IPCop: The Bad Packets Stop Here Projet réalisé par ADAM Julien

Transcription

1

2 Installation et configuration d IPCop dans un environnement Windows 3/6/2011 2

3 Installation et configuration d IPCop dans un environnement Windows 3/6/ CONTENU Préambule Informations légales... 6 Avant de commencer... 6 Pré-requis... 6 Les logiciels à récupérer... 6 Présentation du projet... 7 Qu est-ce qu IPCop?... 7 Architecture fonctionnelle d IPCOP :... 7 Topologie... 8 Configuration... 8 Objectifs... 8 Windows Server 2008 R2 (Entreprise Edition)... 9 Installation... 9 L Active Directory : Installation et configuration... 9 DNS : Création d une zone de recherche inversée IPCop : Installation et première configuration Première configuration d IPCOP Administration d IPcop Installation des plugins Activation du SSH Configuration de PuTTY et WinSCP Installation des plugins Advanced Proxy URLFILTER P2PBlock Configuration de P2PBlock Configuration d URLFILTER Configuration d Advancded Proxy Configuration du Proxy... 30

4 Installation et configuration d IPCop dans un environnement Windows 3/6/ Personnalisation du message d erreur ou Redirection Autoriser des utilisateurs à avoir un accès total à Internet Filtrage d accès à Internet avec URLFilter Filtrage d accès à Internet avec Advanced Proxy Les différents types de compte Création des comptes Changement du mot de passe pour l accès Web Tests Pour aller plus loin Bloquer l installation de logiciels indésirables L utlisateur n est pas administrateur de sa machine L utilisateur est administrateur de sa machine Vérification du navigateur Internet Détection des intrusions Journaux Configuration des journaux Exemple : Journaux du pare-feu Etat du système Conclusion Annexes... 49

5 Installation et configuration d IPCop dans un environnement Windows 3/6/2011 5

6 Installation et configuration d IPCop dans un environnement Windows 3/6/ PREAMBULE INFORMATIONS LEGALES Durant ce projet nous allons mettre en place un serveur pare-feu, IPCop, auquel nous allons ajouter des plugins, notamment Advanced Proxy. A ce sujet, sachez que beaucoup d options d Advanced Proxy peuvent violer la vie privée de vos clients ou d autres normes juridiques. ATTENTION : Avant d utiliser ce logiciel soyez sûr que ce soit en accord avec les lois nationales ou d autres règlements légaux. AVERTISSEMENT EXPLICITE : Dans la plupart des pays, les utilisateurs doivent être informés que les données personnelles seront enregistrées, comme la date, le temps, la source et la destination dans la conjonction avec le nom d utilisateur. N utilisez pas ce logiciel dans un environnement d affaires sans l accord écrit du personnel. AVANT DE COMMENCER PRE-REQUIS Pour réaliser ce projet, il nous faudra : Un serveur Windows, sur lequel sera installé et configuré l Active Directory ainsi que le DNS. Un serveur IPCop, lequel intégrera un relai DNS et se chargera du DHCP. Une machine client, Windows XP fera parfaitement l affaire! Personnellement, j ai choisi un serveur Windows tournant sous Windows Server 2008 R2 Edition Entreprise. Ce projet a été réalisé avec VMWare, je n ai pas pu me servir d un switch, j ai donc par conséquent mis toutes les machines du réseau interne sur la même VMNet. LES LOGICIELS A RECUPERER IPCop Advanced Proxy URL Filter P2PBlock Blacklist PuTTY WinSCP ftp://ftp.univ-tlse1.fr/blacklist/blacklists.tar.gz J ai installé PuTTY et WinSCP sur le serveur. PuTTY va nous permettre d ouvrir une session (shell) de notre IPCop depuis notre serveur.

