Problème: 2 cartes réseau, une en DHCP, l'autre en IP fixe

Salut,

Cet article est crossposté dans news:fr.comp.reseaux.ethernet et
news:fr.comp.reseaux.ip avec suivi positionné dans ce dernier car il me
semble plus adapté au sujet.
La citation quasi-intégrale de l'article original est motivée par le
changement de forum afin que les lecteurs de fr.comp.reseaux.ip puissent
se faire une idée complète du problème tel qu'il a été posé.
Ma réponse se trouve assez bas dans le message.

Patrick 'Zener' Brunet wrote:

J'ai un problème intermittent sur mon petit LAN, au niveau de mon PC
passerelle.

Ce PC (sous W2000 Pro) a deux cartes réseaux définissant un segment
"interne" (mon LAN client), et un segment "externe" reliant le PC à un
routeur (Netgear RP614) suivi d'une N9ufBox (ADSL).

Le segment interne utilise un adressage IP fixe, toutes les stations
définissant le PC passerelle comme passerelle par défaut et comme proxy
Internet (il fait tourner un soft de serveur proxy). Ce segment utilise
NetBIOS/TCP/IP pour la facilité des voisinages réseau Windows. Le PC
passerelle est le maître NetBIOS (BrowseMaster).

Le segment externe utilise un adressage automatique (serveur DHCP du
routeur) et NetBIOS est désactivé sur ce segment. Les deux segments ne sont
reliés que par le PC passerelle.

Problème (intermittent):
============== >
Le routage entre les deux segments ne se fait pas correctement. Par
intermittence le segment externe (donc le routeur) n'est plus accessible
depuis le LAN et même depuis le PC passerelle (pas de ping, page HTML
d'administration du routeur inaccessible), alors même que la connexion est
établie (la carte a son IP assignée et on accède à Internet).

Tout se passe comme si les trames IP au niveau de la passerelle partaient
préférentiellement sur le segment interne.

J'ai essayé de jouer sur la métrique des deux cartes réseau, c'est la cata :
si les métriques sont différentes, alors le PC passerelle ne voit plus qu'un
seul segment ! Ca me paraît anormal, il devrait seulement y avoir priorité
au segment externe.

Une solution temporaire consiste après le boot à désactiver puis réactiver
la carte réseau côté interne. Il semble alors que le routage soit redéfini
comme voulu, tout fonctionne, on a même accès à la config du routeur depuis
toute station du LAN côté interne.
Mais évidemment au premier reboot c'est fini.

Autre solution, fixer la métrique de la passerelle par défaut pour la carte
réseau côté interne à 200 (selon les RFC, le serveur DHCP donne à celle de
l'ISP pour la carte externe une métrique de 100).
Cette solution a fonctionné jusqu'à ce que le PC passerelle soit rebooté,
elle a alors cessé de fonctionner. Actuellement, le segment externe est donc
de nouveau isolé. Pourtant les utilitaires du PC passerelle qui se
connectent directement à Internet (HTTP) sans utiliser le serveur proxy y
accèdent sans problème.

========= >
Le problème global est donc : par quel paramétrage conserver simultanément
l'adressage mixte et une liaison entièrement fonctionnelle entre les deux
segments du réseau ?

Infos complémentaires :
============== >
Le serveur proxy ne route pas l'ICMP,

Un proxy ne route rien du tout. C'est une passerelle applicative, pas un
routeur. Ou alors ce n'est pas seulement un proxy. D'ailleurs, quel
logiciel de proxy utilises-tu ? Utilises-tu aussi le partage de
connexion internet (ICS) de Windows ?

donc les pings doivent passer par le
routage IP interne, et les softs utilisant HTTP installés sur le PC
passerelle n'utilisent pas le serveur proxy, donc se connectent directement
côté externe.
Par ailleurs, le LAN est entièrement en classe C, les deux segments étant
sur le même sous-réseau, et il n'y a pas d'erreur possible de recouvrement
de plages d'IP, j'ai fait gaffe.

Je ne suis pas sûr d'avoir tout compris, mais cette dernière phrase
m'inquiète et ça pourrait expliquer pas mal de choses. Peux-tu indiquer
quels sont les adresses et masques de sous-réseau des deux segments,
l'adresse interne du routeur et les adresses interne et externe de la
passerelle afin de lever toute ambiguïté sur ta configuration d'adressage ?

Bonjour.


"Pascal@plouf" <pascal@plouf.invalid> a écrit dans le message de news:
cn2b66$8i5$1@biggoron.nerim.net...

Salut,

Cet article est crossposté dans news:fr.comp.reseaux.ethernet et
news:fr.comp.reseaux.ip avec suivi positionné dans ce dernier car il me
semble plus adapté au sujet.
La citation quasi-intégrale de l'article original est motivée par le
changement de forum afin que les lecteurs de fr.comp.reseaux.ip puissent
se faire une idée complète du problème tel qu'il a été posé.
Ma réponse se trouve assez bas dans le message.

Effectivement, quoiqu'il s'agisse peut-être d'une spécificité de la couche
réseau Win2000. C'est à voir...
Je réponds donc ici.

