IFT Laboratoire d Internet. Module 3. Préparé par : Michel Laliberté 6 février Objectifs

Transcription

1 IFT Laboratoire d Internet Module 3 Préparé par : Michel Laliberté 6 février 2005 Objectifs Implantation d un serveur Web sécurisé HTTPS Structure des répertoires des sites Web et FTP Outils d administration Hébergement multi sites Création de serveurs virtuels Module #3 IFT Laboratoire d Internet Windows Server

2 Table des matières 1. Serveur DHCP 1.1 Définition de DHCP 1.2 Avantages de l'utilisation de DHCP 1.3 Mode de fonctionnement de DHCP 1.4 Terminologie DHCP 1.5 Utilisation des serveurs par les clients 1.6 Options couramment utilisées 1.7 Outil d administration DHCP 2. Serveur d impression 2.1 Impression sans utilisation de serveur d'impression 2.2 Impression avec un serveur d'impression 2.3 Avantages du serveur d'impression 2.4 Définir une imprimante partagée 2.5 À la recherche d une imprimante 2.6 Propriétés de l imprimante 3. Hébergement de plusieurs sites Web sur un unique serveur IIS 3.1 Création de plusieurs sites en utilisant plusieurs adresses IP 3.2 Création de plusieurs sites en utilisant des noms d'en-tête d'hôte 3.3 Création de plusieurs sites en utilisant des ports 4. Administration d'un site Web IIS 4.1 Outils d administration 4.2 Mise en route 4.3 Répertoires de base 4.4 Utilisation de répertoires virtuels 4.5 Création d un répertoire virtuel 4.6 Création d un site Web : Également appelé serveur virtuel 4.7 Démarrage et arrêt des sites 4.8 Modification des paramètres de site Web par défaut 4.9 Autres fonctionnalités offertes par IIS 5. Méthodes d authentification 5.1 Authentification de sites Web 5.2 Authentification de sites FTP 6. Création d un site Web Sécurisé 6.1 À propos des certificats 6.2 Certificats serveurs 6.3 Autorités de certification 6.4 Installation du service de certificats 6.5 Installer SSL sur votre serveur Web Module #3 IFT Laboratoire d Internet Windows Server

3 1. Serveur DHCP 1.1 Définition de DHCP Le protocole DHCP (Dynamic Host Configuration Protocol) est un standard TCP/IP conçu pour simplifier la gestion de la configuration d'ip hôte. Le standard DHCP permet d'utiliser des serveurs DHCP comme une méthode de gestion d'affectation dynamique d'adresses IP et d'autres détails de configuration correspondants pour les clients DHCP de votre réseau. Il convient d'attribuer à chaque ordinateur d'un réseau TCP/IP un nom d'ordinateur et une adresse IP unique. L'adresse IP (avec son masque de sous réseau associé) identifie l'ordinateur hôte et le sous réseau auquel il est associé. Lorsque vous déplacez un ordinateur vers un autre sous réseau, l'adresse IP doit être modifiée. DHCP vous permet d'affecter de manière dynamique une adresse IP à un client à partir de la base de données d'une adresse IP du serveur DHCP sur votre réseau local. Pour les réseaux TCP/IP, DHCP réduit la complexité et la quantité de travail d administrateur impliqué dans la reconfiguration des ordinateurs. 1.2 Avantages de l'utilisation de DHCP DHCP offre les avantages suivants dans l'administration de votre réseau TCP/IP : Configuration sûre et fiable DHCP évite les erreurs de configuration dues au besoin de taper manuellement des valeurs sur chaque ordinateur. De plus, DHCP permet d'empêcher les conflits d'adresses causés par une adresse IP affectée précédemment réutilisée pour configurer un nouvel ordinateur sur le réseau. Réduction de la gestion de la configuration Les serveurs DHCP peuvent considérablement diminuer le temps passé à configurer et reconfigurer les ordinateurs de votre réseau. Les serveurs peuvent être configurés pour fournir une plage complète de valeurs de configuration supplémentaires lors de l'affectation des baux d'adresses. Ces valeurs sont affectées à l'aide des options DHCP. 1.3 Mode de fonctionnement de DHCP Le protocole DHCP utilise un modèle client serveur. L'administrateur réseau désigne un ou plusieurs serveurs DHCP comme responsables de la gestion des informations relatives à la configuration de TCP/IP et de leur transmission aux clients. La base de données du serveur comprend les éléments suivants : paramètres de configuration corrects pour tous les clients du réseau ; adresses IP correctes gérées dans un pool et destinées à être attribuées aux clients, ainsi que des adresses pouvant être affectées manuellement. durée d'un bail offert par le serveur. Le bail définit la durée d'utilisation de l'adresse IP attribuée. Avec un serveur DHCP installé et configuré sur votre réseau, les clients DHCP peuvent obtenir de manière dynamique leur adresse IP et les paramètres de configuration associés chaque fois qu'ils ouvrent et se connectent à votre réseau. Les serveurs DHCP fournissent cette configuration sous forme d'offre de bail d'adresse aux clients qui la demande. Module #3 IFT Laboratoire d Internet Windows Server

