PAGE DE GARDE - fabien-ls.fr 3 - Partie Réseau.pdf · Une adaptation de la maquette de simulation du fonctionnement de la Maison des Ligues de Loraine, préparée lors du projet

1

PAGE DE GARDE

PPE 3 BTS SIO SISR

Contenu : (Partie Infra Réseau) * Evolution de l'infrastructure Wireless de la Maison des Ligues * Prise en compte de la sécurité du réseau sans fil. * Maquette de simulation de fonctionnement.

F.Le Sehan Novembre 2013

2

Sommaire I. INTRODUCTION : .............................................................................................................................. 1

I.1 DEMANDES DU DOSSIER : .......................................................................................................... 1

I.2 DESCRIPTIF DE L'EXISTANT : ....................................................................................................... 1

I.3 DEMANDE DE MODIFICATIONS : ................................................................................................ 1

II. RAPPEL SUR LA SECURITE EN MATIERE DE RESEAUX WIFI : ............................................................ 2

III. SOLUTION "THEORIQUE" A L'INFRASTRUCTURE DE LA MAISON DES LIGUES. .............................. 3

IV. SOLUTION A ADOPTER SUR LA MAQUETTE. .................................................................................. 4

IV.1 MISE EN PLACE DU RESEAU WIFI-PUBLIC (visiteurs) : .............................................................. 5

IV.2 MISE EN PLACE DU RESEAU WIFI-PRIVE (permanent) : ........................................................... 8

1

I. INTRODUCTION : La Maison des Ligues de Lorraine dispose d'équipements d'accès sans fils au sein de ses bâtiments, mais il a été demandé à KOS Info de revoir la configuration et les équipements en place afin d'améliorer et de sécuriser le système en place.

I.1 DEMANDES DU DOSSIER :

Une étude sur les besoins en matériels et son déploiement.

Une étude sur la mise en place d'une stratégie de sécurité WIFI

Un descriptif de la solution proposé.

Une adaptation de la maquette de simulation du fonctionnement de la Maison des Ligues de Loraine, préparée lors du projet précédent afin d'intégrer notre nouvelle infrastructure WIFI.

I.2 DESCRIPTIF DE L'EXISTANT : WIFI : A l'heure actuelle, les espaces de la Maison des Ligues sont dotés d'un réseau wifi portant le nom de "visiteurs". Sécurisation : C'est grâce à une clé WIFI de type WPA (Wifi Protected Acces) qui est communiqué à toutes les ligues, que la connexion des postes est possible sur le réseau WIFI. Cette clé est également disponible sur le site intranet de la maison des ligues. Elle est renouvelée régulièrement afin qu'elle ne puisse pas être utilisée par des personnes étrangères à la maison des ligues. Cet accès WIFI ne permet pas d'accéder aux ressources du réseau, mais uniquement de pouvoir consulter le Web. Disposition actuelle des bornes : Actuellement, les points d'accès WIFI sont au nombre de 11.

3 bornes Wifi réparties au niveau des espaces de réunion du rez-de-chaussée des bâtiments.

4 bornes placées de parts et d'autres du bâtiment A (une par étage)

4 bornes placées de parts et d'autres du bâtiment C (une par étage)

I.3 DEMANDE DE MODIFICATIONS : Dans le cadre de notre contrat avec M2L, il nous a été demandé de modifier ce fonctionnement. Deux réseaux sans fils distincts devront apparaitre. Le premier ne diffère pas beaucoup de ce qui existe actuellement, il aura pour SSID "Visiteurs" et conservera le principe d'un accès au web uniquement. La sécurité ne sera simple étant donnée la fonction de ce réseau. Le deuxième est destiné aux "internes" de la maison des ligues et aura pour SSID "permanent". Il aura pour fonction de donner aux clients connectés l'accès aux ressources suivantes : Internet, réseau administratif et ressources d'impressions. La sécurité devra être forte puisque ce réseau donne accès à des ressources relativement importantes.

