Masques de longueur variable

COURS-U4-S2-02

Hélène Vasseur dirige TechnoVert, une entreprise de quarante-cinq salariés. Elle pose un courrier sur la table. L'opérateur lui donne un seul bloc d'adresses IP, et il n'en donnera pas d'autre.

Dans ce bloc, il faut loger l'administration, le bureau d'études, l'atelier, les serveurs et les invités. Karim Benali, le responsable d'atelier, ajoute : « Et dans deux ans, l'atelier aura doublé. »

À la fin de la séance, vous saurez découper un bloc en sous-réseaux de tailles différentes. Vous saurez aussi garder de la place pour la croissance.

Capsule 1 sur 4Donner à chaque sous-réseau la bonne taille

Des parts égales ne marchent pas. Alors comment choisir la bonne taille pour chaque service ?

La réponse s'appelle le MASQUE DE LONGUEUR VARIABLE : on donne à chaque sous-réseau le masque qui correspond à son nombre de machines.

Chez TechnoVert, c'est exactement la situation. L'atelier a besoin de beaucoup d'adresses, les serveurs de très peu. Avec la même taille pour tous, on gaspille d'un côté et on manque de l'autre.

On l'appelle aussi VLSM, pour Variable Length Subnet Mask. Dans un même bloc, on mélange donc des /25, des /27, des /28. Chaque sous-réseau a la taille qu'il lui faut, pas plus.

C'est comme une pointure de chaussures : on prend la plus petite où le pied rentre.

Pour choisir le masque d'un sous-réseau :

1. Comptez les machines qui seront dans le sous-réseau.
2. Ajoutez une adresse pour la passerelle. Elle occupe une adresse utilisable, comme un poste.
3. Cherchez dans le tableau le plus petit bloc dont les adresses utilisables suffisent.
4. Notez le masque de ce bloc.

Pourquoi deux adresses de moins ? La première adresse du bloc désigne le réseau.

La dernière sert à la diffusion. Aucune machine ne peut les prendre.

Capsule 2 sur 4Découper du plus grand au plus petit

Chaque service a maintenant son masque. Reste une question : où placer chaque sous-réseau dans le bloc, sans trou et sans chevauchement ?

Pour ça, il y a une règle : l'ALIGNEMENT. Un sous-réseau commence toujours à un multiple de sa taille.

C'est comme une tablette de chocolat qu'on casse le long des rainures. Un morceau de 4 carrés commence au carré 1, 5 ou 9, jamais au carré 3. Si l'on casse d'abord de petits morceaux n'importe où, on ne peut plus sortir un gros morceau entier.

Un /26 fait 64 adresses. Il commence donc à .0, .64, .128 ou .192. Jamais à .32.

Un /27 fait 32 adresses. Il commence à .0, .32, .64, .96, et ainsi de suite.

Pour respecter l'alignement sans perdre d'adresses, on suit toujours le même ordre :

1. Classez les sous-réseaux du plus grand au plus petit.
2. Placez le plus grand au tout début du bloc.
3. Faites commencer chaque sous-réseau suivant juste après la diffusion du précédent.
4. Vérifiez que chaque début est un multiple de la taille du sous-réseau.

Voici la méthode appliquée au bloc 192.168.1.0/24, pour trois services de 50, 20 et 10 postes :

Que se passe-t-il dans l'autre ordre ? On place d'abord les 10 postes en .0/28, jusqu'à .15. Le /27 suivant ne peut pas commencer à .16, qui n'est pas un multiple de 32.

On saute à .32. Les adresses de .16 à .31 sont perdues.

Capsule 3 sur 4Garder de la place pour grandir

On sait maintenant tailler et placer chaque sous-réseau. Mais Karim Benali l'a dit : l'atelier va doubler. Comment éviter de tout refaire dans deux ans ?

Il faut prévoir une RÉSERVE : de la place gardée exprès pour une croissance annoncée.

C'est comme choisir un téléphone de 128 Go plutôt que 64 Go. Dans un an, avec les photos et les jeux, le petit serait plein. Il faudrait tout transférer sur un nouveau.

