RESEAU PRIVE ET ACCES A INTERNET

Réseau privé et accÈs à Internet

Figure 2.38: Schéma du réseau du département

Le réseau du département d'informatique de l'université d'Angers schématisé de maniÈre simplifiée dans la figure 2.38 est un exemple de réseau IP privé. C'est-à-dire que l'ensemble des machines qui le composent ont reçu une adresse IP dite privée (« non routable ») et appartenant au réseau de classe B . Seules deux machines sont des passerelles dont l'une des interfaces est publique et appartient au réseau de classe C . Étant donné cet adressage privé, aucune machine du réseau n'est joignable de l'extérieur. Par conséquent, elle ne peut non plus en aucun cas établir une connexion vers l'extérieur, car l'adresse des paquets IP qu'elle émettrait vers l'extérieur ne pourrait en aucun cas servir « d'adresse de retour » pour lui renvoyer des informations.

La suite décrit les différents moyens mis en oeuvre pour quand mÊme rendre possible certaines communications entre les postes du réseau privé et d'autres postes sur Internet, tout en assurant un maximum de sécurité (éviter les intrusions, contrôler les accÈs en entrée et en sortie,). Et ainsi, avec seulement 2 adresses IP publiques il devient possible de connecter à Internet un grand nombre de machines.

Figure 2.39: Proxy web

Le principe du mandataire ou « proxy » web permet à tout navigateur du réseau privé d'accéder aux sites webs externes en faisant relayer sa requÊte par le Proxy comme illustré dans la figure 2.39. Ici le relais est dit applicatif ou de niveau 7 (en référence au modÈle OSI) car c'est au niveau de l'application elle-mÊme (ici HTTP) que s'effectue le travail. Les mÊmes principes peuvent s'appliquer pour la mise en place d'un Proxy FTP ou pour toute autre application basée sur TCP ou UDP.

Cependant, si l'on ne veut gérer globalement l'accÈs à Internet des postes internes on peut travailler à un plus bas niveau en utilisant des techniques de translation d'adresses de réseau dite NAT (Network Address Translation). Nous ne décrirons pas le principe de NAT statique car celle-ci ne permet pas de faire d'économies d'adresses IP publiques puisqu'elle associe chaque adresse privée à une adresse publique (pour des détails voir par exemple https://www.usenet-fr.net/fur/comp/reseaux/nat.html

Figure 2.40: IP masquerading

De son côté la NAT dynamique, dite IP masquerading, permet d'associer plusieurs adresses privées à une mÊme adresse publique en agissant sur les ports TCP ou UDP des connexions qu'ils relaient comme ceci est décrit dans la figure 2.40. Évidemment, pour les protocoles ou applications qui ne s'appuient pas sur TCP ou UDP, comme ICMP par exemple, il faut mettre en place un relayage particulier.

Figure 2.41: Port forwarding

Mais, la principale limitation de l'IP masquerading est qu'il ne permet la communication entre une machine du réseau privé et une sur Internet que dans le cas oÙ la connexion est initiée de l'intérieur. D'un côté, cela augmente la sécurité du réseau interne. D'un autre, cela empÊche toute offre de service à partir d'une machine interne. Cette limitation d'accÈs de puis l'extérieur peut Être levé si l'on utilise la technique de port forwarding décrite dans la figure 2.41. Dans ce cas, la machine passerelle va relayer vers une machine interne assurant le service demandé toutes les demandes qui lui parviennent sur le port correspondant à l'application demandée.