7 Installation et configuration d IPCop dans un environnement Windows 3/6/ PRESENTATION DU PROJET QU EST-CE QU IPCOP? IPCop est une distribution Linux basée sur Linux From Scratch, faisant office de pare-feu. Elle vise à fournir un moyen simple mais puissant pour configurer un pare-feu sur une architecture type PC. Elle peut protéger sur une telle architecture un réseau familial ou de petites ou moyennes entreprises, elle offre la classique Zone démilitarisée (DMZ) ainsi que les tunnels réseau privé virtuel (acronyme VPN en anglais). IPCop peut également servir de serveur mandataire (proxy), serveur fournissant des adresses IP dynamique (DHCP), de relais DNS, de serveur de temps (NTP), et en installant des greffons ou modules, de bien d autres choses (contrôle de contenu, liste noire, liste d accès, DNS Dynamique, contrôle de trafic, etc ). Le support des clients sans fils est aussi prévu par le biais d une zone dédiée. Une machine très bas de gamme permet de le mettre en œuvre, voici un exemple d une telle configuration : 2 interfaces réseau minimum (Ethernet 10/100 ou modem ADSL tout type) Microprocesseur à 200 MHz Mémoire vive 64 Mo Disque Dur 800 Mo Optionnellement : 2 autres interfaces Ethernet pour la DMZ et le wifi. Clé USB (installation) et disquette, clé USB (pour la sauvegarde) Clavier, écran pour l installation NB : cette configuration minimale convient pour une utilisation domestique ou de petites entreprises jusqu à 5 postes. Elle permet déjà d utiliser la fonctionnalité de proxy et le système de détection d intrusion (tous deux gourmand en ressource mémoire et en calcul processeur). Prévoir une configuration plus musclée pour le processeur et la mémoire vive pour une utilisation professionnelle. ARCHITECTURE FONCTIONNELLE D IPCOP : IPCop, dans ses récentes versions, défini 4 ports Ethernets (donc 4 réseaux indépendants) : 1 Réseau ROUGE, relié à internet (réseau obligatoire) 1 Réseau VERT, relié au réseau local utilisateur, très sécurisé (obligatoire bien sûr) 1 Réseau ORANGE, relié à la D.M.Z. (zone «demilitarized» ou démilitarisée), facultative. Cette zone est reliée, par exemple à des serveurs WEB, à des caméras I.P. ou autres dispositifs Ethernets accessibles (potentiellement!) depuis Internet. 1 Réseau BLEU, relié à des dispositifs «Wifi» ou pouvant servir de seconde D.M.Z. Cette zone est spécialisée par le paramétrage possible de l adresse MAC ou I.P. des périphériques autorisés à s y connecter (selon la configuration d IPCop, bien sûr). Le paramétrage général d IPCop (réalisé en mode serveur WEB par exemple) permet de gérer les flux autorisés entre ces différents zones/réseaux, et les exceptions. A son installation IPCop fournit un paramétrage standard, bien souvent suffisant et totalement fonctionnel. Il faut noter que les versions initiales d IPCop ne géraient que les réseaux ROUGE et VERT.

8 Installation et configuration d IPCop dans un environnement Windows 3/6/ TOPOLOGIE Figure 1 - Topologie du projet CONFIGURATION Machine Adresse IP Type de carte Server VMNET2 Réseau VERT IPCop VMNET2 Réseau VERT Bridged Réseau ROUGE Client XP Fournit DHCP VMNET2 Réseau VERT OBJECTIFS Les objectifs de ce projet sont aussi simples qu évidents : Sécuriser notre réseau via IPCop. Bloquer l accès à certains sites (Facebook, Youtube, le P2P) pour tous les utilisateurs de notre réseau à l exception des membres de la direction.

9 Installation et configuration d IPCop dans un environnement Windows 3/6/ WINDOWS SERVER 2008 R2 (ENTREPRISE EDITION) INSTALLATION Figure 2 - L'installation du serveur peut commencer L installation de Microsoft Windows Server 2008 R2, ne présente aucune difficulté. Néanmoins, pensez à changer le nom (dans notre cas VMSRV2k8), et faites les différentes mises à jour. Une fois cela fait, nous allons changer le type de carte réseau afin de mettre notre serveur dans le Réseau VERT, puis nous allons faire l Active Directory. L ACTIVE DIRECTORY : INSTALLATION ET CONFIGURATION Faites Démarrer, puis Exécutez, et enfin taper DCPROMO.exe, voici quelques captures qui vous montrerons la configuration de l Active Directory. Voyez, la figure 3, nous n allons pas choisir une forêt existante, puisque WSRV2k8 est censé être le premier serveur de notre réseau par conséquent il n y a pas de forêt. Figure 3 - Nous allons donc créer un domaine dans une nouvelle forêt A la prochaine étape, nous allons définir le Nom de domaine complet du nouveau domaine racine de forêt (FQDN, en anglais) : ipcop.com.

