2007/08. Béziers. TITRE : Etude et mise en place d'un pare-feu. ENTREPRISE : Lycée Frédéric Bazille. NOM DE L ETUDIANT : SANCHEZ David

Transcription

1 TITRE : Etude et mise en place d'un pare-feu ENTREPRISE : Lycée Frédéric Bazille NOM DE L ETUDIANT : SANCHEZ David TUTEUR ENTREPRISE : LAPIERRE Johann TUTEUR IUT : Frédéric COMBY Béziers 2007/08 MOTS CLES : sécurité, firewall, pare-feu, lycée 1

2 2

3 Je tiens à remercier en en premier lieu le Lycée Frédéric Bazille pour leur accueil au sein de l'établissement. Puis ensuite bien sûr mon tuteur, Johan Lapierre, pour avoir répondu à mes nombreuses questions. Et je remercie aussi monsieur Gérard Mahu, qui m'a lui aussi aidé pendant ce stage. 3

4 Sommaire Introduction Présentation de l'établissement Historique Le réseau Les ressources humaines informatiques Missions Sécuriser le réseau de l'établissement Réfléxion sur les évolutions du réseau Tâches Visite des locaux Tests de distributions orientées sécurité Réflexion sur le futur du réseau de l'établissement Activités Compte-rendu sur l'infrastructure du lycée Test de pare-feu AMON Test du pare-feu IPCOP Test du pare-feu SLIS Conclusion sur les pare-feu...18 Conclusion...19 Bibliographie...20 Pour AMON :...20 Pour IPCOP :...20 Pour SLIS :...20 Autres :...20 Lexique...21 Annexes

5 Introduction La sécurité est aujourd'hui au coeur de l'activité d'un administrateur réseaux. C'est elle qui va permettre de garder protégées des informations parfois confidentielles, qui ne doivent donc êtres divulguées qu'à un comité restreint de personnes. La sécurité a pour but aussi de se protéger du monde extérieur, et notamment d'internet. Car même si le réseau mondial est un formidable outil, il peut se révéler aussi un outil très dangereux. N'importe qui, aujourd'hui peut être sous la menace d'un pirate. Donc l'une des premières nécessités, en terme de sécurité par rapport à Internet, consiste à installer un pare-feu (firewall en anglais), entre son réseau local et le web. On verra ici les diverses tâches et actions faites, avec notamment une présentation du lycée, la découverte de l'établissement, puis le test de distributions orientés sécurité. 5

6 1. Présentation de l'établissement 6

7 1.1 Historique Le lycée Frédéric Bazille a été créé en août 1963, sur les terrains d'un domaine à 3km de Montpellier. La première pierre fut posée le 15 Octobre L'objectif premier de ce lycée était de fournir un enseignement professionnel, mais avec une culture générale solide. Au départ, le lycée avait une capacité d'accueil de 500 à 550 élèves, avec 450 demi-pensionnaires et de 100 à 150 externes. Le lycée a beaucoup évolué depuis sa création. Il comportait, au départ, des classes de 4ème et 3ème de collège, qui furent supprimées, et de nouvelles classe apparurent, comme les BTSA Viticulture-Œnologie, Technico-commercial vins et boissons, technologies végétales. Et une classe préparatoire aux écoles d ingénieurs des travaux agricoles (PENITA). Désormais sa capacité est d'environ 900 élèves. Le Lycée Frédéric Bazille est un lycée particulier, c'est à la base, un lycée d'enseignement général et technologique agricole, qui dépend du Ministère de l'agriculture, mais qui accueille aussi des classes du Ministère de l'education Nationale (dans les filières générales Bac S et ES). L'établissement gère aussi un C.F.A. (Centre de Formation pour Apprentis) ainsi qu'un C.F.P.P.A.(Centre de Formation Professionnel et de Promotion Agricole). 1.2 Le réseau Le campus de l'établissement est assez vaste, avec plusieurs bâtiments inter-connectés par des fibres optiques. Le réseau est constitué actuellement d'environ 230 machines. Ce nombre sera porté, dans quelques semaines à 250. Tous les postes sont installés avec choix du système d'exploitation, au démarrage, entre Windows XP Professionnel ou Linux Ubuntu Chaque utilisateur (1200 environ) possède un compte personnel sur le réseau avec un espace de stockage sur l'un des serveurs de l'établissement. Cette formule permet aux utilisateurs d'accéder à leurs documents quelque soit le poste utilisé. Pour ce qui est des équipements réseau, il est basé sur des switchs Cisco, essentiellement des 2950, qui supportent les vlans, commme on le verra plus tard. La passerelle est un routeur Cisco