4 1.4 Terminologie DHCP Terme étendue plage d'exclusion pool d'adresses bail réservation types d'options Description Une étendue est la plage consécutive complète des adresses IP probables d'un réseau. Les étendues désignent généralement un sous réseau physique unique de votre réseau auquel sont offerts les services DHCP. Les étendues constituent également pour le serveur le principal moyen de gérer la distribution et l'attribution d'adresses IP et de tout autre paramètre de configuration associé aux clients du réseau. Une plage d'exclusion est une séquence limitée d'adresses IP dans une étendue, exclue des offres de service DHCP. Les plages d'exclusion permettent de s'assurer que toutes les adresses de ces plages ne sont pas offertes par le serveur aux clients DHCP de votre réseau. Une fois que vous avez défini une étendue DHCP et appliqué des plages d'exclusion, les adresses restantes forment le pool d'adresse disponible dans l'étendue. Les adresses de pool sont éligibles pour une affectation dynamique par le serveur aux clients DHCP de votre réseau. Un bail est un intervalle de temps, spécifié par un serveur DHCP, pendant lequel un ordinateur client peut utiliser une adresse IP affectée. Lorsqu'un bail est accordé à un client, le bail est actif. Avant l'expiration du bail, le client doit renouveler le bail de l'adresse auprès du serveur. Un bail devient inactif lorsqu'il arrive à expiration ou lorsqu'il est supprimé du serveur. La durée d'un bail détermine sa date d'expiration et la fréquence avec laquelle le client doit le renouveler auprès du serveur. Utilisez une réservation pour créer une affectation de bail d'adresse permanente par le serveur DHCP. Les réservations permettent de s'assurer qu'un périphérique matériel précis du sous réseau peut toujours utiliser la même adresse IP. Les types d'options sont d'autres paramètres de configuration client qu'un serveur DHCP peut affecter lors du service de baux aux clients DHCP. Par exemple, certaines options régulièrement utilisées comprennent des adresses IP pour les passerelles par défaut (routeurs), les serveurs WINS et les serveurs DNS. Généralement, ces types d'options sont activés et configurés pour chaque étendue. 1.5 Utilisation des serveurs par les clients Un ordinateur qui exécute Windows XP devient un client DHCP si Obtenir une adresse IP est sélectionné dans ses propriétés TCP/IP. Lorsqu'un ordinateur client est configuré pour utiliser DHCP, il accepte l'offre de bail et peut recevoir du serveur les éléments suivants : Utilisation temporaire d'une adresse IP reconnue comme valide pour le réseau qu'il rejoint. Paramètre de configuration TCP/IP que le client utilise sous la forme de données d'options. Module #3 IFT Laboratoire d Internet Windows Server

5 1.6 Options couramment utilisées Lorsque vous avez défini les paramètres de configuration TCP/IP de base (adresse IP, masque de sous réseau et passerelle par défaut) des clients, la plupart ont aussi besoin que le serveur DHCP leur fournisse d'autres informations par le biais des options DHCP. Les plus courantes sont les suivantes : Routeurs. Liste d'adresses IP préférées pour les routeurs du même sous réseau que les clients DHCP. Le client peut alors contacter ces routeurs selon ses besoins pour transférer des paquets IP à destination d'hôtes distants. Serveurs DNS.: Adresses IP de serveurs de noms de domaines que les clients DHCP peuvent contacter et utiliser pour résoudre une requête de nom d'hôte de domaine. Domaine DNS. Spécifie le nom de domaine que les clients DHCP doivent utiliser pour résoudre des noms non qualifiés pendant la résolution de noms de domaine DNS. Serveur WINS. Adresses IP de serveurs WINS primaires et secondaires à utiliser par le client DHCP. 1.7 Outil d administration DHCP Pour utiliser le service DHCP, vous devrez installer le composant à l aide du programme Ajouter ou Supprimer des composants Windows. Installez le service DHCP sur le serveur agissant comme contrôleur de domaine. Sur les autres serveurs de votre domaine n installez pas ce composant. La gestion du serveur DHCP s effectue à partir de l outil d administration DHCP. Figure 1.7 Module #3 IFT Laboratoire d Internet Windows Server

6 2. Serveur d impression Lorsque vous ajoutez une imprimante connectée directement au réseau par une carte réseau, vous pouvez implémenter l'impression de deux manières : en ajoutant une imprimante directement sur l'ordinateur de chaque utilisateur sans utiliser d'ordinateur serveur d'impression ou en ajoutant l'imprimante une fois sur un ordinateur serveur d'impression et en connectant ensuite chaque utilisateur à l'imprimante par l'intermédiaire de l'ordinateur serveur d'impression. 2.1 Impression sans utilisation de serveur d'impression Pour la première méthode, considérez le scénario suivant : Un petit réseau de groupe de travail n'a que quelques ordinateurs et une imprimante connectée directement au réseau. Chaque utilisateur du réseau ajoute cette imprimante à son dossier Imprimantes et télécopieurs sans la partager et définit ses propres paramètres de pilote. L'inconvénient de cette configuration est que les utilisateurs ne connaissent pas l'état réel de l'imprimante. Chaque ordinateur a sa propre file d'attente d'impression et celle-ci n'affiche que les travaux qu'il a lui-même envoyés. Il est impossible de savoir où se trouve un travail d'impression par rapport à tous les autres travaux demandés par d'autres ordinateurs. Un autre inconvénient est que les messages d'erreur (par exemple le bourrage ou l'absence de papier) n'apparaissent que dans la file d'attente correspondant au travail d'impression en cours. Enfin, tous les traitements d'un document envoyé à l'impression sont effectués sur l'ordinateur d'origine. 2.2 Impression avec un serveur d'impression La seconde manière de configurer l'impression est de faire fonctionner un ordinateur exécutant un système d'exploitation de la famille Windows Server 2003 comme serveur d'impression. Cet ordinateur ajoute l'imprimante et la partage avec les autres utilisateurs. Un ordinateur Windows XP Professionnel peut aussi fonctionner en serveur d'impression, mais avec certaines limites : il ne peut pas prendre en charge les services Macintosh ou NetWare et il est limité à 10 connexions sur un même réseau local (LAN). 2.3 Avantages du serveur d'impression Le serveur d'impression gère les paramètres du pilote d'imprimante. La même file d'attente s'affiche sur tous les ordinateurs connectés à l'imprimante, ce qui permet à chaque utilisateur de voir où est placé son travail d'impression par rapport aux autres travaux en attente. Les messages d'erreur s'affichant sur tous les ordinateurs, tout le monde sait quel est l'état réel de l'imprimante. Certains traitements sont transférés de l'ordinateur client au serveur d'impression. Vous pouvez avoir un journal unique pour les administrateurs qui souhaitent auditer les événements d'imprimante. Le seul inconvénient de l'utilisation d'un serveur d'impression est qu'il faut qu'un ordinateur fonctionne comme serveur d'impression. Cependant, il n'est pas nécessaire que celui-ci soit dédié à l'impression ; en général, les serveurs d'impression sont implémentés sur des serveurs qui effectuent également d'autres tâches. Module #3 IFT Laboratoire d Internet Windows Server

