Stratégies de sécurité du réseau Windows 2000

La plupart des entreprises souhaitent aujourd'hui que leur infrastructure

d'ordinateurs soit connectée à Internet, qui fournit des services
inappréciables à leur personnel et à leurs clients. Cependant, les services
ainsi mis à disposition peuvent faire l'objet d'une utilisation dommageable, ce qui rend nécessaire les stratégies de
sécurité du réseau.

Microsoft Windows 2000 inclut un éventail de technologies qui vous aideront à planifiez la vôtre. Elles pourront aussi
vous être utiles si les problèmes de sécurité sont internes à l'entreprise, ou si vos connexions externes doivent être
établies avec des réseaux autres qu'Internet.

Pour de plus amples renseignements sur la sécurité interne, reportez-vous au chapitre 11, " Planification de la sécurité
distribuée ", dans ce livre.

Nous analyserons dans ce chapitre l'usage stratégique de technologies de sécurité pour protéger les connexions du
réseau de votre société avec Internet ou d'autres réseaux publics. Nous ne fournirons pas de détail cependant sur la
manière dont il convient d'installer et d'employer les technologies en cause.

Les architectes réseau impliqués dans la conception de sa sécurité et les administrateurs système en charge de son
administration doivent lire ce chapitre. Avant la lecture des tâches qui sont présentées, mieux vaudrait que vous
connaissiez les technologies du réseau et d'Internet, telles que le routage, les protocoles et les services Web.

Sommaire

• Planification de la sécurité du réseau

• Développement de stratégies pour des connexions réseau sécurisées
• Déploiement des technologies de sécurité du réseau
• Liste des tâches de planification pour les stratégies de sécurité du réseau

Objectifs de ce chapitre

Ce chapitre vous aidera à développer les documents suivants de planification :

• Plan de la sécurité du réseau

• Plan de déploiement des technologies de sécurité de réseau

Information connexes dans le Kit de Ressources Techniques

• Pour de plus amples renseignements sur la mise en œuvre et l'utilisation des technologies de sécurité du
réseau de Windows 2000, reportez-vous au guide Interopérabilité des réseaux du Kit de Ressources
Techniques Microsoft Windows 2000 Server.
• Pour de plus amples renseignements sur IPSec, reportez-vous au guide Architecture TCP/IP du Kit de
Ressources Techniques Microsoft Windows 2000 Server.

Planification de la sécurité du réseau

Avec une connexion à Internet, le personnel de votre entreprise peut se servir du courrier électronique pour
communiquer avec d'autres personnes de par le monde et pour obtenir informations et fichiers à partir d'un très grand
nombre de sources. Cette connexion permet aussi à vos clients d'obtenir à tout moment des informations sur votre
entreprise et de solliciter ses services. En outre, les membres de votre personnel peuvent faire appel aux ressources de
la firme de leur domicile, d'un hôtel, en fait, de tout endroit où ils se trouvent, tandis que vos partenaires commerciaux
bénéficient de certaines facilités pour travailler plus efficacement avec vous.

Tandis que vous planifierez votre réseau, vous voudrez peut-être implémenter des technologies de sécurité appropriées
à votre entreprise. En les prenant en compte dès le début de votre travail de planification du déploiement de
Windows 2000, vous garantirez que la sécurité ne pourra être remise en question et que des facilités réseau sécurisées
pourront être mises en oeuvre quand il en sera besoin. Bien que vous ayez probablement déjà un environnement
réseau sécurisé, il est important que vous en réexaminiez les stratégies de sécurité en fonction des capacités de
Windows 2000.
En intégrant les implications des nouvelles technologies de sécurité réseau de ce système d'exploitation, vous serez
peut-être amené à repenser votre plan de sécurité. Pour commencer, il vous est recommandé de compléter les tâches
suivantes tandis que vous développez votre plan de sécurité de réseau :

• Évaluez vos risques de sécurité réseau.

• Déterminez vos spécifications de taille et de placement des serveurs.
• Préparez votre personnel.
• Créez et publiez stratégies et procédures de sécurité.
• Appliquez une méthodologie formelle pour créer un plan de déploiement pour vos technologies de sécurité.
• Identifiez vos groupes d'utilisateurs, ainsi que leurs risques et besoins spécifiques en matière de sécurité.

Ces points sont décrits plus en détail dans la suite de cette section.

Remarque

Pour de plus amples renseignements sur la planification du déploiement de votre réseau, reportez-vous au chapitre 7,
" Détermination des stratégies de connectivité réseau " dans ce livre. Il comprend des stratégies pour le routage,
l'adressage, la résolution de noms, les applications de réseau et autres questions relevant du réseau. Ce chapitre-ci
s'attache avant tout aux problèmes de sécurité du réseau.

Évaluation des risques de la sécurité du réseau

Hélas, la capacité à partager et à obtenir des informations s'accompagne de risques significatifs. Vos concurrents vont
tenter de faire main basse sur des informations de produit confidentielles ou encore en développement ; un intrus va
essayer de modifier vos pages Web ou de surcharger vos ordinateurs pour les rendre inutilisables. La possibilité existe
aussi que des employés accèdent à des informations dont ils ne doivent pas avoir connaissance. Vous souhaiterez
éliminer tous ces types de risques en matière de sécurité, entre autres, pour garantir que les activités de l'entreprise
puissent se poursuivre comme il se doit. Pour être sûr que seules les personnes appropriées aient accès aux ressources
et aux données, mieux vaut dans un premier temps revoir vos technologies de sécurité réseau et en planifier
soigneusement les stratégies – ce qui vous permettra en outre de mettre en place un système de traçabilité de la
responsabilité, tandis que vous déterminerez comment seront employées ses ressources.

Pour une analyse générale en matière d'identification des risques de sécurité et de sélection des stratégies adéquates,
reportez-vous au chapitre 11, " Planification de la sécurité distribuée ", dans ce livre.

Remarque

Certaines entreprises réduisent leurs risques de sécurité réseau en interdisant les connexions à Internet ou à
tout autre réseau public. On restreint évidemment par là l'ensemble des utilisateurs qui pourraient faire un
usage inopportun des facilités du réseau. Cependant, les risques existeront toujours dans l'entreprise même ;
toutes les connexions de réseau, même limitées, exposent à des risques. Des stratégies et des technologies
de sécurité sont donc toujours nécessaires, même dans pareilles situations.

La figure 17.1 illustre les étapes de base de la détermination de vos stratégies de sécurité de réseau.
 Figure 17.1 Processus des stratégies de la sécurité du réseau

Taille et emplacement des serveurs

Quand vous établissez une connexion entre votre intranet et Internet, ou un autre réseau public, définissez avec soin
où interviendra la connexion. Elle se liera dans la partie centrale du réseau de votre entreprise pour minimiser la
distance efficace entre vos serveurs et Internet. Il s'agira aussi le plus souvent d'un emplacement auquel les
spécialistes réseau auront facilement accès, à des fins de maintenance.

