Version 5.0. Manuel d'utilisation. Manuel d'utilisation

Transcription

1 Version 5.0 Manuel d'utilisation Manuel d'utilisation

2 Copyright Danware Data A/S. Tous droits réservés. Certaines parties du logiciel sont concédées sous licence par d'autres éditeurs. Veuillez envoyer vos commentaires à l'adresse suivante : Danware Data A/S Bregnerodvej 127 DK-3460 Birkerod Danemark Fax : Int info@netop.com Internet : 2

3 NetOp et le cerf-volant rouge sont des marques déposées de la société Danware Data A/S. Tous les autres produits mentionnés dans ce document sont des marques déposées de leurs fabricants respectifs. Danware Data A/S décline toute responsabilité pour les dommages directs ou indirects résultant de l utilisation de ce document. Le contenu de ce document est susceptible d être modifié sans préavis. Danware Data A/S conserve les droits d'auteur de ce document. 3

4 Sommaire Sommaire 1 Introduction Fonctions Informations de contact 2 Installation...9 et désinstallation Configuration requise Installation sur serveur Installation sur les ordinateurs clients ECLIENT.EXE Outil de configuration Installation minimum Installation complète Déploiement sur les clients via A.D Créer des groupes Ajouter des utilisateurs au groupe Configurer une règle de groupe Netfilter désactivé Terminer Installation de Business Desktop Masquer l'icône de la barre d'état Désinstallation de NetOp Netfilter Désinstallation sur les ordinateurs clients Désinstallation de ECLIENT.EXE Désinstallation après installation minimum Désinstallation après une installation complète Désinstallation du serveur Mises à jour automatiques avec NetUpdate 3 Configuration...27 et supervision du serveur Connexion Navigation dans NetOp Netfilter Admin Rubrique Filtre État Listes d URL Liste Toujours autoriser Liste Toujours bloquer Catégories Pair à pair Blocage de chat Sensibilité Paramétrage Général Paramétrage du réseau Analyse MP Fichiers volumineux Nom fichier/ext Paramétrage du journal Segments ACL Rubrique Avancé Paramètres de Netfilter Admin Commandes client Page de blocage Cache Programmation du temps Comptes & privilèges Rubrique Statistiques Graphiques Rubrique Proxy Proxy Netfilter 4

5 Sommaire Proxy d accès Inet Netfilter Dépannage Listes noires 4 Gestion Page de connexion Filtres État URL Catégories Pair à pair Conversation Sensibilité Paramétrage Paramétrage du réseau Segments Liste de contrôle d'accès Proxy Statistiques Paramètres avancés Commandes client interactives Paramètres de Netfilter Admin Page de blocage Cache Programmation du temps Comptes & privilèges Index

6 Introduction 1 Introduction NetOp Netfilter Admin est un outil d administration et de maintenance pour les serveurs NetOp Netfilter. NetOp Netfilter est un filtre Internet avancé développé par Danware Data A/S. Si vous rencontrez des difficultés lors de l utilisation de ce produit, consultez tout d abord ce manuel d utilisation. Une assistance de dépannage supplémentaire est disponible sur help. netop.com dans une base de connaissances offrant des informations techniques détaillées. Votre fournisseur local NetOp se tient également à votre disposition pour vous indiquer comment exploiter au mieux votre produit NetOp. En dernier recours, vous pouvez soumettre une demande d assistance directement à l équipe d assistance NetOp en utilisant le formulaire Contacter le service d assistance technique disponible dans la section Assistance du site Web Nous nous efforcerons de vous fournir une solution le plus rapidement possible. Pour lire les pages d'aide de Netfilter Admin, reportez-vous à la rubrique Gestion. Pour des informations d assistance et de contact, reportez-vous à la page d informations de contact. Équipe d'assistance de NetOp 1.1 Fonctions La pornographie et les jeux de pari sont considérés comme faisant partie des secteurs à la croissance la plus rapide et les plus rentables sur Internet. Pour les entreprises, l accès facile à la pornographie, aux jeux de pari et à d autres contenus inappropriés à partir des ordinateurs de l entreprise peut impliquer une baisse de la productivité, une charge plus importante sur le réseau de l entreprise et un risque de harcèlement sexuel et de nuisance à l image de l entreprise. Les écoles et les bibliothèques, qui proposent aux élèves et aux utilisateurs un accès Internet, ont l obligation morale de protéger les mineurs contre les contenus inappropriés, ils doivent également garantir que l accès à Internet n est pas utilisé pour des violations du droit d auteur, entre autres pour les musiques, films et logiciels. En filtrant l accès Internet avec NetOp Netfilter, l utilisation inappropriée et illégale d Internet peut être considérablement réduite. NetOp Netfilter peut bloquer les contenus inappropriés sur Internet dans les catégories suivantes : Pornographie Jeux Rencontres Haine, racisme et discrimination Violence et humour vulgaire Activités dangereuses ou illégales Violations de droits d auteur (piratage) Le noyau de NetOp Netfilter est un algorithme de filtrage de contenu avancé, qui analyse les 6

7 Introduction images et le texte sur chaque page visitée. Si une page est jugée inappropriée, une page avec un avertissement disant que le contenu peut être inapproprié est affichée à la place. L administrateur peut spécifier si les utilisateurs peuvent poursuivre vers de telles pages ou s ils peuvent seulement retourner à la page précédente. Si un utilisateur choisit de poursuivre vers la page malgré l avertissement, il est enregistré dans un fichier journal. NetOp Netfilter peut aussi bloquer les programmes de conversation et de partage de fichiers pair à pair, bloquer les contenus audio et vidéo, bloquer ou consigner la récupération des fichiers MP3 et des fichiers volumineux, par exemple les films et les logiciels. De plus, il est possible de bloquer le téléchargement de fichiers en fonction de leur nom/extension. NetOp Netfilter fonctionne comme serveur proxy pour le trafic HTTP. Ceci garantit la compatibilité avec presque tous les navigateurs Web sur tous les systèmes d exploitation. NetOp Netfilter peut être utilisé en tant que tel, comme le montre la figure 1, ou en association avec un serveur proxy externe, comme le montre la figure 2. La possibilité de combiner NetOp Netfilter avec un serveur proxy tiers assure une intégration sans heurts de NetOp Netfilter dans un réseau existant. Figure 1 : Utilisation de NetOp Netfilter sans un serveur proxy tiers. Figure 2 : Utilisation de NetOp Netfilter avec un serveur proxy externe. 7

8 Introduction 1.2 Informations de contact Service client Une assistance technique, y compris les réponses aux questions les plus courantes, est disponible sur notre site Web : Informations de contact Adresse postale : Danware Data A/S Bregnerodvej Birkerød Danemark info@netop.com Site Web : 8

9 Installation et désinstallation 2 Installation et désinstallation L installation de NetOp Netfilter se fait en deux étapes. Premièrement, NetOp Netfilter doit être installé sur un serveur avec un accès Internet. Ensuite, les ordinateurs clients pour lesquels le trafic Internet doit être filtré doivent être configurés pour utiliser NetOp Netfilter comme serveur proxy. Configuration requise Installation sur serveur Installation sur les ordinateurs clients Désinstallation de NetOp Netfilter Mises à jour automatiques Masquer l'icône dans la barre d'état 2.1 Configuration requise Serveur Configuration minimale : UC compatible Pentium 700 MHz 128 Mo de RAM 50 Mo d espace libre sur le disque dur Microsoft Windows NT 4, Windows Server 2000/2003 toutes éditions Les besoins du serveur sont fonction du comportement des utilisateurs. Si les utilisateurs sont des utilisateurs ordinateurs, qui visitent principalement des sites n'ayant aucun lien avec des sites pornographiques et qui téléchargent rarement des fichiers volumineux, le nombre de requêtes par seconde qu ils produisent en périodes de charge de pointe peut être utilisé pour estimer la configuration du matériel du serveur, à l aide de la Figure 3. Si le nombre de requêtes par seconde est connu, par exemple si un proxy est déjà utilisé, ce chiffre peut être utilisé pour déterminer les conditions du serveur Netfilter. Si les chiffres ne sont pas connus, on peut supposer qu un utilisateur produit en moyenne 1 requête/seconde lorsqu il navigue sur Internet. Par exemple, si la charge de pointe correspond à 100 ordinateurs utilisés en même temps pour naviguer sur Internet, 100 requêtes/secondes sont produites. 1 requête/s est une moyenne pour une session complète. Les requêtes apparaissent en rafale, pouvant inclure plus de 50 requêtes sur une période de 1 à 2 secondes pour un seul utilisateur. Le serveur doit pouvoir gérer cette charge pour garantir un délai acceptable pour chaque utilisateur. UC (MHz) Requêtes/s Débit (Mops) Figure 3 : Performance à différentes vitesses UC. Comme la configuration matérielle dépend du comportement des utilisateurs, ces chiffres ne doivent être utilisés qu'à titre indicatif. Remarque : la Figure 3 est basée sur une estimation de 0% de réussites. En réalité, le nombre de réussites est généralement de 10 à 50 %. Un serveur doté d'un processeur donné pourra donc gérer une charge plus importante qu indiqué dans le tableau. 9

10 Installation et désinstallation Si la charge du réseau est plus importante que la charge qu un seul serveur peut gérer, il est nécessaire d utiliser plusieurs serveurs. Dans ce cas, les clients du réseau doivent être configurés pour utiliser un serveur proxy différent, de manière à ce que le trafic soit réparti entre les serveurs. Comme la connexion Internet limite la bande passante disponible pour les utilisateurs, les conditions pour le serveur peuvent aussi être déterminées à l aide de la vitesse de la connexion Internet comparée à la colonne de débit dans la Figure 3. Il est important de noter que le filtre entraîne un délai. Pour garantir un délai acceptable pour chaque utilisateur, il est recommandé d'utiliser un serveur d'au moins 700 MHz. Clients En principe, tous les navigateurs pouvant utiliser un proxy HTTP sont pris en charge. Le logiciel de configuration client inclus peut configurer automatiquement les navigateurs suivants : Microsoft Internet Explorer 4 et supérieur Netscape Navigator og Communicator 4 Netscape 6 et supérieur et Mozilla Opera 5 et supérieur Le logiciel de configuration client prend en charge : Microsoft Windows 98, ME, NT 4, 2000, XP et Vista Linux Mac OS 2.2 Installation sur serveur Installation Pour installer le programme, cliquez sur le lien fourni par Danware. Vous pouvez sélectionner soit Exécuter soit Enregistrer. Si vous sélectionnez Exécuter, l'installation se lance aussitôt. Si vous sélectionnez Enregistrer, le fichier d'installation doit être activé avant de lancer l'installation. Le programme d installation vous guide à travers les étapes nécessaires à l installation de NetOp Netfilter. Quand l installation est terminée, NetOp Netfilter est installé comme service et est démarré automatiquement. Le port TCP par défaut que NetOp Netfilter utilise pour la communication du navigateur est Si un autre port est nécessaire, par ex. si le port 3128 est déjà utilisé par une autre application sur l ordinateur, ceci peut être facilement modifié avec le programme NetOp Netfilter Admin qui est décrit dans la section proxy Netfilter. Première exécution Avant que les clients sur le réseau soient configurés pour utiliser NetOp Netfilter, il faut vérifier que NetOp Netfilter est configuré correctement et peut accéder à Internet. Si le port pour la communication du navigateur n a pas été changé et si Internet Explorer est installé sur l ordinateur, il peut être facilement contrôlé avec l application NetOp Netfilter Test, montrée dans la figure 4. Lancez l'application et démarrez ensuite Internet Explorer en cliquant sur le bouton Démarrer Internet Explorer. Si NetOp Netfilter est configuré correctement, le navigateur affiche une page avec un message disant que NetOp Netfilter est installé correctement. Essayez de visiter une page sur Internet pour vérifier que vous pouvez vous connecter à Internet. 10

