Stratégies de sécurité du réseau Windows 2000 La plupart des entreprises souhaitent aujourd'hui que leur infrastructure d'ordinateurs soit connectée à Internet, qui fournit des services inappréciables à leur personnel et à leurs clients. Cependant, les services ainsi mis à disposition peuvent faire l'objet d'une utilisation dommageable, ce qui rend nécessaire les stratégies de sécurité du réseau. Microso ft Windows 2000 inclut un éventail de technologies qui vous aideront à planifiez la vôtre. Elles pourront aussi Microsoft vous être utiles si les problèmes de sécurité sont internes à l'entreprise, ou si vos connexions externes doivent être établies avec des réseaux autres qu'Internet. Pour de plus amples renseignements sur la sécurité interne, reportez-vous au chapitre 11, " Planification de la sécurité distribuée ", dans ce livre. Nous analyserons dans ce chapitre l'usage stratégique de technologies de sécurité pour protéger les connexions du réseau de votre société avec Internet ou d'autres réseaux publics. Nous ne fournirons pas de détail cependant sur la manière dont il convient d'installer et d'employer les technologies en cause. Les architectes réseau impliqués dans la conception de sa sécurité et les administrateurs système en charge de son administration administration doivent lire ce chapitre. Avant la lecture des tâches qui sont présentées, mieux vaudrait que vous connaissiez les technologies du réseau et d'Internet, telles que le routage, les protocoles et les services Web.
Sommaire • • • •
Planification de la sécurité du réseau Développement de stratégies pour des connexions réseau sécurisées Déploiement des technologies de sécurité du réseau Liste des tâches de planification pour les stratégies de sécurité du réseau
Objectifs de ce chapitre Ce chapitre vous aidera à développer les documents suivants de planification : • •
Plan de la sécurité du réseau Plan de déploiement des technologies de sécurité de réseau
Information connexes dans le Kit de Ressources Techniques •
•
Pour de plus amples renseignements sur la mise en œuvre et l'utilisation des technologies de sécurité du réseau de Windows 2000, reportez-vous au guide Interopérabilité des réseaux du Kit de Ressources Techniques Microsoft Windows 2000 Server. Pour de plus amples renseignements sur IPSec, reportez-vous au guide Architecture TCP/IP du Kit de Ressources Techniques Microsoft Windows 2000 Server.
Planification de la sécurité du réseau Avec une connexion à Internet, le personnel de votre entreprise peut se servir du courrier électronique pour communiquer avec d'autres personnes de par le monde et pour obtenir informations et fichiers à partir d'un très grand nombre de sources. Cette connexion permet aussi à vos clients d'obtenir à tout moment des informations sur votre entreprise et de solliciter ses services. En outre, les membres de votre personnel peuvent faire appel aux ressources de la firme de leur domicile, d'un hôtel, en fait, de tout endroit où ils se trouvent, tandis que vos partenaires commerciaux bénéficient de certaines facilités pour travailler plus efficacement avec vous. Tandis que vous planifierez votre réseau, vous voudrez peut-être implémenter des technologies de sécurité appropriées à votre entreprise. En les prenant en compte dès le début de votre travail de planification du déploiement de Windows 2000, vous garantirez que la sécurité ne pourra être remise en question et que des facilités réseau sécurisées pourront être mises en oeuvre quand il en sera besoin. Bien que vous ayez probablement déjà un environnement réseau sécurisé, il est important que vous en réexaminiez les stratégies de sécurité en fonction des capacités de Windows 2000.
En intégrant les implications des nouvelles technologies de sécurité r éseau de ce système d'exploitation, vous serez peut-être amené à repenser votre plan de sécurité. Pour commencer, commencer, il vous est recommandé de compléter les tâches suivantes tandis que vous développez votre plan de sécurité de réseau : • • • • • •
Évaluez vos risques de sécurité réseau. Déterminez vos spécifications de taille et de placement des serveurs. Préparez votre personnel. Créez et publiez stratégies et procédures de sécurité. Appliquez une méthodologie formelle pour créer un plan de déploiement pour vos technologies de sécurité. Identifiez vos groupes d'utilisateurs, ainsi que leurs risques et besoins spécifiques en matière de sécurité.
Ces points sont décrits plus en détail dans la suite de cette section. Remarque
Pour de plus amples renseignements sur la planification du déploiement de votre réseau, reportez-vous au chapitre 7, " Détermination des stratégies de connectivité réseau " dans ce livre. Il comprend des stratégies pour le routage, l'adressage, la résolution de noms, les applications de réseau et autres questions relevant du r éseau. Ce chapitre-ci s'attache avant tout aux problèmes de sécurité du réseau.
Évaluation des risques de la sécurité du réseau Hélas, la capacité à partager et à obtenir des informations s'accompagne de risques significatifs. Vos Vos concurrents vont tenter de faire main basse sur des informations de produit confidentielles ou encore en développement ; un intrus va essayer de modifier vos pages Web ou de surcharger vos ordinateurs pour les rendre inutilisables. La possibilité existe aussi que des employés accèdent à des informations dont ils ne doivent pas avoir connaissance. Vous souhaiterez éliminer tous ces types de risques en matière de sécurité, entre autres, pour garantir que les activités de l'entreprise puissent se poursuivre comme il se doit. Pour être sûr que seules les personnes appropriées aient accès aux ressources et aux données, mieux vaut dans un premier temps revoir vos technologies de sécurité réseau et en planifier soigneusement les stratégies stratégies – ce qui vous permettra en outre de mettre en place un système de traçabilité de la responsabilité, tandis que vous déterminerez comment seront employées ses ressources. Pour une analyse générale en matière d'identification des risques de sécurité et de sélection des stratégies adéquates, reportez-vous reportez-vous au chapitre 11, " Planification de la sécurité distribuée ", dans ce livre. Remarque
Certaines entreprises réduisent leurs risques de sécurité réseau en interdisant les connexions à Internet ou à tout autre réseau public. On restreint évidemment par là l'ensemble des utilisateurs qui pourraient faire un usage inopportun des facilités du réseau. Cependant, les risques existeront toujours dans l'entreprise même ; toutes les connexions de réseau, même limitées, exposent à des risques. Des stratégies et des technologies de sécurité sont donc toujours nécessaires, même dans pareilles situations. La figure 17.1 illustre les étapes de base de la détermination de vos stratégies de sécurité de réseau.
