Alphorm, profile picture
Téléchargé parAlphorm
PDF, PPTX59,005 vues

alphorm.com - Formation Linux LPIC-2

Ce document présente une formation sur Linux LPIC-2, animée par Noël Macé, incluant des informations sur le noyau Linux, les outils nécessaires, ainsi que le plan de cours et les ressources. La formation vise à acquérir des connaissances pratiques et théoriques pour réussir la certification LPIC-2 avec un accent sur la personnalisation et la configuration du noyau. Des instructions sont également fournies pour appliquer des correctifs et compiler le noyau, ainsi que des références aux ressources logicielles et forums utiles.

Intégrer la présentation

Télécharger en tant que PDF, PPTX
1 / 597
2 / 597
3 / 597
4 / 597
5 / 597
Plus lue
6 / 597
7 / 597
8 / 597
9 / 597
10 / 597
11 / 597
12 / 597
13 / 597
14 / 597
Plus lue
15 / 597
Plus lue
16 / 597
17 / 597
18 / 597
19 / 597
20 / 597
21 / 597
22 / 597
23 / 597
24 / 597
25 / 597
26 / 597
27 / 597
28 / 597
29 / 597
30 / 597
31 / 597
32 / 597
33 / 597
34 / 597
35 / 597
36 / 597
37 / 597
38 / 597
39 / 597
40 / 597
41 / 597
42 / 597
43 / 597
44 / 597
45 / 597
46 / 597
47 / 597
48 / 597
49 / 597
50 / 597
51 / 597
52 / 597
53 / 597
54 / 597
55 / 597
56 / 597
57 / 597
58 / 597
59 / 597
60 / 597
61 / 597
62 / 597
63 / 597
64 / 597
65 / 597
66 / 597
67 / 597
68 / 597
69 / 597
70 / 597
71 / 597
72 / 597
73 / 597
74 / 597
75 / 597
76 / 597
77 / 597
78 / 597
79 / 597
80 / 597
81 / 597
82 / 597
83 / 597
84 / 597
85 / 597
86 / 597
87 / 597
88 / 597
89 / 597
90 / 597
91 / 597
92 / 597
93 / 597
94 / 597
95 / 597
96 / 597
97 / 597
98 / 597
99 / 597
100 / 597
101 / 597
102 / 597
103 / 597
104 / 597
105 / 597
106 / 597
107 / 597
108 / 597
109 / 597
110 / 597
111 / 597
112 / 597
113 / 597
114 / 597
115 / 597
116 / 597
117 / 597
118 / 597
119 / 597
120 / 597
121 / 597
122 / 597
123 / 597
124 / 597
125 / 597
126 / 597
127 / 597
128 / 597
129 / 597
130 / 597
131 / 597
132 / 597
133 / 597
134 / 597
135 / 597
136 / 597
137 / 597
138 / 597
139 / 597
140 / 597
141 / 597
142 / 597
143 / 597
144 / 597
145 / 597
146 / 597
147 / 597
148 / 597
149 / 597
150 / 597
151 / 597
152 / 597
153 / 597
154 / 597
155 / 597
156 / 597
157 / 597
158 / 597
159 / 597
160 / 597
161 / 597
162 / 597
163 / 597
164 / 597
165 / 597
166 / 597
167 / 597
168 / 597
169 / 597
170 / 597
171 / 597
172 / 597
173 / 597
174 / 597
175 / 597
176 / 597
177 / 597
178 / 597
179 / 597
180 / 597
181 / 597
182 / 597
183 / 597
184 / 597
185 / 597
186 / 597
187 / 597
188 / 597
189 / 597
190 / 597
191 / 597
192 / 597
193 / 597
194 / 597
195 / 597
196 / 597
197 / 597
198 / 597
199 / 597
200 / 597
201 / 597
202 / 597
203 / 597
204 / 597
205 / 597
206 / 597
207 / 597
208 / 597
209 / 597
210 / 597
211 / 597
212 / 597
213 / 597
214 / 597
215 / 597
216 / 597
217 / 597
218 / 597
219 / 597
220 / 597
221 / 597
222 / 597
223 / 597
224 / 597
225 / 597
226 / 597
227 / 597
228 / 597
229 / 597
230 / 597
231 / 597
232 / 597
233 / 597
234 / 597
235 / 597
236 / 597
237 / 597
238 / 597
239 / 597
240 / 597
241 / 597
242 / 597
243 / 597
244 / 597
245 / 597
246 / 597
247 / 597
248 / 597
249 / 597
250 / 597
251 / 597
252 / 597
253 / 597
254 / 597
255 / 597
256 / 597
257 / 597
258 / 597
259 / 597
260 / 597
261 / 597
262 / 597
263 / 597
264 / 597
265 / 597
266 / 597
267 / 597
268 / 597
269 / 597
270 / 597
271 / 597
272 / 597
273 / 597
274 / 597
275 / 597
276 / 597
277 / 597
278 / 597
279 / 597
280 / 597
281 / 597
282 / 597
283 / 597
284 / 597
285 / 597
286 / 597
287 / 597
288 / 597
289 / 597
290 / 597
291 / 597
292 / 597
293 / 597
294 / 597
295 / 597
296 / 597
297 / 597
298 / 597
299 / 597
300 / 597
301 / 597
302 / 597
303 / 597
304 / 597
305 / 597
306 / 597
307 / 597
308 / 597
309 / 597
310 / 597
311 / 597
312 / 597
313 / 597
314 / 597
315 / 597
316 / 597
317 / 597
318 / 597
319 / 597
320 / 597
321 / 597
322 / 597
323 / 597
324 / 597
325 / 597
326 / 597
327 / 597
328 / 597
329 / 597
330 / 597
331 / 597
332 / 597
333 / 597
334 / 597
335 / 597
336 / 597
337 / 597
338 / 597
339 / 597
340 / 597
341 / 597
342 / 597
343 / 597
344 / 597
345 / 597
346 / 597
347 / 597
348 / 597
349 / 597
350 / 597
351 / 597
352 / 597
353 / 597
354 / 597
355 / 597
356 / 597
357 / 597
358 / 597
359 / 597
360 / 597
361 / 597
362 / 597
363 / 597
364 / 597
365 / 597
366 / 597
367 / 597
368 / 597
369 / 597
370 / 597
371 / 597
372 / 597
373 / 597
374 / 597
375 / 597
376 / 597
377 / 597
378 / 597
379 / 597
380 / 597
381 / 597
382 / 597
383 / 597
384 / 597
385 / 597
386 / 597
387 / 597
388 / 597
389 / 597
390 / 597
391 / 597
392 / 597
393 / 597
394 / 597
395 / 597
396 / 597
397 / 597
398 / 597
399 / 597
400 / 597
401 / 597
402 / 597
403 / 597
404 / 597
405 / 597
406 / 597
407 / 597
408 / 597
409 / 597
410 / 597
411 / 597
412 / 597
413 / 597
414 / 597
415 / 597
416 / 597
417 / 597
418 / 597
419 / 597
420 / 597
421 / 597
422 / 597
423 / 597
424 / 597
425 / 597
426 / 597
427 / 597
428 / 597
429 / 597
430 / 597
431 / 597
432 / 597
433 / 597
434 / 597
435 / 597
436 / 597
437 / 597
438 / 597
439 / 597
440 / 597
441 / 597
442 / 597
443 / 597
444 / 597
445 / 597
446 / 597
447 / 597
448 / 597
449 / 597
450 / 597
451 / 597
452 / 597
453 / 597
454 / 597
455 / 597
456 / 597
457 / 597
458 / 597
459 / 597
460 / 597
461 / 597
462 / 597
463 / 597
464 / 597
465 / 597
466 / 597
467 / 597
468 / 597
469 / 597
470 / 597
471 / 597
472 / 597
473 / 597
474 / 597
475 / 597
476 / 597
477 / 597
478 / 597
479 / 597
480 / 597
481 / 597
482 / 597
483 / 597
484 / 597
485 / 597
486 / 597
487 / 597
488 / 597
489 / 597
490 / 597
491 / 597
492 / 597
493 / 597
494 / 597
495 / 597
496 / 597
497 / 597
498 / 597
499 / 597
500 / 597
501 / 597
502 / 597
503 / 597
504 / 597
505 / 597
506 / 597
507 / 597
508 / 597
509 / 597
510 / 597
511 / 597
512 / 597
513 / 597
514 / 597
515 / 597
516 / 597
517 / 597
518 / 597
519 / 597
520 / 597
521 / 597
522 / 597
523 / 597
524 / 597
525 / 597
526 / 597
527 / 597
528 / 597
529 / 597
530 / 597
531 / 597
532 / 597
533 / 597
534 / 597
535 / 597
536 / 597
537 / 597
538 / 597
539 / 597
540 / 597
541 / 597
542 / 597
543 / 597
544 / 597
545 / 597
546 / 597
547 / 597
548 / 597
549 / 597
550 / 597
551 / 597
552 / 597
553 / 597
554 / 597
555 / 597
556 / 597
557 / 597
558 / 597
559 / 597
560 / 597
561 / 597
562 / 597
563 / 597
564 / 597
565 / 597
566 / 597
567 / 597
568 / 597
569 / 597
570 / 597
571 / 597
572 / 597
573 / 597
574 / 597
575 / 597
576 / 597
577 / 597
578 / 597
579 / 597
580 / 597
581 / 597
582 / 597
583 / 597
584 / 597
585 / 597
586 / 597
587 / 597
588 / 597
589 / 597
590 / 597
591 / 597
592 / 597
593 / 597
594 / 597
595 / 597
596 / 597
597 / 597
Introduction Présentation de la formation Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Plan • Présentation du formateur • Qu’est ce que Linux • Le plan de formation • Présentation de la formation • Outils nécessaires • Comment travailler • Les références des ressources logicielles • Les liens utiles Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Présentation du formateur • Noël Macé • alphorm@noelmace.com • Formateur consultant expert Unix et FOSS • Mes références :  Mon profil Viadeo : http://fr.viadeo.com/fr/profile/noel.mace  Mon parcours : http://vizualize.me/noelmace  Mon site : http://noelmace.com • Contacts • Blogs • Base de connaissance • CV • Etc … Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Qu’est ce que Linux ? • Un kernel  Développé par Linux Torvalds à partir de Minix  En 1991 • Un système d’exploitation  Libre et open source  Issu du projet GNU (1983)  Leader sur : • les serveurs web (65%) • Les systèmes embarqués • Les super-calculateurs Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Le plan de formation LPIC 202 LPIC 201 • Topic 201: Noyau Linux • Topic 208: Services web • Topic 202: Démarrage du système • Topic 209: Partage de fichiers • Topic 203: Système de fichiers et • Topic 210: Gestion des clients du réseau périphériques • Topic 204: Administration avancée des périphériques de stockage • Topic 205: Configuration réseau • Topic 211: Services de Messagerie • Topic 212: Sécurité système • Topic 213: Dépannage • Topic 206: Maintenance système • Topic 207: Domain Name Server Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Certification • LPIC2 : http://www.lpi.org/linux-certifications/programs/lpic-2 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Présentation de la formation • Orientée certification  Basée sur le parcours officiel • Acquisition d’un grand nombre de connaissances  Pratiques  théoriques Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Outils nécessaires • Deux grandes familles de distribution Linux :  Debian (Ubuntu, Damn Small Linux, etc …)  Red Hat (RHEL, Fedora, Centos, Mandriva, etc …) • Peu de ressources matérielles exigées :  Dual-boot Debian / Fedora  Ou Machines virtuels (vitualbox) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Outils nécessaires (2) OU Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Comment travailler • La pratique, toujours la pratique :  Utiliser Linux au quotidien  Être curieux !  Reproduire les opérations effectuées dans chaque vidéo • Se documenter  Un très grand nombre de ressources sont disponibles  Ce cours ne peu pas tout traiter  Lire le man !  Effectuer des recherches sur internet Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Les références des ressources logicielles • Linux Debian : http://www.debian.org • Fedora : http://fedoraproject.org/ • Virtualbox : https://www.virtualbox.org/ • Virtualboxes : http://virtualboxes.org/ Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Les liens utiles • Supports officiels et communautaires des distributions : • Forums et irc :  forum ubuntu-fr  Ubuntu (en)  le forum des débutant de DLFP  Ubuntu-fr  linuxforums.org (en)  Debian  forum Linux de développez.com  Gentoo (en)  Fedora (en)  RedHat (en)  OpenSuse (en)  The Linux Documentation Project  Archlinux (en)  Linux Documentation by die.net  Linux Kernel Documentation  Comment ça marche  Yet Another « Guide d’installation de Linux »  Linux pas-à-pas  section Linux de developpez.com  Flashcard exchange • Autres ressources utiles : • Supports recommandés par LPI :  LPIC-1 & LPIC-2 free educational manuals  Free online exam preparation guide for LPIC-2 • Examens d’entrainement :  Linux Praxis  PenguinTutor  MC MCSE Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Go ! Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Noyau Linux Composants du noyau Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Plan • Rappel : le noyau Linux • Récupérer les sources • Structure • Dossiers principaux • Les différents "types" de monobloc • Documentation Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Rappel : le noyau Linux • offre une abstraction matérielle pour les logiciels • gestion des processus • partie la plus critique de l'OS • rôle central Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Récupérer les sources • http://www.kernel.org • Linux-version.tar.gz ou bz2 ou xz  Décompresser (commande tar) dans /usr/src/  Ou dans un autre répertoire, puis établir un lien symbolique • Par paquet  Debian etc … # apt-get install linux-source # apt-get install linux-source  CentOS (plus de parquet kernel-source) $ rpm -i $ rpm -i Linux LPIC-2 http://vault.centos.org/6.4/updates/Source/SPackages/kernel-2.6.32-358.6.2.el6.src.rpm http://vault.centos.org/6.4/updates/Source/SPackages/kernel-2.6.32-358.6.2.el6.src.rpm tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Versioning • Trois (voir quatre) nombres :  exemples : • 2.6.24(.x) = majeure 2 – mineure 6 – révision 24 • 3.9(.x) = version 3 – révision 9 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Structure • Un fichier principal  "monobloc"  Fonctionnalités critiques  Directement chargé au démarrage • Des modules  Optionnellement  Chargés et déchargés dynamiquement Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Dossiers principaux • ./drivers • ./fs • ./net Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Les différents "types" de monobloc • vmlinux • vmlinuz • zImage • BzImage • kernel Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Documentation • /usr/src/linux-*/README • /usr/src/linux-source-2.6.x/Documentation/  00-INDEX Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Ce qu’on a couvert • Comment récupérer les sources d'un noyau Linux. • Quelle est la structure du noyau Linux. • Comment mieux comprendre son arborescence. 201.1 Kernel Components Weight : 2 Description : Candidates should be able to utilise kernel components that are necessary to specific hardware, hardware drivers, system resources and requirements. This objective includes implementing different types of kernel images, identifying stable and development kernels and patches, as well as using kernel modules. Key Knowledge Areas:  Kernel 2.6.x documentation  Kernel 3.x documentation The following is a partial list of the used files, terms and utilities:  /usr/src/linux  /usr/src/linux/Documentation  zImage  bzImage Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Noyau Linux Application de correctifs (patchs) à un noyau Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Plan • Introduction • Méthode simple • Tester • Permettre une récupération • Restauration à partir de fichiers .orig Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Introduction • Permet de mettre à jour l'image d'un noyau  à partir de sources pré-existantes • Plus léger donc plus rapide à récupérer qu'un noyau complet. • Permet d'ajouter ou modifier un ou plusieurs éléments  ajout de fonctionnalités  drivers tiers ou expérimentaux  correction de bugs  etc ... Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Méthode simple • se déplacer dans le dossier source # cd /usr/src/ # cd /usr/src/ • décompresser et appliquer le patch # gzip -cd patch-version.gz | patch -p0 # gzip -cd patch-version.gz | patch -p0 # bzip2 -dc patch-version.bz2 | patch -p0 # bzip2 -dc patch-version.bz2 | patch -p0 # patch -p0 < patch-version # patch -p0 < patch-version • L'option -p permet de situer le patch par rapport aux sources  -p0 si dans /usr/src  -p1 si dans /usr/src/linux Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Tester # patch -p1 -dry-run < fichier_du_patch # patch -p1 -dry-run < fichier_du_patch Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Permettre une récupération • Plusieurs méthodes, suivant l'application du patch  Méthode de patching simple : appliquer un patch à l'envers # zcat patch-2.4.22.gz | patch -p0 -R # zcat patch-2.4.22.gz | patch -p0 -R  Effectuer une sauvegarde avant le patch # patch -B oldfiles/ -p0 < patch-file # patch -B oldfiles/ -p0 < patch-file • récupération # diff -ur linux-2.4.21 oldfiles/linux-2.4.21 > recover-2.4.21-patch # diff -ur linux-2.4.21 oldfiles/linux-2.4.21 > recover-2.4.21-patch  Conserver les fichiers d'origine # patch -b -P0 < fichier_patch # patch -b -P0 < fichier_patch Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
.orig for file in $(find linux-2.4.29 | grep orig) for file in $(find linux-2.4.29 | grep orig) do do FILENAME=$(echo $file | sed 's/.orig//') FILENAME=$(echo $file | sed 's/.orig//') mv -f $file $FILENAME mv -f $file $FILENAME done done Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Ce qu’on a couvert • Qu'est qu'un patch. • Comment appliquer un patch. • Comment récupérer une image avant patching. 201.3 Patching a kernel Weight : 1 Description : Candidates should be able to properly patch a kernel to add support for new hardware. This objective also includes being able to properly remove kernel patches from already patched kernels. Key Knowledge Areas:  Kernel Makefiles The following is a partial list of the used files, terms and utilities:  patch  gzip  bzip2 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Noyau Linux Personnalisation et configuration du noyau Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Plan • Introduction • Étudier son matériel • La commande make • Nettoyage • Configuration • Démonstration Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Introduction • Une personnalisation du noyau est indispensable avant sa compilation.  choix des fonctionnalités à intégré  modularité Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
La commande make $ make [ -f makefile ] [ options ] ... [ targets ] ... $ make [ -f makefile ] [ options ] ... [ targets ] ... • Permet  la configuration  la compilation  l'installation • Plusieurs "cibles" (make targets) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Etudier son matériel • Rappels LPIC1  lspci  lsmod  etc ... • Méthodes "génériques"  manuel du matériel  inspection visuelle Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Nettoyage • "Cibles" de make  clean  mrproper  distclean Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Configuration • Plusieurs types d'interfaces utilisateur • création d'un fichier /usr/src/linux/.config • "Cibles" de make  par CLI : config  via ncurses : menuconfig  via X : xconfig  via GTK+ : gconfig  à partir d'une ancienne configuration : oldconfig Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Ce qu’on a couvert • Comment préparer la compilation du noyau Linux. 201.4 Customise, build and install a custom kernel and kernel modules (Partiellement) Weight : 2 Description : Candidates should be able to customise, build and install a 2.6 or 3.x kernel for specific system requirements, by patching, compiling and editing configuration files as required. This objective includes being able to assess requirements for a kernel compile as well as build and configure kernel modules. Key Knowledge Areas:  Customize the current kernel configuration.  /usr/src/linux/ The following is a partial list of the used files, terms and utilities:  /usr/src/linux/*  /usr/src/linux/.config  make targets: config, menuconfig, xconfig, gconfig oldconfig Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Noyau Linux Compilation du noyau Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Plan • Résumé des opérations • Vérifier les dépendances • Méthode simple et complète • Compiler le monobloc • Compiler les modules dynamiques • INITIal Ram Disk • Création d'un initrd • mkinitrd • mkinitramfs Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Résumé des opérations # make dep && make clean && make bzImage && make modules # make dep && make clean && make bzImage && make modules > && make modules_install > && make modules_install • Vérifier les dépendances • Nettoyer • Compilation de monobloc • Compilation des modules • Installation des modules Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Vérifier les dépendances $ make dep $ make dep • S'assurer que toutes les dépendances sont en place  exemples : fichiers include Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Méthode simple et complète $ make [all] $ make [all] • Dans le répertoire des sources • Construit le monobloc et les modules • Suffisant  si aucune erreur  et tout les utilitaires nécessaires présent • Astuce $ make [all] | grep -iw "error" $ make [all] | grep -iw "error" Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Compiler le monobloc $ make [zImage | bzImage] $ make [zImage | bzImage] • Permet de choisir le type de monobloc à compiler Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Compiler les modules dynamiques $ make modules $ make modules Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Créer un package • Pour CentOS $ make rpm $ make rpm • Pour Debian $ make-kpkg kernel_image $ make-kpkg kernel_image Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
INITial Ram Disk • Rappel : cf LPIC1 • Chargé au démarrage • Système de fichier  initramfs (cramfs, squashfs)  chargé en mémoire vive • Contient certains modules nécessaires au démarrage  permet d'utiliser un kernel minimal  plus grande souplesse Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Création d'un initrd • Nombreux outils • Varient suivant les distributions • Deux plus courants :  mkinitrd  mkinitramfs Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
mkinitrd # mkinitrd image KernelVersion # mkinitrd image KernelVersion • Options   --version  -v : verbose  --preload=MonModule  --builtin=MonModule  -f: permettre d'écraser une image existante --nocompress  --nopivot  --omit-lvm-modules  --omit-raid-modules --with=MonModule  --image-version   --fstab=filename • Exemple # mkinitrd /boot/initrd-2.6.35.4.img 2.6.35.4 # mkinitrd /boot/initrd-2.6.35.4.img 2.6.35.4 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
mkinitramfs # mkinitramfs -o /boot/initramfs-2.6.35.4.img 2.6.35.4 # mkinitramfs -o /boot/initramfs-2.6.35.4.img 2.6.35.4 • Options :  -d confdir  -k  -o outfile  -r root  -v  --supported-host-version=version  --supported-target-version=version Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Ce qu’on a couvert • Comment compiler le kernel. • Comment créer un initrd. 201.4 Customise, build and install a custom kernel and kernel modules (Partiellement) Key Knowledge Areas:  /usr/src/linux/  Build a new kernel and appropriate kernel modules. The following is a partial list of the used files, terms and utilities:   make /usr/src/linux/* 201.2 Compiling a kernel (Partiellement) Weight : 2 Description : Candidates should be able to properly configure a kernel to include or disable specific features of the Linux kernel as necessary. This objective includes compiling and recompiling the Linux kernel as needed, updating and noting changes in a new kernel, creating an initrd image and installing new kernels. Key Knowledge Areas:  /usr/src/linux/  Kernel 2.6.x make targets  Kernel 3.x make targets The following is a partial list of the used files, terms and utilities:  mkinitrd  mkinitramfs  make  make targets (config, xconfig, menuconfig, oldconfig, mrproper, zImage, bzImage, modules, modules_install) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Noyau Linux Installation d'un noyau et de modules noyau Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Plan • Méthode simple et complète • system.map • Modules • Configuration de GRUB Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Méthode simple et complète # make install # make install • Installe tout les composants  copie du monobloc dans /boot  system.map (voir plus loin)  création et mise en place d'un initrd  modification éventuelle de GRUB Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
system.map • pointeurs vers certaines fonctions du kernel   # # # # # # utiles pour débugger certains problèmes pas indispensable cp cp rm rm ln ln System.map /boot/System.map-2.6.35.4 System.map /boot/System.map-2.6.35.4 /boot/System.map /boot/System.map -s /boot/System.map-2.6.35.4 /boot/System.map -s /boot/System.map-2.6.35.4 /boot/System.map Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Modules • Dans /lib/modules/kernel-version/ # make modules_install # make modules_install Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Configuration de GRUB • Legacy (rappel LPIC1) title GNU/Linux, kernel 2.6.8 title GNU/Linux, kernel 2.6.8 root (hd0,0) root (hd0,0) kernel /boot/vmlinuz-2.6.8 kernel /boot/vmlinuz-2.6.8 root=/dev/hda1 ro root=/dev/hda1 ro initrd /boot/initrd.img-2.6.8 initrd /boot/initrd.img-2.6.8 savedefault savedefault boot boot • GRUB2 : cf LPIC1 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Ce qu’on a couvert • Comment installer un noyau Linux. 201.2 Compiling a kernel (suite) Key Knowledge Areas:  GRUB configuration files The following is a partial list of the used files, terms and utilities:  make targets (modules_install) 201.4 Customise, build and install a custom kernel and kernel modules (Partiellement) Weight : 2 Description : Candidates should be able to customise, build and install a 2.6 or 3.x kernel for specific system requirements, by patching, compiling and editing configuration files as required. This objective includes being able to assess requirements for a kernel compile as well as build and configure kernel modules. Key Knowledge Areas:   Install a new kernel and any modules. Ensure that the boot manager can locate the new kernel and associated files. The following is a partial list of the used files, terms and utilities:  make  /boot/*  make targets: install, modules_install Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Noyau Linux Gestion et interrogation du noyau et des modules en exécution Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Plan • Introduction • Afficher les modules actuellement chargés • Charger un module • Décharger un module • Informations • Configuration • Dépendances Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Introduction • Rappels : cf LPIC1 – Chapitre 5.8 (matériel)  gestion dynamique des modules  afficher, charger et décharger • Pour aller plus loin :  informations  configuration  dépendances Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Afficher les modules actuellement chargés $ lsmod $ lsmod Module Module isofs isofs zlib_inflate zlib_inflate floppy floppy nls_iso8859_1 nls_iso8859_1 nls_cp437 nls_cp437 vfat vfat fat fat sr_mod sr_mod ide_cd ide_cd cdrom cdrom Size Size 35820 35820 21888 21888 65200 65200 5568 5568 7296 7296 15680 15680 49536 49536 19236 19236 42848 42848 39080 39080 nom taille Linux LPIC-2 Used by Used by 0 0 1 isofs 1 isofs 0 0 1 1 1 1 1 1 1 vfat 1 vfat 0 0 0 0 2 sr_mod,ide_cd 2 sr_mod,ide_cd nombre et noms des modules l'utilisant tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Charger un module # insmode chemin_vers_le_module # insmode chemin_vers_le_module • charge un seul et unique module • nécessite d'avoir chargé les modules dont il dépend • Exemple : # insmod /lib/modules/2.6.26/kernel/drivers/block/floppy.ko # insmod /lib/modules/2.6.26/kernel/drivers/block/floppy.ko Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Charger un module (2) # modprobe nom_du_module # modprobe nom_du_module • Options :  -v : verbose  -C fichier : changer de fichier de configuration • /etc/modprobe.conf par défaut  -n : test  -r : décharger un module  -- show-depends  -l : lister les modules disponibles Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Décharger un module # rmmod nom_du_module # rmmod nom_du_module • Permet de libérer de la mémoire • Options :  -v : verbose  -f : force  -w : wait Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Informations $ modinfo [-0] [-F field] [modulename|filename ...] $ modinfo [-0] [-F field] [modulename|filename ...] $ uname [-snrvmapio] $ uname [-snrvmapio] Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Configuration • /etc/modules.conf ou /etc/modprobe.conf ou /etc/modprobe.d/* • Directives :  alias aliasname result  depfile=full_path  path=path  keep  options modulename module-specific-options •  cf modprobe pre-install module command • etc ... Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Dépendances • /lib/modules/kernel-version/modules.dep : liste des dépendances  générée par la commande depmod -a •  à partir des chemins indiqués dans /etc/modules.conf utilisé par modprobe • pour déterminer l'ordre de (dé)chargement des modules - déchargement : de gauche à droite - chargement : de droit à gauche Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Ce qu’on a couvert • Gestion des modules et du kernel. 201.4 Customise, build and install a custom kernel and kernel modules (Partiellement) Key Knowledge Areas:  Module configuration files The following is a partial list of the used files, terms and utilities:  module tools  depmod 201.5 Manage/Query kernel and kernel modules at runtime Weight : 3 Description : Candidates should be able to manage and/or query a 2.6.x or 3.x kernel and its loadable modules. Key Knowledge Areas:  Use command-line utilities to get information about the currently running kernel and kernel modules.  Manually load and unload kernel modules.  Determine when modules can be unloaded.  Determine what parameters a module accepts.  Configure the system to load modules by names other than their file name. The following is a partial list of the used files, terms and utilities:  /lib/modules/kernel-version/modules.dep  module configuration files in /etc  /proc/sys/kernel/  depmod  insmod  lsmod  rmmod  modinfo  modprobe  uname Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Démarrage du système Personnalisation du démarrage système Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Plan • Rappels LPIC1 • inittab : actions  procédure de démarrage  au démarrage  runlevels  à l'entrée dans un runlevel  chkconfig  relatives à l'alimentation  update-rc.d  diverses  afficher et changer de runlevel  inittab Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Rappel LPIC1 : procédure de démarrage Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Rappel LPIC1 : Runlevels Run Level Debian N amorçage 0 Suse RedHat ARRET S mono-utilisateur au démarrage 1 mono-utilisateur commuté mono-utilisateur 2 multi-utilisateur Multi-utilisateur déconnecté … 3 … mode connecté (réseau) multi-utilisateur en mode console 4 … … … 5 … 6 redémarrage 8 … 9 Linux LPIC-2 mode-graphique (X11) … tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
