[FAQ] fr.comp.reseaux.ip : Petit cours sur la NAT
Eric Lalitte
:::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::
------------------- Petit cours sur la NAT --------------------
Auteur: Toto <bi...@antionline.org>
Disponible sur <http://www.lalitte.com/nat>
Derniￜre mise ￜ jour 15/10/02 (version prￜcￜdente 19/02/02)
:::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::
Les phrases/paragraphes ajoutï¿œs et/ou modifiï¿œs sont prï¿œcï¿œdï¿œs
du caractï¿œre "|".
Sommaire
--------
1 - Introduction
1.1 - Objet de ce cours
1.2 - Rï¿œutilisation de ce cours
1.3 - Dï¿œcharge
1.4 - Votre travail.
2 - Dï¿œfinitions
2.1 - L'identification des machines
2.2 - L'adressage IP
2.3 - Qu'est-ce que la NAT ?
3 - La NAT statique
3.1 - Le principe
3.2 - Pourquoi je ne peux pas accￜder ￜ Internet avec une
adresse privï¿œe ?
3.3 - Le fonctionnement de la NAT statique
3.4 - Avantages et inconvï¿œnients de la NAT statique
3.5 - Problￜmes de routage liￜs ￜ l'utilisation de la NAT
statique (proxy ARP)
3.6 - Problￜmes de routage liￜs ￜ l'utilisation de la NAT
statique (routage sur la passerelle)
4 - La NAT dynamique
4.1 - Le principe
4.2 - Le fonctionnement de la NAT dynamique
4.3 - Avantages et inconvï¿œnients de la NAT dynamique
| 4.4 - Problￜmes liￜs ￜ la NAT dynamique (ICMP)
4.5 - Problￜmes liￜs ￜ la NAT dynamique (FTP)
5 - Statique ou dynamique ?
5.1 - Quand faire de la NAT statique ?
5.2 - Quand faire de la NAT dynamique ?
5.3 - Puis-je combiner ces deux mï¿œthodes ?
6 - Comment rendre joignables les machines de mon rï¿œseau
local alors que je n'ai qu'une seule adresse publique ?
6.1 - Explication du problï¿œme
6.2 - Le port forwarding, qu'est-ce que c'est ?
6.3 - Le port mapping, qu'est-ce que c'est ?
6.4 - Les limites du port forwarding
7 - Les proxys
7.1 - Qu'est-ce qu'un proxy ?
7.2 - Qu'est-ce qu'un proxy n'est pas ?
8 - Vaut-il mieux faire de la NAT ou avoir un proxy ?
8.1 - Avantages du proxy
8.2 - Avantages de la NAT
8.3 - Alors ? NAT ou proxy ?
9 - La sￜcuritￜ et la NAT
9.1 - La NAT dynamique permet-elle d'amï¿œliorer ma
sￜcuritￜ ?
9.2 - Est-ce utile pour la sￜcuritￜ d'utiliser un proxy ?
9.3 - La NAT est elle compatible avec IPSEC ?
10 - Utilitaires pour faire de la NAT
10.1 - Sous windows
10.2 - Sous Unix
11 - Mini lexique
11.1 - Modï¿œle OSI
11.2 - IP
11.3 - TCP
11.4 - SNAT ou Source NAT
11.5 - DNAT ou Destination NAT
12 - Annexes
12.1 - Ressources utilisï¿œes
12.2 - Remerciements
12.3 - Faq sur les masques de sous-rï¿œseau
12.4 - Faq sur le routage
13 - Conclusion
=========================
1 - Introduction
----------------
1.1 - Objet de ce cours
Avec le dï¿œveloppement croissant du monde de l'internet,
et notamment des liaisons ￜ connexions permanentes comme le
cï¿œble ou l'ADSL, de plus en plus de particuliers utilisent
de la NAT pour partager leur accï¿œs Internet, parfois mï¿œme
sans le savoir ;-)
Il m'a donc semblￜ opportun de faire un petit cours
rassemblant les idï¿œes principales qui tournent autour de la
NAT, et d'essayer de les clarifier. Ce cours se limitera ￜ
l'ï¿œtude de la NAT sur le modï¿œle TCP/IP.
Pour comprendre les mï¿œcanismes mis en oeuvre dans la NAT,
vous aurez besoin d'avoir quelques connaissances sur le
modï¿œle TCP/IP, et notamment sur les couches 3 et 4 du
modï¿œle OSI (IP et TCP/UDP)
1.2 - Rï¿œutilisation de ce cours
Vous ï¿œtes libre d'utiliser de courts extraits de ce cours
dans la mesure oￜ vous incluez un lien permettant d'avoir
accￜs ￜ l'ensemble du document. Ceci dans le but de
permettre ￜ vos lecteurs d'obtenir facilement un complￜment
d'information.
De mï¿œme, vous ï¿œtes libre de copier le cours dans son
intￜgralitￜ, ￜ condition cependant d'en avertir l'auteur,
et que cette utilisation soit exempte de tout caractï¿œre
commercial (banniï¿œres publicitaires incluses). Cette
restriction ï¿œtant principalement due au plus ï¿œlï¿œmentaire
des respects : celui du temps que j'ai consacrￜ ￜ la
rï¿œdaction de ce cours.
Toute autre utilisation devra faire l'objet d'un accord
prï¿œalable avec l'auteur.