Figure 17.1 Processus des stratégies de la sécurité du réseau
Taille et emplacement des serveurs Quand vous établissez une connexion entre votre intranet et Internet, ou un autre réseau public, définissez avec soin où interviendra la connexion. Elle se liera dans la partie centrale du réseau de votre entreprise pour minimiser la distance efficace entre vos serveurs et Internet. Il s'agira a ussi le plus souvent d'un emplacement auquel les spécialistes réseau auront facilement accès, à des fins de maintenance. Dans l'idéal, mieux vaudrait n'avoir qu'une connexion à Internet pour toute la société, de façon à en simplifier la gestion et réduire les risques de sécurité qu'entraîneraient des stratégies et des procédures appliquées sans rigueur. rigueur. Une fois que vous avez décidé de l'emplacement de la connexion à Internet, vous devez déterminer quel serveur va prendre en charge la sécurité du réseau. Ses caractéristiques vont dépendre des technologies que vous avez l'intention d'implémenter d'implémenter et de la somme de travail prévue mais, au minimum, votre matériel devra pouvoir exécuter Windows 2000 Server. Server. Bien qu'il soit possible de faire fonctionner des applications autres que celles liées à la sécurité du réseau sur le même serveur, serveur, ce n'est pas recommandé. Elles en réduisent en effet le temps de réponse et risquent d'entraîner des pannes. Par ailleurs, si ces applications sont elles-mêmes peu sûres, elles compromettront la sécurité générale.
Préparation du personnel Les technologies de sécurité doivent être déployées et gérées par des individus aussi compétents que dignes de confiance, qui assureront leur intégration dans toute l'infrastructure du réseau pour en éliminer ou en réduire les faiblesses. Au fil de la modification modification de l'environnement et de ses spécifications, ils doivent continuellement continuellement en maintenir l'intégrité. L'un des facteurs essentiels de leur réussite va bien sûr tenir à la mise à jour continuelle de leur formation. Ils doivent donc prendre le temps de se familiariser avec Windows 2000, particulièrement pour ce qui est de ses technologies de sécurité du réseau. Ces personnes doivent mettre fréquemment à l'épreuve de la réalité leur savoir expérimental. En outre, le personnel de sécurité de réseau doit se familiariser avec les questions générales de la sécurité en réseau. Il existe de nombreux livres à ce sujet et Internet dispose de nombreux sites qui en traitent.
Développement de stratégies et procédures de sécurité Les stratégies et les procédures revêtent toujours de l'importance ; dans le domaine de la sécurité, elles sont capitales. Vous devez créer et publier vos stratégies pour dégager un consensus sur la façon dont seront contrôlées des questions spécifiques et pour être sûr que chacun les comprenne clairement. Les procédures formalisées assurent que l'entretien du système et les changements qui y sont introduits le sont toujours d'une façon cohérente et rigoureuse. Vous devez envisager comment seront surveillées les tentatives d'effractions ou de rupture de la sécurité. Vous parviendrez à les minimiser si le personnel adéquat en a dès que possible conscience, ce qui ne sera envisageable que si des procédures de surveillance sont en place. Des stratégies bien définies vous aideront à établir les procédures qui répondent à ces problèmes de sécurité. La fiabilité est un autre aspect important de la sécurité. Munissez-vous de plans pour répondre aux cas d'urgence, quand un composant de l'infrastructure de sécurité connaît une panne. Décidez des mesures appropriées à prendre pour parer à l'avance à toute effraction sécuritaire ; mettez en place des ressources permettant de contrer tout problème le plus tôt possible.
Plan de déploiement des technologies de sécurité Créez un plan détaillé de déploiement des technologies de sécurité du réseau, qui soit partie intégrante de votre plan général de déploiement de Windows 2000, en recourant à une méthodologie formelle de projet. Vous Vous serez ainsi assuré de les mettre en place de façon systématique et minutieuse, avec un risque réduit de panne. Les étapes critiques de ce projet vont inclure la communication des stratégies de sécurité du réseau à toutes les parties intéressées, en particulier aux utilisateurs du réseau. L'aspect L'aspect le plus important du projet de déploiement est le programme pilote de test, qui va mettre à l'épreuve les technologies de sécurité du réseau envisagées dans un environnement sûr. Vous certifierez ainsi que l'architecture fonctionne comme prévu, que vos objectifs de sécurité sont atteints et que votre personnel est prêt à la déployer et la prendre en charge. Identification des catégories d'utilisateurs et de leurs spécifications de sécurité Votre infrastructure de réseau n'a d'autre objet que de servir des personnes pour que votre entreprise en tire tout bénéfice. À des fins d'analyse des stratégies de sécurité du réseau dans ce chapitre, ces individus vont être répartis en quatre communautés d'utilisateurs : Tout le monde Cette catégorie inclut tous ceux qui accèdent à votre réseau de tout emplacement, qu'il s'agisse de membres du personnel, d'utilisateurs ou de partenaires. On ne peut en général les identifier de manière aisée ni fiable : ils sont par essence anonymes. Personnel Ce groupe inclut tous les gens qui travaillent pour votre entreprise. Ils peuvent être facilement identifiés à l'aide de procédures internes standardisées. En général, ils se servent du courrier électronique et de l'intranet de la société. Utilisateurs Ce groupe inclut le personnel qui se sert des applications pour satisfaire aux besoins de l'entreprise. Partenaires Ce groupe inclut ceux qui, d'où qu'ils viennent ou se connectent, entretiennent un rapport spécial avec votre entreprise. Ils sont préparés à appliquer des procédures standardisées pour être identifiés. Ils vont le cas échéant employer des facilités semblables semblables à celles qui sont accordées au personnel et aux utilisateurs. On peut considérer qu'ils font partie de l'extranet. Dans les stratégies de sécurité de réseau présentées dans ce chapitre, les besoins et les risques de chaque catégorie d'utilisateurs du réseau sont pris en compte, tout comme sont analysées en détail les approches que vous pourrez appliquer pour y satisfaire en réduisant les risques encourus. Vous y trouverez en outre une stratégie globale tant pour la sécurité générale que pour l'infrastructure de sécurité du réseau.
Développement de stratégies pour des connexions réseau sécurisées La sécurité du réseau revêt une importance critique quand vous connectez vos ordinateurs à un réseau auquel vous ne pouvez vous fier entièrement. Les questions qui en relèvent sont courantes au sein d'une entreprise et, dans ce contexte, les problèmes de responsabilité et de discipline sont de votre ressort : un large éventail de technologies de base peuvent vous aider dans ces tâches. Au-delà de votre entreprise, toutefois, vos options en la matière sont bien plus réduites, et vous devez d'autant plus compter sur les stratégies de sécurité.
