Administration réseau

1 Configuration réseau

1.1 Configuration d'interface sous Unix

Lister les interfaces : netstat -i.

Exemple sur artois :

rex@artois:~$ netstat -i
Kernel Interface table
Iface   MTU Met    RX-OK RX-ERR RX-DRP RX-OVR ...
eth0   1500   0 13081896 0      0      0      ...
eth1   1500   0  9043501 0      0      0      ...
lo     3924   0   261476 0      0      0      ...

...                TX-OK TX-ERR TX-DRP TX-OVR Flg
...             10402147      0      0      0 BNRU
...              7328120      0      0      0 BNRU
...               261476      0      0      0 LRU

Une commande standard : ifconfig.
Permet de définir :
- l'adresse IP de l'interface ;
- l'adresse de diffusion ;
- le masque de réseau ;
- la taille maximale de paquet (MTU).

Exemple d'utilisation de ifconfig :

$ /sbin/ifconfig eth0 193.48.57.37
  netmask 255.255.255.224 broadcast 193.48.57.63

Permet de vérifier la configuration :

rex@artois:~$ /sbin/ifconfig eth0
eth0      Link encap:Ethernet  HWaddr 00:10:B5:02:A5:B7
          inet addr:193.48.57.37  Bcast:193.48.57.63  Mask:255.255.255.224
          inet6 addr: fe80::210:b5ff:fe02:a5b7/10 Scope:Link
          UP BROADCAST NOTRAILERS RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:13086840 errors:0 dropped:0 overruns:0 frame:0
          TX packets:10407691 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:100
          Interrupt:5 Base address:0xe000

1.2 Résolution des noms DNS

Des noms de machines symboliques :
nom := machine.domaine
domaine := service.institution.racine
racine := edu | com | ... | fr | uk | fi | ...
Résolution statique :
- le fichier de correspondance /etc/hosts ;
- entrées de la forme :
  adresse-IP nom-officiel [surnom ...]
- exemple :
```
127.0.0.1       localhost
193.48.57.36    douaisis.escaut.net
```
Résolution dynamique :
- utilise un Domain Name Server (DNS) ;
- configuration dans /etc/resolv.conf ;
- trois mots clefs :
  - domain : nom du domaine local ;
  - nameserver : adresse IP du serveur ;
  - search : suffixes de recherche.
- exemple de configuration :
```
nameserver 193.48.57.36
nameserver 134.206.1.15 
search escaut.net polytech-lille.fr
```

1.3 Mise à jour du routage sous Unix

Une commande (presque) standard : route.

Exemples d'utilisation :

Interface loopback :

route add -net 127.0.0.0 dev lo

route add -host 127.0.0.1 dev lo

Routage du serveur d'applications de Polytech'Lille :

route add -net 193.48.57.32 netmask 255.255.225.224 dev vlan2
route add -net 172.26.96.0 netmask 255.255.240.0 dev vlan14
route add -net default gw 193.48.57.62

Routage d'une machine d'enseignement ;

route add -net 172.26.16.0 netmask 255.255.240.0 dev eth0
route add -net 172.26.0.0 netmask 255.255.0.0 gw 172.26.31.254
route add -net 192.168.2.0 netmask 255.255.255.0 gw 172.26.31.253
route add -net 193.48.57.0 netmask 255.255.255.0 gw 172.26.31.254
route add -net 193.48.64.0 netmask 255.255.255.0 gw 172.26.31.254
route add -net 193.48.65.0 netmask 255.255.255.0 gw 172.26.31.254
route add -net 193.48.68.0 netmask 255.255.255.0 gw 172.26.31.254
route add -net 134.206.0.0 netmask 255.255.0.0 gw 172.26.31.254
route add -net 193.49.225.0 netmask 255.255.255.0 gw 172.26.31.254
route add -net default gw 172.26.16.8

Lister la table de routage :
- parfois route sans argument ;
- sinon utiliser netstat -rn.

Exemple la table de routage de pevele :

pevele$ netstat -rn
Kernel IP routing table
Destination     Gateway         Genmask         Flags ...
193.48.57.32    0.0.0.0         255.255.255.224 U     ...
0.0.0.0         193.48.57.62    0.0.0.0         UG    ...

... MSS Window  irtt Iface
... 0 0          0 eth0
... 0 0          0 eth0

1.4 Configuration réseau sous Windows XP

La configuration de base :
Des commandes en ligne :
Encore le registre :

1.5 Configuration automatique d'interface

Méthodes pour obtenir les informations IP :
- statique, codée dans un fichier ;
- dynamique, utilisation de serveurs réseau (DHCP) ;
- configuration automatique (zeroconf).
Disparition des scripts utilisant ifconfig et route

Centralisation des configurations réseau :

exemple des distributions Debian et Ubuntu ;

un fichier texte /etc/network/interfaces

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
iface eth0 inet dhcp

# The wifi network interface (WPA)
auto ath0
iface ath0 inet static
  wpa-driver madwifi
  wpa-ssid SWEETHOME
  wpa-key-mgmt WPA-PSK
  wpa-psk cpasbeaudetresicurieux
  address 192.168.0.10
  netmask 255.255.255.0
  gateway 192.168.0.254

des utilitaires ifup et ifdown ;
une interface graphique modifiant le fichier.

