Changes

{{Languages|SME_Server:Documentation:Administration_Manual:Chapter11}}

{{Languages|SME_Server:Documentation:Administration_Manual:Chapter11}}

===11. Sécurité===

===11. Sécurité===

Pour vous connecter à distance avec le VPN PPTP, le protocole doit être installé sur chaque client Windows voulant se connecter à distance. Généralement, cela se fait par le panneau de configuration du réseau (vous pourriez avoir besoin du CD d'installation Windows d'origine). Après qu'il soit installé (un redémarrage de votre système Windows peut être nécessaire), vous pouvez créer de nouvelles connexions via le panneau de réglages réseau en saisissant l'adresse IP externe du serveur auquel vous souhaitez vous connecter. Une fois que vous avez terminé, vous devriez être en mesure d'établir une connexion PPTP en double-cliquant sur ​​l'icône appropriée dans la fenêtre de réglages réseaux. Lorsque vous ouvrez le Voisinage réseau de votre explorateur Windows, vous devriez voir s'afficher le groupe de travail du serveur.

Pour vous connecter à distance avec le VPN PPTP, le protocole doit être installé sur chaque client Windows voulant se connecter à distance. Généralement, cela se fait par le panneau de configuration du réseau (vous pourriez avoir besoin du CD d'installation Windows d'origine). Après qu'il soit installé (un redémarrage de votre système Windows peut être nécessaire), vous pouvez créer de nouvelles connexions via le panneau de réglages réseau en saisissant l'adresse IP externe du serveur auquel vous souhaitez vous connecter. Une fois que vous avez terminé, vous devriez être en mesure d'établir une connexion PPTP en double-cliquant sur ​​l'icône appropriée dans la fenêtre de réglages réseaux. Lorsque vous ouvrez le Voisinage réseau de votre explorateur Windows, vous devriez voir s'afficher le groupe de travail du serveur.

{{Note box|après avoir changé le nombre de clients PPTP autorisés, la mise a jour du nombre d'utilisateurs autorisés n'est pas immédiate puisqu'il faut que les utilisateurs existants soient déconnectés.}}

{{Note box|type=Note :|après avoir changé le nombre de clients PPTP autorisés, la mise a jour du nombre d'utilisateurs autorisés n'est pas immédiate puisqu'il faut que les utilisateurs existants soient déconnectés.}}

{{Note box|PPTP utilise le port TCP 1723 et le protocole d'encapsulation de routage générique (GRE). Si vous utilisez un routeur ou une passerelle externe à votre serveur, et que vous disposez d'une connexion VPN entrante pour fournir des services aux utilisateurs externes, vous aurez besoin à la fois de rediriger le port TCP 1723 ainsi que le protocole GRE vers l'IP de votre Serveur SME.

{{Note box|type=Note :|PPTP utilise le port TCP 1723 et le protocole d'encapsulation de routage générique (GRE). Si vous utilisez un routeur ou une passerelle externe à votre serveur, et que vous disposez d'une connexion VPN entrante pour fournir des services aux utilisateurs externes, vous aurez besoin à la fois de rediriger le port TCP 1723 ainsi que le protocole GRE vers l'IP de votre Serveur SME.

Cependant la plupart des routeurs pass-through peuvent laisser passer les connexions sortantes PPTP... Pas tous les connexions entrantes. De ce fait, la redirection (vers l'IP de la SME) du protocole PPTP entrant est souvent peu fiable en raison de la façon dont fonctionne le PPTP.}}

Cependant la plupart des routeurs pass-through peuvent laisser passer les connexions sortantes PPTP... Pas tous les connexions entrantes. De ce fait, la redirection (vers l'IP de la SME) du protocole PPTP entrant est souvent peu fiable en raison de la façon dont fonctionne le PPTP.}}

{{Tip box|la solution simple, fiable consiste à enlever le routeur et laisser le Serveur SME gérer directement le lien Internet en mode «serveur et passerelle».}}

{{Tip box|type=Astuce :|la solution simple, fiable consiste à enlever le routeur et laisser le Serveur SME gérer directement le lien Internet en mode «serveur et passerelle».}}

Pour une description plus détaillée du protocole PPTP, voyez http://fr.wikipedia.org/wiki/PPTP.