Changer les adresses de toutes les machines d'un service coûte cher. Il faut arrêter le service, reconfigurer chaque poste, mettre à jour les règles du pare-feu. On prévoit donc dès le début.

Pour la réserve, deux questions :

1. Combien ? On calcule sur l'effectif projeté, c'est-à-dire le nombre de postes prévu plus tard, pas sur l'effectif actuel. Un service de 20 postes qui doublera se calcule pour 40 postes.
2. Où ? Dans le sous-réseau lui-même, grâce à un bloc plus grand que le besoin actuel. Et dans un espace libre, gardé à la fin du bloc pour un service qui n'existe pas encore.

Un deuxième outil aide à grandir.

Ce deuxième outil s'appelle l'AGRÉGATION : on réunit deux blocs voisins de même taille en un seul bloc deux fois plus grand.

Deux conditions : les deux blocs se suivent, et le grand bloc obtenu est lui-même aligné.

C'est utile de deux façons. Dans sa liste de routes, un routeur n'a qu'une ligne au lieu de deux. C'est comme un GPS qui dit « Lyon » au lieu de citer deux quartiers.

Et si l'on garde libre le bloc voisin d'un service, ce service pourra grandir en prenant aussi ce bloc, sans changer d'adresses.

Capsule 4 sur 4Écrire le plan d'adressage

Le découpage est fait. Il reste à l'écrire, pour qu'un autre technicien puisse l'appliquer sans vous appeler.

Ce document s'appelle un PLAN D'ADRESSAGE : le tableau qui donne, pour chaque sous-réseau, toutes ses adresses et son usage.

Pour chaque sous-réseau, le plan donne :

1. Le nom du service et son numéro de VLAN.
2. Le réseau et le masque, la première et la dernière adresse utilisables.
3. La diffusion et la passerelle.
4. L'effectif actuel et l'effectif projeté.

Sous le tableau : la règle qui place la passerelle, les réserves avec leur raison, l'espace libre, la date et l'auteur.

Ce qu'on retient

Revenons à TechnoVert. Hélène Vasseur n'aura qu'un seul bloc, et c'est suffisant.

Chaque service reçoit un sous-réseau à sa taille, l'atelier a déjà sa place pour doubler, et de l'espace reste libre. Le plan écrit permettra à n'importe quel technicien de reprendre le réseau.

Segmenter et cloisonner

COURS-U4-S2-03

Sophie Lemarchand est comptable chez TechnoVert. Un lundi matin, ses fichiers ne s'ouvrent plus.

Un poste de l'atelier a été infecté par une clé USB. Le virus a traversé tout le réseau et chiffré une partie du serveur de fichiers, comptabilité comprise. Chiffrés, les fichiers sont verrouillés par un code secret : plus personne ne peut les ouvrir.

Sophie demande : « Pourquoi un poste de l'atelier peut-il toucher à mes fichiers ? »

À la fin de la séance, vous saurez découper un réseau en zones. Vous saurez décider ce qui passe d'une zone à l'autre, et où le contrôler.

Capsule 1 sur 3Découper le réseau en zones

Chez TechnoVert, le réseau est plat : un seul grand réseau, sans aucune séparation, comme une cour de récré sans barrière. Toutes les machines se voient, et rien n'arrête un virus.

Comment couper le réseau en parties séparées ?

C'est ce qu'on appelle SEGMENTER un réseau : le découper en zones séparées, pour contrôler ce qui passe de l'une à l'autre.

Au lycée, c'est pareil. Les élèves n'entrent pas dans la salle des profs, et les visiteurs passent par l'accueil. Chaque espace a ses règles, et un réseau segmenté fonctionne de la même façon.

Pour découper, on choisit un critère. Il y en a trois :

1. Le métier. On regroupe les machines d'un même service. Elles ont les mêmes besoins et les mêmes droits.
2. La sécurité. On regroupe les machines selon leur sensibilité : ce qu'on perd si elles sont attaquées. Les serveurs d'un côté, les appareils inconnus de l'autre.
3. La performance. On isole ce qui produit beaucoup de trafic, pour ne pas gêner les autres. Par exemple les caméras ou les sauvegardes.

