Dans ce chapitre, je parlerai plus en détail du paquet Firewall disponible sur les routeurs MikroTik, et qui permet au routeur d’agir comme un dispositif de pare-feu.

Je sais que vous vous dites peut-être que j’ai déjà expliqué dans ce livre un grand nombre de choses que nous pouvons faire sur le pare-feu du routeur MikroTik pour nous protéger des attaques, alors que peut-on faire de plus ? Eh bien, dans ce chapitre, je vais continuer à vous montrer comment vous pouvez protéger votre routeur/réseau contre d’éventuelles attaques, mais surtout, je vais vous parler plus en détail du pare-feu lui-même.

Les points abordés dans ce chapitre sont les suivants :

• Pare-feu dynamique
• Flux de paquets, chaînes de pare-feu
• Table RAW
• Atténuation des attaques par inondation SYN à l’aide de la table RAW
• Configuration par défaut du RouterOS
• Meilleures pratiques pour l’accès à la gestion
• Filtrage de pont
• Filtrage ICMP

 

Nous allons commencer par le pare-feu dynamique (Stateful firewall) de MikroTik RouterOS.

 

Pare-feu dynamique

MikroTik RouterOS est un pare-feu dynamique. Un pare-feu dynamique est un type de pare-feu qui suit et surveille l’état des connexions réseau actives tout en analysant le trafic entrant et en recherchant les risques potentiels pour le trafic et les données. Ce pare-feu se situe aux niveaux 3 et 4 du modèle d’interconnexion des systèmes ouverts (OSI).

Comme MikroTik RouterOS est un pare-feu dynamique, il garde la trace des connexions ouvertes telles que ICMP, UDP, TCP, etc….

Cela fait de MikroTik RouterOS un excellent pare-feu car, contrairement aux pare-feu sans état qui n’inspectent pas le trafic et n’examinent pas un paquet entier, il peut garder une trace de chaque connexion ouverte, et il examine tous les paquets qui appartiennent à ces connexions.

Pour vous montrer que le RouterOS de MikroTik est un pare-feu dynamique, il suffit de regarder l’onglet « Connection Tracking » à l’intérieur du pare-feu :

 

Vous pouvez voir que le pare-feu suit chaque connexion ouverte sur le routeur MikroTik.

Ce suivi des connexions peut être désactivé, mais si vous le désactivez, de nombreuses fonctionnalités du pare-feu seront affectées, telles que :

 

• NAT
• Pare-feu:
  • connection-bytes
  • connection-mark
  • connection-type
  • connection-state
  • connection-limit
  • connection-rate
  • layer7-protocol
  • new-connection-mark
  • tarpit

Comment désactiver le suivi des connexions ? C’est très simple, je vais vous montrer :

En procédant ainsi, le NAT ne fonctionnera plus, de sorte que ce que j’ai pu voir comme entrées dans le suivi des connexions devra être complètement effacé (il s’agissait d’entrées NAT) :

Tout a disparu, et maintenant personne à l’intérieur du réseau local ne pourra se connecter à l’internet parce que le NAT n’est pas fonctionnel. ☹