11 Installation et désinstallation Figure 4 : NetOp Netfilter Test. Vous pouvez aussi ouvrir un navigateur et régler sur le serveur proxy l adresse IP/nom de l ordinateur sur lequel NetOp Netfilter est installé et le numéro de port sur 3128 (sauf si un autre port a été choisi dans NetOp Netfilter Admin). Si le navigateur fonctionne sur le même ordinateur que NetOp Netfilter, il suffit d entrer hôtelocal comme nom d ordinateur. Dans la version française d Internet Explorer 5 et supérieure, choisissez le menu : Outils > Options Internet > Connexions > Paramètres LAN Cochez la case Utiliser un serveur proxy. Entrez l adresse IP/nom de l ordinateur de NetOp Netfilter dans le champ Adresse et 3128 dans le champ Port, comme indiqué dans la figure 5. Si le navigateur est ouvert sur le même ordinateur que NetOp Netfilter, entrez l adresse hôtelocal. La case Contourner le serveur proxy pour les adresses locales doit être décochée. Pour vérifier que NetOp Netfilter est installé et correctement configuré, entrez dans le champ Adresse du navigateur. Un NetOp Netfilter correctement configuré affiche un message disant que NetOp Netfilter est correctement installé. Vous pouvez aussi visiter une page Internet pour vous assurer que le serveur est correctement connecté à Internet. Si une page ne s affiche pas correctement, il est important de vérifier si la page fonctionne sans NetOp Netfilter dans un navigateur qui n est pas configuré pour utiliser NetOp Netfilter. Ceci doit être effectué pour s assurer que la page Internet n est pas temporairement hors ligne. 11

12 Installation et désinstallation Figure 5 : Configuration du proxy. Voir les rubriques : Configuration requise du serveur. 2.3 Installation sur les ordinateurs clients Le filtrage est activé en configurant les navigateurs Web pour qu ils utilisent le serveur NetOp Netfilter comme serveur proxy pour le trafic HTTP. Si les ordinateurs clients utilisent Microsoft Windows 98, ME, NT 4, 2000, XP ou Vista, cela peut être effectué avec ECLIENT ou Outil de configuration, qui vous permet aussi de configurer les restrictions de l interface utilisateur empêchant les utilisateurs de modifier les paramètres. Si vous utilisez une configuration de proxy automatique sur votre réseau, la manière la plus pratique d activer le filtrage sera de changer le port et l adresse proxy dans le script de configuration. Si vous avez accès à des outils pour une administration à distance des paramètres du navigateur, comme les règles ou Netscape Mission Control Desktop, vous pouvez aussi les utiliser. Si vous utilisez déjà un proxy sur votre réseau, mais pas une configuration proxy automatique (et si vous ne le souhaitez pas), vous pouvez aussi activer le filtrage en configurant NetOp Netfilter pour qu il fonctionne sur la même adresse et le même port que le proxy que vous utilisez actuellement, et déplacer votre proxy vers un autre port et/ou adresse (si vous souhaitez toujours l utiliser). De cette manière, vous n avez pas besoin de modifier les paramètres des ordinateurs clients. Voir les rubriques : Configuration requise du client, ECLIENT.EXE, Outil de configuration, Installation minimum, Installation complète, Déploiement sur les clients via Active Directory et Masquer l'icône dans la barre d'état ECLIENT.EXE ECLIENT.EXE peut être utilisé pour modifier les paramètres proxy d Internet Explorer. Il peut être utilisé dans un script de connexion comme alternative à un fichier.reg de l'outil de configuration. ECLIENT.EXE prend en charge Windows 98, ME, NT, 2000, XP et Vista. De plus, ECLIENT.EXE doit fonctionner sur les clients pour pouvoir utiliser la connexion du nom 12

13 Installation et désinstallation d utilisateur, le blocage pair à pair et le blocage de chat. Si ces fonctions ne sont pas nécessaires, ECLIENT.EXE n a pas besoin d être exécuté sur les clients. Remarque : si la connexion du nom d utilisateur est activée, ECLIENT.EXE doit être exécuté sur tous les clients ou ECLIENT.EXE doit être exécuté avec le paramètre /sharedip et l assistance de l IP partagé doit être activée dans Netfilter Admin, car sinon l accès Internet deviendra très lent pour les clients n exécutant pas ECLIENT.EXE. N activez pas la connexion du nom d utilisateur avant que ECLIENT.EXE soit exécuté sur tous les clients. Si vous avez un réseau mixte avec, par exemple, des ordinateurs Windows 95, 98, XP et Macintosh, vous pouvez quand même utiliser la connexion du nom d utilisateur pour les ordinateurs pris en charge. Néanmoins, il est important que vous utilisiez /sharedip. Ainsi, l'accès Internet ne sera pas ralenti pour les clients n'exécutant pas ECLIENT.EXE. Les paramètres suivants peuvent être utilisés avec ECLIENT.EXE : / Nom ou adresse IP du serveur à utiliser pour la connexion du nom unamehost=addr d utilisateur. Si Netfilter est installé sur un seul serveur, c est l adresse de celui-ci qui doit être spécifié ici. Si la connexion du nom d utilisateur n est pas utilisée, ce paramètre peut être omis. /blockhost=addr Nom ou adresse IP du serveur dont les paramètres de blocage de chat et pair à pair doivent être récupérés. Si Netfilter est installé sur un seul serveur, c est l adresse de celui-ci qui doit être spécifié ici. Ce paramètre peut être omis si le blocage du chat et pair à pair n est pas utilisé. /proxyhost=addr Nom ou adresse IP du serveur à utiliser pour le filtrage. Si Netfilter est installé sur un seul serveur, c est l adresse de celui-ci qui doit être spécifié ici. Si ce paramètre n est pas spécifié, ECLIENT.EXE ne modifiera pas les paramètres proxy. /proxyport=nnnn Numéro de port du port filtre de Netfilter. Si ce paramètre n est pas spécifié, on suppose que le port est 3128, qui est le paramètre par défaut de Netfilter. /script=url Adresse du script proxy. Utilisez ce paramètre si les paramètres proxy sont contrôlés par un script. /autodetect Utilisez la détection proxy automatique. /bypass=list Liste d adresses pour lesquelles Netfilter doit être utilisé. Le trafic vers ces adresses n est pas dirigé à travers Netfilter, c est-à-dire qu il doit être possible pour les clients d accéder directement aux adresses spécifiées. Les adresses de la liste sont séparées par des points-virgules ( ; ). /local Précisez ce paramètre si Netfilter doit aussi être utilisé comme proxy pour le trafic vers les adresses sur le réseau local /disableproxy Précisez ce paramètre pour désactiver l utilisation d un proxy, par exemple lors de la désinstallation. /nolock Si ce paramètre est spécifié, l interface utilisateur pour modifier les paramètres proxy ne sera pas verrouillée, c est-à-dire que l utilisateur pourra toujours modifier les paramètres proxy (sauf si l interface utilisateur est verrouillée d une autre manière). /unlock Spécifiez ce paramètre pour déverrouiller l'interface utilisateur. Utilisé lors de la désinstallation. /sharedip Doit être spécifié si plusieurs utilisateurs partagent la même adresse IP. C est le cas si Citrix ou Terminal Services est utilisé ou s il y a un autre serveur proxy entre les utilisateurs et NetOp Netfilter. Si /sharedip n est pas 13

14 Installation et désinstallation spécifié dans ces cas, le trafic ne sera pas correctement connecté. La connexion du nom d utilisateur et l assistance pour les adresses IP partagées doivent être activées comme décrit dans la section Paramétrage du journal. Remarque : lorsque /sharedip est utilisé, une connexion correcte du trafic nécessite que tous les utilisateurs utilisent Internet Explorer comme navigateur. ECLIENT.EXE peut être exécuté à partir du script de connexion des utilisateurs. Pour cela, le programme doit d abord être copié vers un emplacement du réseau qui est accessible à tous les clients. ECLIENT.EXE se trouve sous Client dans le dossier dans lequel NetOp Netfilter a été installé, généralement : \Program Files\Danware Data\NetOp Netfilter\ Business\Client Quand ECLIENT.EXE a été copié vers un emplacement approprié, une ligne doit être ajoutée au script de connexion exécutant ECLIENT.EXE avec les paramètres souhaités, par exemple : \\myserver\files\eclient.exe /unamehost= / proxyhost= Remarque : le texte ci-dessus doit être placé sur une seule ligne. Le programme est désormais démarré à chaque fois qu un utilisateur se connecte et règle les paramètres proxy pour que le serveur spécifié soit utilisé comme proxy. Si des pare-feu locaux sont installés sur les clients, il est important que ceux-ci soient configurés pour permettre à ECLIENT.EXE de fonctionner comme serveur et d accéder à Internet. Remarque : les listes de programmes pair à pair et de chat devant être bloqués sont mise à jour toutes les demi-heures, c est-à-dire que jusqu à 30 minutes peuvent s écouler avant que les modifications effectuées avec le programme d administration deviennent actives sur tous les clients Outil de configuration Si vous souhaitez utiliser l outil de configuration pour configurer les ordinateurs clients, le programme peut être démarré dans le menu Démarrer : Démarrer> Programmes > NetOp Netfilter > Business > Outil de configuration Le programme vous guide à travers les étapes nécessaires pour configurer les paramètres proxy et les restrictions de l interface utilisateur. Comme montré dans la figure 6, vous aurez le choix entre Installation minimum à l aide du script du registre et Installation complète à l aide du programme d installation. 14

15 Installation et désinstallation Figure 6 : Choix du mode de configuration. Sélectionnez Installation minimum si vous souhaitez configurer les clients à l aide d un fichier. reg avec les paramètres de Microsoft Internet Explorer. Si les utilisateurs partagent un script de connexion, l installation minimum est la plus pratique, mais elle prend uniquement en charge Internet Explorer. Aucun logiciel n est installé sur les ordinateurs clients avec l installation minimum. Choisissez Installation complète si vous souhaitez configurer les clients à l aide d un programme d installation, qui doit être exécuté sur chaque ordinateur utilisant le filtrage. Le logiciel sera installé sur l ordinateur client corrigeant les paramètres des utilisateurs lorsqu ils se connectent, s ils dévient des paramètres choisis dans l outil de configuration. Ce logiciel configure aussi les navigateurs installés après l installation du filtre. Si vous souhaitez utiliser la connexion du nom d utilisateur, le blocage pair à pair et le blocage du chat, le programme ECLIENT.EXE doit être exécuté sur les ordinateurs clients. ECLIENT.EXE peut être exécuté à partir du script de connexion des utilisateurs. Appuyez sur Prochain quand le mode de configuration souhaité a été sélectionné. Les deux modes de configuration sont décrits en détails dans les sections suivantes Installation minimum On vous demandera tout d abord d entrer l adresse de l ordinateur sur lequel NetOp Netfilter est installé et le numéro de port utilisé par NetOp Netfilter. À moins que vous n'en ayez choisi un autre dans NetOp Netfilter Admin, le numéro de port par défaut est Saisissez cette information sur la page affichée dans la figure 7. Il est également possible de spécifier si la communication avec les adresses locales (c'est-à-dire d'autres ordinateurs sur l'intranet) doit être filtrée par NetOp Netfilter, ou encore si le trafic d'une liste de serveurs donnée ne doit pas être filtré (par exemple, votre propre serveur Web). Contourner Netfilter pour les adresses Hotmail doit être coché pour rendre possible l accès à Hotmail à partir d Outlook. Si l option est cochée, le trafic vers les adresses contenant hotmail et services.msn ne sera pas envoyé à travers Netfilter. Ceci permet d accéder à Hotmail à 15

