iznobe a écritque pensez de ce ce petit message :
Même s’il est probable que le même logiciel prenne en charge les deux fonctions, ces procédures sont distinctes. Alors que le NAT sert à traduire le trafic, il ne protège en rien.
Quand on ne comprend pas les réseaux... on croit ce qui est écrit !
Rassure-toi, les connaissances générales en informatique sont déjà assez nulles, en réseau il faudrait inventer des notes négatives !...
La phrase est totalement trompeuse.
Bien sûr que la NAT ne protège aucun trafic
sortant, ce n'est pas son rôle !..
Mais par contre elle est une excellente protection -indirecte- contre tout trafic
entrant, même si ce n'est pas son rôle fondamental, c'est une conséquence de son fonctionnement.
Et il me semble que c'est ce que tu cherches non ?
Imagine la chose suivante.
Tu es une entreprise, et pour ne pas dépenser trop d'argent en téléphone, tu as un "standard" joignable avec un seul numéro : 01 40 41 42 43 44 (en réseau ton ipv4 publique unique)
Derrière ce standard, il y plusieurs postes de téléphone, qui ont des "numéros internes" (en réseau, des adresses "de réseau local")
En général ce qu'il se passe dans ce cas là, c'est que les gens utilisant leur "poste interne" peuvent :
- se téléphoner entre eux (en interne = "réseau local")
- appeler l'extérieur. Lorsqu'ils appellent un interlocuteur externe, celui-ci peut bien sûr à la fois entendre ce qu'il se dit et répondre.
Par contre, personne ne peut joindre directement les postes internes depuis l'extérieur, il faut passer par le standard au 01 40 41 42 43 44 et demander d'être connecté au poste 591 pour avoir l'interlocuteur au poste 591.
Eh bien voila, la NAT c'est exactement ça.
Passant dans un sens : interne vers externe
Bloquant dans l'autre : externe vers interne.
Alors ce que tu peux faire quand tu as la main sur la NAT (ta Freebox), c'est dire : tous ceux qui appellent le "service compatibilité", il faut les connecter au poste interne 591. Cela permet aux interlocuteurs cherchant à joindre ce service de "sauter" le standard et être connecté direct.
En IP c'est la "redirection de port". Tu vas dire à ta box, celui qui cherche à joindre le port 443 (https) il doit aller sur 192.168.0.200 (là où tu as mis ton Pi qui expose du https).
Donc oui, il te faut encore un peu de lecture sur les réseaux. :o
Et comme dit plus haut, l'IPV6 étant "globalement adressable" n'a pas cette "protection naturelle" de la NAT.
En fait si un adversaire attaque ton ipv4, en ADSL/fibre, c'est ta box qu'il va attaquer, pas les PC qui lui sont connectés. Et heureusement la plupart des box "sérieuses" te protègent correctement.
(Sauf si tu n'as qu'un seul PC et que tu as explicitement mis ta box en mode "non-routeur", ce qui est possible avec la Freebox... et que je ne recommande pas sauf usage particulier du gars qui maîtrise ce qu'il fait !)
De même dans ta config, si un adversaire attaque ton ipv4 publique, il va attaquer :
- Soit ton fournisseur si celui-ci te donne une IP "NATée"
- Soit ton smartphone si l'ipv4 est routable (l'ipv6 est par défaut routable)
Et donc avant d'attaquer le reste, il faut déjà pwner soit ton fournisseur, soit ton smartphone.
De là il faut "rebondir" sur chaque segment de réseau et pwner les machines qui font office de routeur à chaque fois, donc ton smartphone (routage 4G-ethernet/USB) et ton Pi (routage Ethernet/USB - le reste de ton réseau).
Bref, c'est pas gagné pour entrer comme ça.
L'entrée classique des "méchants" se fait donc à l'envers. Comme la bêtise humaine est largement plus infinie que celle de l'univers (dixit Einstein), c'est en général l'utilisateur qui peut toujours faire de trafic "sortant" qui invite un joli cheval de troie lequel se trouvant maintenant "à l'intérieur" peut alors faire ce qu'il lui chante.
Mais le filtre iptable qui protège de l'ensemble de la bêtise humaine n'a hélas pas encore été inventé, donc là mon seul conseil c'est la vigilance et les bonnes pratiques -comme les "gestes barrière"- ! :lol:
