matériel et distrib linux pour petit réseau PME

[sebpatu]

Salut à tous.
Je ne suis pas Newbie mais je suis pas mal novice sur le monde de l'aministration réseau linux et j'aimerais monter un petit LAN de PME d'une trentaine de PC sous windows avec serveurs linux et accès internet haut débit.

Bref un réseau classique avec services de base: DHCP, DNS, serveur de fichier et imprimante, serveur de mail (et si possible de calendrier outlook, j'ai lu que ce n'était pas évident), système de sauvegardes de données, firewall proxy) éventuellement service VPN aussi...

Mes contraintes:
- Extrème facilité d'administration. Je veux pouvoir automatiser un maximum de choses et ne m'en occuper quasiment pas ensuite. C'est à dire ne plus avoir à m'en soucier tant que le réseau ne grossit pas trop, ou qu'il n'y a pas de problème matériel... Bref pas d'administrateur à temps plein
- Sécurité et perf professionnel (c'est pour ça que je me suis tourné vers Linux )
- Budget abordable c'est évident... Pareil c'est aussi pourquoi j'ai choisit Linux.

Mes questions:
- Quels sont les problèmes de sécurité voire de performances qu'il peut y avoir à ne pas
séparer physiquement en plusieurs PC les différents serveurs cités au dessus? En gros je voudrais savoir comment je dois distribuer mes serveurs sur plusieurs machines et si ça vaut le coup ou pas pour un petit réseau...

- Qu'elle distribution Linux pour le ou les serveurs en question? Et/ou quels outils complémentaires installés pour faciliter l'administration? (en plus des soft de base BIND, SAMBA, posfix, Webmail etc.)

Après avoir farfouillé je penche pour IPCop et Debian. Mais des solutions comme Nitix sont le genre de choses qui me séduirait
si ça tient toute ses promesses... Mais c'est trop cher!

- Quel matériel correspondant aux serveurs en question faut il envisager? Par exemple où puis je trouver des solutions PC complètes? ou s'il faut monter le PC soit même pour baisser les couts, qu'elles performances sont nécessaires pour tel ou tel serveur, pour un petit réseau comme le miens? Par exemple j'ai cru comprendre qu'un firewall proxy sous IPCop n'a pas besoin d'être une machine très performante...

En conclusion
je vois bien comment monter le réseau, quels services il faut et quels logiciels linux utiliser, mais je ne vois pas bien comment organiser mes serveurs en différents PC, avec distribution linux et puissance matériel correspondante....

Voilou, je sais ca fait beaucoup en un seul post, mais si vous pouvez au moins répondre à une seule de mes trois grandes questions ou m'orienter vers une source d'info ca m'aiderais beaucoup MERCIIIIIIIIIIIIIIIIIIIIIII

[Gandalf]

Salut à tous.

Mes contraintes:
- Extrème facilité d'administration. Je veux pouvoir automatiser un maximum de choses et ne m'en occuper quasiment pas ensuite. C'est à dire ne plus avoir à m'en soucier tant que le réseau ne grossit pas trop, ou qu'il n'y a pas de problème matériel... Bref pas d'administrateur à temps plein
- Sécurité et perf professionnel (c'est pour ça que je me suis tourné vers Linux )
- Budget abordable c'est évident... Pareil c'est aussi pourquoi j'ai choisit Linux.

Salut avant d'aller plus loin, un réseau nécessite une administration quotidienne ne serait-ce que pour consulter les logs ! Si tu pars dans une optique " je mets tout en place et j'attends que ça se passe" ça ne focntionnera pas longtemps !

En plus tu parles d'extrême facilité d'administration ! Si tu ne maintiens pas ton réseau quotidiennement cette "facilité" va s'envoler en 2 semaines !

Je te donnerai juste un conseil : sépares autant que tu peux tes services sur différents serveurs ! Moi je fairais : un lan + une DMZ ( serveurs web, passerelle SMTP, portables commerciaux ... ) + 1 FW type MNF.

Pour tes serveurs si tu as les moyens tounes toi vers des solutions constructeurs pas assembleurs ! Les serveurs DELL ne sont pas très chers et ils proposent des Red Hat Corporate dessus !

[Wizard_Spike]

Je rejoins parfaitement Gandalf.
Séparer les serveurs est une bonne solution pour éviter que bloquer toute la société parce que la machine-qui-fait-tout a planté.
Ce que je préconise (je m'occupe d'un réseau d'une petite centaine de machines):
* DHCP + DNS sur la même machine. Une vieille carcasse qui traine suffira à placer dans le LAN.
* Serveur de fichiers + serveur d'impression sur une grosse machine robuste avec disques SCSI en RAID à placer dans le LAN.
* Le serveur de mail doit être en DMZ. La qualité de la machine dépend du type de mail que tu utiliseras. Si les utilisateurs utilisent le POP, les mails ne sont pas conservés sur le serveur, la machine peut donc se passer de disques SCSI en RAID... Si par contre, la solution IMAP est utilisée, alors tous les mails seront gardés sur le serveur (l'avantage est que l'on sauvegarde uniquement ce serveur pour garder tous les mails de la société), il faut alors prévoir un serveur robuste avec disques SCSI en RAID.
* Les serveurs accédés depuis l'extérieur (serveur de site web, serveur ftp...) sont OBLIGATOIREMENT en DMZ. Le LAN ne doit absolument pas avoir une seule porte ouverte. Il peut sortir mais personne ne doit rentrer.

J'utilise Astaro Linux V5 comme serveur Firewall VPN. Il est simple à administrer et n'est pas cher. j'utilise un Celeron 500Mhz avec 192Mo de RAM et 6Go de disque dur IDE. Il fonctionne très bien, et gère le LAN et la DMZ + 6 connexions VPN sur l'extérieur sans aucun problème. Il est compatible avec Checkpoint et les routeurs Cisco pour les connexions VPN. Astaro secure client est client VPN windows pour les postes nomades qui doivent se connecter en VPN sur Astaro Security Linux. Le tout fonctionne vraiment très bien.

Ce type de réseau ne me procure que très peu de maintenance quotidienne. Le plus embêtant à mettre en place c'est la sauvegarde des serveurs. Si les volumes à sauvegarder sont un peu conséquents, il faut utiliser un lecteur de DAT ou DLT, c'est assez cher et il faut mettre en place une procédure de sauvegarde complête. C'est faisable sous linux mais il faut rédiger des scripts, prendre du temps pour tester le tout... Acheter une solution de sauvegarde peut sembler cher mais je me demande si ce n'est pas, au final, plus rentable...

[Steve2]

Bonjour,

SME serait parfait
Voir le forum dédié sur ce site pour plus d'info (Newbie Kit !)

[Gandalf]

Je ne connais pas SME je ne peux rien en dire !
Je suis d'accord avec l'analyse de Wizard_Spike, à une différence près que je mettrais le serveur de mail dans le LAN avec une passerelle SMTP relay en DMZ, ça sécurise un peu plus le serveur de mail et permet de pouvoir s'échanger des messages en interne même si la DMZ est corrompue !

Sinon, peux-tu, Wizard_Spike, nous en dire un peu plus sur cet Astaro Linux V5 ( proxy, filtrage, identification, black list .... ) ? Est-ce gratuit comme solution ?

[Muzo]

Bonjour,

SME serait parfait
Voir le forum dédié sur ce site pour plus d'info (Newbie Kit !)

Salut,

oui et non pour SME dans une PME, car :
- oui cela répond en 5 mn a tes besoins: j'installe et je vais aux Bahamas. Cela est valable si tu n'installes rien d'autres (surtout pas d'appli php).
- non les mises à jour sont un peu à la traine, et donc pour une PME ayant des données sensibles (pour elle) je ne le conseil pas. Ou alors patienter pour la nouvelle version 6.5.

Mais comme le faisait remarquer Gandalf, si tu as un crash disque sur ta machine SME, tout l'entreprise est bloquée, et tu as perdu toutes tes données. Par contre il est vrai que c'est facile à sauvegardé. Mais bon ...

Pour mémoire, SME ca fait : firewall, ftp, samba, mail, ... , cafetière et sorbetière.

[Wizard_Spike]

Bonne idée Gandalf!! ta méthode est plus complexe à mettre en place mais mieux à l'utilisation

Pour Astaro, y a pas grand chose à dire. Il est simple d'administrateion et je pense qu'il fait son boulot comme les autres.
Administrable uniquement à distance, accès SSH si on veut tâter un peu de shell.
Firewall/VPN (site à site et roadwarrior), avec même possibilité de faire du L2TP avec le client WinXP.
Proxy DNS, HTTP, SMTP, SOCKS, IDENT, POP3. Je crois que dans les dernières version, un anti-spam peut-être intégré au proxy SMTP et POP3 si j'ai bien compris.
Doit également y avoir un anti-virus, mais je ne l'utilise pas non plus.
Détection d'intrusion (je ne l'utilise pas également) avec règles téléchargeables par mises à jour.
Possibilité de faire des rapports automatiques envoyés par mail.
Sauvegarde de configuration indépendante du matériel. Je m'étais fait avoir avec la mandrake MNF. J'avais sauvegardé la configuration et je l'avais importé sur une autre machine, bah je l'ai flinguée, plus qu'à réinstaller
Les mises à jours sont téléchargeables et installables en quelques clics. La machine redémarre de temps en temps après la mise à jour, mais c'est transparent pour l'utilisateur.
Les deux serveurs Astaro que j'ai installé (2 sites différents) n'ont ni écran, ni clavier/souris. Ils ne s'arrêtent jamais, sauf pour une mise à jour de temps en temps.

La machine semble bien sécurisée. Qeulqu'un qui se connecte dessus, même en direct n'a pas beaucoup de possibilités. Je ne suis pas expert linux, mais le shell semble super réduit et la config sérieusement bancale

J'ai demandé à un collègue s'il se souvenait de son prix, il m'a dit "400 Euros, c'est pas ça?", honnêtement, je ne m'en souviens plus. Je me souviens qu'on avait trouvé ça pas cher. Bien évidement, il y a une assistance incluse dans le prix.

Rien d'extra-ordinaire je pense, IPCOP doit bien faire pareil je pense, l'assistance en moins peut-être...

[Gandalf]

J'ai demandé à un collègue s'il se souvenait de son prix, il m'a dit "400 Euros, c'est pas ça?", honnêtement, je ne m'en souviens plus. Je me souviens qu'on avait trouvé ça pas cher. Bien évidement, il y a une assistance incluse dans le prix.

Rien d'extra-ordinaire je pense, IPCOP doit bien faire pareil je pense, l'assistance en moins peut-être...

Merci de toutes ces précisions ! Mais ne serait-ce pas comme le MNF, càd qu'ils t'annoncent que ça coute tant et tant, mais qu'en fait tu peux télécharger l'iso et modifier certains scripts pour tes mises à jour ? Car entre nous le support ne m'intéresse pas vraiment ... et 400 € dans ce cas là c'est cher non ?

[Wizard_Spike]

Ah ça... j'en ai fichtre aucune idée...
Tu peux téléhcarger l'iso oui, pour une utilisation de 30 jours, à toi de faire en sorte que ces 30 jours durent indéfiniement... Mais on soulève un autre problème qui, je pense n'est pas le sujet de ce forum...

400 euros si tu ne veux pas de maintenance, oui c'est cher !! Mais l'assistance est un argument important pour une société en règle générale.

[Gandalf]

Tu peux téléhcarger l'iso oui, pour une utilisation de 30 jours, à toi de faire en sorte que ces 30 jours durent indéfiniement... Mais on soulève un autre problème qui, je pense n'est pas le sujet de ce forum...

Ouh là doucement ... loin de moi l'idée de ne pas être en règle. Je me suis mal exprimé ! En fait je pars sur l'exemple du MNF qui pour moi est un très bon firewall. Tu télécharges l'iso, tu l'installes et tout et tout .. et puis quand tu veux le mettre à jour il y a une belle case avec un login et un mdp ! Intrigué tu vas sur le site officiel et là oh surprise ...... il faut devenir membre contre la modique somme conseillée de 120 € par an je crois ( en plus je crois que quelqu'un a payé et que ça ne fonctionnait pas mais bon ! ).

Ce n'est pas la somme qui me dérange, mais le concept car quand tu épluches les conditions d'utilisation du MNF tu as entièrement le droit de l'utiliser dans un cadre pro sans pour autant payer quoi que ce soit, juste en modifiant quelques lignes de scripts. Alors je me demandais si pour Astaro c'était pas un peu la même blague .. mais apparemment non ! Je vais très certainement l'essayer, mais de toute façon je ne crois pas être assez calé pour débloquer la DLC

Je ne suis pas pingre, mais j'ai longtemps été obligé de travailler sans un seul centimes de budget avec une grosse pression de réussite, alors il a fallu que je me débrouille avec des solutions libres comme IPCOP et maintenant MNF. Maintenant j'ai un peu plus de marge de manoeuvre ( fini la SSII ) mais j'en connais encore qui doivent faire le must avec rien

[sebpatu]

Merci pour tout ça, je vais prendre le temps de bien y réfléchir, mais ça va beaucoup m'aider pour les différents serveurs et leur configues

Mais à chaud comme ça je voulais demander si IPCOP+Debian étaient bien ou pas pour mes distributions?

