Rappel: Le routage dans Internet

La dcision dans IP du routage:

Administration dun Intranet

- Table de routage:
Adresse destination (partie rseau), netmask, adresse routeur voisin

- Consultation de la table de routage larrive dun paquet: Dterminer un plan dadressage Conguration des tables de routages Utilisation dun NAT (Network Adressing Translation) Mise en place dun pare-feux (Firewall)
Pour chaque ligne de la table de routage (Adr, netmask, AdrRouteur) faire

!Si (adresse destination du paquet AND netmask) = Adr alors envoyer le paquet au routeur voisin dadresse AdrRouteur Pour cela faire appel ARP pour connatre son adresse Ethernet !Sinon passer la ligne suivante
Si ladresse nest pas dans la table alors renvoyer un paquet ICMP: destination inaccessible la machine source

P. Sicard-Cours Rseaux 8

Administration dun Intranet 1

P. Sicard-Cours Rseaux 5

Couche Rseau

Environnement et contraintes
Intranet dune entreprise 3 types dutilisateurs ! 25 cadres ! 25 administratifs ! 10 ateliers ! 2 machines spcialises (SF1 et SF2) pour tre des serveurs de chiers Application NFS (Network File System) permettant de "voir" sur une machine locale, les chiers sur le disque dur distant du serveur de chier

Contraintes

Cadres": accs toutes les machines de lIntranet, SF1, SF2 et lInternet Administratifs": Accs toutes les machines "administratifs" et SF1 Ateliers": Accs toutes les machines "Ateliers" et SF2 Rseaux Ethernet Routeurs 2 ports Ethernet

P. Sicard-Cours Rseaux 8

Administration dun Intranet 3

P. Sicard-Cours Rseaux 8

Administration dun Intranet 4

Choix de linfrastructure rseau

Dcoupage en plusieurs rseaux pour isoler les communications Diminue la charge des switchs Commutateurs (switch) Ethernet - Possibilit de les cascader si le nombre de ports est insufsant Choix de la place des serveurs de chier discuter Un seul routeur en sortie: - scurit, possibilits de ltrage - Un port particulier vers Internet : ligne spcialise avec un autre protocole: ADSL(PPP), ATM... Possibilits dun seul routeur 6 pattes (problme prix/ performances)
P. Sicard-Cours Rseaux 8 Administration dun Intranet 5
SF1 INTERNET R1 CADRES

Topologie
ADMINISTRATIFS

Switch Switch

R2 R3

Switch R4 SF2

Switch

ATELIERS

P. Sicard-Cours Rseaux 8

Administration dun Intranet 6

Choix des adresses

Adresse publique : donne par un organisme international de gestion des adresses (A chercher sur le web Inter NIC (Internet Network Information Center) Supposons : 193.92.17 / 24 (classe C) Pour machines ne communiquant pas avec lextrieur possibilit dadresses prives: - Trois plages dadresses prives:
10.0.0.0/8: 10.0.0.1 10.255.255.254 172.16.0.0/12: 172.16.0.1 172.31.255.254 192.168.0.0/16: 192.168.0.1 192.168.255.254

Dcoupage en sous-rseaux (Subnetting)

On choisit daffecter des adresses publiques lensemble de lIntranet 4 rseaux, 1 seule adresse publique Changement des netmasks
- 2 bits de la partie machine sont attribus la partie rseau de ladresse - 2 bits de poids fort du dernier octet - On transforme un /24 en quatre /26
Partie rseau /26 Partie machine : 6 bits

Economie dadresse mais si on veut changer de contraintes, il faut tout recongurer

P. Sicard-Cours Rseaux 8 Administration dun Intranet 7

193.92.17. 0 0 01 10 11
P. Sicard-Cours Rseaux 8 Administration dun Intranet 8

Sous-rseaux
Netmask : 255.255.255.192 4 rseaux: - 193.92.17.0 /26 - 193.92.17.64 /26 - 193.92.17.128 /26 - 193.92.17.192 /26 Nombre de machines par rseau : 64 -2 = 62 Exemple pour le rseau 193.92.17.128 /26 - 1re adresse machine: 10 000001=129 (en binaire) - dernire adresse: 10 111110=190 Plages dadresses /26: - 193.92.17.1 193.92.17.62 - 193.92.17.65 193.92.17.126 - 193.92.17.129 193.92.17.190 - 193.92.17.193 193.92.17.254
P. Sicard-Cours Rseaux 8 Administration dun Intranet 9

Sous rseaux de tailles variables

Supposons que le nombre de machine cadre est de 100 Au lieu de quatre /26: un /25, un /26 et deux /27 - 0 : 0 /25 - 111: 224 /27 - 110 : 192 /27 - 10 : 128 / 26 Plages dadresses ? Nombre de machines sur chaque sous rseau ?

