RSH à travers un firewall

Fermé
benours Messages postés 862 Date d'inscription mardi 22 mai 2007 Statut Membre Dernière intervention 23 octobre 2011 - 12 févr. 2010 à 10:51
benours Messages postés 862 Date d'inscription mardi 22 mai 2007 Statut Membre Dernière intervention 23 octobre 2011 - 12 févr. 2010 à 12:15
Bonjour,

Je cherche à piloter un système embarqué qui n'accepte que les commandes RSH (pas de SSH ou autre). Je cherche à l'atteindre à travers un firewall Checkpoint avec inspection de packets activée mais mes commandes ne passent pas.

Même avec une règle "Allow ALL from ANY to ANY" il continue à me bloquer mon trafic. Les requêtes semblent passer du LAN vers le WAN sur le port 514, mais les réponses du WAN vers le LAN sont bloquées (port 1022).
Motifs: soit "Policy Rule" soit "Christmas Tree", ca a plutot l'air de relever de l'inspection de packet que tu filtrage des ports à proprement parler.

Pourrais-je bénéficier de votre avis à ce sujet? Merci!


A voir également:

1 réponse

benours Messages postés 862 Date d'inscription mardi 22 mai 2007 Statut Membre Dernière intervention 23 octobre 2011 109
12 févr. 2010 à 12:15
C'est bon, ça marche...

Je récapitule:
PC-----[LAN Routeur FW WAN]-----Periphérique

Configuration du firewall: "Allow ALL" LAN->WAN et WAN->LAN
Configuration SPI: niveau le plus bas
Les requêtes LAN->WAN passent mais pas les réponses.

Dans un élan désespéré, j'ai ajouté une règle "Allow and forward" vers l'IP du WAN vers l'IP de mon PC sur le LAN, et là, miracle!

J'ai donc une lacune à combler, comment se fesse que ça marche pas?

Hypothèse:
RSH semble basé sur RDP avec les mêmes contraintes que FTP: ce n'est pas la même conection/le même protocole qui initie la requête et qui y répond. Les réponses ne seront donc pas envoyée sur le même port que celui qui a été initié dans le pare-feu. Avec le NAT, pas de trace de la machine source si on répond sur un autre port: l'adresse destination des paquets de réponse ne comporte que l'IP WAN du routeur, et le routeur n'a pas de machine associée au port destination du même paquet.
Mon raisonnement est-il juste/complet?

Je me demande alors pourquoi ces connexions de réponse on été loguées "Blocked: Policy Rule" et "Blocked: Christmas Packet"... A la limite le "Policy Rule" je comprends si ça illustre que le routeur n'accepte aucune connexion sur son port WAN et sur le port spécifié. Quant à Christmas Packet, s'agit-il de ces paquets comportant trop peu d'informations pour être caractérisés?

Votre avis m'intéresse.
0