10 Installation et configuration d IPCop dans un environnement Windows 3/6/ Figure 4 - FQDN: ipcop.com Figure 5 - Nom de domaine NetBIOS Figure 6 - Niveau fonctionnel de la forêt: Windows 2000

11 Installation et configuration d IPCop dans un environnement Windows 3/6/ Figure 7 - Niveau fonctionnel du domaine : Windows 2000 natif Figure 8 - On active le serveur DNS DNS : CREATION D UNE ZONE DE RECHERCHE INVERSEE Allez dans les outils d administration, et rechercher «DNS» ouvrez le, et créer une zone de recherche inversée, comme ci-dessous : Figure 9 - Création d'une nouvelle zone

12 Installation et configuration d IPCop dans un environnement Windows 3/6/ Figure 10 - On choisit la Zone principale Figure 11 - On renseigne la zone de réplication

13 Installation et configuration d IPCop dans un environnement Windows 3/6/ Figure 12 - On sélectionne l'ipv4 Figure 13 - On renseigne le Réseau VERT

14 Installation et configuration d IPCop dans un environnement Windows 3/6/ Figure 14 - Nous n'autorisons que les mises à jours dynamiques sécurisées Voilà nous venons de terminer l installation de l Active Directory et avons créé notre zone de recherche inversée, nous allons donc pouvoir commencer l installation d IPCop. IPCOP : INSTALLATION ET PREMIERE CONFIGURATION Figure 15 - L'accueil d'ipcop

15 Installation et configuration d IPCop dans un environnement Windows 3/6/ L installation d IPCop va enfin pouvoir commencer Si vous faites le projet avec des machines virtuelles assurez-vous de disposer deux cartes réseaux. Figure 16 - On sélectionne la langue Française Sélectionnez la source de votre installation : CDROM, clé USB, http ou ftp. Figure 17 - Dans notre cas il s'agit d'un CDROM

16 Installation et configuration d IPCop dans un environnement Windows 3/6/ Nous ne disposons pas de support de sauvegarde, donc nous allons passer l étape! Figure 18 - Passons cette étape Pour la prochaine étape, nous allons laisser IPCop chercher les interfaces réseaux de notre machine : Figure 19 - IPCop travaille pour nous

17 Installation et configuration d IPCop dans un environnement Windows 3/6/ IPCop a bien détecté nos interfaces réseaux : Figure 20 - Si IPCop a détecté la bonne interface, validez par OK Nous allons maintenant, attribuer l adresse IP à notre Réseau VERT, conformément au plan d adressage, nous allons lui dire que l adresse IP doit être : Figure 21 - Configuration du Réseau VERT

18 Installation et configuration d IPCop dans un environnement Windows 3/6/ PREMIERE CONFIGURATION D IPCOP L assistant d installation nous propose de configurer différents éléments : disposition du clavier, fuseau horaire, l architecture (le nombre de réseaux), la configuration du réseau ROUGE, la configuration du serveur DNS et de la passerelle ainsi que le DHCP, nous allons devoir aussi mettre des mots de passe. Figure 22 - Interface du clavier Figure 23 - Choix du fuseau horaire

19 Installation et configuration d IPCop dans un environnement Windows 3/6/ Nous allons à présent renseigner le nom de la machine et à la prochaine étape le domaine : ipcop.com. Figure 24 - Nom de l'hôte Notre infrastructure ne comporte pas de RNIS, nous pouvons nous permettre de le désactiver. Figure 25 - Désactivation du RNIS

20 Installation et configuration d IPCop dans un environnement Windows 3/6/ Nous allons maintenant paramétrer IPCop pour notre réseau : Figure 26 - Le panneau de configuration d'ipcop Nous allons changer le type de configuration réseau, en effet vous pouvez voir en haut de la figure 26, que la configuration actuelle est GREEN (RED is modem/isdn), puisque nous voulons un réseau VERT et un réseau ROUGE. Figure 27 - On sélectionne l'option GREEN + RED

21 Installation et configuration d IPCop dans un environnement Windows 3/6/ Nous allons attribuer une interface réseau à notre Réseau ROUGE. Figure 28 - Attribution de la carte réseau pour le Réseau ROUGE Nous allons maintenant, configurer l adresse IP du réseau ROUGE en lui attribuant une adresse IP statique juste derrière la box, dans notre cas (pensez à vérifier si l adresse est disponible en faisant un ping). Figure 29 - Configuration de l'adresse IP pour le réseau ROUGE

