Compétences du Bloc B1 : B1.1 — Gérer le patrimoine informatique · B1.4 — Travailler en mode projet · B1.5 — Mettre à disposition des utilisateurs un service informatique
L’organisation et le contexte
J’ai effectué mon stage de première année de BTS SIO (option SISR) au sein du service informatique de l’IP2I, l’Institut de Physique des 2 Infinis de Lyon. Il s’agit d’une unité mixte de recherche rattachée au CNRS (IN2P3) et à l’Université Claude Bernard Lyon 1, spécialisée en physique des particules, physique nucléaire et astroparticules. Le service informatique y gère un parc hétérogène de postes de travail et de serveurs au service de plusieurs centaines de chercheurs, ingénieurs, techniciens et doctorants.
Le projet qui m’a été confié pendant ce stage est l’automatisation du déploiement des postes de travail : un serveur de « masterisation » capable d’installer un système complet sur une machine neuve ou à réinstaller, sans intervention manuelle. Avant même d’installer le moindre serveur, une question d’architecture se posait : sur quel réseau faire circuler tout ce trafic ?
Le besoin technique
Un déploiement par le réseau (PXE) repose sur des mécanismes bavards et sensibles : des requêtes DHCP diffusées en broadcast, des transferts TFTP, puis le téléchargement d’images disque de plusieurs gigaoctets. Faire transiter ces flux sur le réseau de production du laboratoire présentait deux risques inacceptables : perturber les services existants (un second serveur DHCP sur un réseau de production peut distribuer des adresses erronées à n’importe quelle machine), et exposer des postes en cours d’installation — donc non sécurisés, sans mises à jour ni configuration finale — au reste de l’infrastructure.
Il a donc été décidé, en concertation avec l’équipe, d’isoler complètement le projet dans un VLAN dédié (le VLAN 30), desservi par un switch alloué exclusivement à la masterisation. Ma mission : configurer ce switch de A à Z et intégrer proprement ce nouveau réseau dans l’infrastructure existante.
La solution mise en œuvre
Le travail s’est déroulé en plusieurs étapes structurées. Le switch, potentiellement déjà configuré pour un usage antérieur, a d’abord été entièrement réinitialisé afin de repartir d’une base propre et maîtrisée. Je l’ai ensuite intégré dans l’infrastructure du laboratoire : nommage explicite, adresse IP dans le VLAN d’administration, réception automatique de la table des VLANs depuis le switch maître du réseau (VTP), et configuration du port de remontée (uplink) en mode trunk pour transporter plusieurs VLANs sur un seul lien.
Côté routeur, le VLAN 30 a été créé avec sa passerelle, et une liste de contrôle d’accès (ACL) a été mise en place : elle autorise uniquement le ping pour les tests et bloque tout trafic entre le VLAN de masterisation et les autres VLANs. Les vingt premiers ports du switch ont enfin été affectés au VLAN 30 en mode access : ce sont eux qui accueillent physiquement les machines à déployer.
Le switch a également été raccordé aux services transverses du laboratoire : synchronisation de l’heure sur le serveur NTP interne (indispensable pour des journaux correctement horodatés), intégration à la supervision via SNMP en lecture seule avec renseignement de sa localisation physique précise, et envoi des journaux vers le serveur de logs centralisé. Enfin, les trames jumbo ont été activées pour optimiser le transfert des images disque volumineuses.
La dimension sécurité
La sécurité a guidé chaque choix de configuration. L’administration du switch se fait exclusivement en SSH — Telnet, qui transmet tout en clair, est désactivé — avec une clé RSA de 2048 bits, bien au-delà de la valeur par défaut jugée trop faible. Les mots de passe stockés dans la configuration sont chiffrés. Les connexions réussies comme échouées sont journalisées localement et exportées vers la supervision. Sur le routeur, en plus de l’ACL d’isolation, la désactivation des redirections ICMP limite l’exposition à des attaques de type man-in-the-middle. Le résultat est un réseau hermétique : une machine en cours de masterisation ne peut ni atteindre le reste du laboratoire, ni être atteinte depuis celui-ci.
Ma plus-value personnelle
Ce projet m’a permis de prendre en charge un équipement réseau réel de bout en bout, de sa réinitialisation en mémoire flash jusqu’à sa mise en production supervisée, en validant chaque étape (test de la connexion SSH avant de poursuivre, vérification de la propagation du VLAN, contrôle de la synchronisation NTP). J’ai particulièrement veillé à ce que ce nouvel équipement ne soit pas un îlot isolé mais un élément documenté et supervisé du patrimoine du laboratoire : n’importe quel administrateur de l’équipe peut aujourd’hui le localiser, s’y connecter et consulter ses journaux. C’est cette isolation réseau qui a rendu possibles, en toute sécurité, toutes les étapes suivantes du projet de masterisation.
La procédure technique détaillée pas à pas, avec l’ensemble des commandes de configuration, est disponible en téléchargement au format PDF ci-dessous.