| Voir le sujet précédent :: Voir le sujet suivant |
| Auteur |
Message |
hammett
Membre indispensable
Inscrit le: 31 Déc 2005
Messages: 12800
Localisation: Colombes
|
 Posté le: Mar 19 Aoû 2008 pm 17:10 Sujet du message: |
 |
|
| Expertclub a écrit: | | hammett a écrit: |
Quelques explications supplémentaires   Sans déflorer les secrets de la maison Neuf of course. |
Désolé pas plus que celles données par Thierry9C, c'est à dire semblable à la NB4. |
Ok.
Pour eclaircir nos idées. Un rappel des principales différences...
_________________
Orange Open
"Le monde se divise en deux catégories : ceux qui ont un pistolet chargé, et ceux qui creusent. Toi, tu creuses !" Blondin/C.Eastwood -
Le Bon, la Brute le Truand - S.Léone 1966
"Par ailleurs, le cinéma est un art" André Malraux |
|
| Revenir en haut de page |
|
 |
flr01
Membre indispensable
Inscrit le: 27 Mar 2008
Messages: 1080
|
| Posté le: Mar 19 Aoû 2008 pm 17:46 Sujet du message: |
|
|
Le site http://antoniop.free.fr/box/nb4/index.htm permet de se donner une idée de l'interface d'une NEUFbox.
Après un rapide parcours, j'y trouve en plus le paramétrage d'un DNS local (cela manque sur une CIbox !!), le choix du compromis débit-stabilité, le suivi des consommation, des pages de diagnostiques et tests (pour faire sonner le téléphone, ping/traceroute...)... le choix du thème (aurions nous le choix entre une apparence NEUF-box et une autre CI... à moins qu'SFR en profite pour proposer du rouge  ). Et bien sûr des pages probablement inapplicables sur une CI-box (contrôles des voyants, périphériques, hotspot NEUF ou FON).
Reste la question... quel part de ces onglets seront disponibles sur une CI-Box... |
|
| Revenir en haut de page |
|
|
Expertclub
Membre indispensable
Inscrit le: 07 Juin 2006
Messages: 2532
Localisation: Paris
|
| Posté le: Mar 19 Aoû 2008 pm 18:04 Sujet du message: |
|
|
| flr01 a écrit: | Le site http://antoniop.free.fr/box/nb4/index.htm permet de se donner une idée de l'interface d'une NEUFbox.
Après un rapide parcours, j'y trouve en plus le paramétrage d'un DNS local (cela manque sur une CIbox !!), le choix du compromis débit-stabilité, le suivi des consommation, des pages de diagnostiques et tests (pour faire sonner le téléphone, ping/traceroute...)... le choix du thème (aurions nous le choix entre une apparence NEUF-box et une autre CI... à moins qu'SFR en profite pour proposer du rouge ). Et bien sûr des pages probablement inapplicables sur une CI-box (contrôles des voyants, périphériques, hotspot NEUF ou FON).
Reste la question... quel part de ces onglets seront disponibles sur une CI-Box... |
Bien résumé, et donc la question finale à laquelle je ne peux répondre. |
|
| Revenir en haut de page |
|
|
morisod
Membre important
Inscrit le: 02 Juin 2006
Messages: 899
Localisation: Toulouse nord / Moncrabeau (47)
|
| Posté le: Mer 20 Aoû 2008 am 11:45 Sujet du message: |
|
|
et quid du firewall actuel de la CI box , ainsi que de l'accès ftp/cli ?
_________________
MOB47- Orange OPEN bridé au palier 2,4 Mbit Attn=48 dB / UNI31-Free DT-4.700 m-57 dB-3,9 Mbits-TV- Freebox V5 - pile poil depuis 5 ans / clé 3G orange 5€/mois 100 Mo |
|
| Revenir en haut de page |
|
|
flr01
Membre indispensable
Inscrit le: 27 Mar 2008
Messages: 1080
|
| Posté le: Mer 20 Aoû 2008 pm 12:37 Sujet du message: |
|
|
| morisod a écrit: | | et quid du firewall actuel de la CI box , ainsi que de l'accès ftp/cli ? |
Je te laisse comparer les options de filtrage proposées : http://antoniop.free.fr/box/nb4/2_7.htm |
|
| Revenir en haut de page |
|
|
morisod
Membre important
Inscrit le: 02 Juin 2006
Messages: 899
Localisation: Toulouse nord / Moncrabeau (47)
|
| Posté le: Mer 20 Aoû 2008 pm 18:38 Sujet du message: |
|
|
euh ?