1.3 - Dï¿œcharge
L'auteur dￜcline toute responsabilitￜ concernant la
mauvaise utilisation ou comprï¿œhension du cours qui
engendrerait l'ï¿œcroulement de votre rï¿œseau ;-)
1.4 - Votre travail
La seule et unique tï¿œche que je vous demanderai
d'accomplir sera de corriger mes erreurs (aussi bien dans
la cohï¿œrence des ï¿œlï¿œments avancï¿œs que pour l'orthographe),
me donner des conseils sur ce qui est mal expliquￜ pour le
rendre plus accessible, ajouter des ï¿œlï¿œments qui ont
attrait ￜ la NAT et rendent l'exposￜ plus complet,
combler tout manque pour amï¿œliorer ce cours.
2 - Dï¿œfinitions
---------------
2.1 - L'identification des machines
Pour envoyer du courrier ￜ un ami, vous utilisez son
adresse postale. Ainsi vous ï¿œtes sï¿œr que le paquet que vous
envoyez arrivera ￜ la bonne personne.
Et bien pour les ordinateurs, c'est pareil. Quand vous
connectez votre ordinateur ￜ un rￜseau (Internet par
exemple), il possï¿œde une adresse qui l'identifie d'une
faï¿œon unique pour que les autres ordinateurs du rï¿œseau
puissent lui envoyer des informations.
2.2 - L'adressage IP
Nous avons parlￜ d'adresses pour les machines, il est
temps maintenant de dï¿œfinir ces adresses.
On parle d'adresse IP (Internet protocol), car il s'agit du
protocole qui permet d'identifier les machines et de router
les informations sur Internet. Ces adresses sont codï¿œes sur
4 octets, soit 32 bits. Ce qui nous permet d'avoir 2^32
adresses disponibles (un peu plus de 4 milliards
d'adresses)
Mï¿œme si ce chiffre dï¿œpasse de loin le nombre de machines
prï¿œsentes sur Internet, nous allons bientï¿œt manquer
d'adresses disponibles, notamment parce qu'un grand nombre
de ces adresses sont gï¿œchï¿œes.
En attendant un nouveau standard d'adressage qui permette
d'avoir plus d'adresses disponibles (IPv6), il a fallu
trouver des solutions temporaires. La NAT a notamment ￜtￜ
une rￜponse ￜ cette future pￜnurie d'adresses.
Nous allons voir en quoi elle consiste, et quels sont ses
avantages et inconvï¿œnients.
2.3 - Qu'est-ce que la NAT ?
Le terme barbare NAT reprï¿œsente les initiales de "Network
Address Translation", ou "Traduction d'Adresse rï¿œticulaire"
en franￜais. Mais il est souvent utilisￜ pour reprￜsenter
diffï¿œrents concepts que nous allons diffï¿œrencier, notamment
NAT statique, NAT dynamique, PAT, IP masquerading...
Si l'on s'en tient intrinsￜquement ￜ la dￜfinition du terme
NAT, cela reprï¿œsente la modification des adresses IP dans
l'en-tï¿œte d'un datagramme IP effectuï¿œe par un routeur.
On verra par la suite quelles sont les diffï¿œrentes
applications possibles.
On parlera de SNAT quand c'est l'adresse source du paquet
qui est modifiï¿œe, et de DNAT quand il s'agit de l'adresse
destination. (Voir le mini lexique 11.4)
3 - La NAT statique
-------------------
3.1 - Le principe
La NAT statique, se base sur l'association de n adresses
avec n adresses. C'est ￜ dire qu'ￜ une adresse IP interne,
on associe une adresse IP externe.
Dans ce cas, la seule action qui sera effectuï¿œe par le
routeur sera de remplacer l'adresse source ou destination
par l'adresse correspondante.
3.2 - Pourquoi je ne peux pas accￜder ￜ Internet avec une
adresse privï¿œe ?
On prend l'exemple suivant:
Machine 1
10.0.0.1/24
|
|
Interface interne routeur
10.0.0.254/24
<ROUTEUR>
Interface externe routeur
193.22.35.42/24
|
|
Internet
La machine 1 veut envoyer un paquet sur Internet, vers
www.ohmforce.com, par exemple. Donc dans l'en-tï¿œte IP,
l'adresse en destination est celle de www.ohmforce.com, et
en source c'est 10.0.0.1. Si jamais il n'y avait pas de
translation d'adresse, le paquet arriverait bien a la
machine www.ohmforce.com, mais celle-ci essaierait de
renvoyer sa rï¿œponse a 10.0.0.1 qui n'est pas une adresse
routï¿œe sur Internet !! (Elle fait partie d'une classe
d'adresses rï¿œservï¿œes pour les rï¿œseaux privï¿œs)
Et notre machine 1 n'obtiendrait jamais de rï¿œponse...
Ainsi, une machine ayant une adresse privï¿œe ne pourra pas
recevoir de rￜponse ￜ ses requￜtes sans un mￜcanisme
supplï¿œmentaire.
3.3 - Le fonctionnement de la NAT statique
Nous avons vu qu'une machine ayant une adresse privï¿œe ne
pouvait pas dialoguer sur Internet avec celle-ci, donc pour
rï¿œsoudre ce problï¿œme, on va lui donner une adresse publique
virtuelle qui va lui permettre d'accￜder ￜ Internet.
