les
manques) et d'une saine pratique du rï¿œseau, on peut tout aussi bien se
rabattre sur Kerio Personnal Firewall, vieux mais que l'on trouve
encore.
Az Sam
"Rickyki" <rickyki(nospam)@wanadoo.fr> a ï¿œcrit dans le message de news:
mn.3ce87d9ca...@wanadoo.fr...
> Hipps (gardien des programmes)supper
voila justement le genre de fonction qui va le rendre impactant
--
Cordialement,
Az Sam.
Ludo
> Sunbelt Personnal Firewall est tr�s bon et gratuit.
>
Cela fait l'affaire en effet.
Inutile de s'orienter vers un fw payant.
Cordialement,
Ludovic.
http://inforadio.free.fr
Pascal
http://www.matousec.com/projects/proactive-security-challenge/results.php ?
merci pour vos r�ponses
Az Sam
"Pascal" <xxx...@xxx.fr> a �crit dans le message de news:
4b3075f4$0$13110$426a...@news.free.fr...
>>
> que penser alors de son classmement ici :
> http://www.matousec.com/projects/proactive-security-challenge/results.php
> ?
>
> merci pour vos r�ponses
que la liste des produits des tests 1 et 2 n'est pas la meme que celle des
test 3 a 10 ?
du copup, forcement, les exclus ne vont pas plus loin que le niveau 2 :-/
--
Cordialement,
Az Sam.
Pascal
du coup celui-ci fera l'affaire ou pas ?
merci encore
Pascal
>
pas trop comment faire (par curiosit�) pour connaitre mes ports ouverts
depuis un site d�di� � ce genre de test dans la mesure ou je suis
derri�re une freebox en mode routeur
ton avis sur isafer ?
merci encore
Az Sam
> j'ai opt� pour isafer qui me smeble vraiment bien, par contre je ne vois
> pas trop comment faire (par curiosit�) pour connaitre mes ports ouverts
> depuis un site d�di� � ce genre de test dans la mesure ou je suis derri�re
> une freebox en mode routeur
>
>
> ton avis sur isafer ?
je ne connais pas.
Mon avis pour tous les parefeu : ok si on a defini precisement qui, quoi ,
par ou, vers ou et quand ?
Donc gestion precise et administration severe.
Tres bien pour les systemes info dont les communications sont fix�es. On le
fait une bonne fois et ca ne bouge plus. (quoique..)
Pour un Pc versatile pouvant faire des multitudes d'acces varies, c'est
impensable, ca prend des heures de gestion hebdomadaires avec process de
prise de decision a chaque fois.
Le risque d'autoriser quand il faudrait bloquer devient �lev�. Et vaoir un
parfe feu trou� est pire que pas de pare feu tout court. (acces privil�gi� a
celui qui a reussi a faire creer le trou)
--
Cordialement,
Az Sam.
Pascal
plus globalement une application.
Je l'ai r�gl� sur "j'interdit tout" et j'autorise au coup par coup sans
popup intempestive.
il ets plutot pas mal, par contre vue ma config je ne sais pas trop
comment le tester
mais je vais lui faire confiance pour l'instant.
C'est un petit firewall bien l�ger visiblement issu du libre...
merci pour tes infos
Mihamina Rakotomandimby
> pour connaitre mes ports ouverts
> derrière une freebox en mode routeur
Fais un test _sur_ ta freebox?
Si l'exterieur ne voit rien "d'ouvert", en toute logique, que peut-il
t'arriver sur le LAN?
--
/home/mihamina/.signature
warr
> isafer permet simplement et pr�cis�ment d'autoriser ou non un flux ou
> plus globalement une application.
> Je l'ai r�gl� sur "j'interdit tout" et j'autorise au coup par coup sans
> popup intempestive.
> il ets plutot pas mal, par contre vue ma config je ne sais pas trop
> comment le tester
> mais je vais lui faire confiance pour l'instant.
