Exercice : translation d'adresses et de ports

Objectifs

• Ecrire les règles de NAT/PAT sur un routeur.
• Ecrire les règles de firewall sur un routeur.

1. Exercice : translation d'adresses et de ports

L'entreprise REZO possède une seule adresse IP publique qui est fournie par son Fournisseur d'Accès Internet (FAI). Elle souhaite néanmoins mettre en place un serveur HTTP et un serveur IMAP sur deux machines séparées pour mieux répartir les traitements.

Le serveur HTTP a comme adresse 172.20.41.1 et a été paramétré pour écouter sur le port TCP 8080.

Le serveur IMAP a comme adresse 172.20.41.2 et écoute sur le port TCP 143

Nous allons dans un premier temps voir uniquement la translation d'adresses sans toucher au firewall.

1. Construire le réseau suivant. Attention, au niveau matériel, les liaisons vers Internet nécessitent une carte d'accès distant et des câbles Telecom.

[pic 1]

On appelle l'interface PPP (Point to Point Protocol) l'interface reliée à la ligne téléphonique.

1. Relever l’adresse IP de l'interface ppp du routeur ainsi que celles du FAI de l'entreprise. Conclusion ?

[pic 2]

1. Quelle est l'adresse IP publique de l'entreprise REZO ?

[pic 3]

1. Idem pour l'adresse IP publique du client Internet.

[pic 4]

1. Faire un Ping du client vers l'adresse publique du routeur de l'entreprise REZO. Pourquoi faut-il renseigner la passerelle du routeur avec l'adresse du FAI ?

On rentre la passerelle 172.12.0.4 sur le poste st4 situé hors du réseau de l’entreprise REZO

On rentre l’adresse du routeur situé vers l’extérieur  (172.11.0.3)[pic 5]

[pic 6]

[pic 7]

1. Mettre en place la translation d'adresses pour que toutes les requêtes à destination du port 8080 arrivant sur le routeur de l'entreprise soient dirigées vers le serveur HTTP.

On active le routage, et le Nat/Pat sur le routeur de l’entreprise

[pic 8]

On ajoute le port 8080 (http) sur le poste st1

[pic 9]

Sur la table Nat du routeur st3 on spécifie que pour tout envoi sur l’adresse 172.11.0.3 sur le port 8080 on transféra vers l’adresse 172.20.41.1

[pic 10]

[pic 11]

Ça marche

[pic 12]

1. Idem pour le serveur IMAP.

On ajoute le port 143 sur le poste st2

[pic 13]

Sur la table nat du routeur st3 on spécifie que pour tout envoi sur l’adresse 172.11.0.3 sur le port 143 on transféra vers l’adresse 172.20.41.2

[pic 14]

[pic 15]

Ça marche

1. Mettre en place les règles de filtrage pour n'autoriser que ces 2 services à franchir le routeur.

[pic 16]

La 1ere règle signifie que l’adresse 172.20.41.2 sur le port 143 à le droit  communiquer avec internet

La 2eme règle signifie que l’adresse 172.20.41.1 sur le port 8080 à le droit  communiquer avec internet

La 3eme règle signifie que les adresses provenant d’internet  à le droit de communiquer avec l’adresse 172.20.41.1 sur le port 8080

...