Dans l'idéal, mieux vaudrait n'avoir qu'une connexion à Internet pour toute la société, de façon à en simplifier la
gestion et réduire les risques de sécurité qu'entraîneraient des stratégies et des procédures appliquées sans rigueur.

Une fois que vous avez décidé de l'emplacement de la connexion à Internet, vous devez déterminer quel serveur va
prendre en charge la sécurité du réseau. Ses caractéristiques vont dépendre des technologies que vous avez l'intention
d'implémenter et de la somme de travail prévue mais, au minimum, votre matériel devra pouvoir exécuter
Windows 2000 Server. Bien qu'il soit possible de faire fonctionner des applications autres que celles liées à la sécurité
du réseau sur le même serveur, ce n'est pas recommandé. Elles en réduisent en effet le temps de réponse et risquent
d'entraîner des pannes. Par ailleurs, si ces applications sont elles-mêmes peu sûres, elles compromettront la sécurité
générale.

Préparation du personnel

Les technologies de sécurité doivent être déployées et gérées par des individus aussi compétents que dignes de
confiance, qui assureront leur intégration dans toute l'infrastructure du réseau pour en éliminer ou en réduire les
faiblesses. Au fil de la modification de l'environnement et de ses spécifications, ils doivent continuellement en maintenir
l'intégrité.

L'un des facteurs essentiels de leur réussite va bien sûr tenir à la mise à jour continuelle de leur formation. Ils doivent
donc prendre le temps de se familiariser avec Windows 2000, particulièrement pour ce qui est de ses technologies de
sécurité du réseau. Ces personnes doivent mettre fréquemment à l'épreuve de la réalité leur savoir expérimental.

En outre, le personnel de sécurité de réseau doit se familiariser avec les questions générales de la sécurité en réseau.
Il existe de nombreux livres à ce sujet et Internet dispose de nombreux sites qui en traitent.
Développement de stratégies et procédures de sécurité

Les stratégies et les procédures revêtent toujours de l'importance ; dans le domaine de la sécurité, elles sont capitales.
Vous devez créer et publier vos stratégies pour dégager un consensus sur la façon dont seront contrôlées des questions
spécifiques et pour être sûr que chacun les comprenne clairement. Les procédures formalisées assurent que l'entretien
du système et les changements qui y sont introduits le sont toujours d'une façon cohérente et rigoureuse.

Vous devez envisager comment seront surveillées les tentatives d'effractions ou de rupture de la sécurité. Vous
parviendrez à les minimiser si le personnel adéquat en a dès que possible conscience, ce qui ne sera envisageable que
si des procédures de surveillance sont en place. Des stratégies bien définies vous aideront à établir les procédures qui
répondent à ces problèmes de sécurité.

La fiabilité est un autre aspect important de la sécurité. Munissez-vous de plans pour répondre aux cas d'urgence,
quand un composant de l'infrastructure de sécurité connaît une panne. Décidez des mesures appropriées à prendre
pour parer à l'avance à toute effraction sécuritaire ; mettez en place des ressources permettant de contrer tout
problème le plus tôt possible.

Plan de déploiement des technologies de sécurité

Créez un plan détaillé de déploiement des technologies de sécurité du réseau, qui soit partie intégrante de votre plan
général de déploiement de Windows 2000, en recourant à une méthodologie formelle de projet. Vous serez ainsi assuré
de les mettre en place de façon systématique et minutieuse, avec un risque réduit de panne. Les étapes critiques de ce
projet vont inclure la communication des stratégies de sécurité du réseau à toutes les parties intéressées, en particulier
aux utilisateurs du réseau.

L'aspect le plus important du projet de déploiement est le programme pilote de test, qui va mettre à l'épreuve les
technologies de sécurité du réseau envisagées dans un environnement sûr. Vous certifierez ainsi que l'architecture
fonctionne comme prévu, que vos objectifs de sécurité sont atteints et que votre personnel est prêt à la déployer et la
prendre en charge.

Identification des catégories d'utilisateurs et de leurs spécifications de sécurité Votre infrastructure de réseau n'a
d'autre objet que de servir des personnes pour que votre entreprise en tire tout bénéfice. À des fins d'analyse des
stratégies de sécurité du réseau dans ce chapitre, ces individus vont être répartis en quatre communautés
d'utilisateurs :

Tout le monde Cette catégorie inclut tous ceux qui accèdent à votre réseau de tout emplacement, qu'il s'agisse de
membres du personnel, d'utilisateurs ou de partenaires. On ne peut en général les identifier de manière aisée ni
fiable : ils sont par essence anonymes.

Personnel Ce groupe inclut tous les gens qui travaillent pour votre entreprise. Ils peuvent être facilement identifiés à
l'aide de procédures internes standardisées. En général, ils se servent du courrier électronique et de l'intranet de la
société.

Utilisateurs Ce groupe inclut le personnel qui se sert des applications pour satisfaire aux besoins de l'entreprise.

Partenaires Ce groupe inclut ceux qui, d'où qu'ils viennent ou se connectent, entretiennent un rapport spécial avec
votre entreprise. Ils sont préparés à appliquer des procédures standardisées pour être identifiés. Ils vont le cas échéant
employer des facilités semblables à celles qui sont accordées au personnel et aux utilisateurs. On peut considérer qu'ils
font partie de l'extranet.

Dans les stratégies de sécurité de réseau présentées dans ce chapitre, les besoins et les risques de chaque catégorie
d'utilisateurs du réseau sont pris en compte, tout comme sont analysées en détail les approches que vous pourrez
appliquer pour y satisfaire en réduisant les risques encourus. Vous y trouverez en outre une stratégie globale tant pour
la sécurité générale que pour l'infrastructure de sécurité du réseau.

Développement de stratégies pour des connexions réseau

sécurisées

La sécurité du réseau revêt une importance critique quand vous connectez vos ordinateurs à un réseau auquel vous ne
pouvez vous fier entièrement. Les questions qui en relèvent sont courantes au sein d'une entreprise et, dans ce
contexte, les problèmes de responsabilité et de discipline sont de votre ressort : un large éventail de technologies de
base peuvent vous aider dans ces tâches. Au-delà de votre entreprise, toutefois, vos options en la matière sont bien
plus réduites, et vous devez d'autant plus compter sur les stratégies de sécurité.