> C'est un petit firewall bien l�ger visiblement issu du libre...
vieille nouvelle version 3 de 2005/06/17 lien mort chez moi
http://isafer.sourceforge.net/
tu le prends o� ?
warr
Pascal
effectivement vieille version mais qui semble fonctionner correctement.
Petit b�mol : j'utilise un soft upnp (freemi) celui-ci n�cessite que
quelques ports soient ouverts et je n'ai pas encore r�ussi � ouvrir les
bons, pour lereste il marche plutot bien, en attendant de trouver mieux
et plus r�cent
warr
merci .
>
> effectivement vieille version mais qui semble fonctionner correctement.
je l'essaie demain
> Petit b�mol : j'utilise un soft upnp (freemi) celui-ci n�cessite que
> quelques ports soient ouverts et je n'ai pas encore r�ussi � ouvrir les
> bons, pour lereste il marche plutot bien, en attendant de trouver mieux
> et plus r�cent
et donc tu as deja ouvert les ports ou la plage de ports sur la freebox
en routeur ?
warr
Pascal
"probl�me" vient bien du firewall mais celui-ci n'affiche aucun DENy
donc je vois pas bien quel port autoriser sur celui-ci. Cela n'enl�ve en
rien pour l'instant la qualit�, efficacit� etc... de celui-ci qui reste
un maitre de simplicit�
>
> warr
warr
> Le 02/01/2010 21:54, warr a �crit :
>>
>>> Petit b�mol : j'utilise un soft upnp (freemi) celui-ci n�cessite que
>>> quelques ports soient ouverts et je n'ai pas encore r�ussi � ouvrir les
>>> bons, pour lereste il marche plutot bien, en attendant de trouver mieux
>>> et plus r�cent
>> et donc tu as deja ouvert les ports ou la plage de ports sur la freebox
>> en routeur ?
> oui oui, en fait lorsque je coupe isafer �a fonctionne donc le
> "probl�me" vient bien du firewall mais celui-ci n'affiche aucun DENy
> donc je vois pas bien quel port autoriser sur celui-ci. Cela n'enl�ve en
> rien pour l'instant la qualit�, efficacit� etc... de celui-ci qui reste
> un maitre de simplicit�
>>
>> warr
>
Est ce que tu as fais ce genre d'autorisation:
"add rule" ; en rempla�ant "firefox" par ton logiciel et la plage de
ports 35000 �35020
par celle de la freebox
(ou plusieurs "rule for a single port" si ce sont des ports separ�s)
http://cjoint.com/?bdoY0bgPnM
http://cjoint.com/?bdo0bJjs5D
http://cjoint.com/?bdo0MK2Aju
http://cjoint.com/?bdo1h4mWXE
http://cjoint.com/?bdo1B7nCjk
warr
Pascal
mesure ou lorsque je le coupe il fonctionne) mais que dans les logs il
ne m'affiche pas ce qu'il bloque donc je ne sais pas quel port d�bloquer.
Il me semblait avoir d�bloqu� le n�cessaire mais visiblement il manque
quelque chose mais je ne sais pas quoi
Merci tout de m�me
I N F O R A D I O
>>> Sunbelt Personnal Firewall est tr�s bon et gratuit.
>>>
>>
>> Cela fait l'affaire en effet.
>> Inutile de s'orienter vers un fw payant.
>>
>
>http://www.matousec.com/projects/proactive-security-challenge/results.php ?
>
>merci pour vos r�ponses
>
Salut Pascal,
le souci est de croiser l'information avec d'autres sites
donnant les m�mes r�sultats. Pour ma part, je vais
conserver ton lien qui est a priori remis � jour.
Dans la mesure o� le test oriente vers des firewalls
�galement gratuits, on peut a priori supposer que leur
d�marche est honn�te...
Pour ma part, je n'utilise pas de firewall de ce type,
je me contente de celui du syst�me d'exploitation
et de celui du routeur.
Je ne d�plore aucune intrusion depuis des ann�es.
Le site http://check.sdv.fr/ permet de visualiser les
ports ouverts de son r�seau. Je suppose que si le
site voit tous les ports ferm�s, c'est que la s�curit�
est bonne...
