Mise en oeuvre d'un réseau mixte Linux/Windows dans un établissement scolaire

Résumé : Description d'un réseau de PC dans un lycée avec serveurs de fichiers, d'impression et d'accès Internet tournant sous Linux et clients tournant sous Linux ou Windows-3.11 et Windows-95. Ce document est le support d'un exposé effectué lors de la fête d'Internet à la Mutualité. Il est téléchargeable en FTP anonyme. .

1. Présentation du lycée Carnot

• administration et secrétariat ;
• enseignement d'informatique en lycée (option informatique) : programmation, bureautique et PAO ;
• enseignement d'informatique en classes préparatoires : algorithmique et programmation, calcul formel et numérique, modélisation et simulation ;
• expérimentation assistée par ordinateur, commande de robots ;
• libre-service en dehors des plages de cours pour les travaux personnels : programmation, calcul, rédaction de rapports, consultation sur Internet (depuis 1996).

• sciences industrielles (15 postes)
• physique (3 salles de 10 postes en projet)
• chimie (4 postes)
• sciences de la vie et de la Terre (15 postes)
• langues vivantes (20 postes)
• bibliothèque (4 postes)

2. Motivations pour une mise en réseau

2.1 Problèmes de fonctionnement

• les machines "anciennes" disposaient de petits disques durs (200-300 Mo) ne permettant pas de stocker tous les logiciels en usage au laboratoire, ceci obligeait à spécialiser les machines et les salles d'où une gestion délicate des emplois du temps ;
• l'introduction de Linux pour les besoins du cours d'algorithmique en classe préparatoire (environnement Xwindow-Emacs-Caml) venait amplifier le problème d'exiguïté des disque durs ;
• le partage d'une imprimante entre plusieurs postes ne fonctionnait pas de manière satisfaisante : nécessité d'utiliser des boîtiers de partage manuels, encombrement du câblage, spécialisation des ordinateurs en fonction de l'imprimante raccordée, trop grand nombre d'imprimantes et difficultés de maintenance ;
• la prolifération de virus et la modification par les élèves (ou les professeurs) des "fichiers système" obligeaient à réinstaller fréquemment les logiciels, d'où un temps consacré à la maintenance exorbitant : une journée entière pour reconfigurer une salle, et tout à recommencer la semaine suivante...

2.2 Choix techniques

• Le réseau est de type Ethernet avec câblage RJ45 : de la sorte, on dispose d'une souplesse de branchement équivalente à celle du système de distribution d'électricité, on a posé des prises un peu partout en faisant passer les câbles dans les cloisons et plafonds, on peut ajouter et retirer des machines sans difficulté.

• Chaque salle comporte son propre serveur de fichiers et d'impression : ceci permet d'isoler les salles tant en usage normal : les documents imprimés sont disponibles dans la salle, qu'en cas de problème : si un serveur cesse de fonctionner cela ne bloque pas les autres salles.

• Les salles sont reliées entre elles : ainsi on peut accéder à la machine Internet, mais aussi aux serveurs de fichiers des autres salles en cas de panne d'un serveur.

• Les postes clients tournent sous Windows ou Linux : la coexistence des deux systèmes est rendue possible par la libération d'espace disque et permet de bénéficier du meilleur des deux mondes. Certains logiciels fonctionnent mieux sous Linux que sous Windows (Netscape, Maple, Caml-light), d'autres ne sont disponibles que sous Windows (Smart-suite, Office, Mécaplan). La décision de conserver Windows permettait de ne pas trop bousculer les habitudes des utilisateurs et pérenniser les logiciels déjà achetés.