Création de limites sécurisées

La sécurité du réseau entre votre entreprise et le monde extérieur va dépendre d'un ou de plusieurs serveurs, dans
lesquels vous allez implémenter les technologies. Ces serveurs logiques résident sur la limite qui sépare votre
entreprise du monde. Les serveurs d'applications qui fournissent des services à l'extérieur se trouvent souvent dans le
même emplacement physique.

On peut maximiser la sécurité de ces serveurs logiques en les installant en un emplacement unique de l'infrastructure
du réseau. Le domaine dans lequel ils sont placés est souvent appelé zone démilitarisée (DMZ). Le coupe-feu (analysé
dans la section suivante) est doté d'un adaptateur réseau supplémentaire, qui dirige le trafic vers la DMZ en fonction
de l'ensemble des adresses qui lui a été assigné.La figure 17.2 explicite ce rapport.

Dans la DMZ, vous pouvez être assuré que les serveurs n'ont pas accès aux ressources de l'entreprise. De la sorte, une
effraction qui y aurait lieu ne permettrait cependant pas aux intrus de passer sur les autres ordinateurs de votre
intranet.

Figure 17.2 Zone démilitarisée

La DMZ, comme tous les composants réseau internes, doit être matériellement sécurisée contre tout accès public.
Ainsi, nul – pas même vos employés – ne peut mettre en péril votre sécurité en réorganisant le câblage ou en
recourant à des comptes d'utilisateurs en session.

Vous ne devez pas séparer physiquement la DMZ des autres ordinateurs ni de l'équipement réseau. Il est cependant
indiqué d'y appliquer des stratégies et des procédures spéciales, au vu de son rôle critique. Le plus infime changement,
incorrectement introduit, suffira peut-être à créer une brèche dont des intrus risqueraient de tirer profit. Il doit donc
être impossible à un personnel incompétent de modifier la DMZ – ce qui sera le cas si vous lui appliquez une sécurité
physique supplémentaire.

Attention

Sécurisez avec soin vos ordinateurs et comptes clients, pour être sûr que seuls les utilisateurs autorisés puissent s'en
servir pour accéder à votre réseau. Si vous ne pouvez sécuriser matériellement un ordinateur client, faites alors en
sorte que les comptes qui y sont en usage soient dotés de peu de privilèges et recourez au chiffrement des fichiers,
aux écrans de veille à mot de passe et autres stratégies locales de sécurité.

Sécurisation de l'accès extérieur

Pour sécuriser le réseau de votre entreprise contre les accès en direction de et provenant d'Internet, vous devez placez
un serveur entre eux. Celui-ci peut fournir la connectivité au personnel de la société à Internet, tout en minimisant les
risques qu'elle fait encourir, au même moment qu'il va empêcher l'accès aux ordinateurs sur votre réseau par Internet,
sauf s'ils en ont le droit.

Sur ce serveur s'exécute le logiciel de coupe-feu ou de relais (proxy). Il est aussi doté de deux interfaces de réseau :
l'une pour l'entreprise, l'autre pour Internet. Le logiciel du coupe-feu ou du relais examine tous les paquets de réseau
sur chaque interface pour déterminer leur adresse de destination. Ensuite, ceux-ci sont passés à l'autre interface, qui
les distribuera au reste du réseau, s'ils ont satisfait aux critères de sécurité.

Dans certains cas, le contenu de ces paquets est transmis comme s'il venait du serveur de relais, puis les résultats sont
passés à l'ordinateur qui les requiert quand ils sont retournés au serveur de relais. On s'assure ainsi que nul sur
Internet ne peut recevoir les adresses des ordinateurs de la société autrement que par le serveur de relais.

Utilisation de Microsoft Proxy Server

Microsoft Proxy Server 2.0 offre des fonctions de serveur de relais et de coupe-feu. Sa version 2.0 s'exécute sur
Windows 2000. Tous deux ont besoin d'être correctement configurés pour fournir une sécurité de réseau entière. Si
vous disposez d'une version antérieure à la 2.0 avec le Service Pack 1, vous devrez la mettre à niveau pour assurer sa
compatibilité avec Windows 2000, tandis que vous faites passer à niveau le serveur sous ce système d'exploitation.
Dans de nombreux cas, le trafic entre un réseau de société et Internet est plus volumineux que ne peut le contrôler un
serveur de relais. On se sert alors dans cette situation de serveurs de relais multiples ; le trafic y est automatiquement
coordonné. Pour les utilisateurs situés tant sur Internet que sur l'intranet, ils semblent ne former qu'un seul et même
serveur.

Pour pouvoir recourir aux caractéristiques avancées de Microsoft Proxy Server, il faut son client soit installé et configuré
sur les ordinateurs clients, afin que ceux-ci sachent faire appel au serveur de relais. Les ordinateurs où il ne se trouve
pas (ceux qui sont du côté Internet) en recevront les services de base en tant qu'utilisateurs anonymes.

Il est important de tester le serveur de relais avant de le connecter à Internet. Mettez en place une simulation à petite
échelle qui va simuler Internet et votre intranet, puis amenez les ordinateurs clients à tenter d'accéder aux divers
services dans les deux directions.

Par ailleurs, tentez d'établir des connexions non autorisées pour vérifier que votre réseau les rejette. N'omettez pas de
tester un large éventail de méthodes d'accès de réseau afin de vérifier que toutes soient bien sécurisées. Recourez à
des techniques différentes pour exploiter les possibles brèches dans la sécurité et pour vérifier que vous n'en souffrez
pas. Les livres traitant de la sécurité en réseau offrent souvent des suggestions sur les divers aspects que vous pouvez
tester. Des produits tierce partie peuvent aussi aider dans ces tests, ainsi que des consultants spécialistes de ce
domaine.

Les procédures d'utilisation de Microsoft Proxy Server sont incluses dans le produit. Pour de plus amples
renseignements sur Microsoft Proxy Server et sur les technologies de sécurité qu'offre Microsoft, reportez-vous au lien
Conseiller de sécurité de Microsoft sur la page des ressources Web à
http://www.microsoft.com/WINDOWS2000/library/resources/reskit/WebResources/default.asp.

Surveillance de la sécurité du réseau

Les technologies de sécurité de réseau que vous implémenterez ne pourront répondre à vos besoins que si vous les
planifiez et les configurez avec soin. Une préparation minutieuse assurera de toute sa réussite.

Il peut cependant se révéler fort ardu de prévoir tous les risques possibles :de nouveaux périls se développent chaque
jour, les systèmes tombent en panne et l'environnement dans lequel ils sont placés change rapidement. Des examens
permanents de vos stratégies de sécurité du réseau minimiseront de tels dangers. Vous devez toutefois aussi surveiller
l'activité effective de la sécurité de votre réseau, afin d'en repérer les faiblesses, avant qu'elles ne soient exploitées par
des intrus, et pour prévenir toute tentative de la circonvenir.