P. Sicard-Cours Rseaux 8

Administration dun Intranet 10

Plan dadressage
On reprend la solution quatre /26 Adresse de sortie : 100.0.0.1 /30 et du premier routeur lextrieur: 100.0.0.2 /30
CADRES:

Conguration routage
Donner les tables de routage des machines et des routeurs en respectant les contraintes Mettre des noms la place des adresses - /etc/hosts et /etc/networks

193.92.17.0/26
Adresses: 1 62

Switch Switch

ADMINISTRATIFS:

62
R2 R3

193.92.17.64/26
126 Adresses: 65 126

Premier routeur : 100.0.0.2/30

INTERNET R1

253 252 254

Switch Switch

- Rseaux: cadre 193.92.17.0/26 admin 193.92.17.64/26 atelier 193.92.17.128/26 serveurs 193.92.17.192/26 Format dune table de routage": ! Adresse rseau destination / Netmask / Adresse du routeur voisin - Le Netmask est donn en dcimal ou en notation /nb bits partie
P. Sicard-Cours Rseaux 8 Administration dun Intranet 12

100.0.0.1/30

251

R4

190 SERVEURS :
SF1

193
SF2

ATELIERS : 194

193.92.17.192/26
Adresses: 193 254
P. Sicard-Cours Rseaux 8

193.92.17.128/26
Adresses: 129 190
Administration dun Intranet 11

Plan dadressage avec des noms

cadre /26 admin/26

Tables de routage
Les netmasks ne sont pas donns: tous /26 : 255.255.255.192 Machines cadre :
- A lorigine: cadre direct Connexion directe sur le rseau cadre aprs la conguration de linterface - Une ligne par dfaut: Default R2C Quelle que soit ladresse destination envoyer R2C Defaut : adresse 0.0.0.0 Netmask 0.0.0.0

Switch Switch

R2C
R2 R3

R3Ad R3S

Premier routeur : RExt

INTERNET R1

R2S R1S
Switch Switch

Routeur 2 :
cadre direct switch direct admin R3S atelier R4S default R1S Defaut pour laccs Internet

R1E Ext /30

SF1

R4S
R4

R4At atelier/26

SF1
SF2

Serv/26 SF2

Ping sur Internet ? ping sur machine atelier ?

P. Sicard-Cours Rseaux 8 Administration dun Intranet 13 P. Sicard-Cours Rseaux 8 Administration dun Intranet 14

Tables de routage
Machines atelier : - atelier direct - Default R4At Machines atelier : - Accde aussi SF2 avec le default - Les paquets destination de lInternet sont aussi envoys sur le rseau ( charge inutile) Il vaut donc mieux prciser les rseaux auxquels latelier peut accder - De plus possibilit de mettre une adresse de machine dans la table de routage: SF2 /32 R4At Attention Netmask change: 255.255.255.255
P. Sicard-Cours Rseaux 8 Administration dun Intranet 15

Tables de routage
ping depuis cadre sur machine atelier ? Contrainte unidirectionnelle impossible au niveau routage - Si cadre accde latelier alors latelier accde au cadre donc possibilit pour latelier avec contraintes seulement sur le serveur de chier et cadre - atelier direct - SF2 R4At (netmask 255.255.255.255) - cadre R4At Table de routage de R4: - serv direct - atelier direct - cadre R2S
P. Sicard-Cours Rseaux 8 Administration dun Intranet 16

Tables de routage
Routeur 3 : - admin direct - serv direct - cadre R2S Machines admin - admin direct - SF1 R3Ad (netmask 255.255.255.255) - cadre R3Ad SF1: - serv direct - cadre R2S - admin R3S SF2: - serv direct - cadre R2S - atelier R4S Routeur 1 : - serv direct

Tables de routage

- 100.0.0.0 direct - cadre R2S - default RExt

P. Sicard-Cours Rseaux 8

Administration dun Intranet 17

P. Sicard-Cours Rseaux 8

Administration dun Intranet 18

Routage automatique
Par exemple RIP Quel intrt"? Que faire pour palier une dfaillance de R2"? Contenu des paquets RIP ?