• Les serveurs de fichiers tournent sous Linux : les systèmes Windows-3.11 ou Windows-95 ne peuvent tenir la charge imposée par une quinzaine de clients et Windows-NT était hors d'atteinte (pas de machine assez puissante, aucune expérience de ce système, pas d'aide disponible). Par contre Linux pouvait tourner sur toute machine à partir du 386, on avait une bonne expérience du système pour l'avoir mis en oeuvre sur des postes isolés, et on pouvait obtenir de l'aide en cas de problème sur les forums Linux ou par courrier électronique avec les concepteurs de Linux (en particulier, D. Becker, ingénieur à la NASA m'a personnellement aidé à résoudre les problèmes dûs aux cartes réseau, et ce par retour du courrier). Parmi les autres raisons objectives conduisant au choix de Linux on peut citer :
  1. les virus en circulation sont développés pour MS-DOS et donc inoffensifs pour un système Linux ;
  2. Linux gère et exporte des droits d'accès aux fichiers fonction de l'utilisateur, ce qui permet de définir simplement les possibilités d'accès pour les différents publics du laboratoire (élèves, professeurs, administrateurs) ;
  3. le système de fichiers utilisé par Linux (ext2) supporte les noms longs et surtout les liens symbo\-liques, ce qui permet de rendre un même fichier visible depuis plusieurs endroits dans l'arborescence sans avoir à le dupliquer.
  4. les serveurs peuvent être administrés à distance par [telnet] et éventuellement reconfigurés de manière automatique par [rsh].
  5. la maîtrise d'un système comme Linux, en particulier par une interface "ligne de commande", exige une maturité intellectuelle que n'ont pas les bidouilleurs en culotte courte. Le temps qu'ils l'acquièrent, ils ont fini leurs études et donc quittent le lycée avant d'avoir pu devenir dangereux (cet argument risque de ne plus être valable vu l'expansion de Linux ...)

• Les serveurs sont les machines les moins puissantes du laboratoire : on a commencé avec des 386SX, qu'on a remplacé par des 486-33 en septembre 1997. Ceci est rendu possible par les exigences minimales de Linux en termes de puissance machine et permet de mettre les machines les plus puissantes (Pentium-166) à disposition des élèves : un serveur de fichiers "travaille" pendant cinq minutes lors du chargement d'un logiciel dans une salle, puis reste inoccupé pendant le reste de la séance (2h), ce qui fait un temps cumulé d'activité inférieur à une heure par jour et donc ne justifie pas l'immobilisation d'une machine "chère" surtout compte tenu du choix d'installer un serveur dans chaque salle. En pratique, on a pu observer qu'un seul 486 pouvait sans problème servir les trois salles actuellement reliées en réseau, donc le système peut continuer à fonctionner avec 66% de matériel hors service (ce qui s'est produit une fois).

3. Architecture

3.1 Client Windows-3.11

Au démarrage de Windows, la machine contacte le serveur de fichiers de la salle avec le protocole SMB et monte comme lecteur réseau [D:] le répertoire [/home/workgroup] exporté par le serveur sans mot de passe, ce qui lui donne accès à environ 700 Mo de logiciels. Ces logiciels ont été mis en place sur le serveur par les procédures d'installation normales à partir d'un poste client en spécifiant un répertoire sous [D:] comme répertoire d'installation (on autorise temporairement l'écriture sur le disque du serveur pour ce faire). En général, le logiciel d'installation dépose un plus ou moins grand nombre de pilotes [*.drv] et de bibliothèques [*.dll] dans le répertoire [C:\windows] du client, on repère ces fichiers par comparaison avec une machine "vierge" et on les déplace dans la mesure du possible vers le serveur (Windows les retrouve tout seul s'ils sont dans un répertoire faisant partie du PATH). Le but de ce transfert est de limiter au maximum la quantité de fichiers à recopier sur chaque poste client, l'idéal étant zéro (quelques fois atteint). Naturellement, la procédure d'installation n'est effectuée que sur un seul serveur, les autres sont alignés sur le premier par transferts sous NFS après vérification du bon fonctionnement.

Le client Windows a également accès dès le démarrage (c'est à dire sans intervention particulière) à deux imprimantes exportées par le serveur, une imprimante laser HP-4L et une imprimante jet d'encre couleur HP-870. Les pilotes pour ces imprimantes ont été installés sur le disque du serveur comme pour les autres logiciels. En pratique un serveur n'est pas forcément raccordé à ces deux modèles d'imprimante, il dispose effectivement d'une imprimante laser qui peut être une HP-4L ou HP-5L et un seul des trois serveurs est effectivement raccordé à une HP-870, les deux autres font suivre d'eux-mêmes par le réseau les fichiers à imprimer vers le premier serveur. L'ensemble fonctionne harmonieusement, les HP-5L sont d'assez bonne composition pour accepter les codes d'impressions en langage "4L".

Par ailleurs, un poste Windows peut, sur intervention manuelle, accéder à des ressources protégées par mot de passe : lecteur de CD-Rom exporté par le serveur, répertoires personnels des professeurs. Les CD sont protégés par mot de passe pour limiter les possibilités d'introduction par les élèves de logiciels (notamment de jeux, on a retrouvé alors que les CD étaient en accès libre 20 Mo de [Doom] soigneusement cachés dans quelques machines deux niveaux de répertoire au dessous de [\dmt] et exportés par le réseau vers les autres machines ...).