DHCP permet une configuration avancée :

subnet 172.26.16.0 netmask 255.255.240.0 {
  option domain-name "students.deule.net studserv.deule.net escaut.net deule.net";
  option subnet-mask 255.255.240.0;
  option broadcast-address 172.26.31.255;
  option classless-routes 10:ac:1a:ac:1a:1f:fe:18: <...> ;
  option ms-classless-routes 10:ac:1a:ac:1a:1f:fe:18: <...> ;
  option static-routes 172.26.0.0 172.26.31.254, 193.48.57.0 172.26.31.254, <...> ;
  option routers gordogato.studserv.deule.net;
  pool {
    allow members of "STUDENTS";
    range 172.26.17.0 172.26.28.255;
  }
  pool {
    option routers router-students.deule.net;
    allow members of "STUDENTS.MARTIN";
    range 172.26.29.0 172.26.29.50;
  }
  ddns-domainname "students.private.direct.deule.net";
  ddns-rev-domainname "private.reverse.deule.net";
  ddns-ptr-domainname "students.deule.net";
  }

Zeroconf, un ensemble de techniques :
- IPv4All pour l'adresse dans 169.254.1.0 à 169.254.254.255 ;
- IPv4All repose sur une exploration par ARP ;
- mDNS remplace l'interrogation de DNS ;
- mDNS utilise le multicast sur 224.0.0.251 ;
- DNS-SD pour la découverte des services (RR SRV).

2 Configuration réseau avancée

2.1 Alias d'interface réseau

Interface fantôme (alias).
Donner une seconde adresse IP.

Plusieurs syntaxes :

syntaxe à la OSF1, NetBSD, FreeBSD ;

$ /sbin/ifconfig ln0 10.0.0.1 alias
$ /sbin/ifconfig ln0 delete 10.0.0.1

syntaxe à la Solaris, Linux ;

$ /sbin/ifconfig eth0:0 10.0.0.1 
$ /sbin/ifconfig eth0:0 down

Exemple d'utilisation :

$ /sbin/ifconfig eth0
eth0  Link encap:10Mbps Ethernet  HWaddr 00:00:C0:81:03:AC
      inet addr:192.168.10.51  Bcast:192.168.10.255
                               Mask:255.255.255.0
      UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
      RX packets:271116 errors:0 dropped:0 overruns:0
      TX packets:51683 errors:0 dropped:0 overruns:0
      Interrupt:10 Base address:0x350 Memory:c8000-cc000 
$ /sbin/ifconfig eth0:0 192.168.15.53

2.2 Commutateur logiciel

Matériel nécessaire : plusieurs cartes réseau.
Applications :
- commutateur de secours,
- chaînage d'éléments réseau,
- commutateurs virtuels (virtualisation).
Création du commutateur :
```
brctl addbr monpont
```

Ajout d'interfaces dans le commutateur :

brctl addif monpont eth0
brctl addif monpont eth1

Activation des interfaces :

ifconfig eth0 0.0.0.0 
ifconfig eth1 0.0.0.0

Activation du pont :

ifconfig monpont up
ifconfig monpont 192.168.0.1 netmask 255.255.255.0

Configuration de haut niveau :

iface eth0 inet manual

iface eth1 inet manual

iface br0 inet dhcp
  bridge_ports eth0 eth1

2.3 Principe de la table de routage

Liste de paires ( clef, attribut ).
Cas simple :
- la clef est un préfixe réseau (numéro et masque),
- l'attribut est l'adresse du routeur,
- algorithme de choix de la route :
  - table de routage à trois champs :
    - numéro de réseau (r) ;
    - masque de réseau (m) ;
    - adresse du routeur (ar).
  - adresse de la destination : a,
  - routeur (ar) choisi si ( a & m ) = r,
  - généralisation aux sous-réseaux.
Routage du paquet sur l'adresse destination.
Sélection des préfixes réseau convenables.
Les préfixes les plus longs sont retenus.
Utilisation du premier couple ( préfixe, adresse).
Raffinement (routage Linux > 2.2) :
- la clef comporte les éléments suivants :
  - le préfixe réseau,
  - le type de service,
  - un niveau de priorité.
- l'attribut comporte un type :
  
  unicast
  : route normale,
  unreachable
  : ICMP "destination non atteignable",
  blackhole
  : rien,
  prohibit
  : ICMP "communication interdite",
  nat
  : réécriture de l'adresse destination,
  ...

2.4 Introduction d'une stratégie de routage

Stratégie de routage de Linux > 2.2
Il s'agit d'une liste séquentielle de règles.
Chaque règle est une paire ( sélecteur, action).
Le sélecteur s'applique sur plusieurs éléments :
- l'adresse source du paquet,
- l'adresse destination du paquet,
- interface de provenance du paquet,
- type de service,
- marque du paquet.
L'action consiste à utiliser une table de routage.
Il existe des règles de types différents :

unicast
: utiliser la route ad hoc de la table,
unreachable
: ICMP "destination non atteignable",
blackhole
: rien,
prohibit
: ICMP "communication interdite",
nat
: réécriture de l'adresse source,
...

2.5 Nouvelle commande pour le routage

Regroupement des commandes => ip.