Ainsi, un routeur (la plupart du temps la passerelle
d'accￜs ￜ Internet) va modifier dans l'en-tￜte IP du paquet
l'adresse source 10.0.0.1 pour mettre une adresse valide
sur Internet 193.22.35.43 (dans notre exemple)
Le paquet va donc arriver ￜ sa destination, et celle-ci va
pouvoir le renvoyer ￜ 193.22.35.43 qui est une adresse
valide sur Internet. Le paquet va arriver jusqu'au routeur
qui a fait l'association entre 193.22.35.43 et 10.0.0.1, il
va donc modifier l'adresse destination 193.22.35.43 et
mettre ￜ la place 10.0.0.1, et renvoyer le paquet sur le
rï¿œseau local.
Ainsi, la machine 1 est vue de l'Internet avec l'adresse
193.22.35.43. S'il s'agit d'un serveur web, il suffit
d'envoyer une requï¿œte HTTP vers cette adresse pour obtenir
le site web.
La NAT statique nous a permis de rendre une machine
accessible sur Internet alors qu'elle possï¿œdait une adresse
privï¿œe.
On a simplement fait une association entre une adresse
privï¿œe et une adresse publique: 10.0.0.1 <--> 193.22.35.43
3.4 - Avantages et inconvï¿œnients de la NAT statique
En associant une adresse IP publique ￜ une adresse IP
privï¿œe, nous avons pu rendre une machine accessible sur
Internet. Par contre, on remarque qu'avec ce principe, on
est obligￜ d'avoir une adresse publique par machine voulant
accￜder ￜ Internet. Cela ne va pas rￜgler notre problￜme de
pï¿œnurie d'adresses IP...
D'autre part, tant qu'ￜ donner une adresse publique par
machine, pourquoi ne pas leur donner cette adresse
directement plutï¿œt que de passer par un intermï¿œdiaire ?
A cette question, on peut apporter plusieurs ï¿œlï¿œments de
rï¿œponse.
D'une part, il est souvent prï¿œfï¿œrable de garder un
adressage uniforme en interne et de ne pas mï¿œler les
adresses publiques aux adresses privï¿œes. Ainsi, si on
doit faire des modifications, changements, interventions
sur le rï¿œseau local, on peut facilement changer la
correspondance entre les adresse privï¿œes et les adresses
publiques pour rediriger les requï¿œtes vers un serveur en
ï¿œtat de marche.
D'autre part, on gï¿œche un certain nombre d'adresses
lorsqu'on dï¿œcoupe un rï¿œseau en sous-rï¿œseaux (adresse de
rï¿œseau, adresse de broadcast...), comme lorsqu'on veut
crï¿œer une DMZ pour rendre ses serveurs publiques
disponibles. Avec la NAT statique, on ï¿œvite de perdre ces
adresses.
Malgrￜ ces quelques avantages, le problￜme de pￜnurie
d'adresses n'a toujours pas ￜtￜ rￜglￜ. Pour cela, on va se
pencher sur la NAT dynamique (Pour ceux qui ne veulent pas
rentrer dans les dï¿œtails techniques, vous pouvez
directement passer au paragraphe 4)
3.5 - Problￜmes de routage liￜs ￜ l'utilisation de la NAT
statique (proxy ARP)
Les problï¿œmes montrï¿œs ne sont pas toujours rencontrï¿œs lors
de l'implï¿œmentation de la NAT statique.
Si celle-ci est bien faite, tous les mï¿œcanismes dï¿œcrits
devraient ï¿œtre implï¿œmentï¿œs de faï¿œon transparente pour
l'utilisateur.
Ce qui va suivre demande d'avoir quelques notions sur le
fonctionnement de la pile TCP/IP.
Un premier problￜme rencontrￜ est celui de la redirection
d'un paquet vers l'adresse virtuelle de la NAT statique.
On considï¿œrera l'exemple prï¿œcï¿œdent auquel on ajoute le
premier routeur rencontrￜ sur Internet.
Machine 1
10.0.0.1/24
|
|
Interface interne routeur
10.0.0.254/24
<ROUTEUR>
Interface externe routeur
193.22.35.42/24
|
|
Interface interne
193.22.35.254/24
<Routeur Internet>
Interface externe
|
|
Internet
La machine 1 fait une requï¿œte vers le site
www.ohmforce.com.
Le paquet est NATￜ au niveau du routeur avec comme adresse
source 193.22.35.43, ainsi, le site web www.ohmforce.com
renvoie sa rￜponse vers cette adresse. Le paquet est routￜ
sur Internet et arrive sur le routeur Internet (celui qui
prï¿œcï¿œde le routeur de l'entreprise ou du particulier)
Celui-ci regarde l'adresse de destination et observe
qu'elle se situe sur le mï¿œme rï¿œseau qu'une de ses
interfaces. Ainsi, elle a maintenant besoin de l'adresse
MAC de la machine 193.22.35.43 pour lui envoyer le paquet.
Elle fait donc une requï¿œte ARP en demandant "Quelle est
l'adresse MAC de la machine ayant 193.22.35.43 comme
adresse IP ?"
Or, sur ce rï¿œseau, aucune machine n'a cette adresse
puisqu'il s'agit d'une adresse virtuelle.
Il faut donc que le routeur (193.22.35.42) rï¿œponde lui-mï¿œme
ￜ cette requￜte ARP. C'est ce que l'on appelle faire proxy
ARP.
Quand vous faites de la NAT statique, le proxy ARP est
souvent automatiquement implￜmentￜ, cependant, il est bon
de connaï¿œtre ce mï¿œcanisme si ce n'est pas le cas.
Il y a plusieurs faￜon de pallier ￜ ce problￜme.
Soit mettre en place soit mï¿œme un mï¿œcanisme de proxy ARP
sur la machine faisant la NAT statique.
