A lire en priorité Cher client, merci d'acquérir/d'évaluer WinRoute Pro. Kerio Technologies, le leader en matière de technologie de parefeu (firewall) pour les réseaux de petites ou moyennes tailles, a fait beaucoup d'efforts et de recherches pour vous faire profiter d'un routeur/firewall puissant et facile à utiliser, pour les systèmes d'exploitation Windows. WinRoute Pro est une application réseau qui, couplée à un PC, se substitue à des systèmes matériels de routeur et de firewall beaucoup plus coûteux. En tant que tel, il est nécessaire que le réseau soit correctement mis en place et configuré. Une certaine expérience avec les environements réseau est donc nécessaire. Il est à noter (sur la base de nos statistiques) qu'environs 90% des problèmes que rencontrent nos clients pour connecter leur réseau à Internet, sont causés par une mauvaise configuration réseau. Ce manuel contient plusieurs exemples de configurations réseau, bien que chaque configuration peut présenter de nombreuses différences. Nous vous recommandons fortement de lire avec attention et complètement cette documentation. Elle a été réalisée en tenant compte du fait que les utilisateurs possèdent quelques connaissances de base en matière de réseau et, en particulier, la mise en place de réseaux locaux (LAN). Si de plus amples informations, recommandations ou corrections logicielles sont nécessaires, Kerio Technologies prie ses clients de vérifier en priorité les sections correspondantes de son support en ligne avant d'appeler le support technique. Nous voulons vous remercier, une fois de plus, de faire l'aquisition/l'évaluation de WinRoute. Merci, KERIO TECHNOLOGIES, INC. Guide de Référence WinRoute Pro 4.2 Pour la version 4.1 (Build 22 et plus) Kerio Technologies Inc. Contents Table des Matières A lire en priorité_______________________________________________ 1 Administration dans WinRoute ____________________________________ 6 Introduction à l'Administration..................................................................... 7 Administration depuis le réseau local ............................................................ 8 Administration depuis Internet.....................................................................10 Vous avez perdu le mot de passe d'administration .......................................13 Mise en marche et utilisation _____________________________________ 14 Système requis ...............................................................................................14 Démarrage rapide..........................................................................................15 Conflits logiciels.............................................................................................18 Configuration du réseau................................................................................20 Réglage de la passerelle par défaut........................................................21 Choisir le bon ordinateur WinRoute ......................................................22 Configuration IP avec le serveur DHCP ................................................23 Configuration IP avec un serveur DHCP tiers........................................25 Configuration IP - assignation manuelle................................................26 Connexion du réseau à Internet ....................................................................27 Connexion modem ou RNIS (Numéris).................................................27 Connexion DSL....................................................................................30 Connexion xDSL via PPPoE.................................................................31 Connexion (bi-directionnelle) par modem câble ....................................32 Connexion unidirectionnelle par modem câble et ligne modem..............34 Connexion AOL ...................................................................................36 Connexion T1 ou LAN .........................................................................37 Connexion DirecPC..............................................................................39 i ii Contents Configurer la sécurité ___________________________________________ 46 La sécurité NAT ............................................................................................47 Options de la sécurité NAT ...........................................................................48 Configuration du filtrage de paquets ............................................................52 Description de WinRoute ________________________________________ 56 Sommaire des fonctionalités de WinRoute....................................................57 Routeur NAT.................................................................................................60 Architecture de WinRoute.....................................................................61 Fonctionnement de la Translation d'Adresse (NAT)...............................62 Configurer la NAT sur les deux interfaces.............................................63 Port Mapping - Transmission de Paquet ................................................66 Port Mapping pour systèmes d'hébergement multiples (plusieurs adresses IP) .............................................................................................................69 NAT Multiple.......................................................................................70 Table des Interfaces ..............................................................................72 Support VPN ........................................................................................72 Serveur DHCP...............................................................................................73 Configuration DHCP ............................................................................74 Firewall - Filtrage des Paquets......................................................................76 Architecture..........................................................................................77 Règles ..................................................................................................79 Protocoles.............................................................................................81 Anti-Spoofing.......................................................................................81 Exemple de règles de base pour le filtrage des paquets ..........................82 Exemple de règles de base pour les connexions entrantes HTTP et FTP.83 Relayeur DNS ................................................................................................84 Configuration du raleyeur DNS.............................................................84 Comptes Utilisateurs .....................................................................................86 Définition d'un utilisateur......................................................................86 Ajouter un utilisateur ............................................................................87 Groupes d'utilisateurs............................................................................89 Serveur de messagerie ...................................................................................90 Utilisateurs de la Messagerie.................................................................91 Envoyer des e-mails aux autres utilisateurs de WinRoute sur votre réseau92 Authentification....................................................................................93 Envoyer des Emails sur Internet ............................................................94 Recevoir du courrier .............................................................................96 Vous avez un nom de domaine...................................................96 Contents Domaines multiples ...................................................................99 Vous avez un domaine assigné à un compte POP3....................100 Recevoir des emails - Vous avez plusieurs comptes chez le Fournisseur d'Accès ....................................................................................103 Configuration du logiciel de messagerie..............................................105 Utiliser le Serveur de Messagerie de WinRoute ........................105 Ne pas utiliser le Serveur de Messagerie de WinRoute..............107 Alias...................................................................................................108 Planification des échanges de courrier électronique .............................111 Serveur Proxy..............................................................................................113 Configuration rapide...........................................................................114 Proxy Server Enabled...............................................................115 Serveur Proxy - Contrôle des accès utilisateurs....................................116 Propriétés avancées.............................................................................118 A propos de la mémoire cache ............................................................119 Paramètres de la mémoire cache..........................................................120 Temps de vie (TTL)............................................................................123 Comment forcer les utilisateurs à utiliser le Proxy et non la NAT?.......125 Utiliser un Serveur Proxy parent .........................................................125 Analyse des audits (log) et des paquets .......................................................127 Audit de debug (Debug log)................................................................129 Audit HTTP (Proxy) ...........................................................................131 Audit de messagerie............................................................................133 Audit d'erreur .....................................................................................134 Intervales de Temps ....................................................................................135 Exemples de Configuration _____________________________________ 137 Solutions pour les VPN IPSEC, NOVELL et PPTP ...................................137 VPN IPSEC........................................................................................137 VPN Novell Border Manager..............................................................140 Lancer un serveur PPTP derrière NAT ................................................142 Exemple de solution PPTP..................................................................143 Lancer un client PPTP derrière NAT...................................................144 Exemples de configurations Firewall ..........................................................145 Forcer les utilisateurs à utiliser le Serveur Proxy .................................145 Permettre la communication sur certain ports ......................................147 Lancer ICQ, voix sur IP, vidéo conférence derrière WinRoute .................151 Lancer ICQ derrière NAT ...................................................................151 H.323 - NetMeeting 3.0 ......................................................................152 IRC - Internet Relay Chat ...................................................................153 CITRIX Metaframe ............................................................................153 iii iv Contents Téléphonie Internet - BuddyPhone ......................................................155 CU-SeeMe..........................................................................................156 D'autres applications...........................................................................157 Accès Distant - PC Anywhere......................................................................158 PC Anywhere .....................................................................................158 Passerelle PC Anywhere .....................................................................160 Section Jeux .................................................................................................161 A propos du lancement de jeux derrière le NAT ..................................161 Aasheron's call ...................................................................................162 Battle.net (Blizzard)............................................................................163 Half-Life ............................................................................................163 MSN Gaming zone .............................................................................163 Quake.................................................................................................164 StarCraft.............................................................................................165 Mappings additionnels pour des jeux/applis courants...........................166 D'autres jeux.......................................................................................172 Solutions DNS..............................................................................................173 Serveur DNS sur le PC de WinRoute ..................................................173 Serveur DNS derrière WinRoute .........................................................173 Serveur DNS et WWW derrière NAT .................................................174 Problèmes DNS ..................................................................................176 Serveurs WWW, FTP, DNS et Telnet derrière WinRoute .........................177 Exécuter un serveur WWW derrière NAT ...........................................177 Exécuter un serveur DNS derrière NAT ..............................................178 Exécuter un serveur FTP derrière NAT ...............................................179 Exécuter un serveur Mail derrière NAT...............................................180 Exécuter un serveur Telnet derrière NAT ............................................181 Problèmes FTP lors de l'utilisation de ports non-standards.......................182 Accéder à un serveur FTP qui utilise des ports non-standards ..............182 Serveur FTP derrière WinRoute utilisant un port non-standard ............183 Réseaux spéciaux .........................................................................................184 Réseaux Token Ring...........................................................................184 Environnement au système d'exploitation multiple (Linux, AS400, Apple)185 Connecter des réseaux multiples .................................................................186 Connecter des segments Publics et Privés (DMZ)................................187 Partager la connexion pour deux réseaux avec 1 adresse IP..................189 Partager la connexion pour deux réseaux avec 2 adresse IP..................191 Remote Access Server (dial-in et acces à l'internet) .............................194 Connecter des segments en cascade via 1 adresse IP............................195 Contents Glossaire des termes __________________________________________ 199 Index________________________________________________________ 207 v 6 WinRoute Pro 4.2 Guide de Référence CHAP ITRE 1 Administration dans WinRoute Dans ce chapitre Introduction à l'Administration .........................................7 Administration depuis le réseau local................................8 Administration depuis Internet..........................................10 Vous avez perdu le mot de passe d'administration .............13 Administration dans WinRoute Introduction à l'Administration WinRoute Pro fournit aux utilisateurs les avantages de l'administration distante. Avec les réglages appropriés et les droits nécessaires, il est possible d'administrer en toute sécurité votre parefeu depuis n'importe quel endroit dans le monde. L'accès au Moteur est sécurisé par un fort cryptage et un mot de passe. Composants de WinRoute Pro WinRoute Pro 4.x est composé de trois modules: Le Moteur WinRoute s'occupe de opérations de routage et d'analyse (translation d'adresses (NAT), filtrage des paquets, assignation de port (Port mapping) etc.). Vous pouvez Démarrer/Arrêter le Moteur WinRoute depuis le Moniteur du Moteur WinRoute ou si vous utilisez Windows NT, directement à partir du panneau de contrôle des services. Le Moteur WinRoute s'execute de manière invisible en tant que service sous Windows 2000/NT/98 or 95. Le Moniteur du Moteur WinRoute est l'application de surveillance qui montre si le Moteur WinRoute est actif ou non. Il apparait en bas à droite de votre bureau sous la forme d'un petit icône bleu. 7 8 WinRoute Pro 4.2 Guide de Référence L'Administrateur WinRoute permet la configuration et le paramètrage du Moteur WinRoute. L'Administrateur WinRoute est une application autonome (wradmin.exe) qui peut être executée sur n'importe quel ordinateur et connectée via une connexion TCP/IP, à l'ordinateur executant le Moteur WinRoute. Pour les réglages nécessaires au Moteur WinRoute afin qu'il autorise les connexions distantes, veuillez consulter les autres chapitres de cette section. Administration depuis le réseau local Afin d'administrer WinRoute depuis un réseau local sur l'ordinateur executant WinRoute, vous devez procéder comme suit: 1. Vérifiez que le Moteur WinRoute soit actif et qu'il s'execute correctement Pour vérifier que WinRoute est bien démarré, il faut lancer le Moniteur du Moteur WinRoute à partir du menu programme WinRoute 4.0. Un petit icône rond, bleu et blanc, apparait alors dans les icônes systèmes de la barre des tâches (en bas à droite sur le bureau). Cela indique que l'application s'execute. Une croix rouge sur l'icône indique que WinRoute est arrêté. Pour démarrer le Moteur WinRoute, cliquez simplement sur l'icône avec le bouton droit et choisissez Démarrer le Moteur WinRoute à partir du menu contextuel qui vient d'apparaître. Administration dans WinRoute 2. Lancer l'Administrateur Winoute Pour démarrer le module d'Administration WinRoute, lancez l'application à partir du menu Démarrer=>Programmes=>WinRoute 4.0 ou en cliquant avec le bouton droit sur l'icône du Moniteur du Moteur WinRoute et en choisissant Administrateur WinRoute dans le menu contextuel. Vous pouvez également copier le fichier WRAdmin.exe sur n'importe quel ordinateur sur votre réseau et le lancer depuis ce dernier. Lorsque la fenêtre de l'Administrater apparait, vous pouvez laisser la préselection de la machine locale ou entrer l'adresse IP de l'ordinateur sur lequel s'execute WinRoute. Entrez le nom d'utilisateur et le mot de passe utilisés pour l'administration. Note: Si vous vous connectez pour la première fois, vous devrez utiliser "Admin" comme nom d'utilisateur et laissez le mot de passe vide. Voir la section Configuration des utilisateurs pour plus de détails concernant la politique des noms d'utilisateur et des mots de passe pour l'administration. 9 10 WinRoute Pro 4.2 Guide de Référence Vous devez obligatoirement vous connecter en tant qu'Administrateur au Moteur WinRoute afin de règler les différents paramètres. Les raisons possibles de connexions infructueuse depuis un réseau local: ! Le Moteur WinRoute n'est pas actif ou ne s'execute pas ! Mavais nom d'utilisateur et mot de passe ! Mauvaise adresse IP utilisée pour se connecter au Moteur WinRoute ! Vous n'avez pas les droits nécessaires pour administrer WinRoute ! La translation d'adresses (NAT) est activée sur l'interface connectée au réseau local - voir le chapitre Liste de contrôle et Paramètrage du réseau pour plus d'aide Administration depuis Internet Vous pouvez administrer WinRoute Pro depuis n'importe quel ordinateur dans le monde du moment qu'une connexion TCP/IP est disponible. L'administration s'effectue en toute sécurité (transmissions cryptées) et son accès est contrôlé par un nom d'utilisateur et un mot de passe. Administration dans WinRoute Afin d'administrer un ordinateur executant WinRoute depuis l'extérieur du réseau local (depuis Internet) le Port Mapping doit être activé et configuré sur l'ordinateur WinRoute. Il est nécessaire de comprendre qu'une fois la translation d'adresses (NAT) activée sur l'interface connectée à l'Internet (afin de partager la connexion Internet), l'intégralité de votre réseau (y compris la machine executant WinRoute) est completement protégée et que donc personne ne peut y accèder. Pour configurer le Port Mapping pour l'administration distante, allez dans le menu Settings=>Advanced=>Port Mapping, selectionnez Add et paramètrez : Protocol: TCP/UDP Listen IP: <unspecified> (recommendé) ou l'adresse IP de l'interface. Listen Port: 44333 Destination IP: L'adresse IP de l'interface reliant l'ordinateur executant WinRoute au réseau local (adresse IP de classe privée). Destination Port: 44333 Allow access only from: Si vous cochez cette case, vous pouvez limiter l'accès au Moteur WinRoute. Vous devez alors prédéfinir les adresses IP autorisées à accèder au Moteur WinRoute dans le menu Settings=>Advanced=>Address Groups. Vous pouvez grouper des adresses IP séparées, des intervales d'adresses et des réseaux. 11 12 WinRoute Pro 4.2 Guide de Référence Veuillez voir les exemples pour plus de détails concernant le Port Mapping. Si vous avez tout paramètré correctement, vous pouvez alors lancer le programme d'Administration de WinRoute depuis n'importe quel ordinateur et entrer l'adresse IP (registered - e.g. 206.86.181.25) de l'ordinateur executant WinRoute. Vous devrez également entrer le nom d'utilisateur et le mot de passe utilisés pour l'administration de cet ordinateur. Voir la configuration des utilisateurs pour plus de détails concernant les noms d'utilisateurs et les politiques de mots de passe pour l'administration. Les raisons possibles de problèmes de connexions depuis Internet: ! Le Moteur WinRoute n'est pas actif ou ne s'execute pas ! Mavais nom d'utilisateur et mot de passe ! Mauvaise adresse IP utilisée pour se connecter au Moteur WinRoute ! Vous n'avez pas les droits nécessaires pour administrer WinRoute Administration dans WinRoute ! Il n'y a pas de Port Mapping de configuré sur l'ordinateur executant WinRoute ou le Port Mapping est mal paramètré. Vous avez perdu le mot de passe d'administration Si vous perdez le mot de passe d'administration, veuillez envoyer un e-mail à support@kerio.com pour de plus amples informations. Pour des raisons de sécurité, nous ne publions pas la solution de ce problème. 13 14 WinRoute Pro 4.2 Guide de Référence CHAP ITRE 2 Mise en marche et utilisation Dans ce chapitre Système requis .................................................................14 Démarrage rapide.............................................................15 Conflits logiciels ..............................................................18 Configuration du réseau ...................................................20 Connexion du réseau à Internet.........................................27 Système requis Pour installer et executer WinRoute Pro 4.2 nous recommandons au moins: ! Un PC équipé de processeur Pentium (un ou deux processeurs) ! ! Système d'exploitation Windows 95/98/NT4.0/2000 32MB de mémoire vive ! ! 1MB d'espace disque libre au moins 2 interfaces disponibles. Cela peut être: Ethernet, RAS, TokenRing, DirecPC Mise en marche et utilisation Démarrage rapide Pour tous les utilisateurs de WinRoute, il y a une liste de paramètres et de règles qui, si ils ne sont pas négligés, assurent une connexion réussie de leur réseau. Bien évidemment, une connexion Internet fonctionnant est obligatoire. Vous allez devoir éffectuer les paramètrages décris ci-après si vous voulez bénéficier des avantages de la Translation d'adresse (NAT) pour partager votre accès à Internet. Si vous voulez utiliser un serveur Proxy (integré dans WinRoute) vous n'avez pas à effectuer ces paramètrages. Dans ce cas, vous devriez paramètrer vos navigateurs et vos applications pour qu'ils utilisent le serveur Proxy de WinRoute. Nous recommandons fortement l'utilisation de la translation d'adresses (NAT) dès que cela est possible. C'est plus rapide, plus sûr et plus fonctionnel. Paramètrages et règles à suivre: 1 Sur le PC WinRoute Deux Interfaces (NIC) Vérifiez que l'ordinateur WinRoute possède (au moins) deux interfaces. Une pour la connexion internet et l'autre pour la connexion au réseau local. Cela peut être des adaptateurs réseau ou des lignes de connexions distantes. Une interface (Ethernet ou connexion distante) est utilisée pour la connexion à Internet pendant que l(es)'autre(s) interface(s) (Ethernet, token ring, ...) sert pour la connexion au(x) réseau(x). 2 Il faut s'assurer que toutes les adresses IP sont joingnables ! Afin que WinRoute fonctionne correctement, les machines clientes doivent être capables de joindre (en utilisant la commande ping) les adresses publiques ainsi que les adresse privées de la machine WinRoute. 15 16 WinRoute Pro 4.2 Guide de Référence Sur le PC WinRoute - Activez la translation d'adresse (NAT) sur l'interface Internet ! Assurez vous que la case NAT est cochée pour l'interface connectée à Internet (Ethernet, connexion distante). Vous pouvez faire cela depuis le menu Settings=>Interface table et allez dans les proprietés de l'interface désirée. 3 Sur le PC WinRoute - Desactivez la translation d'adresses (NAT) sur l'interface interne ! Vérifiez que la case NAT N'EST PAS COCHEE sur l'interface ou les interfaces connectées au(x) réseau(x) interne(s). On peux noter que, dans des configurations très spéciales, la translation d'adresses (NAT) peut également être activée sur l'interface interne. Vous trouverez des examples ici dès qu'ils seront disponibles. 4 Sur le PC WinRoute - Pas de passerelle sur l'interface interne ! Assurez vous qui n'y a PAS de passerelle par défaut dans les proprietés de l'interface (carte réseau) connectée au réseau interne. Il est évident que la passerelle par défaut de l'interface connectée à Internet sera fixée en fonction des détails fournis par votre Fournisseur d'Accès Internet (FAI). 5 Sur le PC WinRoute - Entrer les options de la configuration DHCP ! Dans la plupart des cas vous utiliserez le serveur DHCP de WinRoute pour automatiser la configuration du réseau. Vérifier bien que vous avez défini un ou plusieurs intervalles d'adresses IP que vous voulez voir attribuées par le serveur DHCP. Dans les Options vous pouvez spécifier d'autres informations transmises à vos stations de travail, comme le serveur DNS, la passerelle par défaut, etc. 6 Sur le PC client - L'adresse IP interne du PC WinRoute est la passerelle par defaut ! Le PC WinRoute agit comme PASSERELLE PAR DEFAUT pour tous les ordinateur du réseau local (LAN). Ainsi, vous spécifiez l'adresse IP de l'interface interne de la machine WinRoute comme la passerelle sur chaque ordinateur interne/client. Vous devez spécifier cette adresse sur chaque ordinateur client OU spécifiez la une seule fois sur le serveur DHCP de WinRoute et il transmettra automatiquement cette adresse à vos stations de travail. Consultez les exemples de réseaux avancés pour voir si vous avez besoin d'utiliser une autre passerelle par défaut! Dans les cas ou WinRoute est simplement utilisé comme un Firewall ou un Serveur de messagerie (c'est à dire quand il n'est pas nécessaire de partager un accès Mise en marche et utilisation Internet), il n'est PAS nécessaire d'activer la Translation d'adresse (NAT) sur quelque interface que ce soit. Les interfaces sur l'ordinateur WinRoute doivent avoir des adresses IP différentes de réseaux différents. Il n'est pas possible d'assigner des adresses IP d'un même réseau à plusieurs interfaces (c'est à dire 207.181.216.23 sur l'une et 207.181.216.24 sur l'autre). Typiquement vous aurez une interface locale (LAN) et une interface Internet. Dans ce cas vous n'aurez pas de problème. Dans certains cas vous aurez trois interfaces (2 locales et 1 Internet) et vous devrez assigner des adresses de réseaux différents aux interfaces locales (une avec 192.168.1.1 et l'autre avec 192.168.2.1 par exemple). 