Utilisation au niveau des interfaces :

oleron# ip link show
1: lo: <LOOPBACK,UP> mtu 16144 qdisc noqueue
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
2: eth0: <BROADCAST,UP> mtu 1500 qdisc pfifo_fast qlen 100
    link/ether 00:10:b5:03:88:44 brd ff:ff:ff:ff:ff:ff
oleron# ip link set eth0 down
oleron# ip link set eth0 address 00:10:b5:03:88:44

Utilisation pour affecter les adresses IP :

oleron# ip address add dev eth0 193.48.64.200/24 broadcast +
oleron# ip address show eth0
5: eth0: <BROADCAST,UP> mtu 1500 qdisc pfifo_fast qlen 100
    link/ether 00:10:b5:03:88:44 brd ff:ff:ff:ff:ff:ff
    inet 193.48.64.39/24 brd 193.48.64.255 scope global eth0
    inet 193.48.64.200/24 brd 193.48.64.255 scope global secondary eth0
    inet6 fe80::210:b5ff:fe03:8844/10 scope link

Contrôle de la résolution d'adresses physiques :

oleron# ip neighbour show dev eth0
193.48.64.1 lladdr 00:d0:bc:bf:6c:38 nud reachable
193.48.64.47 lladdr 00:10:b5:07:36:82 nud stale
193.48.64.45 lladdr 00:10:b5:07:34:97 nud reachable 
oleron# ip neighbour add 193.48.64.250 lladdr 00:10:b5:03:88:44 dev eth0

Mise à jour d'une table de routage :

le routage traditionnel (unicast) :

oleron# ip route add 10.0.0.0/8 via 193.48.64.200
oleron# ip route show
193.48.64.0/24 dev eth0  proto kernel  scope link  src 193.48.64.39
10.0.0.0/8 via 193.48.64.200 dev eth0
default via 193.48.64.1 dev eth0

le routage multi-chemin :

pevele# ip route add default nexthop via 193.48.57.33
                             nexthop via 193.48.57.62

autres types de routage :

un exemple avec le type prohibit :

artois# ip route add prohibit 207.46.0.0/16
gayant08$ ping -v www.microsoft.com
PING microsoft.com (207.46.130.45): 56 data bytes
112 bytes from artois.escaut.net (172.26.16.7): Packet Filtered

un exemple avec le type nat :

artois# ip route add nat 193.48.57.48/29 via 172.26.17.136

Ajout d'une règle de stratégie de routage :

artois# ip route add 193.48.57.32/27 dev eth0 table 100
artois# ip route add 172.26.16.0/20 dev eth1 table 100 
artois# ip route show table 100
193.48.57.32/27 dev eth0 scope link
172.26.16.0/20 dev eth1 scope link
artois# ip rule add priority 310 from 172.26.17.128/29 lookup table 100
0:      from all lookup local
310:    from 172.26.17.128/29 lookup 100
32766:  from all lookup main
32767:  from all lookup default     
artois# ip rule add priority 320 from 172.26.17.136/29 nat 193.48.57.48 
artois# ip rule show
0:      from all lookup local
310:    from 172.26.17.128/29 lookup 100
320:    from 172.26.17.136/29 lookup main map-to 193.48.57.48
32766:  from all lookup main
32767:  from all lookup default

Configuration de tunnels :

artois# ip tunnel show
tunl0: ip/ip  remote any  local any  ttl inherit  nopmtudisc
gre0: gre/ip  remote any  local any  ttl inherit  nopmtudisc
sit0: ipv6/ip  remote any  local any  ttl 64  nopmtudisc
sit1: ipv6/ip  remote 206.123.31.102  local any  ttl 64

2.6 Réflexion sur la translation d'adresse

NAT signifie Network Address Translation.
La translation peut être :
- sans état (bijection entre les adresses),
- ou avec état (compression possible de l'espace d'adressage).
La translation peut concerner :
- les adresses sources (SNAT),
- ou les adresses destination (DNAT).

2.7 Introduction d'une notion de filtres

But : contrôle fin de certains paquets.
But : modification de certains paquets.
Principe sous Linux 2.4/2.6 :
- Une table pour contrôler :
- Une table pour modifier les adresses :
- Une table pour des modifications particulières :
Sélection des paquets suivant certains critères :
- interface d'arrivée ou de sortie,
- adresse de niveau liaison (ethernet),
- type du protocole IP, adresses source ou destination,
- plage de ports source ou destination pour TCP et UDP,
- divers champs spécifiques de TCP, UDP ou ICMP,
- utilisateur ou groupe émetteur des paquets, ...
Diverses actions disponibles :
- accepter, refuser ou tracer des paquets,
- translation d'adresses source (niveau connexion),
- translation d'adresses destination (niveau connexion),
- marquer des paquets, modifier leur type de service.

2.8 Pare-feu : mascarade

Une machine se fait passer pour une autre.
Utilisation de la mascarade :
- piratage d'un centre informatique ;
- accès à l'Internet d'un réseau local.
Adresses réservées pour réseau local :
- classe A : 10.0.0.0 ;
- classes B : 172.16.0.0 à 172.31.0.0 ;
- classes C : 192.168.0.0 à 192.168.255.0.
Principe de fonctionnement :

Configuration de mascarade avec Linux 2.0 :

sur les machines du réseau local :

artois# /sbin/route add default gw 172.26.16.7

sur la machine pare-feu :

artois# /sbin/ipfwadm -F -p deny
artois# /sbin/ipfwadm -F -a masquerade -S 172.26.16.0/20

Configuration de mascarade avec Linux 2.2 :

artois# ipchains -P forward DENY
artois# ipchains -A forward -j MASQ -s 172.26.16.0/20

Configuration de mascarade avec Linux 2.4/2.6 :

artois# iptables -P FORWARD DROP
artois# iptables -A FORWARD -j ACCEPT -s 172.26.16.0/20
artois# iptables -A FORWARD -j ACCEPT -d 172.26.16.0/20
artois# iptables -t nat -A POSTROUTING -j MASQUERADE -s 172.26.16.0/20

2.9 Pare-feu : restriction d'accès

Interdire l'accès au réseau local.
Principe de fonctionnement :
Variante : limitation d'accès.
Exemple d'utilisation :
- interdire les accès FTP vers Internet ;
- interdire les connections vers le pare-feu.