Cordialement,
Ludovic
http://inforadio.free.fr
I N F O R A D I O
> ton avis sur isafer ?
>
Salut Pascal,
je serai assez curieux de conna�tre la raison de ton choix,
Isafer, alors que tu nous as post� tout une liste :
http://www.matousec.com/projects/proactive-security-challenge/results.php
Cordialement,
Ludovic.
http://inforadio.free.fr
Stephane Catteau
> Le site http://check.sdv.fr/ permet de visualiser les
> ports ouverts de son rï¿œseau. Je suppose que si le
> site voit tous les ports fermￜs, c'est que la sￜcuritￜ
> est bonne...
Sauf que tu ne peux utiliser leur scan que si tu n'es pas aussi bien
protￜgￜ que cela, puisque l'adresse pour le scan est :
http://check.sdv.fr:3658/cgi/scan?
^^^^^
Un client HTTP n'a aucune raison de faire une requï¿œte sur un tel port,
par consￜquent sur un ordinateur correctement protￜgￜ la requￜte
n'aboutira jamais et le scan ne fonctionnera pas. Je leur avais dit ￜ
l'ￜpoque oￜ ils ont instaurￜ ￜa (mi 2003 si ma mￜmoire est bonne)
apparament ils n'ont toujours pas pris conscience de l'ï¿œnorme connerie
qu'ils ont faite. En attendant ils donnent une fausse impression de
sￜcuritￜ et contribuent ￜ faire croire qu'un filtre IP ne sert qu'ￜ
empï¿œcher d'entrer.
I N F O R A D I O
>> site voit tous les ports ferm�s, c'est que la s�curit�
>
> Sauf que tu ne peux utiliser leur scan que si tu n'es pas aussi bien
> http://check.sdv.fr:3658/cgi/scan?
> ^^^^^
>
> Un client HTTP n'a aucune raison de faire une requ�te sur un tel port,
>par cons�quent sur un ordinateur correctement prot�g� la requ�te
>n'aboutira jamais et le scan ne fonctionnera pas. Je leur avais dit �
>l'�poque o� ils ont instaur� �a (mi 2003 si ma m�moire est bonne)
>apparament ils n'ont toujours pas pris conscience de l'�norme connerie
>qu'ils ont faite. En attendant ils donnent une fausse impression de
>emp�cher d'entrer.
>
En effet, NOSCRIPT de Filezilla bloque http://check.sdv.fr:3658 ...
A priori, cela permet n�anmoins de trouver les ports ouverts.
Si je comprends bien, tous les ports ouverts ne sont pas visibles.
Aurais-tu un site plus efficace dans ce domaine ?
Cordialement,
Ludovic.
News free
>>
>>> Le site http://check.sdv.fr/ permet de visualiser les
>>> ports ouverts de son réseau. Je suppose que si le
>>> site voit tous les ports fermés, c'est que la sécurité
>>> est bonne...
>>
>> Sauf que tu ne peux utiliser leur scan que si tu n'es pas aussi bien
>> protégé que cela, puisque l'adresse pour le scan est :
>> http://check.sdv.fr:3658/cgi/scan?
>> ^^^^^
>>
>> Un client HTTP n'a aucune raison de faire une requête sur un tel port,
>> par conséquent sur un ordinateur correctement protégé la requête
>> n'aboutira jamais et le scan ne fonctionnera pas. Je leur avais dit à
>> l'époque où ils ont instauré ça (mi 2003 si ma mémoire est bonne)
>> apparament ils n'ont toujours pas pris conscience de l'énorme connerie
>> qu'ils ont faite. En attendant ils donnent une fausse impression de
>> sécurité et contribuent à faire croire qu'un filtre IP ne sert qu'à
>> empécher d'entrer.
>>
>
> En effet, NOSCRIPT de Filezilla bloque http://check.sdv.fr:3658 ...
>
> A priori, cela permet néanmoins de trouver les ports ouverts.
> Si je comprends bien, tous les ports ouverts ne sont pas visibles.
