Cours mise en place d’un proxy

Cours mise en place d’un proxy, tutoriel & guide de travaux pratiques en pdf.

MISE EN PLACE D’UN PROXY
Un serveur Proxy, mais pour quoi faire ?

Supposons que vous ayez suivi les quelques notions que je vous expose aux chapitre mise en place d’un réseau local et le protocole TCP-IP et Internet, vous avez retenu ceci :
1. Comme TCP-IP est le langage d’Internet, vous avez correctement configuré votre LAN sous ce protocole après avoir assigné à chaque ordinateur une adresse IP propre de type 192.168.0.1, 192.168.0.2, etc…
(masque de sous-réseau : 255.255.255.0) et créé le fichier Host adéquat sur chaque ordinateur.
2. Vous savez que votre ISP (Internet Service Provider) vous attribue une et une seule adresse IP lorsque vous vous connectez à Internet.
Cette adresse est souvent fixe (on dit « statique ») dans le cas d’un câble opérateur, et variable (on dit « dynamique ») dans le cas d’une connexion par modem (votre ISP a une fourchette d’adresses IP disponibles et vous en attribue une de libre lorsque vous vous connectez).
3. Vous avez retenu que les paquets IP que vous envoyez ou recevez sur Internet contiennent les adresses IP des l’expéditeur et du destinataire.
Si vous réfléchissez un peu à ces trois points, vous comprenez tout doucement le gravissime problème qui va se poser : Vous ne pouvez pas identifier de manière univoque tous vos ordinateurs sur Internet, ce qui est une condition obligatoire (puisque le paquet IP doit contenir l’adresse de l’expéditeur et/ou du destinataire).
En effet, seul l’ordinateur de votre LAN qui est connecté directement à Internet (l’ordinateur sur lequel le modem est connecté) possède un « numéro de téléphone » valable sur Internet (l’unique adresse IP attribuée par votre ISP). Les autres ordinateurs de votre LAN ont des adresses « bidons » de type 192.168.0.x qui sont sûrement utilisées par des milliers d’autres utilisateurs dans le monde qui, comme vous, ont créé un réseau local chez eux. C’est bien pour cela que ces adresses ne sont pas routées par les ISP.
Vous pourriez vous croire malin en attribuant la même adresse IP à tous les ordinateurs. Vous devriez cependant vous rendre compte qu’un tel système n’est pas possible, car une information entrante sur votre IP ne « saurait » quel ordinateur du LAN rejoindre. De toute façon, Windows interdit d’attribuer une même adresse IP à plus d’une machine sur un même réseau; le problème est donc réglé.
Vous constatez que la machine avec la tour est « à cheval » sur deux réseaux :
1. le réseau « interne » 192.168.0.0
2. Internet 195.44.56.0
Cet machine un peu particulière qui est capable de jouer sur les deux réseaux est appelée le Gateway.
• Si votre ISP vous offrait une brochette d’adresses IP valables sur Internet (disons une distincte pour chacun de vos ordinateurs),
vous pourriez simplement faire du « routage », c’est à dire que l’ordinateur à cheval sur les deux réseaux n’aurait qu’à faire transiter les paquets IP du réseau Internet sur le réseau interne, et inversement. Les ordinateurs du LAN ayant des adresses IP bien attribuées sur le réseau Internet, les paquets IP n’auraient pas de peine à retrouver leur chemin.
• Mais comme votre ISP ne vous attribue qu’une adresse IP valable sur Internet, et comme les IP de vos ordinateurs « internes » ne correspondent à rien sur Internet, le Gateway doit être capable de diriger sélectivement l’information provenant d’Internet (sur votre unique adresse IP) vers un ordinateur précis du LAN.
Cette machine indispensable peut être soit un routeur NAT soit un serveur Proxy. C’est de ce type de serveur que nous allons parler ici.
La manière la moins chère de mettre en place un tel serveur est l’installation d’un logiciel idoine sur un ordinateur possédant une carte réseau (pour le LAN) et un modem (pour Internet), ou deux cartes réseaux (une pour le LAN, l’autre pour Internet) dans le cas d’une connexion par câble.
Il existe de nombreux logiciels « Proxy ». Pour le reste de ce chapitre, je vais uniquement parler de Wingate (http://www.wingate.net), logiciel remarquable par son interface graphique accueillante et sa configuration aisée. Wingate 2.1d (la première version 2.1 réellement stable) se décline en deux versions : l’une tournant sous Windows 95, l’autre sous NT. Je ne saurai que trop vous recommander d’acquérir Windows NT pour le serveur Proxy; Wingate sous NT est la seule solution stable (dans les systèmes Microsoft). En effet, Windows 95 n’est pas un bon système pour les réseaux et vous aurez immanquablement des crashs assez fréquents du système Proxy si vous utilisez ce système d’exploitation. Sachez que la version 3.0 est disponible depuis le 12/1998

