Un réseau local sert à interconnecter les ordinateurs d'une organisation, toutefois une organisation comporte généralement plusieurs réseaux locaux, il est donc parfois indispensable de les relier entre eux. Dans ce cas, des équipements spécifiques sont nécessaires.

Lorsqu'il s'agit de deux réseaux de même type, il suffit de faire passer les trames de l'un sur l'autre. Dans le cas contraire, c'est-à-dire lorsque les deux réseaux utilisent des protocoles différents, il est indispensable de procéder à une conversion de protocole avant de transférer les trames. Ainsi, les équipements à mettre en oeuvre sont différents selon la configuration face à laquelle on se trouve.

Les principaux équipements matériels mis en place dans les réseaux locaux sont:

• Les répéteurs, permettant de régénérer un signal
• Les concentrateurs (hubs), permettant de connecter entre eux plusieurs hôtes
• Les ponts (bridges), permettant de relier des réseaux locaux de même type
• Les commutateurs (switches) permettant de relier divers éléments tout en segmentant le réseau
• Les passerelles (gateways), permettant de relier des réseaux locaux de types différents
• Les routeurs, permettant de relier de nombreux réseaux locaux de telles façon à permettre la circulation de données d'un réseau à un autre de la façon optimale
• Les B-routeurs, associant les fonctionnalités d'un routeur et d'un pont

  Les répéteurs Sur une ligne de transmission, le signal subit des distorsions et un affaiblissement d'autant plus importants que la distance qui sépare deux éléments actifs est longue. Généralement, deux noeuds d'un réseau local ne peuvent pas être distants de plus de quelques centaines de mètres, c'est la raison pour laquelle un équipement supplémentaire est nécessaire au-delà de cette distance. Un répéteur (en anglais repeater) est un équipement simple permettant de regénérer un signal entre deux noeuds du réseau, afin d'étendre la distance de câblage d'un réseau. Le répéteur travaille uniquement au niveau physique (couche 1 du modèle OSI), c'est-à-dire qu'il ne travaille qu'au niveau des informations binaires circulant sur la ligne de transmission et qu'il n'est pas capable d'interpréter les paquets d'informations. D'autre part, un répéteur peut permettre de constituer une interface entre deux supports physiques de types différents, c'est-à-dire qu'il peut par exemple permettre de relier un segment de paire torsadée à un brin de fibre optique...   Qu'est-ce qu'un concentrateur ? Un concentrateur est un élément permettant de concentrer le traffic provenant de plusieurs hôtes, et de régénérer le signal. Le concentrateur est ainsi une entité possédant un certain nombre de ports (il possède autant de ports qu'il peut connecter de machines entre elles, généralement 4, 8, 16 ou 32). Son unique but est de récupérer les données binaires parvenant sur un port et de les diffuser sur l'ensemble des ports. Tout comme le répéteur, le concentrateur opère au niveau 1 du modèle OSI, c'est la raison pour laquelle il est parfois appelé répéteur multiports. Le concentrateur permet ainsi de connecter plusieurs machines entre elles, parfois disposées en étoile, ce qui lui vaut le nom de hub (signifiant moyeu de roue en anglais; la traduction française exacte est répartiteur), pour illustrer le fait qu'il s'agit du point de passage des communications des différentes machines.     Types de concentrateurs On distingue plusieurs catégories de concentrateurs : Les concentrateurs dits "actifs" : ils sont alimentés électriquement et permettent de régénérer le signal sur les différents ports Les concentrateurs dits "passifs" : ils ne permettent que de diffuser le signal à tous les hôtes connectés sans amplification   Connexion de plusieurs hubs Il est possible de connecter plusieurs hubs entre eux afin de concentrer un plus grand nombre de machines, on parle alors de connexions en cascade (parfois appelé daisy chains en anglais). Pour ce faire, il suffit de connecter les hubs à l'aide d'un câble croisé, c'est-à-dire un câble reliant les connecteurs de réception d'une extrémité aux connecteurs de réception de l'autre. Les concentrateurs sont en général dotés d'un port spécial appelé "uplink" permettant d'utiliser un câble droit pour connecter deux hubs entre eux. Il existe également des hubs capables de croiser ou de décroiser automatiquement leurs ports selon qu'il est relié à un hôte ou à un hub.   