NOTE DE SYNTHESE - czedda.files.wordpress.com · PfSense est un système d'exploitation OpenSource ... – Mise en cluster de ces 2 serveurs (avec pfsync / CARP) – Installation

BTS INFORMATIQUE DE GESTIONOption: ARLE

NOTE DE SYNTHESE :

Mise en place d'un serveur mandataire (proxy) sous PfSense

ZEDDA Clément Session 2012

Synthèse de stage 2011/2012 1/22

SOMMAIRE

INTRODUCTION

PRESENTATION DE L'ENTREPRISE

Page 2

Page 31. Origine de l'entreprise2. L’entreprise3. Présentation du service maintenance informatique4. Organigramme

PRESENTATION DU PROJET

Page 3Page 3Page 4Page 5

Page 6 1. Objectifs 2. Pourquoi utiliser Squid ? 3. Pourquoi utiliser PfSense ?

ETUDE DU PROJET

Page 6Page 6Page 6

Page 81. Schéma réseau de liaison entre Z.I.C et Talleyrand2. Schéma des deux serveurs pfsense en detail3. Graphique du flux réseau de l'entreprise4. Mise en place5. Planification du projet

REALISATION DU PROJET

Page 8Page 9 Page 10Page 10Page 11

Page 12 1. Installation de PfSense 2. Configuration de PfSense 3. Squid, Squidguard et Lightsquid 4. HAVP 5. Schéma du dispositif proxy

CONCLUSION

Page 12Page 14Page 19Page 19Page 20

Page 21


INTRODUCTION

Du 6 février au 23 mars 2012, j'ai apporté mon aide au sein de l'équipe de maintenance informatique du journal l'union pour effectuer des changements de postes, d'écrans, d'installations d'imprimantes sur le réseau local de l'entreprise, je suis également intervenu dans les différents services du journal l'union pour résoudre les problèmes que pouvaient rencontrer les utilisateurs.

J'ai effectué aussi plusieurs déplacements aux alentours de Reims, pour effectuer des changements de disques dur sur certains serveurs et mettre en place des imprimantes dans des nouveau locaux.

L'équipe technique m'a confié le projet de rediriger les utilisateurs voulant se connecter à internet vers deux deux serveurs mandataire proxy.


PRESENTATION DE L'ENTREPRISE

1.Origine de l'entreprise.

Le journal l'Union est un journal issu de la seconde guerre mondiale, il fut créé durant cette période par un résistant principalement, Edmond Forboteaux, qui, aidé et épaulé par d'autres résistants, se marginalisait de la presse de l'époque.Le journal qui se définissait jusqu'à son acquisition par le Groupe Hersant-Média comme un «grand journal issu de la résistance».

2.L'entreprise: journal L'Union.

En ce qui concerne sa situation géographique, le journal L'union est présent en deux endroits dans la ville de Reims:

-Le siège technique se situe en Zone Industrielle Colbert ( Z.I.C) , où sont prises diverses décisions administratives et où se situe entre autre la rédaction, et le centre d'édition de distribution, où sont situés les rotatives servant à l'impression des divers titres, les journalistes, graphistes et personnels de production et distribution, ainsi que les pôles Web, édition publicitaire et maintenance informatique, où j'ai été affecté durant toute la période de mon stage.

-Le siège administratif se trouve dans le centre-ville de Reims (Talleyrand) , alors que tout les services techniques se situent dans la zone Industrielle, en périphérie de Saint-Brice Courcelles, bénéficiant ainsi d'un espace considérablement plus grand et plus vaste pour contenir le personnel et les machines. Cependant, les échanges entre ces deux sites sont continuels et sont de nature différentes: la communication entre les deux parties se fait essentiellement par courriel ou téléphone. Régulièrement, le personnel de maintenance informatique ou les responsables de service se rendent au siège administratif.

Sans entrer dans les détails, il faut quand même savoir qu'il y a environ 350 employés au journal:-9 personnes au service maintenance se relaient jours et nuits, par groupe de 2 ou 3.-Une quarantaine de personnes au service Édition, en roulement de jour comme de nuit.-Une dizaine de personnes pour le pôle web, également dans un système de rotation.

