Architecture des réseaux TCP/IP services, administration, sécurité

CONNEXION D’UNE STATION A UN RESEAU

Pour connecter une station à un réseau, deux étapes sont nécessaires :
• Il faut configurer les contrôleurs d’accès au réseau (Ethernet, X25…),…
• puis définir les services réseaux à mettre en place.

Configuration des contrôleurs

• Après le déballage de la station, il faut vérifier soigneusement l’état de toutes les connexions.
• Il est recommandé, dès la mise sous tension, d’exécuter les programmes de diagnostics matériels fournis par le constructeur. Il faut ensuite démarrer à l’aide d’une bande magnétique ou d’une cartouche pour installer un mini noyau UNIX, configurer les systèmes de fichiers.
• Tous ces aspects sont traités dans les livres classiques d’administration. Nous nous contentons ici d’aborder les aspects spécifiques à l’installation des fonctionnalités réseau.
• Les processus à exécuter au démarrage sont décrits dans les fichiers /etc/rc.boot, /etc/rc, quelquefois complétés par le fichier /etc/rc.local (environnement BSD), /etc/tcp, ainsi que le répertoire /etc/rc2.d (environnement SV). Ces fichiers sont éditables.
• La commande de configuration des interfaces matérielles avec le réseau est la commande /etc/ifconfig(8).
 Synopsis
/etc/ifconfig if_nom nom_protocole [adresse [adresse_dest]] paramètre(s)
 Description
if_nom Nom symbolique de l’interface matérielle définie dans le fichier de configuration du noyau /usr/sys/conf/nom_station.
Nom_protocole précise la famille de protocoles utilisée à savoir :
inet utilisé pour les protocoles usuels de l’Internet. Dans ce cas, le champ adresse est soit le nom symbolique d’une station définie dans le fichier /etc/hosts, soit une adresse IP y figurant.
ns utilisé pour les protocoles XNS. Dans ce cas, le champ adresse est de la forme net#aa.bb.cc.dd.ee.ff, ou net représente le numéro du réseau utilisé.
Les autres paramètres peuvent être les suivants :
up l’interface est active et ouverte.
down l’interface est active et fermée ce qui empêche toute communication.
trailers les trames Ethernet sont encapsulées pour minimiser les accès mémoire. C’est l’option par défaut. Pour la supprimer, il suffit d’écrire trailers.
arp la résolution d’adresse entre la couche liaison et la couche réseau est réalisé par le protocole ARP (Adress Resolution Protocol). L’option arp en dénie l’utilisation.
metric n la métrique de l’interface, utilisée par le protocole de routage (RIP) est nulle par défaut. Elle est additionnée au nombre sauts d’une route en augmentant ainsi le poids. Elle représente le nombre de réseaux traversés. Plus la métrique est élevée, moins la route est favorable.
debug permet de contrôler la trame émise. Pour ce type d’utilisation, il faut souvent modifier le noyau UNIX.
netmask spécification du masque de sous réseaux que l’on peut aussi le définir dans le fichier /etc/networks de la façon suivante :
masque 255.255.255 adresse dest : adresse point à point du destinataire ou du premier routeur permettant d’y accéder, symbolique ou sous la forme IP qu’il est préférable d’utiliser car certains logiciels peuvent avoir des problèmes d’initialisation.
broadcast modification de l’adresse de diffusion.
onepacket validation du mode « paquet ». Ce mot clé doit être suivi de deux paramètres numériques indiquant la taille et le seuil. Si ces deux paramètres sont nuls, la détection des petits paquets n’est pas validée.
-onepaquet invalidation de l’option précédente.
pointopoint liaison point à point (option inet seulement)*
public invalide l’utilisation des datagrammes utilisateurs en mode broadcast sur les réseaux publics (option inet seulement).
X121adress indique une adresse au format X121 pour interfacer une interface X25.
Exemples
Soit la configuration : Les commandes suivantes permettent d’initialiser les contrôleurs :
• #ifconfig pour une interface en boucle fermée
/etc/ifconfig lo0 inet 127.1 arp -trailers
• #ifconfig avec un cojtrôleur Ethernet supportant les protocoles TCP/IP
/etc/ifconfig en0 inet `hostname` up arp -trailers
• #ifconfig pour sortie 4 fils supportant les protocoles TCP/IP
/etc/ifconfig sc0a inet goul`-scm ng-scm up
• #ifconfig avec un contrôleur Ethernet supportant les protocoles XNS
/etc/ifconfig en0 ns 8e0#aa.bb.cc.dd.ee.ff
• #ifconfig pour un contrôleur Ethernet avec un masque de sous réseau
/etc/ifconfig il0 inet sun up arp netmask pseudo-reseau