Patrick 'Zener' Brunet wrote:

J'ai un problème intermittent sur mon petit LAN, au niveau de mon PC
passerelle.

Ce PC (sous W2000 Pro) a deux cartes réseaux définissant un segment
"interne" (mon LAN client), et un segment "externe" reliant le PC à un
routeur (Netgear RP614) suivi d'une N9ufBox (ADSL).

Le segment interne utilise un adressage IP fixe, toutes les stations
définissant le PC passerelle comme passerelle par défaut et comme proxy
Internet (il fait tourner un soft de serveur proxy). Ce segment utilise
NetBIOS/TCP/IP pour la facilité des voisinages réseau Windows. Le PC
passerelle est le maître NetBIOS (BrowseMaster).

Le segment externe utilise un adressage automatique (serveur DHCP du
routeur) et NetBIOS est désactivé sur ce segment. Les deux segments ne
sont

reliés que par le PC passerelle.

Problème (intermittent):
============== > >
Le routage entre les deux segments ne se fait pas correctement. Par
intermittence le segment externe (donc le routeur) n'est plus accessible
depuis le LAN et même depuis le PC passerelle (pas de ping, page HTML
d'administration du routeur inaccessible), alors même que la connexion
est

établie (la carte a son IP assignée et on accède à Internet).

Tout se passe comme si les trames IP au niveau de la passerelle
partaient

préférentiellement sur le segment interne.

J'ai essayé de jouer sur la métrique des deux cartes réseau, c'est la
cata :

si les métriques sont différentes, alors le PC passerelle ne voit plus
qu'un

seul segment ! Ca me paraît anormal, il devrait seulement y avoir
priorité

au segment externe.

Une solution temporaire consiste après le boot à désactiver puis
réactiver

la carte réseau côté interne. Il semble alors que le routage soit
redéfini

comme voulu, tout fonctionne, on a même accès à la config du routeur
depuis

toute station du LAN côté interne.
Mais évidemment au premier reboot c'est fini.

Autre solution, fixer la métrique de la passerelle par défaut pour la
carte

réseau côté interne à 200 (selon les RFC, le serveur DHCP donne à celle
de

l'ISP pour la carte externe une métrique de 100).
Cette solution a fonctionné jusqu'à ce que le PC passerelle soit
rebooté,

elle a alors cessé de fonctionner. Actuellement, le segment externe est
donc

de nouveau isolé. Pourtant les utilitaires du PC passerelle qui se
connectent directement à Internet (HTTP) sans utiliser le serveur proxy
y

accèdent sans problème.

========= > >
Le problème global est donc : par quel paramétrage conserver
simultanément

l'adressage mixte et une liaison entièrement fonctionnelle entre les
deux

segments du réseau ?

Infos complémentaires :
============== > >
Le serveur proxy ne route pas l'ICMP,

Un proxy ne route rien du tout. C'est une passerelle applicative, pas un
routeur. Ou alors ce n'est pas seulement un proxy. D'ailleurs, quel
logiciel de proxy utilises-tu ? Utilises-tu aussi le partage de
connexion internet (ICS) de Windows ?

Exact, sorry : erreur de terminologie.
Le logiciel est FreeProxy v.3.81 de Hand Crafted Software. Il offre un
service de proxies assez fourni (HTTP & HTTPS, FTP, POP & SMTP, NNTP,
SOCKS), mais donc il ne *fournit pas de proxy* ICMP comme la plupart des
softs de ce genre que j'ai pu trouver (en freeware et qui marchent).

Donc il n'y a pas de partage de connexion (ICS), les stations du LAN sont
configurées pour utiliser les services du proxy, avec son IP et des ports
spécifiques, ces services retransmettant ensuite sur les ports adéquats aux
serveurs des différents ISP auxquels je suis abonné.
Accessoirement, le serveur proxy offre aussi un service de dial-on-demand
(modem RTC de secours).

Le grand intérêt de la chose est de localiser sur ce PC l'ensemble des
paramétrages de connexion.

donc les pings doivent passer par le
routage IP interne, et les softs utilisant HTTP installés sur le PC
passerelle n'utilisent pas le serveur proxy, donc se connectent
directement

côté externe.
Par ailleurs, le LAN est entièrement en classe C, les deux segments
étant

sur le même sous-réseau, et il n'y a pas d'erreur possible de
recouvrement

de plages d'IP, j'ai fait gaffe.

Je ne suis pas sûr d'avoir tout compris, mais cette dernière phrase
m'inquiète et ça pourrait expliquer pas mal de choses. Peux-tu indiquer
quels sont les adresses et masques de sous-réseau des deux segments,
l'adresse interne du routeur et les adresses interne et externe de la
passerelle afin de lever toute ambiguïté sur ta configuration d'adressage
?