17 18 WinRoute Pro 4.2 Guide de Référence Conflits logiciels Il existe quelques incompatibilité: solutions concernant les programmes présentant une Norton Antivirus Désactivez le port 110 dans la configuration de Norton Antivirus si vous voulez utiliser le serveur de Mail WinRoute. Laisser le port 110 dans Norton empêchera l'ordinateur de démarrer. WinGate Désinstaller WinGate avant l'installation. Désinstaller le logiciel client ainsi que le logiciel serveur. SyGate Désinstaller SyGate avant l'installation. Désinstaller le logiciel client ainsi que le logiciel serveur. MS Proxy Server Désinstaller MS Proxy Server avant l'installation. Désinstaller le logiciel client ainsi que le logiciel serveur. Enlevez TCP/IP, redémarrer, et réinstallez le. Microsoft Internet Connection Sharing (partage de connexion Internet) Désinstallez MS ICS avant l'installation, enlevez le protocole TCP/IP, redémarrer et remettez le. WinProxy d'Ositis Mise en marche et utilisation Désinstallez WinProxy avant l'installation, enlevez le protocole TCP/IP, redémarrer et remettez le. Tous les logiciels mentionnes ci-dessus, utilisent des pilotes qui ne fonctionnent pas correctement avec les fonctions bas niveau du protocole réseau implémentées par WinRoute. Résolution des problèmes de table de routage Il peut arriver que vous ayez tous les composants correctement installes et que cela ne fonctionne toujours pas. En effet, les systèmes d'exploitation Windows 95/98/NT ne sont pas spécialement crées pour les réseaux. Même après avoir configuré WinRoute et les paramètres réseau correctement, vous pouvez vous rendre compte que cela ne fonctionne toujours pas. Si tel est le cas, vous devrez regarder la table de routage et faire l'une des choses suivantes: ! réparer les routes en les supprimant et en les ajoutant de nouveau - réservé aux utilisateurs expérimentes ou ! enlever complètement le protocole TCP/IP, redémarrer l'ordinateur et ajouter de nouveau le protocole. L'effet est garanti. Résolution des problèmes lies aux clients Proxy Certains serveurs proxy ont besoin qu'un logiciel client soit installe sur toutes les machines clientes. Ce client force les applications de la machine a faire leurs requêtes sur le serveur proxy. Si le client proxy n'est pas enlevé, cette machine ne peut se connecter a Internet sachant que WinRoute n'est pas configuré comme un serveur proxy. Si après cela la machine ne peut toujours pas se connecter à Internet, réinstaller TCP/IP et ses paramètres et redémarrer l'ordinateur. Résolution des problèmes lies aux pilotes de Cartes Réseaux 19 20 WinRoute Pro 4.2 Guide de Référence Essayez d'utiliser les interfaces réseaux les plus standard possible. Si vous avez une carte spécifiquement vieille ou un modèle dernier cri, son pilote peut comporter certaines instructions spéciales qui empêcheront WinRoute de communiquer avec lui. Essayer de trouver une carte Ethernet standard sur votre réseau et échangez la avec celle qui pose problème. Quelques rares utilisateurs "mécontents" ont retrouve le sourire en changeant de carte réseau ou en mettant à jour le pilote de celle ci. WinRoute est un logiciel complètement neutre de routeur/firewall qui ne nécessite l'utilisation d'aucun logiciel client sur les machines du réseau. On notera que, pour l'administration distante, l'installation du programme "wradmin.exe" est nécessaire. Configuration du réseau L'utilisation du service DHCP peut simplifier considérablement la configuration des machines de votre réseau local. En utilisant le serveur DHCP, le seul parametrage à faire sur les machines clientes de votre réseau, est de leur indiquer de demander leur adresse IP dynamiquement au serveur DHCP. (C'est de plus le paramètre par défaut lors de l'installation du protocole TCP/IP dans les paramètres réseau.) Vous pouvez utiliser le serveur DCHP inclus dans WinRoute ou un serveur DCHP tiers installé sur votre réseau. Faites attention à ce que plusieurs serveurs DHCP ne tournent pas en même temps sur votre réseau! Mise en marche et utilisation Réglage de la passerelle par défaut WinRoute agit en tant que routeur. Il faut donc que deux paramètres simples soient vérifiés sur les machines de votre réseau: ! Spécifiez une adresse IP – manuellement ou en utilisant un serveur DHCP (celui de WinRoute par exemple) ! Configurez la passerelle par défaut La passerelle par défaut sur chaque ordinateur désirant accéder à Internet en utilisant la machine WinRoute, doit être configurée en indiquant l'adresse IP de l'interface Ethernet reliant l'ordinateur WinRoute au réseau local. Exemple: Un ordinateur client a 10.10.10.23 comme adresse IP. Le PC WinRoute a deux interfaces, l'une d'elles le reliant au modem câble avec une adresse IP fournie par le FAI (Fournisseur d'acces Internet), et l'autre le reliant au réseau prive (10.10.10.1). La passerelle par défaut sur l'ordinateur 10.10.10.23 sera 10.10.10.1. Remarque 1: Lorsque vous faites votre plan d'adressage IP sur votre réseau local, vous devez utiliser des adresses IP faisant partie d'un même sous réseau. C'est a dire que si votre masque de sous réseau est 255.255.255.0, alors toutes les adresses doivent être entre 10.10.10.1 et 10.10.10.255 (non comprise). Remarque 2: Il est possible de connecter plusieurs réseaux a Internet grâce a WinRoute. Vous devez pour cela avoir plusieurs interfaces réseau dans l'ordinateur WinRoute; une pour chaque réseau. Chaque carte réseau (son adresse IP) représente la passerelle par défaut pour les machines appartenant au réseau connecté sur cette interface. 21 22 WinRoute Pro 4.2 Guide de Référence Choisir le bon ordinateur WinRoute WinRoute DOIT TOUJOURS s'executer sur l'ordinateur connecte à Internet - à travers une carte réseau, modem câble, modem DSL, connexion distante ou un routeur. WinRoute agit en permanence en tant que passerelle entre deux (ou plus) réseaux ou chaque réseau est représenté par une interface. Ces interfaces peuvent être des cartes Ethernet, des adaptateurs RAS (connexion réseau à distance), adaptateurs USB vers Ethernet, adaptateurs PPPoE, etc. Mise en marche et utilisation Configuration IP avec le serveur DHCP Vérifiez bien que les stations de travail sont configurées pour demander une adresse IP au serveur DHCP (voir les propriétés TCP/IP->interface réseau properties de chaque ordinateur). Tous les autres paramètres doivent être laisses blancs (y compris les paramètres DNS). Vous pouvez alors lancer le programme d'administration de WinRoute: 1. Aller dans le menu Settings=>DHCP server. 2. Activez l'option DHCP server (placez une croix devant) et appuyez sur le bouton New Scope. 3. Add Scope (ajouter une plage) Vous indiquerez ici la plage d'adresses IP utilisées par le serveur DHCP et qui seront distribuées aux stations de travail. Souvenez vous qu'une adresse IP est déjà utilisée par l'ordinateur WinRoute, et qu'il ne faut donc pas l'utiliser. La plage d'adresses IP doit appartenir au même sous réseau. Voir l'image ci dessous pour exemple. 4. Indiquez les options (important!) Dans les Options vous spécifiez quelles informations supplémentaire seront transmises aux stations de travail (ex: Passerelle par défaut, serveur DNS, etc.). Cochez la case devant chaque composant et entrer les informations nécessaires. Entrer les informations pour la passerelle par défaut et pour le serveur DNS (vous utilisez normalement WinRoute comme serveur DNS) et vous utiliserez l'adresse IP de la machine WinRoute (ex: 192.168.1.1). Vous laisserez les autres en blanc. 23 24 WinRoute Pro 4.2 Guide de Référence Note: L'adresse IP de la carte Ethernet (reliée au LAN) sur l'ordinateur WinRoute doit être assignée et vous utiliserez cette adresse IP comme passerelle par défaut et (de manière optionnelle) comme serveur DNS ! Dans tous les cas, la passerelle par défaut pour cette interface ne sera pas renseignée. Mise en marche et utilisation Configuration IP avec un serveur DHCP tiers L'utilisation d'un autre serveur DHCP que celui de WinRoute nécessite une attention particulière quant aux valeurs transmises aux stations de travail de votre réseau par un tel serveur. Vérifier bien que votre serveur DHCP fournit des informations correctes à vos stations clientes. C'est à dire que vous devez faire que votre serveur DHCP fournisse l'adresse IP de la carte réseau de l'ordinateur WinRoute en tant que passerelle par défaut et (éventuellement) en tant que serveur DNS. Veillez également à ce que les adresses IP transmises aux stations appartiennent au même sous réseau que celle de l'ordinateur WinRoute. VÉRIFIEZ ABSOLUMENT (!!!) que la carte interne de l'ordinateur WinRoute possède une adresse IP fixe (par exemple 192.168.1.1) et que cette adresse soit indiquée comme passerelle par défaut à l'ensemble du réseau. Le serveur DHCP ne doit pas attribuer d'adresse IP à la machine WinRoute! Exemple: NT serveur avec le service DHCP tourne sur l'adresse 192.168.1.1 alors que WinRoute tourne sur l'adresse 192.168.1.5. La passerelle par défaut (et le DNS si vous utilisez celui de WinRoute) transmise aux stations clients sera 192.168.1.5. 25 26 WinRoute Pro 4.2 Guide de Référence Configuration IP - assignation manuelle Dans certains cas, il est nécessaire d'assigner des adresses IP manuellement aux stations de travail. Lorsque c'est le cas, prenez en compte les règles suivantes: Assignation des adresses IP Assignez à chaque ordinateur une adresse IP de "type interne". Habituellement 192.168.x.x ou 10.x.x.x. Veillez à ce que les adresses appartiennent au même sous réseau. Par exemple, des que vous avez attribué l'adresse IP 192.168.1.1 à la machine WinRoute, vous devez continuer en suivant le même plan (ex: 192.168.1.2, 192.168.1.3, etc.) Passerelle par défaut Utilisez l'adresse IP de la machine WinRoute en tant que passerelle par défaut pour tous les PC clients. En d'autres termes, chaque ordinateur client utilisera l'adresse IP de Ia machine WinRoute (adresse IP interne) comme passerelle par défaut. Cela se paramètre dans les proprietes réseau de l'ordinateur (TCP/IP=>Ethernet_adapter). Configuration DNS Pour terminer, utilisez l'adresse IP de l'ordinateur WinRoute comme serveur DNS pour tous les ordinateurs (l'adresse IP interne,si vous utilisez le serveur DHCP de WinRoute). La seule exception peut être l'utilisation de l'adresse DNS de votre FAI ou d'une adresse d'un autre serveur DNS. Entrez alors les informations fournies par votre fournisseur d'accès (dans TCP/IP->NIC properties sur chaque station). Important ! Consulter le chapitre des recommandations de ce manuel pour de plus amples informations concernant le parametrage DNS ! Mise en marche et utilisation Connexion du réseau à Internet WinRoute Pro est l'ultime routeur Internet - Firewall qui vous permet, pratiquement sans effort, de partager une connexion Internet ! - Connectez vous à travers une connexion distante, une ligne DSL, un modem câble, une liaison spécialisée ou une connexion DirecPC. Connexion modem ou RNIS (Numéris) Connexion par accès réseau à distance ou RNIS (Numéris - ISDN) Si vous avez une connexion distante a Internet (modem 56K ou RNIS) sur un PC avec Win95, Win98, WinNT or Win2000, vous avez tout ce qu'il faut pour utiliser WinRoute. WinRoute fonctionne sur un ordinateur possédant: ! ! un modem connecté sur un ligne téléphonique ou RNIS un carte réseau (NIC) connectée au réseau interne 27 28 WinRoute Pro 4.2 Guide de Référence Si vous possédez un modem RNIS connecte à votre ordinateur via une carte Ethernet, referez vous au chapitre Connexion DSL. Dans ce cas, vous aurez à configurer WinRoute pour qu'il fonctionne avec deux cartes Ethernet. Avant la connexion Avant de vous connecter à Internet, vérifier bien les points suivant: ! le protocole TCP/IP est correctement installé et configuré ! l'accès réseau à distance (Windows 95/98) ou le service d'accès distant (RAS service - WindowsNT) est correctement installé et configuré ! le modem est connecté au PC WinRoute WinRoute utilise les connexions distantes ou RAS disponibles sur votre système d'exploitation pour se connecter à Internet. Mise en marche et utilisation Il est recommande de vous connecter à Internet sur l'ordinateur ou WinRoute doit être exécuté AVANT d'installer et de lancer WinRoute, pour être sûr que la connexion est correctement configurée et fonctionne correctement. Configuration de WinRoute 1 Aller dans le menu Settings->Interface table - vous verrez alors normalement toutes les interfaces réseau disponibles sur votre ordinateur. Les accès distants sont appelés RAS dans WinRoute (sur tous les systèmes d'exploitation). 2 Aller dans les propriétés de l'interface RAS sélectionnée 3 Cochez alors "Perform NAT with IP address of this interface on all communication passing through" 4 Aller dans la table RAS dans la fenêtre Properties, choisissez ou créez votre connexion et configurer les paramètres selon vos besoins. Voir Table RAS pour plus de détails. Attention ! La translation d'adresse (NAT) doit être activée sur l'interface RAS et désactivée sur le(s) interface(s) reliées au réseau interne. Configuration de l'interface Ethernet 1 La carte réseau reliée au réseau interne a une adresse IP fixe (appartenant à une classe privée) mais PAS de passerelle ! 2 Les entrées DNS utilisées pour cette interface sont basées sur les données fournies par le fournisseur d'acces (FAI). Si vous n'avez pas ces données, contactez votre fournisseur. Vous pouvez configurer WinRoute pour qu'il utilise l'option "dial on demand" qui permet de faire que la connexion soit automatiquement activée suivant le trafic (données) sortant de votre réseau local. 29 30 WinRoute Pro 4.2 Guide de Référence Connexion DSL Les connexions DSL (ADSL, SDSL) nécessitent que deux interfaces réseau (NIC) soient installées dans l'ordinateur WinRoute. L'une des interfaces sera connectée à Internet (modem DSL) alors que l'autre sera connectée au réseau interne. Configuration de WinRoute Pour vous connecter à Internet 1 Aller dans le menu Settings->Interface Table 2 Choisissez l'interface connectée a Internet, cliquez sur Properties et cochez la fonction "Perform NAT with IP address of the interface on all communication passing through". Lorsque vous ouvrirez la fenêtre listant les interfaces, vous apercevrez NAT ON en fin de ligne. 3 Vérifiez que la fonction NAT n'est pas activée pour l'interface reliée au réseau local interne (aller dans les propriétés de l'interface dans la table d'Interfaces). 4 Vérifiez qu'il n'y a pas de passerelle dans les proprietes TCP/IP de la carte interne et que cette dernière a une adresse IP interne. 5 Vérifiez que l'interface reliée à Internet est paramètrée correctement avec les informations fournies par votre FAI (Fournisseur d'Accès Internet). Si vous avez une adresse IP assignée dynamiquement, laissez le champ vide. Pour d'autres paramètres réseau, reportez vous sur les chapitres concernes, et en particulier sur le chapitre CheckList . Mise en marche et utilisation Connexion xDSL via PPPoE PPPoE est une technologie récente utilisée par de nombreux abonnés DSL.. Bien qu'elle soit largement utilisée par de nombreux Fournisseurs d'Acces, elle fournit une connexion de piètre qualité et n'est pas (à l'heure actuelle) la meilleure solution pour connecter votre réseau à Internet. Les clients devront demander une solution DSL standard (sans PPPoE ni PPTP) le plus souvent possible. Le déploiement de PPPoE avec WinRoute est identique à celui d'une connexion DSL standard en ce qui concerne les paramètres TCP/IP. WinRoute Pro doit être installé sur le même ordinateur que l'adaptateur PPPoE. WinRoute Pro reconnaîtra l'adaptateur PPPoE comme une carte réseau. Vous devez activer la translation d'adresse (NAT) sur cette interface. Vous devez également voir la carte Ethernet (connectée à votre modem) dans la table des interfaces de WinRoute Pro. Vous ne devez pas activer la translation d'adresse sur cette interface. WinRoute Pro fonctionne avec tous les adaptateurs PPPoE présents sur le marche. Il arrive cependant que certains utilisateurs rencontre certains problèmes de performance en utilisant certains adaptateurs PPPoE : Enternet 100, 300, 500 PPPoE client WinRoute Pro 4.2 fonctionne bien avec l'adaptateur Enternet PPPoE de NTS si vous avez active le pilote au niveau protocole (protocole drivers) au lieu de l'option par défaut (Filter Driver). Pour faire cela, lancer le client Enternet PPPoE, aller dans le menu Settings->Advanced et faites la modification nécessaire. Si vous rencontrer des problèmes de performance, vous pouvez également abaisser la MTU a 800 sur les machines clientes. WinPoet d'Ivasion WinRoute Pro 4.2 fonctionne bien avec WinPoet si la compression d'en-tête IP (dans les proprietes de votre connexion distante) est désactivée. Abaisser la MTU: 31 32 WinRoute Pro 4.2 Guide de Référence Pour les utilisateurs de Windows 95/98 : http://www.microsoft.com/support/kb/articles/Q158/4/74.asp Pour les utilisateurs de Windows NT4/2000 : http://www.microsoft.com/WINDOWS2000/library/resources/reskit/samplechapter s/cnbd/cnbd_trb_vcfx.asp Connexion (bi-directionnelle) par modem câble Une connexion par modem câble nécessite que deux cartes réseau (NIC) soit inclues dans l'ordinateur exécutant WinRoute. Une interface doit être connectée à Internet (modem câble) et l'autre au réseau interne. Pour les modems câble sans voie de retour (connexion unidirectionnelle), aller au chapitre approprie. Configuration de WinRoute 1 Aller dans le menu Settings->Interface Table 2 Choisissez l'interface connectée a Internet, cliquez sur Properties et cochez la fonction "Perform NAT with IP address of the interface on all communication passing through". Lorsque vous ouvrirez la fenêtre listant les interfaces, vous apercevrez NAT ON en fin de ligne. Mise en marche et utilisation 3 Vérifiez que la fonction NAT n'est pas activée pour l'interface reliée au réseau local interne (aller dans les proprietes de l'interface dans la table d'Interfaces). 4 Vérifiez qu'il n'y a pas de passerelle dans les proprietes TCP/IP de la carte interne et que cette derniere a une adresse IP interne. 5 Vérifiez que l'interface reliée à Internet est parametree correctement avec les informations fournies par votre FAI (Fournisseur d'Acces Internet). Si vous avez une adresse IP assignée dynamiquement, laissez le champ vide. Pour d'autres parametres réseau, reportez vous sur les chapitres concernes, et en particulier sur le chapitre checklist , configuration IP etc. 33 34 WinRoute Pro 4.2 Guide de Référence Connexion unidirectionnelle par modem câble et ligne modem NOTE: Ce type de connexion à Internet n'est pas une "configuration officiellement supportée" de par le fait que les paramètrages peuvent varier d'un Fournisseur d'accès à un autre. Cependant, nous essayons de fournir le plus de scénarios de connexions possibles. Un grand nombre d'utilisateurs ont réussit leur connexion en utilisant les paramètres suivants : En général le flux de données est similaire à DirecPC. Le flux de paquets sort à travers l'interface de connexion distante. Le flux entrant est quant à lui assuré par le câble. En fait, votre fournisseur d'accès Internet doit lier vos deux interfaces ensemble. Bien que cela puisse sembler étrange, c'est la seule manière d'établir une connexion. C'est pour cela que nous vous conseillons de faire toutes les vérifications nécessaires avec votre fournisseur d'accès avant d'acheter WinRoute. Mise en marche et utilisation 1. Aller dans le menu Settings->Interface Table. Vous verrez une ligne d'accès distant (RAS line - votre modem) ainsi que deux cartes réseau - une reliée à Internet et l'autre reliée au réseau local. 2. Cliquez sur l'interface de la carte réseau reliée à Internet et aller ensuite dans "Properties." et cochez "Perform NAT with IP address of the interface on all communication passing through". 35 36 WinRoute Pro 4.2 Guide de Référence 3. Cliquez sur RAS interface et allez dans "Properties." et cochez "Perform NAT with IP address of the interface on all communication passing through". Dans l'onglet RAS sélectionnez la connexion que vous utiliserez pour vous connecter à votre fournisseur d'acces (FAI), entrez votre nom d'utilisateur et votre de passe. 4. Vérifiez que la translation d'adresse (NAT) n'est N'EST PAS ACTIVÉE sur l'interface reliée au réseau interne (allez dans les propriétés de cette interface) 5. Vérifiez qu'il n'y a pas de passerelle dans les propriétés TCP/IP de la carte interne (aller dans les paramètres réseau) et que cette dernière a une adresse IP interne (ex:.10.10.1.1). 6. Vérifiez que l'interface reliée à Internet est paramètrée correctement avec les informations fournies par votre FAI (Fournisseur d'Acces Internet). Si vous avez une adresse IP assignée dynamiquement, laissez le champ vide. En général la NAT doit être activée sur les deux interfaces reliées à Internet. Connexion AOL En utilisant WinRoute Pro vous pouvez connecter votre réseau à Internet via une simple connexion d'accès distant sur votre compte AOL. AOL ne supporte cependant que les ordinateur sous Win95/98. Pour vous connecter via AOL suivez les instructions suivantes : 1 Installez le client AOL (de préférence AOL 5.0 ou supérieur) 2 Connectez vous à Internet pour être sur du bon fonctionnement de votre connexion AOL 3 Installez WinRoute Pro Dans l'administrateur WinRoute allez dans le menu Settings->Interface table 4 Vous verrez alors normalement l'AOL adapter parmi les interfaces disponibles. Allez dans les propriétés de cette interface et activez "perform NAT" dedans. Mise en marche et utilisation Configurez alors votre ordinateur WinRoute et les machines clientes comme indiqué dans le chapitre Démarrage rapide. Attention ! La fonction "Dial on demand" ne fonctionnera pas. Vous devez activer votre connexion AOL manuellement. Connexion T1 ou LAN Une connexion T1 ou LAN nécessite que deux cartes réseau (NIC) soit inclues dans l'ordinateur exécutant WinRoute. Une interface doit être connectée à Internet (routeur) et l'autre au réseau interne. Configuration de WinRoute Pour vous connecter a Internet 1 Allez dans le menu Settings->Interface Table 2 Choisissez l'interface connectée à Internet, cliquez sur Properties et cochez la fonction "Perform NAT with IP address of the interface on all communication passing through". Lorsque vous ouvrirez la fenêtre listant les interfaces, vous apercevrez NAT ON en fin de ligne. 3 Vérifiez que la fonction NAT n'est pas activée pour l'interface reliée au réseau local interne (aller dans les propriétés de l'interface dans la table d'Interfaces). 4 Vérifiez qu'il n'y a pas de passerelle dans les propriétés TCP/IP de la carte interne et que cette dernière à une adresse IP interne. 37 38 WinRoute Pro 4.2 Guide de Référence 5 Vérifiez que l'interface reliée à Internet est paramètrée correctement avec les informations fournies par votre FAI (Fournisseur d'Acces Internet). Si vous avez une adresse IP assignée dynamiquement, laissez le champ vide. Pour d'autres paramètres réseau, reportez vous sur les chapitres concernes, et en particulier sur le chapitre CheckList . Mise en marche et utilisation Connexion DirecPC DirecPC utilise un modem (analogique, RNIS, ...) ou une carte réseau (Ethernet, Token Ring) pour la voie montante tout en utilisant une connexion satellite pour la voie descendante. Votre connexion Internet est assurée par DirecPC ou vous pouvez utiliser votre Fournisseur actuel pour votre connexion distante. Les données vont de votre ordinateur au service DirecPC par modem, puis elles sont routées jusqu'à leur destination finale. Au retour, DirecPC, vos données sont jointes à d'autres et transitent par satellite. Configuration de WinRoute Tout d'abord, vous devez installer et configurer correctement tous les composants et les logiciels DirecPC. Ensuite configurez WinRoute selon les conditions nécessaires. Vous pouvez utiliser soit le dialer DirecPC, soit la connexion RAS de WinRoute pour le voie montante. En utilisant WinRoute vous bénéficierez de la fonctionnalité de connexion à la demande (dial on demand) qui permet de faire des économies sur votre facture de téléphone. 1. Utilisation d'une ligne d'accès distant (RAS) pour la voie montante 39 40 WinRoute Pro 4.2 Guide de Référence Aller dans le menu Settings->Interface Table. Vous verrez l'interface de votre ligne RAS (votre modem) et l'interface de votre carte DirecPC. Cliquez sur l'interface DirecPC et aller dans ses Propriétés (Properties). Vous verrez alors deux onglets - NAT et DirecPC. Dans l'onglet NAT cochez la case "Perform NAT with of the interface on all communication passing through". Dans l'onglet DirecPC choisissez la ligne 0 (line0) pour la voie montante. Entrez l'adresse de la passerelle IP qui vous a été donnée par DirecPC. 3. Cliquez sur l'interface RAS, allez dans ses propriétés (Properties) et cochez "Perform NAT with IP address of the interface on all communication passing through". Dans l'onglet RAS, sélectionnez la connexion que vous allez utiliser pour vous connecter à votre fournisseur d'accès Internet, et entrer votre nom d'utilisateur et votre mot de passe. Attention ! Vous devez désélectionner l'option "Use default gateway on remote network" dans les propriétés de votre compte d'accès distant créé pour votre connexion à votre fournisseur d'accès distant. Sélectionnez cette option dans les propriétés TCP/IP de votre interface d'accès distant. Mise en marche et utilisation 2. Utilisation du dialer DirecPC pour la voie montante Vous pouvez utiliser le dialer intégré de DirecPC lorsqu'il est disponible. Cependant nous recommandons l'utilisation du dialer intégré dans WinRoute lorsque cela est possible. 41 42 WinRoute Pro 4.2 Guide de Référence Pour utiliser le dialer (numéroteur) DirecPC: Aller dans le menu Settings->Interface Table. Vous verrez l'interface de la ligne RAS (votre modem) et l'interface de la carte DirecPC Cliquez sur l'interface DirecPC et aller dans ses proprietes (Properties). Vous verrez deux onglets - NAT et DirecPC. Dans l'onglet NAT, sélectionnez "Perform NAT with IP address of the interface on all communication passing through". Dans l'onglet DirecPC sélectionnez "Use DirecPC dialer for uplink". Mise en marche et utilisation 3. Utilisation d'une interface Ethernet pour la voie montante Parfois vous devrez utiliser une interface Ethernet pour la voie montante. Cela arrivera si votre lien montant (uplink) est assuré par une connexion RNIS (et que vous avez un routeur RNIS ou un modem) ou une connexion V-SAT (via une carte Ethernet). 