Guide d’intégration pour Odysseus

Ulysse a mis dix ans à rentrer chez lui, cartographiant au passage des côtes que personne n’avait encore décrites. Notre Odysseus fait la même chose pour votre réseau : il explore les plages d’adresses IP que vous lui confiez, frappe poliment à chaque porte et rapporte ce qui répond.

Odysseus s’installe sur un seul poste et découvre les équipements qui ne pourront jamais exécuter un agent : imprimantes, commutateurs, routeurs, pare-feu, points d’accès, caméras IP, serveurs NAS, téléphones VoIP et hôtes de virtualisation. Chaque appareil identifié devient un actif dans Hector, tenu à jour à chaque découverte.

Limitations

• L’agent de découverte fonctionne sur les systèmes d’exploitation suivants :
  • Windows 11
  • Windows 10 (version 1809 ou plus récente)
  • Windows Server 2019 et plus récent
• L’agent découvre les plages IPv4. Les segments uniquement IPv6 ne sont pas balayés.
• Un appareil n’est décrit que par ce qu’il accepte de révéler. Un équipement sans SNMP et sans interface web peut n’être rapporté qu’avec une adresse IP et une adresse MAC.
• Un agent couvre les plages qu’il peut joindre sur le réseau. Un site séparé par un pare-feu qui bloque le trafic de découverte a besoin de son propre agent.

Prérequis de déploiement

• Avoir accès à l’installateur Odysseus d’Hector.
• Choisir un poste Windows par site qui demeure allumé et ouvert sur une session — un poste de gestion, un serveur utilitaire ou un poste rebond fait très bien l’affaire.
• Avoir les droits d’administrateur local sur ce poste pour l’installation.
• Avoir l’autorisation de laisser passer le trafic de découverte de l’agent sur les segments réseau à inventorier.
• Avoir l’autorisation de télécharger et d’enregistrer le certificat de l’application.
• Le poste doit avoir accès à Internet (port 443) pour récupérer sa configuration et transmettre les appareils découverts.
• Connaître les plages d’adresses IP à balayer et avoir configuré la communauté SNMP en lecture seule sur les équipements que vous souhaitez identifier en détail.

Un seul agent par plage d’adresses IP. Deux agents qui balaient le même sous-réseau rapportent deux fois les mêmes appareils. Hector les associe au même actif, donc rien n’est dupliqué, mais le deuxième balayage sollicite votre réseau pour rien.

Prérequis réseau

Odysseus identifie les appareils en combinant plusieurs sondes en lecture seule. Plus votre réseau en autorise entre l’agent et les équipements, plus l’inventaire est riche :

• Écho ICMP — le premier coup frappé à la porte, qui détermine si une adresse mérite d’être sondée davantage.
• SNMP (UDP 161) — version 2c, requêtes GET en lecture seule avec la communauté public. C’est de là que proviennent habituellement le modèle, le numéro de série, la version du micrologiciel, l’emplacement et le contact : c’est le protocole le plus payant à autoriser.
• Sondes de services TCP — un test de connexion sur les ports 21, 22, 23, 53, 80, 161, 443, 445, 515, 631, 1900, 3389, 5353, 5985, 5986, 8080, 8443, 9100, 49152 et 62078. La combinaison des ports ouverts aide à classifier l’appareil.
• HTTP et HTTPS — la bannière du serveur et le titre de la page de l’interface web de l’appareil.
• NetBIOS (UDP 137), SSDP/UPnP (UDP 1900) et mDNS (UDP 5353) — les annonces de nom et de type d’appareil.
• HTTPS sortant (TCP 443) — de l’agent vers Hector, pour récupérer sa configuration et transmettre les appareils découverts.

La découverte est volontairement discrète : les sondes sont brèves, toutes les requêtes sont en lecture seule et l’agent ne tente jamais de s’authentifier auprès d’un appareil. Il ouvre toutefois de nombreuses connexions en peu de temps : si votre surveillance signale les balayages de ports, ajoutez l’adresse IP de l’agent à la liste d’exceptions avant la première découverte.

