Implantation d?un système voip sécurisé par une technologie VPN dans une entreprise à multiple centre d?exploitation.

1

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

INTRODUCTION GENERALE

Pendant plusieurs décennies, la transmission analogique de la voix fut la seule technologie maîtrisée et utilisée. Mais au milieu du vingtième siècle, grâce aux techniques d'échantillonnage, de quantification et de codage, la transmission numérique de la voix fut rendu possible. Aussi bien la transmission de gros volumes de données requise par l'industrie informatique que l'écoulement d'un grand trafic vocal trouvent leur application à travers les réseaux numériques notamment le RNIS, l'INTERNET.

La voix sur IP devient aujourd'hui une solution incontournable pour les entreprises qui voudrait soit remplacer l'ancien système PBX en faveur d'une plate-forme VoIP ou en créer un pour la réalisation efficiente et efficace d'un système de communication basé sur IP.

L'existence du réseau téléphonique et Internet a amené un certain nombre de personnes à penser à un double usage pour unifier tous ces réseaux, en opérant une convergence voix, données et vidéo. Les opérateurs, les entreprises ou les organisations et les fournisseurs devaient, pour bénéficier de l'avantage du transport unique IP, introduire de nouveaux services voix et vidéo. Ainsi, l'une des solutions qui marquent le «boom» de la voix sur IP au sein des entreprises est la solution PABX-IP (Private Automatic Branch eXchange IP).

Ainsi, le travail que nous traiton s'intitule : « implantation d'un système VoIP sécurisé par une technologie VPN dans une entreprise à multiple centre d'exploitation. « Cas de Ministère du Budget »».

Les télécommunications en particulier occupent une bonne place, dans la mesure où elles constituent le moteur de développement de l'économie et de la société.

Dans l'examen de la réalité qui se passe, il n'en pas le cas, cependant les nouvelles applications réseaux, telle que la VoIP, devait s'apprendre au sein même de l'entreprise.

Face à cette nécessité et par souci d'apporter notre modeste contribution en matière de développement de la communication au sein de Ministère du Budget et d'appropriation des nouvelles applications réseaux, nous pensons que l'implémentation de la VoIP sur ce dernier sera une des solutions appréciable de tous.

De cet ordre d'idées, il convient de se poser quelques questions, telles que :

? Est-il possible d'améliorer les moyens de communication au sein de Ministère du Budget?

? Est-il possible d'implémenter la solution VoIP dans le réseau informatique? ? Comment sécuriser la solution VoIP qui sera implémentée ?

2

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

Telles sont les questions auxquelles nous allons tenter de répondre dans la suite de notre travail.

Les difficultés sont multiples au sein de Ministère du Budget en ce qui concerne le système des communications pour ses personnels.

Ainsi, nous pensons que l'implémentation d'une solution VoIP au sein de son réseau informatique, pourra faire bénéficier au personnel oeuvrant au sein de son administration d'effectuer les appels téléphoniques internes, gratuitement sans dépensé un seul centime.

En fonction des besoins réels de l'entreprise, différents arguments plaident en faveur d'une solution VoIP, raison pour laquelle l'objectif principal poursuivi dans ce travail est de montrer l'importance de l'intégration de la VoIP dans les entreprises (qu'elles soient multi-sites ou non) en général et au Ministère du Budget en particulier d'une part, et de proposer l'implémentation de cette technologie au sein du réseau informatique de ce dernier d'autre part.

Tout travail qui se veut scientifique doit être examiné dans le temps tout comme dans l'espace, il doit bien cerner le contour du sujet et faciliter la démarche scientifique pour arriver au résultat escompté.

Dans le cas de ce travail, nous nous limiterons essentiellement à la définition de la théorie se rapportant à la solution VoIP et à la description des matériels de base permettant son déploiement. Nous allons également procéder à une expérimentation d'une communication VoIP à l'aide d'un minimum de matériel à notre disposition.

Au moment où le monde entier connait un essor considérable sur les nouvelles technologies de l'information et de la communication, les entreprises sont appelées à retrouver leurs places dans cet essor afin de jouer le rôle d'élément moteur du progrès social, économique et politique.

Ainsi, trois raisons primordiales justifient le choix et l'intérêt de cette monographie, à savoir :

? Premièrement, nous nous acquittons de notre devoir légitime de finaliste du second cycle, qui oblige à ce que chaque étudiant rédige un travail de fin d'étude, ainsi que le souci permanent d'approfondir nos connaissances dans le domaine de voix sur IP;

? Deuxièmement, cette oeuvre intellectuelle nous permet de rapprocher les notions théoriques accumulées pendant toute notre formation à la pratique, et constitue une source d'approvisionnement incontestable pour les futurs chercheurs qui aborderont le même thème de la recherche que nous ;

3

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

? Troisièmement, pour le Ministère du Budget, nous voulons par le présent travail, apporter notre modeste contribution tant soit peu aux problèmes de communication

qu'il connaît en son sein, dont les questions sont épinglés dans la problématique.

Les techniques sont de moyens que nous avons utilisés pour faciliter la récolte des informations dont nous avions besoin afin de bien présenter le travail. Nous avons ainsi utilisé les techniques suivantes :

V' Interview : C'est la technique la plus utilisée pour étudier le système existant. Elle nécessite une préparation et est basée sur le choix d'interlocuteur auprès de qui on pose des questions et ce dernier fournit des explications sur le fonctionnement de leur système. Dans notre cas, nous avons eu à interroger les responsables de la division informatique du Ministère du Budget, et avons obtenu les éléments nécessaires.

V' L'observation : L'observation exige la présence de l'analyste du système dans les différents sites couverts par le réseau. Dans notre cas, nous avons visité la salle serveur et nous avons fait connaissances des différents équipements et matériels se trouvant dans la division informatique du Ministère du Budget.

V' La technique documentaire : Elle nous a permis de parcourir un certain nombre d'ouvrages scientifiques et techniques se rapportant à la solution VoIP, mais également à l'Internet, qui à l'heure actuelle constitue la référence incontournable de recherches.

Hormis l'introduction générale et la conclusion générale, ce travail est subdivisé en cinq chapitres, à savoir :

Chapitre 1. Généralités sur les réseaux informatiques Chapitre 2. La voix sur un réseau des données IP (VoIP) Chapitre 3. Le réseau privé virtuel :VPN

Chapitre 4. Etude d'opportunité (Ministère du Budget) Chapitre 5. Approche d'implémentation de la VoIP

4

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

CHAPITRE I : GENERALITES SUR LES RESEAUX INFORMATIQUES

[2][5][7] [10] [12] [9]

I.1 INTRODUCTION

Dans ce chapitre, nous avons posé le fondement en ce qui concerne les réseaux informatiques, les différentes classifications et les équipements qu'on retrouve dans les réseaux informatiques.

I.2 CONSIDERATION GENERALES DES RESEAUX INFORMATIQUES

I.2.1 Définition du réseau informatique

Le réseau informatique est un ensemble d'équipements informatiques ou systèmes digitaux interconnectés entre eux via un milieu de transmission de données en vue partage de ressources informatiques et de la communication. Ci-dessous la figure 1 décrit un réseau informatique

^Routeur

^Routeur

^{Réseau Local 1}

^{Réseau Local 2}

Fig.1: un réseau informatique

I.2.2. Classification des réseaux informatiques

La classification se fait par rapport au certains critères donnés, ainsi nous pouvons classifier les réseaux informatiques de la manière suivante :

V' Classification selon leur étendue;

V' Classification selon l'architecture;

V' Selon le monde de commutation.

5

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

I.2.2.1. Classification selon leur étendue

Selon la taille géographique qu'occupe un réseau, on peut les classer en grandes catégories suivantes:

? LAN (Local Area Network);

? MAN (Metropolitan Area Network); ? WAN (Wide Area Network);

I.2.2.1.1. Local area network : LAN

Les réseaux locaux connectent plusieurs ordinateurs situés sur une zone géographique relativement restreinte, tels qu'un domicile, un bureau, un bâtiment, un campus universitaire.

Un LAN est un réseau privé dont la taille ne dépasse pas des centaines de mètres. Il est utilisé pour relier les ordinateurs personnels et les stations de travail. 4 caractéristiques les distinguent des autres :

1. La taille : petite, plus au moins 0-1 km

2. La technique de transmission : diffusion

3. La vitesse : 10-100 Mbps (traditionnelle)

4. Délai de transmission : = 10 ms ; peu d'erreur de transmission.

Ils permettent aussi aux entreprises de partager localement des fichiers et des imprimantes de manière efficace et rendent possibles les communications internes. La figure 2 ci-dessous présente le réseau LAN

Fig. 2 : Le réseau LAN

I.2.2.1.2. Métropolitain area network: MAN

Tout réseau métropolitain est essentiellement un LAN, du point de vue de la technologie utilisée. Il peut couvrir un grand campus ou une ville et peut être public ou privé. Il transmet la voix et/ ou données et peut même être relié à un réseau câblé de télévision. Il ne comporte que 1 et 2 câbles de transmission, et donc pas d'éléments de commutation à travers lesquels les paquets seraient aiguillés dans une certaine direction ; cela simplifie leur

6

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

conception. La norme la plus connue de réseaux MAN est DQDB (Distributed Queue Dual Bus), appelée 802.6 par IEEE. La figure 3 ci-dessous présente le réseau MAN.

Fig. 4 : Le réseau WAN

Fig. 3: Le réseau MAN

I.2.2.1.3. Wide area Network : WAN

Pour des raisons économiques et techniques, les réseaux locaux (LAN) ne sont pas adaptés aux communications couvrant de longues distances.

^Routeur

^LAN 1

^Routeur

^{LAN 2}

C'est pour toutes ces raisons que les technologies des réseaux étendus (WAN) diffèrentes de celles des réseaux locaux. Un WAN est un réseau à longue distance qui couvre une zone géographique importante (un pays, voir même un continent). La figure 4 ci-dessous présente le réseau WAN

7

Dans une configuration client-serveur, les services de réseau sont placés sur un ordinateur dédié, appelé serveur, qui répond aux requêtes des clients. Un serveur est un

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

I.2.2.2 classification selon l'architecture

Du point de vue architecture réseau, nous avons deux grandes catégories de réseaux : Réseau POSTE-à-POSTE (Peer to Peer) et Réseau serveur dédicacé ou client-serveur (server based).

I.2.2.3. Le Réseau poste-à-poste

C'est un réseau sans serveur dédicacé, moins coûteux car ne nécessitant pas un serveur puissant et un mécanisme de sécurité très poussée. Chaque ordinateur connecté au réseau peut faire office de client ou de serveur. En général, c'est un petit réseau de plus ou moins 10 postes, sans administrateur de réseau. Ce réseau est illustré par la Figure 5

Fig. 5 : Schéma d'un réseau poste à poste

? Avantages

- Implémentation moins coûteuse ;

- Ne requiert pas un système d'exploitation de réseau ;

- Ne requiert pas un administrateur de réseau dédié.

? Inconvénients

- Moins sécurisé

- Chaque utilisateur doit être formé aux tâches d'administration

- Rend vite l'administration très complexe.

I.2.2.2.1. Réseau à serveur dédicacé ou client serveur

Un serveur : Un ordinateur qui met ses ressources et services à la disposition des autres. Il est, en général, du point de vue de ses performances, plus puissant que les autres.

Un client : Un ordinateur qui, pour l'exécution de certaines de ses applications fait appel aux ressources et services contenus dans le SERVEUR.

8

Selon le mode de commutation, on peut classifier les réseaux en deux catégories: Les réseaux à commutation de circuit et les réseaux à commutation de données.

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

ordinateur central, disponible en permanence pour répondre aux requêtes émises par les clients et relatives à des services de fichiers, d'impression, d'applications ou autres.

La plupart de systèmes d'exploitation de réseau adoptent des relations client-serveur. En règle générale, les ordinateurs de bureau agissent comme des clients, alors qu'un ou plusieurs ordinateurs équipés d'un logiciel dédié, qui sont dotés d'une puissance de traitement et d'une mémoire plus importantes assurent la fonction de serveurs. Les serveurs sont conçus pour gérer simultanément les requêtes de nombreux clients. La figure 6 Ci-dessous présente le modèle client-serveur.

Fig. 6 : Modèle de client-serveur

? Avantages

- Garantit une meilleure sécurité ;

- Plus facile à administrer lorsque le réseau est étendu car

l'administration est centralisée;

- Possibilité de sauvegarder toutes les données dans un
emplacement central.

? Inconvénients

- Requiert l'utilisation d'un système d'exploitation de réseau, tel

que NT, novelle Netware, Windows server 2003 etc. ...

- Le serveur nécessite du matériel plus puissant, mais coûteux ;
Requiert un administrateur professionnel ;

- Présente un point unique de défaillance s'il n'y a qu'un seul
serveur ; si le serveur est en panne, les données de l'utilisateur risquent de ne plus être disponibles.

I.2.2.3. Classification selon le mode de commutation

9

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

I.2.2.3.1. Commutation de circuit y' Principe :

Un chemin physique est construit de bout en bout (phase de connexion) avant tout échange de données. Le circuit est maintenu (phase de transfert) tant que les deux abonnées ne le restituent pas explicitement (phase de libération).

y' Caractéristiques :

La commutation de circuit garantit le bon ordonnancement des données. Il n'y a pas de stockage intermédiaire des données. Les abonnés monopolisent la ressource durant la connexion. Il y a facturation à la minute.

y' Avantage :

Les applications classiques de ce type de réseau sont celles à contrainte temporelle (délai de traversée constant) telles que le service téléphonique et toutes les applications streaming.

y' Inconvénients:

S'il n'y a plus de ressource disponible de bout en bout, la connexion est refusée. En plus, il y a une mauvaise utilisation des ressources.

La figure 7. Ci-dessous présente la commutation de circuits entre 2 correspondants

Fig.7 : Réseau à commutation de circuit

I.2.2.3.2. Commutation de données

Les réseaux à commutation de données sont classés selon trois catégories: I.2.2.3.2.1. La commutation de messages :

y' Principe:

Elle consiste à envoyer un message de l'émetteur jusqu'au récepteur en passant de noeud de commutation, en noeud de commutation. Chaque noeud attend d'avoir reçu complètement le message avant de le réexpédier au noeud suivant. Cette technique nécessite de prévoir des grandes zones tampons dans chaque noeud du réseau, mais comme ces zones ne sont pas illimitées il faut aussi prévoir un contrôle de flux de messages pour éviter la

10

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

saturation du réseau. Dans cette approche il devient très difficile de transmettre de longs messages. Comme un message doit être reçu entièrement à chaque étape si la ligne a un taux d'erreur de 10-5 par bit (1 bit sur 105 est erroné) alors un message de 100000 octets n'a qu'une probabilité de 0,0003 d'être transmis sans erreur.

V' Avantages:

Meilleure utilisation des ressources. En cas de fort trafic, il n'y a pas de blocage lié au réseau empêchant l'émission : le message est simplement ralenti. Il y a possibilité de diffusion.

V' Inconvénients :

Nécessite une mémoire de masse importante dans les commutateurs. Le temps d'acheminement non maîtrisé, pas adapté aux applications temps réel. Si un message est corrompu, il devra être retransmis intégralement.

I.2.2.3.2.2. La commutation de paquets

V' Principe:

Elle est apparue au début des années 70 pour résoudre les problèmes d'erreur de la commutation de messages. Un message émis est découpé en paquets et par la suite chaque paquet est commuté à travers le réseau comme dans le cas des messages. Les paquets sont envoyés indépendamment les uns des autres et sur une même liaison on pourra trouver les uns derrière les autres des paquets appartenant à différents messages. Chaque noeud redirige chaque paquet vers la bonne liaison grâce à une table de routage. La reprise sur erreur est donc plus simple que dans la commutation de messages, par contre le récepteur final doit être capable de reconstituer le message émis en réassemblant les paquets. Ce qui+ nécessitera un protocole particulier car les paquets peuvent ne pas arriver dans l'ordre initial, soit parce qu'ils ont emprunté des routes différentes, soit parce que l'un d'eux a dû être réémis suite à une erreur de transmission.

La figure 8. Ci-dessous présente un réseau à commutation de paquets

Fig.8 : Réseau à commutation de paquets

11

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

V' Avantage:

Optimisation de l'utilisation des ressources. Transmission plus rapide que la commutation de messages. Retransmission uniquement du paquet erroné en erreurs.

V' Inconvénients:

Il peut être nécessaire de réordonner les paquets à l'arrivée. Chaque paquet doit contenir les informations nécessaires à son acheminement.

I.2.2.3.2.3. La commutation de cellules

Principe:

Une cellule est un paquet particulier dont la taille est toujours fixée à 53 octets (5 octets d'en-tête et 48 octets de données). C'est la technique de base des réseaux hauts débits ATM (Asynchronous Transfert Mode) qui opèrent en mode connecté où avant toute émission de cellules, un chemin virtuel est établi par lequel passeront toutes les cellules. Cette technique mixe donc la commutation de circuits et la commutation de paquets de taille fixe permettant ainsi de simplifier le travail des commutateurs pour atteindre des débits plus élevés.

I.2.3. Topologie de réseau

La topologie de réseau définit la structure du réseau. Elle représente l'interconnexion des équipements sur le réseau. Ces équipements sont appelés des noeuds. Les noeuds peuvent être des ordinateurs, des imprimantes, des routeurs, des ponts ou tout autre composant connecté au réseau. Un réseau est composé de deux topologies: la topologie physique et la topologie logique.

I.2.3.1.Topologie physique

La topologie physique du réseau se rapporte à la disposition des équipements et des supports. Ainsi, nous avons :

I.2.3.1.1. Topologie en bus

Tous les équipements d'une topologie en bus sont connectés par un même câble, qui passe d'un ordinateur à l'autre, comme le ferait un bus qui traverse la ville. C'est pourquoi on parle souvent de bus linéaire. L'extrémité du segment de câble principal doit comporter un terminateur qui absorbe le signal lorsque ce dernier atteint la fin de la ligne ou du câble. En cas d'absence de terminateur, le signal électrique représentant les données est renvoyé à l'extrémité du câble, ce qui génère une erreur sur le réseau.

12

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

La figure 9 représente la topologie en bus.

Fig. 9 : Topologie en bus

Cette topologie a pour avantage d'être facile à mettre en oeuvre et de posséder un fonctionnement simple. En revanche, elle est extrêmement vulnérable, étant donné que si l'une des connexions est défectueuse, l'ensemble du réseau en est affecté.

I.2.3.1.2. Topologie en étoile

La topologie en étoile est la plus utilisée sur les réseaux locaux Ethernet. Cette topologie ressemble aux rayons d'une roue de bicyclette. Elle est composée d'un point de connexion central. Il s'agit d'un équipement, comme un hub ou un commutateur, où tous les segments de câble se connectent. Chaque hôte du réseau est connecté à l'équipement central par son propre câble.

La figure 10 représente la topologie en étoile.

Fig. 10 : Topologie en étoile

Contrairement aux réseaux construits sur une topologie en bus, les réseaux suivant une topologie en étoile sont beaucoup moins vulnérables car une des connexions peut être débranchée sans paralyser le reste du réseau. Le point névralgique de ce réseau est le concentrateur, car sans lui plus aucune communication entre les ordinateurs du réseau n'est possible. En revanche, un réseau à topologie en étoile est plus onéreux qu'un réseau à topologie en bus car un matériel supplémentaire est nécessaire (le hub).

13

En outre, cette topologie permet à l'information d'emprunter plusieurs trajets dans son voyage à travers le réseau. Le principal inconvénient physique est que si le nombre

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

I.2.3.1.3. Topologie en anneau

La topologie en anneau est également très utilisée pour la connectivité des réseaux locaux. Comme son nom l'indique, la forme de connexion des hôtes est celle d'un cercle ou d'un anneau. Contrairement à la topologie en bus, aucune de ses extrémités ne nécessite de terminaison. Le mode de transmission des données est différent de celui utilisé dans les topologies en étoile ou en bus. Une trame, appelée jeton, circule autour de l'anneau et s'arrête à chaque noeud. Si un noeud souhaite transmettre des données, il ajoute les données et les informations sur les adresses à la trame. La trame continue de circuler autour de l'anneau jusqu'à ce qu'elle trouve le noeud de destination. Ce dernier récupère alors les données dans la trame. La figure 11 ci-dessous présente la topologie en

anneau

Fig. 11 : Topologie en anneau

L'avantage de cette topologie est qu'il n'y a pas de risque de collisions de paquets de données.

I.2.3.1.4. Topologie maillée

La topologie maillée permet de connecter tous les équipements, ou noeuds, entre eux afin d'obtenir une redondance et, donc, une tolérance aux pannes. Elle est utilisée sur les réseaux étendus (WAN) pour interconnecter les réseaux locaux, mais également pour les réseaux vitaux comme ceux utilisés par les gouvernements. La mise en oeuvre de la topologie maillée est difficile et onéreuse. La figure 12ci-dessous présente la topologie maillée.

Fig. 12: Topologie maillée

14

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

de noeuds n'est pas très réduit, la quantité de média pour les liaisons et le nombre de connexions à ces liaisons, deviennent gigantesques.

I.2.3.2.Topologie logique

La topologie logique représente des voies par lesquelles sont transmis les signaux sur le réseau (mode d'accès des données aux supports et de transmission des paquets de données). La topologie logique est réalisée par un protocole d'accès. Les protocoles d'accès les plus utilisés sont : Ethernet, FDDI et Token ring

I.2.3.2.1. Ethernet (IEEE 802.3)

Les bases de la technologie Ethernet sont apparues dans les années 70, avec un programme appelé Alohanet. Il s'agissait d'un réseau radio numérique conçu pour transmettre les informations via une fréquence radio partagée entre les îles hawaïennes. Avec Alohanet, toutes les stations devaient suivre un protocole selon lequel une transmission sans reçu devait être retransmise après un court délai. Des techniques similaires permettant d'utiliser un support partagé ont été appliquées plus tard à la technologie filaire, sous la forme d'Ethernet. Ethernet a été développé dans l'objectif d'accueillir plusieurs ordinateurs interconnectés sur une topologie de bus partagée.