7 2.4 Définir une imprimante partagée Pour ajouter un port TCP/IP standard : Figure 2.4a 1. Ouvrez le composant Imprimantes et télécopieurs. 2. Double-cliquez sur Ajouter une imprimante, puis cliquez sur Suivant. 3. Cliquez sur Imprimante locale, désactivez la case à cocher Détection automatique de l'imprimante, puis cliquez sur Suivant. 4. Cliquez sur Créer un nouveau port, puis cliquez sur Port TCP/IP standard. 5. Cliquez sur Suivant pour exécuter l'assistant Ajout de port imprimante TCP/IP standard. Figure 2.4b Utilisez le numéro IP de l imprimante laser du laboratoire Vous avez également l option de définir cette imprimante dans votre DNS et d utiliser le nom que vous aurez défini. Le nom du port n a pas vraiment d importance, mais il est utile de le laisser ainsi. Cela nous permettra de faire le lien entre le port et le numéro IP. L assistant détectera automatiquement le type d imprimante. Figure 2.4c Vous devez maintenant sélectionner le fabricant et le modèle de l imprimante. Le fabricant de l imprimante du laboratoire 3708 est Lexmark et le modèle est Optra S Module #3 IFT Laboratoire d Internet Windows Server

8 Figure 2.4d Donnez un nom à cette imprimante. Figure 2.4e Puisqu il s agit d une imprimante réseau, nous allons partager l imprimante. Ajouter une description à l imprimante. Cette information sera disponible pour l utilisateur. Figure 2.4f Module #3 IFT Laboratoire d Internet Windows Server

9 2.5 À la recherche d une imprimante Si un imprimante est disponible sur le réseau et quelle est définie dans Active Directory, il est facile pour un poste client de la repérer et de l utiliser. Bien entendu, l utilisateur doit avoir les droits d accès à cette imprimante. Installation de l imprimante sur le poste client Figure 2.5a 1. Ouvrez le composant Imprimantes et télécopieurs. 2. Double-cliquez sur Ajouter une imprimante, puis cliquez sur Suivant. 3. Cliquez sur Une imprimante réseau ou une imprimante connectée à un autre ordinateur, puis cliquez sur Suivant. Figure 2.5b Utilisez la recherche d imprimantes à partir de l annuaire Active Directory. Figure 2.5c Cliquez sur le bouton Rechercher afin d obtenir la liste complète des imprimantes définies dans l Active Directory. Module #3 IFT Laboratoire d Internet Windows Server

10 Figure 2.5d Double-cliquez sur l imprimante afin d installer celle-ci. 2.6 Propriétés de l imprimante Sur le serveur d impression, les propriétés de l imprimante peuvent être modifiées. Plus spécifiquement, nous suggérons de modifier les Paramètres du périphérique pour tenir compte des besoins de l organisation. Figure 2.6 Paramètres du périphérique Ouvrez le composant Imprimantes et télécopieurs. Éditez les propriétés de l imprimante à configurer. Sélectionnez l onglet Paramètres du périphérique et modifiez le type de papier afin d utiliser le papier Lettre 8 ½ x 11. Module #3 IFT Laboratoire d Internet Windows Server

11 3. Hébergement de plusieurs sites Web sur un unique serveur IIS IIS prend en charge plusieurs sites Web sur un unique serveur. Par exemple, plutôt que d'utiliser trois serveurs différents pour héberger mspress.microsoft.com et support.microsoft.com, vous pouvez installer ces trois sites Web sur le même serveur. La consolidation de sites Web économise les ressources matérielles, fait gagner de l'espace et réduit les coûts. Pour vous assurer que les demandes de l'utilisateur atteignent le site Web désiré, vous devez configurer une identité unique pour chaque site du serveur. Pour ce faire, vous devez différencier chaque site Web à l'aide d'au moins un identificateur unique sur les trois disponibles : un nom d'en-tête d'hôte, une adresse IP ou un numéro de port TCP unique. Les sites Web hébergés sur le même serveur peuvent être différenciés à l'aide des identificateurs uniques suivants. Identificateur de site Web Nom d'en-tête de l'hôte Adresse IP unique Numéro de port TCP non standard Utilisation Recommandé dans la plupart des cas. Utilisée principalement pour les services Internet qui hébergent SSL (Secure Sockets Layer) sur le serveur local. Non recommandé. Peut être utilisé pour le développement et le test de sites Web privés mais rarement pour les serveurs Web de production. En changeant l'un de ces trois identificateurs, vous pouvez créer des identités uniques pour plusieurs sites Web sans installer un serveur dédié pour chaque site. Vous pouvez également créer un répertoire de base unique pour chaque site et stocker le contenu sur le serveur local ou sur des partages réseau distants. Ainsi, chaque site Web est une entité séparée, ou serveur virtuel. Remarque : Standardisez l'identification unique de sites Web par serveur avec une méthode, de préférence en utilisant les noms d'en-tête d'hôte. L'utilisation d'une méthode par serveur améliore les performances en optimisant les recherches dans le cache et de routage. À l'inverse, l'utilisation d'en-têtes d'hôte, d'adresses IP uniques ou de numéros de port non standards pour identifier plusieurs sites Web sur le même serveur dégradent les performances de tous les sites Web du serveur. Figure 3 L'exemple suivant illustre le cas de figure d'un réseau intranet sur lequel l'administrateur système a installé Windows 2003 Server avec IIS sur le serveur de l'entreprise, créant ainsi un site Web par défaut, Il a ensuite créé deux sites Web supplémentaires, un pour chacun des deux services suivants : Marketing et Ressources humaines. Bien que les sites ServeurSociete, Marketing et Ressourceshumaines soient hébergés sur le même ordinateur, chacun d'eux apparaît comme étant un site Web unique. Les sites de ces services disposent des mêmes options de sécurité que s'ils étaient situés sur des ordinateurs distincts, car chaque site possède ses propres paramètres d'autorisation d'accès et d'administration. De plus, les tâches administratives peuvent être distribuées aux membres de chaque service. Module #3 IFT Laboratoire d Internet Windows Server

