BTS SIO
Services Informatiques aux
Organisations		
	Option	SISR		
	Session	2014		

Hassan GHANDOUR                                  Activités professionnelle N°           5

NATURE DE L'ACTIVITE	SECURITE ADMINISTRATION AUTOMATISATION-PPE3	
Contexte :	La Maison des Ligues (La M2L), établissement du Conseil Régional de
Lorraine, est responsable de la gestion du service des sports et en particulier
des ligues sportives ainsi que d’autres structures hébergées.
La M2L ont décidé de sécuriser son réseau et automatiser son administration pour les ligues sportives.	
Objectifs :	Faire évoluer son service d’accès vers l’Internet avec l’accessibilité pour l’ensemble
des utilisateurs de M2L avec une sécurisation des ressources internes
Ce projet vise l’implantation de services permettant aux personnels de la maison des
ligues un accès sécurisé à l’Internet, réseau sécurisé interne via Login/Mot de passe.	

SOLUTIONS ENVISAGEABLES Mise en place d’une DMZ & de scripts pour automatiser l’administration. Ces fonctions sont administrées par M2L.

DESCRIPTION DE LA SOLUTION RETENUE	
Conditions initiales	Absence de sécurisation de l’accès.	
Conditions finales	Sécurisation au travers d’une création de zone commune de sécurisation dit DMZ	
Outils utilisés	Simulation du réseau avec le logiciel « Cisco Packet Tracer » pour la maquettage et
l’utilisation du routeur 2621XM
Virtualisation des serveurs avec le logiciel « Virtual Box »	

CONDITIONS DE REALISATIONS	
Matériels	ü  3 Routeurs Cisco 2611XM
ü  3 Commutateurs Cisco 2960 24TT
ü  Postes utilisateurs
ü  Serveur Active Directory	
Logiciels	ü  Bloc note
ü  Excel 2007
ü  Active Directory	
Durée	3h	
Contraintes	Etude de règle de contrôle d’accès. Création de macros à partir du logiciel d’Excel	

COMPETENCES MISE EN OEUVRE POUR CETTE ACTIVITE PROFESSIONNELLE

A1.1.1
A1.1.2
A1.2.4
A 1.3.4
A3.1.1
A3.1.2
A3.2.1
A3.3.1
A3.3.2
A3.3.4
A4.1.9
A4.2.1
A 5.1.1
A 5.1.2
A5.1.3
A5.2.3

Analyse d’un cahier des charges d’un service à produire
Etude de l’impact de l’intégration d’un service sur le système informatique
Détermination des tests nécessaires à la validation d’un service
Déploiement d’un service
Proposition d’une solution d’infrastructure
Maquettage et prototypage d’une solution d’infrastructure
Installation et configuration d’éléments d’infrastructure
Administration sur site ou à distance des éléments d’un réseau, de serveurs
Planification des sauvegardes et gestion des restaurations
Automatisation des tâches d’administration
Rédaction d’une documentation technique
Analyse et correction d’un dysfonctionnement, d’un problème de qualité
Mise en place d’une gestion de configuration
Recueil d’informations sur une configuration et ses éléments
Suivi d’une configuration et ses éléments
Repérage des compléments de formation ou auto-formation

DEROULEMENTS DE L'ACTIVITES

La mission consiste, dans un premier temps, à identifier les services qui devront être implémentés pour ce
projet et les fonctions qui s’y rattachent pour répondre aux besoins du cahier des charges.

1. Rappel du contexte

Les ligues et M2L accèdent à Internet en utilisant un modem ADSL live Box fournit par l’opérateur.
Celui-ci assure la gestion du trafic et la sécurisation des données au travers d’un service qu’il vend à M2L. L’opérateur est actuellement l’administrateur principal du service Internet.

La direction M2L, conformément aux exigences de sécurité définies par les nouvelles normes régionales en matière de services informatiques aux organisations, doit à présent prendre en charge l’offre de service Internet afin de mieux contrôler les fonctions de fourniture de services et de sécurité associés à l’accès à l’Internet.

2. Description technique de mise en œuvre de la solution
A partir de l’expression des besoins et du cahier des charges nous définissons les fonctions et les composants
logiciels et matériels qu’il va falloir mettre en œuvre pour la réalisation du projet.

Ce  projet  consiste  en  la  réalisation  d’une  maquette  qui  permettra  de  valider  les  choix  techniques  et  la
configuration globale de la solution.

