|
Un pare-feu ne *réassemble* pas activement les flux de données fragmentés comme le ferait un périphérique réseau comme un routeur. Son rôle est principalement d'inspecter les données à la recherche de menaces de sécurité *avant* qu'elles ne soient réassemblées. Le processus de réassemblage se déroule ailleurs, généralement au niveau de l'application réceptrice.
Voici une répartition :
* Fragmentation : Les flux de données, particulièrement les plus volumineux, sont souvent fragmentés au niveau de la couche réseau (couche 3) pour s'adapter à l'unité de transmission maximale (MTU) de divers segments du réseau. Cette fragmentation est gérée par les routeurs et les commutateurs le long du chemin. Chaque fragment contient des informations (telles que le décalage du fragment et la taille totale) que le destinataire utilise pour le reconstituer.
* Inspection du pare-feu : Le pare-feu voit ces paquets fragmentés individuellement. Il inspecte les en-têtes de chaque paquet (à la recherche de contenu malveillant, de ports interdits, etc.) et potentiellement la charge utile (en fonction de sa configuration et de ses capacités d'inspection approfondie des paquets (DPI). Cependant, il ne tente généralement pas de reconstruire l'intégralité du flux de données avant de procéder à son inspection pour les raisons suivantes :
* Complexité : Le réassemblage des données au niveau du pare-feu entraînerait une surcharge de traitement importante, ce qui aurait un impact sur les performances.
* Suffisance : L'inspection de l'en-tête est souvent suffisante pour de nombreux contrôles de sécurité. Le pare-feu peut identifier les modèles malveillants dans les en-têtes fragmentés, même s'il ne peut pas comprendre pleinement les données au niveau de l'application.
* Inspection avec état : Les pare-feu avec état suivent le contexte de la session (IP source/destination, ports, etc.). Cela leur permet de corréler des paquets fragmentés appartenant à la même session, même sans réassemblage complet.
* Réassemblage à destination : Le réassemblage des données fragmentées se produit au niveau de la pile réseau de l'hôte de destination (en particulier dans la pile IP). Le pilote réseau du système d'exploitation réorganise et combine les fragments en fonction de leurs informations d'en-tête, recréant ainsi le flux de données d'origine que l'application doit traiter.
En résumé, le pare-feu agit comme un filtre et un inspecteur de sécurité pour chaque paquet fragmenté, mais il laisse la tâche de réassemblage à l'hôte récepteur. Il joue un rôle crucial dans la sécurité *avant* le remontage, pas pendant celui-ci.
|