Donc l'ensemble du LAN (segments interne et externe) est dans la plage
192.168.0.# avec un masque 255.255.255.0
Le routeur est 192.168.0.100
Le DHCP travaille dans la plage 192.168.0.10 à 99
(je réserve 1 à 9 pour une DMZ future)

et ainsi le PC passerelle côté externe obtient l'IP 192.168.0.10
et spécifie 192.168.0.100 comme passerelle par défaut

Côté interne, il a l'IP fixe 192.168.0.101

et les autres stations utilisent des IP fixes à partir de 192.168.0.102
et spécifient 192.168.0.101 comme passerelle par défaut.

Les softs installés sur le PC passerelle sont configurés pour utiliser les
paramètres Internet par défaut, qui sont en terminologie des boîtes de
dialogue Windows : "je suis connecté en permanence à travers un LAN". Là je
n'ai pas vraiment su quoi faire : je ne peux pas déclarer le routeur comme
un proxy, ça n'en est pas un puisqu'il est supposé donner accès à l'ISP de
manière transparente. Donc il est passerelle par défaut côté externe et
c'est tout.

Il faut noter que si côté externe je remplace le DHCP par un adressage à IP
fixe (en forçant donc 192.168.0.10 et le même masque), tout marche
parfaitement. Exactement comme lorsque je désactive puis réactive la carte
réseau côté interne. C'est pourquoi je crois que c'est un problème de
priorité, mais je n'ai pas pu le régler avec les métriques.

Mais donc je voudrais bien être capable d'utiliser le DHCP côté externe.

Merci pour votre aide.

Cordialement,

--

/**************************************************************
* Patrick BRUNET @ ZenerTopia
* E-mail: lien sur http://zener131.free.fr/ContactMe
**************************************************************/
<8#--X--< filtré par Avast! 4 Home

[Cette fois, je taille dans la citation]

Patrick 'Zener' Brunet wrote:

Le logiciel est FreeProxy v.3.81 de Hand Crafted Software. Il offre un
service de proxies assez fourni (HTTP & HTTPS, FTP, POP & SMTP, NNTP,
SOCKS), mais donc il ne *fournit pas de proxy* ICMP comme la plupart des
softs de ce genre que j'ai pu trouver (en freeware et qui marchent).

Et pour cause : ce n'est pas possible. ICMP n'est pas un protocole
applicatif sur TCP ou UDP, c'est un protocole utilitaire pour la couche IP.

Donc il n'y a pas de partage de connexion (ICS), les stations du LAN sont
configurées pour utiliser les services du proxy, avec son IP et des ports
spécifiques, ces services retransmettant ensuite sur les ports adéquats aux
serveurs des différents ISP auxquels je suis abonné.

D'accord, c'est clair : le PC passerelle ne fait pas routeur et seuls
les services gérés par le proxy sont redirigés.

Donc l'ensemble du LAN (segments interne et externe) est dans la plage
192.168.0.# avec un masque 255.255.255.0

Voilà le problème : chaque segment ethernet doit avoir un sous-réseau IP
distinct. Autrement, le PC passerelle se retrouve avec dans sa table de
routage deux interfaces de sortie différentes pour les mêmes
destinations 192.168.0.x et c'est plouf-plouf une chance sur deux que ça
parte sur la bonne.

Le routeur est 192.168.0.100
Le DHCP travaille dans la plage 192.168.0.10 à 99
(je réserve 1 à 9 pour une DMZ future)

et ainsi le PC passerelle côté externe obtient l'IP 192.168.0.10
et spécifie 192.168.0.100 comme passerelle par défaut

Côté interne, il a l'IP fixe 192.168.0.101

et les autres stations utilisent des IP fixes à partir de 192.168.0.102
et spécifient 192.168.0.101 comme passerelle par défaut.

Dans la mesure où le PC passerelle ne fait pas routeur, cette adresse de
"passerelle" par défaut ne sert à rien. En effet, "passerelle" signifie
ici "routeur".

Inutile d'aller plus loin. Il *faut* modifier le sous-réseau IP d'un des
segments ethernet pour supprimer le conflit d'aiguillage.

Ma préférence va à la modification du segment passerelle-routeur en
autre chose que 192.168.0.x (192.168.1.x par exemple). D'une part, elle
ne contient que deux machines dont une en DHCP donc ça fait moins de
travail : il suffit de reconfigurer le routeur. D'autre part, si un jour
tu souhaites pour une raison ou pour une autre activer le partage de
connexion IP sur la passerelle (c'est-à-dire que celle-ci se comporte
comme un routeur NAT), par défaut le réseau intérieur devra avoir
l'adressage 192.168.0.x avec 192.168.0.1 pour la passerelle. Et c'est un
peu hasardeux à modifier.

Je t'aurais aussi suggéré de mettre tout le monde dans un unique segment
puisqu'un proxy, contrairement à un routeur, n'a pas besoin d'être situé
en coupure entre deux réseaux. Un seul segment, un seul sous-réseau IP.
Mais ce ne serait plus cohérent avec la future DMZ dont tu as parlé.

Bonjour.

"Pascal@plouf" <pascal@plouf.invalid> a écrit dans le message de news:
cn2fpg$ao5$1@biggoron.nerim.net...