Possibilits du Network Address Translation

Utilisation dadresses prives Le NAT est mis en place sur le routeur de sortie (routeur 1 ici) - Le routeur remplacerdans chaque paquet en sortie ladresse source IP prive par une adresse IP publique - Pour les paquets en retour, il doit savoir quelle est la machine destination dans lIntranet Deux types de NAT : statique et dynamique
- Statique la correspondance @ Prive / @ publique est xe Pas dconomie dadresse Intressant pour la scurit - Dynamique : Elle peut changer dans le temps Une seule adresse publique pour un nombre quelconque de machines A priori, pas de possibilit dinitier une connexion depuis lextrieur (pour serveur WEB dans lIntranet par exemple)

Voir dtails sur le cours sur NAT

P. Sicard-Cours Rseaux 8 Administration dun Intranet 19 P. Sicard-Cours Rseaux 8 Administration dun Intranet 20

Scurit
Pare-feux: ltrage mettre en place sur le routeur 1 Acces List
- Liste dinterdictions ou dautorisations suivant les adresses ou port, source et destination Filtrage par machines (adresse IP source ou destination)
Filtrage par applications (numro de port source ou destination) Deux hypothses possibles : tout ce qui nest pas spci est soit interdit, soit autoris

Scurit
Autre exemple dAcces List pour autoriser les cadres seulement naviguer sur internet * / cadre / 80 / * autoris cadre/ * / * / 80 autoris * /* /*/* interdit

Exemple (*=tout):
Adr source / Adr Destination / Port source / Port destination

Ne pas oublier les deux sens des communications

* / cadre / * / * autoris cadre/ * / * / * autoris * /* /*/* interdit
Administration dun Intranet 21 P. Sicard-Cours Rseaux 8 Administration dun Intranet 22

P. Sicard-Cours Rseaux 8

Aide lAdministration Le protocole DHCP (Dynamic Host Conguration Protocol)

Intrt: - Limiter le travail de ladministrateur systme/rseau - Aucune action ncessaire sur une machine pour sa conguration rseau - Permet une machine dobtenir automatiquement son adresse IP an de congurer son accs au rseau - Permet dattribuer les adresses IP de faon dynamique - Utiliser par exemple par les fournisseurs daccs pour attribuer des adresses aux clients - Le serveur DHCP connat la plage dadresses disponible et les affecte au fur et mesure des demandes

Le protocole DHCP
Possibilit de plusieurs serveur DHCP sur le rseau
Machine en autoconguration Serveur dhcp

DHCP Discover en broadcast

DHCP Offer (comporte toutes les infos) DHCP Request vers le serveur choisi DHCP Ack

La machine est configure

24 P. Sicard-Cours Rseaux 8 Administration dun Intranet 23 P. Sicard-Cours Rseaux 8 Administration dun Intranet

Exemple de capture
Contenu du DHCP Ack
Client IP address: 0.0.0.0 (0.0.0.0) Your (client) IP address: 10.53.17.163 (10.53.17.163) Next server IP address: 10.53.17.1 (10.53.17.1) Relay agent IP address: 0.0.0.0 (0.0.0.0) Client hardware address: 00:03:93:ed:b5:eb Server host name not given Boot le name not given Magic cookie: (OK) Option 53: DHCP Message Type = DHCP ACK Option 54: Server Identier = 10.53.17.1 Option 51: IP Address Lease Time = 10 minutes Option 1: Subnet Mask = 255.255.255.0 Option 3: Router = 10.53.17.1 Option 6: Domain Name Server = 10.53.17.1 Option 15: Domain Name = "cybertable.com" End Option
P. Sicard-Cours Rseaux 8 Administration dun Intranet

Conguration dun serveur DHCP

Paramtres du serveur DHCP (dmon dhcpd sous les Unix) - Plage dadresse IP attribuer (souvent on donne la premire et la dernire) - Adresses IP xes (listes des adresses IP/Ethernet) - Un masque de sous-rseau pour ces adresses - Dure du bail DHCP - Adresse du serveur DNS - Nom du Domain

25 P. Sicard-Cours Rseaux 8 Administration dun Intranet

26