Joker Posté(e) le 9 Février 2007 Signaler Posté(e) le 9 Février 2007 Je cherche des infos pour m'aider à m'orienter sur le choix d'un routeur-firewall pour ma boite. On fait du développement logiciel en système d'information géographique, et y'a pas d'admin réseau ici, mis à part moi qui m'intéresse au sujet. Mais là les objectifs vont plus loin qu'un simple petit réseau comme à la maison Je sais administrer et gérer pas mal de choses sur un réseau, mais de là à choisir à partir d'une feuille blanche, c'est autre chose C'est surtout la partie qui concerne le routeur / firewall sur laquelle je suis plutot novice. Si c'est dans les cordes de quelqu'un et que ce quelqu'un a envie ... j'ai un petit schéma de ce que je souhaiterais pouvoir faire ... Histoire de partir sur de bonnes pistes L'idée finale est de préciser ce dont on a besoin en achat et config de routeur pour faire intervenir une société sur un devis précis. Ensuite on gère en interne, ça ça va ... c'est vraiment le choix / installation qui reste trop flou pour s'y atteler seul. Si en plus quelqu'un ici bosse chez un prestataire offrant ce type de service (installation et mini-formation / passage de connaissance) ... qu'il lève la main
gottferdom Posté(e) le 9 Février 2007 Signaler Posté(e) le 9 Février 2007 Je ne suis pas admin réseau mais j'ai pratiqué un peu et en tant que revendeur de matos je peux peut-etre t'aider. Explique nous tout ça
Joker Posté(e) le 9 Février 2007 Auteur Signaler Posté(e) le 9 Février 2007 Alors j'espère que je ne me lance pas dans une usine à gaz, mais bon ... évidemment ne pas hésiter à me dire si je débloque ou suis à côté de la plaque. Actuellement, on a un réseau des plus simples : - quelques serveurs (5, systèmes Windows 2000 server et server 2003) - des postes de travail (workstation développement et portables, tout en XP) - des postes de formation (réinstallés souvent avec différentes config) - un routeur adsl avec dhcp activé (Zyxel Prestige 600) et des switchs simples (je veux dire pas de paramétrage dessus, juste de la connectique) - Pas de domaines, tout en workgroup avec un user admin identique sur chaque machine, plus les users de chacun. Donc en gros, tout con comme à la maison. Maintenant, on a des besoins qui deviennent vraiment indispensables : - installer un serveur web pour déployer des web services (en test et démo, pas de grosse production), on dispose d'une IP fixe fournie par le FAI. - consolider un peu les accès vers les serveurs et depuis les postes de formation - améliorer la sécurité et les authentifications en local entre les postes et les serveurs - sécuriser la partie serveur web par rapport au reste du réseau, mais pouvoir y accéder depuis nos postes (idéalement, sinon on va physiquement sur le serveur pour faire les mises à jour ...) Donc là on achète des nouveaux serveurs et on en profite pour tenter de mettre sur pied un schéma utile et correct. J'ai mis un pdf ici : http://gexmessenger.free.fr/reseau_schema_directeur.pdf qui reprend un schéma et les explications de ce que je voudrais (pense pouvoir) obtenir. Pour tout ce qui est des installations de postes et de serveurs, pas de souci. Pour la partie Active Directory, je veux rester simple (ça se voit ) parce que je connais en surface, mais faut pas aller trop dans le détail des config. Je ne suis pas admin réseau et j'ai pas le temps de le devenir Pour la partie hardware / réseau, et donc essentiellement l'architecture avec et autour d'un routeur / firewall / dmz ... là je suis carrément newbie Voilà, en gros s'il y a quelques infos là où je pose la question "possible ?" et surtout sur ce que j'ai mis en rouge ... ça serait vraiment excellent ! Voilà, toute l'aide apportée sera très précieuse
Khoen Posté(e) le 9 Février 2007 Signaler Posté(e) le 9 Février 2007 Je réfléchis un peu et te répond ce week end