43 44 WinRoute Pro 4.2 Guide de Référence Allez dans les propriétés de l'interface de la carte DirecPC. Dans l'onglet NAT, activez "Perform NAT with IP address of the interface on all communication passing through". Dans l'onglet DirecPC choisissez "Through interface" et selectionnez l'interface reliée a Internet. Entrer alors l'adresse de la passerelle par défaut de votre fournisseur d'accès dans le champ "GW" (ex: 194.196.1.33). Augmenter le débit Pour obtenir un débit maximum lorsque vous êtes connecte à Internet en utilisant DirecPC, réduire la valeur TCP receive window sur tous les ordinateurs utilisant DirecPC: Sur Windows NT: 1 Aller dans le registre HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Para meters 2 Ajouter (si cela existe deja, éditer simplement) une entrée nommée "TcpWindowSize" (de type DWORD) dans le registre. Configurez sa valeur a 0xBB80. Mise en marche et utilisation Sur Windows 95: 1 Aller dans le registre HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\VxD\MSTCP . 2 Ajouter (si cela existe deja, éditer simplement) une entrée nommée "DefaultRcvWindow" (de type STRING) dans le registre. Configurez sa valeur a "0xBB80". 45 46 WinRoute Pro 4.2 Guide de Référence CHAP ITRE 3 Configurer la sécurité Dans ce chapitre La sécurité NAT ..............................................................47 Options de la sécurité NAT ..............................................48 Configuration du filtrage de paquets .................................52 Configurer la sécurité La sécurité NAT WinRoute réalise les opérations de translation d'adresse (NAT) au niveau de la couche protocole réseau (niveau le plus bas). WinRoute contrôle le trafic entre les pilotes des interfaces et la pile TCP. WinRoute a un contrôle total sur tout le trafic Internet, en capturant aussi bien les paquets sortants que les paquets entrant, limitant ainsi tous les risques. C'est une fonctionnalité unique de l'implémentation WinRoute de la translation d'adresse (NAT). De plus, cela procure d'avantage de fonctionnalités en ce qui concerne la sécurité, comme l'antispoofing et le filtrage de paquets. Avec la translation d'adresse (NAT) de WinRoute, le réseau tout entier (ainsi que l'ordinateur WinRoute lui même) bénéficie d'une protection complète. 47 48 WinRoute Pro 4.2 Guide de Référence Options de la sécurité NAT Dans les paramètres avancés de WinRoute (build 20 et plus), il y a un menu d'options concernant la sécurité NAT et qui comprend un mode silence (silent mode). Ce mode permet de faire que WinRoute, pour certains types de requêtes, ignore les paquets et rende ainsi votre réseau invisible du monde extérieur. Requête écho ICMP entrante (Incoming ICMP echo request): Internet Control Message Protocol (ICMP) est le protocole d'information qui permet de faire des requêtes simples sur l'état du réseau (UN ping, par exemple - ping 206.86.211.32). Lorsqu'un ordinateur essaye de pinger l'ordinateur WinRoute, les options de sécurité NAT proposent deux comportements possibles : Si vous sélectionnez l'option “send ICMP echo reply" l'ordinateur ayant fait la requête recevra une réponse. Si vous sélectionnez l'option “drop request (silent mode)” le datagramme sera saute, comme s'il avait été perdu pendant le transite. L'ordinateur ayant fait la requête recevra alors le message “destination host unreachable.” (l'ordinateur distant ne peut être atteint). Paquets entrant non identifiés dans la table de NAT (Incoming packets with no entry in the NAT table): Configurer la sécurité WinRoute inspecte tout le trafic entrant et sortant du réseau. Si WinRoute doit appliquer la translation d'adresse (NAT) sur un paquet, il l'examinera et enregistrera certaines informations comme le numéro de port et l'adresse IP dans la table de NAT. Ainsi, lorsque le paquet revient, WinRoute peut le comparer avec les entrées de la table de NAT, et ainsi déterminer vers qui router le paquet. Si le paquet n'est pas un paquet de retour (paquet non initialisé), WinRoute le comparera avec la table de NAT et déterminera qu'il n'est pas initialisé. Si aucun port mapping n'est créé, WinRoute sera incapable de router le paquet vers qui que ce soit à l'intérieur du LAN. ! L'option “send denying packet” renverra simplement le paquet à l'envoyeur en indiquant que la connexion n'a pu être établie. ! L'option “drop packet (silent mode)" éliminera simplement le paquet sans envoyer de paquet en retour. De cette manière, l'ordinateur WinRoute, ainsi que tout le réseau derrière lui, seront invisibles et sembleront inexistants. Paquet entrant UDP: Certaines applications qui utilisent le protocole UDP (User Datagram Protocol) ont besoin d'envoyer des paquets UDP à un serveur central. WinRoute enregistre la source et la destination de tous les paquets UDP sortants vers le serveur choisi par l'application envoyant le paquet. Dans certains cas, le serveur peut passer votre adresse IP et votre numéro de port a un autre serveur qui vous enverra alors un paquet UDP contenant les informations que vous avez demandées. Bien que cet ordinateur aléatoire possède une adresse IP différente de celle du serveur, il peut cependant envoyer des paquets UDP parce qu'il connaît l'adresse IP et le port à utiliser. En utilisant cet exemple, si vous sélectionnez “can pass through NAT with any source IP address” le paquet UDP passera à travers WinRoute. Pour augmenter le niveau de sécurité, vous pouvez sélectionner “can pass through NAT only if it comes from source IP address that was recorded when first outgoing packet from LAN was sent.” Cela indiquera à WinRoute de seulement laisser passer les paquets UDP en provenance du serveur central. Options d'audit de NAT (logging options): 49 50 WinRoute Pro 4.2 Guide de Référence Dans les options avancées de sécurité, vous avez la possibilité d'enregistrer des informations sur les paquets arrivant sur le réseau sans avoir êtes demandés par quelqu'un à l'intérieur du LAN. Cela concerne typiquement les réseaux comportant des serveurs Web, FTP, DNS ou autres, derrière WinRoute. Cela aide à déterminer la source d'un problème. Auditer les paquets entrant sans référence dans la table de translation (NAT table): WinRoute propose deux options pour auditer les paquets TCP non présents dans la table de NAT. Si vous choisissez d'auditer "only packets with SYN flag" (synchronize), le paquet TCP sera audité seulement si une connexion à été établie entre l'émetteur et le destinataire. L'option "all TCP packets" audite tous les paquets TCP entrant, sans se préoccuper de la connexion. Comme les paquets UDP n'utilise pas de flags, tous les paquets UDP non initialisés seront audités si vous avez choisi d'auditer les paquets UDP. Auditer dans un fichier ou dans une fenêtre (Logging to a file or window): Si vous sélectionnez “log into security window” vous pouvez voir les information d'audit depuis l'application d'administration de WinRoute en affichant les audits de sécurité (view-logs-security log). Si vous choisissez "log to a file", WinRoute enregistrera toutes les informations d'audit dans le fichier d'audit de sécurité situé dans le répertoire logs de WinRoute Pro (typiquement C:\Program Files\WinRoute Pro\Logs) Configurer la sécurité 51 52 WinRoute Pro 4.2 Guide de Référence Configuration du filtrage de paquets La configuration de la partie "filtre de paquet" du firewall WinRoute Pro est très simple. Cela demande une bonne compréhension des fonctionnalites de filtrage des paquets effectue par WinRoute. Règles définies par Interface Les utilisateurs peuvent définir des règles de sécurité sur chaque interface de l'ordinateur, de manière individuelle. Cette fonctionnalité est très importante lorsque l'on administre des réseaux multi segments. Exemple: l'image suivante montre un exemple de réseau qui: autorise l'accès au serveur web interne à tout le monde depuis Internet autorise l'accès au serveur PPTP interne seulement a certains individu appartenant au Groupe d'Adresses Travellers défini auparavant Configurer la sécurité Séparer les règles pour le paquets entrant et sortant WinRoute applique des règles spécifiques aux paquets sortant et aux paquets entrant. Une table est créée par WinRoute pour chaque interface. Dans cette table, les deux types de paquets sont enregistrés (paquets sortants et paquets entrants). En d'autres termes, chaque paquet a deux entrées, une pour la sortie et une pour l'entrée. Qu'est-ce qu'un paquet ENTRANT/SORTANT ? WinRoute considère toujours son moteur comme le centre du système. Cela veut dire que tous les paquets partant de WinRoute sont des paquets SORTANT, qu'ils aillent vers le LAN ou vers Internet. De la même manière, tout les paquets arrivant sur le PC WinRoute sont des paquets ENTRANT, peu importe d'ou ils viennent. Il est important de bien considérer cela lors de la création des règles de sécurité. APPLICATION DES REGLES: Du HAUT vers le BAS Les règles sont définies dans une liste et appliquées de haut en bas. Lorsque le paquet arrivent sur l'interface, il est vérifie suivant la liste des critères définis. La première règle est alors vérifiée puis les suivantes jusqu'à la règle la plus basse qui est vérifiée en dernière. Lorsque le paquet correspond à un critère, la règle correspondante est appliquée et les autres règles sont ignorées. Les règles peuvent être appliquées à: ! des utilisateurs autonomes ! un intervalle d'adresses IP ! un groupe d'adresses IP défini par l'utilisateur (pour définir un groupe d'adresses IP, referez vous à la partie référence de ce manuel) 53 54 WinRoute Pro 4.2 Guide de Référence ! tout le sous-réseau ou réseau Les règles peuvent être appliquées dans une zone de temps prédéfinie Dans certains cas, il peut être utile d'appliquer des règles spécifiques pendant les heures de bureau, et d'appliquer ensuite d'autres critères. Vous pouvez également autoriser certains utilisateurs du web pendant la période de déjeuner, et limiter l'accès à certaines ressources pendant les heures de travail. Exemple: Contrôle total des accès utilisateurs: L'administrateur du réseau veut autoriser l'accès au réseau aux utilisateurs autorisés. En plus, un accès public au serveurs Web et FTP situés derrière WinRoute est nécessaire. Dans ce cas, les règles sont entrées dans l'ordre suivant pour les paquets entrants: 1. autoriser les paquets provenant de n'importe quelle machine allant sur le port 80 2. autoriser les paquets provenant de n'importe quelle machine allant sur le port 21 3. rejeter tout les paquets Configurer la sécurité Si le paquet entrant est concerne par la règle 1 ou la règle 2, il pourra passer et la règle 3 ne sera pas appliquée. Si ce n'est pas le cas, alors la règle 3 s'applique et le paquet est rejeté. 55 56 WinRoute Pro 4.2 Guide de Référence CHAP ITRE 4 Description de WinRoute Dans ce chapitre Sommaire des fonctionalités de WinRoute ........................57 Routeur NAT...................................................................60 Serveur DHCP.................................................................73 Firewall - Filtrage des Paquets..........................................76 Relayeur DNS..................................................................84 Comptes Utilisateurs ........................................................86 Serveur de messagerie ......................................................90 Serveur Proxy..................................................................113 Analyse des audits (log) et des paquets .............................127 Intervales de Temps .........................................................135 Description de WinRoute Sommaire des fonctionalités de WinRoute WinRoute Pro est l'ultime Routeur Internet - Firewall qui vous permet, pratiquement sans effort, de partager une connexion Internet ! - Connectez vous a travers une connexion distante, une ligne DSL, un modem câble, une liaison spécialisée, LAN, T1, Radio ou une connexion DirecPC. C'est aussi facile que ca ! Administration distante L'administrateur WinRoute fournit la configuration et les paramètres au Moteur WinRoute. L'administrateur WinRoute est une application séparée (wradmin.exe) qui peut être exécutée depuis n'importe quelle ordinateur avec une connexion sur le Moteur de la machine WinRoute. L'accès au Moteur WinRoute est sécurisé par un chiffrage puissant et un mot de passe. Audit (logging) WinRoute Pro fournit à l'administrateur du firewall un contrôle total sur le trafic traversant l'ordinateur exécutant WinRoute. Il est alors possible d'analyser et d'auditer les flux TCP, UDP, ICMP, ARP, les requêtes DNS, les informations du drivers et encore plus. Toutes les opérations ont une indication de temps. Routeur IP avec Translation d'Adresse (NAT) WinRoute inclus (la meilleure) implémentation de la technologie "Network Address Translation (NAT)" (qui signifie Translation d'Adresse) disponible a ce jour. Cela a été conçu pour fournir aux utilisateurs le meilleur en terme de routage et de protection réseau. Le driver NAT écrit exclusivement pour WinRoute offre, à un coût réduit, une sécurité comparable à celle des produits les plus chers. Routage NAT Avance (Advanced NAT Routing) 57 58 WinRoute Pro 4.2 Guide de Référence Le routage NAT Avance permet de changer l'adresse IP source des paquets sortant suivant de nombreux critères. Cela permet une intégration facile de réseau(x) derrière WinRoute dans un environnement WAN. WinRoute permet la mise en place de plusieurs segments, de Réseaux Prives Virtuels (VPN), de Zone Démilitarisée (DMZ), etc. Hébergement de Serveurs derrière WinRoute Par défaut, WinRoute ferme tous les ports pour une sécurité maximum. Ainsi, tous les paquets non initialisés sont rejetés, à moins qu'un port mapping existe. La technologie Port Mapping permet aux utilisateurs de décider de comment ils veulent laisser passer les paquets IP à travers n'importe quelle interface gérée par WinRoute. Cela leur permet d'exécuter un serveur Web, Mail, FTP, VPN ou encore virtuellement tous les types de serveurs, derrière le firewall. Sécurité Firewall WinRoute fournit aux utilisateurs un niveau de sécurité firewall, comparable à celui de solutions beaucoup plus chères, à travers une combinaison de son architecture NAT et de sa capacité à opérer au plus bas niveau. Cela permet à WinRoute de capturer aussi bien les paquets entrants que les paquets sortants, ce qui le rend indétournable. L'Anti-spoofing est un module du filtre de paquet de WinRoute, pour une plus grande protection contre les attaques du réseau dans lesquelles les pirates falsifient leur adresse IP source. Configuration Simple du Réseau (Simple Network Configuration) Le serveur DHCP et le relayeur DNS (DNS forwarder), inclus dans WinRoute Pro, simplifient l'administration et la configuration du réseau. Les deux composants sont à la pointe de leur technologie et ainsi, le serveur DHCP de WinRoute remplace sans problème le serveur DHCP inclus dans Windows NT/2000 Serveur. Serveur De Messagerie (Mail Server) Description de WinRoute Le serveur de messagerie de WinRoute, complètement compatible avec les protocoles SMTP et POP3, permettent virtuellement une infinité de création d'alias et d'automatisation du tri de courrier. Les utilisateurs peuvent avoir une ou plusieures adresses email et peuvent réellement travailler en groupe (ex: ventes, support, relations clients, etc.) et chaque groupe peut désigner plusieurs utilisateurs. Toutes ces fonctionalités sont indépendantes du type de connexion à Internet dont vous disposez. Cache HTTP L'architecture de WinRoute inclue un moteur de cache tres innovant. A l'inverse des serveurs Proxy utilisant un système de cache, le cache WinRoute stocke les données dans un fichier d'un taille prédefinie au lieu d'utiliser un fichier pour chaque objet stocké. Cela permet de sauvegarder une place importante du disque dur, et spécialement sûr les environnements disposant d'un système de fichiers FAT16 (comme la plupart des systèmes utilisant Windows 95). 59 60 WinRoute Pro 4.2 Guide de Référence Routeur NAT NAT -Translation d'Adresse La Translation d'adresse, ou encore NAT, est l'une des fonctions de sécurité de WinRoute parmi les plus puissantes. La NAT est une technologies standard d'Internet permettant de "cacher" des adresses réseau privées derrière une ou plusieurs adresses publiques. Une version de la NAT appelée "IP Masquerading" à été très populaire pendant un grand nombre d'années dans la communauté Linux, et WinRoute et l'un des programmes peu nombreux tournant sous Windows et proposant une solution de NAT. La NAT peut être implémentée de plusieurs manières, mais elle crée essentiellement un espace contenant un nombre pratiquement illimité d'adresses privées pour le réseau interne. Ces adresses sont "translatées" par WinRoute et ainsi, les communications peuvent "passer" vers et depuis le réseau public sans réveler les informations concernant le réseau privé. Il est donc impossible de produire une attaque directe contre une machine interne dont l'adresse IP est translatée par le firewall WinRoute. Description de WinRoute Architecture de WinRoute Architecture de WinRoute Pour réaliser des configurations de réseaux avances, il est important de bien comprendre comment WinRoute fonctionne. En considérant les explications et les exemples suivant, WinRoute prouve qu'il est une solution d'excellence pour pratiquement tous les types de configuration réseau. 1. Sécurité Totale WinRoute agit en dessous de la pile TCP au niveau IPSEC. En d'autres termes, il capture aussi bien les paquets sortants et entrants AVANT qu'ils aient une chance d'entrer dans l'ordinateur. Cette conception avancée rend la sécurité de WinRoute pratiquement incassable 2. Support Total des Protocoles WinRoute est un ROUTEUR logiciel. En tant que tel, à l'inverse de serveur Proxy comme WinGate ou WinProxy, WinRoute peut transmettre pratiquement tous les types de protocoles Internet. En même temps, WinRoute vérifie chaque paquet en utilisant ses fonctionalites de firewall et de sécurité avancée. Sur les systèmes Windows 95 et 98, WinRoute se charge du routage des paquets. Sur les systèmes Windows NT, le systeme NT se charge du routage et WinRoute s'occupe des fonctionalités de NAT (entre autres). 61 62 WinRoute Pro 4.2 Guide de Référence 3. Flexibilité Totale WinRoute réalise la Translation d'Adresses (NAT - Network Address Translation) sur les interfaces de votre choix. WinRoute réalise également toutes les règles de sécurité prédéfinies par l'utilisateur sur les interfaces de son choix. Cela donne à l'utilisateur un grand champ d'action lors de la création et de la configuration des règles de sécurité. Fonctionnement de la Translation d'Adresse (NAT) La Translation d'adresse (NAT) est un procédé qui modifie les paquets envoyés depuis/vers le réseau local vers/depuis Internet ou d'autres réseaux bases sur le protocole IP. En sortant ... Les paquets passant à travers le moteur de translation depuis le LAN sont changés ou tranlatés pour sembler provenir de l'ordinateur se chargeant de la translation (cet ordinateur est directement relié à Internet). Ce qui se passe réellement, c'est que l'adresse IP "source" dans l'en-tête du paquet est remplacée par l'adresse IP (publique) de l'ordinateur se chargeant de la translation (ordinateur NAT). Le Moteur NAT gère également une table d'enregistrements des informations concernant chaque paquet en transit vers Internet. Description de WinRoute En revenant ... Les paquets passant à travers le moteur de translation vers le LAN sont recherchés dans la table de NAT gérée par le moteur de translation. C'est à cet endroit que l'adresse IP de destination est changée (suivant les informations stockées dans la table de NAT) pour redevenir l'adresse IP privée spécifique permettant d'atteindre l'ordinateur dans le réseau interne. Souvenez vous que le paquet est revenu avec l'adresse IP publique de l'ordinateur NAT (en tant qu'adresse de destination dans son en-tête IP). Le Moteur NAT doit donc changer cette information pour que le paquet parvienne à son destinataire réel, situé dans le réseau local interne. Configurer la NAT sur les deux interfaces Vous pouvez vouloir utiliser WinRoute seulement comme un routeur d'accès neutre pour le trafic (paquets) provenant d'Internet vers un réseau local. Dans ce cas, vous avez déjà une solution de partage d'accès Internet; si cette solution ne vous permet pas d'exécuter dans votre réseau privé des serveurs et des applications qui doivent être accessibles depuis Internet, alors WinRoute peut être la bonne solution, s'il est configuré spécifiquement. Voici des exemples de services qui peuvent avoir besoin d'être accessibles depuis Internet: ! serveur TELNET (ex: AS400) ! serveur WWW ! serveur MAIL ! serveur FTP ! PC Anywhere 63 64 WinRoute Pro 4.2 Guide de Référence ! … et tous les autres serveurs (services) qui sont accessibles sur un certain port. WinRoute fournira à vos utilisateurs/clients un accès fiable et sécurisé à ces différents services. La configuration de WinRoute pour ces services est décrite dans d'autres chapitres. Les paramètres suivants devront être configurés différement: Fonction Configuration normale Dans ce cas NAT sur l'interface Internet ON ON NAT sur l'interface interne (LAN) OFF ON Adresse IP de l'interface interne de WinRoute en tant que passerelle par défaut pour les ordinateurs du réseau OUI (OBLIGATOIREMENT) NON (pas nécessairement) En d'autres termes, WinRoute permettra de rendre certains services accessibles depuis Internet SANS DEVOIR changer la configuration réseau. Attention ! Activer la Translation d'Adresse (NAT) sur les deux interfaces ne vous PERMET PAS d'utiliser WinRoute pour partager votre connexion Internet ! Description de WinRoute Le paramètrage de la passerelle par défaut comme dans cette exemple vous laisse un grande liberté. Vous pouvez laisser inchangé tout votre environnement réseau existant. Tout en laissant les routeurs et les routes déjà établis dans votre réseau, et en ajoutant des ordinateurs exécutant WinRoute, vous pouvez permettre à des utilisateurs extérieurs d'accéder à des serveurs dans votre réseau local. C'est une fonctionalité très puissante, lorsque vous avez un réseau étendu existant (WAN) et que vous voulez permettre à des utilisateurs extérieurs d'accéder a votre AS400 (serveur TELNET) ou à votre réseau interne via PPTP. Pour faire cela, vous devez suivre les instructions suivantes: 1 Ajoutez un ordinateur possédant deux interfaces à votre réseau. Une Interface (externe) sera reliée à Internet alors que l'autre interface (interne) sera reliée à votre réseau existant. 2 Assignez à l'interface externe une adresse IP qui sera utilisée pour accéder à vos serveurs/services que vous voulez rendre accessibles depuis Internet. 3 Assignez une adresse IP manuellement ou dynamiquement (via serveur DHCP) à l'interface interne. 4 Configurez WinRoute pour réaliser la Translation d'Adresse (NAT) sur les deux interfaces. 5 Activez un Port Mapping pour chaque services que vous voulez activer sur votre réseau. Après cette configuration, les utilisateurs externes pourront accéder, depuis Internet, à vos services internes s'exécutant sur les ports spécifiques. La sécurité de ces processus est garantie par le firewall de WinRoute. 65 66 WinRoute Pro 4.2 Guide de Référence Port Mapping - Transmission de Paquet WinRoute fait de la Translation d'adresse (NAT), ce qui rend le réseau protégé inaccessible depuis l'extérieur. En utilisant le port mapping (ou Translation d'adresse de port - Port Address Translation - PAT) les services publics, comme les serveurs WEB ou FTP, peuvent être rendu accessibles depuis Internet. Fonctionnement du Port Mapping Chaque paquet arrivant du réseau extérieur (Internet) est comparé, suivant ses attributs (protocole, port de destination et adresse IP de destination), a une entrée de la table de port mapping (protocole, port d'écoute, adresse IP d'écoute). Si le paquet arrivant réponds aux critères désirés, le paquet est modifié et envoyé à l'adresse IP du réseau protégé définie en tant qu'adresse IP de destination (Destination IP) dans les entrées de la table et vers le port défini (Destination port). Description de WinRoute Par exemple, vous exécutez un serveur Web sur l'adresse interne 192.168.1.3 et vous voulez permettre à des utilisateurs extérieurs d'y accéder. Il y aura des requêtes arrivant depuis Internet sur l'adresse IP extérieure de votre ordinateur WinRoute (cette adresse IP correspond à l'entrée DNS correspondant à www.votredomaine.com). Comme toutes les requêtes arrivant sur un serveur Web arrivent sur le port 80, vous allez configurer un port mapping qui indiquera que toutes les communications TCP sur le port 80 seront déviées vers l'adresse IP interne 192.168.1.3. Configuration du Port Mapping Pour configurer le Port Mapping Aller dans le menu Settings->Advanced->Port mapping 6 Ajouter un nouveau port mapping (Bouton Add) 67 68 WinRoute Pro 4.2 Guide de Référence Protocole (Protocol) Sélectionnez le protocole utilisé par le service ou l'application. Certains services (ou applications) utilisent TCP et UDP en même temps. Comme le module d'administration de WinRoute par exemple. Adresse IP d'écoute (Listen IP) C'est l'adresse IP où arrivent les paquets entrant. C'est normalement l'adresse IP associée à votre interface Internet. A noter: vous pouvez avoir plusieurs adresses IP associées a l'interface (si vous avez plusieurs serveurs Web par exemple). Port d'écoute (Listen Port) Le numéro du port sur lequel arrivent les paquets. Adresse IP de destination (Destination IP) L'adresse IP dans votre réseau local sur laquelle tourne le serveur (le service ou l'application) répondant aux paquets entrant (serveurs Web, serveur FTP, etc.). Port de destination (Destination Port) Le port sur lequel le service ou l'application écoute. C'est normalement le même numéro que celui du port d'écoute. Autoriser seulement les accès depuis ... (Allow access only from) Vous pouvez specifier des adresses IP depuis lesquelles vous souhaitez autoriser les accès. Cela est très important pour augmenter le niveau de securité dans le cas d'utilisation du port mapping vers des applications d'administration ou de management telles que l'administrateur WinRoute, PC Anywhere, etc. Vous pouvez spécifier une adresse seule ou un groupe d'adresses IP. Dans ce dernier cas, vous devrez préalablement créer un groupe d'adresse dans la fenêtre "Address Groups". Description de WinRoute Port Mapping pour systèmes d'hébergement multiples (plusieurs adresses IP) Il se peut que vous ayez plusieurs adresses IP assignées à votre interface Internet, et que vous ayez plusieurs serveurs (à l'intérieur de votre réseau) que vous voulez rendre accessibles depuis Internet. Scénario comportant 5 serveurs Web Considérons que vous vouliez faire tourner 5 serveurs Web correspondant chacun a un nom de domaine et une adresse IP différents. Dans ce cas, vous aller assigner 5 adresses IP à votre interface externe (reliée à Internet) et installer les serveurs Web sur les ordinateurs dans votre réseau interne. Chaque serveur Web peut s'exécuter sur un ordinateur différent, ou vous pouvez assigner plusieurs adresses IP sur un ordinateur de votre réseau local et exécuter tous les serveurs Web sur cet ordinateur. Vous aller ensuite définir 5 port mappings dans la fenêtre Port Mapping. Pour chaque serveur Web (chaque domaine) il faudra définir: ! Une adresse IP d'écoute (adresse IP publique associée à votre domaine). ! Un port d'écoute: 80 dans ce scénario. ! Une adresse IP de destination: l'adresse IP interne du serveur Web correspondant. ! Un port de destination: 80 (pour le Web). Pour plus d'exemples à propos de "Advanced Port Mapping", voir le chapitre des réseaux avancés. 