[Cette fois, je taille dans la citation]

[Moi aussi]
Patrick 'Zener' Brunet wrote:

Donc l'ensemble du LAN (segments interne et externe) est dans la plage
192.168.0.# avec un masque 255.255.255.0

Voilà le problème : chaque segment ethernet doit avoir un sous-réseau IP
distinct. Autrement, le PC passerelle se retrouve avec dans sa table de
routage deux interfaces de sortie différentes pour les mêmes
destinations 192.168.0.x et c'est plouf-plouf une chance sur deux que ça
parte sur la bonne.

Le routeur est 192.168.0.100
Le DHCP travaille dans la plage 192.168.0.10 à 99
(je réserve 1 à 9 pour une DMZ future)

et ainsi le PC passerelle côté externe obtient l'IP 192.168.0.10
et spécifie 192.168.0.100 comme passerelle par défaut

Côté interne, il a l'IP fixe 192.168.0.101

et les autres stations utilisent des IP fixes à partir de 192.168.0.102
et spécifient 192.168.0.101 comme passerelle par défaut.

Dans la mesure où le PC passerelle ne fait pas routeur, cette adresse de
"passerelle" par défaut ne sert à rien. En effet, "passerelle" signifie
ici "routeur".

OK, je vais essayer de la supprimer pour voir, effectivement, la
spécification des services du proxy me paraît suffisante.

Inutile d'aller plus loin. Il *faut* modifier le sous-réseau IP d'un des
segments ethernet pour supprimer le conflit d'aiguillage.

Il me semble bien que j'avais cette situation au début, et que je l'ai
changée parce que les stations ne voyaient pas le segment externe. Ca devait
être pour une autre raison.

Je vais donc reconfigurer comme ça côté externe.

Ma préférence va à la modification du segment passerelle-routeur en
autre chose que 192.168.0.x (192.168.1.x par exemple). D'une part, elle
ne contient que deux machines dont une en DHCP donc ça fait moins de
travail : il suffit de reconfigurer le routeur. D'autre part, si un jour
tu souhaites pour une raison ou pour une autre activer le partage de
connexion IP sur la passerelle (c'est-à-dire que celle-ci se comporte
comme un routeur NAT), par défaut le réseau intérieur devra avoir
l'adressage 192.168.0.x avec 192.168.0.1 pour la passerelle. Et c'est un
peu hasardeux à modifier.

J'en déduis que l'ICS impose(rait) que la passerelle soit à l'IP #.#.#.1 ?
Un peu dommage.
Dans mon cas j'ai choisi 100 comme frontière parce que ça me donnait un
critère simple pour identifier les machines hors segment interne. J'ai prévu
des firewalls internes allégés parce que sous Windows, le moindre petit soft
à la noix a envie de se connecter à Internet tout le temps.

Je comptais bien aussi permettre à une machine invitée sur le LAN de
bénéficier du serveur DHCP et du NetBIOS en même temps, mais là ça me paraît
compromis, en séparant les deux segments il faudra renoncer à l'un des deux.
Je ne crois pas qu'il soit possible (ou alors ça serait assez fun) :
- d'être sur le segment externe physiquement et au niveau des IP, et de
faire des échanges NetBIOS avec le segment interne, le protocole n'étant pas
installé côté externe du PC passerelle,
- ou au contraire d'être sur le segment interne physiquement mais avec une
IP du sous-réseau externe obtenue du serveur DHCP à travers le PC
passerelle.
Le but était d'accorder à une telle machine invitée des facilités de
voisinage, mais une confiance limitée.

Je t'aurais aussi suggéré de mettre tout le monde dans un unique segment
puisqu'un proxy, contrairement à un routeur, n'a pas besoin d'être situé
en coupure entre deux réseaux. Un seul segment, un seul sous-réseau IP.

Oui, c'est finalement ce que j'avais essayé de faire, mais avec la coupure
en plus. Ca a raté :-(

Mais ce ne serait plus cohérent avec la future DMZ dont tu as parlé.

A ce propos, en lisant d'autres threads, je me rends compte que je ne suis
pas sûr que mon routeur soit capable de router vers des machines en DMZ des
paquets sortants. De ce fait il faudra bien qu'elles figurent sur le segment
externe et donc soient en liaison directe avec le PC passerelle pour pouvoir
les administrer. Ce qui implique un firewall logiciel très restrictif à ce
niveau (en cas de compromission d'une de ces machines).

Merci beaucoup Pascal.
Je vais reconfigurer mon installation en ce sens et je posterai un petit mot
pour confirmer que ça a marché.

Cordialement,

--

/**************************************************************
* Patrick BRUNET @ ZenerTopia
* E-mail: lien sur http://zener131.free.fr/ContactMe
**************************************************************/
<8#--X--< filtré par Avast! 4 Home

Patrick 'Zener' Brunet wrote:

Inutile d'aller plus loin. Il *faut* modifier le sous-réseau IP d'un des
segments ethernet pour supprimer le conflit d'aiguillage.

Il me semble bien que j'avais cette situation au début, et que je l'ai
changée parce que les stations ne voyaient pas le segment externe. Ca devait
être pour une autre raison.