12 3.1 Création de plusieurs sites en utilisant plusieurs adresses IP Certaines configurations de serveur sécurisé requièrent l'utilisation d'adresses IP uniques pour différencier plusieurs sites Web sur le même serveur. IIS vous permet de configurer des sites Web pour écouter toutes les adresses IP disponibles ou une adresse IP individuelle. Si vous utilisez plusieurs adresses IP pour différencier des sites différents situés sur le même serveur, vous devez configurer IIS pour affecter une adresse IP unique à chaque site. Le tableau suivant résume les avantages et les inconvénients de l'utilisation d'adresses IP pour différencier plusieurs sites Web. Avantages Peut héberger des services HTTPS sécurisés sur le même serveur. Inconvénients Requiert une adresse IP statique unique pour chaque site. Dans la mesure où les adresses IP publiques sont rares, il peut être difficile d'obtenir un grand nombre d'adresses IP statiques. Peut dégrader les performances par rapport à l'utilisation d'en-têtes d'hôte. Le service de publication WWW (World Wide Web) peut gérer les points de terminaison pour chaque site identifié par une adresse IP unique et ainsi consommer la mémoire du pool non paginé. Dans la mesure où l'affectation d'un grand nombre d'adresses IP uniques à plusieurs sites Web sur le même serveur peut diminuer les performances, cette méthode est utilisée principalement pour identifier plusieurs sites sur les serveurs qui hébergent SSL (Secure Sockets Layer) ou les services TLS (Transport Layer Security). Dans la mesure où HTTPS (Secure Hypertext Transfer Protocol) sur TLS et SSL cryptent les noms d'en-tête d'hôte, les informations d'en-tête d'hôte sont inaccessibles aux sites Web hébergés sur le même serveur que SSL ou les services TLS. Pour résoudre ce problème, vous pouvez utiliser des en-têtes d'hôte pour identifier de façon unique les services HTTP standard sur un serveur et utiliser des adresses IP uniques pour identifier les services HTTPS sécurisés sur un serveur séparé. L'utilisation d'en-tête d'hôte sur le serveur HTTP standard protège les adresses IP et optimise les performances du site Web si les informations de cryptage ne sont pas un problème. La redirection des demandes pour des services Internet sécurisés vers un site HTTPS sur un serveur séparé est transparente à l'utilisateur et évite la dégradation des performances qui résulterait du mélange d'identificateurs d'en-tête d'hôte avec des identificateurs d'adresse IP unique sur le même serveur. L'utilisation d'une combinaison d'en-têtes d'hôte et d'adresses IP uniques pour identifier plusieurs sites Web sur le même serveur réduit les performances des recherches dans le cache et des recherches de routage. Pour optimiser les performances, standardisez une méthode par serveur, de préférence en utilisant les en-têtes d'hôte pour les sites Web HTTP standard. Module #3 IFT Laboratoire d Internet Windows Server

13 3.2 Création de plusieurs sites en utilisant des noms d'en-tête d'hôte Chaque site Web a un nom descriptif et peut prendre en charge un ou plusieurs noms d'en-tête d'hôte. Les organisations qui hébergent plusieurs sites Web sur un seul serveur utilisent souvent des en-têtes d'hôte car cette méthode leur permet de créer plusieurs identités de site Web sans utiliser une adresse IP pour chaque site. Dans la mesure où le service de publication WWW (World Wide Web) doit allouer de la mémoire en pool non paginée pour gérer un point de terminaison pour chaque adresse IP, l'utilisation des en-têtes vous permet d'éviter la dégradation des performances liée à l'identification de plusieurs sites Web avec des adresses IP uniques. Lorsqu'une demande cliente atteint le serveur, IIS utilise le nom d'hôte passé dans l'en-tête HTTP pour déterminer quel site est demandé par le client. Si le site est utilisé sur un réseau privé, l'en-tête d'hôte peut être un nom de site intranet, tel que SupIntranet. Si le site est utilisé sur Internet, l'en-tête d'hôte doit être un nom DNS (Domain Name System) disponible publiquement, tel que support.microsoft.com, et vous devez inscrire le nom auprès de l'autorité de nom Internet autorisée. Le tableau suivant résume les avantages et les inconvénients de l'utilisation d'en-têtes d'hôte pour différencier plusieurs sites Web. Avantages Peut héberger plusieurs sites sans affecter une adresse IP unique à chaque site. Transparent à presque tous les utilisateurs. Peut donner de meilleures performances que l'affectation d'une adresse IP unique à chaque site car le service WWW n'alloue pas de la mémoire en pool non paginée à chaque site identifié par une adresse IP unique. Inconvénients Pour utiliser les en-têtes d'hôte sur plusieurs sites Web qui offrent des services Internet sécurisés, vous devez héberger les sites HTTPS sur un serveur séparé, identifier le site HTTPS avec une adresse IP et rediriger les demandes pour les services sécurisés vers ce serveur. Cela est nécessaire car HTTPS crypte les noms d'en-tête d'hôte via SSL (Secure Sockets Layer) afin que les informations d'en-tête de l'hôte ne puissent pas être interprétées par un site Web qui héberge les services SSL sur le même serveur. L'utilisation d'en-têtes d'hôte pour différencier plusieurs sites Web sur le même serveur est recommandée dans la plupart des cas. Lors de l'utilisation de cette méthode, vous devez faire très attention à ce qu'affiche le site Web par défaut. Si un utilisateur essaie de contacter votre site avec un navigateur qui ne prend pas en charge HTTP 1.1 et que le site Web par défaut est activé sur le serveur mais n'inclut pas la programmation pour résoudre les problèmes de limitation des navigateurs, l'utilisateur est dirigé vers le site Web par défaut affecté à cette adresse IP. Il peut ne pas s'agir du site que l'utilisateur souhaitait afficher. Le site Web par défaut peut inclure un script qui prend en charge l'utilisation des noms d'en-tête d'hôte dans les navigateurs, mais ne pas prendre en charge HTTP 1.1. Remarque : Si un navigateur reçoit une demande pour un site qui est actuellement arrêté, l'utilisateur est dirigé vers le site Web par défaut. C'est pourquoi, les fournisseurs de services Internet affichent leur page d'accueil par défaut. Si l'utilisateur ne peut pas atteindre un site identifié par un en-tête d'hôte et que le site Web par défaut n'est pas activé, le navigateur de l'utilisateur affiche une erreur Hôte introuvable. Module #3 IFT Laboratoire d Internet Windows Server

