1.2. Choisir votre configuration

1.2.1. Interfaces réseau

Quatre interfaces réseau sont définies par IPCop : ROUGE, VERTE, BLEUE et ORANGE.

1.2.1.1. Interface réseau ROUGE

Ce réseau correspond à l'Internet ou tout autre réseau considéré non sûr. Le but premier d'IPCop est de protéger les autres réseaux (VERT, BLEU et ORANGE) et les ordinateurs qui leurs sont rattachés du trafic provenant de ce réseau ROUGE. Votre méthode de connexion et votre matériel actuel serviront à la connexion à ce réseau.

1.2.1.2. Interface réseau VERTE

Cette interface est reliée aux ordinateurs qu'IPCop doit protéger. Il s'agit en règle générale d'un réseau local. Cette interface utilise une carte réseau Ethernet dans la machine IPCop.

1.2.1.3. Interface réseau BLEUE

Ce réseau optionnel vous permet de regrouper vos périphériques sans fil sur un réseau séparé. Les ordinateurs de ce réseau ne peuvent accèder au réseau VERT sauf par le biais d'oeilletons ( << pinholes >> ) volontairement établis, ou par le biais d'un VPN. Cette interface utilise une carte réseau Ethernet dans la machine IPCop.

1.2.1.4. Interface réseau ORANGE

Ce réseau optionnel vous permet d'isoler sur un réseau séparé vos serveurs accessibles au public. Les ordinateurs reliés à ce réseau ne peuvent accéder au réseaux VERT ou BLEU, à moins que vous n'établissiez volontairement un oeilleton ( << DMZ pinholes >> ). Cette interface utilise une carte réseau Ethernet dans la machine IPCop.

1.2.1.5. Interfaces réseau

Vous aurez besoin d'au moins un câble Ethernet et une carte d'interface réseau. Dans la configuration la plus complète et dans le cas d'une connexion à Internet par Ethernet, pas moins de quatre cartes seront nécessaires.

Chaque carte réseau correspond à une carte physique à insérer dans la machine IPCop.

Vous devez donc prévoir une carte et un câble réseau pour chacun des réseaux VERT, BLEU et/ou ORANGE de votre future configuration. Les réseaux VERT et ROUGE sont obligatoires. Les réseaux ORANGE et BLEU sont optionnels. Les besoins pour l'interface du réseau ROUGE dépendent du type de votre connexion à l'Internet. Le réseau ROUGE peut nécessiter une carte réseau Ethernet et un câble supplémentaires.

Configuration ROUGE, ORANGE, BLEU, VERT.

Le diagramme ROUGE, ORANGE, BLEU, VERT précédent montre que chaque interface réseau en dehors du réseau ROUGE nécessite une carte réseau Ethernet. Si vous utilisez actuellement une connexion à Internet par Ethernet, vous aurez besoin d'une carte supplémenaire pour ce réseau. Tous ces réseaux doivent posséder une adresse réseau différente.

Note

Pour rappel, les réseaux BLEU et ORANGE sont optionnels.

Tableau 1-1. Besoins en cartes réseau

Connexion Modem ISDN USB ADSL Ethernet
ROUGE, VERT 1 carte (V) 1 carte (V) 1 carte (V) 2 cartes (V,R)
ROUGE, BLEU, VERT 2 cartes (B,V) 2 cartes (B,V) 2 cartes (B,V) 3 cartes (B,V,R)
ROUGE, ORANGE, VERT 2 cartes (O,V) 2 cartes (O,V) 2 cartes (O,V) 3 cartes (O,V,R)
ROUGE, ORANGE, BLEU, VERT 3 cartes (O,B,V) 3 cartes (O,B,V) 3 cartes (O,B,V) 4 cartes (O,B,V,R)

1.2.1.6. Niveau relatif de sécurité sur les interfaces réseau d'IPCop

Le modèle de sécurité mis en oeuvre avec IPCop comporte un réseau totalement sûr (VERT). Les requêtes issues de ce réseau sont considérées comme légitimes et autorisées par IPCop (et ce qu'elles soient initiées par un utilisateur ou par une machine infectée par un virus, un cheval de Troie ou toute autre sorte de << malware >> ).

IPCop 1.4.0 supporte désormais l'activation du système de détection des intrusions (IDS) sur chaque interface réseau de la configuration. Il est fortement recommandé de surveiller le journal des évènements de l'IDS pour vos réseaux internes dans le but de vérifier qu'aucune des machines dont vous êtes responsable n'a de comportement étrange, comportement parfois signe d'une infection par un virus.