16 Installation et désinstallation partir d Outlook, mais cela signifie aussi que les pages contenant ces adresses ne seront jamais analysées/bloquées par le filtre. Il n est pas nécessaire de contourner Netfilter pour ces adresses pour pouvoir accéder à Hotmail à partir des navigateurs. Figure 7 : Entrée des paramètres proxy. Avec une installation minimum, il n est généralement possible que de configurer les restrictions de l interface utilisateur pour les ordinateurs clients exécutant Windows 98 ou ME. Sur les ordinateurs exécutant Windows NT, 2000, XP ou Vista, seuls les paramètres proxy peuvent être configurés de cette façon. C est pourquoi la page de configuration des restrictions de l interface utilisateur, montrée dans la figure 8, ne doit être utilisée que pour configurer les clients exécutant Windows 98 et ME. Dans ce cas, vous pouvez spécifier sur cette page que l utilisateur ne doit pas pouvoir modifier les paramètres proxy dans Internet Explorer. De plus, il est possible de désactiver les outils de modification du registre (regedit et regedt32) pouvant aussi être utilisés pour modifier les paramètres proxy d Internet Explorer. Sous Windows 98 et ME, il est habituellement possible pour l utilisateur de se connecter sans spécifier un nom d utilisateur en appuyant sur Éch. quand le message de connexion s affiche. Ceci n est pas souhaitable quand les noms d utilisateur sont connectés. Pour vous assurer que l utilisateur se connecte avec un nom d utilisateur valide, l option Les utilisateurs doivent se connecter avec des noms d utilisateurs valides peut être cochée. La dernière étape dans l outil de configuration pour une installation minimum est la création d un fichier.reg avec la configuration choisie. La page correspondant à cette étape est montrée dans la figure 9. Ici, un nom pour le fichier.reg doit être entré. Puis appuyez sur Créer pour créer le fichier. L outil de configuration peut désormais être fermé avec le bouton Quitter. 16

17 Installation et désinstallation Figure 8 : Configuration des restrictions de l interface utilisateur. Figure 9 : Création d un fichier.reg. Le fichier.reg que l outil de configuration a créé doit désormais être utilisé pour mettre à jour les paramètres sur les ordinateurs clients. Si les utilisateurs partagent un script de connexion, vous pouvez mettre à jour les paramètres à partir du script. Ceci peut être effectué en insérant la commande regedit /s reg_file 17

18 Installation et désinstallation dans le script de connexion, où reg_file est le chemin d accès vers et le nom du fichier.reg. Vous pouvez aussi mettre à jour le registre manuellement pour un utilisateur en cliquant avec le bouton droit sur l icône du fichier.reg et en sélectionnant Fusionner Installation complète On vous demandera tout d abord d entrer l adresse de l ordinateur sur lequel NetOp Netfilter est installé et le numéro de port utilisé par NetOp Netfilter. À moins que vous n'en ayez choisi un autre dans NetOp Netfilter Admin, le numéro de port par défaut est Saisissez cette information sur la page affichée dans la figure 10. Il est également possible de spécifier si la communication avec les adresses locales (c'est-à-dire d'autres ordinateurs sur l'intranet) doit être filtrée par NetOp Netfilter, ou encore si le trafic d'une liste de serveurs donnée ne doit pas être filtré (par exemple, votre propre serveur Web). Contourner Netfilter pour les adresses Hotmail doit être coché pour rendre possible l accès à Hotmail à partir d Outlook. Si l option est cochée, le trafic vers les adresses contenant hotmail et services.msn ne sera pas envoyé à travers Netfilter. Ceci permet d accéder à Hotmail à partir d Outlook, mais cela signifie aussi que les pages contenant ces adresses ne seront jamais analysées/bloquées par le filtre. Il n est pas nécessaire de contourner Netfilter pour ces adresses pour pouvoir accéder à Hotmail à partir des navigateurs. Figure 10 : Entrée des paramètres proxy. Après avoir entré les paramètres proxy, il est possible de configurer les restrictions de l'interface utilisateur, voir figure 11. Ces restrictions empêchent l'utilisateur de pouvoir librement modifier les paramètres proxy et évitent ainsi le recours au filtrage. Sous Windows 98 et ME, il est habituellement possible pour l utilisateur de se connecter sans spécifier un nom d utilisateur en appuyant sur Éch. quand le message de connexion s affiche. Ceci n est pas souhaitable quand les noms d utilisateur sont connectés. Pour vous assurer que l utilisateur se connecte avec un nom d utilisateur valide, l option Les utilisateurs doivent se connecter avec des noms d utilisateurs valides peut être cochée. 18

19 Installation et désinstallation Figure 11 : Configuration des restrictions de l interface utilisateur pour Internet Explorer et Windows. Figure 12 : Désactivation de l icône dans la barre d état. Sur la page suivante, montrée dans la figure 12, l icône Netfilter de la barre d état peut être désactivée, par exemple pour éviter que les utilisateurs puissent voir que leur trafic Internet est analysé. Quand les restrictions de l interface utilisateur ont été configurées, le programme est prêt à créer un disque d installation. Ceci est effectué sur la page montrée dans la figure 13, où un emplacement doit être sélectionné et il faut spécifier quelle version de Windows est utilisée par les ordinateurs clients. 19

20 Installation et désinstallation Le support du disque d installation ne doit pas forcément être une disquette. Vous pouvez aussi choisir un autre emplacement pour les fichiers d installation, par exemple un lecteur en réseau accessible à partir des ordinateurs clients devant être configurés. Quand un emplacement a été choisi pour les fichiers, appuyez sur Créer pour créer le disque d installation. L outil de configuration crée alors les fichiers d installation nécessaires à l emplacement sélectionné. Pour configurer un ordinateur client, le fichier CLISETUP.EXE sur le disque d installation doit être exécuté sur l ordinateur. Remarque : sous Windows NT, 2000, XP et Vista, CLISETUP.EXE doit être exécuté avec les privilèges administrateur. Si CLISETUP.EXE est exécuté avec le paramètre /verysilent, aucune interface utilisateur n est affichée. Ceci peut être utilisé lors d une installation automatique, par exemple à partir d un script de connexion, mais sachez que le programme doit être exécuté avec des privilèges administrateur si le système d exploitation est Windows NT, 2000, XP ou Vista. Pour garantir que CLISETUP.EXE n est exécuté qu une fois, il peut être vérifié si l un des fichiers installés existe déjà sur l ordinateur, par exemple %ProgramFiles%\NetOp\Gestionnaire de configuration\ Configuration Manager.exe Pour désinstaller, CLISETUP.EXE doit être exécuté avec le paramètre /uninstall. Ceci peut être combiné avec /verysilent pour masquer l interface utilisateur. Figure 13 : Création du disque d installation Déploiement sur les clients via A.D. Cette section décrit comment utiliser les règles de groupe pour activer NetOp Netfilter pour les utilisateurs sélectionnés tout laissant les autres utilisateurs non filtrés dans un environnement Windows avec Active Directory pour la gestion des utilisateurs. NetOp Netfilter fonctionne comme un serveur proxy. Pour activer Netfilter pour un utilisateur, les navigateurs de cet utilisateur doivent être configurés pour utiliser Netfilter comme serveur 20

21 Installation et désinstallation proxy lors de l accès au Web. Les étapes indiquées ci-dessous permettent cela pour Microsoft Internet Explorer. Voir les rubriques : Installer sur des ordinateurs clients, Créer des groupes, Ajouter des utilisateurs au groupe, Configurer 'Netfilter Désactivé' Règle de groupe et Terminer Créer des groupes 1. Ouvrez Utilisateurs et ordinateurs d Active Directory, qui est accessible depuis le menu Démarrer. 2. Localisez le domaine contenant les utilisateurs dont le trafic Internet doit être filtré. Si des utilisateurs de plusieurs domaines doivent être filtrés, répétez les étapes ci-dessous pour chaque domaine. 3. Créez, dans ce domaine, deux groupes d utilisateurs : UtilisateursFiltrés et UtilisateursNonFiltrés. 4. Vous pouvez créer un groupe en cliquant avec le bouton droit de la souris sur le conteneur et en choisissant Créer > Groupe dans le menu contextuel. Le type de groupe doit être défini sur Sécurité et la portée sur Domaine local Ajouter des utilisateurs au groupe 1. Ajoutez tous les utilisateurs devant utiliser le proxy Netfilter à UtilisateursFiltrés et tous les autres utilisateurs à UtilisateursNonFiltrés. Vous pouvez ajouter des utilisateurs à un groupe en double-cliquant sur le groupe et en choisissant les membres dans l onglet Membres de la fenêtre de propriétés de groupe. en double-cliquant sur la personne à ajouter et en choisissant le groupe dans l onglet Membre de dans la fenêtre des propriétés d utilisateur, ou en choisissant les utilisateurs, en cliquant sur l un d eux avec le bouton droit et en choisissant Ajouter des membres à un groupe. Créer une règle de groupe Netfilter activé 2. Ouvrez la fenêtre des propriétés du domaine en cliquant avec le bouton droit sur le domaine et en choisissant Propriétés. Accédez à l onglet Règle de groupe. 3. Pour ajouter un nom de Règle de groupe : Cliquez sur Créer pour ajouter une nouvelle règle de groupe et nommez-la Netfilter activé. Ouvrez la fenêtre des propriétés de cette règle en cliquant sur le bouton Propriétés. Dans la fenêtre des propriétés, accédez à l onglet Sécurité. Choisissez le groupe Utilisateurs authentifiés et retirez la coche dans la colonne Autoriser pour Appliquer la règle de groupe. Cliquez sur Ajouter pour ajouter un nouveau groupe. Une nouvelle fenêtre s'ouvre. Choisissez le groupe UtilisateursFiltrés et appuyez sur Ajouter, puis sur OK. Sur la page Sécurité, cochez la case Autoriser pour Appliquer la règle de groupe. Cliquez sur OK. 4. Créer une règle de groupe Netfilter désactivé Cliquez sur Nouveau pour ajouter une nouvelle règle de groupe et nommez-la Netfilter désactivé. Ouvrez la fenêtre des propriétés de cette règle en cliquant sur le bouton Propriétés. Dans la fenêtre des propriétés, accédez à l onglet Sécurité. Choisissez le groupe Utilisateurs authentifiés et retirez la coche dans la colonne Autoriser pour Appliquer la règle de 21

