Dans cette partie de tutoriaux pour le réseau, nous allons voir comment faire un réseau local sécurisé chez soi avec un partage de la connection internet.
Pour cela, en dehors des PC clients, il nous faut une vieille UC (un pentium 100 fait l'affaire chez moi, un switch et 2 cartes réseaux sur l'unité centrale)
Tout d'abord dans cette première partie, je vais décrire comment partager la connection sous FreeBSD ce qui est la même chose pour ts les UNIX et pour les distributions de Linux. Je passe sur les bases de l'installation de FreeBSD et sur la configuration pour la connection Internet. Sinon pour les novices sur les systèmes UNIX le handbook de FreeBSD est très bien fait. Voici les liens : handbook en français et handbook en anglais (beaucoup plus complet que la version française). En cas de problème, vous pouvez me mailer à papy@netsliver.com.
Une fois la connection correctement configurer il suffit de créer un fichier sous vi nommé ipnat.rules qu'il faut placer dans le répertoire /etc/ et ensuite ajouter 3 lignes au fichier /etc/rc.conf qui sont :
ipnat_enable="YES"
ipnat_program="/sbin/ipnat"
ipnat_rules="/etc/ipnat.rules"
Pour le fichier /etc/ipnat.rules, je vais vous expliquer le fonctionnement de base de ces règles et après je vous donnerai un exemple sur un réseau local comportant 2 PC clients et un serveur WEB.
Il faut tout d'abord indiquer le mot-clé map afin de faire correspondre une adresse ou un réseau à un autre de manière irrégulière. Ensuite, l'adresse ou le sous-réseau privé accompagné du masque. De l'autre coté de la flèche se trouve l'adresse publique avec le masque de sous-réseau. Mais nous voyons donc que cela peut poser un problème lorsque nous avons plusieurs ordis qui n'utilisent qu'une seule adresse IP publique car cela provoquerait un goulot d'étranglement. Pour éviter cela, nous allons utiliser les correspondances de ports TCP/UDP en indiquant une plage de ports. Cela nous donne donc un fichier du style :
map rl0 192.168.1.0/24 -> 62.111.15.13/32 portmap tcp/udp 10000:60000
map rl0 192.168.1.0/24 -> 62.111.15.13/32
map rl0 172.16.1.1/32 -> 62.111.15.13/32 portmap tcp/udp 10000:60000
map rl0 172.16.1.1/32 -> 62.111.15.13/32
Il existe d'autres options plus complexes tels la redirection qui peut servir si un serveur ftp est installé sur le serveur WEB. Pour plus d'informations sur le service IPNAT : le man est très explicite.
Pour plus de clarté dans les fichiers de configurations, voici le plan du réseau. Il comporte donc une DMZ constitué d'un serveur WEB (172.16.1.2), d'un serveur servant par la suite de firewall, proxy … ayant 3 cartes réseaux :
- une relié au serveur WEB (172.16.1.1) sur l'interface xl0
- une relié à la connection Internet (@ publique) sur l'interface rl0
- une relié au réseau local par le switch (192.168.1.1) sur l'interface rl1
Après il est à votre guise de rajouter des postes clients sur le réseau local et/ou un serveur MAIL sur la DMZ et donc de modifier le fichier de règles NAT.
