ARP, DHCP, NAT et VLAN : la plomberie du réseau local

Les articles précédents expliquent comment un paquet trouve son chemin à travers Internet. Mais avant même d’y arriver, sur le réseau local de l’entreprise, plusieurs mécanismes travaillent en silence. Ils ont un point commun : ils ont été conçus à une époque où l’on faisait confiance à tout le monde sur le réseau local. Les attaquants en profitent encore aujourd’hui.

ARP : de l’adresse IP à l’adresse MAC

Sur un réseau local, les trames Ethernet sont adressées avec des adresses MAC, pas des adresses IP. Quand un poste veut envoyer un paquet à 192.168.1.1, il doit donc trouver l’adresse MAC correspondante. C’est le rôle d’ARP (Address Resolution Protocol).

Poste   → (broadcast) « Qui a 192.168.1.1 ? Répondez à 192.168.1.20 »
Routeur → (unicast)   « 192.168.1.1, c'est moi : 00:1a:2b:3c:4d:5e »

La réponse est mise en cache ARP pendant quelques minutes (arp -a pour le voir).

L’ARP spoofing

ARP n’a aucune authentification. N’importe quelle machine peut répondre, et les postes acceptent même des réponses qu’ils n’ont pas demandées (ARP gratuit).

Un attaquant sur le même réseau envoie donc : « 192.168.1.1, c’est moi ». Les postes mettent à jour leur cache et envoient tout leur trafic destiné à la passerelle… à l’attaquant, qui le relaie. Il est en homme du milieu : il peut lire le trafic en clair, le modifier ou le bloquer.

Ce qu’on voit : une même adresse MAC associée à plusieurs IP, ou l’adresse MAC de la passerelle qui change soudainement.

Les parades : Dynamic ARP Inspection (DAI) sur les switchs, entrées ARP statiques pour les équipements critiques, et surtout le chiffrement (TLS, SMB signé), qui rend l’interception inutile.

DHCP : recevoir sa configuration automatiquement

Personne ne configure l’adresse IP de chaque poste à la main. Le DHCP (Dynamic Host Configuration Protocol) distribue automatiquement :

• l’adresse IP et le masque ;
• la passerelle par défaut ;
• les serveurs DNS ;
• la durée du bail (au bout de laquelle il faut renouveler).

L’échange suit la séquence DORA, en UDP (67 côté serveur, 68 côté client) :

Étape	Qui	Message
Discover	Client, en broadcast	« Y a-t-il un serveur DHCP ? »
Offer	Serveur	« Je te propose 192.168.1.20 »
Request	Client, en broadcast	« J’accepte l’offre de ce serveur »
Acknowledge	Serveur	« C’est validé, pour 8 heures »

Le faux serveur DHCP

Un attaquant qui installe son propre serveur DHCP peut répondre plus vite que le vrai et imposer sa passerelle ou son DNS. Il détourne alors tout le trafic, ou toutes les résolutions de noms. La parade est le DHCP snooping : le switch n’accepte les réponses DHCP que sur les ports où se trouve le vrai serveur.

NAT : partager une adresse publique

Il n’y a pas assez d’adresses IPv4 publiques pour toutes les machines. Le NAT (Network Address Translation) permet à tout un réseau privé de sortir sur Internet avec une seule adresse publique.

Poste 192.168.1.20:51234  ──►  [ Routeur NAT ]  ──►  Internet
                              203.0.113.5:40001
       Le routeur garde une table : 40001 ↔ 192.168.1.20:51234

Quand la réponse revient sur le port 40001, le routeur sait à quelle machine interne la renvoyer.

Type	Usage
NAT source (ou PAT, masquerading)	Les postes internes sortent sur Internet
NAT destination (redirection de port)	Exposer un serveur interne, par exemple le port 443 vers le serveur web

Conséquence pour l’investigation : côté Internet, tout ton réseau apparaît sous la même adresse publique. Pour retrouver la machine interne derrière une connexion signalée par un tiers (par exemple un CERT qui te prévient), il faut les journaux de NAT du pare-feu, avec l’heure et le port source exacts.

VLAN : découper un réseau physique

Un VLAN (Virtual LAN, norme 802.1Q) découpe un même équipement réseau en plusieurs réseaux logiques séparés. Les postes utilisateurs, les serveurs, la téléphonie et les invités peuvent partager les mêmes switchs sans se voir directement.

Pour passer d’un VLAN à un autre, il faut traverser un routeur ou un pare-feu. C’est là tout l’intérêt en sécurité : c’est le point où l’on peut filtrer. C’est la base de la segmentation, qui ralentit énormément un attaquant qui cherche à se déplacer dans le réseau.

Les attaques connues sur les VLAN (VLAN hopping) exploitent une configuration laxiste des switchs : négociation automatique de trunk (DTP) ou double étiquetage sur le VLAN natif. On les évite en figeant la configuration des ports.

802.1X : authentifier avant de connecter

Dernière brique : 802.1X. Avant de donner accès au réseau, le switch ou la borne Wi-Fi demande à la machine (ou à l’utilisateur) de s’authentifier, en général auprès d’un serveur RADIUS. Une machine inconnue branchée sur une prise murale n’obtient pas d’accès, ou se retrouve dans un VLAN de quarantaine.