question sur Gestion des noms d'hôte et des adresses

[achel]

Bonjour, je vais peut être poser une question imbécile mais avant toute chose, voici une image de mon réseau histoire d'être plus clair :



Comme vu dans mon plan, je possède plusieurs NAS. Chacun possède un système de dns publique pour y accéder depuis le web. Mon serveur de prod est sur la DMZ du router en server only, le réseau qui est derrière une seconde sme (qui sert de passerelle au réseau) a été entré dans le réseau interne du serveur de prod.

Je voudrais savoir joindre mes Nas qui se trouvent dans le réseau interne derrière la passerelle via leur dns publique (hp, lacie, buffalo, ...) donnat accès à une interface de gestion web (pas https mais bien http donc port 80).

Je me suis donc dit que j'allais créer des domaines, identiques de ceux des nas, sur le server de prod et choisir une des deux options "distant" ou "local" au niveau de la "Gestion des noms d'hôte et des adresses".

Et évidement, je tombe sur ma primary de mon serveur de prod ...

J'ai jamais très bien compris à quoi servait ces options, je pensais qu'elles permettaient de transférer les requêtes vers une machine dans le réseau au niveau du port 80 (en gros, si y a un autre serveur web dans le réseau, dire que lorsque depuis l extérieur j'entre cette dns, je suis rediriger vers ce serveur interne de manière transparente). Je veux éviter le proxypass (je me dis que ca va être casse tête de passer du serveur de prod à la passerelle puis de la passerelle aux nas et j ai pas envie de $%#&! mon serveur de prod avec templates).

=> pour résumer : dans quel cas s'appliquent ces options ????


merci beaucoup

[Grand-Pa]

Salut,

Avant de répondre à ta question, je te fais part de mes réflexions concernant ton architecture.
1) Ce qui se trouve sur le réseau interne ne doit JAMAIS être accessible depuis l'extérieur (sauf si l'accès se fait par VPN, bien entendu) : tout ce qui doit être publique doit se trouver en DMZ
2) Un réseau WiFi doit être considéré comme non fiable ; à ce titre, il devrait être au même niveau que la DMZ, avec des règles d'accès particulières au réseau interne
3) Pour résoudre ton problème, la lecture d'une bonne doc sur le transfert de port et/ou le reverse-proxy me semble indispensable. Prendre conscience des risques d'une telle utilisation également...

Maintenant, concernant la création de noms d'hôte "local" ou "distant", il s'agit simplement de créer un enregistrement DNS sur le serveur SME pour une machine qui se trouve soit sur le réseau local, soit en dehors.

Le premier cas semble évident, mais pour l'hôte distant, l'utilisation essentielle me semble être la résolution de noms de machines situées en DMZ ou sur un réseau WiFi isolé.
Si ces machines sont déjà résolues via les DNS d'internet, il n'est évidemment pas nécessaire de les recréer de cette façon (typiquement, www doit être résolu par les DNS publics pour joindre un serveur en DMZ).

Dans tous les cas, ce n'est pas par ce biais que tu vas résoudre ton problème. Pour cela, je te renvois aux points 1 et 3 ci-dessus.

[achel]

Bon, on va partir sur les 3 points sus-cités

1. En effet y'a un vpn et j'y accède bien, rien n'est compromis.

2. En effet, le réseau wifi est bien dans le réseau depuis une borne acces point d-link mise à jour avec cryptage wep2 fort et filtrage d'adresse Mac (test de crack réussit, mais après 2 jours de sniff de la trame sur base d'un processeur quadcore intel ... donc c'est quand même assez sécurisé pour la situation du réseau : à la campagne, dans une propriété du 17ème siècle, entourée de murs et dont le wifi ne traverse pas les murs en briques et pierres sur plus de deux pièces (murs des fois épais d'1m) ... le voisin le plus proche en dehors des murs est à 800m mais de toute manière au premier étage et partout autour de la propriété, le wifi n'est pas detecté et ce même avec une antenne boostée ... c'est peu dire : fodrait vraiment le vouloir et se poster dans le parc planqué derrière les feuilles du gazon régulièrement tondu sans que je le remarque :p).

