Red, DHCP, firewall y acceso remoto

1. Configurer et diagnostiquer #

Les cmdlets réseau.

Configuration IP #

Get-NetIPConfiguration                     # vue d'ensemble (équivalent moderne d'ipconfig /all)
Get-NetAdapter | Format-Table Name, Status, LinkSpeed, MacAddress
New-NetIPAddress -InterfaceAlias 'Ethernet' -IPAddress 10.0.10.21 -PrefixLength 24 -DefaultGateway 10.0.10.1
Set-DnsClientServerAddress -InterfaceAlias 'Ethernet' -ServerAddresses 10.0.10.10, 10.0.10.11
Set-NetIPInterface -InterfaceAlias 'Ethernet' -Dhcp Enabled                         # repasser en DHCP
Rename-NetAdapter -Name 'Ethernet' -NewName 'LAN'

Bonne pratique : Donnez une adresse IP fixe (ou une réservation DHCP) aux serveurs, et utilisez les DNS internes (contrôleurs de domaine) sur toutes les machines du domaine.

Diagnostiquer par couches #

Test-NetConnection srv-web01 -Port 443 -InformationLevel Detailed
Get-NetTCPConnection -State Listen | Sort-Object LocalPort |
    Select-Object LocalAddress, LocalPort, @{n='Processus'; e={(Get-Process -Id $_.OwningProcess).Name}}
Resolve-DnsName corp.exemple.fr -Type SOA ; Clear-DnsClientCache
Get-NetRoute -AddressFamily IPv4 | Where-Object DestinationPrefix -eq '0.0.0.0/0'

2. Le service DHCP #

Distribuer les adresses automatiquement.

Installer et configurer DHCP #

Install-WindowsFeature DHCP -IncludeManagementTools
Add-DhcpServerInDC -DnsName srv-dc01.corp.exemple.fr -IPAddress 10.0.10.10      # autoriser le serveur dans AD
Add-DhcpServerv4Scope -Name 'LAN Paris' -StartRange 10.0.20.100 -EndRange 10.0.20.250 -SubnetMask 255.255.255.0 -LeaseDuration 8.00:00:00
Set-DhcpServerv4OptionValue -ScopeId 10.0.20.0 -Router 10.0.20.1 -DnsServer 10.0.10.10, 10.0.10.11 -DnsDomain corp.exemple.fr
Add-DhcpServerv4Reservation -ScopeId 10.0.20.0 -IPAddress 10.0.20.50 -ClientId 'AA-BB-CC-11-22-33' -Name 'Imprimante-RDC'
Get-DhcpServerv4ScopeStatistics                                                  # taux d'occupation
Add-DhcpServerv4Failover -Name 'FO-Paris' -PartnerServer srv-dc02 -ScopeId 10.0.20.0 -LoadBalancePercent 50 -SharedSecret (Read-Host)

À savoir : Le basculement DHCP (failover) partage les étendues entre deux serveurs, en équilibrage de charge ou en secours : plus besoin de la règle « 80/20 ». Sur un autre sous-réseau, un relais DHCP (IP helper) sur le routeur transmet les demandes.

3. Le pare-feu Windows #

Bloquer par défaut, ouvrir précisément.

Profils et règles #

Get-NetFirewallProfile | Format-Table Name, Enabled, DefaultInboundAction, DefaultOutboundAction
Get-NetConnectionProfile                                              # profil actif de chaque réseau
New-NetFirewallRule -DisplayName 'APP - API métier 8443' -Direction Inbound -Protocol TCP -LocalPort 8443 `
    -RemoteAddress 10.0.20.0/24 -Profile Domain -Action Allow
Get-NetFirewallRule -DisplayGroup 'Bureau à distance' | Enable-NetFirewallRule      # « Remote Desktop » en anglais
Set-NetFirewallProfile -Profile Domain, Private, Public -LogBlocked True -LogFileName '%SystemRoot%\System32\LogFiles\Firewall\pfirewall.log'

Erreur courante : Désactiver le pare-feu « pour tester » et oublier de le réactiver, ou ouvrir un port à toutes les adresses. Créez une règle précise (port, protocole, adresses sources, profil) et pilotez le pare-feu par GPO sur tout le parc.

4. L'accès à distance #

RDP, WinRM et SSH.

Bureau à distance, WinRM et OpenSSH #

# Bureau à distance avec NLA
Set-ItemProperty 'HKLM:\System\CurrentControlSet\Control\Terminal Server' -Name fDenyTSConnections -Value 0
Set-ItemProperty 'HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name UserAuthentication -Value 1
Enable-NetFirewallRule -DisplayGroup 'Bureau à distance'

# OpenSSH Server
Get-WindowsCapability -Online -Name OpenSSH.Server*                  # préinstallé sur Windows Server 2025
Add-WindowsCapability -Online -Name OpenSSH.Server~~~~0.0.1.0       # versions antérieures
Set-Service sshd -StartupType Automatic ; Start-Service sshd
ssh admin@srv-fs01 ; scp .\outil.zip admin@srv-fs01:C:/Temp/

Erreur courante : Exposer le port 3389 (RDP) sur Internet : c'est l'une des premières portes d'entrée des rançongiciels. Passez par un VPN, une passerelle Bureau à distance ou un bastion, avec authentification multifacteur.

Commandes à connaître #