Soit ajouter une entrï¿œe statique dans la table ARP du
routeur Internet (pas le routeur faisant la NAT, mais le
premier routeur rencontrￜ aprￜs celui-ci sur Internet)
Commande arp sous windows.
arp -s 193.22.35.43 @MAC_routeur
Soit ajouter une route host statique pour chacune des
adresses virtuelles.
Sous windows:
route add -p 193.22.35.43 mask 255.255.255.255 193.22.35.42
3.6 - Problￜmes de routage liￜs ￜ l'utilisation de la NAT
statique (routage sur la passerelle)
Un second problï¿œme peur survenir sur l'ï¿œquipement qui fait
la NAT. Revenons ￜ l'exemple prￜcￜdent.
Le routeur Internet envoie le paquet au routeur de
l'entreprise. Celui-ci reï¿œoit la trame ethernet, voit que
c'est son adresse MAC qui est en destination, il envoie
donc le contenu des donnￜes ￜ la couche IP. Celle-ci voit
que c'est l'adresse 192.22.35.43 (l'adresse virtuelle de
notre machine) qui est en destination. Il va voir dans la
table de routage, et lￜ, il peut y avoir un problￜme...
Soit une route spï¿œcifique existe pour cette adresse pour
rediriger le paquet vers le rï¿œseau interne, soit ce n'est
pas le cas, et il sera renvoyￜ sur l'interface externe du
routeur, vu que l'adresse de destination appartient au mï¿œme
rï¿œseau que son interface externe 193.22.35.42 !!
Pour que la NAT fonctionne, il faut donc qu'il y ait une
route spï¿œcifique vers le rï¿œseau interne.
Dans notre cas:
route add -p 193.22.35.43 mask 255.255.255.255 10.0.0.1
Ainsi, quand le routeur recevra un paquet ￜ destination de
l'adresse virtuelle 193.22.35.43, il le redirigera bien
vers l'adresse rï¿œelle de la machine, 10.0.0.1.
Et hop, ï¿œa marchera ;-)
4 - La NAT dynamique
--------------------
4.1 - Le principe
La NAT dynamique est aussi appelï¿œe IP masquerading.
Contrairement ￜ la NAT statique, la NAT dynamique associe
une seule adresse ￜ n adresses (ou pour ￜtre plus prￜcis, m
adresses ￜ n adresses, les adresses pour sortir ￜtant
choisies dans un pool)
Ainsi, on peut associer une adresse publique ￜ n adresses
privￜes et permettre ainsi ￜ un grand nombre de machines
ayant des adresses privￜes d'accￜder ￜ Internet !!
Par contre, nous verrons que cette mï¿œthode possï¿œde quelques
inconvￜnients. Et contrairement ￜ la NAT statique, le
routeur qui effectue la NAT devra ￜ la fois modifier les
adresses IP mais aussi les ports TCP/UDP (que l'on appelle
PAT, Port Address Translation)
4.2 - Le fonctionnement de la NAT dynamique
Le fonctionnement est un peu diffï¿œrent de celui de la NAT
statique. Nous allons notamment voir pourquoi il faut faire
de la PAT et non pas une simple traduction des adresses IP.
Reprenons l'exemple prï¿œcï¿œdent:
Machine 1
10.0.0.1/24
|
|
Interface interne routeur
10.0.0.254/24
<ROUTEUR>
Interface externe routeur
193.22.35.42/24
|
|
Internet
Cette fois, c'est l'adresse publique de l'interface externe
du routeur 193.22.35.42 qui va ï¿œtre utilisï¿œe pour sortir.
Ainsi, lorsque le paquet arrive ￜ la machine de
destination, www.ohmforce.com par exemple, celle-ci le
renvoie vers l'adresse 193.22.35.42.
Le routeur reï¿œoit donc ce paquet et voit que l'adresse de
destination est lui-mï¿œme !!
Comment peut-il alors savoir si le paquet est pour lui ou
une machine en interne ?
C'est grï¿œce aux ports TCP/UDP qu'il va pouvoir faire la
diffï¿œrence. Ainsi, si une machine en interne fait une
requï¿œte avec comme port TCP source 2356, le routeur pourra
savoir que lorsqu'il recevra un paquet avec comme port
destination 2356, il faut le rediriger vers la machine en
interne qui a initialisￜ la connexion.
Mais je vois dￜjￜ pointer les questions:
"oui, mais si deux machines du rï¿œseau interne initialisent
des connexions avec le mï¿œme port TCP/UDP ? hein ? alors ?
comment qu'on fait pour savoir qui est qui ? hein ?
alors ?"
Et vous auriez raison de vous les poser !
Mais tout a ￜtￜ prￜvu pour pallier ￜ ce problￜme.
En fait, le routeur remplace le port TCP/UDP source par un
nouveau qu'il choisit lui-mï¿œme. Ainsi, comme c'est lui qui
les choisit, il n'en choisira pas deux identiques, et
pourra identifier chacune des connexions, magisme...
On reprend donc depuis le dï¿œbut le fonctionnement.
La machine 10.0.0.1 veut se connecter au site
www.ohmforce.com, elle envoie donc un paquet avec comme
adresse source la sienne, 10.0.0.1, et comme port source un
port quelconque supￜrieur ￜ 1024, soit par exemple 5987. Le
paquet arrive au routeur qui fait la NAT, il remplace donc
l'adresse IP source par la sienne 193.22.35.42, et la PAT
en remplaï¿œant le port TCP/UDP source 5987 par un de son
choix, 10000 par exemple.
