Petit réseau 5 postes

Recherche :

Mot : Pseudo : Filtrer
Bas de page
Auteur	Sujet : Petit réseau 5 postes

Nelyot Tchagui

Bonjour,

J'ai 5 ordis dont 4 sous WIN XP et 2000 et 1 qui va être sous débian.

Les 4 windows sont déjà en réseau grâce à un HUB et l'un d'entre eux fait office de serveurs de fichiers central. Chacun des 4 a les droits d'écriture sur le serveurs de fichiers. Jusqu'à présent ces 4 ordi n'étaient pas connectés à la toile.

Je cherche à utiliser debian comme passerelle pour internet pour les 4 autres windows (j'espère y gagner par rapport à windows en terme de sécurité).

Je projetais de mettre 2 cartes réseaux sur le debian, (une reliée à la toile, et l'autre au HUB des 4 windows).

Le debian sera connecté 24h/24 et fera aussi office de serveur ftp. Il accédera aussi au serveur de fichiers centrale grâce à Samba avec les droits d'écriture.

Je précise que je ne suis pas un boss de linux, ni un informaticien. Je fais ça pour une association étudiante.

1) Que pensez vous du niveau de sécurité d'un tel montage?
2) Dans ces conditions le partage de connexion est-il possible?
3) Auriez-vous un /etc/network/interfaces particulier à me conseillez
4) idem pour les règles iptables?

Merci d'avance (je sais que je demande beaucoup)

Publicité

vlemquov

Moi je dis, achete un WRT54G, sur ta debian (ou utilise mdk si tu t'y connais pas trop) tu mets un serveur samba, et hop
Ca te coutera beaucoup moins cher en terme de temps passé à tout configurer

Nelyot Tchagui

Mais je n'ai aucune carte wifi, en plus j'ai déjà 2 hubs donc je crois que je n'ai pas besoin de ça.

Je repose mes quesions sinon:
1) Que pensez vous du niveau de sécurité d'un tel montage?
2) Dans ces conditions le partage de connexion est-il possible?
3) Auriez-vous un /etc/network/interfaces particulier à me conseillez
4) idem pour les règles iptables?

Nelyot Tchagui

Faxone

1) la sécurité, c toujours délicat
2) le partage de connexion est tout a fait possible
3) non
4) non
Question subsidiaire : Pourquoi ta passerelle debian doit elle accéder au serveur de fichiers interne ?

MaxMaverick

bli bli

Nelyot Tchagui a écrit :

Si justement tu as besoin soit d'un WRT54G (ou d'un DG834[G] qui tourne aussi sous linux). Pourquoi ?
Parce que 1 tu n'y connais rien en securité reseau (c'est pas un reproche)
Parce que 2 tu n'y connais presque rien en réseau hard (idem)
Parce que 3 tu n'a pas forcement le temps de t'occuper de tout cela.
Parce que 4 le linksys il a un super rapport qualité/prix
Et en plus il t'evite le modem adsl en plus.

Le WRT54G (comme la serie DG834*) Concentre un switch 4 port, une connection wifi et un firewall (linux pour la serie netgear,
pour le linksys je sais qu'il est possible d'y mettre un linux).

La partie switch va te permettre d'optimiser ton reseau, si tu veut une
comparaison un switch 4 port c'est 4 personnes qui comuniquent uniquement a leurs destinataires, un hub 4 port c'est 4 personnes qui communiquent en envoyant leurs messages a tous les 3 autres.
Autant que possible branche les machines serveurs directement sur le
switch et utilise les hub pour limiter le nombre de machines / hub.

La partie firewall va te permettre de limiter les risques quand a ton
reseau interne qui presente de gros risques de securité (droits d'ecriture sur une machine windows) tout en n'ayant pas 300 pages de
documentation sur la securité des reseaux a lire.

1/ niveau de securité faible (plusieurs services / machines, pas d'isolation reseau etc mais bon c'est pas un reseau d'entreprise).
2/ tout est tjrs possible il suffit de vouloir. Mais je n'appuierai jamais assez sur la necessite d'avoir un equipement reseau qui externalise la securité.
3/
Exemple de configuration en utilisant un reseau 192.168.0.0/24 (config. par defaut des equipements reseaux personnels.)

-> IP des machines comprise entre 192.168.0.2 et 192.168.0.254
->> masque reseau 255.255.255.0
->> adresse passerelle (gateway) 192.168.0.1

Nelyot Tchagui

faxone a écrit :

1)
Question subsidiaire : Pourquoi ta passerelle debian doit elle accéder au serveur de fichiers interne ?

Ben c'est surtout pour que les gens puissent travailler aussi avec ce poste et pas se contenter de surfer sur le web.

Nelyot Tchagui

maxmaverick a écrit :

Merci beaucoup pour tous ces conseils,
je vais me renseigner plus sur ce genre de matos. En fait, j'espèrais ne pas avoir à investir dans de nouveaux matos (notamment des cartes wifi).