chkconfig • Lister les associations services / runlevel # chkconfig --list [service] # chkconfig --list [service] • modifier le comportement d'un service pour un ou plusieurs runlevels # chkconfig --level [0123456] service [on/off/reset] # chkconfig --level [0123456] service [on/off/reset] • ajouter un service # chkconfig --add service # chkconfig --add service Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
update-rc.d • désactiver un service # update-rc.d NomService remove # update-rc.d NomService remove • modifier le comportement d'un service pour un ou plusieurs runlevels # update-rc.d NomService start XX 2 3 4 5 . stop XX 0 1 6 . # update-rc.d NomService start XX 2 3 4 5 . stop XX 0 1 6 . • ajouter un service # update-rc.d NomService defaults # update-rc.d NomService defaults Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Afficher et changer de runlevel • afficher le runlevel actuel $ runlevel $ runlevel • changer de runlevel # init [0123456Qq] # init [0123456Qq] # telinit [0123456Qq] # telinit [0123456Qq] • Eteindre ou redémarrer # shutdown [-rhc] time ["Warning Message"] # shutdown [-rhc] time ["Warning Message"] # halt / # reboot / # poweroff # halt / # reboot / # poweroff Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Rappel : inittab • /etc/inittab • configuration de init • id:runlevels:action:process Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
inittab : actions au démarrage • sysinit • boot • bootwait • initdefault Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
inittab : actions à l'entrée dans un runlevel • once • ondemand Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
inittab : actions relatives à l'alimentation • powerwait • powerfail • powerokwait • powerfailnow Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
inittab : actions diverses • off • ctrlaltdel • kdbrequest Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Ce qu’on a couvert • Rappels : procédures de démarrage et runlevels • Les actions de inittab. 202.1 Customising system startup and boot processes Weight : 4 Description : Candidates should be able to query and modify the behaviour of system services at various run levels. A thorough understanding of the init structure and boot process is required. This objective includes interacting with run levels. Key Knowledge Areas: • Linux Standard Base Specification (LSB) The following is a partial list of the used files, terms and utilities:  /etc/inittab  /etc/init.d/  /etc/rc.d/  chkconfig  update-rc.d Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Démarrage du système Linux Standard Base Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Plan • Introduction • Une famille de spécifications • Librairies et commandes • Système • Fonctions disponibles pour les bootscripts • Packaging Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Introduction • crée en juillet 2001  dernière version : 4.1 (fev 2011) •  cf Linux Foundation ISO depuis la version 2.0.1 (nov 2001) • Standardisation des distributions GNU/Linux  étend POSIX, FHS, Single Unix Specification, etc …  pour l'interopérabilité  librairies, utilitaires, scripts, etc ... Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Une famille de spécifications • spécification d'une architecture processeur • deux parties : LSB-generic et LSB-arch Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Librairies et commandes • génériques  ex : libdl, libcrypt, libpthread • spécifiques à une architecture  ex : libc, libm • spécification d'un chemin, d'un nom et d'un format • Plus de 130 commandes  ex : cp, tar, kill, gzip Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Système • cron • runlevels • utilisateurs et groupes (uid/gid) • bootscripts  actions : start, stop, restart, force-reload & status • reload & try-restart (optionnels) • fonctions, chemin Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Fonctions disponibles pour les bootscripts • /lib/lsb/init-functions • lancer un programme en tant que démon start_daemon [-f] [-n nicelevel] [-p pidfile] pathname [args...] start_daemon [-f] [-n nicelevel] [-p pidfile] pathname [args...] • stopper un programme killproc [-p pidfile] pathname [signal] killproc [-p pidfile] pathname [signal] • renvoyer le ou les pid d'un programme pidofproc [-p pidfile] pathname pidofproc [-p pidfile] pathname Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Packaging • non indispensable • RPM  compatibilité sous Debian grâce à alien Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Ce qu’on a couvert • Ce qu'est la LSB. • Son importance au niveau de la procédure de démarrage. 202.1 Customising system startup and boot processes Weight : 4 Description : Candidates should be able to query and modify the behaviour of system services at various run levels. A thorough understanding of the init structure and boot process is required. This objective includes interacting with run levels. Key Knowledge Areas:  Linux Standard Base Specification (LSB) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Démarrage du système Récupération du système Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Plan • GRUB : personnalisation du démarrage • GRUB legacy Shell  Commandes de démarrage  Commandes diverses  Sauvetage • GRUB2 Shell  Sauvetage • fsck Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
GRUB : personnalisation du démarrage • Choix du système ou du kernel  flèches haut et bas sur le menu • Single user mode  éditer une entrée du menu (touche e)  ajouter l'option "single" en fin de ligne "kernel"  Enter pour valider  Touche b pour démarrer • Changer les paramètres du kernel  même démarche que pour le single user mode • remplacer "single" par le ou les paramètre(s) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
GRUB legacy Shell • permet d'interagir directement avec GRUB  via CLI • disponible au démarrage (touche "c") • ou sous GNU/Linux (et autres systèmes Unix)  par émulation # grub # grub Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Commandes de démarrage • afficher l'aide grub > help grub > help • sélectionner un périphérique racine grub > root [DEVICE [HDBIAS]] grub > root [DEVICE [HDBIAS]] • chargement d'un kernel à partir du périphérique racine grub > kernel [--no-mem-option] [--type=TYPE] grub > kernel [--no-mem-option] [--type=TYPE] • chargement de modules grub > module FILE [ARG ...] grub > module FILE [ARG ...] grub > modulenounzip FILE [ARG ...] grub > modulenounzip FILE [ARG ...] • démarrage grub > boot grub > boot Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Commandes diverses • trouver sur quel bloc un fichier est stocké grub > blocklist FILE grub > blocklist FILE • afficher la "géométrie" d'un disque grub > geometry DRIVE [CYLINDER HEAD SECTOR] grub > geometry DRIVE [CYLINDER HEAD SECTOR] • création d'une nouvelle partition grub > partnew PART TYPE START LEN grub > partnew PART TYPE START LEN • chargement d'un initrd grub > initrd FILE [ARG ...] grub > initrd FILE [ARG ...] Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Sauvetage • Démarre directement sur le shell  erreur la plus courante : GRUB ne trouve pas les fichiers nécessaires • retrouver les fichiers (commande find) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
GRUB2 Shell • Basé sur le scripting  nombreuses commandes internes  disponibles aussi bien via la CLI interne que pour les scripts Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Sauvetage 1) afficher l'aide grub rescue> help grub rescue> help 2) afficher les variables grub rescue> set grub rescue> set 3) lister les partitions reconnues grub rescue> ls grub rescue> ls 4) redéfinir la valeur des variables grub rescue> set prefix=(hd0,msdos3)/boot/grub grub rescue> set prefix=(hd0,msdos3)/boot/grub grub rescue> set root=hd0,msdos3 grub rescue> set root=hd0,msdos3 5) passer en mode normal si besoin Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
fsck • Sortie  0 – Aucune erreur  1 – Erreurs du fs corrigées  2 – Le système doit être redémarré  4 – Erreurs du fs non corrigées  8 – Erreurs opérationnelles  16 – Erreur de syntaxe ou d'usage  128 – Erreur de librairie partagée • Message : "fsck failed. Please repair manually"  Ctrl-D pour ignorer  sinon, entrer le mot de passe root pour lancer sulogin •  accès à fsck et résolution des problèmes éventuels manuellement Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Ce qu’on a couvert • Résoudre les pannes au démarrage du système. 202.2 System recovery Weight : 4 Description : Candidates should be able to properly manipulate a Linux system during both the boot process and during recovery mode. This objective includes using both the init utility and init-related kernel options. Key Knowledge Areas:  inittab  GRUB  grub shell The following is a partial list of the used files, terms and utilities:  init  mount  fsck  telinit Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Système de fichiers et périphériques Intervention sur le système de fichier GNU/Linux Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Plan • Introduction : Rappels LPIC1  •  FAT  État actuel des montages  Créer un système de fichier • • Aller plus loin UUID SWAP • • mount • paramètres  Générer un UUID Vider le buffer umount   Connaître l'UUID d'une partition Fstab : exemple • Périphérique • Point de montage • fstype et options • dump et fsck Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Introduction : Rappels LPIC1 • créer un système de fichier  création (formatage)  montage • manuel • automatique Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Créer un système de fichier # mkfs.fstype partition # mkfs.fstype partition # mkfs –t fstype partition # mkfs –t fstype partition • Options :  -c : recherche de secteurs défectueux  -m pourcentage : pourcentage d'espace réservé • Linux LPIC-2 5 par défaut tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
FAT # mkfs.msdos partition # mkfs.msdos partition # mkfs.vfat partition # mkfs.vfat partition • Options :  -F fat-size : type / taille de FAT Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
SWAP • Extension de la mémoire  type code 0x82 • "formatage" # mkswap partition # mkswap partition • utilisation # swapon partition # swapon partition  ou cf /etc/fstab Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
mount $ mount [options] [device] [mountpoint] $ mount [options] [device] [mountpoint] • Options : • Options :  -a : all (/etc/fstab)  -L label  -r : ro  -U uuid  -v : verbose  -o paramètres  -w : rw (défaut pour la plupart)  -t fstype Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Paramètres • default • loop • auto / noauto • user / nouser • users • ro • rw • etc … Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
mount $ mount [options] [device] [mountpoint] $ mount [options] [device] [mountpoint] • Options : • Options :  -a : all (/etc/fstab)  -L label  -r : ro  -U uuid  -v : verbose  -o paramètres  -w : rw (défaut pour la plupart)  -t fstype Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Paramètres • default • loop • auto / noauto • user / nouser • users • ro • rw • etc … Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
umount $ umount [options] [device] [mountpoint] $ umount [options] [device] [mountpoint] • Options :  -a : all  -f : force  -r : si échec, remonter en ro  -t fstype Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Fstab : exemple • /etc/fstab #device mount point filesystem #device mount point filesystem /dev/hda1 / ext3 /dev/hda1 / ext3 UUID=3631a288-673e-40f5-9e96-6539fec468e9 UUID=3631a288-673e-40f5-9e96-6539fec468e9 /usr reiserfs /usr reiserfs LABEL=/home /home reiserfs LABEL=/home /home reiserfs /dev/hdb5 /windows vfat /dev/hdb5 /windows vfat /dev/hdc /media/cdrom iso9660 /dev/hdc /media/cdrom iso9660 /dev/sda1 /media/pen auto /dev/sda1 /media/pen auto server:/home /other/home nfs server:/home /other/home nfs //winsrv/shr /other/win cifs //winsrv/shr /other/win cifs /dev/hda4 swap swap /dev/hda4 swap swap Linux LPIC-2 options options defaults defaults dump dump 1 1 fsck fsck 1 1 defaults 0 defaults 0 defaults 0 defaults 0 uid=500,umask=0 0 uid=500,umask=0 0 users,noauto 0 users,noauto 0 users,noauto 0 users,noauto 0 users,exec 0 users,exec 0 users,credentials=/etc/creds 0 users,credentials=/etc/creds 0 defaults 0 defaults 0 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 alphorm.com
Périphérique #device mount point filesystem #device mount point filesystem /dev/hda1 / ext3 /dev/hda1 / ext3 UUID=3631a288-673e-40f5-9e96-6539fec468e9 UUID=3631a288-673e-40f5-9e96-6539fec468e9 /usr reiserfs /usr reiserfs LABEL=/home /home reiserfs LABEL=/home /home reiserfs /dev/hdb5 /windows vfat /dev/hdb5 /windows vfat /dev/hdc /media/cdrom iso9660 /dev/hdc /media/cdrom iso9660 /dev/sda1 /media/pen auto /dev/sda1 /media/pen auto server:/home /other/home nfs server:/home /other/home nfs //winsrv/shr /other/win cifs //winsrv/shr /other/win cifs /dev/hda4 swap swap /dev/hda4 swap swap options options defaults defaults dump dump 1 1 fsck fsck 1 1 defaults 0 defaults 0 defaults 0 defaults 0 uid=500,umask=0 0 uid=500,umask=0 0 users,noauto 0 users,noauto 0 users,noauto 0 users,noauto 0 users,exec 0 users,exec 0 users,credentials=/etc/creds 0 users,credentials=/etc/creds 0 defaults 0 defaults 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 • udev • adresse • UUID=uuid • LABEL=label Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Point de montage #device mount point filesystem #device mount point filesystem /dev/hda1 / ext3 /dev/hda1 / ext3 UUID=3631a288-673e-40f5-9e96-6539fec468e9 UUID=3631a288-673e-40f5-9e96-6539fec468e9 /usr reiserfs /usr reiserfs LABEL=/home /home reiserfs LABEL=/home /home reiserfs /dev/hdb5 /windows vfat /dev/hdb5 /windows vfat /dev/hdc /media/cdrom iso9660 /dev/hdc /media/cdrom iso9660 /dev/sda1 /media/pen auto /dev/sda1 /media/pen auto server:/home /other/home nfs server:/home /other/home nfs //winsrv/shr /other/win cifs //winsrv/shr /other/win cifs /dev/hda4 swap swap /dev/hda4 swap swap options options defaults defaults dump dump 1 1 fsck fsck 1 1 defaults 0 defaults 0 defaults 0 defaults 0 uid=500,umask=0 0 uid=500,umask=0 0 users,noauto 0 users,noauto 0 users,noauto 0 users,noauto 0 users,exec 0 users,exec 0 users,credentials=/etc/creds 0 users,credentials=/etc/creds 0 defaults 0 defaults 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 • dossier vide dans un autre fs  /  /home  swap Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
fstype et options #device mount point filesystem #device mount point filesystem /dev/hda1 / ext3 /dev/hda1 / ext3 UUID=3631a288-673e-40f5-9e96-6539fec468e9 UUID=3631a288-673e-40f5-9e96-6539fec468e9 /usr reiserfs /usr reiserfs LABEL=/home /home reiserfs LABEL=/home /home reiserfs /dev/hdb5 /windows vfat /dev/hdb5 /windows vfat /dev/hdc /media/cdrom iso9660 /dev/hdc /media/cdrom iso9660 /dev/sda1 /media/pen auto /dev/sda1 /media/pen auto server:/home /other/home nfs server:/home /other/home nfs //winsrv/shr /other/win cifs //winsrv/shr /other/win cifs /dev/hda4 swap swap /dev/hda4 swap swap options options defaults defaults dump dump 1 1 fsck fsck 1 1 defaults 0 defaults 0 defaults 0 defaults 0 uid=500,umask=0 0 uid=500,umask=0 0 users,noauto 0 users,noauto 0 users,noauto 0 users,noauto 0 users,exec 0 users,exec 0 users,credentials=/etc/creds 0 users,credentials=/etc/creds 0 defaults 0 defaults 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 • cf mount Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
dump et fsck #device mount point filesystem #device mount point filesystem /dev/hda1 / ext3 /dev/hda1 / ext3 UUID=3631a288-673e-40f5-9e96-6539fec468e9 UUID=3631a288-673e-40f5-9e96-6539fec468e9 /usr reiserfs /usr reiserfs LABEL=/home /home reiserfs LABEL=/home /home reiserfs /dev/hdb5 /windows vfat /dev/hdb5 /windows vfat /dev/hdc /media/cdrom iso9660 /dev/hdc /media/cdrom iso9660 /dev/sda1 /media/pen auto /dev/sda1 /media/pen auto server:/home /other/home nfs server:/home /other/home nfs //winsrv/shr /other/win cifs //winsrv/shr /other/win cifs /dev/hda4 swap swap /dev/hda4 swap swap options options defaults defaults dump dump 1 1 fsck fsck 1 1 defaults 0 defaults 0 defaults 0 defaults 0 uid=500,umask=0 0 uid=500,umask=0 0 users,noauto 0 users,noauto 0 users,noauto 0 users,noauto 0 users,exec 0 users,exec 0 users,credentials=/etc/creds 0 users,credentials=/etc/creds 0 defaults 0 defaults 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 • dump : sauvegarde de la partition  1 = oui  0 = non (quasi toujours à notre époque)  usage de dump déconseillé aujourd'hui • fsck : vérification de l'intégrité du fs au démarrage  0 = non (reiserfs)  1 = premier (racine)  2 ou plus = les autres, dans l'ordre Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Aller plus loin • état actuel des montages • UUID • sync Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
État actuel des montages • via la commande mount $ mount $ mount  à partir du fichier /etc/mtab • configuration maintenue en espace utilisateur par mount • fichier /proc/mounts  maintenu par le kernel  toujours à jour (contrairement à /etc/mtab) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
UUID • Universal Unique Disk Identifier • nombre hexadécimal de 32 chiffres  128bits • permet d'identifier à peu prêt n'importe quoi • ne change pas tant que le fs n'est pas modifié  évite toute reconfiguration en cas de changement d'identifiant de la partition • modification du branchement • OS multiples • etc ... Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Connaître l'UUID d'une partition # blkid /chemin/vers/la/partition # blkid /chemin/vers/la/partition • Exemple # blkid /dev/sda1 # blkid /dev/sda1 • sous Debian : paquet e2fsprogs Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Générer un UUID • Manuellement :  grâce au packet Debian : uuid-runtime # uuidgen [-t|-r] # uuidgen [-t|-r] • deux méthodes des génération  -r : random (pseudo-aléatoire) • •  grâce à /dev/random par défaut -t : time-based • horloge système + adresse ethernet du système (si présent) • Pour la génération automatique : uuidd (uuid deamon) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Vider le buffer • stocké dans la RAM • pour y supprimer les données stockées : # sync # sync • appelé automatiquement  au reboot  à l'extinction Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Ce qu’on a couvert • La gestion et configuration des systèmes de fichier  formatage, montage et interrogation 203.1 Operating the Linux filesystem Weight : 4 Description : Candidates should be able to properly configure and navigate the standard Linux filesystem. This objective includes configuring and mounting various filesystem types. Key Knowledge Areas:  The concept of the fstab configuration  Tools and utilities for handling SWAP partitions and files  Use of UUIDs The following is a partial list of the used files, terms and utilities:  /etc/fstab  /etc/mtab  /proc/mounts  mount and umount  sync  swapon  swapoff Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Système de fichiers et périphériques Maintenance d'un système de fichiers Linux Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Plan • ajuster les paramètres des systèmes de • introduction fichiers • Vérifier et réparer un système de fichiers  • •  rappel démarrage commande e2fsck tune2fs  fsck  reiserfstune  xfs_admin • Débogueurs pour systèmes de fichiers   xfs_check et xfs_repair  badblocks debugfs et debugreiserfs • commandes de debugfs • Sauvegarde d'un système • Afficher des informations sur le système de fichiers de fichiers XFS    dumpe2fs  xfsdump xfsrestore xfs_info et xfs_metadump Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Introduction • des outils différents suivant les fs  ext (2,3,4)  ReiserFS  XFS • cf LPIC1  Chapitre 5 – 13) Introduction aux fs Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Vérifier et réparer un système de fichiers • fsck  rappel démarrage  commande • e2fsck • badblocks • xfs_check et xfs_repair • badblocks Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
fsck • une commande centrale • vérifier l'intégrité d'un système de fichiers  et le réparer • uniquement sur les fs non montés ou en ro Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Rappel démarrage • Sortie  0 – Aucune erreur  1 – Erreurs du fs corrigées  2 – Le système doit être redémarré  4 – Erreurs du fs non corrigées  8 – Erreurs opérationnelles  16 – Erreur de syntaxe ou d'usage  128 – Erreur de librairie partagée • Message : "fsck failed. Please repair manually"  Ctrl-D pour ignorer  sinon, entrer le mot de passe root pour lancer sulogin •  accès à fsck et résolution des problèmes éventuels manuellement Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Commande # fsck [-sACVRTNP] [-t fstype] [--] [fsck-options] filesystems # fsck [-sACVRTNP] [-t fstype] [--] [fsck-options] filesystems • Options :  -A : vérifier tout les fs marqués "à vérifier" dans /etc/fstab  -C : indiquer une barre de progression (pour e2fsck)  -V : verbose  -N : test  -t fstype : indiquer (forcer) le type de fs Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
e2fsck (fsck.e2fs) $ e2fsck [ -pacnyrdfvstFSV ] device $ e2fsck [ -pacnyrdfvstFSV ] device • Options  -s : sérialise les opérations de fsck •  -R : ignorer le système de fichier racine •  à favoriser dans le cas d'une vérification de plusieurs systèmes de fichiers en mode interactif dans le cas d'une analyse de tout les fs grâce à -A -a : réparer automatiquement le système de fichiers • sans poser de question  -f : force la vérification même si le système de fichiers semble propre.  -n : utilisation non intéractive (par "non") • •  Ouvre en lecture-seule le système de fichiers répond «non» à toutes les questions -y : Répond «yes» à toutes les questions •  permet ainsi l'utilisation non interactive d'e2fsck. -P : Répare automatiquement (sans poser la moindre question) • en anglais «preen» signifie lisser Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
xfs_check et xfs_repair • vérifier la cohérence d'un système de fichier XFS $ xfs_check [options] device $ xfs_check [options] device • le plus souvent appelé via fsck.xfs • réparer un système de fichier XFS corrompu ou endommagé  accède directement au périphérique grâce au raw device associé  permet de contourner le kernel (caches, buffers) $ xfs_repair [options] device $ xfs_repair [options] device • Le fs DOIT être démonté auparavant ! Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
badblocks • rechercher des blocs défectueux sur un périphérique $ badblocks [options] [-o fichier_sortie] périphérique [dernier-bloc] [bloc-départ] $ badblocks [options] [-o fichier_sortie] périphérique [dernier-bloc] [bloc-départ] • recommandation : ne pas lancer directement  appeler via l'option -c de e2fsck ou mke2fs • Option :  -o fichier_sortie • Linux LPIC-2 écrire la liste des blocs défectueux dans le fichier tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Afficher des informations sur le système de fichiers • dumpe2fs • xfs_info et xfs_metadump Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
dumpe2fs # dumpe2fs [options] device # dumpe2fs [options] device • Options :  -b : affiche les blocs qui sont marqués défectueux.  -h : n'afficher que les informations de super-bloc Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
xfs_info et xfs_metadump • informations techniques # xfs_info device # xfs_info device • copier les métadonnées du fs $ xfs_metadump $ xfs_metadump Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Ajuster les paramètres des systèmes de fichiers • tune2fs • reiserfstune • xfs_admin Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
tune2fs # tune2fs [options] device # tune2fs [options] device • Options :  -c max-mount-counts  -C mount-count  -i intervalle  -j : journalisation  -m pourcentage  -r blocs Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
reiserfstune • similaire à tune2fs  mais pour reiserfs # reiserfstune [ -f ] [ -j | --journal-device FILE ] # reiserfstune [ -f ] [ -j | --journal-device FILE ] [ --no-journal-available ] [ --journal-new-device FILE ] [ --no-journal-available ] [ --journal-new-device FILE ] [ --make-journal-standard ] [ -s | --journal-new-size N ] [ --make-journal-standard ] [ -s | --journal-new-size N ] [ -o | --journal-new-offset N ] [ -t | --max-transaction[ -o | --journal-new-offset N ] [ -t | --max-transactionsize N ] [ -b | --add-badblocks file ] [ -B | --badblocks size N ] [ -b | --add-badblocks file ] [ -B | --badblocks file ] [ -u | --uuid UUID ] [ -l | --label LABEL ] device file ] [ -u | --uuid UUID ] [ -l | --label LABEL ] device Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
xfs_admin # xfs_admin [options] device # xfs_admin [options] device • Options :  -j  -l  -u  -L label  -U uuid • Linux LPIC-2 -U generate tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Débogueurs pour systèmes de fichiers • debugfs • debugreiserfs • commandes debugfs Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Debugfs et debugreiserfs $ debugfs device $ debugfs device $ debugreiserfs device $ debugreiserfs device • dumpe2fs + tune2fs + autres outils • débogage Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Commandes debugfs • show_super_stats / stats • stat nom_fichier • undelete inode nom / undel inode nom • lsdel / list_deleted_inodes • write fichier-interne fichier-externe • cd, ln, rm, etc ... • list_requests / lr / help / ? • quit Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Sauvegarde d'un système de fichier XFS • xfsdump • xfsrestore Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
xfsdump • créer un "dump" (image de sauvegarde incrémentielle) # xfsdump [ options ] -f dest [ -f dest ... ] filesystem # xfsdump [ options ] -f dest [ -f dest ... ] filesystem • Exemples  vers un périphérique de sauvegarde (bande magnétique) # xfsdump -l 0 -p 30 -f /dev/st0 /home # xfsdump -l 0 -p 30 -f /dev/st0 /home  vers un fichier # xfsdump -l 0 -p 30 -f /backups/home-backup /home # xfsdump -l 0 -p 30 -f /backups/home-backup /home Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