Configuration de pare-feu avec Linux 2.0 :

# /sbin/ipfwadm -F -p accept  
# /sbin/ipfwadm -F -a deny -P tcp -S 193.48.57.32/27 -D 0.0.0.0/0 21
# /sbin/ipfwadm -I -p accept  
# /sbin/ipfwadm -I -a deny -P tcp -S 0.0.0.0/0 -D 134.206.3.60/32 23

Configuration de pare-feu avec Linux 2.2 :

# ipchains -P forward ACCEPT 
# ipchains -A forward -j DENY -p tcp -s 193.48.57.32/27 -d 0/0 ftp
# ipchains -P input ACCEPT 
# ipchains -A input -j DENY -p tcp -d 134.206.3.60/32 telnet

Configuration de pare-feu avec Linux 2.4/2.6 :

# iptables -P FORWARD ACCEPT
# iptables -A FORWARD -j DROP -p tcp -s 193.48.57.32/27 --dport ftp
# iptables -P INPUT ACCEPT
# iptables -A INPUT -j DROP -p tcp -d 134.206.3.60 --dport telnet

2.10 Encapsulation d'IP dans IP

Définition de l'encapsulation (tunneling) :
- un protocole d'encapsulation ;
- un protocole encapsulé ;
- encapsulation à un bout du tunnel ;
- dé-encapsulation à l'autre bout ;
Utilisation de l'encapsulation :
- extension d'un réseau non routable ;
- création d'un réseau virtuel ;
- création d'un réseau sécurisé.
Exemples d'utilisation :
- encapsulation d'AppleTalk dans IPv4 (routage) ;
- encapsulation d'IPv4 dans IPv4 (réseau privé) ;
- encapsulation d'IPv6 dans IPv4 (transition) .

Exemple d'utilisation (transition) :

RG20-3640#show running-config interface tunnel0
interface Tunnel0
 no ip address
 ipv6 address 2001:660:3000:1104:140::/64
 ipv6 enable
 ipv6 rip T0 enable
 tunnel source FastEthernet3/0.2
 tunnel destination 193.51.178.140
 tunnel mode ipv6ip
end
RG20-3640#show ip route
     172.26.0.0/20 is subnetted, 2 subnets
C       172.26.224.0 is directly connected, FastEthernet3/0
C       172.26.16.0 is directly connected, FastEthernet3/0.4
     193.48.57.0/27 is subnetted, 1 subnets
C       193.48.57.32 is directly connected, FastEthernet3/0.2
S*   0.0.0.0/0 [1/0] via 193.48.57.33
               [1/0] via 172.26.224.1
RG20-3640#show ipv6 route
...
S   ::/0 [1/0] via ::, Tunnel0
RG20-3640#

Exemple d'utilisation (réseau privé) :
- ajout d'hote fictif à l'USTL ;
- l'hote est situé à Polytech'Lille.
Schéma de fonctionnement virtuel :
Schéma de fonctionnement réel :

Commandes de configuration (Linux 2.0) :

machine 193.51.25.73

$ /sbin/ifconfig tunl 134.206.60.149 \
                 pointopoint 134.206.60.148 
$ /sbin/ifconfig tunl netmask 255.255.0.0 
$ /sbin/route add 134.206.60.148 dev eth0
$ /sbin/route add -net 134.206.0.0 dev tunl

machine 134.206.60.148

$ /sbin/ifconfig tunl 134.206.60.148 \
                 pointopoint 193.51.25.73
$ /sbin/ifconfig tunl netmask 255.255.255.0 
$ /sbin/route add 134.206.60.149 dev tunl
# /sbin/arp -s 134.206.60.149 x:x:x:x:x:x pub

Commandes de configuration (Linux >= 2.2) :

machine albanie.ilot.org :

albanie# ip tunnel add ustl mode ipip remote 134.206.85.135
albanie# ip link set ustl up
albanie# ip address add 134.206.85.136/16 broadcast + dev ustl 
albanie# ip tunnel show ustl
ustl: ip/ip  remote 134.206.85.135  local any  ttl inherit
albanie# ip route add 134.206.85.135 dev eth0
albanie# ip route add 134.206.0.0/16 dev ustl
albanie# ip route show
134.206.85.135 dev eth0  scope link
193.48.57.224/27 dev eth0  proto kernel  scope link  src 193.48.57.226
134.206.0.0/16 dev ustl  proto kernel  scope link  src 134.206.85.136
default via 193.48.57.225 dev eth0  metric 1

machine statpc6.univ-lille1.fr :

statpc6# echo 1 > /proc/sys/net/ipv4/conf/all/proxy_arp
statpc6# echo 1 > /proc/sys/net/ipv4/conf/all/forwarding
statpc6# ip tunnel add epul mode ipip remote 193.48.57.226
statpc6# ip address add 134.206.85.135/32 broadcast + dev epul
statpc6# ip link set epul up
statpc6# ip tunnel show epul
epul: ip/ip  remote 193.48.57.226  local any  ttl inherit
statpc6# ip neighbour add 134.206.85.136 lladdr 00:b0:d0:8c:91:10 dev eth0
statpc6# ip route add 134.206.85.136 dev epul