8 Photo satellite du lycée Frédéric Bazille Trait jaune : fibre optique Topologie du réseau par la web console Cisco 8

9 1.3 Les ressources humaines informatiques L'ensemble des tâches d'administration du réseau et de maintenance des équipements est assuré par essentiellement deux personnes : Gérard MAHU, professeur et gestionnaire du réseau depuis 8 ans Johann LAPIERRE, technicien informatique depuis 3ans, mon tuteur de stage. 9

10 2. Missions 10

11 2.1 Sécuriser le réseau de l'établissement La consigne qui m'était donnée pour ce stage était de proposer une amélioration de la sécurité du réseau de l'établissement par la mise en place d'un pare-feu. Des contraintes existent car il faut que ce système puisse faire fonctionner de manière transparente les nombreuses applications spécifiques au lycée, comme Molière (gestion des absences), BCDI (base de données du CDI),... Il faut aussi que ce système soit administrable par des personnes non-expertes en Linux. Le problème d'un système fait maison est qu'il nécessite de pouvoir être réparé rapidement en cas de problèmes, ce qui n'est pas le cas ici. Ceci écarte la théorie d'un script contenant des règles firewall iptables. Le choix doit se faire sur des distributions ''déjà faites'', qui sont maintenues et mise à jour en continu. 2.2 Réfléxion sur les évolutions du réseau Une autre mission de ce stage aura été de mener une réflexion sur les futures évolutions d'un point de vue physique du réseau local, le ministère de l'éducation nationale voulant une séparation du réseau général en au moins deux sous-réseaux administratif et pédagogique. Le sous-réseau pédagogique ne peut accéder au sous-réseau administratif alors que l'inverse est possible. On peut aussi rajouter une troisième zone, une DMZ, pour l'ensemble des serveurs, ou répartir les serveurs dans les deux zones en fonction de leur utilisation. 11

12 3. Tâches 12

13 3.1 Visite des locaux Ma première tâche (une demi-journée) a consisté en une visite des locaux afin d'avoir une vue d'ensemble du réseau du campus (sa taille, sa configuration, la nature des équipements en place,...). Le campus est constitué de six bâtiments de diverses tailles distants de plusieurs centaines de mètres pour les plus éloignés. Suite à cela, j'ai rédigé un compte rendu sur l'ensemble de l'infrastructure du campus avec prises de photos pour le rapport du lycée. 3.2 Tests de distributions orientées sécurité La seconde étape, a consisté en une réflexion sur la protection du réseau local. Ma première idée était d'utiliser un script shell avec des règles iptables. J'y ai rapidement renoncé car les administrateurs ne sont pas des experts Linux. Cette méthode de gestion d'un pare-feu pourrait être facilement source d'erreurs pouvant paralyser le réseau et son évolution en serait trop complexe. Les diverses distributions Linux orientées sécurité comme AMON, IPCOP ou SLIS semblaient plus appropriées. Il m'a donc fallu installer chaque distribution, à tour de rôle, sur une machine de test. Après chaque installation j'ai procédé à des tests de comportement de la distribution. Les tests de configuration avec un ou des clients, ont consisté à vérifier que ce qui était attendu en matière de sécurité était bien fourni par le produit installé. La liste des principaux paramètres de sécurité testés : fonction firewall, proxy avec filtrage d'adresse de sites blocage de protocoles comme edonkey ou msn. A chaque distribution, j'ai notifié les points suivants : la facilité ou non d'installation, le niveau de difficulté de la configuration primaire après installation, le niveau de difficulté de la configuration en exploitation avec en particulier : 13