2 PPE 3 - ARCHITECTURE RESEAU - NOVEMBRE 2013 - Fabien LE SEHAN - SUP2 SISR

II. RAPPEL SUR LA SECURITE EN MATIERE DE RESEAUX WIFI : La technologie de cryptographie WEP est devenue obsolète car facilement "piratable", "crackable" de par son procédé de cryptage, le RC4. En effet, Il faut moins de 3 minutes à une personne ayant un peu de connaissances pour trouver une clé de cryptage de ce type. Cette norme à donc évoluée rapidement en WPA, norme un peu plus robuste basée sur la technologie de cryptage TKIP (Echanges des clés de cryptage de manière dynamique et chiffrement par paquet IP. Enfin, la norme la plus récente en matière de cryptographie est le WPA2. Cette nouvelle norme abandonne le chiffrement RC4 pour le RSA, en utilisant le cryptage asymétrique, beaucoup plus compliqué à pirater. De plus, deux possibilités s'offrent à nous pour cette sécurisation : - WPA2 PSK : Utilisation d'une phrase clé pour la connexion au réseau WIFI. (TKIP, Chiffrement par paquet IP) - WPA2 ENTREPRISE : Utilisation d'un serveur d'authentification 802.1x afin d'autoriser ou non le client à se connecter au réseau sans fil selon qu'il soit connu et approuvé ou non. (CCMP, utilise chiffrement AES)


III. SOLUTION "THEORIQUE" A L'INFRASTRUCTURE DE LA MAISON DES LIGUES. Nous allons dans notre solution conserver le matériel déjà en place au sein des différents bâtiments. En effet, leur placement physique semble judicieux d'âpres les plans des bâtiments que nous avons à disposition. Ce placement de parts et d'autres des bâtiments permet en théorie que les canaux (longueur d'ondes radio) utilisés ne se chevauchent pas, sans quoi des perturbations et des baisses de performances peuvent apparaitre. Mais il sera judicieux tout de même de ne pas utiliser les mêmes canaux sur les bornes placés assez proches les unes des autres. On préconisera de laisser 5 canaux entre deux bornes, soit une borne en Canal 1, la suivante en Canal 6 etc... Concernant l'emplacement physique des points d'accès : Ils resteront placés comme ils le sont actuellement. Le WIFI ayant une portée d'environ 100 mètres efficaces (pour garantir le débit maximum), il ne devrait pas y avoir de problèmes pour capter les bornes depuis tous les lieux à l'intérieur des bâtiments. (Nous n'avons pas d'informations sur les dimensions des étages dans notre dossier de contexte.) Les deux réseaux : Ils seront mis à disposition sur les bornes par la création de deux SSID. Chacun de ces réseaux sera placé dans un VLAN qui sera créé. Le Wifi à destination des visiteurs utilisera une clé de type WPA2-PSK. Le Wifi à destination des internes d'M2L sera quand à lui sécurisé grâce à une authentification WPA2 Entreprise, utilisant un serveur RADIUS. - Le premier, appelé "Visiteurs", aura donc une évolution au niveau de sa clé, passant du WPA au WPA2-PSK car bien que ce réseau ne donne pas accès aux parties importantes de l'infrastructure, la loi Hadopi impose que les accès soient sécurisés le mieux possible sous peine, en cas d'activités frauduleuses, de poursuites pour négligences, mettant en cause le responsable du SI / de l'entreprise. Nous définirons donc une clé WPA2-PSK, qui sera disponible pour les ligues et les visiteurs de la Maison des Ligues. Ce réseau ne devant permettre qu'un accès au Web, nous pourrons créer une ACL (Règle de filtrage) limitant les communications aux seuls ports utilisés par le Web : 80, 8080, 443. - Le Second réseau, nommé "Permanent", sera donc également créé via les bornes déjà en place au sein des bâtiments, il sera également mit en accès sur les VLANs correspondants aux demandes de la Maison des Ligues. Nous aurons donc besoin de donner l'accès aux VLANs du service de l'administration ainsi qu'au VLANs correspondants aux ressources du réseau : VLANs 5 et 6. Pour la sécurité, outre le fait de créer un VLAN spécifique pour ce réseau wifi, nous choisissons de mettre en place une authentification via un serveur RADIUS, basé sur des identifiants propres à chaque utilisateur devant accéder au réseau WIFI PERMANENT.