Il garde ces informations de correspondance bien au chaud
dans une table NAT.
Le paquet arrive a www.ohmforce.com qui le renvoie a
193.22.35.42. Le paquet arrive au routeur, il voit que
l'adresse destination est lui-mï¿œme, il regarde donc le port
destination TCP/UDP qui est 10000. Il va regarder dans la
table NAT pour avoir la correspondance, et bingo !! il sait
qu'il faut envoyer ce paquet ￜ 10.0.0.1, tout en ayant
modifiￜ le port destination 10000 en 5987 qui est le port
sur lequel 10.0.0.1 a initialisￜ la connexion.
Et voilￜ.
On peut ainsi masquer autant de machines que l'on veut
derriï¿œre une seule adresse publique !
4.3 - Avantages et inconvï¿œnients de la NAT dynamique
Comme nous l'avons vu, la NAT dynamique permet ￜ des
machines ayant des adresses privￜes d'accￜder ￜ Internet.
Cependant, contrairement ￜ la NAT statique, elle ne permet
pas d'ï¿œtre joint par une machine de l'Internet.
Effectivement, si la NAT dynamique marche, c'est parce que
le routeur qui fait la NAT reï¿œoit les informations de la
machine en interne (Adresse IP, port TCP/UDP)
Par contre, il n'aura aucune de ces informations si la
connexion est initialisï¿œe de l'extï¿œrieur...
Le paquet arrivera avec comme adresse de destination le
routeur, et le routeur ne saura pas vers qui rediriger la
requï¿œte en interne.
La NAT dynamique ne permet donc _que_ de sortir sur
Internet, et non pas d'ï¿œtre joignable. Elle est donc utile
pour partager un accï¿œs Internet, mais pas pour rendre un
serveur accessible.
De plus, ￜtant donnￜ que l'on peut "cacher" un grand nombre
de machines derriï¿œre une seule adresse publique, cela
permet de rￜpondre ￜ notre problￜme de pￜnurie d'adresses.
Par contre, les machines n'ï¿œtant pas accessibles de
l'extï¿œrieur, cela donne un petit plus au niveau de la
sￜcuritￜ ;-)
4.4 - Problￜmes liￜs ￜ la NAT dynamique (ICMP)
La NAT dynamique demande l'utilisation des ports TCP/UDP,
cependant, tous les protocoles utilisï¿œs sur un rï¿œseau
n'utilisent pas obligatoirement ces ports, notamment les
protocoles ICMP, PPTP, Netbios...
Prenons par exemple le protocole ICMP. Se limitant ￜ la
couche 3 il n'utilise pas de ports TCP ou UDP. Il n'est
donc pas possible de faire de la NAT dynamique de faï¿œon
classique.
| Une mï¿œthode spï¿œcifique doit ï¿œtre implï¿œmentï¿œe pour permettre
| la NAT du trafic ICMP.
|
| Pour cela, au lieu de se baser sur les ports TCP/UDP, on
| peut se baser sur l'identifiant ICMP prï¿œsent dans l'en-tï¿œte
| du message ICMP.
|
| Ainsi, le mￜcanisme est exactement le mￜme, mis ￜ part que
| l'on utilise cet identifiant, plutï¿œt que les ports TCP/UDP.
| Il faut donc implï¿œmenter spï¿œcifiquement ce type de NAT pour
| le protocole ICMP.
|
| Par ailleurs, certains paquets ICMP contiennent dans leur
| payload des informations concernant les datagrammes IP qui
| ont causￜ l'erreur. Le routeur faisant la NAT doit donc
| aussi modifier les informations contenues dans le payload
| pour que l'information apportￜe ￜ la machine ￜmettrice soit
| pertinente.
4.5 - Problￜmes liￜs ￜ la NAT dynamique (FTP)
Le protocole ftp a un fonctionnement un peu particulier. Il
utilise deux connexions en parallï¿œle. L'une pour le
contrï¿œle de la connexion, l'autre pour le transfert des
donnï¿œes.
Le ftp peut fonctionner selon deux modes diffï¿œrents, actif
ou passif. En mode passif, pas de problï¿œme, les connexions
sont initialisï¿œes de l'intï¿œrieur pour chacun de ces deux
canaux. Par contre, pour le mode actif, la connexion de
contrï¿œle est d abord initialisï¿œe de l intï¿œrieur, et quand
des donnï¿œes sont demandï¿œes, c'est le serveur qui initialise
la connexion de donnￜes ￜ partir de l'extￜrieur.
Et comme nous le savons, il n'est pas possible
d'initialiser de connexions ￜ partir de l'extￜrieur du
rï¿œseau avec de la NAT dynamique.
Un autre problï¿œme du protocole ftp est qu'il contient des
donnï¿œes se rapportant aux adresses des machines. Ainsi
quand les adresses sont NATï¿œes, cela pose problï¿œme...
Donc pour que le ftp puisse fonctionner, on est obligï¿œs
d'utiliser un module qui soit capable de lire les
informations contenues dans les donnï¿œes ftp. Pour faire
cela, on utilise un proxy (Voir paragraphe 7) qui sera
capable de suivre la connexion et de modifier les donnï¿œes
ftp pour la rendre possible.
Dans un cas comme celui-ci, ce n'est plus un simple module
NAT ￜ ajouter, mais un proxy ￜ part entiￜre
5 - Statique ou dynamique ?