xfsrestore • restaurer un fs à partir d'une sauvegarde # xfsrestore [ options ] -f source [ -f source ... ] dest # xfsrestore [ options ] -f source [ -f source ... ] dest • Exemple  mode itératif # xfsrestore -i -f /backups/home-backup /newhome # xfsrestore -i -f /backups/home-backup /newhome Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Ce qu’on a couvert • Vérifier et réparer un système de fichiers • Optimiser un système de fichiers 203.2 Maintaining a Linux filesystem Weight : 3 Description : Candidates should be able to properly maintain a Linux filesystem using system utilities. This objective includes manipulating standard filesystems. Key Knowledge Areas:  Tools and utilities to manipulate and ext2, ext3 and ext4  Tools and utilities to manipulate reiserfs V3  Tools and utilities to manipulate xfs The following is a partial list of the used files, terms and utilities:  fsck (fsck.*)  badblocks  mkfs (mkfs.*)  dumpe2fs, xfsdump, xfsrestore  debugfs, debugreiserfs  tune2fs, reiserfstune  mkswap  xfs_info, xfs_check and xfs_repair Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Système de fichiers et périphériques montage automatique Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Plan • Introduction • Autofs • Configuration • Fichier principal de configuration • Fichiers de configuration additionnels Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Introduction • (re)montage automatique  grâce à un démon  à chaque fois d'un utilisateur tente d'accéder à un fs non monté • Particulièrement utile pour :  les systèmes de fichiers accessibles via le réseau  les périphériques amovibles (CD-ROMS, clés usb, etc ...) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Autofs • implémentation Linux du montage automatique • composant noyau + démon automount • montage automatique (NFS, CD-ROMs, etc …) • démontage après un certain temps sans utilisation Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Configuration • Un fichier principal  /etc/auto.master • Des fichiers "additionnels"  généralement un par périphérique (ou type de périphérique)  exemple : /etc/auto.cdrom • Relus à chaque rechargement du démon # /etc/init.d/autofs reload # /etc/init.d/autofs reload Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Fichier principal de configuration • /etc/auto.master # sample /etc/auto.master file # sample /etc/auto.master file /var/autofs/floppy /etc/auto.floppy --timeout=2 /var/autofs/floppy /etc/auto.floppy --timeout=2 /var/autofs/cdrom /etc/auto.cdrom --timeout=6,sync,nodev,nosuid /var/autofs/cdrom /etc/auto.cdrom --timeout=6,sync,nodev,nosuid dossier de montage fichier de configuration (additionnel) options • "point d'entrée" de la configuration de automount • un démon par entrée Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Fichiers de configuration additionnels • Peuvent être nommés à votre convenance # sample /etc/auto.floppy file # sample /etc/auto.floppy file floppy -user,fstype=auto :/dev/fd0 floppy -user,fstype=auto :/dev/fd0 pseudo répertoire options de montage périphérique • il est recommandé de se limiter à un périphérique par fichier additionnel  et donc par démon les "pseudo répertoires" ne sont pas de réels dossiers Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Ce qu’on a couvert • Qu'est ce que autofs et automount • les fichiers de configuration d'autofs   /etc/auto.master /etc/auto.[dir] Creating And Configuring Filesystem Options (203.3) – part 1 Weight : 2 Description : Candidates should be able to configure automount filesystems using AutoFS. This objective includes configuring automount for network and device filesystems. Also included is creating filesystems for devices such as CD-ROMs and a basic feature knowledge of encrypted filesystems. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Système de fichiers et périphériques Systèmes de fichiers pour périphériques optiques Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Plan • Introduction • HFS • Comparatif • Extensions à l'ISO9660 • Image • Créer un système de fichier ISO • Monter une image ISO • Gravure d'une image ISO • Faire une copie d'un disque optique Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Introduction • ISO 9660  système de fichier des CD-ROMs et DVD-ROMs  3 niveaux : • 1 – compatibilité MS-DOS • 2 – noms de fichiers pouvant aller jusqu'à 32 caractères • 3 – fragmentation possible des fichiers • remplacé progressivement par l'UDF  Universal Disk Format  ISO 13346  quasi indispensable pour les blu-rays  rétro-compatible • on peu "fermer" un UDF en ISO, mais ceci est irréversible Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
HFS • Hierarchical File System (HFS)  inventé par Apple  à l'origine pour les disquettes et disques durs  pour Mac OS et z/OS Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Comparatif Système de fichiers ISO 9660 UDF HFS Taille max de fichier 2/4Go (8To en level 3) 16Eo soit 16x10^18 octets 2Go Taille max d'image théoriquement illimité quasi illimité 2To Nombre max de fichiers / répertoires 65535 répertoires quasi illimité 65535 fichiers Noms de fichiers 8.3 en level 1 32 en level 2 255 octets 31 caractères ISO 9660 est également limité à une profondeur maximale de 8 dossiers incluant la racine Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Extensions à l'ISO9660 • Joliet  définie et soutenue par Microsoft  limite des noms de fichiers passant à 64 caractères unicodes  largement répendu et intégré aujourd'hui • Rock Ridge  ajout de la sémantique des systèmes de fichiers POSIX • • UID, GID, timestamps, liens symboliques, devfiles •  limite des noms de fichiers passant à 255 octets profondeur plus grande (que les 8 dossiers de l'ISO9660) par défaut sous les systèmes Unix Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Extensions à l'ISO9660 • El Torito  lancé par IMB et Phoenix Technologies (BIOS) en 1995  permet de booter à partir d'un support optique (LiveCDs) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Image • Un cd n'est pas aussi simple à gérer que les autres types de périphériques de stockage  réécriture directe impossible  même pour les RW (suppression de toute l'image) • Solution : créer une image avant gravure  sur disque dur ou autre  directement modifiable Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Créer un système de fichier ISO $ mkisofs [ options ] [ -o filename ] pathspec [pathspec ...] $ mkisofs [ options ] [ -o filename ] pathspec [pathspec ...] • Exemple : $ mkisofs -r -o cd_image private_collection/ $ mkisofs -r -o cd_image private_collection/ • Depuis Debian Squeeze, est remplacé par genisoimage  fork avec options identiques • Options  -r : tout fichier publiquement lisible et activation des extensions Rock Ridge  -J : MS Joliet extension Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Monter une image ISO $ mount -t iso9660 -o ro,loop=/dev/loop0 cd_image /cdrom $ mount -t iso9660 -o ro,loop=/dev/loop0 cd_image /cdrom Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Gravure d'une image ISO • Récupération des informations $ cdrecord -scanbus $ cdrecord -scanbus • $ $ $ $ $ $ Mise en place des variables (optionnel) SCSI_BUS=0 SCSI_BUS=0 SCSI_ID=6 SCSI_ID=6 SCSI_LUN=0 SCSI_LUN=0 • Ecriture $ cdrecord -v speed=2 dev=$SCSI_BUS,$SCSI_ID,$SCSI_LUN -data cd_image $ cdrecord -v speed=2 dev=$SCSI_BUS,$SCSI_ID,$SCSI_LUN -data cd_image  ou $ cdrecord -v speed=2 dev=0,6,0 -data cd_image $ cdrecord -v speed=2 dev=0,6,0 -data cd_image Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Faire une copie d'un disque optique • Vers un autre disque optique (par gravure directe) $ cdrecord -v dev=0,6,0 speed=2 -isosize /dev/scd0 $ cdrecord -v dev=0,6,0 speed=2 -isosize /dev/scd0 • Vers un fichier $ dd if=/dev/scd0 of=cdimage $ dd if=/dev/scd0 of=cdimage Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Ce qu’on a couvert • Les différents systèmes de fichiers pour disques optiques  UDF, ISO9660, HFS • Les extensions : Joliet, Rock Ridge, El Torito • Comment créer une image ISO (mkisofs) • Comment graver une image ISO. • Comment faire une sauvegarde d'un disque optique (dd) Creating And Configuring Filesystem Options (203.3) – part 2 Weight : 2 Description : Candidates should be able to configure automount filesystems using AutoFS. This objective includes configuring automount for network and device filesystems. Also included is creating filesystems for devices such as CD-ROMs and a basic feature knowledge of encrypted filesystems. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Système de fichiers et périphériques Introduction au chiffrement des systèmes de fichiers Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Plan • Introduction • Pré-requis • Test Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Introduction • devicemapper  permet de mapper un périphérique bloc à un autre  utilisé par RAID et LVM (nous y reviendrons) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Pré-requis • Pour les modules # # # # # # # # echo aes >> /etc/modules echo aes >> /etc/modules echo dm_mod >> /etc/modules echo dm_mod >> /etc/modules echo dm_crypt >> /etc/modules echo dm_crypt >> /etc/modules modprobe -a aes dm_mod dm_crypt modprobe -a aes dm_mod dm_crypt • Mapper le périphérique avec devicemapper # cryptsetup -y create crypt /dev/sda2 # cryptsetup -y create crypt /dev/sda2  créera un périphérique virtuel /dev/mapper/crypt Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Pré-requis • Ajout d'une entrée dans /etc/cryptab # echo "crypt /dev/hda3 none none" >> /etc/crypttab # echo "crypt /dev/hda3 none none" >> /etc/crypttab • Ajout d'une entrée dans /etc/fstab # echo "/dev/mapper/crypt /crypt ext2 defaults 0 1" >> /etc/fstab # echo "/dev/mapper/crypt /crypt ext2 defaults 0 1" >> /etc/fstab • Formatage # mke2fs /dev/mapper/crypt # mke2fs /dev/mapper/crypt Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Test • Montage manuel # mkdir /crypt # mkdir /crypt # mount /crypt # mount /crypt • Le mot de passe entré lors du mappage vous sera demandé  il vous sera ensuite demandé à chaque montage  donc également à chaque démarrage Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Ce qu’on a couvert • Comment mettre en place rapidement un système de fichier chiffré.  ainsi qu'un petit rappel de mke2fs Creating And Configuring Filesystem Options (203.3) – part 3 Weight : 2 Description : Candidates should be able to configure automount filesystems using AutoFS. This objective includes configuring automount for network and device filesystems. Also included is creating filesystems for devices such as CD-ROMs and a basic feature knowledge of encrypted filesystems. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Système de fichiers et périphériques Gestion de périphérique udev Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Plan • Introduction • uevent • Configuration • Règles udev • Opérateurs • Quelques clés communes • udevmonitor Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Introduction Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
uevent • envoyé par le kernel  à chaque (dé)branchement d'un périphérique • contient les informations sur le périphérique  subsystem (net, usb, …)  action (add, remove)  attributes (MAC address, vendor, …) • est analysé par udev grâce à des règles associées à ces informations Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Configuration • Dans /etc/udev/  udev.conf : fichier de configuration principal •  modifier la priorité de logging (udev_log) rules.d/ : règles personnalisées • Linux LPIC-2 sinon, lues à partir de /lib/udev/rules.d/ tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Règles udev • dans /etc/udev/rules.d/  celles par défaut dans /lib/udev/rules.d/ • rassemblées par fichier (catégorie) • une ligne par règle  constituée d'éléments clé/opérateur/valeur séparés par des virgules • exemple : SUBSYSTEM=="net", ACTION=="add", DRIVERS=="?*", SUBSYSTEM=="net", ACTION=="add", DRIVERS=="?*", ATTR{address}=="00:21:86:9e:c2:c4", ATTR{type}=="1", KERNEL=="eth*", NAME="eth0" ATTR{address}=="00:21:86:9e:c2:c4", ATTR{type}=="1", KERNEL=="eth*", NAME="eth0" ne jamais créer de règles pouvant entrer en conflit Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Opérateurs Catégorie Op Description Comparaisons == égalité != inégalité Affectation = fixe la valeur à remplace l'intégralité des éléments d'une liste += := Linux LPIC-2 ajouter (à la fin d'une liste) affection définitive empêche toute modification ultérieure par une autre règle tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Quelques clés communes Clé Description KERNEL nom de périphérique SUBSYSTEM sous-système contenant le périphérique DRIVER pilote du périphérique NAME nom du nœud associé au périphérique SYMLINK liste des liens symboliques noms alternatifs pour le périphérique ATTR{xxx} attribut sysfs (model, size, product, etc ...) PROGRAM appel d'un programme lors de "l'execution" de cette règle ENV{xxx} valeur d'une variable d'environnement Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
udevmonitor • affiche en temps réel  les uvents envoyés par le kernel  évènements envoyés par udev $ udevmonitor $ udevmonitor • lien symbolique vers $ udevadm monitor $ udevadm monitor Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Ce qu’on a couvert • les règles udev • udevmonitor 203.4 udev Device Management Weight : 1 Description : Candidates should understand device detection and management using udev. This objective includes troubleshooting udev rules. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Administration avancée des périphériques de stockage Configuration RAID Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Plan • Introduction • Pas à pas • NRAID – RAID Linéaire • Multiple Devices Admin • RAID 0 • Modes : création et activation • RAID 1 • Modes : modification et surveillance • RAID 4 • Création d'un ensemble RAID • RAID 5 • RAID combiné • Exemple : RAID 01 • Disque de rechange Linux LPIC-2 • /etc/mdadm.conf • Résolution de panne • /proc/mdstat • tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Introduction • Redundant Array of Independent (or inexpensive) Disks   regroupement redondant de disques indépendants groupement de périphériques blocs en un ensemble (ou matrice) RAID • répartir les données sur plusieurs disques durs  tolérance aux pannes (récupération simplifiée)  performance • •  transactions par secondes vitesse de transfert sécurité • logiciel ou matériel Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
NRAID – RAID Linéaire • JBOD – Just a Bunch of Disks • concaténation  écriture séquentielle  les données sont écrites sur le second disque quand le premier est plein • aucune redondance • aucune tolérance aux panne supplémentaire Capacité somme de tout les disques Fiabilité aucune Cout minimal Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
RAID 0 • volume agrégé par bandes  "striping" • répartition des blocs des fichiers • parallélisation  augmentation des performances Capacité plus petit élément x nombre d'éléments Fiabilité aucune Cout minimal Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
RAID 1 • redondance  "mirroring" • permet de conserver les données en cas de panne Capacité plus petit élément Fiabilité optimale (tant qu'il reste un disque) Cout élevé (directement lié au nombre de miroirs) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
RAID 4 • volume agrégé par bandes à parité  stripping + un disque de parités Capacité de n-1 disques Fiabilité perte d'un disque à la fois maximum Cout optimal Performances très bonnes en lecture faible en écriture • recalcule des données à partir du bloc de parité en cas de perte • 3 disques minimum • peu courant Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
RAID 5 • volume agrégé par bandes à parité répartie  RAID  répartition circulaire des blocs de parité • le plus courant  meilleur Linux LPIC-2 rapport qualité prix de n-1 disques Fiabilité perte d'un disque à la fois maximum Cout 4 réparti Capacité optimal Performances très bonnes en lecture faible en écriture tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
RAID combiné • Combinaison de différents niveaux de RAID  le premier chiffre indiquant le niveau de RAID d'une grappe  le second indiquant le niveau de RAID supérieur • Cas courants  RAID 01  RAID 10  RAID 05  RAID 50  RAID 51 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Exemple : RAID 01 • Minimum  2 grappes  2 disques / grappe Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Disque de rechange • "spare" ou "hotspare" • disque complémentaire  non utilisé  prend automatiquement le relais en cas de défaillance d'un des disques du RAID • la reconstruction de celui-ci pouvant prendre beaucoup de temps • après coup, remplacer le disque défaillant  qui deviendra un nouveau disque de rechange Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Pas à pas 1) préparer les partitions pour l'auto- détection  partition type : fd (Linux RAID auto)  via fdisk (commande t) 2) création d'un ensemble RAID  périphérique /dev/md[n]  4) création du fichier /etc/mdadm.conf 5) création du point de montage 6) édition de /etc/fstab 7) mountage via mdadm --create (cf plus loin) 3) création du système de fichier  via mkfs -t xxx /dev/md[n] Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Multiple Devices Admin # mdadm [mode] <raiddevice> [options] <component-devices> # mdadm [mode] <raiddevice> [options] <component-devices> • 9 modes : Assemble, Build, Create, Follow (ou Monitor), Grow, Incremental, Manage, Auto-detect & Divers • pour lancer une commande dans un mode :  --nomdumode  ou -X (première lettre du mode, à l’exception d'Auto-detect)  Exemple : --create ou -C Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Modes : création et activation • create : créer et activer un ensemble RAID à partir de zéro • build : construire un ensemble RAID sans superblock pour chaque périphérique  ne détruit pas les données pré-existantes  utile lors de la récupération de données corrompues  ne peut être utilisé avec mdadm.conf • assemble : reconstruire un ensemble RAID pré-existante  migrer un ensemble vers un autre hôte  activer un ensemble au démarrage • auto-detect : activer tout ensemble RAID auto-détecté, via le kernel Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Modes : modification et surveillance • incremental : ajouter / supprimer un périphérique d'un ensemble RAID • manage : agir sur les composants spécifiques d'un ensemble RAID  suppression de disques défectueux  ajout de périphériques de rechange • follow / monitor : surveiller un ou plusieurs périphérique md, et agir sur tout changement d'état • grow : modifier un ensemble RAID existant  ajout / suppression de périphérique • misc : "tout le reste" (pas d'option spécifique)  opérations sur les ensembles RAID actifs  effacer de vieux super-blocks  récupération d'informations Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Création d'un ensemble RAID • création d'un ensemble /dev/md0 en RAID1 # mdadm --create --verbose /dev/md0 --level=1 --raid-devices=2 # mdadm --create --verbose /dev/md0 --level=1 --raid-devices=2 /dev/sdb1 /dev/sdc1 /dev/sdb1 /dev/sdc1 • identique à # mdadm -Cv /dev/md0 -l1 -n2 /dev/sdb1 /dev/sdc1 # mdadm -Cv /dev/md0 -l1 -n2 /dev/sdb1 /dev/sdc1  avec périphérique de rechange # mdadm --create --verbose /dev/md0 --level=1 --raid-devices=2 # mdadm --create --verbose /dev/md0 --level=1 --raid-devices=2 /dev/sdb1 /dev/sdc1 --spare-devices=1 /dev/sdd1 /dev/sdb1 /dev/sdc1 --spare-devices=1 /dev/sdd1 • pour surveiller l'état d'avancement de la construction # watch -n 1 cat /proc/mdstat # watch -n 1 cat /proc/mdstat Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
/etc/mdadm.conf • optionnel • simplifie des tâches courantes • génération (mode "Divers") # mdadm --detail --scan --verbose > /etc/mdadm.conf # mdadm --detail --scan --verbose > /etc/mdadm.conf • réassemblage à partir du fichier # mdadm --assemble --scan # mdadm --assemble --scan  opération réalisée au démarrage  via /etc/rc.d/rc.sysinit ou /etc/init.d/rcS Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Résolution de panne • retirer un disque défectueux d'un ensemble RAID # mdadm --manage /dev/md0 --remove /dev/sdb1 # mdadm --manage /dev/md0 --remove /dev/sdb1 • ajout d'un nouveau disque (après remplacement) # mdadm --manage /dev/md0 --add /dev/sdb1 # mdadm --manage /dev/md0 --add /dev/sdb1  l'ensemble RAID est alors reconstruit ne pas oublier de reconstruire le fichier mdadm.conf Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
/proc/mdstat • contient les statistiques sur les ensembles RAID • suivre la (re)construction d'un ensemble RAID # watch -n 1 cat /proc/mdstat # watch -n 1 cat /proc/mdstat Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Ce qu’on a couvert • Configuration et implémentation de RAID logiciel sous GNU/Linux. • mdadm.conf • mdadm • mdstat • ainsi qu'un rapide rappel de fdisk 204.1 Configuring RAID Weight : 2 Description : Candidates should be able to configure and implement software RAID. This objective includes using and configuring RAID 0, 1 and 5. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Administration avancée des périphériques de stockage Ajustement des accès aux périphériques de stockage Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Plan • Configurer l'interaction du kernel avec un fs ext • Paramètres de disques durs PATA • Paramètres de disques durs SCSI • Modifier les paramètres du Kernel • Sysctl Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Configurer l'interaction du kernel avec un fs ext # tune2fs [options] device # tune2fs [options] device • Options :  -e [continue | remount-ro | panic ] • •  définie comment le kernel doit réagir dans le cas d'une erreur sur le système de fichier ignorer l'erreur et la reporter à l'application, remonter le fs en lecture uniquement ou kernel panic (arrêt du système) -m reserved_block_percentage • Linux LPIC-2 5 % par défaut tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Configurer l'interaction du kernel avec un fs ext # tune2fs [options] device # tune2fs [options] device • Options :  -O [^]mount_option • •  options de montage (mount et fstab étant prioritaires) ^ pour supprimer l'option -s [0|1] • active (1) ou désactive (0) la fonctionnalité "sparse superblock" - réduire le nombre de copies de sauvegarde du superblock - dans groupes de blocks spécifiques au lieux de dans chaque groupe de blocks • l'activer permet d'économiser de l'espace sur les fs de très grand taille • relancer e2fsck après modification de cette option Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Paramètres de disques durs PATA # hdparm [options] [device] # hdparm [options] [device] • tester les performances des disques ATA • ajuster leurs paramètres • la plupart de ses options n'auront aucun effet sur les disques SCSI  y compris la plupart des SATA, USB et même PATA pilotés par le sous-système SCSI Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Paramètres de disques durs PATA # hdparm [options] [device] # hdparm [options] [device] • Options  -a : obtenir/modifier le nombre de secteurs pour la "lecture en avance" (read-ahead) • • 8 (4ko) par défaut (convient dans la plupart des cas) •  tampon, améliore les performances lors de la lecture séquentielle de longs fichiers pour une lecture très aléatoire, ou un disque à read-ahead intégré, baisser cette valeur / supprimer cette fonction peu améliorer les performances -d [0|1] : (dés)activer la fonction "using_dma" • Direct Memory Access (cf LPIC1 - Hardware - Introduction ) - access direct à une zone mémoire • Linux LPIC-2 améliore quasi systématiquement les performances tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Paramètres de disques durs PATA # hdparm [options] [device] # hdparm [options] [device] • Options  -g : Affiche la géométrie du disque • • capacité (en secteurs) •  cylindres, têtes, secteurs adresse (en secteurs) du début du périphérique par rapport au début du disque -i : Affiche les informations d'identification •  fournies par le disque au démarrage -r [0|1] : Obtient/modifie le drapeau de lecture seule pour le périphérique Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Paramètres de disques durs PATA # hdparm [options] [device] # hdparm [options] [device] • Options  -t : minutage de lecture (sans mise en cache préalable) du périphérique pour benchmarking. • •  à réaliser 2 ou 3 fois sur un périphrique inactif avec au moins quelques Mo de libre -T : minutage de lecture du cache du périphérique pour benchmarking • •  vitesse de lecture directement depuis le tampon de Linux sans accès disque indication du débit du processeur, cache et mémoire du système testé -v : afficher tout les réglages, sauf -i Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Paramètres de disques durs SCSI # sdparm [options] [device] # sdparm [options] [device] • N'est pas exactement un équivalent SCSI à hdparm  Obtenir des information sur les périphériques SCSI • SCSI mode page, VPD (Vital Product Data)  Modifier leurs paramètres  Envoyer des commandes SCSI au périphérique • Utile pour tout les disques pilotés via le sous-sytème SCSI  cependant, modifier les paramètres d'un SATA reconnu comme SCSI ne sera pas toujours valable Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Paramètres de disques durs SCSI # sdparm [options] [device] # sdparm [options] [device] • Options  -a / --all : afficher tout les champs reconnus pour le type de périphérique  -e / --enumerate : afficher des informations sur les pages et champs modifiables via sdparm  -g field / --get field : afficher un champs particulier  -i / --inquiry : afficher les pages d'information VPD  -l / --long : afficher des informations supplémentaires Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Paramètres de disques durs SCSI # sdparm [options] [device] # sdparm [options] [device] • Options  -s STR=n / --set=STR=n : affecter la valeur au champs donné à utiliser avec grande précaution  -C CMD / --command=CMD : envoyer une commande SCSI au périphérique • Exemple : désactiver un périphérique # sdparm --command=stop /dev/sdb # sdparm --command=stop /dev/sdb Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Modifier les paramètres du Kernel • via procfs  cf LPIC1 - Hardware - Procfs • Deux solutions  édition directe des pseudo-fichiers # echo 1 > /proc/sys/net/ipv4/ip_forward # echo 1 > /proc/sys/net/ipv4/ip_forward • •  ne persiste pas après redémarrage nécessite que ces commandes soit appelées via un init script sysctl Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Sysctl # sysctl [-n] [-e] [-a | -A | -p filename | -w variable=value ] # sysctl [-n] [-e] [-a | -A | -p filename | -w variable=value ] • Options  -a / -A : afficher toutes les valeurs actuellement disponibles  -e : ignorer les erreurs liées aux clés inconnues  -n : désactiver l'affichage du nom de clé •  n'affiche que sa valeur -p filename : charger les paramètres à partir du fichier spécifié • •  /etc/sysctl.conf si aucun spécifié "-" pour lire à partir de l'entrée standard -w variable=value : modifier un paramètres Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Ce qu’on a couvert • Afficher et modifier les paramètres des disques durs via  tune2fs  hdparm  sdparm  sysctl 204.2 Adjusting Storage Device Access Weight : 1 Description : Candidates should be able to configure kernel options to support various drives. This objective includes software tools to view & modify hard disk settings. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Administration avancée des périphériques de stockage Logical Volume Manager Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Plan • Introduction • Pas à pas • Initialiser les volumes physiques • Créer un groupe de volumes • Création de volumes logiques • Étendre un volume logique • Clichés (Snapshots) • Effectuer une sauvegarde à partir d'un cliché Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Introduction • création et gestion de volumes logiques sous GNU/Linux • Permet une gestion plus "souple" des périphériques de stockage  redimensionnement  fonctionnalités supplémentaires • fiabilité dépendant de l'ensemble des périphériques utilisés  ie : un périphérique tombe en panne et tout les volumes logiques sont perdus  donc, à utiliser avec du RAID Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Pas à pas 1) optionnel : création des partitions sur les périphériques  via fdisk  il est recommandé de bien définir leur type code (8E) 2) initialiser les volumes physiques (PV)  via pvcreate (ou automatiquement à l'étape suivante) 3) créer un groupe de volumes (VG)  via vgcreate 4) créer les volumes logiques (LV)  via lvcreate 5) mettre en place les systèmes de fichiers sur les LV  via mkfs Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Initialiser les volumes physiques # pvcreate [options] VolumePhysique [VolumePhysique ...] # pvcreate [options] VolumePhysique [VolumePhysique ...] • Initialise les volumes physiques pour une utilisation ultérieure via LVM  partition de disque  disque entier • doit être remis à zéro via la commande suivante # dd if=/dev/zero of=PhysicalVolume bs=512 count=1 # dd if=/dev/zero of=PhysicalVolume bs=512 count=1  meta périphérique (md) - recommandé  périphérique de loopback Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Créer un groupe de volumes # vgcreate [options] VolumeGroupName PhysicalDevicePath [PhysicalDevicePath...] # vgcreate [options] VolumeGroupName PhysicalDevicePath [PhysicalDevicePath...] • si les périphériques n'ont pas été initialisés via pvcreate, ils le seront automatiquement • Exemple # vgcreate vg0 /dev/sda1 /dev/sdb1 # vgcreate vg0 /dev/sda1 /dev/sdb1 • Par défaut, les PE (Physical Extents) sont de 4Mo  modifiable via l'option • Linux LPIC-2 -s, --physicalextentsize PhysicalExtentSize[bBsSkKmMgGtTpPeE] tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Création de volumes logiques # lvcreate [options] VolumeGroup{Name|Path} # lvcreate [options] VolumeGroup{Name|Path} • Options  -L, --size LogicalVolumeSize[bBsSkKmMgGtTpPeE] • définie la taille du volume logique • Exemple # lvcreate -L 100M volume01 # lvcreate -L 100M volume01  créé un volume logique de 100Mo  nommé par défaut /dev/volume01/lvol0 • Les opérations suivantes sont usuelles (mkfs, mount, etc ...) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Étendre un volume logique • Si besoin, ajouter un PV au VG # vgextend volume01 /dev/hda6 # vgextend volume01 /dev/hda6 • Étendre le LV # lvextend -L +50M /dev/volume01/lvol0 # lvextend -L +50M /dev/volume01/lvol0 • Puis étendre le système de fichier (démonté) # xfs_growfs /dev/volume01/lvol0 # xfs_growfs /dev/volume01/lvol0 • ou, pour l'ext # resize2fs /dev/volume01/lvol0 # resize2fs /dev/volume01/lvol0 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Clichés (Snapshots) • Copie virtuelle d'un LV  facile la sauvegarde  accessible en écriture depuis LVM2 • ouvre de nombreuses possibilités (testing, XEN, etc …) • Exemple : créer une snapshot /dev/volume01/snapshot0 # lvcreate -L 10g -s -n snapshot0 /dev/volume01/lvol0 # lvcreate -L 10g -s -n snapshot0 /dev/volume01/lvol0 n'est PAS une sauvegarde  n'enregistre que les MODIFICATIONS apportées au LV, pas les données  disparaît en cas de redémarrage • taille évolutive (10Go est donc ici la taille maximum) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Effectuer une sauvegarde à partir d'un cliché • Monter la snapshot # mount /dev/volume01/snapshot0 /mnt/snap # mount /dev/volume01/snapshot0 /mnt/snap • Copier les données # tar -cvzf /backups/snap.tar.gz /mnt/snap # tar -cvzf /backups/snap.tar.gz /mnt/snap • Démonter et détruire la snapshot # umount /dev/volume01/snapshot0 # umount /dev/volume01/snapshot0 # lvremove /dev/volume01/snapshot0 # lvremove /dev/volume01/snapshot0 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Ce qu’on a couvert • Gestion de LVM  création et suppression de LV, PV et VG  snapshots  redimensionnement 204.3 Logical Volume Manager Weight : 3 Description : Candidates should be able to create and remove logical volumes, volume groups, and physical volumes. This objective includes snapshots and resizing logical volumes. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Configuration Réseau OpenVPN Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Plan • Introduction • OpenVPN • Exemple simple : point à point • Configuration serveur • Configuration client Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Introduction • Virtual Private Network  réseau privé virtuel • Connecter plusieurs réseaux distants  de manière sécurisée (tunnel chiffré)  via une connection non-sécurisée (ex : internet) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