Normal puisque le PC proxy (je l'appellerai ainsi pour éviter la
confusion avec passerelle=routeur) qui est à cheval sur les deux
segments ne fait pas routeur. Les stations du segment interne n'ont
accès qu'aux services pris en charges par le proxy.

D'autre part, si un jour
tu souhaites pour une raison ou pour une autre activer le partage de
connexion IP sur la passerelle (c'est-à-dire que celle-ci se comporte
comme un routeur NAT), par défaut le réseau intérieur devra avoir
l'adressage 192.168.0.x avec 192.168.0.1 pour la passerelle. Et c'est un
peu hasardeux à modifier.

J'en déduis que l'ICS impose(rait) que la passerelle soit à l'IP #.#.#.1 ?

L'adresse de la passerelle ICS sur le segment interne est fixée à
192.168.0.1 et les adresses des stations sur ce segment doivent être de
la forme 192.168.0.x avec le masque 255.255.255.0. Note qu'ICS peut
faire serveur DHCP et proxy DNS sur ce segment. En revanche l'adresse de
la passerelle ICS sur le segment externe peut être quelconque
puisqu'elle est souvent imposée par le FAI.

Un peu dommage.

Faut le dire à Microsoft, hein. L'ICS fourni avec les versions
personnelles de Windows est un routeur limité. il faut investir dans une
version serveur de Windows pour avoir un service routeur complet.
Heureusement il existe des solutions alternatives moins onéreuses
(logiciel tiers, Linux...)

Dans mon cas j'ai choisi 100 comme frontière parce que ça me donnait un
critère simple pour identifier les machines hors segment interne. J'ai prévu
des firewalls internes allégés parce que sous Windows, le moindre petit soft
à la noix a envie de se connecter à Internet tout le temps.

Pour ça il suffit de considérer le trafic selon l'interface d'arrivée.
N'importe quel firewall digne de ce nom devrait en être capable.

Je comptais bien aussi permettre à une machine invitée sur le LAN de
bénéficier du serveur DHCP et du NetBIOS en même temps, mais là ça me paraît
compromis, en séparant les deux segments il faudra renoncer à l'un des deux.

Plutôt, oui : DHCP sur le segment externe uniquement et Netbios sur le
segment interne uniquement.

Je ne crois pas qu'il soit possible (ou alors ça serait assez fun) :
- d'être sur le segment externe physiquement et au niveau des IP, et de
faire des échanges NetBIOS avec le segment interne, le protocole n'étant pas
installé côté externe du PC passerelle,

Déjà même sans parler de Netbios, être sur le segment externe et avoir
une adresse IP du segment interne, ça va gravement coincer au niveau du
routage IP. D'autant plus que, je le rappelle, le PC proxy ne fait pas
routeur, donc il ne transmet rien entre les deux segments.

- ou au contraire d'être sur le segment interne physiquement mais avec une
IP du sous-réseau externe obtenue du serveur DHCP à travers le PC
passerelle.

Marchera pas pour les mêmes raison de routage que précédemment. De plus
le protocole DHCP ne peut pas traverser le PC proxy.

Le but était d'accorder à une telle machine invitée des facilités de
voisinage, mais une confiance limitée.

Dans ce cas le segment externe me paraît une bonne position. En aucun
cas je ne laisserais une machine à la "confiance limitée" communiquer en
Netbios avec les stations de mon LAN.
Quel type de communication comptes-tu accorder à une telle machine ?
Accès internet seulement ou davantage ?

A ce propos, en lisant d'autres threads, je me rends compte que je ne suis
pas sûr que mon routeur soit capable de router vers des machines en DMZ des
paquets sortants.

Je ne vois pas ce que tu veux dire :- Un exemple pour illustrer,
peut-être ?

De ce fait il faudra bien qu'elles figurent sur le segment
externe et donc soient en liaison directe avec le PC passerelle pour pouvoir
les administrer. Ce qui implique un firewall logiciel très restrictif à ce
niveau (en cas de compromission d'une de ces machines).

De toute façon, c'est impératif si tu comptes installer des machines à
"confiance limitée" sur le segment externe, ne serait-ce que pour
protéger le PC proxy lui-même.

Je vais reconfigurer mon installation en ce sens et je posterai un petit mot
pour confirmer que ça a marché.

OK. En lisant "solution" dans le titre, j'ai cru que le problème était
déjà résolu.

Bonsoir.

"Pascal@plouf" <pascal@plouf.invalid> a écrit dans le message de news:
cn2pbd$f4o$1@biggoron.nerim.net...

Patrick 'Zener' Brunet wrote:

Inutile d'aller plus loin. Il *faut* modifier le sous-réseau IP d'un des
segments ethernet pour supprimer le conflit d'aiguillage.

[...]

Je vais reconfigurer mon installation en ce sens et je posterai un petit
mot

pour confirmer que ça a marché.

OK. En lisant "solution" dans le titre, j'ai cru que le problème était
déjà résolu.

Ben en fait c'est toi qui m'avais donné la solution.
Je confirme donc que ça marche, et que les deux bidouilles cross-proxy
évoquées ne marchent pas du tout.

