tiramiseb a écritJ'entends par là, lorsque le VPN se coupe pour de multiples raisons, et que votre trafic se retrouve balancé sur la toile à qui veut le voir
1er cas : un VPN de réseau pour connexion d'une succursale à un siège
Oui mais non. Bien sûr, mettre en place un pare-feu bloquera ces flux, ça fonctionnera. Mais là encore le pare-feu est un palliatif.
C'est un palliatif à une mauvaise configuration du routage. Quand le VPN tombe, le trafic doit simplement être bloqué, il ne doit pas être envoyé en direct sur Internet. Quand le trafic a pour objectif d'être uniquement transmis au travers du VPN, le routeur ne doit pas avoir de route par défaut vers Internet : la seule chose avec une route vers Internet, ça doit justement être la connexion au serveur VPN.
2me cas : un VPN sur poste de travail pour connexion distante
Si on met un filtrage inconditionnel sur les sorties par Internet, eh bien le PC ne sera plus utilisable sans VPN. Si c'est ce que l'on veut, alors le 1er cas s'applique. Sinon, eh bien il n'y a pas vraiment de solution : il faut bien laisser passer les flux pour pouvoir aller sur Internet quand on n'a pas le VPN, non ?
Pour ma façon de faire, il me faut le paquet "iptables-persistent", c'est un paquet que je trouve dans les dépôts officiels d'Ubuntu via Synaptic.
En fait, j'ai deux jeux de règles, que l'on peut changer facilement, à travers deux scripts par exemple, ou à la barbare, en copiant collant les deux fichiers de règles d'Iptables que l'on a dans le dossier : /etc/iptables/ (il y a encore d'autres façons de faire sûrement).
Sur la copie d'écran qui précède on voit les deux fichiers de règles connus par le paquet iptables-persistent, car c'est ce dossier qu'iptables-persistent utilise, (je rentrerai dans les détails des règles si ça intéresse quelqu'un), mais en gros, je fais un copié-collé de mes règles assurant mon VPN s'il tombe quand je veux me servir de mon VPN de façon sécurisé, soit 99,99% de mon temps de surf. Je copie-colle à l'invers, mes règles permissives quand je veux que mon PC ait un accès au net
alors que je n'ai pas prévu d'utiliser mon VPN, donc, cette opération, vu le pourcentage que j'annonce, n'arrive quasiment jamais sur un trimestre. Mes deux fichiers appelés "rules.v4" et "rules.v6" sont dans des dossiers séparés, nommés comme il se doit, suivant qu'ils autorisent un accès au net non filtré, ou suivant qu'ils assurent un VPN qui tombe.
Cela rend alors le passage des unes aux autres de façons très simple (pour moi, il y a d'autres façons, que je veux bien apprendre si vous les maîtrisez, mais cette façon me convient pour le moment). À noter que je lance Nautilus en Root pour faire mon copié-collé de 15 secondes et et que je coupe cet accès Root à Nautilus tout de suite derrière. Et comme dit à l'instant, on doit pouvoir faire encore plus simplement qu'un copié-collé de la façon dont je le fais, et je veux bien apprendre comment faire, je n'ai encore jamais utilisé ni confectionné de script.
Donc en fait comme tu le dis Tiramiseb, dans le cas où l'on utilise des règles Iptables de blocage de l'internet en cas de VPN qui tombe, il faut quand même bien que notre PC ai un accès au serveur de notre VPN pour pouvoir se connecter via OpenVPN (par exemple), mais dans ce cas là, pas besoin de plus que....la seule et unique adresse IP du serveur OpenVPN de notre abonnement (ou du gratuit). Du coup, le seul accès à un internet "classique" est l'accès à cette unique IP de notre serveur VPN. Mais ce n'est pas tout, comme une Interface va se créer lorsque notre serveur VPN va accepter nos "identiant et mot de passe VPN", il faut indiquer à Iptables que le Net sur notre machine maintenant ne passera que par cette nouvelle Interface (en général l'interface tun0, donc on paramètre Iptables sur ce point avant bien sûr). Alors si ton VPN tombe, cette Interface VPN (tun0) tombe aussi, et Iptables ne la connaissant plus et sachant qu'il n'a le droit que de diffuser tous tes paquets destinné au NET via celle-ci, arrête immédiatement de balancer tous paquets, et plus rien ne sort de votre machine d'une seconde à l'autre.
Merci le filet de sécurité founri par Iptables pour les particuliers j'ai envie de dire...
J'ai donc autre chose à faire que de renseigner mon FAI sur ce que je fais sur mon réseau, c'est personnel, et je ne cherche pas à l'inverse, à savoir ce que eux font sur leur réseau, c'est personnel aussi. Voilà en gros, je me suis basé
sur ce site pour établir mes règles, et bien sûr sur les doc d'Iptables, notamment concernant le suivi de connexion du module IP_CONNTRACK qui transforme votre Iptables en véritable parefeu SPI (Stateful Packet Inspection), j'applique aussi grâce à une règle Iptables, un filtre antispoofing, qui est ma foi fort efficace, il bloque ce tyep de paquet chaque jour (que je vois dans mes logs). Voilà pourquoi je dis et prouve, qu'Iptables, même pour un particulier est bel est bien conçu AUSSI pour la sécurité informatique de n'importe lequel d'entre nous, ici sur ce forum et qui veut assurer de façon efficace, ses données transitant par son VPN.
Et je pense sincèrement que le cas que je viens de décrire, qui ne faisait pas parti à la base de votre liste des cas où Iptables sera utile
pour la sécurité du réseau des particuliers j'entends, aurait toute son humble et vailalnte place dans votre liste, car c'est un cas qui peut concerner énormément de particuliers utilisant un VPN, comme on vient de l'éclaircir.
