Base

• Se familiariser avec la mise en place d'un réseau local sans fil;
• Revoir les bases de la configuration d'une réseau IP sur Ethernet: routage, translation d'adresses (NAT), DHCP (client et serveur), analyse de trames.
• Effectuer une analyse des performances des réseaux 802.11b (portée, débit).

Compte Rendu

Chaque groupe réalisera un compte rendu qui sera remis à l'enseignant à la fin de la séance. Le compte rendu sera un simple fichier texte. Il comprendra les réponses aux questions de cet énoncé, accompagnées lorsque c'est nécessaire de copies des sorties des commandes unix pertinentes. On pourra aussi joindre d'autres fichiers (extraits de logs, fichiers de configuration) avec les explications nécessaire à leur compréhension.

On prendra soin de décrire toutes les manipulations effectuées, surtout si elles n'étaient pas mentionnées dans l'énoncé.

Ce compte rendu sera noté.

1. Installer linux sur les 4 PC

Si linux est déjà installé, on se contentera de modifier la configuration réseau et de vérifier que les logiciels nécessaires sont installés et fonctionnels.

Points particuliers à vérifier/configurer/tester:

• chaque PC sera équipé d'un serveur ssh;

• on installera ethereal et tcpdump sur le PC espion.

• le PC "serveur" sera utilisé pour la rédaction du compte rendu de TP, à l'aide de l'éditeur de texte (je dis bien texte, fichier texte, pas .doc) de votre choix.

• le réseau "sans fil" (tout ce qui est à droite du routeur, y compris le PC espion et le point d'accès) sera doté d'un serveur DHCP. Ce serveur DHCP tournera sur le routeur et attribuera une adresse fixe au point d'accès.

• Le portable se configurera en DHCP (sous linux et sous Windows);

• Sur le PC routeur, on configurera iptables pour effectuer la translation d'adresses et le filtrage par port selon les règles suivantes:

  • Dans le sens sans-fil -> interne: SSH, HTTP, DHCP (et ICMP);
  • Dans le sens interne -> sans-fil: ouvert;
  • tous les paquets rejetés seront logués dans /var/log/messages.

• On utilisera le logiciel nmap vérifier la liste des ports ouverts sur le serveur et le routeur, vus depuis l'espion.

2. Configurer le point d'accès

Le point d'accès 802.11 se comporte comme un pont ethernet.

Il a deux interfaces ethernet, une filaire (100baseTX), l'autre radio.

On peut le configurer via le port série (et un émulateur de terminal) ou via une interface web. Nous utiliserons cette option, plus souple et facile d'abord.

Avant de commencer, réinitialiser le point d'accès pour qu'il retrouve sa configuration par défaut, voir annexe C de ce sujet (ou la doc).

Le point d'accès Aironet possède un serveur web embarqué qui écoute sur le port 80. Pour y accéder, il faut attribuer une adresse IP au point d'accès. Par défaut, le point d'accès effectue sa configuration IP via DHCP. L'adresse MAC du point d'accès est imprimée sur l'étiquette collée au dos. Il vous faudra l'utiliser dans la configuration de votre serveur DHCP.

• Lorsqu'on branche le point d'accès (AP), il effectue quelques tests (une à 2 minutes) puis lance une requête DHCP. Vérifier dans les logs de votre serveur que c'est bien le cas et que la bonne adresse IP lui a été attribué. Vérifier ensuite que l'AP répond au ping.
• Depuis le serveur, connectez vous au serveur web de l'AP à l'aide d'un navigateur web. Familiarisez-vous avec l'interface d'administration.

3. Configuration de WEP

Changer la configuration WEP du point d'accès: entrez une clé.

Le portable est-il toujours associé ? Le configurer pour utiliser WEP et le ré-associer.

4. Mesures de débit

On utilisera le petit utilitaire ttcp pour mesurer des débits TCP et UDP entre les différentes stations.

Installer si nécessaire ce logiciel et lire sa page de manuel. tous les résultats de mesures de débits seront exprimés en Mbits/s dans le compte rendu.

5. Portail captif

Un "portail captif" est un site web vers lequel sont redirigées toutes les connexions HTTP émanant d'une station associée au réseau WiFi. Ce portail offre en général quelques services de bases (plan, informations publicitaires...) et propose une authentification (en générale payante). L'authentification, si elle réussit, permet à la station d'accéder (plus ou moins) librement à l'internet.

Dans cette partie, essayez de réaliser un mini-portail captif:

• installez Apache sur la machine passerelle;
• proposez une authentification simple (un seul utilisateur et un mot de passe, via .htaccess);
• configurez le pare-feu (iptables) afin que TOUTE requete web (http) émanant du réseau sans fil soit redirigée vers votre portail;
• l'authentification devra permettre (via un script CGI) de modifier les règles iptables pour la station authentifiée (repérée par son adresse IP)~: le trafic HTTP sera alors passé au côté public.

6. Mobilité

Cette partie ne sera traitée en association avec une rangée voisine, uniquement si vous en avez le temps.

• Relier les réseaux "publiques" filaires de deux rangées, et déconnecter l'un des deux routeurs (éloigner au maximum les deux points d'accès l'un de l'autre);
• configurer les deux points d'accès pour définir un ESS;
• Associer un portable au nouveau réseau.
• Vérifier que le portable s'associe automatiquement à l'autre AP lorqu'on le déplace.

On décrira dans le compte-rendu les différentes étapes suivies pour réaliser ces opérations.

Conclusion

Nous avons dans ce TP abordé les bases du déploiement d'un réseau sans fil. Nous n'avons pas eu le temps d'aborder des points importants, et en particulier:

• utilisation du protocole d'authentification EAP;
• mise en place d'un réseau privé virtuel (VPN), en utilisant par exemple IPsec.

Annexe A: Exemple de configuration DHCP

Le serveur DHCP utilise le fichier de configuration

/etc/dhcpd.conf

Le démon est lancé par le script:

/etc/init.d/dhcpd

Sous RedHat (et Mandrake ?), ce script va chercher les arguments à passer au serveur dans le fichier

/etc/sysconfig/dhcpd

C'est ici que l'on peut spécifier l'interface réseau (eth0 ou eth1) sur laquelle écoute le serveur. Voir évidemment man dhcpd).

Le fichier /etc/dhcpd.conf a une syntaxe assez simple, bien décrite dans la page de manuel. Voici un exemple de configuration, à adapter et compléter:

# lease = 5 minutes (tres court, pour les tests seulement !)
# on utilise habituellement qq heures, ou plus.
default-lease-time 300;
max-lease-time 300;

# pas d'interractions avec le DNS
ddns-update-style none;

# infos envoyées à tous les clients
# (on peut cibler certains clients dans des "group")
# ici X.Y.Z.T designe une adr IP (v4) ou un masque
option subnet-mask X.Y.Z.T;
option broadcast-address X.Y.Z.T;
option routers X.Y.Z.T;
option domain-name-servers X.Y.Z.T;
option domain-name "mon.nom.de.domaine";

# specifie les adresses a attribuer
subnet X.Y.Z.T netmask X.Y.Z.T {
   range X.Y.Z.T  X.Y.Z.T; # 1er et derniere addresse
}

# On peut fixer l'adresse IP d'une machine (MAC)
host joliemachine.mon.nom.de.domaine {
      hardware ethernet AA:BB:DD:EE:FF:GG;
      fixed-address X.Y.Z.T;
}

# et n'oubliez pas les points virgules !

Annexe B: Exemple de configuration iptables

Attention: cette configuration est extrêmement simple et devrait être complétée avant une utilisation sérieuse !

Le script présenté ci-dessous configure iptables pour: