CONTEXTE PPE2 SISR RDPL-GPI MISSION 8 Infrastructure réseau Prototypage Phase 8 Prototypage d une infrastructure inter-sites sécurisée pour des lycées La direction de RDPL GPI veut maintenant travailler sur la 3 ème étape : Etude et prototypage d une infrastructure réseau sécurisée et modulaire. Elle veut mettre en place pour tous ses clients la même infrastructure-type. Parmi ces clients, il y a de nombreux lycées. Vous êtes chargés de prototyper l installation et la configuration d une infrastructure réseau chez un client de type lycée, par équipe de 4 ou 5 étudiants. Présentation du contexte Le schéma ci-dessous détaille l infrastructure d un client et de RDLP-GPI. Le LAN «CLASSIC» joue le rôle de réseau d accès Internet. 0 172.301.0/24 80 172.302.0/24 19268.228 Une plateforme simulant RDGPL-GPO pourrait permettre aux étudiants de tester : - «en interne» l accès à l interface pseudo-publique de leur pare-feu. Exemple : http://19268.228:21080 ou bureau distant sur 19268.228:21389 - «en externe» l accès aux maquettes de l autre site en sortant réellement sur internet. Exemple : http://805.82.28:31080 ou bureau distant sur 805.82.28:31389 Une machine par groupe pourrait être disponible sur cette plateforme pour tester le bureau distant et l accès. Port 21080 => 172.302:80 (XAMPP) Port 21180 => 172.30280:80 (OCS) Port 21389 => 172.3010:3389 (Bureau Dist) Réseau SIO LA MARTINIERE Réseau pédagogique 19268.224.0 /21 LAN CLASSIC PFSENSE 19268.224.253 Redirections ports : 21080 => 19268.228:21080 21180 => 19268.228:21180 21389 => 19268.228:21389 22080 => 19268.228.2:22080 22180 => 19268.228.2:22180 22389 => 19268.228.2:22339 23080 => 19268.228.3:23080 23180 => 19268.228.3:22180 23389 => 19268.228.3:23389 20080 => 19268.2280:20080 82.233.3955 FreeBox INTERNET 0 Plateforme simulant RDPL-GPI 1 2 LAN RDPLGPI 172.3001.0/24 3 4 5 DMZ RDPL-GPI 172.3002.0/24 19268.2280 /21 Port 20080 => 172.3002:80 J ai omis l utilisation de proxy labo qui est transparente. L adresse que l on donne aux étudiants et 224.253 (activée ou pas) mais l adresse réelle est 224.3. Côté LAMARTIN avec Plateforme RDPL-GPI Cette mission se déroulera en 3 étapes : 1. Mise en place et validation d un prototype d architecture client par chaque équipe localement 2. Validation de la maquette avec d autres sites clients, situés en dehors de Lyon (étudiants de BOURG en BRESSE) 3. Utilisation de la maquette pour simuler des interventions à distance chez les clients.
Première étape Cahier des charges Présentation de l architecture générale Comme on peut le constater dans le schéma ci-dessous, l infrastructure de chaque client est architecturée autour d un routeur-firewall qui sépare les 3 parties réseau : le LAN, la DMZ, et l INTERNET. Chaque partie correspond à un niveau de sécurité différent. 0 172.301.0/24 80 172.302.0/24 19268.228 Le choix de RDPL-GPI s est porté sur le firewall, installé sur une machine dotée de 3 cartes. Les principales règles sont les suivantes : Le LAN a accès à Internet, mais aucune communication ne peut être initiée depuis l internet sur le LAN. Le LAN a accès aux services présents dans la DMZ Certains services présents dans la DMZ doivent être accessibles depuis Internet. C est le cas notamment : o Du serveur du client o Du serveur OCS du client RDPL-GPI envisage d avoir également des accès privilégiés au réseau du client. Plan d adressage Vous devez respecter le plan d adressage figurant sur le schéma, en fonction de groupe. L annexe A montre le plan d adressage pour les 3 premiers groupes Chaque groupe disposera de deux machines virtuelles sur le LAN et de deux serveurs dans la DMZ : un serveur standard (type XAMP) et un serveur OCS (sous Windows ou Linux). Remarque : Les adresses sont toutes des adresses privées. Mais sur la «patte» internet la raison de cet adressage privé est uniquement le partage de la connexion réelle par toutes les équipes. Redirection Pour que les serveurs soient accessibles depuis l internet (réel ou fictif) il faut mettre en place des règles de redirection sur le pare-feu. Pour des raisons organisationnelles/techniques, ces ports sont différents d une équipe à l autre.