=> PS : j'ai bien dit que le serveur de prod, qui est en DMZ, est en serveur only ... donc je mettrai pas grand chose dans un réseau interne :p et c'est un Dell PowerEdge 2850 qui bug quand j'active soit la seconde carte réseau interne soit la 3ème carte en pcix sur le port d extention et que je suis bon pour réinstaller sme qd ça plante car j'ai même pas accès au shell de secour pour la désactiver ...

3. j'ai bien lu la doc ... et la rfc1945 ... je pourrais très bien mettre les nas sur le rooter vu que c'est le port 80 qui trinque (j'aurais même pas besoin de rediriger de port :p, je le sais ... ) mais je souhaite les garder derrière la passerelle pour une simple raison : la passerelle est au 3ème étage ou j'ai mon bureau et le router est à la cave (pas top une cave du 17ème pour conserver des disques durs : c'est humide, mais un router ca résiste et ça coute pas trop cher, et je vais pas aller racheter encore des mètres de cablage cat6 + un switch et faire passer le tout dans la gaine technique depuis la cave au 3ème et 4eme étage ... et non, je mettrai pas non plus du CPL : y'a 3 compteurs et le cpl s'arrête au compteur :p => disont que j'ai un peu tout testé vu que la maison se prête pas trop à une installation réseau "simple" et encore ... je dis pas qui y'a un central téléphonique comme boitier ne plus ... :p )

=> Pour le reverse proxy, en cherchant sur le forum y'a un tuto (http://forums.ixus.fr/viewtopic.php?t=39792&highlight=)... de moi :p (et je l'ai pas mal de fois utilisé dans d'autres cas), donc si je me dis que ça va être pouilleux, je pense être dans le bon


=> Pour l'explication "local" ou "distant" soit j'ai pas compris soit tu m'explique que ça résout juste une dns en local qui translate un nom de machine ... ça sert à quoi à ce moment là cette option, juste dire que pour le fun je fais dire à la passerelle que 10.0.0.x = www.dnsturlututu.com accessible que depuis l'intérieur du réseau ??? / autre chose, si DMZ il y'a c'est le routeur qui la gère et pas sme ... (ou alors ça fait 3 ans que je suis bigleux et que j'ai pas vu que sme pouvait gérer les dmz comme le fait ipcop ou smoothwall grâce à bind) donc, à moins d'avoir (et là je résume) :

1. le routeur/modem qui pointe sa DMZ sur ipcop (en ayant plusieurs adresses IP fournies par le FAI, bien évidement).
2. Configuré une zone orange pour chaque machine DMZ sous IPcop : le serveur de prod sous sme (heuuuu, oui je pense que pour une fois on peut mettre sme derrière une ipcop, personne va troller j'espère en disant que sme fait office de firewall :p) + les nas.
3. Mettre en zonne verte la passerelle qui est aussi sous sme (pas de troll svp et j'utilise la passerelle pour certains services aussi, donc ipcop me servira pas de passerelle pour le réseau interne, et vais me rechopper une couche IP avec ça)
4. Mettre mes postes client dans le réseau de la passerelle avec mon serveur de test ...
5. Se prendre la tête pour le VPN ... pcq va falloir faire passer le VPN au travers du modem/routeur + IP/cop vers le serveur de prod qui gère le VPN sous openVPN ...

Pfiouuuuu, je peux racheter en plus un onduleur avec ça :p ...

Non, sérieusement ... ça sert à quoi ces options si il faut tout ça pour les utiliser (un bête cas concret svp, maintenant que tu sais même comment c'est chez moi :p, te dis même que le frigo est au rez de chaussée dans la cuisine, mais les bières elles sont à la cave, à 15m du routeur/modem ... petite précision : je suis en Belgique, donc la bière est bonne :p )
[/url]

[ccnet]

Je souscris pleinement aux remarques grand-pa. J'ajourai que, compte tenu du réseau à protéger l'architecture est informe et que ce n'est pas une SME qui peut satisfaire aux besoins de sécuirité d'un tel réseau.

avec cryptage wep2 fort et filtrage d'adresse Mac (test de crack réussit, mais après 2 jours de sniff de la trame sur base d'un processeur quadcore intel ... donc c'est quand même assez sécurisé pour la situation du réseau : à la campagne, dans une propriété du 17ème siècle, entourée de murs et dont le wifi ne traverse pas les murs en briques et pierres sur plus de deux pièces (murs des fois épais d'1m) ... le voisin le plus proche en dehors des murs est à 800m mais de toute manière au premier étage et partout autour de la propriété, le wifi n'est pas detecté et ce même avec une antenne boostée ... c'est peu dire : fodrait vraiment le vouloir et se poster dans le parc planqué derrière les feuilles du gazon régulièrement tondu sans que je le remarque :p).

wep2 fort ? . Prétendre à un chiffrement fort (avec filtrage sur la base d'adresse mac) c'est justement ... fort.
WPA2 + nac + certificat + radius on peut commencer à parler de quelque chose de résistant. Si c'est bien fait.