je ne suis pas un gourou d'iptables , mais j'avais cru lire cà et là des avis de spécialistes qui considéraient le firewall de la NB.4 comme "rustique"
_________________
MOB47- Orange OPEN bridé au palier 2,4 Mbit Attn=48 dB / UNI31-Free DT-4.700 m-57 dB-3,9 Mbits-TV- Freebox V5 - pile poil depuis 5 ans / clé 3G orange 5€/mois 100 Mo
Dernière édition par morisod le Jeu 21 Aoû 2008 pm 12:56; édité 1 fois |
|
| Revenir en haut de page |
|
|
nnouveau
Membre indispensable
Inscrit le: 20 Juil 2006
Messages: 6608
|
| Posté le: Mer 20 Aoû 2008 pm 19:45 Sujet du message: |
|
|
| morisod a écrit: | euh ?
je ne suis pas un gourou d'ipatbles , mais j'avais cru lire cà et là des avis de spécialistes qui considéraient le firewall de la NB.4 comme "rustique" |
On peut empêcher le ping entrant.. pas mal !.
par contre, reste à savoir l'efficacité du pare feu de la NB4..
_________________
Chez CI depuis 1999..
Migré automatiquement depuis le 19 Juin 2009.
Un souci suite à la migration automatique.. lisez donc les 3 SOLUTIONS APRES MIGRATION AUTOMATIQUE, cliquez
ICI |
|
| Revenir en haut de page |
|
|
flr01
Membre indispensable
Inscrit le: 27 Mar 2008
Messages: 1080
|
| Posté le: Jeu 21 Aoû 2008 pm 20:32 Sujet du message: |
|
|
| morisod a écrit: | euh ?
je ne suis pas un gourou d'iptables , mais j'avais cru lire cà et là des avis de spécialistes qui considéraient le firewall de la NB.4 comme "rustique" |
Dans quel sens était-ce formulé ?
En effet, le firewall en question n'est rien de plus qu'un filtre de paquet IP. Ce qui permet d'empêcher des communications entrantes non souhaitées, mais ne va pas regarder le contenu des trames pour voir s'il y a des codes malicieux, ou autres bizzareries, etc. Mais je ne pense pas que cela soit le rôle d'un modem-routeur.
En l'occurrence, le principe même de translation d'adresse devrait - sans prétendre remplacer une solution à un niveau applicatif - fournir une assez bonne sécurité : les seuls flux acheminés directement vers le réseau local sont ceux liés à une connexion initiée depuis ce réseau, et les flux autorisés par uPnP ou par déclaration de redirection de port (cela ouvre à des attaques... il faut en être conscient).
Reste donc les flux adressés à la box. A en juger par le message de Zuben ici) sur une v50-23, l'approche retenue est plutôt bonne : les paquets sont ignorés (DROP) par défaut... sauf ceux déclarés par exceptions.
Il faut donc regarder les exceptions :
port telnet/1287 depuis une multitudes d'adresses NEUF,
web et webcache depuis une adresse interne de NEUF,
ICMP (ping) - pas de restriction de la source,
téléphonie (UDP, ports 2427 et 16600-16603) - pas de restriction de la source
Pour les 2 premières lignes, si l'on fait confiance à NEUF, pas de gros problème... sinon......
La troisième (ping) n'est pas des plus gênantes, elle permet simplement de constater qu'il y a quelque chose qui répond, ce qui est assez limité comme interaction... et serait désactivable sur une NEUF-Box.