OpenVPN • Logiciel Libre (GNU GPL) • Disponible sur de nombreux OS (GNU/Linux, Windows, BSD, Mac OS X, etc …) • Authentification via la • Créé en 2002  par James Yonan  version actuelle : 2.3.2 bibliothèque OpenSSL • Linux LPIC-2 Juin 2013 • Sécurisé via chiffrement SSL/TLS tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Exemple simple : point à point • VPN point à point  entre un serveur vpn.alphorm.com / 10.1.1.1 et un client 10.1.1.2  port par défaut (1194) • Création de la clé statique $ openvpn --genkey --secret static.key $ openvpn --genkey --secret static.key • Copier cette clé sur le serveur et le client Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Configuration serveur • server.conf # type d'interface # type d'interface dev tun dev tun # adresse IP serveur / client # adresse IP serveur / client ifconfig 10.1.1.1 10.1.1.2 ifconfig 10.1.1.1 10.1.1.2 # test de connection toutes les 10 secondes, considéré # test de connection toutes les 10 secondes, considéré secondes sans réponse secondes sans réponse keepalive 10 60 keepalive 10 60 # relancer la connection si elle semble coupée # relancer la connection si elle semble coupée ping-timer-rem ping-timer-rem # empêcher OpenVPN de fermer et ré-ouvrir le tun/tap à # empêcher OpenVPN de fermer et ré-ouvrir le tun/tap à persist-tun persist-tun # idem mais pour les fichiers clés # idem mais pour les fichiers clés persist-key persist-key # clé secrète partagée pour le chiffrement # clé secrète partagée pour le chiffrement secret static.key secret static.key comme indisponible au bout de 60 comme indisponible au bout de 60 la reception d'un signal SUGSR1 la reception d'un signal SUGSR1 • tun/tap : interface de communication réseaux entre le kernel et les programmes de l'espace utilisateur Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Configuration client • client.conf # serveur distant # serveur distant remote vpn.alphorm.com remote vpn.alphorm.com dev tun dev tun ifconfig 10.1.1.2 10.1.1.1 ifconfig 10.1.1.2 10.1.1.1 keepalive 10 60 keepalive 10 60 ping-timer-rem ping-timer-rem persist-tun persist-tun persist-key persist-key secret static.key secret static.key Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Ce qu’on a couvert • Qu'est ce que le VPN. • Introduction à la configuration d'OpenVPN 205.2 Advanced Network Configuration and Troubleshooting (Part 1) Weight : 4 Description : Candidates should be able to configure a network device to implement various network authentication schemes. This objective includes configuring a multi-homed network device, configuring a VPN client and resolving communication problems. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Configuration Réseau Surveillance et analyse de traffic TCP/IP Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Plan • netcat • netcat : options générales • Scanner de ports avec netcat • Netcat client / serveur • Netstat • Analyse de paquets avec Tcpdump • Analyse de paquets avec Wireshark • nmap : scanner de ports et plus Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
netcat $ nc [ options ] [ hostname ] [ ports ] $ nc [ options ] [ hostname ] [ ports ] • Le couteau suisse du TCP/IP  gestion des sockets (peu établir n'importe quelle connexion)  s'utilise aussi bien en tant que client que serveur  scriptable  multiplateforme (disponible sous Windows et Mac OS X)  nombreux usages • capture de bannière • scan de ports • etc ... Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
netcat : options générales $ nc [ options ] [ hostname ] [ ports ] $ nc [ options ] [ hostname ] [ ports ] • Options :  -u : passer en mode UDP  -i int : effectuer l'opération suivant un intervalle de int secondes  -v : verbose •  -vv pour plus d'informations -x adresse[:port] : connexion via un proxy Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Scanner de ports avec netcat • Scanner des ports 100 à 1, puis 443 $ nc -vv 127.0.0.1 1-100 443 $ nc -vv 127.0.0.1 1-100 443  -r pour scanner aléatoirement (plus discret)  par défaut, se stoppe dés qu'il trouve un port ouvert, et attend une E/S • -z pour passer en mode zero I/O • Exemple $ nc -vv -i 3 -r -z 127.0.0.1 21 23 80-160 1337 $ nc -vv -i 3 -r -z 127.0.0.1 21 23 80-160 1337 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Netcat client / serveur • ouvrir netcat en mode listening (serveur) sur le port 1337 $ nc -l -p 1337 $ nc -l -p 1337  -k pour continuer à écouter après réception d'une connection • se connecter au serveur (coté client) $ nc monserveur 1337 $ nc monserveur 1337 • Exemple : transfert de fichiers  serveur $ cat file.tar.gz | nc -l 1337 $ cat file.tar.gz | nc -l 1337  client $ nc monserveur 1337 > file.tar.gz $ nc monserveur 1337 > file.tar.gz Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Netstat $ netstat [options] $ netstat [options] • Afficher un grand nombre d'informations  connections  tables de routage  statistiques sur les interfaces  connexions masquées  messages netlink  multicasts • Considéré comme obsolète  remplacé par ss et ip Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Netstat $ netstat [options] $ netstat [options] • Options  aucune : lister les sockets ouverts  -a : Affiche toutes les connexions TCP actives et les ports TCP et UDP sur lesquels l'ordinateur écoute  -i iface / --interface=iface : afficher les informations sur une interface •  -r / --route : afficher les tables de routage noyau •  similaire à ifconfig ou ip -s link similaire à ip route --masquerade / -M : afficher les informations relatives aux connections masquées • •  fonctionnalité NAT de Linux réseaux "cachés" derrière une unique adresse IP -p / --programs : afficher le nom et le PID des processus propriétaires de chaque socket Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Analyse de paquets avec Tcpdump # tcpdump [options] [-i interface] [pcap-filter expression] # tcpdump [options] [-i interface] [pcap-filter expression] • obtenir les détails sur le trafic visible depuis une interface  une ligne par paquet • date protocole source:port > destination:port : informations • Exemple # tcpdump -i eth1 host 8.8.8.8 # tcpdump -i eth1 host 8.8.8.8 tcpdump: verbose output suppressed, use -v or -vv for full protocol decode tcpdump: verbose output suppressed, use -v or -vv for full protocol decode listening on eth1, link-type EN10MB (Ethernet), capture size 65535 bytes listening on eth1, link-type EN10MB (Ethernet), capture size 65535 bytes 11:48:56.922382 IP debian.local > google-public-dns-a.google.com: ICMP echo 11:48:56.922382 IP debian.local > google-public-dns-a.google.com: ICMP echo length 64 length 64 11:48:57.053722 IP google-public-dns-a.google.com > debian.local: ICMP echo 11:48:57.053722 IP google-public-dns-a.google.com > debian.local: ICMP echo length 64 length 64 11:48:57.922897 IP debian.local > google-public-dns-a.google.com: ICMP echo 11:48:57.922897 IP debian.local > google-public-dns-a.google.com: ICMP echo length 64 length 64 11:48:57.989884 IP google-public-dns-a.google.com > debian.local: ICMP echo 11:48:57.989884 IP google-public-dns-a.google.com > debian.local: ICMP echo length 64 length 64 Linux LPIC-2 request, id 2933, seq 1, request, id 2933, seq 1, reply, id 2933, seq 1, reply, id 2933, seq 1, request, id 2933, seq 2, request, id 2933, seq 2, reply, id 2933, seq 2, reply, id 2933, seq 2, tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Analyse de paquets avec Wireshark • Anciennement dénommé Ethereal (avant mai 2006) • Disponible sur les systèmes Unix et Windows • Né en 1998, grâce à Gerald Combs • Deux solutions :  GUI  ligne de commande : TShark # tshark [-i interface] [pcap-filter expression] # tshark [-i interface] [pcap-filter expression] Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
nmap : scanner de ports et plus • TCP connect scan # nmap -sT hostname # nmap -sT hostname • UDP scan # nmap -sU hostname # nmap -sU hostname • identification des machines d'un réseau # nmap -sP <cible> # nmap -sP <cible> • identifier l'OS d'une machine # nmap -O --osscan-guess 127.0.0.1 # nmap -O --osscan-guess 127.0.0.1 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Ce qu’on a couvert • netcat • netstat • tcpdump • wireshark • nmap 205.2 Advanced Network Configuration and Troubleshooting (Part 2) Weight : 4 Description : Candidates should be able to configure a network device to implement various network authentication schemes. This objective includes configuring a multi-homed network device, configuring a VPN client and resolving communication problems. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Configuration Réseau Dépannage réseau Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Plan • Exemple de méthodologie • Couches physique et liaison • Couche réseau • Couche transport • Couche application • Problèmes de résolution de nom • Problèmes de résolution de nom : dig • Autres éléments à vérifier Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Exemple de méthodologie 1)lister les composants impliqués  interface réseau, routeur, hôte distant, etc ... 2)établir leur interaction  chemin emprunté par un paquet  cf Prime 3)Déterminer le contexte du problème  Qui, quoi, où, quand, comment, combien (de postes affectés), pourquoi ? 4)Déterminer la cause exacte de la panne à partir du modèle TCP/IP a. Couche physique b. Couche liaison de données c. Couche réseau d. Couche transport e. Couche application • Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Rappel : Modèle TCP/IP Couche Description Exemples physique caractéristiques physiques de la communication câble, fibre optique, radio liaison mode de transport des paquets sur la couche physique Ethernet, Token Ring, SLIP, ATM réseau acheminement de paquets à travers un seul réseau IP transport fiabilité des échanges et détermination de l'application à laquelle chaque paquet de données doit être délivré TCP, UDP applicatio n programmes réseaux HTTP, SMTP, FTP, SSH, DNS Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Couches physique et liaison • vérifier que les cables sont branchés et les hôtes sous-tension  contrôle visuel ou logiciels de monitoring • vérifier que les cartes réseau sont actives  ifconfig, ip, ifup Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Couche réseau • Puis-je joindre l'hôte distant ? Le(s) routeur(s) ? Le firewall ? • Puis-je joindre d'hôtes hôtes du réseau ? D'internet ? • D'autres hôtes peuvent ils joindre l'hôte distant ?  ping, traceroute • vérifier la configuration ip  ifconfig, ip, dhclient • vérifier la configuration de vos routes  ip, route • Pour aller plus loin : sniffing  permet d'analyser en détail les paquets émis ou reçus  tcpdump, wireshark, etc ... Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Couche transport • Puis-je joindre l'hôte sur le port désiré ? $ telnet <hote> <port> $ telnet <hote> <port> • Ici encore, sniffing • Le problème peu alors par exemple être lié à un routeur ou firewall Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Couche application • Configuration de l'application cliente  tester avec un autre client  vérifier les paramètres • Configuration de l'application serveur Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Problèmes de résolution de nom • Tester via ping, host ou dig • /etc/resolv.conf : ip des dns • /etc/hosts : résolution de noms statique • /etc/hostname ou /etc/sysconfig/network : nom d'hôte d'une machine • retrouver l'ip / le CNAME d'un hôte (et les MX d'un domaine) $ host <hote ou domaine> $ host <hote ou domaine> • afficher toutes les informations relatives à un domaine / hôte $ host -a <hote ou domaine> $ host -a <hote ou domaine> Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Problèmes de résolution de nom : dig • Vérifier les enregistrements de type A d'un domaine $ dig <domaine> $ dig <domaine> • Connaitre l'adresse ip du serveur dns faisant autorité sur un domaine $ dig <domaine> +short $ dig <domaine> +short • Trouver un nom d'hôte à partir d'une ip $ dig -x 92.121.176.140 +short $ dig -x 92.121.176.140 +short • • Vérifier les enregistrements MX d'un domaine $ dig mx midia.fr +short $ dig mx midia.fr +short Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Autres éléments à vérifier • Démarrage  /var/log/messages  dmesg  init scripts • Système  /var/log/syslog • sécurité  /etc/host.deny et /etc/host.allow • configuration réseau  /etc/sysconfig/network-scripts ou /etc/network Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Ce qu’on a couvert • Comment diagnostiquer les pannes réseau • Dig, host, telnet • ainsi que quelques rappels sur la configuration réseau 205.3 Troubleshooting network issues Weight : 5 Description : Candidates should be able to identify and correct common network setup issues, to include knowledge of locations for basic configuration files and commands. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Maintenance système Construction et installation de programmes à partir du code source Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Plan • Introduction • Désarchivage et décompression • Configuration • Compilation Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Introduction • optimisation • personnalisation • être à jour • Pourquoi pas dans la LPIC1 ? Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Désarchivage et décompression • tar $ tar xvzf archive.tar.gz $ tar xvzf archive.tar.gz $ tar xvjf archive.tar.bz2 $ tar xvjf archive.tar.bz2 • gunzip $ gunzip archive.gz $ gunzip archive.gz • bzip2 $ bunzip2 archive.bz2 $ bunzip2 archive.bz2 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Configuration $ •$ ./configure ./configure • script GNU autoconf  configurer automatiquement le code source d'un logiciel pour l'adapter au système • architecture, bibliothèques, dépendances • désactivation des fonctionnalités liées à des dépendances optionnelles non satisfaites • génération du makefile • modifier le répertoire d'installation  •$ $ par défaut : /usr/local/ ./configure --prefix=/opt ./configure --prefix=/opt • afficher les paramètres disponibles $ •$ ./configure --help ./configure --help • Rmq : vous pouvez patcher ces sources comme pour le kernel Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Compilation •$ make $ make • à partir des éléments du makefile  modifiables directement via options $ make DESTDIR=chemin install $ make DESTDIR=chemin install • rappel kernel : targets  all (défaut)  clean  install Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Ce qu’on a couvert • décompresser et désarchiver  tar, gunzip, gzip, bzip2, tar • personnaliser la configuration de l'installation d'un logiciel  configure • compilation et installation d'un logiciel  make 206.1 Make and install programs from source Weight : 4 Description : Candidates should be able to build and install an executable program from source. This objective includes being able to unpack a file of sources. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Maintenance système Opérations de sauvegarde Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Plan • Introduction • Réflexion préalable • Supports • Supports : comparatif • Manipulation des bandes magnétique • Rsync • Autres outils • Sauvegarde réseau • Intégrité • Restauration Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Introduction • Pourquoi ? • Quoi ? • Quand ? • Où ? • Comment ? Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Réflexion préalable • Pourquoi ?  importance des données •  coût de création, information relative à un temps/contexte donné, etc … fiabilité • défaillance matérielle, erreur de manipulation, etc ... • Quoi ?  relativement à leur importance et leur stabilité • données personnelles, configuration • /home, /etc • éventuellement : /var • inutiles : /etc/mtab, /proc, /sys, /dev • Quand ?  fonction du rythme de changement des données  quotidiennement sur la plupart des systèmes Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Supports • Bande magnétique  /dev/st*  /dev/nst* (non rewinding tape) • ne se rembobine pas automatiquement après chaque opération • Disque dur • Médias optiques • Réseaux Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Supports : comparatif Type bande magnétique disque dur Avantages ● ● ● ● coût stockage passif temps d'accès rapport capacité / prix Inconvénients ● ● temps d'accès peu adapté à une sauvegarde horssite Contextes ● ● ● média optique ● ● fiabilité transport ● ● réseaux (NAS, SAN) Linux LPIC-2 ● ● adaptabilité indépendance ● ● capacité de stockage write-once ● sauvegarde à long terme intermédiaire pour une sauvegarde hors-site restaurations rapides et fréquentes sauvegardes système coût consommation énergétique tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Manipulation des bandes magnétique $ mt [-h] [-f device] operation [count] [arguments...] $ mt [-h] [-f device] operation [count] [arguments...] • Opérations  fsf : avancer de count fichiers  bsf : reculer de count fichiers  eod / seod : avance jusqu'à la fin des données  rewind : rembobiner (intégralement) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Rsync • Rsync (Remote SYNChronisation)  synchronisation distante (ou locale) unidirectionnelle $ rsync -avz -e "ssh" source user@destination:dest $ rsync -avz -e "ssh" source user@destination:dest •  -a : mode archivage • récursif, conserve les liens symboliques, dates, permissions et périphériques  -z : compresser les données lors du transfert  -e : shell distant (ssh par défaut) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Autres outils • dd : copie bloc à bloc $ dd if=/dev/sda2 of=/tmp/home.img bs=1024 count=1048576 • $ dd if=/dev/sda2 of=/tmp/home.img bs=1024 count=1048576 • cpio : archivage  "ancêtre" de tar (moins connu)  3 modes : -i (input / extraire), -o (output / compression) et -p (pass-through) • liste de fichiers à partir de stdin $ find /test | cpio -o > test.cpio $ find /test | cpio -o > test.cpio • tar # tar -czf /dev/st0 /www /home # tar -czf /dev/st0 /www /home # tar -xvf /dev/st0 # tar -xvf /dev/st0 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Sauvegarde réseau • AMANDA  Advanced Maryland Automatic Network Disk Archiver  développé par l'université du Maryland  basé sur les standards de logiciels de sauvegarde. • Unix dump et restore, Gnu tar, autres logiciels ...  Le plus populaire  sauvegarde séquentielle (lecteur de bande ou disque)  modulaire  permet une répartition des tâches sur les machines périphériques  documentation en français : http://www.linux-france.org/article/sys/amanda/ • Bacula  serveur disponible uniquement sous Unix (GNU/Linux, Solaris et FreeBSD)  repose sur une base de donnée relationnelle  enregistre les signatures (SHA-1 ou MD5) de chaque fichier sauvegardé  extrêmement complet (chiffrement, gestion des robots changeurs de bandes, scripting, etc …)  administrable via de nombreux GUI Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Sauvegarde réseau • BackupPC  via SMB, tar over SSH/rsh/nfs ou rsync  administrable via interface web • Tous sont :  disponibles pour Unix (GNU/Linux, BSD, Mac OS X, Solaris) et Windows  Libres  des références incontournables (mais seulement à "connaître" pour la LPIC2) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Intégrité • il est important de vérifier l'intégrité des données sauvegardées  et de répéter l'opération régulièrement (ex : tout les ans) • exemple (backup)$ find ./ -type f -exec sha1sum {} ; > ~/backup_sums.txt (backup)$ find ./ -type f -exec sha1sum {} ; > ~/backup_sums.txt (origin)$ scp backup:backup_sums.txt . (origin)$ scp backup:backup_sums.txt . (origin)$ sha1sum -c backup_sums.txt (origin)$ sha1sum -c backup_sums.txt ... ... ./.kde/Autostart/.directory: OK ./.kde/Autostart/.directory: OK ./.ssh/authorized_keys: OK ./.ssh/authorized_keys: OK ./.ssh/id_dsa: OK ./.ssh/id_dsa: OK ... ... ./rsync-out.txt: FAILED ./rsync-out.txt: FAILED ./try.pl~: OK ./try.pl~: OK sha1sum: WARNING: 1 of 667 computed checksums did NOT match sha1sum: WARNING: 1 of 667 computed checksums did NOT match Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Restauration • Toujours vérifier la restauration après sauvegarde • Établir une procédure de restauration  spécifie comment restaurer les données • Linux LPIC-2 option x de tar, script, rsync ou dd inverse, etc ... tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Ce qu’on a couvert • Établir une stratégie de sauvegarde. • Les différents supports de sauvegarde. • cpio, dd, tar, rsync • Vérifier l'intégrité d'une sauvegarde. • Restauration 206.2 Backup operations Weight : 3 Description : Candidates should be able to use system tools to back up important system data. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Maintenance système Notification aux utilisateurs des problèmes système Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Plan • Messages à l'authentification • Broadcaster un message à tout les utilisateurs • Commande shutdown Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Messages à l'authentification • /etc/issue  message affiché avant authentification  ex : "Bienvenue sur le serveur toto.machin.com - Debian GNU/Linux"  mieux : "Attention : utilisateurs autorisés uniquement" • /etc/issue.net  idem, mais pour les connections distante • /etc/motd  message affiché une fois l'authentification établie  particulièrement utile pour informer les utilisateurs d'un événement particulier (ex : extinction planifiée du système)  inutile pour les larges environnement •  particulièrement en cas d'authentification unique attention à sa mise à jour Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Broadcaster un message à tout les utilisateurs • Envoyer un message (22 lignes maximum) $ wall [file] $ wall [file]  à partir d'un fichier ou de l'entrée standard (Ctrl-D pour clore) • Contrôler l'accès en écriture à son terminal par les autres utilisateurs $ mesg [y|n] $ mesg [y|n] • Afficher le statut d'accès en écriture des utilisateurs # finger # finger  colonne TTY : précédé de * si accès en écriture désactivé Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Commande shutdown • Exemple # Shutdown -H +10 Server halting in 10 minutes for change change # Shutdown -H +10 Server halting in 10 minutes for change change number. Expected up at 00:00:00. number. Expected up at 00:00:00. • Options  -k : simuler un arrêt du système • créé tout de même le fichier /etc/nologin durant son execution - interdit la connexion à tout autre utilisateur que root  -c : annuler (cancel) un arrêt du système Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Ce qu’on a couvert • /etc/issue • /etc/issue.net • /etc/motd • wall • /sbin/shutdown 206.3 Notify users on system-related issues Weight : 1 Description : Candidates should be able to notify the users about current issues related to the system. Remarque : pour des raisons de cohérence, nous anticipons ici la v4, renumérotant ce sujet du 205.4 au 206.3 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Domain Name Server Configuration élémentaire d'un DNS Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Plan • Introduction • Logging • Hiérarchie • Zones • Fonctionnement • Configuration de rndc • Vocabulaire • Commandes rndc • Bind • Exemple : serveur de cache • Composants • Syntaxe du fichier named.conf • Options Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Introduction • correspondance nom (FQDN) / adresse ip • autrefois grâce à un fichier HOST.TXT partagé par copie • Remplace les fichiers hosts depuis 1987  "dynamique"  centralisé  hiérarchisé  standard Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Hiérarchie Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Fonctionnement Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Vocabulaire Terme Définition Zone Ensemble des directives associées à un domaine. A chaque zone / domaine correspond un fichier. DNS récursif Serveur capable d'interroger de manière récursive les autres serveurs DNS lorsqu'il ne parvient pas à déterminer un serveur faisant autorité sur le nom de domaine recherché. Serveur primaire / Maître (d'une zone) Serveur obtenant la configuration de sa zone à partir d'un fichier directement administré. Serveur principal d'un domaine. Serveur secondaire Serveur obtenant toutes les informations d'une zone à partir d'un serveur primaire. Faire autorité sur un domaine Répondre directement aux requêtes concernant un domaine sans passer par un autre serveur ou un cache. C'est le cas des serveurs primaires et secondaires. ne pas confondre "authoritive" (primaire / master) avec "faire autorité" Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Bind • Berkeley Internet Name Daemon • standard de fait  aujourd'hui maintenu par l'Internet Systems Consortium • Libre : Licence ISC / OpenBSD • Version 9  la plus courante  stable, sécurisé et confirmé (plus de 10 ans)  objectif LPIC • Version 10  récente (février 2013)  totalement différente (réécrit à partir de zéro en 5 ans)  intègre également le DHCP Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Composants • /usr/sbin/named • /usr/sbin/rndc : utilitaire de contrôle • /etc/bind/named.conf ou /etc/named.conf : fichier de configuration  named.conf.local  named.conf.options • /etc/init.d/bind : init script • /var/named/ : répertoire de travail Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Syntaxe du fichier named.conf • instruction (statements) keyword { keyword { ... ... ; } ; } ;  options, forwarders, logging, zone "xxx", etc …  imbricables • ex : forwarders dans options • instruction "simples"  ex : inclusion include "/etc/bind/named.conf.options"; include "/etc/bind/named.conf.options"; • doivent toutes se terminer par un ; Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Options • Options de configuration du serveur DNS • Une seule instruction options par named.conf  souvent écrit dans un fichier named.conf.options Option Description Exemple directory répertoire de travail directory "/var/named"; forwarders serveurs de référence (aucun par défaut) forwarders { 123.12.135.6 ; } forward comportement avec les forwarder first (défaut) : en priorité only : uniquement forward only ; version version du serveur à afficher version none ; Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Logging logging { logging { category cat { channel; }; category cat { channel; }; ... ... }; }; • catégorie : type d'information à logger  security, lame-server, cname, etc ... • chaîne : spécifie la sortie  null : détruit toutes les informations  default_syslog : comportement par défaut du système • Une seule instruction logging par named.conf • Configuration par défaut correcte Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Zones • Définit les paramètres généraux d'une zone  type (master / slave)  nom (dans l'en-tête)  fichier (paramètres détaillés de la zone)  plus éventuellement d'autres options zone "example.org" { zone "example.org" { type master; type master; file "/etc/bind/db.example.org"; file "/etc/bind/db.example.org"; }; }; • détails dans le chapitre suivant Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Configuration de rndc rndc.key key "rndc-key" { key "rndc-key" { algorithm hmac-md5; algorithm hmac-md5; secret "tyZqsLtPHCNna5SFBLT0Eg=="; secret "tyZqsLtPHCNna5SFBLT0Eg=="; }; }; options { options { default-key "rndc-key"; default-key "rndc-key"; default-server 127.0.0.1; default-server 127.0.0.1; default-port 953; default-port 953; }; }; named.conf key "rndc-key" { key "rndc-key" { algorithm hmac-md5; algorithm hmac-md5; secret "tyZqsLtPHCNna5SFBLT0Eg=="; secret "tyZqsLtPHCNna5SFBLT0Eg=="; }; }; controls { controls { inet 127.0.0.1 port 953 inet 127.0.0.1 port 953 allow { 127.0.0.1; } keys { "rndc-key"; }; allow { 127.0.0.1; } keys { "rndc-key"; }; }; }; Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Commandes rndc • générer une clé si aucune n'est disponible sur le système • # rndc-confgen # rndc-confgen • syntaxe de rndc $ rndc [-b $ rndc [-b • port] [-V] port] [-V] source-address] [-c config-file] [-k key-file] [-s server] [-p source-address] [-c config-file] [-k key-file] [-s server] [-p [-y key_id] {commande} [-y key_id] {commande} • commandes :  reload : recharger la configuration  stop : arrêter le serveur  flush : vider le cache  status : afficher l'état du serveur  aucune ou help : liste des commandes possibles Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Exemple : serveur de cache Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Ce qu’on a couvert • Ce qu'est un serveur DNS. • Les quelques principes génériques à connaître. • Bind  named.conf  /var/named  rndc 207.1 Basic DNS server configuration Weight : 2 Description : Candidates should be able to configure BIND to function as a caching-only DNS server. This objective includes the ability to convert older BIND configuration files to newer format, managing a running server and configuring logging Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Domain Name Server Création et maintenance de zones DNS Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Plan • Introduction  Mail Exchange (MX) • Configuration : maitre / eslave  NameServer (NS) • Fichiers de zone  Start Of Authority (SOA) • Fichier de zone : exemple Paramètres SOA • Zone inverse • Instructions • Enregistrements  Adresse (A)  Alias (CNAME) Linux LPIC-2 • • Zone racine • Délégation de zone • Tests et vérification avec nslookup tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Introduction • Après avoir appris à configurer un serveur en cache only  apprendre à gérer directement des zones • Deux types de zones : zones et zones inverses  à chaque zone doit correspondre une zone inverse • définition pour chaque dans named.conf • permet la résolution adresse ip → nom • exemple : 240.123.224.in-addr.arpa Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Configuration : maitre / eslave • fichier named.conf  serveur maître zone "example.org" { zone "example.org" { type master; type master; file "/etc/bind/db.example.org"; file "/etc/bind/db.example.org"; allow-transfer { 192.168.56.101 ; } ; allow-transfer { 192.168.56.101 ; } ; }; };  serveur esclave zone "example.org" { zone "example.org" { type slave; type slave; masters { 224.123.240.1; }; masters { 224.123.240.1; }; file "db.example.org"; file "db.example.org"; }; }; Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Fichiers de zone • contiennent les informations sur une zone particulière  enregistrements  directives • indiqués par l'option file d'une directive zone dans named.conf  chemin complet (/etc/bind/db.example.org)  ou chemin relatif • Linux LPIC-2 par rapport à la directive directory tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Fichier de zone : exemple $ORIGIN example.com. $ORIGIN example.com. $TTL 86400 $TTL 86400 @ IN SOA dns1.example.com. hostmaster.example.com. ( @ IN SOA dns1.example.com. hostmaster.example.com. ( 2001062501 ; serial 2001062501 ; serial 21600 ; refresh after 6 hours 21600 ; refresh after 6 hours 3600 ; retry after 1 hour 3600 ; retry after 1 hour 604800 ; expire after 1 week 604800 ; expire after 1 week 86400 ) ; minimum TTL of 1 day 86400 ) ; minimum TTL of 1 day IN IN IN IN NS NS NS NS dns1.example.com. dns1.example.com. dns2.example.com. dns2.example.com. IN IN IN IN MX MX MX MX 10 10 20 20 IN IN A A 10.0.1.5 10.0.1.5 server1 server1 server2 server2 dns1 dns1 dns2 dns2 IN IN IN IN IN IN IN IN A A A A A A A A 10.0.1.5 10.0.1.5 10.0.1.7 10.0.1.7 10.0.1.2 10.0.1.2 10.0.1.3 10.0.1.3 ftp ftp mail mail mail2 mail2 www www IN IN IN IN IN IN IN IN CNAME CNAME CNAME CNAME CNAME CNAME CNAME CNAME server1 server1 server1 server1 server2 server2 server2 server2 Linux LPIC-2 mail.example.com. mail.example.com. mail2.example.com. mail2.example.com. tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Instructions Instructions Description Exemple $TTL Valeur par défaut du temps de vie (Time to live : durée, en secondes, durant laquelle un enregistrement est valide). $TTL 86400 $ORIGIN Modifier l'origine (current origin : nom de domaine, spécifié dans l'en-tête de la directive zone du named.conf) $ORIGIN exemple.com $INCLUDE Permet d'inclure un autre fichier de zone à l'endroit de cette directive. Permet de stocker des configuration de zone à l'écart du fichier de zone principal. $INCLUDE /etc/bind/CNAME.exemple.com Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Enregistrements • Syntaxe www 7200 www 7200 IN monserveur monserveur IN Nom CNAME A TTL Type monserveur monserveur 192.168.1.10 192.168.1.10 Valeur • La seconde colonne indique la classe  ie : le protocole utilisé  aujourd'hui, toujours IN (pour internet) • Nom : absolu (FQN) ou "relatif" (à l'origine)  si ne finie pas par un point, l'origine lui sera ajoutée (à droite)  @ permet de référencer uniquement l'origine  Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Adresse (A) • Nom → IP • Exemple monserveur Linux LPIC-2 IN A 192.168.1.10 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Alias (CNAME) • Nom → Nom (A) • Exemple www IN www monserveur monserveur IN Linux LPIC-2 CNAME CNAME A A monserveur monserveur 192.168.1.10 192.168.1.10 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Mail Exchange (MX) • Serveurs mail pour le domaine • Par priorité (du + petit au + grand) • Vers une adresse (A)  Pas d'Alias (CNAME) • Exemple noelmace.com. noelmace.com. Linux LPIC-2 IN IN MX MX 10 50 mail.noelmace.com. mail.google.com. tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
NameServer (NS) • Spécifier les serveurs faisant autorité sur le domaine • Vers une adresse (A) (glue record)  Pas d'Alias (CNAME)  éviter de pointer vers l'enregistrement A d'un autre serveur DNS  Omettre les furtifs • Exemple ns Linux LPIC-2 IN IN NS A ns.noelmace.com. 192.168.1.30 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Start Of Authority (SOA) • Informations générales sur la zone  Serveur maître  Adresse mail de l'admin  paramètres • Exemple @ @ ; ; Linux LPIC-2 IN IN SOA SOA ns.noelmace.com. contact.noelmace.com. ( ns.noelmace.com. contact.noelmace.com. ( 2011102402 ; Serial 2011102402 ; Serial 604800 ; Refresh 604800 ; Refresh 86400 ; Retry 86400 ; Retry 2419200 ; Expire 2419200 ; Expire 604800 ) ; Negative Cache TTL 604800 ) ; Negative Cache TTL tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Paramètres SOA Paramètre Description Serial Numéro de série. Permet au serveur secondaire de savoir si il doit se mettre à jour. Incrémenté à chaque modification du fichier. Par convention : yyyymmdd + numéro de la modification. Refresh Fréquence de consultation du serveur primaire par les serveurs secondaires. Retry Temps d'attente avant nouvel essai en cas d'echec de refresh. Expire Durée d'indisponibilité du serveur primaire après laquelle celui-ci sera considéré comme retiré du service. Minimum TTL TTL minimum du cache • Toutes les durées sont exprimées en secondes ! Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Zone inverse • permet la résolution ip → nom • enregistrements PTR 1 IN PTR dns1.example.org. ne pas oublier le point finale (racine) • déclaration dans named.conf zone "1.168.192.in-addr.arpa" { type master ; file "/etc/bind/db.1.168.192" ; } ; Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Zone racine • named.conf zone "." zone "." type type file file }; }; { { hint; hint; "/etc/bind/db.root"; "/etc/bind/db.root"; • fichier de zone à mettre à jour  soit par la distribution  soit via ftp.rs.internic.net  via dig dig @a.root-servers.net . ns > roothints dig @a.root-servers.net . ns > roothints Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Délégation de zone • Permet de déléguer un sous-domaine à un autre serveur DNS • Exemple :  un serveur ns1.example.com maître sur example.com •  ip = 192.168.0.1 un serveur ns3.sd.example.com maître sur sd.example.com • Linux LPIC-2 ip = 10.10.0.1 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Délégation de zone • fichier de zone de example.com sur ns1 $ORIGIN example.com. $ORIGIN example.com. @ IN @ IN ... ... ) ) IN IN ns1 IN ns1 IN ... ... SOA SOA NS NS A A ns1.example.com. hostmaster.example.com. ( ns1.example.com. hostmaster.example.com. ( ns1.example.com. ns1.example.com. 192.168.0.1 192.168.0.1 $ORIGIN sd.example.com. $ORIGIN sd.example.com. @ IN NS ns3.sd.example.com. @ IN NS ns3.sd.example.com. ; il est recommandé, mais non indispensable, d'établir également le serveur ; il est recommandé, mais non indispensable, d'établir également le serveur ; ns1 en slave de ns3 pour cette zone, et de lui donner autorité sur ce ; ns1 en slave de ns3 pour cette zone, et de lui donner autorité sur ce ; sous-domaine (en plus de la configuration dans named.conf) ; sous-domaine (en plus de la configuration dans named.conf) ; IN NS ns1.example.com. ; IN NS ns1.example.com. ns3 ns3 Linux LPIC-2 IN IN A A 10.10.0.1 10.10.0.1 ; 'glue' record, obligatoire ! ; 'glue' record, obligatoire ! tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Délégation de zone • fichier de zone de sd.example.com sur ns3 $ORIGIN sd.example.com. $ORIGIN sd.example.com. @ IN SOA @ IN SOA ... ... ) ) IN IN ; pour ns1 en slave, voir ; pour ns1 en slave, voir ; IN ; IN ; ns1.example.com. IN ns1.example.com. IN ; ns3 IN ns3 IN ns3.sd.example.com. contact.sd.example.com. ( ns3.sd.example.com. contact.sd.example.com. ( NS ns3.sd.example.com. NS ns3.sd.example.com. précédemment précédemment NS ns1.example.com. NS ns1.example.com. A 192.168.0.1 ; 'glue' record A 192.168.0.1 ; 'glue' record A 10.10.0.1 A 10.10.0.1 ; exemple d'enregistrement pour ftp.sd.example.com ; exemple d'enregistrement pour ftp.sd.example.com ftp IN A 10.10.0.28 ftp IN A 10.10.0.28 ... ... Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Tests et vérification avec nslookup • afficher les enregistrements d'un domaine ou d'un hôte  dans le dns configuré $ nslookup www.exemple.org $ nslookup www.exemple.org  dans un autre serveur $ nslookup www.exemple.org serveur.de.nom $ nslookup www.exemple.org serveur.de.nom • mode interactif (sans arguments)  clause set pour modifier le mode d'interrogation set type=mx set type=mx • n'est plus maintenu  privilégier dig et host • cf chapitres précédents Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Ce qu’on a couvert • Configuration des zones dans BIND 9 :  fichiers de zone •  génériques, inverses et racine named.conf • Comment ajouter un hôte au fichier de zone. • Comment mettre en place une délégation de zone. • Comment tester une zone avec nslookup. 207.2 Create and maintain DNS zones Weight : 2 Description : Candidates should be able to create a zone file for a forward or reverse zone or root level server. This objective includes setting appropriate values for records, adding hosts in zones and adding zones to the DNS. A candidate should also be able to delegate zones to another DNS server. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Domain Name Server Sécurisation d'un serveur DNS Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Plan • • Introduction • Remarque sur le hacking • Types de requêtes • DNSSEC Masquer le numéro de version  Signature des enregistrements DNSKEY et RRSIG  Preuves de non-existance  • Introduction  •  Chaine de confiance ACL Limiter les requêtes • • Limiter les transfers de zone • Limiter les privilèges de BIND • Chroot • Chroot : logging Mise en pratique Génération de clés avec dnssec-keygen  Limitation des transfers avec DNSSEC  Signature de zone  Configuration du client  Linux LPIC-2  Enregistrements DS tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Introduction • mettre à jour régulièrement  garder un œil sur les nouvelles versions et les annonces de failles de sécurité  exemple : http://lists.debian.org/debian-security-announce/ • Limiter les informations disponibles • Limiter l'accès et les transferts de zone • Isoler/Limiter BIND • Sécuriser les données (avec DNSSEC) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Remarque sur le hacking • Ne pas confondre hacking et malveillance  black / grey / white hats • Le hacking n'est d'ailleurs pas uniquement lié aux questions de sécurité, ni même d'informatique • "aptitude technique et [...] plaisir pris à résoudre des problèmes et à dépasser des limites arbitraires" - Eric Raymond, Comment devenir un hacker ?  voir aussi The Jargon File, du même auteur, et sa définition très complète du terme hacker Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Types de requêtes • requêtes "classiques"  demande d'une information spécifique  contrôlée par l'instruction allow-query • Transferts de zone  envoi de toutes les informations d'une zone à un autre serveur  conçues pour les serveurs "esclaves"  contrôlées par l'instruction allow-transfer autorisé par défaut pour tout les hôtes Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Masquer le numéro de version • hack $ dig @target chaos version.bind txt $ dig @target chaos version.bind txt  peu permettre de cibler les attaques en fonction de failles connues • solution : named.conf options { options { ... ... version "hidden"; version "hidden"; }; }; Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
ACL • Mettre en place un ACL acl "trusted" { acl "trusted" { localhost; localhost; 192.168.1.0/24; 192.168.1.0/24; }; }; • utilisable par diverses instructions de contrôle d'accès  allow-query, allow-transfer Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Limiter les requêtes • grâce aux instructions allow-query et allow-transfer  utilisables dans les instructions zone et options • celles des instructions zone surchargeant celles, globales, de l'instruction options • Exemple acl "my_network" { acl "my_network" { 224.123.240.0/24; 224.123.240.0/24; }; }; zone "example.org" IN { zone "example.org" IN { type master; type master; allow-queries { my_network; }; allow-queries { my_network; }; }; }; Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Limiter les transfers de zone • hacks $ dig axfr @serveurdns domaine $ dig axfr @serveurdns domaine $ host -l domaine serveurdns $ host -l domaine serveurdns • DOIT être limité aux serveurs "esclaves" sur les serveurs maitre  totalement interdit (none) sur les serveurs esclaves • Exemple : named.conf d'un serveur maitre acl "my_slave_servers" { acl "my_slave_servers" { 224.123.240.3; // cat.example.org 224.123.240.3; // cat.example.org }; }; zone "example.org" IN { zone "example.org" IN { type master; type master; allow-transfer { my_slave_servers; }; allow-transfer { my_slave_servers; }; }; }; ne pas oublier de faire de même pour les zones inverse Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Limiter les privilèges de BIND • se lance par défaut en tant que root sur certaines distributions • éviter l'utilisateur/groupe nobody/nogroup  trop grand nombre d'applications lancées via cet utilisateur  risque de communication entre ces application → faille • privilégier un utilisateur/groupe spécifique  ex : named / named # named -u named -g named # named -u named -g named  Exemple de init script sous Debian start-stop-daemon ... --exec /usr/sbin/named -- -u named -g named start-stop-daemon ... --exec /usr/sbin/named -- -u named -g named vérifier que cet utilisateur ai l'accès au dossier de travail (instruction directory) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Chroot • permet d'isoler l'execution d'un programme  en changeant sa racine (ex : /var/cache/bind)  option -t de named start-stop-daemon ... --exec /usr/sbin/named -- -t /var/cache/bind start-stop-daemon ... --exec /usr/sbin/named -- -t /var/cache/bind • fichiers requis par BIND  dossiers etc, dev, lib, sbin (ou usr/sbin) et var/run  périphérique /dev/null $ mknod -m 666 /var/cache/bind/dev/null c 1 3 $ mknod -m 666 /var/cache/bind/dev/null c 1 3  les fichiers /etc/{passwd,group,shadow,ld.so.cache,localtime} contenant l'utilisateur/groupe named/named  fichiers de configuration (dans /var/cache/bind/etc/bind/) •  atention à l'instruction directory, qui sera relative à la nouvelle racine toutes les librairies utilisées par BIND  $ ldd /usr/sbin/named $ ldd /usr/sbin/named  les programmes named, named-xfer et rndc  Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Chroot : logging • la solution traditionnelle de logging présentée aux chapitres précédents requière des fichiers externes au chroot  nous devons donc faire appel à une autre solution  voici un exemple logging { logging { channel some_log { channel some_log { file "bind.log" versions 3; file "bind.log" versions 3; severity info; severity info; }; }; category default { some_log; }; category default { some_log; }; // ... // ... }; };  le nouveau fichier de log sera donc /var/cache/bind/var/cache/bind/bind.log Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
DNSSEC • Introduction  Signature des enregistrements  DNSKEY et RRSIG  Preuves de non-existance  Chaine de confiance • Mise en pratique  Génération de clés avec dnssec-keygen  Limitation des transfers avec DNSSEC  Signature de zone  Configuration du client  Enregistrements DS Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Introduction • Permet de sécuriser les réponses d'un serveur DNS  par rapport à des informations existante • •  Authentification des données contenues dans les réponses. Intégrité de ces données. ou par rapport à des informations non existantes • Preuve de non existence. • En signant les enregistrements DNS au sain d'une zone • Permet d’établir une chaîne de confiance basée sur des clés publiques  délégation de signatures  un DNS de niveau supérieur pouvant annoncer que tel sous-domaine est signé • Empêche le DNS poisoning  intercepter des paquets dns et les modifier Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Signature des enregistrements Danger : le DNS poisoning Solution : la signature des enregistrements Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
DNSKEY et RRSIG • DNSKEY : transmettre une clé publique entre le résolveur (client) et le serveur de nom  afin de vérifier la signature du serveur d'autorité  vérifier l'intégrité et l'authenticité du message • RRSIG : signature de l'enregistrement envoyé par le serveur d'autorité  pour chaque enregistrement  signature du hash de l'enregistrement avec la clé privée du serveur d'autorité Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Preuves de non-existance • pour des noms inexistants  par défaut, le serveur répondra par une réponse vide • il n'y a donc rien à signer • NSEC (Next SECure) : preuve de non existance  indique les noms n'existant pas !  permet ainsi la création d'un RRSIG correspondant  Exemple : il n'y a aucun nom entre beta et delta beta.example.net. NSEC delta.example.net. A RRSIG NSEC beta.example.net. NSEC delta.example.net. A RRSIG NSEC  problème : à chaque nom existant est associé un NSEC • permet donc du "zone walking" (énumération de zone) • ie : récupérer l'ensemble des enregistrements existant sur la zone Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Preuves de non-existance • NSEC3 : évite les attaques de type énumération de zone  utilise les hashs des noms au lieu des noms eux même  Exemple : il n'y a pas de hash valide entre 810c et c73a 810c.example.net. NSEC 1 0 5 5A17 c73a A RRSIG 810c.example.net. NSEC 1 0 5 5A17 c73a A RRSIG • algo (1), salt (5A17), iterations (5) • NSEC3PARAM : paramètres NSEC3  ne sert qu'aux serveur d'autorité  afin de calculer le hash des noms qu'il conserve Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Chaine de confiance • être certain que la clé publique (DNSKEY) du résolveur correspond bien à la bonne clé de la zone • cf délégation de zone  un serveur de confiance indique que l'un de ses serveurs enfants est digne de confiance • DS : identifier rapidement la clé publique de la zone fille • directement lié à l'enregistrement DNSKEY d'une des zones filles - envoyé par le serveur fils pour l'enregistrer dans le serveur père • Linux LPIC-2 hash du nom du détenteur de la clé publique (zone fille) tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Mise en pratique • 2 types de clés :  KSK (Key Signing Keys) •  utilisée uniquement pour signer les clés d'une zone (DNSKEY) ZSK (Zone Signing Keys) • Linux LPIC-2 utilisée pour signer tout les RRsets d'une zone (RRSIG) tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Génération de clés avec dnssec-keygen $ dnssec-keygen -a algo -b size -n nametype [-f flag] nom $ dnssec-keygen -a algo -b size -n nametype [-f flag] nom • algo : algorithme cryptographique  non sensible à la casse  pour DNSSEC : RSAMD5, RSASHA1, DSA …  pour TSIG/TKEY : DH (Diffie Hellman), HMAC-MD5, HMAC-SHA1 … • size : longueur de la clé (en bits)  RSA : entre 512 et 2048  DH : entre 128 et 4096  DSA : entre 512 et 1024  HMAC : entre 1 et 512 • nametype : type d'utilisation de la clé  non sensible à la casse  ZONE, USER ou OTHER • flag : utilisé pour indiquer qu'une clé est une clé KSK  ZSK sinon • créé les fichiers Kname+algorithm+footprint.private and Kname+algorithm+footprint.key Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Limitation des transfers avec DNSSEC • dans named.conf key key.example.com. { key key.example.com. { algorithm "hmac-md5"; algorithm "hmac-md5"; secret "5VBiSy..."; secret "5VBiSy..."; }; };  limiter les droits d'accès en lecture au seul utilisateur/groupe liés au serveur BIND • définir les serveurs pouvant se connecter grâce à cette clé server ip_du_serveur_distant { server ip_du_serveur_distant { keys key.example.com.; keys key.example.com.; }; };  à inscrire sur tout les serveurs Linux LPIC-2 • tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Limitation des transfers avec DNSSEC • grâce à la clé déclarée précédemment zone "example.com" { zone "example.com" { type master; type master; file "example.com.zone"; file "example.com.zone"; allow-transfer { key key.example.com.; }; allow-transfer { key key.example.com.; }; }; }; Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Signature de zone 1) Création des clés (dans /etc/bind/) $ dnssec-keygen -f KSK -a RSASHA1 -b 1024 -n ZONE projet $ dnssec-keygen -f KSK -a RSASHA1 -b 1024 -n ZONE projet $ dnssec-keygen -a RSASHA1 -b 1024 -n ZONE projet $ dnssec-keygen -a RSASHA1 -b 1024 -n ZONE projet 2) Inclusion des clés dans le fichier de zone $include nom_du_fichier_KSK.key $include nom_du_fichier_KSK.key $include nom_du_fichier_ZSK.key $include nom_du_fichier_ZSK.key 3) Signature de la zone  créé le fichier de zone signée projet.signed $ dnssec-signzone -t -k clé_KSK.key db.projet -o projet clé_ZSK.key $ dnssec-signzone -t -k clé_KSK.key db.projet -o projet clé_ZSK.key Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Signature de zone 4) modification de named.conf zone “projet” { zone “projet” { type “master”; type “master”; file “/etc/bind/db.projet.signed”; file “/etc/bind/db.projet.signed”; }; }; 5) modification de named.conf.options dnssec-enable yes; dnssec-enable yes; 6) relancer bind $ /etc/init.d/bind9 restart $ /etc/init.d/bind9 restart Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Configuration du client • récupérer la clé KSK  de manière sécurisée (scp, sftp ...) • l'ajouter au fichier /etc/trusted-key.key tail -n 1 KSK.key >> /etc/trusted-key.key tail -n 1 KSK.key >> /etc/trusted-key.key • tester la configuration $ dig +dnssec +sigchase papa.projet $ dig +dnssec +sigchase papa.projet Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Signature de zone 1) Création des clés (dans /etc/bind/) $ dnssec-keygen -f KSK -a RSASHA1 -b 1024 -n ZONE projet $ dnssec-keygen -f KSK -a RSASHA1 -b 1024 -n ZONE projet $ dnssec-keygen -a RSASHA1 -b 1024 -n ZONE projet $ dnssec-keygen -a RSASHA1 -b 1024 -n ZONE projet 2) Inclusion des clés dans le fichier de zone $include nom_du_fichier_KSK.key $include nom_du_fichier_KSK.key $include nom_du_fichier_ZSK.key $include nom_du_fichier_ZSK.key 3) Signature de la zone  créé le fichier de zone signée projet.signed) $ dnssec-signzone -t -k clé_KSK.key db.projet -o projet clé_ZSK.key $ dnssec-signzone -t -k clé_KSK.key db.projet -o projet clé_ZSK.key Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Enregistrements DS • Exemple : un serveur A1 fait autorité sur example.org  un serveur A2, grâce à une délégation de zone, fait autorité sur sd.example.org • Nous devons donc transmettre les enregistrements DS générés dans A2 à A1 afin d'établire une chaine de confiance • Ces enregistrements ont été créés dans un fichier séparé, dsset-sd.example.org  envoyer ce fichier de manière sécurisée à A1  l'inclure dans le fichier de zone non signé Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Ce qu’on a couvert • Principes de base de la sécurisation du DNS.  lancement en tant qu'utilisateur non-root  Chrooting de bind  Transfert de zone • Signature de zone avec DNSSEC  dnssec-keygen et dnssec-signzone 207.3 Securing a DNS server Weight : 2 Description : Candidates should be able to configure a DNS server to run as a non-root user and run in a chroot jail. This objective includes secure exchange of data between DNS servers. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Services web Mise en place d'un serveur web Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Plan • Introduction • Modularité   Apache  MPM : prefork ou worker ?  Virtual Hosts Chargement d'un module Apache  mod_perl • Installer mod_perl   • Configuration PHP Authentification et autorisation  httpd.conf : exemple • Mise en place  Options du serveur Apache • Gestion des comptes utilisateur  Contrôle des répertoires •  Logging Protection d'un dossier par DAC • Protection d'un dossier par MAC • apache2ctl • Bonus : les outils Debian Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Introduction • Un des services primordiaux d'Internet  certainement le plus connu du grand public  beaucoup confondant World Wide Web et Internet • HTTP  HyperText Transfer Protocol  Permettre aux utilisateurs d’accéder à des données (pages web) sur un serveur • Linux LPIC-2 via un client web (ex : Firefox) tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Apache • Né en avril 1995  ensemble de correctifs à NCSA HTTPd (du domaine publique) • leader de l'époque (plus de 55 % de parts de marché) • "mort" (0%) en juillet 1999 • Totalement réécrit en 2000 pour la version 2  plus aucune trace de NCSA HTTPd • LE serveur web de référence depuis avril 1996 • Libre (Licence Apache)  v2.0 (compatible GPL v3) depuis Janvier 2004 GNU/Linux, Mac OS X, BSD, Solaris, Windows Linux LPIC-2 de parts de marché sur les sites actifs en avril 2013 selon netcraft.com • contre 13 % pour Nginx, plus léger et performant, qui connaît une progression certaine depuis 2007 • • Multi-plateforme   54 % 12 % pour Microsoft-IIS et 8 % pour Google Servers  LAMP : Linux, Apache, MySQL, PHP tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