Pour examiner votre activité en matière de sécurité de réseau, il vous faut des outils qui puissent en saisir les détails et
en analyser les données. Microsoft Proxy Server inclut un journalisation à deux niveaux : normale et détaillée.
Windows 2000 comporte aussi une journalisation des événements, qui peut être améliorée en activant l'audit de
sécurité.

Le Serveur d'authentification Internet, analysé dans la suite de ce chapitre, comprend également des options en ce
domaine. Il existe aussi des produits tierce partie, qui vous aideront dans la surveillance des serveurs et des
applications, notamment ceux qui relèvent de la sécurité. Pensez à bien lire la documentation de ceux dont vous vous
servez.

Connexion aux réseaux externes

Quand un serveur de relais est en place, qui inclut également des programmes de surveillance et un personnel à la
formation adéquate, vous pouvez connecter votre réseau à un réseau externe. Faites un dernier ensemble de tests
pour être sûr que l'implémentation satisfasse correctement à vos plans. Vous devez être absolument certain que seuls
les services que vous avez autorisés sont disponibles et que le risque de les voir employés à des fins pernicieuses est
presque inexistant.

Un tel environnement requiert une surveillance et une maintenance assidues, mais vous devrez peut-être aussi penser
à fournir d'autres services de sécurité.

Remarque

Ce chapitre n'analyse pas comment on établit une connexion de réseau. De nombreux ouvrages traitent de ce sujet, et
votre fournisseur de service réseau peut l'établir pour vous, ou vous mettre en rapport avec des consultants
expérimentés.

Déploiement des technologies de sécurité du réseau

Une fois que vous aurez préparer votre stratégie générale de sécurité de réseau, vous pouvez décider de la manière
dont vous allez en appliquer les technologies améliorées pour chaque communauté d'utilisateurs définie dans ce
chapitre : tout le monde, personnel, utilisateurs et partenaires. Vous pouvez alors déployer les stratégies de sécurité de
réseau pour chacune d'entre elles. Peut-être voudrez-vous par exemple d'abord prendre en compte les besoins de tous,
en tant que groupe, puis résoudre ceux du Personnel, des Utilisateurs et des Partenaires, selon les priorités de votre
entreprise.

Avant d'identifier les stratégies de sécurité spécifiques à votre société, vous devez prendre connaissance des capacités
de Windows 2000.

Technologies de sécurité du réseau de Windows 2000

Dans certains cas, les technologies de sécurité du réseau de Windows 2000 vont dépendre d'autres technologies de
sécurité du programme. Par exemple, le protocole de réseau privé virtuel L2TP se sert d'IPSec pour fournir la sécurité
du client distant au serveur de VPN. Cette négociation de sécurité exige que des certificats autorisent la connexion. Il
faut donc un serveur de certification correctement configuré. En général, le serveur de certificats de Windows 2000 est
joint à un domaine, lequel spécifie la Stratégie de groupe avec les paramètres de l'infrastructure à clés publiques (PKI),
pour que les ordinateurs s'y inscrivent automatiquement afin d'en recevoir un certificat IPSec. L2TP crée la stratégie
IPSec nécessaire pour garantir que le trafic L2TP sera sûr.

Cependant, des administrateurs voudront peut-être aussi sécuriser d'autres trafics entre serveurs et clients, ce qui va
supposer une configuration d'IPSec sur chacun d'eux. Comme IPSec est configuré à l'aide d'une stratégie, vous pouvez,
après avoir créée celle-ci dans Active Directory™, l'appliquer à tous les ordinateurs en fonction du groupe ou du
domaine. Vous pouvez déployer les certificats et la stratégie IPSec dans tous les ordinateurs du domaine, par
administration centralisée à l'aide de la Stratégie de groupe dans Active Directory.

Pour de plus amples renseignements sur la planification du déploiement de certificats de Windows 2000, reportez-vous
au chapitre 11, " Planification de votre infrastructure à clés publiques ", dans ce livre. Pour de plus amples
renseignements sur la planification de Active Directory, reportez-vous au chapitre 9, " Conception de la structure de
Active Directory ", dans ce livre.

Déploiement de stratégies pour tout le monde

Quiconque est à même de repérer votre connexion Internet peut devenir un risque potentiel de sécurité sur le réseau.
De ce fait, la première communauté d'utilisateurs à prendre en compte, quand vous déployez une stratégie générale de
sécurité de réseau, est le groupe que nous avons précédemment défini comme " tout le monde ". Vous y avez déjà
partiellement répondu en mettant en place un serveur de relais, de même que des stratégies, des procédures et des
technologies de surveillance de la sécurité.

Vous devrez le cas échéant prendre aussi en compte les applications du réseau dont tout le monde peut tirer parti,
ainsi que leurs spécifications de sécurité. Supposons par exemple que vous installiez Microsoft Internet Information
Services IIS avec un site Web interne. IIS offre de nombreuses options de sécurité, qu'il vous faudra en conséquence
peser et configurer avec soin. (IIS inclut une large documentation sur ces rubriques.) N'oubliez pas par exemple de
réfléchir à l'utilisation de serveurs FTP entre autres services dont " tout le monde " peut profiter.

Déploiement de stratégies pour le personnel

Les individus relevant du groupe Personnel vont sans doute vouloir accéder au réseau à partir de n'importe que
système, afin de parcourir ses sites web internes, y copier des fichiers, y imprimer des documents, etc. La sécurité va
dans ce cas consister à vérifier que de tels utilisateurs sont des employés autorisés, avant qu'ils n'accèdent au réseau.
De ce fait, c'est la connexion initiale qui doit être sécurisée, sans autre validation ultérieure. Pour autant, vous devez
empêcher les intrus d'intercepter et de lire le trafic sur votre réseau.

Vos employés peuvent recourir à des fournisseurs de service Internet pour accéder au réseau de l'entreprise ; pour
autant, tout le personnel ne jouira pas d'un tel accès. Vous ne souhaiterez peut-être pas par exemple que tous les
services de l'intranet leur soient disponibles par Internet, ou requérir au contraire une capacité réseau garantie pour un
lien dédié. Avec les services Routage et accès distant de Windows 2000, vous pouvez définir des stratégies d'accès
distant qui soient extrêmement spécifiques quant à la manière dont les utilisateurs vont accéder au réseau interne par
une connexion Internet.