Le système d'information du journal est lui aussi en grande partie informatisé: il est partagé entre le flux d'information continue provenant des centres d'informations nationaux, mais également de dépêches envoyées par courriel au journal en provenance des correspondants locaux.


Outre l'environnement humain, il est aussi question d'observer la diversité de l'environnement informatique. Le parc informatique du journal est tout simplement impressionnant. Dans l'enceinte même du centre d'impression, grâce au logiciel GLPI qui est un logiciel de Gestion Libre de Parc Informatique qui fait l'inventaire des ordinateurs, périphériques, réseaux, imprimantes, j'ai pu voir tous les ordinateurs répertoriés dans l'entreprise, il y a en tout 501 postes avec différents systèmes d'exploitation tels que Windows, Mac, Linux.

J'ai répertorié aussi les différents serveurs, ils sont équipés de processeurs de marque Intel, type Xenon d'une fréquence de 3,4 Ghz qui associés à une mémoire vive de 4048 Mo, permettent un flux spontané et continus des informations sans trop de ralentissement.Ces nombreux serveurs sont de marques différentes tel que HP, Apple Computer, Fujitsu Siemens, IBM et Dell.

3.Présentation du service maintenance informatique.

Le service où j'ai été affecté du 6 février au 23 mars pendant ma période de stage est le service de maintenance informatique. Ce service à pour fonction, comme son nom l'indique, de résoudre les problèmes liés à l'informatique qui peuvent survenir dans l'entreprise, mais également la préparation des postes et machines, la réparation des matériels (imprimantes, écrans..) et la mise à jour de ces derniers et de développer, quand il est possible de le faire, certaines applications pour l'entreprise. Pour une facilité de maintenance, tous les ordinateurs de l'entreprise sont équipés d'un logiciel, VNC Viewer, qui permet de prendre le contrôle des postes à distance, ce qui permet de résoudre les divers problèmes tout en restant dans le service.En effet, sans pôle maintenance, le moindre bug logiciel ou la moindre machine qui subirait un dysfonctionnement engendrerait un retard de l'impression du journal, dû au temps de réparation, et à terme le mauvais fonctionnement de la structure, par effet boule de neige. C'est pourquoi, comme dans toute l'entreprise, il y a au moins une personne au pôle maintenance en permanence, de nuit comme de jour, afin d'être présent à tout problème.


3.Organigramme:

Cet organigramme ne représente pas toutes les branches de l'entreprise, cela représente juste la branche technique de l'entreprise et non la partie de gestion.


PRESENTATION DU PROJET

1.Objectifs:

Le projet se décompose en deux grandes étapes:

– L'étape de mise en place de deux serveur mandataire (proxy) Squid sous Pfsense. Ces deux serveurs communiquent entre eux afin de contrôler l’usage d’Internet, d’augmenter la bande passante du réseau et d’effectuer des blocages sur certains sites sensibles.

– Assurer la sécurité du proxy Squid avec un antivirus particulier (HAVP).

2.Pourquoi utiliser utiliser squid ?

Squid est un seveur mandataire (proxy) libre est très connu du monde Open Source, ce serveur est très complet et propose une multitude d'options et de services.

3. Pourquoi PfSense ?

PfSense est un système d'exploitation OpenSource (logiciel libre) basé sur FreeBSD(linux). Il peut être installé sur un simple ordinateur personnel comme sur un serveur VMWARE. Basé sur PF (packet filter),il est réputé pour sa fiabilité.


ETUDE DU PROJET

1.Schéma réseau de liaison entre Z.I.C et Talleyrand.

Dans ce schéma réseau de liaison des deux sites de production, on aperçoit que les deux sites sont reliés par de la fibre optique (La vitesse de transmission des données dans la fibre optique est environ à 1Gb/s). Nous allons nous intéresser à la partie Talleyrand plus précisément aux 2 serveurs Pfsense à mettre en place pour le bon fonctionnement de la liaison à internet et pour répondre à la tolérance aux pannes.


