Voila, je suis en stage en entreprise, je bosse sur un projet de SAN mais un soucis de sécurité me tracasse : mon SAN serait relier à des serveurs grace à une interface FC, le soucis étant qu'ils s'agit de serveurs présents autant sur le réseau que sur la DMZ : ma peur est donc que des flux arrivant par la DMZ puisse infiltrer mon SAN puis resortir sur mon réseau pleinement sécurisé...  
Comment se passe ce coté sécuritaire d'un SAN, est-ce que dans son fonctionnement même, cette éventualité n'est pas possible ???
Si vous avez des témoignages ou des expériences sur le sujet...merci

up

C'est quand même tres étrange de relier un SAN sur une DMZ.

c'est du au fait qu'il faille sauvegarder les données de l'intranet, disponible également de l'extérieur, donc situé en DMZ...

le plus sécurisé serait quand même de mettre une sauvegardé autonome sur la dmz, et plus de communication avec ton san.

si sur ton switch SAN, tu définis ton zoning correctement, il ne devrait pas y avoir de problèmes.
Après, il faut veiller aussi à pas se planter dans l'attribution des volumes aux serveurs.
Mais si ta config est bonne, un attaquant qui prend le controle d'une machine ne peut pas accéder à d'autres volumes.

tu veux parler d'un VSAN ou simplement d'un paramètrage sur les switch ???

non, sans forcement aller jusqu'à un vsan.
Tu défini le zoning sur le switch, et c'est suffisant.
Apres, il faut pas se planter dans la conf lors de l'attribution du volume.
Une machine ne peux voir que les volumes qui lui sont associés, et c'est pas elle qui gere l'association, c'est le 'disque'

 
Euh... quel est le risque ? la dmz est faite au niveau reseau nan ? le SAN c'est du SCSI sur FC je vois pas bien comment un flux reseau peut etre transmis sur du SCSI ?!

en fait ce qui m'interrogais, c'est le fait que les commandes iSCSI (SCSI sur IP) sont donc encapsulés sur IP, donc si une attaque vise un autre éléments du réseau, passant par la DMZ, elle atteindra son but étant donné que les paquets ne seront pas décapsulés jusqu'au iSCSI non ???  
 

 
Oui mais la DMZ bénéficie de règles moins strictes auniveau d'un firewall, c'est d'ailleurs pour ça qu'il est logiquement écarté du réseau sécurisé, raison pour laquelle je voudrais évité le transit indirect entre ces 2 ( à travers la SAN...)
Concrètement, je me demande comment évolue une trame pirate lorsqu'elle se trouve face à un SAN... si les paquets sont désencapsulés jusqu'en iSCSI automatiquement, il n'y a aucun risque en effet, mais avant d'arriver à cela, il y a la couche IP, et peut être se voit-elle "redirigée" vers sa destination :S

revise le SAN ...

cad ???qu'est ce qui va pas dans mon résonnement ???

en fait c'est simplement une histoire de config d'un point de vue destination sur le disque comme tu disais ???  
En fait je cherchais aussi des infos sur le protocole FC, car malgré des recherches sur le net, je n'ai pas trouvé comment fonctionne ce protocole  (adressage, vérification...)...

up

FC != iSCSI ...
je connais pas torp iSCSI, mais si c'est comme le FC (et ca doit etre le cas) c'est un réseau totalement indépendant du réseau TCP/IP.
Il ne faut pas confondre un SAN et un NAS ...

ah oui ça j'ai compris, je connais la différence entre une NAS et un SAN !!!
et même si FC != iSCSI, comment fonctionne ces protocoles en détails, car le principe du iSCSI est de stocker les commandes SCSI sur l'IP, donc dans le principe de désencapsulation, ton système lit en premier ta couche 3 (IP) que tes commandes SCSI situé plus haut... car même si c'est un réseau bien distinct du LAN, il existe bien des protocole de "routage" pour diriger les infos...je sais que concernant FC, apparamment toute les instructions sont descendus sur la trame, ceci afin d'éviter les désencapsulations et donc de laisser davantage de ressources systèmes pour les perf de stockage...

pour l'iSCSI, je sais pas, mais pour le FC, les cartes et les disques sont configurés en zones. Des disques et des cartes sur des zones différentes ne se voient pas.
Maintenant, si t'as une baie de stockage enorme, elle sera dans toutes les zone. Et la, c'est au niveau de la baie que tu fais les restrictions, en faisant une association carte/volume que l'host ne PEUT PAS modifier

Merci pour cette infos, donc je peux sauvegarder mes serveurs de mon LAN et de ma DMZ dans le même SAN, de manière sécurisé, si je config bien mon switch en gros...
par contre je me demande comment ça fonctionne en FC...  
Et quand tu parlais de volumes, je suppose que tu parlais de volume logique et non physique ? à moins que ça puisse se paramètrer dans les 2 cas ???

cest du iSCSI ou un SAN sur FC que tu as ?
 
marque / model de ta baie de disque ?