MPM : prefork ou worker ? • Multi-Processing Module  Moteur de serveur : interprète les requêtes •  "duplique" apache afin de répondre à plusieurs requêtes simultanément • 2 principaux paquets : apache2-mpm-prefork ou worker • Prefork • Worker Mode historique (apache 1.3)  Meilleure isolation / Faibles performances Multi-threading : un thread par connexion Meilleures performances multi-processing : un processus par connexion     Linux LPIC-2 •  pas ou peu de commutation de contexte nécessite des modules compatibles • exclue mod_php tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Virtual Hosts • Héberger plusieurs sites sur un même serveur • Deux types :  IP based • Nécessite  Named plusieurs interfaces (ou routage) based • Répond en fonction de l'url appelée • Configurés dans httpd.conf  ou  cf /etc/apache2/sites-available/ sur Debian et dérivés cours suivant Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Configuration • Dans (suivant la distribution) :  /etc/apache/config/  ou /etc/apache2/  ou /etc/httpd/config/ • fichiers .htaccess  permettent une configuration spécifique pour chaque dossier  à utiliser avec prudence • • httpd.conf (ou apache2.conf)  administrateurs soit séparé en plusieurs parties (cf "Include") • soit d'un bloc •  - ie : interdire le droit d'accès à httpd.conf à certains fichier de configuration principal • s'applique à tout le serveur uniquement si vous devez séparer la configuration de certains contextes du fichier principal  3 parties : • global environment - configuration générale du serveur • paramètres du serveur par défaut - requêtes non gérées par un virtual host • « En général, vous ne devriez jamais utiliser les fichiers .htaccess à moins que vous n'ayez pas accès au fichier principal de configuration du serveur. Il y a, par exemple, une conception erronée qui prévaut selon laquelle les droits des utilisateurs doivent toujours être gérés dans le fichier .htaccess. Cela n'est simplement pas le cas. Vous pouvez placer les configurations des droits dans la configuration principale du serveur, et cela est, en fait, la manière favorisée de le faire. » - Documentation Apache configuration des virtuals hosts Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
httpd.conf : exemple • un exemple sur internet Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Options du serveur Apache • Première section du fichier httpd.conf  nombreuses options de type clé valeur • Nombre maximum de requêtes simultanées autorisées MaxKeepAliveRequests 100 MaxKeepAliveRequests 100 • Nombre de serveurs à lancer au démarrage StartServers 5 StartServers 5 • Nombre minimal et maximal de serveurs "en attente" MinSpareServers MinSpareServers MaxSpareServers MaxSpareServers  5 5 10 10 trop bas → perte de performance / trop haut → consommation excessive de ressources • nombre maximal de connections (de clients) simultanées  ie : nombre maximal de serveurs MaxKeepAliveRequests 100 MaxKeepAliveRequests 100 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Contrôle des répertoires <Directory chemin répertoire> ... </Directory> <Directory chemin répertoire> ... </Directory> • Regrouper des directives pour qu'elles ne s'appliquent qu'au répertoire concerné • Exemple <Directory "/usr/local/httpd/htdocs"> <Directory "/usr/local/httpd/htdocs"> Options Indexes FollowSymLinks Options Indexes FollowSymLinks </Directory> </Directory>  voir : https://httpd.apache.org/docs/current/mod/core.html#directory Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Logging • généralement dans /var/log/apache2 ou httpd • Configuration (httpd.conf)  Messages d'erreurs ErrorLog ${APACHE_LOG_DIR}/error.log ErrorLog ${APACHE_LOG_DIR}/error.log  Niveau de logging des messages d'erreurs Loglevel warn Loglevel warn • Dans l'odre : debug, info, notice, warn, error, crit, alert et emerg • Accès au serveur LogFormat "%h %l %u %t "%r" %>s %b" common LogFormat "%h %l %u %t "%r" %>s %b" common CustomLog ${APACHE_LOG_DIR}/access.log CustomLog ${APACHE_LOG_DIR}/access.log • Pour aller plus loin : Documentation Apache des Logs Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Modularité • Apache repose sur une architecture modulaire  similaire à celle du kernel Linux  permet à l'administrateur de choisir les fonctionnalités à inclure • DSOs (Dynamic Shared Objects)  Objets Dynamiques Partagés  séparés du fichier binaire principal httpd  soit compilés en même temps que le serveur • peuvent être intégrés statiquement dans le binaire httpd $ ./configure --prefix=/chemin/vers/installation --enable-foo $ ./configure --prefix=/chemin/vers/installation --enable-foo $ make install $ make install  soit ajoutés ultérieurement • grâce à apxs (Apache Extension Tool) $ cd • /chemin/vers/module_tiers $ cd /chemin/vers/module_tiers $ apxs -cia mod_foo.c apxs -cia mod_foo.c $ Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Chargement d'un module Apache • Dans le fichier httpd.conf LoadModule module filename LoadModule module filename • Remarque (pour ceux ayant travaillé sous Apache1) :  la directive AddModule n'est plus nécessaire • Exemple LoadModule alias_module /usr/lib/apache2/modules/mod_alias.so LoadModule alias_module /usr/lib/apache2/modules/mod_alias.so • • Comportement conditionnel pour un module <IfModule [!]fichier module|identificateur module> <IfModule [!]fichier module|identificateur module> … … </IfModule> </IfModule> Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
mod_perl • Interpréteur Perl pour Apache  permet, grâce à des scripts Perl, de : • • gérer Apache •  produire du contenu dynamique et bien d'autres choses encore sans faire appel à un interpréteur externe • gain de performance significatif • accès complet à l'API Apache • "mod_perl is more than CGI scripting on steroids. It is a whole new way to create dynamic content by utilizing the full power of the Apache web server to create stateful sessions, customized user authentication systems, smart proxies and much more. Yet, magically, your old CGI scripts will continue to work and work very fast indeed. With mod_perl you give up nothing and gain so much!" - Lincoln Stein, un des principaux contributeurs de mod_perl Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Installer mod_perl • Sous Debian : # apt-get install libapache2-mod-perl2 # apt-get install libapache2-mod-perl2 • Sous CentOS : # yum install mod_perl # yum install mod_perl • Pour aller plus loin :  installation : https://perl.apache.org/docs/2.0/user/install/install.html  configuration : https://perl.apache.org/docs/2.0/user/config/config.html Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
PHP • Langage de script, coté serveur, orienté Web et multi-plateforme  une référence (cf LAMP) # apt-get install libapache2-mod-php5 # apt-get install libapache2-mod-php5 # yum install php # yum install php • Pour tester l'installation, créer une PHP info page # echo -e "<?phpntphpinfo();n?>" > /var/www/html/info.php # echo -e "<?phpntphpinfo();n?>" > /var/www/html/info.php • Pour aller plus loin : documentation complète de l'installation Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Authentification et autorisation • Deux méthodes :  discretionary access control (DAC) - Contrôle d'accès discrétionnaire • •  où "un sujet avec une certaine autorisation d'accès est capable de transmettre cette permission (peut-être indirectement) à n'importe quel autre sujet" - Trusted Computer System Evaluation Criteria ici : login + mot de passe mandatory access controls (MAC) - Contrôle d'accès obligatoire • décisions de protections imposées (non prises par les objets concernés) • ici : Adresse IP, nom d'hôte, etc … • Géré par des modules  mod_auth_basic : le plus courant - stock les informations dans des fichiers texte • mod_auth_dbd : stockage dans une base SQL • mod_auth_dbm : stockage dans des fichiers sous un format DBM • mod_auth_digest : authentification basée sur les condensés MD5  mod_auth_anon : comportement similaire à un FTP anonymisé  mod_authz_host : restriction de l'accès en fonction du nom d'hôte ou de l'ip (depuis 2.3) • pour les versions précédentes, voir mod_access • Pour aller plus loin : https://httpd.apache.org/docs/current/howto/auth.html Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Mise en place • Soit dans httpd.conf (recommandé)  directives <Directory> ou <Limit> • Soit dans des fichiers .htaccess  dans le répertoire à contrôler  non recommandé • Pour autoriser la surcharge de ces directives AllowOverride AuthConfig AllowOverride AuthConfig  peu concerner les .htaccess, les sous-répertoires avec <Directory>, et autres Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Gestion des comptes utilisateur • Création d'un utilisateur # htpasswd [-c] /usr/local/apache/passwd/passwords monutilisateur # htpasswd [-c] /usr/local/apache/passwd/passwords monutilisateur  -c pour créer automatiquement le fichier si n'existe pas le fichier ne DOIT pas être accessible aux autres utilisateurs • et encore moins au web ! • Supprimer un utilisateur # htpasswd -D /usr/local/apache/passwd/passwords monutilisateur # htpasswd -D /usr/local/apache/passwd/passwords monutilisateur • Créer un ou plusieurs groupes d'utilisateurs  Créer un fichier de groupe selon la syntaxe suivante Nom-de-groupe: user1 user2 user3 Nom-de-groupe: user1 user2 user3 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Protection d'un dossier par DAC • Dans une directive <Directory mondossier> ou un fichier .htaccess dans le dossier AuthType Basic AuthType Basic # message à afficher # message à afficher AuthName "Restricted Files" AuthName "Restricted Files" AuthBasicProvider file AuthBasicProvider file AuthUserFile /usr/local/apache/passwd/passwords AuthUserFile /usr/local/apache/passwd/passwords AuthGroupFile /usr/local/apache/passwd/groups AuthGroupFile /usr/local/apache/passwd/groups Require user monutilisateur Require user monutilisateur Require group mongroupe Require group mongroupe • Autoriser l'accès à tout les utilisateurs enregistrés Require valid-user Require valid-user Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Protection d'un dossier par MAC • Grâce au module mod_authz_host • Dans une directive <Directory mondossier> ou un fichier .htaccess dans le dossier • adresse IP • Hôte Require ip 10.1.2.3 Require ip 10.1.2.3 Require ip 192.168.1.104 192.168.1.205 Require ip 192.168.1.104 192.168.1.205  Require Require Require Require host host host host example.org example.org .net example.edu .net example.edu sous-réseau • ip partielle  Require ip 10.1 Require ip 10.1 Require ip 10 172.20 192.168.2 Require ip 10 172.20 192.168.2 • Local Require local Require local réseau / masque Require Require Require Require Linux LPIC-2  ip ip ip ip 10.1.0.0/255.255.0.0 10.1.0.0/255.255.0.0 10.1.0.0/16 10.1.0.0/16 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
apache2ctl • Interface de contrôle du démon Apache # apache2ctl [commande] ... # apache2ctl [commande] ... • Commandes  start  stop  restart  fullstatus : statut complet à partir de mod_status • nécessite un navigateur web texte (comme Lynx) • url d'accès modifiable (variable STATUSURL)  status : idem, sans la liste des requêtes actuellement traitées  graceful : redémarrage par l'envoi d'un SIGUSR1 • ne clos pas les connections actuellement ouvertes  configtest : teste de syntaxe des fichiers de configuration  help Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Bonus : les outils Debian • activer / désactiver un site $ a2ensite [site] $ a2ensite [site] $ a2dissite [site] $ a2dissite [site]  créé / supprimer un lien symbolique de sites-availables/site dans sites-enables • activer / désactiver un module $ a2enmod [module] $ a2enmod [module] $ a2dismod [module] $ a2dismod [module]  créé / supprimer un lien symbolique de sites-availables/site dans sites-enables Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Ce qu’on a couvert • Installation et configuration de Apache2  httpd.conf et .htaccess  fichiers journaux  nombre maximum de requêtes, nombres minimums et maximums de serveurs et de clients • Gestion des modules  mod_perl  mod_php  mod_auth • htpasswd • Apache2ctl 208.1 Implementing a web server Weight : 3 Description : Candidates should be able to install and configure a web server. This objective includes monitoring the server's load and performance, restricting client user access, configuring support for scripting languages as modules and setting up client user authentication. Also included is configuring server options to restrict usage of resources. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Services web Mise en place de serveurs virtuels Apache 2 Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Plan • Introduction • Deux solutions • Directive VirtualHost • Serveurs virtuels par IP • Serveurs virtuels par nom d'hôte • Mécanisme de sélection de serveur virtuel Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Introduction • Héberger plusieurs sites sur un même serveur • Deux types :  IP based • Nécessite  Named plusieurs interfaces (ou routage) based • Répond en fonction de l'url appelée • Configurés dans httpd.conf  ou /etc/apache2/sites-available/ sur Debian et dérivés • Documentation officielle : https://httpd.apache.org/docs/current/vhosts/ Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Deux solutions • Faire tourner un processus httpd pour chaque domaine  plusieurs installations séparées  répartition de sécurité • directives User, Group et ServerRoot différentes User httpd1 User httpd1 Group httpd1 Group httpd1 ServerRoot "/etc/httpd/server1" ServerRoot "/etc/httpd/server1"  répartition des interfaces (adresses ip) • via des directives Listen différentes Listen 192.170.2.1:80 Listen 192.170.2.1:80 • Utiliser un unique processus résident  partage de configuration des serveurs virtuels  meilleures performances Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Directive VirtualHost <VirtualHost adresse IP[:port] [adresse IP[:port]] ...> ... </VirtualHost> <VirtualHost adresse IP[:port] [adresse IP[:port]] ...> ... </VirtualHost>  Contexte : Configuration du serveur  rassemble des directives qui ne s'appliqueront qu'à un serveur virtuel particulier • La plupart des directives (toutes celles acceptant le contexte "Serveur Virtuel" - cf doc) sont compatibles • Exemple <VirtualHost *:80> <VirtualHost *:80> ServerAdmin contact@example.org ServerAdmin contact@example.org DocumentRoot /www/docs/www.example.org DocumentRoot /www/docs/www.example.org ServerName www.example.org ServerName www.example.org ErrorLog logs/example.org-error_log ErrorLog logs/example.org-error_log TransferLog logs/example.org-access_log TransferLog logs/example.org-access_log </VirtualHost> </VirtualHost> Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Serveurs virtuels par IP • Directive VirtualHost  définition des directives ServerAdmin, ServerName, DocumentRoot, ErrorLog ainsi que TransferLog ou CustomLog  Exemple <VirtualHost 172.20.30.40:80> <VirtualHost 172.20.30.40:80> ServerAdmin webmaster@www1.example.com ServerAdmin webmaster@www1.example.com DocumentRoot /www/vhosts/www1 DocumentRoot /www/vhosts/www1 ServerName www1.example.com ServerName www1.example.com ErrorLog /www/logs/www1/error_log ErrorLog /www/logs/www1/error_log CustomLog /www/logs/www1/access_log combined CustomLog /www/logs/www1/access_log combined </VirtualHost> </VirtualHost> Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Serveurs virtuels par nom d'hôte • Directive VirtualHost  grâce à la directive ServerName, permettant de définir le nom auquel répondra le serveur virtuel •  peu répondre à plusieurs noms grâce à la directive ServerAlias Exemple <VirtualHost *:80> <VirtualHost *:80> # Le premier serveur virtuel de la liste est aussi le # Le premier serveur virtuel de la liste est aussi le # serveur par défaut pour *:80 # serveur par défaut pour *:80 ServerName www.example.com ServerName www.example.com ServerAlias example.com ServerAlias example.com DocumentRoot /www/domain DocumentRoot /www/domain </VirtualHost> </VirtualHost> <VirtualHost *:80> <VirtualHost *:80> ServerName other.example.com ServerName other.example.com DocumentRoot /www/otherdomain DocumentRoot /www/otherdomain </VirtualHost> </VirtualHost> Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Mécanisme de sélection de serveur virtuel 1) Par couple adresse IP / port  Les chaînes sans caractères génériques l'emportent sur celles qui en contiennent  Le port est également pris en compte •  ie : il peu exister deux hôtes virtuels 192.168.1.1:80 et 192.168.1.1:8080 la configuration du serveur principale sera utilisée si aucune correspondance n'est trouvée 2) Par nom d'hôte  Si (et seulement si) plusieurs hôtes virtuels correspondent au couple adresse IP / Port  Comparaison des directives ServerName et ServerAlias avec le nom de serveur dans la requête • Le premier correspondant est utilisé - Y compris si un caractère générique (*) est présent (aucune priorité particulière) • Si aucune correspondance n'est trouvée, le premier hôte virtuel correspondant au couple IP / Port sera employé Remarque : il est bien entendu nécessaire d'avoir configuré votre DNS en conséquent Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Ce qu’on a couvert • Qu'est ce qu'un hôte virtuel. • Mise en place des serveurs virtuels Apache 2  avec ou sans adresse IP dédiée • Comment sont sélectionnés les hôtes virtuels. 208.2 Maintaining a web server (Part 1) Weight : 2 Description : Candidates should be able to configure a web server to use virtual hosts, Secure Sockets Layer (SSL) and customise file access. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Services web Sécurisation d'un serveur web avec SSL Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Plan • Secure Socket Layer • mod_ssl • Chiffrement par clés asymétriques • Signature • Certificat • Installation • /etc/ssl/* • Création du certificat auto-signé • Création d'un certificat signé par un CA • Configuration d'un virtual host SSL Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Secure Socket Layer • protocole se situant entre un protocole réseau orienté connexion (TCP/IP) et un protocole de la couche applicative (HTTP) • sécurisation des communications entre un serveur et un client  authentification mutuelle  intégrité par signature digitale  chiffrement par clés asymétriques • Port 443 Listen 443 Listen 443 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
mod_ssl • Utilisation de SSL pour Apache via OpenSSL  d'autres solutions dérivées existent • • Raven SSL Module de Raven •  Secure Web Server de Red Hat Stronghold de C2Net mais leur conception est assez similaire dans l'ensemble, et leur usage spécifique (non couverts par la LPIC2 et donc par ce cours) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Chiffrement par clés asymétriques Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Signature Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Certificat Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Installation • Debian : installé par défaut # a2enmod ssl # a2enmod ssl • CentOS # yum install mod_ssl # yum install mod_ssl  configuration complète dans conf.d/ssl.conf • Directives LoadModule et Listen • Contexte global de ssl • virtual host par défaut Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
/etc/ssl/* • Configuration de OpenSSL  certs/ : certificats SSL  openssl.cnf : Configuration de OpenSSL • • nom de l'organisation •  date d'expiration des clés adresse, etc ... private/ : clés privées Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Création du certificat auto-signé # openssl req -x509 -nodes -days 365 -newkey rsa:1024 # openssl req -x509 -nodes -days 365 -newkey rsa:1024 > -out /etc/ssl/certs/noelmace.com.crt > -out /etc/ssl/certs/noelmace.com.crt > -keyout /etc/ssl/private/noelmace.com.key > -keyout /etc/ssl/private/noelmace.com.key # chmod 400 /etc/ssl/private/noelmace.com.key # chmod 400 /etc/ssl/private/noelmace.com.key • Options  -x509 -nodes : type de certificat  -days 365 : durée de validité du certificat (en jours)  -newkey rsa:1024 : clé RSA de 1024 bits • il est déconseillé de créer une clé plus grosse pour des histoires de compatibilité  -out /etc/apache2/server.crt : certificat  -keyout /etc/apache2/server.key : clé privée • Interactif : suite de questions (Pays, Ville, Organisation, CN et Adresse mail) pour Common Name : indiquer le nom de domaine à protéger Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Création d'un certificat signé par un CA • génération de la clé privée # openssl genrsa 1024 > noelmace.com.key # openssl genrsa 1024 > noelmace.com.key • création du CSR  Certificate Signing Request ou fichier de demande de signature de certificat # openssl req -new -key servwiki.key > servwiki.csr # openssl req -new -key servwiki.key > servwiki.csr • Envoyer le CSR au CA (Autorité de certification)  par exemple gandi.net, tustico ou StartSSL (gratuit)  permet d'obtenir un certificat signé par la clé privée de l'organisme • Déposer les certificats fournis aux bons emplacements  votre certificat ainsi que celui de votre CA dans /etc/ssl/certs/  votre clé dans le dossier /etc/ssl/private/ avec les droits 400 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Configuration d'un virtual host SSL <VirtualHost *:443> <VirtualHost *:443> ServerName noelmace.com ServerName noelmace.com DocumentRoot /var/www/noelmace.com DocumentRoot /var/www/noelmace.com SSLEngine on SSLEngine on SSLCertificateFile /etc/ssl/certs/noelmace.com.crt SSLCertificateFile /etc/ssl/certs/noelmace.com.crt SSLCertificateKeyFile /etc/ssl/private/noelmace.com.key SSLCertificateKeyFile /etc/ssl/private/noelmace.com.key SSLCACertificateFile /etc/ssl/certs/GandiXXXSSLCA.pem SSLCACertificateFile /etc/ssl/certs/GandiXXXSSLCA.pem SSLVerifyClient none SSLVerifyClient none Require ssl Require ssl </VirtualHost> </VirtualHost> • Directives  SSLEngine on/off : active / désactive le SSL pour ce serveur virtuel  SSLCertificateFile file : chemin vers le certificat  SSLCertificateFile file : chemin vers la clé privée  SSLVerifyClient none/optional/require/optional_no_ca : niveau de vérification du certificat pour l'authentification du client  Require ssl : les clients ne peuvent se connecter à ce serveur virtuel que via ssl Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Ce qu’on a couvert • Qu'est ce que le SSL ?  Ainsi que les principes liés. • Les fichiers de configuration, outils et utilitaires pour SSL  openssl, /etc/ssl/* • Gestion des certificats SSL • Configuration d'un virtual host pour le ssl 208.2 Maintaining a web server (part 2) Weight : 2 Description : Candidates should be able to configure a web server to use virtual hosts, Secure Sockets Layer (SSL) and customise file access. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Services web Mise en place d'un serveur mandataire (proxy) Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Plan • Introduction  Squid • Configuration  Paramètres généraux • ACLs  ACLs : Exemples • Restriction d'accès • Authentification utilisateur  Authentification utilisateur pour Squid 2.4- Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Introduction • Serveur mandataire (proxy)  intermédiaire entre deux réseaux (ex : local / internet) • Avantages et fonctionnalités  performances •  mémoire cache, compression sécurité • •  anonymisation surveillance (journalisation) filtrage • des publicités et contenus lourds (performance) • des contenus indésirables Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Squid • Proxy libre de référence  Licence GNU GPL  créé en Juillet 1996  Notamment utilisé par Wikimedia Fondation et Flickr  version actuelle (au 13 Juillet 2013) : 3.3.8 • Support des protocoles HTTP, HTTPS, FTP et Gopher • Nombreuses fonctionnalités  mémoire cache  contrôle étendu des accès  cache DNS  mandataire inverse Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Configuration • squid.conf  /etc/squid (CentOS et Debian Squid 2) ou /etc/squid3 (Debian Squid 3)  Ensemble de directive complexes •  ligne par ligne Fonctionnel à l'installation • Exemple (Extrait) : visible_hostname ubuntu visible_hostname ubuntu http_port 3128 http_port 3128 ... ... acl allowedips src 192.168.1.1/255.255.255.0 acl allowedips src 192.168.1.1/255.255.255.0 ... ... forwarded_for off forwarded_for off ... ... Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Paramètres généraux • Définition du port d'écoute HTTP (3128 par défaut) http_port 3177 http_port 3177 • Interface d'écoute HTTP (toutes par défaut)  limiter aux réseaux locaux pour des raisons de sécurité http_port 192.168.1.1:3177 http_port 192.168.1.1:3177 • Nom de la machine (obtenu via gethostname() par défaut) visible_hostname nom_machine visible_hostname nom_machine Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
ACLs • Syntaxe acl aclname acltype string[string2] acl aclname acltype string[string2]  acltype : • src : adresse IP de la source (ie. le client) (adresse/masque) ou d'une place d'adresses (adresse_IP_debut-adresse_IP_fin) • dst : adresse IP de la destination (ie. ordinateur cible) • srcdomain : domaine du client • dstdomain : domaine de destination. • url_regex : chaîne contenu dans l'URL - possibilité d'utiliser les jokers ou un fichier - sensible à la casse • urlpath_regex : chaîne comparée avec le chemin de l'URL - possibilité d'utiliser les jokers • proto : protocole. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