Routage et accès distant

L'entreprise fournit habituellement des options de connexion distantes avec ses sites à ses employés. Le personnel du
service information met en place des numéros de téléphone spéciaux et rattache à cet effet des modems à un serveur
directement connecté à l'intranet. Ce serveur exécute un logiciel spécialisé, qui contrôle les détails des connexions et
authentifie aussi comme membre autorisé du personnel l'utilisateur d'accès à distance.

Windows 2000 comprend des services Routage et accès distant, qui vous permettent de fournir des facilités d'accès à
distance à vos utilisateurs. Si vous voulez centraliser l'authentification, l'autorisation et les services de comptes de vos
utilisateurs dans Windows 2000, vous vous servirez de l'accès distant ou des VPN, en établissant un serveur Service
d'authentification Internet (IAS). La figure 17.3 en donne une configuration possible.

Figure 17.3 Exemple de configuration du service Routage et accès distant

Le guide Interopérabilité des réseaux du Kit de Ressources Techniques Microsoft Windows 2000 Server offre des
informations sur les capacités du service Routage et accès distant. L'aide de Windows 2000 Server décrit comment on
l'installe et on s'en sert. Quand vous planifiez le déploiement de Routage et accès distant, pensez à prendre en compte
les questions suivantes de sécurité :

• À qui seront donnés les numéros de téléphone ?

• Qui aura la permission d'utiliser le Routage et l'accès distant ?
• Quels types de méthodes d'authentification seront appliqués ?
• Comment sera employé le chiffrement de données (du client Routage et accès distant au serveur Routage et
accès distant) ?

S'il vous faut un chiffrement de bout en bout (du client jusqu'au serveur d'applications sur le réseau interne),
servez-vous de la sécurité du protocole Internet (IPSec), analysée dans la suite de ce chapitre.

• Quelles stratégies d'accès distant seront-elles appliquées pour contrôler l'accès des utilisateurs ?

Pour de plus amples renseignements sur les questions générales du déploiement de Routage et accès distant, reportez-
vous au chapitre 7, " Détermination des stratégies de connectivité réseau ", dans ce livre.

Sécurité du Routage et de l'accès distant

En limitant la distribution des numéros du service Routage et accès distant, vous réduisez le nombre d'individus à
même d'essayer de se connecter par téléphone à votre réseau. Toutefois, toute solution de connexion d'accès à
distance suppose toujours un risque : en effet, n'importe qui peut potentiellement en obtenir le numéro d'accès.

Il est ainsi possible d'établir un processus automatique qui va appeler des numéros en séquence, jusqu'à ce qu'un
modem réponde. De ce fait, le service Routage et accès distant doit être sécurisé pour ne permettre que les accès
autorisés. Au minimum, il doit requérir que l'utilisateur fournisse un compte et un mot de passe d'ordinateur valides.
Ce niveau de sécurité reste cependant accessible aux attaques d'ouverture de session normales, telles que celle qui
vise à deviner les mots de passe.

Il vous est recommandé d'appliquer des options de sécurité supplémentaires pour Routage et accès distant, en limitant
son usage à ceux qui ont un besoin avéré de ce type de connexion. Vous pouvez aussi exiger du service qu'il raccroche
la connexion une fois celle-ci établie, avant de rappeler l'utilisateur. De la sorte, ce dernier ne peut y accéder que par
un numéro de téléphone prédéterminé, ou par numéro qui sera alors enregistré. Quand c'est possible, vous pouvez
aussi faire appel à la présentation d'appel de façon à enregistrer celui d'où provenait la connexion.

Sachez qu'il est possible d'intercepter un nom d'utilisateur et un mot de passe pendant qu'un utilisateur tente d'ouvrir
une session avec les services Routage et accès distant par des méthodes qui rappellent celles des écoutes
téléphoniques. Pour parer à ce danger, les utilisateurs peuvent recourir à une méthode d'authentification d'utilisateur
sécurisée, telle que les protocoles EAP, MS-CHAP versions 1et 2, CHAP ou le protocole SPAP de Shiva.

Un autre risque surgit quand l'utilisateur croit qu'il téléphone sur le réseau de l'entreprise, alors qu'il appelle en fait un
autre emplacement, lequel en obtient ainsi les informations d'identification. Pour éviter ce danger, vous pouvez
appliquer une authentification réciproque, afin que le serveur de Routage et d'accès distant soit autorisé comme l'est
l'utilisateur, opération rendue possible par les protocoles EAP-TLS ou la version 2 de MS-CHAP.
Des questions similaires se posent quant aux données transitant sur une connexion de Routage et accès distant. Les
protocoles d'authentification EAP-TLS ou MS-CHAP version 2 vous permettent cependant de les chiffrer pendant leur
transmission, à l'aide de MPPE. Les stratégies d'accès distant, qu'elles soient implémentées comme stratégies locales
ou fassent partie d'une Stratégie de groupe, peuvent obliger à recourir aux techniques d'authentification et de
chiffrement que vous choisirez d'utiliser.

Pour de plus amples renseignements sur le réseau, l'authentification du Routage et accès distant et les techniques de
chiffrement des données, reportez-vous à l'aide de Windows 2000 Server.

Réseaux privés virtuels

Les réseaux privés virtuels (Virtual Private Network ou VPN) fournissent un service de réseau sécurisé sur un réseau
public, à la manière d'un réseau privé, mais à moindre coût. Grâce à eux, des membres du personnel, et d'autres
utilisateurs autorisés, sont à même de se connecter au réseau de l'entreprise à partir d'emplacements distants, de
manière aussi sûre que s'ils se trouvaient sur un site de la société. En conséquence, tous les services du réseau de
l'entreprise sont disponibles par les VPN. Leur maîtrise, leur mise en place et leur prise en charge requièrent certes un
travail plus important que les connexions publiques non sécurisées, mais ils fournissent des connexions entièrement
sûres, en recourant à des connexions Internet ou similaires à bas prix.

Vous pouvez vous servir des VPN avec le Routage et accès distant, mais ce n'est pas nécessaire. Vous pouvez en établir
entre des sites par tout type de lien, comme y faire appel au sein d'un même site pour une sécurité accrue.

Les réseaux privés virtuels fonctionnent en général de la sorte :

• L'utilisateur appelle un fournisseur de services Internet (FSI).

• Le logiciel client du VPN contacte le serveur de VPN désigné de votre société par Internet et enclenche
l'authentification.
• L'utilisateur est authentifié et les détails de sécurité sont échangés.
• Le serveur de VPN fournit une nouvelle l'adresse TCP/IP à l'ordinateur du client, en lui demandant d'envoyer
tout trafic de réseau par cette adresse.
• Tous les paquets du réseau sont alors entièrement chiffrés d'une manière que seuls le serveur et le client du
VPN savent déchiffrer.