Sinon, si c'est bien du iSCSI sur Ethernet (donc pas de SAN quoique    )  par defaut le port utilisé est 3260.
Et dans la conf de tes iniateurs et/ou carte tu as de toute facon un LAN ip de configuré. Donc à toi eventuellement, de definir une pseudo DMZ-NAS-SAN-iscsi ne permettant l'acces qu'au port 3260 sur ton plan IP.

et bien je n'ai pas de référence à te donne car ce n'est qu'un audit pour l'instant, sinon j'aurais chercher directement sur l'interface, je suis pas du genre à demander des trucs qui peuvent trouver une réponse sur le 3ème lien de google.fr t'inquiète...
Pour le iSCSI, justement si il peut intervenir dans un SAN
http://www.computerworld.com/hardw [...] 62,00.html
...c'est la le truc bizarre...il tourne sur IP, dc sur TCP/IP, donc un adressage et c'est pour ça que ça me laissait perplexe sur cette histoire de sécurité...
Ta solution me parait plausible je pense...  
PS : bien que iSCSI tourne sur IP, il existe des équipements spécifiques également, visant à améliorer les perf... mais cela fait parti des technologies SAN, sinon pourquoi aurait-on inventé un protocole qui ne serait router que sur une LAN normal, IP existe déjà, mais iSCSI est tout de même optimisé...

En plus les restrictions de port ça se fait sur un firewall, et le soucis justement c'est qu'entre ma DMZ et mon SAN, il n'y aurait pas le passage dans un firewall....

si vous ne voyez pas trop ce que je veux dire, voici ce qui me laisse perplexe...
 

 
Sans firewall, entre ma SAN et ma DMZ, un intrus pourra se faufiler vers un IP qui ne se situe pas sur la SAN, provenant de la DMZ où les règles sont moins strictes, sans se soucier des paquets iSCSI

up

up

 
 
quel est ta crainte ? le snif ? le DoF ?

pas forcément, ma crainte est tout simplement l'intrusion, le but étant de sécurisé au maximum un réseau d'entreprise...

up

 
En fait si ce type d'équipement existe pour du iSCSI ce serait parfait, mais il en existe peu je crois, étant donné qu'à la base le iSCSI tourne surde l'équipements ethernet standard...
Connaissez vous des références possibles

up

 
 
Enfin.. decrypter une trame IP pour sortir du scsi...  

si tu veux vraiment sécurisé a fond ton san, il n'y as que la solution que je te proposait au début, ne pas faire de sauvegarde de ce qu'il y a dans la dmz ... mais avectoutes les solutions proposés(qui répondent à ton chaier des charges pas comme la mienne), je me demande, tu serais pas un peu parano ?

Etant donné les couts engendrés (FC possible, switcj, serveur), je voulais tout centraliser, même les sauvegardes de la DMZ, mais au pire je vais créer un NAS sur la DMZ et tout cela relier sur bande (SAN + NAS ) car le projet veut également sauvegarder sur support lent par derrière...
Je pense pas être parano, c'est simplement que j'ai en charge un réseau avec 2000 users + intranet + pls BDD, donc il vaut mieux faire quelque chose de sécurisé au maximum, c'est une solution professionnelle que l'on me demande, il est judicieux de prévoir tous les cas de figure possible...

je sais que c'est pour une solution professionel. on est en train d'étudire la mise en place d'un serveur applicatif dans notre dmz, et nous on part plus dans l'optique de le désolidarisé de la sauvegarde centralisé ( donc avoir une sauvegarde autonome) pour être sur qu'il y ai le moins de communication entre notre dmz et le lan

 
Audit/ conseil/ professionnlisme != forum.
 
 

if conseil != need,
Audit/ conseil/ professionnlisme != forum
Else fonction(asking)........
 
 
 

le forum de dévellopement n'est pas à cette adresse !

dsl, simplement certaines réactions me dépassent sur ce forum !!!

 
Qu'st ce qui te depasse ? tu demandes des conseils pour monter une solution hyper hi tech sur un forum. En plus tu me parais deja un peu à la ramasse concernant ces techno, et en plus un poil parano.
 
Donc je te conseille de t'attacher les services d'une boite spécialisée afin de determiner tes reels besoins, et te rediger un cahier des charges precis.  
 
Ensuite à avec ce CCTP tu pourras lancer une consultation et obtenir des reponses concretes et argumentées.
 
rien de plus.

 
Dans la mesure où mes recherches s'estompent, je trouve judicieux de poser mes interrogations ici, si jamais des admin ont déjà eu à faire à ce type de systèmes, et le fait que ce soit hi tech n'a rien à voir... t'as jamais vu des proprio de porsche sur des forums auto non ?... et ben c'est pareil !!!
Mais bon, j'ai déjà recueilli pas mal d'infos grace à ce topic, merci à tout ceux qui ont laissé des post valables........