Articles et actualités

Les constructeurs de firewall se vantent  souvent d'implémenter des modules applicatifs. Ceci est nécessaire lorsque l'applicatif ouvrent des ports TCP/UDP dynamiquement.

C'est typiquement le cas de la visioconférence IP lorsque celle-ci utilise H.323 (SIP est un autre concurrent ainsi que MGCP), qui "regroupe" de nombreux autres protocoles tels que H.245 et H.225.

Nous sommes intervenus récemment chez un client qui utilise des équipements de visioconférence TANDBERG pour des communications internationales traversant de nombreux firewall dont un Cisco PIX et un CheckPoint sur plateforme Nokia.

Lors de l'initialisation de la connexion, un échange H.225 (protocole qui gère l'appel : établissement, contrôle et fin) a lieu puis le flux est diffusé (via H.245  pour la gestion des flux médias, RTCP et RTP) sur des ports négociés. Lors de cette investigation nous avons découvert que le flux vidéo était interrompue 1 heure après le début de l'appel.

Nous avons tout d'abord soupçonné le PIX qui droppait silencieusement certains paquets H.245. Il faut dire que le TAC Cisco nous a conseillé de désactiver l'inspection protocolaire "fixup" H.323 et d'ouvrir les connexions TCP et UDP entre les équipements de Visio : ceci permet d'une manière assez brutal de s'assurer que le PIX ne bloquera aucun paquet de visioconférence !!

L'analyse des logs CheckPoint ne donnera non plus aucune piste (rien dans la règle 0, celle des autorisation / refus implicites). Pourtant l'analyse du traffic (par port mirroring) met en évidence le comportement anormal du CheckPoint : le flux H.245 est "cassé" alors qu'il est actif en permanence !!

En fait, c'est la session H.225 qui est inactive depuis une heure : déclenchant le "nettoyage" des règles négociées lors de l'appel H.323. Pourtant la documentation marketing détaille cette fonctionnalité (sic) "Enforce H.323 call duration limits".

Un workaround pour éviter ce "bug" dans l'inspection protocolaire, consiste à augmenter le timer nommé "H.323 idle timeout" prolongeant d'autant la libre circulation des flux H.245.

La conclusion de cette investigation est qu'il ne faut pas toujours de fier aux fonctions magiques (lire "applicatives") des firewalls et que souvent seule l'analyse du traffic avec un sniffer permet de mettre en lumière les dysfonctionnements d'un réseau.