Cahier des charges Galaxy Swiss Bourdin Table des matières : I/Description du laboratoire GSB II/Description du Système Informatique III/Organisation du réseau IV/Salle serveur et connexion internet V/Description d Abstergo VI/Les besoins de l entreprise GSB VII/Etude des solutions techniques VIII/Choix du matériel et des logiciels IX/Mise en œuvre des solutions techniques X/Sécurisation du réseau
I/Description du laboratoire GSB 1/Le secteur d'activité L industrie pharmaceutique est un secteur très lucratif dans lequel le mouvement de fusion acquisition est très fort. Les regroupements de laboratoires ces dernières années ont donné naissance à des entités gigantesques au sein desquelles le travail est longtemps resté organisé selon les anciennes structures. Des déboires divers récents autour de médicaments ou molécules ayant entraîné des complications médicales ont fait s'élever des voix contre une partie de l'activité des laboratoires : la visite médicale, réputée être le lieu d arrangements entre l'industrie et les praticiens, et tout du moins un terrain d'influence opaque. 2/L'entreprise Le laboratoire Galaxy Swiss Bourdin (GSB) est issu de la fusion entre le géant américain Galaxy (spécialisé dans le secteur des maladies virales dont le SIDA et les hépatites) et le conglomérat européen Swiss Bourdin (travaillant sur des médicaments plus conventionnels), lui-même déjà union de trois petits laboratoires. En 2009, les deux géants pharmaceutiques ont uni leurs forces pour créer un leader de ce secteur industriel. L'entité Galaxy Swiss Bourdin Europe a établi son siège administratif à Paris. Le siège social de la multinationale est situé à Philadelphie, Pennsylvanie, aux Etats-Unis. La France a été choisie comme témoin pour l'amélioration du suivi de l'activité de visite. Réorganisation Une conséquence de cette fusion, est la recherche d'une optimisation de l activité du groupe ainsi constitué en réalisant des économies d échelle dans la production et la distribution des médicaments (en passant par une nécessaire restructuration et vague de licenciement), tout en prenant le meilleur des deux laboratoires sur les produits concurrents. L'entreprise compte 480 visiteurs médicaux en France métropolitaine (Corse comprise), et 60 dans les départements et territoires d'outre-mer. Les territoires sont répartis en 6 secteurs géographiques (Paris-Centre, Sud, Nord, Ouest, Est, DTOM Caraïbes-Amériques, DTOM Asie-Afrique). Une vision partielle de cette organisation est présentée ci-dessous.
NORD PARIS CENTRE OUEST EST SUD Après deux années de réorganisations internes, tant au niveau du personnel que du fonctionnement administratif, l'entreprise GSB souhaite moderniser l'activité de visite médicale.
II/Description du Système Informatique 1/Le système informatique Sur le site parisien, toutes les fonctions administratives (gestion des ressources humaines, comptabilité, direction, commerciale, etc.) sont présentes. On trouve en outre un service laborecherche, le service juridique et le service communication. La salle serveur occupe le 6ème étage du bâtiment et les accès y sont restreints (étage accessible par ascenseur à l'aide d'une clé sécurisée, portes d'accès par escalier munies d'un lecteur de badge, sas d'entrée avec gardien présent 24h/24). Les serveurs assurent les fonctions de base du réseau (DHCP, DNS, Annuaire et gestion centralisée des environnements) et les fonctions de communication (Intranet, Messagerie, Agenda partagé, etc.). On trouve aussi de nombreuses applications métier (base d'information pharmaceutique, serveurs dédiés à la recherche, base de données des produits du laboratoire, base de données des licences d'exploitation pharmaceutique, etc.) et les fonctions plus génériques de toute entreprise (Progiciel de Gestion Intégré avec ses modules RH, GRC, etc.). Un nombre croissant de serveurs est virtualisé. Constitué autour de VLAN, le réseau segmente les services de manière à fluidifier le trafic. Les données de l'entreprises sont considérées comme stratégiques et ne peuvent tolérer ni fuite, ni destruction. L'ensemble des informations est répliqué quotidiennement aux Etats-Unis par un lien dédié. Toutes les fonctions de redondances (RAID, alimentation, lien réseau redondant, Spanningtree, clustering, etc.) sont mises en œuvre pour assurer une tolérance aux pannes maximale. 2/La gestion informatique La DSI (Direction des Services Informatiques) est une entité importante de la structure Europe qui participe aux choix stratégiques. Pour Swiss-Bourdin, qui occupait le siège parisien avant la fusion, l'outil informatique et l'utilisation d'outils décisionnels pour améliorer la vision et la planification de l'activité ont toujours fait partie de la politique maison, en particulier pour ce qui concerne la partie recherche, production, communication et juridique.
