Le Groupe Danone revisite son architecture de service DNS

La firme a profité de la remise à plat de son annuaire Active Directory pour refondre son architecture DNS. Un service clé qui gère l'espace des domaines et noms, et opère la conversion des noms d'hôtes en adresses IP.

Gilles Poisson

Responsable réseaux et télécoms au sein du Groupe Danone

' Le DNS est un service discret mais critique, qui joue un rôle clé dans l'infrastructure intranet et extranet. Le DNS devenant une cible privilégiée de déni de service, il faut maximiser la disponibilité du service tout en réduisant les vulnérabilités. "

L'entreprise et sa problématique : Une architecture DNS à revoir

Le français Danone est l'un des leaders mondiaux du secteur de l'agroalimentaire. Ses spécialités englobent aussi bien les produits laitiers frais ou l'eau en bouteille que les biscuits et produits céréaliers. En 2005, son chiffre d'affaires s'est élevé à plus de 13 milliards d'euros pour un effectif de près de 90 000 personnes.

Sur le plan informatique, le groupe disposait historiquement d'un serveur DNS (Domain name system, ou système de noms de domaine) sous une plate-forme Windows NT, qui a ensuite évolué vers Windows Server 2000, de Microsoft. Son architecture Wintel datait de cinq ans, avec des DNS interne et externe hébergés sur la même machine physique. La résolution de nom du site web danone.com était, quant à elle, gérée séparément par l'américain VeriSign. L'activation d'un service Active Directory fédérateur pour l'ensemble du groupe a été l'occasion de remettre à plat les architectures Windows et DNS. Danone avait alors le choix de poursuivre avec le DNS de Microsoft, d'installer le logiciel Bind version 9 sous Linux, ou de faire appel à un boîtier dédié.

Nous sommes alors en 2005 et, si de tels boîtiers étaient largement déployés en Europe pour certaines fonctions (les services de proxy- cache et de relais d'e-mails, par exemple), ils arrivaient à peine sur le marché pour le service DNS.

Le cahier des charges : Améliorer la disponibilité et l'exploitabilité du service DNS

A l'époque, le Groupe Danone visait trois objectifs. Tout d'abord, il ne voulait plus effectuer des correctifs logiciels sur des éléments n'ayant rien à voir avec le DNS, une pratique qui fragilise le système. Ensuite, il souhaitait améliorer la disponibilité du service, et, enfin, assurer l'intégration de la gestion du service DNS au sein d'un environnement en partie externalisé chez IBM Global Services. La solution choisie devait également apporter davantage de souplesse en fournissant une granularité des droits selon les profils. Il fallait, en effet, pouvoir disposer de plusieurs niveaux d'administration par zone DNS. Actuellement, les quatre-vingts filiales gèrent leur propre DNS. La définition de l'architecture DNS a donné lieu à des tests des équipements dans un environnement hors production.

Les technologies choisies : Des boîtiers dédiés avec Bind 9.2

' Notre service DNS s'appuie sur le logiciel Bind 9.2. Il n'y a pas de fonctions manquantes, la granularité et la richesse fonctionnelle sont au rendez-vous ', indique Gilles Poisson, responsable réseaux et télécoms de Danone. Le groupe a opté pour une solution à base de boîtiers dédiés avec un système d'exploitation durci. Cinq boîtiers sont utilisés : deux pour le DNS interne primaire, un pour le DNS interne secondaire, et deux pour le DNS externe. Les trois derniers boîtiers sont confinés dans des DMZ distinctes afin de prévenir les risques croissants liés au DNS poisoning, qui consiste à ajouter de fausses informations au niveau du DNS pour que les utilisateurs soient réorientés vers les sites pirates. Le DNS interne s'intègre à Active Directory de Microsoft. La haute disponibilité est assurée par le protocole VRRP (Virtual router redundancy protocol). Cinq secondes sont nécessaires pour basculer d'un système à l'autre.

Les produits et les fournisseurs retenus : Infoblox pour les boîtiers et Netqost pour l'intégration

Danone a étudié plusieurs possibilités, dont une solution logicielle open source et des boîtiers dédiés. L'étude a notamment porté sur BlueCat Networks et sur Infoblox, qui venait juste d'arriver en France. Les boîtiers Infoblox-1200 ont été retenus. Leur capacité est de trois cent mille enregistrements DNS (DNS records), dix mille zones gérées et dix mille réseaux. Le groupe a choisi le modèle 1200 plutôt que le 1000, moins puissant, en raison des futures évolutions de son architecture. À l'heure actuelle, cent à cent cinquante requêtes DNS sont effectuées par seconde, ce qui reste modeste par rapport à la capacité des équipements. Danone a fait appel au français Netqost pour l'aider dans la rédaction des procédures et dans la migration. Cet intégrateur, certifié Infoblox, a réalisé la documentation nécessaire pour IBM Global Services. Le transfert de compétences entre Danone et Netqost a été effectué en deux jours. Le support technique d'Infoblox, situé en Belgique, a été jugé très satisfaisant lorsqu'il a fallu le solliciter. Pouvoir ' attaquer ' les API en Perl pour créer de nouvelles fonctions de gestion a été considéré comme un point fort, de même que la fonction Views pour créer ses propres vues du réseau DNS. Avec ce type de solution, les mises à jour sont plus fiables et le service est stable.

Les projets à court terme : Gestion de l'adressage IP et sécurisation du réseau

Si les boîtiers Infoblox sont destinés, dans un premier temps, au service DNS, ils peuvent être aussi utilisés pour d'autres services tels qu'Ipam (IP address management, ou gestion des adresses IP), DHCP, serveur Radius ou TFTP. Un serveur TFTP pourrait notamment être utilisé pour le téléchargement du firmware et des fichiers de configuration des téléphones en voix sur IP. ' En augmentant la disponibilité du DNS, nous avons d'ores et déjà amélioré la qualité fournie aux utilisateurs, car ce service est critique pour l'accès aux applications, déclare Gilles Poisson. Même s'il est difficile de calculer exactement le retour sur investissement de ce type de projet, s'affranchir des contraintes de maintenance et des vulnérabilités liées aux systèmes d'exploitation classiques supprime des coûts cachés. '

Un seul point d'administration

Une réflexion sur un nouveau mode de gestion du plan d'adressage IP est en cours pour prendre en compte près de cinquante mille adresses IP. Le service DNS ayant vocation à être distribué avec un point central d'administration, Danone pourrait mettre en place la fonction Grid des boîtiers Infoblox, qui permet de gérer et de distribuer leur base de données dinformations unifiée à tous les membres du réseau.