BTS INFORMATIQUE DE GESTION Option: ARLE NOTE DE SYNTHESE : Mise en place d'un serveur mandataire (proxy) sous PfSense. ZEDDA Clément Session 2012

Transcription

1 BTS INFORMATIQUE DE GESTION Option: ARLE NOTE DE SYNTHESE : Mise en place d'un serveur mandataire (proxy) sous PfSense ZEDDA Clément Session 2012 Synthèse de stage 2011/2012 1/22

2 SOMMAIRE INTRODUCTION Page 2 PRESENTATION DE L'ENTREPRISE 1. Origine de l'entreprise 2. L entreprise 3. Présentation du service maintenance informatique 4. Organigramme Page 3 Page 3 Page 3 Page 4 Page 5 PRESENTATION DU PROJET 1. Objectifs 2. Pourquoi utiliser Squid? 3. Pourquoi utiliser PfSense? Page 6 Page 6 Page 6 Page 6 ETUDE DU PROJET 1. Schéma réseau de liaison entre Z.I.C et Talleyrand 2. Schéma des deux serveurs pfsense en detail 3. Graphique du flux réseau de l'entreprise 4. Mise en place 5. Planification du projet Page 8 Page 8 Page 9 Page 10 Page 10 Page 11 REALISATION DU PROJET 1. Installation de PfSense 2. Configuration de PfSense 3. Squid, Squidguard et Lightsquid 4. HAVP 5. Schéma du dispositif proxy Page 12 Page 12 Page 14 Page 19 Page 19 Page 20 CONCLUSION Page 21 Synthèse de stage 2011/2012 2/22

3 INTRODUCTION Du 6 février au 23 mars 2012, j'ai apporté mon aide au sein de l'équipe de maintenance informatique du journal l'union pour effectuer des changements de postes, d'écrans, d'installations d'imprimantes sur le réseau local de l'entreprise, je suis également intervenu dans les différents services du journal l'union pour résoudre les problèmes que pouvaient rencontrer les utilisateurs. J'ai effectué aussi plusieurs déplacements aux alentours de Reims, pour effectuer des changements de disques dur sur certains serveurs et mettre en place des imprimantes dans des nouveau locaux. L'équipe technique m'a confié le projet de rediriger les utilisateurs voulant se connecter à internet vers deux deux serveurs mandataire proxy. Synthèse de stage 2011/2012 3/22

4 PRESENTATION DE L'ENTREPRISE 1.Origine de l'entreprise. Le journal l'union est un journal issu de la seconde guerre mondiale, il fut créé durant cette période par un résistant principalement, Edmond Forboteaux, qui, aidé et épaulé par d'autres résistants, se marginalisait de la presse de l'époque. Le journal qui se définissait jusqu'à son acquisition par le Groupe Hersant-Média comme un «grand journal issu de la résistance». 2.L'entreprise: journal L'Union. En ce qui concerne sa situation géographique, le journal L'union est présent en deux endroits dans la ville de Reims: -Le siège technique se situe en Zone Industrielle Colbert ( Z.I.C), où sont prises diverses décisions administratives et où se situe entre autre la rédaction, et le centre d'édition de distribution, où sont situés les rotatives servant à l'impression des divers titres, les journalistes, graphistes et personnels de production et distribution, ainsi que les pôles Web, édition publicitaire et maintenance informatique, où j'ai été affecté durant toute la période de mon stage. -Le siège administratif se trouve dans le centre-ville de Reims (Talleyrand), alors que tout les services techniques se situent dans la zone Industrielle, en périphérie de Saint-Brice Courcelles, bénéficiant ainsi d'un espace considérablement plus grand et plus vaste pour contenir le personnel et les machines. Cependant, les échanges entre ces deux sites sont continuels et sont de nature différentes: la communication entre les deux parties se fait essentiellement par courriel ou téléphone. Régulièrement, le personnel de maintenance informatique ou les responsables de service se rendent au siège administratif. Sans entrer dans les détails, il faut quand même savoir qu'il y a environ 350 employés au journal: -9 personnes au service maintenance se relaient jours et nuits, par groupe de 2 ou 3. -Une quarantaine de personnes au service Édition, en roulement de jour comme de nuit. -Une dizaine de personnes pour le pôle web, également dans un système de rotation. Le système d'information du journal est lui aussi en grande partie informatisé: il est partagé entre le flux d'information continue provenant des centres d'informations nationaux, mais également de dépêches envoyées par courriel au journal en provenance des correspondants locaux. Synthèse de stage 2011/2012 4/22

