Réseaux — Services réseau

Questions fréquentes

Quelle est la différence entre DNS et DHCP ?

Le DHCP donne à un appareil sa configuration réseau quand il se branche : son adresse IP, son masque, sa passerelle et l'adresse de ses serveurs DNS. Le DNS, ensuite, traduit les noms (intranet.sorbier.example) en adresses IP à chaque fois qu'une application en a besoin. Le DHCP intervient une fois par bail, le DNS des milliers de fois par jour ; et c'est le DHCP qui dit au poste quels serveurs DNS utiliser (chapitres 1 et 6).

Quel port utilise le DNS ?

Le DNS utilise le port 53, en UDP pour les requêtes ordinaires et en TCP pour les transferts de zone et les réponses trop grosses pour UDP : il faut ouvrir les deux. Les variantes chiffrées utilisent le port 853 (DNS over TLS) et le port 443 (DNS over HTTPS). Le DHCP, lui, utilise UDP 67 côté serveur et UDP 68 côté client.

C'est quoi un serveur DNS récursif ?

C'est un résolveur : un serveur qui reçoit les questions des postes et cherche la réponse à leur place, en interrogeant la racine, puis le domaine de premier niveau, puis le serveur qui fait autorité pour la zone, avant de garder la réponse en cache. Il s'oppose au serveur faisant autorité, qui détient la réponse officielle pour sa zone et ne cherche rien ailleurs. Un résolveur ne doit jamais être ouvert à tout Internet (chapitre 1).

Pourquoi mon PC a-t-il une adresse en 169.254 ?

Une adresse en 169.254.x.x (APIPA) signifie que le poste n'a reçu aucune réponse DHCP et s'est attribué une adresse automatique, inutilisable hors de son réseau local. Les causes habituelles : un relais DHCP manquant pour ce VLAN, une étendue pleine ou désactivée, un serveur DHCP arrêté, ou un VLAN non transporté jusqu'au relais. Le chapitre 14 donne la méthode de vérification.

Quelle différence entre SPF, DKIM et DMARC ?

SPF liste les serveurs autorisés à envoyer des courriels pour un domaine. DKIM signe chaque message, ce qui prouve qu'il vient d'un détenteur de la clé du domaine et qu'il n'a pas été modifié. DMARC exige que SPF ou DKIM réussisse pour le domaine affiché dans le From: et dit quoi faire sinon (rien, quarantaine, rejet). Les trois sont des enregistrements TXT dans le DNS, et Gmail, Yahoo et Microsoft les exigent des gros expéditeurs (chapitre 10).

Quelle différence entre un proxy et un reverse proxy ?

Un proxy se place devant les clients : il filtre et journalise la navigation des salariés vers Internet. Un reverse proxy se place devant les serveurs : il reçoit les requêtes d'Internet à leur place, détient les certificats, choisit le bon serveur selon le nom demandé et peut répartir la charge entre plusieurs serveurs. HAProxy et Nginx sont les reverse proxys les plus courants (chapitre 9).

SNMP v2c ou v3 ?

SNMPv3, toujours. En v1 et v2c, la « communauté » qui sert de mot de passe circule en clair, et les valeurs par défaut public et private sont connues de tous. SNMPv3 authentifie chaque utilisateur et chiffre les échanges au niveau authPriv, avec SHA et AES. On ne garde v2c que pour un vieil équipement qui ne sait pas faire mieux, en lecture seule et limité à l'adresse du serveur de supervision (chapitre 13).

C'est quoi RADIUS et 802.1X ?

802.1X est la norme qui garde un port de switch ou un accès Wi-Fi fermé tant que l'appareil ne s'est pas authentifié. RADIUS est le protocole avec lequel le switch ou la borne demande à un serveur central (NPS sous Windows, FreeRADIUS sous Linux) si l'appareil a le droit d'entrer, et dans quel VLAN. Avec des certificats machine (EAP-TLS), seuls les postes de l'entreprise accèdent au réseau, même si quelqu'un se branche sur une prise libre (chapitre 12).

SMB ou NFS : lequel choisir ?

SMB pour les partages des utilisateurs : c'est le protocole natif de Windows, avec des droits par utilisateur et par groupe de l'annuaire et un chiffrement possible. NFS pour les échanges entre serveurs Linux, hyperviseurs et NAS, sur un réseau de stockage isolé, car il s'appuie par défaut sur l'adresse IP du client. Pour échanger des fichiers avec l'extérieur, ni l'un ni l'autre : SFTP (chapitre 11).

Quels services réseau présenter à l'épreuve E6 SISR ?

Les réalisations les plus courantes montent un annuaire avec son DNS et un DHCP redondant, un relais DHCP entre VLAN, un serveur web publié en HTTPS derrière un pare-feu ou un reverse proxy, une authentification 802.1X ou un portail captif, une supervision en SNMPv3. Ce qui compte devant la commission, c'est de justifier chaque choix (pourquoi ce service, cette architecture, ces règles) et de prouver que tout fonctionne par des tests documentés. Le cours Épreuve E6 SISR détaille l'environnement exigé et l'organisation de l'épreuve.