Reste la dernière ligne qui permettraient en théorie à n'importe quels Internaute de profiter d'une vulnérabilité du logiciel de téléphonie de la Box s'il y en a - sauf si blocage en amont - (NB: il y a le même type de règles sur une CI-Box v47). Si l'application est bien conçue, je pense qu'elle devrait rejeter les trames dont l'origine n'est pas celle attendue. |
|
| Revenir en haut de page |
|
|
morisod
Membre important
Inscrit le: 02 Juin 2006
Messages: 899
Localisation: Toulouse nord / Moncrabeau (47)
|
| Posté le: Ven 22 Aoû 2008 pm 18:01 Sujet du message: |
|
|
O.K. , merci de ces explications étayées 
1 ) si je comprends bien , le firewall "par défaut" ( sans règles particulières introduites ) de la NB.4 vaut celui de la CI.box
2 ) comment comparer NB.4 & CI.box quant à leurs possibilités et perfos de firewall personnalisé et paramétré , autrement dit , quid des règles qu'on se fait ( ouverture de ports , routes statiques , ... )
_________________
MOB47- Orange OPEN bridé au palier 2,4 Mbit Attn=48 dB / UNI31-Free DT-4.700 m-57 dB-3,9 Mbits-TV- Freebox V5 - pile poil depuis 5 ans / clé 3G orange 5€/mois 100 Mo |
|
| Revenir en haut de page |
|
|
flr01
Membre indispensable
Inscrit le: 27 Mar 2008
Messages: 1080
|
| Posté le: Ven 22 Aoû 2008 pm 20:05 Sujet du message: |
|
|
| morisod a écrit: | | 1 ) si je comprends bien , le firewall "par défaut" ( sans règles particulières introduites ) de la NB.4 vaut celui de la CI.box |
Effectivement, l'option firewall de la box permet simplement d'avoir le rejet par défaut, ainsi - si l'on fait abstraction des exceptions vers le réseau NEUF, et si l'on désactive le ping - la situation est comparable.
Dans le cas ou le cas où l'option firewall de la CI-box est activé, la situation n'est pas dramatique non plus - la box est plus visible : elle repondra au ping, bloque l'accès telnet/web/etc. au niveau applicatif (fermeture de la connexion immédiate après l'ouverture), et renvoit des refus de connexion aux autres ports (là où l'option firewall impliquerait une attitude silencieuse). J'avoue ne pas avoir pris la peine d'activer l'option firewall
| morisod a écrit: | | 2 ) comment comparer NB.4 & CI.box quant à leurs possibilités et perfos de firewall personnalisé et paramétré , autrement dit , quid des règles qu'on se fait ( ouverture de ports , routes statiques , ... ) |
Côté firewall proprement dit : mis à part la différence option FW / pas de réponse au ping, la NB4 propose le filtrage du port 25 (SMTP) sauf vers NEUF, ce qui ne protège pas le réseau interne... mais au cas où ce dernier serait attaqué (virus, attaque via des connexion initiée de l'intérieur - chat par exemple), on empêcherait le code intrus de servir de la connexion pour spammer tout le monde.
Il y a aussi l'option protéger les ordinateurs Windows... S'il s'agit de bloquer des connexions entrantes, il s'agit d'une option utile en mode "bridge"... mais inutile en mode "routeur".
Côté routes statiques.... la CI-Box offre plus de choix (interface...), la possibilité de supprimer la route par défaut... des options qui ne serviront probablement à personne. (La Box n'ayant qu'un lien WAN, pas de capacité d'ouvrir un tunnel, il y a peut d'utilité à avoir des routes personalisées côté WAN).
Côté redirection de ports, la CI-Box a plus d'options... mais le port triggering ferait planter la Box (lu sur CN), reste l'option DMZ... J'ai lu qu'on pourrait l'émuler sur une NB4 par une redirection de tous les ports (plage 0-65535), mais je n'ai pas ni essayé ni analysé l'option (est-ce compatible avec la téléphonie...).
Pour l'essentiel, c'est comparable avec un côté plus pratique de la CI-box qui propose des configurations prêtes à l'emploi pour une multitude d'applications (jeux, MSN...)
3)
Je n'ai pas trouvé sur la NB4, l'accès au log, le paramétrage de la remontée syslog (voire l'activation d'SNMP). |
|
| Revenir en haut de page |
|
|
morisod
Membre important
Inscrit le: 02 Juin 2006
Messages: 899
Localisation: Toulouse nord / Moncrabeau (47)
|
| Posté le: Ven 22 Aoû 2008 pm 20:17 Sujet du message: |
|
|
| Citation: | | Je n'ai pas trouvé sur la NB4, l'accès au log, le paramétrage de la remontée syslog (voire l'activation d'SNMP). |
bien vu pour le SNMP
et y a pas d'accès telnet / CLI sur la NB.4 y me semble ?