La première version d'Ethernet incorporait une méthode de contrôle de l'accès aux supports appelée CSMA/CD (Carrier Sense Multiple Access with Collision Detection). Cette méthode d'accès a permis de résoudre les problèmes liés à la communication de plusieurs périphériques sur un support physique partagé.

I.2.3.2.2.Token ring

La société IBM est à l'origine de Token Ring, une architecture de réseau fiable basée sur la méthode de contrôle d'accès à passage de jeton. L'architecture Token Ring est souvent intégrée aux systèmes d'ordinateur central IBM. Elle est utilisée à la fois avec les ordinateurs classiques et les ordinateurs centraux. Il utilise la norme IEEE 802.5.

La technologie Token Ring est qualifiée de topologie en « anneau étoilé » car son apparence extérieure est celle d'une conception en étoile. Les ordinateurs sont connectés à un concentrateur central, appelé Unité d'Accès Multi Station (MSAU). Au sein de ce périphérique, cependant, le câblage forme un chemin de données circulaire, créant un anneau logique. L'anneau logique est créé par la circulation du jeton, qui va du port de l'unité MSAU à un ordinateur.

Si l'ordinateur n'a aucune donnée à envoyer, le jeton est renvoyé au port MSAU, puis en ressort par un autre port pour accéder à l'ordinateur suivant. Ce processus se poursuit pour tous les ordinateurs offrant une grande similarité avec un anneau physique.

15

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

I.2.3.2.3. Fiber Distributed Data Interface (FDDI)

FDDI (Interface de Données Distribuées sur Fibre) est un type de réseau Token Ring. L'implémentation et la topologie FDDI est différente de celles d'une architecture de réseau local Token Ring d'IBM. L'interface FDDI est souvent utilisée pour connecter différents bâtiments au sein d'un campus universitaire ou d'une structure d'entreprise complexe. Les réseaux FDDI fonctionnent par câble en fibre optique. Ils allient des performances haute vitesse aux avantages de la topologie en anneau avec passage de jeton. Les réseaux FDDI offrent un débit de 100 Mbits/s sur une topologie en double anneau. L'anneau extérieur est appelé anneau primaire et l'anneau intérieur c'est anneau secondaire.

I.3 MODÈLE OSI (Open Systems Interconnection)

Modèle de référence pour l'interconnexion de systèmes ouverts, ce modèle est fondé sur une recommandation d'ISO (International Standards Organisation). Un système ouvert est celui qui permet l"interconnexion avec d'autres systèmes ouverts afin de faciliter la communication et l'interopérabilité. Cette architecture en couches permet de bien gérer la complexité.

Le modèle de référence OSI est une représentation abstraite en couches servant de guide à la conception des protocoles réseau. Il divise le processus de réseau en sept couches logiques, chacune comportant des fonctionnalités uniques et se voyant attribuer des services et des protocoles spécifiques. La figure 13. Ci-dessous présente les sept couches du modèle OSI

Fig.13 : Les sept couches du modèle OSI

16

Cette sous-couche ajoute un en-tête et un code de fin à l'unité de données de protocole de la couche 3.

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

I.3.1 Couche physique

Elle s'occupe de:

> La transmission de bits sur un canal de communication;

> Initialisation de la connexion et relâchement à la fin de la

communication entre l'émetteur et le récepteur ;

> L'interface mécanique, électrique et fonctionnelle; Les supports
physiques de transmission de données;

> Résolution de possibilité de transmission physique dans les deux sens
(Half et Full duplex).

I.3.2 Couche liaison des données

La tâche principale de la couche liaison de données est de prendre un moyen de transmission brut et le transformer en une liaison qui paraît exempter d'erreurs de transmission à la couche réseau.

Elle s'occupe de:

> Constituer des trames à partir des séquences de bits reçus;

> Constituer des trames à partir des paquets reçus et les envoie en

séquence. C'est elle qui gère les trames d'acquittement renvoyées par le récepteur.

> La correction d'erreur et de contrôle de flux.

La couche liaison des données est souvent divisée en deux sous-couches : une sous-couche supérieure et une sous-couche inférieure.

? La sous-couche supérieure

Définit les processus logiciels qui fournissent des services aux protocoles de couche réseau. La sous-couche LLC (Logical Link Control) gère la communication entre les couches supérieures et les logiciels de mise en réseau aussi entre les couches inférieures et le matériel. La sous-couche LLC extrait les données des protocoles réseau, en principe un paquet IPv4, et leur ajoute des informations de contrôle pour faciliter la transmission du paquet jusqu'au noeud de destination.

? La sous-couche inférieure

Définit les processus d'accès au support exécutés par le matériel. Elle assure trois fonctions de base : la délimitation des trames, l'adressage et la détection d'erreurs.

17

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

I.3.3 Couche réseau

La couche réseau permet de gérer le sous-réseau, la façon dont les paquets sont acheminés de la source à la destination.

Elle s'occupe de :

y' L'adressage: La couche réseau doit d'abord fournir un

mécanisme pour l'adressage de ces périphériques finaux. Si des éléments de données individuels doivent être acheminés vers un périphérique final, ce dernier doit posséder une adresse unique. Dans un réseau IPv4. Actuellement il existe aussi la version 6 ou IPv6.

y' L'encapsulation: La couche réseau doit également fournir une
encapsulation. Durant le processus d'encapsulation, la couche 3 reçoit l'unité de données de protocole de la couche 4 et ajoute un en-tête de la couche 3, pour créer l'unité de données de protocole de couche 3. Dans un contexte de couche réseau, cet unité de données de protocole est appelée paquet.

y' Le routage: La couche réseau doit ensuite fournir des services

pour diriger ces paquets vers leur hôte de destination. Les hôtes source et de destination ne sont pas toujours connectés au même réseau. En fait, le paquet peut avoir de nombreux réseaux à traverser. En route, chaque paquet doit être guidé sur le réseau afin d'atteindre sa destination finale.

y' Le décapsulage: le paquet arrive sur l'hôte de destination et est
traité par la couche 3. L'hôte examine l'adresse de destination pour vérifier si le paquet était bien adressé à ce périphérique. Si l'adresse est correcte, le paquet est décapsulé par la couche réseau, et l'unité de données de protocole de la couche 4 contenue dans le paquet est transmise au service approprié de la couche transport.

I.3.4 Couche transport

Un des rôles les plus importants de la couche transport, est la gestion de la communication fiable de bout en bout, entre l'émetteur et le récepteur, qui agissent comme machines d'extrémité, alors que les protocoles de couches basses agissent entre machines voisines. La connexion de transport la plus courante consiste en un canal point-à-point, exempt d'erreurs, délivrant les messages ou les octets dans l'ordre d'émission.

Suppose un contrôle d'erreurs et de flux entre hôtes, assemblage et désassemblage de données.

18

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

I.3.5 Couche session

La couche session permet aux utilisateurs travaillant sur différentes machines, d'établir entre eux un type de connexion appelé « session ». Un utilisateur peut aussi établir une session pour se connecter à un système temps partagé ou transférer un fichier entre 2 machines. Un des rôles de la couche session concerne la gestion du dialogue. Les sessions peuvent utiliser le mode unidirectionnel ou bidirectionnel du trafic. Quand on travaille en mode bidirectionnel alterné (half-duplex logique), la couche session détermine qui a le contrôle. Ce type de service est appelé gestion du jeton.

I.3.6 Couche présentation

A la différence des couches inférieures, qui sont seulement concernées par la transmission fiable des bits d'un point à un autre, la couche présentation s'intéresse à la syntaxe et la sémantique de l'information transmise.

I.3.7 Couche application

La couche application est la couche OSI la plus proche de l'utilisateur. Elle fournit des services réseau aux applications de l'utilisateur. Elle se distingue des autres couches en ce sens qu'elle ne fournit pas de services aux autres couches OSI, mais seulement aux applications à l'extérieur du modèle OSI.

Voici quelques exemples de ce type d'application : tableurs, traitements de texte et logiciels de terminaux bancaires. La couche application détermine la disponibilité des partenaires de communication voulus, assure la synchronisation et établit une entente sur les procédures de correction d'erreur et de contrôle d'intégrité des données.

I.4. MODELE TCP/IP

Le premier modèle de protocole en couches pour les communications inter réseau fut créé au début des années 70 et est appelé modèle Internet. Il définit quatre catégories de fonctions qui doivent s'exécuter pour que les communications réussissent.

La plupart de modèles de protocole décrivent une pile de protocoles spécifique au fournisseur. Cependant, puisque le modèle TCP/IP est une norme ouverte, aucune entreprise ne contrôle la définition du modèle. Les définitions de la norme et des protocoles TCP/IP sont traitées dans un forum public et définies dans un ensemble des documents disponible au public. Ces documents sont appelés documents RFC (Request For Comments). Ils contiennent les spécifications formelles des protocoles de données ainsi que des ressources qui décrivent l'utilisation des protocoles.

19

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

La figure 14. Ci-dessous établi une comparaison entre le modèle OSI et

TCP/IP.

Fig. 14 : Comparaison du modèle OSI et TCP/IP Ce modèle est divisé en 4 couches, à savoir :

I.4.1 Couche accès réseau

La couche interface réseau du modèle TCP/IP correspond à la couche liaison de données et à la couche physique du modèle OSI. Cette couche définit les fonctions TCP/IP associées à l'étape de préparation des données avant leur transfert sur support physique, notamment l'adressage. La couche interface réseau détermine également les types de support qui peuvent être utilisés pour la transmission des données.

I.4.2 Couche internet

La couche Internet du modèle TCP/IP définit l'adressage et la sélection du chemin. Cette fonction est identique à la couche réseau du modèle OSI. Les routeurs utilisent les protocoles de la couche Internet pour identifier le chemin que les paquets de données emprunteront lors de leur transfert d'un réseau à l'autre. Parmi les protocoles définis dans cette couche figurent les protocoles IP, ICMP (Internet Control Message Protocol), ARP (Address Resolution Protocol) et RARP (Reverse Address Resolution Protocol).

I.4.3 Couche transport

La couche transport segmente les données et se charge du contrôle nécessaire au réassemblage de ces blocs de données dans les divers flux de communication.

20

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

Pour ce faire, elle doit :

> Effectuer un suivi des communications individuelles entre les

applications résidant sur les hôtes source et de destination ;

> Segmenter les données et gérer chaque bloc individuel ;
réassembler les segments en flux de données d'application ;

> Identifier les différentes applications ;

> Contrôle de flux.

La couche transport utilise le protocole TCP (transmission control protocol) et le protocole UDP (user datagram protocol). Ces deux protocoles gèrent les communications de nombreuses applications.

Le protocole UDP (user datagram protocol) est un protocole simple, sans connexion, décrit par le document RFC 768. Il présente l'avantage d'imposer peu de surcharge pour l'acheminement des données. Les blocs de communications utilisés dans le protocole UDP sont appelés des datagrammes. Ces datagrammes sont envoyés « au mieux » par ce protocole de couche transport.

Le protocole UDP est notamment utilisé par des applications de :

· Système de noms de domaine (DNS) ;

· Voix sur IP (VoIP) ;

· SNMP (Simple Network Management Protocol) ;

· DHCP (Dynamic Host Configuration Protocol) ;

· RIP (Routing Information Protocol) ;

· TFTP (Trivial File Transfer Protocol). Etc....

Le protocole TCP (transmission control protocol) est un protocole avec connexion décrit dans le document RFC 793. Il impose une surcharge pour accroître les fonctionnalités, spécifie aussi d'autres fonctions, à savoir la livraison dans l'ordre, l'acheminement fiable et le contrôle du flux. Chaque segment du protocole TCP utilise 20 octets de surcharge dans l'en-tête pour encapsuler les données de la couche application alors que chaque segment du protocole UDP n'ajoute sur 8 octets de surcharge.

Le protocole TCP est utilisé par des applications de :

V' Navigateurs web (http) ;

V' Courriel ;

V' Transfert de fichiers (FTF)

21

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

I.4.4 Couche application

La couche application est la couche qui sert d'interface entre les applications que nous utilisons pour communiquer et le réseau sous-jacent via lequel nos messages sont transmis. Les protocoles de couche application sont utilisés pour échanger des données entre les programmes s'exécutant sur les hôtes source et de destination. Il existe de nombreux protocoles de couche application.

Les protocoles de couche application sont les suivants :

I.4.4.1 le protocole DNS (Domaine Name Service)

Sur les réseaux de données, les périphériques sont étiquetés par des adresses ip numériques, ce qui leurs permettent de participer à l'envoi et à la réception des messages via le réseau. Cependant, la plupart des utilisateurs mémorisent très difficilement ces adresses numériques. C'est pour cette raison, que des noms de domaine ont été créés pour convertir les adresses numériques en noms simples et explicites.

I.4.4.2 le protocole HTTP (HyperText transfer protocol)

Le protocole http est l'un des protocoles de la suite TCP/IP, qui a été développé pour publier et extraire des pages html. Le protocole http est utilisé à travers le web pour le transfert des données et constitue l'un des protocoles d'application les plus utilisés.

I.4.4.3 les protocoles POP (Post Office Protocol) et SMTP (Simple Mail Transfer Protocol)

Lorsque l'utilisateur rédige un courriel, il fait généralement appel à une application connue sous le nom d'agent de messagerie, ou client de messagerie. L'agent de messagerie permet l'envoi des messages et place les messages reçus dans la boîte aux lettres du client, ces deux processus étant des processus distincts.

Pour recevoir le courriel d'un serveur de messagerie, le client de messagerie peut utiliser le protocole POP. L'envoi de courriel à partir d'un client ou d'un serveur implique l'utilisation de commandes et de formats de messages définis par le protocole SMTP.

I.4.4.4 le protocole FTP (File Transfer Protocol)

Le protocole FTP est un autre protocole de couche application couramment utilisé. Il a été développé pour permettre le transfert de fichiers entre un client et un serveur. Un client ftp est une application s'exécutant sur un ordinateur et utilisée pour extraire des fichiers d'un serveur exécutant le démon FTP (FTPD).

22

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

Pour transférer les fichiers correctement, le protocole ftp nécessite que deux connexions soient établies entre le client et le serveur : une connexion pour les commandes et les réponses et une autre pour le transfert même des fichiers.

Le client établit la première connexion au serveur sur le port TCP 21, cette connexion est utilisée pour le trafic de contrôle et se compose de commandes clientes et de réponses serveur. Le client établit la seconde connexion au serveur via le port TCP 20.

I.4.4.5 le protocole DHCP (Dynamic Host Configuration Protocol)

Le protocole DHCP permet aux périphériques d'un réseau d'obtenir d'un serveur DHCP des adresses IP et autres informations. Ce service automatise l'affectation des adresses IP, des masques de sous-réseau, des paramètres de passerelle et autres paramètres de réseau IP.

I.4.4.6 le protocole Telnet

Telnet date du début des années 70 et compte parmi les plus anciens protocoles et services de couche application de la suite TCP/IP. Telnet offre une méthode standard permettant d'émuler les périphériques terminaux texte via le réseau de données. Le terme Telnet désigne généralement le protocole lui-même et le logiciel client qui le met en oeuvre.

Logiquement, une connexion qui utilise Telnet est nommée connexion ou session VTY (Virtual terminal). Plutôt que d'utiliser un périphérique physique pour se connecter au serveur, Telnet utilise un logiciel pour créer un périphérique virtuel qui offre les mêmes fonctionnalités qu'une session de terminal avec accès à l'interface de ligne de commande (cli, command line interface) du serveur.

I.4.4.7 SNMP (Simple Network Management Protocol)

Ce protocole permet de surveiller et de contrôler les équipements du réseau, ainsi que de gérer les configurations, les statistiques, les performances et la sécurité.

I.5 SUPPORTS DE TRANSMISSIONS ET EQUIPEMENTS D'INTERCONNEXION RESEAUX

I.5.1 Supports de transmission

Les supports de transmissions peuvent être décrits comme le moyen d'envoi des signaux ou données d'un ordinateur à l'autre. Les signaux peuvent être transmis via un câble, mais également à l'aide des technologies sans fil.

23

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

Nous traiterons les types de support suivants:

> Cuivre : coaxial et paire torsadée ;

> Verre : fibre optique ;

> Ondes : sans fil.

I.5.1.1.Câble à paire torsadée

Le câble à paire torsadée est utilisé pour les communications téléphoniques et pour la plupart des réseaux Ethernet récents. Une paire de fils forme un circuit qui peut transmettre des données. Les paires sont torsadées afin d'empêcher la diaphonie, c'est-à-dire le bruit généré par les paires adjacentes.

Il existe deux types de pair torsadé:

+ Paire torsadée blindée (STP) ;

+ Paire torsadée non blindée (UTP).

> Paire torsadée blindée

Le câble à paire torsadée blindée (STP) allie les techniques de blindage, d'annulation et de torsion des fils. Chaque paire de fils est enveloppée dans une feuille métallique afin de protéger davantage les fils contre les bruits. Les quatre paires sont elles-mêmes enveloppées dans une tresse ou une feuille métallique. Le câble STP réduit le bruit électrique à l'intérieur du câble (diaphonie), mais également à l'extérieur du câble (interférences électromagnétiques et interférences de radiofréquences).

La figure 15. Ci-dessous présente le câble blindé

.

Fig.15 : le câble blindé

> Paire torsadée non blindée

Le câble à paire torsadée non blindée (UTP) est utilisé sur différents réseaux. Il comporte deux ou quatre paires de fils. Ce type de câble compte uniquement sur l'effet d'annulation produit par les paires torsadées pour limiter la dégradation du signal due aux interférences électromagnétiques et aux interférences de radiofréquences. Le câble UTP est le plus fréquemment utilisé pour les réseaux Ethernet.

24

Tous les équipements d'un réseau local sans fil doivent être dotés de la carte réseau sans fil appropriée.

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

La figure 16. Ci-dessous présente le câble UTP

Fig. 16 : le câble UTP.

I.5.1.2.Le câble coaxial

Un câble coaxial est constitué d'une partie centrale (appelée âme), c'est-à-dire un fil de cuivre, enveloppé dans un isolant, puis d'un blindage métallique tressé et enfin d'une gaine extérieure.

I.5.1.3.Câble à fibre optique

Le câble à fibre optique est un de réseau capable d'acheminer des impulsions lumineuses modulées. La modulation de la lumière consiste à manipuler la lumière de telle sorte qu'elle transmette des données lors de sa circulation. Les fibres optiques comportent un coeur de brins de verre ou de plastique (et non de cuivre), à travers lesquels les impulsions lumineuses transportent les signaux.

Elles présentent de nombreux avantages par rapport au cuivre au niveau de la largeur de bande passante et de l'intégrité du signal sur la distance. Tandis que, le câblage en fibre est plus difficile à utiliser et plus couteuse que le câblage en cuivre.

I.5.1.4.Supports sans fil

La communication sans fil s'appuie sur des équipements appelés émetteurs et récepteurs. La source interagit avec l'émetteur qui convertit les données en ondes électromagnétiques, puis les envoie au récepteur. Le récepteur reconvertit ensuite ces ondes électromagnétiques en données pour les envoyer à la destination. Dans le cadre de la communication bidirectionnelle, chaque équipement nécessite un émetteur et un récepteur. La plupart de fabricants d'équipements de réseau intègrent l'émetteur et le récepteur dans une même unité appelée émetteur-récepteur ou carte réseau sans fil.

25

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

Les normes de communications de données courantes s'appliquent aux supports sans fil à savoir:

y' Norme IEEE 802.11 : la technologie de réseau local sans fil

(WLAN), couramment appelée Wifi, utilise un système de contention ou système non déterministe basé sur un processus d'accès au support par accès multiple avec écoute de porteuse/évitement de collision (CSMA/CA).

y' Norme IEEE 802.15 : la norme de réseau personnel sans fil
(PAN), couramment appelée Bluetooth, utilise un processus de jumelage de périphériques pour communiquer sur des distances de 1 à 100 mètres.

y' Norme IEEE 802.16 : la technologie d'accès couramment
appelée Wi MAX (World wide Interoperability for Microwave Access) utilise une topologie point-à-multipoint pour fournir un accès à large bande sans fil.

I.5.2 Equipements d'interconnexion Réseaux

Un réseau local est composé de nombreux types d'équipement. Ces derniers sont appelés des composants matériels du réseau local. Certains des composants matériels les plus utilisés pour les réseaux locaux sont les suivants :

I.5.2.1 Répéteur

Un répéteur est un équipement réseau qui a pour rôle de régénérer et de retransmettre le signal. Le but de cet élément est d'augmenter la taille du réseau ; il fonctionne au niveau de la couche 1 du modèle OSI. Il est transparent pour les stations de travail car il ne possède pas d'adresse Ethernet. Il offre un débit de 10 Mbits/s ; l'avantage de cet équipement est qu'il ne nécessite pas (ou très peu) d'administration. Par contre il ne diminue pas la charge du réseau, ne filtre pas les collisions, n'augmente pas la bande passante et n'offre pas de possibilité de réseau virtuel. La figure 17 ci-dessous présente le répéteur.

Fig.17 : Répéteur

I.5.2.2 Routeur

Le routeur est un équipement spécialisé qui joue un rôle clé dans le fonctionnement d'un réseau de données. Les routeurs sont principalement chargés de l'interconnexion des réseaux en déterminant le meilleur chemin pour envoyer des paquets et transférer ces derniers vers leur destination.

Ils effectuent aussi le transfert de paquets en obtenant des informations sur les réseaux distants et en gérant les informations de routage. En plus il est la jonction, ou intersection, qui relie plusieurs réseaux IP.

26

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

La table de routage du routeur permet de trouver la meilleure correspondance entre l'IP de destination d'un paquet et une adresse réseau dans la table de routage. Au final, la table de routage détermine l'interface de sortie pour transférer le paquet et le routeur encapsule ce paquet dans la trame liaison de données appropriée pour cette interface sortante. La 18 ci-dessous présente le routeur.

Fig. 18 : Routeur

I.5.2.3. Switch

Aussi appelé commutateur, en général, les stations de travail d'un réseau

Ethernet sont connectés directement à lui. Un commutateur relie les hôtes qui sont connectés à

un port en lisant l'adresse MAC comprise dans les trames. Intervenant au niveau de la couche

2, il ouvre un circuit virtuel unique entre les noeuds d'origine et de destination, ce qui limite la

communication à ces deux ports sans affecter le trafic des autres ports. En plus de ces

fonctions, il offre des avantages suivants :

- Réduction du nombre de collision,

- Multiples communications simultanément,

- Amélioration de la réponse du réseau (augmentation la bande passante

disponible),

- Hausse de la productivité de l'utilisateur,

Il convient de savoir les critères de choix techniques (performances) lors de

l'achat de celui-ci:

- Bus interne avec un débit max de 10 Gb/s

- Vitesse de commutation nombre de trame/s

- Bande passante annoncée : 24 Gb/s

- Nombre d'adresse MAC mémorisable / interface.

La figure 19 ci-dessous présente le Switch.

Fig.19 Switch

I.5.2.4 Passerelle

La passerelle relie des réseaux hétérogènes, elle dispose des fonctions d'adaptation et de conversion de protocoles à travers plusieurs couches de communication jusqu'à la couche application.

27

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

On distingue les passerelles de transport qui mettent en relation les flux de données d'un protocole de couche transport ; les passerelles d'application qui, quant à elles, réalisent l'interconnexion entre applications de couches supérieures. Malgré le fait que la passerelle est incontournable dans les grandes organisations, elle nécessite souvent une gestion importante. La figure 20 ci-dessous présente le Passerelle.

Fig.20 : Passerelle

I.5.2.5 Firewall

Très souvent pour sa mise en place, le firewall nécessite deux composants essentiels : deux routeurs qui filtrent les paquets ou datagrammes et une passerelle d'application qui renforce la sécurité. En général le filtrage de paquet est géré dans des tables configurées par l'administrateur ; ces tables contiennent des listes des sources/destinations qui sont verrouillées et les règles de gestion des paquets arrivant de et allant vers d'autres machines. Très souvent des machines Unix peuvent jouer le rôle de routeur. La passerelle d'application quant à elle intervient pour surveiller chaque message entrant /sortant ; transmettre/rejeter suivant le contenu des champs de l'en-tête, de la taille du message ou de son contenu.

On trouve aussi sur le marché des équipements dédiés à la fonction de garde-barrière. La figure 21 ci-dessous présente le Firewall.

Fig. 21 : Firewall

I.6 LES ADRESSES IP (INTERNET PROTOCOL)

Le système d'adresse IP offre des fonctions similaires au système postal ou un code qui sert à envoyer des informations à une personne et d'en recevoir des autres personnes. Ce système d'adresse utilise la troisième couche du modèle OSI pour transmettre des informations au destinataire, et nous avons les adresse IP version 4 et version 6 (noté respectivement IPv4 et IPv6), dans ce travail il sera question de travailler avec les adresses IPv4.

Adresse multidiffusion

28

	IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

I.6.1. Adresse IPv4 et classes d'adressages

Une adresse IPv4 est une adresse codée sur 32 bits notée sous forme de 4 nombres entiers allant de 0 a 255 et séparés par de points.

Elle est constituée de deux parties :

? Une partie des nombres qui identifie le réseau qu'est commune à l'ensemble de hôtes d'un même réseau.

? Une autre partie qui identifie le nombre des machines qui appartenant à ce réseau, c'est la partie hôte.

A l'origine, plusieurs groupes d'adresses ont été définis dans le but d'optimiser le cheminement (ou le routage) des paquets entre les différents réseaux. Ces groupes ont été baptisés classes d'adresses IP. Ces classes correspondent à des regroupements en réseaux de même taille. Les réseaux de la même classe ont le même nombre d'hôtes maximum.

Classe A

XXXX XXXX	XXXX XXXX	XXXX XXXX		XXXX XXXX	Octet 1
Octet 2	Octet 3	Octet 4		Partie réseau Partie hôte

Classe B

10XXX XXXX	XXXX XXXX	XXXX XXXX		XXXX XXXX	Octet 1
Octet 2	Octet 3	Octet 4

Partie réseau Partie hôte Classe C					110X XXXX
XXXX XXXX		XXXX XXXX	XXXX XXXX	Octet 1
Octe2		Octet 3	Octet 4
Partie hôte			Partie réseau

Classe D

1110 XXXX	XXXX XXXX	XXXX XXXX		XXXX XXXX	Octet 1
Octet 2	Octet 3	Octet 4

29

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

Classe A : le premier octet a une valeur comprise entre 1 et 126 ; soit un bit de poids fort égal à 0. Ce premier octet désigne le numéro du réseau et les trois autres correspondant à l'adresse de l'hôte. L'adresse réseau 127.0.0.0 est réservée pour la communication en boucle locale.

Classe B : le premier octet a une valeur comprise entre 128 et 191 ; soit 2 bits de poids fort égaux à 10. Les 2 premiers octets désignent le numéro de réseau et les 2 autres correspondent à l'adresse de l'hôte.

Classe c : le premier octet a une valeur comprise entre 192 et 223 ; soit 3 bits des poids fort égaux à 110. Les trois premiers octets désignent le numéro de réseau et le dernier correspond à l'adresse de l'hôte.

Classe D : le premier octet a une valeur comprise entre 224 et 239 ; soit 3 bits de poids fort égaux à 111. Il s'agit d'une zone d'adresse dédiée aux services de multidiffusion vers des groupes d'hôtes (host groups).

I.6.2. Le masque :

Un masque réseau (en anglais netmask) est un ensemble de chiffre qui se représente sous la forme de 4 octets séparé par des points (comme une adresse IP), qui comprend (dans sa notion binaire) des zéros au niveau des bits de l'adresse IP que l'on veut annuler et des 1 au niveau de ceux que l'on désire conserver.

L'intérêt d'un masque est de pouvoir connaitre le réseau associé à une adresse IP. En effet, comme expliqué précédemment, le réseau est déterminé par un certain nombre d'octet de l'adresse IP. En généralisant, on obtient les masques suivants pour chaque classe :

y' Pour une adresse de classe A, le masque aura la forme suivante : 11111111.00000000.00000000.00000000 en binaire, c'est-a-dire en notation décimale : 255.0.0.0

y' Pour une adresse de classe B, le masque aura la forme suivante : 11111111.11111111.00000000.00000000 c'est-a-dire en notation décimale : 255.255.0.0

y' Pour une adresse de classe D, le masque aura la forme suivante : 11111111.11111111.11111111.00000000 en binaire, c'est-a-dire en notation décimale : 255.255.255.0

30

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

I.7.CONCLUSION

La connaissance préalable d'une infrastructure réseau et différents matériels utilisé dans le réseau est une étape nécessaire pour acquérir la maitrise globale d'un environnement réseau.

Ce chapitre vient de décrire les types de réseaux, les supports de transmission ainsi que les composants matériels qui les constituent. Le chapitre suivant va aborder les considérations générales sur la VoIP.

31

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

CHAPITRE II : LA VOIX SUR UN RESEAU DES DONNES IP
(VoIP) [3] [13] [14] [15] [18] [21] [22]

II.1 INTRODUCTION

L'objectif de ce chapitre est l'étude de cette technologie et de ses différents aspects. Nous parlerons en détail de l'architecture de la VoIP, ses éléments et son principe de fonctionnement. Nous détaillons aussi des protocoles VoIP de signalisation et de transport ainsi que leurs principes de fonctionnement et de leurs principaux avantages et inconvénients.

Depuis quelques années, la technologie VoIP commence à intéresser les entreprises, surtout celles de service comme les centres d'appels. La migration des entreprises vers ce genre de technologie n'est pas pour rien. Le but est de : minimiser le coût des communications ; utiliser le même réseau pour offrir des services de données, de voix, et d'images ; et simplifier les coûts de configuration et d'assistance.

II.2. PRESENTATION DE LA VOIX SUR IP

II.2.1 Définition

VoIP signifie Voice over Internet Protocol ou Voix sur IP. Comme son nom l'indique, la VoIP permet de transmettre la voix en des paquets IP circulant sur Internet. La VoIP peut utiliser du matériel d'accélération pour réaliser ce but et peut aussi être utilisée en environnement de PC.

Elle est une technique qui permet de communiquer par la voix (ou via des flux multimédia audio et/ou Vidéo) sur des réseaux compatibles IP.

On parle de la téléphonie sur IP (Telephony Over IP ou ToIP) quand, en plus de transmettre de la voix, on associe les services de téléphonie, tels que l'utilisation de combinés téléphoniques, les fonctions de centraux téléphoniques (transfert d'appel, messagerie,..), et la liaison au réseau RTC.

II.2.2 Architecture de la VoIP

La VoIP étant une nouvelle technologie de communication, elle n'a pas encore de standard unique. Chaque constructeur apporte ses normes et ses fonctionnalités à ses solutions. Les trois principaux protocoles utilisés sont H.323, SIP et MGCP/MEGACO. Il existe plusieurs approches pour offrir des services de téléphonie et de visiophonie sur des réseaux IP. Certains placent l'intelligence dans le réseau alors que d'autres préfèrent une approche égale à égale avec l'intelligence répartie à chaque périphérie. Chacune ayant ses avantages et ses inconvénients.

32

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

Elle comprend toujours des terminaux, un serveur de communication et une passerelle vers les autres réseaux. Chaque norme a ensuite ses propres caractéristiques pour garantir une plus ou moins grande qualité de service. L'intelligence du réseau est aussi déportée soit sur les terminaux, soit sur les passerelles/ contrôleur de commutation, appelées Gatekeeper.

Dans une architecture VoIP, on trouve les éléments communs suivants :

y' Le routeur : permet d'aiguiller les données et le routage des paquets entre deux réseaux. Certains routeurs permettent de simuler un Gatekeeper grâce à l'ajout de cartes spécialisées supportant les protocoles VoIP.

y' La passerelle : permet d'interfacer le réseau commuté et le réseau IP.

y' Le PABX : est le commutateur du réseau téléphonique classique. Il permet de faire le lien entre la passerelle ou le routeur, et le réseau téléphonique commuté (RTC). Toutefois, si tout le réseau devient IP, ce matériel devient obsolète

y' Les Terminaux : sont généralement de type logiciel (software phone) ou matériel (hardphone), le softphone est installé dans le PC de l'utilisateur. L'interface audio peut être un microphone et des haut-parleurs branchés sur la carte son, même si un casque est recommandé. Pour une meilleure clarté, un téléphone USB ou Bluetooth peut être utilisé. Le hardphone est un téléphone IP qui utilise la technologie de la Voix sur IP pour permettre des appels téléphoniques sur un réseau IP tel que l'Internet au lieu de l'ordinaire système PSTN. Les appels peuvent parcourir par le réseau internet comme par un réseau privé. Un terminal utilise des protocoles comme le SIP (Session Initiation Protocol) ou l'un des protocoles propriétaires tel que celui utilisée par Skype.

La figure 22 décrit, de façon générale, la topologie d'un réseau de téléphonie

IP.

Figure 22 : Architecture d'un réseau VOIP

33

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

II.2.3 Les numérisations de la Voix

Convertisseur

numérrique

analogique

Processeur DSP

Ajout d'en-tête

Paquets IP

4. Habillage des

en-têtes

1.Acquisition

2. Numérisation

3. Compression

5. Emission et transport

Le principe de la voix sur IP est basé sur la numérisation de la voix, c'est-à-dire le passage d'un signal analogique à un signal numérique. Celui-ci est compressé en fonction des codecs choisis, cette compression a comme but de réduire la quantité d'information qui est transmise sur le réseau. Le signal obtenu est découpé en paquets, à chaque paquet on ajoute les entêtes propres au réseau (IP, UDP, RTP....) et pour finir, il est envoyé sur le réseau. Ce principe est illustré dans la figure 23.

8. Restitution

6. Réception

Convertisseur

analogique

numérrique

7. Conversion num/analogique

Figure 23 : numérisation de la voix

II.2.3.1. Acquisition du signal

La première étape consiste naturellement à capter la voix à l'aide d'un micro, qu'il s'agisse de celui d'un téléphone ou d'un micro casque.

II.2.3.2. Numérisation

La voix passe alors dans un convertisseur analogique numérique qui réalise deux tâches distinctes

34

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

V' Echantillonnage du signal sonore: un prélèvement périodique de ce signal, il s'agit d'enregistrer à des intervalles très rapprochés la valeur d'un signal afin de pouvoir disposer d'un enregistrement proche de la valeur réelle de ce signal.

V' Quantification : qui consiste à affecter une valeur numérique (en binaire) à chaque échantillon. Plus les échantillons ne sont codés sur un nombre de bits important, meilleure sera la qualité

II.2.3.3. Compression

Le signal une fois numérisé peut être traité par un DSP (Digital Signal Processor) qui va le compresser, c'est-à-dire réduire la quantité d'informations nécessaire pour l'exprimer. L'avantage de la compression est de réduire la taille des données.

II.2.3.4. Habillage des en-têtes

Les données doivent encore être enrichies en informations avant d'être converties en paquets de données à expédier sur le réseau. Nous illustrons par un exemple de type de trafic synchronisation: s'assurer du réassemblage des paquets dans l'ordre

II.2.3.5. Emission et transport

Les paquets sont acheminés depuis le point d'émission pour atteindre le point de réception sans qu'un chemin précis soit réservé pour leur transport.

II.2.3.6. Réception

Lorsque les paquets arrivent à destination, il est essentiel de les replacer dans le bon ordre et assez rapidement. Faute de quoi une dégradation de la voix se fera sentir.

II.2.3.7. Conversion numérique analogique

La conversion numérique analogique est l'étape réciproque de l'étape b. II.2.3.8. Restitution

Dès lors, la voix peut être retranscrite par le haut-parleur du casque, du combiné téléphonique ou de l'ordinateur.

II.2.4 Les contraintes de la voix sur IP

La qualité du transport de la voix est affectée par les paramètres suivants :

? La qualité du codage ;

? Le délai d'acheminement (delay) ; ? La gigue (jitter) ;

35

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

? La perte de paquets (packetloss) ; ? L'écho.

Toutes ces contraintes déterminent la qualité de service (QoS). Le transport de la voix sur IP implique l'utilisation de nombreux protocoles, tels : RTP, RTCP, H245, H225,...

Des normes ont vu le jour afin que les équipements de différentes entreprises puissent Communiquer entre eux, le premier fut H.323, puis arriva la norme SIP en second lieu.

II.2.4.1 Qualité du codage

Généralement, plus le taux de compression est élevé par rapport à la référence de 64Kb/s (G711), moins la qualité de la voix est bonne. Les algorithmes de compression récents permettent d'obtenir des taux de compression élevés, tout en maintenant une qualité de la voix acceptable. L'acceptabilité par l'oreille humaine des différents algorithmes est définie selon le critère MOS (Mean Operationnal Score), défini par l'organisme de normalisation internationale ITU (International Telecommunication Union / Union internationale des Télécommunications). Dans la pratique, les deux algorithmes les plus utilisés sont le G.729 et le G.723.1.Le tableau 1 ci-après montre une liste de codecs avec leur débit correspondant.

Nom du codec		Débit	G.711
64 kbps		G.726 b
32 kbps		G.726 a
24 kbps		G.728
16 kbps		G.729
8 kbps		G.723.1
MPMLQ 6.3 kbps		G.723.1
ACELP 5.3 kbps

Tableau 1: Montre la liste des codecs avec leur débit correspondant II.2.4.2 Délai d'acheminement

LATENCE (Delay) Selon la norme ITU G114, le délai d'acheminement

permet:

? Entre 0 et 150 ms, une conversation normale ;

? Entre 150 et 300 ms, une conversation de qualité acceptable ;

36

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

? Entre 300 et 700 ms, uniquement une diffusion de voix en half duplex (mode talkie-walkie) Au-delà, la communication n'est plus possible.

Précisons que le budget temps (latence) est une combinaison du délai dû au réseau et du délai lié au traitement de la voix par le codec (algorithmes de compression/décompression de la voix). Dans la pratique, si l'on enlève le temps dû aux algorithmes de compression, il est impératif que le réseau achemine la voix dans un délai de 100 à 200 ms. Or, la durée de traversée d'un réseau IP est dépendante du nombre de routeurs traversés ; le temps de traversée d'un routeur étant lui-même fonction de la charge de ce dernier qui fonctionne par file d'attente.

II.2.4.3 Gigue (JITTER)

La gigue (variation des délais d'acheminement des paquets voix) est générée par la variation de charge du réseau (variation de l'encombrement des lignes ou des équipements réseau) et à la variation de routes dans le réseau. Chaque paquet est susceptible de transiter par des combinaisons différentes de routeurs entre la source et la destination. Pour compenser la gigue, on peut utiliser des buffers (mémoire tampon) côté récepteur, afin de reconstituer un train continu et régulier de paquets voix. Toutefois, cette technique a l'inconvénient de rallonger le délai d'acheminement des paquets. Il est donc préférable de disposer d'un réseau à gigue limitée.

II.2.4.4 Perte de paquets

Lorsque les routeurs IP sont congestionnés, ils libèrent automatiquement de la bande passante en se débarrassant d'une certaine proportion des paquets entrants en fonction de seuils prédéfinis.

La perte de paquets est préjudiciable, car il est impossible de réémettre un paquet voix perdu, compte tenu du temps dont on dispose. Le moyen le plus efficace de lutter contre la perte d'informations consiste à transmettre des informations redondantes (code correcteur d'erreurs), qui vont permettre de reconstituer l'information perdue. Des codes correcteurs d'erreurs, comme le Reed Solomon, permettent de fonctionner sur des lignes présentant un taux d'erreur de l'ordre de 15 ou 20 %. Une fois de plus, ces codes correcteurs d'erreurs présentent l'inconvénient d'introduire une latence supplémentaire. Certains, très sophistiqués, ont une latence très faible.

II.2.4.5 Echo

L'écho est un phénomène lié principalement à des ruptures d'impédance lors du passage de 2 fils à 4 fils. Le phénomène d'écho est particulièrement sensible à un délai d'acheminement supérieur à 50 ms. Il est nécessaire d'incorporer un équipement ou un logiciel qui permet d'annuler l'écho.

37

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

II.3 LES PROTOCOLES MULTIMEDIAS

Un protocole est un ensemble de spécifications décrivant les conventions et les règles à suivre dans un échange de données. Son rôle ne s'arrête pas là. Un protocole permet aussi d'initialiser la communication, d'échanger de données.

On distingue plusieurs types de protocoles. Dans ce travail nous expliquons les protocoles multimédias: les protocoles de signalisation (H.323 et SIP) et les protocoles de transport de la voix (RTP et RTCP).

II.3.1 les Protocoles de signalisation

Notre étude sera basée sur les protocoles les plus utilisés : H.323 et SIP que nous allons développer dans cette section

II.3.1.1. Protocole H.323

II.3.1.1.1 Description générale du protocole H.323

Le standard H.323 fournit, depuis son approbation en 1996, un cadre pour les communications audio, vidéo et de données sur les réseaux IP. Il a été développé par l'ITU (International Télécommunications Union) pour les réseaux qui ne garantissent pas une qualité de service (QoS), tels qu'IPX sur Ethernet, Fast Ethernet et Token Ring. Il est présent dans plus de 30 produits et il concerne le contrôle des appels, la gestion multimédia, la gestion de la bande passante pour les conférences point-à-point et multipoints. H.323 traite également de l'interfaçage entre le LAN et les autres réseaux.

Le protocole H.323 fait partie de la série H.32x qui traite de la vidéoconférence au travers différents réseaux. Il inclut H.320 et H.324 liés aux réseaux ISDN (Integrated Service Data Network) et PSTN (Public Switched Telephone Network).

Plus qu'un protocole, H.323 crée une association de plusieurs protocoles différents et qui peuvent être regroupés en trois catégories : la signalisation, la négociation de codec et le transport de l'information.

? Les messages de signalisation sont ceux envoyés pour demander la mise en relation de deux clients, qui indique que la ligne est occupée ou que le téléphone sonne, etc. En H.323, la signalisation s'appuie sur le protocole RAS pour l'enregistrement et l'authentification, le protocole Q.931 pour l'initialisation et le contrôle d'appel.

? La négociation est utilisée pour se mettre d'accord sur la façon de coder les informations à échanger. Il est important que les téléphones (ou systèmes) utilisent un langage commun s'ils veulent se comprendre. Il s'agit du codec le moins gourmand en bande passante ou de celui qui offre la meilleure qualité. Il serait aussi préférable d'avoir plusieurs alternatives de langages. Le protocole utilisé pour la négociation de codec est le H.245.

38

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

? Le transport de l'information s'appuie sur le protocole RTP qui transporte la voix, la vidéo ou les données numérisées par les codecs. Les messages RTCP peuvent être utilisés pour le contrôle de la qualité, ou la renégociation des codecs si, par exemple, la bande passante diminue.

