Checkpoint est avant tout positionné "Grands Comptes" ce qui signifie que beaucoup de développements spécifiques ont été réalisé et que le firewall checkpoint fait plein de trucs dans tous les sens sans qu'on soit sur qu'il fasse des fonctions de sécurité qui sont réellement nécessaires...

J'ai suivi la formation sur le FW1 NG de Checkpoint... prix pour la semaine ... 3000€ ... heureusement c'est ma boite qui a payé...
En ce qui conerne la Doc, tu as tout ce qu'il te faut sur le CD d'instal du Firewall :-) Sinon renseigne toi dans une presse spécialisée et demande s'il existe un Livre sur FW1...

Ce que j'en pense... trop cooooool :-)))) c'est un logiciel super-puissant qui non seulement protège ton réseau mais te permet de créer un VPN avec tes users distants, un systeme de détection d'intrusion et de journalisation pas piqué des vers non plus...
La config n'est pas trop complexe... quand on a compris ce que ce sont les objets dans le FW :-)


-==@ Tessaï @==-

Ouais mias tous les firewalls font ça, donc cela n'a rien d'exceptionnel

Oui bon d'accord beaucoup de firewall font ça mais il existe des fonctionnalités qui vont quand même bien plus loin que la plupart des Firewalls... je ne sais pas quel est le Firewall que tu utilises mais à moins que ce ne soit un Pix ou un genre IPtable sous Unix... ça m'étonnerait qu'il soit aussi puissant que le Firewall 1

-==@ Tessaï @==-

Non rien de tout ça.

La preuve que certaines fonctionnalités de checkpoint c'est parfois un peu pipot c'est typiquement "Application intelligence", checkpoint dit que fw1 peut bloquer Code RED (il le fait) mais en fait c'est un simple filtrage d'URL sur une chaine telle que *ida?*, je rigole...

Le truc c'est que le jour ou l'attaque mute un tant soit peu tu l'as dans l'os et c'est pareil pour plein de trucs chez checkpoint.

Tout ceci est interressant. javai mi en place un fw sous iptables avec les conseilles de personne de se forum malheureusemen c checkpoint ki est et reste.

hi hi vi les chefs non meme pas confiance en linux et prefer metre du krosoft. Bon tampi pour eux si ils veulent payer.

Des livres si jen est trouver enfin en recherchan sur le net mai bon naturelemen come dotre doc je ne lai trouver ken en anglais. sniff pk g pri espagniol ?a vi c t plus facile lol.

tessai pe tu me donner bon pa kelke cour mai kelke notion de base de checkpoint et justemen d objet checkpoint car la je nage bc.

sket@freesurf.fr

merci bc

Bien sure... je vais essayer en tout cas... d'etre le plus clair possible :-)

Alors, la première étape est de configurer un objet de type "Firewall" pour ton PC qui te servira de Firewall :

lui attribuer une IP public avec la MAC adresse qui sert de carte réso reliée au routeur.
Une IP privée avec la MAC d la carte reliée à ton LAN( et mettre selon la config de ton réseau, la gateway de tes postes clients avec cette adresse sauf si tu passes par un proxy pour les clients !!)

Arf... me rends compte que ça va etre coton... j'aurais besoin avant d'aller plus loin... du plan de l'architecture de ton réseau... pour savoir tu la configurer avec une DMZ... si tu as plusieurs IP publiques... ce qui doit sortir, ce qui doit rentrer... enfin... voilà quoi...

Le principe est qu'une fois tous tes objets définis dans FW1, avec IP et un nom parlant pour toi, il te suffit d'établir des règles qui autorisent ou pas de laisser passer tel ou tel protocols selon que ce soit un server WEb (80) FTP (21) Citrix (1394) ...

En attendant de savoir quoi...