Démarrage des processus démons

• Il faut définir soigneusement le contenu des fichiers de la base de données réseau du répertoire /etc à savoir passwd, group, hosts, ethers, netgroup, networks, protocols, services, inetd.conf, rpc.
• Le contrôle du fichier de démarrage des services réseaux
/etc/rc.local (BSD)
/etc/tcp (SYSTEM V)
permet de vérifier que les processus démons réseau démarrent dans le bon ordre à savoir :
Processus démons associés aux services Internet
inetd, gated ou routed, fingerd, ftpd, rlogind, talkd, rshd.
Processus démons associés aux services SUN
portmap, sund, nfsd, mountd, ypserv, ypbind, bootparamd, tftpd, pcnfsd, yppasswd, biod, lockd, statd.
• Il est possible de les rendre inopérant (mise d’un # en début de ligne).
• Cette étape se termine après vérification manuelle du bon déroulement du chargement des différents processus démons avec tests éventuels.
• Le noyau doit en outre être adapté aux différents protocoles réseaux à installer.

Configuration d’un serveur de fichiers

 Définition des systèmes de fichiers accessibles par NFS
• Il faut définir l’arborescence logique dans le fichier /etc/fstab (BSD) ou /etc/checklist (SV) sont décrites les partitions locales et les partitions distantes.
• Ici encore, il faut réfléchir soigneusement pour définir les tailles des partitions car elles risquent de croître rapidement. Ne pas oublier qu’UNIX crée en permanence des fichiers temporaires et qu’il est nécessaire de faire périodiquement le ménage (on peut utiliser les services cron).
• Il est recommandé de définir des quotas d’utilisation (fonctionnalité BSD) sur les partitions en écriture.
• Leur position sur le disque est importante : plus elles sont centrales, plus les temps d’accès sont brefs.
• Les partitions contenant des bibliothèques doivent être définies en lecture seulement.
• Le fichier /etc/exports contient la liste des systèmes de fichiers exportables ainsi que les noms logiques des stations ou des réseaux qui peuvent y accéder. Le cas particulier des stations sans disque sera étudié ultérieurement .
 Définition des listes
• La création des listes est réalisée par la commande ypinit avac l’option -m (master). Il faut ensuite lancer les processus démons /etc/ypserv et /etc/ypbind. Il est judicieux d’en vérifier ensuite le fonctionnement en local par la commande
ypcat passwd
puis lancer le processus démon yppasswd.
• Il peut être nécessaire d’adapter le noyau du système d’exploitation UNIX aux protocoles réseaux.

Configuration d’un client

• Il faut faire les opérations décrites pour un serveur.
• La définition de l’arborescence logique est décrite dans un des fichiers /etc/fstab (BSD) ou /etc/checklist (SV).
• Une station peut être à la fois serveur et cliente. Dans ce cas, il faut définir ses partitions exportables et leurs droits d’accès.
• Le lancement du processus démon ypbind permet le dialogue avec un serveur et la transmission des listes.

Protocoles de gestion des stations sans disque et des terminaux X

• Une station sans disque ne dirpense nullement d’avoir des partitions systèmes. Celles ci sont seulement déportées sur une station serveur.
Les partitions de démarrage de la station sans disque sur la station serveur sont :
• la partition root qui est le répertoire / de la station cliente,
• la partition de swap de la station cliente.
Les processus démons correspondants sont :
• /etc/rarpd (Reverse Adress Resolution Protocol)
Utilisant le fichier /etc/hosts et quelquefois le fichier /etc/ethersErreur! Signet non défini., ce processus démon, à partir d’une adresse Ethernet, fournit l’adresse Internet correspondante.
• /etc/tftpd (Trivial File Transfer Protocol)
Version simplifié du programme ftp, ce processus démon permet le chargement du fichier de démarrage /usr/spool/tftp/boot.sunX (X vaut 2, 3 ou 4 suivant l’architecture de la station) par les stations sans disque. Il n’est pas sécurisé car il n’y a aucun contrôle de l’identité du poste client, contrairement à ftp.
• /etc/bootparamd