Lovalfa Posté(e) le 9 Février 2007 Signaler Posté(e) le 9 Février 2007 Salut Déjà je peux t'orienter vers un firewall Cisco PIX dans les 4 000 € Ensuite, pourrais tu me dire quel est le débit de votre connexion Internet ADSL. Comme tu dois le savoir, une ADSL est une liaison asymétrique où l'émission est moins importante que la réception. Et dans toute techno asymétrique, il est déconseillé de mettre derrière des serveurs consultables depuis l'extérieur, en l'occurence un serveur web, parce que ça risque de saturer l'émission, puisque la personne qui est à l'extérieur et qui consulte ton site web saturera ton émission. Dernièrement pour faire des jolis schémas, je te conseille vivement le logiciel Microsoft Visio. Sinon si tu le désires je te peux te faire des schémas mignons genre celui là : A+
Joker Posté(e) le 9 Février 2007 Auteur Signaler Posté(e) le 9 Février 2007 Salut, Notre serveur web ne sera pas accéder en masse, ce n'est pas le but. Il s'agira essentiellement de geoservices, donc web services avec des temps de communication assez courts, pour des tests et des démos. Il vaut mieux d'ailleurs, car la connexion adsl 2Mo du bureau ne permet pas grand chose ... en Suisse on est loin du débit que j'ai à la maison avec Free ! Si on doit fournir des web services en masse, on hébergera un serveur ailleurs que chez nous. J'avais eu il y a un an, quand j'ai commencé à proposer en interne d'améliorer tout ça (notez l'inertie ... ), une proposition d'un routeur firewall SonicWall avec port DMZ autour de 1000CHF (sans prestation d'installation). Je n'ai aucune idée s'il correspond à ce que je voudrais faire, mais j'aimerais si possible rester dans du plus light que les produits Cisco ... très bon produits cela dit, parait-il. Mais il est vrai que j'ai du mal à analyser le besoin ... c'est bien pour ça que j'écris tout ça. Quand même, pour ce cisco PIX, ce serait quoi les avantages, les possibilités et la difficulté (niveau) d'administration ? Sinon, pour le schéma, je suis bien d'accord que c'est pas trés beau ... mais à ma décharge je dirais que c'était au départ pour illustrer ma vue d'esprit, fait en vrac directement dans Word et pas dans le but de le présenter comme ça ... Pour Visio et compagnie, j'utilise quasi tous les jours, donc ça roule Faut dire aussi que ton exemple est joli, fait avec quoi ? Si c'est avec Visio, tu dois avoir des shapes plus complets que moi
Joker Posté(e) le 9 Février 2007 Auteur Signaler Posté(e) le 9 Février 2007 (modifié) Je viens de lire la petite doc cisco sur le PIX. Du coup, une question me vient. Si le firewall propose plusieurs interfaces LAN, est-ce que ça veut dire que je peux configurer ces différentes interfaces complètement séparément, quite à ce qu'elles ne puissent pas communiquer entre elles ou seulement dans un sens pour séparer les différents blocs de mon réseau ? Et finalement ça faciliterait un peu la tâche plutot que de tout paramétrer sur une seule interface (notre routeur actuelle n'en a qu'une) ? Modifié le 9 Février 2007 par Joker
Lovalfa Posté(e) le 9 Février 2007 Signaler Posté(e) le 9 Février 2007 En effet, tu disposes de plusieurs interfaces physiques pour séparer les sous réseaux ce qui est mieux aussi bien au niveau administration qu'au niveau sécurité. Pour le Visio c'est Visio2003 que j'utilise.
Nicolas87 Posté(e) le 9 Février 2007 Signaler Posté(e) le 9 Février 2007 Tu peux aussi jeter un oeil ici : http://www.arkoon.net Nous utilisons plusieurs matériels arkoon et vraiment c'est le top. En revanche côté tarif, je n'ai aucune idée des prix de ces machines... je ne fais pas les commandes ou les devis. Sinon comme proposé plus haut, avec un cisco Pix, cela devrait aller aussi très bien! Nicolas
JBT Posté(e) le 9 Février 2007 Signaler Posté(e) le 9 Février 2007 Tu n'as pas l'air d'avoir un gros parc de PC. Je te conseille donc un Firwall SonicWall qui gère aussi le VPN si tu achetes les licences client. La patte DMZ est obligatoire, si tu veux un serveur web. user Admin du domaine différent des user Admin des postes de travail et différent des user Admin des serveurs (actuellement même Admin partout !) Si tu entends même user par même password et que tu le donnes aux utilisateurs effectivement. Mais normalement l'admin PC n'est pas le même que l'admin serveur car le premier est de type \nom de machine\admin et le 2nd de type \nom de domaine\admin De plus, tu peux ajouter des comptes sur XP pour mettre n'importe quel membre du domaine comme admin du PC et que du PC. L'idée est qu'une personne extérieur ne puisse