22 Installation et désinstallation groupe. Cliquez sur Ajouter pour ajouter un nouveau groupe. Choisissez le groupe UtilisateursNonFiltrés et appuyez sur Ajouter, puis sur OK. Sur la page Sécurité, cochez la case Autoriser pour Appliquer la règle de groupe. Cliquez sur OK. 5. Configurer une règle de groupe Netfilter activé Double-cliquez sur la règle Netfilter activé. Ceci ouvre l encadré Règles de groupe. Accédez à Configuration de l'utilisateur > Paramètres Windows > Maintenance Internet Explorer > Connexion et double-cliquez sur Paramètres proxy. Cocher Activer les paramètres proxy et entrez l adresse et le port du proxy Netfilter dans les champs HTTP. Décochez Utiliser le même serveur proxy pour toutes les adresses. Si vous utilisez un ou plusieurs proxys pour les autres types de trafics, leurs adresses et ports doivent être entrés dans les autres champs. Configurez les Exceptions comme souhaité. Notez que si Ne pas utiliser le serveur proxy pour les adresses locales (intranet) est coché, les pages Web sur votre intranet ne seront pas filtrées. Cliquez sur OK pour retourner à la fenêtre Règle de groupe. Si vous utilisez une configuration de navigateur automatique sur votre réseau, vous devez la désactiver pour les utilisateurs du groupe UtilisateursFiltrés. Pour cela, doublecliquez sur Configuration automatique du navigateur et décochez Détecter automatiquement les paramètres de configuration et Activer la configuration automatique. Pour empêcher les utilisateurs de modifier les paramètres proxy (et donc d éviter le filtrage), accédez à Configuration d utilisateur > Modèles administratifs > Composants Windows > Internet Explorer. Double-cliquez sur Désactiver la modification des paramètres proxy et réglez la valeur Activé. Vous voudrez peut-être faire de même pour Désactiver la modification des paramètres de Configuration automatique, Désactiver la modification des paramètres de connexion, et/ou Désactiver l assistant de connexion Internet. Accédez à Configuration d utilisateur > Modèles administratifs. Cliquez avec le bouton droit sur Modèles administratifs et choisissez Ajouter/Supprimer des modèles. Cela entraînera l'ouverture d'une nouvelle fenêtre. Choisissez Ajouter et ouvrez le fichier netfilter.adm, situé dans le sous-répertoire Scripts dans lequel NetOp Netfilter a été installé. Puis cliquez sur Fermer pour retourner à la fenêtre Règle de groupe. Dans la fenêtre règle de groupe, l entrée Configuration d'utilisateur > Modèles administratifs > NetOp Netfilter est apparue. Cliquez avec le bouton gauche, puis avec le bouton droit sur NetOp Netfilter et assurez-vous que l option Affichage > Voire les règles uniquement (*) n est pas cochée. Puis double-cliquez sur Paramètres Internet Explorer et activez la règle. Cliquez sur OK pour accepter les paramètres par défaut. (Utiliser HTTP 1.1 pour les connexions proxy doit être coché pour une performance optimale. Il est recommandé d utiliser les valeurs par défaut pour les entrées Max. connexions, mais l augmentation des valeurs peut diminuer les délais rencontrés en surfant sur le proxy. Néanmoins, si les valeurs sont trop élevées, les requêtes du navigateur seront perdues et les utilisateurs rencontreront des images manquantes sur les pages Web.) *) Dans Windows Server 2003, l option Voir les règles uniquement a été déplacée dans une boîte de dialogue, que vous ouvrez en sélectionnant Affichage > Filtrage dans le menu. Le nom de l option est devenu Afficher uniquement les paramètres de stratégie pouvant être entièrement gérés. Fermez l'encadré Règle de groupe. 22

23 Installation et désinstallation Configurer une règle de groupe Netfilter désactivé 1. Double-cliquez sur la règle Netfilter activé. Ceci ouvre l encadré Règles de groupe. 2. Accédez à Configuration de l'utilisateur > Paramètres Windows > Maintenance Internet Explorer > Connexion et double-cliquez sur Paramètres proxy. 3. Configurez les paramètres proxy comme souhaité, donnant soit un accès direct à Internet (quand Activer les paramètres proxy n est pas coché), soit un accès par un serveur proxy. 4. Si vous utilisez une configuration de navigateur automatique sur votre réseau, vous pouvez devoir l activer pour les utilisateurs du groupe UtilisateursNonFiltrés. Faites cela en doublecliquant sur Configuration automatique du navigateur et en cochant Détecter automatiquement les paramètres de configuration et/ou Activer la configuration automatique et entrez les autres informations comme souhaité. 5. Pour annuler les modifications effectuées ici pour empêcher les utilisateurs de modifier les paramètres proxy (si un utilisateur est déplacé du groupe UtilisateursFiltrés au groupe UtilisateursNonFiltrés), accédez à Configuration d utilisateur > Modèles administratifs > Composants Windows > Internet Explorer. Double-cliquez sur Désactiver la modification des paramètres proxy et réglez la valeur Désactivé. Vous voudrez peut-être faire de même pour Désactiver la modification des paramètres de Configuration automatique, Désactiver la modification des paramètres de connexion, et/ou Désactiver l assistant de connexion Internet. Fermez la fenêtre Règle de groupe Terminer Fermez la fenêtre des propriétés du domaine et la fenêtre Utilisateurs et ordinateurs d Active Directory. Les utilisateurs que vous avez ajoutés au groupe UtilisateursFiltrés utiliseront désormais le proxy Netfilter quand ils accèdent au Web (ils peuvent devoir se reconnecter avant que la nouvelle règle soit appliquée). Si un utilisateur du groupe UtilisateursFiltrés doit avoir un accès non filtré à Internet, supprimez-le simplement du groupe UtilisateursFiltrés et ajoutez-le au groupe UtilisateursNonFiltrés à la place. Notez que le simple fait de le supprimer du groupe UtilisateursFiltrés peut ne pas suffire à modifier le fait qu il utilise ou non le proxy Netfilter il doit être ajouté au groupe UtilisateursNonFiltrés pour que les paramètres proxy soient changés. De même, vous pouvez supprimer un utilisateur du groupe UtilisateursNonFiltrés et l ajouter au groupe UtilisateursFiltrés pour activer le filtrage pour cet utilisateur Installation de Business Desktop Installez NetOp Netfilter Business Desktop sur les ordinateurs portables que vous souhaitez équiper d'une protection NetOp Netfilter alors qu'ils ne sont pas connectés au réseau protégé de NetOp Netfilter. Installation automatique 1. Créez un groupe nommé Business Desktop tel que décrit dans Créer des groupes. 2. Appliquez la règle de groupe Netfilter Activé à Business Desktop tel qu'expliqué dans Ajouter des utilisateurs au groupe. 3. Dans la règle de groupe Netfilter Activé sous Configuration de l'ordinateur > Modèles administratifs > NetOp Netfilter, activez les paramètres de Business Desktop. Spécifiez l'adresse du serveur NetOp Netfilter en tant qu'adresse du serveur Netfilter. Business Desktop se mettra en contact avec le serveur pour échanger avec lui les données sur les paramètres et les fichiers journaux. 4. Copiez le pack d'installation NetOp Netfilter Business Desktop.msi à partir du dossier 23

24 Installation et désinstallation Program Files > Danware Data > NetOp Netfilter > Business > Client vers un dossier partagé accessible à partir des ordinateurs portables sur lesquels il a été installé. 5. Dans la règle de groupe Netfilter On, cliquez avec le bouton droit de la souris sur Configuration de l'ordinateur> Paramètres de logiciels > Installation de logiciel et sélectionnez Nouveau > Pack. Sélectionnez le dossier partagé du pack d'installation et cliquez sur Ouvrir. Sélectionnez Avancé et cliquez sur OK. 6. Dans l'onglet Déploiement, sélectionnez Attribué et Installer cette application à la prochaine connexion. Le pack Business Desktop sera alors installé sur les ordinateurs du réseau la prochaine fois que les utilisateurs se connecteront. 7. Pour mettre à jour les installations à partir d'un pack d'installation mis à jour, écrasez le dossier partagé du pack d'installation. Dans la règle de groupe Netfilter Activé sous Configuration de l'ordinateur> Paramètres de logiciels > Installation de logiciel, cliquez avec le bouton droit de la souris sur NetOp Netfilter Business Desktop et sélectionnez Toutes les tâches > Redéployer l'application. Installation manuelle 1. Dans le registre de l'ordinateur, sous la clé HKEY_LOCAL_MACHINE\SOFTWARE\EnoLogic \NetFilter\Business, écrivez l'adresse du serveur NetOp Netfilter à une valeur REG_SZ nommée ServerName. 2. Exécutez le pack d'installation NetOp Netfilter Business Desktop.msi sur l'ordinateur. Masquer l'icône dans la barre d'état Par défaut, l'icône NetOp Netfilter est affichée dans la barre d'état du système au niveau du coin inférieur droit de l'écran. Pour la masquer par le biais d'une règle de groupe, accédez à la règle de groupe Netfilter Activé sous Configuration de l'ordinateur > Modèles administratifs > NetOp Netfilter et doublecliquez sur la règle Masquer l'icône dans la barre d'état, puis sélectionnez Activer. La modification prendra effet dès la prochaine connexion de l'utilisateur Masquer l'icône de la barre d'état Une fois le client installé, une icône Netfilter s'affiche dans la barre d'état du système. Si cette icône est désactivée pour une raison quelconque, cela signifie que le client est exécuté en mode Masquage (invisible à l'utilisateur). Avertissement : dans certains pays, il est obligatoire que l'utilisateur ait la possibilité de savoir s'il est surveillé ou non. Veuillez vous reporter aux lois locales et au droit du travail. Pour activer l'icône dans la barre d'état de Business Desktop via Active Directory, suivez les étapes ci-dessous : 1. Accédez à Configuration de l'ordinateur > Modèles administratifs > NetOp Netfilter 2. Double-cliquez sur Masquer l'icône de la barre d'état et 3. réglez l'option sur Activé. Les modifications prendront effet dès la prochaine connexion de l'utilisateur. Voir les rubriques : Ajouter des utilisateurs au groupe 2.4 Désinstallation de NetOp Netfilter Si vous souhaitez désinstaller NetOp Netfilter mais voulez toujours utiliser un serveur proxy, vous pouvez ignorer la désinstallation des clients et laisser le serveur proxy s exécuter sur l adresse et le port utilisés pour NetOp Netfilter. Sinon, il est recommandé de désinstaller d abord les clients, autrement ceux-ci n auront pas d accès HTTP à Internet avant que la désinstallation soit terminée. 24

25 Installation et désinstallation Remarque : à partir de la section Ajout/Suppression de programmes de Windows, il est également possible de réparer le programme d administration de NNF Business. La fonction la plus importante ici est la possibilité de réinitialiser le nom d'utilisateur et le mot de passe Désinstallation sur les ordinateurs clients La méthode de désinstallation de NetOp Netfilter n'est pas la même si vous avez effectué une installation minimum ou complète. Les informations présentées ici ne sont utiles que si vous avez utilisé l outil de configuration pour l installation Désinstallation de ECLIENT.EXE Si ECLIENT.EXE est utilisé pour régler les paramètres proxy, le script de connexion est modifié de manière à afficher : \\myserver\files\eclient.exe /disableproxy /unlock Ceci désactive l utilisation du proxy et déverrouille l interface utilisateur. Quand tous les utilisateurs se sont connectés, la ligne peut être supprimée du script de connexion. Si vous avez utilisé le paramètre /nolock, vous pouvez omettre /unlock dans la ligne supérieure Désinstallation après installation minimum Si vous avez effectué une installation minimum, le filtrage sur les ordinateurs clients peut être désactivé à l aide d un fichier.reg qui restaure les paramètres initiaux. Si les paramètres initiaux sont les paramètres standards de Windows / Internet Explorer, l un des fichiers NETFILTER_9X_OFF.REG ou NETFILTER_NT_OFF.REG peut être utilisé. Ils sont placés dans le dossier Scripts dans le dossier d installation de NetOp Netfilter, qui est généralement \Program Files\Danware Data\NetOp Netfilter\Business. Pour les ordinateurs clients utilisant Windows 98 ou ME, le fichier NETFILTER_9X_OFF.REG doit être utilisé, alors que NETFILTER_NT_OFF.REG doit être utilisé pour les ordinateurs clients exécutant Windows NT, 2000, XP ou Vista Désinstallation après une installation complète Le logiciel client est désinstallé en exécutant CLISETUP.EXE sur le disque d installation avec le paramètre /uninstall, voir section Installation complète. Il peut être nécessaire de redémarrer l ordinateur pour terminer la désinstallation, mais aucun message ne sera affiché pour l'indiquer et le redémarrage ne se produira pas automatiquement. Après la désinstallation, le trafic de ce client ne sera plus filtré Désinstallation du serveur La désinstallation du logiciel du serveur s'effectue à l aide de la fonction Ajout/Suppression de programmes dans le panneau de configuration. Procédez comme suit : Ouvrez le panneau de configuration. Ouvrez Ajout/Suppression de programmes. Choisissez NetOp Netfilter Appuyez sur Supprimer NetOp Netfilter va être désinstallé. 2.5 Mises à jour automatiques avec NetUpdate NetUpdate est utilisé pour mettre à jour le produit NetOp installé via Internet. Le programme est démarré à partir de l icône de la barre d état de NetOp Netfilter ou du menu Démarrer. Si vous utilisez Windows NT, 2000, XP ou Vista, vous devez être connecté comme 25