Dans une vraie entreprise, on combine. On découpe d'abord par métier, puis on ajoute des zones de sécurité : les serveurs, les invités, l'administration du réseau.

Capsule 2 sur 3Décider qui peut joindre quoi

Le réseau est découpé en zones. Mais qui a le droit de parler à qui ?

Chaque zone est une ZONE DE CONFIANCE : un groupe de machines qui suivent les mêmes règles, parce qu'on leur fait la même confiance.

Ce qui définit une zone, ce n'est pas le câble. C'est la règle qu'on lui applique : qui peut y entrer, et ce qu'elle a le droit de joindre.

On range les zones en trois niveaux. Le plus bas s'appelle « exposé » : la zone est ouverte à des appareils inconnus, donc en danger.

Pour choisir le niveau d'une zone, posez-vous une question : que se passe-t-il si une machine de cette zone est infectée ? Plus la réponse est grave, plus la zone doit être protégée.

Une règle guide tous ces choix : le MOINDRE PRIVILÈGE. Chaque zone reçoit les accès utiles, et rien d'autre. On ferme tout, puis on ouvre au cas par cas.

Pensez à un badge d'entreprise. Il ouvre certaines portes, pas toutes : le badge d'un stagiaire n'ouvre pas la salle des serveurs. Une zone, c'est pareil : elle n'ouvre que les portes dont elle a besoin.

Ces règles, on les écrit dans un tableau.

Ce tableau s'appelle une MATRICE DE FLUX : il dit quelle zone peut joindre quelle zone, et pour quel service. C'est la liste des portes que chaque badge ouvre.

Un flux, c'est un échange entre deux machines pour un service : ouvrir un site web, lire un fichier partagé, imprimer. Tout ce qui n'est pas dans la matrice est interdit.

Pour la construire :

1. Listez les zones, en ligne et en colonne.
2. Demandez à chaque service ce qu'il doit joindre, et pour quoi faire.
3. Remplissez chaque case : « non », « oui », ou le service précis.
4. Placez chaque serveur dans une zone à part, jamais avec les postes.

Voici la matrice complète de la clinique :

Capsule 3 sur 3Contrôler au point de passage

La matrice dit ce qui est permis. Mais qui l'applique, et à quel endroit du réseau ?

Cet endroit s'appelle un POINT DE PASSAGE OBLIGÉ : l'équipement que traverse tout échange entre deux zones.

C'est comme le portique à l'entrée du lycée. Tout le monde passe par là, et c'est là qu'on contrôle les badges. Si une porte de derrière reste ouverte, le portique ne sert plus à rien.

Ce peut être un routeur, un switch de niveau 3 qui relie les zones, ou un pare-feu. Chaque flux entre deux zones le traverse.

C'est donc là qu'on contrôle. On peut y :

1. Autoriser ou refuser un flux, selon sa source, sa destination et son service.
2. Enregistrer les passages, pour savoir ce qui s'est passé après un incident.
3. Couper une zone infectée, sans arrêter les autres.

Le point de passage ne sert à rien s'il existe un autre chemin. Un poste branché sur deux zones à la fois ouvre une porte de côté. Un point d'accès Wi-Fi branché dans la mauvaise zone aussi.

Et si l'entreprise grandit, et qu'il faut une zone de plus ? Chaque zone ajoutée demande une ligne et une colonne de plus dans la matrice, et de nouvelles règles.

Changer une segmentation plus tard coûte cher : nouvelles adresses, nouvelles règles, interventions sur chaque switch. On choisit donc le nombre de zones avec soin, et on garde de la place pour la zone de demain.

Ce qu'on retient

Revenons à Sophie Lemarchand. Avec une zone pour l'atelier, une pour l'administration et une pour les serveurs, le virus n'aurait plus atteint les postes des autres services.

Au point de passage, l'atelier n'aurait joint le serveur que pour l'intranet, le site web interne de l'entreprise, et pour les fichiers. Avec des droits réglés sur le dossier de la comptabilité, celle-ci aurait continué de travailler.