3 Configuration d'éléments de réseau (CISCO)

3.1 Exemples de configurations matérielles

Matériel actuel.
- Le commutateur/routeur CISCO 6506 de l'école :
  - Carte principale SUP720 :
    - terminologie : Supervisor Engine,
    - matrice de commutation de 720 gigabits/s,
    - traite jusqu'à 400.000.000 paquets par seconde,
    - comprend un processeur RISC R7000 à 600Mhz.
  - 512 Mo de mémoire vive.
  - 2 Mo de mémoire sauvegardée.
  - 64 Mo de mémoire de masse (flash).
  - Cartes réseau :
    - 26 interfaces Gigabit.
    - 4 interfaces 10Gigabit.
- Un commutateur 3560E de l'école :
  - Carte processeur :
    - terminologie : Switching Fabric,
    - bande passante de 68 gigabits/s,
    - processeur WS-C3560E-48PD (PowerPC405 >400Mhz, 1998).
  - 128 Mo de mémoire vive.
  - 64 Mo de mémoire sauvegardée.
  - Cartes réseau :
    - 1 port Ethernet rapide,
    - 48 ports Gigabit Ethernet 10/100/1000Mb/s,
    - 2 ports 10Gigabit Ethernet.
  - Power over Ethernet avec 15.4W sur les 48 ports.
- Un commutateur 2950G de l'école :
  - Carte processeur :
    - terminologie : Switching Fabric,
    - bande passante de 13.6 gigabits/s,
    - processeur WS-C2950G-48-EI (RC32300, 150 MHz).
  - 20 Mo de mémoire vive.
  - 8 Mo de mémoire sauvegardée.
  - Cartes réseau :
    - 2 ports Gigabit Ethernet 1000Mb/s,
    - 48 ports Ethernet rapide 10/100Mb/s.
Les anciens matériels.
- Le routeur CISCO 7202 de l'école :
  - Carte principale NE-150 :
    - terminologie : Network Processing Engine,
    - traite jusqu'à 150.000 paquets par seconde,
    - comprend un processeur RISC R4700 à 150Mhz.
  - 64 Mo de mémoire vive.
  - 4 Mo de mémoire sauvegardée.
  - 2 cartes mémoire PCMCIA de 16Mo.
  - Cartes réseau :
    - une carte Ethernet rapide 10/100Mb/s,
    - une carte ATM fibre optique 155Mb/s.
- Un commutateur 2924 XL de l'école :
  - Carte processeur :
    - terminologie : Switching Fabric,
    - traite jusqu'à 3 millions de paquets par seconde,
    - comprend un processeur Power PC 403GA (environ 33 Mhz).
  - 8 Mo de mémoire vive.
  - 4 Mo de mémoire sauvegardée.
  - Cartes réseau :
    - une carte GigaBit Ethernet 1Gb/s,
    - 24 ports Ethernet rapide 10/100Mb/s.
- Le commutateur 8540MSR de l'école :
  - Carte processeur :
    - bande passante de 40 gigabits/s,
    - processeur Risc R5000.
  - 256 Mo de mémoire vive.
  - 8+16 Mo de mémoire sauvegardée.
  - Cartes réseau :
    - 1 port ethernet 10Mb/s,
    - 6 ports Gigabit Ethernet 1000Mb/s,
    - 13 ports ATM à 155Mb/s,
    - 48 ports Ethernet rapide 10/100Mb/s.

3.2 Principe de configuration

Un élément de réseau est un ordinateur spécialisé :
- un ou plusieurs processeurs,
- de la mémoire vive, des interfaces réseaux,
- un système d'exploitation, un système de fichier,
- pas de port clavier, pas de carte vidéo.
Système d'exploitation des CISCO : l'IOS (version 12).
Configuration par port série ou via le réseau.

Session typique de configuration :

rex@artois:~$ telnet router-servers
  
User Access Verification
   
Password:
RG20-7202>enable
Password:
RG20-7202#configure terminal
Enter configuration commands, one per line.  End with CNTL/Z.
RG20-7202(config)#exit
RG20-7202#write
Building configuration...
[OK]
RG20-7202#reload
Proceed with reload? [confirm]

Support de nombreux protocoles et mécanismes réseau :

protocole	description
apollo	un (vieux) protocole d'HP
appletalk	le protocole des MACs
atm	un protocole multimédia d'opérateurs
frame-relay	relai de trames
ip	protocole Internet
ipx	protocole de Novell
ipv6	protocole Internet (version 6)
lane	émulation LAN sur ATM
lat	protocole de Digital Equipement
lnm	LanManager (utilisé par MS-Windows)
ppp	protocole Point to Point Protocol
sna	protocole réseau d'IBM
spanning-tree	protocole utilisé par les commutateurs
vines	protocole indépendant
vlans	réseaux locaux virtuels
x25	un ancien protocole d'opérateurs
xns	protocole de Xerox
...