14 3.3 Création de plusieurs sites en utilisant des ports Bien que cela ne soit pas recommandé pour des serveurs de production, vous pouvez utiliser des numéros de ports TCP non standard pour créer des identificateurs de site Web uniques pour le développement de sites et à des fins de test. Pour ce faire, vous créez une identité de site Web qui se compose d'une adresse TCP/IP, ou nom, collée à un numéro de port TCP non standard. Les sites Web standard utilisent le port TCP 80 par défaut pour les connexions HTTP et le port TCP 443 par défaut pour les connexions HTTPS sécurisées. Les points de terminaison TCP/IP sont définis par une combinaison d'adresse IP (ou le nom correspondant) et un numéro de port, donc la configuration d'un site Web avec un numéro de port non standard crée un point de terminaison unique, ou identité, pour le site. Si vous utilisez un numéro de port TCP non standard pour identifier un site Web, les utilisateurs ne sont pas en mesure d'atteindre le site par l'intermédiaire d'un nom standard ou d'une URL. Les utilisateurs doivent connaître le numéro de port TCP non standard assigné au site Web et l ajouter au nom du site Web ou de l'adresse IP dans la barre d'adresses de leur navigateur Web. Par exemple, pour atteindre un site Web privé appelé DevIntranet, avec une adresse IP et le service HTTP assigné au port TCP 8080 non standard, les utilisateurs devront taper ou dans leur navigateur Web pour atteindre le site. Il en résulte que l'utilisation de numéros de port pour identifier des sites Web n'est pas une méthode viable pour la plupart des sites Internet ou intranet. Remarque : Si vous utilisez un numéro de port comme identificateur unique pour un site Web, utilisez un numéro de port supérieur à L'IANA (Internet Assigned Numbers Authority), assigne les numéros de port de 0 à aux applications TCP/IP standard et aux protocoles et publie ces numéros de ports connus. Le tableau suivant résume les avantages et les inconvénients de l'utilisation de numéros de port pour différencier plusieurs sites Web. Avantages Peut créer plusieurs sites Web privés, notamment des sites qui prennent en charge HTTPS sur le même serveur, sans assigner une adresse IP unique. Utilisé principalement pour le développement de site Web et des tests. Les administrateurs doivent ouvrir des ports non standard sur le serveur ou le pare-feu, ce qui augmente le risque d'attaques à la sécurité TCP/IP. Inconvénients En règle générale, n'est pas recommandé pour les serveurs de production car cette méthode requiert que les clients tapent le nom ou l'adresse IP suivi par un numéro de port non standard pour atteindre le site. Les noms d'hôtes ou noms conviviaux ne peuvent pas être utilisés. Module #3 IFT Laboratoire d Internet Windows Server

15 4. Administration d'un serveur IIS Supposons que vous venez de déployer un nouveau site Web dont l'investissement s'est avéré assez élevé et vous découvrez que le logo de la société a été omis dans toutes les pages du site. Ou, imaginons qu'on vous demande de router des milliers d'utilisateurs vers d'autres sites Web pendant que les techniciens tentent de réparer un ordinateur qui ne fonctionne pas correctement. De tels problèmes ne donnent qu'un bref aperçu des nombreux défis quotidiens qui relèvent de la gestion d'un site Web. Et, même si la gestion efficace d'un site Web repose en grande partie sur l'habilité de l'administrateur, il existe de nombreux outils et procédures de base que vous pouvez utiliser pour faire face aux opérations de gestion et aux problèmes les plus courants. 4.1 Outils d administration La console Microsoft Management Console est utilisée comme interface de pilotage des services IIS. Cette interface permet d ouvrir plusieurs fenêtres IIS et de les organiser de manière optimale. Administration centralisée Figure 4.1a IIS est géré par un composant logiciel enfichable de la MMC (Microsoft Management Console) d'iis. Cet outil d'administration d'iis est intégré aux autres fonctions d'administration de Windows 2003 Server. Pour accéder au composant logiciel enfichable d'iis, vous pouvez cliquer sur Outils d'administration, puis sur Gestionnaire des services Internet (IIS). IIS possède également des outils d'administration basés sur le Web permettant la gestion à distance d'un serveur, à partir d'un navigateur depuis la plupart des plates-formes. Pour installer l'interface Web pour l'administration à distance d'un serveur d'applications, ouvrez l'assistant Composants de Windows. Activez la case à cocher Serveur d'applications, puis cliquez sur Détails. Activez la case à cocher Services Internet (IIS), cliquez sur Détails, activez la case à cocher Service World Wide Web, cliquez sur Détails, puis activez la case à cocher Administration à distance (HTML). Administration à distance Figure 4.1b Pour ouvrir l'interface Web pour l'administration à distance, tapez l URL ci-dessous dans le champ d adresse du navigateur Web : Où NomOrdinateur est le nom de l'ordinateur où vous avez installé le composant Administration à distance (HTML) Module #3 IFT Laboratoire d Internet Windows Server

16 4.2 Mise en route Pour commencer, vous devez configurer vos sites Web en indiquant quels répertoires contiennent les documents que vous souhaitez publier. Le serveur Web ne peut pas publier des documents qui ne se trouvent pas dans les répertoires spécifiés. Par conséquent, la première étape du déploiement d'un site Web consiste à déterminer la façon dont vous souhaitez organiser vos fichiers. Le Gestionnaire des services Internet (IIS) vous permet ensuite d'identifier les répertoires qui font partie du site. Si vous souhaitez commencer directement sans avoir à créer une structure de répertoires spéciale et si tous vos fichiers sont situés sur le disque dur de l'ordinateur qui exécute les services Internet (IIS), vous pouvez publier immédiatement vos documents en copiant vos fichiers Web dans le répertoire de base par défaut, LecteurLocal:\Inetpub\Wwwroot. (Pour un site FTP, copiez vos fichiers dans LecteurLocal:\Inetpub\Ftproot.) Les utilisateurs de l'intranet peuvent ensuite accéder à ces fichiers en tapant l'url suivante : Répertoires de base Chaque site Web ou FTP doit avoir un répertoire de base. Le répertoire de base est l'emplacement central où sont stockées vos pages publiées. Il contient un fichier de page d'accueil ou d'index qui souhaite la bienvenue aux utilisateurs et contient des liens vers d'autres pages de votre site. Le répertoire de base est mappé sur le nom de domaine de votre site ou sur le nom du serveur. Par exemple, si le nom de domaine Internet de votre site est et votre répertoire de base est C:\Website\Microsoft, les navigateurs utilisent l'url pour accéder aux fichiers situés dans votre répertoire de base. Un répertoire de base par défaut est créé lorsque vous installez les services Internet et que vous créez un site Web. Figure 4.3 Module #3 IFT Laboratoire d Internet Windows Server