26 Installation et désinstallation administrateur quand vous exécutez le programme, car sinon il ne sera pas possible d effectuer les mises à jour. Figure 44 : NetUpdate. 26

27 Configuration et supervision du serveur 3 Configuration et supervision du serveur Les paramètres de NetOp Netfilter peuvent être modifiés à l'aide du programme NetOp Netfilter Admin, lequel indique également les statistiques du trafic à travers le filtre. NetOp Netfilter Admin peut être lancé à partir du menu Démarrer : Démarrer> Programmes > NetOp Netfilter > Business > Netfilter Admin NetOp Netfilter Admin peut être exécuté en local sur un serveur de filtrage, c est-à-dire un serveur sur lequel NetOp Netfilter est exécuté. Il est aussi possible d effectuer une administration à distance à partir d un autre ordinateur sur le réseau en démarrant NetOp Netfilter Admin sur cet ordinateur. En cas d administration à distance, l adresse IP du serveur de filtrage d administration doit être connue. Connexion Navigation dans NNF Admin Dépannage Rubrique Filtre Rubrique Avancé Rubrique Statistiques Rubrique Proxy 3.1 Connexion Quand NetOp Netfilter Admin est démarré, une fenêtre de connexion comme montrée dans la figure 14 s affiche. Dans cette fenêtre, l adresse IP du serveur de filtrage doit être spécifiée avec le numéro du port d administration de NetOp Netfilter. Si NetOp Netfilter Admin a été démarré sur le serveur de filtrage, l adresse IP relative à hôtelocal, c est-à-dire l ordinateur sur lequel NetOp Netfilter Admin a été démarré, peut être laissée telle quelle. Sinon, l adresse IP du serveur de filtrage d administration est entrée. Le numéro de port 9600 peut être laissé tel quel, sauf si NetOp Netfilter a été configuré manuellement pour utiliser un autre port. Si c est le cas, ce numéro de port doit être entré à la place. La façon de changer le port d'administration est décrite dans la section Proxy Netfilter. 27

28 Configuration et supervision du serveur Figure 14 : Connexion au serveur de filtrage. Pour renforcer la sécurité, il est nécessaire de se connecter sur le serveur de filtrage avec le nom d utilisateur et le mot de passe avant de pouvoir l administrer. Si c est la première fois que NetOp Netfilter Admin est démarré, le nom d utilisateur et le mot de passe sont tous les deux admin. Quand le nom d utilisateur et le mot de passe ont été entrés, appuyez sur le bouton Connex. Si la connexion au serveur de filtrage est réussie, un écran tel que montré dans la figure 15 s'affiche. Si la connexion n est pas réussie, un message d'erreur est affiché à la place. Voir les rubriques : Dépannage 3.2 Navigation dans NetOp Netfilter Admin Après une connexion réussie, une page de démarrage telle que montrée dans la figure 15 est affichée.. Ici, les informations générales à propos de la version et des statistiques sont affichées. En choisissant entre les quatre rubriques dans la partie supérieure droite de la fenêtre, il est possible de naviguer dans NetOp Netfilter Admin. La rubrique Filtre est activée après la connexion. Certaines rubriques sont divisées en sous-rubriques. Celles-ci sont sélectionnées en cliquant sur les onglets affichés au bas de la fenêtre. Pour la rubrique Filtre, le premier onglet est État. Voir les rubriques : Dépannage 3.3 Rubrique Filtre La rubrique Filtre contient les informations et les options de configuration standards de NetOp Netfilter. Les différents onglets de Filtre sont décrits dans les sections suivantes. 28

29 Configuration et supervision du serveur Figure 15 : Page d état affichée après la connexion. Voir les rubriques : Dépannage État L'onglet État permet d'afficher des informations sur NetOp Netfilter. Comme le montre la Figure 15, il est possible de consulter : le numéro de version de NetOp Netfilter, l ordinateur et le port sur lesquels le filtre fonctionne, si le filtrage est activé ou non et si le filtre utilise un proxy Internet. Il est aussi possible de voir les statistiques concernant le filtre, comme le moment auquel le filtre a été démarré, la quantité en octets de données ayant été transmises à travers le filtre, le nombre de pages consultées en utilisant le filtre, et le nombre de pages ayant été bloquées. Il est possible d obtenir des statistiques détaillées en appuyant sur le bouton AFFICHER LE JOURNAL. Ceci ouvre un navigateur avec une page de statistiques affichant le trafic autorisé et bloqué par le filtre. Les statistiques incluent : Distribution du trafic bloqué vers les catégories. Distribution du trafic autorisé/bloqué dans le temps. Distribution de MP3 et transferts de fichiers volumineux dans le temps. Distribution de consommation de bande passante dans le temps. Analyse d activité, qui montre pour chaque ordinateur la quantité de trafic et une estimation du temps passé pour le trafic autorisé et bloqué. Liste des pages bloquées que l utilisateur a choisi d'afficher malgré l avertissement. 29

30 Configuration et supervision du serveur Figure 16 : Recherche dans les fichiers journaux. Figure 17 : Recherche dans la base de données. 30

31 Configuration et supervision du serveur Le bouton RECH. JOURNAL ouvre une fenêtre vous permettant de chercher des entrées dans le journal correspondant à certains critères, tels que la date, l heure, la catégorie et l URL. NetOp Netfilter peut consigner le trafic dans des fichiers journaux locaux sur le serveur ou dans une base de données. Comme les figures 16 et 17, il est possible de choisir entre la recherche dans les fichiers journaux locaux ou dans la base de données. Lors de la recherche dans des fichiers journaux, les critères de recherche indiqués à la Figure 16 peuvent être utilisés. Notez que le panneau contenant les critères de recherche peut être agrandi à l aide de l icône dans le coin supérieur droit. La recherche est lancée à l'aide du bouton Journal de scan. La recherche dans les fichiers journaux peut être lente et doit être limitée aux entrées nécessaires à l aide des critères de recherche. Au cours de la recherche, des informations s'affichent indiquant la progression. Une fois la recherche terminée, le rapport peut être affiché à l aide du bouton Voir rapport journal. Lors de la recherche dans une base de données, des critères de recherche similaires sont disponibles et il est possible d afficher les résultats sur des pages contenant par ex. 100 entrées par page, permettant de voir les résultats avant que toutes les entrées n'aient été trouvées. Dans Options de mode exportation, les utilisateurs avancés peuvent choisir d afficher un éditeur SQL permettant de personnaliser la recherche. Le code SQL est mis à jour automatiquement quand les critères de recherche sont modifiés. Lancez la recherche avec le bouton Journal de scan. Les adresses IP sont stockées dans un format spécial dans la base de données. Pour traduire une adresse de la notation habituelle des adresse IP vers ce format, vous pouvez utiliser le calculateur d adresses IP de l éditeur SQL. Il est lancé au moyen de l icône IPCALC. Les deux petites icônes en forme de disque permettent de sauvegarder et de charger le code SQL. Il est possible de modifier l adresse, le nom, etc. de la base de données à l aide du panneau Serveur de base de données. À l aide des boutons situés en haut de la fenêtre, il est possible d imprimer ou d enregistrer le rapport actuel ou de charger un rapport préalablement enregistré. Pour passer d'une page à l'autre, utilisez les boutons Précédent et Suivant. Il est aussi possible de basculer entre les pages en cliquant dans l historique affiché au bas de la fenêtre quand le bouton Historique a été activé. Voir les rubriques : Dépannage Listes d URL Les URL désignent les adresses de pages Web. Certaines de ces pages présentent un contenu inapproprié, d'autres non. Les URL peuvent être organisées en listes : Voir les rubriques : Dépannage, Liste Toujours autoriser et Liste Toujours bloquer Liste Toujours autoriser L onglet Liste Toujours utiliser, montré dans la Figure 18, permet d ajouter des URL ne devant jamais être bloquées par NetOp Netfilter, quel que soit leur contenu. Ceci permet par exemple d ajouter le serveur Web interne de l entreprise, de manière à ce qu il ne soit pas analysé. Pour ajouter une URL, entrez-la dans le champ URL et cliquez sur AJOUTER. Pour supprimer une URL, sélectionnez une URL et cliquez sur SUPPR. 31

32 Configuration et supervision du serveur Figure 18 : Liste Toujours autoriser. Les adresses de cette liste ne seront jamais bloquées. Une URL dans la liste autorisée concerne toutes les sous-url. Par exemple, l'accès à sera toujours autorisé avec les paramètres montrés dans la Figure 18. À l'inverse, pourrait être bloqué même si a été ajouté à la liste Liste Toujours bloquer L onglet Liste toujours bloquée, montrée dans la Figure 19, permet d ajouter des URL devant être bloquées quel que soit leur contenu. Ceci permet d ajouter des pages qui ne sont pas couvertes par les catégories, par exemple les jeux ou d autres contenus indésirables. Pour ajouter une URL, entrez-la dans le champ URL et cliquez sur AJOUTER. Pour supprimer une URL, sélectionnez une URL et cliquez sur SUPPR. 32

33 Configuration et supervision du serveur Figure 19 : Liste Toujours bloquer. Les adresses de cette liste seront toujours bloquées. Une URL figurant dans la liste bloquée couvre toutes les sous-url. Par exemple, gambling.com/test/ sera bloqué avec les paramètres montrés dans la Figure 19. À l'inverse, peut être autorisé même si a été ajouté à la liste Catégories Dans Catégories, il est possible de choisir les catégories que le filtre doit bloquer, en cochant les cases correspondant aux catégories souhaitées dans la liste affichée dans la figure 20. Lorsqu'une une catégorie est cochée, une description de celle-ci est affichée à sa droite. Les catégories suivantes sont prises en charge : Pornographie. Pages à contenu pornographique. Les pages traitant d éducation sexuelle ne sont bloquées que si le contenu est très explicite ou extrême. Rencontres. Pages offrant des services de rencontre, tels que des annonces privées et de speed dating, ainsi que sites d'agences matrimoniales. Jeux. Pages relatives aux jeux de pari. Les sites permettant aux utilisateurs de parier pour de l'argent, tels que les sites de casinos et de bookmakers, constituent la cible primaire, mais cette catégorie inclut également des sites proposant des informations relatives aux jeux de pari, comme des instructions, des logiciels de jeux de pari, des statistiques sportives et les sites Web d'établissements de casino. Haine, racisme et discrimination. Les pages relatives aux races, aux religions ou à l orientation sexuelle, prônant la discrimination à l'encontre de certains groupes, exprimant de la haine ou appelant à la violence contre un groupe, ou encore présentant un groupe comme étant supérieur aux autres. Violence et humour vulgaire. Pages au contenu violent ou grossier traitant de violence, meurtre, suicide, mort, accidents, maladie, mutilations corporelles, cannibalisme, nécrophilie et fonctions corporelles. Violations des droits d'auteur. Pages violant les droits d'auteur en donnant accès à des logiciels, films, à de la musique, etc. Activités dangereuses ou illégales. Pages donnant des instructions pour la construction/ production et l'utilisation illégale ou dangereuse d'armes, d'explosifs, de feux d'artifice, de produits chimiques toxiques, l'usurpation de carte de crédit, le cambriolage et le vol et autres activités dangereuses ou criminelles. 33

