Reseau Sécuriser

s, mais à quelques ressources sans grands risques, comme un accès internet plus ou moins limité, un accès à un serveur FTP, bref, à vous de voir ce que vous voulez protéger et ce que vous voulez autoriser.

Dans le cadre de cette étude, nous utiliserons l'adresse MAC de la station, pour vérifier si cette station est connue et autorisée à se connecter au réseau local, ou si elle n'est pas connue, la diriger sur un réseau d'invités. Certes, utiliser l'adresse MAC n'est pas une garantie absolue, mais c'est une solution simple à mettre en oeuvre, si nos switchs savent offrir cette possibilité. Les VLANs (Virtual Local Area Network) permettent "simplement" d'assigner dynamiquement un port (entendez par là un connecteur du switch) à un LAN ou à un autre, d'où la notion de VLAN. Nous verrons tout ceci en détail plus loin.

Page 1 sur 88

Réalisé à partir des pages du site, du 8 avril 2007 par Laurent BAYSSE

Sécuriser son réseau

© Christian CALECA http://christian.caleca.free.fr/lansecure/

Pour mener à bien cette tâche, un serveur d'authentification de type RADIUS nous sera nécessaire.

Sécurité du réseau sans fils

Ici, le problème est différent. Il faut s'assurer que seuls les invités peuvent se connecter, et non pas les intrus. De plus, il faut éviter que les invités se connectent à une borne pirate à leur insu. Pour réaliser ceci, nous ferons appel à EAP et WPA-TLS, un système d'authentification qui fait lui aussi intervenir un serveur RADIUS

Politique de sécurité

Nous allons certainement nous faire quelques ennemis de plus chez les utilisateurs (un administrateur a rarement des amis chez les utilisateurs), mais la politique retenue est la suivante : Nous créons un LAN "invités", sur lequel il n'y a pas de ressources sensibles, isolé du LAN des "permanents" (nous raisonnons ici en termes de machines et pas d'utilisateurs). Les stations "connues", celles dont l'administrateur a la maîtrise, auront le droit de se connecter (par liaison filaire) sur le LAN des "permanents". Les stations "inconnues" (typiquement les portables), pourront :

•

se connecter sans autorisation particulière au réseau filaire, mais seront intégrées au LAN "invités" (les VLANS viendront à notre secours pour cette opération), se connecter au réseau sans fils, avec l'accord de l'administrateur. La station se retrouvera alors sur le LAN "invités".

•

Il est possible de faire plus fin, mais pour comprendre le principe, cette démarche sera suffisante.

Page 2 sur 88

Réalisé à partir des pages du site, du 8 avril 2007 par Laurent BAYSSE

Sécuriser son réseau

© Christian CALECA http://christian.caleca.free.fr/lansecure/

Plan du chapitre

Introduction.......................................................................................................................................... 1 Sécurité du réseau filaire..................................................................................................................1 Sécurité du réseau sans fils.............................................................................................................. 2 Politique de sécurité.........................................................................................................................2 Les VLANs...........................................................................................................................................6 Théorie............................................................................................................................................. 7 Les bases..................................................................................................................................... 7 Un LAN.................................................................................................................................. 7 Deux LANS (ou plus).............................................................................................................7 Où intervient le virtuel........................................................................................................... 8 Pourquoi faire ?........................................................................................................................... 9 802.1q (ou l'art du tag)................................................................................................................ 9 Explications.......................................................................................................................... 10 Au niveau 2......................................................................................................................10 Au niveau 3......................................................................................................................11 Attribution d'un port à un VLAN.............................................................................................. 11 Attribution statique (niveau 1)............................................................................................. 11 Attribution dynamique (niveaux > 1)...................................................................................12 Manip VLANs............................................................................................................................... 13 Oui, mais au niveau 3 ?............................................................................................................. 13 Mise en oeuvre.......................................................................................................................... 15 VLANs niveau 2............................................................................................................................ 17 Position du problème................................................................................................................ 17 Remarques à propos du ProCurve 2650....................................................................................17 Réseaux sans fils sécurisés................................................................................................................. 22 Introduction....................................................................................................................................23 Les différents types de risque....................................................................................................23 Intrusion en vue d'une compromission des postes................................................................23 Intrusion en vue d'exploitation d'un accès à l'internet.......................................................... 23 Intrusion « passive » en vue d'extraire des informations......................................................23 Les parades................................................................................................................................24 Savoir qui est présent sur votre réseau................................................................................. 24 Cacher les informations échangées...................................................................................... 24 Découverte d'un « login » autorisé.................................................................................. 25 Découverte d'une information « stratégique » caduque...................................................25 Découverte d'une information « stratégique » à long terme............................................ 25 Assurer un minimum de sécurité au client........................................................................... 25 Bon gros avertissement à l'usage des clients................................................................... 25 Solutions........................................................................................................................................ 26 WEP.......................................................................................................................................... 26 WPA..........................................................................................................................................26 WPA2........................................................................................................................................26 Personnal ou Enterprise ?..........................................................................................................26 Mode « personnel ».............................................................................................................. 26 Mode « entreprise ».............................................................................................................. 27 Page 3 sur 88 Réalisé à partir des pages du site, du 8 avril 2007 par Laurent BAYSSE

Sécuriser son réseau

© Christian CALECA http://christian.caleca.free.fr/lansecure/

Techniquement..........................................................................................................................27