_________________
MOB47- Orange OPEN bridé au palier 2,4 Mbit Attn=48 dB / UNI31-Free DT-4.700 m-57 dB-3,9 Mbits-TV- Freebox V5 - pile poil depuis 5 ans / clé 3G orange 5€/mois 100 Mo |
|
| Revenir en haut de page |
|
|
flr01
Membre indispensable
Inscrit le: 27 Mar 2008
Messages: 1080
|
| Posté le: Ven 22 Aoû 2008 pm 20:29 Sujet du message: |
|
|
| morisod a écrit: | | et y a pas d'accès telnet / CLI sur la NB.4 y me semble ? |
S'il y avait un moyen simple pour l'accès telnet, je pense qu'il aurait sa place ici :
| Citation: | Prérequis
Pour pouvoir flasher un firmware avec telnet il faut tout d'abord avoir ouvert son accès telnet sur la NB4. Pour celà, voir les méthodes suivantes :
* Reflasher un firmware avec CFE
* Reflasher un firmware avec FTTH |
|
|
| Revenir en haut de page |
|
|
flr01
Membre indispensable
Inscrit le: 27 Mar 2008
Messages: 1080
|
| Posté le: Sam 23 Aoû 2008 am 09:48 Sujet du message: |
|
|
Petit complément... la CI-Box a deux pages cachées qui permettent de paramétrer le filtrage :
Mais cela est insuffisant pour permettre des règles telles que : interdire le flux de messagerie sortant SAUF vers tel(s) relai(s) de messagerie.
Mais cela peut être utile. Mise en pratique : empêcher l'accès à Internet Plus... le faire sur la CI-Box, est un bon endroit... excellent même
Il suffit de déclarer une règle bloquant les flux TCP sortant VERS l'adresse 193.28.205.0, avec un masque de réseau 255.255.255.0. Laisser les autres champs vides (sauf le nom). Valider... C'est tout !!
La règle ajoutée est "DROP", ce qui fait que le navigateur attends indéfiniment la réponse. Il est donc préférable d'ajouter d'autres mécanismes. |
|
| Revenir en haut de page |
|
|
nnouveau
Membre indispensable
Inscrit le: 20 Juil 2006
Messages: 6608
|
| Posté le: Sam 23 Aoû 2008 am 10:51 Sujet du message: |
|
|
| flr01 a écrit: | Petit complément... la CI-Box a deux pages cachées qui permettent de paramétrer le filtrage :
Mais cela est insuffisant pour permettre des règles telles que : interdire le flux de messagerie sortant SAUF vers tel(s) relai(s) de messagerie.
Mais cela peut être utile. Mise en pratique : empêcher l'accès à Internet Plus... le faire sur la CI-Box, est un bon endroit... excellent même
Il suffit de déclarer une règle bloquant les flux TCP sortant VERS l'adresse 193.28.205.0, avec un masque de réseau 255.255.255.0. Laisser les autres champs vides (sauf le nom). Valider... C'est tout !!
La règle ajoutée est "DROP", ce qui fait que le navigateur attends indéfiniment la réponse. Il est donc préférable d'ajouter d'autres mécanismes. |
oui, effectivement, sinon avec le pare-feu logiciel comme Online Armor, peut empêcher d'accéder au site internet plus !. ce qui n'est pas mal non plus.. inconvénient : les autres personnes peuvent l'activer.. sauf si tu y mets un mot de passe administration.
_________________
Chez CI depuis 1999..
Migré automatiquement depuis le 19 Juin 2009.
Un souci suite à la migration automatique.. lisez donc les 3 SOLUTIONS APRES MIGRATION AUTOMATIQUE, cliquez
ICI |
|
| Revenir en haut de page |
|
|
flr01
Membre indispensable
Inscrit le: 27 Mar 2008
Messages: 1080
|
| Posté le: Sam 23 Aoû 2008 pm 13:13 Sujet du message: |
|
|
| nnouveau a écrit: | | oui, effectivement, sinon avec le pare-feu logiciel comme Online Armor, peut empêcher d'accéder au site internet plus !. ce qui n'est pas mal non plus.. inconvénient : les autres personnes peuvent l'activer.. sauf si tu y mets un mot de passe administration. |
Bien vu ! A lire un tutoriel sur le logiciel, j'ai l'impression que la seule manière de filtrer un site en particulier est via le fichier hosts.
J'en profite pour intégrer l'idée dans une petite mise à jour :
|
|
| Revenir en haut de page |
|
|
|
FAQ
Rechercher
Liste des Membres
Groupes d'utilisateurs
S'enregistrer
Profil
Se connecter pour vérifier ses messages privés
Connexion