Sécurité

• L’exécutable est signé par un certificat afin d’éviter toute altération.
• L’agent ne fait que lire. Il envoie des requêtes SNMP GET, ouvre et ferme des connexions TCP et lit des bannières web publiques ; il n’écrit jamais sur un appareil découvert, ne le configure pas et ne s’y authentifie pas.
• L’agent s’exécute avec le minimum de privilèges et n’apporte aucune modification au système d’exploitation ni au matériel du poste sur lequel il est installé.
• Les appareils découverts sont conservés dans une base de données locale sur le poste de l’agent, puis transmis à Hector en HTTPS, authentifiés par la clé d’appariement générée dans l’intégration.
• Aucun identifiant de vos équipements réseau n’est stocké dans l’agent. Le seul secret qu’il détient est sa propre clé d’installation.
• Les erreurs de découverte restent sur le poste, sauf si vous choisissez le contraire — voir Gestion des erreurs plus bas.

Empreinte

• Entre deux découvertes, l’agent se tient dans la zone de notification et ne fait que compter le temps qui reste avant la prochaine.
• Pendant une découverte, il sonde jusqu’à 50 adresses à la fois : attendez-vous à une pointe brève et visible d’utilisation du processeur et du réseau plutôt qu’à une charge constante.
• Une plage de classe C complète se termine généralement en une à deux minutes.
• L’utilisation du disque est d’environ 250 Mo, plus une petite base de données locale qui grandit avec le nombre d’appareils découverts.

Pour commencer

Ajoutez l’intégration Odysseus à partir de Réglages > Intégrations, puis ouvrez-la. L’intégration comporte trois onglets : Configuration pour définir quoi balayer et quand, Installation pour le téléchargement et la clé d’appariement, et Résultats pour l’historique des découvertes.

Étape 1 – Téléchargement

Ouvrez l’onglet Installation et cliquez sur Agent pour télécharger l’installateur. Conservez-le à un endroit accessible depuis le poste qui exécutera la découverte.

Étape 2 – Configuration

Configurez l’intégration avant d’installer l’agent. Celui-ci télécharge cette configuration dès qu’il est apparié : tout ce que vous définissez ici sera utilisé dès la première découverte.

Copiez la clé d’installation.

Dans l’onglet Installation, cliquez sur la clé d’installation de six caractères pour la copier. Cette clé apparie un agent à votre environnement Hector : traitez-la comme un mot de passe et gardez-la sous la main pour l’étape suivante.

Plages d’adresses IP

Dans l’onglet Configuration, dressez la liste des plages à explorer. Ajoutez-les une à une avec Ajouter une ligne, ou collez une liste dans la boîte d’importation en lot — un sous-réseau par ligne, écrit sous forme de CIDR (10.0.0.0/24), de plage (10.0.1.1-10.0.1.254) ou d’adresse unique. L’importation vous indique les lignes retenues, celles qui figuraient déjà dans la liste et celles qu’elle n’a pas pu lire.

Ne balayez que ce qui est nécessaire. Un /16 représente 65 536 adresses et occupera l’agent très longtemps ; quelques plages /24 couvrant les sous-réseaux réellement utilisés sont plus rapides et plus faciles à relire dans les résultats.

Heure de balayage et intervalle

L’heure de balayage par défaut est l’heure de la journée, selon l’heure locale du poste qui exécute l’agent, à laquelle la découverte démarre. Laissez l’intervalle de scan à 0 pour une découverte par jour à cette heure, ou indiquez un nombre de minutes pour la répéter au cours de la journée — l’intervalle est calculé à partir de la fin d’une découverte jusqu’au début de la suivante, de sorte que deux découvertes ne se chevauchent jamais.

L’agent doit être en cours d’exécution à l’heure prévue. Une découverte manquée parce que le poste était éteint n’est pas reprise par la suite : l’agent attend simplement la prochaine heure prévue. C’est pourquoi l’agent doit vivre sur un poste qui reste allumé.

Catégorie

Choisissez la catégorie dans laquelle les nouveaux actifs seront créés. Les équipements réseau méritent habituellement leur propre catégorie, afin que les attributs remplis par Odysseus soient regroupés là où vous les attendez.

Emplacement

Choisissez l’entrepôt où seront placés les appareils découverts. Si vous souhaitez les acheminer automatiquement selon la plage IP ou une autre règle, configurez plutôt l’automatisation de l’entrepôt et servez-vous de ce choix comme valeur de repli.