Pour une description plus détaillée du protocole PPTP, voyez http://fr.wikipedia.org/wiki/PPTP.

{{Warning box|pour protéger votre réseau, le SME Server applique l'utilisation du chiffrement à 128 bits pour les connexions PPTP, plutôt que le cryptage 40 bits fourni dans les versions antérieures du logiciel PPTP de Microsoft. Si vous ne parvenez pas à établir une connexion PPTP à votre serveur, vous devez visiter http://windowsupdate.microsoft.com/ et télécharger la mise à jour appropriée.  

{{Warning box|type=Attention :|pour protéger votre réseau, le SME Server applique l'utilisation du chiffrement à 128 bits pour les connexions PPTP, plutôt que le cryptage 40 bits fourni dans les versions antérieures du logiciel PPTP de Microsoft. Si vous ne parvenez pas à établir une connexion PPTP à votre serveur, vous devez visiter http://windowsupdate.microsoft.com/ et télécharger la mise à jour appropriée.  

En raison de la nature dynamique du site Web de Microsoft, la page peut apparaître différemment selon la version de Windows que vous utilisez. Dans la plupart des cas, vous voudrez regarder ou rechercher pour le «réseau privé virtuel (VPN) PPTP» une mise à jour du cryptage en 128 bits. Vous pouvez avoir besoin d'installer d'abord la mise à jour du cryptage 40 bits, puis installer la mise à jour du cryptage en 128 bits.  

En raison de la nature dynamique du site Web de Microsoft, la page peut apparaître différemment selon la version de Windows que vous utilisez. Dans la plupart des cas, vous voudrez regarder ou rechercher pour le «réseau privé virtuel (VPN) PPTP» une mise à jour du cryptage en 128 bits. Vous pouvez avoir besoin d'installer d'abord la mise à jour du cryptage 40 bits, puis installer la mise à jour du cryptage en 128 bits.  

Si vous avez besoin de vous connecter directement à votre serveur, nous vous encourageons fortement à utiliser le protocole SSH. En plus des systèmes UNIX et Linux, le logiciel client SSH est maintenant également disponible pour les systèmes Windows et Macintosh. (Voir la section ci-dessous.)

Si vous avez besoin de vous connecter directement à votre serveur, nous vous encourageons fortement à utiliser le protocole SSH. En plus des systèmes UNIX et Linux, le logiciel client SSH est maintenant également disponible pour les systèmes Windows et Macintosh. (Voir la section ci-dessous.)

{{tip box|rendre public l'accès à SSH  se traduira par beaucoup de tentatives de connexion réalisées par des scripts, tentatives qui consomment de la bande passante, du temps CPU et qui générent un bruit journal. Une nouvelle règle iptables (activée par défaut sur le Serveur SME 9, à activer sur SME 8) bloque plusieurs tentatives de connexion au port sshd configuré.

{{tip box|type=Astuce :|rendre public l'accès à SSH  se traduira par beaucoup de tentatives de connexion réalisées par des scripts, tentatives qui consomment de la bande passante, du temps CPU et qui générent un bruit journal. Une nouvelle règle iptables (activée par défaut sur le Serveur SME 9, à activer sur SME 8) bloque plusieurs tentatives de connexion au port sshd configuré.

