FIREWALLING EN ENVIRONNEMENTS SDN

Routeur

                Un routeur est un dispositif relié à au moins deux réseaux, dont la fonction de routage exige la connaissance de l’emplacement de tous les destinataires pouvant passer par le même nœud de façon à pouvoir leur router les paquets (niveau 3 du modèle OSI (Open Systems Interconnection)) ou les trames (niveau 2 du modèle OSI), on en parlera plus sur ce modèle dans la section 1.5.1 suivante. Cet emplacement étant déterminé par l’adresse complète du destinataire transportée dans le paquet. Pour ce faire, le routeur utilise une table de routage. Les routeurs les plus connus sont les routeurs IP (Internet Protocol) à cause du fait que l’IP s’est imposé comme le standard unique d’un routeur de niveau 3. L’apparition récente des routeurs de niveau 2 a été encouragée par la volonté d’améliorer la performance. De tels routeurs sont retrouvés dans les interconnexions des datacenters. [1] Un routeur est composé d’interfaces d’accès et de sortie, d’un ou plusieurs processeurs, de modules de mémoire et d’une unité d’interconnexion. Le paquet est d’abord traité par l’interface d’entrée, puis le processeur de traitement de la table de routage choisit l’interface de sortie, le paquet étant mémorisé dans un module mémoire. Le paquet est ensuite transféré vers l’interface de sortie par l’unité d’interconnexion. D’ailleurs, BGP (Border Gateway Protocol) et OSPF (Open Shortest Path First) sont des protocoles de routage.

Différents types de réseau

         On distingue différents types de réseaux selon leur taille, leur vitesse de transfert des données ainsi que leur étendue. En générale, il en existe quatre catégories [3] :
– PAN (Personal Area Network)
– LAN (Local Area Network)
– MAN (Metropolitan Area Network)
– WAN (Wide Area Network)
PAN Le PAN ou Personal Area Network est le plus petit réseau permettant de connecter un ordinateur à plusieurs périphériques comme des souris, des claviers et des appareils électroniques personnels via la technologie Bluetooth ou infrarouge. C’est un réseau constitué autour d’une personne, de l’ordre de quelques mètres disons dans un espace d’une dizaine de mètre. D’autres appellations pour ce type de réseau sont : réseau domestique ou réseau individuel. Les bus utilisés les plus courants sont l’USB (Universal Serial Bus), les technologies sans fils telles que Bluetooth ou IR (Infra Rouge).
LAN LAN signifie Local Area Network (en français Réseau Local). Il s’agit d’un ensemble d’ordinateurs appartenant à une même organisation et reliés entre eux dans une petite aire géographique par un réseau, souvent à l’aide d’une même technologie (la plus répandue étant Ethernet). La vitesse de transfert de données d’un réseau local peut s’échelonner entre 10 Mbit/s (pour un réseau Ethernet par exemple) et 1 Gbit/s (en Gigabit Ethernet par exemple). La taille d’un réseau local peut atteindre jusqu’à 100 voire 1000 utilisateurs.
MAN Les MAN (Metropolitan Area Network) interconnectent plusieurs LAN géographiquement proches (au maximum quelques dizaines de km) à des débits importants. Ainsi, un MAN permet à deux nœuds distants de communiquer comme s’ils faisaient partie d’un même réseau local. Un réseau MAN est formé de commutateurs ou de routeurs interconnectés par des liens hauts débits (en général en fibre optique).
WAN Un WAN (Wide Area Network ou réseau étendu) interconnecte plusieurs LAN à travers de grandes distances géographiques. Les débits disponibles sur un WAN résultent d’un arbitrage avec le coût des liaisons (qui augmente avec la distance) et peuvent être faibles. Les WAN fonctionnent grâce à des routeurs qui permettent de choisir le trajet le plus approprié pour atteindre un nœud du réseau. Le plus connu des WAN est Internet.