SCHEMA RESEAU DES DEUX SITES DE PRODUCTION

ZIC Talleyrand

Veepee 2

Veepee 1

Switch (trunk)

Switch (vlan 50)

Switch (vlan 10 + 20) Switch (vlan 10 + 20)

Switch (vlan 50)

Switch (trunk)

FibreCompletel

EQ SDSl 4M

9i SDSL

6M

Obs ASDL

8M

Haute dispo

Serveur lié au cluster en 3eme position

Free

Switch (vlan 51)

Haute dispo

Serveur 1 Serveur 2

SERVEURS PfSense

Free

Switch (vlan 52)

Orange

Arkoon S150 Arkoon S150

Haute dispo

Cluster répartiteur de charge

Schéma de mon projet

2.Schéma des deux serveurs pfsense en detail:

Ce schéma comprend:

– 2 Serveurs pare-feu PfSense qui communiquent entre eux grâce à un câble croisé et le logiciel pfsync. Pfsense1 pour le serrveur1 et Pfsense2 pour le serveur2

– Les deux serveurs Pfsense sont reliés au Switch Vlan 10 +20 qui rejoint les utilisaeurs de Talleyrand. Ils sont reliés aussi au Switch Vlan 51 qui permettra l'accès à Internet.

Chaque serveur à 3 cartes réseau avec une adresse définie pour chaque interfaces, le net-id des adresses sera de «172.20» pour la liaison entre LAN et Internet, puis «192.168»pour la liaison entre les deux serveurs proxy PfSense.


3.Graphique du flux réseau de l'entreprise

Ces graphiques sont issus du logiciel de supervision CENTREON qui permet grâce à une sonde placée sur le lien WAN de Talleyrand de voir les flux de la bande passante.

Le problème de flux non métier est dû à la connexion à internet et à la réception du courriel de tous les salariés qui le font simultanément vers 8h30 quand ils arrivent au travail.Pour eviter ceci nous allons mettre en place les deux serveurs pare-feu Pfsense et

4.Mise en place:

– Installation de 2 serveurs virtuels sur VMWARE– Installation de PfSense sur les 2 serveurs virtuels– Mise en cluster de ces 2 serveurs (avec pfsync / CARP)– Installation de squid, squidgard et lightsquid– Installation HAVP


Utilisation des liens WAN sur leur période de production respective (7h – 2h)

• Flux métier (7h00 –2h00)– 92.9% de qualité

sur le service rendu aux utilisateurs

• Flux non métier (9h00 – 18h30)– 76.8% de qualité

sur le service rendu aux utilisateurs

5.Planification du projet:

Voici un récapitulatif des taches réalisés pendant le projet avec le logiciel GANTT.

Tache 1: Attribution + etude du projetTache 2: Elaboration schéma réseauTache 3: Création de 2 serveurs virtuels + configTache 4: Installation de PfSense + configTache 5: Mise en cluster des 2 serveursTache 6: Installation de squid + configTache 7: Test squid sur clientTache 8: Installation squidguard + configTache 9: Test squidguardTache 10: Installation antivirus proxy (havp)Tache 11: Test havpTache 12: Config lightsquidTache 13: Test lightsquidTache 14: Elaboration note de synthèse


REALISATION DU PROJET1)

1.Installation de Pfsense.

Pour l'installation du système d'exploitation (PfSense), il m'a fallu un serveur HP dont les caractéristiques sont les suivantes:

-2 processeur Intel 4coeurs, 3Ghz chacun-mémoire vive 8Go-2 cartes réseaux raccordées à LAN et WAN de l'entreprise-4 disques dur de 146Go chacun à 10 000 tr/min-2 Alimentations.

J'ai installé VMware ESXi 5.0.0 en évaluation sur ce serveur HP, il s'installe directement sur la couche matérielle. Il n'est pas nécessaire d'installer un système d'exploitation «hôte» pour installer VMware ESX. VMware ESX est donc un hyperviseur qui permet une gestion plus précise des ressources pour chaque machine virtuelle et de meilleures performances. La solution VMware ESX est la solution la plus industrielle de la gamme.