IV. SOLUTION A ADOPTER SUR LA MAQUETTE. Les possibilités restreintes des équipements présents sur le logiciel Packet Tracer sur lequel nous réalisons la maquette nous empêchent de mettre la configuration décrite auparavant en fonction par manque de fonctionnalités sur les équipements simulés. Nous allons donc adapter notre solution en prenant en compte les contraintes de mise en place, dans le but de faire fonctionner notre solution sur notre maquette. Pour le réseau "visiteurs" : Nous ajouterons simplement des points d'accès à notre maquette, reliés aux Switchs des étages et du rez-de-chaussée, avec une assignation des ports du Switch dans le vlan concerné (Le VLAN "WIFI-PUBLIC" sera créé). Les points d'accès seront ensuite configurés avec le SSID, ainsi que la clé WPA2-PSK afin que l'on puisse s'y connecter. L'accès internet sera possible puisque le routeur est lui-même connecté via une de ses interfaces à INTERNET (RT-M2L). Le reste des ressources de la Maison des Ligues ne sera pas accessible car le VLAN WIFI-PUBLIC n'est pas autorisé à communiquer avec les autres VLANS. (Non appliqué réellement pour que tout puisse "pinguer" sur la maquette) Seules 4 bornes seront déployées sur notre maquette afin de ne pas trop l'encombrer, aux étages 2 et 4 du bâtiment A et 1 et 3 du bâtiment C. Une 5eme borne sera placée sur le Switch B1 pour simuler une borne du rez-de-chaussée. Pour le réseau "Permanent" : Un VLAN "WIFI-PRIVE" sera créé sur le Switch B1, (Serveur Maitre VTP) afin de confiner les machines dans un sous réseau. Les accès vers le VLAN administration et le VLAN Ressources seront mit en place. L'accès Internet depuis ce WIFI se fera de la même façon que pour le WIFI visiteurs, via le routeur RT-M2L et sa sortie INTERNET. Ne pouvant rajouter un SSID sur les bornes déjà en places, pour la maquette, de nouveaux équipements seront ajoutés : Des routeurs Cisco 1841 possédant une carte WIFI. Puisqu'il s'agit de routeurs et non de points d'accès, cela implique que le réseau connecté à l'interface d'entrée de ce routeur ne pourra pas avoir le même adressage IP que l'interface WIFI. Dans ce cas nous utiliserons l'adressage 172.16.248.0 / 22 du VLAN "INTERWIFI" créé pour être mis en place entre le routeur RT-M2L et les routeurs WIFI Cisco 1841. Nous utiliserons pour le réseau coté WIFI le sous réseau 172.16.32.0 / 22, que nous redécoupons en 16 sous réseaux (VLSM) avec un masque en /28. Cet adressage autorise un nombre de machine égale a 2^4(-2) soit 14 Machines connectés en simultanés sur la borne. Rappelons qu'avec des points d'accès simplement connectés aux Switch, ces modifications n'auraient pas lieux d'êtres, nous aurions simplement utilisés des adresses du VLAN WIFI-PRIVE. Cela n'est mis en place que dans le but de pallier au manque de fonctionnalités de Packet Tracer. Pour le placement des bornes, afin de préserver la lisibilité de la maquette, nous ne placerons que 4 bornes d'accès à ce réseau, aux étages 1 et 3 du bâtiment A et 2 et 4 du bâtiment C. Une 5eme borne sera placée sur le Switch B1 pour simuler une borne du rez-de-chaussée. Attention : Ne pouvant modifier les canaux utilisés par les cartes WIFI des routeurs Cisco, un conflit se crée lorsque tous les routeurs sont allumés simultanément. (Notre test consistera donc à vérifier la connexion aux accès WIFI en éteignant les routeurs pour ne laisser que celui que l'on souhaite tester en fonctionnement.) Coté sécurisation, outre le fait de créer un VLAN spécifique pour ce réseau WIFI, nous choisissons de mettre en place une authentification 802.1x via un serveur RADIUS, basé sur des identifiants propres à chaque ligue. (Dans le réel nous nous baserions sur l'identification de chaque personne physique, et non de chaque ligue.)