17 4.4 Utilisation de répertoires virtuels Un répertoire virtuel est un nom convivial ou alias, qui représente soit un répertoire physique sur le disque dur du serveur ne résidant pas dans le répertoire de base, soit le répertoire de base d'un autre ordinateur. Un alias étant généralement plus court que le chemin d'accès du répertoire physique, il est plus pratique à saisir pour les utilisateurs. Un alias est plus sûr. En effet, les utilisateurs ne savent pas où vos fichiers sont stockés physiquement sur le serveur et ne peuvent donc pas utiliser cette information pour les modifier. Les alias vous permettent de déplacer plus facilement des répertoires dans votre site. Plutôt que de modifier l'url du répertoire, vous modifiez le mappage entre l'alias et l'emplacement physique du répertoire. Si votre site Web contient des fichiers placés dans un répertoire autre que le répertoire de base ou sur d'autres ordinateurs, vous devez créer des répertoires virtuels de manière à pouvoir inclure ces fichiers sur votre site Web. Pour utiliser un répertoire situé sur un autre ordinateur, vous devez spécifier le nom UNC (Universal Naming Convention) du répertoire et fournir un nom d'utilisateur et un mot de passe qui seront utilisés pour les droits d'accès. Pour effectuer une publication à partir d'un répertoire non contenu dans le répertoire de base, vous devez créer un répertoire virtuel. Supposons par exemple que vous créez un site Web pour votre équipe de marketing sur l'intranet de votre société. Le tableau suivant présente le mappage entre l'emplacement physique des fichiers et l'url qui accède à ces fichiers. Emplacement physique Alias URL C:\Inetpub\wwwroot répertoire de base (aucun) \\Server2\SalesData Customers D:\Inetpub\wwwroot\Quotes Aucune D:\Inetpub\wwwroot\OrderStatus Aucune D:\Marketing\PublicRel PR Les répertoires virtuels et les répertoires physiques (répertoires sans alias) s'affichent dans le Gestionnaire des services Internet (IIS). Un répertoire virtuel est représenté par une icône engrenage. L'illustration suivante montre l'exemple de site Web décrit ci-dessus, où /Customers et /PR sont des répertoires virtuels. Figure 4.4 Pour un site Web simple, vous n'avez pas besoin d'ajouter des répertoires virtuels. Vous pouvez simplement placer tous vos fichiers dans le répertoire de base du site. Si votre site est complexe ou si vous souhaitez spécifier des URL différentes pour différentes parties de votre site, vous pouvez ajouter des répertoires virtuels selon les besoins. Afin qu'un répertoire virtuel soit accessible à partir de plusieurs sites, vous devez ajouter le répertoire virtuel à chaque site. Module #3 IFT Laboratoire d Internet Windows Server

18 4.5 Création d un répertoire virtuel Figure 4.5a Pour créer un répertoire virtuel à l'aide de l'assistant Création de répertoire virtuel. Dans le Gestionnaire des services Internet (IIS), développez l'ordinateur local, puis le site Web auquel vous souhaitez ajouter un répertoire virtuel. Cliquez ensuite avec le bouton droit sur le site ou le dossier dans lequel vous souhaitez créer le répertoire virtuel, pointez sur Nouveau, puis cliquez sur Répertoire virtuel. Cliquez sur Suivant. Dans la zone Alias, tapez un nom pour le répertoire virtuel. Il doit être court et facile à taper. Figure 4.5b Répertoire de contenu du site Web Dans la zone Chemin d accès, tapez ou recherchez le répertoire physique dans lequel se trouve le répertoire virtuel. Figure 4.5c Autorisation d accès au répertoire virtuel. Définir les autorisations sur le répertoire. Cocher la case Exécuter (par exemple, application CGI ou ISAPI). Cette option permettra l exécution des CGI/Perl. Module #3 IFT Laboratoire d Internet Windows Server

19 4.6 Création d un site Web : Également appelé serveur virtuel Plusieurs serveurs virtuels peuvent résider sur un ordinateur, chacun d'eux pouvant exécuter ses propres programmes et chacun disposant d'un accès individualisé aux périphériques d'entrée et unités périphériques. Chaque serveur virtuel possède son propre nom de domaine et sa propre adresse IP et apparaît à l'utilisateur comme étant un site Web individuel. Certains fournisseurs de services Internet utilisent les serveurs virtuels pour les clients qui souhaitent utiliser leurs propres noms de domaine. Chaque site Web (serveur virtuel) a un nom descriptif et peut avoir un ou plusieurs noms d'en-tête d'hôte. Les noms d'en-tête d'hôte permettent d'héberger plusieurs noms de domaine sur un seul et même ordinateur. Si un visiteur essaie d'accéder à votre site à l'aide d'un navigateur relativement ancien qui ne prend pas en charge les en-têtes d'hôte, ce visiteur est dirigé vers le Web par défaut associé à l'adresse IP (si un site par défaut est activé), mais ce site ne correspond pas toujours au site demandé. De même, si la requête émise par un navigateur est adressée à un site qui est arrêté, le visiteur accède au site Web par défaut. C'est pourquoi vous devez faire très attention à ce qu'affiche le site Web par défaut. Les fournisseurs de service Internet affichent généralement par défaut leur propre page d'accueil et non celle des sites Web de leurs clients. Cela évite que les requêtes adressées à un site arrêté accèdent au mauvais site. D'autre part, le site par défaut peut inclure un script de prise en charge de l'utilisation des noms d'en-tête d'hôte pour les anciens navigateurs. Création d un nouveau site Web à l'aide de l'assistant Création de site Web. Figure 4.6a Dans le Gestionnaire des services Internet (IIS), développez l'ordinateur local. Cliquez ensuite avec le bouton droit sur le répertoire Sites Web, pointez sur Nouveau, puis cliquez sur Site Web Figure 4.6b Description du site Web Module #3 IFT Laboratoire d Internet Windows Server

20 Figure 4.6c Adresse IP, port et en-tête d hôte. Sélectionnez l adresse IP à utiliser pour le site Web. Saisissez le nom d en-tête d hôte de votre site Web. Assurez-vous de définir ce nom d en-tête dans votre DNS. Toutes non attribuées fait référence aux adresses IP attribuées à un ordinateur mais pas à un site spécifique. Le site Web par défaut utilise toutes les adresses IP qui ne sont pas attribuées à d'autres sites. Un seul site peut être défini pour utiliser les adresses IP non attribuées. C est habituellement le site Web par défaut qui utilise cette option. Figure 4.6d Répertoire de base du site Web Dans la zone Répertoire, tapez ou recherchez le répertoire physique dans lequel se trouve le répertoire virtuel. Figure 4.6e Autorisation d accès au site Web. Définir les autorisations sur le répertoire. Cocher la case Exécuter (par exemple, application CGI ou ISAPI). Cette option permettra l exécution des CGI/Perl. Module #3 IFT Laboratoire d Internet Windows Server