Architecture TCP/IP

               L’architecture OSI reste toujours un modèle de référence mais c’est la structure TCP/IP qui est utilisée actuellement comme architecture de réseau. Comme ces protocoles ont été historiquement crées à la demande du ministère de la Défense des États-Unis, les 4 couches TCP/IP portent le nom de modèle DOD (Department Of Defense), à citer la couche accès réseau, internet, transport ainsi que la couche application.
Couche accès réseau La couche la plus basse représente la connexion physique avec les câbles, les transceivers, les cartes réseau, les protocoles d’accès au réseau (CSMA/CD (Carrier Sense Multiple Access/ Collision Detection) pour les réseaux Ethernet et le jargon pour les réseaux Token ring). La couche accès réseau est utilisée par la couche internet. Elle se charge de l’expédition du paquet TCP/IP sur les supports des réseaux.
Couche internet Elle fournit le paquet de donnée, définit le datagramme et gère le processus de mise en paquet. D’ailleurs, elle permet l’adressage et le routage des informations vers le réseau destinataire. Différents protocoles sont utilisés par la couche internet tels que : ARP (Address Resolution Protocol), IP, ICMP (Internet Control Message Protocol), RARP (Reverse Address Resolution Protocol).
Couche transport hôte à hôte Elle se charge de fournir les services de session et les communications par datagramme à la couche application. Elle permet l’acheminement de bout en bout des données. Les protocoles centraux de la couche transports sont TCP et UDP.
Couche application La couche application TCP/IP n’est pas la même au sens OSI. Elle fournit aux applications la possibilité d’accéder aux services des autres couches et définit les protocoles qu’elles utiliseront pour échanger des données. Cette couche application englobe les logiciels se basant sur des ports TCP ou UDP. Les protocoles les plus connus dans cette couche sont : HTTP, FTP, SMTP, Telnet, DNS, RIP. [4][5]

Bénéfices promis par SDN

              Les promesses du SDN sont de simplifier et d’optimiser la gestion du réseau, son évolutivité et son dynamisme dans le centre de données d’entreprise [12]. Le SDN doit aussi permettre de faire gagner en souplesse la conception, la construction et l’exploitation du réseau. Aussi, SDN permet aux opérateurs de réseaux de gérer de façon flexible les routeurs et commutateurs à l’aide de logiciels s’exécutant sur des serveurs externes. Ils peuvent en plus exploiter cette architecture pour offrir efficacement des services innovants, en améliorant la qualité de service et l’expérience des utilisateurs finaux. SDN permet aux administrateurs réseaux de configurer, administrer, sécuriser et optimiser les réseaux rapidement grâce à des programmes SDN dynamiques et automatisés. S’il est appliqué convenablement, il peut aussi entraîner des économies CAPEX (capital expenditure ou dépense d’investissement), et OPEX (operating expenditure ou dépense de fonctionnement, d’exploitation) pour les opérateurs à long terme. Dans les réseaux de paquets, la nécessité d’adopter SDN vient principalement des nouvelles exigences réseaux imposées par de nouveaux services (mobiles haut débit, contenus vidéo déployés dans les réseaux d’accès, les services d’infonuagique et de centre de données déployés à travers les réseaux). [13] En somme, ces avantages se résument sous cinq points essentiels [14] :
 Directement programmable : le contrôle du réseau est directement programmable car il est dissocié du plan de données qui a des fonctionnalités de redirection.
 Agile : la séparation du plan de contrôle et du plan de données permet aux administrateurs d’ajuster le trafic de façon dynamique à l’échelle du réseau afin de répondre à l’évolution des besoins.
 Gérée centralement : l’intelligence (logique) du réseau est centralisée au sein de contrôleurs SDN logiciels qui fournissent une vision d’ensemble du réseau et sont perçus par les applications et les moteurs de stratégies comme un commutateur logique unique.
 Configurée par programmation : le SDN permet aux gestionnaires de réseaux de configurer, de gérer, de sécuriser et d’optimiser très rapidement des ressources réseau par l’intermédiaire de programmes SDN automatisés et dynamiques qu’ils peuvent écrire eux-mêmes, ces programmes ne dépendant pas d’un quelconque logiciel propriétaire.
 Basée sur des standards ouverts et non liée à un quelconque fournisseur : lorsqu’il est mis en œuvre via des standards ouverts, le SDN simplifie la conception et l’exploitation des réseaux, les instructions étant alors fournies par des contrôleurs SDN et non plus par une multitude de protocoles et de périphériques propriétaires.

