Filtrage de paquets avec TCP ou UDP

port
cible.



Le numéro du port identifie l’application tournant sur TCP ou UDP. Les ports
de 0 à  1023 sont appelés ports bien connus. Ces numéros de port sont affectés
à  la partie basée sur le serveur d’une application. Sur la plupart des systèmes,
seuls les process dotés de privilèges élevés (par exemple Racine ou Adminsitrateur)
peuvent les utiliser.

Les ports 1024 à  49151 sont appelés les ports référencés. Pour faciliter la
vie de la communauté Internet, ces ports sont définis publiquement pour éviter
les conflits entre fournisseurs. Ces ports peuvent être utilisés par les applications
clients et serveurs.



La IANA qualifie les ports restants, de 49152 à  65535, de dynamiques et/ou privés.




Tout client ou serveur peut librement les utiliser. Le tableau 1 liste les numéros
de port les plus communément utilisés et les protocoles qui leur sont généralement
associés.



En contrôlant les numéros de port autorisés à  traverser votre filtre de paquets,
on peut contrôler à  quels applications et services externes les utilisateurs
internes peuvent accéder et les applications et services internes que les utilisateurs
externes peuvent atteindre. Une liste des numéros de ports TCP et UDP est disponible
sur le site Web de la IANA à  l’adresse http:/www.isi.edu/in-notes/iana/assignment/port-numbers.



Lorsque l’on détermine les règles de filtrage de paquets pour TCP, un autre
facteur à  considérer est la direction de la connexion. Les serveurs TCP doivent
établir une connexion virtuelle avant de pouvoir échanger des données. Le processus
de connexion utilise une poignée de main à  trois voies, ainsi qualifiée parce
sa création nnnécessite l’échange de 3 segments TCP pour synchroniser les séquences
des deux serveurs et reconnaître les numéros. Généralement, le client initie
la connexion sur le serveur mais il existe des exceptions notables. Par exemple,
bien que le client FTP soit l’initiateur d’une connexion TCP avec le serveur
FTP, ce dernier initialise la connexion FTP-data avec le client.



La Figure 2 présente un scénarion dans lequel un serveur Windows NT joue le
rôle de routeur, envoyant les paquets entre un site utilisateur et un ISP. Dans
ce contexte, Entrée signale les paquets arrivant dans le réseau depuis l’extérieur
et Sortie indique les paquets sortant du réseau interne vers l’extérieur. Lorsque
l’on configure le filtre de paquets, on peut restreindre non seulement les applications,
mais également la direction des connexions. On peut ainsi limiter les connexions
entrantes, par exemple, tout en garantissant que les utilisateurs internes peuvent
établir des connexions TCP vers des serveurs externes.