La figure 17.4 montre les rapports qui s'établissent entre ces ordinateurs.

Figure 17.4 Exemple de configuration d'un réseau privé virtuel

Vous pouvez encore vous servir des VPN pour connecter de multiples ordinateurs à un site de votre réseau
d'entreprise, ou restreindre au seul personnel autorisé les communications avec un sous-réseau donné.

Windows 2000 Server dispose d'un logiciel de VPN, composant optionnel des services Routage et accès distant. Le
guide Interopérabilité des réseaux du Kit de Ressources Techniques Microsoft Windows 2000 Server offre de
nombreuses informations sur le fonctionnement des VPN de Windows 2000. L'aide de Windows 2000 Server explique
comment on les installe.

Déploiement de VPN

Si vous entendez déployer des VPN, vous devez prendre en compte divers points :
 Quel protocole de sécurité utiliser – PPTP ou L2TP.

• Faire appel à IPSec (si L2TP est sélectionné).

• Quels certificats employer dans la connexion L2TP/IPSec.
• Où placer le serveur de VPN – devant le coupe-feu, derrière lui, ou à côté.
• Comment se servir du Gestionnaire de connexions pour donner des paramètres prédéfinis aux utilisateurs.
• Comment insérer les VPN dans la stratégie d'accès distant.

PPTP ou L2TP

Le protocole PPTP est un protocole réseau TCP/IP qui encapsule IP, IPX ou NetBEUI. Il permet une activité réseau non-
TCP/IP, ou multiprotocoles, par Internet (ou des réseaux similaires). Les VPN s'appuyant sur PPTP fournissent
également une authentification de l'utilisateur, un contrôle d'accès et la possibilité d'appliquer des profils d'accès
distant pour restreindre celui-ci à certains types d'utilisateurs.

PPTP dispose d'une configuration d'adresse interne pour le client distant, qui peut dès lors participer au réseau interne
comme s'il y était directement connecté. PPTP fournit encore une compression et des options pour le chiffrement RC4
standard et renforcé (un chiffre à flux symétrique) pour le trafic qui passe par le tunnel.

L2TP rappelle de près PPTP, mais il se sert d'UDP et peut donc être utilisé sur des réseaux Mode de transfert
asynchrone (ATM), Relais de trames et X. 25. Quand on l'emploie sur des réseaux IP, il sur le recourt au format de
paquet UDP port 1701, tant pour la chaîne de contrôle que pour celle des données. On peut aussi l'utiliser avec IPSec
pour fournir un lien réseau entièrement sécurisé.

IPSec effectue une première négociation de sécurité, en se servant de certificats pour l'authentification entre serveur et
client VPN en ce qui concerne le trafic L2TP. L2TP fournit alors une authentification en se servant d'un compte et d'un
mot de passe d'utilisateur, ou d'un certificat d'utilisateur.

Sécurité du protocole Internet

La Sécurité du protocole Internet (IPSec) est un protocole qui sécurise le trafic réseau du protocole IP. Il permet une
sécurité complète entre deux ordinateurs, pour qu'aucune section de la connexion ne soit ouverte. On le configure par
des stratégies IPSec, qui peuvent renfermer nombre de règles de sécurité, chacune spécifiant un certain type de trafic
par des filtres, lequel est associé alors à une action de filtre et une méthode d'authentification. On crée et on assigne
ces stratégies IPSec soit localement sur un ordinateur, soit dans la Stratégie de groupe Active Directory.

Remarque

IPSec fournit une sécurité IP de bout en bout, mais ne chiffre pas tous les protocoles passant par IP. Il
comporte des exemptions qui sont incorporées pour certains types de trafic, tels que la négociation d'échange
de clé Internet, l'authentification Kerberos, l'émission IP et la multidiffusion IP. Si nécessaire, des protocoles
supplémentaires peuvent être exemptés en créant des règles IPSec avec un filtre spécifiant le type de trafic
et l'action de filtre permise.

Pour de plus amples renseignements sur IPSec, reportez-vous à l'aide de Windows 2000 Server et au guide
Architecture TCP/IP du Kit de Ressources Techniques Microsoft Windows 2000 Server. Pour de plus amples
renseignements sur la planification du déploiement de votre autorité de certification dans une infrastructure à clés
publiques, reportez-vous au chapitre 12, " Planification de votre infrastructure à clés publiques ", dans ce livre.

Emplacement du serveur de VPN

Vous pouvez vous servir de VPN avec des coupe-feu. Bien que les serveurs eux-mêmes puissent fonctionner de la
même manière qu'un coupe-feu, chacun d'entre eux jouit d'avantages supplémentaires : tous deux seront le cas
échéant requis. Dans de tels cas, évaluez l'emplacement du serveur de VPN par rapport au coupe-feu.

Vous pouvez matériellement installer les deux sur le même serveur, ce qui crée toutefois un point unique de panne, si
le serveur se révèle indisponible ou si sa sécurité est compromise. En vous dotant d'un nombre moindre de serveurs,
vous réduisez cependant par là la probabilité de leur indisponibilité, de même que leurs coûts d'entretien. Des
questions de capacité peuvent aussi se poser. Voyez comment chacun de ces facteurs affecte votre situation pour
déterminer votre modèle spécifique.

Vous devez également penser au rapport logique entre serveur de VPN et coupe-feu. Les options données à la
figure 17.5 placent le serveur de VPN logique devant le coupe-feu, derrière lui, ou à côté de lui. Windows 2000 est à
même de fournir des services de coupe-feu, soit par Proxy Server, soit par routage de filtre de paquets. Pour de plus
amples renseignements sur ces solutions, reportez-vous au chapitre " Service Routage et accès distant " du guide
Interopérabilité des réseaux du Kit de Ressources Techniques Microsoft Windows 2000 Server.
Quand le serveur de VPN est placé devant le coupe-feu, ce dernier ne fournit ses services externes qu'aux utilisateurs
autorisés du VPN. De ce fait, il n'y a pas d'accès général à Internet– sauf si l'accès est fourni à l'autre extrémité des
connexions du VPN.

Figure 17.5 Exemple de placement logique du serveur de VPN par rapport à un coupe-feu

Quand le serveur de VPN est situé derrière le coupe-feu, ce dernier fournit tous ses services traditionnels, mais doit
alors être configuré pour ouvrir les ports requis par le serveur de VPN – ce qui inclut les ports nécessaires à IPSec, si
vous utilisez un VPN L2TP avec IPSec.

Quand le serveur de VPN est à côté du coupe-feu, chacun fournit ses services indépendamment. Cette configuration
crée cependant deux voies d'accès au réseau de l'entreprise, ce qui augmente la possibilité d'effraction. Normalement,
aucun ne fournit de route vers l'autre mais, avec deux routes, le risque double.

