Bonjour à tous,
Je suis gestionnaire d’un réseau en Haute Ecole (parc d’environ 200 machines pour les étudiants et le personnel) et qu’il faut encadrer un minimum pour éviter les dérives possibles que vous imaginez (accès aux réseaux sociaux pendant les cours, tentatives de téléchargements, etc …). L’OS du parc est « tout Windows » pour les serveurs et clients (comme je suis seul à tout gérer, je ne dispose pas vraiment de temps pour m’investir sur du Linux). Jusqu’ici, les routeurs utilisés (nous sommes en sites multiples) étaient gérés par le FAI, qui appliquait un filtrage global plus ou moins abouti. Nos lignes Internet vont cependant évoluer assez grandement en 2015, en terme de bande passante, et je dois gérer désormais directement l’accès à ces ressources (définir des règles, filtrer des contenus, etc … ce qui est une “première” complète pour moi).
Après pas mal de recherches, Squid s’est imposé comme un choix intéressant à retenir (version Windows, bien sûr).
Après pas mal de lectures, il m’a semblé plus judicieux de faire transiter tout le trafic Internet par un serveur réservé à cela (Squid proxy sur Windows Server 2012). J’ai donc effectué mon câblage de la sorte (serveur proxy à deux cartes réseau) :
http://img4.hostingpics.net/thumbs/mini_671111ProxyServerv01.jpg
De cette manière, je suis certain que toutes les requêtes vers l’extérieur doivent être validées avant d’atteindre la passerelle (qu’elles proviennent d’ordinateurs “Haute Ecole”, d’appareils connectés au Wifi, ou encore de clients qui tentent de se ponter directement sur la câblage réseau de l’établissement)
Squid fonctionne parfaitement pour l’HTTP et l’HTTPS, mais je suis confronté au souci des autres types de trafic, principalement la messagerie (POP3, IMAP, SMTP) qui échoue systématiquement à établir une connexion à travers Squid (en envoi ou réception). J’ai bien compris que ce soit normal : Squid n’est pas prévu pour gérer les paquets autres que http, HTTPS ou FTP. Néanmoins il me faut trouver une solution… Mes recherches ne m’en donnent apparemment que deux :
SOLUTION 1 : je maintiens mon architecture tel quelle, et il me faut trouver un moyen de dériver le traffic Internet “hors HTTP/HTTPS”, adressé sur l’interface entrante du serveur (192.168.100.1), vers son interface sortante (192.168.1.2, afin de passer par la passerelle sans que Squid le gère). Le problème est comment ? On trouve plein de solutions sur Squid Linux, au départ d’IPTABLES (qui n’existe pas sur Windows, et je trouve difficilement le soft/commande correspondant)
SOLUTION 2 : je modifie le positionnement du serveur sur le réseau (il ne dispose alors plus que d’une carte réseau) et devient un client comme les autres sur le LAN, qui ne gère que les paquets provenant des navigateurs de l’ensemble des ordinateurs (configurés pour surfer au départ d’un proxy). Tout le reste du trafic continue à sortir directement sur la passerelle, et ça marche. Le souci, c’est comment restreindre le trafic non souhaité (peer2peer principalement), et aussi empêcher les navigateurs des machines non gérées (portables étudiant, conférenciers,…) d’outrepasser le proxy en se dirigeant directement sur la passerelle ?
Merci pour vos conseils !
Edité le 09/12/2014 à 09:51