Il est possible de chaîner jusqu'à trois concentrateurs. Si vous souhaitez connecter plusieurs machines à votre connexion Internet, un hub n'est pas suffisant. Il est nécessaire de recourir à un routeur ou à un commutateur ou bien laisser utiliser l'ordinateur relié directement à la connexion en tant que passerelle (il restera donc constamment allumé lorque les autres ordinateurs du réseau souhaiteront accéder à internet).   A quoi sert un pont? Les ponts sont des dispositifs matériels permettant de relier des réseaux travaillant avec le même protocole. Ainsi, contrairement au répéteur, qui travaille au niveau physique, le pont travaille également au niveau logique (au niveau de la couche 2 du modèle OSI), c'est-à-dire qu'il est capable de filtrer les trames en ne laissant passer que celles dont l'adresse correspond à une machine située à l'opposé du pont. Ainsi le pont permet de segmenter un réseau en conservant au niveau du réseau local les trames destinés au niveau local et en transmettant les trames destinées aux autres réseaux. Cela permet de réduire le traffic (notamment les collisions) sur chacun des réseaux et d'augmenter le niveau de confidentialité car les informations destinées à un réseau ne peuvent pas être écoutées sur l'autre brin. En contrepartie l'opération de filtrage réalisée par le pont peut conduire à un léger ralentissement lors du passage d'un réseau à l'autre, c'est la raison pour laquelle les ponts doivent être judicieusement placés dans un réseau. Un pont sert habituellement à faire transiter des paquets entre deux réseaux de même type.   Principe Un pont possède deux connexions à deux réseaux distincts. Lorsque le pont reçoit une trame sur l'une de ses interfaces, il analyse l'adresse MAC du destinataire et de l'émetteur. Si jamais le pont ne connaît pas l'émetteur, il stocke son adresse dans une table afin de se "souvenir" de quel côté du réseau se trouve l'émetteur. Ainsi le pont est capable de savoir si émetteur et destinataire sont situés du même côté ou bien de part et d'autre du pont. Dans le premier cas le pont ignore le message, dans le second le pont transmet la trame sur l'autre réseau.   Fonctionnement d'un pont Un pont fonctionne selon la couche Liaison données du modèle OSI, c'est-à-dire qu'il opére au niveau des adresses physiques des machines. En réalité le pont est relié à plusieurs réseaux locaux, appelés segments. Le pont élabore une table de correspondance entre les adresses des machines et le segment auquel elles appartiennent et "écoute" les données circulant sur les segments. Lors d'une transmission de données, le pont vérifie sur la table de correspondance le segment auquel appartiennent les ordinateurs émetteurs et récepteurs (grâce à leur adresse physique, appelée adresse MAC, et non leur adresse IP. Si ceux-ci appartiennent au même segment, le pont ne fait rien, dans le cas contraire il va faire basculer les données vers le segment auquel appartient le destinataire.   Utilité d'un tel dispositif Le pont permet de segmenter un réseau, c'est-à-dire que, dans le cas présenté ci-dessus, les communications entre les 3 ordinateurs représentés en haut n'encombrent pas les lignes du réseau entre les 3 ordinateurs du bas, l'information passera uniquement lorsqu'un ordinateur d'un côté du pont enverra des données à un ordinateur situé de l'autre côté. D'autre part ces ponts peuvent être reliés à un modem, afin d'assurer la continuité d'un réseau local à distance. Voici la représentation d'un pont dans un schéma de principe :   Qu'est-ce qu'un commutateur ? Le commutateur (en anglais switch) est un pont multiports, c'est-à-dire qu'il s'agit d'un élément actif agissant au niveau 2 du modèle OSI. Le commutateur analyse les trames arrivant