IV.1 MISE EN PLACE DU RESEAU WIFI-PUBLIC (visiteurs) : Nous allons donc commencer par la mise en place du réseau WIFI Visiteurs pour l'étage 1 du bâtiment C. Il faudra ensuite réaliser les configurations des autres bornes de la même façon (avec prise ne compte de l'adressage IP)

1 : Création d'un Vlan sur le Switch Maitre VTP : (A ne faire qu'une fois) : SW-B1>enable Password: XXXX SW-B1#conf terminal Enter configuration commands, one per line. End with CNTL/Z. SW-B1(config)#vlan 8 SW-B1(config-vlan)#name WIFI-PUBLIC SW-B1(config-vlan)#exit SW-B1#copy running-config startup-config (Enregistrement de la configuration, à faire sur chaque équipement de la maquette)

2 : Ajout de l'interface virtuelle sur le routeur M2L : (A ne faire qu'une fois) RT-M2L>enable RT-M2L#conf terminal RT-M2L(config)#interface gigabitEthernet 0/0.8 RT-M2L(config-subif)#encapsulation dot1Q 8 RT-M2L(config-subif)#ip address 172.16.31.254 255.255.252.0 RT-M2L(config-subif)#no shutdown RT-M2L(config-subif)#ip helper-address 172.16.23.250 ( @ IP serveur DHCP ) (Pas besoin configurer de route supplémentaire dans la table de routage) RT-M2L(config-subif)#exit RT-M2L#exit Sauvegarder: (copy running-config startup-config)

3 : Ajout d'un point d'accès de type ACCES-POINT PT A sur le port F0/8 du Switch de l'étage SW-C1 : Paramétrage de ce port en accès sur le VLAN 8 (WIFI-PUBLIC) SW-C1>en Password: XXXX SW-C1#configure terminal Enter configuration commands, one per line. End with CNTL/Z. SW-C1(config)#interface fastEthernet 0/8 SW-C1(config-if)#switchport mode access SW-C1(config-if)#switchport access vlan 8 SW-C1(config-if)#exit Sauvegarder : (copy running-config startup-config)


4 : Ajout sur l'interface du point d'accès de la configuration WIFI :

- Port Status sur "On" - On y entre donc le SSID "visiteurs" - Channel : Une des valeurs, (mais nous les espacerons de 5 canaux pour chaque nouvelle borne.) - On y coche le type de clé WPA2-PSK - On y entre une clé que l'on aura définit : rK85Br5G3Po (Dans notre Exemple)


5 : Ajout d'un portable utilisateur, configuration WIFI et tests : On positionne sur ce Pc Portable une carte de type PT-LAPTOP-NM-1W-A Puis on la configure :

- Port Status sur "On" - Authentification WPA2-PSK - Pass Phrase : rK85Br5G3Po - Encryption Type : Laisser sur AES (Plus dure à pirater que le cryptage TKIP) TEST DE FONCTIONNEMENT : Liaison ok et Adresse IP attribuée depuis le serveur DHCP.


IV.2 MISE EN PLACE DU RESEAU WIFI-PRIVE (permanent) : Nous allons mettre en place le réseau WIFI-PRIVE "permanent" pour l'étage 1 du bâtiment A : Il faudra ensuite réaliser les configurations des autres routeurs de la même façon (avec prise ne compte de l'adressage IP).

1 : Création de Vlans sur le Switch B1 Maitre VTP : (A ne faire qu'une fois) : SW-B1>enable Password: XXXX SW-B1#conf terminal Enter configuration commands, one per line. End with CNTL/Z. SW-B1(config)#vlan 9 SW-B1(config-vlan)#name WIFI-PRIVE SW-B1(config)#vlan 63 SW-B1(config-vlan)#name INTERWIFI SW-B1(config-vlan)#exit SW-B1#copy running-config startup-config (Enregistrement de la configuration, à faire sur chaque équipement de la maquette)

2 : Ajout des interfaces virtuelles sur le routeur M2L : (A ne faire qu'une fois) RT-M2L>enable RT-M2L#conf t RT-M2L(config)#interface gigabitEthernet 0/0.63 RT-M2L(config-subif)#encapsulation dot1Q 63 RT-M2L(config-subif)#ip address 172.16.251.254 255.255.252.0 RT-M2L(config-subif)#no shutdown RT-M2L(config-subif)#ip helper-address 172.16.23.250 ( @ IP serveur DHCP ) (Pas besoin configurer de routes supplémentaires dans la table de routage) RT-M2L(config-subif)#exit RT-M2L#exit Sauvegarder : (copy running-config startup-config)


3 : Ajout d'un routeur de type 1841 sur le port F0/9 du Switch de l'étage SW-C2 : Paramétrage sur le Switch du port F0/9 en mode trunk sur le VLAN 9, 6, 5 et 63 :

Paramétrage sur le Switch de l'étage

SW-C2>en Password: XXXX SW-C2#configure terminal Enter configuration commands, one per line. End with CNTL/Z. SW-C2(config)#interface fastEthernet 0/9 SW-C2(config-if)#switchport mode trunk SW-C2(config-if)#switchport trunk allowed vlan add 9 (Vlan WIFI-PRIVE ) SW-C2(config-if)#switchport trunk allowed vlan add 6 (Vlan SERVEURS) SW-C2(config-if)#switchport trunk allowed vlan add 63 (Vlan INTERWIFI) SW-C2(config-if)#switchport trunk allowed vlan add 5 (Vlan SERVICE ADMINISTRATION ) SW-C2(config-if)#exit Sauvegarder : (copy running-config startup-config)

Paramétrage sur le routeur 1841 En premier lieu, éteindre le routeur et lui ajouter une carte WIFI AGIC-AP-AG-B puis, en mode commandes :

---- RENOMMER LE ROUTEUR ---- Router>enable Router#conf terminal Router(config)#hostname RT-WIFI-PERMANENT-C2

---- PARRAMETRAGE MOT DE PASSE ENABLE DU ROUTEUR ---- RT-WIFI-PERMANENT-C2(config)#enable password M2L

---- PARRAMETRAGE INTERFACE LAN DU ROUTEUR ---- RT-WIFI-PERMANENT-C2(config)#interface fastEthernet 0/0.63 RT-WIFI-PERMANENT-C2(config-subif)#encapsulation dot1Q 63 RT-WIFI-PERMANENT-C2(config-subif)#ip address 172.16.248.2 255.255.252.0 RT-WIFI-PERMANENT-C2(config-if)#no shutdown RT-WIFI-PERMANENT-C2(config-subif)#exit

---- ACTIVATION DE L'INTERFACE PHYSIQUE FAST ETHERNET 0/0 ---- RT-WIFI-PERMANENT-C2#configure terminal RT-WIFI-PERMANENT-C2 (config)#interface fastEthernet 0/0 RT-WIFI-PERMANENT-C2 (config-if)#no shutdown


---- PARRAMETRAGE INTERFACE LAN DU ROUTEUR ---- RT-WIFI-PERMANENT-C2(config)#interface fastEthernet 0/0.63 RT-WIFI-PERMANENT-C2(config-subif)#encapsulation dot1Q 63 RT-WIFI-PERMANENT-C2(config-subif)#ip address 172.16.248.2 255.255.252.0 RT-WIFI-PERMANENT-C2(config-if)#no shutdown

---- CREATION D'UN SSID + METHODE D'AUTHENTIFICATION ---- RT-WIFI-PERMANENT-C2(config)#dot11 ssid permanent RT-WIFI-PERMANENT-C2(config-ssid)#authentication network-eap reseauprive

---- PARRAMETRAGE INTERFACE WIFI DU ROUTEUR ---- RT-WIFI-PERMANENT-C2(config)#interface dot11Radio 0/1/0 RT-WIFI-PERMANENT-C2(config-if)#ip address 172.16.32.94 255.255.255.240 RT-WIFI-PERMANENT-C2(config-if)#ip helper-address 172.16.23.250 RT-WIFI-PERMANENT-C2(config-if)#encryption mode ciphers aes-ccm RT-WIFI-PERMANENT-C2(config-if)#ssid permanent RT-WIFI-PERMANENT-C2(config-if)#no shutdown

