Outils réseau

1. Présentation du réseau

Si jusqu’ici, il n’a été question que de machines ou de serveurs isolés, il faut bien comprendre qu’en entreprise, il n’en est rien. Les ordinateurs sont interconnectés entre eux grâce à un réseau. Il n’est peut-être pas inutile de rappeler de quoi il s’agit, puisque nous allons chercher à sécuriser celui-ci ainsi que les communications qui s’y échangent. Un réseau, au sens étymologique, représente un ensemble de points entrelacés par des relations. Par extension, cela désigne un ensemble d’équipements interconnectés et leurs relations systématiques, autorisant la circulation en continu ou discontinu des informations. On trouve alors plusieurs catégories de réseaux :

La plupart du temps, dans les entreprises, le réseau le plus utilisé est TCP/IP. Il s’agit d’un réseau maillé, issu d’un projet appelé ARPANET, de l’institut américain DARPA (Defense Advanced Research Project Agency), dans les années 1970. Les adresses réseau référencées sont distribuées par le NIC (Network Information Center) et en France, par l’INRIA (Institut National des Recherches en Informatique et des Automatismes). L’ensemble des protocoles TCP/IP est décrit au sein de documents appelés RFC (Request For Comments), et plus particulièrement de la RFC973. La pile TCP/IP est le plus souvent représentée sous forme d’un empilement de quatre couches que l’on compare au modèle OSI à sept couches :

L’actuelle version du protocole IP d’adressage est IPv4 (même si IPv6 a déjà commencé à faire son apparition). Afin de pouvoir délivrer les paquets transmis sur le réseau, ce dernier a besoin de se repérer. En ce sens, au niveau de la couche Internet, le protocole fournit ainsi une identification unique pour chaque extrémité de la communication initiée. C’est...

1. Gestion des zones

Comme il a été vu précédemment, nous pouvons facilement limiter le flux entre différentes zones réseau d’un serveur. Pour connaître la zone par défaut, il faut interroger le service firewalld de la façon suivante :

# firewall-cmd --get-default-zone 
public
 

Ensuite, nous pouvons interroger le système afin de connaître la liste complète des zones configurées...

1. Présentation

Il existe de nombreux logiciels remplissant cette fonction. Mais il en est un qui est particulièrement intéressant : squid, capable d’être utilisé en tant que mandataire inverse et capable d’utiliser à la fois les protocoles FTP, HTTP, Gopher et HTTPS. En effet, contrairement aux serveurs mandataires standards, le serveur squid gère toutes les requêtes avec un seul processus d’entrées/sorties, sans blocage. Il s’agit d’un logiciel libre distribué sous licence GNU GPL. Le projet a été inspiré par Harvest et il est totalement compatible avec le protocole IPv6, depuis sa version 3.

De façon pragmatique, un serveur mandataire est une machine, physiquement située entre un réseau d’entreprise et son accès Internet. Il fait office à la fois de passerelle, mais également de cache de pages web. La fonction de passerelle semble évidente, puisque tous les accès vers Internet (et depuis l’extérieur) transitent par cette machine. Mais, le fait d’utiliser un mandataire comme serveur de cache l’est peut-être moins. Comme le proxy conserve en mémoire (ou en cache), une copie des pages consultées par les utilisateurs du réseau, cela peut faciliter le trafic et éviter de devoir systématiquement télécharger l’information depuis son site d’origine, grâce à l’utilisation de ce cache. Dans son mode de fonctionnement élémentaire, lorsqu’un hôte du réseau effectue une requête vers une adresse d’un nœud distant (pouvant être situé sur un autre brin réseau ou sur Internet), la demande est alors redirigée obligatoirement...

1. Introduction

Ce qui est réalisable par un service de proxy (ou de serveur mandataire), tel qu’on l’a vu précédemment, peut aussi être envisagé au niveau du réseau d’entreprise. En effet, la suite Free RADIUS (Remote Authentication Dial-In User Service) est un programme complet effectuant les tâches suivantes :

Le protocole Radius permet de se connecter via un échange de paquets UDP (la plupart du temps sur le port 1812), et intègre également un module d’accounting. Ce dernier permet d’envisager, par exemple un mode de facturation, très prisé par les entreprises leur permettant d’établir des SLA (Service Level Agreement). Les moyens d’authentifications sont multiples :

Ce genre de suite logicielle est particulièrement intéressant dans les cas où l’on souhaite :