22 Installation et configuration d IPCop dans un environnement Windows 3/6/ Nous allons maintenant configurer le DNS de l IPCop : DNS Primaire correspond à l adresse de notre box. DNS Secondaire correspond au serveur DNS de notre FAI, dans notre cas, SFR, pour le trouver, ouvrez sur une machine Windows, CMD puis faites un nslookup Figure 30 - Résultat de la commande nslookup La passerelle sera celle de notre box, soit Figure 31 - Configuration du DNS

23 Installation et configuration d IPCop dans un environnement Windows 3/6/ A présent, nous allons configurer notre serveur DHCP. Dans notre cas, la première adresse sera , afin que des périphériques comme les imprimantes puissent avoir une adresse IP fixe. La dernière adresse sera , l adresse sera l adresse de diffusion. Le bail DHCP a été fixé, à 480 min (soit une journée de travail). Figure 32 - Configuration du DHCP à activer ou non Nous allons devoir définir une série de mot de passe, dans notre cas, nous avons mis le même à chaque fois : Eclipse33. Figure 33 - Ouverture de la session d'ipcop

24 Installation et configuration d IPCop dans un environnement Windows 3/6/ ADMINISTRATION D IPCOP Désormais, nous avons terminé avec la machine IPCop, en effet nous l administrer via l interface Web. Rendez-vous sur votre serveur, ouvrez Internet Explorer (il gère mieux les problèmes de certificats) et tapez l adresse : avec le port 445 (IPCop nous le précise lors de l installation). Soit : :445 ou Figure 34 - L'écran de l'interface Web Système : Cette section regroupe tous les utilitaires systèmes : mise à jour, accès SSH, modification du mot de passe, sauvegarde etc. Etat : regroupant les résumés de l état système ainsi que des outils de surveillance graphique : services actifs, utilisation de mémoire, du processeur, du disque dur etc. Réseau : Cette section n est utile que si vous avez connecté directement un modem à l interface rouge (en non un routeur/modem) dans ce cas elle vous permet de paramétrer directement le modem. Services : Vous retrouvez ici les options de paramétrages des différent services installé sur le pare feu. Bien sûr au plus vous ajoutez de plugins, au plus cette interface sera fournie. Par défaut vous y trouverez : serveur mandataire (serveur proxy), serveur DHCP, serveur DNS Dynamique, serveur de temps, fonction de lissage de trafic etc. Pare feu : voici la section dédiée au paramétrage fin du firewall : transfert de ports, accès externe, option du pare feu etc. RPVs : Cette section vous permet de créer un VPN (réseau privé virtuel) entre deux firewalls IPCOP. Journaux : Configuration des journaux, Résumé des journaux, Journaux du serveur mandataire, Journaux du pare-feu, Journaux IDS si ce dernier est actif et Journaux Système.

25 Installation et configuration d IPCop dans un environnement Windows 3/6/ Cliquez sur connexion : Identifiant : admin Mot de passe : Eclipse33 Figure 35 - Connectez-vous INSTALLATION DES PLUGINS Si vous faites ce projet en machine virtuelle, vous pouvez faire un glisser/déposer pour copier les plugins ainsi que PuTTY et WinSCP sur le serveur (ceci est faisable uniquement si vous avez installé VMWare Tools). ACTIVATION DU SSH Allez dans «Système» puis «Accès SSH», et cocher les cases suivantes : Figure 36 - Activation du SSH Une fois enregistré, nous pourrons ouvrir une session depuis notre serveur vers l IPCop via le SSH, grâce à PuTTY et WinSCP.

26 Installation et configuration d IPCop dans un environnement Windows 3/6/ CONFIGURATION DE PUTTY ET WINSCP WINSCP WinSCP nous servira à créer le dossier plugins dans /var/ipcop. Dans ce projet, nous avons téléchargé la version portable du logiciel, configurez-le ainsi : Figure 37 - Configuration de WinSCP Cliquez sur Login, un avertissement s affichera alors à l écran, si vous faites confiance à l hôte, cliquez sur yes: Figure 38 - Clé SSH