Une communication H.323 se déroule en cinq phases : l'établissement d'appel, l'échange de capacité et réservation éventuelle de la bande passante à travers le protocole RSVP (Ressource réservation Protocol), l'établissement de la communication audio-visuelle, l'invocation éventuelle de services en phase d'appel (par exemple, transfert d'appel, changement de bande passante, etc.) et enfin la libération de l'appel.

II.3.1.1.2. Rôle de composants

L'infrastructure H.323 repose sur quatre composants principaux : les terminaux, les Gateways, les Gatekeepers, et les MCU (Multipoint Control Unit). La figure 24 représente les composants de l'architecture H.323.

Fig.24 : Les composants de l'architecture H.323 ? LES TERMINAUX H.323

Le terminal peut être un ordinateur, un combiné téléphonique, un terminal spécialisé pour la vidéoconférence ou encore un télécopieur sur Internet. Le minimum imposé par H.323 est qu'il mette en oeuvre la norme de compression de la parole G.711, qu'il utilise le protocole H.245 pour la négociation de l'ouverture d'un canal et l'établissement des paramètres de la communication, ainsi que le protocole de signalisation Q.931 pour l'établissement et l'arrêt des communications.

Le terminal possède également des fonctions optionnelles, notamment, pour le travail en groupe et le partage des documents. Il existe deux types de terminaux H.323, l'un de haute qualité (pour une utilisation sur LAN), l'autre optimisé pour de petites largeurs de bandes (28,8/33,6 kbit/s - G.723.1 et H.263).

39

Fig. 25: Zone H.323

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

? GATEWAY OU PASSERELLE

Les passerelles H.323 assurent l'interconnexion avec les autres réseaux, ex:(H.320/RNIS), les modems H.324, les téléphones classiques, etc. Elles assurent la correspondance de signalisation de Q.931, la correspondance des signaux de contrôle et la cohésion entre les médias (multiplexage, correspondance des débits, transcodage audio).

? GATEKEEPER OU PORTIERS

Dans la norme H323, Le Gatekeeper est le point d'entrée au réseau pour un

client H.323.

Il définit une zone sur le réseau, appelée zone H.323 (voir figure II.4 ci-dessous), regroupant plusieurs terminaux, Gateway et MCU dont il gère le trafic, le routage LAN, et l'allocation de la bande passante. Les clients ou les Gateway s'enregistrent auprès du Gatekeeper dès l'activation de celui-ci, ce qui leur permet de retrouver n'importe quel autre utilisateur à travers son identifiant fixe obtenu auprès de son Gatekeeper de rattachement.

Le Gatekeeper a pour fonctions :

y' la translation des alias H.323 vers des adresses IP, selon les spécifications RAS (Registration/Admission/Status) ;

y' le contrôle d'accès, en interdisant les utilisateurs et les sessions non Autorisés ; y' et la gestion de la bande passante, permettant à l'administrateur du réseau de limiter le nombre de visioconférences simultanées.

Une fraction de la bande passante est allouée à la visioconférence pour ne pas gêner les applications critiques sur le LAN et le support des conférences multipoint ad hoc.

Les composants du protocole H.323 sont représentés dans la figure 25, qui constitue une zone H.323 :

40

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

> LES MCU

Les contrôleurs multipoint appelés MCU (Multipoint Control Unit) offrent aux utilisateurs la possibilité de faire des visioconférences à trois terminaux et plus en « présence continue » ou en « activation à la voix ». Un MCU consiste en un Contrôleur Multipoint (MC), auquel est rajouté un ou plusieurs Processeurs Multipoints (MP). Le MC prend en charge les négociations H.245 entre tous les terminaux pour harmoniser les paramètres audio et vidéo de chacun. Il contrôle également les ressources utilisées. Mais le MC ne traite pas directement avec les flux audio, vidéo ou données, c'est le MP qui se charge de récupérer les flux et de leurs faire subir les traitements nécessaires. Un MC peut contrôler plusieurs MP distribués sur le réseau et faisant partie d'autres MCU.

II.3.1.1.3. Avantages du protocole H.323

y' Gestion de la bande passante : H.323 permet une bonne gestion de la bande passante en posant des limites au flux audio/vidéo afin d'assurer le bon fonctionnement des applications critiques sur le LAN. Chaque terminal H.323 peut procéder à l'ajustement de la bande passante et la modification du débit en fonction du comportement du réseau en temps réel (latence, perte de paquets et gigue).

y' Support Multipoint : H.323 permet de faire des conférences multipoint via une structure centralisée de type MCU (Multipoint Control Unit) ou en mode ad-hoc.

y' Support Multicast : H.323 permet également de faire des transmissions en multicast.

y' Interopérabilité : H.323 permet aux utilisateurs de ne pas se préoccuper de la manière dont se font les communications, les paramètres (les codecs, le débit...) sont négociés de manière transparente.

y' Flexibilité : une conférence H.323 peut inclure des terminaux hétérogènes (studio de visioconférence, PC, téléphones...) qui peuvent partager selon le cas, de la voix de la vidéo et même des données grâce aux spécifications T.120.

II.3.1.1.4. Inconvénients du protocole H.323

y' La complexité de mise en oeuvre et les problèmes d'architecture en ce qui concerne la convergence des services de téléphonie et d'Internet, ainsi qu'un manque de modularité et de souplesse.

y' Comprend de nombreuses options susceptibles d'être implémentées de façon différentes par les constructeurs et de poser des problèmes d'interopérabilité.

II.3.1.2. Protocoles SIP

II.3.1.2.1. Description générale du protocole SIP

SIP signifie « Session Initiation Protocol» c'est un protocole standard ouvert de télécommunications multimédia (son, message, vidéo, etc.). il est actuellement le protocole le plus utilisé pour téléphonie par Internet ou Voix sur IP.

41

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

Le SIP n'est pas uniquement destiné à la VoIP, mais également à de nombreuses applications telles que la messagerie instantanée, la visiophonie, la réalité virtuelle ou même les jeux vidéo.

Le SIP est un protocole qui a été normalisé et standardisé par l'IETF (Internet Engineering Task Force). Il a été conçu pour établir, modifier et terminer des sessions multimédias. Le SIP remplace progressivement le protocole H.323, le protocole SIP est aujourd'hui devenu la norme de secteur des télécoms pour les communications multimédias.

Le seul acteur majeur n'utilisant pas le protocole SIP est le service «Skype», ce qui le prive d'être compatible avec la plupart de matériels, logiciels et application SIP du marché

II.3.1.2.2. Principe de fonctionnement

Puisque on choisira le protocole SIP pour effectuer notre travail, on s'approfondira à expliquer les différents aspects, caractéristiques qui font du protocole SIP un bon choix pour l'établissement de la session, les principales caractéristiques du protocole SIP sont :

? Fixation d'un compte SIP

Il est important de s'assurer que la personne appelée soit toujours joignable. Un compte SIP sera associé à un nom unique. Nous illustrons par exemple, si un utilisateur d'un service de voix sur IP dispose d'un compte SIP et que chaque fois qu'il redémarre son ordinateur, son adresse IP change, il doit cependant toujours être joignable. Son compte SIP doit être associé à un serveur SIP (proxy SIP) dont l'adresse IP est fixe. Ce serveur lui allouera un compte et il permettra d'effectuer ou de recevoir des appels quelques soit son emplacement. Ce compte sera identifiable via son nom (ou pseudo).

? Changement des caractéristiques durant une session

Un utilisateur doit pouvoir modifier les caractéristiques d'un appel en cours. Nous illustrons par l'exemple suivant, un appel initialement configuré en peut être modifié en (voix+ vidéo).

? Différents modes de communication

Avec SIP, les utilisateurs qui ouvrent une session peuvent communiquer en mode point à point, en mode diffusif ou dans un mode combinant ceux-ci.

? Mode Point à point : on parle dans ce cas-là d'«unicast » qui correspond à la communication entre deux machines.

? Mode diffusif : on parle dans ce cas-là de « multicast » (plusieurs utilisateurs via une unité de contrôle MCU - Multipoint Control Unit).

42

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

· Combinatoire : combine les deux modes précédents. Plusieurs utilisateurs interconnectés en multicast via un réseau à maillage complet de connexion.

? Gestion des participants

Durant une session d'appel, de nouveaux participants peuvent joindre les participants d'une session déjà ouverte en participant directement, en étant transférés ou en étant mis en attente (cette particularité rejoint les fonctionnalités d'un PABX par exemple, où l'appelant peut être transféré vers un numéro donné ou être mis en attente).

? Négociation des médias supportés

Cela permet à un groupe durant un appel de négocier sur les types de médias supportés. Nous illustrons par l'exemple suivant, la vidéo peut être ou ne pas être supportée lors d'une session.

? Adressage

Les utilisateurs disposant d'un numéro (compte) SIP disposent d'une adresse ressemblant à une adresse mail ( sip:numé[e-mail]). Le numéro SIP est unique pour chaque utilisateur.

? Modèle d'échange

Le protocole SIP repose sur un modèle Requête/Réponse. Les échanges entre un terminal appelant et un terminal appelé se font par l'intermédiaire de requêtes. La liste de requêtes échangées est la suivante :

· Invite : cette requête indique que l'application (ou utilisateur) correspondante à l'url SIP spécifié est invité à participer à une session. Le corps du message décrit cette session (par exemple : média supportés par l'appelant). En cas de réponse favorable, l'invité doit spécifier les médias qu'il supporte.

· Ack : cette requête permet de confirmer que le terminal appelant a bien reçu une réponse définitive à une requête Invite.

· Options : un proxy server en mesure de contacter l'UAS (terminal) appelé, doit répondre à une requête Options en précisant ses capacités à contacter le même terminal.

· Bye : cette requête est utilisée par le terminal de l'appelé à fin de signaler qu'il souhaite mettre un terme à la session.

· Cancel : cette requête est envoyée par un terminal ou un proxy server à fin d'annuler une requête non validée par une réponse finale comme, par exemple, si une machine ayant été invitée à participer à une session, et ayant accepté l'invitation ne reçoit pas de requête Ack, alors elle émet une requête Cancel.

43

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

· Registre : cette méthode est utilisée par le client pour enregistrer l'adresse listée dans l'URL TO par le serveur auquel il est relié.

? Codes d'erreurs

Une réponse à une requête est caractérisée, par un code et un motif, appelés respectivement code d'état et raison phrase. Un code d'état est un entier codé sur 3 digits indiquant un résultat à l'issue de la réception d'une requête. Ce résultat est précisé par une phrase, text based (UTF-8), expliquant le motif du refus ou de l'acceptation de la requête. Le code d'état est destiné à l'automate gérant l'établissement des sessions SIP et les motifs aux programmeurs.

Il existe 6 classes de réponses et de codes d'état, représentées par le premier

digit :

· 1xx = Information - La requête a été reçue et continue à être traitée.

· 2xx = Succès - L'action a été reçue avec succès, comprise et acceptée.

· 3xx = Redirection - Une autre action doit être menée afin de valider la requête.

· 4xx = Erreur du client - La requête contient une syntaxe erronée ou ne peut pas être traitée par ce serveur.

· 5xx = Erreur du serveur - Le serveur n'a pas réussi à traiter une requête apparemment correcte.

· 6xx = Echec général - La requête ne peut être traitée par aucun serveur.

II.3.1.2.3. Les équipements du protocole SIP

Contrairement à H.323, largement fondé sur une architecture physique, le protocole SIP s'appuie sur une architecture purement logicielle.

Le protocole SIP s'articule principalement autour des cinq composantes suivants : terminal utilisateur ; serveur d'enregistrement ; serveur de localisation ; serveur de redirection et serveur proxy. La figure 26 illustre de façon générique les communications entre ces éléments. Un seul terminal étant présent sur cette figure, aucune communication n'est possible.

Nous nous intéressons aux seuls échanges entre le terminal et les services que ce dernier est susceptible d'utiliser lors de ses communications.

44

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

Fig. 26 : Composante du protocole SIP

On peut schématiquement observer qu'il existe deux catégories de services: L'un fourni au niveau de l'utilisateur (par le terminal), l'autre fourni au niveau des serveurs du réseau. Ces derniers sont répartis en deux classes : les serveurs de redirection et proxy, qui facilitent le routage des messages de signalisation et jouent le rôle d'intermédiaires, et les serveurs de localisation et d'enregistrement, qui ont pour fonction d'enregistrer ou de déterminer la localisation des abonnés du réseau.

II.3.1.2.3.1. Terminal

Le terminal est l'élément dont dispose l'utilisateur pour appeler et être appelé. Il doit donc permettre de composer des numéros de téléphone. Il peut se présenter sous la forme d'un composant matériel (un téléphone) ou d'un composant logiciel (un programme lancé à partir d'un ordinateur).

? User Agent Server (UAS) : représente l'agent de la partie appelée. C'est une application de type serveur qui contacte l'utilisateur lorsqu'une requête SIP est reçue. Et elle renvoie une réponse au nom de l'utilisateur.

? User Agent Client (U.A.C) : représente l'agent de la partie appelante. C'est une application de type client qui initie les requêtes. La figure 27 Ci-dessous présente le modèle communication entre UAC et UAS.

Requête

User Agent Client

User Agent Server

Fig. 27 : Communication entre UAC et UAS

45

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

II.3.1.2.3.2. Serveur d'enregistrement

Deux terminaux peuvent communiquer entre eux sans passer par un serveur d'enregistrement, à condition que l'appelant connaisse l'adresse IP de l'appelé. Cette contrainte est fastidieuse, car un utilisateur peut être mobile et ne pas avoir d'adresse IP fixe, par exemple s'il se déplace avec son terminal ou s'il se connecte avec la même identité à son lieu de travail et à son domicile. En outre, l'adresse IP peut être fournie de manière dynamique par un serveur DHCP.

Le serveur d'enregistrement (Register Server) offre un moyen de localiser un correspondant avec souplesse, tout en gérant la mobilité de l'utilisateur. Il peut en outre supporter l'authentification des abonnés. Cette figure 29 montre l'enregistrement du terminal d'Amparo sur un serveur Registrar.

A la réception du message REGISTER, le serveur Registrar a accès à l'adresse IP de la source, Amparo dans l'en-tête IP du message.

Fig. 28 : Enregistrement SIP

II.3.1.2.3.3. Serveur de localisation

Le serveur de localisation (Location Server) joue un rôle complémentaire par rapport au serveur d'enregistrement en permettant la localisation de l'abonné.

Ce serveur contient la base de données de l'ensemble d'abonnés qu'il gère. Cette base est renseignée par le serveur d'enregistrement. Chaque fois qu'un utilisateur s'enregistre auprès du serveur d'enregistrement, ce dernier en informe le serveur de localisation.

II.3.1.2.3.4. Serveur de redirection

Le serveur de redirection (Redirect Server) agit comme un intermédiaire entre le terminal client et le serveur de localisation. Il est sollicité par le terminal client pour contacter le serveur de localisation afin de déterminer la position courante d'un utilisateur.

46

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

II.3.1.2.3.5. Serveur Proxy

Les serveurs proxy jouent aussi un rôle collaboratif, puisque les requêtes qu'ils véhiculent peuvent transiter d'un serveur proxy à un autre, jusqu'à atteindre le destinataire. Notons que le serveur proxy ne fait jamais transiter de données multimédias et qu'il ne traite que les messages SIP.

Le serveur proxy remplit les différentes fonctions suivantes :

y' localiser un correspondant ;

y' réaliser éventuellement certains traitements sur les requêtes ;

y' initier, maintenir et terminer une session vers un correspondant.

II.3.1.2.4. Avantages et inconvénients du protocole SIP > Avantages

y' L'implémentation de la Voip avec le protocole de signalisation SIP (Session Initiation Protocol) fournit un service efficace, rapide et simple d'utilisation. SIP est un protocole rapide et léger.

y' Les utilisateurs s'adressent à ces serveurs Proxy pour s'enregistrer ou demander l'établissement de communications. Toute la puissance et la simplicité du système viennent de là. On peut s'enregistrer sur le Proxy de son choix indépendamment de sa situation géographique. L'utilisateur n'est plus "attaché" à son autocommutateur.

y' Une entreprise avec plusieurs centaines d'implantations physique différente n'a besoin que d'un serveur Proxy quelque part sur l'Internet pour établir "son" réseau de téléphonique "gratuit" sur l'Internet un peu à la manière de l'émail.

> Inconvénients

y' L'une des conséquences de cette convergence est que le trafic de voix et ses systèmes associés sont devenus aussi vulnérables aux menaces de sécurité que n'importe quelle autre donnée véhiculée par le réseau.

y' En effet, SIP est un protocole d'échange de messages basé sur HTTP. Ainsi, il est très vulnérable face à des attaques de types DoS (Dénis de Service), détournement d'appel, trafic de taxation, etc.

II.3.1.2.5. comparaison entre le protocole SIP et H.323

y' Les deux protocoles SIP et H323 représentent les standards définis jusqu'à présent pour la signalisation à propos de la téléphonie sur Internet .Ils présentent tous les deux des approches différentes pour résoudre un même problème.

47

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

y' H323 est basé sur une approche traditionnelle du réseau à commutation de circuits. Quant à SIP, il est plus léger car basé sur une approche similaire au protocole http.

y' La complexité de H.323 provient encore du fait de la nécessité de faire appel à plusieurs protocoles simultanément pour établir un service, par contre SIP n'a pas ce problème.

y' H323 ne reconnaît que les Codecs standardisés pour la transmission des données multimédias proprement dit alors que SIP, au contraire, peut très bien en reconnaître d'autres. Ainsi, on peut dire que SIP est plus évolutif que H.323.

Le tableau 2 nous donne l'approche comparative du protocole SIP et du protocole H.323.

	SIP	H.323
Nombre d'échanges pour établir la connexion	1,5 aller-retour	6 à 7 allers retours
Maintenance du code Protocolaire	Simple par sa nature textuelle à l'exemple de http	Complexe et nécessitant un compilateur
Evolution du protocole	Protocole ouvert à de nouvelles fonctions	Ajout d'extensions propriétaires sans concertation entre vendeurs
Fonction de conférence	Distribuée	Centralisée par l'unité MCU
Fonction de télé services	Oui, par défaut	H.323 v2 + H.450
Détection d'un appel en Boucle	Oui	Inexistante sur la version 1, un appel routé sur l'appelant provoque une infinité de requêtes
Signalisation multicast	Oui, par défaut	Non

Tableau 2 : comparaison entre le protocole SIP et H.323

En résumé, La simplicité, la rapidité et la légèreté d'utilisation, tout en étant très complet, du protocole SIP sont autant d'arguments qui pourraient lui permettre de convaincre les investisseurs. De plus, ses avancées en matière de sécurisation des messages sont un atout important par rapport à ses concurrents.

II.3.2. Protocoles De Transport

Nous décrivons deux autres protocoles de transport utilisés pour la voix sur IP, à savoir : le RTP et le RTCP.

II.3.2.1 Le protocole RTP

Le protocole RTP (Real Time Protocol) ou encore protocole de transport en temps réel, a été développé au sein du groupe de travail AVT (Audio Vidéo Transport) de

48

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

l'IETF. RTP définit un format d'encapsulation de données multimédias temps réel compatible ALF sur l'internet.

Ce protocole assure une numérotation et un horodatage des paquets en encapsulant les données dans un nouvel entête. Il repose lui-même sur le protocole UDP, qui ne renvoie pas les trames perdues en cours de route, afin de privilégier l'enchaînement du son et des images, plutôt que l'intégrité des données.

II.3.2.1.1. Les fonctions du protocole RTP

Le protocole RTP a pour but d'organiser les paquets à l'entrée du réseau et de les contrôler à la sortie.

C'est un protocole de bout en bout, volontairement incomplet et malléable pour s'adapter aux besoins des applications. Il sera intégré dans le noyau de l'application. Il laisse la responsabilité du contrôle aux équipements d'extrémité. C'est aussi un protocole adapté aux applications présentant des propriétés temps réel.

Il permet ainsi de :

? Mettre en place un séquencement des paquets par une numérotation afin de permettre ainsi la détection des paquets perdus. C'est un point primordial dans la reconstitution des données ;

? Identifier le contenu des données pour leurs associer un transport sécurisé et reconstituer la base de temps des flux (horodatage des paquets : possibilité de resynchronisation des flux par le récepteur) ;

? L'identification de la source, c'est à dire l'identification de l'expéditeur du paquet. Dans un multicast, l'identité de la source doit être connue et déterminée ;

II.3.2.1.2. Avantages et inconvénients du protocole RTP ? Avantages du protocole RTP

- Le protocole RTP permet de reconstituer la base de temps des différents flux multimédia (audio, vidéo, etc.);

- de détecter les pertes de paquets ;

- et d'identifier le contenu des paquets pour leur transmission sécurisée.

? Inconvénients du protocole RTP

- Il ne permet pas de réserver des ressources dans le réseau ou d'apporter une fiabilité dans le réseau ;

- Il ne garantit pas le délai de livraison.

49

V' RR (Receiver Report) : Ensemble de statistiques portant sur la communication entre les participants. Ces rapports sont issus des récepteurs d'une session.

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

II.3.2.2. Le protocole RTCP

Le protocole RTCP est fondé sur la transmission périodique de paquets de contrôle à tous les participants d'une session. C'est le protocole UDP (par exemple) qui permet le multiplexage des paquets de données RTP et des paquets de contrôle RTCP.

Le protocole RTP utilise le protocole RTCP, Real-time Transport Control Protocol, qui transporte les informations supplémentaires pour la gestion de la session. Les récepteurs utilisent RTCP pour renvoyer vers les émetteurs un rapport sur la QoS.

