Onglet Configuration générale

Choix de la langue utilisée par le firewall pour les traces de types log, Syslog et la configuration CLI. Les langues disponibles sont : Français et Anglais.

• IPsec : seule l'authentification par certificat est autorisée.
• IPsec : les certificat utilisés (du certificat final jusqu'à la CA de confiance commune) doivent respecter les spécifications suivantes: signature ECDSA ou ECSDSA sur courbe SECP ou Brainpool, SHA256 comme algorithme de hachage et une taille de clé à 256 bits.
• IPsec : vérification que le firewall utilise bien la version 2 du protocole IKE.
• IPsec : vérification que le champ ID du correspondant est renseigné.
• IPsec : vérification que les algorithmes de chiffrement utilisés appartiennent bien aux groupes DH19 et DH28 (SECP et Brainpool 256).
• IPsec : vérification que l'algorithme de chiffrement utilisé est soit AES_GCM_16 (AEAD : Authenticated Encryption with Associated DATA. AES_GCM_16 n'est donc associé à aucun algorithme d'authentification), soit AES_CTR, impérativement associé au protocole d'authentification SHA256.
• IPsec : la vérification de révocation des certificats doit être active.
• IPsec : la taille de la fenêtre d'anti-rejeu ne doit pas être nulle.
• IPsec : l'algorithme de Pseudo-Random Function (PRF) doit être SHA256.
  

IMPORTANT
Lorsqu'une des conditions énoncées ci-dessus n'est pas respectée, la configuration IPsec non conforme est désactivée et le message suivant est affiché :
"Le mode 'Diffusion Restreinte' a désactivé la configuration VPN IPsec non conforme".
Ceci afin d'inciter l'administrateur à modifier la politique IPsec afin de pouvoir l'activer.

• Sur les firewalls équipés de processeurs Intel, le mode « Diffusion Restreinte (DR) » permet l'utilisation des jeux d'instructions cryptographiques matérielles du coprocesseur. Sur les firewalls équipés d'autres types de processeurs, le mode « Diffusion Restreinte (DR) » force la désactivation de ces jeux d'instructions, ce qui entraîne des baisses de performances lors du chiffrement.
• Le mode « Diffusion Restreinte (DR) » restreint les suites de chiffrement utilisables pour le portail d'authentification et le VPN SSL : seules les suites de chiffrement AES, SHA256, SHA384 et GCM sont autorisés.
  

NOTE
L’activation du mode « Diffusion Restreinte (DR) » nécessite un redémarrage du firewall.

NOTE
La valeur définie par défaut est 1 pour des raisons de compatibilité en cas de migration en version 2 de configurations existantes.

• Aucun : le mot de passe n’est soumis à aucune obligation de présence de caractères alphanumériques ou spéciaux,
• Alphanumériques : le mot de passe doit contenir au minimum un caractère alphabétique et un chiffre,
• Alphabétiques et spéciaux : le mot de passe doit contenir au minimum un caractère alphanumérique et un caractère spécial (‘#’, ‘@’, etc…)

Cette option permet de maintenir à jour l'horloge locale du firewall via le réseau par le biais de serveurs NTP (Network Time Protocol). Complétez cette configuration en vous reportant sur les grilles Liste des serveurs NTP et Liste des clés NTP.

Vous pouvez renseignez une clé si l'accès à un serveur NTP en nécessite une pour s'authentifier. Sélectionnez dans ce champ un identifiant de clé parmi la liste des clés NTP déjà créées. Chaque identifiant est associé à une valeur représentant la clé NTP. Pour créer un nouvel identifiant de clé ou pour visualiser la liste des clés NTP déjà créées, reportez-vous à la grille Liste des clés NTP.

Affiche la liste des identifiants de clé NTP. Ces identifiants peuvent être sélectionnés dans la colonne Identifiant de clé NTP de la grille Liste des serveurs NTP.

Pour ajouter un identifiant de clé NTP, cliquez sur Ajouter et définissez-lui un identifiant unique compris entre 1 et 15. Pour supprimer un identifiant de la liste, sélectionnez-le et cliquez sur Supprimer.