27 Installation et configuration d IPCop dans un environnement Windows 3/6/ Nous allons maintenant créer notre dossier plugins, par défaut vous arrivez dans le dossier root Figure 39 - Première connexion à WinSCP Double cliquez sur les deux «..» afin de remonter au dossier parent, puis rendez-vous dans le dossier var puis ipcop. Pressez la touche F7 afin de créer un nouveau dossier, renommez-le en plugins et attribuez lui tous les droits soit en cochant toutes les cases ou en tapant 7777 dans le champ octal. Copiez-y les plugins. Figure 40 - Création du dossier et définition des droits

28 Installation et configuration d IPCop dans un environnement Windows 3/6/ Figure 41 - Copie des plugins PUTTY A l instar de WinSCP, configurez PuTTY, en renseignant l adresse IP de l IPCop et le port (222). Acceptez de nouveau le message d avertissement. Puis connectez-vous de la même manière que si vous étiez sur la machine IPCop. Figure 42 - Ouverture d'une session avec PuTTY INSTALLATION DES PLUGINS Rendez-vous au dans le dossier plugins en tapant ceci : cd /var/ipcop/plugins ADVANCED PROXY La première étape consiste à extraire Advanced Proxy, pour se faire tapez le commande suivante: tar -xzf ipcop-advproxy tar.gz Une fois terminé, nous allons pouvoir installer Advanced Proxy, via la commande : ipcop-advproxy/install URLFILTER La première étape consiste à extraire URLFilter, pour se faire tapez le commande suivante: tar -xzf ipcop-urlfilter tar.gz Une fois terminé, nous allons pouvoir installer URLFilter, via la commande : ipcop-urflilter/install

29 Installation et configuration d IPCop dans un environnement Windows 3/6/ P2PBLOCK Tapez la commande suivante : Tar xvfz p2pblock_ipcop_ tar.gz Une fois l archive extraite, allez dans le dossier p2pblock (cd p2pblock), puis installez le plugin grâce à la commande :./install CONFIGURATION DE P2PBLOCK Allez dans «Services» puis dans l onglet «P2PBlock» et bloquer tout. Voilà nous avons fini de configurer P2PBlock. Figure 43 - P2PBlock CONFIGURATION D URLFILTER Allez dans «Services» puis dans «Filtre D URL», celui-ci nous propose de bloquer certaines catégories de sites : Figure 44 - Les catégories d'urlfilter C est dans cet onglet que va intervenir la Blacklist de l Université de Toulouse que nous avons téléchargé. Descendez dans la page et trouver Maintenance du Filtre d URL, puis dans Mise à jour de la Blacklist cliquez sur Parcourir, pensez à cocher la case activer la mise à jour automatique.

30 Installation et configuration d IPCop dans un environnement Windows 3/6/ Figure 45 - Chargement de la Blacklist Voici ce que l ajout de la Blacklist a apporté à notre URLFilter et les catégories que nous avons bloqué pour ce projet : Figure 46 - La Blacklist a rendu notre URLFilter encore plus intransigeant N.B : Pensez à activer le Proxy dans Proxy Avancé, nous allons voir ça dans quelques instants. CONFIGURATION D ADVANCDED PROXY CONFIGURATION DU PROXY Pour pouvoir accéder à Internet, les utilisateurs de notre réseau devront passer par le proxy afin de profiter d Internet. Nous allons donc activer le proxy : Pensez à cocher et modifier les options suivantes : Cochez «activé sur Green». Cochez «Mode transparent Green». Port du serveur proxy : Langues des messages d erreurs : French. Figure 47 - Activation du Proxy

31 Installation et configuration d IPCop dans un environnement Windows 3/6/ Par ailleurs plus loin dans la page, pensez à activer le Filtre D URL que nous avons créé auparavant. Figure 48 - Activation du Filtre D'URL Notre réseau est désormais sécurisé! En effet les utilisateurs devront passer par le proxy et n aurons pas accès aux catégories de site que nous avons bloqué. PERSONNALISATION DU MESSAGE D ERREUR OU REDIRECTION Lorsqu un utilisateur tente d accéder à un site Internet bloqué, IPCop génère un message, nous pouvons soit le personnaliser ou rediriger l internaute vers une page Internet spécifique. Personnalisation du message : Message ligne 1 : Accès refusé Message ligne 2 : L accès à la page demandé a été refusé Message ligne 3 : Si vous pensez qu il s agit d une erreur veuillez contacter l administrateur Ce qui donne : Figure 49 - Personnalisation du message Figure 50 - Adieu Facebook!!! Notez que la catégorie du site bloqué est renseigné, pour ce faire regarder la figure 49. Tentons la redirection Figure 51 - Ajouter l'url que vous voulez dans "Rediriger vers cette URL"