II.3.2.2.1. Les fonctions du protocole RTCP

Parmi les principales fonctions qu'offre le protocole RTCP sont les suivants :

V' Une synchronisation supplémentaire entre les médias : Les applications multimédias sont souvent transportées par des flots distincts. Nous illustrons par exemple, la voix, l'image ou même des applications numérisées sur plusieurs niveaux hiérarchiques peuvent voir les flots gérées et suivre des chemins différents.

V' L'identification des participants à une session : les paquets RTCP contiennent des informations d'adresses, comme l'adresse d'un message électronique, un numéro de téléphone ou le nom d'un participant à une conférence téléphonique.

V' Le contrôle de la session : le protocole RTCP permet aux participants d'indiquer leur départ d'une conférence téléphonique (paquet Bye de RTCP) ou simplement de fournir une indication sur leur comportement.

Le protocole RTCP demande aux participants de la session d'envoyer périodiquement les informations citées ci-dessus. La périodicité est calculée en fonction du nombre de participants de l'application. On peut dire que les paquets RTP ne transportent que les données des utilisateurs. Tandis que les paquets RTCP ne transportent en temps réel, que de la supervision.

Ce protocole défini Cinq paquets de contrôle :

V' SR (Sender Report) : Ce rapport regroupe des statistiques concernant la transmission (pourcentage de perte, nombre cumulé de paquets perdus, variation de délai (gigue), etc.). Ces rapports sont issus d'émetteurs actifs d'une session.

50

VoIP permet des possibilités avancées de largeur de bande et la vidéoconférence améliorée et à un prix raisonnable.

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

V' SDES (Source Description) : Carte de visite de la source (nom, e-mail, localisation). V' BYE : Message de fin de participation à une session.

V' APP : Fonctions spécifiques à une application.

II.3.2.2.2. Point fort et limite du protocole RTCP

Le protocole de RTCP est adapté pour la transmission de données temps réel. Il permet d'effectuer un contrôle permanant sur une session et ces participants. Par contre il fonctionne en stratégie bout à bout. Et il ne peut pas contrôler l'élément principal de la communication le réseau.

II.4 AVANTAGES ET INCONVENIENTS DE LA TELEPHONIE SUR IP

II.4.1. Avantages

La voix sur IP offre de nombreuses nouvelles possibilités aux opérateurs et utilisateurs qui bénéficient d'un réseau basé sur IP. Les avantages le plus marqués sont les suivants.

? Coût bas

Cette technologie mène à la plus grande épargne financière. Se produit parce que là existe seulement un réseau portant la voix et les données fournies par seulement un fournisseur.

La téléphonie IP permet de relier et ou de configuration des téléphones au analogiques au IPBX sans passer par un PABX traditionnel et ainsi conserver les anciens téléphones (analogiques) ou le câblage.

Cette technologie permet à un utilisateur nomade d'utiliser les services téléphoniques partout où il se connecte et permet de réduire les éventuels coûts liés à une sédentarité (téléphonie mobile, carte téléphonique, téléphone d'hôtel...).

Les coûts de communication sont réduits grâce aux fournisseurs émergeants qui proposent, à prix réduit, les appels nationaux et internationaux, cela permet aussi de communiquer entre les filiales à moindre coût.

? Vidéoconférence

51

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

? Dispositifs supplémentaires

A la différence du service de téléphone normal qui charge habituellement plus pour les dispositifs supplémentaires, VoIP vient avec une foule de dispositifs avancés de communication. Comme exemple le renvoi d'appel, l'attente d'appel, le courrier vocal, l'identification de visiteur et appeler à trois voies sont certains des nombreux services inclus avec le service téléphonique de VoIP à aucun supplément. Vous pouvez également envoyer des données telles que des images et des documents en même temps que vous parlez au téléphone.

? Simplification de la gestion, d'administration et de migration

Du fait d'une convergence vers un réseau unique, les procédures d'assistance, de configuration et d'intégration sont simplifiées (simplification de l'exploitation, unification des applications, etc....).

Les solutions de la téléphonie sur IP sont conçues pour dégager une stratégie de migration à faible risque à partir de l'infrastructure existante, car elles peuvent être installées en parallèle au réseau existant.

? Augmentation des services

Il y a une augmentation des services propres aux réseaux IP, comme notamment la détection de présence, c'est à dire savoir si l'utilisateur est en ligne ou non. Mais aussi les applications de l'entreprise peuvent intégrer les services téléphoniques, par exemple il y a une possibilité de téléphoner à un utilisateur en se servant des contacts du logiciel de messagerie.

II.4.2. Inconvénients

Si la VoIP commence à te retenir vraiment bon, veuillez-vous pour comprendre les désavantages suivants aussi bien.

? Aucun service pendant une coupure électrique

Pendant une panne d'électricité un téléphone normal est maintenu dans le service par le courant fourni par la ligne téléphonique. Ce n'est pas possible avec des téléphones d'IP, ainsi quand la puissance sort, il n'y aucun service téléphonique de VoIP. Afin d'employer VoIP pendant une coupure électrique, une alimentation d'énergie non interruptible ou un générateur doit être installé sur les lieux.

52

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

? Fiabilité

Puisque la VoIP se fonde sur une connexion Internet, votre service de VoIP sera affecté par la qualité et la fiabilité de votre service d'Internet à bande large et parfois par les limitations de votre PC.

Les connexions internet et la congestion pauvres peuvent avoir comme conséquence la qualité de voix déformée ou tordue. Si vous utilisez votre ordinateur en même temps que faire un appel de l'ordinateur VoIP, vous pouvez constater que la qualité de voix détériore nettement.

? Sécurité

La sécurité est une principale préoccupation avec VoIP, car elle est avec d'autres technologies d'Internet. Les problèmes de sécurité les plus en avant au-dessus de VoIP sont identité et vol de service, virus et malware, déni de service, spamming, appel trifouillant et les attaques phishing.

? Problème d'engorgement du réseau

Une dégradation d'une conversation téléphonique peut être due à une surcharge du réseau. La téléphonie nécessite peu de bande passante, mais requiert quand même un débit constant, ce besoin entre en contradiction avec la politique du protocole IP : "Best Effort".

II.5. CONCLUSION

Dans ce chapitre, nous avons décrit la VoIP en tant que solution la plus rentable pour effectuer des communications téléphoniques en entreprise, mais aussi une bonne solution en matière d'intégration de services données et voix, fiable et à moindre coût.

Malgré que la normalisation n'ait pas atteint la maturité suffisante pour sa généralisation au niveau des réseaux IP, il n'est pas dangereux de miser sur ces standards, vu qu'ils ont été acceptés par l'ensemble de la communauté de la téléphonie.

Dans le chapitre qui suit, nous allons aborder les aspects liés aux vulnérabilités de cette nouvelle technologie de communication, ainsi que les mesures de sécurisation de services.

53

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

CHAPITRE III : LE RESEAU PRIVE VIRTUEL: VPN [12] [13]

[1] [3] [11] [19] [20]

III.1 INTRODUCTION

VPN : Virtual Private Network (Réseau privé virtuel) en français est une technique permettant à un ou plusieurs postes distants de communiquer de manière sure, tout en empruntant les infrastructures publiques.

L'opportunité de migrer de la téléphonie classique vers la téléphonie IP, a offert plusieurs avantages pour les entreprises, et les a permis de bénéficier de nouveaux services, tels que la vidéoconférence et la transmission des données. L'intégration de ces services dans une seule plateforme nécessite plus de sécurité ainsi le besoin d'un VPN

Dans ce chapitre, nous allons décrire les attaques qui menacent la VoIP, et nous détaillerons quelques-unes. Nous finirons par une description des bonnes pratiques pour sécuriser les communications de type voix sur IP.

III.2. DEFINITIONS

III.2.1. Réseau privé

Couramment utilisés dans les entreprises, les réseaux privés entreposent souvent des données confidentielles à l'intérieur de l'entreprise. De plus en plus, pour des raisons d'interopérabilité, on y utilise les mêmes protocoles que ceux utilisés dans l'Internet. On appelle alors ces réseaux privés « intranet ». Y sont stockés des serveurs propres à l'entreprise en l'occurrence des portails, serveurs de partage de données, etc.

En général, les machines se trouvant à l'extérieur du réseau privé ne peuvent accéder à celui-ci. L'inverse n'étant pas forcément vrai. L'utilisateur au sein d'un réseau privé pourra accéder au réseau internet.

III.2.2. Réseau privé virtuel

Dans les réseaux informatiques et les télécommunications, le réseau privé virtuel (Virtual Private Networking en anglais, abrégé en VPN) est vu comme une extension des réseaux locaux et préserve la sécurité logique que l'on peut avoir à l'intérieur d'un réseau local. Il correspond en fait à une interconnexion de réseaux locaux via une technique de «tunnel ». Nous parlons de VPN lorsqu'un organisme interconnecte ses sites via une infrastructure partagée avec d'autres organismes.

Il existe deux types de telles infrastructures partagées : les « Publiques » comme Internet et les infrastructures dédiées que mettent en place les opérateurs pour offrir des services de VPN aux entreprises.

54

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

C'est sur internet et les infrastructures IP que se sont développées les techniques de «tunnel». Il permet d'échanger des données entre deux ordinateurs sur un réseau partagé ou public, selon un mode qui émule une liaison privée point à point.

Toutefois la plupart des entreprises ne peuvent pas se permettre de relier deux réseaux locaux distants par une ligne spécialisée, il est parfois nécessaire d'utiliser Internet comme support de transmission. Un bon compromis consiste à utiliser Internet comme support de transmission en utilisant un protocole de "tunnellisation" (en anglais tunneling), c'est-à-dire encapsulant les données à transmettre de façon chiffrée. Nous parlons alors de réseau privé virtuel pour désigner le réseau ainsi artificiellement créé

III.3. CONCEPTS DE VPN

Les réseaux locaux d'entreprise (LAN ou RLE) sont des réseaux internes à une organisation, c'est-à-dire que les liaisons entre machines appartiennent à l'organisation. Ces réseaux sont souvent reliés à Internet par l'intermédiaire d'équipements d'interconnexion. Il arrive que des entreprises éprouvent le besoin de communiquer avec des filiales, des clients ou même des personnels géographiquement éloignés via Internet.

Pour autant, les données transmises sur Internet sont beaucoup plus vulnérables que lorsqu'elles circulent sur un réseau interne à une organisation car le chemin emprunté n'est pas défini à l'avance, ce qui signifie que les données empruntent une infrastructure réseau publique appartenant à différents opérateurs. Ainsi il n'est pas impossible que sur le chemin parcouru, le réseau soit écouté par un utilisateur indiscret ou même détourné. Il n'est donc pas concevable de transmettre dans de telles conditions des informations sensibles pour l'organisation ou l'entreprise.

La première solution pour répondre à ce besoin de communication sécurisé consiste à relier les réseaux distants à l'aide de liaisons spécialisées. Toutefois la plupart des entreprises ne peuvent pas se permettre de relier deux réseaux locaux distants par une ligne spécialisée, il est parfois nécessaire d'utiliser Internet comme support de transmission. Un bon compromis consiste à utiliser Internet comme support de transmission en utilisant un protocole d'encapsulation" (en anglais tunneling, d'où l'utilisation impropre parfois du terme "tunnellisation"), c'est-à-dire encapsulant les données à transmettre de façon chiffrée.

On parle alors de réseau privé virtuel (noté RPV ou VPN, acronyme de Virtual Private Network) pour désigner le réseau ainsi artificiellement créé.

Ce réseau est dit virtuel car il relie deux réseaux "physiques" (réseaux locaux) par une liaison non fiable (Internet), et privé car seuls les ordinateurs des réseaux locaux de part et d'autre du VPN peuvent "voir" les données. Le système de VPN permet donc d'obtenir une liaison sécurisée à moindre coût, si ce n'est la mise en oeuvre des équipements terminaux.

55

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

En contrepartie il ne permet pas d'assurer une qualité de service comparable à une ligne louée dans la mesure où le réseau physique est public et donc non garanti. Ci-dessous la figure 29 présente une architecture d'un VPN.

Fig. 29 : Architecture d'un VPN

III.4. FONCTIONNEMENT D'UN VPN

Le VPN repose sur un protocole, appelé protocole de tunnelisation (tunneling protocol), c'est-à-dire un protocole permettant aux données passant d'une extrémité du VPN à l'autre d'être sécurisées par des algorithmes de cryptographie. La figure 30 ci-dessous présente le fonctionnement d'un VPN.

Fig. 30 : Fonctionnement d'un VPN

Le terme « tunnel » est une voie de communication dans lequel circulerons les données cryptées. Dans le cas d'un VPN établi entre deux machines, on appelle client VPN l'élément permettant de chiffrer et de déchiffrer les données du côté utilisateur (client) et serveur VPN (ou plus généralement serveur d'accès distant) l'élément chiffrant et déchiffrant les données du côté de l'organisation.

Lorsqu'un utilisateur nécessite d'accéder au réseau privé virtuel, sa requête sera transmise en clair au système passerelle, qui va se connecter au réseau distant par l'intermédiaire d'une infrastructure de réseau public, puis va transmettre la requête de façon chiffrée. L'ordinateur distant va alors fournir les données au serveur VPN de son réseau local

56

La première permet à l'utilisateur de communiquer sur plusieurs réseaux en créant plusieurs tunnels, mais nécessite un fournisseur d'accès proposant un NAS (Network

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

qui va transmettre la réponse de façon chiffrée. A la réception sur le client VPN de l'utilisateur, les données seront déchiffrées, puis transmises à l'utilisateur...

Les principaux avantages d'un VPN :

y' Sécurité : assure des communications sécurisées et chiffrées.

y' Simplicité : utilise les circuits de télécommunication classiques.

y' Economie : utilise l'internet en tant que média principal de transport, ce qui évite les coûts liés à une ligne dédiée.

III.5. LES CONTRAINTES D'UN VPN

Le principe d'un VPN est d'être transparent pour les utilisateurs et pour les applications ayant accès. Il doit être capable de mettre en oeuvre les fonctionnalités suivantes : - Authentification d'utilisateur : seuls les utilisateurs autorisés doivent avoir accès au canal VPN.

- Cryptage des données : lors de leur transport sur le réseau public, les données doivent être protégées par un cryptage efficace.

- Gestion de clés : les clés de cryptage pour le client et le serveur doivent pouvoir être générées et régénérées.

- Prise en charge multi protocole : la solution VPN doit supporter les protocoles les plus utilisés sur les réseaux publics en particulier IP.

III.6. TYPE DE VPN

On distingue 3 types de VPN : III.6.1. Le VPN d'accès

Le VPN d'accès est utilisé pour permettre à des utilisateurs itinérants d'accéder au réseau privé. L'utilisateur se sert d'une connexion Internet pour établir la connexion VPN. Il existe deux cas:

- L'utilisateur demande au fournisseur d'accès de lui établir une connexion cryptée vers le serveur distant : il communique avec le Nas (Network Access Server) du fournisseur d'accès et c'est le NAS (Network Access Server) qui établit la connexion cryptée.

- L'utilisateur possède son propre logiciel client pour le VPN auquel cas il établit directement la communication de manière cryptée vers le réseau de l'entreprise.

Les deux méthodes possèdent chacune leurs avantages et leurs inconvénients :

57

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

Access Server) compatible avec la solution VPN choisie par l'entreprise. De plus, la demande de connexion par le Nas n'est pas cryptée. Ce qui peut poser des problèmes de sécurité.

Sur la deuxième méthode, le problème disparaît puisque l'intégralité des informations sera cryptée dès l'établissement de la connexion. Par contre, cette solution ne nécessite que chaque client transporte avec lui le logiciel, lui permettant d'établir une communication cryptée. Quelle que soit la méthode de connexion choisie, Ce type d'utilisation montre bien l'importance dans le VPN d'avoir une authentification forte des utilisateurs. La figure 31. Ci-dessous présent un VPN d'accès

Fig. 31 : VPN d'Accès

Il est nécessaire pour ce type de VPN de définir une authentification forte afin de vérifier les utilisateurs distants et mobiles. L'utilisateur utilise donc un ISP (Internet Service Provider) dans le but d'établir une communication sécurisée avec l'entreprise distante.

III.6.2. L'intranet VPN

L'intranet VPN est utilisé pour relier au moins deux intranets entre eux. Ce type de réseau est particulièrement utile au sein d'une entreprise possédant plusieurs sites distants. Le plus important dans Ce type de réseau est de garantir la sécurité et l'intégrité des données. Certaines données très sensibles peuvent être amenées à transiter sur le VPN (base de données client, informations financières...). Il s'agit d'une authentification au niveau de paquet pour assurer la validité des données, de l'identification de leur source ainsi que leur non-répudiation. La plupart d'algorithmes utilisés font appel à des signatures numériques qui sont ajoutées aux paquets. La confidentialité des données est, elle aussi, basée sur des algorithmes de cryptographie. La technologie en la matière est suffisamment avancée pour permettre une sécurité quasi parfaite. Le coût matériel des équipements de cryptage et décryptage ainsi que les limites légales interdisent l'utilisation d'un codage " infaillible ". Généralement pour la confidentialité, le codage en lui-même pourra être moyen à faible, mais sera combiné avec d'autres techniques comme l'encapsulation IP dans IP pour assurer une sécurité raisonnable. Ci-dessous, la figure 32 présente un Intranet VPN.

58

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

Fig. 32 : Intranet VPN

L'Intranet VPN favorise la communication entre les départements internes d'une entreprise et ses sites distants. Les VPN s'appuient alors sur le réseau d'un opérateur ou d'un ISP. Il est nécessaire de développer un fort chiffrement afin de protéger les informations sensibles qui peuvent circulé telles que les bases de données clients etc.

III.6.3. L'extranet VPN

Une entreprise peut utiliser le VPN pour communiquer avec ses clients et ses partenaires. Elle ouvre alors son réseau local à ces derniers. Dans ce cas, il est nécessaire d'avoir une authentification forte des utilisateurs, ainsi qu'une trace des différents accès. De plus, seul une partie des ressources sera partagée, ce qui nécessite une gestion rigoureuse des espaces d'échange. Ci-dessous, la figure 33 présente un extranet VPN.

Fig. 33 : Extranet VPN

L'Extranet VPN entre une compagnie, ses clients et partenaires stratégiques, nécessite une solution ouverte afin d'assurer l'interopérabilité avec les diverses solutions que les partenaires peuvent implémenter. Le standard actuel pour les VPN basés sur Internet est IPSec (Internet Protocol Security). Il est également important de gérer le trafic afin d'éviter le goulot d'étranglement à l'entrée du réseau, pour obtenir un temps de réponse le plus court possible à une demande critique.

59

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

III.7. TOPOLOGIES DE VPN

Les VPN s'appuient principalement sur Internet comme support de transmission, avec un protocole d'encapsulation et un protocole d'authentification, au niveau des topologies, on retrouve des réseaux privés virtuels en étoile, maillé ou partiellement maillé. Dans la figure 34 est présenté un VPN en étoile.

Siège

Fig. 34 : VPN en étoile

Dans cette topologie toutes les ressources sont centralisées au même endroit et c'est à ce niveau qu'on retrouve le serveur d`accès distant ou serveur VPN, dans ce cas de figure tous les employés du réseau s'identifient ou s'authentifient au niveau du serveur et pourront ainsi accéder aux ressources qui se situent sur l'intranet. Dans la figure 35 ci-dessous est présenté un VPN maillé.

Fig. 35 : VPN maillé

Dans cette autre topologie les routeurs ou passerelles présents aux extrémités de chaque site seront considérés comme des serveurs d'accès distant, les ressources sont décentralisées sur chacun des sites autrement dit les employés pourront accéder aux informations présents sur tous les réseaux.

60

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

III.8. PROTOCOLES DE SECURITE VPN

Les principaux protocoles de tunneling VPN sont les suivants :

V' Point-to-Point Tunneling Protocol (PPTP) est un protocole de niveau 2 développé par Microsoft, 3Com, Ascend, US Robotics et ECI Telematics.

V' Layer Two Tunneling Protocol (L2TP) est l'aboutissement des travaux de l'IETF (RFC 2661) pour faire converger les fonctionnalités de PPTP et L2F. Il s'agit d'un protocole de niveau 2 s'appuyant sur PPP.

V' IPSec est un protocole de niveau 3, issu des travaux de l'IETF, permettant de transporter des données chiffrées pour les réseaux IP.

III.8.1. Le protocole Point To Point Tunneling Protocol (PPTP)

Nous pouvons accéder à un réseau privé par l'intermédiaire d'Internet ou d'un autre réseau public au moyen d'une connexion à un réseau privé virtuel (VPN) utilisant le protocole PPTP (Point To Point Tunneling Protocol).

Le protocole PPTP (Point To Point Tunneling Protocol) est un protocole qui utilise une connexion PPP (Point to Point Protocole) à travers un réseau IP en créant un réseau privé virtuel (VPN). Microsoft a implémenté ses propres algorithmes afin de l'intégrer dans ses versions de Windows. Ainsi, PPTP est une solution très employée dans les produits VPN commerciaux à cause de son intégration au sein des systèmes d'exploitation Windows.

Le principe du protocole PPTP est de créer des paquets sous le protocole PPP et de les encapsuler dans des datagrammes IP. Le tunnel PPTP se caractérise par une initialisation du client, une connexion de contrôle entre le client et le serveur ainsi que par la clôture du tunnel par le serveur.

