Règle pour synchro du temps

Discussion in 'LnS French Forum' started by altea, Aug 12, 2008.

Thread Status:
Not open for further replies.
  1. altea

    altea Registered Member

    Joined:
    Nov 21, 2005
    Posts:
    16
    Bonjour,

    Dans Lns, j'ai ajouté une règle pour ouvrir le port 123 et permettre la synchronisation du temps au serveur time.windows comme sur la capture

    je l'ai ajoutée juste par le journal d'après ce qui était bloqué

    elle fonctionne bien mais je voudrais savoir si cela présente un risque ou faut il entrer une adresse ip ou application spécifique quelque part ?

    merci de votre aide !!!
     

    Attached Files:

  2. Sacles

    Sacles Registered Member

    Joined:
    Dec 8, 2004
    Posts:
    372
    Location:
    Belgique
    Bonjour,

    Cette règle est-elle bien nécessaire? Tu n'as pas eu une demande d'autorisation?

    N.B. J'utilise Atomic TimeSync une fois par mois environ pour synchroniser l'heure de mon PC (Synchronisation de l'horloge Windows désactivée) mais je n'ai jamais eu besoin d'une règle spécifique.

    Atomic TimeSync http://www.analogx.com/CONTENTS/download/network/ats.htm

    Salut.
     
  3. altea

    altea Registered Member

    Joined:
    Nov 21, 2005
    Posts:
    16
    Non je n'ai pas eu de demande d'autorisation

    Elle est nécessaire car sinon il y a une erreur de synchronisation au serveur temps et l'erreur est aussi répertoriée dans l'observateur d'événements de windows
     
  4. Frederic

    Frederic LnS Developer

    Joined:
    Jan 9, 2003
    Posts:
    4,354
    Location:
    France
    Bonjour,

    Avec les jeux de règles standards, oui la règle est normalement nécessaire car tous les ports UDP non nécessaires sont bloqués par défaut.
    Curieux que la règle ne soit pas nécessaire avec "Atomic TimeSync".

    La règle ne pose pas de problème de sécurité particulier. Oui, il est possible de préciser en plus l'adresse IP du serveur utilisé (faites un "ping time.windows.com" pour la connaître), pour renforcer la sécurité de cette règle.

    Si vous utilisez la version 2.06p2 (ou p3) de Look 'n' Stop, la règle la plus sécurisée serait celle du Stateful Packet Filter (SPF) disponible ici:
    http://looknstop.soft4ever.com/Beta/2.06p2/SPFRules/SPF-Rules-1.01.rie
    (importer juste les 2 premières règles pour NTP).

    Avec cette règle les paquets UDP sur le port 123 ne sont acceptés que si le PC a d'abord fait une demande sur port 123.
    L'option SPF doit être activée dans les options avancées. L'édition de la règle nécessite le plugin d'édition de règles brutes (pour utilisateurs avertis), par contre l'utilisation de la règle ne nécessite pas le plugin.

    Cordialement,

    Frédéric
     
  5. Sacles

    Sacles Registered Member

    Joined:
    Dec 8, 2004
    Posts:
    372
    Location:
    Belgique
    Re,

    L'autorisation est donnée dans le filtrage logiciel, c'est tout.

    Salut.
     
  6. altea

    altea Registered Member

    Joined:
    Nov 21, 2005
    Posts:
    16
    Fred,

    j'ai encore la version 2.05sp2 de Lns qui marche très bien pour moi

    j'ai importé une règle UDP pour la synchro du temps que j'ai trouvé au gré de mes recherches sur le forum, elle y indique mon adresse ip à gauche vers tcp/udp port 123ntp et une ip du serveur time.windows à droite vers tcp/udp port 123ntp qui ne fonctionne pas

    elle diffère de la mienne mais marche également si on enlève l'ip du serveur temps qui apparemment change très souvent

    Si cela ne présente donc pas trop de risque, est ce que je peux garder ma première règle ou cette dernière sans indication d'ip de serveur temps ?

    Merci !
     
  7. Frederic

    Frederic LnS Developer

    Joined:
    Jan 9, 2003
    Posts:
    4,354
    Location:
    France
    Si le filtrage internet est bien actif, il doit y avoir une règle qui accèpte d'une manière ou d'une autre le port 123 en UDP.
    Ou alors Atomic TimeSync utilise un autre protocole (après avoir constaté que ça ne marchait pas en UDP 123).

    Frédéric
     
  8. Frederic

    Frederic LnS Developer

    Joined:
    Jan 9, 2003
    Posts:
    4,354
    Location:
    France
    Pas sûr que ça change si souvent. Mais effectivement celle contenue dans la règle à télécharger ne doit plus être correcte, c'est pour cela que je disais de faire un ping, pour voir la valeur actuelle.
    Sinon, oui laissez comme cela, et ce n'est pas un très gros risque.

    Frédéric
     
  9. Sacles

    Sacles Registered Member

    Joined:
    Dec 8, 2004
    Posts:
    372
    Location:
    Belgique
    Re,

    Je viens d'essayer avec le jeu de règle standard tout frais, téléchargé ici http://looknstop.soft4ever.com/Rules/Fr/ (pour être sûr de n'avoir aucun ajout).

    Je reçois sans problème le "Network" Time de AnalogX Atomic TimeSync.

    Idem avec le jeu de règle évolué sans aucun ajout.

    Bonne soirée.
     
  10. altea

    altea Registered Member

    Joined:
    Nov 21, 2005
    Posts:
    16
    Merci pour vos informations !!

    je garde donc la première règle que j'avais ajoutée

    je confirme que l'ip du serveur time windows change très souvent , dans la même journée également
     
  11. Sacles

    Sacles Registered Member

    Joined:
    Dec 8, 2004
    Posts:
    372
    Location:
    Belgique
    Bonjour,

    Je ne sais pas si c'est possible dans ton cas mais il est possible d'associer une règle à une application. Cela limite l'activation de la règle à l'exécution de l'application associée.

    Clic droit sur la règle > Applications...

    Extrait de l'aide:
    "Le bouton 'Applications' vous permet de préciser une liste d'applications qui activeront la règle. Si aucune des applications n'a été détectée par le Filtrage Internet, la règle ne sera pas active."

    Salut.
     
  12. altea

    altea Registered Member

    Joined:
    Nov 21, 2005
    Posts:
    16
    oui j'ai essayé mais je n'ai pas trouvé d'application correspondante à associer à la règle dans lns

    ce doit être un service windows ( svchost.exe )
     
  13. Sacles

    Sacles Registered Member

    Joined:
    Dec 8, 2004
    Posts:
    372
    Location:
    Belgique
    Bonjour,

    D'où peut-être l'intérêt d'utiliser autre chose.

    Salut.
     
Thread Status:
Not open for further replies.