21 4.7 Démarrage et arrêt des sites Par défaut, les sites démarrent automatiquement au redémarrage de votre ordinateur. L'arrêt d'un site provoque l'arrêt des services Internet et leur déchargement de la mémoire de votre ordinateur. L'interruption d'un site empêche l'acceptation de nouvelles connexions par les services Internet, mais n'affecte pas les demandes qui ont déjà été traitées. Le démarrage d'un site provoque le redémarrage ou la reprise des services Internet. Pour démarrer, arrêter ou suspendre un site : Dans le composant Gestionnaire des Services Internet (IIS), sélectionnez le site à démarrer, à arrêter ou à suspendre. Cliquez dans la barre d'outils sur le bouton Démarrer, Arrêter ou Suspendre. Si un site s'arrête inopinément, il est probable que le composant Gestionnaire des Services Internet (IIS) n'indique pas correctement l'état du serveur. Avant de redémarrer, cliquez sur Arrêter, puis cliquez sur Démarrer pour redémarrer le site. 4.8 Modification des paramètres de site Web par défaut Lors de l'installation d'iis, les valeurs par défaut sont définies pour les différentes propriétés assignées aux sites Web. Les propriétés peuvent être définies au niveau global et affecter tous les sites Web d'un serveur, au niveau du site individuel, au niveau d'un répertoire ou au niveau d'un fichier. IIS utilise un modèle d'héritage, ce qui signifie que les paramètres des niveaux supérieurs sont automatiquement hérités par les niveaux inférieurs. Les paramètres des niveaux inférieurs peuvent être modifiés individuellement pour remplacer les paramètres hérités des niveaux supérieurs. Si vous modifiez un paramètre à un niveau inférieur, puis modifiez ultérieurement un paramètre à un niveau supérieur qui est en conflit avec le paramètre de niveau inférieur, vous devez indiquer si vous souhaitez changer le paramètre du niveau inférieur pour qu'il corresponde au paramètre du niveau supérieur. 4.9 Autres fonctionnalités offertes par IIS Rediriger des demandes à l'aide des redirections Lorsqu'un navigateur demande une page sur votre site Web, le serveur Web trouve la page identifiée par l'url et la renvoie au navigateur. Lorsque vous déplacez une page de votre site Web, vous ne pouvez pas toujours corriger tous les liens qui font référence à l'ancienne URL de la page. Pour vous assurer que les navigateurs trouveront la page avec la nouvelle URL, vous devez indiquer au serveur Web de communiquer la nouvelle URL au navigateur. Le navigateur utilise la nouvelle URL pour demander à nouveau la page. Ce processus s'appelle «redirection d'une demande de navigateur» ou «redirection vers une autre URL». La redirection de la demande d'une page est similaire à l'utilisation d'une adresse pour le suivi du courrier dans le cadre d'un service postal. Grâce à l'adresse utilisée pour le suivi du courrier, vous êtes sûr que les lettres et paquets adressés à votre ancienne adresse seront remis à votre nouvelle adresse. La redirection d'une URL est utile lorsque vous mettez à jour votre site Web et souhaitez fermer temporairement l'accès à une partie du site, ou lorsque vous avez modifié le nom d'un répertoire virtuel et vous souhaitez que les liens vers les fichiers situés dans le répertoire virtuel d'origine permettent d'accéder aux mêmes fichiers, situés dans le nouveau répertoire virtuel. SSI (Server-Side Includes) Il est parfois utile de modifier de façon dynamique un contenu Web après qu'il a été demandé par l'utilisateur, mais avant qu'il ne soit renvoyé au navigateur. IIS comprend une fonctionnalité appelée SSI (Server-side includes) qui permet cela. Avec SSI, vous pouvez exécuter de nombreuses activités de gestion d'un site Web, qui vont de l'ajout d'un datage dynamique à l'exécution d'une commande spéciale d'environnement chaque fois qu'un fichier est demandé. Les commandes SSI, appelées directives, sont ajoutées aux pages Web au moment de la conception. Lorsqu'une page est demandée, le serveur Web analyse toutes les directives qu'il trouve dans une page Web, puis les exécute. Une directive SSI utilisée couramment insère ou inclut le contenu d'un fichier dans une page Web. Si vous devez par exemple continuellement mettre à jour une publicité sur le Web, vous pouvez utiliser les directives SSI pour inclure la source HTML de la publicité dans la page Web. Pour mettre à jour la publicité, il suffit de modifier le fichier contenant Module #3 IFT Laboratoire d Internet Windows Server

22 la source HTML de la publicité. Vous n'avez pas besoin de connaître un langage de script pour utiliser les directives SSI ; il suffit d'utiliser la syntaxe de directive appropriée. ASP et ASP.NET ASP est un environnement de scripts côté serveur que vous pouvez utiliser pour la création de pages Web dynamiques et interactives et la conception de puissantes applications Web. Lorsque le serveur de l'application reçoit une demande pour un fichier ASP, il traite le code du script côté serveur contenu dans le fichier pour créer la page Web qui est envoyée au navigateur. Outre le code de script côté serveur, les fichiers ASP peuvent contenir des données HTML (notamment des scripts côté client associés), ainsi que des appels à des composants COM qui effectuent de nombreuses tâches, comme la connexion à une base de données ou le traitement d'une logique d'entreprise. ASP requiert l'utilisation d'un langage de script tel que VBScript ou JScript. ASP.NET est l'environnement de script côté serveur Microsoft de la nouvelle génération. Il fournit un nouveau modèle et une nouvelle infrastructure de programmation, qui permettent aux développeurs de créer et de déployer des applications Web d'entreprise qui sont plus sécurisées, plus évolutives et plus stables qu'auparavant. Module #3 IFT Laboratoire d Internet Windows Server