pas accéder aux serveurs, que ce soit par intrusion, depuis les postes de formation ou en branchant son portable pour une intervention précise sans avoir un user + mot de passe authentifié. Si tu utilises le DHCP, n'importe qui pourra se brancher sur ton site et utiliser ta connexion internet. Sauf si tu as un serveur proxy. La solution la plus blindée mais chiante à gérer, c'est de mettre des IP fixes et désactiver le DHCP. ? Pouvoir interdire la connexion depuis un poste non à jour au niveau de son antivirus (possible ?) C'est possible mais ça coûte cher. Je n'ai plus en tête le nom des solutions mais je pourrais chercher. Site intranet isolé de l’extérieur, sauf certaines pages pour partage d’agenda avec des bureaux distants (possible ?) Avec un serveur de type exchange mais sur la DMZ, généralement une 2ième carte réseau dans la machine. Laisser comme actuellement en Workgroups Pas d'intérêt surtout avec plusieurs serveurs et active directory. Il faut un Controleur de Domaine Principale. SonicWall
Khoen Posté(e) le 10 Février 2007 Signaler Posté(e) le 10 Février 2007 Je te conseille donc un Firwall SonicWall qui gère aussi le VPN si tu achetes les licences client. faut voir si il y a l'interet du VPN ... Surtout avec une ligne 2Mbits en entrée, ca fait léger pour supporter plusieurs connexion VPN simultanées par exemple. Si tu utilises le DHCP, n'importe qui pourra se brancher sur ton site et utiliser ta connexion internet. Sauf si tu as un serveur proxy. La solution la plus blindée mais chiante à gérer, c'est de mettre des IP fixes et désactiver le DHCP. Le coup des IP fixes c'est chiant mais c'est quand même le plus efficace et surtout le moins cher comparé à un proxy ou autre ... Suffit d'un bon fichier Excel bien tenu à jour et ca marche sans soucis Pas d'intérêt surtout avec plusieurs serveurs et active directory. Il faut un Controleur de Domaine Principale. Oula oui un controleur de domaine avec un Active Directory dessus sera bien plus puissant et plus simple à gérer... Pour le firewall, même si j'aime beaucoup Cisco, c'est quand même une usine à gaz pour pas grand chose à mon avis surtout vu le tarif... Je ne sais pas ce que coute le Arkoon A20 mais il a l'air d'etre bien adapté aux besoin :) Bon ben je pensais faire un long paragraphe, mais je pense que d'autres t'ont très bien conseillé !
Joker Posté(e) le 12 Février 2007 Auteur Signaler Posté(e) le 12 Février 2007 autant de réponses ... yes ! Je vais me faire un petit récap de tout ça. Je mettrai ici ce que j'en ressort (et ce que j'en ai compris ), vous pourrez me dire si ça joue ! Merci à vous.
Lovalfa Posté(e) le 12 Février 2007 Signaler Posté(e) le 12 Février 2007 Je plussoie pour le controleur de domaine au lieu du workgroup surtout si ton parc s'aggrandit et si tu disposes de pluieurs serveurs. Pour l'adressage moi je ne mets ni DHCP ni adresses publiques mais des adresses IP fixes privées avec de la translation d'adresses NAT.
Joker Posté(e) le 12 Février 2007 Auteur Signaler Posté(e) le 12 Février 2007 Je pensais utiliser un controleur de domaine pour toute la partie serveur, mais ne pas y intégrer les postes des utilisateurs (développement logiciel essentiellement et des portables). Il y aurait comme ça "seulement" les serveurs à gérer (5 serveurs en IP fixe comme c'est déjà le cas) et les utilisateurs auraient chacun un user / pwd inscrit dans le domaine identique à celui utilisé sur leur pc. Comme ça je simplifie un peu leur accès aux données sur les serveurs sans contraintes de gérer leurs postes dans le domaine. Mais en faisant comme ça, je me demande si je pourrais efficacement vérifier un pc qui voudrait accéder à un serveur en testant si sa sécurité est à jour (anti-virus, firewall et anti-spyware), lui interdire l'accès si c'est pas ok ? Si ce point n'est pas possible, c'est pas trop grave. Je préfère faire assez light dans le controle du domaine. S'il faut gérer correctement les stratégies pour tout les cas, je vais y passer beaucoup trop de temps. C'est idiot mon truc ?
Khoen Posté(e) le 12 Février 2007 Signaler Posté(e) le 12 Février 2007 Moi je cherche un stage dans le domaine si ca t'interesse pour mi-juin -> fin aout
Recommended Posts