Préparatifs pour connecter un LAN à Internet

Avant d’installer Wingate, je suppose que vous êtes en ordre avec les points suivants :
1. Vous avez configuré correctement votre LAN sous TCP-IP, avec des adresses IP de type 192.168.0.1, 192.168.0.2, etc… (masque de sous-réseau : 255.255.255.0)
2. Une de vos machine peut se connecter à Internet :
• soit par modem (dial-up); dans ce cas, vous voyez le protocole TCP-IP dédoublé pour chacune des interfaces dans la partie « Réseau » du panneau de configuration :
TCP/IP -> Carte NE2000 TCP/IP -> Carte d’accès distant
• soit par le téléréseau si votre ISP est un câble opérateur; dans ce cas, vous aurez bien installé deux cartes réseaux, l’une travaillant sur le réseau interne (IP = 192.168.0.x, masque de sous-réseau = 255.255.255.0), l’autre travaillant sur Internet (IP et masque donnés par votre ISP). Là aussi, le protocole TCP-IP est logiquement dédoublé pour chacune des interfaces :
TCP/IP -> Carte NE2000 TCP/IP -> Carte NE2000
Quelques remarques s’imposent à ce niveau :
• Pour des raisons de commodités, attribuez l’IP 192.168.0.1 à l’ordinateur qui servira de Proxy.
• Si vous possédez un câble opérateur, vous aurez indiqué dans les propriétés de la carte réseau connectée à Internet les adresses IP des serveurs DNS :
Vous constaterez que ces données sur le DNS sont reprises sur la carte tournant sur le réseau interne
(192.168.0.1): en effet, Windows n’attribue pas spécifiquement des valeurs DNS à une interface particulière.
• Pour une connexion par modem, les serveurs DNS de votre ISP sont configurés dans votre connexion Dial-up (dossier ‘Accès réseau à distance’).
• Expérience faite, Windows 95 supporte parfaitement l’installation de deux cartes réseaux (si vous avez un câble-opérateur et que vous voulez faire tourner Wingate sous Windows 95). Cependant, il se peut, si les cartes réseaux sont configurées en mode PnP, que Windows ne détecte les bons paramètres (I/O et IRQ) que pour une seule des deux cartes. Le mieux à faire dans ce cas est de configurer les deux cartes en mode ‘jumperless’ (grâce à l’utilitaire DOS livré avec vos cartes) et leur attribuer à chacune un port I/O et un IRQ de votre choix, que vous « forcerez » ensuite dans Windows 95.

Installation de Wingate

Note préalable : Wingate est un shareware. Dans sa version non registrée, il vous permet de configurer plusieurs utilisateurs, mais un seul utilisateur peut « traverser » à la fois le Proxy.
Si vous ne voulez donc connecter que deux ordinateurs à Internet en même temps, cette option est suffisante puisque l’ordinateur qui fait tourner Wingate peut se connecter directement à Internet (sans passer par le système Proxy); seul l’autre ordinateur traversera Wingate.
Si plus d’ordinateurs doivent pouvoir traverser simultanément le Proxy, vous devrez donc payer en conséquence (le prix de Wingate varie selon le nombre de connexions simultanées dont vous voulez bénéficier).
L’installation de Wingate ne pose pas de problème particulier. Configurez tous les services que le programme vous propose.
Le logiciel vous demande à un moment votre SMTP, c’est à dire le serveur de votre ISP qui accepte vos E-mails sortants (souvent une adresse de type mail.isp.com), ainsi que le serveur de News que vous voulez utiliser (vous pouvez prendre par exemple celui de votre ISP (news.isp.com), mais ce n’est pas une obligation). Laissez le champ blanc pour le serveur IRC.
N’installez pas le système DHCP, sauf si vous en avez réellement besoin (adresses IP limitées) et que vous connaissez bien ce genre de services.