Pour finir, j'ai donc créé 2 serveurs virtuels sur vSphere Client (composant obligatoire et interface primaire de création, gestion et surveillance des machines virtuelles, de leurs ressources et de leurs hôtes).

VM1 VM2-mémoire vive 1024 Mo - mémoire vive 1024 Mo-3 cartes réseau virtuelles - 3 cartes réseau virtuelles-disque dur 10 Go -disque dur 10 Go


J'ai ensuite installé PfSense sur ces deux serveurs virtuels On peut voir que nous avons créés 3 interfaces réseau WAN LAN et OPT1 sur les deux serveurs et leur attribuer 3 adresses IP.

WAN: em1, LAN: em0, OPT1: em2.


2.Configuration de PfSense:

Il est possible de commencer à faire les configurations dans PfSense.Pour cela, nous allons donc faire les configurations directement via l’interface Web. Pour cela, il est nécessaire d’ouvrir un navigateur Web et de se connecter à l’ URL https://ip-pfsense. Dans notre cas, nous ferons https://172.20.0.121 pour la VM1 (PfSense1) et https://172.20.0.122 pour la VM2 (PfSense2)Voici ce que l'on obtient pour le serveur VM1:


Nous allons maintenant configurer les interfaces LAN et WAN et OPT1 en détail.Pour cela, nous allons dans le menu Interface puis WAN pour commencer. On entre l'adresse IP de la carte réseau coté WAN qui est donc 172.20.3.121 d’après le schéma du réseau et ensuite l'adresse IP de la passerelle.

Puis on fait de même avec l'interface LAN


L'interface OPT1 est mise en place sur la 3eme carte réseau du serveur pour relier les deux serveurs entre eux de façon a communiquer en permanence comme le montre l'image ci-dessous.

Une fois que les 3 interfaces sont créées sur chacun des deux serveurs, nous allons faire en sorte qu'il communiquent entre eux grâce à la mise en place d'un cluster entièrement redondant avec 2 PfSense-systèmes entre WAN/LAN avec le service pfsync / CARP .Pour faire simple, quand le serveur VM1 est coupé ou tombe en panne, le serveur VM2 prend le relais , ce qui permet d'avoir une redondance pour permettre la liaison entre WAN et LAN et donc une tolérance aux pannes.


Nous sommes toujours sur le serveur VM1, pour mettre en place le service pfsync:Grace au service de synchronisation les deux serveurs vont enfin communiquer entre eux.

Nous allons sélectionner l'interface de synchronisation dédié à l'interface dans notre cas OPT1 puis attribuer l'adresse de l'interface OPT1 du serveur VM2.L'image ci-dessous montre le service CARP pour la mise en cluster des deux serveurs pour biensur la tolérance aux pannes.


Après redémarrage des 2 serveurs, on constate que VM1 est bien le serveur maître ( MASTER) et VM2 le serveur esclave (BACKUP) :

Et pour vérifier si cela fonctionne nous allons à présent nous connecter a pfsense2 sur le serveur VM2:

Pour vérifier si notre synchronisation des 2 serveurs à fonctionné, on a débranché le serveur VM1 pour simuler une panne par exemple, puis rentrer dans l'URL d'un navigateur quelconque l'adresse du cluster controller qui est donc 172.20.0.123 ou 172.20.3.123 si l'on se situe soit dans le LAN soit dans le WAN.


3.SQUID ,SQUIDGUARD et LIGHTSQUID.

Squid est un serveur mandataire (proxy) capable d'utiliser les protocoles FTP, HTTP, et HTTPS.

Squid présente de nombreux avantages, aussi bien en termes de sécurité que de contrôle des sites visités par l'utilisateur. Nous utiliserons bien entendu des solutions libres, à savoir Squid pour le proxy HTTP , Squidguard pour l'élément de filtrage et lightsquid pour la visualisation des logs des utilisateurs et sites internet visités.

Dans le cas d'un serveur proxy « normal », le client demande au proxy d'interroger le serveur cible. Ce dernier répond au proxy qui communique alors la réponse au client. Dans ce mode, le client est configuré pour utiliser un proxy et il modifie les requêtes http en fonction.