34 Configuration et supervision du serveur Figure 20 : Catégories. Le filtre bloque les catégories sélectionnées dans la liste. Voir les rubriques : Catégories de paramétrage et Dépannage Pair à pair L onglet Pair à pair permet de bloquer les programmes pair à pair utilisés pour l envoi de logiciels, musique, films, etc. d'un ordinateur à l'autre via Internet. Les deux principales raisons de bloquer ces programmes sont que les fichiers échangés sont généralement volumineux, occasionnant un transfert coûteux, et que ces programmes sont souvent utilisés pour le piratage. Remarque : le blocage pair à pair ne peut être utilisé que si ECLIENT.EXE est exécuté sur les clients. Dans la liste à gauche de la Figure 21, vous pouvez choisir les programmes pair à pair à bloquer. La liste intégrée contient les programmes pair à pair les plus courants. Vous pouvez ajouter vous-même d'autres programmes. Lorsque vous cliquez dans la liste avec le bouton droit de la souris, un menu s'affiche contenant les fonctions suivantes : Bloquer tous par défaut. Cette option active le blocage des programmes dans la liste intégrée. Autoriser tous par défaut. Cette option désactive le blocage des programmes dans la liste intégrée. Bloquer tous. Cette option active le blocage de tous les programmes de la liste, y compris ceux ajoutés par l utilisateur. Autoriser tous. Cette option désactive le blocage de tous les programmes de la liste, y compris ceux ajoutés par l utilisateur. Pour ajouter un programme à la liste, saisissez le nom du fichier EXE du programme et/ou le titre de sa fenêtre. Dans le champ Description, saisissez le nom que vous voulez voir apparaître dans la liste. Ajoutez le programme en appuyant sur +RÈGLE. Lorsque vous appuyez sur le bouton représentant trois points à droite du champ de texte du nom de fichier, une fenêtre s ouvre dans laquelle vous pouvez sélectionner le fichier. 34

35 Configuration et supervision du serveur Si le nom du fichier et le titre de la fenêtre sont saisis, les programmes avec le nom de fichier ou le titre de fenêtre spécifiés sont bloqués. Figure 21 : Bloquage des programmes pair à pair. Il est possible de créer une association par sous-chaîne pour le nom de fichier et le titre de la fenêtre. Dans le cas du nom de fichier, cela signifie que le programme est bloqué si le nom de son fichier EXE contient le texte spécifié. Par exemple, si vous indiquez p2p comme nom de fichier et cochez la case Comme sous-chaîne : p2p.exe, myp2p.exe et p2p program.exe seront bloqués. La correspondance par sous-chaîne fonctionne de la même manière pour le titre de la fenêtre. La correspondance par sous-chaîne doit être utilisée avec précautions, vous risquez sinon de bloquer un mauvais programme. Le blocage fonctionne en fermant les programmes. Cela peut prendre quelques secondes. Si le titre de la fenêtre est utilisé pour la correspondance, le programme n est fermé que si la fenêtre est active. Un programme qui a été ajouté par l utilisateur peut être supprimé de la liste en le sélectionnant et en appuyant sur XRÈGLE. Les programmes de la liste intégrée ne peuvent pas être supprimés. Voir les rubriques : Dépannage Blocage de chat La page de blocage de conversation est affichée dans la figure 22. Dans la liste de gauche, il est possible de choisir les types de conversation devant être bloqués. Si Navigateur/chat est coché, les sites Web proposant des chats seront bloqués. Les autres entrées de la liste sont certains des programmes de conversation les plus courants. 35

36 Configuration et supervision du serveur Figure 22 : Blocage de chat. Remarque : le blocage des programmes de chat ne peut être utilisé que si ECLIENT.EXE est exécuté sur les clients. Néanmoins, le blocage de navigateur/chat peut toujours être utilisé. Si vous cliquez sur la liste avec le bouton droit de la souris, un menu avec les fonctions suivantes s'affiche : Bloquer tous par défaut. Ceci active le blocage des programmes dans la liste intégrée. Autoriser tous par défaut. Ceci désactive le blocage des programmes dans la liste intégrée. Bloquer tous. Ceci active le blocage de tous les programmes de la liste, y compris ceux ajoutés par l utilisateur. Autoriser tous. Cette action désactive le blocage de tous les programmes de la liste, y compris ceux ajoutés par l utilisateur. Pour ajouter un programme à la liste, le nom du fichier EXE du programme et/ou le titre de sa fenêtre est saisi. Dans le champ Description, le nom que vous voulez voir apparaître dans la liste est entré. Ajoutez le programme en appuyant sur +RÈGLE. Quand vous appuyez sur le bouton représentant trois points à droite du champ de texte du nom de fichier, une fenêtre s ouvre dans laquelle vous pouvez sélectionner le fichier. Si le nom du fichier et le titre de la fenêtre sont saisis, les programmes avec le nom de fichier ou le titre de fenêtre spécifiés sont bloqués. Il est possible d'associer par sous-chaîne pour le nom de fichier et le titre de la fenêtre. Dans le cas du nom de fichier, cela signifie que le programme est bloqué si le nom de son fichier EXE contient le texte spécifié. Par exemple, si vous indiquez chat comme nom de fichier et cochez Comme sous-chaîne, chat.exe, mychat.exe et chat program.exe seront bloqués. La correspondance par sous-chaîne fonctionne de la même manière pour le titre de la fenêtre. La correspondance par sous-chaîne doit être utilisée avec précautions, vous risquez sinon de bloquer un mauvais programme. Le blocage fonctionne en fermant les programmes. Quelques secondes peuvent s écouler avant que cela ne se produise. Si le titre de la fenêtre est utilisé pour la correspondance, le programme n est fermé que si la fenêtre est active. Un programme qui a été ajouté par l utilisateur peut être supprimé de la liste en le sélectionnant et en appuyant sur XRÈGLE. Les programmes de la liste intégrée ne peuvent pas 36

37 Configuration et supervision du serveur être supprimés. Voir les rubriques : Dépannage Sensibilité Comme le montre la Figure 23, l onglet Sensibilité permet de régler la sensibilité de NetOp Netfilter vis-à-vis des contenus inappropriés. Il est possible de choisir entre trois réglages de sensibilité, Faible, Normale et Élevée. Figure 23 : Réglage de la sensibilité du filtre. Si la sensibilité Faible est sélectionnée, le filtre effectue une analyse moins agressive, ce qui signifie que plus de pages seront considérées comme appropriées par le filtre. Ce réglage est idéal si vous souhaitez un filtre moins restrictif. Le risque qu un contenu inapproprié traverse le filtre est plus grand quand la sensibilité est Faible, mais le risque qu un contenu approprié soit bloqué est réduit. La sensibilité Normale est le réglage standard pour le filtre et est recommandé pour une utilisation normale. Une sensibilité Élevée peut être sélectionnée si une analyse plus agressive est souhaitée. Cela signifie que le filtre est plus sensible aux contenus inappropriés. Avec ce réglage, plus de pages seront considérées comme inappropriées. Le risque que le filtre classe des pages appropriées comme inappropriées est plus grand, mais le risque qu un contenu inapproprié traverse le filtre est réduit. Voir les rubriques : Dépannage Paramétrage L onglet Paramétrage permet d activer et de désactiver diverses propriétés du filtre. La page se compose d'une série d onglets correspondant aux différentes propriétés. Voir les rubriques : Paramétrage du filtre, Général, Paramétrage du réseau, Analyse MP3, Fichiers volumineux, Nom fichier/ext et Paramétrage du journal 37

38 Configuration et supervision du serveur Général Figure 24 : Paramètres généraux du filtre. Désactiver le filtre. Permet d activer et de désactiver le filtrage. Peut être utile si vous souhaitez pendant une courte période autoriser le trafic sur votre réseau. Config. sauvegarde. Ceci permet d'enregistrer une copie de la configuration dans un fichier local et de le charger plus tard pour restaurer la configuration. Configuration réseau. Permet d envoyer la configuration actuelle à plusieurs autres serveurs à travers le réseau. Voir les rubriques : Configuration générale Paramétrage du réseau Dans Paramétrage du réseau, il est possible de gérer plusieurs serveurs Netfilter simultanément. Pour cela, vous pouvez personnaliser les paramètres sur un serveur puis transférer ces paramètres sur les autres serveurs. Les serveurs auxquels les paramètres doivent être envoyés sont ajoutés à la liste indiquée à la Figure 25. Appuyez ensuite sur Appliquer pour envoyer les paramètres aux serveurs spécifiés. Les paramètres proxy ne sont envoyés aux autres serveurs que si l'option Copier aussi param. proxy est cochée. 38

39 Configuration et supervision du serveur Figure 25 : Paramétrage du réseau. Voir : Paramétrage du réseau Analyse MP3 Figure 26 : Détection et blocage MP3. Autoriser la détection MP3. Si cette propriété est activée, tout le trafic MP3 sera enregistré dans le fichier journal. La détection MP3 nécessite un peu plus de ressources quand elle est activée. La détection et le blocage MP3 sont basés sur l analyse du contenu. C est-à-dire que le filtre détecte les fichiers MP3 même s ils sont «déguisés» comme autres fichiers. Par exemple, le fichier MichaelJackson.gif sera détecté/bloqué s'il s'agit d'un fichier MP3 renommé. Bloquer données MP3. Bloque le trafic MP3. Comme la détection MP3, cette propriété nécessite aussi un peu plus de ressources. 39

40 Configuration et supervision du serveur Voir les rubriques : Filtres MP Fichiers volumineux Figure 27 : Détection et blocage des fichiers volumineux. Activer détection fichiers vol. Il est possible de détecter les fichiers volumineux passant à travers le filtre. Cette propriété permet de déterminer si un trafic de tels fichiers a lieu. Si c est le cas, cela sera inscrit sur le fichier journal. Selon les circonstances, les critères pour déterminer un fichier volumineux peuvent varier. Il est donc possible de spécifier la taille qu'un fichier doit avoir pour être considéré comme volumineux. Selon le réglage standard, un fichier est volumineux s il est supérieur à 5 Mo. Bloquer fichiers sup. à Bloquer ou transférer les fichiers supérieurs à la limite spécifiée et enregistrer les tentatives de transfert dans le fichier journal. Voir les rubriques : Filtres pour fichiers volumineux. 40

41 Configuration et supervision du serveur Nom fichier/ext Figure 28 : Blocage par nom. Si Bloquer types multimédia courants est coché, les règles des types les plus courants de contenu multimédia sont ajoutées. Il est possible d ajouter des règles dans trois catégories différentes : Extension uniquement. Entrez l extension, par exemple exe ou zip, dans le champ de texte et appuyez sur +RÈGLE pour ajouter l extension à la liste. Désormais, tous les fichiers comprenant l extension spécifiée seront bloqués. Nom de fichier exact. Pour bloquer les fichiers avec un nom spécifique, entrez le nom de fichier, par ex. foo.exe dans le champ de texte. Puis appuyez sur +RÈGLE pour l ajouter à la liste. Sous-chaîne de nom de fichier. Utilisez cette catégorie pour bloquer un fichier avec un nom contenant un texte particulier. Entrez le texte que le nom de fichier doit contenir dans le champ de texte et appuyez sur +RÈGLE pour ajouter la règle. Une règle peut être supprimée en la sélectionnant dans la liste et en appuyant sur XRÈGLE. Voir les rubriques : Filtres Nom fichier/exts Paramétrage du journal Sur la page Paramétrage du journal, il est possible de choisir ce qui doit être consigné à propos de l utilisateur avec les adresses des sites visités. Le paramètre par défaut est de consigner uniquement l adresse IP. Si DNS est utilisé sur le réseau, les adresses DNS des clients peuvent aussi être consignées. 41

