Aller au contenu

🛠️ TP – Authentifier les utilisateurs avec l'annuaire

Parcours Stormshield – module S08 – binôme

Note

Mission. Tu relies un pare-feu Stormshield à l'Active Directory du parcours serveurs, puis tu autorises l'accès à Internet par utilisateur.

Temps prévu : 2 h. Prérequis : cours S08, le TP Active Directory (domaine entreprise.local, comptes alice, bob, chef) et une VM EVA.

Mise en place

Machine Rôle Adresse
SRV-AD contrôleur de domaine 192.168.56.10
CLIENT poste du domaine 192.168.56.20
EVA pare-feu entre le client et Internet à définir sur le même réseau privé hôte

Partie A – Sur papier (≈ 15 min)

Question Réponse
Quelle règle de filtrage écrirais-tu pour qu'alice seulement accède à Internet ?
Quelle méthode choisirais-tu pour un poste du domaine (sans retaper le mot de passe) ? Pour un visiteur ?

Partie B – Annuaire (≈ 40 min) (EVA)

🚀 Pour aller plus loin

  1. Utilisateurs → Configuration des annuaires : ajoute l'annuaire LDAP externe pointant vers SRV-AD (domaine entreprise.local) avec un compte de lecture.
  2. Teste la connexion à l'annuaire (bouton de test) et vérifie qu'alice et bob apparaissent.
Question Réponse
Quel port utilise LDAP ? Et LDAP chiffré ?

Partie C – Politique d'authentification et règle (≈ 45 min) (EVA)

🚀 Pour aller plus loin

  1. Utilisateurs → Politique d'authentification : active la méthode annuaire LDAP pour le trafic venant du réseau interne.
  2. Dans Filtrage et NAT, ajoute une règle dont la source est l'utilisateur alice@entreprise.local, vers Internet, web.
  3. Depuis CLIENT, ouvre un navigateur : le portail captif s'affiche. Connecte-toi avec alice, puis avec chef.
  4. Observe le journal (Notifications → Journaux → Authentification).
Question Réponse
alice accède-t-elle à Internet ? Et chef ?
Que montre le journal d'authentification ?

Partie D – Alternative Packet Tracer (≈ 30 min) 🧊

Note

Sans EVA : reproduis l'idée avec AAA et RADIUS sur Cisco Packet Tracer (un routeur, un serveur AAA avec alice et bob, accès SSH au routeur avec ces comptes). Suis le module CCNA 5-02 (comptes locaux dans le simulateur) et, dans Packet Tracer, l'onglet Services → AAA du serveur.

✅ Points de contrôle

  • l'annuaire est relié et mes utilisateurs apparaissent ;
  • alice passe, chef est refusé (ou inversement selon ta règle) ;
  • je sais expliquer l'intérêt de l'authentification par utilisateur.

➡️ Suite : module S09 · VPN IPsec.