Ce qui et très fort c'est aussi de prétende le réseau "assez sécurisé" alors que la preuve de l'intrusion est faite. Sur le plan pratique ce n'est pas un problème, le risque est connu et vous l"assumez. Intellectuellement c'est parfaitement stupide.

fodrait vraiment le vouloir

Parce que vous croyez que quelqu'un qui ne le veut pas va s'interesser à votre réseau ? Surement non en effet. Personnellement ce n'est pas la catégorie qui m'inquiète le plus.

[achel]

A la place de se sentir agressé intellectuellement parlant par ce que j'ai répondu dans les 3 points et de me reprendre quant à la sécurité de mon réseau et de la "faille" qu'est d'avoir mis mon AP wifi dans la zone verte : si vous voulez mon avis, le wifi est une faille en soit ... mais de manière pratique j'y connecte mon portable sans devoir forer dans les pleintes et les plafonds et devoir tendre des câbles partout ... si je crack mon propre réseau, c'est mon propre problème ; c'est pas interdit et au moins ça prouve que je connais la faille et que je l'accepte comme telle. Juste deux choses pour clore le débat sur la sécurité :

1. Il y'a besoin de sécurité quand des données sensibles requièrent de la sécurité ... ici c'est pas le cas (ben non, et je l'estime comme tel vu que mes données sensibles ne sont pas sur ce réseau).

2. Si la permissivité des murs ne laisse pas passer le wifi, comment celà peut il être dangereux (ok, pour vous faire plaisir : y'a des fenêtres et c'est risqué (si on part dans l'absurde je veux bien, mais alors dans un bar derrière une bonne bière histoire de s'amuser dans ce genre de trip informatico-paranoïaque) ... on peut parler de la rémanance des écrans avec le matériel adapté on peut aussi le capter et s'en servir tant qu'on y'est, quitte à être parano, on va tout monter dans une pièce blanche ... (SVP, me demandez pas la norme ISO de la pièce blanche, ce serait sympa )

PS :

Parce que vous croyez que quelqu'un qui ne le veut pas va s'interesser à votre réseau ? Surement non en effet. Personnellement ce n'est pas la catégorie qui m'inquiète le plus.

Heuuu ... oui, je trouve logique que qq'un qui "ne le veut pas" ne "le fasse pas" => mais le wifi et la sécurité ne sont pas au centre de la question (je me répète mais je suis pas le seul :p) ... le plan n'est là qu'à titre indicatif afin de ne pas m'amuser à utiliser des caractères ASCI pour dessiner mon réseau.

Donc, trève de plaisenteries, stop sur ce point, continuer serait de l'étroitesse d'esprit (c'est mon sentiment et ça amène à une forte digression par rapport à la question posée ... pas très "glop", on se dit que les personnes qui répondent ne lisent pas le premier post ou ne regardent que le shéma).


En attendant, j'ai toujours pas un exemple concret de ce que peut faire les deux options ... "local" et "distant" ... , ni leur prérequis (pcq des fois y'a des choses qui ne sont pas dans la doc ou pas simple à trouver par sois-même ; comme par exemple avec le proxypass où la machine cible ne doit pas se trouver dans la zone dhcp de la passerelle ... je pense que c'est à répondre à ce genre de choses que sert un forum, surtout si des spécialistes sont dessus et que la question les titilles ...).

En bref, la sécurité n'est pas au centre de la question posée dans le post de départ ... donc là, on troll pour rien et ça ne répond nullement à la question ...

[ccnet]

Certainement pas. La sécurité est l'objet premier de ces forums. Nous avons bien compris, vous et moi en tout cas, que vous assumiez les risques encourus. La raison pour laquelle, comme Grand-pa je digresse, est principalement votre façon de présenter les choses qui n'est pas didactique et qui fait passer les problèmes de sécurité pour ce que vous appelez des délires.