---------------------------
5.1 - Quand faire de la NAT statique ?
Nous avons vu que la NAT statique permettait de rendre
disponible une machine sur Internet, mais qu'il fallait par
contre une adresse IP pour que ce serveur soit joignable.
Il est donc utile d'utiliser la NAT statique quand vous
voulez rendre une application disponible sur Internet,
comme un serveur web, mail ou un serveur FTP.
5.2 - Quand faire de la NAT dynamique ?
La NAT dynamique permet d'une part de donner un accￜs ￜ
Internet ￜ des machines possￜdant des adresses privￜes, et
d'autre part d'apporter un petit plus en terme de sￜcuritￜ.
Elle est donc utile pour ï¿œconomiser les adresse IP, donner
un accￜs ￜ Internet ￜ des machines qui n'ont pas besoin
d'ï¿œtre joignables de l'extï¿œrieur (comme la plupart des
utilisateurs)
D'autre part, mï¿œme quand on possï¿œde assez d'adresses IP, il
est souvent prï¿œfï¿œrable de faire de la NAT dynamique pour
rendre les machines injoignables directement de
l'extï¿œrieur.
Par exemple, pour un usage personnel de partage de l'ADSL
ou du cï¿œble, on utilise souvent la NAT dynamique pour
partager sont accￜs, ￜtant donnￜ que les machines n'ont pas
besoin d'ï¿œtre jointes de l'extï¿œrieur.
5.3 - Puis-je combiner ces deux mï¿œthodes ?
Oui, et c'est mï¿œme souvent la meilleure solution lorsque
l'on a ￜ la fois des machines offrant un service, et
d'autres qui n'ont besoin que de se connecter ￜ Internet.
Ainsi, on ï¿œconomisera les adresses IP grï¿œce aux machines
NATï¿œes dynamiquement, et on utilisera exactement le bon
nombre d'adresses IP publiques dont on a besoin.
Il est donc trï¿œs intï¿œressant de combiner ces deux mï¿œthodes.
6 - Comment rendre joignables les machines de mon rï¿œseau
local alors que je n'ai qu'une seule adresse publique ?
-----------------------------------------------------------
6.1 - Explication du problï¿œme
Nous avons vu que dans le cas de la NAT dynamique, les
machines du rï¿œseau local ne pouvaient pas ï¿œtre jointes de
l'extￜrieur. Cela est plutￜt un plus pour la sￜcuritￜ, mais
si on doit offrir des services comme un serveur FTP ou web,
ca devient problï¿œmatique.
C'est notamment le cas quand on possï¿œde un accï¿œs ADSL ou
cï¿œble, une seule adresse publique vous est fournie, et il
devient alors compliquￜ de rendre disponibles plusieurs
serveurs du rï¿œseau local.
Une solution ￜ ce problￜme est le port forwarding.
6.2 - Le port forwarding, qu'est-ce que c'est ?
Le port forwarding consiste ￜ rediriger un paquet vers une
machine prï¿œcise en fonction du port de destination de ce
paquet.
Ainsi, lorsque l'on n'a qu'une seule adresse publique avec
plusieurs machines derriￜre en adressage privￜ. On peut
initialiser une connexion de l'extï¿œrieur vers l'une de ses
machines (une seule par port TCP/UDP)
Prenons l'exemple prï¿œcï¿œdent et disons que la machine
10.0.0.1 possï¿œde un serveur FTP. Maintenant, on configure
le routeur pour qu'il redirige les connexions arrivant sur
le port 21 vers la machine 10.0.0.1. Et hop, on rend notre
machine ayant une adresse privï¿œe disponible depuis
l'extï¿œrieur !!
Ainsi, le port forwarding nous a permis de rendre nos
machines du rï¿œseau local joignables d'Internet, mï¿œme si
l'on ne possï¿œde qu'une seule adresse IP publique !!
6.3 - Le port mapping, qu'est-ce que c'est ?
Le port mapping est un peu ï¿œquivalent au port forwarding.
Il consiste simplement ￜ rediriger la requￜte sur un port
diffￜrent que celui demandￜ.
Par exemple, si on fait tourner un serveur web sur le
rï¿œseau local sur le port 8080 et qu'on veut le rendre
accessible pour les internautes. On redirige le port 80
vers notre serveur sur le port 8080. Ainsi, les clients
externes auront l'impression de s'adresser ￜ un serveur sur
le port usuel pour le web, 80.
6.4 - Les limites du port forwarding
Hￜ oui, le port forwarding ne peut pas non plus rￜpondre
parfaitement ￜ toutes les questions qu'amￜne la NAT
dynamique.
Ainsi, on a vu que l'on ne pouvait associer qu'une adresse
de machine ￜ un port donnￜ. Si l'on possￜde plusieurs
serveurs FTP en local et que l'on veut les rendre
accessibles, il faudra trouver une autre astuce...
7 - Les proxys
--------------
7.1 - Qu'est-ce qu'un proxy ?
Un proxy est un mandataire pour une application donnï¿œe.
C'est ￜ dire qu'il sert d'intermￜdiaire dans une connexion
entre le client et le serveur pour relayer la requï¿œte qui
est faite.
Ainsi, le client s'adresse toujours au proxy, et c'est lui
qui s'adresse ensuite au serveur.
Une proxy fonctionne pour une application donnï¿œe, http,
ftp, smtp, etc. Il peut donc modifier les informations ￜ
envoyer au serveur, ainsi que celles renvoyï¿œes par
celui-ci.