5 Outre l'environnement humain, il est aussi question d'observer la diversité de l'environnement informatique. Le parc informatique du journal est tout simplement impressionnant. Dans l'enceinte même du centre d'impression, grâce au logiciel GLPI qui est un logiciel de Gestion Libre de Parc Informatique qui fait l'inventaire des ordinateurs, périphériques, réseaux, imprimantes, j'ai pu voir tous les ordinateurs répertoriés dans l'entreprise, il y a en tout 501 postes avec différents systèmes d'exploitation tels que Windows, Mac, Linux. J'ai répertorié aussi les différents serveurs, ils sont équipés de processeurs de marque Intel, type Xenon d'une fréquence de 3,4 Ghz qui associés à une mémoire vive de 4048 Mo, permettent un flux spontané et continus des informations sans trop de ralentissement. Ces nombreux serveurs sont de marques différentes tel que HP, Apple Computer, Fujitsu Siemens, IBM et Dell. 3.Présentation du service maintenance informatique. Le service où j'ai été affecté du 6 février au 23 mars pendant ma période de stage est le service de maintenance informatique. Ce service à pour fonction, comme son nom l'indique, de résoudre les problèmes liés à l'informatique qui peuvent survenir dans l'entreprise, mais également la préparation des postes et machines, la réparation des matériels (imprimantes, écrans..) et la mise à jour de ces derniers et de développer, quand il est possible de le faire, certaines applications pour l'entreprise. Pour une facilité de maintenance, tous les ordinateurs de l'entreprise sont équipés d'un logiciel, VNC Viewer, qui permet de prendre le contrôle des postes à distance, ce qui permet de résoudre les divers problèmes tout en restant dans le service. En effet, sans pôle maintenance, le moindre bug logiciel ou la moindre machine qui subirait un dysfonctionnement engendrerait un retard de l'impression du journal, dû au temps de réparation, et à terme le mauvais fonctionnement de la structure, par effet boule de neige. C'est pourquoi, comme dans toute l'entreprise, il y a au moins une personne au pôle maintenance en permanence, de nuit comme de jour, afin d'être présent à tout problème. Synthèse de stage 2011/2012 5/22

6 3.Organigramme: Cet organigramme ne représente pas toutes les branches de l'entreprise, cela représente juste la branche technique de l'entreprise et non la partie de gestion. Synthèse de stage 2011/2012 6/22

7 PRESENTATION DU PROJET 1.Objectifs: Le projet se décompose en deux grandes étapes: L'étape de mise en place de deux serveur mandataire (proxy) Squid sous Pfsense. Ces deux serveurs communiquent entre eux afin de contrôler l usage d Internet, d augmenter la bande passante du réseau et d effectuer des blocages sur certains sites sensibles. Assurer la sécurité du proxy Squid avec un antivirus particulier (HAVP). 2.Pourquoi utiliser utiliser squid? Squid est un seveur mandataire (proxy) libre est très connu du monde Open Source, ce serveur est très complet et propose une multitude d'options et de services. 3. Pourquoi PfSense? PfSense est un système d'exploitation OpenSource (logiciel libre) basé sur FreeBSD(linux). Il peut être installé sur un simple ordinateur personnel comme sur un serveur VMWARE. Basé sur PF (packet filter),il est réputé pour sa fiabilité. Synthèse de stage 2011/2012 7/22