sur ses ports d'entrée et filtre les données afin de les aiguiller uniquement sur les ports adéquats (on parle de commutation ou de réseaux commutés). Si bien que le commutateur permet d'allier les propriétés du pont en matière de filtrage et du concentrateur en matière de connectivité. Voici la représentation d'un switch dans un schéma de principe :   Les passerelles applicatives Les passerelles applicatives (en anglais "gateways") sont des systèmes matériels et logiciels permettant de faire la liaison entre deux réseaux, servant notamment à faire l'interface entre des protocoles différents. Lorsqu'un utilisateur distant contacte un tel dispositif, celui-ci examine sa requête, et si jamais celle-ci correspond aux règles que l'administrateur réseau a définies, la passerelle crée un pont entre les deux réseaux. Les informations ne sont donc pas directement transmises, mais "traduites" afin d'assurer la continuité des deux protocoles. Ce système offre, outre l'interface entre deux réseaux hétérogènes, une sécurité supplémentaire car chaque information est passée à la loupe (pouvant causer un ralentissement) et parfois ajoutée dans un journal qui retrace l'historique des événements. L'inconvénient majeur de ce système est qu'une telle application doit être disponible pour chaque service (FTP, HTTP, Telnet, etc).   Présentation des routeurs Les routeurs sont les machines clés d'Internet car ce sont ces dispositifs qui permettent de "choisir" le chemin qu'un message va emprunter. Lorsque vous demandez une URL, le client Web interroge le DNS, celui-ci indique l'adresse IP de la machine visée. Votre poste de travail envoie la requête au routeur le plus proche ((en général la passerelle du réseau)) qui choisit la prochaine machine à laquelle il va faire circuler la demande de telle façon que le chemin choisi soit le plus court. De plus, les routeurs permettent de manipuler les données (qui circulent sous forme de datagrammes) afin de pouvoir assurer le passage d'un type de réseau à un autre (contrairement à un dispositif de type pont). Ainsi, les réseaux ne peuvent pas faire circuler la même quantité simultanée d'information en terme de taille de paquets de données. Les routeurs ont donc la possibilité de fragmenter les paquets de données pour permettre leur circulation. Enfin, certains routeurs sont capables de créer des cartes (tables de routage) des itinéraires à suivre en fonction de l'adresse visée grâce à des protocoles dédiés à cette tâche.   Aspect d'un routeur   Les premiers routeurs étaient de simples ordinateurs ayant plusieurs cartes réseau (on parle de machines multihôtes), dont chacune était reliée à un réseau différent. Les routeurs actuels sont pour la plupart des matériels dédiés à la tâche de routage. Un routeur possède plusieurs interfaces réseau, chacune connectée sur un réseau différent. Un routeur possède ainsi autant d'adresses IP que de réseaux différents sur lesquels il est connecté.   Types de routage On distingue généralement deux types d'algorithme de routage : Les routeurs de type vecteur de distance (distance vector) établissent une table de routage recensant en calculant le "coût" (en terme de nombre de sauts) de chacune des routes puis transmettent cette table aux routeurs voisins. A chaque demande de connexion le routeur choisit la route la "moins coûteuse". Les routeurs de type link state (link state routing) écoutent le réseau en continu afin de recenser les différents éléments qui l'entourent. A partir de ces informations chaque routeur calcule le plus court chemin (en temps) vers les routeurs voisins et diffuse cette information sous formes de paquets de mise à jour. Chaque routeur construit enfin sa table de routage en calculant les plus courts chemins vers tous les autres routeurs (à l'aide de l'algorithme de Dijkstra).   