>
> Aurais-tu un site plus efficace dans ce domaine ?
>
> Cordialement,
> Ludovic.
>
A combien évalues-tu cette information ?
--
TT
Ludo
>En effet, NOSCRIPT de Filezilla bloque http://check.sdv.fr:3658 ...
>
>A priori, cela permet n�anmoins de trouver les ports ouverts.
>Si je comprends bien, tous les ports ouverts ne sont pas visibles.
>
>Aurais-tu un site plus efficace dans ce domaine ?
>
A priori non, alors nous gardons http://check.sdv.fr
qui donne tout de m�me une bonne id�e des ports
ouverts.
Pascal
-------- Message original --------
Au d�part je recherche une solution open source pas trop lourde, tous ceux de
cette fameuse liste sont assez lourd � mon gout et de plus la liste ne me parle
pas beaucoup
Enfin isafer fait juste ce que je lui demande, � savoir ouvrir et fermer des ports
Robert H.
Bonjour,
Je suis pas technicien mais ce site correspond peut-�tre � votre
demande?
I N F O R A D I O
>
> ce site correspond peut-�tre � votre demande?
>
>https://www.grc.com/x/ne.dll?bh0bkyd2
>
Ma foi, possible... En tout cas j'archiverai ce
lien sur ma page web de r�sum� sur la s�curit�
informatique.
Merci.
:)
Ludovic
http://inforadio.free.fr
Stephane Catteau
>> https://www.grc.com/x/ne.dll?bh0bkyd2
C'est triste ￜ dire, mais c'est ￜ ma connaissance le seul qui soit
encore fiable de nos jours.
> Ma foi, possible... En tout cas j'archiverai ce
> lien sur ma page web de rￜsumￜ sur la sￜcuritￜ
> informatique.
Waouu, le grand maￜtre de la sￜcuritￜ informatique qui dￜcouvre
l'existence du tout premier site proposant au grand public de tester la
configuration de son filtre IP. Mï¿œme mon fffounet chï¿œrichounet le
connait depuis plus de neuf ans[1], ï¿œa fait peur...
[1]
<http://groups.google.fr/group/fr.comp.securite/msg/fc3ecdd161f32702>
Roland Garcia
Mondieumondieu, bientï¿œt il va dï¿œcouvrir les connexions sortantes et le
LeakTest...
http://www.grc.com/lt/leaktest.htm
--
Roland Garcia
Bapyr barre
> Waouu, le grand ma�tre de la s�curit� informatique qui d�couvre
>l'existence du tout premier site proposant au grand public de tester la
>configuration de son filtre IP.
>
Un site parmi d'autres...
Mais � part, cela, avec ton comparse RG, si tu peux
proposer mieux que tes propos verbeux, ne te g�ne
pas...
Stephane Catteau
> Un site parmi d'autres...
Quelqu'un a dit le contraire ?
> Mais ￜ part, cela, avec ton comparse RG, si tu peux
> proposer mieux que tes propos verbeux, ne te gï¿œne
> pas...
On l'a dￜjￜ fait, ￜ de nombreuses reprises, mais ludovic te ressemble
ï¿œnormï¿œment du point de vue des oeillï¿œres neuronales.
Fu2
Roland Garcia
Mme Michu fait d�j� mieux, comme en s�curit� informatique elle n'y
entend rien au moins elle n'�crit rien ni ne donne aucun conseil.
Et ce que je dis est s�rieux.
--
Roland Garcia
siger
> Sinon, en compl�ment d'un firewall ext�rieur (qui comblera les
> manques) et d'une saine pratique du r�seau, on peut tout aussi
> bien se rabattre sur Kerio Personnal Firewall, vieux mais que l'on
> trouve encore.
Je n'utilise pas de parefeu ext�rieur, ma Freebox n'est pas en mode
routeur, j'utilise XP-SP3 et Kerio v2.1.5 (le parefeu de XP est aussi
actif)
Pour info, je suis all� ici :
https://www.grc.com/x/ne.dll?bh0bkyd2
et j'ai tout bon jusqu'� "messenger spam" que je n'ai pas compris, j'ai
cliqu� 2 fois sur "spam me" et rien ne s'est pass�.