32 Installation et configuration d IPCop dans un environnement Windows 3/6/ Ce qui donne : Figure 52 - Observez bien que l'adresse est restée Nous avons presque fini le projet, il faut désormais trouver un moyen pour que la direction ne soit pas bloquée par les mesures de sécurité. AUTORISER DES UTILISATEURS A AVOIR UN ACCES TOTAL A INTERNET Nos plugins nous permettent d effectuer un filtrage, donc nous allons pouvoir donner un accès total à certains utilisateurs. Dans cette partie, nous verrons le cas avec URLFilter, et Advanced Proxy. C est parti. FILTRAGE D ACCES A INTERNET AVEC URLFILTER Effectivement, URLFilter peut permettre à certains utilisateurs d avoir un accès total à Internet, sous une seule et unique condition. Laquelle? Il faut que les utilisateurs à qui nous voulons donner un accès à Internet sans restrictions disposent d une adresse IP fixe. C est simple et efficace! Ceci peut être suffisant si dans votre infrastructure, de tels utilisateurs ne sont pas nombreux. Figure 53 - On ajoute les adresses non filtrées, dans notre cas, un des membres de la direction à l adresse Voici le résultat : Figure 54 - Ça fonctionne

33 Installation et configuration d IPCop dans un environnement Windows 3/6/ FILTRAGE D ACCES A INTERNET AVEC ADVANCED PROXY Advanced Proxy nous propose plusieurs types d identifications pour l accès à Internet. Citons trois d entreelles : Locale Windows LDAP (MS Active Directory) Malheureusement, dans notre projet nous ne pourrons utiliser que l identification locale, en effet les identifications basées sur Windows et Active Directory sont trop restrictives, soit l utilisateur a un accès à Internet ou alors il n aura pas accès à Internet du tout. Heureusement il nous reste, l identification locale Si vous avez beaucoup de comptes à bloquer peut-être serait-il judicieux de mettre en place le filtrage vu précédemment. Figure 55 - L'authentification locale Cliquez sur Gestion des utilisateurs afin de créer les comptes. LES DIFFERENTS TYPES DE COMPTE L identification locale comporte trois types de compte : Standard : le paramètre par défaut de tous les utilisateurs. Tous auront les restrictions appliquées à ce groupe. Etendu : utiliser ce groupe pour les utilisateurs non restreints. Les membres de ce groupe outrepasseront les restrictions de temps et de filtre. Désactivé : les membres de ce groupe sont bloqués. Ceci peut être utile si vous souhaitez désactiver un compte temporairement sans perte du mot de passe. CREATION DES COMPTES Cliquez sur Gestion des utilisateurs, vous arriverez sur cette page : Figure 56 - Création des comptes

34 Installation et configuration d IPCop dans un environnement Windows 3/6/ Nous allons créer deux comptes : Compta o Nom d utilisateur : compta o Mot de passe : eclipse33 o Groupe : Standard Direction o Nom d utilisateur : direction o Mot de passe : Eclipse33 o Groupe : Etendu LORSQUE VOUS AVEZ FINI DE CREER VOS COMPTES, VOUS DEVEZ REDEMARRER IPCOP POUR QUE LES MODIFICATIONS SOIENT PRISES EN COMPTES. IL EN VA DE MEME POUR SI VOUS SUPPRIMEZ OU MODIFIEZ UN COMPTE. CHANGEMENT DU MOT DE PASSE POUR L ACCES WEB Les utilisateurs peuvent changer leur mot de passe s ils le souhaitent. L interface est accessible en entrant cette URL : Dans notre cas Figure 57 - Changement du mot de passe Cette page de dialogue Web, nécessite le nom d utilisateur, l ancien mot de passe, le nouveau de passe ainsi que la confirmation du nouveau mot de passe.