14 comment ajouter un site dans la liste des sites bloqués, faire un backup à distance et le récupérer sur sa machine locale, bloquer à la volée un protocole. 3.3 Réflexion sur le futur du réseau de l'établissement Enfin la dernière étape à consisté en une réflexion sur les évolutions du réseau de l'établissement. Le Ministère de l'agriculture comme celui de l'education Nationale demandent qu'une séparation des réseaux administratif et pédagogique soit mise en place dans tous les établissements. Ceci à bien sûr des incidences sur la configuration actuelle du réseau. On peut par exemple, dans le cas ou des bâtiments contiennent à la fois des machines pédagogiques et administratives, utiliser la fonction vlans des switchs Cisco 2950 par exemple afin d'économiser en rachat de switchs, cela permet de diminuer les coûts sans apporter de grand changement au réseau. La séparation en sous-réseaux va entrainer aussi un changement d'adresse ip sur casimment tout le parc du campus, ceci afin de bien distinguer les machines administratives et pédagogiques. La séparation en sous-réseaux va entrainer aussi un changement d'adresse ip sur casimment tout le parc du campus, ceci afin de bien distinguer les machines administratives et pédagogiques. Mais il faudra aussi que les services soit toujours accessible à tous, ce qui implique une grande réflexion sur l'emplacement des serveurs, notamment des trois contrôleurs de domaine windows

15 4. Activités 15

16 4.1 Compte-rendu sur l'infrastructure du lycée Rédaction d'un compte rendu sur l'infrastructure du lycée après la visite et revue des installations si nécessaire. 4.2 Test de pare-feu AMON AMON est le module orienté sécurité de la distribution EOLE, géré par une équipe basé dans l'académie de Dijon et qui la développe pour l'éducation nationale. Elle est basé sur la distribution Ubuntu serveur. La version d'amon est ici là 2.0, publié le 1er Octobre Elle à l'avantage d'être mise à jour très souvent, d'ailleurs une nouvelle version, la 2.1, est sortie pendant le stage, mais je n'ai pas eu le temps de la tester. J'ai installé Amon sur une machine de test et je l'ai ensuite configuré. Je l'ai ensuite connecté à une station cliente, puis deux, puis sur tout le réseau de l'établissement, pendant une journée, grâce aux vacances scolaires. J'ai procédé à différents tests pour vérifier : le blocage des protocoles, le blocage de sites web, l'utilisation en mode proxy transparent, l'authentification transparente. Conclusions des tests sur Amon : tous les tests ont été positifs, seules quelques manipulations à faire à la main ont été nécessaires. 4.3 Test du pare-feu IPCOP IPCOP est quand à lui une distribution faite pour la sécurité et spécialisé dans ce domaine. C'est une distribution démarré à partir de rien, à l'aide de Linux From Scratch(LFS). La version testée ici est la , publié le 2 Décembre Par contre ici les mise à jour se font par un changement de version de la distribution, car elle ne possède pas de gestionnaire de paquet comme apt. Sur ce second pare-feu, j'ai testé les mêmes procédures que pour Amon. 16

17 Conclusions des tests sur IPCOP : cette distribution, en standard, ne fait que firewall, pour le blocage de protocoles, ou le filtrage de sites web, l'ajout d'addons est donc indispensable, le proxy est transparent ou non, l'authentification transparente n'existe pas. Son avantage principal réside dans le fait qu'il est très léger, et peu donc être installé sur de vieilles configurations. Par contre son noyau 2.2 peut être une source de failles potentiellement dangereuses. 4.4 Test du pare-feu SLIS Pour finir voici la troisième distribution testé, SLIS. Elle est développé par l'académie de Grenoble. Elle a le même objectif qu'amon, c'est-à-dire un pare-feu, un serveur proxy, le filtrage de site web et de protocoles. La version utilisé est la version 3.2 qui date du 17 mars Il y a des mise à jours mais plus depuis le développement de la version 4, qui amorce le passage de Fedora Core 3 à Debian Sarge. Une 4.1 est elle aussi en développement mais basé sur Debian Etch. J'ai procédé à la même méthode de travail sur ce 3ème pare-feu : installation, configuration, tests avec connexion de postes clients. Le test de SLIS avait été demandé par le maître de stage car cette distribution peut-être couplée avec le logiciel de gestion active-directory, Magret, utilisé dans l'établissement. Conclusions des tests sur SLIS : Cette distribution possède un premier problème, la date de la dernière version officielle publiée (Version 3.2 du 17/03/2005). Ceci est donc une première source de failles de sécurité. Les tests sur la liaison avec Magret n'ont pas fonctionné. Le blocage de protocoles est inexistant. Le filtrage de site Web ne fonctionne qu'avec les sites préenregistrés à la base de la distribution. Les sites ajoutés manuellement n'ont pas été filtrés. Le proxy transparent ne fonctionne que la première fois. Si la machine est re-démarrée, ce système ne fonctionne plus. Il faut donc accéder à l'interface d'administration pour tenter de le relancer. 17