23 5. Méthodes d authentification 5.1 Authentification de sites Web D'après vos besoins en matière de sécurité, vous pouvez sélectionner une méthode d'authentification des services Internet (IIS) pour valider les utilisateurs demandant à accéder à vos sites Web. Vous pouvez définir la méthode d'authentification pour vos ressources Web utilisant des feuilles de propriétés au niveau du site Web, du répertoire ou du fichier à l'aide du Gestionnaire des services Internet (IIS). Le tableau suivant résume les différentes méthodes d'authentification de site Web. Méthode Niveau de sécurité Méthode de transmission des mots de passe Possibilité d'utilisation via les serveurs Proxy et les pare-feu Configuration client Authentification anonyme Aucune N/A Oui N'importe quel navigateur Authentification de base Faible Texte en clair encodé Base64 Oui, toutefois l'envoi de mots de passe par un serveur Proxy ou un pare-feu en texte en clair constitue un risque de sécurité car le texte en clair encodé Base64 n'est pas crypté La plupart des navigateurs Authentification Digest Authentification Digest avancée Moyen Hachage Oui Internet Explorer 5 ou version ultérieure Moyen Hachage Oui Internet Explorer 5 ou version ultérieure Authentification intégrée Windows Élevé Hachage en cas d'utilisation de NTLM. Ticket Kerberos en cas d'utilisation de Kerberos. Non, sauf en cas de connexion PPTP Internet Explorer 2.0 ou version ultérieure pour NTLM, et Windows 2000 ou version ultérieure avec Internet Explorer 5 ou version ultérieure pour Kerberos Authentification par certificat Authentification.NET Passport Élevé N/A Oui, à l'aide d'une connexion SSL Élevé Cryptage Oui, à l'aide d'une connexion SSL Internet Explorer, Mozilla et Netscape Internet Explorer, Mozilla et Netscape Authentification anonyme : Décrit la méthode d'authentification qui n'exige pas de recevoir des informations d'authentification de l'utilisateur authentifiées et qui convient pour accorder un accès public aux informations ne nécessitant pas de niveau de sécurité. L'authentification anonyme permet aux utilisateurs d'accéder aux zones publiques de votre site Web ou FTP sans fournir de nom d'utilisateur ni de mot de passe. Lorsqu'un utilisateur tente de se connecter à votre site Web ou FTP public, votre serveur Web lui attribue le compte d'utilisateur Windows IUSR_nom_ordinateur, nom_ordinateur étant le nom de l'ordinateur sur lequel IIS s'exécute. Par défaut, le compte IUSR_nom_ordinateur est inclus dans le groupe d'utilisateurs Windows Invités. Ce groupe est soumis à des restrictions de sécurité imposées par les autorisations NTFS, qui définissent le niveau d'accès et le type de contenu disponibles pour les utilisateurs publics. Module #3 IFT Laboratoire d Internet Windows Server

24 Authentification de base : L'authentification de base est une méthode standard très utilisée pour la collecte des informations relatives au nom d'utilisateur et au mot de passe. L'authentification de base présente l'avantage de faire partie de la spécification HTTP et d'être prise en charge par la plupart des navigateurs. Mais elle présente également un inconvénient : les navigateurs Web qui utilisent l'authentification de base transmettent les mots de passe sans les crypter. En surveillant les communications sur votre réseau, un utilisateur malveillant pourrait facilement intercepter et décoder ces mots de passe à l'aide d'outils accessibles au grand public. Par conséquent, l'authentification de base n'est pas conseillée, sauf si vous êtes certain que la connexion entre l'utilisateur et votre serveur Web est sécurisée, par exemple s'il s'agit d'une ligne dédiée ou d'une connexion SSL (Secure Sockets Layer). Authentification Digest : L'authentification Digest offre les mêmes fonctionnalités que l'authentification de base. Toutefois, l'authentification Digest est plus sécurisée, car elle envoie les références de l'utilisateur sur le réseau. L'authentification Digest transmet les références de l'utilisateur sur le réseau sous la forme d'un hachage MD5, ou message condensé, le nom d'utilisateur et le mot de passe d'origine ne pouvant être déchiffrés à partir du hachage. L'authentification Digest est accessible aux répertoires WebDAV (Web Distributed Authoring and Versioning). Authentification Digest avancée : Lorsque l'authentification Digest avancée est appliquée, les informations d'identification de l'utilisateur sont stockées sur le contrôleur de domaine sous la forme d'un hachage MD5. Ces informations figurant dans Active Directory sous la forme d'un hachage MD5, il est pratiquement impossible pour les personnes ayant accès au contrôleur de domaine, et même pour l'administrateur du domaine, de découvrir les mots de passe des utilisateurs. L'authentification Digest avancée peut être utilisée pour les répertoires WebDAV (Web Distributed Authoring and Versioning). Dans IIS 6.0, elle est préférée à l'authentification Digest normale, laquelle demeure néanmoins disponible. Authentification intégrée Windows : L'authentification intégrée Windows (anciennement appelée NTLM ou authentification stimulation/réponse de Windows NT) est une méthode d'authentification sécurisée car le nom d'utilisateur et le mot de passe sont hachés avant d'être transmis sur le réseau. Lorsque vous activez l'authentification intégrée Windows, le navigateur de l'utilisateur prouve sa connaissance du mot de passe par un échange cryptographique avec votre serveur Web. Cette méthode utilise le hachage. L'authentification intégrée Windows est la méthode d'authentification par défaut des produits de la famille Windows Server L'authentification intégrée Windows utilise l'authentification Kerberos v5 et l'authentification NTLM. Si les services Active Directory sont installés sur un contrôleur de domaine Windows 2000 ou version ultérieure et que le navigateur de l'utilisateur prend en charge le protocole d'authentification Kerberos v5, l'authentification Kerberos v5 est utilisée. Sinon, c'est l'authentification NTLM qui est employée. Certificats : Le certificat est une forme d'identification numérique pour votre serveur et pour les clients qui demandent des informations à votre serveur. Sa fonction est semblable à celle d'un passeport ou d'une carte d'identité, qui identifie son porteur. Les certificats font partie des fonctionnalités SSL (Secure Sockets Layer) des services Internet (IIS), qui permettent d'établir une connexion cryptée pour la transmission d'informations sensibles. Authentification.NET Passport : Microsoft.NET Passport est un service d'authentification de l'utilisateur et un composant de Microsoft.NET Framework..NET Passport utilise les technologies et les techniques Web standard, telles que SSL (Secure Sockets Layer), les redirections HTTP, les cookies, Microsoft JScript et le cryptage de clé symétrique renforcé pour offrir un service d'inscription unique. Module #3 IFT Laboratoire d Internet Windows Server