Le choix du meilleur rapport pour votre situation va dépendre des problèmes de sécurité que vous êtes prêt à affronter.
Les serveurs étant les uns à côté des autres, deux voies d'accès mènent à votre Intranet, ce qui représente un double
risque. Avec le serveur de VPN derrière le coupe-feu, vous devez ouvrir plus de ports sur le coupe-feu. Si le serveur de
VPN est placé devant le coupe-feu, il ne tire pas parti de la sécurité du coupe-feu, mais tout le trafic qu'il traite en
bénéficie.

Gestionnaire de connexion

La mise en place d'un VPN pour vos utilisateurs suppose un travail de configuration sur chaque ordinateur client. Les
paramètres ne sont pas nécessairement aisés à définir, mais Windows 2000 inclut un Gestionnaire de connexion
(Connection Manager) qui facilitera ce processus.

Connection Manager fonctionne sur les ordinateurs exécutant Microsoft Windows 95, Microsoft Windows 98, Microsoft
Windows NT ou Windows 2000. Windows 2000 Server comprend également un kit administratif, appelé le Kit
d'administration de Connection Manager, qui vous permet de créer un gestionnaire personnalisé pour vos utilisateurs.

Pour de plus amples renseignements sur les connexions, Connection Manager et le Kit d'administration de Connection
Manager, reportez-vous à l'aide de Windows 2000 Server. Après en avoir suivi les instructions et exécuté le Kit
d'administration de Connection Manager, vous disposerez d'un programme et d'une documentation que vous pourrez
distribuer à vos utilisateurs.

Stratégies d'accès distant

Les stratégies d'accès distant vous permettent de spécifier les individus qui vont recourir aux services Routage et accès
distant, et les diverses conditions qui seront appliquées à ces connexions. Vous pouvez spécifier des stratégies qui se
fondent sur le groupe Windows 2000 auquel ils appartiennent, sur le numéro de téléphone en usage, sur l'heure ou
d'autres informations. Elles peuvent spécifier que la connexion devra être acceptée ou rejetée et qu'un profil y sera
appliqué. Ce profil peut à son tour spécifier la durée maximale de la session, celle de son éventuelle inactivité, les
types de moyens d'accès à distance permis, les adresses permises, les méthodes d'authentification requises et si le
chiffrement ou un VPN seront nécessaires.

Vous pouvez définir des stratégies d'accès distants pour Routage et accès distant, ou pour le Service d'authentification
Internet (IAS), analysé dans la suite de cette section. Pour de plus amples renseignements sur les stratégies d'accès
distant, notamment sur leur mise en place et leurs options de stratégies, consultez l'aide de Windows 2000 Server.

N'appliquez de stratégies ou de conditions différentes aux groupes qu'avec le plus grand soin. Il peut arriver qu'elles se
chevauchent et interdisent alors à certains un accès distant que vous pensiez leur octroyer, ou créent d'autres
problèmes. Plus leur combinaison sera complexe, plus elle entraînera de difficultés. Mieux vaut donc minimiser le
nombre de stratégies. L'aide de Windows 2000 Server inclut une procédure recommandée pour dépanner des
stratégies d'accès distant problématiques.

Capacité du serveur de VPN

Comme pour tous les serveurs, ceux qui servent au VPN risquent de connaître une panne, si des charges trop
importantes de travail leur incombent. Il faut certes un nombre immense de liens VPN pour que la situation se
produise, mais elle a des chances de survenir dans une grande entreprise. Dans votre projet pilote, testez la charge
que vos utilisateurs vont en toute probabilité placer sur vos serveurs de VPN. Vous pouvez aussi tester la capacité de
vos serveurs de VPN, en estimant le nombre d'utilisateurs simultanés que vous allez sans doute devoir satisfaire et la
quantité de données qu'ils vont envoyer. Vous pouvez alors envoyer une quantité comparable de données par le biais
du serveur de VPN au moyen d'un petit nombre d'ordinateurs clients, mais par votre réseau local et en créant une
activité intense, telle que la copie de grands nombres de fichiers.

En examinant le serveur de VPN et son temps de réponse, vous pourrez déterminer si vos serveurs seront suffisants
pour le rôle qui leur incombe. Si nécessaire, vous en augmenterez la taille, ou en ajouterez d'autres, et ferez appel à
Équilibrage de la charge ou des tourniquets DNS.

Service d'authentification Internet

Windows 2000 Server inclut le Service d'authentification Internet (IAS) comme composant optionnel. Il implémente un
protocole de sécurité d'authentification de réseau aux normes, RADIUS (Remote Authentication Dial-In User Service en
anglais), qui permet la centralisation de l'autorisation des comptes. RADIUS permet aussi de spécifier la durée de la
session et l'adresse IP à utiliser. IAS peut lui aussi enregistrer des détails sur la session, ce qui permet d'établir des
rapports.

Vous utiliserez aussi IAS si vous entendez sous-traiter vos facilités d'accès distant, tout en continuant à contrôler
l'authentification des individus qui y recourent. Dans ce cas, le sous-traitant peut acheminer les requêtes d'autorisation
de son serveur Routage et accès distant à vos serveurs IAS. Ces derniers authentifieront les comptes en fonction des
domaines Windows 2000 natifs et des domaines Windows NT 4.0.

Vous devez placer le Serveur IAS derrière votre coupe-feu, avec les ports ouverts pour l'authentification RADIUS et les
paquets UDP appropriés. Pour de plus amples renseignements sur l'installation et l'utilisation d'IAS, notamment des
suggestions d'usage, reportez-vous à l'aide de Windows 2000 Server, qui propose également des pratiques de sécurité
supplémentaires recommandées, ainsi que des informations sur son extensibilité dans les grands environnements.

Déploiement de stratégies pour les utilisateurs

Certains utilisateurs vont vouloir accéder à des applications sécurisées de l'entreprise alors qu'ils ne seront pas à leur
bureau. Certains de ces programmes sont relativement simples (calendrier, remboursements, etc.) ; d'autres plus
complexes (systèmes comptables et applications spécialisées relevant de l'activité même de l'entreprise). Assurez-vous
de les sécuriser pour que seuls des utilisateurs autorisés aient accès à leurs données et puissent y introduire des
changements. Vous mettre en outre par là en place une traçabilité de la responsabilité, car leur utilisation fera l'objet
d'une journalisation.