35 Installation et configuration d IPCop dans un environnement Windows 3/6/ TESTS CONNEXION AVEC LE COMPTE COMPTA Ouvrez votre navigateur Internet, et identifiez-vous avec le compte Compta : Figure 58 - Fenêtre de connexion pour l'accès à Internet TEST DU FILTRAGE Une fois connecté, allez sur un des sites interdits, par exemple, Figure 59 - URLFilter fonctionne

36 Installation et configuration d IPCop dans un environnement Windows 3/6/ CONNEXTION AVEC LE COMPTE DIRECTION De la même façon qu avec le compte Compta, connectez-vous avec le compte Direction : Figure 60 - La Direction a bien accès à Facebook ENVOI/RECEPTION DE COURRIEL Nous allons dans un premier temps, essayer l envoie d un . Figure 61 - Envoi d'un courriel On s assure que le destinataire, le reçoit bien : Figure 62 - Notre destinataire a bien reçu le courriel

37 Installation et configuration d IPCop dans un environnement Windows 3/6/ Nous allons lui répondre, regardons si la réception fonctionne aussi : Figure 63 - Ça fonctionne URLFilter, ne bloque pas l envoi/réception de courriel. Nous sommes heureux tout fonctionne comme nous le voulons! POUR ALLER PLUS LOIN BLOQUER L INSTALLATION DE LOGICIELS INDESIRABLES En effet, il n est pas rare d arriver sur la machine d un utilisateur, et de constater une prolifération de logiciels indésirables et que celui-ci se demande pourquoi celle-ci rame Deux solutions : Sans IPCop nous pouvons corriger ce problème, il suffit que l utilisateur ne soit pas administrateur de sa machine. Avec IPCop et URLFilter, nous pouvons bloquer les fichiers exécutables, compressés, et bloquer les fichiers audio/vidéo. L UTLISATEUR N EST PAS ADMINISTRATEUR DE SA MACHINE Voici la procédure : Faites : Démarrer Outils d administration Utilisateurs et ordinateurs Active Directory. Déployez votre domaine, dans notre cas, ipcop.com, puis cherchez le conteneur Users. Puis faites un clic droit : Figure 64 - Création d'un nouvel utilisateur / Groupe J avais créé au préalable, l utilisateur compta et le groupe Grp_Compta, nous allons donc voir la démarche avec l utilisateur direction et le groupe Grp_Direction, qui lui sera administrateur de la machine.

38 Installation et configuration d IPCop dans un environnement Windows 3/6/ CREATION DU COMPTE Figure 65 - Création de l'utilisateur Figure 66 - Définition du mot de passe Dans cet exemple, nous avons décidé que le mot de passe n expirait jamais et que l utilisateur ne pouvait pas le changer. Libre à vous de le modifier à votre convenance. CREATION DU GROUPE De la même façon nous allons créer le groupe : Grp_Direction. Figure 67 - Création du groupe

39 Installation et configuration d IPCop dans un environnement Windows 3/6/ DEFINITION DES RELATIONS Nous allons définir les relations suivantes pour nos utilisateurs : - Compta : membre de Grp_Compta, Utilisateurs du domaine. - Direction : membre de Grp_Direction, Administrateurs, Administrateurs de l entreprise, Utilisateurs du domaine. Figure 68 - Cliquez sur "Ajouter à un groupe" Commencez à taper le début du nom du groupe, comme l illustre la figure 68, puis cliquez sur Vérifier les noms: Figure 69 - Ajoutons des groupes

40 Installation et configuration d IPCop dans un environnement Windows 3/6/ En cliquant sur Vérifier les noms, la fenêtre suivante apparaîtra : Figure 70 - Sélectionnez le(s) groupe(s) Pour l utilisateur Direction, et uniquement pour lui, nous allons dire qu il appartient aux groupes Administrateurs suivants : Figure 71 - Les groupes Administrateurs à sélectionner Nous allons attribuer des affiliations au groupe Grp_Direction : Figure 72 - Les affinités du Grp_Direction

41 Installation et configuration d IPCop dans un environnement Windows 3/6/ Pour l utilisateur Compta, nous devons obtenir ceci : Figure 73 - Affiliation de l'utilisateur Compta TESTS Ouvrez une session, sur la machine client, avec le compte Compta. Allez sur Clubic et télécharger un fichier quelconque, dans notre cas, il s agit d Avast. Lancez l installation, et observer : Figure 74 - L'utilisateur n'a pas les droits requis, on a gagné!