Fonctionnement d'un routeur Dans le cas ci-dessus le scénario est simple. Si le routeur reçoit des paquets en provenance du réseau A, pour le réseau B, il va tout simplement diriger les paquets sur le réseau B... Toutefois, sur Internet le schéma est beaucoup plus compliqué pour les raisons suivantes: Le nombre de réseaux auxquels un routeur est connecté est généralement important ; Les réseaux auquel le routeur est relié peuvent être reliés à d'autres réseaux que le routeur ne connaît pas directement. Ainsi, les routeurs fonctionnent grâce à des tables de routage et des protocoles de routage, expliqués dans la section routage.   Présentation des B-routeurs Un B-Routeur (en anglais b-routeur, pour bridge-routeur) est un élément hybride associant les fonctionnalités d'un routeur et celles d'un pont. Ainsi, ce type de matériel permet de transférer d'un réseau à un autre les protocoles non routables et de router les autres. Plus exactement, le B-routeur agit en priorité comme un pont et route les paquets si cela n'est pas possible. Un B-routeur peut donc dans certaines architectures être plus économique et plus compact qu'un routeur et un pont.   Introduction à la notion de proxy Un serveur proxy (traduction française de proxy server, appelé aussi serveur mandataire) est à l'origine une machine faisant fonction d'intermédiaire entre les ordinateurs d'un réseau local (utilisant parfois des protocoles autres que le protocole TCP/IP) et internet. La plupart du temps le serveur proxy est utilisé pour le web, il s'agit alors d'un proxy HTTP. Toutefois il peut exister des serveurs proxy pour chaque protocole applicatif (FTP, ...).   Le principe de fonctionnement d'un proxy   Le principe de fonctionnement basique d'un serveur proxy est assez simple : il s'agit d'un serveur "mandaté" par une application pour effectuer une requête sur Internet à sa place. Ainsi, lorsqu'un utilisateur se connecte à internet à l'aide d'une application cliente configurée pour utiliser un serveur proxy, celle-ci va se connecter en premier lieu au serveur proxy et lui donner sa requête. Le serveur proxy va alors se connecter au serveur que l'application cliente cherche à joindre et lui transmettre la requête. Le serveur va ensuite donner sa réponse au proxy, qui va à son tour la transmettre à l'application cliente.     Les fonctionnalités d'un serveur proxy   Désormais, avec l'utilisation de TCP/IP au sein des réseaux locaux, le rôle de relais du serveur proxy est directement assuré par les passerelles et les routeurs. Pour autant, les serveurs proxy sont toujours d'actualité grâce à un certain nombre d'autres fonctionnalités.   La fonction de cache   La plupart des proxys assurent ainsi une fonction de cache (en anglais caching), c'est-à-dire la capacité à garder en mémoire (en "cache") les pages les plus souvent visitées par les utilisateurs du réseau local afin de pouvoir les leur fournir le plus rapidement possible. En effet, en informatique, le terme de "cache" désigne un espace de stockage temporaire de données (le terme de "tampon" est également parfois utilisé). Un serveur proxy ayant la possibilité de cacher (néologisme signifiant "mettre en mémoire cache") les informations est généralement appelé "serveur proxy-cache". Cette fonctionnalité implémentée dans certains serveurs proxy permet d'une part de réduire l'utilisation de la bande passante vers internet ainsi que de réduire le temps d'accès aux documents pour les utilisateurs. Toutefois, pour mener à bien cette mission, il est nécessaire que le proxy compare régulièrement les données qu'il stocke en mémoire cache avec les données distantes afin de s'assurer que les données en cache sont toujours valides.   Le filtrage   D'autre part, grâce à l'utilisation d'un proxy, il est possible d'assurer un suivi des connexions (en anglais logging ou tracking) via la constitution de journaux d'activité (logs) en enregistrant systématiquement les requêtes des utilisateurs lors de leurs demandes de connexion à Internet. Il est ainsi possible de filtrer les connexions à internet en analysant d'une part les requêtes des clients, d'autre part les réponses des serveurs. Lorsque le filtrage est réalisé en comparant la requête du client à une liste de requêtes autorisées, on parle de liste blanche, lorsqu'il s'agit d'une liste de sites interdits on parle de liste noire. Enfin l'analyse des réponses des serveurs conformément à une liste de critères (mots-clés, ...) est appelé filtrage de contenu.     