Affiche la valeur des clés NTP. Si vous ajoutez un nouvel identifiant de clé NTP, renseignez la valeur de sa clé dans ce champ (8 catactères maximum). Effectuez un double-clic sur une valeur existante pour la modifier.

Ce dispositif teste l’activité du système du firewall. Ce test est réalisé de manière :

• Logicielle sur les firewalls virtuels (EVA),
• Matérielle et logicielle sur les firewalls physiques.

La fréquence de ce test est fixée par ce seuil.
En cas d’inactivité du système, ce « chien de garde » (watchdog) redémarre le firewall et déclenche un événement système (24).
Pour stopper la surveillance, choisissez la valeur Désactivé.

Lorsque vous cochez cette case, vous activez le mode Sûreté du bypass. Lorsque ce mode est activé :

• Le mécanisme de bypass est activé (prêt à être déclenché) sur tous les segments bypass configurés pour l'utiliser (interfaces concernées regroupées dans un bridge). Une liste indique les segments bypass sur lesquels le mode Sûreté sera activé.
• Lorsqu'un événement déclencheur survient (défaillance matérielle ou logicielle critique), le mécanisme de bypass est déclenché et le trafic réseau des segments bypass concernés passe alors au travers du firewall SNS sans qu'aucune analyse ne soit mise en œuvre. Selon la défaillance rencontrée, le mécanisme de bypass est immédiatement déclenché ou après écoulement d'un compte à rebours.
• Une fois le mécanisme de bypass déclenché, seul un réarmement permet de retrouver un fonctionnement où le firewall SNS effectue de nouveau ses analyses.

Vous ne pouvez pas activer le mode Sûreté sur un firewall SNS configuré en haute disponibilité.

À noter que tant que le mode Sûreté n'est pas activé, la fonction de bypass reste désactivée en permanence, même si une défaillance critique survient.

Lors d'une défaillance logicielle, notamment lorsque le système d’exploitation du firewall SNS ne répond plus ou est surchargé, le mécanisme de bypass se déclenche après écoulement d'un compte à rebours dont le seuil de départ correspond au Seuil d'inactivité du mode sûreté.

Sélectionnez le seuil souhaité. Les valeurs proposées vont de 1 minute à 4 minutes.

Une fois le mécanisme de bypass déclenché, seul un réarmement permet de retrouver un fonctionnement où le firewall SNS effectue de nouveau ses analyses. Cliquez sur ce bouton pour réarmer le mécanisme de bypass.

IMPORTANT
Après un réarmement manuel, vous devez vérifier le fonctionnement correct des flux réseau. En effet, les connexions initiées pendant la phase active du bypass seront interrompues et devront être rétablies à l'initiative des machines distantes.

• Utiliser l'adresse du firewall.
• Utiliser le nom du firewall.
  Il s'agit du nom indiqué dans le champ Nom du firewall de la section Configuration générale ou du numéro de série du firewall si aucun nom n'a été précisé dans ce champ.
• Utiliser le certificat du portail captif.
  Il s'agit du nom du firewall précisé dans le certificat du portail.
• Préciser un nom de domaine (FQDN).

Lorsque cette case est cochée, votre firewall envoie vers le Cloud Stormshield (sur le port 443) des données d'utilisation à des fins statistiques (liste ci-dessous).

En transmettant ces données parfaitement anonymes, vous aidez Stormshield à affiner les paramètres de performances du proxy et les tailles et limites des futures versions et plate-formes matérielles SNS.

Ce champ permet de définir un nom additionnel qui sera concaténé au nom du firewall. Ce nom de nœud système est particulièrement utile dans le cadre d'une configuration en haute disponibilité, puisqu'il vous permet d'identifier aisément le membre du cluster sur lequel vous êtes connecté lorsque vous ouvrez une session en mode console via SSH par exemple.

Lorsqu'il est configuré, ce nom du nœud système apparaît dans le bandeau supérieur de l'interface Web d’administration, entre parenthèses, derrière le numéro de série du firewall.