Niveau sécurité, je pense que le réseau est déjà un peu sécurisé, du fait que c'est un sous réseau. L'accès internet nous est fourni par mon école.

Merci pour tout!

ceyquem

E falso sequitur quodlibet

sinon si tu veux un tuto pour faire une passerelle ADSL sous debian, y'a un petit tuto ici : http://ceyquem.free.fr/www/articles/

Message édité par ceyquem le 27-11-2004 à 14:58:04

goldyfruit

Je me lève et je confirme !

ceyquem a écrit :

sinon si tu veux un tuto pour faire une passerelle ADSL sous debian, y'a un petit tuto ici : http://ceyquem.free.fr/www/articles/

Ou la vache il est bien ce site !! :jap:

Publicité

Nelyot Tchagui

merci pour le lien.

En fait, mon réseau ne devrait pas être très risqué car théoriquement il est totalement inaccessible depuis l'extérieur d'après le service informatique de mon école.
Par contre, je galère pour ma passerelle debian.

j'ai 2 cartes réseaux et 1 hub
en eth0 je suis relié au réseau de mon école qui fournit l'internet en dhcp
en eth1 je suis relié au hub, lui même relié à 4 autres ordis tous sous windows.

aucun problème pour accéder à internet depuis la passerelle. Par contre le partage de connexion et de fichiers ne fonctionne pas.

J'ai installé une sarge avec le noyau 2.4 sans recompilé (j'ai supposé que les fonctions de partage de connexion étaient présentes par défaut avec ce noyeau).

Après, j'ai crée un /etc/network/if-pre-up.d/iptables-start avec à l'intérieur

Code :

# REMISE à ZERO des règles de filtrage
iptables -F
iptables -t nat -F
# DEBUT des "politiques par défaut"
# Je veux que les connexions entrantes soient bloquées par défaut
iptables -P INPUT DROP
# Je veux que les connexions destinées à être forwardées
# soient acceptées par défaut
iptables -P FORWARD ACCEPT
# Je veux que les connexions sortantes soient acceptées par défaut
iptables -P OUTPUT ACCEPT
# FIN des "politiques par défaut"
# DEBUT des règles de filtrage
# Pas de filtrage sur l'interface de "loopback"
iptables -A INPUT -i lo -j ACCEPT
# J'accepte le protocole ICMP (i.e. le "ping" )
iptables -A INPUT -p icmp -j ACCEPT
# J'accepte le protocole IGMP (pour le multicast)
iptables -A INPUT -p igmp -j ACCEPT
# J'accepte les packets entrants relatifs à des connexions déjà établies
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
# Décommentez les deux lignes suivantes pour que le serveur FTP éventuel
# soit joignable de l'extérieur
#iptables -A INPUT -p tcp --dport 20 -j ACCEPT
#iptables -A INPUT -p tcp --dport 21 -j ACCEPT
# Décommentez la ligne suivante pour que le serveur SSH éventuel
# soit joignable de l'extérieur
#iptables -A INPUT -p tcp --dport 22 -j ACCEPT
# Décommentez la ligne suivante pour que le serveur de mail éventuel
# soit joignable de l'extérieur
#iptables -A INPUT -p tcp --dport 25 -j ACCEPT
# Décommentez les deux lignes suivantes pour que le serveur de DNS éventuel
# soit joignable de l'extérieur
#iptables -A INPUT -p tcp --dport 53 -j ACCEPT
#iptables -A INPUT -p udp --dport 53 -j ACCEPT
# Décommentez la ligne suivante pour que le serveur Web éventuel
# soit joignable de l'extérieur
#iptables -A INPUT -p tcp --dport 80 -j ACCEPT
# Décommentez la ligne suivante pour que le serveur CUPS éventuel
# soit joignable de l'extérieur
#iptables -A INPUT -p tcp --dport 631 -j ACCEPT
# Décommentez les deux lignes suivantes pour que le serveur Samba éventuel
# soit joignable de l'extérieur
#iptables -A INPUT -p tcp --dport 139 -j ACCEPT
#iptables -A INPUT -p udp --dport 139 -j ACCEPT
# Décommentez la ligne suivante pour que des clients puissent se connecter
# à l'ordinateur par XDMCP)
#iptables -A INPUT -p udp --dport 177 -j ACCEPT
# Décommentez la ligne suivante pour que l'odinateur puisse se connecter
# par XDMCP à une machine distante)
#iptables -A INPUT -p tcp --dport 6001 -j ACCEPT
# Décommentez la ligne suivante pour que le serveur CVS éventuel
# soit joignable de l'extérieur via le mécanisme de "pserver"
# (si les utilisateurs accèdent au serveur CVS exclusivement via SSH,
# seule la ligne concernant le serveur SSH doit être décommentée)
#iptables -A INPUT -p tcp --dport 2401 -j ACCEPT
# Décommentez la ligne suivante pour pouvoir reçevoir des flux VideoLAN
# (ce sont des flux UDP entrants sur le port 1234)
#iptables -A INPUT -p udp --dport 1234 -j ACCEPT
# Décommentez la ligne suivante pour pouvoir reçevoir des annonces SAP
# (ce sont des annonces de session multicast)
#iptables -A INPUT -p udp -d 224.2.127.254 --dport 9875 -j ACCEPT
# Décommentez les 3 lignes suivantes pour pouvoir utiliser GnomeMeeting
#iptables -A INPUT -p tcp --dport 30000:33000 -j ACCEPT
#iptables -A INPUT -p tcp --dport 1720 -j ACCEPT
#iptables -A INPUT -p udp --dport 5000:5006 -j ACCEPT
# La règle par défaut pour la chaine INPUT devient "REJECT"
# (il n'est pas possible de mettre REJECT comme politique par défaut)
iptables -A INPUT -j REJECT
# FIN des règles de filtrage
# DEBUT des règles pour le partage de connexion (i.e. le NAT)
# Décommentez la ligne suivante pour que le système fasse office de
# "serveur NAT" et remplaçez "eth0" par le nom de l'interface connectée
# à Internet
#iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
# Si la connexion que vous partagez est une connexion ADSL, vous
# serez probablement confronté au fameux problème du MTU. En résumé,
# le problème vient du fait que le MTU de la liaison entre votre
# fournisseur d'accès et le serveur NAT est un petit peu inférieur au
# MTU de la liaison Ethernet qui relie le serveur NAT aux machines qui
# sont derrière le NAT. Pour résoudre ce problème, décommentez la ligne
# suivante et remplaçez "eth0" par le nom de l'interface connectée à
# Internet.
#iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS -o eth0 --clamp-mss-to-pmtu
# FIN des règles pour le partage de connexion (i.e. le NAT)
# DEBUT des règles de "port forwarding"
# Décommentez la ligne suivante pour que les requêtes TCP reçues sur
# le port 80 de l'interface eth0 soient forwardées à la machine dont
# l'IP est 192.168.0.3 sur son port 80 (la réponse à la requête sera
# forwardée au client)
#iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to-destination 192.168.0.3:80
# FIN des règles de "port forwarding"

