Uradel / Sirec 14 rue Saumuroise BP ANGERS CEDEX 01. Région des Pays de la Loire 1 rue de la Loire Nantes

Transcription

1 Uradel / Sirec 14 rue Saumurise BP ANGERS CEDEX 01 Régin des Pays de la Lire 1 rue de la Lire Nantes

2 SOMMAIRE Intrductin Objectifs Architecture réseau Principes d architecture Architecture lgique Descriptin des znes Règles de cnfinement inter-znes Architecture physique Adressage IP Segmentatin du réseau Architecture système Service d'authentificatin, d'annuaire et de stckage Serveur administratif Serveur pédaggique Service pur assurer la cntinuité et la qualité de service Service de gestin des jurnaux... 8 Versin V page 2/8

3 1. INTRODUCTION 1.1. Objectifs Un bjectif du référentiel technique des lycées des Pays de la Lire est de définir une architecture (et sn évlutin) cmmune à tus les établissements de la régin. Cependant, les établissements de l'enseignement Cathlique rencntrent des cntraintes techniques et rganisatinnelles parfis différentes de celles de l'enseignement Public (pas d'accès direct aux ressurces des réseaux RACINE et AGRIATES, pas d'utilisatin généralisée des différents mdules du prjet Ele...). Ces particularités snt détaillées dans ce dcument en partant du principe que les pints nn cités snt détaillés dans le Référentiel Technique Régin. Ce dcument technique est à destinatin des administrateurs réseau en tant que guide des bnnes pratiques. Versin V page 3/8

4 2. ARCHITECTURE RESEAU 2.1. Principes d architecture Architecture lgique Généralités Le réseau d'un établissement est un réseau glbal mutualisant les myens d'accès administratifs et pédaggiques et utilisant le prtcle IP pur le dialgue entre les équipements. Il est régi par une plitique de sécurité lcale respectant la plitique académique et natinale, sus la respnsabilité de la Persnne Juridiquement Respnsable (PJR) représentée par le Chef d'etablissement. La mise en place de réseaux physiquement séparés du réseau glbal d établissement est cependant autrisée, pur des enseignements de Sectins de Techniciens Supérieurs (STS) particuliers. Le réseau glbal se décline en plusieurs znes, séparées par une passerelle de sécurité. Ces znes peuvent elles mêmes être segmentées en plusieurs sus-znes en fnctin de leur mise en œuvre technique. L accès Internet de l établissement est centralisé sur un seul pint de cnnexin prtégé par la passerelle de sécurité. Celle-ci dit assurer les fnctins de pare-feu, filtrage d'url et rutage inter zne. La passerelle peut se décmpser en briques indépendantes et chérentes qui assurernt ces fnctins. On peut précniser des matériels de rutage de type Netasq, Cisc Asa, Snicwall Le filtrage internet peut être assuré par des slutins de type Cmedu (Squid ), NetSurce, Ipcp, Pfsense Le cmmutateur fédérateur dit assurer les fnctins de rutage et de filtrage entre les sus-znes. Versin V page 4/8

5 Descriptin des znes L rganisatin des znes est la suivante : La zne I (Internet) dit être l'unique pint d'accès à Internet pur le site cncerné, mutualisant administratin et pédaggie. La zne Iv (Invitée) est à destinatin des invités en établissement qui suhaitent se cnnecter. Cette zne est cupée des autres et a uniquement accès à Internet. La zne S (Serveur) est la zne ù se truvent les ressurces de l'établissement à visibilité lcale (partagée entre les znes P, A u Z). La zne P (Pédaggie) est la zne intranet dite d'enseignement de l'établissement accessible par tute persnne de l'établissement, dnt les élèves. La zne A (Administratif) est la zne intranet accessible à tus les agents de l établissement au sein de l'établissement (u ayant drits désignés par le chef d'établissement). La zne Z (DMZ publique) est la zne ptinnelle de transit des utilisateurs qui arrivent d'internet et qui désirent accéder à des services fferts par l'établissement sclaire via des relais applicatifs. La visibilité des ressurces est natinale u internatinale. Versin V page 5/8