Windows 2000 comprend plusieurs technologies de sécurité qui fournissent aux programmeurs des options pour
l'inclusion de la sécurité de réseau. Le choix de ces technologies va dépendre :

• Des spécifications de sécurité de l'application

• Des questions d'intégration
• Du degré de familiarité du programmeur avec la technologie
• De l'effet des performances sur le réseau et l'application
 • De la complexité administrative
• Les technologies de sécurité du réseau relatives aux applications concernent :
• L'Interface du fournisseur de prise en charge de la sécurité (SSPI) – Une API de sécurité générale, qui donne
accès à un grand nombre de services de sécurité par le biais d'une interface de programmation standardisée.
• La sécurité NTLM de Windows, aussi appelée sécurité Windows NT au niveau des domaines.
• Le protocole d'authentification v5 de Kerberos. Pour de plus amples renseignements sur ce dernier, reportez-
vous au chapitre 11, " Planification de la sécurité distribuée ", dans ce livre. SSL. Ce protocole a été amélioré
et standardisé par le groupe Internet Engineering Task Force sous la forme TLS.
• Les certificats, analysés dans les pages précédentes de ce chapitre.

Les technologies de sécurité du réseau et les technologies du réseau qui y accèdent sont en corrélation, comme
l'indique la figure 17.6. Remarquez que SSP y représente le Fournisseur de sécurité SSPI, qui désigne l'interface entre
le système de sécurité et SSPI. Les Appels de procédure distant (RPC), le Modèle d'objet composant distribué (DCOM)
de Microsoft et Windows Sockets (Winsock) sont des méthodes de communication processus à processus. WinInet (API
Windows Internet) est une interface de programmation qui permet de gérer les interfaces Web. Les technologies de
sécurité du réseau se trouvent dans la partie inférieure du diagramme, en commençant par SSPI. Les technologies du
réseau se trouvent dans sa partie supérieure, au-dessous de la zone des applications qui les utilisent.

Figure 17.6 Relations d'un exemple de technologies de sécurité d'application de réseau.

Collaborez avec vos programmeurs et vendeurs d'applications d'entreprise afin de déterminer quelles technologies de
sécurité de réseau orientées applications vous devrez déployer. Elles ne requièrent pas d'autre infrastructure de
planification ; vous devez cependant déterminer comment vos programmeurs peuvent en tirer parti. Par exemple, ils
voudront peut-être se servir de cartes à puce pour garantir une authentification sécurisée des utilisateurs, quand des
liens Routage et accès distant ou VPN sont établis.

Déploiement de stratégies pour les partenaires

La plupart des entreprises opèrent dans un monde complexe de relations entre clients, vendeurs, sociétés alliées,
fournisseurs, consultants, régulateurs et autres. Nombre de ces partenaires tirent un appréciable avantage de l'accès
direct aux données et applications de votre firme – lequel risque cependant de créer un risque considérable. De ce fait,
vous devez installer des stratégies de sécurité du réseau rigoureuses, de façon à ne leur accorder que l'accès
strictement adéquat.

L'ensemble des technologies de réseau et de sécurité permettant aux partenaires d'accéder au réseau de l'entreprise
prend souvent le nom d'extranet. Un extranet applique fréquemment les mêmes technologies que celles que nous
venons de voir pour l'accès du personnel et des utilisateurs, telles que les VPN et le Routage et accès distant.

Ces partenaires se distinguent toutefois en ceci qu'ils vont le cas échéant ne communiquer avec votre société que d'un
emplacement spécifique et par un lien prédéfini. Vous pouvez dès lors configurer votre serveur de relais pour qu'il ne
permette de lien extranet qu'à partir de cette seule adresse de réseau.

Quand vous évaluez les partenaires qui vont se servir de votre extranet, n'omettez pas de déterminer les entités
fonctionnelles avec lesquelles ils communiquent. En règle générale, ils relèvent de catégories distinctes, en relation
avec des parties distinctes de la société. Certains vont travailler avec l'expédition et la réception, d'autres avec
l'ingénierie, d'autres encore uniquement avec les ventes.

Le déploiement de stratégies de sécurité du réseau pour les partenaires est donc différent de celui qui s'applique aux
utilisateurs ou au personnel, avant tout parce que les extranets ont des chances de recouvrer une importance critique
dans les relations qu'ils entretiennent avec vous.
Vos employés ont d'habitude la possibilité de se rendre physiquement au bureau pour accéder aux ressources de
l'entreprise, alors que vos partenaires n'ont que celle qui consiste à employer l'extranet (ou de revenir à des moyens
plus traditionnels). Les employés vont en outre aussi ne travailler que sur des quantités relativement réduites de
données à un même moment, alors que vos partenaires vont souvent produire des volumes considérables
d'informations pour vos ordinateurs, qui seront transmis par votre réseau.

Entités fonctionnelles et partenaires sont aussi très sensibles à la rapidité des réponses du service de l'extranet.
L'activité de la firme dépend fréquemment d'un échange de données où tout retard se révélera coûteux. L'extranet doit
être fiable. En cas de problèmes, vos partenaires doivent pouvoir contacter quelqu'un à même de les corriger sans
attendre.

Les entités fonctionnelles qui fournissent des services par extranet doivent prendre en compte des spécifications et des
contraintes particulières. Leurs systèmes et leur personnel ont souvent un historique bien différent de celui des autres
parties de l'entreprise. Il n'est pas insolite que certaines de ces entités requièrent donc une configuration différenciée
par rapport aux autres.

Pour ces raisons, toute stratégie de déploiement de la sécurité du réseau en direction des partenaires doit en souligner
la fiabilité, l'extensibilité, la flexibilité et la maintenance. La formation du personnel y joue un grand rôle, mais aussi
l'établissement d'un minutieux projet pilote et le développement de procédures alors dûment communiquées. Les
technologies de sécurité de réseau incluses dans Windows 2000 formeront la base d'un extranet sécurisé, mais des
différences essentielles vont distinguer les stratégies de sécurité de l'extranet de celles du réseau interne.

Liste des tâches de planification pour les stratégies de sécurité du

réseau

Le tableau 17.1 présente les tâches qu'il vous faut accomplir dans la planification de la sécurité de votre réseau.

Tâche Emplacement dans le chapitre

Planifier le déploiement. Planification de la sécurité du réseau
Créer des limites sécurisées. Création de limites sécurisées

Préparer aux technologies de sécurité du réseau de

Déploiement des technologies de sécurité du réseau
Windows 2000.

Déployer des stratégies pour tous. Technologies de sécurité du réseau de Windows 2000
Déployer des stratégies pour le personnel. Technologies de sécurité du réseau de Windows 2000
Déployer des stratégies pour les utilisateurs. Déploiement de stratégies pour les utilisateurs
Déployer des stratégies pour les partenaires. Déploiement de stratégies pour les partenaires
Tableau 17.1 Liste des tâches de planification pour la sécurité du réseau