Rapport de stage présenté le 20 septembre 2006 Mise en place d’une gestion centralisée du réseau et d’un accès wifi sécurisé pour les collaborateurs de l’entreprise Rapport de stage présenté le 20 septembre 2006 par Thomas SIBILLE

SOMMAIRE Réseau wifi sécurisé Présentation du projet Solution Antivirus Le contexte Solution proposée Mise en place de Avast Serveur Samba / LDAP Configuration actuelle Choix de la solution Installation et déploiement Réseau wifi sécurisé Besoins Mise en place du wifi Serveur DHCP

Présentation du projet Objectifs définis au début du stage : Simplifier la gestion du réseau afin qu’une personne non informaticienne puisse effectuer les tâches courantes Faire une mise au point quant aux rôles des serveurs Remplacer la solution antivirus existante Gérer le parc informatique de l’entreprise

MISE EN PLACE D’UN SERVEUR ANTIVIRUS ET DE LA STRATEGIE DE MISE A JOUR

Serveur antivirus Avast L’existant : Viguard Fonctionnement : - autonome - pas de base antivirale - détecte les comportements suspects Problèmes posés : - pas de gestion centralisée de la stratégie - beaucoup trop restrictif - instable

Serveur antivirus Avast Choix d’un Antivirus Compatibilité Simplicité Client léger Prix Symantec Groupware X AVG 7.1 Avast Professional

Serveur antivirus Avast Mise en place du serveur - Création d’un miroir local pour les mises à jour (virus + logiciel) - Envoi de rapports à l’administrateur en cas d’alertes - Console de gestion à distance Distributed Network Management Gestion de la stratégie - Permet de faire une mise à jour quotidienne des clients - Création de rapports des erreurs, des infections - Gestion des droits des utilisateurs

MISE EN PLACE D’UN CONTRÔLEUR DE DOMAINE SAMBA/LDAP

Contrôleur de domaine Samba/LDAP Configuration actuelle : - Dans la configuration actuelle tous les postes sont indépendants - Un ordinateur = Un utilisateur = Un mot de passe - Pas d’enregistrement DNS Problèmes posés : - Gestion des comptes d’utilisateurs difficile - Pas de cohérence au niveau des noms d’utilisateurs - Dépannage souvent compliqué - Aucune sécurité en cas de panne d’un ordinateur

Contrôleur de domaine Samba/LDAP Choix de la solution logicielle Les besoins sont les suivants : Gestion des comptes d’utilisateurs (ajout, suppression, consultation) Gestion des partages réseau Gestion des répertoires personnels des utilisateurs Centralisation des profils Deux produits conviennent dans notre cas : - Contrôleur de domaine Active Directory de Microsoft - Serveur Samba couplé avec un annuaire LDAP

Contrôleur de domaine Samba/LDAP Les raisons Compte tenu du matériel utilisé, et de la différence de budget conséquente le choix s’est porté vers l’utilisation d’un serveur Samba/LDAP (avec une distribution Ubuntu 6.06) Solution n°1 Solution n°2 - achat du serveur : 0€ - Windows 2003 Serveur : 587€ - 30 licences clients : 4032€ - Linux : 0€ Total : 4619€ Total : 0€

Contrôleur de domaine Samba/LDAP Logiciel libre permettant à des machines sous Windows d’échanger des ressources avec des postes Linux. Basé sur le protocole SMB (Server Message Block développé à la base par IBM puis réutilisé par Microsoft. Dans notre cas il permet : - de partager des fichiers et des répertoires - de partager des imprimantes - de créer des comptes d’utilisateurs - de gérer des permissions d’accès - d’exécuter des scripts personnalisés

Contrôleur de domaine Samba/LDAP LDAP (Lightweight Directory Access Protocol) C’est un protocol standardisé qui permet de gérer des annuaires au format LDIF (Lightweight Data Interchange Format) Un annuaire LDAP c’est : - une base de données spécialisée - stockage hiérarchique - permet de stocker et rechercher simplement des informations

Contrôleur de domaine Samba/LDAP Serveur DNS Bind 9 Assure un maximum de cohérence dans le réseau de l’entreprise. Son but : gérer la correspondance entre les adresses IP des machines et leur nom. Utilise deux types de zones : - Zone directe - Zone inverse Installation via la commande : sudo apt-get install bind9

Contrôleur de domaine Samba/LDAP Configuration de Bind 9 Fichier de configuration principal : /etc/bind/named.conf.local # Zone Directe zone "interver.fr" { type master; # fichier de configuration de la zone file "/etc/bind/interver.fr.hosts"; }; # Zone Inverse zone "192.in-addr.arpa" { file "/etc/bind/192.rev"; Structure des enregistrements : interver.fr. IN NS ubuntu. ubuntu.interver.fr. IN A xxx.xxx.xxx.xxx pc-tsi.interver.fr. IN A xxx.xxx.xxx.xxx pc-test.interver.fr. IN A xxx.xxx.xxx.xxx