ACLs : Exemples acl mon_domaine_dst dstdomain noelmace.com acl mon_domaine_dst dstdomain noelmace.com acl clients src 192.168.0.0/255.255.0.0 acl clients src 192.168.0.0/255.255.0.0 acl url_interdit url_regex forbidden acl url_interdit url_regex forbidden acl url_interdites url_regex "/etc/squid/denied_url" acl url_interdites url_regex "/etc/squid/denied_url" Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Restriction d'accès • A partir d'une acl pré-définie  doit être placé après la définition de cette acl • Syntaxe http_access allow|deny [!]aclname http_access allow|deny [!]aclname • Exemples  interdire l'accès au domaine noelmace.com http_access http_access http_access http_access  mon_domaine_dst mon_domaine_dst all all interdire l'accès aux pages contenant le mot forbidden http_access http_access http_access http_access  deny deny allow allow deny deny allow allow url_interdit url_interdit all all Restreindre l'accès au proxy aux seul réseau 192.168.0.0 http_access http_access http_access http_access http_access http_access Linux LPIC-2 allow allow allow allow deny deny localhost localhost clients clients all all tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Authentification utilisateur • 4 types d'authentification HTTP possible  Basic, NTLM (SMB LM, v1 and v2), Digest, et Negotiate. • Nombreuses solutions disponibles  APM, LDAP, NCSA auth, SMB … • Avec NCSA auth  à partir des mêmes outils (htpasswd) que pour Apache2 mod_auth_basic  Exemple auth_param basic program /usr/local/squid/bin/ncsa_auth /usr/local/squid/etc/passwd auth_param basic program /usr/local/squid/bin/ncsa_auth /usr/local/squid/etc/passwd acl auth_users proxy_auth REQUIRED acl auth_users proxy_auth REQUIRED http_access allow auth_users http_access allow auth_users http_access deny all http_access deny all • Documentation : http://wiki.squid-cache.org/Features/Authentication • Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Authentification utilisateur pour Squid 2.4• Avec NCSA auth authenticate_program authenticate_program acl acl acl acl http_access http_access http_access http_access /usr/lib/ncsa_auth /usr/lib/ncsa_auth auth_users auth_users all all allow allow deny deny /etc/squid/passwd /etc/squid/passwd proxy_auth REQUIRED proxy_auth REQUIRED src 0/0 src 0/0 auth_users auth_users all all • Avec LDAP acl identification proxy_auth REQUIRED acl identification proxy_auth REQUIRED http_access allow identification http_access allow identification authentificate_program /usr/lib/squid/squid_ldap_auth -b $LDAP_USER -u uid SERVEUR_LDAP /usr/lib/squid/squid_ldap_auth -b $LDAP_USER -u uid SERVEUR_LDAP authentificate_program • LDAP_USER : ou (organizational unit) contenant les clients  exemple ou=people, ou= ac-limoges, ou=education, ou=gouv, c=fr Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Test : configuration du client Debian • Pour tester votre serveur, vous pouvez utilisez n'importe quel client http (firefox, epiphany, etc …) • La configuration peu se faire au niveau de l'OS client ou du logiciel client web  pour configurer firefox : Documentation officielle  pour configurer le proxy sur votre client Debian $ gnome-network-preferences • $ gnome-network-preferences Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Ce qu’on a couvert • Gestion et configuration du serveur mandataire Squid • Restriction d'accès grâce aux ACLs • Authentification utilisateur 208.3 Implementing a proxy server Weight : 1 Description : Candidates should be able to install and configure a proxy server, including access policies, authentication and resource usage. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Partage de fichiers Configuration du serveur SAMBA Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Plan • Server Message Block • SAMBA • Gestion des utilisateurs  Identificateurs Windows  Installation • Gestion des groupes  Structure • smbclient  Configuration • Monter un partage SMB • Paramètres généraux • Partage d'imprimante • Partage de fichiers • Utilitaires - Politique d'accès à un partage - Droits des fichiers créés Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Server Message Block • Protocole de partage réseau de ressources  développé en 1985 par IBM pour OS/2 •  nommé alors LAN Manager puis popularisé par Microsoft qui l'intègre à Windows après de nombreuses améliorations, créant ainsi SMB • temporairement dénommé CIFS (Common Internet File System) entre 1998 et 2006 - notamment dans Windows NT 4 • puis renommé SMB2, une nouvelle version plus rapide - Depuis Windows Vista • nouvelle version 3.0 introduite avec Windows 8 • Propriétaire  spécifications fermées à l'origine  puis distribuées via le MSDN Open Specifications Developer Center • Permet le partage de fichiers et d'imprimante sur tout réseau local Windows Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
SAMBA • Développé par rétro-ingénierie grâce à un renifleur de paquets  par Andrew Tridgell depuis 1992  aujourd'hui en "partenariat" avec Microsoft, contraint à signé un accord d'information technique après avoir perdu leur procès en appel contre l'Union Européenne en 2007  2,5 fois plus performant que Microsoft Windows Server 2003 • version actuelle (au 2 Juillet 2013) : 4.0.7  réécriture complète  offre un contrôleur de domaine Active Directory • Dans le cadre de la LPIC2, nous étudierons cependant la version 3, encore parfaitement d'actualité • Libre (Licence GNU GPL v3) • Supporte les principaux produits réseau propriétaires Microsoft  SMB/CIFS pour le partage de fichiers et imprimantes  NetBIOS sur TCP/IP (NBT) pour le nommage WINS (rendu obsolète par DNS) et l'établissement de sessions  MSRPC pour les appels de procédure à distance Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Installation • Serveur  Debian # apt-get install samba # apt-get install samba  CentOS # yum install samba # yum install samba • Client  Debian # apt-get install smbclient # apt-get install smbclient CentOS # yum install samba-client # yum install samba-client  Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Structure • via Inetd ou des démons  inetd pour plus de sécurité via tcpwrappers et moins d'utilisation de la mémoire  démons pour plus de performance • Deux démons :  smbd : Server Message Block Daemon •  gestion du partage réseau SMB nmbd : NetBIOS Name Service Daemon • gestion du serveur WINS • Ports logiciels • TCP et UDP 137 : NetBIOS Name Service • UDP 138 : NetBIOS Datagram Service • TCP 139 : NetBIOS Session Service • TCP et UDP 445 : Services de dossiers partagés Windows Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Configuration • /etc/samba/smbd.conf  découpé en sections • [printers] et [print$] : partage d'imprimantes • [homes] : partage du répertoire personnel des utilisateurs •  [global] : paramètres généraux (indiqués par un G dans le man) et paramètres par défaut • [partage] : nom d'un partage (tout les paramètres indiqués par un S dans le man, également compatibles avec la section global) vérifié par smbd toutes les 3 minutes pour prendre en compte les modifications • Exemple : [global] [global] workgroup = "Mon_Workgroup" workgroup = "Mon_Workgroup" server string = (Samba %v) server string = (Samba %v) # commentaire # commentaire ... ... [homes] [homes] comment = Home Directories comment = Home Directories preexec = /bin/sh -c 'echo "Repertoire_source_samba"/bin/smbclient -M %m -I %I'& preexec = /bin/sh -c 'echo "Repertoire_source_samba"/bin/smbclient -M %m -I %I'& browseable = yes browseable = yes ... ... ["Nom_De_Partage"] ["Nom_De_Partage"] comment = "Commentaire" comment = "Commentaire" ... ... Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Paramètres généraux • section [global] de smb.conf  groupe de travail (Domaine NetBIOS) workgroup = MON_WG workgroup = MON_WG  Nom NetBIOS netbios name = SERVEUR1 netbios name = SERVEUR1  Description server string = serveur %h (Samba %v, GNU/Linux) server string = serveur %h (Samba %v, GNU/Linux) • •  % permet la substitution de variables (cf man) %h pour le nom d'hôte et %v pour le numéro de version du serveur limiter le partage à certaines interfaces bind interfaces only = Yes bind interfaces only = Yes interfaces = 127.0.0.1 eth0:0 192.168.1.20/24 interfaces = 127.0.0.1 eth0:0 192.168.1.20/24 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Partage de fichiers • une section par partage  chemin vers le répertoire à partager path = /data/Documents path = /data/Documents  description comment = mon commentaire workgroup = MON_WG comment = mon commentaire workgroup = MON_WG Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Politique d'accès à un partage • Lecture / écriture pour tous read only = No read only = No • Lecture seule pour tous read only = Yes read only = Yes • restriction de l'écriture à une liste d'utilisateurs read only = Yes read only = Yes write list = user1, user2, @grp1, @grp2 write list = user1, user2, @grp1, @grp2 • restriction de l'accès à une liste d'utilisateurs valid users = utilisateur1, utilisateur2, @groupe12000 valid users = utilisateur1, utilisateur2, @groupe12000 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Droits des fichiers créés • Droit des fichiers à la création create mask = 0775 create mask = 0775 • Droit des dossiers à la création directory mask = 700 directory mask = 700 • Forcer tout les utilisateurs à être reconnus comme un seul et même utilisateur sur le système force user = nobody force user = nobody force group = nogroup force group = nogroup Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Authentification • Mode security = mode security = mode  share : contrôle d'accès au niveau ressources •  un mot de passe par partage contrôle d'accès au niveau utilisateur • user : utilisateur / mot de passe - par défaut depuis Samba 2.2.X • domain : centralisés sur un domaine - délègue toute requête d'authentification au contrôleur de domaine workgroup = WG workgroup = WG • server : déprécié (mis en place lorsque par le passé Samba n'était pas capable d'agir en tant que serveur membre d'un domaine • ADS : via Active Directory realm = your.kerberos.REALM realm = your.kerberos.REALM password server = your.kerberos.server password server = your.kerberos.server Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Base des utilisateurs Samba • stocker la base des utilisateurs dans  un fichier (par défaut, mais déconseillé) passdb backend = smbpasswd passdb backend = smbpasswd smb passwd file = /etc/samba/smbpasswd smb passwd file = /etc/samba/smbpasswd  une base de donnée TDB (Trivial DataBase) passdb backend = tdbsam passdb backend = tdbsam  une base ldap passdb backend = ldapsam:url passdb backend = ldapsam:url • Linux LPIC-2 pour une description détaillé de la configuration de ldap et Samba, voir la documentation officielle tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Gestion des utilisateurs • Gestion de la synchronisation des utilisateurs grâce à smbpasswd  utilitaire client/serveur (pouvant modifier à distance les comptes Windows NT)  Ajouter ou modifier un utilisateur Samba # smbpasswd -a utilisateur # smbpasswd -a utilisateur • cet utilisateur doit être un utilisateur existant sur le système - ie. dans le fichier /etc/passwd •  le mot de passe pourra cependant être différent Désactiver un utilisateur Samba # smbpasswd -d utilisateur # smbpasswd -d utilisateur  Lister les utilisateurs # pdbedit -L # pdbedit -L Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Identificateurs Windows • SID (Security Identifier)  censé être unique dans le monde  permet d'identifier les serveurs, utilisateurs ou objets (groupes)  Format : S-1-5-12–7623811015-3361044348-030300820-1013 • S - indique que ceci est un SID • 1 - niveau de révision • 5 - valeur d'autorité de l'identificateur • 12–7623811015-3361044348-030300820 - Identificateur de domaine ou d'ordinateur • 1013 – Un identificateur relatif (RID : Relative ID) - unique au sain d'un domaine Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Gestion des groupes • Grâce à l'utilitaire net (permet d'administrer Samba et les serveurs CIFS distants, très complet)  commande groupmap • Arguments - unixgroup : nom du groupe Unix - ntgroup : nom du groupe Windows NT (doit être associé à un SID) - rid, sid - type - type de groupe ('domain', 'local', ou 'builtin') - comment : description du groupe • Ajouter une nouvelle entrée de mapping de groupe # net groupmap add {rid=int|sid=string} unixgroup=string # net groupmap add {rid=int|sid=string} unixgroup=string [type={domain|local}] [ntgroup=string] [comment=string] [type={domain|local}] [ntgroup=string] [comment=string] • Supprimer une entrée # net groupmap delete {ntgroup=string|sid=SID} # net groupmap delete {ntgroup=string|sid=SID} • Lister les entrées # net groupmap list [verbose] [ntgroup=string] [sid=SID] # net groupmap list [verbose] [ntgroup=string] [sid=SID] Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
smbclient • Connexion $ smbclient [-L nom_netbios | nom_du_service] [-W workgroup] [-U username[%password]] $ smbclient [-L nom_netbios | nom_du_service] [-W workgroup] [-U username[%password]]  Options • -L : lister les partages disponibles pour un utilisateur (avec -U) • -W : nom de domaine SMB (workgroup) de l'utilisateur - utilise par défaut celui défini dans smb.conf •  Commandes internes "ftp like" •  -U : nom de l'utilsateur put, get, ls, cd, mkdir, help, etc ... Exemples • lister les partages disponibles # smbclient -L serveur1 -W monwg -U noel # smbclient -L serveur1 -W monwg -U noel • se connecter à un partage # smbclient serveur1Documents -W monwg -U noel # smbclient serveur1Documents -W monwg -U noel Linux LPIC-2 • tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Monter un partage SMB • Deux solutions  smbfs • déprécié depuis Linux 2.6.20 • outils externes : smbclient, smbmount, smb.conf # smbmount {service} {mount-point} [-o options] # smbmount {service} {mount-point} [-o options]  CIFS VFS • parfaitement intégré au kernel - configuration via /proc/fs/cifs/ et les options de module (via insmode et modprobe) - ne nécessite aucun outils externe (smbmount remplacé par un simple helper mount.cifs) # mount -t cifs //192.168.1.10/monpartage /mnt/smb -o user=noel,pass=monmdp # mount -t cifs //192.168.1.10/monpartage /mnt/smb -o user=noel,pass=monmdp • Montage automatique  dans le fichier /etc/fstab //192.168.1.10/monpartage //192.168.1.10/monpartage Linux LPIC-2 /mnt/smb /mnt/smb cifs cifs user,user=noel,pass=monmdp user,user=noel,pass=monmdp 0 0 0 0 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Partage d'imprimante • Partager toutes les imprimantes [printers] [printers] comment = Printer %p on Server1 comment = Printer %p on Server1 path = /var/spool/samba path = /var/spool/samba printable = yes printable = yes • Partager une imprimante spécifique [HP LaserJet] [HP LaserJet] printer name = lp printer name = lp comment = HP LaserJet 5 on Server1 comment = HP LaserJet 5 on Server1 path = /var/spool/lpd/samba path = /var/spool/lpd/samba printable = yes printable = yes writeable = no writeable = no Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Utilitaires • Tester la syntaxe de smb.conf # testparm # testparm • Lister les connections au serveur # smbstatus # smbstatus Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Ce qu’on a couvert • Samba 3  configuration  outils et utilitaires  partage de fichiers et d'imprimantes  montage des partages de fichiers sous GNU/Linux  sécurité et mise en correspondance des utilisateurs 209.1 SAMBA Server Configuration Weight : 4 Description : Candidates should be able to set up a SAMBA server for various clients. This objective includes setting up Samba for login clients and setting up the workgroup in which a server participates and defining shared directories and printers. Also covered is a configuring a Linux client to use a Samba server. Troubleshooting installations is also tested. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Partage de fichiers Configuration du serveur NFS Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Plan • Introduction • exportfs • Options du noyau • showmount • RPC et Portmap • Montage • rpcinfo • Options de montage NFS • Démons • nfsstat • Sécurité • Configuration des exports • Options de partage NFS Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Introduction • Network File System  un des plus ancien protocole de partage de fichiers • développé par Sun en 1985 pour Unix • Versions  v1 : uniquement pour un usage expérimental en interne de Sun  v2 (RFC 1094, Mars 1989) - pour plus d'infos voir ce document • • aujourd'hui également adapté pour Windows    standard ouvert basé sur • v3 (RFC 1813, Juin 1995) • ONC/RPC (Open Network Computing Remote Procedure Call) ou Sun RPC (RFC 5531)  prise en charge du TCP, des écritures asynchrones • - protocole d'appel de procédures distant encore très utilisé, nous l'étudierons ici v4 (RFC 3010, Décembre 2000 - révisé par la RFC 3530, Avril 2003) • des communications et gestion des transactions) réécriture complète avec l'IETF • - couche 5 (session) du modèle OSI (synchronisation sécurisé (notamment avec Kerberos), support statefull, meilleures performances - pour plus d'infos sur le système d'authentification ONC/RPC, voir ce document • XDR (eXternal Data Representation)  v4.1 (RFC 5661, Janvier 2010) • parallélisation des accès, introduction du concept de session • pour en savoir plus sur NFSv4, lire ce document - couche 6 (présentation) du modèle OSI (codage)  site officiel Linux LPIC-2 non sécurisé, sur UDP tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Options du noyau • NFS file system support (CONFIG_NFS_FS)  support client (ou serveur en espace utilisateur) NFSv2  NFSv3 client support (CONFIG_NFS_V3) • support client NFSv3 • dépend de CONFIG_NFS_FS • NFS server support (CONFIG_NFSD)  support serveur NFSv2 en espace noyau  NFSv3 server support (CONFIG_NFSD_V3) • Linux LPIC-2 support serveur NFSv3 en espace noyau tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
RPC et Portmap • Procédures (fonctions) RPC  identifiées par un numéro  regroupées en programmes • eux même identifiés par un numéro ainsi qu'un numéro de version  Les appels à un fonctions peuvent donc ce faire via l'association de ces 3 numéros  Tous référencés dans /etc/rpc (à ne pas modifier) • Portmap : démon permettant la conversion de numéros de programmes RPCs en numéros de port logiciel DARPA  destiné (sans grand succès) à limiter le nombre de ports logiciels utilisés  aujourd'hui uniquement utilisé par : • NFS • FAM (moniteur de modification de fichier) • NIS (logiciel d'annuaire devenu obsolète) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
rpcinfo • utilitaire permettant d'effectuer des appels à un serveur RPC  rapporter les informations obtenues  man : http://linux.die.net/man/8/rpcinfo • Afficher la liste de tout les programmes RPC enregistrés # rpcinfo -p [host] # rpcinfo -p [host] • Tester un programme RPC par l'appel à sa procédure 0  déprécié : via udp # rpcinfo [-n portnum] -u host prognum [versnum] # rpcinfo [-n portnum] -u host prognum [versnum]  déprécié : via tcp # rpcinfo [-n portnum] -t host prognum [versnum] # rpcinfo [-n portnum] -t host prognum [versnum]  recommandé # rpcinfo -T transport host prognum [versnum] # rpcinfo -T transport host prognum [versnum]  Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Démons • rpc.nfsd  si installé en espace utilisateur (v2 seulement) : serveur complet  si installé en espace noyau : simple programme de contrôle • relié au "processus" [nfsd] • rpc.mountd  gestion des requêtes de montage NFS entrantes  configuré via /etc/exports • rpc.lockd  démon de verrouillage  non nécessaire pour les kernel 2.4.X et plus • intégré en interne ([lockd]) • rpc.statd  service de notification de redémarrage Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Sécurité • NFS n'a pas été conçu à une époque où les questions de sécurité étaient au premier plan  sa conception n'est donc pas adapté à ce type de contexte • Toute authentification utilisateur repose sur les UID et GID  tout hôte ayant les droits root sur sa machine a donc, en théorie, les mêmes droits sur les partages auxquels il peu accéder  il est donc nécessaire d'utiliser le mapping des utilisateurs • ie. associer l'utilisateur root ou tout utilisateur se connectant au partage à un compte (UID/GID) donné • La restriction des accès se fait donc uniquement sur l'authentification des machines clientes  nom d'hôte (dangereux en cas d'attaque sur les DNS), ip ou groupe réseau NIS • NFSv4 cependant a été totalement repensé  rend obligatoire l'implémentation du module noyau RPCSEC_GSS (RFC 2203) (voir man) • GSS-API (RFC 2743), lié à Kerberos • documentation complète sur ce document  orienté vers l'authentification individuelle des utilisateurs  d'autres problèmes de sécurité ont également été résolus, comme par suppression du démons rpc.mountd Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Configuration des exports • Fichier /etc/exports <dossier partagé> <hôte>(<options>) <hôte2>(<options>)... <dossier partagé> <hôte>(<options>) <hôte2>(<options>)... • <dossier partagé> : chemin du dossier partagé • <hôte> : hôte pouvant accéder au partage  une IP  un nom d'hôte ou un domaine grâce à un joker (*) • exemple : *.noelmace.com  un nom de groupe réseau NIS (NIS netgroup - sous la forme @<netgroup>)  un intervalle d'IP avec masque de sous-réseau • Linux LPIC-2 exemple : 192.168.0.0/24 ou 192.168.0.* tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Options de partage NFS • rw : lecture et l'écriture sur un partage pour l'hôte défini  ro par défaut • Synchronicité  async : mode asynchrone • • améliore les performances •  répondre aux requêtes avant que les changements effectués par celle-ci n'aient été appliqués sur l'unité de stockage danger pour l'intégrité des données en cas de redémarrage brutal (crash) sync : mode synchrone • mapping des utilisateurs  root_squash : (par défaut) mapping de l'utisateur root vers l'utilisateur anonyme  no_root_squash : pas de mapping pour l'utilisateur root  all_squash : mapping de tous les utilisateurs vers l'utilisateur anonyme.  anonuid : UID de l'utilisateur anonyme (considéré comme tel dans les précédentes options de mapping).  anongid : GID de l'utilisateur anonyme (considéré comme tel dans les précédentes options de mapping). Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
exportfs • Il est indispensable d'exporter les exports après les avoir configurés  seul /var/lib/nfs/xtab et lu par mountd • Pour relancer le partage de tout les répertoires  ie. synchroniser /var/lib/nfs/xtab avec /etc/exports # exportfs -r # exportfs -r • Interrompre tout partage # exportfs -ua # exportfs -ua Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
showmount • Afficher des informations de montage sur un serveur NFS # showmount [ -adehv ] [ --all ] [ --directories ] [ --exports ] [ host ] # showmount [ -adehv ] [ --all ] [ --directories ] [ --exports ] [ host ]  Options • -a ou --all : nom du client et répertoire monté (machine:répertoire) • -d ou --directories : uniquement les répertoires montés par un client. • -e ou --exports : liste des répertoires exportés par le serveur NFS. • -h ou --help : aide • --no-headers : supprimer les en-têtes de description de l'affichage. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Montage • Montage manuel # mount -t nfs server:/share # mount -t nfs server:/share /mountpoint -o options /mountpoint -o options • Montage automatique  dans /etc/fstab server:/share server:/share Linux LPIC-2 /mountpoint /mountpoint nfs nfs options options 0 0 0 0 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Options de montage NFS • rsize=xxx et wsize=xxx  taille des blocs de donnés échangés •  • nfsvers=n  version de NFS à utiliser pour la lecture et l'écriture permet d'optimiser les vitesses de transfert • timeo=n voir ce document  délai avant de déclencher la première retransmission d'une RPC  • en 10èmes de secondes (7 par défaut) • udp et tcp  spécifier le protocole de transport à utiliser • seulement UDP pour NFSv2, les deux pour NFSv3, seulement TCP pour NFSv4 • hard (par défaut) ou soft  Si une opération sur un fichier NFS arrive à une expiration majeure de délai • • • retry=n  Nombre d'essais effectués pour un montage NFS en arrière-plan avant d'abandonner  en minutes (1000 par défaut) Linux LPIC-2 hard : réessayer indéfiniment soft : renvoyer une erreur au programme appelant • Voir man pour la liste complète des options tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
nfsstat • Afficher des statistiques NFS # nfsstat [OPTION]... # nfsstat [OPTION]...  Options • -s : uniquement les statistiques du serveur • -c : uniquement les statistiques du client • -n : uniquement les statistiques NFS • -r : uniquement les statistiques RPC • -m : lister les partages NFS montés Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Ce qu’on a couvert • NFS version 3  outils, utilitaires et configuration  restrictions d'accès  options de montage • sensibilisation à NFSv4 209.2 NFS Server Configuration Weight : 4 Description : Candidates should be able to export filesystems using NFS. This objective includes access restrictions, mounting an NFS filesystem on a client and securing NFS. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Gestion des clients réseau Configuration DHCP Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Plan • Bootstrap Protocol • Groupes • Dynamic Host Configuration • Hôtes Protocol • Client BOOTP • ISC DHCP • Installation • Configuration • Maintenance • Agent relais DHCP • Paramètres et options • Réseaux partagés • Sous-réseaux Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Bootstrap Protocol • BOOTP  protocole d'amorçage (boot) • pour la configuration de stations de travail sans disque disposant de capacités de démarrage limitées - adresse IP - adresse serveur - fichier (image) de démarrage  défini en Septembre 1985 (RFC 951) •  en remplacement de RARP (Reverse Address Resolution Protocol - RFC 903 - Juin 1984) très limité • Ports UDP :  server : 67  client : 68 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Dynamic Host Configuration Protocol • Octobre 1993 : première définition (RFC 1531)  comme extension de BOOTP (Bootstrap Protocol) • couvre l'ensemble des configurations IP - adresse IP, masque, passerelle par défaut - adresses des serveurs de noms (DNS et NBNS (WINS)) • mécanisme de récupération des adresses IP inutilisées • modifié et complété par la RFC 2131 (Mars 1997)  référence ipv4 actuelle • adapté à l'ipv6 depuis Juillet 2003 (RFC 3315) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