 Q u ’est ce  q u’u n e  DMZ  ?

Une DMZ communément appelée zone démilitarisée est une zone tampon qui accorde l’accès à certaines ressources de l’entreprise aux équipements externe à l’entreprise tout en préservant sa sécurité et l’étanchéité vis-à-vis du réseau interne. Une zone DMZ se positionne entre le réseau public Internet et le réseau interne de  l’entreprise.
Dans une architecture de réseau d’entreprise, on place dans la DMZ généralement les serveurs  ayant une ouverture sur Internet comme les serveurs Web et serveurs Mail (ou Relais de Mails) ou FTP public ne contenant pas de données sensibles ou encore des services de résolution de nom DNS. Mais aussi typiquement les Extranet d’entreprise sont logés en DMZ.

 Qu’es t c e que  l e NAT/PAT ?

Ø  Translation  d’adresse  NAT/PAT  pour  l’accès  Internet :  Cette  fonction  permet  d’assurer  la connectivité avec le réseau Internet. Le routeur connecté à l’Internet doit utiliser des adresses publiques enregistrées pour que les paquets transmis sur le réseau soient pris en charge. La fonction PAT sera utilisée sur le routeur FAI car cette fonction permet de multiplexer le trafic de tous les utilisateurs du réseau local vers l’Internet en n’utilisant qu’une seule adresse IP publique.

La fonction PAT est destinée à régler le trafic sortant du réseau local vers l’Internet. Cette fonction n’est pas adaptée aux connexions entrantes. La fonction PAT utilisera l’adresse publique qui est fournie par l’opérateur.

On implémentera la fonction de redirection de port pour permettre aux utilisateurs derrière le réseau Internet d’entrer dans le réseau DMZ pour les applications portail Intranet, site WEB ou l’accès aux ressources FTP.
La fonction redirection de port permet de rediriger les paquets provenant de l’Internet et adressés au routeur sur un identifiant comportant l’adresse IP destinataire et le port associé au service demandé.

 Qu’es t c e que  l ’ACL  ?

Ø  Filtrage d’accès ACL pour la sécurisation du réseau M2L et pour la DMZ.
Pour sécuriser l’accès aux ressources de M2L vis à vis des utilisateurs Internet,
on implémentera les fonctions de contrôle d’accès ACL dans le routeur qui héberge la DMZ.
Les ACL sont des scripts configurés dans le routeur qui permettent de filtrer les paquets sur la base des informations contenues dans les entêtes couche 3 et 4 du modèle OSI.
Les critères de filtrage sont définis par des règles qui constituent la stratégie de sécurité de
l’entreprise.
On appliquera ainsi des règles pour le contrôle d’accès aux ressources de la DMZ, des règles pour le trafic des postes du réseau local vers l’Internet et enfin des règles pour le trafic interne entre les services de M2L. Ces règles seront appliquées à partir des contraintes fournies par le cahier des charges.

3. Déploiement des principales opérations de sécurisation

Les opérations de déploiement sont réalisées en plusieurs étapes. Le découpage en étapes nous permet de mieux de mieux valider la solution
Ø  Effectuer des tableaux de configuration et d’adressage
Ø  Configurer le pare-feu dans la table de routage, via des scripts ACL
Ø  Réaliser un cahier de recette contenant les tests réalisés avec sa chronologie
Ø  Créer des schémas de la solution, des réseaux avec Internet et DMZ
Ø  Configuration des équipements réseaux, serveurs DMZ et des postes clients

Exemple de règles sur le routeur ligue

Tous les postes des ligues ont accès à l’internet et au serveur WEB de la DMZ
access-list 110 permit tcp any any eq www access-list 110 deny icmp any any

4. Tableaux de configuration

4.1 Tableau de plan d’adressage IP :
Le tableau ci-dessous présente les plans d’adressage IP des réseaux qui va nous permettre de déployer le
service DMZ et les règles de filtrage.