Mise en œuvre pratique Chaque groupe dispose d un switch CISCO et d une machine physique, comportant 3 cartes réseau, et dotée du système d exploitation Windows Seven et VMWARE workstation. sera installé sur une machine virtuelle, dont les cartes (virtuelles) seront bridgées sur les cartes réelles. Une documentation vous est fournie pour configurer VMWARE de manière à permettre l utilisation de plusieurs cartes physique en «bridgé». Physiquement les 3 cartes physiques seront connectées de la manière suivante : La «patte» LAN sera connectée sur la 1 ère carte de la machine (carte réseau interne) La «patte» Internet sera bridgée sur la 2 ème carte de la machine physique (carte Intel) La «patte» DMZ sera connectée sur la 3 ème carte de la machine physique (carte D-LINK) Pour des raisons pratiques, nous utiliserons un seul SWITCH par groupe, avec 6 ports dans un VLAN «LAN» et 6 ports dans le «DMZ». Le Routeur IpFire sera donc branché en «vert» sur le 1 er VLAN et en «Orange» sur le 2 ème VLAN. Les ports 1 à 6 du commutateur seront affectés au VLAN 10X et les ports 7 à 12 seront affectés au VLAN 20X. Les autres ports éventuels resteront dans le VLAN par défaut. Résultats attendus Par équipe, un compte-rendu de l installation est attendu par équipe, dans lequel figurera notamment : - Un schéma réseau spécifique à l équipe (Les adresses IP y figureront) - Un compte-rendu d installation (simplement les étapes personnalisées) et de configuration d - La configuration du commutateur. - Un rapport de test démontrant qu on peut accéder à Internet depuis le LAN et qu on peut accéder au service présent dans la DMZ à partir d Internet. Des postes simulant un accès depuis le réseau RDPL-GPI seront mis à votre disposition par les professeurs et vous permettront de simuler l accès depuis l Internet (fictif).
ANNEXE A SCHEMA INTER-SITES GLOBAL (Principe pour 3 groupes) ANNEXE B SCHEMA «côté» BOURG (Principe pour 3 groupes)
ANNEXE C PLAN D ADRESSAGE PAR GROUPE Plateforme Equipe 2 Plateforme Equipe 3 0 0 172.301.0/24 172.302.0/24 172.30.21.0/24 LAN groupe 2 DMZ groupe 2 172.30.22.0/24 0 80 80 172.30.31.0/24 LAN groupe3 DMZ groupe 3 80 172.30.32.0/24 19268.228 Port 21080 => 172.302:80 (XAMPP) Port 21180 => 172.30280:80 (OCS) Port 21389 => 172.3010:3389 (Bureau Dist) 19268.228.2 19268.228.3 Réseau SIO LA MARTINIERE Réseau pédagogique 19268.224.0 /21 Port 22080 => 172.30.22:80 Port 22180 => 172.30.2280:80 Port 22389 => 172.30.210:3389 LAN CLASSIC Port 23080 => 172.30.32:80 Port 23180 => 172.30.3280:80 Port 23389 => 172.30.310:3389 PFSENSE Redirections ports : 21080 => 19268.228:21080 21180 => 19268.228:21180 21389 => 19268.228:21389 22080 => 19268.228.2:22080 22180 => 19268.228.2:22180 22389 => 19268.228.2:22339 23080 => 19268.228.3:23080 23180 => 19268.228.3:22180 23389 => 19268.228.3:23389 19268.224.253 82.233.3955 FreeBox J ai omis l utilisation de proxy labo qui est transparente. L adresse que l on donne aux étudiants et 224.253 (activée ou pas) mais l adresse réelle est 224.3. INTERNET Côté LAMARTIN ANNEXE C CONSTITUTION DES EQUIPES Equipe 1 Equipe 2 Equipe 3 Equipe 4 Equipe 5 Equipe 6 - ABDALLAH - ANDRIAMANONGA - BAUDIN - BEJOINT - CHABBIA - COURY - MARTIN - MAHIEU - MADRU - MAMBOU - GROTZINGER - FRANCON - PAGANO - NGUYEN - MEMIC - PICAZO - ROCHE - ROSETTI - RUIZ - ZAKKOUR - YAHI - ZAOUGUI - TORGUE - TASER