Donc il y a 2 bonnes nouvelles et 2 mauvaises :

- b1) ça marche pour tous les services voulus, y compris l'accès au port
HTTP du routeur depuis une station du LAN côté interne,

- b2) aux passerelles par défaut près, c'est exactement la configuration que
j'avais intuitée tout seul au début, ce qui valide ma démarche autodidacte
en réseaux.

- m1) comme tu l'expliques, le PC Proxy (je le nomme aussi comme ça dans ma
doc, j'avais mis passerelle en pensant que ça serait plus clair) transmet le
protocole TCP/IP mais pas les autres X/IP, notamment ICMP, ce qui fait que
ping et tracert ne sont pas utilisables - c'est ce qui m'avait conduit à
modifier la première configuration.
En fait c'est logique pour un driver de protocole qui s'appelle TCP/IP !
Peut-être pourrai-je trouver un driver de protocole séparé à installer pour
transmettre l'ICMP à travers le PC Proxy...

- m2) dans la mesure où il me faudra bien connaître un moyen d'adresser une
machine du segment externe pour l'administrer, sans NetBIOS pour avoir un
nom, il me faudra bien une IP fixe, et donc je n'utiliserai pas trop le
DHCP.

[100% d'accord sur la suite, donc je coupe]

Le but était d'accorder à une telle machine invitée des facilités de
voisinage, mais une confiance limitée.

Dans ce cas le segment externe me paraît une bonne position. En aucun
cas je ne laisserais une machine à la "confiance limitée" communiquer en
Netbios avec les stations de mon LAN.
Quel type de communication comptes-tu accorder à une telle machine ?
Accès internet seulement ou davantage ?

Il s'agit typiquement du portable d'un collègue de passage, normalement bien
configuré, mais sait-on jamais.
Je voudrais en fait lui permettre de partager l'un de ses répertoires au
sens de NetBIOS pour des transferts de fichiers, éventuellement d'accéder à
des ressources du LAN telles qu'une imprimante ou le proxy HTTP.
Le tout bien sûr limité par des contraintes de login et cloisonné par les
firewalls internes des stations.

Mais finalement je crois qu'on peut faire ça avec une petite plage d'IP
fixes, obligatoire et réservée à l'invité.

A ce propos, en lisant d'autres threads, je me rends compte que je ne
suis

pas sûr que mon routeur soit capable de router vers des machines en DMZ
des

paquets sortants.

Je ne vois pas ce que tu veux dire :- Un exemple pour illustrer,
peut-être ?

Dans cette config :

{Internet}------[Routeur]------[Proxy]------[Station]
[DynDNS] => ------[Serveur en DMZ]

Il s'agirait pour la Station d'accéder au Serveur par son nom externe, comme
un client issu d'Internet. Il faudrait pour ça que le Routeur réfléchisse
les paquets concernés (à moins de passer par un proxy externe).
Sinon il faudrait peut-être en fait que le Serveur expose aussi une seconde
IP fixe (ou une seconde carte réseau ?) pour un accès d'administration,
avec un solide firewall sur la machine qui se trouve raccordée par là.
C'est ce que je voulais dire par :

De ce fait il faudra bien qu'elles figurent sur le segment
externe et donc soient en liaison directe avec le PC passerelle pour
pouvoir

les administrer. Ce qui implique un firewall logiciel très restrictif à
ce

niveau (en cas de compromission d'une de ces machines).

De toute façon, c'est impératif si tu comptes installer des machines à
"confiance limitée" sur le segment externe, ne serait-ce que pour
protéger le PC proxy lui-même.

Alors là en fait je distinguais les machines "invitées avec confiance
limitée" des machines de la DMZ pour lesquelles par définition c'est
confiance zéro.
Mais je crois que le problème disparaît puisque les machines invitées
devront être du côté interne pour pouvoir échanger avec les autres (je me
vois mal imposer à ces collègues d'installer un serveur FTP sur leur machine
pour être acceptés et seulement sous le préau !). Donc IP fixe côté interne
avec sévères restrictions.

Et là je me rends compte que pour une machine invitée, ça fait beaucoup de
choses à configurer : l'IP fixe et surtout les proxies HTTP & HTTPS. Et je
crois bien qu'on ne peut pas facilement swapper entre deux configurations. A
moins de faire de l'import-export partiel de base de registres. Grrrrrr !

Bien, donc merci beaucoup pour ton aide.

Très cordialement,

(PS: ci-dessous ma solution anti-spam qui permet les contacts, si ça peut te
(& vous) servir).

--

/**************************************************************
* Patrick BRUNET @ ZenerTopia
* E-mail: lien sur http://zener131.free.fr/ContactMe
**************************************************************/
<8#--X--< filtré par Avast! 4 Home

Pascal@plouf wrote:

J'en déduis que l'ICS impose(rait) que la passerelle soit à l'IP
#.#.#.1 ?

L'adresse de la passerelle ICS sur le segment interne est fixée à
192.168.0.1 et les adresses des stations sur ce segment doivent être de
la forme 192.168.0.x avec le masque 255.255.255.0.