Création de limites sécurisées
La sécurité du réseau entre votre entreprise et le monde extérieur va dépendre d'un ou de plusieurs serveurs, dans lesquels vous allez implémenter les technologies. Ces serveurs logiques résident sur la limite qui sépare votre entreprise du monde. Les serveurs d'applications qui fournissent des services à l'extérieur se trouvent souvent dans le même emplacement physique. On peut maximiser la sécurité de ces serveurs logiques en les installant en un emplacement unique de l'infrastructure du réseau. Le domaine dans lequel ils sont placés est souvent appelé zone démilitarisée (DMZ). Le coupe-feu (analysé dans la section suivante) est doté d'un adaptateur réseau supplémentaire, qui dirige le trafic vers la DMZ en fonction de l'ensemble des adresses qui lui a été assigné.La figure 17.2 explicite ce rapport. Dans la DMZ, vous pouvez être assuré que les serveurs n'ont pas accès aux ressources de l'entreprise. De la sorte, une effraction qui y aurait lieu ne permettrait cependant pas aux intrus de passer sur les autres ordinateurs de votre intranet.
Figure 17.2 Zone démilitarisée
La DMZ, comme tous les composants réseau internes, doit être matériellement sécurisée contre tout accès public. Ainsi, nul – pas même vos employés – ne peut mettre en péril votre sécurité en réorganisant le câblage ou en recourant à des comptes d'utilisateurs en session. Vous ne devez pas séparer physiquement la DMZ des autres ordinateurs ni de l'équipement réseau. Il est cependant indiqué d'y appliquer des stratégies et des procédures spéciales, au vu de son rôle critique. Le plus infime changement, incorrectement introduit, introduit, suffira peut-être à créer une u ne brèche dont des intrus risqueraient de tirer profit. Il doit donc être impossible à un personnel incompétent de modifier la DMZ – ce qui sera le cas si vous lui appliquez une sécurité physique supplémentaire. Attention
Sécurisez avec soin vos ordinateurs et comptes clients, pour être sûr que seuls les utilisateurs autorisés puissent s'en servir pour accéder à votre réseau. Si vous ne pouvez sécuriser matériellement un ordinateur client, faites alors en sorte que les comptes qui y sont en usage soient dotés de peu de privilèges et recourez a u chiffrement des fichiers, aux écrans de veille à mot de passe et autres stratégies locales de sécurité.
Sécurisation de l'accès extérieur Pour sécuriser le réseau de votre entreprise contre les accès en direction de et provenant d'Internet, vous devez placez un serveur entre eux. Celui-ci peut fournir la connectivité au personnel de la société à Internet, tout en minimisant les risques qu'elle fait encourir, encourir, au même moment qu'il va empêcher l'accès au x ordinateurs sur votre réseau par Internet, sauf s'ils en ont le droit. Sur ce serveur s'exécute le logiciel de coupe-feu ou de relais (proxy). Il est aussi doté de deux interfaces de réseau : l'une pour l'entreprise, l'autre pour Internet. Le logiciel du coupe-feu ou du relais examine tous les paquets de réseau sur chaque interface pour déterminer leur adresse de destination. Ensuite, ceux-ci sont passés à l'autre interface, qui les distribuera au reste du réseau, s'ils ont satisfait au x critères de sécurité. Dans certains cas, le contenu de ces paquets est transmis comme s'il venait du serveur de relais, puis les résultats sont passés à l'ordinateur qui les requiert quand ils sont retournés au serveur de relais. On s'assure ainsi que nul sur Internet ne peut recevoir les adresses des ordinateurs de la société autrement que par le serveur de relais.
Utilisation de Microsoft Proxy Server Microsoft Proxy Server 2.0 offre des fonctions de serveur de relais et de coupe-feu. Sa version 2.0 s'exécute sur Windows 2000. Tous Tous deux ont besoin d'être correctement configurés pour fournir une sécurité de réseau entière. Si vous disposez d'une version antérieure à la 2.0 avec le Service Pack 1, vous devrez la mettre à niveau pour assurer sa compatibilité compatibilité avec Windows 2000, tandis que vous faites passer à niveau le serveur sous ce système d'exploitation.
Dans de nombreux cas, le trafic entre un u n réseau de société et Internet est plus volumineux que ne peut le contrôler un serveur de relais. On se sert alors dans cette situation de serveurs de relais multiples ; le trafic y est automatiquement coordonné. Pour les utilisateurs situés tant sur Internet que sur l'intranet, ils semblent ne former qu'un seul et même serveur. Pour pouvoir recourir aux caractéristiques caractéristiques avancées de Microsoft Proxy Server, Server, il faut son client soit installé et configuré sur les ordinateurs clients, afin que ceux-ci sachent faire appel au serveur de relais. Les ordinateurs où il ne se trouve pas (ceux qui sont du côté Internet) en recevront les services de base en tant qu'utilisateurs anonymes. Il est important de tester le serveur de relais avant de le connecter à Internet. Mettez en place une simulation à petite échelle qui va simuler Internet et votre intranet, puis amenez les ordinateurs clients à tenter d'accéder aux divers services dans les deux directions. Par ailleurs, tentez d'établir des connexions non autorisées pour vérifier que votre réseau les rejette. N'omettez pas de tester un large éventail de méthodes d'accès de réseau afin de vérifier que toutes soient bien sécurisées. Recourez à des techniques différentes pour exploiter les possibles brèches dans la sécurité et pour vérifier que vous n'en souffrez pas. Les livres traitant de la sécurité en réseau offrent souvent des suggestions sur les divers aspects que vous pouvez tester. tester. Des produits tierce partie peuvent aussi aider dans ces tests, ainsi que des consultants spécialistes spécialistes de ce domaine. Les procédures d'utilisation de Microsoft Proxy Server sont incluses dans le produit. Pour de plus amples renseignements sur Microsoft Proxy Server et sur les technologies de sécurité qu'offre Microsoft, reportez-vous reportez-vous au lien Conseiller de sécurité de Microsoft sur la page des ressources Web à http://www.microsoft.co http://www .microsoft.com/WINDOWS2000/library/resources/resk m/WINDOWS2000/library/resources/reskit/WebR it/WebResources/default.asp esources/default.asp..
Surveillance de la sécurité du réseau Les technologies de sécurité de réseau que vous implémenterez ne pourront répondre à vos besoins que si vous les planifiez et les configurez avec soin. Une préparation minutieuse assurera de toute sa réussite. Il peut cependant se révéler fort ardu de prévoir tous les risques possibles :de nouveaux périls se développent chaque jour, jour, les systèmes tombent en panne et l'environnement dans lequel ils sont placés change rapidement. Des examens permanents de vos stratégies de sécurité du réseau minimiseront de tels dangers. Vous devez toutefois aussi surveiller l'activité effective de la sécurité de votre réseau, afin d'en repérer les faiblesses, avant qu'elles ne soient exploitées par des intrus, et pour prévenir toute tentative de la circonvenir. circonvenir. Pour examiner votre activité en matière de sécurité de réseau, il vous faut des outils qui puissent en saisir les détails et en analyser les données. Microsoft Proxy Server inclut un journalisation à deux niveaux : normale et détaillée. Windows 2000 comporte aussi une journalisation des événements, qui peut être améliorée en activant l'audit de sécurité. Le Serveur d'authentification Internet, analysé dans la suite de ce chapitre, comprend également des options en ce domaine. Il existe aussi des produits tierce partie, qui vous aideront dans la surveillance des serveurs et des applications, notamment notamment ceux qui relèvent de la sécurité. Pensez à bien lire la documentation de ceux dont vous vous servez.