Maintenant détrompez vous sur la lecture que j'ai des messages postés ici. Je les lis avec attention.

Chacun possède un système de dns publique pour y accéder depuis le web.

J'ai jamais très bien compris à quoi servait ces options, je pensais qu'elles permettaient de transférer les requêtes vers une machine dans le réseau au niveau du port 80 (en gros, si y a un autre serveur web dans le réseau, dire que lorsque depuis l extérieur j'entre cette dns, je suis rediriger vers ce serveur interne de manière transparente). Je veux éviter le proxypass (je me dis que ca va être casse tête de passer du serveur de prod à la passerelle puis de la passerelle aux nas et j ai pas envie de $%#&! mon serveur de prod avec templates).

C'est assez peu clair. Ce que l'on comprend est que vous avez besoin comme pratiquement tout le monde pouvoir accéder à une machine avec un service http en utilisant la même url depuis le réseau interne et depuis l'extérieur.

La solution s'appelle split horizon. Elle ne requiert pas nécessairement la création de multiple domaine. Elle permet le plus souvent de l'éviter. Le principe consiste à utiliser un "forwarder dns" que l'on surcharge (on écrase et remplace) les résolutions obtenus depuis les dns publics par les informations stockées localement dans une liste d'hôtes avec leur ip locales.

http://smeserver.fr/manager.php#hotes me semble pourtant relativement clair.

[Franck78]

Je voudrais savoir joindre mes Nas qui se trouvent dans le réseau interne derrière la passerelle via leur dns publique (hp, lacie, buffalo, ...) donnat accès à une interface de gestion web (pas https mais bien http donc port 80).

=> Pour le reverse proxy, en cherchant sur le forum y'a un tuto (http://forums.ixus.fr/viewtopic.php?t=39792&highlight=)... de moi :p (et je l'ai pas mal de fois utilisé dans d'autres cas), donc si je me dis que ça va être pouilleux, je pense être dans le bon Embarassed

Pourquoi donc se serait pouilleux?
A partir du moment ou il n'y a qu'une IP publique pour plusieurs 'port', il faut bien ruser. Ou obtenir un pool d'IP publiques !

[achel]

Re :

C'est assez peu clair. Ce que l'on comprend est que vous avez besoin comme pratiquement tout le monde pouvoir accéder à une machine avec un service http en utilisant la même url depuis le réseau interne et depuis l'extérieur.

Oui et non, le oui étant de joindre une machine délivrant un service http placée dans le réseau local, le non car il n'utilise pas une url identique mais une dns différente, enfin là j'avoue que je suis tatillon, je m'explique :

Que ce soit le nas Buffalo, Lacie ou HP, ils possèdent un "abonnement" gratuit à un dns (disont plutôt un dqns pour être juste) qui route vers ces "machines". Au niveau nas -> internet, sans aucune configuration (port forwarding, proxypass, ...) les dns se refresh et donnent bien l'adresse IP publique ... évidement, je tombe sur l'ibay primary de mon serveur de production ...

En regardant bien la doc de sme, j'ajoute dans les réseaux du serveur de prod le réseau interne qui se situe derrière la passerelle (je pense que c'est logique, c'est expliqué ainsi dans la doc, ou alors il faudrait un complément traitant de cas particuliers ou cette règle ne s'applique pas). En supposant donc que ce réseau interne (qui, je l'admet, est en zone "verte" : incapacité d'activer une seconde interface sur le Dell sinon ça plante : donc il ne servira jamais en tant que passerelle) est adjoint au serveur de production, je crée un alias d'une de mes dns pointant en "local" vers un des nas (je précise que j'ai désactivé les proxy dans la configuration de la sme de prod) et d'après la doc, comme c'est du http, je devrait logiquement tomber sur l'interface web de mon nas : c'est pas le cas (c'est pas la première fois que j'essaye en me basant sur la doc ... et j'y suis jamais parvenu, pour ça que je m'étais acharné sur le proxy pass).