Enfin, toujours après intervention manuelle, un poste Windows peut accéder aux répertoires exportés par les autres clients aussi bien Windows que Linux, ce qui permet aux élèves de s'échanger des fichiers ou même de travailler avec plusieurs postes (créer un dessin par programme sur un poste et l'afficher sur un deuxième par exemple).

3.2 Client Windows-95

3.3 Client Linux

Les 50 Mo de la partition racine se décomposent en 5 Mo de noyau et code réseau, 10 Mo pour le serveur X les bibliothèques associées et l'exécutable [emacs], 30 Mo pour le fichier de sauvegarde de la partition DOS. Pratiquement, une machine Linux pourrait tourner avec les seuls 5 Mo de noyau et code réseau, on a installé X et [emacs] sur le disque local dans le seul but d'accélérer le démarrage sous X de la machine. De même, la sauvegarde du DOS n'est pas indispensable, elle ne sert qu'à gagner du temps lors d'une restauration de la partition DOS.

Les élèves peuvent utiliser un compte public accessible sans mot de passe. Les professeurs peuvent utiliser leur compte personnel, ils ont ainsi accès au même répertoire personnel que depuis un poste Windows à cette différence près que le montage est fait automatiquement au login grâce à l'auto-monteur AMD. L'identification des professeurs et la validation des mots de passe est effectuée par interrogation d'un serveur de fichiers particulier jouant le rôle de serveur NIS, mais compte tenu de notre inexpérience avec NIS, la modification des mots de passe est malaisée : il faut intervenir directement sur le serveur et avec l'autorité de [root] pour ce faire. Cette situation sera améliorée à l'occasion.

De même que sous Windows, l'accès au lecteur de CD du serveur est possible après vérification du mot de passe ; par contre l'accès aux répertoires publics des autres clients est géré de façon transparente par l'auto-monteur sans intervention explicite de l'utilisateur. La gestion des partages de répertoires est assurée selon les cas par NFS entre deux machines Linux (deux clients ou un client et un serveur) ou par SMB entre une machine Linux et une machine Windows (dans certains cas, notamment l'accès aux lecteurs de CD des serveurs, on utilise exclusivement SMB de façon à simplifier les contrôles d'accès et la tâche des auto-monteurs de CD sur les serveurs).

3.4 Serveur Linux

La partie commune de ces serveurs est constituée d'un système Linux "complet" construit sur un noyau 2.0.29 dont la partie [/usr] (500 Mo) est exportée vers les clients Linux et du répertoire [/home/workgroup] (700 Mo) contenant tous les logiciels nécessaires aux clients Windows. Normalement, ces répertoires [/usr] et [/home/workgroup] sont protégés contre les tentatives d'écriture de leurs clients, mais il est possible de donner un accès en écriture temporairement et pour un utilisateur précis à des fins d'installation de nouveaux logiciels.

Chaque serveur dispose d'une partition de secours d'environ 50 Mo contenant un deuxième système Linux indépendant du système principal, réduit mais suffisant pour pouvoir intervenir, y compris à distance par [telnet] sur le système principal en cas de problème ou pour effectuer une sauvegarde ou une restauration. Cette partition de secours est une survivance de la première installation du réseau et sera supprimée lors du prochain changement de disque car on a constitué depuis des jeux de disquettes de secours avec code réseau et utilitaires de restauration permettant de reconstituer n'importe quelle machine, client ou serveur, à partir d'une sauvegarde accessible indifféremment par réseau, par un disque monté temporairement, par disquettes ZIP ou bandes magnétiques.

Un serveur exporte son répertoire [/usr] par NFS et son répertoire [/home/workgroup] par SMB. En outre, il est équipé d'un lecteur de CD-Rom exporté par SMB et géré par l'auto-monteur AMD (ceci permet de monter et démonter les CD simplement en y accédant ou en cessant d'y accéder et sans avoir à fournir aux utilisateurs un accès en ligne de commande sur le serveur). Enfin, les serveurs de fichiers font aussi office de serveurs de noms aussi bien pour les clients Windows (protocole WINS) que pour les clients Linux (protocole DNS).