Pour pouvoir utiliser les fonctionnalités du proxy, il faut ajouter les packages «squid», «lightsquid» et «squidguard» puis configurer les blacklist (liste noire des site frauduleux).

Après installation de ces packages, j'ai configuré squid de sorte à ce qu'il écoute toutes les trames qui sont transmises à l'adresse virtuelle 172.20.0.123 situé dans le LAN au port 3128 et à l'adresse 172.20.1.123 situé dans le WAN au port 3128.

4.HAVP ( Antivirus HTTP)

HAVP est un programme conçu à l'origine pour linux mais il existe des patchs pour le faire fonctionner sur solaris et freeBSD. Dans notre cas nous l'avons fait fonctionné sous freeBSD. HAVP (HTTP AntiVirus proxy ) est un proxy avec un anti-virus filtre.

A quoi sert-il ?

A protéger le proxy squid contre divers virus pouvant endommager ce proxy.

problemes rencontrés:

La communication entre squid et havp ne fonctionnait pas, il a fallu que je change le port du proxy squid car il y avait un conflit.

solution:

il fallait ajouter l'élément suivant dans le fichier de configuration de squid afin d'intégrer HAVP au fichier de configuration de Squid: '' cache_peer 127.0.0.2 parent 3129 0 name=havp no-query no-digest connect-timeout=1 ''


5.Schéma du dispositif proxy:

Principe de fonctionnement:

N° Explications 1 Demande du client de la page web au proxy squid

2 Squid valide (ou pas), l'adresse source/destination, domaine… en fonction des ACLs. SQUID choisi de poursuivre (ou pas) le traitement.

3 Si la demande n'est pas bloquée, SQUID initie une connexion à HAVP

4

HAVP a reçu la demande. Il va donc devoir charger la page pour pouvoir l'analyser. HAVP initie une connexion vers SQUID en utilisant ces paramètres : PARENTPROXY localhost PARENTPORT 3128

5

SQUID a reçu la demande depuis HAVP. Cependant, il n'effectue pas le traitement classique grâce à l'acl cache_peer_access havp deny localhost car il n'autorise pas l'utilisation du cache_peet si la source est localhost, sinon cela pourrait créer une boucle. SQUID effectue donc la demande auprès du serveur Web (Internet)

6 Réponse du serveur Web


7 SQUID répond à HAVP qui a initié la demande

8

HAVP effectue le traitement anti-virus. Deux réponses sont possibles : - Aucun virus n'a été trouvé, HAVP renvoie l'URL d'origine à SQUID- Un virus a été détecté, HAVP renvoie une URL spécifique qui pointe vers une page informative

9

SQUID a reçu la réponse et effectue la classification d'URL par l'intermédiaire de SQUIDGUARD. Deux réponses sont possibles : - L'URL testée ne fait partie d'aucune classification, SQUIGUARD renvoie l'URL d'origine. - L'URL est classifiée, SQUIDGUARD renvoie une URL spécifique qui pointe vers une page informative

10 SQUID répond au client


CONCLUSION

J'ai finalement redirigé l'utilisateur voulant se connecter à Internet sur deux serveur mandataire proxy sous PfSense et réussi à faire communiquer les deux serveurs entre eux.

Ce projet m'a permis de me perfectionner dans la réalisation d'un projet, cela m'a également permis de mettre en pratique mes connaissances théoriques acquises tout au long de ma formation Informatique de Gestion au Lycée Roosevelt.

De plus, étant seul pour mettre en place le projet, j'ai dû gérer seul mon temps de travail en me fixant des objectifs hebdomadaires pour ne pas prendre du retard dans le projet en ayant une vision globale dans le temps.

Je suis satisfait de mon projet puisqu'il à rempli tous les objectifs fixés.


Documents

NOTE DE SYNTHESE - czedda.files.wordpress.com · PfSense est un système d'exploitation OpenSource ... – Mise en cluster de ces 2 serveurs (avec pfsync / CARP) – Installation