8 ETUDE DU PROJET 1.Schéma réseau de liaison entre Z.I.C et Talleyrand. SCHEMA RESEAU DES DEUX SITES DE PRODUCTION ZIC Talleyrand Free Free Orange EQ SDSl 4M 9i SDSL 6M Obs ASDL 8M Switch (vlan 52) Switch (vlan 50) Switch (vlan 50) Haute dispo Arkoon S150 Arkoon S150 Haute dispo Cluster répartiteur de charge Veep ee 1 Veep ee 2 Swi tch (tru nk) Fibre Completel Swi tch (tru nk) Switch (vlan 51) Haute dispo Serveur lié au cluster en 3eme position Serveur 1 Serveur 2 SERVEURS PfSense Switch (vlan ) Switch (vlan ) Schéma de mon projet Dans ce schéma réseau de liaison des deux sites de production, on aperçoit que les deux sites sont reliés par de la fibre optique (La vitesse de transmission des données dans la fibre optique est environ à 1Gb/s). Nous allons nous intéresser à la partie Talleyrand plus précisément aux 2 serveurs Pfsense à mettre en place pour le bon fonctionnement de la liaison à internet et pour répondre à la tolérance aux pannes. Synthèse de stage 2011/2012 8/22

9 2.Schéma des deux serveurs pfsense en detail: Ce schéma comprend: 2 Serveurs pare-feu PfSense qui communiquent entre eux grâce à un câble croisé et le logiciel pfsync. Pfsense1 pour le serrveur1 et Pfsense2 pour le serveur2 Les deux serveurs Pfsense sont reliés au Switch Vlan qui rejoint les utilisaeurs de Talleyrand. Ils sont reliés aussi au Switch Vlan 51 qui permettra l'accès à Internet. Chaque serveur à 3 cartes réseau avec une adresse définie pour chaque interfaces, le net-id des adresses sera de «172.20» pour la liaison entre LAN et Internet, puis « » pour la liaison entre les deux serveurs proxy PfSense. Synthèse de stage 2011/2012 9/22

10 3.Graphique du flux réseau de l'entreprise Utilisation des liens WAN sur leur période de production respective (7h 2h) Flux métier (7h00 2h00) 92.9% de qualité sur le service rendu aux utilisateurs Flux non métier (9h00 18h30) 76.8% de qualité sur le service rendu aux utilisateurs Ces graphiques sont issus du logiciel de supervision CENTREON qui permet grâce à une sonde placée sur le lien WAN de Talleyrand de voir les flux de la bande passante. Le problème de flux non métier est dû à la connexion à internet et à la réception du courriel de tous les salariés qui le font simultanément vers 8h30 quand ils arrivent au travail. Pour eviter ceci nous allons mettre en place les deux serveurs pare-feu Pfsense et 4.Mise en place: Installation de 2 serveurs virtuels sur VMWARE Installation de PfSense sur les 2 serveurs virtuels Mise en cluster de ces 2 serveurs (avec pfsync / CARP) Installation de squid, squidgard et lightsquid Installation HAVP Synthèse de stage 2011/ /22

11 5.Planification du projet: Voici un récapitulatif des taches réalisés pendant le projet avec le logiciel GANTT. Tache 1: Attribution + etude du projet Tache 2: Elaboration schéma réseau Tache 3: Création de 2 serveurs virtuels + config Tache 4: Installation de PfSense + config Tache 5: Mise en cluster des 2 serveurs Tache 6: Installation de squid + config Tache 7: Test squid sur client Tache 8: Installation squidguard + config Tache 9: Test squidguard Tache 10: Installation antivirus proxy (havp) Tache 11: Test havp Tache 12: Config lightsquid Tache 13: Test lightsquid Tache 14: Elaboration note de synthèse Synthèse de stage 2011/ /22