Différence entre SDN et le réseau traditionnel

                Dans les réseaux traditionnels, la décision des traitements de paquet et la commutation de paquet sont dépendants et résident dans le même équipement qui est le commutateur ou le routeur. Les routeurs calculent à l’aide de protocoles de routage distribués sur quelle interface de sortie les paquets doivent être diriger pour une destination donnée. Dans la technologie SDN, grâce à l’approche OpenFlow qui a permis de séparer ces deux plans dans deux équipements de nature différente : le plan de données (responsable de la commutation des paquets) et le plan de contrôle (responsable d’associer une décision aux paquets), un ou plusieurs contrôleurs prennent en charge le calcul des routes et les routeurs sont réduits à de simples dispositifs de transmission. Quand un paquet arrive avec une nouvelle destination à laquelle ne correspond aucune règle de routage, le routeur contacte le contrôleur qui se charge d’établir une route et d’envoyer les règles de routage au routeur. Cette gestion centralisée et dynamique du réseau est une opportunité pour mettre en place des politiques vertes d’économie d’énergie qui s’adaptent à la charge du trafic des réseaux [18]. Le plan de données doit être implémenté dans les switches OpenFlow, ce qui allègera les switches qui n’auront pour responsabilité que la commutation des paquets. Le plan de contrôle est assuré par une machine séparée, le contrôleur, qui réalise les traitements nécessaires pour déterminer les décisions à appliquer sur un flux de données. Cette séparation entre le plan de contrôle et celui des données permettra d’atteindre du très haut débit. Un autre avantage de cette séparation est que les composants de l’équipement responsable du plan de données seront optimisés pour la commutation des paquets ce qui évite d’alourdir le chemin de traitement avec des fonctionnalités qui relèvent du plan de contrôle [19] [20]. Et en plus, dans un réseau traditionnel, la reconfiguration du réseau est plus compliqué et prend beaucoup plus de temps voire des jours ou même des semaines. L’administrateur réseau doit configurer une centaine de mécanisme et des dispositifs, et la complexité augmente avec l’ajout de chaque dispositif qui doit être configuré et géré. Tandis qu’avec SDN, la configuration, le test et le déploiement d’une nouvelle application sera très rapide grâce à la programmabilité du réseau. Il suffit juste que le contrôleur implémente les règles nécessaires à chaque dispositif concerné. Le SDN permet également d’être plus dynamique vis-à-vis des besoins du métier. Les réseaux traditionnels sont souvent statiques, lent à changer et dédiés à un seul service. Grace à un SDN, on peut créer un service capable de nombreuses services différents de manière dynamique pour pouvoir consolider plusieurs services sur une seul infrastructure commune ou prestataire de service et aux opérateurs. Par exemple, un prestataire de service peut attribuer la majeure partie de sa bande passante à des services professionnels en journée, à des services internet en soirée et à la tache groupée haute capacité à la demande à la sauvegarde pendant la nuit. Cela permet de consolider 3 réseaux différents en un seul réseau puissant attribuable à la demande.

