\u00ab\u202fGateway firewall<\/a>\u202f\u00bb par Harald M\u00fchlb\u00f6ck \u2014 Sous licence CC BY-SA 3.0<\/a> via Wikimedia Commons<\/a>.<\/p>\n Dans certaines situations, il est possible que nous n’ayons pas la main sur la configuration de ces derniers p\u00e9riph\u00e9riques.<\/p>\n Le SSH (Secure Shell<\/em>) est un ensemble de programmes et de protocoles qui permettent d’effectuer des connexions s\u00e9curis\u00e9es (chiffr\u00e9es) entre un client et un serveur.<\/p>\n Par d\u00e9faut, le SSH est impl\u00e9ment\u00e9 dans la distribution Raspbian pour le Raspberry Pi.<\/p>\n Il communique sur le port 22 et permet de prendre le contr\u00f4le du mini-ordinateur en mode console.<\/p>\n Dans un cas id\u00e9al, vous \u00eates connect\u00e9 sur votre r\u00e9seau local, vous le savez s\u00e9curis\u00e9, tous les ports n\u00e9cessaires sont ouverts et les communications ne sont pas filtr\u00e9es.<\/p>\n Dans certaines situations, un firewall pourrait bloquer certains ports ou filtrer les requ\u00eates vers certains sites.<\/p>\n Ici, on bloque par exemple les requ\u00eates vers http:\/\/www.facebook.com<\/p>\n Il peut-\u00eatre utile de s\u00e9curiser une connexion vers votre serveur. Par exemple pour vous connecter en VNC<\/a>.<\/p>\n Articles connexes :<\/p>\n En effet, le protocole VNC n’est pas crypt\u00e9 et les informations sont donc \u00e9chang\u00e9es en clair.<\/p>\n Pour rem\u00e9dier au probl\u00e8me, nous allons cr\u00e9er un tunnel SSH entre la machine client (port 22) et le serveur (port 22) dans lequel nous allons faire transiter les donn\u00e9es VNC (port 5900).<\/p>\n On aura alors quelque chose comme ceci :<\/p>\n Dans ce cas, SSH va \u00e9couter le port 5900 sur la machine client, puis va encapsuler et crypter les donn\u00e9e et les envoyer vers le serveur sur lequel le processus inverse sera op\u00e9r\u00e9.<\/p>\n Une fois la commande valid\u00e9e dans le terminal, on va entrer l’adresse suivante dans la fen\u00eatre de connexion du client : Pour refermer\/reboucher le tunnel, il suffira de se d\u00e9connecter du terminal.<\/p>\n Pour que tout fonctionne correctement, assurez-vous que le Loopback<\/a> soit activ\u00e9 sur le serveur et que les ports n\u00e9cessaires soient ouverts dans le firewall.<\/p>\n La solution que nous venons de voir est int\u00e9ressante pour la confidentialit\u00e9, mais ne permet la connexion qu’a un seul serveur.<\/p>\n Si nous voulons d\u00e9bloquer le bridage de l’acc\u00e8s \u00e0 certains sites, nous allons utiliser un tunnel dynamique.<\/p>\n Comme pr\u00e9c\u00e9demment, nous allons \u00ab\u00a0capturer\u00a0\u00bb les donn\u00e9es du navigateur web, les encapsuler avec SSH et les envoyer au Raspberry Pi qui sera ici notre serveur.<\/p>\n Une fois re\u00e7ues, les donn\u00e9es seront d\u00e9sencapsul\u00e9es par le Rapberry Pi qui transmettra alors les requ\u00eates au serveur web.