Contrôleur de domaine Samba/LDAP Installation de LDAP Installation de LDAP : sudo apt-get install slapd ldap-utils Les étapes sont les suivantes : Entrer le mot de passe Modification des fichiers d’authentification Exemple : nsswitch.conf Création d’une base vierge passwd: compat ldap group: compat ldap shadow: compat ldap root@ubuntu:# cd /usr/share/doc/samba-doc/examples/LDAP/ root@ubuntu:# gunzip samba.schema.gz root@ubuntu:# cp samba.schema /etc/ldap/schema/

Contrôleur de domaine Samba/LDAP Installation de LDAP Puis on spécifie l’emplacement du schéma dans slapd.conf : On indique dans ldap.conf l’adresse du serveur LDAP : Le service peut être redémarré include /etc/ldap/schema/samba.schema BASE dc=interver, dc=fr URI ldap://localhost:389

Contrôleur de domaine Samba/LDAP Installation de Samba Même procédé d’installation : sudo apt-get install samba Configuration en rapport avec l’annuaire LDAP #### Configuration pour LDAP #### passdb backend = ldapsam:ldap://127.0.0.1 ldap suffix = dc=interver,dc=fr ldap machine suffix = ou=machines ldap user suffix = ou=users ldap group suffix = ou=groups ldap admin dn = cn=admin,dc=interver,dc=fr ldap delete dn = no # Etre controleur principal domain master = yes domain logons = yes # allow user privileges enable privileges = yes

Contrôleur de domaine Samba/LDAP Installation de Samba Utilisation des scripts développés par la société IDEALX : smbldap-tools Création des groupes Insertion du domaine dans la base LDAP

Contrôleur de domaine Samba/LDAP Déploiement du domaine Insertion des postes dans le domaine : [2006/07/31 11:41:26, 2] auth/auth.c:check_ntlm_password(307) check_ntlm_password: authentication for user [tsi] -> [tsi] -> [tsi] succeeded

Contrôleur de domaine Samba/LDAP Profil de connexion contient le profil Windows (éléments du bureau, documents, configuration de Firefox, …) correspond à la section « Profile » dans Samba permet de se logger sur n’importe quel poste du réseau tout en retrouvant son environnement de travail Dossier « Public » contient les formulaires relatifs à la société stocké sur un autre serveur avec sauvegarde journalière Le but est d’automatiser son montage dans le Poste de travail

Contrôleur de domaine Samba/LDAP Dossier « Public » On monte le répertoire distant sur le contrôleur de domaine Puis on rajoute une section Public dans la configuration de Samba Enfin on crée un script que l’on place dans /home/samba/netlogon/logon.cmd [public] comment = Public Directory path = /mnt/public guest ok = yes browseable = yes writeable = yes net use p : \\ubuntu\public

Contrôleur de domaine Samba/LDAP Gestion des utilisateurs Pour administrer le serveur a distance une interface web est pratique. C’est justement le but de LAM (Ldap-account-manager)

Contrôleur de domaine Samba/LDAP Gestion des utilisateurs Le logiciel LAM permet : de se connecter a distance d’ajouter, modifier, supprimer les utilisateurs, groupes et machines de gérer le schéma de l’annuaire de générer des récapitulatifs au format PDF

MISE EN PLACE D’UNE CONNEXION WIFI SECURISÉE DANS LA SALLE DE RÉUNION

Connexion wifi sécurisée Besoins Il existe une salle de réunion dans les locaux de Interver Sécurité qui était jusqu’ici peu utilisée. Une réunion tous les matins à 11h a été mise en place par le nouveau directeur de production. Le but de cette réunion est de faire le point sur la production, les commandes, les délais, … Un accès à ALCIB est nécessaire. De plus, des clients viennent régulièrement visiter l’usine, il demandent en général à avoir une connexion Internet.

Connexion wifi sécurisée Mise en place de la connexion La configuration du point d’accès Netgear WG602 v3 consiste à : - lui attribuer une adresse IP - définir la vitesse de connexion - générer une clé WEP à partir d’un mot de passe

Connexion wifi sécurisée Serveur DHCP La mise en place du wifi n’est pas tout. Pour simplifier la connexion des ordinateurs portables on ajoute une plage DHCP qui fournit automatiquement : - adresse IP - masque de sous réseau - adresse de broadcast (diffusion) - passerelle par défaut - adresse du serveur DNS La plage DHCP comprend 10 adresses IP, pour une durée de bail de 24h