3.3 Configuration basique de l'IOS

Mise en place de mots de passe :

RG20-7202#configure terminal
Enter configuration commands, one per line.  End with CNTL/Z.
RG20-7202(config)#enable password pasglop
RG20-7202(config)#line vty 0 10
RG20-7202(config-line)#password pasglop
RG20-7202(config-line)#exit

Instructions pour déverminer :

RG20-7202#configure terminal
Enter configuration commands, one per line.  End with CNTL/Z.
RG20-7202(config)#logging 193.48.57.34
RG20-7202(config)#logging facility local7
RG20-7202(config)#exit
RG20-7202#terminal monitor
RG20-7202#debug ip icmp
ICMP packet debugging is on
RG20-7202#

Configuration IP de l'interface propre :

RG20-7202#configure terminal
Enter configuration commands, one per line.  End with CNTL/Z.
RG20-7202(config)#interface FastEthernet1/0
RG20-7202(config-if)#description Interface coté USTL
RG20-7202(config-if)#ip address 134.206.3.60 255.255.0.0
RG20-7202(config-if)#media-type MII
RG20-7202(config-if)#exit
RG20-7202(config)#ip domain-name deule.net 
RG20-7202(config)#ip name-server 193.48.57.34

3.4 Configuration de VLAN

Configuration de VLAN sur un commutateur :

déclaration de VLAN :

RG20-1#vlan database
RG20-1(vlan)#vlan 2 name SERVERS
VLAN 2 added:
  Name: SERVERS
RG20-1(vlan)#exit
APPLY completed.
Exiting....                                                                     
RG20-1#show vlans
...

affectation d'un port à un VLAN :

RG20-1#configure terminal
Enter configuration commands, one per line.  End with CNTL/Z.
RG20-1(config)#interface fastEthernet0/7
RG20-1(config-if)#switchport access vlan 2 
RG20-1(config-if)#exit

configuration d'un port global :

RG20-1#configure terminal
Enter configuration commands, one per line.  End with CNTL/Z.
RG20-1(config)#interface fastEthernet0/1
RG20-1(config-if)#switchport mode trunk
RG20-1(config-if)#switchport trunk encapsulation dot1q
RG20-1(config-if)#exit

Configuration de VLAN sur un routeur :

C3600#configure terminal
Enter configuration commands, one per line.  End with CNTL/Z.
C3600(config)#interface Ethernet1/0.2
C3600(config-subif)#encapsulation dot1Q 2
C3600(config-subif)#ip address 192.168.2.1 255.255.255.0
C3600(config-subif)#exit                                                        
C3600(config)#exit
C3600#show vlans
...

3.5 Régles de routage

Règles simples (numéros 1 à 99) :

RG20-7202#configure terminal
Enter configuration commands, one per line.  End with CNTL/Z.
RG20-7202(config)#access-list 1 deny 193.48.64.0 0.0.0.255
RG20-7202(config)#access-list 1 permit any
RG20-7202(config)#interface fastEthernet1/0
RG20-7202(config-if)#ip access-group 1 out
RG20-7202(config-if)#exit

Règles complexes (numéros 99 à 199) :

RG20-7202#configure terminal
Enter configuration commands, one per line.  End with CNTL/Z.
RG20-7202(config)#access-list 100 deny tcp 193.48.64.39 0.0.0.0 any eq ftp      
RG20-7202(config)#access-list 100 permit ip any any
RG20-7202(config)#interface fastEthernet1/0
RG20-7202(config-if)#ip access-group 100 out
RG20-7202(config-if)#exit

3.6 Table de routage IP

Routages statiques.

Interfaces directement connectées :

r-uvsq#sh ip route connected
C    193.51.43.0 is directly connected, Ethernet1
     193.51.24.0 is subnetted
                 mask is 255.255.255.224,
                 2 subnets
C       193.51.24.0 is directly connected, Ethernet0

Routages explicites :

r-uvsq#sh ip route static
S*   0.0.0.0 (mask is 0.0.0.0) [1/0] via 193.51.43.2

Exterior Gateway Protocol (EGP).
Informations entre systèmes autonomes ;

Définition des pairs EGP :

autonomous-system 2092
router egp 1309
network 193.51.24.0
network 193.51.25.0
...

Acquisition des routes pour l'exterieur :

r-uvsq#sh ip route egp
E 193.48.241.0 [140/4] via 193.51.43.2, 0:00:29, Ethernet1
E 193.54.247.0 [140/4] via 193.51.43.2, 0:00:29, Ethernet1
E 194.167.101.0 [140/4] via 193.51.43.2, 0:00:29, Ethernet1
E 193.105.168.0 [140/4] via 193.51.43.2, 0:00:29, Ethernet1
...