69 70 WinRoute Pro 4.2 Guide de Référence NAT Multiple WinRoute permet la simple Translation d'adresse (NAT) (Network Address Translation) mais également des configurations bien plus évoluées. Vous pouvez spécifier, selon l'adresse IP source ou destination du paquet, que l'opération de NAT soit effectuée avec une autre adresse IP (c'est à dire que les paquets sembleront provenir d'une autre adresse IP) ou même spécifier que l'opération de NAT ne se fasse pas du tout. De telles configurations sont d'une grande importance avec des réseaux plus compliques où: ! certains ordinateurs doivent apparaître comme une autre adresse IP que celle utilisée par le reste du réseau ! vous avez des bureaux extérieurs connectes via WAN avec un espace d'adresses privées, et que vous voulez partager un accès Internet à tout les bureaux ! vous avez plusieurs segments derrière WinRoute dont un (ou plus) segment est une zone DMZ avec des adresses IP publiques ! vous voulez avoir des adresses IP publiques à l'intérieur de votre réseau privé (Souvenez vous! Vous devez confirmer à votre Fournisseur d'accès que toutes ces adresses IP seront routées sur l'adresse IP principale) Description de WinRoute Vous trouverez quelques exemples dans le chapitre des réseaux avancés. Adresse IP Source, Adresse IP de Destination Vous pouvez paramètrer la NAT avancée selon l'adresse IP depuis laquelle les paquets sont envoyés (source) ou vers laquelle ils sont envoyés (destination). Comme source vous pouvez entrer l'adresse IP d'une machine, un réseau entier (défini pour le masque de sous-réseau) ou un groupe d'adresses IP créé auparavant dans le menu Settings->Advanced->Address Groups. Ne pas faire la Translation (Do not NAT) Si cette option est sélectionnée, les paquets passant à travers l'interface Internet ne seront pas modifiés. Faire la Translation (NAT) avec une adresse IP spécifique (Do NAT with specified IP address) Si cette option est sélectionnée, les paquets seront modifiés pour sembler provenir de l'adresse IP spécifiée. 71 72 WinRoute Pro 4.2 Guide de Référence Table des Interfaces La table des interfaces est une fenêtre dans laquelle WinRoute affiche toutes les interfaces disponibles dans l'ordinateur qu'il peut reconnaître. Si vous pensez disposer de plus d'interfaces que WinRoute n'en affiche, c'est que les drivers de ces interfaces ne sont pas correctement chargés par le système d'exploitation et que WinRoute ne peut pas les lire. Vous pouvez voir: Le nom de l'interface Vous pouvez changer le nom en sélectionnant “properties” et en changeant le nom. Adresse IP La valeur entrée dans les propriétés TCP/IP de l'interface. Si l'interface est configurée pour obtenir une adresse IP depuis un serveur DHCP, vous verrez alors l'adresse IP actuelle assignée à cette interface. NAT “On” ou “Off” Si la Translation d'adresse (NAT) est activée sur l'interface, alors "On" est affiché dans la colonne. Support VPN Comme cela a été évoqué auparavant, WinRoute est totalement capable de faire passer le trafic des protocoles VPN les plus répandus: Le Protocole de Sécurité IP (IPSec) proposé par l'IETF, et le PPTP (Point-to-Point Tunneling protocol), rendu populaire ces dernières années par la percée des systèmes d'exploitation Microsoft Windows. Description de WinRoute Serveur DHCP Dans un réseau, chaque ordinateur doit avoir ses propriétés TCP/IP configurées correctement. Cela veut dire qu'il faut indiquer l'adresse IP, le masque réseau, la passerelle par défaut, l'adresse du serveur DNS, etc. sur chaque ordinateur. Si le responsable réseau doit effectuer ce parametrage sur un grand nombre d'ordinateurs, cela peut induire des erreurs (ex: double utilisation d'une même adresse IP) ce qui peut perturber le réseau tout entier. DHCP (Dynamic Host Configuration Protocol) est implanté dans WinRoute pour simplifier l'administration du réseau. Ce protocole est utilisé pour configurer dynamiquement la pile TCP/IP des ordinateurs présents sur le réseau. Lors de leur démarrage, les ordinateur utilisant DHCP envoient une requête. Lorsque le serveur DHCP reçoit cette requête, il choisit les parametres TCP/IP pour le client et les lui transmet. Les parametres ainsi envoyés sont l'adresse IP, le masque de sous-réseau, la passerelle par défaut, l'adresse du serveur DNS, le nom de domaine du client, etc. Le serveur peut assigner une configuration au client pour une période limitée (appelée la durée du bail). Le serveur assigne toujours les adresses IP de manière a ce qu'il n'y ait pas de collision entre les adresses IP des clients utilisant DHCP. Lorsqu'un serveur DHCP est disponible, il suffit d'activer la fonction "Obtenir une adresse IP automatiquement" et le serveur prend alors en charge la bonne configuration du protocole TCP/IP sur les stations clientes. Cela permet de réduire considérablement la maintenance du réseau et les coûts de management. Si certains ordinateurs de votre réseau ne sont pas configurés dynamiquement par DHCP, mais ont une adresse IP fixe à la place, vous devez vous assurer que les adresses IP utilisées par le serveur DHCP ne rentrent pas en conflit avec des adresses fixes du réseau. 73 74 WinRoute Pro 4.2 Guide de Référence Configuration DHCP Tout d'abord, vérifiez bien que les stations de travail sont configurées pour obtenir automatiquement une adresse IP depuis un serveur DHCP (voir les propriétés TCP/IP de chaque ordinateur) et que toutes les autres propriétés TCP/IP sont laissées vide, et ceci même pour les informations DNS. Lancez alors le programme d'Administration de WinRoute: 1. Aller dans le menu Settings=>DHCP server. 2. Activez le service DHCP (cochez la case) et cliquez sur le bouton Add New Scope. 3. Ajouter un intervalle (Add Scope) Vous aller spécifier ici l'intervalle d'adresses IP utilisées par le serveur DHCP pour être transmises aux stations. N'oubliez pas que WinRoute utilise déjà une adresse qui ne doit pas être transmise aux stations. L'intervalle d'adresses IP doit être dans le même sous réseau. Voir l'exemple ci-dessous. 4. Spécifiez des options (Specify Options) ( ceci est important!) Dans les options vous spécifiez quelles autres informations seront transmises aux stations de travail (ex: passerelle par défaut, serveur DNS, etc.). Cochez la case devant chaque composant dans la fenêtre et entrer les informations appropriées. Habituellement, on entre la passerelle par défaut et le serveur DNS (vous utiliserez normalement WinRoute comme serveur DNS) en indiquant l'adresse IP de WinRoute (ex: 192.168.1.1). Vous pouvez laisser les autres options vides. Description de WinRoute A Noter: L'adresse IP de l'interface Ethernet (reliée au LAN) doit être assignée manuellement! La passerelle par défaut pour cette interface ne sera pas renseignée (laissez-la vide). 75 76 WinRoute Pro 4.2 Guide de Référence Firewall - Filtrage des Paquets Le coeur de tout mécanismes de contrôle d'accès d'un firewall est, bien avidement, la technologie qu'il utilise pour permettre ou non la transmission des paquets destinés au réseau protégé. WinRoute implémente une des technologies les plus répandues pour le contrôle des accès réseau: le filtrage des paquets. Bien que WinRoute implémente d'autres mécanismes de contrôle d'acces, comme un Proxy de cache intégré pour les protocole HTTP, FTP et Gopher, cela est fait dans le but d'augmenter les performances et non la sécurité. Le filtrage des paquets est une grande tradition dans la communauté de la sécurité réseau, et c'est une technologie bien implémentée dans des produits répandus comme le système d'exploitation IOS de CISCO. Lorsqu'ils sont bien configurés, les filtres de paquets peuvent être très sûrs, et particulièrement adaptés pour les sites Internet de gros volumes du fait de leurs grandes performances. Description de WinRoute Architecture Les Firewalls sont habituellement construits sur une base matérielle, mais une partie logicielle peut difficilement être évitée. Cependant, la faiblesse majeure dans la plupart des outils de sécurité réseau se manifeste pendant la courte période durant laquelle le matériel est capable de router le trafic et où le logiciel prend le contrôle des interfaces réseau. Pendant cette jonction, le sécurité peut être totalement compromise. Le pilote de WinRoute, aussi appelé le Moteur de WinRoute, s'active au moment où les fichiers du noyau de Windows se chargent en mémoire; plus spécifiquement, le Moteur se charge avant les modules NDIS (Network Device Interface Specification), ce qui empêche toutes les communications réseau avant que WinRoute ne soit activé. Ainsi, la protection est activée sur toutes les interfaces avant que des attaques puissent être menées contre la machine protégée. Cela donne un grand avantage a WinRoute si on le compare ou programmes autonomes qui tournent en tant que service et qui ne sont pas activés avant que le système ait démarré. 77 78 WinRoute Pro 4.2 Guide de Référence WinRoute "enveloppe" les drivers réseau en utilisant une technologie propriétaire pour que tout le trafic TCP/IP soit récupéré depuis le driver de la carte réseau par le Moteur avant qu'il soit transmis à la couche de communication du système d'exploitation. Cette insertion du Moteur de WinRoute dans les couches basses de système d'exploitation permet à WinRoute d'avoir une perspective unique sur tout le trafic réseau d'une interface réseau quelconque (trafic entrant et trafic sortant). Comme de nombreux produits firewall pour Entreprise, comme Firewall-1 de Check Point, WinRoute peut prendre la première décision concernant un paquet. Encore une fois, cela prévient le système d'exploitation et les applications contre les attaques qui pourraient contourner la sécurité d'un firewall. Cela est préférable pour des passerelle Internet, mais cela peut également apporter une solution pour les machines indépendantes ayant de gros besoins en terme de sécurité ou d'anonymat, comme des systèmes de détection d'intrusion. Les programmes de détection d'intrusion comme Real Secure de la compagnie Internet Security Systems (ISS) seraient pratiquement invisibles sur une machine protégée par WinRoute. Enfin, le Moteur de WinRoute prend à sa charge toutes les fonctionnalités de routage de Windows (que ce soit Windows 9x, NT, ou 2000). Cela permet de s'assurer que si, pour une raison ou une autre, le Moteur WinRoute devait tomber, aucun trafic réseau ne serait plus routé entre les différents réseaux. Cette fonctionnalité est utilisée par de nombreux firewall depuis de nombreuses années. Description de WinRoute Règles Despite theoretical issues surrounding packet filtering, the primary point of failure for modern firewall systems is misconfiguration, especially by inexperienced administrative staff. WinRoute makes configuration of filters simple and yet flexible enough so that even the novice network administrators can implement a secure configuration with a little knowledge of TCP/IP and a few mouse clicks, as illustrated in the following screen capture. 79 80 WinRoute Pro 4.2 Guide de Référence Filter rules may be applied on a per-interface basis to all of the following entities: ! a single IP address ! an administrator-defined list of IP addresses ! an entire network or subnet It is also important to note here that filters can be set for both incoming and outgoing traffic. These capabilities allow granular tailoring of access rules to the security needs of almost any organization. For example, a group of Web developers could be granted access to specific external resources such as anonymous FTP staging servers, or a specified list of internal addresses can be designated accessible to external partner networks for drop-off of electronic files. The inbound/outbound configuration allows protection from malicious "inside-out" attacks such as Back Orifice (BO) or distributed denial of service (DDOS) servlets that attempt to communicate over unreliable protocols back out through the firewall with external attackers. Rules can either Permit, Drop, or Deny the specified traffic; the "Drop" action gives away the least information about the firewall to potential attackers, as it does not send an ICMP Administrative Prohobited Filter or a TCP Reset/Acknowledge response to a TCP SYN packet (the 1st step in the standard three-way TCP handshake sequence). Rules may be prioritized to act in a specific, user-defined order upon incoming or outgoing packets. The most popular use of this capability is to add so-called "cleanup rules" to filter lists that block all traffic not specifically allowed by previous rules that have higher priority in the list (for an example of a clean-up rule, see the Sample Basic packet Filter Rule sets, later in this document). Description de WinRoute Protocoles Les protocoles supportés par le filtre de paquet de WinRoute sont: ! IP ! 7 types ICMP (ou tous) ! TCP ! UDP ! PPTP. La capacité de laisser passer ou de bloquer des types ICMP inconnu, ou des protocoles IP inconnus, est inestimable pour les administrateurs réseau qui doivent faire face à une liste toujours grandissante de spécifications d'applications à gérer et à supporter. En particulier les relativement nouveaux protocoles VPN, comme IPSec, transitent sur les protocoles IP inconnus 51 et 52, ce qui est impossible a filtrer en utilisant des firewalls limités disponibles sur le marché qui sont incapables de filtrer autre chose que des protocoles basés sur TCP ou UDP. Anti-Spoofing En plus, WinRoute propose des fonctionnalités d'anti-spoofing, qui empechent des paquets avec des adresses IP source non valides de sortir. L'Anti-spoofing aurait pu eviter l'attaque smurf ICMP rapportée en Février 2000 et ayant causée des interruptions de service sur des sites Web majeurs comme ceux de Yahoo et Buy.com. Les utilisateurs de WinRoute peuvent etre rassurés de savoir qu'aucune attaque de ce type ne peut provenir de leur réseau s'ils ont activé cette fonctionnalité. 81 82 WinRoute Pro 4.2 Guide de Référence Exemple de règles de base pour le filtrage des paquets Règles d'entrée (l'ordre est important) Protocole Source Destination Types ICMP UDP Any Address, Port = 53 Any Address, Port > 1023 Permit Perm requ TCP Any Address, Any Ports Any Address, Port > 1023 Permitestablished TCP Perm paqu local ICMP Any Address Any Address Permit Cela ping ping IP Any Address Any Address Echo Reply Action Drop A Noter: Cette dernière règle interférera avec tous les outils de capture de paquet utilisés sur cette machine. Log To window Desc Règl tous non l Description de WinRoute 83 Exemple de règles de base pour les connexions entrantes HTTP et FTP Protocol Source Destination TCP Any Address, Any port TCP TCP ICMP Types Action Log Descript [this host], Port = 80 Permit (optionnel) Permet HTTP su Any address, Any port [this host], Port = 21 Permit (optionnel) Permet l le canal cet ordin Any address, Any port [this host], Port = 20 Permit (optionnel) Permet l le canal cet ordin le FTP a FTP a ouvrir to 84 WinRoute Pro 4.2 Guide de Référence Relayeur DNS Chaque ordinateur connecté à Internet est identifié par une adresse IP numérique unique. Pour établir une connexion avec un ordinateur sur Internet, son adresse doit être connue de l'ordinateur qui établit la connexion. Comme les adresses IP sont difficiles à mémoriser, le Service de Nom de Domaine (DNS) a été créé. Le DNS est une base de données de noms qui sont plus faciles à mémoriser. Ainsi, un utilisateur n'a pas à se souvenir ou à connaître l'adresse IP d'un serveur pour communiquer avec lui. Il suffit d'entrer le nom approprié (ex: www.yahoo.com) et DNS trouvera l'adresse IP actuelle de la machine. Le raleyeur DNS de WinRoute WinRoute est équipé d'un module DNS qui est capable de transférer les requêtes DNS vers un autre serveur DNS choisi sur Internet. Le module DNS stocke également les résultats des requêtes dans une mémoire cache, et ceci pendant un certain temps. Ainsi, les requêtes répétitives sont renseignées via la mémoire cache, sans avoir à attendre la réponse depuis Internet. Le module DNS de WinRoute est capable de répondre aux requêtes selon des entrées stockées dans un fichier HOSTS défini par l'utilisateur. Lorsqu'une requête DNS arrive, WinRoute regarde en premier lieu dans le fichier HOSTS avant de transmettre la requête sur Internet. Si aucun enregistrement correspondant n'est trouvé dans ce fichier, alors la requête est transmise sur Internet. Configuration du raleyeur DNS Le raleyeur DNS est configuré via le menu: Settings => DNS raleyeur. "Enable DNS forwarding" Cette option détermine si le raleyeur est actif ou non. Description de WinRoute "Forward DNS queries to the server automatically selected from the DNS servers known to operating system." Si cette option est sélectionnée, les requêtes DNS sont transmises au serveur DNS indiqué par la configuration TCP/IP de l'interface Internet ou de l'accès réseau à distance. "Enable lookup in HOST file" Lorsque cette option est validée, le serveur DNS répond aux requêtes DNS en utilisant les entrées spécifiées dans le fichier HOSTS. "Edit HOSTS file..." Ce bouton démarre un programme externe qui permet d'editer le fichier HOSTS (vous devez vous trouver sur la machine WinRoute pour cela). "DNS domain" Entrer votre nom de domaine (ex: "acme.com") ici. Lors d'une réponse DNS, le nom de domaine est ajouté au nom d'hote recupéré dans le fichier HOSTS ou depuis la table de bail du service DHCP. "Forward DNS queries to" Entrer l'adresse du raleyuer DNS vers lequel vous souhaitez rediriger les requêtes DNS. Choisissez l'adresse du raleyuer DNS de votre Fournisseur d'acces ou d'un raleyuer DNS rapidement accessible depuis votre connexion. "Enable DNS cache" Cela permet aux requêtes DNS d'être stockées en mémoire cache. De cette manière, les requêtes récurrentes sont traitées plus rapidement sans devoir établir de connexion sur Internet. 85 86 WinRoute Pro 4.2 Guide de Référence "When resolving name from HOSTS file or leased table combine it with DNS domain" Pour comprendre cette fonctionnalité, voyons l'exemple suivant - vous voulez résoudre le nom de l'ordinateur JOHN. Dans le fichier HOSTS vous avez entré que JOHN.OFFICE est associé à une adresse IP. Alors les requêtes pour JOHN et JOHN.OFFICE seront correctement traitées. Notez que la mémoire cache ne stocke que les requêtes du type "Nom => adresse IP". Les réponses sont stockées jusqu'à ce qu'elles arrivent à expiration. Le temps d'expiration d'un nom est fixé par le raleyuer DNS pour chaque requête. Comptes Utilisateurs WinRoute - Comptes Utilisateurs WinRoute peut être configuré avec plusieurs comptes utilisateurs qui peuvent être regroupés (configurés dans Settings | Accounts… | onglet Users). Les utilisateurs existant dans Windows NT/2000 peuvent être importés via l'onglet Advanced dans le menu Settings | Accounts. Définition d'un utilisateur En tant qu'utilisateur de WinRoute vous pouvez participer à l'administration, avoir une boite aux lettres électronique et participer aux règles de restriction d'accès du Proxy WinRoute. Les utilisateurs peuvent créer des groupes et leur appliquer les privilèges ou restrictions mentionnés ci-dessus. A Noter: Vous pouvez également configurer des restrictions d'accès au niveau du routeur en configurant le filtrage des paquets sur le firewall. Description de WinRoute Ajouter un utilisateur Pour ajouter un utilisateur: 1 Allez dans le menu Settings->Accounts 2 Appuyez sur le bouton Add 3 Définissez un nom d'utilisateur (user name) et un mot de passe (password) 4 Assigner des droits à l'utilisateur: L'utilisateur n'a aucun droit pour administrer WinRoute. L'utilisateur a tous les droits pour administrer WinRoute ! View logs: L'utilisateur a le droit de se connecter avec l'administrateur WinRoute pour voir les logs (les audits) dans la fenêtre réservée à cet effet. L'utilisateur n'a aucun droit pour changer les paramètres. 87 88 WinRoute Pro 4.2 Guide de Référence ! Control Dial-up lines: L'utilisateur a le droit de se connecter avec l'administrateur WinRoute pour établir ou déconnecter une connexion Internet. L'utilisateur n'a aucun droit pour changer les paramètres. Description de WinRoute Groupes d'utilisateurs Dans WinRoute, vous pouvez classer les utilisateurs dans différents groupes. Un utilisateur peut être membre de plusieurs groupes simultanément. Vous pouvez attribuer des droits aux différents groupes. A Noter: les droits assignés à un groupe "surpassent" les droits assignés à un utilisateur. Les membres d'un groupe peuvent avoir les droits suivants: L'utilisateur n'a aucun droit d'administration WinRoute. L'utilisateur a tous les droits d'administration. ! View logs: L'utilisateur a le droit de se connecter avec l'administrateur WinRoute pour voir les logs (les audits) dans la fenêtre réservée à cet effet. L'utilisateur n'a aucun droit pour changer les paramètres. ! Control Dial-up lines: L'utilisateur a le droit de se connecter avec l'administrateur WinRoute pour établir ou déconnecter une connexion Internet. L'utilisateur n'a aucun droit pour changer les paramètres. 89 90 WinRoute Pro 4.2 Guide de Référence Serveur de messagerie Dans WinRoute est inclut un serveur de messagerie SMTP/POP3 complètement fonctionnel. Vous pouvez l'utiliser de la même manière que vous utilisez le serveur de messagerie de votre Fournisseur d'accès. Le serveur de messagerie de WinRoute vous permet d'envoyer des e-mails vers Internet ainsi qu'aux utilisateurs de votre réseau local (utilisateurs LAN). Il vous permet également de recevoir des e-mails et de les stocker dans les boites aux lettres des utilisateurs de WinRoute. WinRoute inclut également un planificateur qui vous permet de planifier vos échanges de courrier électronique. Si vous n'utiliser pas le serveur de messagerie Il n'est pas nécessaire d'utiliser le serveur de messagerie de WinRoute. Vous pouvez très bien conserver le serveur de messagerie de votre FAI ou d'un tiers. Dans ce cas, WinRoute sera votre routeur/firewall qui permettra à votre logiciel de messagerie de communiquer avec le serveur de courrier de votre Fournisseur d'accès. A Noter! Ne paramétrer pas votre logiciel de messagerie pour qu'il utilise le Proxy! Vous devez utiliser la Translation d'adresse (NAT) de WinRoute pour accéder à Internet, et indiquer à votre logiciel de messagerie d'acceder directement à Internet. Si vous ne parvenez pas à récupérer vos messages, cela vient du fait que la Translation d'Adresse (NAT) n'est pas configurée correctement. Description de WinRoute Utilisateurs de la Messagerie Il y a quelques règles de base à propos des utilisateurs, des adresses e-mail et des boites aux lettres électroniques dans WinRoute. Un utilisateur = une boite aux lettres Chaque utilisateur de WinRoute a une boite aux lettres de créée. La boite aux lettres prend le nom de l'utilisateur. Au cas où vous auriez un nom de domaine enregistré sur Internet et configuré dans WinRoute l'adresse de l'utilisateur devient automatiquement utilisateur@nomdedomaine.com. Un utilisateur = Plus d'adresses Pour utiliser des adresses e-mail différentes et pour créer des adresses générales comme ventes@..., support@...., info@... vous devrez définir des alias. Le nombre de combinaisons possibles est virtuellement infini.. Pour ajouter des utilisateurs: 1 Aller dans le menu Settings=>Accounts 2 Ajouter des Utilisateurs 3 Grouper les utilisateurs dans des Groupes si nécessaire Exemple: Une compagnie a le domaine brutus.com. L'utilisateur John aura l'adresse john@brutus.com. Pour plus d'options d'adressage, voir les Alias. A Noter: Les boites aux lettres sont stockées dans des répertoires différents. Typiquement dans C:\Program files\WinRoute\Mail. Les boites aux lettres sont physiquement créées APRES que le premier message soit arrivé. 91 92 WinRoute Pro 4.2 Guide de Référence Envoyer des e-mails aux autres utilisateurs de WinRoute sur votre réseau Pour envoyer un message à d'autres utilisateurs à l'intérieur de votre LAN, utiliser le nom d'utilisateur WinRoute de votre correspondant à la place de son adresse Internet complète. Exemple: Le nom d'utilisateur de votre correspondant est John et son adresse email Internet est john@compagnie.com. Vous pouvez entrer john dans le champ To: de votre message. Configuration avec Alias Si vous utilisez l'adresse email complète d'un utilisateur local, le message partira sur Internet vers le serveur SMTP de relais et retournera ensuite vers WinRoute. Pour éviter cela, vous pouvez spécifier des alias. N'oubliez pas! Vous devez spécifier le PC WinRoute en tant que votre serveur de courrier sortant (SMTP). Description de WinRoute Authentification Authentification Certains Fournisseurs d'accès demandent une authentification pour les messages sortants pour éviter le spamming. Pour faire cela avec WinRoute: 1. Aller dans la fenêtre Mail Server->onglet Advanced 2. Entrer le nom d'hote désiré dans le champ Internet host name (mail.isp.com) 93 94 WinRoute Pro 4.2 Guide de Référence Envoyer des Emails sur Internet Vous pouvez utiliser WinRoute en tant que serveur SMTP pour le courrier sortant. WinRoute utilise un serveur SMTP relais (le serveur SMTP de votre Fournisseur d'accès) pour envoyer vos messages, au lieu d'utiliser les MX records. En d'autres termes - tous les messages sortant seront envoyés à travers le serveur que vous avez specifié. Vos logiciels de messagerie utiliseront WinRoute en tant que serveur de courrier sortant (serveur SMTP). Pour configurer le serveur SMTP de relais pour le courrier sortant: Aller dans le menu Settings=>Mail Server Entrer le nom du serveur de courrier sortant (SMTP) de votre Fournisseur d'Accès dans le champ Relay SMTP Server Description de WinRoute Authentification Certains Fournisseurs d'accès demandent une authentification pour les messages sortants pour éviter le spamming. Pour faire cela avec WinRoute: 1. Aller dans la fenêtre Mail Server->onglet Advanced 2. Entrer le nom d'hote désiré dans le champ Internet host name (mail.isp.com) 95 96 WinRoute Pro 4.2 Guide de Référence Recevoir du courrier Vous avez un nom de domaine Le serveur de messagerie de WinRoute est totalement compatible avec les protocoles SMTP1 et POP32. Vous avez peut être enregistré votre propre nom de domaine Internet et recevez peut être du courrier via SMTP. WinRoute peut récupérer automatiquement vos e-mails sur le compte POP3 de votre Fournisseur d'Accès. 