L'authentification Dans la mesure où le proxy est l'intermédiaire indispensable des utilisateurs du réseau interne pour accéder à des ressources externes, il est parfois possible de l'utiliser pour authentifier les utilisateurs, c'est-à-dire de leur demander de s'identifier à l'aide d'un nom d'utilisateur et d'un mot de passe par exemple. Il est ainsi aisé de donner l'accès aux ressources externes aux seules personnes autorisées à le faire et de pouvoir enregistrer dans les fichiers journaux des accès identifiés. Ce type de mécanisme lorsqu'il est mis en oeuvre pose bien évidemment de nombreux problèmes relatifs aux libertés individuelles et aux droits des personnes...   Les reverse-proxy On appelle reverse-proxy (en français le terme de relais inverse est parfois employé) un serveur proxy-cache "monté à l'envers", c'est-à-dire un serveur proxy permettant non pas aux utilisateurs d'accéder au réseau internet, mais aux utilisateurs d'internet d'accéder indirectement à certains serveurs internes. Le reverse-proxy sert ainsi de relais pour les utilisateurs d'internet souhaitant accéder à un site web interne en lui transmettant indirectement les requêtes. Grâce au reverse-proxy, le serveur web est protégé des attaques directes de l'extérieur, ce qui renforce la sécurité du réseau interne. D'autre part, la fonction de cache du reverse-proxy peut permettre de soulager la charge du serveur pour lequel il est prévu, c'est la raison pour laquelle un tel serveur est parfois appelé "accélérateur" (server accelerator). Enfin, grâce à des algorithmes perfectionnés, le reverse-proxy peut servir à répartir la charge en redirigeant les requêtes vers différents serveurs équivalents; on parle alors de "répartition de charge", ou en anglais "load balancing".   Mise en place d'un serveur proxy   Le proxy le plus répandu est sans nul doute Squid, un logiciel libre disponible sur de nombreuses plates-formes dont Windows et Linux. Sous Windows il existe plusieurs logiciels permettant de réaliser un serveur proxy à moindre coût pour son réseau local : Wingate est la solution la plus courante (mais non gratuite) la configuration d'un proxy avec Jana server devient de plus en plus courante Windows 2000 intègre Microsoft Proxy Server (MSP), complété par Microsoft Proxy Client, permettant de réaliser cette opération   Introduction à la notion de firewall Chaque ordinateur connecté à Internet (et d'une manière plus générale à n'importe quel réseau) est susceptible d'être victime d'une attaque d'un pirate informatique. Les pirates informatiques (généralement des hackers en culottes courtes cherchant à mettre en oeuvre des techniques d'intrusion trouvées sur Internet) scrutent le réseau (en envoyant des paquets de données de manière aléatoire) à la recherche d'une machine connectée, puis cherchent une faille de sécurité afin de l'exploiter et d'accéder aux données s'y trouvant. Cette menace est d'autant plus grande que la machine est connectée en permanence à Internet pour plusieurs raisons : La machine cible est susceptible d'être connectée sans pour autant être surveillée La machine cible est généralement connectée avec une plus large bande passante La machine cible ne change pas (ou peu) d'adresse IP Ainsi, il est nécessaire, notamment pour les internautes ayant une connexion de type câble ou ADSL, de se protéger des intrusions réseaux en installant un système pare-feu.   