12 REALISATION DU PROJET 1.Installation de Pfsense. Pour l'installation du système d'exploitation (PfSense), il m'a fallu un serveur HP dont les caractéristiques sont les suivantes: -2 processeur Intel 4coeurs, 3Ghz chacun -mémoire vive 8Go -2 cartes réseaux raccordées à LAN et WAN de l'entreprise -4 disques dur de 146Go chacun à tr/min -2 Alimentations. J'ai installé VMware ESXi en évaluation sur ce serveur HP, il s'installe directement sur la couche matérielle. Il n'est pas nécessaire d'installer un système d'exploitation «hôte» pour installer VMware ESX. VMware ESX est donc un hyperviseur qui permet une gestion plus précise des ressources pour chaque machine virtuelle et de meilleures performances. La solution VMware ESX est la solution la plus industrielle de la gamme. Pour finir, j'ai donc créé 2 serveurs virtuels sur vsphere Client (composant obligatoire et interface primaire de création, gestion et surveillance des machines virtuelles, de leurs ressources et de leurs hôtes). VM1 VM2 -mémoire vive 1024 Mo - mémoire vive 1024 Mo -3 cartes réseau virtuelles - 3 cartes réseau virtuelles -disque dur 10 Go -disque dur 10 Go Synthèse de stage 2011/ /22

13 J'ai ensuite installé PfSense sur ces deux serveurs virtuels On peut voir que nous avons créés 3 interfaces réseau WAN LAN et OPT1 sur les deux serveurs et leur attribuer 3 adresses IP. WAN: em1, LAN: em0, OPT1: em2. Synthèse de stage 2011/ /22

14 2.Configuration de PfSense: Il est possible de commencer à faire les configurations dans PfSense. Pour cela, nous allons donc faire les configurations directement via l interface Web. Pour cela, il est nécessaire d ouvrir un navigateur Web et de se connecter à l URL Dans notre cas, nous ferons pour la VM1 (PfSense1) et pour la VM2 (PfSense2) Voici ce que l'on obtient pour le serveur VM1: Synthèse de stage 2011/ /22

15 Nous allons maintenant configurer les interfaces LAN et WAN et OPT1 en détail. Pour cela, nous allons dans le menu Interface puis WAN pour commencer. On entre l'adresse IP de la carte réseau coté WAN qui est donc d après le schéma du réseau et ensuite l'adresse IP de la passerelle. Puis on fait de même avec l'interface LAN Synthèse de stage 2011/ /22

16 L'interface OPT1 est mise en place sur la 3eme carte réseau du serveur pour relier les deux serveurs entre eux de façon a communiquer en permanence comme le montre l'image ci-dessous. Une fois que les 3 interfaces sont créées sur chacun des deux serveurs, nous allons faire en sorte qu'il communiquent entre eux grâce à la mise en place d'un cluster entièrement redondant avec 2 PfSense-systèmes entre WAN/LAN avec le service pfsync / CARP. Pour faire simple, quand le serveur VM1 est coupé ou tombe en panne, le serveur VM2 prend le relais, ce qui permet d'avoir une redondance pour permettre la liaison entre WAN et LAN et donc une tolérance aux pannes. Synthèse de stage 2011/ /22

17 Nous sommes toujours sur le serveur VM1, pour mettre en place le service pfsync: Grace au service de synchronisation les deux serveurs vont enfin communiquer entre eux. Nous allons sélectionner l'interface de synchronisation dédié à l'interface dans notre cas OPT1 puis attribuer l'adresse de l'interface OPT1 du serveur VM2. L'image ci-dessous montre le service CARP pour la mise en cluster des deux serveurs pour biensur la tolérance aux pannes. Synthèse de stage 2011/ /22

18 Après redémarrage des 2 serveurs, on constate que VM1 est bien le serveur maître ( MASTER) et VM2 le serveur esclave (BACKUP) : Et pour vérifier si cela fonctionne nous allons à présent nous connecter a pfsense2 sur le serveur VM2: Pour vérifier si notre synchronisation des 2 serveurs à fonctionné, on a débranché le serveur VM1 pour simuler une panne par exemple, puis rentrer dans l'url d'un navigateur quelconque l'adresse du cluster controller qui est donc ou si l'on se situe soit dans le LAN soit dans le WAN. Synthèse de stage 2011/ /22

