Directives de raccordement EPNET EPFL EXINFR

Transcription

1 Directives de raccordement EPFL EXINFR

2 Version Date Auteur J.-L. Gugler Version initiale J.-L. Gugler Correction orthographique suite au feedback initiale. Complément d information sur les exceptions pour les tunnels. Directives de raccordement 2

3 POE / vitesse / câblage L infrastructure de câblage des bâtiments est composée de deux types de câbles : - (nouveau) câble CAT 6A qui permet des débits de 1GBit/s (jusqu à 10Gbit/s) et le support du POE (Power Over Ethernet) 100m POE (Power over Ethernet) 4m CAT 6A 10/100/1G (10G) Ethernet POE (Power over Ethernet) 4m Câble composite CAT /100 Ethernet - (ancien) composite permet une vitesse maximum de 100Mbit/s avec POE - La longueur maximum entre le switch et les équipements est de 100m, ce qui signifie qu il ne faut pas utiliser des cordons de patch plus longs que environ (le câblage du bâtiment pouvant atteindre 90m + 4m pour le patch) - Demande standard via le 1234 pour la fourniture de câbles (2m/4m//10m/15m) Directives de raccordement 3

4 DHCP / DNS / adressage DHCP STATIC La configuration IP des périphériques est gérée par un serveur DHCP. Celui-ci peut fournir tous les paramètres réseau et le nom de la machine est enregistré dans un DNS dynamique VLAN DHCP GATEWAY (ROUTER) VLAN STATIC IP Il existe encore des réseaux dont l adressage n est pas géré par le DHCP. Il est fortement recommandé de ne plus utiliser l adressage statique pour les stations utilisateur. L EPFL dispose d adresses publiques IPv /16, /16 et IPv6 2001:0620:0618:, ainsi que quelques plages pour des besoins spécifiques (eduroam p.ex). DNS DHCP DYNDNS Directives de raccordement 4

5 Connexions des périphériques sur Téléphone IP (Cisco) 2-4 m Les ports du réseau sont gérés de manière centrale et documentés pour assurer les performances et la sécurité du réseau. Seul un périphérique réseau par port est supporté En cas d utilisation de téléphones IP, le périphérique doit être raccordé en série (si la distance le séparant du téléphone est inférieure à 4m) Directives de raccordement 5

6 Connexion multiples pour téléphone IP 0-4m Téléphone IP (Cisco) Quand la distance le permet, le périphérique doit être raccordé en série sur le téléphone IP. L utilisation de deux connexions différentes pour la même place de travail a un impact sur le coût du réseau (consommation inutile de ports réseau et câblage supplémentaire) : 1254 connexions ont été identifiées et sont à vérifier Directives de raccordement 6

7 Installation de micro-switch / router Microswitch / router l utilisation de micro-switch ne permet plus d avoir une bonne gestion des ports réseau. En cas de problème de sécurité, on ne peut pas retrouver les périphériques sources ou les isoler. En cas de pont sur le micro-switch le port est automatiquement bloqué et tous les utilisateurs sont coupés. Les outils de récolte de statistiques ou de classification des flux ne sont pas compatibles. On ne peut pas mettre de téléphone IP. Il devient impossible de mettre en place des contrôles d accès. L utilisation de router avec translation d adresses empêche d atteindre les stations pour un scan de sécurité par exemple : 257 prises avec micro-switch ont été identifiées, il n y a pas de possibilité d identifier les prises avec un router/nat Directives de raccordement 7

8 Point d accès Wifi «pirate» Wifi Wifi Pour des raison de sécurité, il est interdit d installer des point d accès WiFi sur le réseau. Certains périphériques comme des imprimantes possèdent cette fonctionnalité et il faut la désactiver. Les dispositifs wifi (par exemple pont GSM) perturbent le réseau WiFi de l EPFL même s ils ne sont pas raccordés sur le réseau ; Les réseaux WiFi utilisant tous les mêmes bandes de fréquence : plus de 900 points d accès ont été détectés, il reste 283 points d accès à contrôler. Directives de raccordement 8

9 Tunnel SSL / VPN Les ouvertures DIODE permettent d exposer des services IT sur Internet (serveur web p.ex). Tunnel VPN / SSL Il est par contre interdit de mettre en place des tunnels VPN (SLL ou autres) qui offrent un accès non géré en central à notre système d information. Les solutions de gestion de machines à distance (Teamviewer, ) sont à utiliser avec prudence et au coup-par-coup. Ouverture DIODE Les exceptions sont possibles si elles sont déclarées à la commission de sécurité et documentées : 500 ports ouverts sur SSH Directives de raccordement 9

10 Réseau spéciaux : SafeNet 10.x.x.x Le réseau Safenet permet d isoler des machines vulnérables (OS désuets, PC pilotant des équipements scientifiques) du reste du réseau. Firewall Firewall Proxy Internet Ces machines ne peuvent pas communiquer entre elles et doivent passer par des proxies pour atteindre certains services autorisés (DNS, AD, LDAP, proxy web, etc..). On y utilise des adresses privées. Router/FW Directives de raccordement 10

11 Réseau spéciaux : Gesbat 10.x.x.x Firewall Le réseau Gesbat regroupe les dispositifs de domotique (gestion de bâtiment, sécurité, électricité, automate, ) Il est séparé du réseau par un Firewall et fait aussi appel à des adresses privées. Directives de raccordement 11

12 Réseau Lab 10G Local informatique central Salle 1 Connection 1Gbps Salle 1 Salle 2 Connection cuivre 10Gbps Connection cuivre 10Gbps Le réseau informatique de l EPFL () met à disposition sur tous le campus des connexions informatiques câblées à 1Gbps maximum (sous réserve que le bâtiment dispose d une infrastructure de câblage qui le supporte). Certains laboratoires utilisent des dispositifs de capture (caméra, microscope, ) qui nécessitent des bandes passantes plus grandes. Pour répondre à ce besoin, la VPSI propose de mettre à disposition des ports 10Gbit/s lorsque cela est possible. Directives de raccordement 12