La partie commerciale a été le parent pauvre de cette informatisation, les visiteurs étant vus comme des acteurs distants autonomes. La DSI a convaincu l'entreprise que l'intégration des données fournies par cette partie aura un impact important sur l'ensemble de l'activité. 3/L'équipement L'informatique est fortement répandue sur le site. Chaque employé est équipé d'un poste fixe relié au système central. On dénombre ainsi plus de 350 équipements terminaux et un nombre de serveurs physiques conséquent (45 en 2012) sur lesquels tournent plus de 100 serveurs virtuels. On trouve aussi des stations de travail plus puissantes dans la partie labo-recherche, et une multitude d'ordinateurs portables (personnels de direction, service informatique, services commerciaux, etc). Les visiteurs médicaux reçoivent une indemnité bisannuelle pour s'équiper en informatique (politique Swiss-Bourdin) ou une dotation en équipement (politique Galaxy). Il n'y a pas à l'heure actuelle d'uniformisation des machines ni du mode de fonctionnement Chaque employé de l'entreprise a une adresse de messagerie de la forme nomutilisateur@swissgalaxy.com. Les anciennes adresses de chaque laboratoire ont été définitivement fermées au 1er janvier 2011.
III/Organisation du réseau 1/Répartition des services Chaque étage dispose d'une baie de brassage qui le relie par une fibre à la baie centrale de la salle serveurs. Toutes les salles de réunion sont équipées d'un point d'accès Wifi positionné par défaut dans le VLAN "Visiteurs" qui autorise uniquement un accès Internet. Les portables connectés en wifi à ce point d'accès reçoivent ainsi une adresse IP et n'ont, par conséquent accès qu'aux services DHCP et DNS. Fibre Fibre 6ème Etage : Salle Serveurs 6ème Etage : Salle Serveurs 5ème Etage : Direction / + 1 salle de réunion 5ème Etage RH /: DSI Direction / + 1 salle de réunion RH / DSI 4ème Etage : Informatique (Réseau & Système) 4ème Etage : Informatique / Compta (Réseau / Juridique & Système) / Compta / Juridique 3ème Etage : Labo-Recherche + 1 salle de réunion 3ème Etage : Labo-Recherche + 1 salle de réunion 2ème Etage : Développement / + 1 salle de réunion 2ème Etage : Développement / + 1 salle de réunion Commercial Commercial Le point d accès peut être configuré à la demande pour être raccordé à un VLAN présent au niveau de l'étage. 1er 1er Etage Etage : Communication : Communication / Rédaction / Rédaction / Secrétariat / Secrétariat Administratif Administratif RDC RDC : Accueil : Accueil / Sécurité / Sécurité / / + + 2 salles 2 salles de de réunion réunion Caféteria Caféteria + + 1 salle 1 salle ««démonstration» Chaque salle de réunion dispose d'un vidéoprojecteur, d'enceintes et d'un tableau numérique interactif. La salle "Démonstration" est destinée à l'accueil des organismes de santé (AFSSAPS notamment) et des partenaires scientifiques. Elle dispose de paillasses et d'équipements de laboratoire, en plus d'une salle de réunion.