19 3.SQUID,SQUIDGUARD et LIGHTSQUID. Squid est un serveur mandataire (proxy) capable d'utiliser les protocoles FTP, HTTP, et HTTPS. Squid présente de nombreux avantages, aussi bien en termes de sécurité que de contrôle des sites visités par l'utilisateur. Nous utiliserons bien entendu des solutions libres, à savoir Squid pour le proxy HTTP, Squidguard pour l'élément de filtrage et lightsquid pour la visualisation des logs des utilisateurs et sites internet visités. Dans le cas d'un serveur proxy «normal», le client demande au proxy d'interroger le serveur cible. Ce dernier répond au proxy qui communique alors la réponse au client. Dans ce mode, le client est configuré pour utiliser un proxy et il modifie les requêtes http en fonction. Pour pouvoir utiliser les fonctionnalités du proxy, il faut ajouter les packages «squid», «lightsquid» et «squidguard» puis configurer les blacklist (liste noire des site frauduleux). Après installation de ces packages, j'ai configuré squid de sorte à ce qu'il écoute toutes les trames qui sont transmises à l'adresse virtuelle situé dans le LAN au port 3128 et à l'adresse situé dans le WAN au port HAVP ( Antivirus HTTP) HAVP est un programme conçu à l'origine pour linux mais il existe des patchs pour le faire fonctionner sur solaris et freebsd. Dans notre cas nous l'avons fait fonctionné sous freebsd. HAVP (HTTP AntiVirus proxy ) est un proxy avec un anti-virus filtre. A quoi sert-il? A protéger le proxy squid contre divers virus pouvant endommager ce proxy. problemes rencontrés: La communication entre squid et havp ne fonctionnait pas, il a fallu que je change le port du proxy squid car il y avait un conflit. solution: il fallait ajouter l'élément suivant dans le fichier de configuration de squid afin d'intégrer HAVP au fichier de configuration de Squid: '' cache_peer parent name=havp no-query no-digest connect-timeout=1 '' Synthèse de stage 2011/ /22

20 5.Schéma du dispositif proxy: Principe de fonctionnement: N Explications 1 Demande du client de la page web au proxy squid 2 Squid valide (ou pas), l'adresse source/destination, domaine en fonction des ACLs. SQUID choisi de poursuivre (ou pas) le traitement. 3 Si la demande n'est pas bloquée, SQUID initie une connexion à HAVP 4 5 HAVP a reçu la demande. Il va donc devoir charger la page pour pouvoir l'analyser. HAVP initie une connexion vers SQUID en utilisant ces paramètres : PARENTPROXY localhost PARENTPORT 3128 SQUID a reçu la demande depuis HAVP. Cependant, il n'effectue pas le traitement classique grâce à l'acl cache_peer_access havp deny localhost car il n'autorise pas l'utilisation du cache_peet si la source est localhost, sinon cela pourrait créer une boucle. SQUID effectue donc la demande auprès du serveur Web (Internet) 6 Réponse du serveur Web Synthèse de stage 2011/ /22

21 7 SQUID répond à HAVP qui a initié la demande 8 9 HAVP effectue le traitement anti-virus. Deux réponses sont possibles : - Aucun virus n'a été trouvé, HAVP renvoie l'url d'origine à SQUID - Un virus a été détecté, HAVP renvoie une URL spécifique qui pointe vers une page informative SQUID a reçu la réponse et effectue la classification d'url par l'intermédiaire de SQUIDGUARD. Deux réponses sont possibles : - L'URL testée ne fait partie d'aucune classification, SQUIGUARD renvoie l'url d'origine. - L'URL est classifiée, SQUIDGUARD renvoie une URL spécifique qui pointe vers une page informative 10 SQUID répond au client Synthèse de stage 2011/ /22

22 CONCLUSION J'ai finalement redirigé l'utilisateur voulant se connecter à Internet sur deux serveur mandataire proxy sous PfSense et réussi à faire communiquer les deux serveurs entre eux. Ce projet m'a permis de me perfectionner dans la réalisation d'un projet, cela m'a également permis de mettre en pratique mes connaissances théoriques acquises tout au long de ma formation Informatique de Gestion au Lycée Roosevelt. De plus, étant seul pour mettre en place le projet, j'ai dû gérer seul mon temps de travail en me fixant des objectifs hebdomadaires pour ne pas prendre du retard dans le projet en ayant une vision globale dans le temps. Je suis satisfait de mon projet puisqu'il à rempli tous les objectifs fixés. Synthèse de stage 2011/ /22