III.8.2. Le protocole Layer Two Tunneling Protocol (L2TP)

Nous pouvons accéder à un réseau privé par l'intermédiaire d'Internet ou d'un autre réseau public au moyen d'une connexion à un réseau privé virtuel (VPN) utilisant le protocole L2TP (Layer Two Tunneling Protocol). L2TP est un protocole de tunneling standard utilisé sur Internet qui possède pratiquement les mêmes fonctionnalités que le protocole PPTP (Point To Point Tunneling Protocol).La version de L2TP mise en oeuvre dans Windows XP est conçu pour s'exécuter en mode natif sur des réseaux IP. Cette version de L2TP ne prend pas en charge l'encapsulation en mode natif sur des réseaux X.25, Frame Relay ou ATM.

Sur la base des spécifications des protocoles L2F (Layer Two Forwarding) et PPTP (Point To Point Tunneling Protocol), Nous pouvons utiliser le protocole L2TP pour configurer des tunnels entre les réseaux concernés. À l'instar de PPTP, L2TP encapsule les trames PPP (Point To Point Protocol) qui encapsulent ensuite les protocoles IP ou IPX et permettent aux utilisateurs d'exécuter à distance des programmes qui sont tributaires de

61

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

protocoles réseau déterminés. Ci-dessous la figure 36 présente un Vpn utilisant le protocole L2TP.

Fig.36: VPN utilisant le protocole L2TP III.8.3. Le protocole Internet protocol security (IPsec)

Internet protocol security (IPsec) est un protocole qui vise à sécuriser l'échange de données au niveau de la couche réseau.

Le protocole IPSec est destiné à fournir différents services de sécurité. Il permet grâce à plusieurs choix et options de définir différents niveaux de sécurité afin de répondre de façon adaptée aux besoins de chaque entreprise. La stratégie IPSec permettant d'assurer la confidentialité, l'intégrité et l'authentification des données entre deux hôtes est gérée par un ensemble de normes et de protocoles :

V' Authentification des extrémités :

Elle permet à chacun de s'assurer de l'identité de chacun des interlocuteurs. L'authentification se fait entre les machines et non entre les utilisateurs, dans la mesure où IPSec est un protocole de couche 3.

V' Confidentialité des données échangées :

Le contenu de chaque paquet IP peut être chiffré afin qu'aucune personne non autorisée ne puisse le lire.

V' Authenticité des données :

IPSec permet de s'assurer que chaque paquet a bien été envoyé par l'hôte et qu'il a bien été reçu par le destinataire souhaité.

V' Intégrité des données échangées:

IPSec permet de vérifier qu'aucune donnée n'a été altérée lors du trajet.

62

Pour réaliser cette attaque, L'attaquant doit être capable d'écouter le réseau et récupérer les messages INVITE et BYE.

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

y' Protection contre les écoutes et analyses de trafic :

Le mode tunneling permet de chiffrer les adresses IP réelles et les en-têtes des paquets IP de l'émetteur et du destinataire. Ce mode permet ainsi de contrecarrer toutes les attaques de ceux qui voudraient intercepter des trames afin d'en récupérer leur contenu.

y' Protection contre le rejet :

IPSec intègre la possibilité d'empêcher un pirate d'intercepter un paquet afin de le renvoyer à nouveau dans le but d'acquérir les mêmes droits que l'envoyeur d'origine.

Ces différentes caractéristiques permettent à l'hôte A de crypter ses données et de les envoyer vers l'hôte B via le réseau, puis à l'hôte B de les recevoir et de les décoder afin de les lire sans que personne ne puisse altérer ou récupérer ces données.

III.9 LES ATTAQUES DANS LES RESEAUX VoIP

Les attaques sur les réseaux VoIP peuvent être classées en deux types : les attaques internes et les attaques externes. Les attaques externes sont lancées par des personnes autres que celles qui participent aux appels, et ils se produisent généralement quand les paquets VoIP traversent un réseau peu fiable et/ou l'appel passe par un réseau tiers durant le transfert des paquets. Les attaques internes s'effectuent directement au réseau local dans lequel se trouve l'attaquant.

Les types d'attaques les plus fréquentes contre un système VoIP sont :

III.9.1.Sniffing

Un renfilage (Sniffing) peut avoir comme conséquence un vol d'identité et la révélation d'informations confidentielles. Il permet également aux utilisateurs malveillants perfectionnés de rassembler des informations sur les systèmes VoIP. Ces informations peuvent par exemple être employées pour mettre en place une attaque contre d'autres systèmes ou données.

Plusieurs outils requis pour le sniffing, y compris pour le protocole H.323 et des plugins SIP, sont disponibles en open source.

III.9.2 Suivi des appels

Appelé aussi Call tracking, cette attaque se fait au niveau du réseau LAN/VPN et cible les terminaux (soft/hard phone). Elle a pour but de connaître qui est en train de communiquer et quelle est la période de la communication. L'attaquant doit récupérer les messages INVITE et BYE en écoutant le réseau et peut ainsi savoir qui communique, à quelle heure, et pendant combien de temps.

63

Exemple: quand un agent SIP envoie un message INVITE pour initier un appel, l'attaquant envoie un message de redirection 3xx indiquant que l'appelé s'est déplacé et

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

III.9.3 Injection des paquets RTP

Cette attaque se fait au niveau du réseau LAN/VPN. Elle cible le serveur registre, et a pour but de perturber une communication en cours.

L'attaquant devra tout d'abord écouter un flux RTP de l'appelant vers l'appelé, analyser son contenu et générer un paquet RTP contenant un en-tête similaire mais avec un plus grand numéro de séquence et times tramp, afin que ce paquet soit reproduit avant les autres paquets (s'ils sont vraiment reproduits). Ainsi, la communication sera perturbée et l'appel ne pourra pas se dérouler correctement.

Pour réaliser cette attaque, l'attaquant doit être capable d'écouter le réseau afin de repérer une communication ainsi que les times tramps des paquets RTP. Il doit aussi être capable d'insérer des messages RTP qu'il a généré ayant un time tramp modifié.

III.9.4. Le dénis de service (DOS : Denial Of Service)

C'est d'une manière générale, l'attaque qui vise à rendre une application informatique ou un équipement informatique incapable de répondre aux requêtes de ses utilisateurs et donc le mettre hors d'usage.

Une machine serveur offrant des services à ses clients (par exemple un serveur web) doit traiter des requêtes provenant de plusieurs clients. Lorsque ces derniers ne peuvent en bénéficier, pour des raisons délibérément provoquées par un tiers, il y a déni de service.

Dans une attaque de type DoS flood attack, les ressources d'un serveur ou d'un réseau sont épuisées par un flot de paquets. Un seul attaquant visant à envoyer un flot de paquets peut être identifié et isolé assez facilement. Cependant, l'approche de choix pour les attaquants a évolué vers un déni de service distribué (DDoS).

Une attaque DDoS repose sur une distribution d'attaques DoS, simultanément menées par plusieurs systèmes contre un seul. Cela réduit le temps nécessaire à l'attaque et amplifie ses effets. Dans ce type d'attaque, les pirates se dissimulent parfois grâce à des machines-rebonds (ou machines zombies), utilisées à l'insu de leurs propriétaires. Un ensemble de machines-rebonds, est contrôlable par un pirate après infection de chacune d'elles par un programme de type porte dérobée (backdoor).

III.9.5. Détournement d'appel (CALL HIJACKING)

Le Call Hijacking consiste à détourner un appel. Plusieurs fournisseurs de service VoIP utilisent le web comme interface permettant à l'utilisateur d'accéder à son système téléphonique.

Un utilisateur authentifié peut changer les paramètres de ses transferts d'appel à travers cette interface web. C'est peut être pratique, mais un utilisateur malveillant peut utiliser le même moyen pour mener une attaque.

64

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

par la même occasion, il donne sa propre adresse comme adresse de renvoi. A partir de ce moment, tous les appels destinés à l'utilisateur sont transférés et c'est l'attaquant qui les reçoit.

Un appel détourné en lui-même est un problème, mais c'est encore plus grave quand il est porteur d'informations sensibles et confidentielles.

III.9.6. Attaque par écoute clandestine

Cette attaque consiste à écouter l'appel entre l'appelant et l'appelé, au moyen d'un empoisonnement ARP, dans le but de convaincre à la fois le serveur mandataire et les téléphones VoIP des deux utilisateurs, de communiquer avec l'attaquant et non entre eux. La figure 37 suivante illustre l'aspiration d'une transmission VoIP.

Fig.37 : L'aspiration d'une transmission VoIP

Tout d'abord, l'appel est paramétré. L'appelant A envoie la requête pour appeler B au serveur mandataire SIP. Ce message est intercepté puis transmis à la personne malveillante. Le serveur mandataire SIP tente désormais de joindre B pour lui indiquer que A souhaité l'appeler. Ce message est également intercepté puis transmis à la personne malveillante. Après une initialisation de l'appel réussie, l'appel actuel (qui a recours au protocole RTP) entre A et B commence. Cette communication RTP est également interceptée puis transmise par la personne malveillante. L'utilisation d'un outil comme Ethereal pour aspirer une communication, permet de recevoir également les données utiles RTP en continu.

III.10. MESURES DE SECURISATION

Les vulnérabilités existent au niveau protocolaire, application et systèmes d'exploitation. On a découpé la sécurisation en trois niveaux : Sécurisation protocolaire, sécurisation de l'application et sécurisation du système d'exploitation.

III.10.1 Sécurisation au niveau des protocoles

La prévalence et la facilité de sniffer des paquets et d'autres techniques pour la capture des paquets IP sur un réseau pour la voix sur IP fait que, le cryptage soit une nécessité pour la protection les données des personnes connectées qui sont interconnectées.

65

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

III.10.1.1 VoIP VPN

Un VPN VoIP combine la voix sur IP et la technologie des réseaux privés virtuels pour offrir une méthode assurant la préservation de la prestation vocale. Puisque la VoIP transmet la voix numérisée en un flux de données, la solution VPN VoIP semble celle la plus approprié vu qu'elle offre le cryptage des données grâces a des mécanismes de cryptages, puisqu'elle permet d'offrir l'intégrité des paquets VoIP.

Vu que notre objectif est d'assurer la confidentialité et l'intégrité des clients, le mode choisi est le mode tunnel. Puisqu'il sécurise le paquet comme un tout (contrairement en mode transport qui ne sécurise que le payload IP). Le mode tunnel se base sur l'encapsulation de tout le paquet IP et ajoute un nouvel entête pour l'acheminement de ce dernier. Ce mode est généralement utilisé pour les routeur-to-routeur.

Le mode tunnel, on choisit le protocole ESP qui lui a son tour va assurer le cryptage des données et donc la confidentialité, contrairement au protocole AH qui ne permet que l'authentification des paquets et non le cryptage.

Dans ce cas, la solution qu'on propose est ESP mode tunnel qui est appliqué uniquement sur les points de terminaison à la voix IP, c'est-à-dire le routeur. Il permettra de minimiser le nombre de machines qui seront impliquées dans le traitement engendré par la sécurité. Le nombre des clés nécessaires sera réduit.

III.10.1.2 Le protocole TLS

C'est un protocole de sécurisation des échanges au niveau de la couche transport (TLS : Transport Layer Security). TLS, anciennement appelé Secure Sockets Layer (SSL), est un protocole de sécurisation des échanges sur Internet. C'est un protocole modulaire dont le but est de sécuriser les échanges Internet entre le client et le serveur indépendamment de tout type d'application. TLS agit comme une couche supplémentaire au-dessus de TCP.

Son utilisation est principalement associée à l'utilisation des certificats X.509 pour l'authentification des serveurs et le chiffrement des échanges (la signalisation).

III.10.2 Sécurisation au niveau application

Plusieurs méthodes peuvent être appliquées pour sécuriser l'application, ces méthodes varient selon le type d'application (serveur ou client). Pour sécuriser le serveur, il faut :

? L'utilisation d'une version stable, Il est bien connu que toute application non stable contient surement des erreurs et des vulnérabilités. Pour minimiser les risques, il est impératif d'utiliser une version stable ;

66

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

y' Tester les mises à jour des softwares dans un laboratoire de test. Il est très important de tester toute mise à jour de l'application dans un laboratoire de test, avant de les appliquer sur le système en production ;

y' Ne pas tester les correctifs sur le serveur lui-même ;

y' Ne pas utiliser la configuration par défaut qui sert juste à établir des appels. Elle ne contient aucune protection contre les attaques ;

y' Ne pas installer une application cliente dans le serveur.

Certains paramètres doivent être appliqués de manière sélective. Ces paramètres renforcent la sécurité de l'application, on peut les activer ou les interdire sur la configuration générale de l'application, comme on peut juste utiliser les paramètres nécessaires pour des clients bien déterminés et selon le besoin bien sûr. Ces paramètres protègent généralement contre le déni de service et ces différentes variantes. Il est conseiller d'utiliser les paramètres qui utilisent le hachage des mots de passe, il assure la confidentialité de messages.

III.10.3 Sécurisation du système d'exploitation

Il est très important de sécuriser le système sur lequel est implémenté le serveur de VoIP.

Le système est compromis, l'attaque peut se propager sur l'application serveur. Le risque d'affecter les fichiers de configuration contenant des informations sur les clients enregistrés.

Il y a plusieurs mesures de sécurités à prendre pour protéger le système

d'exploitation :

y' utiliser un système d'exploitation stable. Les nouvelles versions toujours contiennent des bugs et des failles qui doivent être corrigés et maîtrisés avant ;

y' Mettre à jour le système d'exploitation en installant les correctifs de sécurité recommandé pour la sécurité ;

y' Ne pas mettre des mots de passe simple et robuste. Ils sont fondamentaux contre les intrusions. Et ils ne doivent pas être des dates de naissances, des noms, ou des numéros de téléphones. Un mot de passe doit être assez long et former d'une combinaison de lettre, de chiffres et ponctuations ;

y' Ne pas exécuter le serveur VoIP avec un utilisateur privilège. Si un utilisateur malveillant arrive à accéder au système via une exploitation de vulnérabilité sur le serveur VoIP, il héritera tous les privilèges de cet utilisateur ;

y' Installer seulement les composants nécessaires : pour limiter les menaces sur le système d'exploitation. Il vaut mieux installer sur la machine le système d'exploitation et le serveur ;

y' Supprimer tous les programmes, logiciels ou des choses qui n'ont pas d'importance et qui peuvent être une cible d'attaque pour accéder au système ;

67

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

? Renforcer la sécurité du système d'exploitation en installant des patches qui permettent de renforcer la sécurité générale du noyau.

On peut aussi utiliser les pare feu ou les ACL pour limiter l'accès à des personnes bien déterminé et fermer les ports inutiles et ne laisser que les ports utilisés (5060, 5061, 4569,...).

Le pare feu (firewall) est un software ou hardware qui a pour fonction de sécuriser un réseau ou un ordinateur contre les intrusions venant d'autres machines. Le pare feu utilise le système de filtrage de paquet après analyse de l'entête des paquets IP qui s'échange entre les machines.

Le firewall peut être implémenté avec un ACL qui est une liste d'Access Control Entry (ACE) ou entrée de contrôle d'accès donnant ou supprimant des droits d'accès à une personne ou un groupe. On aura besoin d'ACL pour donner des droits à des personnes bien déterminées selon leurs besoins et leurs autorités.

Pour un serveur VoIP, il est important d'implémenter les ACL pour sécuriser le serveur en limitant l'accès à des personnes indésirables. Nous illustrons par un exemple, seuls les agents enregistrés peuvent envoyer des requêtes au serveur.

III.11. AVANTAGES ET DESAVANTAGES D'UN VPN

III.11.1. Avantages :

La mise en place d'un réseau privé virtuel permet de connecter de façon sécurisée des ordinateurs distants au travers d'une liaison non fiable (Internet), comme s'ils étaient sur le même réseau local. Ce procédé est utilisé par de nombreuses entreprises afin de permettre à leurs utilisateurs de se connecter au réseau d'entreprise hors de leur lieu de travail. On peut facilement imaginer un grand nombre d'applications possibles :

? Les connexions VPN offrent un accès au réseau local (d'entreprise) à distance et de façon sécurisée pour les travailleurs nomades.

? Les connexions VPN permettent d'administrer efficacement et de manière sécurisé un réseau local à partir d'une machine distante.

? Les connexions VPN permettent aux utilisateurs qui travaillent à domicile ou depuis d'autres sites distants d'accéder à distance à un serveur d'entreprise par l'intermédiaire d'une infrastructure de réseau public, telle qu'Internet.

? Les connexions VPN permettent également aux entreprises de disposer de connexions routées partagées avec d'autres entreprises sur un réseau public, tel qu'Internet, et de continuer à disposer de communications sécurisées, pour relier, par exemple des bureaux éloignés géographiquement. Une connexion VPN routée via Internet fonctionne logiquement comme une liaison de réseau étendu (WAN, Wide Area Network) dédiée.

68

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

? Les connexions VPN permettent de partager des fichiers et programmes de manière sécurisés entre une machine locale et une machine distante.

III.11.2. Désavantages

? La qualité de service (et les délais d'acheminement) n'est pas garantie ? Les performances ne sont pas toujours au rendez-vous.

III.12. CONCLUSION

Dans ce chapitre, il a été question de présenter les différentes vulnérabilités devant lesquelles le déploiement de la voix sur IP fait face. Certaines mesures de sécurisation de l'environnement IP doivent être prises en compte afin de garantir la qualité des services. Il existe plusieurs attaques qui menacent l'utilisation de la voix sur le réseau IP, et nous avons fait allusion à quelques-unes jugées gênant et courant.

Dans le chapitre qui suit, nous ferons la présentation du réseau informatique de Ministère du budget, cadre de notre travail.

69

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

CHAPITRE IV : PRESENTATION DU RESEAU DE
MINISTERE DU BUDGET [4]

IV.1 INTRODUCTION

Dans ce chapitre nous procéderons à la présentation du réseau informatique du Ministère du Budget, et procéderons à l'analyse des conditions permettant l'implémentation de la VoIP en son sein.

IV.2 CONSIDERATIONS GENERALES

IV.2.1 Situation géographique

Le Ministère du Budget est situé au croisement du Boulevard du 30 juin au numéro 33C et de l'avenue TSF dans la commune de la Gombe, ville de Kinshasa.

IV.2.2 Historique

Dans les années 80, suite à un constat alarmant dû à une gestion incohérente et peu orthodoxe des finances publiques, une solution a été prise au cours de la 11^e session ordinaire du comité central du MPR recommandant au conseil exécutif de créer un département chargé d'élaborer le budget de l'Etat, d'en suivre et d'en contrôler son exécution.

Fin octobre 1986, il est créé par l'ordonnance n° 86-263 bis le département du budget devenu par la suite Ministère du Budget. Avant la création du nouveau Département, il existait la Direction du Budget, Contrôle et de la Paie qui évoluaient au sein du Département des Finances.

Le Département du Budget avait comme principale mission : Elaboration, suivi et l'exécution du Budget de l'Etat. L'administration de ce nouveau département devait, conformément à cette ordonnance, fonctionner avec un Secrétariat Général comprenant quatre services dont la Direction des services Généraux, la Direction des Etudes et de la Prévision, la Direction du contrôle et la paie.

Depuis sa création jusqu'à ce jour, le nombre de Directions du Secrétariat et les missions du Ministre du Budget n'ont cessé de subir de modifications.

En 1989, la direction des Etudes et de la Prévision est scindée en deux Directions : celle de Préparation et suivi du budget et celle des Etudes et Programmation budgétaire. A la même occasion naîtra la Direction des Marchés Publics.

En 1991, le Gouvernement de Combat confiera l'intendance Générale au Ministère du Budget. Ainsi naquit un nouveau service : la Direction de l'Intendance Générale et des Crédits Centralisés.

70

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

Dans le souci de garantir la transparence, la traçabilité et la célérité dans l'exécution des dépenses publiques, deux nouveaux services verront le jour en 2003 la Coordination informatique Interministérielle (chaîne de la dépense) et le secrétariat permanent du conseil des Adjudications.

Dans le cadre de la réforme des finances publiques initiée en 2010, et pour assurer la transparence et la modernisation du système de passation des marchés publics, la Direction Générale de Contrôle des Marchés publics (DGCMP) fut créée sur les cendres du secrétariat permanent du conseil des adjudications et de Direction des Marchés Publics supprimés.

A la suite de tous ces changements intervenus, l'Administration du Budget compte actuellement sept Directions, 11 Divisions Provinciales ainsi deux services publics sous tutelle : à savoir, la DGCMP et le Service National des Approvisionnements et de l'Imprimerie (SENAPI).

IV.3. ORGANNIGRAMME DE L'ADMINISTRATION DU MINISTERE DU BUDGET

Au terme de l'ordonnance présidentielle n° 08/74 du 24 décembre 2008 et les dispositions de la nouvelle loi financière promulguée le 27 juillet 2011, sept fonctions-métiers reviennent au Ministère du Budget.

A ceci s'ajoutent les fonctions supports de gestion des ressources humaines, de gestion budgétaire sectorielle et du patrimoine, des études de communications et information, de suivi et évaluation, des statistiques et d'informatiques. Etoffées de plus en plus, ces missions sont exercées à travers les structures ci-dessus présentées.

D.S.G

DEPB

DPSB

DCB

DP

CII

DIG-CC

D.U

D.I

Secrétariat Général

71

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

Légende :

- D.I. : Division Informatique

- D.U. : Division Unique

- D.S.G : Direction de services Général

- DEPB : Direction des études et Programmations Budgétaires

- DPSB : Direction de la Préparation et du suivi du Budget

- DCB : Direction du Contrôle Budgétaire

- DP : Direction de la Paie

- CII : Coordination Informatique Interministérielle

- DIG-CC : Direction de l'intendance Générale et Crédits Centralisées

IV.4. MISSIONS DES DIFFERENTES STRUCTURES DU MINISTERE DU BUDGET

Il faut signaler que les missions dévolues aux différentes structures du Ministère ont évolué au fil des années afin de répondre aux fluctuations économiques tant au niveau national qu'international.