---- AJOUT D'UNE ROUTE PERMANENTE + ROUTE PAR DEFAUT ---- RT-WIFI-PERMANENT-C2(config)#ip route 172.16.20.0 255.255.252.0 172.16.251.254 Route est destinée à l'accès du réseau des serveurs (RADIUS) RT-WIFI-PERMANENT-C2(config)#ip route 0.0.0.0 0.0.0.0 172.16.251.254 Route par défaut

---- DECLARATION DES PARRAMETRES DU SERVEUR RADIUS ---- RT-WIFI-PERMANENT-C2(config)#radius-server host 172.16.23.250 auth-port 1645 key reseauprive

---- DECLARATION PARRAMETRES AUTHENTIFICATION AAA ---- RT-WIFI-PERMANENT-C2(config)#aaa new-model RT-WIFI-PERMANENT-C2(config)#aaa authentication login default group radius RT-WIFI-PERMANENT-C2 (config)#exit RT-WIFI-PERMANENT-C2# %SYS-5-CONFIG_I: Configured from console by console RT-WIFI-PERMANENT-C2# #copy running-config startup-config (Cette dernière commande permet de sauvegarder les configurations que nous avons faites sur le routeur.)


4 : Configuration d'un serveur RADIUS : Nous allons simplement reprendre le serveur DHCP existant et lui ajouter le rôle de serveur RADIUS (AAA).

NETWORK CONFIGURATION : - Mettre le rôle sur "ON" - Régler le port sur 1645 - Créer un compte par routeur qui sera un routeur WIFI, lui donner un nom : "reseauprive" - Indiquer l'adresse IP du routeur (Coté RT-M2L) et indiquer une clé : "reseauprive"), - Sélectionner le type de serveur (RADIUS). USER SETUP : - Il s'agit la de créer les comptes qui servirons à paramétrer l'accès depuis les PC portables. - Créer les login / mdp ( nomdeligue / nomdeliguenomdeligue )


5 : Ajout d'un portable utilisateur, configuration WIFI et tests : On positionne sur ce Pc Portable une carte de type Lynksys-WPC300N :

Dans l'onglet "Connect", appuyer sur "Refresh" pour faire une recherche des réseaux WIFI à portée. Passer ensuite sur l'onglet "Profiles" :

Ici nous allons créer un profil de connexion à notre réseau WIFI. On clique sur "Défaut" puis "Edit" pour éditer le profil par défaut, ou bien sur "New" pour créer un nouveau profil.


Ici nous sélectionnons notre réseau "permanent", puis l'on clique sur "Advanced Setup" :

Nous gardons le mode infrastructure, et on vérifie que le nom du réseau est bon, puis l'on Clique sur "Next".


On sélectionne maintenant la technologie de clé de sécurité que l'on a configuré sur les points d'accès / routeurs WIFI. Dans notre Cas "WPA Entreprise". Cliquer sur Next. (En réalité nous devrions utiliser le WPA2 Entreprise, mais il ne fonctionne pas sous P.Tracer)

Ensuite, nous entrons les parramètres relatifs à un des comptes utilisateurs que nous avons créés sur le serveur RADIUS. Notre test s'effectue avec le compte "judo".


Nous avons maintenant un résumé des paramètres, il reste à cliquer sur "Save", puis "Connect". 1 ER TEST DE FONCTIONNEMENT : Notre pc portable "laptop-pt" est bien connecté à la borne de l'étage C2 :


2 EME TEST DE FONCTIONNEMENT : Sur la maquette, nous pourrons également éteindre ce routeur wifi, et en allumer un d'un étage différent pour constater que les machines se connectent automatiquement dessus : cela indique donc que quelque soit la borne utilisée, nos identifiants sont fonctionnels. (Cela fonctionne parfaitement)

LA MAQUETTE SOUS PACKET TRACER EST FOURNIE AVEC LE PRESENT DOCUMENT.

FIN

Documents

PAGE DE GARDE - fabien-ls.fr 3 - Partie Réseau.pdf · Une adaptation de la maquette de simulation du fonctionnement de la Maison des Ligues de Loraine, préparée lors du projet