Description
Ce projet simule une infrastructure réseau FAI sécurisée. L'objectif est de fournir une connectivité sécurisée et isolée à deux clients distincts (A et B), possédant chacun plusieurs sites géographiques.
Technologies & Protocoles
- Infrastructure Opérateur (Backbone) : OSPF (Area 0) pour le routage interne, MPLS (LDP) pour la commutation de labels, MP-BGP pour l'échange de routes clients.
- Isolation (Segmentation) : VRF (Virtual Routing and Forwarding) pour séparer les tables de routage Client A / Client B.
- Sécurité (Edge) : Tunneling IPsec (Site-to-Site) avec chiffrement AES et authentification SHA-HMAC, ACLs pour filtrer le trafic, sécurisation des accès (SSH).
- LAN & Services : VLANs & Trunking (802.1Q), DHCP Server (IPv4 & IPv6 SLAAC), QoS pour prioriser la VoIP.
Architecture
L'architecture est divisée en trois zones autonomes (AS) :
- AS 1234 (Opérateur) : Cœur de réseau composé de routeurs P (Provider) et PE (Provider Edge).
- AS 65001 (Site 1) : Site 1 du Client A et du Client B.
- AS 65002 (Site 2) : Site 2 du Client A et du Client B.
Focus Sécurité : IPsec & ACL
Pour garantir la confidentialité des échanges entre les sites clients traversant le backbone opérateur, un tunnel IPsec a été monté.
- Phase 1 (ISAKMP) : Authentification Pre-Shared Key, Algorithme AES.
- Phase 2 (IPsec) : Transform-set ESP-AES ESP-SHA-HMAC.
Des ACLs ont été appliquées sur les interfaces Edge pour bloquer tout trafic non chiffré ou non légitime (Telnet bloqué, SSH autorisé).
Note sur l'environnement de simulation
Ce projet étant une simulation académique sous GNS3 (Cisco c3725), certaines mesures de durcissement (Hardening) comme les mots de passe enable secret ou la configuration AAA n'ont pas été activées pour faciliter le débogage. En production, ces mesures seraient la première étape de configuration.