Je suppose donc que le "vieux Kerio" marche encore bien.
--
siger
Stephane Catteau
> Je suppose donc que le "vieux Kerio" marche encore bien.
Mï¿œme le bon vieil @guard marcherait encore bien, s'il pouvait tourner
sur une version rï¿œcente de Windows. Le problï¿œme des vieux filtre IP ce
n'est pas leur inￜfficacitￜ, mais leur absence de prise en compte des
formes d'attaques les plus rï¿œcentes et l'absence des diffï¿œrents gadgets
des temps nouveaux destinￜs ￜ rassurer plus qu'ￜ protￜger.
Ils sont donc suffisant pour une personne qui reste vigilante. A titre
d'exemple, certes @guard ne passe pas le pourtant vieux leaktest, mais
dï¿œs lors que l'utilisateur n'installe pas tout et n'importe quoi sur sa
machine et qu'il jette un oeil de temps en temps sur sa machine, ce
n'est pas d'une grande importance. Il faut juste garder ￜ l'esprit que
le firewall utilisￜ ￜtant vieux, il ne protￜge peut-ￜtre pas de tout.
Fabien LE LEZ
<steph....@sc4x.net>:
>mais leur absence de prise en compte des
>formes d'attaques les plus r�centes
Le probl�me de Kerio 2.x, si je ne m'abuse, est l'absence de filtrage
des paquets fragment�s, qui est loin d'�tre une "forme d'attaque
r�cente", et qui pose probl�me m�me si on n'installe rien sur la
machine.
Ascadix
T'oubli aussi le cas courant de l'incompatibilitￜ avec l'OS non pas
"rￜcent" mais simplement "mis-ￜ-jours" vu comment ces softs doivent
s'imbriquer ï¿œtroitement avec les couches rï¿œseaux de l'OS.
Docn, @guard, ok pour un Win98 ou un 98 1ï¿œre ï¿œdition vu l'age de leur
derniere mise ￜ jours, mais mￜme sur un 98se ..ￜa passe plus vraiment
nickel.
Et pourtant, qu'il ￜtait sympa ￜ l'ￜpoque ce bon vieux @guard ..
'sniff'
--
@+
Ascadix
adresse @mail valide, mais ajoutez "sesame" dans l'objet pour que ï¿œa
arrive.
Pascal
>
> "Rickyki" <rickyki(nospam)@wanadoo.fr> a ï¿œcrit dans le message de news:
> mn.3ce87d9ca...@wanadoo.fr...
>
>> Hipps (gardien des programmes)supper
>
> voila justement le genre de fonction qui va le rendre impactant
>
ￜ la lecture de tous ces posts...... je ne sais tojours pas vraiment
quel firewall choisir isafer me pliat bien mais il a quelques manques un
irewall dans cet esprit au gout du jour me plairait bien mais je n'en
vois pas
Stephane Catteau
>> mais leur absence de prise en compte des
>> formes d'attaques les plus rï¿œcentes
>
> Le problï¿œme de Kerio 2.x, si je ne m'abuse, est l'absence de filtrage
> des paquets fragmentï¿œs, qui est loin d'ï¿œtre une "forme d'attaque
> rï¿œcente",
Tout dï¿œpend de quel point de vue tu te places, le dernier
dï¿œveloppement de KPF c'est fin 2004 si ma mï¿œmoire est bonne, donc pour
lui c'est une attaque rï¿œcente.
> et qui pose problï¿œme mï¿œme si on n'installe rien sur la machine.
Oui, mais cela a-t-il vraiment une importance dans le cas de figure
prï¿œsent ? A mon sens, l'intï¿œrï¿œt premier d'un filtre IP *sur une machine
perso isolï¿œe* est avant tout de filtrer le trafic sortant et de
prï¿œmunir contre la plus part des vers ? Dans 99,99% des cas, seul un
attaquant humain s'appuyera sur des attaques plus ï¿œvoluï¿œes, les vers et
autres saloperies, disons "automatique", allant eux au plus simple. De
ce point de vue KPF rempli son role.