Elle est réglée pour rejeter les connexions quand il y a eu 3 demandes ou plus dans les 15 dernières minutes. Par sa conception, toute adresse IP en dehors de votre réseau local sera bloqués si trop de tentatives sont faites. Voir [[AutoBlock#Public_SSH_Acess|AutoBlock]].}}

Elle est réglée pour rejeter les connexions quand il y a eu 3 demandes ou plus dans les 15 dernières minutes. Par sa conception, toute adresse IP en dehors de votre réseau local sera bloquée si trop de tentatives sont faites. Voir [[AutoBlock#Public_SSH_Acess|AutoBlock]].}}

{{note box|si vous n'avez pas de raison de permettre l'accès à distance, nous vous suggérons de régler à "Aucun accès".}}

{{note box|type=Note :|si vous n'avez pas de raison de permettre l'accès à distance, nous vous suggérons de régler à "Aucun accès".}}

Le SSH (secure shell) fournit un moyen sécurisé, crypté pour se connecter à une machine distante sur un réseau ou pour copier des fichiers à partir d'un ordinateur local vers un serveur. La plupart des gens ne réalisent pas que beaucoup de programmes comme telnet et ftp transmettent votre mot de passe en clair, non crypté, sur votre réseau ou sur Internet. Le protocole SSH et son cousin SCP fournissent un moyen sûr de vous identifier ou de copier des fichiers. Le protocole SSH a été inventé par SSH Communications Security, qui est une société dont le cœur de métier est de vendre des serveurs ssh commerciaux, clients et autres produits connexes. Le protocole lui-même a deux versions - SSH1 et SSH2 - qui sont toutes deux prises en charge par la plupart des clients et des serveurs d'aujourd'hui. Pour plus d'informations à propos de SSH Communications Security et ses produits commerciaux, visitez http://www.ssh.com/.

Le SSH (secure shell) fournit un moyen sécurisé, crypté pour se connecter à une machine distante sur un réseau ou pour copier des fichiers à partir d'un ordinateur local vers un serveur. La plupart des gens ne réalisent pas que beaucoup de programmes comme telnet et ftp transmettent votre mot de passe en clair, non crypté, sur votre réseau ou sur Internet. Le protocole SSH et son cousin SCP fournissent un moyen sûr de vous identifier ou de copier des fichiers. Le protocole SSH a été inventé par SSH Communications Security, qui est une société dont le cœur de métier est de vendre des serveurs ssh commerciaux, clients et autres produits connexes. Le protocole lui-même a deux versions - SSH1 et SSH2 - qui sont toutes deux prises en charge par la plupart des clients et des serveurs d'aujourd'hui. Pour plus d'informations à propos de SSH Communications Security et ses produits commerciaux, visitez http://www.ssh.com/.

* Port TCP pour l'accès au shell sécurisé - Changer le port de ssh pour se connecter au serveur, choisissez un numéro au hasard, par exemple le port 822. Ceci donne une protection supplémentaire contre les attaques sur le port 22 qui est le port par défaut.

* Port TCP pour l'accès au shell sécurisé - Changer le port de ssh pour se connecter au serveur, choisissez un numéro au hasard, par exemple le port 822. Ceci donne une protection supplémentaire contre les attaques sur le port 22 qui est le port par défaut.

{{Note box|Par défaut, seuls deux noms d'utilisateurs peuvent être utilisés pour se connecter à distance au serveur : '''admin''' (pour accéder à la console du serveur) et '''root''' (pour utiliser le shell Linux). Les utilisateurs réguliers ne sont pas autorisés à se connecter au serveur lui-même. Si vous donnez à un autre utilisateur la possibilité de se connecter à distance au serveur, vous aurez besoin d'accéder au système d'exploitation Linux et de lui autoriser manuellement l'accès au shell de l'utilisateur.}}

{{Note box|type=Note :|par défaut, seuls deux noms d'utilisateurs peuvent être utilisés pour se connecter à distance au serveur : '''admin''' (pour accéder à la console du serveur) et '''root''' (pour utiliser le shell Linux). Les utilisateurs réguliers ne sont pas autorisés à se connecter au serveur lui-même. Si vous donnez à un autre utilisateur la possibilité de se connecter à distance au serveur, vous aurez besoin d'accéder au système d'exploitation Linux et de lui autoriser manuellement l'accès au shell de l'utilisateur.}}

* SSH clients

* SSH clients

Un certain nombre de logiciels libres fournissent des clients ssh pour une utilisation dans un environnement Windows, Macintosh ou Linux. Plusieurs sont des extensions de programmes TELNET existantes qui incluent la fonctionnalité ssh. Deux listes différentes de clients connus peuvent être trouvées en ligne à http://www.openssh.com/windows.html et http://www.freessh.org/.