2/Segmentation L'organisation des VLAN et de l'adressage IP est la suivante : N VLAN Service(s) Adressage IP 10 Réseau & Système 192.168.10.0/24 20 Direction / DSI 192.168.20.0/24 30 RH / Compta / Juridique / Secrétariat Administratif 40 Communication / Rédaction 192.168.30.0/24 192.168.40.0/24 50 Développement 192.168.50.0/24 60 Commercial 192.168.60.0/24 70 Labo-Recherche 192.168.70.0/24 100 Accueil 192.168.100.0/24 150 Visiteurs 192.168.150.0/24 200 Démonstration 192.168.200.0/24 300 Serveurs 172.16.0.0/17 400 Sortie 172.18.0.0/30 Les règles actuelles concernant les vlans sont les suivantes : chaque vlan (sauf le vlan visiteur) peut uniquement accéder (quel que soit le protocole) aux vlans "Serveurs" et "Sortie"; le vlan "Visiteurs" peut uniquement interroger les serveur DNS et DHCP et sortir sur internet ;
IV/Salle serveur et connexion internet L'organisation des serveurs est la suivante. Il n est pas précisé si les serveurs sont virtualisés ou non. Seuls les serveurs principaux sont présentés, les redondances n'apparaissent pas. Internet RTROUT Routeur / Nat 172.31.0.1 /30 172.31.0.2 /30 172.18.0.2 ProxSILAB Proxy / firewall 172.18.0.1 Adresse n 1 dans chaque VLAN 172.16.0.1 MUTLAB Commutateur de niveau 3 Routage inter-vlan / ACL Vers les services MESSAGLAB 172.16.0.20 Messagerie galaxy-swiss.com INTRALAB 172.16.0.100 Serveur itnranet NOTICELAB 172.16.40.100 Notices sur les produits GSB BDMEDOCLAB 172.16.70.100 Base de données sur les produits GSB BDMED 172.16.60.100 Données sur les médecins REZOLAB 172.16.0.10 Serveur DHCP /DNS LABANNU 172.16.0.30 Annuaire et contrôleur du domaine galaxy-swiss.com JURILAB 172.16.30.100 Serveur de documents Juridiques PGILAB 172.16.30.110 Serveur PGI RH, Comptabilité, GRC BDPHARMA 172.16.70.110 Base de données pharmaceutique Les bases de données des serveurs BDMED et BDPHARMA sont achetées périodiquement auprès d'organismes extérieurs et tenues à jour par les employés entre deux achats. Le commutateur MUTLAB assure un fonctionnement de niveau 3. À ce titre, il réalise un routage inter-vlan en limitant les communications grâce à des listes de contrôles d'accès (ACL). Le serveur de messagerie et l'intranet sont limités à un usage interne au site parisien. Des services externalisés (relai de messagerie auprès de l'opérateur et recopie d'une partie du serveur intranet sur le serveur Web hébergé chez un prestataire) permettent aux visiteurs médicaux d'utiliser la messagerie de l'entreprise et d'avoir accès aux principales informations de l'intranet (Comité d'entreprise, circulaires importantes, stratégie de l'entreprise, comptes rendus de CA, etc.). La messagerie publique @swiss-galxy.com est hébergée aux États-Unis.