<\/p>\n Exemple :<\/strong><\/p>\n Si facebook.com est filtr\u00e9 sur le port 80 du gateway, on encapsule les donn\u00e9es en SSH sur le client \u00e0 partir d’un port \u00e0 d\u00e9finir et on les fait transiter de mani\u00e8re crypt\u00e9e par le port 22 jusqu’au RPi. Celui-ci se chargera de les d\u00e9crypter et d’adresser lui m\u00eame la requ\u00eate au serveur de facebook.com . La r\u00e9ponse fera ensuite le chemin inverse.<\/p>\n Dans le Terminal, on utilisera la commande suivante :<\/p>\n Soit :<\/p>\n Le trafic web va \u00eatre dirig\u00e9 vers le port 1080 en local gr\u00e2ce \u00e0 un proxy SOCKS<\/a>, puis encapsul\u00e9 par SSH et envoy\u00e9 vers le RPi.<\/p>\n Pour Firefox : Pr\u00e9f\u00e9rences > Avanc\u00e9 > R\u00e9seau > Param\u00e8tres…<\/p>\n Dans le champe H\u00f4te SOCKS : localhost et le port d\u00e9fini ici plus haut.<\/p>\n![\"\"](\"https:\/\/upload.wikimedia.org\/wikipedia\/commons\/thumb\/e\/eb\/Gateway_firewall.svg\/640px-Gateway_firewall.svg.png\")
<\/a><\/p>\n\n
Solution<\/h1>\n
SSH<\/h2>\n
$ ssh login@IP_ou_URL_du_serveur<\/pre>\n
$ ssh pi@mondomaine.com<\/pre>\n
Tunnel<\/h2>\n
Situation normale<\/h3>\n
![\"Tunnel-SSH-01\"](\"https:\/\/www.fanjoe.be\/wp-content\/uploads\/2015\/04\/Tunnel-SSH-01-620x194.png\")
<\/a><\/p>\nBlocage<\/h3>\n
![\"Tunnel-SSH-02\"](\"https:\/\/www.fanjoe.be\/wp-content\/uploads\/2015\/04\/Tunnel-SSH-02-620x194.png\")
<\/a><\/p>\nMise en place<\/h1>\n
Redirection vers un port local sur le serveur<\/h2>\n
Principe<\/h3>\n
\n
![\"Tunnel-SSH-03\"](\"https:\/\/www.fanjoe.be\/wp-content\/uploads\/2015\/04\/Tunnel-SSH-03-620x363.png\")
<\/a><\/p>\nCommandes<\/h3>\n
$ ssh -L port-local:HOSTNAME:port-distant login@mondomaine.com<\/pre>\n
login<\/code> \u00e9tant le nom d’un utilisateur sur le serveur et mondomaine.com<\/code> \u00e9tant l’adresse de l’h\u00f4te (IP ou URL).<\/p>\n$ ssh -L 5900:localhost:5900 pi@mondomaine.com<\/pre>\n
Configuration du client<\/h3>\n
vnc:\/\/localhost:5900<\/code><\/p>\n![\"Tunnel-SSH-04\"](\"https:\/\/www.fanjoe.be\/wp-content\/uploads\/2015\/04\/Tunnel-SSH-04.png\")
<\/a><\/p>\nTunnel dynamique<\/h2>\n
Principe<\/h3>\n
![\"Tunnel-SSH-05\"](\"https:\/\/www.fanjoe.be\/wp-content\/uploads\/2015\/04\/Tunnel-SSH-05-620x363.png\")
<\/a><\/p>\nCommandes du Terminal<\/h3>\n
$ ssh -D port-local login@mondomaine.com<\/pre>\n
$ ssh -D 1080 pi@mondomaine.com<\/pre>\n
Configuration du Proxy<\/h3>\n
Proxy Navigateur<\/h4>\n
![\"Tunnel-SSH-06\"](\"https:\/\/www.fanjoe.be\/wp-content\/uploads\/2015\/04\/Tunnel-SSH-06-620x190.jpg\")
<\/a><\/p>\n
![\"Tunnel-SSH-07\"](\"https:\/\/www.fanjoe.be\/wp-content\/uploads\/2015\/04\/Tunnel-SSH-07-620x608.jpg\")
<\/a><\/p>\n![\"Tunnel-SSH-08\"](\"https:\/\/www.fanjoe.be\/wp-content\/uploads\/2015\/04\/Tunnel-SSH-08-620x538.jpg\")
<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"![Gateway firewall<\/a>\u202f\u00bb par Harald M\u00fchlb\u00f6ck \u2014 Sous licence](\"https:\/\/commons.wikimedia.org\/wiki\/File:Gateway_firewall.svg#\/media\/File:Gateway_firewall.svg\"){kind=link}