Gandalf tu sembles reprocher certaines lacunes à IPCOP par rapport à des solutions non gratuites?
Pourquoi?
On peut investir 400 euros si ça vaut le coup, mais j'essais de privilégier le libre.
Je pense que l'assistance pro du côté commercial est compensée par la grande vitalité de la communauté du libre... Donc ce n'est pas un truc qui me ferais pencher pour le commercial.
A moins que je me trompes??

Et vous avez beaucoup parlé de la distrib du serveur Firewall VPM qui est évidemment critique niveau sécurité, mais pour les autres types de serveurs, finalement une Debian ou une autre c kiff kiff?
Debian a l'air simple à mettre à jour donc ca me séduisait pour ça

Muso tu dis:

oui et non pour SME dans une PME, car :
- oui cela répond en 5 mn a tes besoins: j'installe et je vais aux Bahamas. Cela est valable si tu n'installes rien d'autres (surtout pas d'appli php).

Ca me plait ça les Bahamas
En fait ce n'est pas que je veux totalement oublier l'administration des serveurs, même quotidiennement, mais je souhaites que ce soit le plus simple et le plus automatisé possible, par exemple

Détection d'intrusion (je ne l'utilise pas également) avec règles téléchargeables par mises à jour.
Possibilité de faire des rapports automatiques envoyés par mail.

C'est des options qui m'intéressent! N'intervenir que si on m'alerte par exemple...
est ce que IPCOP fait ça? Est ce que IPCOP permet aussi d'aller aux Bahamas en fait?


Merci

[aAlexx2004]

Salut, je vois que beaucoup de monde t'as déjà répondu mais moi je vais m'attarder un peu plus sur le hardware.

Pour ce qui est des serveurs, tu n'est pas obliger d'acheter des nouveaux qui coute fort cher. Ce n'est pas pour faire ma pub mais je vends tout une quantité de serveurs d'occase (et encore plus que valable) a des prix assez interressant je pense pour quelqu'un comme toi.

Pour ce qui est la liaison inter serveur et vers le ou les switchs, je te conseille de mettre de la fibre optique en gigabit lan car avec la fibre optique, il y a vachement moins de prob d'erreur et de collision puisque c'est en fullduplex (humm hum, je peux t'en fournir pour po cher car je liquide ça itoo)

Le matériel quie je vend est du matériel vraiment pro a petit prix car cela vient d'une banque qui a vient de changer ses serveurs (les banques on vraiment besoin de beaucoup de puissance)

Si tu a vraiment besoin de gros débit entre les serveurs et les switchs, tu peut même faire des etherchannel qui te permetteront d'augmenter lma bande passante jusqu'au switch puis de la rediviser dans le switch.

Si tu veux ma liste de matériel, n'hésite pas a me la demander en message privé, je me ferai un plaisir de refiler du matos car il encombre vachement mon garage.

A oui, a propos, si tu as des serveur multicpu, c'est vachement mieux de mettre linux ou une plateform vraiment unix car gère beaucoup mieux.

Alexx2004

[Gandalf]

Gandalf tu sembles reprocher certaines lacunes à IPCOP par rapport à des solutions non gratuites?
Pourquoi?
On peut investir 400 euros si ça vaut le coup, mais j'essais de privilégier le libre.
Je pense que l'assistance pro du côté commercial est compensée par la grande vitalité de la communauté du libre... Donc ce n'est pas un truc qui me ferais pencher pour le commercial.
A moins que je me trompes??

J'ai dis ça moi ? Je ne reproche rien à IPCOP si ce n'est qu'il laisse tout sortir par défaut, à moins de lui rajouter un addon ! Et je n'encourage pas les solutions payantes, au contraire, et je te conseillerai plus un MNF comme firewall ( entièrement gratuit ) .... j'en suis devenu un fervent partisan !

[sebpatu]

ok
juste un truc: dans la version commerciale de MNF ils précisent qu'on a un système de mise à jour facile.
Ca veut dire que dans la GPL la mise à jour est pénible?


en 30 secondes tu pourrais juste dire pourquoi tu préfères MNF à IPCOP?

Merci
Seb