1 Le protocole SMTP (Simple Mail Transfer Protocol) est utilisé pour les communications directes entre les serveurs de messagerie (comme le serveur de messagerie de WinRoute et le serveur de messagerie de votre FAI) et pour envoyer des messages depuis votre logiciel client de courrier électronique. SMTP est un protocole unidirectionnel - c'est à dire que votre message peut être envoyé via ce protocole, mais ne peut être récupéré. Vous devez utilisé les protocole POP3 pour cela. SMTP est un protocole basé sur TCP et travaillant sur le port 25. Si vous voulez placer un serveur SMTP derrière une machine WinRoute, vous devez faire un port mapping sur le port TCP 25 et le diriger vers l'adresse privée de votre serveur SMTP à l'intérieur de votre réseau privé. 2 Le protocole POP3 est principalement utilisé par les logiciels clients de messagerie pour récupérer les messages contenues dans des boites aux lettres électroniques compatibles POP3. Le serveur de messagerie de WinRoute à cette fonctionalité. Il peut, par exemple, récupérer les messages contenus dans plusieurs boites aux lettres chez votre FAI, et les distribuer localement dans les boites aux lettres des utilisateurs WinRoute. POP3 est un protocole basé sur le protocole TCP et utilisant le port 110. Si vous voulez accéder à un serveur de messagerie POP3 situé derrière une machine WinRoute exécutant le module de NAT, vous devez créer un Port Mapping pour le protocole TCP sur le port 110 et l'envoyer vers l'adresse privée de la machine exécutant le serveur de messagerie. Description de WinRoute Si vous avez un nom de domaine enregistré sur une adresse IP externe (publique), WinRoute peut recevoir le courrier directement via le protocole SMTP. Dans l'onglet "general" dans le fenêtre de configuration du serveur de messagerie de WinRoute, entrez le nom de domaine que vous avez enregistré. N'oubliez pas de configurer un port mapping sur le port 25 vers l'adresse IP privée de votre PC WinRoute! Sinon, le protocole SMTP ne sera pas autorisé à passer la Translation d'Adresse de WinRoute (NAT)! Suivant votre type de connexion Internet, veuillez considérer les points suivant: 1 Vous avez une connexion Internet permanente Aucun paramètre spécifique n'est requis. Entrez juste le(s) nom(s) de domaine. 2 Vous avez une connexion modem ou Numeris (commande ETRN) Dans le cas d'une connexion Internet non permanente, votre Email est stocké temporairement chez votre Fournisseur d'Accès. Cet Email est transféré lorsque vous êtes connecté. Certains Fournisseurs d'Accès demandent l'utilisation d'une commande ETRN3 pour demander les messages. Le serveur de messagerie de WinRoute supporte la commande ETRN. Vous pouvez cocher cette option dans l'onglet General dans le fenêtre de configuration du Serveur de Messagerie. 3 ETRN est une commande utilisée par les serveurs SMTP pour récupérer du courrier SMTP. La commande ETRN est utilisée lorsqu'un serveur SMTP n'est pas en ligne 24h/24 et que les emails envoyés sur ce serveur doivent être stockés temporairement sur un autre serveur SMTP. La commande permet ainsi de récupérer les messages sur le serveur temporaire. 97 98 WinRoute Pro 4.2 Guide de Référence Si besoin est, vous pouvez spécifier un temps d'attente maximale pour ETRN (aller dans l'onglet Advanced). Temps d'attente maximale pour ETRN (time out) Cette entrée indique la période, après l'établissement d'une connexion, pendant laquelle le serveur SMTP de WinRoute doit essayer de faire une requête pour le courrier SMTP. Description de WinRoute Domaines multiples Domaines multiples Vous pouvez disposer de plusieurs domaines assignés sur votre connexion Internet. Si c'est le cas, entrez tous vos noms de domaine dans l'onglet Settings=>Mail Server=>General et séparez les par des points virgules. Configuration avec plusieurs domaines Il y a deux manières pour configurer plusieurs domaines sur votre réseau: 1 Chaque domaine dispose de sa propre adresse IP Dans ce cas, vous devez avoir plusieurs adresse IP publiques configurées sur votre interface Internet. Il faut alors faire plusieurs ports mapping, un pour chaque adresse, avec la même adresse de destination: celle de l'interface interne du PC WinRoute. 2 Tous les domaines sont associés à une même adresse IP Il n'y a pas de configuration spécifique autre que la mise en place d'un port mapping sur le port 25 vers l'adresse IP interne de la machine WinRoute. 99 100 WinRoute Pro 4.2 Guide de Référence Vous avez un domaine assigné à un compte POP3 Vous pouvez faire en sorte, avec le concours de votre Fournisseur d'Accès, que tous les emails de votre domaine arrivent dans un seul compte. WinRoute peut alors vérifier ce compte via POP3, récupérer les messages et les redistribuer dans les différentes boites aux lettres locales des utilisateurs. Description de WinRoute 101 Exemple Votre Fournisseur d'Accès a configuré la boite aux lettres compagnie@mail.isp.net. Vous avez le domaine compagnie.com, mais tous les messages pour ce domaine (ex: john@compagnie.com, support@compagnie.com, etc.) arrivent dans la boite compagnie@mail.isp.net chez votre FAI. Allez dans le menu Settings=>Mail Server=>Remote POP3, ajoutez un nouveau compte et entrez ses détails. 3 Dans le champ "Deliver to:" sélectionnez "Sorting Rules" 4 Appuyer sur le bouton [Sorting Rules] et ajouter un nouveau critère. WinRoute délivrera le message suivant l'adresse email du destinataire ou de l'expéditeur ou enfin suivant le sujet du message. 5 Dans la même fenêtre, sélectionnez un utilisateur ou un groupe d'utilisateurs à qui le message doit être transmis. 102 WinRoute Pro 4.2 Guide de Référence Description de WinRoute 103 Recevoir des emails - Vous avez plusieurs comptes chez le Fournisseur d'Accès WinRoute peut vérifier plusieurs comptes email chez votre FAI et délivrer automatiquement les messages s'y trouvant dans des boites aux lettres locales. Allez dans le menu Settings=>Mail Server=>Remote POP3, ajoutez un nouveau compte et entrez ses détails. 6 Dans le champ "Deliver to:" sélectionnez les destinataire ou le groupe de destinataires. 104 WinRoute Pro 4.2 Guide de Référence Description de WinRoute 105 Configuration du logiciel de messagerie Utiliser le Serveur de Messagerie de WinRoute Email à travers le Serveur de Messagerie de WinRoute Pour que vous utilisiez bien le serveur de messagerie de WinRoute, vous devez configurer votre logiciel de messagerie. L'ordinateur WinRoute sera le serveur de Messagerie Entrant et Sortant. Pour cela, vous devez entrer le nom (ou l'adresse IP) de l'ordinateur WinRoute dans les champs appropriés dans votre logiciel de messagerie. Si vous rencontrez des problèmes pour envoyer ou recevoir des emails, mieux vos alors entrer l'adresse IP à la place du nom de l'ordinateur, avant de chercher plus loin. Il peut en effet y avoir des problèmes de résolution DNS dans votre réseau local et vous n'utilisez peut être pas le serveur DNS de WinRoute. Exemple: Le serveur de Messagerie WinRoute tourne sur un ordinateur ayant une adresse IP attribuée dynamiquement et une adresse IP privée 192.168.1.1. Le nom de l'ordinateur est Hamilton (voir les parametres réseau dans le panneau de configuration). Vous pouvez aussi bien entrer HAMILTON ou 192.168.1.1 dans les champs pour les serveurs POP3 et SMTP de votre logiciel de Messagerie. 106 WinRoute Pro 4.2 Guide de Référence Description de WinRoute 107 Ne pas utiliser le Serveur de Messagerie de WinRoute Il se peut que vous vouliez ne pas utiliser le serveur de messagerie de WinRoute, et que vous vouliez recevoir et envoyer vos messages directement via le serveur de messagerie de votre FAI. Dans ce cas, veuillez renseigner les champs pour le serveur sortant et le serveur entrant avec le nom du serveur de messagerie de votre Fournisseur d'Accès (FAI). 108 WinRoute Pro 4.2 Guide de Référence A Noter! Ne parametrez pas votre logiciel de messagerie pour qu'il utilise le Proxy! Vous devez utiliser la Translation d'Adresse (NAT) de WinRoute pour accéder à Internet et permettre à votre logiciel de messagerie d'accéder directement à Internet et au serveur de messagerie de votre FAI. Si vous ne parvenez pas à établir une connexion pour échanger vos messages, cela veut dire que la NAT est mal configurée. Alias Les Alias dans WinRoute sont utilisés pour ajouter des adresses aux utilisateurs de WinRoute ou pour substituer l'adresse email. Grace aux Alias vous pouvez: ! assigner plusieurs adresses à un utilisateur ! assigner une adresse à plusieurs utilisateurs ! assigner une adresse à un groupe d'utilisateurs ! assigner plusieurs adresses à un groupe Exemple: Cet exemple montre que les possibilités sont pratiquement infinies. La compagnie a 2 domaines: ! compagnie.com ! scociete.fr Description de WinRoute 109 L'utilisateur John doit recevoir des emails pour: john_speaker@compagnie.com john@societe.fr ventes@compagnie.com support@compagnie.com Les Emails pour ventes@compagnie.com doivent aussi etre delivrés au groupe [Ventes]. Solution: 1. Aller dans le menu Settings=>Mail server=>onglet Aliases. 2. Ajouter les alias suivant: john* vers John cela delivrera tous les emails provenant d'Internet dans lesquels il y a john comme destinataire. Par exemple, john_presentation@compagnie.com ainsi que john@compagnie2.com sera delivrés à l'utilisateur John. Cela permettra aussi d'éviter que les messages envoyés depuis le reseau local à john@compagnie.com passe par Internet. Le message ira en effet directement dans la boite aux lettres WinRoute de l'utilisateur. ventes vers John cela delivrera tous les emails pour ventes@…….. à l'utilisateur John Support vers John cela delivrera tous les emails pour support@…… à John Ventes vers [Ventes] - 110 WinRoute Pro 4.2 Guide de Référence cela delivrera tous les emails pour ventes@…. à tous les membres du groupe [Ventes] Description de WinRoute 111 Planification des échanges de courrier électronique Le planificateur dans les paramètres du serveur de messagerie vous permet de régler ces options: ! les intervalles réguliers pour vérifier les emails chez votre FAI (que ce soit via POP3 ou SMTP par ETRN) ! règles pour envoyer le courrier sortant les intervalles de temps pendant lesquels les règles sont valides. Vous pouvez prédéfinir ces intervalles de temps dans le menu Settings->Advanced->Time intervals Vous pouvez choisir entre envoyer les nouveaux emails dès qu'ils arrivent, et les envoyer à des périodes pré-définies. Vous pouvez également choisir si le serveur doit appeler dans le cas de nouveaux emails. Si vous sélectionnez cette option, le serveur de messagerie de WinRoute établira une connexion à chaque fois que les utilisateurs enverront de nouveaux messages. 112 WinRoute Pro 4.2 Guide de Référence Pour recevoir des emails, vous pouvez configurer le calendrier en lui indiquant exactement à quel moment vous voulez récupérer votre courrier. Vous pouvez combiner plusieurs règles pour rendre votre planification de récupération du courrier aussi efficace que possible. Aller dans le menu Settings->Mail Server->Scheduling 7 Spécifiez les options de votre choix et ajouter de nouvelles règles pour vérifier les emails. A Noter! les règles "d'intervalles de temps" doivent être configurées dans le menu Settings->Advanced->Time Intervals Description de WinRoute 113 Serveur Proxy L'objectif premier d'un serveur proxy est de sauver la bande passante de votre connexion Internet. Si les utilisateurs accèdent à Internet à travers un serveur Proxy, ce dernier peut stocker les objets des différentes requêtes (comme les pages HTML, les images, et les autres types de fichiers) dans sa mémoire cache. Si les pages ou les images sont demandées une nouvelle fois par le même utilisateur ou quelqu'un d'autre, le serveur proxy répondra à l'utilisateur en utilisant l'objet stocké dans sa mémoire cache. Cela réduit la charge de la connexion Internet et les opérations sont beaucoup plus rapides. Cependant, les objets stockés dans la mémoire cache peuvent être périmés. Vous devez alors régler la valeur TTL (Time-To-Live) d'un document pour éviter d'avoir les nouvelles du jour précédent si vous êtes sur le site de CNN news - par exemple. 114 WinRoute Pro 4.2 Guide de Référence Configuration rapide Avant tout - avec WinRoute vous n'avez pas besoin du Serveur Proxy pour accéder à Internet. Votre connexion Internet est assurée par un routeur NAT inclus dans WinRoute. La Translation d'Adresse est largement meilleure que la technologie Proxy pour le partage d'un accès Internet. Néanmoins, WinRoute inclus également un serveur Proxy pour vous permettre de bénéficier des fonctionalités de mise en mémoire cache. Pour utiliser le serveur Proxy de WinRoute, suivez les étapes suivantes: Dans l'outil d'Administration de WinRoute, sélectionnez l'onglet Settings -> Proxy Settings -> General. Cochez la case "Proxy Server Enabled". Laisser le numéro de port à 3128. Description de WinRoute 115 8 Dans votre navigateur Internet (Explorer, Netscape Navigator, Opera...), allez dans les paramètres proxy, et choisissez une configuration manuelle du proxy et entrez l'adresse de l'ordinateur WinRoute comme serveur proxy pour les protocoles HTTP, FTP, et Gopher. Entrez 3128 comme port de serveur proxy pour tous les protocoles mentionnés précédemment. 9 Testez cette configuration en accédant à une page Web sur Internet en utilisant votre navigateur Web. Onglet General Properties Proxy Server Enabled Utilisez cela pour activer ou désactiver le Serveur Proxy. Port number C'est le numéro de port sur lequel le Serveur Proxy écoutera les requêtes. Habituellement, il n'y a pas de raison de changer la valeur par défaut, 3128. Log access to proxy server En activant cette option, toutes les URL demandées au proxy seront enregistrées dans un fichier de log. 116 WinRoute Pro 4.2 Guide de Référence Serveur Proxy - Contrôle des accès utilisateurs Le serveur Proxy de WinRoute permet aux administrateurs de contrôler les accès aux pages Web. L'administrateur peut décider que les accès à certaines pages ou certains domaines seront seulement permis à certains utilisateurs et/ou groupes d'utilisateurs. Forcer les utilisateurs à utiliser le serveur Proxy Si vous décidez d'utiliser le contrôle du serveur Proxy, vous devrez également bloquer les accès directs aux pages Web, pour que seul les accès via le proxy ne soient possibles. Pour bloquer les accès directs, il faut définir des règles dans le Filtrage des paquets (see "Forcer les utilisateurs à utiliser le Serveur Proxy" on page 145) (voir la section correspondante dans le manuel WinRoute). Configuration du contrôle d'accès du serveur Proxy Pour configurer le contrôle d'accès du Proxy de WinRoute, allez dans l'onglet "Access" dans les paramètres du Serveur Proxy. Access List La liste des URL à accès restreint. Vous pouvez utiliser l'étoile comme caractère de remplacement pour n'importe quelle chaîne de caractère. Par exemple, pour indiquer tous les ordinateurs d'un domaine.com, utilisez la chaîne "*.domaine.com". WinRoute 4.0 utilise également des sous-chaîne pour vérifier une URL. Par exemple "sexe" identifie les mêmes URL que la chaîne "*sexe*". Allow To La liste des utilisateurs et/ou groupes d'utilisateurs qui ont accès à une URL particulière. Avail. Users/Groups La liste des utilisateurs et de groupes définis dans WinRoute. Description de WinRoute 117 Si un utilisateur essaye d'accéder à une page Web qui est dans la catégorie des pages à accès restreint, l'utilisateur se verra demander une authentification par son navigateur Web. WinRoute vérifiera alors le nom d'utilisateur ainsi que le mot de passe pour déterminer si l'utilisateur peut accéder à la page en question. Le navigateur garde le nom d'utilisateur et le mot de passe en mémoire. Toutes les requêtes suivantes seront alors automatiquement transmises avec le nom et le mot de passe de l'utilisateur. Ce qui fait que l'utilisateur n'a pas à s'authentifier encore et encore, à chaque requête. Cependant, les utilisateurs doivent bien comprendre qu'une fois authentifié sur leur navigateur, ils ne doivent pas laisser l'ordinateur sans surveillance avant que le navigateur soit déchargé de la mémoire. 118 WinRoute Pro 4.2 Guide de Référence Propriétés avancées Dans l'onglet "Advanced" des paramètres du Serveur Proxy, vous pouvez indiquer à WinRoute d'utiliser un serveur Proxy parent. Parfois, vous pouvez avoir accès à un serveur Proxy disposant d'une mémoire cache considérable et/ou une connexion Internet ultra rapide. Si votre connectivité sur ce serveur est bonne, vous pouvez utiliser ce serveur en tant que serveur Proxy parent. Pour cela, il suffit d'indiquer à WinRoute de transférer toutes les requêtes vers ce serveur Parent. Entrez simplement le nom du serveur Proxy parent et son numéro de port dans les champs correspondant dans l'onglet "Advanced". Description de WinRoute 119 A propos de la mémoire cache Le serveur Proxy de WinRoute utilise un moyen très économique pour stocker les donnés. Tous les objets mis en cache sont stockés dans un seul fichier d'une taille fixe. Cela à l'inverse de nombreux serveurs Proxy qui stockent chaque objet dans un fichier séparé. Si le disque utilise une taille d'allocation importante (comme FAT16), cette méthode gaspille un espace disque très important, parce que les contenus Web son composés de nombreux fichiers de petites tailles. Habituellement, 50% de ces objets sont plus petits que 6 kilo octets, alors que la taille d'allocation sur les gros disques est de 32 KB (avec le système de fichier FAT). Le fait que la mémoire cache de WinRoute stocke les donnés dans un seul fichier, sauve un grand pourcentage d'espace disque. Cela veut dire que vous aurez besoin de moins d'espace disque ou que vous utiliserez le même espace plus efficacement. Le fichier de taille fixe permet également à WinRoute d'utiliser des techniques d'indexation qui rendent la mémoire cache de WinRoute très rapide. 120 WinRoute Pro 4.2 Guide de Référence Paramètres de la mémoire cache Cache Enabled Active ou désactive la mémoire cache. Si cette option est désactivée, toutes les requêtes sont envoyées, à chaque fois, sur Internet. Cache Directory Le répertoire contenant la mémoire cache. Cache size L'espace disque utilisé par le mémoire cache du Proxy. Lorsque vous devez choisir la taille de la mémoire cache, il faut considérer le nombre de vos utilisateurs, le trafic qu'ils génèrent, etc. Si vous avez beaucoup d'espace disque, vous pouvez configurer un grand fichier de cache. La taille maximum est de 3072 mega octets (3 GO). Description de WinRoute 121 Continue Aborted Si cette option est activée, le serveur Proxy finira toujours de télécharger un objet depuis Internet, même si le navigateur ayant généré la requête arrête le téléchargement (lorsque l'utilisateur appuie sur le bouton stop). Ainsi les autres requêtes pour ce même objets bénéficieront de la fonction de mise en mémoire cache et seront donc plus rapides. Keep Aborted Cette option indique au serveur Proxy de WinRoute de mettre en mémoire cache les fichiers incomplets (pages web, images). Cela permet un gain de temps partiel lors d'une prochaine requête de l'objet ainsi mis en mémoire cache. Si "Continue Aborted" est activé, cette option est ignorée. Cache FTP directory only Lorsque vous naviguer dans un serveur FTP, utilisez cette option pour seulement mettre en mémoire cache la liste des répertoires. Si vous voulez aussi mettre en mémoire cache les fichiers téléchargés sur les serveurs FTP, désactivez cette option. La décision à prendre concernant la mise en cache ou non d'un fichier dépend aussi de sa taille. Voir l'option "Max. Object Size" cidessous. Use server supplied Time-to-Live Le "Time-to-Live" ou "Temps-de-vie" est la période pendant laquelle un objet sera considéré comme valide. Après, la page web sera considérée comme obsolète et son contenu sera téléchargé de nouveau sur le serveur web. Cette option indique donc au serveur Proxy de WinRoute d'obéïr au Time-to-Live (TTL) fournit par le serveur web de chaque page web. Si une page n'a pas de TTL, le TTL par défaut du serveur Proxy est utilisé. 122 WinRoute Pro 4.2 Guide de Référence Ignore server Cache-Control directive Si le contenu d'une page Web change très souvent, l'auteur de cette page peut décider de mettre une direction de "non-cache" pour celle-ci. C'est une fonction très utile, mais certains sites utilisent mal, car trop souvent, cette option. Cela perturbe alors l'efficacité des serveur Proxy. Vous pouvez alors ignorer ces directives de "non-cache" en activant cette option. Max. Object Size La taille maximum des objets mis en mémoire cache. Les objets plus gros seront passés au navigateur, mais ne sont pas mis en mémoire cache. En général, vous n'avez pas besoin de mettre en cache les gros fichiers (comme les fichiers archives), car vous ne les téléchargez pas régulièrement. Description de WinRoute 123 Temps de vie (TTL) Vous pouvez définir des valeurs par défaut pour les Temps-De-Vie (TTL) utilisés si une page web n'a pas de TTL défini ou si vous voulez ne pas utiliser son TTL (voir l'option "Use server supplied Time-to-Live" dans l'onglet Cache). 124 WinRoute Pro 4.2 Guide de Référence Paramètres spécifiques aux protocoles Vous pouvez définir ici les TTL par défaut pour les protocoles HTTP, FTP, et Gopher. Paramètres spécifiques aux URL Si vous avez besoin de définir des TTL individuels pour quelques domaines, serveurs web ou pages web individuelle, ajouter ici des valeurs de TTL pour les URL spécifiques. Vous pouvez spécifier le TTL en jours et/ou heures. Vous pouvez utiliser le caractère étoile (*) dans les URL. Vous pouvez également mettre une sous chaîne et faire que, par exemple, toutes les URL contenant "ftp" dans leur nom soit considérées si vous indiquez "ftp" comme sous chaîne. C'est une nouvelle fonctionalité de WinRoute 4. il fallait avant entrer "*ftp*" pour couvrir ce cas). Il est à noter que si vous avez activé l'option "Use server supplied Time-to-Live" dans l'onglet Cache, le TTL fourni par le serveur est prioritaire sur le TTL indiqué dans "URL Specific Settings". Description de WinRoute 125 Comment forcer les utilisateurs à utiliser le Proxy et non la NAT? Bien que la Translation d'Adresse (NAT) donne d'excellents résultats, il se peut que vous ayez besoin de forcer les utilisateurs à utiliser le Serveur Proxy pour leurs accès au World Wide Web. Habituellement, c'est lorsque vous avez une connexion à 56K partagée pour toute la compagnie que l'utilisation de la mémoire cache devient très utile. C'est également une bonne solution si vous voulez mettre en place une solution de contrôle d'accès utilisateur basé sur un filtre URL. Pour utiliser le Proxy pour accéder au Web, vous devez configurer tous les navigateurs pour qu'ils utilisent le serveur proxy sur le port 3128. Vous pouvez changer le port si nécessaire. Les utilisateurs pourront cependant contourner le proxy et accédant directement à Internet à travers la NAT. Pour éviter cela, il est nécessaire de configurer le Firewall. Aller voir le chapitre correspondant dans le manuel: Configuration du Firewall (see "Forcer les utilisateurs à utiliser le Serveur Proxy" on page 145). Utiliser un Serveur Proxy parent Serveur Proxy Parent Dans certains cas, vous aurez besoin de connecter le serveur Proxy de WinRoute à un serveur proxy de "plus haut niveau", également appelé proxy parent. Aller dans le menu Settings / Proxy Server, choisissez l'onglet Advanced et entrez l'adresse IP (ou le nom) du serveur proxy parent ainsi que son numéro de port d'écoute. 126 WinRoute Pro 4.2 Guide de Référence Nom d'utilisateur et mot de passe du Serveur Proxy parent Le serveur proxy parent peut demander un authentification pour accéder à certains (ou tous) sites web, comme WinRoute le fait (voir le chapitre traitant du contrôle des accès Proxy, pour plus de détails). WinRoute Pro 4.2 inclut une telle fonctionalité depuis la build 22. Pour configurer l'authentification: ! Arrêter le Moteur WinRoute (depuis les Services Windows ou en utilisant le Moniteur WinRoute) ! Lancer l'éditeur de registre Windows (regedit.exe) Trouver la clé HKEY_LOCAL_MACHINE\Software\Kerio\WinRoute ! ! Trouver les entrées ParentProxyUser et ParentProxyPass et changer leur valeur en indiquant les nom d'utilisateur et mot de passe nécessaires. Fermer l'éditeur de registre et démarrer le Moteur WinRoute. Après cette procédure, le serveur proxy de WinRoute s'authentifiera lui même auprès du serveur proxy parent. Description de WinRoute 127 Analyse des audits (log) et des paquets Une fonction cruciale d'un outil de sécurité est la possibilité d'enregistrer avec précision tous les événements à tous moments. WinRoute enregistre six types d'audits différents en rapport avec le firewall, les paquets passant à travers, l'activité des utilisateurs, actions des différents filtres, etc. Une description de chaque audit est indiquée dans la table suivante: HTTP Log Montre les requêtes HTTP passant à travers le serveur Proxy de WinRoute; on y trouve les adresses IP source et les noms d'utilisateurs, les date et heure, et les requêtes HTTP. Mail Log Enregistre toutes les opérations du serveur de messagerie intégré dans WinRoute. On y trouve les activités entrantes et sortantes (POP3 et SMTP). Security Log Montre toutes les activités définies par "Log to window/file" dans les règles du filtre de paquets (voir plus loin pour la description des éléments enregistrés). Dial Log Enregistre les informations d'activité des lignes d'accès distants gérées par WinRoute. Debug Log Configuration "à la carte" de la visualisation des paquets ARP, ICMP, UDP, TCP, et/ou DNS qui transitent physiquement sur une des interfaces du routeur WinRoute; configuration précise dans Settings | Advanced | Debug Info, onglet Debug. Error Log Affiche toutes les opérations ayant généré une erreur dans l'un des modules de WinRoute. 