Un des serveur se distingue des autres en ce qu'il contient les tables DNS primaires, les tables NIS et les répertoires personnels des professeurs. Chacun de ces répertoires personnels contient un lien vers un sous-répertoire nommé [public] visible en lecture seule depuis n'importe quel poste client, sans mot de passe. Techniquement, tous les répertoires [public] sont regroupés sous [/home/workgroup/profs] et ce répertoire est exporté vers les autres serveurs puis réexporté par ceux-ci vers leurs clients Linux ou Windows. A terme, on envisage une solution plus symétrique avec un serveur supplémentaire ne gérant que les tables DNS, NIS et les comptes personnels.

3.5 Passerelle

Pratiquement, la passerelle ne laisse passer d'un réseau local à l'autre que les datagrammes à destination ou en provenance d'un serveur de fichiers, de façon à permettre aux machines connectées au réseau administratif d'utiliser les logiciels disponibles au laboratoire (cette possibilité est peu exploitée, ces machines disposent généralement de leurs propres versions des logiciels utilisés). En particulier aucun poste élève ne peut "sortir" du laboratoire (sauf à prendre le contrôle de la passerelle). De même, la protection vis à vis du réseau Internet est obtenue en bloquant tous les datagrammes ne provenant pas ou n'étant pas destinés à une machine "autorisée". Pour ces dernières, un mécanisme de traduction d'adresses (masquerading) est mis en oeuvre puisque les deux réseaux locaux utilisent des adresses IP privées.

L'accès au réseau Internet se réduit ainsi, pour les machines non privilégiées, uniquement aux consul\-ta\-tions HTTP et FTP par l'intermédiaire du serveur HTTP [apache] qui tourne sur la passerelle et fait office à la fois de mandataire et de cache. De plus, les transactions traitées par [apache] sont affichées en temps réel sur un écran de contrôle de façon à détecter les accès à des sites "subversifs" (la plupart des élèves sont mineurs).

Le contrôle de la ligne téléphonique est effectué de manière automatique grâce aux daemons [diald] et [pppd] : [diald] lance automatiquement la connexion lorsqu'un datagramme doit être acheminé vers Internet et la coupe automatiquement au bout d'un certain temps d'inactivité, [pppd] met en forme les datagrammes, surveille le bon état de la connexion et raccroche automatiquement en cas de blocage (ce qui arrive fréquemment, sans que l'on sache si c'est la ligne posée au lycée qui est de mauvaise qualité ou si c'est celle du rectorat).

4. Maintenance

Les images compressées des partitions DOS et Linux d'un poste élève type sont stockées sur chacun des serveurs : 30 Mo pour la partition DOS et 5 Mo pour la partition Linux. Pour restaurer ou installer pour la première fois une machine, il suffit de la bouter avec une disquette de secours contenant un système Linux autonome (la version allégée des partitions de secours sur les serveurs), de contacter un serveur de fichiers par NFS et d'installer par simple décompression les sauvegardes DOS et Linux. Ensuite, on adapte les fichiers de configuration, aussi bien sous DOS que sous Linux en fonction des particularités de la machine : nom et numéro IP, carte vidéo, carte réseau, souris. L'installation complète d'un poste élève de cette manière prend une dizaine de minutes et il est même possible d'en installer plusieurs en parallèle si l'on est pressé.

Par ailleurs, les parties DOS des machines n'étant pas protégées de leurs utilisateurs, il faut ré\-gu\-liè\-re\-ment les restaurer de façon à retrouver une configuration standard. Ceci est fait de la même manière que pour une première installation : effacement depuis Linux de la partition DOS, recopie du fichier de sauvegarde et personnalisation. L'ensemble de ces opérations est maintenant entièrement automatisé. Les informations spécifiques à une machine doivent être inscrites dans les fichiers [\windows\system.ini] (carte graphique, souris, carte réseau, nom et numéro IP), [\windows\win.ini] (carte graphique), [\windows\progman.ini] (carte graphique) et [\windows\connect.dat] (connexions à rétablir au démarrage) ; les trois premiers fichiers sont au format texte, et c'est un jeu d'enfant avec [sed] que d'y inscrire les informations appropriées ; seul le fichier [connect.dat], en format binaire, ne peut être synthétisé mais les informations qu'il contient sont identiques pour toutes les machines reliées à un même serveur, donc il suffit d'en conserver une copie par serveur.