Connexion aux réseaux externes Quand un serveur de relais est en place, qui inclut également des programmes de surveillance et un personnel à la formation adéquate, vous pouvez connecter votre réseau à un réseau externe. Faites un dernier ensemble de tests pour être sûr que l'implémentation satisfasse correctement à vos plans. Vous devez être absolument certain que seuls les services que vous avez autorisés sont disponibles et que le risque de les voir employés à des fins pernicieuses est presque inexistant. Un tel environnement requiert une surveillance et une maintenance assidues, mais vous devrez peut-être aussi penser à fournir d'autres services de sécurité. Remarque
Ce chapitre n'analyse pas comment on établit une connexion de réseau. De nombreux ouvrages traitent de ce sujet, et votre fournisseur de service réseau peut l'établir pour vous, ou vous mettre en rapport avec des consultants expérimentés.
Déploiement des technologies de sécurité du réseau Une fois que vous aurez préparer votre stratégie générale de sécurité de réseau, vous pouvez décider de la manière dont vous allez en appliquer les technologies améliorées pour chaque communauté d'utilisateurs définie dans ce
chapitre : tout le monde, personnel, utilisateurs et partenaires. Vous pouvez alors déployer les stratégies de sécurité de réseau pour chacune d'entre elles. Peut-être voudrez-vous par exemple d'abord prendre en compte les besoins de tous, en tant que groupe, puis résoudre ceux du Personnel, des Utilisateurs et des Partenaires, selon les priorités de votre entreprise. Avant d'identifier les stratégies de sécurité spécifiques à votre société, vous devez prendre connaissance des capacités de Windows 2000.
Technologies de sécurité du réseau de Windows 2000 Dans certains cas, les technologies de sécurité du réseau de Windows 2000 vont dépendre d'autres technologies de sécurité du programme. Par exemple, le protocole de réseau privé virtuel L2TP se sert d'IPSec pour fournir la sécurité du client distant au serveur de VPN. Cette négociation de sécurité exige que des certificats autorisent la connexion. Il faut donc un serveur de certification correctement configuré. configuré. En général, le serveur de certificats de Windows 2000 est joint à un domaine, lequel spécifie la Stratégie de groupe avec les paramètres de l'infrastructure à clés publiques (PKI), pour que les ordinateurs s'y inscrivent automatiquement afin d'en recevoir un certificat IPSec. L2TP crée la stratégie IPSec nécessaire pour garantir que le trafic L2TP sera sûr. sûr. Cependant, des administrateurs voudront voudront peut-être aussi sécuriser d'autres trafics entre serveurs et clients, ce qui va supposer une configuration d'IPSec sur chacun d'eux. Comme IPSec est configuré à l'aide d'une stratégie, vous pouvez, après avoir créée celle-ci dans Active Directory™, l'appliquer à tous les ordinateurs en fonction du groupe ou du domaine. Vous pouvez pouvez déployer les certificats et la stratégie IPSec dans tous les ordinateurs du domaine, par administration administration centralisée à l'aide de la Stratégie de groupe dans Active Directory. Directory. Pour de plus amples renseignements sur la planification du déploiement de certificats de Windows 2000, reportez-vous au chapitre 11, " Planification de votre infrastructure à clés publiques ", dans ce livre. Pour de plus amples renseignements sur la planification de Active Directory, Directory, reportez-vous au chapitre 9, " Conception de la structure de Active Directory ", dans ce livre.
Déploiement de stratégies pour tout le monde Quiconque est à même de repérer votre connexion Internet peut devenir un risque potentiel de sécurité sur le réseau. De ce fait, la première communauté d'utilisateurs à prendre en compte, quand vous déployez une stratégie générale de sécurité de réseau, est le groupe que nous avons précédemment défini comme " tout le monde ". Vous y avez déjà partiellement répondu en mettant en place un serveur de r elais, de même que des stratégies, des procédures et des technologies de surveillance de la sécurité. Vous devrez le cas échéant prendre aussi en compte les applications du réseau dont tout le monde peut tirer parti, ainsi que leurs spécifications de sécurité. Supposons par exemple que vous installiez Microsoft Internet Information Services IIS avec un site Web interne. IIS offre de nombreuses options de sécurité, qu'il vous faudra en conséquence peser et configurer avec soin. (IIS inclut une large documentation sur ces rubriques.) N'oubliez pas par exemple de réfléchir à l'utilisation de serveurs FTP entre autres services dont " tout le monde " peut profiter. profiter. Déploiement de stratégies pour le personnel Les individus relevant du groupe Personnel vont sans doute vouloir accéder au réseau à partir de n'importe que système, afin de parcourir ses sites web internes, y copier des fichiers, y imprimer des documents, etc. La sécurité va dans ce cas consister à vérifier que de tels utilisateurs sont des employés autorisés, avant qu'ils n'accèdent au réseau. De ce fait, c'est la connexion initiale qui doit être sécurisée, sans autre validation ultérieure. Pour autant, vous devez empêcher les intrus d'intercepter et de lire le trafic sur votre réseau. Vos employés employés peuvent recourir à des fournisseurs de service Internet pour accéder au réseau de l'entreprise ; pour autant, tout le personnel ne jouira pas d'un tel accès. Vous ne souhaiterez peut-être pas par exemple que tous les services de l'intranet leur soient disponibles par Internet, ou requérir au contraire une capacité réseau garantie pour un lien dédié. Avec les services Routage et accès distant de Windows 2000, vous pouvez définir des stratégies d'accès distant qui soient extrêmement spécifiques quant à la manière dont les utilisateurs vont accéder au réseau interne par une connexion Internet.
Routage et accès distant L'entreprise L'entreprise fournit habituellement des options de connexion distantes avec ses sites à ses employés. Le personnel du service information met en place des numéros de téléphone spéciaux et rattache à cet effet des modems à un serveur directement connecté à l'intranet. Ce serveur exécute un logiciel spécialisé, qui contrôle les détails des connexions et authentifie aussi comme membre autorisé du personnel l'utilisateur d'accès à distance. Windows 2000 comprend des services Routage et accès distant, qui vous permettent de fournir des facilités d'accès à distance à vos utilisateurs. Si vous voulez centraliser l'authentification, l'autorisation et les services de comptes de vos
utilisateurs dans Windows 2000, vous vous servirez de l'accès distant ou des VPN, en établissant un serveur Service d'authentification Internet (IAS). La figure 17.3 en donne une configuration possible.