Routing Information Protocol (RIP) ;

Acquisition des routes intérieures :

r-uvsq#sh ip route rip
R 193.51.34.0 [120/1] via 193.51.24.8, 0:00:22, Ethernet0
R 193.51.35.0 [120/1] via 193.51.35.254, 0:00:24, Serial3
R 193.51.32.0 [120/1] via 193.51.24.6, 0:00:16, Ethernet0
R 193.51.33.0 [120/1] via 193.51.24.7, 0:00:03, Ethernet0
R 193.51.38.0 [120/1] via 193.51.24.12, 0:00:16, Ethernet0
R 193.51.39.0 [120/1] via 193.51.39.254, 0:00:08, Serial2
R 193.51.37.0 [120/1] via 193.51.24.10, 0:00:19, Ethernet0
R 193.51.42.0 [120/1] via 193.51.39.254, 0:00:08, Serial2
R 193.51.40.0 [120/2] via 193.51.39.254, 0:00:08, Serial2
R 193.51.41.0 [120/1] via 193.51.24.13, 0:00:23, Ethernet0
R 193.51.26.0 [120/1] via 193.51.24.3, 0:00:12, Ethernet0
R 193.51.27.0 [120/1] via 193.51.27.254, 0:00:08, Serial0
R 193.51.24.64 [120/1] via 193.51.24.94, 0:00:28, Serial1
R 193.51.25.0 [120/1] via 193.51.24.2, 0:00:07, Ethernet0
R 193.51.30.0 [120/1] via 193.51.24.9, 0:00:25, Ethernet0
R 193.51.28.0 [120/2] via 193.51.24.94, 0:00:28, Serial1
R 193.51.29.0 [120/2] via 193.51.24.94, 0:00:28, Serial1

4 Installation de services réseau principaux

4.1 Service de nommage DNS

Préliminaires lors de la résolution :
- appel à une fonction de bibliothèque ;
- lecture du fichier /etc/resolv.conf ;
- appel au DNS spécifié (e.g. douaisis.escaut.net).
Une implémentation du DNS : bind9.
Nom du démon fournissant le service : named.
Fichier de configuration : /etc/bind/named.conf.

Extraits pour douaisis.escaut.net :

quelques éléments de sécurité :

options {
  directory "/etc/bind";
  listen-on-v6 { any; };
  allow-transfer { "allowed_to_transfer"; };
};

acl "allowed_to_transfer" {
  193.48.57.0/24 ;
...
};

controls {
  inet 127.0.0.1 allow {localhost;} keys {dnskey;} ;
};

key dnskey {
  algorithm HMAC-MD5;
  secret dfqsfFFcYyyyU999xcsdqs==;
};

les serveurs racines sont référencés :

zone "." {
  type hint;
  file "root.cache";
  };

le DNS est maitre pour certaines zones :

zone "polytech-lille.fr" {
  type master;
  file "polytech-lille.fr/polytech-lille";
};

zone "private.direct.deule.net" {
  type master;
  file "dynamic/deule.direct.private/deule";
  allow-update { key dnskey; };
};

zone "57.48.193.in-addr.arpa" {
  type master;
  file "escaut/escaut-c57.rev";
};

zone "EUDIL.68.48.193.in-addr.arpa" {
  type master;
  file "yser/yser-c68.rev";
};

le DNS est secondaire pour d'autres zones :

zone "univ-poitiers.fr" {
  type slave;
  file "bak/poitiers";
  masters { 195.220.223.1; };
  };
 
zone "campus.univ-poitiers.fr" {
  type slave;
  file "bak/poitiers.campus";
  masters { 195.220.223.1; };
  };

zone "186.48.193.in-addr.arpa" {
  type slave;
  file "bak/48.193.lifl";
  masters { 134.206.10.18; };
  };
 
zone "68.51.193.in-addr.arpa" {
  type slave;
  file "bak/68.51.193.poitiers";
  masters { 195.220.223.1; };
  };

le DNS peut aussi déléguer des zones :

zone "TP.57.48.193.in-addr.arpa" {
  type slave;
  file "bak/tp.rev";
  masters { 193.48.57.162; };
  };  

zone "tp.eudil.fr" {
  type slave;
  file "bak/tp";
  masters { 193.48.57.162; };
  };

Attention à déclarer le NS dans eudil/eudil
```
tp IN NS ns.tp.eudil.fr.
```

Fichier root.cache disponible à :

ftp://FTP.RS.INTERNIC.NET/domain/named.root

Le contenu au 5/10/2000 :

.                   3600000 IN NS    A.ROOT-SERVERS.NET.
A.ROOT-SERVERS.NET. 3600000    A     198.41.0.4
.                   3600000    NS    B.ROOT-SERVERS.NET.
B.ROOT-SERVERS.NET. 3600000    A     128.9.0.107
.                   3600000    NS    C.ROOT-SERVERS.NET.
C.ROOT-SERVERS.NET. 3600000    A     192.33.4.12 
...

Exemple de fichier d'adresses :

$TTL 259200
@ IN SOA douaisis.escaut.net. postmaster.douaisis.escaut.net. (
         3298267243       ; Version
         7200             ; Refresh (2h)
         3600             ; Retry   (1h)
         1209600          ; Expire (14j)
         259200 )         ; Minimum TTL (3j)
  IN NS douaisis.escaut.net.
  IN NS albanie.ilot.org.
  IN NS calimero.escaut.net.
  IN MX 100 douaisis.escaut.net.
 
pevele    IN A       193.48.57.34
          IN MX      100 douaisis.escaut.net.
douaisis  IN A       193.48.57.36
          IN MX      100 douaisis.escaut.net.