Pas d'ac.
Ma passerelle est un XP-SP2 home en 10.x.y.248/24 sur l'eth interne et
ça fonctionne nickel, y compris la numérotation automatique. Il faut
juste une IP fixe (sinon c'est moins facile pour configurer les autres
postes ;-)) et penser à ouvrir sur le FW les ports utilisés sur cette carte.
Le seul soucis que j'ai est le service de gestion d'accès distant qui a
ses humeurs (et qui oublie parfois de numéroter :-()

Bonjour.

"guigui" <guigui@no.spam.local> a écrit dans le message de news:
419520ef$0$15312$626a14ce@news.free.fr...

Pascal@plouf wrote:

<...>
Pas d'ac.
Ma passerelle est un XP-SP2 home en 10.x.y.248/24 sur l'eth interne et
ça fonctionne nickel, y compris la numérotation automatique. Il faut
juste une IP fixe (sinon c'est moins facile pour configurer les autres
postes ;-)) et penser à ouvrir sur le FW les ports utilisés sur cette
carte.

Le seul soucis que j'ai est le service de gestion d'accès distant qui a
ses humeurs (et qui oublie parfois de numéroter :-()

Connexion non permanente donc.
Est-ce qu'il raccroche de manière fiable quand la connexion est inutilisée,
et comment définit-il l'état "inutilisée" ?
Du fait qu'en général il y a pas mal de trafic entrant que le FW arrête mais
qui occupent la ligne (tentatives de connexions P2P entre autres).

Si ça peut vous servir, le service de proxy que j'utilise (FreeProxy) a une
fonction de numérotation à la demande avec des contrôles de droits, et une
fonction de hangup avec une combinaison de délai et de seuils de transfert
dans un sens et/ou dans l'autre.
Ca crée une certaine sécurité, mon PC Proxy était incapable de se connecter
tout seul, tout en se connectant à la demande d'une station du LAN, et le
hangup était garanti.
J'avais combiné ça avec le freeware RASPPPoE qui crée pour un modem ADSL un
RAS qui est correctement perçu comme un modem dans le système.

Si ça peut servir...

Cordialement,

--

/**************************************************************
* Patrick BRUNET @ ZenerTopia
* E-mail: lien sur http://zener131.free.fr/ContactMe
**************************************************************/
<8#--X--< filtré par Avast! 4 Home

Salut,

guigui wrote:

Pascal@plouf wrote:

L'adresse de la passerelle ICS sur le segment interne est fixée à
192.168.0.1 et les adresses des stations sur ce segment doivent être
de la forme 192.168.0.x avec le masque 255.255.255.0.

Pas d'ac.
Ma passerelle est un XP-SP2 home en 10.x.y.248/24 sur l'eth interne et
ça fonctionne nickel, y compris la numérotation automatique.

Ce que j'ai écrit vient de mon expérience personnelle avec Windows 98SE
et Windows 2000 Pro, limitée certes mais concordant avec d'autres
témoignages. La première fois, j'ai voulu essayer le partage ICS d'un
Windows 98SE bien propre installé exprès pour. L'assistant
d'installation d'ICS a forcé l'adresse de l'interface interne en
192.168.0.1. Ça ne m'arrangeait pas du tout car cette adresse était déjà
affectée à une autre machine. Je l'ai donc modifiée malgré les
avertissements de Windows et plus rien ne marchait, ni accès internet ni
partage de connexion.

Plus tard, j'ai retenté l'expérience sur Windows 2000. Encore une fois,
ICS a voulu affecter l'adresse 192.168.0.1 à l'interface interne. Me
souvenant de la première expérience, je n'ai pas poussé plus loin,
d'autant plus que l'aide en ligne mentionne explicitement la nécessité
d'utiliser cette adresse particulière. C'est bien entendu complètement
crétin, mais bon, c'est Windows.

Alors peut-être qu'il y eu du progrès avec XP que je ne connais pas,
tant mieux si c'est le cas.

Il faut
juste une IP fixe (sinon c'est moins facile pour configurer les autres
postes ;-))

L'ICS de XP accepterait une adresse dynamique sur l'interface interne ?

Patrick 'Zener' Brunet wrote:

OK. En lisant "solution" dans le titre, j'ai cru que le problème était
déjà résolu.

Ben en fait c'est toi qui m'avais donné la solution.

Oui mais tu sais ce qu'on dit, "il ne faut pas vendre la peau de
l'ours..." :)

Je confirme donc que ça marche, et que les deux bidouilles cross-proxy
évoquées ne marchent pas du tout.

Donc il y a 2 bonnes nouvelles et 2 mauvaises :

<snip les bonnes>

- m1) comme tu l'expliques, le PC Proxy (je le nomme aussi comme ça dans ma
doc, j'avais mis passerelle en pensant que ça serait plus clair) transmet le
protocole TCP/IP mais pas les autres X/IP, notamment ICMP, ce qui fait que
ping et tracert ne sont pas utilisables - c'est ce qui m'avait conduit à
modifier la première configuration.