De 1986 à nos jours, plusieurs réformes ont eu lieu occasionnant des modifications concernant :

1. La mission générale et spécifique de l'Administration du Budget ;

2. Les structures et cadres organiques (organigrammes compris) ;

3. Les effectifs et les profils.

La nouvelle vision dictée par les réformes en cours vise l'amélioration des recettes publiques et de la gestion de la TVA (taxe sur la valeur ajoutée), l'intégration du système de gestion axée sur les résultats ainsi que le budget programme dans la phase d'élaboration.

Dans cette phase d'élaboration, la République Démocratique du Congo a lancé normalement à partir de l'année 2012 le premier budget pluriannuel pour une période allant de 2012 à 2014.

La dernière réforme en date sur les finances publiques a permis au pays de se doter du code des marchés publics (loi n° 10/010 du 27 avril 2010 relative aux marchés publics), ce qui a conduit à l'amendement des missions et structures du Ministère du Budget et finalement a donné lieu à la promulgation de la nouvelle loi financière (LOFIP) en juillet 2011.

? Le Secrétariat Général

Le Secrétaire Général est le cerveau administratif ou l'instrument technique du Ministère dans la mise en oeuvre des Missions dévolues au ministère. Les rôles d'animation et de coordination, d'engagement et de représentation du Ministère, de présidence de la

72

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

commission budgétaire et d'interface par rapport au cabinet et aux autres administrations lui reviennent.

? La Direction des Services Généraux (DSG)

Gérer les ressources humaines, le développement des compétences, la formation, la logistique et l'intendance, de même qu'assurer le dialogue social et la promotion des actions socioculturelles, telles sont globalement les missions de cette Direction-pilier. Sous peu, elle sera dénommée pour la direction administrative et financière (DAF), renforcée pour la gestion prévisionnelle des ressources humaines et des crédits sectoriels.

? Direction des études et Programmations Budgétaires (DEPB)

Réaliser des études sur l'économie, les finances publiques, les lois et les procédures et toute autre matière connexe dans leur aspect budgétaire, de même qu'élaborer la stratégie et le CDMT (cadre de dépenses à moyen terme) sectoriels, telles sont les grandes missions de cette Direction.

Parmi ses activités phares, on peut citer :

? La rédaction des rapports annuels du Ministère et de la note de la conjoncture ; ? La rédaction du magazine Echos du ministère du Budget.

? La Direction de la Préparation et du suivi du Budget (DPSB)

Préparer, élaborer le budget de l'Etat et en assurer le suivi de l'exécution, de manière à proposer éventuellement des mesures d'amélioration de l'équilibre budgétaire, sont là les attributions essentielles de cette Direction-pilier. En plus de l'élaboration du CDMT central, elle est aussi chargée de produire les états de suivi budgétaire et d'émettre des avis préalables sur les textes législatifs à incidence budgétaire, et sur les opérations financières légales (prêts, garantie, subventions ou prise de participation). Elle participe activement à l'élaboration du cadrage macroéconomique.

? La Direction du Contrôle Budgétaire (DCB)

Cette Direction s'occupe du contrôle à priori de la régularité des engagements, ainsi que de centralisation et de l'analyse des comptabilités des engagements des dépenses exécutées. Elle a également en charge la préparation des instructions portant modalités d'encadrement de l'exécution des dépenses et de la mobilisation des recettes, que le Ministère du Budget publie en circulaire. Elle produit les plans trimestriels d'engagement, liées aux plans de trésorerie.

73

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

s La Direction de la Paie(DP)

Cette Direction est chargée de saisir et de diffuser les états de paie et les titres de règlement, de collecter et de conserver les informations utiles au calcul de la paie du personnel des services publics de l'Etat (actifs, retraités, rentiers), de vérifier la paie et de régler les litiges, de fournir des données aux services chargés de la comptabilité publique et des prévisions budgétaires sur les rémunérations. Elle participe aussi à la définition des politiques salariales et barémiques.

s La Direction de l'intendance Générale et Crédits Centralisées (DIG-CC)

Cette Direction est l'instrument par lequel le Ministère du Budget assume son rôle d'ordonnancement général des charges communes.

A ce titre, elle assure les engagements et le suivi des dépenses liées aux charges communes et aux crédits décentralisés (eau, électricité, locations satellitaires et immobilières, ...). En outre, elle élabore et tient à jour la réglementation ad hoc et la comptabilité des matières.

s La Coordination Informatique Interministérielle (CII)

Ce service qui a rang de direction a été institué par l'arrêté interministériel n° CAB.MIN/FP/JMK/PPJ/0165/2003 du 27 juin 2003, pour assurer la conception, le développement, la maintenance et la gestion du système informatique de la chaîne de la dépense publique. Elle assure en outre la standardisation et la normalisation des méthodes et référentiels dans le domaine des finances publiques (nomenclature, cadre comptable, ...). Ce service pilote ces jours l'installation de la chaîne de dépense provinciale informatisée.

s Les Divisions Provinciales du Budget

Il sied de noter que l'administration du budget est représentée par chaque province par une division provinciale au sein de laquelle fonctionnent les bureaux qui sont structurellement la déclination des directions au niveau central.

IV.5. DIVISION INFORMATIQUE

La Division Informatique du Ministère du Budget est une structure qui est rattachée au Secrétariat Général. Sa mission est d'apporter l'appui informatique dans toutes les Directions du Ministère. Elle est composée de trois bureaux, à savoir :

1. Bureau Exploitation et Administration de la base de données ;

2. Bureau Etudes et développement ;

3. Bureau infrastructure et Administration Réseau.

74

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

IV.5.1. Organigramme de la Division Informatique

Chef de Division

SECRETARIAT

BUREAUX EXPLOITATION ET A ADMINISTRATION BDD

BUREAU ETUDES ET DEVELOPPEMENT

BUREAU INFRASTRUCTURES ET
ADMINISTRATION RESEAU

IV.5.2. Description des bureaux

+ Bureau Exploitation et Administration de la Base de données : Attributions :

Le bureau exploitation de la Division Informatique est chargé de :

V' Administration des bases de données ;

V' L'exploitation de toutes les ressources matérielles

V' La gestion des bases de données ;

V' La production des documents de paie ;

V' L'établissement du rapport mensuel de la paie ;

V' La sauvegarde des bases de données ;

V' La planification d'exécution des travaux ;

V' La vérification des documents de paie.

+ Bureau Etudes et Développement Attributions :

Ce bureau a pour mission de :

V' Concevoir et développer les applications informatiques ;

V' Maintenir les applications existants ;

V' Archiver les différentes versions des applications ;

V' Assister les utilisateurs dans l'exécution des procédures informatiques.

+ Bureau infrastructures et Administration Réseau Attributions :

Ce bureau s'occupe essentiellement de :

V' La gestion de la maintenance des équipements ; V' L'administration du Réseau ;

V' La gestion des consommables informatiques.

75

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

IV.6. ETUDE DU RESEAU EXISTANT DU MINISTERE DE BUDGET

Nous ne saurions débuter ce travail sans avoir une idée claire et précise sur l'existant quel qu'il soit.

La première tâche a été de rencontrer différentes personnes qui entretiennent directement ou indirectement une relation avec le service informatique de Ministère du Budget.

Apres quoi, nous avons réellement débuté le travail en menant différentes recherches. Cette méthodologie de travail nous a permis d'avoir une connaissance large de l'existant.

IV.6.1 Analyse du reseau informatique du Ministère du Budget

IV.6.1.1 Equipements et serveurs utilises

Actuellement, le réseau informatique au Ministère du Budget comporte au total 15 Switch dont 10 sont remarquable et 5 non remarquable, 5 points d'accès WIFI (dont 4 sont des points d'accès WIFI simple et un point d'accès routeur), un téléphone analogique et un routeur VPN.

Il comporte encore 5 antennes Wimax complète (INDOOR ET OUTDOOR UNIT), une antenne Vsat complète et un modem Idirect 500. Le tableau 3 représente les équipements du réseau informatique de Ministère du Budget.

Nombres	Marques	Séries	Ports	Observations
5 Switch	Cisco	Catalist 2960	26	24 ports en Fast Ethernet et 2 ports en Gigabit Ethernet
4 Switch	D-LINK	DS- 1024D	24	Tous les ports sont en Fast Ethernet
3 Switch	3-COM		24	Tous les ports sont en Fast Ethernet.
3 points d'accès			1	Sont des bornes WIFI simple en Fast Ethernet.
1 point d'accès	Linksys cisco		5	C'est une borne WIFI routeur.
5	Alvarion			C'est sont les antennes Wimax complète.
1 antenne Vsat				C'est l'antenne Vsat. LNB élément de réception du signal, un BUC block up converter ou élément de réception.
1	Idirect	5000	6	Modem satellite
1 Routeur	Planet Broadband		4	Routeur VPN avec 4 ports LAN, 1 port WAN et 1 port DMZ
6 Téléphone	Astra		2	Téléphone IP (Hard phone)

Tableau 3 : Les équipements du réseau informatique de Mnistère du Budget Le Ministère du Budget dispose dune permanence électrique situé à la sall

76

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

Pour ce qui est des serveurs, la salle de serveur de Ministère du Budget comporte 2 serveurs :

? Premier serveur : il comporte le service DHCP, Pare-feu et fait aussi le routage, celui-ci fait le proxy cache et l'authentification, le rôle du DNS, il joue le rôle de service Web, permet de faire le backup de la base de données, ainsi que toutes les configurations des différents serveurs ;

? Deuxième serveur : Ce serveur s'occupe de la gestion des téléphones pour la communication interne.

Les caractéristiques physiques de chaque serveur sont illustrées dans le tableau

4 ci-dessous.

Marques	Nombres	CP U	RA M	HDD	Observation
DELL Power Edge 860	1	INTEL Xerom 2, 13 GHz	8 GB	2 Tb	C'est un serveur central qui gère toutes les données
DELL Power EDGE 850	1	Dual CORE 1,86 GHz	4 Gb	2 Tb	Ce serveur s'occupe de la gestion des téléphones pour la communication interne

Tableau 4 : les caractéristiques physique de chaque serveur

IV.6.1.2. Supports de transmission utilisés dans le reseau informatique de Ministère du Budget

les supports de transmission suivants :

? Les câbles torsadés : utilise le torsadé blindé et non blindé à l'intérieur des bâtiments ; dont les blindés dans de faux plafond et le non blindé catégorie 5e pour connecter les ordinateurs et autres équipements réseaux.

? Les supports sans fils : la norme utilisée est IEEE 802.11g IV.5.1.3 Services et applications reseaux utilisées

Dans le tableau 5 ci-dessous nous présentons les différents services et applications qui tournent dans le réseau intranet de Ministère du Budget :

N°	Services et Applications	Paquets installés	Fonction ou Rôle
1	Pare-feu	Netfilter + iptables	un Firewall qui filtre tout, et qui fait aussi office de routeur entre le réseau intranet et l'Internet.
2	Proxy	Squid3 + Squidguard	Permet de faire le cache en économisant la bande passante, permet aussi de gérer l'accès des utilisateurs aux ressources réseau.
3	DHCP	Dhcp3-server	pour octroyer automatiquement des adresses IP aux postes clients.

77

Fig 38 : Architecture du réseau existant

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

4	DNS	Bind9	Pour la résolution de noms
5	Web	Apache2, php5, MySQL 5.0	Pour la publication des Applications web (Ex. site web de l'ista, glpi, wiki, etc...
6	Messagerie	Postfix, mysql 5.0,roundcube, amavis, spam assassin, postgres	Permet l'échange des mails en interne, entre différents utilisateurs et de stocker les messages.
7	GP7	SQL server 2008	Pour la gestion académique des étudiants.
8	MONITORING	Mrtg, munin, smokeping, nagios	Pour la surveillance du réseau.
9	MIROIR	debmirror+rsync	Un miroir interne facilite la mise à jour à nos clients et serveurs linux (Ubuntu et debian), nous permettant ainsi d'optimiser la Bande passante.
10	WIKI	mediawiki	Pour éditer les différentes configurations locale et échange entre techniciens ou utilisateurs.

Tableau 5 : Services et applications utilisées dans le réseau IV.6. ARCHITECTURE DU RESEAU EXISTANT

La figure 38 présente l'architecture du réseau existant de Ministère du Budget

78

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

IV.7 CRITIQUE DU RESEAU INFORMATIQUE DU MINISTERE DU BUDGET

IV.7.1. Critiques

La communication entre différents services et divisions au sein du Ministère du Budget se fait encore sous forme manuelle, le PABX analogique qui a été installé par les autorités de l'époque se trouve dans un état vétuste et n'est pas opérationnel, or à l'heure actuelle où on parle de la convergence de services voix et données sur le même réseau, il serait étonnant que cette institution dispose d'un réseau informatique qui ne sert jusqu'à présent qu'a la transmission des données, et pourtant cette même infrastructure pouvait aussi faciliter l'ajout d'autres services tels que : les communications vocales.

Désenclaver ce service, sous-entend mettre un paquet consistant pour la réhabilitation de son réseau téléphonique et ensuite engager un personnel bien formé pour assurer la maintenance de ce réseau. Hors, réhabiliter ce réseau et engager un personnel qualifié relève d'un investissement non négligeable et cela représente un cout important pour l'entreprise.

IV.7.2 Proposition des solutions et recommandation

Pour répondre aux besoins que nous avons évoqués ci-haut, nous avons proposé l'implémentation d'une solution VoIP, qui est une solution d'entreprise offrant aux agents, la possibilité d'effectuer les communications vocales sur le réseau unique voix et données, et voire même à l'extérieure en utilisant l'Internet comme moyen de transport.

Cette convergence des services voix et données sur un réseau unique s'accompagne des avantages liés à la réduction des couts d'investissement, à la réduction des procédés d'assistance, à l'amélioration de la mobilité des travailleurs et permet aussi de travailler à distance à moindre cout.

L'utilisation de la VoIP conduit à la réduction des coûts d'appels et est possible en utilisant un fournisseur de service VoIP pour les appels longues distances et internationaux. Il est très facile d'interconnecter les systèmes téléphoniques entre bureaux et succursales via l'Internet ou le WAN et de téléphoner gratuitement.

Avec cette technologie, nous n'avons pas besoin d'un câblage indépendant, c.à.d. un réseau informatique à part et un réseau téléphonique aussi à part. Nous avons une seule infrastructure où on peut connecter des téléphones directement à une prise (RJ45) du réseau informatique, laquelle prise peut être partagée avec un ordinateur adjacent. Les téléphones logiciels peuvent être aussi installés directement sur le PC.

79

Fig. 39 : Solution de la nouvelle architecture réseau de Ministère du Budget

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

IV.7.3 Architecture du nouveau réseau de Ministère du Budget

L'architecture de la solution que nous avons proposée avec deux bâtiment est représentée par la figure 39

80

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

IV.7 CONCLUSION

Dans ce chapitre, nous avons fait la présentation du Ministère du Budget avec un accent particulier sur son réseau informatique, cadre choisi pour l'implémentation de la solution VOIP.

Dans le chapitre qui suit, nous allons proposer l'approche de cette implémentation.

81

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

CHAPITRE V : APPROCHE D'IMPLEMENTATION DE LA VoIP

[6][16][17][21]

V.1 INTRODUCTION

Dans ce chapitre, nous proposons le modèle d'implémentation de la solution VoIP, au sein du réseau informatique du Ministère du Budget. Ce modèle reposera sur les principes de base se rapportant à sa mise en oeuvre effective, étant donné que, dans le cadre de ce travail nous resterons essentiellement très théoriques. Toutefois, nous allons faire un petit montage expérimental avec du matériel essentiel.

V.2 THEORIE D'IMPLEMENTATION DE LA VoIP.

V.2.1 Choix du matériel

Pour implémenter notre solution, tout en tenant compte des facteurs tels que : capacité de traitement des requêtes, temps de réponse aux requêtes des clients, ainsi de suite, nous avons porté notre choix sur un Serveur DELL Power EDGE 850 du réseau existant.

Le serveur DELL Power EDGE 850 est économique au format 2U, doté de capacité biprocesseur et équipé des fonctionnalités essentielles hautes performances, qui offrent aux clients une plate-forme leur permettant de concevoir une solution entièrement optimisée. Il est parfaitement adapté pour l'informatique courante et haute performance, idéal pour les petites et moyennes entreprises.

Ce serveur est doté d'un processeur dual core 1,86 GHz, une ram 4 Gb et un disque dur 2 Tb.

V.2.2 CHOIX DES LOGICIELS

Il existe plusieurs logiciels qui permettent d'implémenter une solution VoIP dans une entreprise, que ça soit dans le monde libre comme Elastix, AsteriskNow, Trixbox,etc ou dans le monde des logiciels propriétaires où l'on peut citer comme 3CX Phone System, X-Lite, etc...

Pour implémenter notre solution, le choix a été porté sur la plateforme X-Lite et de notre serveur Elastix.

En ce qui concerne le système d'exploitation sur lequel notre solution doit tourner, nous ne nous sommes pas trop atteler là-dessus. Parce que notre solution est compatible aux différents systèmes d'exploitation.

82

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

V.2.2.1 Présentation du Serveur Elastix

V.2.2.1.1. Installation d'elastix

Nous épinglons les étapes suivies pour l'installation d'Elastix sur notre ordinateur(Serveur).

V' Télécharger le fichier image d'Elastix en suivant le lien suivant : http://www.elastix.org/content/view/137/60/lang,en/. On peut prendre la version stable 1.6 ou la version 2.0 R.

V' Graver de l'image sur un CD-ROM

V' Insérer le CD ainsi gravé, au démarrage de la machine. Après démarrage de l'ordinateur, l'écran ci-dessous apparaitra.

Un utilisateur expert peut entrer en mode avancé en tapant la commande : « advanced ». Sinon, attendre et le CD d'installation lancera automatique ou alors presser sur le bouton « Enter ou Entrée » du clavier.

V' Choisir la langue à utiliser pendant l'installation.

83

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

V.2.2.1.2. CONFIGURATION DES SERVICES. V.2.2.1.2.1. Lancement du serveur

Pour démarrer le serveur, on entre le login « root » et le mot de passe « je suis » crée lors de l'installation d'Elastix

Pour accéder dans le serveur, on tape son adresse IP « 192.168.5.1 » comme URL dans un navigateur quelconque et la page de connexion au serveur apparaitra

84

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

Pour se connecter, on tape admin et on tape le même mot de passe, on a alors l'interface web d'Administration du serveur dans laquelle on peut faire tout ce que nous voulons. Par exemple :

? configuration des paramètres Réseau ? configuration de matériel téléphonique ? création d'une nouvelle extension ? configuration de logiciel de téléphonie ? etc...

V.2.2.1.2.2 Plan du numérotation

Pour assurer une bonne administration de notre solution implémentée, nous avons mis en place un plan de numérotation à 3 chiffres afin d'avoir une marge de manoeuvre assez large pouvant permettre l'incrémentation de plusieurs extensions.

En se référant au découpage du réseau informatique de Ministère du Budget, nous avons reparti les numéros des extensions, comme indiqué dans le tableau 6

N°	DESIGNATION	PLAGE DE NUMEROS	EMPLACEMENT	OBSERVATION
1	CHEF DE DIVISION	100 à 104	BUREAU SECRETARIAT	Dédier au utilisateur du bureau de Chef de Division
2	ADMINISTRATION DES BASES DE DONNEES	105 à 200	BUREAU EXPLOITATION ET ADMINISTRATION DE LA BASE DE DONNEES	Dédier au utilisateur du bureau des administrateur de la base de donnees

85

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

3	LA PRODUCTION DES DOCUMENTS DE PAIE	201 à 250	BUREAU EXPLOITATION ET ADMINISTRATION DE LA BASE DE DNONEES	Dédier au utilisateur du bureau de production de paie
4	CONCEVOIR ET DEVELOPPER LES APPLICATIONS INFORMATIQUES	251 à 300	BUREAU ETUDES ET DEVELOPPEMENT	Dédier au utilisateur du bureau d'Etude
5	L'ADMINISTRATION DU RESEAU	301 à 350	BUREAU INFRASTRUCTURES ET ADMINISTRATION RESEAU	Dédier au utilisateur du bureau des adminstrateur réseau

Tableau 6 : Plan de numérotation

V.2.2.1.2.3 Création d'une nouvelle extension

Cet espace est réservé aux combinés, logiciels de téléphonie, pagers, ou n'importe quoi d'autre qui peut être considéré comme 'extension' dans le contexte classique PABX. Définir et éditer des extensions est probablement la tâche la plus commune effectuée par un administrateur de PABX, et de surcroit, cette page sera familière. Il y a 4 types de dispositifs supportés - SIP, IAX2, ZAP et 'Personnalisé'. Pour créer une nouvelle Extension, aller au menu « PBX » qui par défaut, arrive à la section « Configuration PBX »; dans cette section, choisir l'option « Extensions » sur le panneau gauche. Maintenant on peut créer une nouvelle extension.

Tout d'abord, choisir le dispositif parmi les options disponibles. Cliquer sur « Submit » pour procéder aux enregistrements des champs nécessaires pour la création d'une nouvelle extension.