42 Configuration et supervision du serveur Figure 29 : Connexion des adresses et noms d utilisateur. Si la connexion des noms d utilisateur est activée, le nombre de pages bloquées et autorisées ainsi que la consommation de bande passante seront consignés pour chaque utilisateur plutôt que pour chaque adresse IP. Il sera aussi enregistré quel utilisateur (ou utilisateurs) était connecté sur l ordinateur utilisé pour visiter une page Web. Dans la liste des pages visitées, à l aide de la commande client Afficher la page débloquée, il sera possible de voir le nom de l utilisateur qui a fait cela. N activez pas la connexion des noms d utilisateurs à moins que ECLIENT.EXE soit exécuté sur tous les clients. Remarque : la connexion des noms d utilisateur ne peut être utilisée que si ECLIENT.EXE est exécuté sur les clients. Il est important que la connexion des noms d utilisateur ne soit pas activée avant que ECLIENT.EXE soit exécutée sur tous les clients. Les options Connecter les noms d utilisateur et Clients partagent même IP doivent être cochées si plusieurs utilisateurs partagent la même adresse IP et ECLIENT.EXE doit être exécuté avec le paramètre /sharedip,. Plusieurs utilisateurs partagent la même adresse IP si Citrix ou Terminal Services est utilisé ou s il y a un autre serveur Proxy entre les utilisateurs et NetOp Netfilter. Remarque : une consignation correcte du trafic quand les utilisateurs partagent une adresse IP nécessite que tous les utilisateurs utilisent Internet Explorer comme navigateur. Il est possible de supprimer automatiquement des données du journal après un certain nombre de jours, par exemple pour limiter la consommation d espace disque. Pour cela, Supprimer après N jour(s) doit être coché. Le nombre de jours est modifié à l aide des flèches. Le bouton SEGMENT ouvre une fenêtre dans laquelle la division du journal en segments peut être modifiée. Ceci est décrit dans la section suivante. Voir les rubriques : Segments et Filtres de paramétrage du journal Segments Il est possible de diviser le journal en segments de manière à ce qu'un journal séparé soit créé pour chacun de ces segments. Les segments peuvent par exemple être des départements de l organisation. Chaque segment est défini par des adresses IP, des suffixes DNS, des noms d utilisateurs et des groupes. La division en segments est seulement effective à partir du moment où elle est effectuée, 42

43 Configuration et supervision du serveur c est-à-dire qu il n est pas possible de diviser un journal existant. Figure 30 : Segments. Figure 31 : Groupes. Une liste de segments est affichée à gauche de la fenêtre, comme le montre la Figure 30. Quand un segment est sélectionné dans cette liste, les adresses IP, adresses DNS, noms d utilisateurs et groupes qui seront consignés dans ce segment sont affichés à droite. Pour définir un nouveau segment, les étapes suivantes doivent être effectuées : Entrez un nom pour le segment sous la liste de segments et cliquez sur + pour créer le segment. Dans l onglet IP, vous pouvez entrer les adresses IP des ordinateurs devant être consignées dans le segment. Pour ajouter un intervalle d adresses IP, la première et la dernière adresse IP de l intervalle sont entrées dans les deux champs. Si une seule adresse IP doit être installée, elle doit être entrée dans le premier champ. Cliquez sur + pour ajouter l adresse ou l intervalle au segment. Dans l onglet DNS, vous pouvez entrer les suffixes DNS des ordinateurs devant être 43

44 Configuration et supervision du serveur consignés dans le segment. Entrez le suffixe dans le champ et cliquez sur + pour l ajouter. Tous les ordinateurs ayant un nom DNS avec le suffixe spécifié seront désormais consignés dans le segment. Les suffixes DNS spécifiés ne seront effectifs que si la consignation des noms DNS est active (voir la section Paramétrage du journal). Dans l onglet Nom d utilisateur, des noms peuvent être entrés pour les utilisateurs devant être consignés dans le segment. Entrez le nom dans le champ et appuyez sur + pour l ajouter. Les noms d utilisateurs spécifiés ne seront effectifs que si la consignation des noms d utilisateurs est active. Dans l onglet Groupes, indiqué dans la Figure 31, les groupes dont les membres doivent être consignés dans le segment peuvent être sélectionnés. Choisissez le groupe dans la liste de droite et cliquez sur << pour l ajouter. Le groupe peut être supprimé du segment avec>>. La liste des groupes est récupérée à partir d un contrôleur de domaine. Si l'option Recherche auto est cochée, Netfilter tente de localiser un contrôleur de domaine, sans quoi l adresse du contrôleur de domaine doit être spécifiée dans Adresse du serveur de groupe. Si un contrôleur de domaine est spécifié et que l'option Recherche automatique est cochée, le contrôleur de domaine spécifié sera utilisé s il est disponible, sinon Netfilter essaiera de localiser un autre contrôleur de domaine. C est pourquoi il est recommandé que Recherche automatique soit activé même si une adresse a été spécifiée. Un chevauchement entre les segments est autorisé. Par exemple, le même nom d utilisateur peut être ajouté à plusieurs segments. Si le journal d un utilisateur particulier est souhaité, un segment peut être créé ne contenant que cet utilisateur. Pour modifier ou supprimer un intervalle IP, un suffixe DNS ou un nom d utilisateur de la définition d un segment, sélectionnez l élément particulier dans la liste. L élément peut désormais être supprimé en cliquant sur X ou modifié en entrant la nouvelle valeur et en cliquant sur.. Pour renommer un segment, sélectionnez-le dans la liste et saisissez le nouveau nom. Cliquez ensuite sur. Pour supprimer un segment, sélectionnez-le dans la liste et cliquez sur X. Dans l onglet Segment test, il est possible de voir dans quels segments une adresse IP, une adresse DNS ou un nom d utilisateur est consigné. Entrez l adresse ou le nom, choisissez le type de données et cliquez sur TEST. Les segments dans lesquels l adresse ou le nom seront consignés figurent désormais dans la liste de segments A C L L onglet ACL permet de décider quels ordinateurs ont accès à Internet, et quel type d'accès les ordinateurs doivent avoir. Cela est contrôlé avec une Liste de contrôle d'accès comme montré dans Figure 32. Il est possible de spécifier l'adresse IP d'un ordinateur ou une plage IP pour plusieurs ordinateurs et de choisir quel type de filtrage doit être utilisé pour les ordinateurs sélectionnés. Il est possible de choisir entre trois types de filtrage : Toujours filtré Toujours filtrer le trafic pour les adresses IP spécifiées. Non filtré Ne jamais filtrer le trafic pour les adresses IP spécifiées. Accès refusé Refuser l accès Internet pour les adresses IP spécifiées. Avec ces trois types de filtrage, il est possible de contrôler le réseau d une manière très précise. Par exemple, dans une entreprise, le département comptabilité peut avoir une plage d adresses IP et le département du développement peut en avoir une autre. Avec ACL, il est ensuite possible de filtrer tous les ordinateurs du département comptabilité tout en laissant 44

45 Configuration et supervision du serveur aux ordinateurs du département du développement un accès non filtré, simplement en ajoutant deux règles. Si une partie de l entreprise ne doit pas avoir accès à Internet, ceci est possible à l aide de la règle Accès refusé. Pour ajouter une seule adresse IP, entrez-la et appuyez sur le bouton +RÈGLE. Si vous souhaitez ajouter une plage IP, cochez la case Plage IP. Il est désormais possible de spécifier deux adresses IP. Par exemple, si vous souhaitez filtrer les ordinateurs de à , entrez dans le champ supérieur et dans le champ inférieur. Figure 32 : Configuration de la liste de contrôle d accès. Pour supprimer une règle, sélectionnez-la avec la souris et appuyez sur le bouton XRÈGLE. sélectionnez-la avec la souris et appuyez sur le bouton XRÈGLE. Pour déterminer si les règles ont été correctement spécifiées, avec le bouton TEST, il est possible de déterminer si une seule adresse IP correspond à l une ou plusieurs des règles. Ceci peut être utile si un ensemble complexe de règles a été créé et il est certain qu une adresse IP est filtrée comme souhaité. Remarque : il est important que les règles les plus spécifiques soient entrées au sommet. Par exemple, si un filtrage est souhaité pour toutes les adresses IP à part une dans une plage, ceci peut être spécifié avec une règle disant que le filtrage ne doit pas être utilisé pour cette adresse IP particulière, puis en ajoutant une règle en dessous précisant que ce filtrage doit être utilisé pour la plage entière. Voir la section : Liste de contrôle d'accès et Dépannage 3.4 Rubrique Avancé Une capture d écran de cette rubrique est montrée dans Figure 35. Ici, il est possible de régler les propriétés plus avancées concernant NetOp Netfilter Admin et NetOp Netfilter. Les trois onglets dans la rubrique Avancé permettent de régler les propriétés pouvant souvent être laissées telles quelles dans des circonstances normales. Voir les rubriques : Paramètres de Netfilter Admin, Commandes client, Pages de blocage, Cache, Programmation du temps et Comptes & privilèges 45

46 Configuration et supervision du serveur Paramètres de Netfilter Admin Cet onglet, montré dans la figure 35, permet de configurer les propriétés de NetOp Netfilter Admin. Avec la case à cocher Afficher les paramètres avancés, il est possible de choisir si les options de configuration plus avancées sont affichées. Le paramètre standard est d afficher les options avancées. Si la case n est pas cochée, l interface utilisateur sera plus simple mais aussi plus limitée. Il est possible de changer la base de données utilisée par NetOp Netfilter. Appuyez sur le bouton Paramétrage... pour ouvrir une fenêtre vous permettant d entrer l adresse, le nom d utilisateur, le mot de passe et le nom de la base de données. Si vous ne souhaitez pas utiliser la base de données, laissez ces paramètres vides. Les données seront ensuite consignées dans les fichiers journaux locaux sur le serveur Netfilter. Avec Comptes & Privilèges, il est possible de créer des comptes utilisateur multiples pouvant obtenir différents privilèges. La programmation du temps permet d utiliser différents paramètres pour le filtre à différentes heures de la journée et pour différents jours de la semaine. Cochez l'option Utiliser la programmation heures/jours pour activer la programmation du temps et cliquez sur Programmer pour régler la programmation du temps. Les sons de clic pour boutons principaux peuvent être désactivés pour une utilisation silencieuse. Avec Déconnexion automatique quand placé dans la barre d état, il est possible de choisir si le programme doit déconnecter le serveur de filtrage quand NetOp Netfilter Admin est réduit. Ceci sert à ne pas oublier de se déconnecter lorsque vous quittez l ordinateur. Avec Tester la connexion SSL, vous pouvez choisir si NetOp Netfilter Admin doit contrôler périodiquement si la connexion chiffrée entre NetOp Netfilter Admin et NetOp Netfilter est ouverte. De même, il est possible de choisir à quelle fréquence NetOp Netfilter Admin doit effectuer le contrôle. Le d'utilisateur et le mot de passe peuvent être modifiés en les entrant dans les champs à droite de la fenêtre. Notez que le nouveau mot de passe doit être entré une deuxième fois dans Vérifiez le nouveau mot de passe pour éviter les erreurs du mot de passe saisi. Quand le bouton OK est enfoncé, vous devrez entrer votre mot de passe actuel. Entrez-le et appuyez sur le bouton OK pour terminer le changement de mot de passe. 46