Figure 17.3 Exemple de configuration du service Routage et accès distant
Le guide Interopérabilité des réseaux du Kit de Ressources Techniques Techniques Microsoft Windows 2000 Server offre des informations sur les capacités du service Routage et accès distant. L'aide de Windows 2000 Server décrit comment on l'installe et on s'en sert. Quand vous planifiez le déploiement de Routage et accès distant, pensez à prendre en compte les questions suivantes de sécurité : • • • •
À qui seront donnés les numéros de téléphone ? Qui aura la permission d'utiliser le Routage et l'accès distant ? Quels types de méthodes d'authentification seront appliqués ? Comment sera employé le chiffrement de données (du client Routage et accès distant au serveur Routage et accès distant) ? S'il vous faut un chiffrement de bout en bout (du client jusqu'au serveur d'applications sur le réseau interne), servez-vous servez-vous de la sécurité du protocole Internet (IPSec), analysée dans la suite de ce chapitre.
•
Quelles stratégies d'accès distant seront-elles appliquées pour contrôler l'accès des utilisateurs ?
Pour de plus amples renseignements sur les questions générales du déploiement de Routage et accès distant, reportezvous au chapitre 7, " Détermination des stratégies de connectivité connectivité réseau ", dans ce livre.
Sécurité du Routage et de l'accès distant En limitant la distribution des numéros du service Routage et accès distant, vous réduisez le nombre d'individus à même d'essayer de se connecter par téléphone à votre réseau. Toutefois, Toutefois, toute solution de connexion d'accès à distance suppose toujours un risque : en effet, n'importe qui peut potentiellement en obtenir le numéro d'accès. Il est ainsi possible d'établir un processus automatique qui va appeler des numéros en séquence, jusqu'à ce qu'un modem réponde. De ce fait, le service Routage et accès distant doit être sécurisé pour ne permettre que les accès autorisés. Au minimum, il doit requérir que l'utilisateur fournisse un compte et un mot de passe d'ordinateur valides. Ce niveau de sécurité reste cependant accessible aux attaques d'ouverture de session normales, telles que celle qui vise à deviner les mots de passe. Il vous est recommandé d'appliquer des options de sécurité supplémentaires pour Routage et accès distant, en limitant son usage à ceux qui ont un besoin avéré de ce type de connexion. Vous pouvez aussi exiger du service qu'il raccroche la connexion une fois celle-ci établie, avant de rappeler l'utilisateur. l'utilisateur. De la sorte, ce dernier ne peut y accéder que par un numéro de téléphone prédéterminé, ou par numéro qui sera alors enregistré. Quand c'est possible, vous pouvez aussi faire appel à la présentation d'appel de façon à enregistrer celui d'où provenait la connexion. Sachez qu'il est possible d'intercepter un nom d'utilisateur et un mot de passe pendant qu'un utilisateur tente d'ouvrir une session avec les services Routage et accès distant par des méthodes qui rappellent celles des écoutes téléphoniques. Pour parer à ce danger, danger, les utilisateurs peuvent recourir r ecourir à une méthode d'authentification d'utilisateur d'utilisateur sécurisée, telle que les protocoles EAP, MS-CHAP versions 1et 2, CHAP ou le protocole SPAP de Shiva. Un autre risque surgit quand l'utilisateur croit qu'il téléphone sur le réseau de l'entreprise, alors qu'il appelle en fait un autre emplacement, lequel en obtient ainsi les informations d'identification. Pour éviter ce danger, danger, vous pouvez appliquer une authentification réciproque, afin que le serveur de Routage et d'accès distant soit autorisé comme l'est l'utilisateur, opération rendue possible par les protocoles EAP-TLS ou la version 2 de MS-CHAP.
Des questions similaires se posent quant aux données transitant sur une connexion de Routage et accès distant. Les protocoles d'authentification d'authentification EAP-TLS ou MS-CHAP version 2 vous permettent cependant de les chiffrer pendant leur transmission, transmission, à l'aide de MPPE. Les stratégies d'accès distant, qu'elles soient implémentées comme stratégies locales ou fassent partie d'une Stratégie de groupe, peuvent obliger à recourir aux techniques d'authentification et de chiffrement que vous choisirez d'utiliser. Pour de plus amples renseignements sur le réseau, l'authentification du Routage et accès distant et les techniques de chiffrement des données, reportez-vous à l'aide de Windows 2000 Server.
Réseaux privés virtuels Les réseaux privés virtuels (Virtual Private Network ou VPN) fournissent un service de réseau sécurisé sur un réseau public, à la manière d'un réseau privé, mais à moindre coût. Grâce à eux, des membres du personnel, et d'autres utilisateurs autorisés, sont à même de se connecter au réseau de l'entreprise à partir d'emplacements distants, de manière aussi sûre que s'ils se trouvaient sur un site de la société. En conséquence, tous les services du réseau de l'entreprise sont disponibles par les VPN. Leur maîtrise, leur mise en place et leur prise en charge requièrent certes un travail plus important que les connexions publiques non sécurisées, mais ils fournissent des connexions entièrement sûres, en recourant à des connexions Internet ou similaires à bas prix. Vous pouvez vous servir des VPN avec le Routage et accès distant, mais ce n'est pas nécessaire. Vous pouvez en établir entre des sites par tout type de lien, comme y faire appel au sein d'un même site pour une sécurité accrue. Les réseaux privés virtuels fonctionnent en général de l a sorte : • •
• •
•
L'utilisateur L'utilisateur appelle un fournisseur de services Internet (FSI). Le logiciel client du VPN contacte le serveur de VPN désigné de votre société par Internet et enclenche l'authentification. L'utilisateur L'utilisateur est authentifié et les détails de sécurité sont échangés. Le serveur de VPN fournit une nouvelle l'adresse TCP/IP à l'ordinateur du client, en lui demandant d'envoyer tout trafic de réseau par cette adresse. Tous les paquets du réseau sont alors entièrement chiffrés d'une manière que seuls le serveur et le client du VPN savent déchiffrer.
La figure 17.4 montre les rapports qui s'établissent entre ces ordinateurs.
Figure 17.4 Exemple de configuration d'un réseau privé virtuel Vous pouvez encore vous servir des VPN pour connecter de multiples ordinateurs à un site de votre réseau d'entreprise, ou restreindre au seul personnel autorisé les communications avec un sous-réseau donné. Windows 2000 Server dispose d'un logiciel de VPN, composant optionnel des services Routage et accès distant. Le guide Interopérabilité des réseaux du Kit de Ressources Techniques Techniques Microsoft Windows 2000 Server offre de nombreuses informations sur le fonctionnement des VPN de Windows 2000. L'aide de Windows 2000 Server explique comment on les installe.