128 WinRoute Pro 4.2 Guide de Référence Les audits peuvent s'afficher dans l'administrateur WinRoute ou être écrits dans un fichier (ou les deux). Les fichiers d'audits sont stockés dans le répertoire \%installroot%\Logs, qui est accessible des seuls comptes Administrateurs, Opérateurs, SYSTEME, et le créateur propriétaire ayant installé WinRoute. Les informations d'audits de sécurité de WinRoute sont robustes et inclues toutes les informations nécessaires pour pouvoir mener une investigation en cas de problème de securité: ! Date ! Heure ! Règle du Filtre de Paquets concernée ! Interface ! Action (Permit: Autoriser, Drop: Ignorer, Deny: Refuser) ! Protocole ! ! Adresse IP Source et port TCP Adresse IP Destination et port TCP Les tests d'audits avec des très gros trafics n'affectent pas les capacité d'audit de WinRoute. Ceci est très important pour éviter des pertes en cas de tentatives d'attaques ayant pour but d'interrompre le service du firewall en surchargeant sa capacité d'audit. Description de WinRoute 129 Audit de debug (Debug log) L'audit de debug ou Debug log est l'audit le plus important dans WinRoute. Il vous permet de voir tous les paquets IP (TCP, UDP, ICMP, ARP, DNS) qui transittent physiquement sur n'importe quelle interface presente dans l'ordinateur WinRoute. Dans la fenetre Debug Events vous pouvez voir les configurations d'evenements que vous voulez afficher. Comment lire les audits ? Depuis la gauche vous devez voir: Time stamp - La date et l'heure identifiant exactement le moment de l'evenement. The protocol - Le type de protocole du paquet. From/To Interface name - le nom de l'interface et la direction du paquet. Source IP -> Destination IP address - les adresses IP source et destination presentes dans le paquet. The flags - d'autres informations concernant l'action. Exemple: [10/Nov/1999 09:32:38] TCP: packet 511464, from lan, length 1514, 192.168.1.7:2442 -> 192.168.1.1:25, flags: ACK [10/Nov/1999 09:32:38] TCP: packet 511465, to lan, length 54, 192.168.1.1:25 -> 192.168.1.7:2442, flags: ACK 130 WinRoute Pro 4.2 Guide de Référence Description de WinRoute 131 Audit HTTP (Proxy) L'audit HTTP (Proxy) est un outil puissant qui vous permet de suivre les activités Internet des utilisateurs. Il fournit des informations plus compréhensives pour l'utilisateur que celles fournies dans l'audit de debug. Quand est-ce que l'audit fonctionne ? L'audit HTTP (Proxy) n'affiche que les informations concernant les données transitant via le serveur Proxy de WinRoute. Cela veut dire que si vous voulez recevoir es informations du serveur Proxy, vous devez forcer vos utilisateurs à utiliser le serveur Proxy. Voir le chapitres des exemples de Firewall ou le chapitre concernant le serveur Proxy, pour plus d'informations à ce sujet. Egalement - vous devez activer l'option d'audit (log access to proxy server) dans la configuration du serveur Proxy 132 WinRoute Pro 4.2 Guide de Référence Comment lire l'audit HTTP (Proxy) ? 192.168.1.3 - roman [10/Nov/1999:10:22:20 -0800] "GET http://dir.altavista.com/Business.shtml HTTP/1.0" 200 13616 De la gauche vers la droite: Adresse IP - nom d'utilisateur : l'adresse IP et le nom de l'utilisateur effectuant la requete. Time Stamp : la date et l'heure de la requete GET "http..." : la requete en elle meme. Description de WinRoute 133 Audit de messagerie L'audit de messagerie enregistre toutes les opérations concernant le serveur de messagerie incorporé dans WinRoute. Vous pouvez voir combien de messages sont envoyés, reçus, vers qui ils sont envoyés, etc. Toutes les opérations contiennent une indication de date et d'heure. 134 WinRoute Pro 4.2 Guide de Référence Audit d'erreur L'audit d'erreur affiche les opérations sans succès ou ayant généré une erreur dans l'un des modules de WinRoute qui sont activés. vous pouvez par exemple voir une erreur s'étant produite lors d'un échange de messages ou dans le serveur DNS, etc. Description de WinRoute 135 Intervales de Temps Vous pouvez definir des Zones de Temps - intervales de temps prédéfinis - dans le but de faire certaines actions. Ces actions peuvent être: ! ! Filtre de paquets Echanges de messages (entrant et sortant) ! Connexion à Internet ! Configuration NAT avancée Une Zone de Temps est un regroupement d'intervales. Vous pouvez ainsi créer des espaces des temps non homogènes consitués de plusieurs intervales de temps. 136 WinRoute Pro 4.2 Guide de Référence Par exemple: Vous pouvez définir une Zone de Temps appelé "Weekend" qui sera définir par: Vendredi de 17H00 à 19H00, Samedi et Dimanche. Pour définir une Zone de temps: ! Aller dans le menu Settings=>Advanced=>Time Intervals ! Nommer la Zone de Temps ! Ajouter le nouvel intervale de temps ! Exemples de Configuration CHAP ITRE 137 5 Exemples de Configuration Dans ce chapitre Solutions pour les VPN IPSEC, NOVELL et PPTP..........137 Exemples de configurations Firewall.................................145 Lancer ICQ, voix sur IP, vidéo conférence derrière WinRoute Accès Distant - PC Anywhere ..........................................158 Section Jeux.....................................................................161 Solutions DNS .................................................................173 Serveurs WWW, FTP, DNS et Telnet derrière WinRoute .177 Problèmes FTP lors de l'utilisation de ports non-standards 182 Réseaux spéciaux.............................................................184 Connecter des réseaux multiples .......................................186 151 Solutions pour les VPN IPSEC, NOVELL et PPTP VPN IPSEC WinRoute Pro 4.2 supporte le mode IPSEC appelé "Mode tunnel". Le "Mode tunnel" devrait supporter n'importe quel client IPSEC qui permet que l'adresse IP du transport soit changée. Configurations de WinRoute: Créer le port mapping pour ESP: Protocol: Other 50 138 WinRoute Pro 4.2 Guide de Référence Listen IP: <unspecified> Destination IP: l'adresse IP privée du PC du client Nous suggérons également de créer un port mapping pour IKE. Ce n'est pas nécessaire dans les cas où la transmission est initialisée de DERRIERE WinRoute vers l'Internet, toutefois certaines implémentation d'IPSEC peuvent exiger cette configuration: Port mapping IKE: Protocol: UDP Listen IP: <Unspecified> Listen port: 500 Destination IP: l'adresse IP privée du PC du client Destination port: 500 Exemples de Configuration 139 Lancer plusieurs sessions IPSEC simultanément S’il y a plusieurs clients IPSEC vous devez utiliser une adresse IP différente pour chaque client. Note - Le NAT de WinRoute laissera passer autant de clients simultanés que vous le voulez, du moment que la connexion est initialisé A PARTIR DU réseau local et que chaque client "utilise" une adresse IP attribuée à l'interface externe de WinRoute. Informations générales au sujet d'IPSEC IPSec ou security encryption protocol est utilisé pour la communication sécurisée entre deux ordinateurs. IPSec utilise soit l’AH (Authentification Header) soit l'ESP (Encapsulating Security Payload). L'AH vérifie seulement l'identité de l'expéditeur et le contenue du paquet. Les données ne sont pas cryptées. L'ESP crypte les données. L'ESP permet l’utilisation du surnommé "mode tunnel" qui est semblable au protocole PPTP. Le paquet comprend alors l'en-tête d'IP (nécessaire pour le transport) qui n'est pas crypté et la partie des données qui comprennent le paquet initial totalement crypté. Le protocole IKE (parfois appelé ISAKMP) est utilisé pour l'authentification (échange de clefs de sécurisée). IKE utilise le protocole UDP sur le port 500 . Ce port est utilisé comme source et destination. L'AH utilise le port 51, l’ESP le port 50. IPSec peut aussi communiquer en utilisant d'autres protocoles qui ne gênent pas le NAT en maintenant le niveau de certification. Nous incorporerons automatiquement le protocole 50 à WinRoute de sorte qu'il n'y ait pas besoin de port mapping. La seule condition pour établir la connexion automatique est l'initialisation de la connexion DEPUIS le réseau local. La plupart des implémentation d'IPSec utilisent l'algorithme MD5 et SHA1 pour l'authentification et DES, 3DES et Blowfish pour le cryptage. IPSec n'est étroitement connecté à aucun algorithme spécifique, ainsi les implémentations de différents logiciels peuvent être incompatibles. 140 WinRoute Pro 4.2 Guide de Référence VPN Novell Border Manager Utilisation de WinRoute Pro avec le VPN Novell BorderManager (IPSEC) Ce document décrit les procédures d’installation qui rendent possible la connection d’un réseau local, qui utilise le NAT pour partager une adresse IP unique fournie par un ISP, à un réseau distant qui utilise le logiciel Novell BorderManager Enterprise Server for VPN. Selon le fichier de README.TXT fourni sur la disquette d'installation du client de Novell BorderManager VPN, " vous ne pouvez pas utiliser le NAT entre un client VPN et un serveur VPN.Cela vient du fait que lorsque les paquets IP et IPX sont encapsulés et cryptés chez le client VPN, l'adresse IP de la source utilisée pour l'encapsulation est l'adresse du client VPN. Le calcul d'authentification d'en-tête IPSEC du paquet est basé sur cette adresse et l'adresse de destination du serveur VPN. Par conséquent, si l'une ou l'autre des adresses (celle du client VPN ou celle du serveur VPN) est modifiée par le NAT, quand il arrivera à destination, au serveur VPN, le calcul échouera et le paquet sera rejeté. Cependant, il est très probable, que le NAT ignore tout bonnement les paquets IPSEC parce qu'il gère seulement que TCP, UDP, et les paquets Internet Control Message Protocol (ICMP). Quand vous avez des postes de travail dans un intranet qui doivent beaucoup communiquer avec des réseaux protégés par un serveur VPN via l'Internet, nous suggérons que vous utilisiez l’option site-to-site VPN de Novell BorderManager Enterprise Edition (au lieu de l’option client-to-site VPN)." Cependant, le logiciel Novell BorderManager Enterprise Server est très cher pour un utilisateur à domicile. De plus, il exige la configuration de routes statiques sur le réseau distant consulté. La solution suggérée ci-dessus par Novell est donc inadaptée pour la personne qui voudrait connecter son réseau local qui utilise le NAT à un réseau distant par l'intermédiaire de Novell BorderManager VPN. Exemples de Configuration 141 Étonnamment, il est possible de connecter un réseau local utilisant le NAT à un réseau distant en se servant de WinRoute pro et de Novell BorderManager VPN Client. Cette solution permet à n'importe quel ordinateur sur le réseau local d'accéder aux ressources sur le réseau distant lorsque le tunnel VPN est établi sur l'ordinateur routeur. Aucune configuration du réseau distant n'est exigée. Ci dessous les phases de configuration pour le réseau local. Étape 1: Installer et configurer le logiciel Novell BorderManager VPN Client sur l'ordinateur qui va être utilisé comme routeur. S'assurer que la connexion VPN vers le réseau à distance peut être établie avec succès et que les ressources sur le réseau distant peuvent être consultées. Étape 2: Installer WinRoute pro sur l'ordinateur routeur. Suivre les instructions trouvées dans le guide d'administration pour configurer WinRoute pro et configurer les ordinateurs sur le réseau local pour marcher avec WinRoute Pro. Utilisez la configuration standard pour le partage d'adresse IP unique. S'assurer que les ressources Internet peuvent être consultées à partir de n'importe quel ordinateur sur le réseau local. Étape 3: Quand vous voulez accéder aux ressources sur le réseau distant, exécuter Novell BorderManager VPN client sur l'ordinateur routeur puis la procédure de connexion au réseau à distance. 142 WinRoute Pro 4.2 Guide de Référence Cette solution est rendue possible grâce l'architecture de WinRoute pro. Puisqu'il travaille au niveau IPSEC, la translation d'adresses est effectuée avant que le paquet ne soit dirigé vers le virtual network adapter. Par conséquent les paquets envoyés au serveur VPN ont la véritable adresse IP de la source. Dans le sens inverse les paquets reçus par virtual network adapter traversent la couche de translation d'adresses et sont dirigés vers l’ordinateur concerné sur le réseau local. Les limitations de cette installation sont que la procédure de connexion VPN doit être faite manuellement sur l'ordinateur routeur, et que la connexion VPN verra son délai d'attente dépassé après une certaine période d'inactivité, réglée sur le serveur VPN. En outre, les paquets IPX ne vont pas être routés même si le tunnel VPN supporte le protocole IPX. Par conséquent, le tunnel IPX sera disponible seulement sur l'ordinateur routeur. D'une façon générale, cette installation est un moyen rentable et simple de connecter un réseau local qui utilise le NAT à un réseau distant en se servant de Novell BorderManager VPN. Lancer un serveur PPTP derrière NAT Pour avoir un serveur PPTP sur le réseau derrière WinRoute (même sur l'ordinateur sur lequel WinRoute fonctionne) vous devez configurer un port mapping. Pour la connexion de contrôle: ! Protocol: TCP ! Listen IP: ! Listen Port: 1723 ! Destination IP: Adresse IP de votre serveur PPTP (par exemple 192.168.1.12) ! Destination Port: 1723 Pour les paquets GRE (PPTP): ! Protocol: PPTP Exemples de Configuration 143 ! Listen IP: ! Destination IP: Adresse IP de votre serveur PPTP (par exemple 192.168.1.12) Après configuration du Port Mapping comme indiqué ci-dessus vous pourrez placer votre serveur PPTP n'importe où derrière WinRoute Y COMPRIS l'ordinateur qui EXECUTE WinRoute. Les utilisateurs accéderont à votre serveur PPTP par "appel " à l'adresse IP externe (public) de votre réseau. Quand les paquets arriveront à l'ordinateur de WinRoute, ils seront automatiquement redirigés vers l'ordinateur approprié derrière le firewall. Exemple de solution PPTP WinRoute vous donne une manière très rentable de créer votre propre WAN entre diverses succursales connectées à l'Internet. Nous supposons que les lecteurs de ce document ont une connaissance minimale sur la gestion des réseaux et de WindowsNT. Il est possible de créer un tel WAN en plusieurs étapes faciles: 1 Contrôler l'environnement: NT Serveur aux deux extrémités WinRoute Pro installé aux deux extrémités RRAS (Stealhead) installé sur les deux NT Serveur 2 Créer une route statique sur les deux serveurs NT en indiquant que les paquets allant aux réseaux opposés passent par l'interface RRAS. Alors - si vous affichez des propriétés TCP dans le debug log de WinRoute Administrator vous devriez voir une interface dial-in parmi les interfaces disponibles. 3 Dans WinRoute Administrator aller dans l’Interface Table et afficher les propriétés de l'interface RAS utilisée pour la liaison PPTP. Assurez vous que le NAT est désactivé sur cette interface. 144 WinRoute Pro 4.2 Guide de Référence Dans l'onglet RAS de RAS interface properties, sélectionner la connexion PPTP parmi les entrées RAS. Si vous ne voyez pas la connexion RAS parmi des entrées RAS assurez vous que vous avez configuré l'annuaire téléphonique correctement. Aller au menu Settings->Advanced->Misc.Options et sélectionner l'annuaire téléphonique RAS à utiliser. 4 Tester la connexion - vous devriez pouvoir pinger le réseau opposé; de même vous devriez pouvoir accéder a l'Internet. Lancer un client PPTP derrière NAT Aucune configuration n'est exigée pour exécuter des clients PPTP derrière WinRoute (NAT) qui accédent a un serveur PPTP à l'exterieur sur l'Internet. Vous pouvez établir autant de connexions simultanées que nécessaire. Exemples de Configuration 145 Exemples de configurations Firewall Forcer les utilisateurs à utiliser le Serveur Proxy Parfois vous pourriez trouver utile d'utiliser le Server Proxy intégré à WinRoute. Cela peut s'avérer utile si vous voulez contrôler l'activité d'utilisateur accédant à des pages webs, si vous voulez restreindre l’accès des clients à certains sites web, ou encore si vous vouliez qu'ils utilisent le cache. Note! Vous pouvez utiliser filtre de paquets pour contrôler le trafic web; toutefois l'utilisation du filtre d'URL intégré au proxy est plus facile parce qu'il résout des noms de domaine ce qui veux dire que vous devez seulement entrer l'URL au lieu de l'adresse IP associée. 146 WinRoute Pro 4.2 Guide de Référence Configurations: Vous devez créer deux règles de sécurité pour les paquets sortants: 1. Permettre aux paquets sortants qui ont comme port de destination le port 80 et comme IP source celle du serveur WinRoute 2. Refuser tous les paquets sortants qui ont comme port de destination le port 80 Les règles doivent être définies exactement dans l'ordre indiqué ci-dessus. WinRoute applique les règles du haut-vers-le bas. Les règles sont appliquées sur le principe du premier arrivé premier-servit, c’est à-dire Le paquet entrant est recherché dans les règles en partant de la première, en haut, jusqu'à la dernière, en bas. La première règle correspondant à la description du paquet est appliquée et le reste des règles sera omis. Pour configurer des règles: 1. Dans l’Administration de WinRoute allez dans le Configuration=>Avancée=>Filtre de paquets. Aller dans l'onglet Sortant. menu 2. Double cliquez sur votre interface externe (Internet). La liste des règles ou "Aucune règle" apparaît. 3. Cliquez sur le bouton Ajouter pour ajouter une nouvelle règle qui permettra à l'hôte WinRoute d'établir des connexions avec des serveurs web sur le port 80. Sélectionner Le Protocole: TCP Type De Source: Hôte Adresse IP: adresse externe de votre Firewall WinRoute (par exemple 204.23.43.26) Exemples de Configuration 147 Port De Destination: Égale (=) à 80, sous Action: sélectionner Autoriser. 4. Re-cliquez sur le bouton Ajouter pour ajouter la deuxième règle qui refusera toutes autres connexions TCP sur le port 80. Sélectionner Le Protocole: TCP Type De Source: Toutes Port De Destination: Égale (=) à 80 Action: Refuser Si vous voulez auditer les tentatives sectionnez l'option Auditer dans un fichier. NOTE: En configurant des règles supplémentaires, se rappeler de les définir du HAUT vers le BAS. Permettre la communication sur certain ports Vous voulez avoir les règles suivantes: ! sécurité maximum ! permettre l'accès à votre serveur web ! permettre la communication avec votre serveur SMTP ! permettre aux emails d'être rapatrier depuis l'Internet vers votre serveur de courrier ! permettre l'accès à votre serveur FTP 148 WinRoute Pro 4.2 Guide de Référence Sécurité Maximum: Onglet Entrant Protocole: TCP, Refuser tous les paquets entrant IP Source - Tous IP de Destination - Tous Port Source - Tous Port de Destination - Tous Cette règle sera toujours la plus basse des règles disponibles sur l'interface. Permettre l'accès à votre serveur web depuis l'Internet: Onglet Entrant Protocole: TCP IP Source - Tous IP de Destination - Adresse IP du serveur web Port Source - Tous Port de Destination - 80 Permettre l'accès à votre serveur FTP de certaines adresses Internet: Onglet Entrant Protocole: TCP IP Source - Tous IP de Destination - Adresse IP du serveur FTP Port Source - Tous Port de Destination - 21 Exemples de Configuration IP Source - Tous IP de Destination - Adresse IP du serveur FTP Port Source - Tous Port de Destination - 20 Permettre a votre serveur SMTP de ne communiquer que via serveur relais SMTP (celui votre ISP): Onglet Entrant Protocole: TCP IP Source - Le serveur SMTP relais de vote ISP IP de Destination - Adresse IP du serveur SMTP sur votre LAN Port Source Port - Tous Port de Destination - 25 Onglet Sortant IP Source - Votre serveur SMTP IP de Destination -Adresse IP du serveur SMTP chez votre ISP Port Source - Tous Port de Destination - 25 Allows you to pick-up email from the Internet at your Mail Server Onglet Entrant IP Source - your SMTP server IP de Destination - Adresse IP du serveur SMTP sur votre LAN Port Source Port - Tous Port de Destination - 110 149 150 WinRoute Pro 4.2 Guide de Référence Exemples de Configuration 151 Lancer ICQ, voix sur IP, vidéo conférence derrière WinRoute Lancer ICQ derrière NAT ICQ est le système de chat en ligne qui établit soit une connexion directe entre deux utilisateurs soit une inter-communication via l'intermédiaire du serveur ICQ. WinRoute Pro 4.2 est la première solution du commerce qui offre le support total de tous les services ICQ, en incluant le chat direct et de transfert de fichiers, à tous les utilisateurs à l'intérieur du réseau local sans aucune configuration. Sur les postes de travails ICQ doit être configuré comme s’il avait un accès direct à l'Internet. 152 WinRoute Pro 4.2 Guide de Référence H.323 - NetMeeting 3.0 WinRoute intègre le support du protocole H.323. Cela signifie que toutes les applications voix-sur-ip (voice-over-ip) peuvent communiquer via WinRoute. Cela inclus des applications comme Microsoft NetMeeting, CuSeeMee, la téléphonie Internet (vous pouvez utiliser le téléphone Siemens IP phone a travers WinRoute par exemple) et d'autres. Si la communication est initialisée de derrière WinRoute Dans ce cas il n'y a aucune configuration exigée. WinRoute supportera un nombre de connexions simultanées pratiquement illimitées. Si la communication est établie depuis Internet vers un PC derrière WinRoute Dans ce cas il est nécessaire de créer un Port Mapping, en d'autres termes de dire à WinRoute où router les paquets H.323 entrants. Vous devez configurer le Port Mapping suivant: Protocole: TCP IP d’écoute: <non spécifiée> ou l'adresse IP utilisé pour les communications H.323 en cas de système multihome Port d’écoute: 1723 IP destination: de L'adress IP LAN l'application H.323 Port destination: de 1723 de Exemples de Configuration 153 Le protocole H.323 ne fonctionne pas que sur le port 1723 - WinRoute ajoutera automatiquement les autres connexions. En raison de limitations du protocole H.323 il ne peut y avoir, simultanément, qu’un seul poste de travail qui utilise une telle communication. IRC - Internet Relay Chat Aucune configuration spéciale n’est exigée pour exécuter un client IRC. Même les DCC (Direct Chat/Send(Receive) des fichiers) fonctionneront automatiquement si vous utilisez le port standard 6667 dans votre client IRC. Pour exécuter un serveur IRC derrière NAT il faut mapper les ports suivants: Protocole: TCP IP d’écoute: <non spécifiée> ou IP que vous voulez utiliser pour le serveur IRC Port d’écoute: 6667 IP de destination: adresse IP du PC qui exécute le serveur IRC Port de destination: 6667 L'utilisation de n'importe quel autre port que le port standard entraînera comme conséquence que les DCC ne marcheront plus. CITRIX Metaframe WinRoute supporte totalement le protocole CITRIX Metaframe aussi bien que le protocole MS Terminal Server. Pour accéder à un serveur CITRIX Metaframe ou à un MS Terminal serveur qui fonctionne à l'intérieur du réseau de WinRoute depuis l'Internet vous devrez exécuter le Port Mapping suivant: Pour MS Terminal Server: Protocole: TCP IP d’écoute: <non spécifiée> ou IP public que vous voulez que le serveur utilise Port d’écoute: 3389 154 WinRoute Pro 4.2 Guide de Référence IP de destination: adresse IP privée du serveur à l'intérieur du réseau Port de destination: 3389 Pour Citrix Metaframe: Protocole: TCP IP d’écoute: <non spécifiée> ou IP public que vous voulez que le serveur utilise Port d’écoute: 1494 Destination IP: adresse IP privée du serveur à l'intérieur du réseau Port de destination: 1494 Vous pouvez créer plus de ports mappés et ainsi accéder à plus de serveurs simultanément. Pour cela vous devrez pré-définir sur les ordinateurs clients quel port utiliser pour accéder au serveur. Ceci peut être indiqué dans le fichier .ini du client - quand vous créez l'icone de connexion. Exemples de Configuration 155 Téléphonie Internet - BuddyPhone GameRouter est devenue le premier logiciel de routage/firewall qui a amené la téléphonie sur Internet à un niveau sérieux. Avec l'application BuddyPhone (www.buddyphone.com) GameRouter vous permet de faire passer des appels par l'Internet d'un réseau à un autre. BuddyPhone fonctionne très bien avec ICQ. Enregistrez-vous sur ce logiciel gratuit de messagerie instantané et vous apprécierez "la pression d'un seul bouton" pour appeler vos amis. Tous les utilisateurs actifs dans votre liste de copain ICQ apparaîtront sur votre annuaire téléphonique BuddyPhone et le lancement d'un appel est aussi facile à utiliser que sélectionner un utilisateur dans la liste. Aucune configuration n'est exigée du moment que vous utilisez BuddyPhone et ICQ ensembles. Utilisation de BuddyPhone sans ICQ GameRouter permet de détourner les appels venant d'Internet vers le bon récipient sur le réseau local en se basant sur le port. Utiliser les ports 710 et suivants pour assigner aux utilisateurs locaux leur port respectif. Exemple: Vous avez trois utilisateurs dans votre réseau local qui utilisent BuddyPhone. Nom de l'utilisateur IP de l'utilisateur adresse IP interne Port assigné l'utilisateur John 192.168.1.2 710 Quido 192.168.1.3 711 à 156 WinRoute Pro 4.2 Guide de Référence Bob 192.168.1.4 712 Alors vous configurerez les Port Mapping suivants: Port d’écoute IP de destination Port de destination 710 192.168.1.2 700 711 192.168.1.3 700 712 192.168.1.4 700 Le lancement de l'appel téléphonique pour l'utilisateur sera facile, il suffira d’entrer company.com:port# dans la boite de dialogue direct dial de BuddyPhone. Par exemple sales.gamerouter.com:711. Note! Ce n'est pas une erreur dans notre documentation! Le port de destination est vraiment 700. C'est le numéro de port employé par BuddyPhone. GameRouter fera le routage en se basant sur le port d'écoute. CU-SeeMe Les Ports Mappings suivant sont nécessaires pour recevoir des appels CU-SeeMe à travers le NAT: Protocole: UDP IP d’écoute: <non spécifiée> Port d’écoute: 7648 IP de destination: l'adresse IP du poste de travail qui exécute le client CUSeeMe Port de destination: 7648 Exemples de Configuration 157 Protocole: UDP IP d’écoute: <non spécifiée> Port d’écoute: 7649 IP de destination: l'adresse IP du poste de travail qui exécute le client CUSeeMe Port de destination: 7649 Limitations: ! Actuellement, IL n'est pas possible d'exécuter plus d'un client CU-SeeMe sur un réseau local ! Il n'est pas possible de connecter à un "reflector" protégé par un mot de passe. D'autres applications Regardez sur www.kerio.com régulièrement pour les dernières mises à jour et ajouts à la liste croissante d'applications supportées. WinRoute supporte probablement votre application même si elle n'est pas énumérée, mais jusqu'à ce qu'elle soit documentée sur le site web vous devrez trouver par vous-même le port mapping si nécessaire. 158 WinRoute Pro 4.2 Guide de Référence Accès Distant - PC Anywhere PC Anywhere WinRoute inclut le meilleur support du marché pour Symantec's PC AnyWhere. PC AnyWhere permet aux utilisateurs d'accéder et de gérer des ordinateurs à l'intérieur du réseau. Pour cela vous devez appliquer le scénario suivant: 1 L'ordinateur à gérer exécutera PC AnyWhere Host. 2 L'ordinateur distant exécutera PC AnyWhere Remote 3 Le Port Mapping sur l'ordinateur de WinRoute sera configuré de cette façon: Protocole: TCP/UDP IP d’écoute: <non spécifiée> Port d’écoute (intervalle): 5631-5632 Port de destination: L'adresse IP du PC AnyWhere Host à l'intérieur de votre réseau (e.g.192.168.1.12) Destination Port: 5631-5632 Exemples de Configuration 159 Question concernant la sécurité Pour augmenter la sécurité et pour éviter d'ouvrir votre réseau au monde extérieur, WinRoute permet aux utilisateurs de choisir une adresse IP spécifique pour l'accès à certains ports spécifiques. Cette configuration permet que seulement certains ordinateurs ou réseaux puissent accéder votre système depuis l'Internet. Pour définir les ordinateurs qui ont accès a votre réseau, vous devez d'abord définir un groupe d'adresses (même si vous n'entrez qu'un seul ordinateur). Pour configurer ceci aller dans le menu Configuration=>Avancée=>Groupe d’Adresses. Changer l'accès vers un ordinateur différent Vous pouvez configurer les droits d'Administration dans WinRoute pour permettre une connexion directe au serveur WinRoute. Lorsque vous êtes connecté, vous pouvez changer l'IP de destination du Port Mapping et accéder directement au PC que vous choisissez. Stupéfiant! 