Aprï¿œs il reste certe le problï¿œme des paquets fragmentï¿œs, qui offrent
un point d'entrￜe ￜ un attaquant, mais un point d'entrￜe vers quoi ? Si
l'utilisateur configure bien le serveur HTTP qu'il a installￜ sur sa
machine pour s'occuper de sa page perso ￜ lui qu'il a, et surtout qu'il
le tient ￜ jour, qu'importe que Kerio laisse passer les paquets
fragmentￜs, ils se heurteront finalement ￜ un mur. La seule faille se
situe au niveau du systï¿œme lui-mï¿œme, mais XP et les versions suivantes
de Windows n'ont plus grand chose ￜ voir avec Win98, si le systￜme est
bien configurￜ lￜ aussi il n'y aurait pas grand chose ￜ faire une fois
passￜ le filtre IP.
Au final c'est avant tout une question de vigilance ; le filtre IP
n'est pas parfait, si on n'oublie pas et que l'on en tient compte, les
risques se retrouvent quand mￜme considￜrablement rￜduit par rapport ￜ
un filtre IP que l'on comprend moins bien (et donc configure moins
bien) ou, pire, ￜ une machine sans le moindre filtre IP.
Et puis, mine de rien, les tests comme celui de Gibson ne sont pas
destinￜs uniquement ￜ tester le filtre IP, on peut, voir devrait, aussi
les faire avec le filtre IP dￜsactivￜ, pour s'assurer qu'il n'y a pas
de ports qui restent accessibles ￜ notre insu.
Stephane Catteau
> Docn, @guard, ok pour un Win98 ou un 98 1ï¿œre ï¿œdition vu l'age de leur
> derniere mise ￜ jours, mais mￜme sur un 98se ..ￜa passe plus vraiment
> nickel.
Chez moi ï¿œa marchait ;)
> Et pourtant, qu'il ￜtait sympa ￜ l'ￜpoque ce bon vieux @guard ..
> 'sniff'
Si on regarde bien, c'est l'ancï¿œtre du filtre IP personnel, et il
existe encore ￜ sa faￜon, puisque c'est lui qui avait servi de base au
dï¿œveloppement de Tiny PF, devenu ensuite Kerio PF puis Sunbelt PF. Il
allait ￜ l'essentiel, ne faisant qu'une chose mais la faisant bien,
c'est ï¿œa surtout qui manque de nos jours.
Stephane Catteau
> ￜ la lecture de tous ces posts...... je ne sais tojours pas vraiment
> quel firewall choisir isafer me pliat bien mais il a quelques manques un
> irewall dans cet esprit au gout du jour me plairait bien mais je n'en
> vois pas
Est-ce que ces manques sont rï¿œellement importants ? Qu'importe ce
qu'il fait ou ne fait pas, le firewall ￜ choisir est celui dont tu
comprends la logique, parce que c'est aussi celui que tu configureras
le mieux. Tous les firewalls personnels pour Windows ont une base de
filtrage IP, et au bout du compte c'est la seule chose qui importe
vraiment. Aprï¿œs ils ont tous, ou presque, des petits plus qui les
rapproches du firewall ￜ proprement dit, mais ce ne sont pas forcￜment
des options utiles et/ou intï¿œressantes.
Pascal
-------- Message original --------
En fait il y a un soucis que je ne m'explique pas :
lorsque le firewall me bloque une connection un deny est inscrit dans les logs
et donc ￜ moi d'autoriser ou non la connection.
Par contre j'utilise une petite appli avec la freebox : freemiupnp permettant de
lire les diffￜrents mￜdias de mon pc sur la tￜlￜ.
j'ai l'impression d'avoir autorisￜ tout ce qu'il fallait et pourtant ￜa ne
fonctionne pas, pas de deny dans les logs. Lorsque je dï¿œsactive isafer ï¿œa
fonctionne . Donc isafer bloque bien quelque chose mais ne me le dis pas.
voilￜ entre autre les petits soucis rencontrￜs avec ce firewall qui malmgrￜ tout
fait bien son boulot
I N F O R A D I O
>Le probl�me de Kerio 2.x, si je ne m'abuse, est l'absence de filtrage
>des paquets fragment�s, qui est loin d'�tre une "forme d'attaque
>r�cente", et qui pose probl�me m�me si on n'installe rien sur la
>machine.