Réseau M2L	
Service Informatique	
Adresse IP Réseau	172.16.32.0	
Masque	255.255.248.0	
Plage Adresses IP fixes	172.16.32.240    à   172.16.32.254	
Plage Adresses IP DHCP	172.16.32.240    à   172.16.32.254	

Réseau Ligues	
Ligues (SR1 à SR24)	
Plage d’adresses IP Sous
Réseaux	172.16.48.0    à   172.16.240.0	
Masque	255.255.248.0	

Réseau DMZ	
Adresse IP	
Adresse IP réseau	172.31.0.0	
Masque	255.255.255.248	
Serveur WEB	172.31.0.14	
Serveur FTP	172.31.0.13	
Portail Intranet	172.31.0.12	

4.2 Tableau de brassage
Le tableau de brassage décrit l’ensemble des connexions entre les routeurs, commutateurs et les arrivées des
postes dans l’armoire de brassage

5. Schéma Général réseau M2L

Ce   schéma  représente   l’architecture   du   réseau  complet  et  comment   le  réseau  DMZ  s’insère  dans l’infrastructure M2L.

Le schéma ci-dessous représente le plan d’adressage IP de l’infrastructure DMZ ainsi que le réseau d’interconnexion.  Ce  schéma  permet  de  définir  les  interfaces  soumises  aux  règles  de  filtrage  pour l’implantation des ACL.

/28

5.1 Table de Filtrage

Les règles de filtrage définissent la stratégie globale de sécurité de la société en accord avec les ligues.

5.2 Définition des règles ACL

Les ACL sont des scripts configurés dans le routeur qui permettent de filtrer les paquets sur la base des informations contenues dans les entêtes couche 3 et 4 du modèle OSI.

Les règles ACL seront appliquées sur les routeurs des ligues et DMZ afin de couvrir l’ensemble des contraintes de la table de filtrage. Nous utiliserons ici les règles ACL étendues qui permettent d’agir sur l’ensemble des paramètres des protocoles TCP/IP.

5.3 Translation d’adresse NAT

Cette fonction permet d’assurer la connectivité avec les services de l’Internet. Le routeur connecté à l’Internet doit utiliser des adresses publiques enregistrées pour que les paquets transmis sur le réseau soient pris en charge.

On appliquera la fonction PAT sur le routeur car cette fonction permet de multiplexer le trafic de tous les
utilisateurs du réseau local vers l’Internet en n’utilisant qu’une seule adresse IP publique.

Le trafic de chaque utilisateur est identifié par le routeur sur la base du numéro de port source (entête couche transport) de cet utilisateur.

A noter que la fonction PAT est destinée à régler le trafic sortant du réseau local vers l’Internet. Cette fonction n’est pas adaptée aux connexions entrantes. La fonction PAT utilisera l’adresse publique 93.137.75.65 fournie par l’opérateur.

On implémentera la fonction de redirection de port pour permettre aux Internautes d’accéder aux ressources de la DMZ. Ainsi, pour se connecter au service http sur le serveur WEB de la DMZ, l’internaute se connectera sur l’adresse IP 93.137.75.66 associée au port 80.

6. Administration et automatisation

Il faut d’abord remplir les colonnes du tableau d’Excel composé de formule macros
En premier, remplir les colonnes manuellement
Noms d’utilisateur, Prénom, Groupe, Quotas et Accès

Pour le login, on va générer une Macro nommé « créer un login », à partir du de la colonne nom et prénom comme ci-dessous.

J’enregistre dans le fichier en extension .csv. Je le nomme Users pour Scripts.csv

Puis, renommer le fichier .csv en .txt, il va le transformer en fichier texte
Enfin supprimer la première ligne du fichier, on enregistre et on obtient le fichier ci-dessous

Après :

Une GPO est crée pour automatiser la création des profils des utilisateurs

LES MACROS
===========
Pour créer un Login:
******************
1er user:
=GAUCHE(b2;1)&"."&A2
2eme user:
=GAUCHE(b3;1)&"."&A3

Pour creer un mot de passe:
************************

1er User:
=NBCAR(A2)&GAUCHE(A2;3) &"m@l"&CODE(A2)&GAUCHE(B2;1)

Pour limite Quota
****************
=F2*80/100
Fichier texte généré et qu'il faut placer comme suite:
Créer un dossier à la racine du serveur sur lequel sera lancé le script et placé le ficher .txt dans ce dossier.
Dans notre cas le dossier se nomme ScriptUserAD et se trouve dans le répertoire :
C:\ScriptUserAD\ ListeUser.txt

CONCLUSION

J’ai participé activement à la réflexion, proposition et autorisation au projet du PPE-3. Il venait urgent de trouver une solution pour sécuriser les accès grâce à la mise en place d’une DMZ. Les accès sont maintenant sécurisés et authentifiés via la création des scripts automatiques des profiles utilisateurs.

EVOLUTION POSSIBLE