160 WinRoute Pro 4.2 Guide de Référence Passerelle PC Anywhere Lancer PC AnyWhere en mode passerelle sur le PC de WinRoute permettra au client distant de rapatrier une liste des hôtes PC AnyWhere disponibles derrière le firewall. A partir de cette liste vous pourrez accéder et gérer n'importe lequel des hôtes PC AnyWhere derrière le firewall de WinRoute. Ces étapes supposent que vous utilisez le PC AnyWhere 9.0 et que vous ne filtrez aucun paquet entrant/sortant sur le firewall de WinRoute ! Les ordinateurs gérés derrière le firewall de WinRoute exécuteront PC AnyWhere Host en utilisant le protocole TCP/IP ! L'ordinateur à distance exécutera PC AnyWhere Remote en utilisant aussi TCP/IP ! PC AnyWhere est installé sur le firewall de WinRoute en mode passerelle. En configurant le mode passerelle les dispositifs d'entrée et de sortie devront être réglés sur TCP/IP Sur le firewall de WinRoute, PC AnyWhere doit être configuré pour écouter le NIC interne (e.g.192.168.1.1). Des instructions sur la façon dont doit être configuré PC AnyWhere pour écouter sur une adresse IP/NIC spécifique peuvent être trouvées sur le site web de Symantec Ajouter les adresses IP des ordinateurs à gérer dans des options réseau de PC AnyWhere. Pour scanner l'intégralité du sous réseau utiliser 255 en tant que dernier octet (192.168.1.255). Configurer le port mapping suivant sur WinRoute: ! ! ! Protocole: TCP/UDP IP d’écoute: NIC externe (206.86.181.25) Port d’écoute: INTERVALLE (5631-5632) IP de destination: NIC interne (192.168.1.1) Port de destination: 5631-5632 Exemples de Configuration 161 Section Jeux A propos du lancement de jeux derrière le NAT Jouer à des Jeux Beaucoup de jeux supportent aujourd'hui les environnements multi-utilisateurs. Les utilisateurs peuvent se battre via Internet ou les réseaux locaux ou alors ils peuvent rejoindre un des serveurs de jeux déjà existants sur l'Internet. Les utilisateurs peuvent également accueillir leurs propres serveurs de jeu et permettre à leurs amis, famille ou même a des inconnus de partager l'excitation de jouer ensemble. Il y a beaucoup de jeux qui n'exigent aucune configuration de WinRoute. Avant d'essayer de configurer WinRoute pour un jeu spécifique, nous vous recommandons d'essayer de jouer d'abord. À la différence des serveurs Proxy, l'architecture de WinRoute supporte beaucoup de jeux directement "Naturellement." Certains jeux exigent qu'un port spécifique soit configuré dans WinRoute pour qu'ils puissent marcher. Les ports sont utilisés pour l'identification du joueur auprès du serveur de jeu (en général). Si le jeu a un port spécifique qui lui est associé, il n'y a pas de problème pour WinRoute! Vous devez juste configurer un Port Mapping dans WinRoute pour rediriger les paquets entrant sur votre réseau vers l'ordinateur du joueur derrière le firewall. Les ports utilisés sont différents dans chaque jeu. Référez-vous à la documentation accompagnant chaque jeu ou appelez le support technique de l'éditeur du jeu pour plus d'information. Ce manuel contient juste quelques exemples de configurations pour les jeux les plus populaires. 162 WinRoute Pro 4.2 Guide de Référence Aasheron's call Asheron's call est un jeu populaire sur Microsoft Gaming Zone. Afin de jouer à ce jeu à partir d'un l'ordinateur situé derrière GameRouter vous devez configurer le Port Mapping suivant: 1 Aller dans le menu Configuration->Avancée->Port Mapping 2 Exécuter les configurations suivantes: Nom: Numero Port: de S1 S2 S3 S4 2300-2400 9000-9013 6667 2 8 8 0 0 S5 2 9 0 0 0 IP de destination: IP du PC avec le jeux IP du PC avec le jeux IP du PC avec le jeux IP du PC avec le jeux Protocole: TCP/UDP UDP TCP TCP IP du P avec jeux Exemples de Configuration 163 Battle.net (Blizzard) Le Port Mapping doit être configurer pour que vous puissez jouer a des jeux sur battle.net. Seul un joueur pourra jouer a la fois. Protocole: TCP/UDP IP d’écoute: <non spécifiée> Port d’écoute: 6112 IP de destination: adresse IP de l'ordinateur du joueur (Par exemple 192.168.1.6) Port de destination: 6112 Half-Life Half-Life Protocole: TCP/UDP IP d’écoute: <non spécifiée> Port d’écoute: 27015 IP de destination: adresse IP de l'ordinateur du joueur (Par exemple 192.168.1.6) Port de destination: 27015 MSN Gaming zone La configuration suivante a été testée avec MechWarior3 sur MSN Gaming Zone. Seul une machine peut accéder à MSN en même temps. 1 Allez au menu Configuration->Port Mapping 2 Ajouter un nouveau Port Mapping 164 WinRoute Pro 4.2 Guide de Référence Protocole: TCP IP d’écoute: <non spécifiée> Port d’écoute: intervalle 2300 à 2400 IP de destination: l'adresse IP local de la machine que vous voulez connecter à MSN Port de destination: intervalle 2300 à 2400 3 Puis un autre Port Mapping Protocole: UDP IP d’écoute: <non spécifiée> Port d’écoute: intervalle 28800 à 28912 IP de destination: l'adresse IP local de la machine que vous voulez connecter à MSN Destination port: intervalle 28800 à 28912 Quake Quake 3 clients Quake 2/3 Aucune configuration spéciale n'est nécessaire Quake 2/3 Server Pour le serveur Maitre: Protocole: UDP IP d’écoute: <non spécifiée> Port d’écoute: unique 8002 IP de destination: x.x.x.x Exemples de Configuration 165 Port de destination: 8002 Pour des clients qui se connectent a un serveur Quake3 Arena: Protocole: UDP IP d’écoute: <non spécifiée> Port d’écoute: unique 27960 IP de destination: x.x.x.x Port de destination: 27960 StarCraft Jouer à StarCraft WinRoute Pro intègre un support unique pour tous les joueurs de StarCraft (Blizzard Entertainment). Plusieurs joueurs sur un réseau connecté à l'Internet via WinRoute Pro peuvent s'amuser en jouant contre leurs "ennemis" virtuels sur l'Internet. Actuellement, le support entièrement automatique fonctionne seulement dans le cas ou tous les joueurs qui rejoignent un jeu sont sur des ordinateurs derrière WinRoute Pro et non pas sur l'ordinateur hôte. Pour plus de détails visitez le site www.kerio.com. 166 WinRoute Pro 4.2 Guide de Référence Mappings additionnels pour des jeux/applis courants Ports nécessaires pour des applications diverses Age of Empires II - 2 port mapping nécessaires Protocole: TCP IP d'écoute: <non spécifiée> Port d'écoute: 47624 IP de destination: adresse IP de la machine qui exécute l'application Port de destination: 47624 Protocole: TCP/UDP IP d'écoute: <non spécifiée> Port d'écoute: Intervalle 2300 - 2400 IP de destination: adresse IP de la machine qui exécute l'application Port de destination: Intervalle 2300 - 2400 Delta Force Protocole: TCP IP d'écoute: <non spécifiée> Port d'écoute: Intervalle 3568 - 3569 Exemples de Configuration IP de destination: adresse IP de la machine qui exécute l'application Port de destination: Intervalle 3568 - 3569 Dial Pad Protocole: UDP IP d'écoute: <non spécifiée> Port d'écoute: Intervalle 51200 - 51201 IP de destination: adresse IP de la machine qui exécute l'application Port de destination: Intervalle 51200 - 51201 Gamespy Registration Protocole: UDP IP d'écoute: <non spécifiée> Port d'écoute: 25635 IP de destination: adresse IP de la machine qui exécute l'application Port de destination: 25665 Pour les jeux eux mêmes Protocole: UDP 167 168 WinRoute Pro 4.2 Guide de Référence IP d'écoute: <non spécifiée> Port d'écoute: Intervalle 25000 - 30000 IP de destination: adresse IP de la machine qui exécute l'application Port de destination: Intervalle 25000 - 30000 Kali - 3 port mapping nécessaires Protocole: UDP IP d'écoute: <non spécifiée> Port d'écoute: 2213 IP de destination: adresse IP de la machine qui exécute l'application Port de destination: 2213 Protocole: UDP IP d'écoute: <non spécifiée> Port d'écoute: 6666 IP de destination: adresse IP de la machine qui exécute l'application Port de destination: 6666 Protocole: UDP IP d'écoute: <non spécifiée> Exemples de Configuration Port d'écoute: 57 IP de destination: adresse IP de la machine qui exécute l'application Port de destination: 57 Mplayer Protocole: TCP/UDP IP d'écoute: <non spécifiée> Port d'écoute: 8000 - 9000 IP de destination: adresse IP de la machine qui exécute l'application Port de destination: 8000 - 9000 Oracle Protocole: TCP IP d'écoute: <non spécifiée> Port d'écoute: 5000 IP de destination: adresse IP de la machine qui exécute l'application Port de destination: 5000 PCanywhere versions 2.0 - 7.51 - 2 port mapping nécessaires Protocole: TCP 169 170 WinRoute Pro 4.2 Guide de Référence IP d'écoute: <non spécifiée> Port d'écoute: 65301 IP de destination: adresse IP de la machine qui exécute l'application Port de destination: 65301 Protocole: UDP IP d'écoute: <non spécifiée> Port d'écoute: 22 IP de destination: adresse IP de la machine qui exécute l'application Port de destination: 22 Quicktime - 2 port mapping nécessaires Protocole: TCP IP d'écoute: <non spécifiée> Port d'écoute: 554 IP de destination: adresse IP de la machine qui exécute l'application Port de destination: 554 Protocole: UDP IP d'écoute: <non spécifiée> Exemples de Configuration Port d'écoute: Intervalle 6970 - 6999 IP de destination: adresse IP de la machine qui exécute l'application Port de destination: Intervalle 6970 - 6999 RTSP Protocole: UDP IP d'écoute: <non spécifiée> Port d'écoute: Intervalle 6970 - 7170 IP de destination: adresse IP de la machine qui exécute l'application Port de destination Intervalle 6970 - 7170 VNC Protocole: TCP IP d'écoute: <non spécifiée> Port d'écoute: 59xx (depending on the display number) IP de destination: adresse IP de la machine qui exécute l'application Port de destination 59xx Protocole: TCP IP d'écoute: <non spécifiée> 171 172 WinRoute Pro 4.2 Guide de Référence Port d'écoute: 58xx IP de destination: adresse IP de la machine qui exécute l'application Port de destination 58xx D'autres jeux Regardez sur www.kerio.com régulièrement pour les dernières mises à jour et ajouts à la liste croissante d'applications supportées. WinRoute supporte probablement votre application même si elle n'est pas énumérée, mais jusqu'à ce qu'elle soit documentée sur le site web vous devrez trouver par vous-même le port mapping si nécessaire. Aide vous Vous-même! Si vos qualifications ont atteint un certain niveau, vous trouverez des solutions pour les autres jeux vous-même. Affichez l’audit de debugage (menue Vues) et dans configurez le pour voir les paquets TCP et UDP (faire un clique droit dans la fenêtre de l’audit de debugage). Après avoir configuré l’audit lancez le jeu puis rapportez-vous à l’audit pour avoir des informations sur les paquets. Recherchez les paquets venant de l'interface Internet (affichée "from le_nom_de_votre_interface_internet") et regardez leur port de destination. Pour plus d'informations sur la façon de lire les audits référez-vous au chapitre audit de ce manuel. Exemples de Configuration 173 Solutions DNS Le relayeur DNS intégré à WinRoute vous permet de rediriger des requêtes DNS vers un serveur DNS pour la résolution de nom de domaine. Il est capable de résoudre les requêtes DNS locales (qui utilisent le nom de l'ordinateur local). Cependant les requêtes DNS telles que www.quelquechose.com doivent être résolues par un serveur DNS. Le relayeur DNS de WinRoute redirigera les requêtes DNS vers le serveur DNS. Serveur DNS sur le PC de WinRoute Avoir un véritable serveur DNS sur un PC WinRoute ne pose aucune difficulté. Toutes les requêtes DNS faites à votre serveur DNS recevront en réponse l'adresse IP Internet associée à ce domaine. Ce type d’adresse IP doit être associé à l'interface réseau qui relie WinRoute à l'Internet. Les serveurs WWW écoutent aussi bien les interfaces publiques que les privées. Si le PC local envoie une requête DNS pour résoudre www.mondomaine.com, il obtient une adresse IP public associée à ce domaine et se connecte au serveur web avec une adresse IP (qui est attribuée à l'interface Internet). Assurez vous que le Port Mapping pour des requêtes DNS soit bien configuré même si vous exécutez le serveur DNS sur le PC de WinRoute! Mapper le protocole UDP et le port 53 sur l'adresse IP de l'interface Internet. Serveur DNS derrière WinRoute Vous pouvez exécuter un véritable serveur DNS sur n'importe quel PC dans votre réseau local. Pour cela vous devrez configurer un Port Mapping: Protocole: UDP IP d’écoute: <non spécifiée> ou l'adresse IP associée au serveur DNS (mappé en tant que deuxième adresse IP) 174 WinRoute Pro 4.2 Guide de Référence Port d’écoute: 53 IP de destination: l'adresse IP privé du PC qui exécute le serveur DNS Port de destination: 53 Serveur DNS et WWW derrière NAT Si vous exécutez votre propre serveur DNS et WWW sur le même réseau privé vous pourriez vous poser les questions suivantes: Comment est-ce que je gère les requêtes DNS pour www.mondomaine.com venant de mon réseau local, comment seront-elle résolues à l'adresse IP privée du serveur web tandis que les requêtes DNS venant d'Internet obtiendront une adresse IP Internet (public) associée à www.mondomaine.com ? La solution est très simple et vous utiliserez le relayeur DNS intégré à WinRoute pour résoudre le problème. Sur tous les PC clients vous configurerez comme serveur DNS le relayeur DNS de WinRoute. Sur le PC avec WinRoute vous devrez appliquer les configurations suivantes: ! ! Mettez en marche le relayeur DNS de WinRoute Éditez le fichier HOSTS: Dans le fichier HOSTS ajoutez un enregistrement décrivant que www.mondomaine.com est une adresse IP privée (celle où votre serveur web fonctionne - par exemple 10.10.10.8). Le fichier HOSTS ce trouve dans la racine de votre répertoire windows (où windows est installé – c:\Windows ou c:\win98 etc.). Vous pouvez également accéder au fichier HOSTS depuis la boite de dialogue "Relayeur DNS" en cliquant sur le bouton "Editer le fichier HOSTS ". Exemples de Configuration 175 Comment ça marche ? Toutes les requêtes DNS envoyées par les ordinateurs client de votre réseau local seront d'abord résolues par le relayeur DNS de WinRoute. Toutes les requêtes seront d'abord recherchées dans les enregistrements du fichier HOSTS. Si une requête trouve un enregistrement correspondant elle sera gérée comme l'indique l’enregistrement (une adresse IP privée IP dans notre scénario). S' il n'y a aucun enregistrement correspondant à la requête dans le fichier HOSTS la requête sera ensuite recherchée dans les enregistrements du cache DNS de WinRoute (qui est intégrée dans le relayeur DNS de WinRoute). Si le cache DNS ne contient pas l'enregistrement correspondant, la requête sera redirigée vers le serveur DNS spécifié. Toutes les requêtes DNS venant de l'Internet seront redirigées, en fonction de la configurations des Port Mapping, directement au serveur DNS et résolues selon ses enregistrements. Attention ! Dans un tel scénario vous ne pouvez pas avoir un serveur DNS sur le même ordinateur que WinRoute. Parce que les deux services – le relayeur DNS de WinRoute et le serveur DNS écouteraient le même port - UDP 53. Ceci générerait une erreur ! 176 WinRoute Pro 4.2 Guide de Référence Problèmes DNS Exécuter un serveur Web (ou FTP etc...) et un serveur DNS sur le même réseau privé derrière WinRoute NAT Vous pourriez vouloir exécuter un serveur web avec comme domaine www.mondomaine.com derrière NAT et utiliser votre serveur DNS, fonctionnant sur le même réseau, pour la résolution de nom. Exécuter un serveur Web (ou FTP etc...) sur le PC de WinRoute. Si vous exécutez un serveur web sur le PC de WinRoute vous n'aurez aucun problème avec des requêtes locales. Toutes les requêtes DNS pour www.quelquechose.com arrivant à votre serveur DNS recevront en réponse l'adresse IP Internet associée à ce domaine. Ce type d’adresse IP doit être associée à l'interface réseau qui relie WinRoute à l'Internet. Les serveurs WWW écoutent aussi bien les interfaces publiques que les privées Si le PC local envoie une requête DNS pour la résolution de www.quelquechose.com il obtient une adresse IP public associée à ce domaine. En conséquence il se connecte le serveur web a l'adresse IP (qui est attribué à l'interface Internet comme décrit ci-dessus). Exécuter un serveur Web (ou FTP etc...) sur un PC derrière WinRoute Vous pourriez vouloir exécuter votre serveur web sur un PC derrière WinRoute (avec une adresse IP privée par exemple 10.10.10.8). Le serveur web www.mondomaine.com est physiquement situé à une adresse IP privée 10.10.10.8 mais votre requête DNS sera résolue avec une adresse IP publique (par exemple 206.86.181.25) qui est associée à ce domaine. Puis votre navigateur web ou votre client ftp se connectera à l'adresse publique, où il n'y a aucun serveur en fonctionnement car le serveur web est à l'intérieur de votre réseau. Solution Exemples de Configuration 177 Pour résoudre cette question vous devez utiliser le relayeur DNS, intégré à WinRoute, comme serveur de DNS pour vos ordinateurs. Dans le fichier HOSTS vous ajouterez une autre entrée où vous indiquerez que www.mondomaine.com est à l'adresse IP interne appropriée (classe privée). Vous laisserez le relayeur DNS regarder dans le fichiers HOSTS avant qu'il ne redirige une requête DNS au serveur. Alors chaque fois que les utilisateurs feront une requête sur www.mydomain.com elle sera bien résolue avec l'adresse IP locale appropriée. Serveurs WWW, FTP, DNS et Telnet derrière WinRoute WinRoute vous permet d'avoir des ordinateurs qui exécutent des services importants (serveurs) et qu'ils soient accessibles du monde extérieur. Les services (serveurs) doivent fonctionner sur un port spécifique ou sur un intervalle de ports et vous devez mapper ces ports pour permettre aux utilisateurs externes d'atteindre vos services. Exécuter un serveur WWW derrière NAT Pour exécuter un serveur Web derrière NAT 1. Allez au menu Configuration 2. Ajouter un nouveau Port mapping: ->Avancée ->Port Mapping Protocole: TCP IP d’écoute: <non spécifiée> ou l'adresse IP associée au domaine. Ce type adresse IP doit être associée à l'interface 178 WinRoute Pro 4.2 Guide de Référence Port d’écoute: 80 IP de destination: entrez l'adresse IP du serveur WEB (par exemple 192.168.1.10) Port de destination: 80 Les utilisateurs accédant à ce service y accéderont soit en utilisant le nom de domaine soit avec l'adresse IP public de votre réseau. Dès que les paquets arriveront à WinRoute ils seront automatiquement rediriger vers l'ordinateur qui a la bonne adresse IP interne. Exécuter un serveur DNS derrière NAT Le relayeur DNS intègre à WinRoute vous permet rediriger des requêtes DNS vers un serveur DNS pour la résolution des noms de domaine. Il est capable de résoudre des requêtes DNS locales (qui utilisent le nom de l'ordinateur local). Cependant les requêtes DNS telles que www.quelquechose.com doivent être résolues par un serveur DNS. Le relayeur DNS de WinRoute redirigera les requêtes DNS vers un serveur DNS. Exécuter un serveur DNS derrière NAT (WinRoute) Afin d'avoir un serveur DNS derrière NAT/WinRoute vous devez ajouter le Port Mapping décrit ci-dessous. Les serveurs DNS communiquent entre eux avec le protocole UDP sur le port 53. Si vous n’ajoutez pas cette configuration votre serveur DNS ne sera pas fonctionnel. Vous devez appliquer cette configuration. Quand vous exécutez un serveur DNS sur le même ordinateur que WinRoute, le module d'inspection de WinRoute applique le NAT AVANT que les paquets n'atteignent n'importe quelle application, y compris le serveur DNS. Protocole: UDP IP d’écoute: <non spécifiée> ou l'adresse IP publique du serveur DNS que vous voulez fais fonctionner IP de destination: 53 Port de destination: adresse IP publique ou privée du PC de WinRoute Exemples de Configuration 179 Port de destination: 53 Note! Ce n'est pas possible d'exécuter un serveur DNS standard sur le même ordinateur que le relayeur DNS de WinRoute. Les deux services utilisent le port 53 du protocole UDP. L'exécution de ces deux services DNS sur le même PC poserait un problème fatal au routage IP. Cependant vous pouvez éteindre le relayeur DNS de WinRoute si vous voulez exécuter un serveur DNS sur le PC de WinRoute. Exécuter un serveur FTP derrière NAT Pour exécuter un serveur FTP derrière NAT 1. Allez au menu Configuration 2. Ajouter un nouveau Port mapping: ->Avancéée->Port Mapping Protocole: TCP IP d’écoute: <non spécifiée> ou l'adresse IP associée au domaine. Une telle adresse IP doit être associée à l'interface Port d’écoute: 21 IP de destination: entrez l'adresse d'IP du serveur FTP (par exemple 192.168.1.10) Port de destination: 21 180 WinRoute Pro 4.2 Guide de Référence Exécuter d'un serveur FTP avec un port non standard: Régler le port mapping pour qu'il corresponde au port employé par le serveur FTP. Exécuter un serveur Mail derrière NAT Afin d'exécuter un serveur Mail derrière WinRoute il est recommandé de créer deux Port Mapping - un pour le protocole SMTP (qui fonctionne sur le port 25) et un pour le protocole POP3 (qui fonctionne sur le port 110). Ceci permettra à d'autres serveurs SMTP d'atteindre votre serveur SMTP et vous pourrez également rapatrier vos emails en POP3 depuis l'Internet. Il est nécessaire de configurer le Port Mapping même si le serveur de Mail est sur l'ordinateur de WinRoute. C’est à cause de la position du module d'inspection de WinRoute qui travaille en dessous de la pile TCP ainsi des paquets sont changés/refusés avant qu'ils n'atteignent le système d'exploitation. protocole SMTP: Protocole: TCP IP d’écoute: Port d’écoute: 25 IP de destination: entrez l'adresse IP du serveur SMTP (par exemple 192.168.1.10) Port de destination: 25 protocole POP3: Protocole: TCP IP d’écoute: Port d’écoute: 110 Exemples de Configuration 181 IP de destination: entrez l'adresse IP du serveur POP3 (par exemple 192.168.1.10) Port de destination: 110 Exécuter un serveur Telnet derrière NAT Telnet est largement répandu par beaucoup de compagnies pour accéder aux données à distance. Particulièrement pour les serveurs AS400 qui utilisent ce protocole. Pour exécuter un serveur Telnet derrière WinRoute il est nécessaire de configurer un Port Mapping pour le protocole TCP sur le port 23. Aucune configuration n'est exigée pour qu'un client Telnet accède à un serveur Telnet sur l'Internet. Protocole: TCP IP d’écoute: <non spécifiée> IP du serveur Telnet Port d’écoute: 23 IP de destination: entrez l'adresse d'IP du serveur Telnet (par exemple 192.168.1.10) Port de destination: 23 182 WinRoute Pro 4.2 Guide de Référence Problèmes FTP lors de l'utilisation de ports nonstandards WinRoute reserve le port 21 pour les communications utilisant le protocole FTP. Dans quelques circonstances, généralement pour des raisons de sécurité, un serveur FTP peut être configuré pour utiliser un port différent. Quelques complications mineures apparaissent dans les scénarios de ce type. Les deux chapitres suivants expliquent les problèmes et les solutions connus aux problèmes résultant de l'allocation d'un port non standard aux serveurs FTP à l'intérieur et en dehors d'un réseau WinRoute. Accéder à un serveur FTP qui utilise des ports nonstandards Si vous êtes derrière WinRoute et que vous essayez d'accéder à un serveur FTP avec un numéro de port différent de 21, vous ne recevrez pas la liste de répertoire. Pour que cela fonctionne vous devez faire ce qui suit: 1 Aller sur la machine de WinRoute 2 Arrêter le moteur de WinRoute 3 Aller dans le menu Démarrer->Exécuter sur le bureau 4 Taper regedit pour accéder à l'éditeur de base de registre; 5 Trouvez HKEY_LOCAL_MACHINE\SOFTWARE\Kerio\WinRoute\Module\0 6 Modifier la valeur de SpecPARAMS de sorte à ce qu'elle soit égale au numéro de port du serveur de FTP auquel vous voulez accéder 7 Rallumer le moteur de WinRoute. Exemples de Configuration 183 Ceci devrait permettre à n'importe qui derrière WinRoute d'accéder à un serveur FTP sur l'Internet qui utilise un port non standard. Note! Vous pouvez indiquer plusieurs ports en séparant chaque valeur par un espace. Serveur FTP derrière WinRoute utilisant un port nonstandard Dans quelques circonstances (par exemple un client de l'entreprise situer derrière un firewall) un utilisateur peut être limité à un accès FTP en mode passif uniquement. Si un serveur FTP derrière WinRoute utilise un port non standard, aucun accès en mode passif ne peut être établi. C'est parce que WinRoute attribue (par défaut) le port 21 au FTP, ainsi si l'utilisateur souhaite utiliser un port différent, WinRoute doit être réglé. La procédure suivante corrige ce problème et permettra l'accès en mode passif. 1 Aller sur la machine de WinRoute 2 Arrêter le moteur de WinRoute 3 Aller dans le menu Démarrer->Exécuter sur le bureau 4 Taper regedit pour accéder à l'éditeur de base de registre; 5 Trouver HKEY_LOCAL_MACHINE\SOFTWARE\Kerio\WinRoute\Mport. Vous verrez alors les sous répertoires qui comprennent les informations correspondant aux ports mappés. S'il n'y a aucun sous répertoire, c'est qu’il n'y a aucun port mappé. 6 Trouver le répertoire qui contient le Port Mapping utiliser par le serveur FTP 7 Modifier la clef "flags" à '1' 8 Modifier la clef "NatApp" à 'FTP' 9 Rallumer le moteur de WinRoute. 184 WinRoute Pro 4.2 Guide de Référence Ces configurations "indiquent" à WinRoute que les paquets arrivant sur le port que vous avez défini seront du protocole FTP et donc WinRoute utilisera d'autres fonctions pour faire traverser ce protocole complexe. Réseaux spéciaux Réseaux Token Ring Connecter des réseaux Token Ring Le Token Ring est un type de réseau très spécifique. En conséquence, nous supposerons que seul les professionnels du réseau utilisent le Token Ring et nous n'entrerons pas dans une explication détaillée ici. ! ! ! Tous les ordinateurs du Token Ring ont besoin d'une MTU (maximum transmission unit) réglé à 1500 Sur l'ordinateur de WinRoute aller dans le menu Configuration->Avancée>Options diverses et sélectionner "Support for Token Ring networks" Suivez d'autres instructions de configuration spécifiques pour chaque type de connexion Internet Exemples de Configuration 185 Environnement au système d'exploitation multiple (Linux, AS400, Apple) Interconnections d'environnements hétérogène (systèmes d'exploitation multiples; Linux, Unix, AS400, Apple) WinRoute convient pour la connections de différents types de systèmes d'exploitation à l'Internet. WinRoute agit comme un routeur logiciel. En fait, il supporte n'importe quel environnement TCP/IP standard. NOTE: Un système d'exploitation basé sur Windows doit accueillir l'application WinRoute. Par conséquent, au moins un ordinateur basé sur Windows 95/98/NT est exigé sur un réseau WinRoute. Le serveur ne peut pas être un système UNIX. Cependant, UNIX peut fonctionner parfaitement en tant que client. 