Tuto ad

TUTORIEL : Installer le service IIS, et configurer l’écoute du serveur WEB sur le port 80 et 443.

Dans cet exercice nous allons apprendre à installer le service IIS sur le système d’exploitation Windows 2008R2. L’installation se fait sans contrôlleur de domaine, libre à vous par la suite d’intégrer le serveur WEB à votre domaine afin d’intégrer l’authentification MICROSOFT pour vos utilisateurs. Nous allons également sécuriser l’accès au serveur, et configurer l’accès au serveur FTP.

NB : selon le scénario, le serveur WEB doit être placé soit dans une DMZ, soit dans le LAN de l’entreprise. En effet, votre serveur web est une boutique en ligne héberger dans votre entreprise, alors il doit être dans une DMZ. Votre serveur WEB héberge une application WEB pour les employés de l’entreprise uniquement, alors il peut être dans le LAN (intranet). Biensûr, il peut être hébergé en ligne chez un hébergeur comme OVH.

Prérequis : Une VM avec Windows 2008R2 d’installer, le paramétrage IP doit se faire selon votre environnement.

Une VM routeur, ou au mieux une VM IPCOP afin de gérer la DMZ de l’entreprise.

Rendez-vous dans la console de gestion du serveur de votre VM 2008R2 afin d’ajouter le rôle IIS.

[pic 1]

Lisez l’introduction puis cliquez sur « suivant ».

[pic 2]

Nous allons ajouter quelques services supplémentaires à notre serveur IIS. Dans la partie sécurité cochez la case « authentification de base », « authentification DIGEST ». Dans la partie serveur FTP, cochez toutes les cases.

[pic 3]

NB : Lisez le descriptif de chaque service que vous cochez sur la partie de droite. Le service FTP permet de mettre à jour votre site WEB. Les services peuvent être ajoutés par la suite.

Vérifiez le récapitulatif et cliquez sur « installer ».

[pic 4]

Une fois le service installé vous pouvez vérifier si le site de test est fonctionnel. Il suffit de lancer le navigateur et de se rendre à l’adresse http://localhost ou http://127.0.0.1 .

[pic 5]

Le problème dans cette configuration est que l’accès anonyme est ouvert. Selon le scénario cela peut convenir, mais dans le cas où seulement les employés de l’entreprise doivent s’authentifier il faut modifier le comportement.

Dans la console de gestion du serveur, rendez-vous dans le rôle « serveur web(IIS) ».

[pic 6]

Puis dans la console « Gestionnaire des services Internet », et dans le volet de droite et dans la partie IIS, double cliquez sur « authentification ».

[pic 7]

Désactivez l’authentification « anonyme », et activez « l’authentification de base ».

[pic 8]

NB : l’authentification DIGEST ne peut fonctionner que si le serveur WEB fait partie d’un domaine. L’authentification de base est très pauvre en sécurité, à utiliser uniquement pour des tests. Elle utilise la BASE SAM, on pourra donc se connecter en utilisant le compte administrateur.

Maintenant, essayons de nous connecter à notre site Web, toujours depuis le serveur. Il est préférable de redémarrer le service. Sur la partie de droite (actions) vous pouvez cliquer sur « redémarrer ».

[pic 9]

Ouvrez votre navigateur, accédez à votre page WEB. Maintenant vous devez vous authentifier en tant qu’administrateur pour vous connecter au site WEB.

[pic 10]

Voilà qui est un comportement un peu plus acceptable. Maintenant si je souhaite accéder à mon serveur WEB depuis l’extérieur (internet) il faut bien entendu que je redirige le port 80, vers l’adresse IP de mon serveur WEB sur mon routeur. Voici à quoi ressemble la règle de redirection sur le routeur/firewall IPCOP, afin de rediriger les ports 80 et 443 dans la DMZ.

[pic 11]

NB : http pour le port 80 et https pour le port 443.

Bien sûr pour accéder à mon serveur WEB je dois taper l’adresse IP de mon routeur, ou si mon adresse IP publique est liée à un nom de domaine, je peux directement taper ce nom dans mon navigateur.

[pic 12]

NB : dans mon exemple l’adresse IP de mon routeur IPCOP est 192.168.1.16, si je tape cette adresse dans mon navigateur il me redirige en fait vers le serveur WEB.

Par défaut le serveur WEB écoute sur le port 80. Je souhaiterai maintenant qu’il écoute sur le port 443. En effet je souhaite que les échanges entre mes employés et le serveur soient cryptés à l’aide d’un certificat. Nous allons donc ajouter le protocole SSL à notre communication.

Dans le volet de droite et dans la partie IIS, double cliquez sur « certificats de serveur ».

[pic 13]

Dans le menu « ACTION » sélectionnez « créer un certificat auto-signé ».

[pic 14]

Tapez le nom que vous souhaitez pour votre certificat et cliquez sur « OK ».

[pic 15]

NB : le certificat auto-signé convient très bien pour effectuer des tests. En effet, en environnement réel si vous voulez fournir un vrai certificat à vos clients, il faut impérativement passer par un service de certificat en ligne.

Le rôle d'un tel certificat est de rassurer vos visiteurs. Pour l'obtention d'un certificat signé, un organisme indépendant va contrôler dans le monde réel votre identité en vous demandant des documents d'organismes d'État.

Les organismes les plus connus sont VeriSign, Thawte, GlobalSign. Le prix annuel d'un certificat chez ces entreprises varie de 250$ à 1500$. D'autres compagnies, comme les hébergeurs OVH et Gandi, vendent également des certificats moins chers. Mais ces compagnies n'ont pas la même reconnaissance du grand public et peuvent ne pas être reconnu comme un tiers de confiance par certains navigateurs.

Pour obtenir une clé de confiance, il vous faudra émettre un « Certificate Signing Request » auprès du tier. Celui-ci vous retournera votre certificat signé.

Le certificat est maintenant créé, il faut faire écouter le serveur WEB sur le port 443. Faites un clic de droite sur « default Web Site » et cliquez sur « modifier les liaisons ».

[pic 16]

Cliquez sur « ajouter ».

[pic 17]

Modifiez comme ci-dessous et cliquez sur « OK ».

[pic 18]

Maintenant effectuons un test à partir du serveur, mais n’oubliez pas de redémarrer le service au préalable. Comme le certificat ne peut être vérifié par un service d’autorité, alors le navigateur vous prévient du danger. Vous pouvez cliquer sur « poursuivre… ».

[pic 19]

NB : cette fois-ci on se connecte en https://localhost 

Bien entendu il faut s’authentifier.

[pic 20]

Notre site web est donc accessible et sécurisé par SSL et authentification. Mais il est toujours accessible par le port 80 qui n’est pas crypté lui.

[pic 21]

A partir de « default site web », accédez au volet de droite et double cliquez sur « paramètres SSL ».

[pic 22]

Cochez la case « exiger SSL » et dans le menu « action » cliquez sur « appliquer ».

[pic 23]

Essayez maintenant de vous connecter en http et non en https. Le site web refuse votre connexion. Seules les connexions en HTTPS sont acceptées.