Ce probl�me est corrig�.
J'ai conserv� la modification � r�aliser dans la base de registre :
http://inforadio.free.fr/articles.php?lng=fr&pg=57
Para 1.
Je l'utilise toujours sous Xp avec le firewall de Windows en
fonction, je ne rencontre pas de bug particulier.
Mais je ne l'utilise pas seul.
Maintenant, � la lecture de toutes les r�ponses, en
effet, aucune id�e claire sur "le meilleur firewall"...
Cordialement,
Ludovic.
TT free
>>
>> Le problème de Kerio 2.x, si je ne m'abuse, est l'absence de filtrage
>> des paquets fragmentés, qui est loin d'être une "forme d'attaque
>> récente", et qui pose problème même si on n'installe rien sur la
>> machine.
>
> Ce problème est corrigé.
>
> J'ai conservé la modification à réaliser dans la base de registre :
> http://inXXXXfree.fr/articles.php?lng=fr&pg=57
> Para 1.
>
> Je l'utilise toujours sous Xp avec le firewall de Windows en
> fonction, je ne rencontre pas de bug particulier.
> Mais je ne l'utilise pas seul.
>
> Maintenant, à la lecture de toutes les réponses, en
> effet, aucune idée claire sur "le meilleur firewall"...
>
> Cordialement,
> Ludovic.
Se méfier des autopublicités.
--
TT
Stephane Catteau
>> Le problï¿œme de Kerio 2.x, si je ne m'abuse, est l'absence de filtrage
>> des paquets fragmentï¿œs, qui est loin d'ï¿œtre une "forme d'attaque
>> rï¿œcente", et qui pose problï¿œme mï¿œme si on n'installe rien sur la
>> machine.
>
> Ce problￜme est corrigￜ.
A l'ￜpoque oￜ le correctif ￜtait sorti, il n'a ￜtￜ ni annoncￜ
officiellement, ni distribuￜ par Kerio, qui avait dￜjￜ abandonnￜ le
dￜveloppement de KPF. Alors, ￜ moins que tu n'ais une preuve quelconque
du caractï¿œre officiel de ce correctif[1], je dï¿œconseille plus que
fortement son utilisation. Il vaut mieux utiliser un KPF que l'on sait
vulnï¿œrable aux paquets fragmentï¿œs, qu'utiliser un KPF dont l'on ignore
s'il n'a pas une backdoor, ou que sais-je d'autre, en son sein.
[1]
Qui peut parfaitement avoir ￜtￜ fait par l'un des dev' sur son temps
libre.
Stephane Catteau
> j'ai l'impression d'avoir autorisￜ tout ce qu'il fallait et pourtant ￜa ne
> fonctionne pas, pas de deny dans les logs.
Il n'est pas rare qu'un filtre IP dispose d'une rï¿œgle de deny par
dï¿œfaut, c'est peut-ï¿œtre elle qui bloque ; comme elle serait alors
d'origine elle peut ne pas ï¿œtre configurï¿œe pour logger ce qu'elle fait.
> Lorsque je dï¿œsactive isafer ï¿œa fonctionne. Donc isafer bloque bien
> quelque chose mais ne me le dis pas.
D'aprï¿œs le site de freemiupnp, le logiciel n'utilise que deux ports.
Par dï¿œfaut ce sont les ports TCP:51234 et UDP:1900. Donc la premiï¿œre
chose ￜ faire est de crￜer une[1] rￜgle ouvrant les port 51234 et 1900
en UDP et TCP et en entrï¿œe autant qu'en sortie. Tu ne spï¿œcifies pas le
programme concernￜ et tu places cette rￜgle au tout dￜbut de la liste.