Déploiement de VPN Si vous entendez déployer des VPN, vous devez prendre en compte divers points :
Quel protocole de sécurité utiliser – PPTP ou L2TP. L2TP. • • • • •
Faire appel à IPSec (si L2TP est sélectionné). Quels certificats employer dans la connexion L2TP/IPSec. Où placer le serveur de VPN – devant le coupe-feu, derrière lui, ou à côté. Comment se servir du Gestionnaire de connexions pour donner des paramètres prédéfinis aux utilisateurs. Comment insérer les VPN dans la stratégie d'accès distant.
PPTP ou L2TP Le protocole PPTP est un protocole réseau TCP/IP qui encapsule IP IP,, IPX ou NetBEUI. Il permet une activité réseau nonTCP/IP, TCP/IP, ou multiprotocoles, par Internet (ou des réseaux similaires). Les VPN s'appuyant sur PPTP fournissent également une authentification de l'utilisateur, l'utilisateur, un contrôle d'accès et la possibilité possibilité d'appliquer des profils d'accès distant pour restreindre celui-ci à certains types d'utilisateurs. PPTP dispose d'une configuration d'adresse interne pour le client distant, qui peut dès lors participer au réseau interne comme s'il y était directement connecté. PPTP fournit encore une compression et des options pour le chiffrement RC4 standard et renforcé (un chiffre à flux symétrique) pour le trafic qui passe par le tunnel. L2TP rappelle de près PPTP, mais il se sert d'UDP et peut donc être utilisé sur des réseaux Mode de transfert asynchrone (ATM), Relais de trames et X. 25. Quand on l'emploie sur des réseaux IP, IP, il sur le recourt au format de paquet UDP port 1701, tant pour la chaîne de contrôle que pour celle des données. On peut aussi l'utiliser avec IPSec pour fournir un lien réseau entièrement sécurisé. IPSec effectue une première négociation de sécurité, en se servant de certificats pour l'authentification entre serveur et client VPN en ce qui concerne le trafic L2TP. L2TP. L2TP fournit alors une authentification en se servant d'un compte et d'un mot de passe d'utilisateur, ou d'un certificat d'utilisateur. Sécurité du protocole Internet La Sécurité du protocole Internet (IPSec) est un protocole qui sécurise le trafic réseau du protocole IP. IP. Il permet une sécurité complète entre deux ordinateurs, pour qu'aucune section de la connexion ne soit ouverte. On le configure par des stratégies IPSec, qui peuvent renfermer nombre de règles de sécurité, chacune spécifiant un certain type de trafic par des filtres, lequel est associé alors à une u ne action de filtre et une méthode d'authentification. d'authentification. On crée et on assigne ces stratégies IPSec soit localement sur un ordinateur, ordinateur, soit dans la Stratégie de groupe Active Directory. Directory. Remarque
IPSec fournit une sécurité IP de bout en bout, mais ne chiffre pas tous les protocoles passant par IP. Il comporte des exemptions exemptions qui sont incorporées pour certains types de trafic, tels que la négociation d'échange de clé Internet, l'authentification Kerberos, l'émission IP et la multidiffusion IP. IP. Si nécessaire, des protocoles supplémentaires peuvent être exemptés exemptés en créant des règles IPSec avec un filtre spécifiant le type de trafic et l'action de filtre permise. Pour de plus amples renseignements sur IPSec, reportez-vous à l'aide de Windows 2000 Server et au guide Architecture TCP/IP du Kit de Ressources Techniques Techniques Microsoft Windows 2000 Server. Pour de plus amples renseignements sur la planification du déploiement de votre autorité de certification dans une infrastructure à clés publiques, reportez-vous reportez-vous au chapitre 12, " Planification de votre infrastructure à clés publiques ", dans ce livre. Emplacement du serveur de VPN Vous pouvez vous servir de VPN avec des coupe-feu. Bien que les serveurs eux-mêmes puissent fonctionner fonctionner de la même manière qu'un coupe-feu, chacun d'entre eux jouit d'avantages supplémentaires supplémentaires : tous deux seront le cas échéant requis. Dans de tels cas, évaluez l'emplacement du serveur de VPN par rapport au coupe-feu. Vous pouvez matériellement installer les deux sur le même serveur, serveur, ce qui crée toutefois un point unique u nique de panne, si le serveur se révèle indisponible ou si sa sécurité est compromise. En vous dotant d'un nombre moindre de serveurs, vous réduisez cependant par là la probabilité de leur indisponibilité, indisponibilité, de même que leurs coûts d'entretien. Des questions de capacité peuvent aussi se poser. poser. Voyez comment chacun de ces facteurs affecte votre situation pour déterminer votre modèle spécifique. Vous devez également penser au rapport logique entre serveur de VPN et coupe-feu. Les options données à la figure 17.5 placent le serveur de VPN logique devant le coupe-feu, derrière lui, ou à côté de lui. Windows 2000 est à même de fournir des services de coupe-feu, soit par Proxy Server, Server, soit par routage de filtre de paquets. Pour de plus amples renseignements sur ces solutions, reportez-vous reportez-vous au chapitre " Service Routage et accès distant " du guide Interopérabilité Interopérabilité des réseaux du Kit de Ressources Techniques Techniques Microsoft Windows 2000 Server.
Quand le serveur de VPN est placé devant le coupe-feu, ce dernier ne fournit ses services externes qu'aux utilisateurs autorisés du VPN. De ce fait, il n'y a pas d'accès général à Internet– sauf si l'accès est fourni à l'autre extrémité des connexions du VPN.