18 4.5 Conclusion sur les pare-feu Le but de ce stage était axé, avant tout, sur le test des pare-feu. Donner une conclusion générale à ces tests s'impose. J'ai créé pour cela un tableau récapitulatif, avec différents critères : 1 - l'installation. On recherchera une installation la plus simple possible. 2 - la configuration, c'est-à-dire les réglages à effectuer après installation ou pendant la période de production. 3 - Le poids. Le cache internet du proxy peut consommer énormément de mémoire vive et d'espace disque. 4 - l'intégration avec Magret. 5 - l'utilisation au jour le jour. La gestion du pare- feu nécessite diverses tâches comme : ajouter un site à bloquer, bloquer l'accès à Internet d'une salle ou d'une machine à la demande,... Tableau récapitulatif (le total le plus élévé représenterait le meilleur produit) Installation Configuration Poids Intégration Magret Utilisation quotidienn e AMON IPCOP SLIS 0 O Total La somme de ces critères donne un avantage au pare-feu AMON. Avec AMON, l'installation est rapide, la configuration est simple et fonctionnelle, sa gestion quotidienne est simple. 18

19 Conclusion Ce stage m'a permis de mettre en pratique de nombreuses choses que j'ai apprises pendant mon DUT, tout en approfondissant certains éléments, mais aussi en a apprenant des nouvelles. Le stage s'est déroulé dans d'excellentes conditions, aussi bien au niveau de travail que du cadre. Et bien sûr cette expérience est toujours un plus à ajouter dans un C.V.. Et au niveau de l'autonomie il y a aussi un gain. De plus, c'est quand l'on travaille vraiment sur l'aspect sécurité d'un réseau local que l'on vois l'importance que cela est aujourd'hui d'avoir un réseau le plus sécurisé possible. 19

20 Bibliographie Pour AMON : Site officiel : Documentation pdf : ftp://eole.orion.education.fr/doc-pdf/amon Pour IPCOP : Site officiel : Pack d'addons ipcop : Forum sur IPCOP : Pour SLIS : Site officiel : Site version Toulouse : Index de la documentation : Autres : VLAN Cisco : Site de LFS : LFS en français : 20

21 Lexique Pare-feu : système matériel ou logiciel permettant de mettre en oeuvre la politique de sécurité du réseau en choisissant ce qui est admis ou interdit. Surtout utilisé afin de se protéger par rapport à Internet. BTSA : Brevet de Technicien Supérieur Agricole. VLAN : Virtual Local Area Network, ou réseau local virtuel. Technologie qui permet d'avoir sur un seul switch physique plusieurs switchs virtuel, séparés les un des autres. LFS : Signifie Linux From Scratch, c'est un livre qui permet de démarrer à partir du noyau de base de linux et de créer sa propre distribution en créant ou ajoutant tout ce que l'on a besoin autour du noyau. Proxy : Dit aussi serveur mandataire, il sert de relai entre un client et un serveur afin de protéger le client. 21

22 Annexes 22

23 Stage de David Sanchez Bases de travail 1 Faire une étude préalable à la mise en place d'un pare feu pour le campus de l'établissement Analyse du réseau en place avec ses différentes composantes Topologie détaillé du réseau (plan détaillé du câblage intégrant la totalité des bâtiments et des locaux techniques, cascades, VPN,...) Analyse de l'adressage IP en place (réseau principal en X.X, réseau LGA et EN en X.X). Adressage privé 192,168.X.X Adresses publiques : (routeur) (serveur web) (NAT) (NAT) (NAT) (AMON) 2 Etudier la solution consistant à utiliser le pare feu AMON actuellement en place (Pare feu EN) 3 Faire une étude sur les autres pare feu possibles en particulier SLIS,IPCOP,... 4 Définir les évolutions du réseau préalables à la mise en place du pare feu Redistribution des jarretières des switchs Achats de transceivers supplémentaires Activation éventuelle de paires de fibres optiques Pose éventuelle de fibre supplémentaire Proposition d'un nouveau plan d'adressage... 4 Paramètrer le pare feu choisi pour : 1 zone externe 1 DMZ 1 zone administrative 1 zone pédagogique 23