La contrepartie est qu'il faut un proxy par application.
Cependant, beaucoup de proxys sont en fait des multi-proxys
qui sont capables de comprendre la plupart des applications
courantes.
7.2 - Qu'est-ce qu'un proxy n'est pas ?
Un amalgame est souvent fait entre les fonctionnalitï¿œs
qu'on peut apporter ￜ un proxy, et au proxy lui-mￜme.
Ainsi, on pense souvent qu'un proxy doit faire de la NAT,
ou serveur de cache, mais ce ne sont que des
fonctionnalitï¿œs ajoutï¿œes.
Effectivement, il est souvent utile d'ajouter des fonctions
de cache ￜ un proxy vu que c'est lui qui centralise l'accￜs
au web. Ainsi, si 15 personnes demandent le mï¿œme site web,
il ne sera chargￜ qu'une fois puis gardￜ dans le cache du
proxy.
D'autre part, la NAT est elle aussi souvent indispensable
pour qu'un proxy fonctionne, vu qu'il est censￜ ￜtre un
intermï¿œdiaire, il faudra qu'il modifie l'adresse source du
paquet pour que la rï¿œponse passe par lui. Cependant, mï¿œme
si c'est ce qui est le plus souvent utilisￜ, ce n'est pas
obligatoire.
Si ces fonctionnalitï¿œs sont souvent utiles et utilisï¿œes, ce
n'est pas pour autant qu'il faut penser qu'elles sont
synonymes de proxy.
8 - Vaut-il mieux faire de la NAT ou avoir un proxy ?
-----------------------------------------------------
8.1 - Avantages du proxy
Comme nous l'avons vu, un proxy est dￜdiￜ ￜ un protocole
(une application) particulier. Ainsi, il est capable
d'interprï¿œter le trafic et notamment de cacher les
informations. On diminue ainsi le trafic et augmente la
bande passante de la mï¿œme occasion.
On peut aussi autoriser ou non l'accￜs ￜ certaines partie
d'un site, ￜ certaines fonctionnalitￜs, etc.
On a donc un bon contrï¿œle de ce qui transite sur le rï¿œseau,
et on sait quels protocoles peuvent circuler.
8.2- Avantages de la NAT
Contrairement au proxy, la NAT est indï¿œpendante des
applications utilisï¿œes. On peut donc faire passer la
plupart des protocoles que l'ont veut.
8.3 - Alors ? NAT ou proxy ?
La rï¿œponse est bien sur... ï¿œa dï¿œpend !!
Vous ￜtes dￜￜus ? Il ne faut pas, car si vous avez bien lu
et compris ce qui prï¿œcï¿œde, vous devriez ï¿œtre en mesure de
faire votre choix vous mï¿œme en fonction de ce que vous avez
(adresses, matï¿œriel, etc.) et de ce que vous voulez faire
(applications, politique de sￜcuritￜ, etc.)
Personnellement, j'ai une petite prï¿œfï¿œrence pour la NAT car
elle ne limite pas ce que je peux faire sur le rï¿œseau, je
n'ai donc pas de mauvaises surprises quand j'utilise un
nouveau protocole un peu exotique ;-)
9 - La sￜcuritￜ et la NAT
-------------------------
9.1 - La NAT dynamique permet-elle d'amￜliorer ma sￜcuritￜ ?
La NAT dynamique permet de rendre les machines d'un rï¿œseau
local inaccessibles directement de l'extï¿œrieur, on peut
donc voir cela comme une sￜcuritￜ supplￜmentaire. Mais cela
n'est pas suffisant et il est indispensable d'utiliser un
filtrage si l'on veut obtenir un bon niveau de sￜcuritￜ.
La NAT dynamique seule ne peut pas ï¿œtre considï¿œrï¿œe comme
une sￜcuritￜ suffisante.
9.2 - Est-ce utile pour la sￜcuritￜ d'utiliser un proxy ?
Un proxy travaille au niveau 7 du modￜle OSI, c'est ￜ dire
qu'il est capable d'interprï¿œter et de modifier les
informations du protocole sur lequel il travaille. Ainsi,
il peut vï¿œrifier le contenu de ce qui est reï¿œu de la part
du serveur et en interdire ou modifier le contenu selon la
politique choisie.
L'utilisation d'un proxy pour des protocoles critiques est
donc souvent utile si on veut avoir une bonne vision de ce
qui se passe.
9.3 - La NAT est elle compatible avec IPSEC ?
Si on veut ï¿œtre prï¿œcis, la rï¿œponse est oui. Cependant, la
norme IPSEC ayant diffï¿œrentes implï¿œmentations, ce n'est pas
toujours le cas. D'ailleurs la plupart des constructeurs
ont crￜￜ leur propres solutions IPSEC pour traverser de la
NAT.
Le problï¿œme vient de l'encryption de l'en-tï¿œte IP par les
participants au tunnel IPSEC. Si l'adresse IP est modifiï¿œe
pendant le trajet du paquet, elle ne sera pas la mￜme ￜ
l'arrivￜe que celle qui a ￜtￜ encryptￜe au dￜpart, et aprￜs
comparaison, le paquet sera dï¿œtruit.
Cependant, en se plaï¿œant en mode ESP et en faisant du
tunneling, c'est la totalitￜ du paquet qui est encryptￜe,
et une nouvelle en-tￜte est ajoutￜe ￜ celui-ci. Ainsi, la
comparaison ne se fera pas sur l'en-tï¿œte modifiï¿œe, mais sur
celle contenue dans les donnï¿œes du paquet.