Figure 17.5 Exemple de placement logique du serveur de VPN par rapport à un coupe-feu
Quand le serveur de VPN est situé derrière le coupe-feu, ce dernier four nit tous ses services traditionnels, mais doit alors être configuré pour ouvrir les ports requis par le serveur de VPN VP N – ce qui inclut les ports nécessaires à IPSec, si vous utilisez un VPN L2TP avec IPSec. Quand le serveur de VPN est à côté du coupe-feu, chacun fournit ses services indépendamment. Cette configuration configuration crée cependant deux voies d'accès au réseau de l'entreprise, ce qui augmente la possibilité d'effraction. Normalement, aucun ne fournit de route vers l'autre mais, avec deux routes, le risque double. Le choix du meilleur rapport pour votre situation va dépendre des problèmes de sécurité que vous êtes prêt à affronter. affronter. Les serveurs étant les uns à côté des autres, deux voies d'accès mènent à votre Intranet, ce qui représente un double risque. Avec le serveur de VPN derrière le coupe-feu, vous devez ouvrir plus de ports sur le coupe-feu. Si le serveur de VPN est placé devant le coupe-feu, il ne tire pas parti de la sécurité du coupe-feu, mais tout le trafic qu'il traite en bénéficie. Gestionnaire de connexion La mise en place d'un VPN pour vos utilisateurs suppose un travail de configuration sur chaque ordinateur client. Les paramètres ne sont pas nécessairement aisés à définir, mais Windows 2000 inclut un Gestionnaire de connexion (Connection Manager) qui facilitera ce processus. Connection Manager fonctionne sur les ordinateurs exécutant Microsoft Windows 95, Microsoft Windows 98, Microsoft Windows NT ou Windows 2000. Windows 2000 Server comprend également un kit administratif, appelé appelé le Kit d'administration d'administration de Connection Ma nager, nager, qui vous permet de créer un u n gestionnaire personnalisé pour vos utilisateurs. Pour de plus amples renseignements sur les connexions, Connection Manager et le Kit d'administration de Connection Manager, Manager, reportez-vous à l'aide de Windows 2000 Server. Après en avoir suivi les instructions et exécuté le Kit d'administration d'administration de Connection Ma nager, nager, vous disposerez d'un programme et d'une documentation que vous pourrez distribuer à vos utilisateurs. Stratégies d'accès distant
Les stratégies d'accès distant vous permettent de spécifier les individus qui vont recourir aux services Routage et accès distant, et les diverses conditions qui seront appliquées à ces connexions. Vous pouvez spécifier des stratégies qui se fondent sur le groupe Windows 2000 auq uel ils appartiennent, sur le numéro de téléphone en usage, sur l'heure ou d'autres informations. Elles peuvent spécifier que la connexion devra être acceptée ou rejetée et qu' un profil y sera appliqué. Ce profil peut à son tour spécifier la durée maximale de la session, celle de son éventuelle inactivité, les types de moyens d'accès à distance permis, les adresses permises, les méthodes d'authentification requises et si le chiffrement ou un VPN seront nécessaires. Vous pouvez définir des stratégies d'accès distants pour Routage et accès distant, ou pour le Service d'authentification Internet (IAS), analysé dans la suite de cette section. Pour de plus amples renseignements sur les stratégies d'accès distant, notamment sur leur mise en place et leurs options de stratégies, consultez l'aide de Windows 2000 Server. N'appliquez de stratégies ou de conditions différentes aux groupes qu'avec le plus grand soin. Il peut arriver qu'elles se chevauchent et interdisent alors à certains un accès distant que vous pensiez leur octroyer, octroyer, ou créent d'autres problèmes. Plus leur combinaison sera complexe, plus elle entraînera de difficultés. Mieux vaut donc minimiser le nombre de stratégies. L'aide L'aide de Windows 2000 Server inclut une procédure recommandée pour dépanner des stratégies d'accès distant problématiques. Capacité du serveur de VPN Comme pour tous les serveurs, ceux qui servent au VPN risquent de connaître une panne, si des charges trop importantes de travail leur incombent. incombent. Il faut certes un nombre immense de liens VPN pour que la situation se produise, mais elle a des chances de survenir dans une grande entreprise. Dans votre projet pilote, testez la charge que vos utilisateurs vont en toute probabilité placer sur vos serveurs de VPN. Vous pouvez aussi tester la capacité de vos serveurs de VPN, en estimant le nombre d'utilisateurs simultanés que vous allez sans doute devoir satisfaire et la quantité de données qu'ils vont envoyer. envoyer. Vous pouvez alors envoyer une quantité comparable de données par le biais du serveur de VPN au moyen d'un petit nombre d'ordinateurs clients, mais par votre réseau local et en créant une activité intense, telle que la copie de grands nombres de fichiers. En examinant le serveur de VPN et son temps de réponse, vous pourrez déterminer si vos serveurs seront suffisants pour le rôle qui leur incombe. Si nécessaire, vous en augmenterez la taille, ou en ajouterez d'autres, et ferez appel à Équilibrage de la charge ou des tourniquets DNS.
Service d'authentification Internet Windows 2000 Server inclut le Service d'authentification Internet (IAS) comme composant optionnel. Il implémente un protocole de sécurité d'authentification d'authentification de réseau aux normes, RADIUS (Remote Authentication Dial-In User Service en anglais), qui permet la centralisation de l'autorisation des comptes. RADIUS permet aussi de spécifier la durée de la session et l'adresse IP à utiliser. utiliser. IAS peut lui aussi enregistrer des détails sur la session, ce qui permet d'établir des rapports. Vous utiliserez aussi IAS si vous entendez sous-traiter vos facilités d'accès distant, tout en continuant à contrôler l'authentification des individus individus qui y recourent. Dans ce cas, le sous-traitant peut acheminer les requêtes d'autorisation de son serveur Routage et accès distant à vos serveurs IAS. Ces derniers authentifieront les comptes en fonction des domaines Windows 2000 natifs et des domaines Windows NT 4.0. Vous devez placer le Serveur IAS derrière votre coupe-feu, avec les ports ouverts pour l'authentification RADIUS et les paquets UDP appropriés. Pour de plus amples renseignements sur l'installation et l'utilisation d'IAS, notamment des suggestions d'usage, reportez-vous reportez-vous à l'aide de Windows 2000 Server, Server, qui propose également des pratiques de sécurité supplémentaires recommandées, recommandées, ainsi que des informations sur son extensibilité dans les grands environnements.
Déploiement de stratégies pour les utilisateurs Certains utilisateurs vont vouloir accéder à des applications sécurisées de l'entreprise alors qu'ils ne seront pas à leur bureau. Certains de ces programmes sont relativement simples (calendrier, (calendrier, remboursements, etc.) ; d'autres plus complexes (systèmes comptables et applications spécialisées relevant de l'activité même de l'entreprise). Assurez-vous de les sécuriser pour que seuls des utilisateurs autorisés aient accès à leurs données et puissent y introduire des changements. Vous mettre mettre en outre par là en place une traçabilité de la responsabilité, car leur utilisation fera l'objet d'une journalisation. Windows 2000 comprend plusieurs technologies de sécurité qui fournissent aux programmeurs des options pour l'inclusion de la sécurité de réseau. Le choix de ces technologies va dépendre : • • • •
Des spécifications de sécurité de l'application Des questions d'intégration Du degré de familiarité du programmeur avec la technologie De l'effet des performances sur le réseau r éseau et l'application
• • •
• •
•
De la complexité administrative administrative Les technologies de sécurité du réseau relatives aux applications concernent : L'Interface du fournisseur de prise en charge de la sécurité (SSPI) – Une API de sécurité générale, qui donne accès à un grand nombre de services de sécurité par le biais d'une interface de programmation standardisée. La sécurité NTLM de Windows, aussi appelée sécurité Windows NT au niveau des domaines. Le protocole d'authentification v5 de Kerberos. Pour de plus amples renseignements sur ce dernier, dernier, reportezvous au chapitre 11, " Planification de la sécurité distribuée ", dans ce livre. SSL. Ce protocole a été amélioré et standardisé par le groupe Internet Engineering Task Force sous la forme TLS. Les certificats, analysés dans les pages précédentes de ce chapitre.