186 WinRoute Pro 4.2 Guide de Référence Connecter des réseaux multiples WinRoute est un routeur logiciel qui vous permet de connecter plusieurs réseaux à l'Internet via l'intermédiaire d'une connexion unique partagée (et d’une adresse IP). Normalement il est difficile de connecter et de configurer la connexion de tels environnements. WinRoute permet de connecter ces réseaux avec facilité. Ces réseaux peuvent être interconnectés par l'intermédiaire de l'Ethernet, du TokenRing, du frame relay, de Microsoft's PPTP ou même d'une ligne dial-up RAS. Cela signifie que les compagnies, avec plusieurs succursales, peuvent bénéficier de leur WAN privé sécurisée et se connecté à l'Internet via une connexion unique avec un coût minimum. Exemples de Configuration 187 Connecter des segments Publics et Privés (DMZ) Un segment privé se compose d'ordinateurs qui utilisent des adresses Internet de type privé. De telles adresses sont réservées aux réseaux privés et ne peuvent pas être utilisées sur l'Internet. C'est pourquoi vous avez besoin de WinRoute pour traduire ces adresses privées en adresses publiques qui vous permettent de vous connecter à l'Internet. Les ordinateurs avec une adresse privée ne sont pas directement accessibles de l'extérieur (Internet). Un segment public se compose d'ordinateurs où chaque ordinateur a une adresse IP public. Ces systèmes, si vos règles de sécurité le permettent, peuvent être directement accessibles depuis l'Internet Chaque segment doit avoir sa propre interface réseau sur l'ordinateur de WinRoute. Ainsi le moteur de WinRoute permettra à vos segments privés et publics de partager une connexion Internet unique. 188 WinRoute Pro 4.2 Guide de Référence Configurations de WinRoute Il est nécessaire d'ajouter des configurations NAT avancées, ainsi WinRoute n'appliquera pas le NAT pour des paquets allant vers le segment public. Pour faire ceci aller dans le menu Configuration=>Avancée=>NAT. Configurations de réseaux publics et privés Ces réseaux seront configurés comme décrit dans d'autres parties de ce manuel. Pour les segments publics la seule différence est que vous utiliserez des adresses IP public sur le segment. De manière simple respectez les règles suivantes: ! ! ! AUCUNE passerelle par défaut sur les interfaces de WinRoute L'adresse IP de ces interfaces sera utilisée comme passerelle par défaut pour le reste de leur réseau. AUCUN NAT sur les interfaces de WinRoute … regardez CheckList pour davantage d'explications Exemples de Configuration 189 Partager la connexion pour deux réseaux avec 1 adresse IP Au cas où vous auriez deux réseaux connectés à l'Internet par l'intermédiaire d'un ordinateur exécutant WinRoute, il n'y a aucune configuration spécifique. Fondamentalement il y a plusieurs segments menant à l'ordinateur de WinRoute, chacun à une interface réseau séparé. Dans notre exemple il y a trois interfaces réseau dans l'ordinateur de WinRoute: ! L'interface Internet ! L'interface du réseau 1 ! L'interface du réseau 2 190 WinRoute Pro 4.2 Guide de Référence Les seules configurations que l'on doit garder à l'esprit sont: Interface d'Internet Le NAT est L'adresse IP est réglée comme l’a La passerelle est réglée comme l’a indiqué votre ISP indiqué votre activé ISP Interfaces internes Le NAT est désactivé Il n'y a AUCUNE passerelle par défaut configurée sur les deux interfaces L'adresse IP est de type interne (par exemple 192.168.1.1) Les autres options sont identiques à celles décrites dans d'autres chapitres de ce manuel. Le trafic entrant de chaque sous-réseau est routé vers l'autre sous-réseau ou vers l'Internet et réciproquement. Exemples de Configuration 191 Partager la connexion pour deux réseaux avec 2 adresse IP Vous pouvez vouloir partager un accès Internet entre deux réseaux alors que chaque réseau est derrière une adresse IP publique différente. En même temps vous voudriez pouvoir accéder aux ordinateurs des deux réseaux privés. 192 WinRoute Pro 4.2 Guide de Référence Il est TRÈS important lorsque vous appliquez le scénario de routage suivant: ! Ne PAS NATer les paquets allant vers l'autre réseau. ! NATer tous les paquets allant à l'Internet Dans d'autres termes WinRoute appliquera le NAT ou pas en en fonction de la destination des paquets IP qui passent par lui. Les paquets allant vers le réseau distant ne seront pas NATés tandis que les paquets allant vers l'Internet seront entièrement NATé. Routeur ou hub? En se basant sur vos besoins vous devez décider si vous voulez avoir un routeur entre vos réseaux ou si un hub suffit. Dans notre scénario un hub fournit assez de fonctionnalité pour permettre à deux réseaux de partager une connexion Internet (à grande vitesse). Pour configurer WinRoute pour ne NATer ou pas en se basant sur la destination du paquet: 1. Aller au menu Configuration->Avancée->NAT. 2. Écrire les critères de destination - habituellement le sous-réseau ou l'intervalle des adresses IP 3. Choisissez l'option "Ne pas faire de NAT" Exemples de Configuration 193 Conseil: Dans la configuration avancée du NAT vous trouverez une autre option permettant de ne pas appliquer le NAT en se basant sur l'adresse IP de la source. Cette option pourrait être utile quand vous connaissez les postes de travail qui n'auront pas besoin d'accéder à l'Internet. Puis plutôt que de régler des règles de firewall vous pouvez trouver une autre solution dans les configurations avancées du NAT. Si vous n'appliquer pas le NAT à certains paquets, la source gardera son adresse IP interne, elle n'obtiendra jamais de réponses en retour. En d'autres termes, un tel utilisateur pourra essayer de se connecter à l'Internet très longtemps sans aucune chance d'accéder à l'Internet un jour. 194 WinRoute Pro 4.2 Guide de Référence Remote Access Server (dial-in et acces à l'internet) Solution d'accès à distance au serveur Parfois il peut être nécessaire d'accéder à votre réseau d'entreprise depuis le monde extérieur par l'intermédiaire du téléphone et utiliser cet accès à internet. WinRoute fournit cette fonctionnalité sur WindowsNT avec les services RAS installés et configurés. Il y a des règles spécifiques qui doivent être respectées: ! Votre réseau d'entreprise a un sous-réseau (par exemple 192.168.1.0) ! Le serveur DHCP de WindowsNT donne aux utilisateurs venant par le RAS des adresses IP d'un sous-réseau différent (par exemple. 192.168.2.0) ! Le NAT sera activé seulement sur l'interface menant à l'Internet Dans d'autres termes, la carte réseau (NIC) menant à votre réseau local doit avoir une adresse IP d'un des sous-réseau (par exemple 192.168.1.1) tandis que l'utilisateur se connectant à votre serveur par l'intermédiaire du RAS doit obtenir une adresse IP d'un réseau différent (par exemple 192.168.2.1). WinRoute agit en tant que routeur - il peut router des paquets entre deux, ou plus, interfaces réseaux différentes - pas sur la même. Ce type de d'installation reproduit ce qui se passe chez un petit ISP. WinRoute ne limite pas le nombre d'utilisateurs simultanés pouvant accéder à votre NT serveur. Tant que votre serveur NT donne aux utilisateurs distants des adresses IP de sousréseaux différents (différentes de celles du réseau principal), seul le nombre d'interfaces RAS installées limite le nombre d'utilisateurs. Exemples de Configuration 195 Connecter des segments en cascade via 1 adresse IP Le type d'installation réseau, où tous les réseaux qui doivent être connectés ne sont pas directement reliés à l'ordinateur de WinRoute, bien qu'étant connectés par un routeur, s'appelle segments en cascade. Le routeur entre les deux réseaux peut être n'importe quel Figure 1: Connecting routeur matériel, un ordinateur WindowsNT ou n'importe cascaded segments to the quel ordinateur Windows 95/98 avec WinRoute. WinRoute Internet agira en tant que routeur avec ou sans le NAT. 196 WinRoute Pro 4.2 Guide de Référence En général il est nécessaire de "dire" à l'ordinateur de WinRoute où seront envoyés les paquets entrants pour les autres réseaux ; alors que pour les paquets sortants il doit y avoir des liens semblables sur le routeur (en divisant les deux réseaux) pour indiquer où les paquets sortant du deuxième réseau seront envoyés. Ceci peut être fait par l'ajout des nouvelles routes - une sur l'ordinateur de WinRoute (pour les paquets entrants) et une sur le routeur (pour les paquets sortants). ! La ROUTE sur l'ordinateur de WinRoute (membre du Reseau1) routera les paquets IP à destination de l'autre réseau (Reseau2) à l'adresse IP du routeur du Reseau1. Ce routeur transportera ces paquets plus loin. ! La ROUTE par DÉFAUT du routeur (qui connecte les deux réseaux) routera tous les paquets venant du Reseau2 à l'adresse IP de l'ordinateur de WinRoute du Reseau1. Alors WinRoute gérera ces paquets avec le NAT et les enverra vers l'Internet Exemple Notre exemple comporte deux réseaux 192.168.1.x et 192.168.2.x., l'IP du routeur est 192.168.1.100. Note! Vous pouvez utiliser comme routeur n'importe quel routeur hardware mais également n'importe quel ordinateur Win95/98 avec WinRoute ou encore WindowsNT. Configurations du Reseau1 (réseau primaire) ! ! Vous devez indiquer à l'ordinateur de WinRoute: "tous les paquets allant au réseau 192.168.2.0 doivent passer par le routeur 192.168.1.100": 1. Aller à l'invite MS-DOS ! 2. Écrire la commande suivante: Route -p add 192.168.1.100 ! 192.168.2.0 mask 255.255.255.0 Sur le routeur 192.168.1.100, la route par défaut doit mener à l'ordinateur de WinRoute, c-à-d. 192.168.1.1. En d'autres termes, vous devez dire à votre routeur d'envoyer tous les paquets qui vont vers l'Internet au PC de WinRoute. Exemples de Configuration ! 197 Toutes les autres paramètres du réseau sont décrits dans d'autres chapitres (configuration de réseau). Configurations du Reseau2 (réseau secondaire) Toutes les options sont standard, comme si le Reseau2 était le seul réseau. La passerelle par défaut de tous les ordinateurs du Reseau2 est l'adresse IP du routeur du Reseau2 (192.168.2.1 dans notre exemple). NAT entre le Reseau1 et le Reseau2 Figure 2: Connecting cascaded segments to the Internet Vous pouvez utiliser WinRoute et activer la fonction NAT pour interconnecter les réseaux primaires et secondaires. Le réseau secondaire ressemblera un ordinateur unique ainsi vous bénéficierez d'une administration plus facile et d'une sécurité plus élevée du réseau secondaire. Vous devrez régler correctement les options NAT avancées car vous ne voulez pas modifier le trafic entre ces deux réseaux. 198 WinRoute Pro 4.2 Guide de Référence Configurations NAT avancée sur le PC de WinRoute divisant le Reseau1 et le Reseau2 En se basant sur l'adresse IP de destination vous appliquerez ou pas le NAT. Dans notre exemple, si la destination des paquets est sur le réseau 192.168.1.0 alors les paquets ne seront pas NATés. Ceci permettra la transmission de données entre ces deux réseaux comme s’il n'y avait pas de NAT. Pour la configuration du réseau suivez les règles décrites dans le reste de ce manuel. Glossaire des termes 199 Glossaire des termes A B Adresse IP BOOTP Une adresse IP est un nombre de 32 bits, qui identifie un hote (un ordinateur) sur un réseau IP. Une adresse IP unique est assignée à chaque ordinateur sur Internet. Chaque paquet transittant sur Internet contient des informations telles que l'adresse IP de provenance et l'adresse IP de destination du paquet. Le protocole BOOTP (Bootstrap Protocol) permet d'assigner des adresses IP à des ordinateurs du réseau local, dynamiquement depuis un serveur DHCP. Adresse MAC Une adresse MAC (Media Access Control) est l'adresse physique (matérielle) d'un adaptateur réseau et ne peut donc être changée. ARP Le protocole ARP (Address Resolution Protocol) permet d'associer une adresse IP avec une adresse matérielle en faisait une requête sur la machine émettrice. La requête demande l'adresse MAC de la machine distante. WinRoute utilise ARP pour des raisons d'audit et de sécurité. C Cache Une mémoire cache stocke temporairement des données. WinRoute utilise une mémoire cache pour stocker temporairement les pages web et économiser de la bande passante. 200 WinRoute Pro 4.2 Guide de Référence D E DHCP ETRN Le protocole DHCP (Dynamic Host Configuration Protocol) est un protocole qui permet d'organiser et de simplifier l'administration des adresses IP d'un réseau local. Dans de nombreux cas (comme avec WinRoute) un serveur DNS est intégré au serveur DHCP pour de nombreuses simplifications. En spécifiant l'adresse IP d'un adaptateur réseau particulier, habituellement l'interface connectée à Internet, DHCP utilisera les valeurs DNS associées avec cette interface. ETRN est une commande utilisée par les serveurs SMTP pour récupérer du courrier SMTP. DNS DNS (Domain Name System) est un système de nommage pour les adresses IP. Par exemple, www.kerio.com est un nom de domaine associé à une adresse IP. Un serveur DNS associe un nom à une adresse IP. Ce système est utilisé car il est plus facile de se rappeler d'un nom de domaine que d'une adresse IP numérique. La commande ETRN est utilisée lorsqu'un serveur SMTP n'est pas en ligne 24h/24 et que les emails envoyés sur ce serveur doivent être stockés temporairement sur un autre serveur SMTP. La commande permet ainsi de récupérer les messages sur le serveur temporaire. F FAI Fournisseur d'Accès à Internet (ISP en anglais). C'est le fournisseur de services qui vous permet de connecter votre ordinateur à Internet. ex: AOL, Wanadoo, Club Internet, etc. Glossaire des termes 201 Firewall FTP Ou parfeu. C'est un module de filtrage, situé sur une passerelle, qui examine les trafics entrant et sortant pour déterminer si il doit être ou non routé jusqu'à destination. WinRoute fournit un firewall via: sa fonctionalité de Translation d'Adresse (NAT), son filtre de paquets permettant d'appliquer des règles les adresses IP, et sa capacité d'enregistrer certaines informations sur les paquets sortants pour qu'ils puissent être autorisés sur le chemin du retour. Le protocole FTP (File Transfer Protocol) est un protocole de la couche application utilisé pour transférer, mettre à jour, supprimer, déplacer, renommer ou copier des fichiers à travers Internet. I ICMP Le protocole ICMP (Internet Control Message Protocol) utilise des datagrames pour rapporter les erreurs de transmission entre les machines et les passerelles. Flags Les Flags sont des informations étendues faisant partie du paquet. Ces informations sont utilisées par les routeurs. Voici une liste des flags affichés par WinRoute: SYNC - Synchronize - le paquet d'initialisation d'une connexion TCP Interface réseau L'interface réseau est l'adaptateur qui connecte un ordinateur avec les autres ordinateurs. Une interface réseau peut être une carte Ethernet, un modem, une carte RNIS (ISDN Numéris), etc. L'ordinateur envoie et reçoit des données en utilisant cette interface réseau. ACK - Acknowledge - le paquet d'accord de connexion RST - Reset - demande pour reétablir la connexion URG - Urgent - paquet urgent PSH - Push - demande la délivrance immédiate du paquet à la couche la plus haute FIN - Finalize - termine la connexion IPSEC IPSEC (Internet Protocol Security), en bref, permet la création de réseau privé virtuel (VPN) en utilisant une authentification et un cryptage pour échanger les informations. WinRoute supporte IPSEC. 202 WinRoute Pro 4.2 Guide de Référence L N LAN NAT Un réseau local (LAN - Local Area Network ) est un groupe d'ordinateurs interconnectés ayant la capacité de partager des ressources. Avec la Translation d'adresse (NAT Network Address Translator) vous pouvez connecter votre réseau local à Internet en utilisant une seule adresse IP. Les ordinateurs de votre réseau local accèdent à Internet comme s'ils étaient reliés directement à Internet (certaines limitations peuvent cependant se produire). M Masque réseau Le masque réseau est utilisé pour regrouper des adresses IP ensemble. Il y a un groupe d'adresses IP assigné à chaque segment du réseau. Par exemple, le masque 255.255.255.0 (ou /24) regroupe 254 adresses IP. Si on a, par exemple, un sous-réseau 194.196.16.0 avec un masque de 255.255.255.0, les adresses que l'on peut assigner aux ordinateurs du sous-réseau vont de 194.196.16.1 à 194.196.16.254. La connexion du réseau local tout entier en utilisant une seule et unique adresse IP, est rendue possible par le fait que le module NAT remplace l'adresse source contenue dans les paquets, envoyés depuis le réseau local, par l'adresse IP publique de l'ordinateur WinRoute. La technologie NAT est très différente des technologies utilisées par les différents serveurs proxy ou passerelles basées sur la couche application. Ce type de technologies ne sera jamais capable de supporter autant de protocoles que la technologie NAT. Glossaire des termes 203 P POP3 Paquet Le protocole POP3 est principalement utilisé par les logiciels clients de messagerie pour récupérer les messages contenues dans des boites aux lettres électroniques compatibles POP3. Le serveur de messagerie de WinRoute à cette fonctionalité. Il peut, par exemple, récupérer les messages contenus dans plusieurs boites aux lettres chez votre FAI, et les distribuer localement dans les boites aux lettres des utilisateurs WinRoute. Un paquet est une unité de donnée de communication utilisée lors d'envois de données d'un ordinateur à un autre. Chaque paquet contient un certain volume de données. La taille maximum d'un paquet dépend du média de communication. Par exemple, sur un réseau Ethernet, la taille maximum est de 1500 octets. Chaque paquet est composé de deux parties: l'en-tête et les données. L'entête contient des informations concernant le paquet. De plus amples informations peuvent être obtenues dans la section Filtrage des paquets. Passerelle C'est le (un) point d'entrée d'un réseau depuis un autre. Une passerelle est reponsable de la bonne distribution des paquets entrant et sortant du réseau local. WinRoute doit être installé sur la machine passerelle. POP3 est un protocole basé sur le protocole TCP et utilisant le port 110. Si vous voulez accéder à un serveur de messagerie POP3 situé derrière une machine WinRoute exécutant le module de NAT, vous devez créer un Port Mapping pour le protocole TCP sur le port 110 et l'envoyer vers l'adresse privée de la machine exécutant le serveur de messagerie. 204 WinRoute Pro 4.2 Guide de Référence Port Protocole Un port est un numéro de 16 bits (ce qui permet un intervalle de 1 à 65535) utilisé par le protocole de la couche de transport - les protocoles TCP et UDP. Les ports sont utilisés pour adresser des applications (services) s'exécutant sur un ordinateur. Défini des règles pour la tranmission de données. Un numéro de port peut être vue comme l'adresse d'une application tournant sur une machine. Port mapping Un Port mapping (ou Port Address Translation - PAT) est un processus qui analyse les paquets arrivant sur une interface et qui les route selon leur adresse et port de destination. Cela permet de faire passer des informations entrantes vers un ordinateur situé à l'intérieur du réseau privé. On peut définir plusieurs types de Port mapping selon le protocole qui l'on désire faire passer. PPTP Le protocole PPTP (Point To Point Tunnelling Protocol) est un protocole de VPN utilisé par les systèmes d'exploitation Microsoft pour crypter les communications entre deux ordinateurs. Proxy Proxy est une autre méthode de partage d'accès Internet. La technologie Proxy opère sur la couche la plus haute (la couche application) des couches réseau. Cela rend cette technologie peut efficace et surtout dépendante d'une application spéciale permettant les transferts via Proxy. De plus, une nouvelle implémentation du Proxy est nécessaire pour chaque nouveau protocole. R RAS Le service d'accès distant (Remote Access Service) permet à un ordinateur d'appeler un autre ordinateur à distance. Pour WinRoute, RAS correspond à une connexion distante. Glossaire des termes 205 S T SMTP Table de routage Le protocole SMTP (Simple Mail Transfer Protocol) est utilisé pour les communications directes entre les serveurs de messagerie (comme le serveur de messagerie de WinRoute et le serveur de messagerie de votre FAI) et pour envoyer des messages depuis votre logiciel client de courrier électronique. SMTP est un protocole unidirectionnel - c'est à dire que votre message peut être envoyé via ce protocole, mais ne peut être récupéré. Vous devez utilisé les protocole POP3 pour cela. La table de routage et une table de règles utilisées par la pile TCP/IP pour transmettre les paquets sur un réseau IP. Elle permet donc à WinRoute de transmettre correctement les paquets. Pour voir la table de routage depuis une fenêtre MS-DOS, tapez la commande suivante: route print. SMTP est un protocole basé sur TCP et travaillant sur le port 25. Si vous voulez placer un serveur SMTP derrière une machine WinRoute, vous devez faire un port mapping sur le port TCP 25 et le diriger vers l'adresse privée de votre serveur SMTP à l'intérieur de votre réseau privé. TCP/IP TCP/IP est une combinaison de protocoles utilisée pour assurer des communications entre ordinateurs. Tous les protocoles sont basés sur des paquets; c'est à dire que les données sont "découpées" en petites sousparties et envoyées à travers le réseau. Les protocoles de la famille TCP/IP sont: IP, TCP, UDP, ICMP, et d'autres protocoles basés sur IP. 206 WinRoute Pro 4.2 Guide de Référence U UDP Le protocole UDP (User Datagram Protocol) est typiquement utilisé pour envoyer des données qui ne nécessitent pas de controle d'erreur de transmission, etc. Par exemple, UDP peut être utilisé pour envoyer des datagrammes servant à transporter les données d'une communication "téléphonique" entre deux personnes (le protocole UDP est utilisé dans la recommendation H.323). V VPN Virtual Private Network ou Réseau Privé Virtuel. Cela permet de partager, de manière sécurisée, des ressources à travers internet. Cela en créant un ou plusieurs tunnels qui assurent une transmission cryptée des données dans les deux sens. WinRoute supporte les VPN basés sur le protocole PPTP. Index Index A A lire en priorité • 1 A propos de la mémoire cache • 121 A propos du lancement de jeux derrière le NAT • 163 Aasheron's call • 164 Accéder à un serveur FTP qui utilise des ports non-standards • 184 Accès Distant - PC Anywhere • 160 Administration dans WinRoute • 6 Administration depuis Internet • 10 Administration depuis le réseau local •8 Adresse IP • 201 Adresse MAC • 201 Ajouter un utilisateur • 87 Alias • 110 Analyse des audits (log) et des paquets • 129 Anti-Spoofing • 81 Architecture • 77 Architecture de WinRoute • 61 ARP • 201 Audit de debug (Debug log) • 131 Audit de messagerie • 135 Audit d'erreur • 136 Audit HTTP (Proxy) • 133 Authentication • 87, 94 Authentification • 93 B Battle.net (Blizzard) • 165 BOOTP • 201 C Cache • 201 Choisir le bon ordinateur WinRoute • 22 CITRIX Metaframe • 155 Comment forcer les utilisateurs à utiliser le Proxy et non la NAT? • 127 Comptes Utilisateurs • 86 Configuration DHCP • 74 Configuration du filtrage de paquets • 52 Configuration du logiciel de messagerie • 107 Configuration du raleyeur DNS • 84 Configuration du réseau • 20 Configuration IP - assignation manuelle • 26 Configuration IP avec le serveur DHCP • 23, 33 Configuration IP avec un serveur DHCP tiers • 25 Configuration rapide • 116 Configurer la NAT sur les deux interfaces • 63 Configurer la sécurité • 46 Conflits logiciels • 18 Connecter des réseaux multiples • 188 Connecter des segments en cascade via 1 adresse IP • 197 207 208 WinRoute Pro 4.2 Guide de Référence Connecter des segments Publics et Privés (DMZ) • 189 Connexion (bi-directionnelle) par modem câble • 32 Connexion AOL • 36 Connexion DirecPC • 39 Connexion DSL • 30 Connexion du réseau à Internet • 27 Connexion modem ou RNIS (Numéris) • 27 Connexion T1 ou LAN • 37 Connexion unidirectionnelle par modem câble et ligne modem • 34 Connexion xDSL via PPPoE • 31 CU-SeeMe • 158 D D'autres applications • 159 D'autres jeux • 174 Définition d'un utilisateur • 86 Démarrage rapide • 15, 30, 33, 38, 190 Description de WinRoute • 56 DHCP • 202 DNS • 202 Domaines multiples • 101 E Environnement au système d'exploitation multiple (Linux, AS400, Apple) • 187 Envoyer des e-mails aux autres utilisateurs de WinRoute sur votre réseau • 92 Envoyer des Emails sur Internet • 94 ETRN • 202 Exécuter un serveur DNS derrière NAT • 180 Exécuter un serveur FTP derrière NAT • 181 Exécuter un serveur Mail derrière NAT • 182 Exécuter un serveur Telnet derrière NAT • 183 Exécuter un serveur WWW derrière NAT • 179 Exemple de règles de base pour le filtrage des paquets • 82 Exemple de règles de base pour les connexions entrantes HTTP et FTP • 83 Exemple de solution PPTP • 145 Exemples de Configuration • 139 Exemples de configurations Firewall • 147 F FAI • 202 Firewall • 203 Firewall - Filtrage des Paquets • 76 Flags • 203 Fonctionnement de la Translation d'Adresse (NAT) • 62 Forcer les utilisateurs à utiliser le Serveur Proxy • 118, 127, 147 FTP • 203 G Groupes d'utilisateurs • 89 H H.323 - NetMeeting 3.0 • 154 Half-Life • 165 I ICMP • 203 Interface réseau • 203 Index Intervales de Temps • 137 Introduction à l'Administration • 7 IPSEC • 203 IRC - Internet Relay Chat • 155 L La sécurité NAT • 47 LAN • 204 Lancer ICQ derrière NAT • 153 Lancer ICQ, voix sur IP, vidéo conférence derrière WinRoute • 153 Lancer un client PPTP derrière NAT • 146 Lancer un serveur PPTP derrière NAT • 144 M Mappings additionnels pour des jeux/applis courants • 168 Masque réseau • 204 Mise en marche et utilisation • 14 MSN Gaming zone • 165 N NAT • 204 NAT Multiple • 70 Ne pas utiliser le Serveur de Messagerie de WinRoute • 109 O Options de la sécurité NAT • 48 P Paquet • 205 Paramètres de la mémoire cache • 122 Partager la connexion pour deux réseaux avec 1 adresse IP • 191 Partager la connexion pour deux réseaux avec 2 adresse IP • 193 Passerelle • 205 Passerelle PC Anywhere • 162 PC Anywhere • 160 Permettre la communication sur certain ports • 149 Planification des échanges de courrier électronique • 113 POP3 • 205 Port • 206 Port mapping • 206 Port Mapping - Transmission de Paquet • 66 Port Mapping pour systèmes d'hébergement multiples (plusieurs adresses IP) • 69 PPTP • 206 Problèmes DNS • 178 Problèmes FTP lors de l'utilisation de ports non-standards • 184 Propriétés avancées • 120 Protocole • 206 Protocoles • 81 Proxy • 206 Q Quake • 166 R RAS • 206 Recevoir des emails - Vous avez plusieurs comptes chez le Fournisseur d'Accès • 105 Recevoir du courrier • 96 Réglage de la passerelle par défaut • 21 Règles • 79 Relayeur DNS • 84 209 210 WinRoute Pro 4.2 Guide de Référence Remote Access Server (dial-in et acces à l'internet) • 196 Réseaux spéciaux • 186 Réseaux Token Ring • 186 Routeur NAT • 60 S Section Jeux • 163 Serveur de messagerie • 90 Serveur DHCP • 73 Serveur DNS derrière WinRoute • 175 Serveur DNS et WWW derrière NAT • 176 Serveur DNS sur le PC de WinRoute • 175 Serveur FTP derrière WinRoute utilisant un port non-standard • 185 Serveur Proxy • 115 Serveur Proxy - Contrôle des accès utilisateurs • 118 Serveurs WWW, FTP, DNS et Telnet derrière WinRoute • 179 SMTP • 207 Solutions DNS • 175 Solutions pour les VPN IPSEC, NOVELL et PPTP • 139 Sommaire des fonctionalités de WinRoute • 57 StarCraft • 167 Support VPN • 72 Système requis • 14 T Table de routage • 207 Table des Interfaces • 72 TCP/IP • 207 Téléphonie Internet - BuddyPhone • 157 Temps de vie (TTL) • 125 U UDP • 208 Utilisateurs de la Messagerie • 91 Utiliser le Serveur de Messagerie de WinRoute • 107 Utiliser un Serveur Proxy parent • 127 V Vous avez perdu le mot de passe d'administration • 13 Vous avez un domaine assigné à un compte POP3 • 102 Vous avez un nom de domaine • 96 VPN • 208 VPN IPSEC • 139 VPN Novell Border Manager • 142 ">
Lien public mis à jour
Le lien public vers votre chat a été mis à jour.
