règles L7

• [^]Re: règles L7

  Posté par _gryzor_ () le 22/02/2007 à 10:54. (lien). Évalué à 4.

  Salut, et d'abord merci pour ce commentaire qui révèle un intérêt et une compréhension des technologies utilisées.
  
  Les règles layer7 sont "orthogonales" aux "autres" ACLs. En fait, il s'agit d'ACL à un autre niveau (lié au protocole). En effet, Netfilter/NuFW prend la décision sur le premier paquet (en TCP : SYN) d'une connexion, alors que layer7 a souvent besoin d'un certain nombre d'échanges sur la connexion établie pour pouvoir statuer.
  
  Ainsi, une connexion peut être autorisée par Netfilter (donc par une ACL classique), puis après quelques échanges de datagrammes bloquée par Layer7.
  
  Pour ce qui concerne la deuxième question, Nuface est beaucoup plus fin que cela : l'outil s'appuie sur la notion de marque interne à la couche réseau du noyau Linux. Il est donc possible par exemple de créer deux protocoles HTTP dans nuface (un lié à une vérification L7, l'autre non) et d'utiliser le protocole de son choix pour chaque ACL. La distinction entrée/sortie est donc faisable, mais en fait on a une distinction encore plus fine que cela : ACL par ACL.
  
  Merci pour ton intérêt pour l'outil : il y a encore des fonctionnalités dans les cartons, à suivre dans les prochaines versions ;)

  • [^]Re: règles L7

    Posté par Sytoka Modon (page perso, ) le 22/02/2007 à 19:54. (lien). Évalué à 1.

    J'avoue que j'ai pas franchement compris ce que c'était exactement que cette couche L7.
    
    Remarque, nuface n'est pas cité sur la page L7layer
    
    http://l7-filter.sourceforge.net/

    • [^]Re: règles L7

      Posté par Sytoka Modon (page perso, ) le 23/02/2007 à 09:16. (lien). Évalué à 4.

      En fait, j'ai continuer un peu mes recherches après et effectivement, L7 a l'air assez puissant même si pour le moment, je n'ai pas regardé pour voir comment cela marche.
      
      En tout cas, la liste des protocoles reconnus par L7 est déjà impressionnante. Cette couche L7 est bien car elle va permette d'aller un peu plus loin que le désormais classique ouverture et fermeture de ports.
      
      
      Pour ceux qui n'ont pas suivis, L7 permet suite a l'analyse de quelques paquets (dans les deux sens) d'une connection de déterminer le protocole (FTP, HTTP, H323, Skype...) et donc de définir de nouvelle règle (par exemple, arrêt du flux).
      
      Comme de plus en plus de personne utilise le port 80 pour faire passer un peu tout et n'importe quoi, L7 va devenir a mon avis indispensable d'ici peu.

      • [^]Re: règles L7

        Posté par baud123 (Jabber id, page perso, ) le 23/02/2007 à 13:30. (lien). Évalué à 3.

        L7 va devenir a mon avis indispensable d'ici peu.
        oula t'es un peu en retard sur l'actualité :)
        L7 est devenu indispensable depuis quelques temps déjà...
        
        cf. http://www.journaldufreenaute.fr/30/07/2006/free-adsl-demons(...)
        
        cela permet notamment de faire de la QoS et d'éviter que le peering n'explose de trop...

        • [^]Re: règles L7

          Posté par Sytoka Modon (page perso, ) le 23/02/2007 à 14:46. (lien). Évalué à 1.

          Enfin, ton article date du mois de Juillet et concerne un gros FAI !
          
          Je ne suis pas sur que beaucoup de personne ai mis des règles L7 sur son réseau.
          
          Sondage : qui a mis des règles L7 et qui n'en a pas mis ?