Les technologies de sécurité du réseau et les technologies du réseau qui y accèdent sont en corrélation, comme l'indique la figure 17.6. Remarquez que SSP y représente le Fournisseur de sécurité SSPI, qui désigne l'interface entre le système de sécurité et SSPI. Les Appels de procédure distant (RPC), le Modèle d'objet composant distribué (DCOM) de Microsoft et Windows Sockets (Winsock) sont des méthodes de communication processus à processus. WinInet (API Windows Internet) est une interface de programmation qui permet de gérer les interfaces Web. Les technologies de sécurité du réseau se trouvent dans la partie inférieure du diagramme, en commençant par SSPI. Les technologies du réseau se trouvent dans sa partie supérieure, au-dessous de la zone des applications qui les utilisent.
Figure 17.6 Relations d'un exemple de technologies de sécurité d'application de réseau.
Collaborez avec vos programmeurs et vendeurs d'applications d'entreprise afin de déterminer quelles technologies de sécurité de réseau orientées applications vous devrez déployer. déployer. Elles ne requièrent pas d'autre infrastructure de planification ; vous devez cependant déterminer comment vos programmeurs peuvent en tirer parti. Par exemple, ils voudront peut-être se servir de cartes à puce pour garantir une authentification sécurisée des utilisateurs, quand des liens Routage et accès distant ou VPN sont établis.
Déploiement de stratégies pour les partenaires La plupart des entreprises opèrent dans un monde complexe de relations entre clients, vendeurs, sociétés alliées, fournisseurs, consultants, régulateurs et autres. Nombre de ces partenaires tirent un appréciable avantage de l'accès direct aux données et applications de votre firme – lequel risque cependant de créer un risque considérable. De ce fait, vous devez installer des stratégies de sécurité du réseau rigoureuses, de façon à ne leur accorder que l'accès strictement adéquat. L'ensemble L'ensemble des technologies de réseau et de sécurité permettant aux partenaires d'accéder au réseau de l'entreprise prend souvent le nom d'extranet. Un extranet applique fréquemment les mêmes technologies que celles que nous venons de voir pour l'accès du personnel et des utilisateurs, telles que les VPN et le Routage et accès distant. Ces partenaires se distinguent toutefois en ceci qu'ils vont le cas échéant ne communiquer avec votre société que d'un emplacement spécifique spécifique et par un u n lien prédéfini. Vous pouvez dès lors configurer votre serveur de relais pour qu'il ne permette de lien extranet qu'à partir de cette seule adresse de réseau. Quand vous évaluez les partenaires qui vont se servir de votre extranet, n'omettez pas de déterminer les entités fonctionnelles avec lesquelles ils communiquent. En règle générale, ils relèvent de catégories distinctes, en relation avec des parties distinctes de la société. Certains vont travailler avec l'expédition et la réception, d'autres avec l'ingénierie, d'autres encore uniquement avec les ventes. Le déploiement de stratégies de sécurité du réseau pour les partenaires est donc différent de celui qui s'applique aux utilisateurs ou au personnel, avant tout parce que les extranets ont des chances de recouvrer une importance critique dans les relations qu'ils entretiennent avec vous.
Vos employés employés ont d'habitude la possibilité de se rendre physiquement au bureau pour accéder aux ressources de l'entreprise, alors que vos partenaires n'ont que celle qui consiste à employer l'extranet (ou de revenir à des moyens plus traditionnels). traditionnels). Les employés vont en outre aussi ne travailler que sur des quantités relativement réduites de données à un même moment, alors que vos partenaires vont souvent produire des volumes considérables d'informations pour vos ordinateurs, qui seront transmis par votre réseau. Entités fonctionnelles et partenaires sont aussi très sensibles à la rapidité des réponses du service de l'extranet. L'activité L'activité de la firme dépend fréquemment d'un échange de données où tout retard se révélera coûteux. L'extranet doit être fiable. En cas de problèmes, vos partenaires doivent pouvoir contacter quelqu'un à même de les corriger sans attendre. Les entités fonctionnelles qui fournissent des services par extranet doivent prendre en compte des spécifications et des contraintes particulières. particulières. Leurs systèmes et leur personnel ont souvent un historique bien différent de celui des autres parties de l'entreprise. Il n'est pas insolite que certaines de ces entités requièrent donc une configuration différenciée par rapport aux autres. Pour ces raisons, toute stratégie de déploiement de la sécurité du réseau en direction des partenaires doit en souligner la fiabilité, l'extensibilité, l'extensibilité, la flexibilité et la maintenance. La formation du personnel y joue un grand rôle, mais aussi l'établissement d'un minutieux projet pilote et le développement de procédures alors dûment communiquées. Les technologies de sécurité de réseau incluses dans Windows 2000 formeront la base d'un extranet sécurisé, mais des différences essentielles vont distinguer distinguer les stratégies de sécurité de l'extranet de celles du réseau interne.
Liste des tâches de planification pour les stratégies de sécurité du réseau Le tableau 17.1 présente les tâches qu'il vous faut accomplir dans la planification de la sécurité de votre réseau. Tâche
Emplacement dans le chapitre
Planifier le déploiement.
Planification de la sécurité du réseau
Créer des limites sécurisées.
Création de limites sécurisées
Préparer aux technologies de sécurité du réseau de Windows 2000.
Déploiement des technologies de sécurité du réseau
Déployer des stratégies pour tous.
Technologies de sécurité du réseau de Windows 2000
Déployer de des st stratégies po pour le le pe personnel.
Technologies de de sé sécurité du du ré réseau de W Wiindows 20 2000
Dépl Déploy oyer er des stra strattégie égiess po pour les les uti utili lisa satteurs eurs..
Déplo éploie iem ment ent d dee str strat atég égiies pour our les les util utilis isat ateu eurs rs
Dépl Déploy oyer er des stra strattégie égiess po pour les les par parte tena nair ires es..
Déplo éploie iem ment ent d dee str strat atég égiies pour our les les part artenai enaire ress
Tableau 17.1 Liste des tâches de planification pour la sécurité du réseau