Filtres

Les types d’appareils acceptés énumèrent tous les types que l’agent sait reconnaître — imprimantes, commutateurs, routeurs, pare-feu, points d’accès, caméras IP, serveurs NAS, téléphones VoIP, hôtes de virtualisation et les types génériques d’équipement réseau. Seuls les types sélectionnés sont importés. Laissez-les tous sélectionnés pour tout accepter, y compris les nouveaux types qu’une future version de l’agent apprendra à détecter.

Sauter les appareils incomplets ignore tout appareil découvert sans numéro de série. Activez cette option pour obtenir une liste d’actifs bien identifiés ; laissez-la désactivée si vous préférez voir tout ce qui se trouve sur le réseau, y compris les appareils qui gardent leur numéro de série pour eux.

Champs

Sélectionnez les informations à inscrire sur l’actif. Chaque champ coché devient un attribut, créé et tenu à jour par l’intégration :

• Identité — Nom de l’appareil, Numéro de série, Fabricant, Modèle, Type d’appareil
• Réseau — Adresse IP, Adresse MAC Ethernet, Nom réseau, Ports ouverts
• Système — Système d’exploitation, Version du micrologiciel, Description, Temps de fonctionnement, Serveur HTTP
• Contexte — Emplacement, Contact, Date de dernière synchronisation

La description, l’emplacement, le contact et le temps de fonctionnement proviennent de la configuration SNMP de l’appareil : ils ne sont donc exacts que dans la mesure où vos équipements le sont. La date de dernière synchronisation enregistre le dernier moment où l’agent a vu l’appareil répondre sur le réseau — une façon rapide de repérer un équipement devenu muet.

Gestion des erreurs

Dans l’onglet Installation, le mode Simple conserve les erreurs de découverte — une configuration illisible, une plage IP que l’agent n’arrive pas à interpréter — dans un fichier journal sur le poste qui exécute l’agent. Le mode Avancé les transmet aussi à Hector à la fin de chaque découverte, afin que notre équipe de soutien puisse les analyser avec vous. Le nombre d’erreurs est consigné dans l’historique des scans dans les deux cas.

Déploiement manuel

Dans la plupart des environnements, c’est tout le travail à faire. Comme un seul agent couvre un site entier, l’installer à la main sur le poste choisi ne prend que quelques minutes.

1. Ouvrez une session sur le poste qui exécutera la découverte et lancez l’installateur téléchargé.
2. L’agent démarre et demande une clé d’installation. Collez la clé de six caractères provenant de l’onglet Installation et cliquez sur Sauvegarder.
3. L’agent contacte Hector, récupère votre configuration et affiche les plages d’adresses IP dont il a désormais la charge.
4. Cliquez sur Démarrer la découverte pour lancer le premier balayage immédiatement plutôt que d’attendre l’heure prévue.
5. Une fois terminé, cliquez sur Voir les appareils pour consulter ce qu’il a trouvé, puis vérifiez les actifs dans Hector.

Si la clé est refusée, vérifiez qu’elle correspond exactement à celle de l’intégration et que le poste peut joindre Internet sur le port 443. L’agent vous indique lequel des deux a échoué.

L’agent vit dans la zone de notification. Fermer sa fenêtre ne l’arrête pas : double-cliquez sur l’icône de la zone de notification pour la rouvrir, ou utilisez Quitter dans le menu contextuel pour l’arrêter. Il démarre avec Windows et se place directement dans la zone de notification aux ouvertures de session suivantes.

Déploiement automatisé

Déployer Odysseus sur plusieurs sites à la fois — un centre de services scolaire, une chaîne de magasins, un groupe de succursales — mérite d’être scripté. Un agent par site, chacun apparié avec la même clé d’installation.

Ce que vous déployez

Un seul exécutable d’installation. Il installe l’agent dans le dossier de données d’application locales de l’utilisateur connecté (%LOCALAPPDATA%\Hector.Odysseus), l’enregistre pour qu’il démarre avec Windows et n’exige aucun environnement d’exécution supplémentaire. Conservez cet emplacement par défaut : une installation dans un dossier commun à la machine, comme Program Files, empêche l’agent de se mettre à jour lui-même.

Déployez dans le contexte de l’utilisateur connecté, et non en tant que SYSTEM. Une installation par utilisateur exécutée en tant que SYSTEM aboutit dans le profil SYSTEM, où personne ne verra jamais la fenêtre de l’agent et où la découverte planifiée ne s’exécutera pas à l’ouverture de session.