En ce qui conserne le split horizon, j'avais entendu parler de cette technique (qui me semble propre à des firewall/routeur de chez Cisco) ... il me semble que c'est plus de la découverte métrique de réseau pour un routage des paquets vers la "bonne" machine présumée par l'algorithme qui se base sur des logs qu'il raffraichit en continu pour savoir ou pointer les requêtes (et si je me souviens bien ça se passe d'un firewall/router à un autre firewall/router ... c'est pas le cas ici, ça c'est de la config pour des gros data-center de +/- 1000 postes).

PS : un truc m'intrigue quant même quant à ce que tu expliques

principe consiste à utiliser un "forwarder dns" que l'on surcharge (on écrase et remplace)

=> ça équivaut un peu à de l'ARP poisoning ... ce principe de split horizon serait il en fait du reverse enginering ??? je demande car je ne connait ce principe de split horizon que de manière confuse.

[achel]

Oui Frank, c'est vrais, mais là ça va m'obliger à créer un template sur le serveur de prod ET sur la passerelle : je trouve que ç'est du chipotage alors que j'essaye de voir si, avec la configuration originale de sme, je peux le faire (le serveur de prod, je veux qui reste clean en cas de problème pour juste à avoir à réinstaller mes backups d'ibays et de db de la machine sme-BackupPc)...

Tu me diras que je pourrais aussi sauvegarder le répertoire qui contient les templates :p, je sais, mais je veux le garder le plus clean possible.

[sibsib]

Hello,

Ouh la la, quelle discussion !!!

Bref, en retombant dans le 'terre à terre', de mémoire, pour moi, la fonction 'distant' dans le DNS était liée à la version payante de Mitel, non ? Enfin j'avais conclu jadis que çà ne me servait à rien

Et dans ton cas, ton problème est bien d'avoir accès à plusieurs serveurs web différents (avec des IP privées différentes) depuis Internet (on ne parle plus de sécurité, d'accord ) donc via une seule adresse IP.

Cà, tu ne peux pas le résoudre via IP, parce que vu de l'extérieur, tu vas tout le temps avoir le même couple IP:port de destination (IP étant celle que ton ISP t'alloue, port étant 80).

Donc, deux approches :

1) Sur ton SME tu redirige le port entrant 8004 vers l'ip 10.0.0.4 port 80, le port 8026 vers l'ip 10.0.026 port 80 and so on. Et de l'extérieur, tu atteins ton Bufallo en tapant http://{un des noms DNS}:8004 et ton HP en tapant http://{le meme nom DNS}:8026
Ca va fonctionner normalement sant trop de souci. Le truc c'est qu'il faut absolument mettre http:// devant quand on précise un port 'non classiqque' à la fin de l'URL, le navigateur ne pouvant deviner le protocole qu'on cherche à utiliser.

2) Reverse proxy : Tu configures ta SME pour qu'en cas de connexion à http://'nom de DNS A' toutes les requêtes http soient en fait transférées vers ton Bufallo, and so on. Il y a chez moi une page qui explique çà, mais via des créations de templates. Et depuis SME 7, il est possible de faire la même chose via quelques commandes dans la base de données de SME, c'est expliqué sur ce forum dans (au moins) un post.

<EDIT>dans les deux cas, la conf se fait sur ton serveur qui est server & gateway' et si ton serveur de prod doit aussi atteindre ces ressources, pour lui l'adresse sera http://192.168.1.71:8004 dans le premier cas, et par contre, dans le second cas... là çà me parait plus compliqué, puisque tu vas devoir déclarer sur ton SMe de prod, d'une manière ou d'une autre, tous les noms DNS de tes disques, avec comme IP 192.168.1.71</EDIT>

A+,
Pascal

[Franck78]

Hello,

Ouh la la, quelle discussion !!!

Toi aussi tu as mis du temps à extraire l'info utile (ou le problème). On se plaint d'en avoir pas assez en général, mais la c'est feu d'artifice parcequ'en plus le Achel, il est bavard

C'est vrai que l'option de spécifier un port autre que 80 résout aussi le problème. Puisque que ce ne sont que quelques services persos à priori, une fois le raccourci créer ou appris par coeur... plus de problème.

[achel]

Sibsib ... au moins t'es toujours aussi clair et ça fait plaisir, je me demande encore des fois pourquoi je post à la place de te faire direct un PM et un à Cool ...