-==@ Tessaï @==-

Salut. et vi j'ai u la chance detre en vac et donc je ne suivai plus le forum.

en fait le fw est deja configurer c'est une ssii ki sen ocupe. elle doit revenir pour metre en place une dmz.

une seule ip public de type 213.243.1.1/29

un reseau interne de type 10.10.10.0/24

et un serveur web mise en place sur une dmz avec une ip interne 172.16.1.1

ensuite on fai d pate lustucru sur le port 80 et ladresse public du genre avec iptable

iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination 172.16.1.1

voila. mai toucher a checkpoint deja mi en place se ke mon chef aimerer oulalala ke c dur. linterface graphique oula i compren rien avec les objets. Se ki serai interressan c pouvoir diriger un max de chose en ligne de commande.

cordialement sket

Ouf... en ligne de commande avec CheckPoint connais pas moi :-(

L'interface n'est pas si mauvaise en fait... le plus dure est de définir les objets... pour les règles ça relève pkus de la logique....

Mais en ligne de commande... peut pas t'aider là...

-==@ Tessaï @==-

Tu veux vraiment faire ça en ligne de commande ?
C'est CISCO qui t'a persuadé que c'était le meilleur moyen d'y arriver ?
Personnellement l'interface graphique sera toujours bien plus conviviale que les lignes de commandes même si il faut le reconnaitre l'interface checkpoint c'est difficile au début.

Le principe des objets n'est pas compliqué. Par exemple pour ton serveur WEB. Tu définies un objets avec le nom que tu veux tu lui dit sur quel interface du firewall il se trouve et tu spécifies le NAT ou PAT que tu veux lui associer. A partir de ce moment c'est firewall 1 qui génère automatiquement les règles qui vont bien.

Vi jaimerai quon me mache le travail ben koi i compren rien a checkpoint et avec un ex bien congret je pourai enfin me lancer.

une seule ip public de type 213.243.1.1/29 donc sur le fw
fw = 213.243.1.1
fw = 10.10.10.1
fw = 172.16.16.1

un reseau interne de type 10.10.10.0/24
un autre reseau interne de type 172.16.16.0/29


et un serveur web mise en place sur une dmz avec une ip interne 172.16.16.2

voila donc comen ki fo ke jface dan le checkpoinpoint pour fer ca ?

si g compri fo ke je declare tou dabor mon serveur web come etan un objet sur la pate de la bone carte reseau de mon fw. ok facile mdr ???

sori mai en kel objet je doi le créer jesite entre kelke un.

franchemen c cho je me sen tro bidon la

Tu as créé ton objet "Checkpoint", défini dans la topologie les différentes adresses des différentes interfaces...
eth0 213.243.1.1 255.255.255.248
eth1 10.10.10.1 255.255.255.0
eth2 172.16.16.1 255.255.255.248

Tu crées un objet "Nodes" "Host" (en anglais désolé), le deuxième type d'objet dans la liste. Tu lui spécifies l'adresse 172.16.16.2
et tu sélectionnes l'option "Web Server"
Dans l'onglet NAT tu sélectionnes "Add automatic address translation rules"
dans l'option "translation method" tu mets "hide"
dans l'option "hide behind ip address" tu mets "213.243.1.1"

Je pense que cela devrait être à peu près tout...

Un grand merci a toi Nitch et tessai

Rebonjour.

Suite à votre précieuse aide, javance doucement mais javance dans checkpouete.

Ma question est jesper béte. Nous allons etre amener à changer d'adress ip public. Je v donc modifier l'ip de mon linux mai sur le checkpouete est ce ke je n'ai just à modifier l'ip dans l'objet network ? et op tou marche par magie ? ou par chance

Alors personne pour une ptite aide checkpouete ? a vrai dir je me tire les cheveux de checkpouete. tessai nick ????

j'ai creer mon object nodes pour le serveur web mai ocune option afin kil soi defini come serveur web. les translations dadresses ne son pa flexibles

Et en vu dun changement d'adresse ip pe on utiliser une meme license temporairement pour l'utilisation de 2 adresse ip public ?

UP.
Je relance la premiére question, y a t il sur le net de la doc sur ce firewall;
By - http://www.mondecentral.com -
- http://blog.mondecentral.com -
- http://coupedumonde2010.mondecentral.com -