Un certain nombre de logiciels libres fournissent des clients ssh pour une utilisation dans un environnement Windows, Macintosh ou Linux. Plusieurs sont des extensions de programmes TELNET existants qui incluent la fonctionnalité ssh. Une liste de clients connus peut être trouvée en ligne à https://www.ssh.com/ssh/client, [https://www.ssh.com/ssh/putty/download putty] étant le plus populaire.

Un client ssh commercial est disponible à partir de SSH Communications Security à l'adresse: http://www.ssh.com/products/ssh/download.html. Notez que le client est libre d'évaluation, pour les universitaires et certaines utilisations non commerciales... Bon, dans n'importe quelle distribution Linux, vous ouvrez un terminal et tapez :

Un client ssh commercial est disponible à partir de SSH Communications Security à l'adresse: http://www.ssh.com/products/ssh/download.html. Notez que le client est libre d'évaluation, pour les universitaires et certaines utilisations non commerciales... Bon, dans n'importe quelle distribution Linux, vous ouvrez un terminal et tapez :

*Accès FTP publique permet aux utilisateurs à la fois de l'intérieur et de l'extérieur à votre réseau local de lire ou d'écrire des fichiers sur votre serveur, à condition qu'ils aient un compte et un mot de passe. Si, par exemple, vous voulez être en mesure de mettre à jour votre site web à partir de la maison en utilisant le protocole FTP, vous devez choisir le réglage «Public».  

*Accès FTP publique permet aux utilisateurs à la fois de l'intérieur et de l'extérieur à votre réseau local de lire ou d'écrire des fichiers sur votre serveur, à condition qu'ils aient un compte et un mot de passe. Si, par exemple, vous voulez être en mesure de mettre à jour votre site web à partir de la maison en utilisant le protocole FTP, vous devez choisir le réglage «Public».  

{{warning box|Nous vous recommandons fortement de laisser le réglage du protocole sur privé, du fait de la transmission en clair des logins et des mots de passe des utilisateurs sur Internet, à moins que vous n'ayez une bonne raison de le faire.}}

{{warning box|type=Attention :|nous vous recommandons fortement de laisser le réglage du protocole sur privé, du fait de la transmission en clair des identifiants et des mots de passe des utilisateurs sur Internet, à moins que vous n'ayez une bonne raison de le faire.}}

Les limites d'accès du FTP : cela vous permet de définir une politique globale sur l'ensemble du site pour un accès FTP. Le paramètre que vous choisissez ici remplacera tous les autres paramètres FTP de votre serveur. Par exemple, si vous choisissez «Désactiver l'accès FTP public» ici et puis, plus tard, vous configurez une ibay pour permettre l'accès FTP publique de l'Internet, comme l'accès est interdit ici, il le sera pour votre ibay.  

Les limites d'accès du FTP : cela vous permet de définir une politique globale sur l'ensemble du site pour un accès FTP. Le paramètre que vous choisissez ici remplacera tous les autres paramètres FTP de votre serveur. Par exemple, si vous choisissez «Désactiver l'accès FTP public» ici et puis, plus tard, vous configurez une baie d'informations pour permettre l'accès FTP publique de l'Internet, comme l'accès est interdit ici, il le sera pour votre baie.  

Notez que l'on vous propose ici de désactiver complètement l'utilisation de FTP sur ce serveur.

Notez que l'on vous propose ici de désactiver complètement l'utilisation de FTP sur ce serveur.

Telnet a toujours été l'un des outils utilisés pour se connecter à distance à d'autres systèmes via un réseau ou Internet. Toutefois, lorsque vous utilisez Telnet, tous les noms d'utilisateurs et les mots de passe sont transmis sans aucune forme de cryptage, ce qui réduit considérablement la sécurité de votre serveur. Parce que l'utilisation SSH est devenu le standard, l'accès Telnet a été supprimé du Serveur SME.