Qu'est-ce qu'un pare-feu? Un pare-feu (appelé aussi coupe-feu ou firewall en anglais), est un système permettant de protéger un ordinateur des intrusions provenant du réseau (ou bien protégeant un réseau local des attaques provenant d'Internet). Un firewall peut éventuellement autoriser des communications de façon horaire (selon le jour ou l'heure par exemple). D'autre part un firewall permet également de contrôler l'accès au réseau des applications installées sur la machine. En effet, les chevaux de Troie sont une sorte de virus ouvrant une brêche dans le système pour permettre une prise en main à distance de la machine par un pirate informatique. Le firewall permet d'une part de repérer les connexions suspectes de la machine, mais il permet également de les empêcher. Le pare-feu est en réalité un système permettant de filtrer les paquets de données échangés avec le réseau. Ainsi le système firewall est un système logiciel (parfois également matériel), constituant un intermédiaire entre le réseau local (ou la machine locale) et le "monde extérieur". Dans le cas où la zone protégée se limite à l'ordinateur sur lequel le firewall est installé on parle de firewall personnel.   Le fonctionnement d'un système firewall   Un système pare-feu contient un ensemble de règles prédéfinies permettant : Soit d'autoriser uniquement les communications ayant été explicitement autorisées : "Tout ce qui n'est pas explicitement autorisé est interdit". Soit d'empêcher les échanges qui ont été explicitement interdits Le choix de l'une ou l'autre de ces méthodes dépend de la politique de sécurité adoptée par l'entité désirant mettre en oeuvre un filtrage des communications. La première méthode est sans nul doute la plus sûre, mais elle impose toutefois une définition précise et contraignante des besoins en communication.   Le filtrage de paquets Un système pare-feu fonctionnant sur le principe du filtrage de paquets analyse les en-têtes des paquets (aussi appelés datagrammes) échangés entre deux machines. En effet les machines d'un réseau relié à Internet sont repérées par une adresse appelée adresse IP. Ainsi, lorsqu'une machine de l'extérieur se connecte à une machine du réseau local, et vice-versa, les paquets de données passant par le firewall contiennent les en-têtes suivants, qui sont analysés par le firewall: L'adresse IP de la machine émettrice L'adresse IP de la machine réceptrice Le type de paquet (TCP, UDP, ...) Le numéro de port (rappel: un port est un numéro associé à un service ou une application réseau) Les adresses IP contenues dans les paquets permettent d'identifier la machine émettrice et la machine cible, tandis que le type de paquet et le numéro de port donnent une indication sur le type de service utilisé. Certains ports sont associés à des service courants (les ports 25 et 110 sont généralement associés au courrier électronique, et le port 80 au Web) et ne sont généralement pas bloqués. Toutefois, il est nécessaire de bloquer tous les ports qui ne sont pas indispensables (selon la politique de sécurité retenue). Un des ports les plus critiques est le port 23 car il correspond à l'utilitaire Telnet qui permet d'émuler un accès par terminal à une machine distante de manière à pouvoir exécuter des commandes saisies au clavier à distance...   Le filtrage applicatif Le filtrage applicatif permet, comme son nom l'indique, de filtrer les communications application par application. Le filtrage applicatif suppose donc une connaissance de l'application, et notamment de la manière de laquelle elle structure les données échangées. Un firewall effectuant un filtrage applicatif est appelé passerelle applicative car il permet de relayer des informations entre deux réseaux en effectuant un filtrage fin au niveau du contenu des paquets échangés.   Les limites des firewalls Le fait d'installer un firewall n'est bien évidemment pas signe de sécurité absolue. Les firewalls ne protègent en effet que des communications passant à travers eux. Ainsi, les accès au réseau extérieur non réalisés au travers du firewall sont autant de failles de sécurité. C'est par exemple le cas des connexions effectuées à l'aide d'un modem. D'autre part, le fait d'introduire des supports de stockage provenant de l'extérieur sur des machines internes au réseau peut être fort préjudiciable pour la sécurité de ce dernier. La mise en place d'un firewall doit donc se faire en accord avec une véritable politique de sécurité. D'autre part la mise en place d'un système pare-feu n'exempt pas de se tenir au courant des failles de sécurité et d'essayer de les minimiser...