V/Description d Abstergo : Abstergo est une entreprise proposant des prestations afin d implémenter des réseaux. Notre société informatique s'adresse à des PME ou multinational ne disposant pas de ressources en interne et désirant de bénéficier des avantages inhérents à l externalisation et aux bonnes pratiques de son système d'information. Abstergo mutualise les coûts, les compétences et les ressources pour permettre à une société d accéder à des compétences polyvalentes et élevées. Il prend en charge la totalité de votre réseau et mettons à votre disposition les ressources humaines et matérielles nécessaires au bon fonctionnement de votre outil informatique. Conseil, assistance aux utilisateurs, visites préventives sur site, dépannages en urgence, sécurisation du réseau, contrôle des sauvegardes, tout est mis en œuvre pour assurer la performance du réseau et la satisfaction du client. Les contrats de maintenance informatique prévoient l audit, la maintenance et la surveillance de votre réseau informatique (serveurs, postes de travail, imprimantes, switch ) L équipe technique dispose d expériences significatives dans la gestion de réseaux informatiques de PME. La sélection stricte des profils d administrateurs réseaux (BAC+2, BAC +3) ou de consultants assure polyvalence technique, pédagogie auprès des utilisateurs et un conseil adapté aux attentes. La formation continue du service technique et commercial, l étude des dernières solutions assurée par les consultants permettent au SSII de proposer aux clients des solutions récentes, adaptées et répondant à vos besoins. VI/Les besoins de l entreprise GSB : Suite à la fusion des deux entreprises pour créer l entreprise GSB, l entreprise souhaite mettre à niveau, optimiser et sécuriser partiellement son réseau informatique. Il est nécessaire de respecter certaines règles imposées par GSB : Chaque vlan (sauf le vlan «Visiteur») peut uniquement accéder (quel que soit le protocole) aux vlans «Serveurs» et «Sortie» Le vlan «Visiteur» peut uniquement interroger les serveurs DNS et DHCP et sortir sur internet Listes des besoins de l entreprise GBS : Création d un réseau WI-FI Invité Implémentation d un logiciel de gestion d incident Implémentation d un logiciel de gestion de configuration Mise en place d une connexion sécurisée à Internet
Possibilité d accès à distance à un poste ou à un serveur Implémentation d un serveur de messagerie Création des bases de données nécessaires aux fonctionnements des services Implémentation d une solution de sauvegarde Implémentation d un système de partage sécurisé Implémentation des services Active Directory, DNS et DHCP Le réseau doit être sécurisé et ne doit pas être libre d accès même pour les invités Les solutions proposées doivent avoir un bon rapport qualité/prix, les solutions open-source et gratuites seront prioritaires VII/Etude des solutions techniques : Abstergo conformément aux besoins de l entreprise GSB a effectué une étude des solutions techniques. Ainsi elle propose plusieurs solutions en réponse aux exigences de l entreprise GSB. Implémentation d un logiciel de gestion d incident = GLPI Implémentation d un logiciel de gestion de configuration = OCS Inventory Mise en place d une connexion sécurisée à Internet = IPCOP Possibilité d accès à distance à un poste ou à un serveur = Remote Desktop Protocol et connexion SSH Implémentation d un serveur de messagerie = Smater Mail Création des bases de données nécessaires aux fonctionnements des services Implémentation d une solution de sauvegarde = Cobian Backup Implémentation d un système de partage sécurisé = Partage Windows (Authentification via l Active Directory) Le réseau doit être sécurisé et ne doit pas être libre d accès même pour les invités Abstergo s engage à optimiser le réseau via la répartition des charges réseaux et des charges serveurs afin de prévenir d une paralysie totale du réseau en cas de panne ou de congestion du réseau. Structure du réseau : Un serveur sera utilisé pour accueillir l Active Directory, la connexion SSH, les lecteurs et dossiers partagés ainsi que le DNS. Un serveur sera utilisé pour faire de la virtualisation sous VMware Workstation Un autre serveur disposant de deux interfaces réseaux ayant IPCOP installé. Ce serveur assurera la fonction de Pare-feu, de serveur Mandataire, et de supervision du réseau. Il y aura deux serveurs virtualisés : Un serveur accueillera les serveurs GLPI et OCS ainsi que leurs bases de données Un autre serveur sera le serveur DHCP du réseau Un point d accès WI-FI Un switch de niveau 2