6 Règles de cnfinement inter-znes Par sn statut, le chef d'établissement exerce une respnsabilité sur l'ensemble des ressurces et de la sécurité au sein de tutes les znes décrites. Les règles de filtrage réseau régies par la passerelle de sécurité devrnt respecter le tableau suivant : De \ vers Zne S Serveur Zne S Serveur Zne A Zne P Zne Iv Zne Z Zne I Administrative Pédaggique Invitée DMZ publique Internet Autrisé Autrisé Cntrôlé Autrisé Autrisé Zne A Administrative Zne P Pédaggique Zne Iv Invitée Zne Z DMZ publique Zne I Internet Autrisé Autrisé Interdit Autrisé Autrisé Autrisé Interdit Interdit Autrisé Autrisé Interdit Interdit Cntrôlé Autrisé Cntrôlé Interdit Interdit Interdit (*) Interdit Cntrôlé Interdit Interdit Interdit Interdit Cntrôlé (*) signifie que des dérgatins, sus la respnsabilité du chef d'établissement, divent se faire en crdinatin avec les services rectraux Architecture physique L ensemble des spécificatins détaillées de mise en œuvre et d implémentatin du réseau physique de l établissement ainsi que la tplgie des pints d accès snt décrits dans la partie «câblage» du référentiel de la Régin Pays de la Lire Adressage IP La mise en œuvre du plan d adressage, le psitinnement des ressurces infrmatiques ainsi que l adressage des VLAN peuvent s inspirer des précnisatins dispnibles sur (Rubrique Gérer le réseau - 2nd degré / Architecture du réseau / Plan d adressage IP) Segmentatin du réseau Le réseau glbal d'établissement est segmenté en sus-réseaux par la technlgie des Vlans. Le pare-feu devant ruter et filtrer les znes I Z et Iv, les Vlans qui en déculent divent être définis au niveau 2. Versin V page 6/8

7 Le schéma suivant mntre un exemple de répartitin des Vlan dans une architecture classique. Il est susceptible d'évluer. L'adressage IP utilisé ne fait pas référence. 3. Architecture système 3.1. Service d'authentificatin, d'annuaire et de stckage Du fait de la respnsabilité juridique liée à la furniture d'accès au réseau et à Internet ainsi qu'au caractère persnnel de certaines dnnées, tut utilisateur dit être identifié et authentifié de façn unique avant d'accéder aux ressurces, et cela à partir de n imprte quel pste de travail du réseau de l établissement. Tute tentative d'accès dit être tracée ainsi que tute mdificatin de l'annuaire. Chaque établissement devra dispser de serveurs pur partager les ressurces et les lgiciels liés à l activité pédaggique u administrative, cet espace venant cmpléter si besin le stckage furni par l'ent Serveur administratif Par défaut, le serveur administratif est installé dans la salle serveur u dans le répartiteur général seln l'rganisatin de celui-ci. Il héberge le lgiciel privé de gestin des élèves (APLON, PROGINOV, MAGISTER, SNERI, STATIM, U.R.O.G.E.C ) ainsi que les applicatins de paie, cmptabilité Versin V page 7/8

8 Serveur pédaggique Par défaut, le serveur pédaggique est installé dans la salle serveur u dans le répartiteur général seln l'rganisatin de celui-ci. Il héberge le serveur de fichiers (Windws u Linux) destinés aux élèves et aux enseignants. Sus Windws, un util de gestin d'utilisateurs et stckages peut être utilisé (Iaca, Slstice, Kx ). Sus Linux, il est précnisé d utiliser les distributins rientées Educatin (Ele Scribe, Cmedu, NetSurce ) Service pur assurer la cntinuité et la qualité de service Service de gestin des jurnaux Le cadre législatif et réglementaire impse des règles en terme de traçabilité. Les événements tracés snt enregistrés dans des jurnaux (lgs). Ils snt utilisés à des fins de supervisin et d'explitatin et pur répndre à des exigences légales. Les lycées de l Enseignement Cathlique assurent lcalement la gestin et l'archivage de leurs jurnaux. Versin V page 8/8