En fait un proxy ne transmet même pas TCP. Il ne fait qu'accepter des
communications avec ses clients et en établir d'autres avec des
serveurs. Certes un communication serveur est établie à l'initiative
d'une communication client, mais du point de vue TCP/IP ce sont deux
communications complètement indépendantes. C'est toute la différence
avec un routeur où c'est une même et unique communication qui est
établie entre le client et le serveur à travers le routeur.

- m2) dans la mesure où il me faudra bien connaître un moyen d'adresser une
machine du segment externe pour l'administrer, sans NetBIOS pour avoir un
nom, il me faudra bien une IP fixe, et donc je n'utiliserai pas trop le
DHCP.

Certes.

Le but était d'accorder à une telle machine invitée des facilités de
voisinage, mais une confiance limitée.

Dans ce cas le segment externe me paraît une bonne position. En aucun
cas je ne laisserais une machine à la "confiance limitée" communiquer en
Netbios avec les stations de mon LAN.
Quel type de communication comptes-tu accorder à une telle machine ?
Accès internet seulement ou davantage ?

Il s'agit typiquement du portable d'un collègue de passage, normalement bien
configuré, mais sait-on jamais.

Ouais, les machines soit-disant "bien configurées" complètement rongées
par la vérole, on connait. Qu'elle soit bien configurée ne suffit pas,
il faut aussi qu'elle soit bien administrée et bien utilisée.

Je voudrais en fait lui permettre de partager l'un de ses répertoires au
sens de NetBIOS pour des transferts de fichiers, éventuellement d'accéder à
des ressources du LAN telles qu'une imprimante ou le proxy HTTP.

Dans ce cas, j'ai peur que la position dans le réseau interne s'impose.

Le tout bien sûr limité par des contraintes de login et cloisonné par les
firewalls internes des stations.

Le problème, c'est que certaines véroles utilisent des failles du
partage de ressource Windows en se fichant des mots de passe. Et pour
faire du transfert de fichiers, il faut bien que le firewall laisse
passer le trafic correspondant. Attention à bien maintenir les OS à jour
donc.

<...>

Dans cette config :

{Internet}------[Routeur]------[Proxy]------[Station]
[DynDNS] => ------[Serveur en DMZ]

Il s'agirait pour la Station d'accéder au Serveur par son nom externe, comme
un client issu d'Internet. Il faudrait pour ça que le Routeur réfléchisse
les paquets concernés (à moins de passer par un proxy externe).

Effectivement ceci ne marche généralement pas avec les routeurs
domestiques. Il reste la solution de court-circuiter la résolution DNS
en associant le nom dyndns à l'adresse privée du serveur dans le
fichiers Hosts de la station et/ou du proxy (question souvent traitée ici).

Sinon il faudrait peut-être en fait que le Serveur expose aussi une seconde
IP fixe (ou une seconde carte réseau ?) pour un accès d'administration,
avec un solide firewall sur la machine qui se trouve raccordée par là.

Ça m'a l'air bien compliqué et je ne vois pas trop l'intérêt.

C'est ce que je voulais dire par :

De ce fait il faudra bien qu'elles figurent sur le segment
externe et donc soient en liaison directe avec le PC passerelle pour pouvoir
les administrer. Ce qui implique un firewall logiciel très restrictif à ce
niveau (en cas de compromission d'une de ces machines).

De toute façon, c'est impératif si tu comptes installer des machines à
"confiance limitée" sur le segment externe, ne serait-ce que pour
protéger le PC proxy lui-même.

Alors là en fait je distinguais les machines "invitées avec confiance
limitée" des machines de la DMZ pour lesquelles par définition c'est
confiance zéro.

D'accord.

Mais je crois que le problème disparaît puisque les machines invitées
devront être du côté interne pour pouvoir échanger avec les autres (je me
vois mal imposer à ces collègues d'installer un serveur FTP sur leur machine
pour être acceptés et seulement sous le préau !). Donc IP fixe côté interne
avec sévères restrictions.

Oui.

Et là je me rends compte que pour une machine invitée, ça fait beaucoup de
choses à configurer : l'IP fixe et surtout les proxies HTTP & HTTPS. Et je
crois bien qu'on ne peut pas facilement swapper entre deux configurations. A
moins de faire de l'import-export partiel de base de registres. Grrrrrr !

Il y a une possibilité qui résoud pas mal de problèmes : activer ICS sur
le PC proxy. Il suffirait alors de configurer les machines invitée en
automatique puisque ICS fait serveur DHCP.

Avantages :
- les machines invitées reçoivent automatiquement les paramètres IP qui
vont bien (adresse, masque, passerelle, DNS),
- pas besoin de configurer de paramètres de proxy HTTP sur ces machines,
- toutes les machines du réseau interne peuvent faire des pings et
traceroutes vers l'extérieur grâce à la fonction routeur d'ICS,

Inconvénients :
- la fonction proxy du PC proxy n'est plus suffisante pour contrôler les
accès sortants, il faut pour cela utiliser un firewall qui fonctionne
avec ICS.