et dans mon /etc/network/interfaces j'ai mis:

Code :

auto lo
iface lo inet loopback
# Activation de la fonction de forwarding IP au niveau du noyau
up echo "1" > /proc/sys/net/ipv4/ip_forward
# L'interface "eth0" connectée à Internet (configuration par DHCP)
auto eth0
iface eth0 inet dhcp
# L'interface "eth1" connectée au réseau local (IP privée fixe)
auto eth1
iface eth1 inet static
address 192.168.0.1
netmask 255.255.255.0
broadcast 192.168.0.255

ensuite sur les autres postes j'ai mis l'adresse IP de ma passerelle mais pas les dns car je ne les connais pas. Je précise que je ne suis pas connecté à travers un modem mais par un autre réseau plus grand (celui de mon école).

Rien ne marche sur les autres ordis. J'ajoute que même le partage samba ne marche pas.

Si vous avez quelques idées je suis preneur, où si vous connaissez un tuto infaillible...

Merci à tous,

Message édité par Nelyot Tchagui le 30-11-2004 à 23:29:26

Nelyot Tchagui

Faxone

Pour le partage de connexion, relis le script de 100 à 104 et décommente 105.

Faxone

Pour ton partage de fichier, je ne sais pas. Ton problème est que ta passerelle n'arrive pas à joindre ton serveur de fichiers windows ?
Si tu fais : smbclient -L ipduserveurfichiers
ca donne quoi ?

Tu as toujours la possibilité de mettre des sniffers sur les ordis pour essayer de comprendre ce qu'il se passe (ethereal ou tcpdump)

Nelyot Tchagui

merci pour ton aide.
Effectivement, le serveur nat était bloqué. De plus, il fallait les dns pour les ordis clients. Maintenant le partage de connexion marche. j'ai pas encore réussi avec samba mais ça je finirai bien par y parvenir.
En fait, les ordis sous windows voient le serveur samba sans pouvoir y accéder, tandis que le linux fait comme s'il ne voyait rien.

Je n'ai pas encore tout essayé loin de là, donc je ne demande pas d'aide. Je remercie simplement ceux qui m'ont déjà aidé jusqu'ici.
:jap:

Message édité par Nelyot Tchagui le 04-12-2004 à 01:13:22

FORUM HardWare.fr

Linux et OS Alternatifs

Petit réseau 5 postes

Sujets relatifs
petit éditeur d'image ?	probleme étrange avec mes cartes réseau... [urgent svp]
Faire des schémas réseau pas trop moches	Besoin d'aide pour une configuration assée poussé d'un réseau linux
configurer reseau sous mandrake 10	comment bien architecturer mon reseau ?
reseau linux xp	pb connexion reseau mandrake 10
linux pour passerelle internet/reseau local avec win2000	[DEBIAN]Impossible de transeférer des .RAR et .ZIP sur le réseau
Plus de sujets relatifs à : Petit réseau 5 postes

Page générée en 0.092 secondes