Un classement des réseaux proposés par IPCop par ordre décroissant de niveau de confiance donne la suite ci-dessous :

ROUGE→ORANGE→BLEU→VERT

1.2.2. Configurations réseau

La configuration de base correspond à une configuration ROUGE/VERT dans laquelle IPCop protège un unique réseau interne (VERT) de l'Internet (ROUGE). Si vous possédez un point d'accès WiFi, vous pouvez le connecter à la carte réseau d'une interface BLEUE et demander à IPCop de restreindre l'accès des machines à votre réseau local sans fil. Si vous possédez un ou plusieurs serveurs que vous souhaitez rendre accessible de l'Internet, vous pouvez les placer sur un réseau non sûr, qualifié de DMZ ou zone démilitarisée, relié à la carte réseau d'une interface ORANGE. Vous devez donc décider dès maintenant de la combinaison d'interfaces dont vous souhaitez disposer pour votre installation.

1.2.3. Types de configuration réseau

Dans la mesure où l'interface ROUGE peut être de type modem ou Ethernet, huit configurations réseau sont possibles :

1.2.4. Connexion à l'Internet ou à un réseau externe

Comment vous connectez-vous actuellement à l'Internet ?

Si vous vous connectez à l'aide d'un modem externe broadband ou d'un routeur, vous utilisez vraisemblablement une carte d'interface réseau de type Ethernet. Auquel cas une carte similaire devra se trouver dans votre PC IPCop. Si vous vous connectez à l'aide d'un modem analogique interne ou un modem ISDN ou un modem ADSL USB, vous devrez le retirer pour le brancher sur votre PC IPCop. Si vous vous connectez à l'aide d'un modem analogique externe, vous devrez le connecter à votre PC IPCop.

Ce périphérique de connexion sera utilisé comme interface réseau ROUGE.

Relevez quelques paramètres clefs sur votre interface actuelle avant de vous lancez dans l'installation :

1.2.4.1. Vérification du nom d'h┘te DHCP

Si vous ne savez pas si votre FAI impose un nom d'h┘te ou si vous ne savez pas de quoi il s'agit, consultez les documents fournis par votre FAI avec le kit de connexion ou appellez son service d'assistance. Si cela ne vous avance pas plus, tapez la commande :


          
$
 
ifconfig -a
        
sur une machine *nix, et intéressez-vous à l'adresse IP de l'interface eth0. Sur une machine sous Windows 95, 98, ME, etc, la commande précédente devient :

          
C:\

winipcfg
        
tapée sur la ligne de commande. Sur une machine sous Windows NT, Windows 2000 ou Windows XP, la commande s'écrit :

          
C:\

ipconfig /all
        
Quelque soit votre système d'exploitation, notez l'adresse IP puis tapez la commande :

          
$
 
nslookup nnn.nnn.nnn.nnn
        
nnn.nnn.nnn.nnn est l'adresse IP relevée. Si vous obtenez une réponse à cette commande, notez le nom d'h┘te complet retourné. Le début peut correspondre au nom d'h┘te DHCP, alors que la fin peut être utilisée lors de la configuration du service DHCP d'IPCop.

1.2.5. Choisir les plages d'adresses de vos réseaux locaux

Vous devez choisir une plage d'adresses à affecter à votre réseau VERT ou réseau local. Il ne s'agit pas de l'adresse IP fournie par votre FAI. Les adresses de ce réseau n'apparaîtront jamais sur Internent. IPCop utilise en effet une technique appelée Port Address Translation, ou PAT, qui permet de cacher les machines du réseau VERT à une personne regardant votre système depuis l'Internet. Pour ne pas rencontrer de conflits d'adresses IP, il est recommandé de choisir une des plages d'adresses définie dans RFC1918 comme plages d'adresses privées (non routables). Il existe plus de 65,000 plages différentes que vous pouvez choisir. Pour une liste des plages d'adresses réseau disponibles, reportez-vous à l'annexe A . Le plus simple et commun des réseaux à utiliser est le réseau 192.168.1.xxx. Cela vous permet d'avoir un peu plus de 250 ordinateurs connectés ensembles derrière votre IPCop. En général, les routeurs ou pare-feu se voient attribuer une adresse IP tout en haut ou tout en bas de la plage d'adresses IP du réseau qu'ils servent. Il est donc recommandé de prendre l'adresse 192.168.1.1 pour l'interface VERTE de votre IPCop. IPCop va automatiquement adapter le masque de réseau à l'adresse IP que vous lui indiquerez mais il vous est toujours possible d'en indiquer un autre.

Si vous souhaitez disposer d'un réseau BLEU et/ou ORANGE, sélectionnez des adresses réseaux différentes pour chacun d'eux. Par exemple, le réseau BLEU peut se voir attribuer les adresses en 192.168.2.xxx et ORANGE les adresses en 192.168.3.xxx. Encore un fois, ces deux plages vous permettent de connecter un peu plus de 250 ordinateurs sur chaque réseau.