Étape 1 — Héberger les fichiers sur un partage réseau

Copiez l’installateur sur un partage que tous les postes visés peuvent lire, par exemple \\SERVEURFICHIERS\Deploiement\Odysseus\. Un accès en lecture pour l’utilisateur qui déploie suffit.

Étape 2 — Utiliser ce script de déploiement

# Installe l'agent Odysseus et l'apparie à votre environnement Hector.
# À exécuter sous l'utilisateur connecté du poste qui balaiera le réseau.

$Share = "\\SERVEURFICHIERS\Deploiement\Odysseus"
$Setup = Join-Path $Share "Hector.Odysseus-stable-Setup.exe"
$Key   = "XXXXXX"   # la clé d'installation de Réglages > Intégrations > Odysseus

$Agent = Join-Path $env:LOCALAPPDATA "Hector.Odysseus\current\Odysseus.exe"

# 1. Installation silencieuse si l'agent n'est pas déjà présent
if (-not (Test-Path $Agent)) {
    Start-Process $Setup -ArgumentList "--silent" -Wait
}

# 2. Démarrage avec la clé d'installation, pour un appariement sans invite
Start-Process $Agent -ArgumentList "--key", $Key

Pour retirer l’agent par la suite :

Stop-Process -Name "Odysseus" -ErrorAction SilentlyContinue
Start-Process "$env:LOCALAPPDATA\Hector.Odysseus\Update.exe" -ArgumentList "--uninstall", "--silent" -Wait

Étape 3 — Cibler vos postes

Outil	Comment déployer
Manuel	Recommandé pour quelques sites. Une installation par site, faite en quelques minutes, avec la première découverte validée sur place.
Intune	Empaquetez le script comme application Win32 avec le comportement d’installation réglé sur Utilisateur, puis affectez-le à l’utilisateur qui ouvre une session sur le poste collecteur.
Configuration Manager (SCCM/MECM)	Déployez le script comme application vers un regroupement d’utilisateurs, et non de périphériques, afin qu’il s’exécute dans le contexte de l’utilisateur.
Stratégie de groupe	Ajoutez le script comme script d’ouverture de session utilisateur, limité à une UO ou à un groupe de sécurité ne contenant que les comptes de vos postes collecteurs.

Quel que soit l’outil, ciblez étroitement. Odysseus n’est pas destiné à se retrouver sur chaque poste de travail : un agent par segment réseau, c’est tout le principe.

Étape 4 — Prérequis et vérification

• Le poste visé peut joindre Internet sur le port 443.
• Le trafic de découverte de l’agent est autorisé sur les segments inscrits dans l’intégration.
• L’agent apparaît dans la zone de notification du poste visé.
• L’onglet Résultats de l’intégration affiche une découverte pour ce site.
• De nouveaux actifs apparaissent dans la catégorie et l’entrepôt configurés.

Mise à jour de l’agent

L’agent vérifie s’il existe une nouvelle version après chaque découverte et se met à jour sur place : il n’y a donc rien à redéployer lorsque nous livrons une amélioration. La version en cours d’exécution s’affiche dans le coin inférieur de sa fenêtre. Modifier la configuration dans Hector ne demande aucune mise à jour : cliquez sur Rafraîchir la configuration dans l’agent, ou attendez la prochaine découverte.

Consulter les résultats

L’onglet Résultats énumère les découvertes récentes avec leur heure de début et de fin, leur statut, le nombre de sous-réseaux balayés et le nombre d’appareils trouvés. C’est la façon la plus rapide de confirmer que l’agent d’un site fait toujours ses rondes.

Dans l’agent lui-même, Voir les appareils ouvre l’inventaire complet qu’il conserve localement, avec toutes les propriétés qu’il a réussi à lire sur chaque appareil — pratique lorsque vous vous demandez pourquoi telle imprimante est arrivée avec moins de détails que sa voisine.

En résumé

Configurez les plages, copiez la clé, installez l’agent sur un poste par site, puis laissez-le explorer. À partir de là, vos équipements réseau se tiennent à jour tout seuls dans Hector : les nouveaux appareils arrivent sous forme d’actifs, les existants restent à jour, et ceux qui cessent de répondre se repèrent d’un coup d’œil.

Et vous n’avez pas à y arriver seul. Si vous souhaitez un coup de main pour choisir les plages à balayer ou pour faire répondre le SNMP comme vous le voulez, communiquez avec notre équipe — nous faisons cela toutes les semaines.