42 Installation et configuration d IPCop dans un environnement Windows 3/6/ Même opération avec le compte Direction : Figure 75 - Ça fonctionne! L UTILISATEUR EST ADMINISTRATEUR DE SA MACHINE Allez dans Filtre D URL et cochez les options suivantes : Figure 76 - Voici ce que nous allons bloquer TEST POUR LE COMPTE DIRECTION Allez sur Clubic, puis télécharger un fichier quelconque, dans notre cas, il s agira de Mozilla Firefox. Figure 77 - Le compte Direction n'est pas restreint par notre politique

43 Installation et configuration d IPCop dans un environnement Windows 3/6/ TEST POUR LE COMPTE COMPTA Allez sur Clubic, puis télécharger un fichier quelconque, dans notre cas, il s agira de Google Chrome. Figure 78 - Le compte Compta ne peut pas télécharger des logiciels VERIFICATION DU NAVIGATEUR INTERNET Via Advanced Proxy, nous pouvons obliger les utilisateurs de notre réseau à utiliser certains navigateurs Internet plutôt qu un autre. Figure 79 - Vérification du navigateur Nous n avons autorisé qu Internet Explorer et Windows Update, afin que nos machines puissent faire les mises à jour. Ouvrez une session sur la machine XP avec le compte Direction, puis installez-y Mozilla Firefox. Une fois installé, exécuté le logiciel, et identifiez-vous. Figure 80 - Authentification Firefox

44 Installation et configuration d IPCop dans un environnement Windows 3/6/ AVEC LE COMPTE DIRECTION Figure 81 - Le compte Direction peut utiliser un navigateur différent d'internet Explorer... AVEC LE COMPTE COMPTA Figure Pas le compte Compta

45 Installation et configuration d IPCop dans un environnement Windows 3/6/ DETECTION DES INTRUSIONS Nous pouvons détecter les intrusions soit sur le Réseau ROUGE et/ou sur le Réseau VERT, pour cela allez dans Systèmes puis Détection des intrusions. Cochez les options que vous souhaitez, puis faites Enregistrer et ensuite Appliquer maintenant. Figure 83 - La détection des intrusions est activée JOURNAUX Nous allons aborder une partie importante pour un pare-feu : les journaux ou logs. En effet, ces retours d informations permettent d analyser quels sont les attaques, quand ont-elles lieu, voire même d arriver à identifier leur origine, le simple fait de cliquer sur l adresse IP soupçonné lance un whois. IPCop nous propose plusieurs journaux : Journaux du serveur mandataire Journaux du pare-feu Journaux IDS Journaux du Filtre D URL Journaux du Système CONFIGURATION DES JOURNAUX Nous pouvons choisir de les classer par ordre chronologique inversé, le nombre de lignes par page, la durée de conservation, le niveau de détail, etc. Figure 84 - Configuration des journaux

46 Installation et configuration d IPCop dans un environnement Windows 3/6/ EXEMPLE : JOURNAUX DU PARE-FEU Figure 85 - Journaux du pare-feu Figure 86 - Réalisation d'un whois ETAT DU SYSTEME En allant dans Etat puis Etat du système, nous pourrons vérifier quels services sont actifs, l espace disque disponible, la mémoire utilisée, les modules chargés. Nous ne pourrons rien modifier ici.

47 Installation et configuration d IPCop dans un environnement Windows 3/6/ Figure 87 - Etat du système

48 Installation et configuration d IPCop dans un environnement Windows 3/6/ CONCLUSION Tout au long de ce projet, nous avons pu voir comment installer et configurer IPCop dans un environnement Windows. Pour ma part, j ai découvert une solution pare-feu très intéressante et adaptable à différents types de réseaux, ceci est dû à la petite configuration requise. Les plugins d IPCop que nous avons ajoutés, le rende encore plus performant. De plus la communauté d IPCop est bien présente, alors en cas de problème, faites des recherches sur Internet, votre problème ne restera pas sans réponse. Il existe encore bien d autres plugins pour IPCop, libre à vous de les essayer. Le seul problème, que j ai pu rencontrer c était d effectuer le filtrage avec l Active Directory A voir donc. IPCop possède bon atout par rapport à la solution de Microsoft (Forefront TMG). Du point de vue configuration, le prix aussi, en effet pour installer Forefront, il vous faudra une machine en 64 bits, un Windows Server 2008 R2, Forefront et sa licence (1200 ) IPCop, quant à lui est gratuit.

49 Installation et configuration d IPCop dans un environnement Windows 3/6/ ANNEXES Quelques sources :