Table des matières

INTRODUCTION GENERALE
CHAPITRE 1 CONCEPT DE BASE DU RESEAU
1.1 Introduction
1.2 Evolution des réseaux
1.3 Eléments de base du réseau
1.3.1 Routeur
1.3.2 Commutateur
1.3.3 Transfert de paquets
1.4 Différents types de réseau
1.4.1 PAN
1.4.2 LAN
1.4.3 MAN
1.4.4 WAN
1.5 Différentes topologies du réseau
1.5.1 Topologie physique
1.5.1.1 En bus
1.5.1.2 En anneau
1.5.1.3 En étoile
1.5.1.4 En étoile étendue
1.5.1.5 Hiérarchique
1.5.1.6 Maillé
1.5.2 Topologie logique
1.6 Architecture en couche des réseaux
1.6.1 Architecture OSI
1.6.1.1 Couche physique
1.6.1.2 Couche liaison de données
1.6.1.3 Couche réseau
1.6.1.4 Couche transport
1.6.1.5 Couche session
1.6.1.6 Couche présentation
1.6.1.7 Couche application
1.6.2 Architecture TCP/IP
1.6.2.1 Couche accès réseau
1.6.2.2 Couche internet
1.6.2.3 Couche transport hôte à hôte
1.6.2.4 Couche application
1.7 Techniques de transfert
1.7.1 Commutation de circuits
1.7.2 Commutation de messages
1.7.3 Commutation de paquets
1.7.4 Commutation par trame
1.7.5 Commutation de cellules
1.8 Conclusion
CHAPITRE 2 ENVIRONNEMENTS SDN
2.1 Introduction
2.2 Historique
2.3 SDN
2.3.1 Définitions
2.3.2 Bénéfices promis par SDN
2.3.3 Architecture SDN
2.3.3.1 Option des protocoles pour le southbound interface
2.3.3.2 Northbound interface pour le réseau d’application
2.3.4 Différence entre SDN et le réseau traditionnel
2.4 OpenFlow
2.4.1 Définition
2.4.2 Réseau OpenFlow
2.4.3 Commutateur OpenFlow
2.4.3.1 Composition d’un commutateur
2.4.3.2 Types
2.4.3.3 Fonctionnement d’un commutateur
2.4.4 Contrôleur OpenFlow
2.4.4.1 Modèles de distributions du contrôleur OpenFlow
2.4.4.2 Différents types de contrôleur OpenFlow
2.4.4.3 Fonctionnement d’un contrôleur
2.4.5 Ports OpenFlow
2.4.6 Table de flux OpenFlow
2.4.6.1 Compositions de la table
2.4.6.2 Diagramme de flux OpenFlow
2.4.6.3 Table de groupe
2.4.7 Messages OpenFlow
2.4.7.1 Messages symétriques
2.4.7.2 Messages asynchrones
2.4.7.3 Messages contrôleur– commutateur
2.5 Mininet
2.5.1 Définition
2.5.2 Architecture
2.5.3 Fonctionnement de mininet
2.5.3.1 Codes basiques pour mininet
2.5.3.2 Différentes topologies de mininet
2.5.3.3 Topologie spécifique écrit avec des codes
2.5.3.4 Interface graphique
2.5.4 Installation et configuration
2.6 Conclusion
CHAPITRE 3 FIREWALL
3.1 Introduction
3.2 Définitions
3.2.1 Définition de base
3.2.2 Définition de la politique de sécurité
3.2.2.1 Interdire tout par défaut
3.2.2.2 Autoriser tout par défaut
3.3 Zones importantes pour les firewalls
3.3.1 Protocole de niveau liaison (niveau mac)
3.3.2 Protocole IP
3.3.3 Protocole TCP
3.3.4 Protocole d’application
3.4 Différents types de firewall
3.4.1 Catégories principales du firewall
3.4.1.1 Première génération : filtrage sans état (filtrage du paquet)
3.4.1.2 Seconde génération : firewall à états (stateful)
3.4.1.3 Troisième génération : firewall applicatif ou firewall de type proxy
3.4.2 Catégorie secondaire du firewall
3.4.2.1 Firewall authentifiant
3.4.2.2 Firewall personnel
3.4.2.3 Portail captif
3.5 NAT
3.5.1 NAT statique
3.5.2 NAT dynamique
3.5.2.1 Principe
3.5.2.2 Problème lié à NAT dynamique
3.6 Conclusion
CHAPITRE 4 SIMULATION DE L’IMPLEMENTATION DES FIREWALLS
4.1 Introduction
4.2 Firewall dans SDN
4.3 Description de l’environnement de l’émulation
4.3.1 Logiciels nécessaires
4.3.2 Choix du contrôleur
4.4 Simulation du l2_firewall
4.4.1 Algorithme correspondant
4.4.2 Configuration et test
4.4.2.1 Création de la topologie du réseau
4.4.2.2 Implémentation de l2_firewall dans le commutateur
4.4.2.3 Déroulement du test
4.5 Simulation du blocage de port 80
4.6 Conclusion
CONCLUSION GENERALE
ANNEXE 1 GUIDE POUR LES INSTALLATIONS
ANNEXE 2 CODES SOURCES
ANNEXE 3 LISTE DES PORTS TCP
BIBLIOGRAPHIE
FICHE DE RENSEIGNEMENTS

Télécharger le rapport complet