Un routeur de niveau Plusieurs topologies en étoiles seront utilisées Câblage par câbles Ethernets 100Base-T Voici un schéma prototype du réseau à mettre en place VIII/Choix du matériel et des logiciels : L entreprise GSB afin de réduire les coûts souhaite utiliser au maximum les ressources en opensource et gratuite. Pour le choix des systèmes d exploitation on utilisera deux serveurs sous Windows 2008 R2 de Microsoft, payants. Un pour utiliser le service Active Directory et l autre pour faire de la virtualisation de type 2. Le reste des serveurs tournera sous Debian Squeeze, une distribution Linux gratuite. Le prix de la licence Windows Server 2008 R2 est de 1028.11 Le serveur messagerie sera assurée par SmarterMail un logiciel gratuit. Le logiciel de messagerie client sera un logiciel gratuit lui aussi tel que Thunderbird. Le logiciel de sauvegarde est lui aussi gratuit. C est Cobian Backup qui va s occuper de sauvegarder les serveurs. Les logiciels de gestions d incidents et de gestions de configurations sont GLPI et OCS qui opèrent ensemble et sont en Open-Sources. IPCOP est un système d exploitation utilisant un noyau linux. Il est gratuit et en open-source.
Pour la virtualisation de type 2, nous avons le choix en hyper-v et VMware Workstation. Par soucis de qualité et de facilité nous préférons prendre une licence VMware Workstation 9 à 193.50 Pour le choix du switch nous permettant de faire les VLANs il nous faut un minimum de 8 ports pour préparer à l avance une extension du réseau. Nous avons retenus trois switchs : Cisco Small Business SG 200-08P 188.90 Cisco Small Business SG 200-08 99.90 Netgear GS108T 84.81 Ils ont sensiblement les mêmes caractéristiques donc notre choix se porte sur le moins cher. Nous utiliserons donc un switch Netgear GS108T. Pour les switchs étant utilisés comme HUB nous avons 3 choix possibles : TP-Link Switch TL-SF1005D 10.99 Cisco SF 100D-08 36.90 Cisco SG 100D-08P 139.99 Tout d abord le switch TP-LINK ne possède que 5 ports ce qui peut être juste. De plus le Cisco SG 100D-08P est très cher pour ce que l on va en faire. Nous décidons donc de prendre le Cisco SF 100D- 08 à 36.90. Pour le choix de la solution WI-FI, nous avons le choix entre 3 modèles différents. Cisco WAP4410N 144.90 Cisco WAP321 199.95 D-Link DAP-1160 40.39 Il nous faut juste un point d accès WI-FI rien de particulier nous optons donc pour le D-Link DAP-1160 à 40.39.
Les machines physiques pour accueillir les systèmes d exploitation sont déjà en place. Nom Nombre Prix à l unité Total Windows Server 2008 R2 VMware Workstation 9 2 1028.11 2056.22 1 193.50 193.50 Netgear GS108T 1 84.81 84.81 Cisco SF 100D-08 1 36.90 36.90 D-Link DAP-1160 1 40.39 40.39 Total TTC 2411.82 L achat de tout le matériel nécessaire à la mise en œuvre de l implémentation d un réseau visiteur/client a un coût estimé à 2411.82. L entreprise GSB paye un forfait à 780 la journée de travail. La durée estimée de la mise en place et de la configuration du réseau est de 7 jours hors empêchement ou problème. Ensuite 4 jours seront exclusivement consacrés à la sécurisation du réseau au même tarif. L estimation du coût de la prestation est de 8580.00 Le coût total des opérations est de 10991.82 IX/Mise en œuvre des solutions techniques : Tout d abord nous allons mettre à niveau le réseau puis après nous sécuriserons le réseau et enfin testerons le fonctionnement des différents services après la sécurisation du réseau. 1/Le serveur ANNULAB : On installe sur ce serveur Windows Server 2008 R2, il a une adresse réservé sur le DHCP. On installe l Active Directory et le DNS. On installe aussi un logiciel de connexion ssh permettant la connexion à distance aux serveurs Linux ainsi qu un SGBD : SQL Server et un serveur de messagerie avec SmarterMail. Les lecteurs réseaux et dossiers partagés se trouveront physiquement dessus. On installe aussi la solution de sauvegarde Cobian Backup.