C'est vrais que j'avais pensé au port forwarding ... c'est ce qui y a de plus c** à faire (et je sais que je peux encore moins me fouler en connectant direct un deuxième switch sur le router, y coller tous les nas, et gérer directement le port-forwarding directement depuis le router ...). Mais bref, je trouve un peu idiot alors que chaque matos me fournit une dns (gratuitement ) de ne pas pouvoir les utiliser comme telles.

=> la manière dont fonctionne les relais dns de chacun des nas est différente pour chacun.

Lacie : si j'utilise le port-forwarding j'arriverai sur sa page de login, mais une fois loggués y me redirigera sur sa dns réelle sans le port => retour sur mon ibay primary.

HP media Vault : très bien pensé et certifié compatible linux ... c'est le seul marqué noir sur blanc => le hic c'est que le port n'est pas modifiable sur le nas et y se configure en se connectant au routeur en uPnP, aucune manière de le faire manuellement (quoique, y a une possibilité d'y aller en shh et de forcer ça, mais alors il y a perte de la garantie : dixit le technicien de chez HP que j'ai eu au téléphone mais y'a un soft de sauvegarde/restauration du firmware assez pratique ... et une manière d'installer debian dessus).

Buffalo (x2) : eux y'a pas de problème, leur firmware a une option de modification de port d'accès, la dns en prend en compte (ex : je le mets sur 8004 dans la config du nas, j'effectue le port-forwarding sur le router puis sur la passerelle et je tappe la dns sans signaler le port et je tombe pile-poile dessus ...) => Matos exellent mais y'a les deux autres dans le réseau.

Donc, je me demandais franchement comment faire fonctionner la redirection "locale" de la "Gestion des noms d'hôte et des adresses" qui ne semble jamais avoir fonctionné chez moi (plus de 7 machines qui ont tourné sur sme) ... y'a t il un effet collatéral si le proxy est désactivé, si l'ip est dans le range dhcp, ... ce serait si simple si ça fonctionnait ou alors faut il impérativement plusieurs IP publiques (et si c'est le cas comment les attribuer sous la passerelle et sur les clients de la passerelle, y'a t il qqch de prévu).

[Grand-Pa]

Salut,

Avant tout, je me permet de rappeler que les 2 solutions à ton problème sont citées au point 3 de mon premier message.

Tu n'as pas encore compris l'utilité de "Gestion des noms d'hôte et des adresses" qui NE SERT A RIEN pour ton problème. Encore une fois, cette page n'est utile qu'à la résolution de nom, pas à un transfert de données entre 2 réseaux logiques.

Concernant la redirection de port, tu n'as pas à toucher à tes NAS : SME permet de rediriger un port "public" sur un autre numéro de port en "local".
Par exemple, tu peux rediriger le port 8004 vers le port 80 de la machine xxx.xxx.xxx.xxx, mais d'après ce que tu as écris cela ne résoudra pas ton problème avec LaCie.

La seule autre solution qui me vienne à l'esprit, c'est le reverse proxy HTTP. A toi de voir maintenant si tu veux que ton système fonctionne ou si tu es prêt à faire quelques modifs sur ta passerelle SME.
Pour mémoire, les templates personnalisés sont sauvegardés dans les sauvegardes standard d'SME.

[sibsib]

Hello,

Je plussoie la réponse de Grand-Pa, et c'est ce que je te disais dans mon post précédent :

Tu arrives sur SME sur le port 8004, mais qui renvoie vers le port 80 de chaque NAS Box. J'ai même pas envisagé qu'il était possible de changer le port par défaut de ces boiboites.

Mais, au moins pour le LaCie, il ne te reste que la solution du reverse proxy (c'est nul, ces serveurs ouaib écrits avec les pieds...)

.....

Bon, çà fait un moment que je cherche (avec les piends !!!) le post qui explique comment faire facilement du reverse proxy sur SME 7. Une âme charitable pourrait nous l'indiquer ? Merci !!!

A+,
Pascal

[Grand-Pa]

Bon, çà fait un moment que je cherche (avec les piends !!!) le post qui explique comment faire facilement du reverse proxy sur SME 7. Une âme charitable pourrait nous l'indiquer ? Merci !!!

Salut Pascal,

Hop : http://wiki.contribs.org/SME_Server:Doc ... Proxy_Pass

En plus, y a rien à modifier sur le serveur !