Telnet a toujours été l'un des outils utilisés pour se connecter à distance à d'autres systèmes via un réseau ou Internet. Toutefois, lorsque vous utilisez Telnet, tous les noms d'utilisateurs et les mots de passe sont transmis sans aucune forme de cryptage, ce qui réduit considérablement la sécurité de votre serveur. Parce que l'utilisation SSH est devenu le standard, l'accès Telnet a été supprimé du Serveur SME.

====11.2. Gestion des réseaux Locaux====

====11.2. Gestion des réseaux locaux====

Votre Serveur SME fournit des services à des machines sur le réseau local et il accorde aux machines de ce réseau des privilèges spéciaux et des accès. Par exemple, seules les machines connectées au réseau local peuvent accéder au serveur de messagerie sur votre serveur pour envoyer du courrier. Lorsque vous avez configuré votre serveur, vous lui avez fourni les informations nécessaires pour en déduire son propre réseau local, de ce fait les machines sur le réseau sont automatiquement identifiées par le serveur comme étant admissibles à ces services réservés et aux accès concernés.

Votre Serveur SME fournit des services à des machines sur le réseau local et il accorde aux machines de ce réseau des privilèges spéciaux et des accès. Par exemple, seules les machines connectées au réseau local peuvent accéder au serveur de messagerie sur votre serveur pour envoyer du courrier. Lorsque vous avez configuré votre serveur, vous lui avez fourni les informations nécessaires pour en déduire son propre réseau local, de ce fait les machines sur le réseau sont automatiquement identifiées par le serveur comme étant admissibles à ces services réservés et aux accès concernés.

{{note box|si votre entreprise n'a qu'un seul réseau géré par le serveur, vous ne devez pas ajouter d'informations supplémentaires ici.}}

{{note box|type=Note :|si votre entreprise n'a qu'un seul réseau géré par le serveur, vous ne devez pas ajouter d'informations supplémentaires ici.}}

Certains utilisateurs avancés peuvent souhaiter accorder des privilèges et des accès à plusieurs réseaux d'ordinateurs. Si vous souhaitez que votre serveur accordent ces privilèges d’accès pour identifier un ou plusieurs réseaux supplémentaires, vous pourrez entrer les identifiants et le masque de sous-réseau pour chaque réseau dans le panneau ci-dessous.

Certains utilisateurs avancés peuvent souhaiter accorder des privilèges et des accès à plusieurs réseaux d'ordinateurs. Si vous souhaitez que votre serveur accordent ces privilèges d’accès pour identifier un ou plusieurs réseaux supplémentaires, vous pourrez entrer les identifiants et le masque de sous-réseau pour chaque réseau dans le panneau ci-dessous.

[[Image:Gestion.png]]

[[Image:Gestion.png]]

{{Note box|selon l'architecture de votre infrastructure de réseau, les instructions pour configurer les machines clientes sur ce réseau supplémentaire peuvent être différentes de celle des instructions décrites dans le chapitre de ce guide d'utilisation. Si vous avez des questions concernant l'ajout d'un autre réseau, vous pouvez communiquer avec Contribs.org et visiter les forums.}}

{{Note box|type=Note :|selon l'architecture de votre infrastructure de réseau, les instructions pour configurer les machines clientes sur ce réseau supplémentaire peuvent être différentes de celle des instructions décrites dans le chapitre de ce guide d'utilisation. Si vous avez des questions concernant l'ajout d'un autre réseau, vous pouvez communiquer avec Contribs.org et visiter les forums.}}

====11.3. Renvoi de port====

====11.3. Renvoi de port====

Vous pouvez utiliser le panneau ci-dessus pour modifier vos règles de pare-feu de façon à ouvrir un port spécifique (ou une plage de ports) sur ce serveur et les transmettre à un autre port sur ​​un autre hôte. Cela permettra au trafic entrant d'accéder directement à un hôte privé sur votre réseau local.