Au total, une machine Linux est en mesure de restaurer sa partition DOS en quelques minutes et sans aucune autre intervention manuelle que le déclenchement de l'opération. On effectue actuellement une restauration chaque soir à la fermeture du laboratoire : les machines effectuent la restauration puis passent la nuit ou le week-end sous Linux à faire des calculs de factorisation de grands nombres pour le compte de l'Inria (projet ECM-Net). C'est à cause de cette facilité de restauration qu'on ne souhaite pas passer à Windows-95 : personne ne sait comment modifier automatiquement les informations spécifiques sur une machine 95.

5. Problèmes constatés

L'accès aux répertoires réseau n'est pas possible sous MS-DOS seul, il faut utiliser le support réseau fourni par Windows et donc lancer Windows puis ouvrir une session DOS pour utiliser des logiciels purement DOS. Cela fonctionne dans certains cas, par exemple pour [pls] ou [turbo-pascal] (environnement de programmation en Pascal) et pas dans d'autres, l'exception la plus gênante étant [dmt] qui entre en conflit avec Windows pour l'accès à la carte graphique et "plante" la machine. Il existe un pilote TCP/IP fonctionnant sous MS-DOS, librement téléchargeable sur le site Internet de Microsoft, mais on n'a pas réussi à le mettre oeuvre. Le problème a donc été résolu installant [dmt] sur chaque poste client, mais cette solution n'est pas conceptuellement satisfaisante.

Problèmes d'affichage de la souris ou du curseur : Sur une dizaine de machines, toutes du même modèle, l'affichage de la souris se bloque de manière aléatoire sous Windows. Aucune explication n'a pu être trouvée pour ce phénomène, mais on a découvert par hasard qu'il suffisait d'ouvrir une session DOS puis de la refermer pour retrouver un fonctionnement normal et définitif de la souris ; ceci est désormais fait automatiquement au démarrage de Windows sur ces machines. De même, sur certaines machines, toujours sous Windows, le curseur d'insertion disparaît parfois et ne revient que si l'on force un réaffichage de la fenêtre active (en l'iconifiant puis en la restaurant). Sur deux modèles de Pentium, avec le logiciel [word], cette manipulation ne suffit pas à faire réapparaître le curseur et on n'a pas encore trouvé quoi faire. Il s'agit peut-être d'une mauvaise configuration ou d'une bogue des pilotes d'affichage, en tous cas il n'empêche pas d'utiliser [word] : on n'a pas de curseur, c'est tout ...

La facilité d'impression en réseau et le développement du libre-service en particulier pour les consultations Internet conduisent à un gaspillage excessif d'encre et de papier : les élèves n'hésitent pas à imprimer les documents qu'ils téléchargent, même s'il y en a pour une centaine de pages, et parfois ne vont même pas chercher les documents qu'ils ont fait imprimer. Une plus grande surveillance des élèves et un peu d'éducation civique pourraient certainement résoudre ce problème mais pour l'instant, à titre provisoire, le papier a été rationné : il faut le demander au surveillant qui donne les feuilles à l'unité (mais certains élèves contournent cette mesure en apportant leur propre papier et on n'a pas encore trouvé le moyen de rationner l'encre).

6. Lexique

AMD

Auto-Mount Daemon, programme connectant et déconnectant automatiquement des répertoires en réseau

BIOS

Basic Input/Output System, programme présent au démarrage d'une machine

CAO

Conception Assistée par Ordinateur

CD

Compact Disk

daemon

Disk And Extension MONitor, programme résident sous Unix

DNS

Domain Name Server, protocole d'identification des machines sur Internet

DOS

Disk Operating System

ext2

système de fichiers utilisé sous Linux

FTP

File Transfert Protocol, protocole de transfert de fichiers

HTTP

HyperText Transfert Protocol, protocole de transfert de fichiers

IP

Internet Protocol, mécanisme d'identification des machines sur Internet

LPR

protocole d'impression en réseau

NASA

National Aeronautics and Space Administration

NFS

Network File System, protocole de transfert de fichiers

NIS

Network Information Service, protocole d'interrogation de bases de données

PAO

Publication Assistée par Ordinateur

PATH

liste des répertoires où chercher un programme exécutable

RJ45

modèle de prise pour câble réseau

RNIS

Réseau Numérique à Intégration de services (Numéris)

rsh

protocole de commande à distance d'une machine

RTC

Réseau Téléphonique Commuté

SMB

Server Message Buffer, protocole de transfert de fichiers et d'impression en réseau

telnet

protocole de commande à distance d'une machine

WINS

Windows Name Server, protocole d'identification des machines Windows

ZIP

modèle de disquette de grande capacité (100 Mo)