Configuration de Wingate

Wingate tourne, que ce soit sous 95 ou sous NT, comme un service, c’est à dire que vous ne verrez pas de programme ouvert vous signifiant que Wingate est actif.
Wingate se contrôle à l’aide du ‘Gatekeeper’. Je vous donne un bref aperçu des possibilités de ce module :
• A la première utilisation du Gatekeeper, vous êtes nommé « Administrator »; n’entrez aucun mot de passe pour l’instant. Le programme vous demandera d’en mettre un juste après.
• Le Gatekeeper se présente sur deux fenêtres : sur la gauche, vous voyez en temps réel tous les utilisateurs qui sont en train de « traverser » le serveur Proxy. Sur la droite, vous configurez les utilisateurs et les services.
Je vous laisse découvrir par vous-même les possibilités de configuration offertes par ce programme. Voici cependant quelques conseils :
Pour la configuration des utilisateurs, vous pouvez
• soit rendre actif le compte ‘Guest’ (invité). Ainsi tous les ordinateurs du LAN sans distinction pourront se connecter à Wingate, mais vous ne pourrez pas savoir qui (tout le monde aura la dénomination ‘guest’)
• soit définir les utilisateurs qui ont le droit d’utiliser le Proxy. Pour cela, cliquer avec le bouton droit sur l’icône ‘Users’, faites New->User et introduisez les caractéristiques du nouvel utilisateur. Par défaut, ce dernier est placé dans le groupe ‘Utilisateurs’.
Ensuite précisez à Wingate comment l’identifier via son adresse IP. Utilisez pour cela l’icône ‘Assumed Users’.
Manipulation:
Définisez sur le serveur Proxy, les différents utilisateurs:
10.0.0.1 PosteR1
10.0.0.2 PosteR2
10.0.0.3 ….
• Pour chaque service, n’autorisez, pour des raisons de sécurité, la connexion à Wingate que depuis le réseau interne (empêchez les accès externes; des petits malins peuvent causer beaucoup de tort).
• Le système de cache de Wingate (analogue au cache de votre browser web) est assez performant et vous permet de gagner du temps lorsque vous surfez. Si vous utilisez cependant une vieille bécane pour le Proxy (par ex. un vieux DX2-66 MHz ou moins), ne dépassez pas 20 Mo de cache, car les disques durs de l’époque ont de la peine à se sortir des milliers de fichiers que Wingate peut produire.
J’ai remarqué sur mon serveur que la limite de Mo n’était pas toujours respectée (mon cache était gonflé à 61 Mo alors que j’avais fixé une limite à 15 Mo !). J’ai donc personnellement désactivé ce service. A titre indicatif, l’efficacité du cache était d’environ 5% sur mon LAN (avec 5 utilisateurs); il faut donc beaucoup plus d’utilisateurs pour que ce service soit rentable.
ATTENTION: Ne pas oublier de valider la connexion au Provider (Wanadoo).
• Si votre ISP vous a donné les coordonnées de son propre serveur Proxy, sachez que Wingate peut l’utiliser; les utilisateurs du LAN passeront donc par un double Proxy (Wingate et le cache de votre ISP). Allez pour cela dans le service WWW, onglet ‘Connection’, cochez ‘Through cascaded Proxy server’ et indiquez l’emplacement et le port (souvent 8080) du Proxy de votre ISP.
Remarque: il n’y a plus de cache pour Wanadoo
Notez bien que certaines applications n’aiment pas ce système de double Proxy. Par exemple, les premières versions de l’installation active de l’Explorer 4 exigeait la désactivation temporaire de ce service.
• Désactivez, si vous n’en avez pas besoin, les systèmes de Logs des services qui viennent vite polluer votre disque dur.

LE PROTOCOLE TCP-IP & INTERNET
1. Introduction
2. Le protocole IP
3. L’adresse IP
4. Les différents types de réseaux
5. La subdivision en sous-réseaux
6. Le routage des paquets IP et le protocole TCP
7. Le système de désignation de noms (DNS)
8. Résumé et exemples
MISE EN PLACE D’UN RESEAU (Rappel)
1. Introduction
2. Installation matérielle (hardware)
3. Structure du réseau
4. Mise en place du matériel
5. Configuration logicielle
6. Partage des ressources
7. Utilisation des ressources partagées
8. Mise en place de TCP-IP
MISE EN PLACE D’UN PROXY
1. Un serveur Proxy, mais pour quoi faire ?
2. Préparatifs pour connecter un LAN à Internet
3. Installation de Wingate
4. Configuration de Wingate
5. La notion de ports d’écoute
6. Configuration des applications
7. Conclusions
MISE EN PLACE D’UN ROUTEUR NAT PC + SOFT
1. Récapitulatif
2. Rappel sur le partage d’une connexion unique
3. Approfondissement sur le transport IP
4. Le fonctionnement d’un routeur NAT
5. Mise en place de Winroute
6. Configuration des machines clientes
7. Particularités de configuration
MISE EN PLACE D’UN ROUTEUR AUTONOME
1. Branchement du Routeur
2. Rappels sur le partage d’une connexion unique de la fonction NAT
3. Les principaux critères de sélection d’un Routeur RNIS
4. Résumé
5. L’authentification PAP ou CHAP
6. Comment filtrer les accès
7. Exemples de filtres créés pour le routeur Ascend P50
8. Caractéristiques du routeur Ascend P50