47 Configuration et supervision du serveur Figure 35 : Paramètres avancés de NetOp Netfilter Admin. Voir les rubriques : Dépannage Commandes client L onglet Commandes client, montré dans Figure 36, permet de modifier les propriétés de la page bloquée qui apparaît lorsque l on essaie d accéder à des contenus que le filtre classe comme inappropriés. Si le champ Activer les commandes client interactives sur la «page bloquée» est coché, toute commande active sera incluse sur la page bloquée. La commande Afficher la page débloquée ajoute un bouton supplémentaire à la page bloquée. Ce bouton permet de poursuivre de la page bloquée vers le contenu qui a été jugé inapproprié. La page bloquée affichera que l événement a été consigné dans le fichier journal. Pour activer la commande, sélectionnez-la avec la souris et appuyez sur le bouton ACTIVER. Pour la désactiver, appuyez sur le bouton DÉSACTIVER. Figure 36 : Configuration des commandes client. Avec cette commande, l utilisateur peut décider s il veut poursuivre vers la page. Ceci peut être approprié, par exemple si un utilisateur a un besoin professionnel d accéder au contenu que le filtre a classé comme inapproprié. L utilisateur évite d avoir à contacter l administrateur du système pour voir la page et peut librement poursuivre vers celle-ci s il croit qu elle est utile pour son travail. Si la commande Aucun blocage de la page est activée, les pages visitées ne sont pas bloquées, mais elles restent consignées. Voir : Dépannage 47

48 Configuration et supervision du serveur Page de blocage Comme montré dans la Figure 37, elle peut être modifiée avec la langue utilisée pour la page de blocage. Il est possible de choisir entre les différentes langues de la liste. La page de blocage est la page affichée à la place de la page demandée quand NetOp Netfilter a trouvé un contenu inapproprié. De plus, il est possible de remplacer la page de blocage standard par une page basée sur un modèle HTML. Pour utiliser le modèle, il doit être importé à l aide de la fonction Importation du modèle et Utiliser modèle HTML doit être coché. Remarque : [%%] commandes remplace la ligne entière et {%%} commandes remplace uniquement l'occurrence de la balise. Figure 37 : Configuration de la page de blocage. Voir les rubriques : Dépannage Cache NetOp Netfilter stocke les sites visités dans un cache pour améliorer la vitesse quand les pages sont de nouveau visitées. Pour supprimer le contenu de ce cache, sélectionnez Avancé > Cache et cliquez sur Réinitialiser. Les chiffres au-dessus du bouton Réinitialiser spécifient l espace mémoire et disque utilisé pour le cache. 48

49 Configuration et supervision du serveur Figure 38 : Cache. Voir les rubriques : Dépannage Programmation du temps NetOp Netfilter vous permet de régler certains paramètres en fonction d une programmation du temps. Ces paramètres indiquent si un segment particulier a accès à Internet, si le filtrage est activé et si c est le cas, ce qui doit être bloqué. Figure 39 : Programmation du temps. Pour activer l utilisation d une programmation du temps, cochez Utiliser la programmation du temps sur la page Paramétrage de Netfilter Admin dans Avancé. Appuyez sur le bouton PROGRAMME pour modifier le programme. Quand la programmation du temps est vide, les paramètres spécifiés dans la fenêtre principale (comme décrits dans les sections précédentes) sont utilisés. Quand les paramètres ont été spécifiés pour un bloc dans la programmation du temps, ceux-ci annulent les paramètres 49

50 Configuration et supervision du serveur spécifiés dans la fenêtre principale. Les paramètres d un bloc dans la programmation du temps peuvent être ajoutés en cliquant sur l intervalle de temps pour le début de la période puis, tout en maintenant le bouton de la souris enfoncé, en tirant pour marquer la période souhaitée. Quand la période a été marquée, cliquez avec le bouton droit sur la zone marquée et sélectionnez Ajouter... Le contenu de la fenêtre passe alors au panneau de configuration montré à droite dans la Figure 39.. Dans le panneau de configuration, vous pouvez régler le début et la fin de la période et choisir les jours de la semaine pour lesquels les paramètres que vous spécifiez doivent être appliqués. Vous pouvez aussi choisir les segments pour lesquels ces paramètres doivent être utilisés, c est-à-dire que différents segments peuvent avoir des paramètres différents pour la même période. Les paramètres pour la période que vous avez sélectionnée sont édités dans la liste au bas de la fenêtre. Reportez-vous aux sections précédentes pour de plus amples informations sur ces paramètres. Lorsque vous avez spécifié les paramètres devant être utilisés, les segments pour lesquels ils doivent être utilisés et la période pendant laquelle ils doivent être utilisés, appuyez sur APPLIQUER. Ceci vous ramène à la programmation du temps, où vous pouvez ajouter de nouveaux blocs, modifier les paramètres des blocs existants et supprimer des blocs. Pour modifier les paramètres d un bloc, choisissez Modifier... dans le menu qui s affiche quand vous cliquez avec le bouton droit sur le bloc. Pour supprimer un bloc de la programmation du temps, sélectionnez Supprimer dans le menu. Si vous souhaitez voir la programmation pour un segment particulier, sélectionnez ce segment dans la liste déroulante au sommet de la fenêtre. Pour fermer la fenêtre de programmation du temps, appuyez sur le bouton X dans le coin supérieur droit de la fenêtre. Voir les rubriques : Dépannage Comptes & privilèges Il est possible de créer plusieurs comptes utilisateurs et d attribuer des privilèges différents aux différents groupes d utilisateurs de Netfilter Admin. Les comptes utilisateur sont gérés à partir de la fenêtre montrée dans Figure 40. Une liste des groupes est affichée dans la partie supérieure de la fenêtre. Le groupe auquel chaque utilisateur appartient est affiché dans la partie inférieure. Pour créer un nouveau groupe, appuyez sur Ajouter. Cela amène une nouvelle fenêtre où le nom, la description et les privilèges du groupe sont choisis, voir Figure 41. La même fenêtre peut ensuite être ouverte en sélectionnant le groupe et en choisissant Propriétés. Les groupes auxquels aucun utilisateur n est attribué peuvent être supprimés à l aide du bouton Supprimer. Un groupe peut se voir attribuer le privilège nécessaire pour modifier la liste Toujours bloquer et la liste Toujours autoriser ou le privilège d un accès illimité à tous les paramètres. Un nouvel utilisateur peut être ajouté avec le bouton Ajouter sous la liste des comptes utilisateurs. Dans la fenêtre qui s affiche, le nom, le mot de passe, l appartenance de groupe, etc. sont choisis, voir Figure 42 et Figure 43. Si le compte doit expirer automatiquement après un certain temps, cochez Le compte expire le et entrez la date et l heure de l expiration. Comme pour les groupes, les propriétés de l utilisateur peuvent être affichées avec Propriétés et l utilisateur peut être supprimé avec Supprimer. 50

51 Configuration et supervision du serveur Figure 40 : Comptes & privilèges. Figure 41 : Propriétés du groupe. 51

52 Configuration et supervision du serveur Figure 42 : Propriétés de l utilisateur. Figure 43 : Propriétés de l utilisateur. Voir les rubriques : Dépannage 3.5 Rubrique Statistiques Comme le montre la colonne à gauche de la capture d écran dans la Figure 34, il est possible d'afficher diverses informations concernant le filtre. Celles-ci sont décrites ci-dessous. Toutes les informations de cette colonne sont calculées sur la période incluse entre le dernier redémarrage et l'instant même. Moy. requêtes/s nombre moyen de requêtes par seconde. Une requête désigne une demande de page Internet. Max. requêtes/s nombre maximal de requêtes par seconde. Total requêtes nombre total de requêtes. 52

53 Configuration et supervision du serveur Requêtes autorisées nombre total de requêtes que le filtre a autorisées. Requêtes bloquées nombre total de requêtes que le filtre a bloquées. Sessions ouvertes nombre de sessions (connexions client) actuellement actives dans NetOp Netfilter. Moy. octets/s quantité moyenne de données dirigées à travers NetOp Netfilter par seconde. Max. octets/s quantité maximum de données qui a été dirigée à travers NetOp Netfilter en une seconde. Total octets quantité totale de données qui a été dirigée à travers le filtre depuis le dernier démarrage. L unité octets se transforme en Ko puis en Mo au fur et à mesure de l augmentation de la quantité de données. Figure 34 : Statistiques de NetOp Netfilter. Voir les rubriques : Graphiques et Dépannage Graphiques Il est possible de contrôler l importance de la charge sur NetOp Netfilter. Pour cela, cochez le graphique Requêtes traitées, le graphique Quantité de données traitées, ou les deux. De cette façon, il est possible d obtenir une mesure instantanée de la charge sur le serveur. Le graphique Requêtes traitées montre combien de requêtes par secondes sont dirigées à travers NetOp Netfilter au moment de la lecture du graphique, et le graphique Quantité de données traitées montre la quantité totale des données dirigées à travers NetOp Netfilter. Les deux graphiques sont mis à jour avec le même intervalle que les informations dans la colonne de gauche. Il est possible de régler la fréquence des mises à jours, voir la figure 34. La plage de chaque fenêtre de graphique peut être réglée à l aide du glisseur à droite. Voir les rubriques : Rubrique Statistiques 53

54 Configuration et supervision du serveur 3.6 Rubrique Proxy Cette rubrique permet de configurer les ports sur lesquels NetOp Netfilter fonctionne et de déterminer si le trafic de NetOp Netfilter doit être dirigé via un proxy externe. Figure 33 : Configuration des numéros de port et du proxy externe de NetOp Netfilter. Voir les rubriques : Proxy, Proxy Netfilter et Proxy d accès Inet Netfilter Proxy Netfilter Ici, il est possible de configurer quel port doit être utilisé par les navigateurs pour l accès Internet à travers NetOp Netfilter. La valeur par défaut pour ce port est 3128, qui est le port habituellement utilisé pour les serveurs proxy. Si un autre port est souhaité, entrez-le dans le champ Port filtre. Si NetOp Netfilter est utilisé sans un serveur proxy externe, il n est généralement pas nécessaire de modifier ce port. Voir ci-dessous pour de plus amples informations sur l utilisation d un serveur proxy externe. Sur NetOp Netfilter, il est aussi possible de changer le port utilisé pour la communication avec NetOp Netfilter Admin. Au départ, il est réglé sur Si un autre port est souhaité, entrez-le dans le champ Port admin. Souvenez-vous que lors des connexions consécutives de NetOp Netfilter Admin, le nouveau port doit être entré à la place, comme décrit dans la section Connexion. Les modifications des paramètres du port ne seront pas activées tant que vous n'appuyez pas sur le bouton APPLIQUER. Remarque : NetOp Netfilter sera inactif pendant une courte période pendant le temps de prendre en compte les modifications. Remarque : si le 9600 est déjà pris sur l ordinateur sur lequel NetOp Netfilter est exécuté, le port de NetOp Netfilter Admin peut être changé en modifiant le fichier texte Data/ ProxyAdminPort.cfg, placé dans le dossier NetOp Netfilter sur le serveur de filtrage. Il n'est possible de communiquer avec NetOp Netfilter à travers NetOp Netfilter Admin qu'une fois cette modification effectuée. Voir : Proxy, Rubrique proxy, Proxy d accès Inet-access et Dépannage 54