2/Le serveur DHCP-LAB : On installe sur ce serveur Debian Squeeze. Il sera le serveur DHCP du réseau. Il est en adresse IP fixe en 10.10.100.230 Le plan d adressage IP utilisé est le suivant : L adresse du réseau sera 10.10.100.0 Le masque sous-réseau est 255.255.255.0 L étendue du DHCP est 10.10.100.100-10.10.100.150 Deux serveurs auront une réservation d adresse IP : ANNULAB en 10.10.100.104 GLPIOCSLAB en 10.10.100.105 La passerelle par défaut est 10.10.100.254 (IPCOP) Le DNS est 10.10.100.104 3/Le serveur GLPIOCSLAB : On installe sur ce serveur Debian Squeeze et les paquets nécessaires au fonctionnement d un serveur Apache. Ce serveur contient le logiciel de gestion d incident GLPI et de gestion de configuration OCS et donc un SGBD MySQL pour accueillir les bases de données nécessaires à leur fonctionnement. Il a une adresse réservé sur le DHCP. LES SERVEURS GLPIOCSLAB ET DHCP-LAB SE TROUVE SUR DES MACHINES VIRTUELS SOUS VMWARE WORKSTATION LUI-MEME INSTALLE SUR UN WINDOWS SERVER 2008 R2. LES SAUVEGARDES SONT FAITES PAR LE LOGICIEL COBIAN BACKUP AINSI QUE PAR VMWARE WORKSTATION QUI SAUVEGARDE LES MACHINES VIRTUELLES. 4/Le serveur IPCOP : Le serveur IPCOP a une adresse IP fixe 10.10.100.254. Il fait office de pare-feu, serveur mandataire et permet la supervision du réseau ainsi que de sécuriser l accès à Internet.
5/SWITCH NETGEAR GS108T : On utilise le switch pour créer les VLANs dont on a besoin. On crée 4 VLANs. Les VLANs sont des VLANs de niveau 1 : VLAN par port. VLAN Serveurs : Ports 2-3 peut joindre tous les VLANs VLAN Clients : Port 5 peut joindre VLAN Serveurs et Sortie VLAN Invités : Port 6 peut joindre VLAN Serveurs et Sortie VLAN Sortie : Port 8 peut joindre tous les VLANs Le port 1 du switch est le port de management du switch. 6/D-Link DAP-1160 : La WI-FI est activée. La sécurité est assurée par une protection par clé WPA2-AES. Le filtrage MAC est désactivé et le SSID est diffusé. Il porte le nom de GSB.Invités. Il est en libre-accès. X/Sécurisation du réseau : Après la mise ne place du réseau il est nécessaire de le sécuriser. Tout d abord nous allons activer IPCOP. Le serveur possède 2 interfaces réseaux. L interface donnant sur le routeur est considérer comme l interface ROUGE et l interface donnant sur le réseau local est l interface VERTE. Ainsi IPCOP va surveiller les trames qui passeront entre les deux interfaces. Nous allons empêcher l utilisation des navigateurs autre que Internet Explorer 9/10 car il est le navigateur le plus sécurisé au détriment de la vitesse, ce réglage se fait aussi sur IPCOP. Nous pouvons aussi activer le pare-feu d IPCOP pour bloquer le port 20,21,22,23. Le serveur IPCOP se trouvant sur le chemin entre le réseau local et Internet il est obligatoire de passer par lui pour joindre Internet de ce fait impossible de contourner le pare-feu et le serveur mandataire (proxy).