Ce projet n'a pas pour but de surveiller les utilisateurs. Toutes les connexions sont enregistrées de façon à pouvoir assurer un suivi en cas de problème détecté sur le réseau. Cette gestion de trace, nommée accounting, n'est accessible que par les administrateurs de laboratoires.
Ces techniques sont modernes et nécessitent des ordinateurs clients récents. Il a aussi été traité le cas des machines ne supportant pas l'authentification, en mettant en place une identification par leur adresse MAC. Dans le cas où l'ordinateur ne supporte pas 802.1x, ni VMPS, il est placé face à un portail captif, qui lui donnera l'accès à Internet. Pour les connexions en provenance d'Internet, un serveur de VPN est aussi déployé. La communication entre les universités de la plaque grenobloise a aussi été prise en compte puisque l'accès aux serveurs VPN des universités est ouvert sans mot de passe.
Si un utilisateur est authentifié, il est placé dans un réseau selon les droits définis pas l'administrateur de laboratoire.
L'aspect sécurité figurant en bonne place dans le cahier des charges, les méthodes d'authentification employées sont cryptées et les filtres réseau sont de type "on filtre tout sauf ce qui est défini". Des mots de passe entre les équipements les protègent des malveillances et des maladresses. De plus, tous sont placés dans des réseaux non routables afin qu'ils soient injoignables depuis l'Internet.
Adapter l'infrastructure de notre site et l'intégrer dans ce vaste projet, a constitué l'essentiel de mon travail depuis deux ans.
Les difficultés ont été d'ordre technique mais aussi politique. Imposer aux utilisateurs de s'authentifier avant d'accéder au réseau constitue un changement de mentalité qui impose dialogues et prise de conscience. L'un de ses aspects les plus positifs a été la nécessaire coopération entre la cellule centrale et les administrateurs informatiques des laboratoires, ainsi qu'entre les administrateurs eux-mêmes. Il a fallu également convaincre la direction du CNRS de Grenoble de s'engager dans EduRoam et RENATER et d'en signer la charte commune. Cela a été officiellement fait en septembre 2007. De fait, désormais, l'obligation d'identifier tous les utilisateurs de notre réseau et d'en garder trace devient effective. Celle-ci permettra de disposer de toute information en cas d'alerte signalée par nos partenaires. Par sa signature, la direction avalise le déploiement du projet sur le site et notre implication dans EduRoam.
Utilisé aujourd'hui au quotidien par une centaine d'utilisateurs, son déploiement se fait au fil des besoins, lesquels ne cessent de se manifester. Ainsi, le laboratoire de Spectroscopie, sur le Campus, travaille en si étroite collaboration avec notre site que régulièrement des chercheurs rejoignent nos murs. Mais comme ils se retrouvent rarement dans leur laboratoire de rattachement, deux problématiques se posent : la première est qu'ils ne doivent pas avoir le plein accès au réseau interne du laboratoire d'accueil, la seconde est qu'ils doivent avoir ce plein accès sur celui qu'ils sont venus rejoindre.
Ce projet est dense : il représente plus de 8000 lignes de configurations et de développement. Pour faciliter son acceptation, son intégration, il a fallu rôder toutes les procédures d'installation et d'utilisation. Une documentation détaillée est disponible pour les administrateurs pour les aider lors du déploiement.
Les nombreux mails que nous recevons confirment que l'authentification et la mobilité sont à l'ordre du jour dans notre communauté, mais aussi que la grande complexité posé par cette double problématique pousse les administrateurs à chercher fébrilement des solutions satisfaisantes pour eux et leurs utilisateurs.
De par sa position centrale notre cellule doit encourager une politique cohérente sur le site, et proposer les services devenus incontournables de nos jours, tels que le WiFi, l'authentification des visiteurs, la mobilité ou la visio-conférence. C'est donc dans ce cadre que nous avons développé cette vaste solution, la plus fiable, la plus simple, la moins coûteuse possible. Notre approche de la problématique, nous l'avons mis à disposition sur l'Internet, tandis que le détail des configurations est déposé et mis à jour sur un Wiki.