86

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

y' User Extension : Elle doit être unique. C'est le numéro qui peut être appelé de n'importe qu'elle autre extension, ou directement du réceptionniste numérique s'il est activé. Elle peut être de n'importe qu'elle longueur, mais conventionnellement, un numéro de 3 ou 4 chiffres est utilisé.

y' Display Name : Le nom d'identification de l'appelant pour les appels de cet utilisateur affichera ce nom. Entrez seulement le nom, pas le numéro.

y' Secret : C'est le mot de passe utilisé par le périphérique téléphonique pour s'authentifier sur le serveur elastix. Il est habituellement configuré par l'administrateur avant de donner le téléphone à l'utilisateur, et il n'est pas nécessaire qu'il soit connu par l'utilisateur. Si l'utilisateur utilise un logiciel de téléphonie, alors Il aura besoin de ce mot de passe pour configurer son logiciel. Après avoir rempli ces champs on clique sur « submit » pour l'enregistrement et puis on clique sur « apply configuration change here » pour actualiser l'enregistrement.

V.2.2.1.2.4 Installation et configuration du logiciel de téléphonie softphone X-Lite

En configurant un logiciel de téléphonie, notre but est d'avoir un PC connecté qui autorise les mêmes fonctions qu'un téléphone traditionnel. Pour ceci, nous avons besoin d"installer un logiciel qui convertit le PC en téléphone. Toutefois, un micro et un casque sont nécessaires. Il y a beaucoup de logiciels de téléphonie, d'où dans notre cas nous avons utilisé X-Lite.

L'écran suivant nous montre la progression de l'installation

87

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

Configuration du soft phone

Après avoir installé le logiciel nous avons ce téléphone, pour le configurer on clique sur le menu. Un menu de paramètres de connection apparait. Dans ce menu, nous remplissons le champ profil par le nom du client et son extension 102, en suivant les valeurs introduites dans le serveur. Pour valider, nous cliquerons sur OK.

Il est clair qu'après que la validation soit faite, ces valeurs doivent être conformes à celles saisies dans le fichier sip.conf du serveur Elastix.

88

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

Une fois la configuration terminée, notre téléphone se connectera automatiquement au serveur et s'enregistrera. Un message « Ready » s'affichera, indiquant que les communications sont désormais possibles. Sinon, un message d'erreur va s'afficher expliquant le motif l'échec du processus.

Il est important de noter que les PC dans lesquels sera installé le logiciel de téléphonie X-Lite doivent être configurés pour qu'ils communiquent avec le serveur dans le réseau. Donc On doit les attribuer les adresses IP à chacun par l'administrateur réseau pour un petit réseau, mais pour un grand réseau, l'attribution sera automatique avec le DHCP.

Etablissement de l'appel entre deux extensions, l'extension 100 appel l'extension 102

89

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

V.2.2.1.2.5. Création d'une adresse e-mail

Pour avoir une adresse email on aura besoin d'un domaine et d'un compte ? Création d'un domaine

L'option « Domaines » du menu « Email » d'Elastix permet de voir et de configurer les domaines dans le serveur email.

On clique sur le menu « Email » dans l'interface de l'administrateur et on aura cet écran

Pour ajouter un domaine, cliquer sur le bouton « Créer Domaine ». Une page sera affichée où on peut taper le nom du nouveau domaine et cliquer sur sauver pour le sauvegarder.

? Création du compte

L'option « Comptes » du menu « Email » d'Elastix permet de voir et de configurer les comptes email pour chacun des domaines spécifiés dans le serveur.

90

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

Pour ajouter un nouveau compte, sélectionner le domaine sous lequel il sera créé et cliquer sur le bouton « Créer Compte ». Une page sera affichée où on peut entrer les informations des champs suivants :

? Adresse email : c'est le texte qui vient avant le symbole @

? Quota : l'espace maximal que ce compte email peut utiliser pour le stockage des emails sur le serveur. L'espace est mesuré en kilo-octets, donc il faut être attentif à ceci lorsque les quotas sont assignés à chaque utilisateur.

? Mot de passe : Le mot de passe de l'utilisateur du compte email.

? Retaper le mot de passe : Confirmation du mot de passe de l'utilisateur

V.2.2.1.2.6. Consultation d'un e-mail

L'option « Web mail » du menu « Email » d'Elastix permet de consulter les emails des domaines configurés.

Pour accéder, renseigner le nom d'utilisateur et le mot de passe et cliquez sur le bouton « Login » et nous l'écran suivant apparaitra

91

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

V.3 INTEGRATION DE LA VoIP DANS LE VPN

Dans le cas de notre travail, nous allons nous intéreser sur le Trunk SIP qui nous permet de créer un tunnel de sécurité VPN permettant aux entreprises ayant un standard IP d'utiliser la VoIP afin de faire transiter leurs appels entrants et/ou sortants, à partir d'une connexion sur le réseau Internet Haut Débit via le protocole SIP.

V.3.1. Trunk SIP

Dans ce travail nous configurons le système avec le protocole SIP afin de relier les serveurs Elastix distant. La raison principale étant que le SIP permet des communications multicast et unicast ; c'est-à-dire qu'il permet d'envoyer des paquets soit vers une personne soit vers plusieurs personnes à la fois. Le protocole SIP étant un protocole de signalisation, les informations sont transportées par les protocoles TCP ou UDP puis diffusées sur le réseau par les protocoles RTP et RTCP.

Pour arriver à ce résultat, il faut mettre en place un trunk SIP. Un trunk SIP est une liaison entre deux serveurs VoIP sécurisés. Une autre application de ce trunk SIP est la création d'un lien entre deux sites distants. Dans ce cas, les coûts de communication entre sites se réduisent aux coûts d'abonnement d'Internet. La figure 40 ci-dessous représente l'interconnexion de deux site passant par le Trunk SIP.

Fig.40 : L'interconnexion de deux site

92

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

V.3.2. Configuration du Trunk

Premièrement, on doit définir un Trunk sur chacun des systèmes afin qu'ils puissent s'authentifier et échanger. Deuxièmement, pour la sortie des appels d'un système vers un autre, on doit définir au minimum une route de sortie afin que les appels puissent passer d'un système à l'autre via le plan d'acheminement d`appel et de numérotation. Il est également possible d'interconnecter deux serveurs Elastix en utilisant le protocole SIP.

Tout d'abord, il faut accéder à l'onglet PBX puis cliquer sur "Trunk"

Création d'un Trunk

Configuration du serveur 1

Créer un nouveau SIP Trunk:

1. Aller dans FreePbx

2. Dans la barre horizontale, cliquer sur Setup

3. Dans la barre verticale, cliquer sur Trunks

4. Cliquer sur Add SIPTrunk

5. Dans la partie Outgoing Settings :

Trunk Name: serveur 1

Peer Details:

context=from-internal

host=192.168.5.1

qualify=yes

secret=secret1

type=peer

username=elastix1

93

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

6. Dans la partie Incoming Settings :

User Context: elastix2 User Details:

context=from-internal host=192.168.5.1

secret=secret1

type=user

7. Cliquer sur le bouton Submit changes:

Cette concerne les paramètres d'entrée nécessaires au tunnel SIP pour la réception des appels provenant de l'autre serveur.

8. Cliquer sur le rectangle Apply Configuration changes:

94

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

Assigner une route sortante au trunk:

9. Aller dans FreePbx

10. Dans la barre horizontale, cliquer sur Setup

11. Dans la barre verticale, cliquer sur Outbound Route

12. Cliquer sur la route 0

13. Dans la partie Trunk Sequence:, choisir en premier Serveur1

14. Cliquer sur le bouton Submit changes

15. Cliquer sur le rectangle Apply Configuration changes:

> Secret : le mot de passe du tunnel SIP.

> Type : Les utilisateurs s'authentifient pour accéder aux services liés au contexte d'appel.

> context=from-trunk, Le contexte de l'appel. Ici, le paramètres "from-trunk" défini les règles dans le plan de numérotation permettant de réceptionner des appels provenant de l'extérieur.

> qualify=no, Pour les paramètres d'entrée, le tunnel SIP n'est pas visible.

> host=dynamic, Valeurs possibles "Dynamic" ou renseigner l'adresse IP de l'hôte.

V.4 MESURES DE SECURISATION DE LA SOLUTION DEPLOYEE

Etant donné que la solution VoIP implémentée est une application de plus dans le réseau existant et qu'elle est exposée aux attaques diverses, telles que nous énumérer au chapitre III, il était important d'envisager des mesures de sécurisation du serveur qui hébergera cette application.

Pour ce faire, dans la section qui suit nous allons présenter certaines recommandations techniques proposant des mesures de sécurisation de la solution, une fois mise en place.

Les recommandations techniques à mettre en place sont les suivantes : V' la protection physique du serveur

Le serveur doit être installé dans la salle informatique et bénéficier du même niveau de sécurité (alarme, anti-incendie, surveillance, etc.) que d'autres serveurs.

95

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

V' La redondance des composants critiques

Cette solution est coûteuse, mais nécessaire lorsque la criticité de l'infrastructure VoIP exige une forte disponibilité et/ou un rétablissement rapide en cas de panne. Les équipements critiques seront donc dupliqués et des mécanismes de partage de charge seront mis en place. Des tests réguliers doivent en outre être réalisés, afin de contrôler les procédures de basculement et le bon fonctionnement des appareils redondants.

V' Consolider et sécuriser le système d'exploitation du serveur

La sécurité du réseau voix implique à la fois celle des systèmes d'exploitation et des applications qui le composent. Consolider les systèmes d'exploitation est indispensable, nécessaire et obligatoire. Les ports et les services inutiles seront désactivés. Les systèmes seront mis à jour régulièrement pour corriger les vulnérabilités, et les permissions sur les registres appliquées, etc.

V' Segmentation du réseau en VLAN

Les trafics voix et données transiteront sur des réseaux distincts, des Virtual Local Area Network seront mis en place sur les commutateurs. Les différents flux de voix seront ainsi sécurisés, ce qui empêchera une personne connectée sur le réseau de données d'écouter le trafic voix. Les Switchs assureront en outre, la gestion des ACL (Access Control Lists = Listes de Contrôle d'Accès) et interdiront le port monitoring et les ports non-actifs seront désactivés.

V' Placer les équipements derrière le pare-feu

Les firewalls seront configurés en amont des serveurs, pour éviter le déni de service, et sur les segments critiques. Ils ne contrôleront que les flux des VLANs qui sont bien restreints aux protocoles de la VoIP. Les pare-feu supporteront à la fois les protocoles SIP (Session Initiation Protocol) et les protocoles H.323.

V' Crypter les communications de bout en bout

Le cryptage concerner les flux de signalisation (chargés de mettre en relation l'appelant et l'appelé) et média (transport de l'information). Ainsi le chiffrement de la voix peut s'appuyer soit sur le protocole TLS (Transport Layer Security), DTLS (Datagram TLS) ou SRTP (Secure RTP). Une entreprise peut également décider de recourir à IPSec. Les communications externes peuvent aussi être acheminées via des tunnels VPN.

V' Monitoring du trafic voix

La surveillance du réseau avec des Sniffers et des IDS permettra de détecter le trafic anormal et les tentatives d'intrusion. L'analyse des logs pourra en outre révéler des attaques en brute force, des appels frauduleux (de nuit, vers des numéros surtaxés, etc.). Tandis que des pics du trafic voix traduiront des spams vocaux (voice spam).

Toutefois, le risque zéro n'existe pas et les solutions de sécurité applicables à la VoIP peuvent s'avérer à la fois complexes et coûteuses à mettre en oeuvre. L'entreprise devra donc arbitrer entre criticité, coût et niveau de risque jugé acceptable.

96

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

CONCLUSION GENERALE

Aujourd'hui les entreprises, ont beaucoup plus besoin de se communiquer à un prix moins couteux, donc elles ont besoin d'économiser en matériel et en finance.

Nous n'avons pas illustré cette fusion par une réalisation pratique, par manque de moyens financiers pouvant nous permettre de nous procurer tous les matériels concourant à cette réalisation.

Nous notons qu'au cours de ce travail, nous avons eu à beaucoup apprendre dans le cadre du cours de Gsm et du VoIP en ce qui concerne les réseaux informatiques.

Alors nous suggérons aux entreprises de la place qui n'ont pas encore cette technologie en leur sein, de s'y intéresser. Ceci aura comme impact direct, la réduction sensible des coûts liés à la communication.

En dernier lieu on a illustré comment réaliser une installation d'un logiciel libre pour la gestion de la VoIP et celle d'un Soft-phone ainsi que les différentes configurations pour le déploiement de notre système de communication IP.

En effet, ce travail nous a donné l'occasion de nous familiariser avec les théories sur la VoIP, sa conception ainsi que son implémentation. Nous pensons que cette découverte constitue un acquit important, en tant que futur Ingénieur informaticien.

Pour bien appréhender le mécanisme qui se déroule dans un VPN, nous avons parlé sur le « VPN et Sécurité informatique » qui élucide les points essentiels de la virtualisation

Nous n'avons pas la prétention d'avoir tout dit ou tout fait dans ce travail, néanmoins, nous pensons avoir posé des bases sur une éventuelle implémentation dans le cas du réelle. Nous prions, pour cela, à tout lecteur d'apporter les critiques et suggestions constructives, afin de nous aider à réorienter cette étude pour un développement ultérieur.

97

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

REFERENCES BIBLIOGRAPHIQUES

I. OUVRAGES

1. Peter Thermos and Ari Takanen ,Securing VoIP networks threats, vulnerabilities, and counter measures, (Addison-Wesley (c) 2007)

2. TANENBAUM, A., les Réseaux, Inter,éditions, Paris, Prentice Hall, London, 1997.

3. J. Luc Koch, B.Dalibard. 2004, « téléphonie sur IP »,

4. Ministère du Budget, RDC, au mois de mars 2015

5. Guy PUJOLLE, Les Réseaux, Eyrolles, Paris, 2003.

6. DA CUNHA José, VoIP et Asterisk/Trixbox, métrise en systèmes distribués et réseaux, Université de Franche Comté, 2007-2008.

II. NOTES DE COURS ET TRAVAUX DE FIN D'ETUDES

7. Pierre KASENGEDIA MUTUMBE, cours d'architecture des systèmes téléinformatique, Génie Informatique, ISTA/Kin, 2011-2012,103 pages

8. KASENGEDIA MOTUMBE, P. Transmission de données et sécurité informatique, L2 Génie Informatique, Faculté des sciences UNIKIN 2014-2015

9. P.O. MBUYI MUKENDI Eugène, cours de réseau informatique et télématique, G3 informatique, 2012-2013

10. Pierre KASENGEDIA MUTUMBE, cours réseau informatique, inédit, 2éme Génie Informatique, Unikin, 2014-2015

11. Hardy MBOLE BANKULU, Etude et solutions de mise en place d'un système d'information sécurisé dans une entreprise publique. cas de l'Office de Voiries et Drainage, Universite de Kinshasa, projet de mémoire de fin d'etude, 20122013

III. WEBOGRAPHIE

12. www.google.com Cours de réseau informatique.pdf, Consulté le 27juillet 2015

13. http:// www.frameip.com/voip/, Voix sur IP - VoIP, Consulté le 27juillet 2015

14. www.rofes.fr/satic/ Protocole-voip.pdf, Consulté le 30 juillet 2015

15. http://hi-tech-depanne.com/voip/ Consulté le 30 juillet 2015

16. http://www.elastix.org, Elastix_User_Manual_French_0.9.2-1.Pdf consulté en Janvier 2016

17. www.x-lite.com Consulté le 5 janvier 2016

18. www.protocolesip.com , Consulté le 5 janvier 2016

19. http://www.frameip.com/vpn/ chapitre 8 cours sur les VPN, Consulté le 5 janvier 2016

98

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

20. www.securityfocus.com/infocus/1862 two attacks against VoIP par Peter Thermos. Consulter le 12 Février 2013

21. www.rtcip.fr/IMG/pdf/livre_blanc_learning. , Consulter le 12 Février 2013

21. www.frameip.com/voip/ Protocoles de transport, . Consulter le 12 Février 2013

22. www.Faq.programmerworld.net/lang/fr/voip/voip-avantages-inconvénient.htm, . Consulter le 12 Février 2013

99	IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION TABLE DES MATIERES
Epigraphe			i
DEDICACE			.ii
AVANT-PROPOS			.iii
	LES ACRONYMES		iv
LISTE DES FIGURES			vi
Liste de Tableau			vii
INTRODUCTION GENERALE			1
CHAPITRE I : GENERALITES SUR LES RESEAUX INFORMATIQUES [2][5][7] [10] [12]		[9]	... 4
I.1 INTRODUCTION			4
I.2.1 Définition du réseau informatique			4
I.2.2. Classification des réseaux informatiques			4
I.2.2.1. Classification selon leur étendue			5
I.2.2.2 classification selon l'architecture			7
I.2.3. Topologie de réseau			11
I.2.3.2.1. Ethernet (IEEE 802.3)			14
I.2.3.2.2.Token ring			14
I.2.3.2.3. Fiber Distributed Data Interface (FDDI)			15
I.3 MODÈLE OSI (Open Systems Interconnection)			15
I.3.1 Couche physique			16
I.3.2 Couche liaison des données			16
I.3.3 Couche réseau			17
I.3.4 Couche transport			17
I.3.5 Couche session			18
I.3.6 Couche présentation			18
I.3.7 Couche application			18
I.4. MODELE TCP/IP			18
I.4.1 Couche accès réseau			19
I.4.2 Couche internet			19
I.4.3 Couche transport			19
I.4.4 Couche application			21

I.5 SUPPORTS DE TRANSMISSIONS ET EQUIPEMENTS D'INTERCONNEXION RESEAUX 22

I.5.1 Supports de transmission 22

I.5.2 Equipements d'interconnexion Réseaux 25

I.5.2.3. Switch 26

I.5.2.4 Passerelle 26

I.5.2.5 Firewall 27

100

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

I.7.CONCLUSION 30

II.1 INTRODUCTION 31

II.2.3 Les numérisations de la Voix 33

II.2.4 Les contraintes de la voix sur IP 34

II.3 LES PROTOCOLES MULTIMEDIAS 37

II.3.1.2.5. comparaison entre le protocole SIP et H.323 46

II.3.2. Protocoles De Transport 47

II.3.2.1 Le protocole RTP 47

II.3.2.2. Le protocole RTCP 49

II.4 AVANTAGES ET INCONVENIENTS DE LA TELEPHONIE SUR IP 50

II.4.1. Avantages 50

II.5. CONCLUSION 52

CHAPITRE III : LE RESEAU PRIVE VIRTUEL: VPN [12] [13] [1] [3] [11] [19] [20] 53

III.1 INTRODUCTION 53

III.2. DEFINITIONS 53

III.2.1. Réseau privé 53

II.2.2. Réseau privé virtuel 53

III.3. CONCEPTS DE VPN 54

III.4. FONCTIONNEMENT D'UN VPN 55

III.5. LES CONTRAINTES D'UN VPN 56

III.6. TYPE DE VPN 56

III.6.1. Le VPN d'accès 56

III.6.2. L'intranet VPN 57

III.6.3. L'extranet VPN 58

III.7. TOPOLOGIES DE VPN 59

III.8.2. Le protocole Layer Two Tunneling Protocol (L2TP) 60

III.8.3. Le protocole Internet protocol security (IPsec) 61

III.9 LES ATTAQUES DANS LES RESEAUX VoIP 62

III.10. MESURES DE SECURISATION 64

III.10.1 Sécurisation au niveau des protocoles 64

III.10.2 Sécurisation au niveau application 65

III.10.3 Sécurisation du système d'exploitation 66

III.11. AVANTAGES ET DESAVANTAGES D'UN VPN 67

III.11.1. Avantages : 67

III11.2. Désavantages 68

III.12. CONCLUSION 68

CHAPITRE IV : PRESENTATION DU RESEAU DE MINISTERE DU BUDGET [4] 69

IV.1 INTRODUCTION 69

IV.2.2 Historique 69

101

IMPLANTATION D'UN SYSTEME VOIP SECURISE PAR UNE TECHNOLOGIE VPN DANS UNE ENTREPRISE A MULTIPLE CENTRE D'EXPLOITATION

IV.3. ORGANNIGRAMME DE L'ADMINISTRATION DU MINISTERE DU BUDGET 70

IV.5. DIVISION INFORMATIQUE 73

IV.5.1. Organigramme de la Division Informatique 74

IV.5.2. Description des bureaux 74

IV.6. ETUDE DU RESEAU EXISTANT DU MINISTERE DE BUDGET 75

IV.6.1 Analyse du reseau informatique du Ministère du Budget 75

IV.6. ARCHITECTURE DU RESEAU EXISTANT 77

IV.7 CRITIQUE DU RESEAU INFORMATIQUE DU MINISTERE DU BUDGET 78

IV.7.1. Critiques 78

IV.7.2 Proposition des solutions et recommandation 78

IV.7.3 Architecture du nouveau réseau de Ministère du Budget 79

IV.7 CONCLUSION 80

CHAPITRE V : APPROCHE D'IMPLEMENTATION DE LA VoIP [6][16][17][21] 81

V.1 INTRODUCTION 81

V.2.2 CHOIX DES LOGICIELS 81

V.2.2.1.1. Installation d'elastix 82

V.2.2.1.2. CONFIGURATION DES SERVICES. 83

V.2.2.1.2.1. Lancement du serveur 83

V.2.2.1.2.3 Création d'une nouvelle extension 85

V.2.2.1.2.4 Installation et configuration du logiciel de téléphonie softphone X-Lite 86

V.2.2.1.2.5. Création d'une adresse e-mail 89

V.2.2.1.2.6. Consultation d'un e-mail 90

V.3 INTEGRATION DE LA VoIP DANS LE VPN 91

V.3.1. Trunk SIP 91

V.3.2. Configuration du Trunk 92

V.4 MESURES DE SECURISATION DE LA SOLUTION DEPLOYEE 94

CONCLUSION GENERALE 96

REFERENCES BIBLIOGRAPHIQUES 97

TABLE DES MATIERES 99