Mais cette solution n'est pas toujours possible.
Je ne crois pas qu'il existe de norme pour rï¿œsoudre ce
problï¿œme, mais une solution semble apporter une rï¿œelle
satisfaction au problￜme citￜ. Elle est aujourd'hui
utilisï¿œe par beaucoup de constructeurs, la NAT traversal ou
NAT-T.
Il s'agit d'encapsuler les donnï¿œes dans un tunnel UDP.
Ainsi, de la mï¿œme faï¿œon qu'en mode tunnel et ESP, l'en-tï¿œte
modifiï¿œe par la NAT ne sera pas utilisï¿œe pour le test
d'authentification.
Ainsi, il est souvent possible de mettre en place un VPN
IPSEC, mï¿œme si on utilise de la NAT.
10 - Utilitaires pour faire de la NAT
-------------------------------------
10.1 - Sous windows
Voici quelques noms de produits qui permettent entre autres
de faire de la NAT, une prï¿œsentation plus prï¿œcise sera
peut-ï¿œtre faite par la suite si cela s'avï¿œre utile.
Je n'ai pas testï¿œs ces produits, vos remarques et
expï¿œriences sont donc les bienvenues ;-)
Wingate, winroute lite, NAT32, TCPrelay...
10.2 - Sous Unix
IPchains, ipfilter, netfilter...
11 - Mini lexique
-----------------
11.1 - Modï¿œle OSI
Le modￜle OSI a ￜtￜ crￜￜ dans le but d'uniformiser les
rￜseaux et de permettre l'interopￜrabilitￜ entre systￜmes
hï¿œtï¿œrogï¿œnes.
Il dï¿œfinit sept couches ayant chacune un rï¿œle spï¿œcifique.
Ces couches permettent donc de rendre un service les unes
par rapport aux autres, tout en ï¿œtant chacune indï¿œpendante
des autres.
11.2 - IP
IP est un protocole de couche 3 qui permet principalement
d'identifier les machines ￜ l'aide d'adresses et de router
les informations entre rï¿œseaux logiques. Il permet aussi de
faire de la fragmentation de paquets.
11.3 - TCP
TCP est un protocole de couche 4 qui permet d'identifier et
de contrï¿œler les connexions entre machines. La gestion des
flux et des erreurs est aussi intￜgrￜe ￜ ce protocole.
11.4 - SNAT ou Source NAT
Le Source NAT correspond ￜ la modification de l'adresse
source dans un paquet translatￜ. Il est notamment
utilisￜ pour la NAT dynamique, mais aussi pour la NAT
statique lorsqu'on veut sortir du rï¿œseau local.
11.5 - DNAT ou Destination NAT
Le Destination NAT correspond ￜ la modification de
l'adresse destination dans un paquet translatￜ. Il est
utilisￜ pour la NAT statique, lorsqu'on veut accￜder ￜ un
serveur sur un rï¿œseau local.
12 - Annexes
------------
12.1 - Ressources utilisï¿œes
Je n'ai pas utilisￜ beaucoup de documents aussi bien en
ligne que sur papier. Les rï¿œponses et connaissances
apportï¿œes proviennent en majeure partie des informations
que j'ai pu glaner en furetant sur le net, et notamment sur
les newgroups fr.comp.reseaux.ip et
fr.comp.reseaux.ethernet.
Je me suis quand mￜme inspirￜ de la RFC 1631
Et notamment de l'excellente faq sur les firewalls de
Stￜphane Catteau dont je me suis inspirￜ pour la mise en
forme.
Disponible sur:
<http://fr.comp.securite.free.fr/firewall.txt>
N'hￜsitez pas ￜ la consulter, on y apprend plein de choses.
12.2 - Remerciements
Je remercie notamment les personnes suivantes pour leur
lecture assidue de la faq durant sa rï¿œalisation et leurs
conseils prï¿œcieux.
Diane Guinnepain, Pep, Ifragu, Cï¿œdric Blancher.
12.3 - Faq sur les masques de sous-rï¿œseau
Si cette faq vous a plu et que vous avez appris des choses,
j'en ai fait une autre sur les masques de sous rï¿œseau
disponible lￜ:
<http://www.lalitte.com/masques>
12.4 - Faq sur le routage
Si cette faq vous a plu et que vous avez appris des choses,
j'en ai fait une autre sur le routage disponible lￜ:
<http://www.lalitte.com/routage>
13 - Conclusion
---------------
La NAT est aujourd'hui un ï¿œlï¿œment important en rï¿œseau ï¿œtant
donnￜ son ￜnorme dￜploiement ￜ travers le monde suite ￜ
l'annonce de la pï¿œnurie d'adresses IPv4.
J'ai essayￜ de rendre la comprￜhension de cette technique
la plus accessible possible. Cependant, il faut
impï¿œrativement avoir quelques notions en rï¿œseau pour
pouvoir bien comprendre les points dï¿œlicats qu'elle
engendre.
Il y a et il y aura sￜrement encore beaucoup de choses ￜ
dire sur le sujet. Vos remarques sont donc encore et
toujours les bienvenues, aussi bien pour y ajouter des
idï¿œes, que pour enlever le superflu.
Maintenant, si je revois passer des questions sur la NAT,
j'aurai au minimum un droit de flagellation sur les
personnes incriminï¿œes ;-)
--
Document publiￜ par MaintDoc depuis le 2008-04-07.
Reponsables : ï¿œric Lalitte.