Aprￜs tu affines la rￜgle au fur et ￜ mesure jusqu'ￜ ce qu'elle
corresponde ￜ ce que tu souhaites, ou qu'elle ne fonctionne plus.
Chaque essais t'en apprenant un peu plus sur les causes possibles du
bloquage.
Vￜrifie aussi que tu n'as pas changￜ la configuration de freemiupnp
sans y avoir fait attention.
[1]
ou deux si on ne peut pas dï¿œsigner plusieurs ports par rï¿œgle.
Az Sam
"Stephane Catteau" <steph....@sc4x.net> a ï¿œcrit dans le message de news:
mn.7c717da2b...@sc4x.org...
>
> A l'ￜpoque oￜ le correctif ￜtait sorti, il n'a ￜtￜ ni annoncￜ
> officiellement, ni distribuￜ par Kerio, qui avait dￜjￜ abandonnￜ le
> dￜveloppement de KPF. Alors, ￜ moins que tu n'ais une preuve quelconque
> du caractï¿œre officiel de ce correctif[1], je dï¿œconseille plus que
> fortement son utilisation. Il vaut mieux utiliser un KPF que l'on sait
> vulnï¿œrable aux paquets fragmentï¿œs, qu'utiliser un KPF dont l'on ignore
> s'il n'a pas une backdoor, ou que sais-je d'autre, en son sein.
>
>
> [1]
> Qui peut parfaitement avoir ￜtￜ fait par l'un des dev' sur son temps
> libre.
Je pense que la lulu ne pense pas au patch. Pas de modif de kerio mais une
modif du registre de Windows
Fabien Le Lez s'interrogeait en 2005 sur le sujet :
http://www.generation-nt.com/reponses/kerio-2-1-5-la-solution-entraide-190012.html
Je me demande meme si ce n'etait pas ici aussi d'ailleurs :-)
(bien que google groups me dise non)
--
Cordialement,
Az Sam.
Ludo
> A l'�poque o� le correctif �tait sorti, il n'a �t� ni annonc�
>officiellement, ni distribu� par Kerio, qui avait d�j� abandonn� le
>d�veloppement de KPF. Alors, � moins que tu n'ais une preuve quelconque
>du caract�re officiel de ce correctif.
>
Que de familiarit�, ce Az Sam... Depuis que j'ai mis
le doigt sur son incomp�tence � utiliser un multim�tre
sur un autre forum...
;)
Enfin, il se sert de sa m�moire, c'est bien...
Bref, Stephane, tu iras lire le correctif en question et dans tous
les cas de figure, il ne peut gu�re faire de mal et en aucun
cas provoquer une faille de s�curit� suppl�mentaire...
Mais je ne suis pas l� pour convaincre, tu fais bien ce que
tu veux St�phane.
Cordialement,
Ludovic
Fabien LE LEZ
.>:
>Ce probl�me est corrig�.
Le mot exact est "contourn�".
Stephane Catteau
>> Ce problￜme est corrigￜ.
>
> Le mot exact est "contournￜ".
Non, configurer Windows pour qu'il n'utilise pas les paquets
fragmentï¿œs ce n'est pas que contourner le problï¿œme, c'est carrï¿œment
l'ignorer. N'oublions pas que le plus souvent ce sont des utilisateurs
lambda qui sont en face, le genre d'utilisateur qui reinstallera
Windows sans aucun remords parce que c'est dit sur un forum, un site,
ou parce qu'un hotliner avait pas envie de se casser le cul.
Autant cette personne fera la correction en passant, parce qu'elle
aura lu quelque part qu'il faut le faire, autant elle aura complï¿œtement
oubliￜ tout ￜa lorsqu'elle rￜinstallera Windows. Et comme elle a agit
sans rï¿œellement comprendre pourquoi[1], il ne faut pas compter que ï¿œa
fasse tilt dans son esprit lorsqu'arrivera le moment de rï¿œinstaller
Kerio PF.
[1]
La faute nous incombes le plus souvent.