Vous pouvez utiliser le panneau ci-dessus pour modifier vos règles de pare-feu de façon à ouvrir un port spécifique (ou une plage de ports) sur ce serveur et les transmettre à un autre port sur ​​un autre hôte. Cela permettra au trafic entrant d'accéder directement à un hôte privé sur votre réseau local.

{{Warning box|une mauvaise utilisation de cette fonctionnalité peut gravement compromettre la sécurité de votre réseau. Ne pas utiliser cette fonction à la légère, ou sans comprendre pleinement les conséquences de vos actions.}}

{{Warning box|type=Attention :|une mauvaise utilisation de cette fonctionnalité peut gravement compromettre la sécurité de votre réseau. Ne pas utiliser cette fonction à la légère, ou sans comprendre pleinement les conséquences de vos actions.}}

====11.4. Services Proxy====

====11.4. Services Proxy====

=====11.4.2. Proxy SMTP =====

=====11.4.2. Proxy SMTP =====

Le Proxy SMTP transparent du serveur fonctionne pour réduire le trafic de virus venant des postes clients infectés en forçant le trafic SMTP sortant vers ce service de la SME Server. Si vous souhaitez utiliser un autre serveur SMTP et que ce serveur est votre passerelle vers internet, vous devez désactiver ce Proxy.

Le Proxy SMTP transparent du serveur fonctionne pour réduire le trafic de virus venant des postes clients infectés en forçant le trafic SMTP sortant vers ce service du Serveur SME. Si vous souhaitez utiliser un autre serveur SMTP et que ce serveur est votre passerelle vers Internet, vous devez désactiver ce Proxy.

*Désactivé. Les clients derrière la SME Server sont autorisés à se connecter à n'importe quel serveur SMTP partout dans le monde (qui accepte leur connexion bien sur).

*Désactivé. Les clients derrière le Serveur SME sont autorisés à se connecter à n'importe quel serveur SMTP partout dans le monde (qui accepte leur connexion, bien sûr).

*Bloqué. Cela oblige tout le trafic SMTP à passer par le serveur et à être authentifié.

*Bloqué. Cela oblige tout le trafic SMTP à passer par le serveur et à être authentifié. Toutes les tentatives de connexion à un serveur SMTP autre que celui du Serveur SME seront bloquées et traitées comme s'il n'y avait pas de serveur SMTP. (Il s'agit de la nouvelle valeur par défaut.)

Toutes les tentatives de connexion à un serveur SMTP autre que celui de la SME Server seront bloquées et traitées comme s'il n'y avait pas de serveur SMTP. (Il s'agit de la nouvelle valeur par défaut)

*Activé. Toute tentative de connexion à un serveur SMTP autre que celui du Serveur SME sera redirigée vers le Serveur SME. Si quelqu'un tente de se connecter à un serveur SMTP externe (Gmail par exemple), il sera redirigé vers le Serveur SME et la connexion échouera. (C'est l'ancien paramètre par défaut.)

*Activé. Toute tentative de connexion à un serveur SMTP autre que celui de la SME Server sera redirigée vers la SME Server. Si quelqu'un tente de se connecter à un serveur SMTP externe (gmail par exemple), il sera redirigé vers la SME server et la connexion échouera. (C'est l'ancien paramètre par défaut)

{{Note box| Le serveur (par défaut) exige maintenant que les clients de messagerie mails (autres que les webmails), s'authentifient et ne permettra pas que la connexion puisse se faire sur une liaison non sécurisée. Si par exemple vous utilisez Thunderbird, vous devez définir la méthode d'authentification par mot de passe normale et activer la connexion sécurisée à starttls ou SSL/TLS.}}

{{Note box|type=Note :|le serveur (par défaut) exige maintenant que les clients de messagerie (autres que les webmails) s'authentifient et ne permettra pas que la connexion puisse se faire sur une liaison non sécurisée. Si par exemple vous utilisez Thunderbird, vous devez définir la méthode d'authentification par mot de passe normal et activer la connexion sécurisée à starttls ou SSL/TLS.}}

[[Image:Services.png]]

[[Image:Services.png]]