Exemple de fichier de noms :

@ IN SOA douaisis.escaut.net. postmaster.douaisis.escaut.net. (
         3298267243       ; Version
         7200             ; Refresh (2h)
         3600             ; Retry   (1h)
         1209600          ; Expire (14j)
         259200 )         ; Minimum TTL (3j)
  IN NS douaisis.escaut.net.
  IN NS albanie.ilot.org.
  IN NS calimero.escaut.net.

34 IN PTR pevele.escaut.net.
36 IN PTR douaisis.escaut.net.

Ajout dynamique et manuel d'entrée dans le DNS :

# nsupdate
> update add toto.eudil.fr. 3600 IN A 193.48.64.221
> 
#

Ajout dynamique d'entrées dans le DNS par DHCP :

ddns-update-style interim;
key dnskey {
  algorithm HMAC-MD5;
  secret dfqsfFFcYyyyU999xcsdqs==;
  }

zone private.direct.deule.net. {
  primary douaisis.escaut.net;
  key dnskey;
  }

subnet 172.26.16.0 netmask 255.255.240.0 {
  option domain-name "students.deule.net ...";
  option subnet-mask 255.255.240.0;
  option broadcast-address 172.26.31.255;
  option static-routes ...
  option routers artegau.studserv.deule.net;
  range 172.26.17.0 172.26.28.255;
  ddns-domainname "students.private.direct.deule.net";
  ddns-rev-domainname "private.reverse.deule.net";
  ddns-ptr-domainname "students.deule.net";
  }

4.2 Serveur de pages HTML

Conforme au Hyper-Text Transfer Protocol.
Nom du démon fournissant le service : apache2.
Répertoire de configuration : /etc/apache2.

Extraits pour artois.escaut.net :

Restriction d'accès (e.g. dans des .htaccess) :

# Simple identification par fichiers d'utilisateurs

AuthType Basic
AuthName "Squid statistics"
AuthUserFile "/etc/passwd.web"
AuthGroupFile "/etc/group.web"

<Limit GET POST>
  require valid-user
</Limit>

# Identification par LDAP

AuthType Basic
AuthName "Site IMA"
AuthBasicProvider ldap
AuthzLDAPAuthoritative off
AuthLDAPURL ldap://ldap.polytech-lille.fr:389/ou=People,dc=polytech-lille.fr?cn

<Files "*">
  require valid-user
</Files>

Ports TCP d'écoute :

artois:/etc/apache2# cat ports.conf
Listen *:80
Listen *:443

Les modules activés :

artois:/etc/apache2# ls -l mods-enabled/ssl*
lrwxrwxrwx 1 root root   27 Feb 28  2007 ssl.conf -> ../mods-available/ssl.conf
lrwxrwxrwx 1 root root   27 Feb 28  2007 ssl.load -> ../mods-available/ssl.load

Les serveurs virtuels activés :

artois:/etc/apache2# ls -l sites-enabled/
lrwxrwxrwx 1 root root 27 Feb 23  2007 000-default -> ../sites-available/_default
lrwxrwxrwx 1 root root 27 Feb 23  2007 010-internal -> ../sites-available/internal
lrwxrwxrwx 1 root root 27 Feb 23  2007 010-polytech -> ../sites-available/polytech
lrwxrwxrwx 1 root root 26 Feb 23  2007 020-certifs -> ../sites-available/certifs
lrwxrwxrwx 1 root root 27 Feb 23  2007 020-intranet -> ../sites-available/intranet
lrwxrwxrwx 1 root root 26 Feb 23  2007 020-webmail -> ../sites-available/webmail
lrwxrwxrwx 1 root root 29 Feb 23  2007 021-oldwebmail -> ../sites-available/oldwebmail
lrwxrwxrwx 1 root root 22 Feb 23  2007 030-bde -> ../sites-available/bde
lrwxrwxrwx 1 root root 28 Feb 23  2007 030-reseiffel -> ../sites-available/reseiffel
lrwxrwxrwx 1 root root 25 Feb 23  2007 050-eiffel -> ../sites-available/eiffel
lrwxrwxrwx 1 root root 34 Feb 23  2007 050-reseau-polytech -> ../sites-available/reseau-polytech
lrwxrwxrwx 1 root root 40 Feb 23  2007 050-reseau-polytech-tools -> ../sites-available/reseau-polytech-tools
lrwxrwxrwx 1 root root 38 Feb 23  2007 090-annuaire-ingenieurs -> ../sites-available/annuaire-ingenieurs

Configuration d'un serveur virtuel :

artois:/etc/apache2# cat sites-enabled/020-webmail
<VirtualHost artois.escaut.net:443>
  ServerName webmail.polytech-lille.fr
  ServerAlias webmail.polytech-reseau.org
  ServerAdmin postmaster@polytech-lille.fr
  SSLEngine on
  SSLCertificateFile /etc/ssl/certs/webmail.pem
  SSLCertificateKeyFile /etc/ssl/private/webmail.pem
  Options Indexes FollowSymLinks
  DocumentRoot /var/www/htdocs-ssl/webmail
  ScriptAlias /cgi-bin/ /var/www/cgi-bin/webmail
</VirtualHost>

<VirtualHost artois.escaut.net:80>
  ServerName webmail.polytech-lille.fr
  ServerAdmin postmaster@polytech-lille.fr
  DocumentRoot /var/www/htdocs/webmail
  ScriptAlias /cgi-bin/ /var/www/cgi-bin/webmail
</VirtualHost>

This document was translated from L^AT_EX by H^EV^EA.