ISC DHCP • Développé par Ted Lemon et Vixie Enterprises  pour l'Internet Systems Consortium • alpha release en Mars 1999 • première version stable en Janvier 2003 • Maintenu depuis 2004 par une équipe dédiée de l'ISC  aujourd'hui en version 4.2.5 (Janvier 2013) • Libre : Licence ISC également dénommée Licence OpenBSD) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Installation • Debian  version 3 (obsolète) # apt-get install dhcp3-server # apt-get install dhcp3-server  version 4 # apt-get install isc-dhcp-server # apt-get install isc-dhcp-server • CentOS  client et serveur # yum install dhcp # yum install dhcp Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Configuration • /etc/dhcpd.conf  voir man dhcpd.conf • 6 types de directives  paramètres : valeurs internes du serveur, son comportement et informations fournies aux clients  options : options de configuration réseau et des divers services réseaux depuis le serveur DHCP  déclarations : topologie réseau, clients et adresses ou groupement de paramètres pour un contexte particulier • réseaux partagés • sous-réseaux • groupes • hôtes Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Paramètres et options • durée du bail (en secondes) default-lease-time time; default-lease-time time; max-lease-time time; max-lease-time time; • Option (voir man dhcpd-options)  masque de sous-réseau option subnet-mask ip-address; option subnet-mask ip-address;  serveur DNS option domain-name-servers ip-address [, ip-address... ]; option domain-name-servers ip-address [, ip-address... ]; Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Réseaux partagés • informer le serveur DHCP que certains sous-réseau IP partagent en réalité le même réseau physique • Syntaxe shared-network name { shared-network name { [ paramètres ] [ paramètres ] [ déclarations ] [ déclarations ] } } • Exemple shared-network ISC-BIGGIE { shared-network ISC-BIGGIE { paramètres spécifiques au réseau partagé... paramètres spécifiques au réseau partagé... subnet 204.254.239.0 netmask 255.255.255.224 { subnet 204.254.239.0 netmask 255.255.255.224 { paramètres spécifiques au sous-réseau... paramètres spécifiques au sous-réseau... range 204.254.239.10 204.254.239.30; range 204.254.239.10 204.254.239.30; } } subnet 204.254.239.32 netmask 255.255.255.224 { subnet 204.254.239.32 netmask 255.255.255.224 { paramètres spécifiques au sous-réseau... paramètres spécifiques au sous-réseau... range 204.254.239.42 204.254.239.62; range 204.254.239.42 204.254.239.62; } } } } Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Sous-réseaux • fournir des paramètres spécifiques au sous-réseau • spécifier quelles adresses peuvent être dynamiquement allouées aux clients de ce sous-réseau  déclaration range  Exemple subnet 204.254.239.64 netmask 255.255.255.224 { subnet 204.254.239.64 netmask 255.255.255.224 { paramètres spécifiques au sous-réseau... paramètres spécifiques au sous-réseau... range 204.254.239.74 204.254.239.94; range 204.254.239.74 204.254.239.94; } } Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Groupes • appliquer un ou plusieurs paramètres à un groupe de déclaration  hôtes, réseaux partagés, sous-réseaux, ou même d'autres groupes • Exemple group { group { paramètres spécifiques au groupe... paramètres spécifiques au groupe... host zappo.test.isc.org { host zappo.test.isc.org { paramètres spécifiques à l'hôte... paramètres spécifiques à l'hôte... } } host beppo.test.isc.org { host beppo.test.isc.org { paramètres spécifiques à l'hôte... paramètres spécifiques à l'hôte... } } host harpo.test.isc.org { host harpo.test.isc.org { paramètres spécifiques à l'hôte... paramètres spécifiques à l'hôte... } } } } Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Hôtes • Permet de spécifier des paramètres spécifiques pour un hôte  comme une adresse IP fixe • au moins une déclaration d'hôte pour chaque client BOOTP • Exemple host client1 { host client1 { hardware ethernet DD:GH:DF:E5:F7:D7; hardware ethernet DD:GH:DF:E5:F7:D7; fixed-address 192.168.1.20; fixed-address 192.168.1.20; } } Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Client BOOTP • Exemple de configuration host clientname { host clientname { filename "/tftpboot.img"; filename "/tftpboot.img"; server-name "servername"; server-name "servername"; next-server servertftp; next-server servertftp; hardware ethernet 01:23:45:67:89:AB; hardware ethernet 01:23:45:67:89:AB; fixed-address 192.168.1.90; fixed-address 192.168.1.90; } } • nécessite l'installation d'un serveur TFTP sur servertftp • pour une documentation complète de cette configuration sous Debian, voir ce document Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Maintenance • /var/lib/dhcpd/dhcpd.leases (voir man dhcpd.leases)  base de données persistante des baux attribués Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Agent relais DHCP • les trames ARP et BOOTP ne traversent pas les routeurs  nécessite donc des serveurs DHCP ou des serveurs relais sur chaque segment  transforme les requêtes multicast en de l'unicast • défini par la RFC 1542 • agent dhcprelay  développé par l'ISC  paquet Debian isc-dhcp-relay ou dhcp3-relay  inclus dans le paquet dhcp de CentOS Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Configuration du relais DHCP • fichier /etc/default/isc-dhcp-relay # Adresse du serveur DHCP # Adresse du serveur DHCP SERVERS="192.168.1.2" SERVERS="192.168.1.2" # Interface utilisée par le relais DHCP # Interface utilisée par le relais DHCP INTERFACES="eth1" INTERFACES="eth1" # Options additionnelles pour le démon dhcp-relay # Options additionnelles pour le démon dhcp-relay OPTIONS="-q" OPTIONS="-q" Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Ce qu’on a couvert • Configuration du serveur ISC DHCP  paramètres  mise en place d'un réseau et d'un sous réseau  hôtes statiques et hôtes BOOTP • Maintenance • Configuration d'un relais DHCP • 210.1 DHCP configuration Weight : 2 Description : Candidates should be able to configure a DHCP server. This objective includes setting default and per client options, adding static hosts and BOOTP hosts. Also included is configuring a DHCP relay agent and maintaining the DHCP server. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Gestion des clients réseau Authentification PAM Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Plan • Introduction • Modules • Configuration des services  pam_unix • Modules et services  pam_cracklib • • Types de fonctionnalités • Contrôle  Linux LPIC-2 pam_limits •  pam_cracklib : exemples pam_limits : configuration pam_listfile tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Introduction • Pluggable Authentication Modules  librairies + API pour l'authentification  standard sous GNU/Linux  permet de définir la politique d'authentification d'une application indépendamment de celle-ci •  et de manière centralisée utilisé par un grand nombre de programmes • ex : login et su • Un peu d'histoire  /etc/passwd → /etc/shadow  /etc/passwd → autres bases de données (ex : ldap) •  nécessité de réécrire login et chaque logiciel utilisant l'authentification externalisation du processus d'authentification Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Configuration des services • /etc/pam.d/  un fichier par service  ou pam.conf le cas échéant • ajout d'une première colonne "service" • Syntaxe type control module-path module-arguments type control module-path module-arguments  évaluées dans leur ordre d'apparition • Exemple #%PAM-1.0 : login service #%PAM-1.0 : login service auth required pam_nologin.so auth required pam_nologin.so auth required pam_access.so auth required pam_access.so ... ... account required pam_stack.so service=system-auth password account required pam_stack.so service=system-auth password required pam_stack.so required pam_stack.so ... ... Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Modules et services • PAM est (comme son nom l'indique) divisé en modules  chacun couvrant une fonction particulière  capable d'être liée dynamiquement à une application fournissant un service • La configuration consiste donc à déterminer quel sera le comportement d'un (ou plusieurs) modules pour un service  ex : le service login nécessite l’absence du fichier no_login (module pam_nologin) auth required pam_nologin.so auth required pam_nologin.so Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Types de fonctionnalités • un module offre des fonctionnalités  réparties en groupes  chaque module pouvant offrir des fonctionnalités dans un ou plusieurs de ces groupes • 4 groupes indépendants  Account: vérification des comptes •  Authentification : vérification de l'identité de l'utilisateur •  validité du mot de passe, autorisations d'accès, etc ... mot de passe, carte à puce, contrôle rétinien, etc ... Password : mise à jour des mécanismes d'authentification • •  ex : entrer un nouveau mot de passe fortement lié au groupe Authentication Session : tâches à effectuer avant et après un service • ex : montage du répertoire personnel de l'utilisateur • • défini le périmètre d'action de chaque fonctionnalité d'un module Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Contrôle • 4 types :  requisite : termine immédiatement le service en cas d'echec  required : en cas d’échec, retourne une erreur après que tout les autres modules aient été invoqués  sufficient : valide le processus d'authentification en cas de succès •  même si d'autres modules ont auparavant échoués optional : n'est pris en compte que si il s'agit de l'unique module associé au service Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Modules • pam_unix  authentification via /etc/passwd et /etc/shadow • pam_cracklib  vérification de la sécurité d'un mot de passe • dictionnaire et autres paramètres • pam_limits  limite des ressources accessibles via une session • à partir de /etc/security/limits.conf puis limits.d/ • pam_listfile  autorise ou interdit une action en fonction d'un listfile Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
pam_unix Type Description account établir le statut du compte et du mot de passe en se basant sur les éléments shadow (expire, last_change, max_change, min_change, warn_change) auth vérification du mot de passe (n’autorise aucun accès en cas de mot de passe vide) password mise à jour du mot de passe session journalisation des accès • Documentation (sag) : http://www.linux-pam.org/Linux-PAM-html/sag-pam_unix.html Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
pam_cracklib • Module password uniquement • Options  difok : nombre minimum de caractères permettant de différencier un nouveau mot de passe d'un ancien •  minlen : taille minimale du nouveau mot de passe •  5 par défaut 9 par défaut Crédits : nombre minimal d’occurrence d'un certain type de caractère • si N>0 : permet de diminuer la taille minimale requise de maximum N caractères si le type de caractère est utilisé • si N< 0 : indique exactement le nombre minium de caractères du type, sans impacte sur la taille minimale total • 1 par défaut - dcredit : nombre minimal de chiffres - ucredit : nombre minimal de lettres majuscules - lcredit : nombre minimal de lettres minuscules - ocredit : nombre minimal de caractères spéciaux (autre que majuscule, minuscule ou chiffre) • Documentation : http://www.linux-pam.org/Linux-PAM-html/sag-pam_cracklib.html Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
pam_cracklib : exemples • crédits positifs  le mot de passe doit être composé de • 14 caractères si il n'est composé que de caractères minuscules • 9 caractères si, en plus des lettres minuscules, il est composé d'au moins une majuscule, deux chiffres et deux caractères password password password password required pam_cracklib.so difok=3 minlen=15 dcredit= 2 ocredit=2 required pam_cracklib.so difok=3 minlen=15 dcredit= 2 ocredit=2 required pam_unix.so use_authtok nullok md5 required pam_unix.so use_authtok nullok md5 • crédits négatifs  le mot de passe doit être composé d'au moins un caractère spécial, un chiffre et une lettre majuscule, pour une taille minimale de 8 caractères password password password password Linux LPIC-2 required pam_cracklib.so required pam_cracklib.so dcredit=-1 ucredit=-1 ocredit=-1 lcredit=0 minlen=8 dcredit=-1 ucredit=-1 ocredit=-1 lcredit=0 minlen=8 required pam_unix.so use_authtok nullok md5 required pam_unix.so use_authtok nullok md5 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
pam_limits • fichiers /etc/security/limits.conf et /etc/security/limits.d/*.conf  cf LPIC1 - Sujet 110.1 : Tâches d'administration de sécurité  affecte tout les utilisateurs, y compris root • module session uniquement • Documentation : sag-pam_limits Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
pam_limits : configuration <domain> <type> <item> <value> <domain> <type> <item> <value> • domain : entité pour laquelle les limites s'appliquent • item : quel type d'item est affecté (généralement en Ko)  nom d'utilisateur  nom de groupe (@groupname) • dump de l'état d'un processus en mémoire lors d'un arrêt brutal  tout le monde (*) • pour debugging  core : taille des "core files"  • type : hard ou soft limit  hard : ne peu être depassée • mise en place par l'admin  - : hard ET soft  fsize : taille des fichiers créés par l'utilisateur  nofile : nombre de fichiers ouverts  rss : resident set size maximal • soft : peu être dépassée temporairement  data : taille des données programme portion de la mémoire processus stockée en mémoire   • value : valeur à appliquer nproc : nombre de processus concurrents maxlogins : nombre maximum de sessions simultanés  priority : process priority  cpu : temps cpu d'un seul processus, en minutes • Exemple : @limited hard cpu 2 @limited hard cpu 2 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
pam_listfile • Options  item=[tty|user|rhost|ruser|group|shell] •  file=/path/filename •  fichier liste sense=[allow|deny] •  types d'éléments contenus par le fichier et devant être vérifiés action à réalisé si l'élément est présent dans le fichier onerr=[succeed|fail] • que faire en cas d'erreur • ex : ouverture du fichier impossible • Exemples  interdire l'accès à une liste d'utilisateurs auth required pam_listfile.so onerr=succeed item=user sense=deny file=/etc/ftpusers auth required pam_listfile.so onerr=succeed item=user sense=deny file=/etc/ftpusers  autoriser l'accès à une liste d'utilisateurs auth required pam_listfile.so onerr=fail item=user sense=allow file=/etc/loginusers auth required pam_listfile.so onerr=fail item=user sense=allow file=/etc/loginusers • Documentation : sag-pam_listfile Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Ce qu’on a couvert • Fichiers, termes et utilitaires de configuration de PAM  /etc/pam.d et pam.conf • Modules essentiels de PAM  pam_unix, pam_cracklib, pam_limits et pam_listfile 210.2 PAM authentication Weight : 3 Description : The candidate should be able to configure PAM to support authentication using various available methods. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Gestion des clients réseau Clients LDAP Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Plan • Introduction : les annuaires • Recherche • Lightweight Directory Access • Modification du mot de passe • Entrées LDAP • Ajout et modification d'une Protocol • Attributs • Filtres LDAP d'un utilisateur entrée • Suppression d'une entrée • Opérateurs • Clients LDAP sous GNU/Linux  installation Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Introduction : les annuaires • stockage de données hiérarchisées • destiné au stockage de données pérennes  plus rapide en consultation qu'en mise à jour des données qu'une base de donnée "classique"  utilisateurs (le plus souvent), matériel, ressources, etc ... • Les principaux serveurs d'annuaire  OpenLDAP (Libre - The OpenLDAP Project)  Active Driectory (Microsoft)  eDirectory (Novell)  Open Directory (Apple) • Tous sont aujourd'hui basés sur (ou compatibles) LDAP Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Lightweight Directory Access Protocol • norme pour les systèmes d'annuaires  données  nommage  modèle fonctionnel  sécurité  réplication • créé par Tim Howes (Université du Michigan), Steve Kille (ISODE) et Wengyik Yeong (Performance Systems International) en 1993  initialement pour simplifier l'accès (interrogation et modification) aux services d'annuaires X.500 (DAP) • très nombreuses RFCs (cf liste) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Entrées LDAP • identifiée par un nom distinct  DN, distinguished name  Relative Distinguished Name (RDN) suivi du DN de son parent •  organisation hierarchique ex : cn=Richard Stallman,ou=people, dc=noelmace,dc=com • Chaque entrée est constituée d'un ensemble d'attributs  nom + type + une ou plusieurs valeurs  normaux : définissant l'objet •  nom, prénom, etc … opérationnels : réservés au serveur • ex : date de modification Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Attributs • Quelques exemples d'attributs courants  uid (userid) : identifiant  cn (common name) : nom  givenname : prénom  sn (surname) : surnom  o (organization) : entreprise  ou (organizational unit) : service  mail : adresse mail Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Filtres LDAP • définis par la RFC 2254 • permettent la récupération (recherche) des entrées LDAP  "semblables" à une clause WHERE de requête SQL • s'écrit sous la forme : attribut OPERATEUR valeur Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Opérateurs Type Opérateur Description Égalité = le champs doit avoir la valeur donnée Présence * Joker (tout hormis NULL) Groupement () Permet de séparer / grouper des filtres afin d'employer d'autres opérateurs logiques Et & Tout les filtres doivent être vrais Ou inclusif | Au moins un filtre doit être vrais Négation ! Exclusion de tout les objets correspondant au filtre Égalité approximative ~= - Plus grand ou égal >= - Plus petit ou égal <= - Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Clients LDAP sous GNU/Linux • Recherche  ldapsearch • Manipulation des entrée  ldappasswd  ldapadd & ldapmodify  ldapdelete • Options communes  obsolètes (remplacées par -H) • -h : hôte • -p : port  -H : URI du serveur LDAP  -D binddn : DN de l'utilisateur permettant la connexion au serveur  -w passwd : mot de passe de l'utilisateur permettant la connexion au serveur Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Installation • Debian # apt-get install ldapscripts # apt-get install ldapscripts • CentOS # apt-get install openldap-clients # apt-get install openldap-clients Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Recherche $ ldapsearch [options] filtre [attrs...] $ ldapsearch [options] filtre [attrs...] • récupération des entrées d'un annuaire LDAP à l'aide de filtres • Options  -s {base|one|sub|children} : portée de la recherche •  respectivement : sur un objet de base, un niveau, la sous-arborescence (par défaut) ou les enfants (LDAPv3) -b : point de départ de la recherche • Exemple $ ldapsearch -h myhost -p 389 -s base -b "ou=people,dc=example,dc=com" "objectclass=*" $ ldapsearch -h myhost -p 389 -s base -b "ou=people,dc=example,dc=com" "objectclass=*" Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Modification du mot de passe d'un utilisateur $ ldappasswd [options] [user] $ ldappasswd [options] [user] • opération définie par la RFC 3062  sur l'attribut userPassword (RFC 2256 section 5.36) • Options  -x : authentification simple (au lieu de SASL)  -s newpasswd : nouveau mot de passe  -W : demander un nouveau mot de passe de manière interactive (au lieu de -s) • sera sinon généré par le serveur • Exemple $ ldappasswd -x -h localhost -D "cn=root,dc=example,dc=com" $ ldappasswd -x -h localhost -D "cn=root,dc=example,dc=com" -s secretpassword uid=admin,ou=users,ou=horde,dc=example,dc=com -s secretpassword uid=admin,ou=users,ou=horde,dc=example,dc=com Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Ajout et modification d'une entrée • Ajout d'une entrée : $ ldapadd [options] $ ldapadd [options]  lien vers ldapmodify activant l'option -a • Modification d'une entrée : $ ldapmodify [options] $ ldapmodify [options] • Options  -f : lire les informations de modification à partir du fichier au lieu de l'entrée standard • Exemple $ ldapadd -c -x -W -D cn=root,dc=example,dc=com -H ldaps://ldap1.example.com/ -f grclient.ldif $ ldapadd -c -x -W -D cn=root,dc=example,dc=com -H ldaps://ldap1.example.com/ -f grclient.ldif dn: cn=clients,ou=Group,dc=example,dc=com dn: cn=clients,ou=Group,dc=example,dc=com cn: clients cn: clients gidNumber: 10001 gidNumber: 10001 memberUid: pierre memberUid: pierre memberUid: paul memberUid: paul memberUid: jacque memberUid: jacque description: Clients de l'entreprise description: Clients de l'entreprise objectClass: posixGroup objectClass: posixGroup Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Suppression d'une entrée $ ldapdelete [options] [DN ...] $ ldapdelete [options] [DN ...] • Exemple : $ ldapdelete -H ldaps://ldap1.example.com -D "cn=root" $ ldapdelete -H ldaps://ldap1.example.com -D "cn=root" "uid=rmachin,ou=sales,ou=people,dc=example,dc=com" "uid=rmachin,ou=sales,ou=people,dc=example,dc=com" Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Ce qu’on a couvert • Introduction au LDAP  objectif, contexte et structure • interrogation et de mise à jour des données d'un serveur LDAP  ajout et gestion d'utilisateurs  import, ajout et modification des entrées • Utilitaires  ldapsearch, ldapadd, ldapmodify, ldappasswd et ldapdelete) • 210.3 LDAP client usage Weight : 2 Description : Candidates should be able to perform queries and updates to an LDAP server. Also included is importing and adding items, as well as adding and managing users. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Services de courrier électronique Utilisation des serveurs de messagerie Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Plan • Rappel : Fonctionnement • Simple Mail Transfer Protocol • Postfix  Configuration de Postfix • Paramètres essentiels  Journalisation  Postfix et les domaines •  Domaines virtuels Commandes utiles • Linux LPIC-2 Émulation des commandes sendmail tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Rappel : Fonctionnement Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Simple Mail Transfer Protocol • Transfert des mails vers les serveur  ports 25, 465 (SSL) et 587 (avec authentification) • Développé à partir de 1980 en remplacement de FTP Mail et de Mail Protocol (nés en 1973)  publié en Novembre 1981 (RFC 788)  mis à jour par les RFC 821 (Août 1982) et 5321 (Octobre 2008)  pour plus de détails, voir wikipedia(en) • Sendmail (distribué avec BSD 4.1c dés 1981) est alors un des premiers MTA à implémenter ce protocole  devient très rapidement le MTA de référence sur Internet Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Postfix • MTA par défaut de Mac OS X, NetBSD et de nombreuses distributions GNU/Linux (comme Ubuntu)  un MTA de référence : 25 % de parts de marché en 2012 • seconde place derrière Exim (46 %), MTA par défaut de Debian • devant Sendmail (11%), le MTA historique, encore par défaut pour CentOS, et Microsoft (10%) depuis 2009 • Libre : IBM Public Licence 1.0 (non compatible GPL)  développé dés 1997 par Wietse Venema (également à l'origine de TCP Wrapper) • au IBM Thomas J. Watson Research Center  première distribution en Décembre 1998  version actuelle (Juin 2013) : 2.10.1 • Documentation officielle en français (grâce à Traduc.org) et en anglais • Pour une comparaison en détail des différents MTA du marché, voir ce tableau Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Configuration de Postfix • par défaut dans /etc/postfix/  main.cf : paramètres de configuration de Postfix • Syntaxe semblable aux scripts shell (sans les apostrophes) - notamment pour les variables ($)  master.cf : configuration du démon master • définit la manière dont un programme client se connecte à un service, et quel démon s'exécute lorsqu'un service est demandé • Doivent (répertoire et fichiers) appartenir à root sans droit d'écriture pour les autres utilisateurs Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Syntaxe des paramètres Postfix • main.cf a une syntaxe semblable aux scripts shells, à quelques différences notables près  les variables (paramètres) notamment peuvent sembler proche, mais offres quelques spécificités • Déclaration / affectation  classique mavariable = valeur mavariable = valeur  à partir du contenu d'un fichier mavariable = /chemin/du/fichier mavariable = /chemin/du/fichier  à partir du contenu d'une table de correspondance • paramètres définis dans un fichier séparé à la syntaxe identique mavariable = type:/chemin/du/fichier mavariable = type:/chemin/du/fichier • Ce fichier n'étant pas évalué de manière séquentielle, une variable peu être employée avant sa "déclaration"  Postfix est "paresseux", et ne consulte la valeur d'un paramètre que lorsqu'il est utilisé mavariable = $monautrevar mavariable = $monautrevar Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Paramètres essentiels • domaine des courriels sortants myorigin = $myhostname myorigin = $myhostname myorigin = $mydomain myorigin = $mydomain • domaine à partir duquel les courriels sont reçus mydestination = $mydomain, localhost.$mydomain, hash:/etc/postfix/moredomains mydestination = $mydomain, localhost.$mydomain, hash:/etc/postfix/moredomains  défaut (pour les deux) : $myhostname • domaines de destination (et leurs sous-domaines) que le système acceptera de relayer  (défaut : $mydestination) relay_domains = $mydomain relay_domains = $mydomain • Indiquer un relais SMTP  ne sera pris en compte qu'en l'absence de mapping correspondant dans la table optionnelle transport  à défaut de valeur, Postfix tentera de transférer le mail au serveur MX du domaine de destination relayhost = mail.myisp.com relayhost = mail.myisp.com Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Journalisation • via syslog (ou dérivés)  cf /etc/syslog.conf ou /etc/rsyslog.conf  Exemple : mail.err mail.err mail.debug mail.debug /dev/console /dev/console /var/log/maillog /var/log/maillog • Rapporter les problèmes de permission/appartenance # postfix check # postfix check • Lister tout les problèmes éventuels # egrep '(reject|warning|error|fatal|panic):' /var/log/maillog # egrep '(reject|warning|error|fatal|panic):' /var/log/maillog Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Postfix et les domaines • Postfix offre plusieurs possibilités concernant un domaine  destination finale • domaines canoniques - nom et adresse IP du serveur et parfois le nom du domaine parent - classe : domaines locaux • domaines hébergés - ne sont pas directement associés au nom de la machine - classe : domaines virtuels • d'alias • ou de boites au lettres  serveur MX de secours d'un (ou plusieurs) domaine(s) • • les transfère dès qu'il fonctionne de nouveau •  conserve les courriels lorsque le serveur MX principal ne fonctionne pas classe : domaines relayés relais pour la retransmission des courriels • classe : domaines par défaut • Documentation : voir Virtual Readme et Address Class Readme Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Domaines virtuels • spécification des domaines d'alias virtuels  par une liste (séparés par des espaces ou des virgules) virtual_alias_domains = example.com, autreexample.com virtual_alias_domains = example.com, autreexample.com • Table optionnelle faisant correspondre des adresses ou des domaines avec des adresses locales ou distantes • via une table de correspondance "hash" (créé via postmap ou postalias) virtual_alias_maps = hash:/etc/postfix/virtual virtual_alias_maps = hash:/etc/postfix/virtual  Exemple de fichier postmaster@example.com peter postmaster@example.com peter info@anotherexample.com gerda info@anotherexample.com gerda sales@example.com petra sales@example.com petra @example.com jim @example.com jim Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Commandes utiles • Recharger la configuration de Postfix # postfix reload # postfix reload • création ou mise à jour d'une table de correspondance "hash" # postmap fichier # postmap fichier Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Émulation des commandes sendmail • Interface de compatibilité de Postfix pour Sendmail $ sendmail [option ...] [recipient ...] $ sendmail [option ...] [recipient ...] • afficher la file d'attente des courriels $ mailq $ mailq  équivalent à sendmail -bp • initialiser la DB des alias (paramètre alias_database) # newaliases # newaliases  équivalent à sendmail -I Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Ce qu’on a couvert • Introduction au protocole SMTP et aux MTA • Configuration de Postfix  fichiers de configuration  paramètres essentiels • Gestion de la journalisation des MTA 211.1 Using e-mail servers Weight : 3 Description : Candidates should be able to manage an e-mail server, including the configuration of e-mail aliases, e-mail quotas and virtual e-mail domains. This objective includes configuring internal e-mail relays and monitoring e-mail servers. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Services de courrier électronique Distribution locale des courriels Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Plan • Introduction  Recettes procmail • En tête d'une recette - En tête d'une recette : • Formats de stockage verrouillage  Mbox • Règles de correspondance  Maildir • Actions • Quelques exemples • Procmail  Fonctionnement  Configuration Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Introduction Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Formats de stockage • Définissent la manière de stocker les courriels et les mailbox  format des fichiers  hiérarchie des éventuels dossiers  etc … • Nombreux formats  Standards : Mbox et Maildir • •  tout deux reconnus par procmail Maildir est cependant recommandé aujourd'hui nmh, MIX, .pst (propriétaire Microsoft), etc ... Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Mbox • apparu avec Unix V6 (AT&T - Mai 1975) • format ouvert  RFC 4155 (Septembre 2005) • un fichier texte (ASCII 7bits) par mailbox  courriels simplement séparés par une ligne vide suivie du mot "From" en début de ligne • Désavantages : • Avantages :  universellement supporté • nombreuses conversions possibles  problèmes de verrouillage  sujet à la corruption - Outlook .pst via readpst - html via Hypermail  recherche et écriture au sain d'une mailbox rapides Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Maildir • développé dans le cadre de QMail   par Daniel J. Bernstein (également à l'origine de daemontools)  • MTA léger, modulaire et sécurisé du domaine public Décembre 1995 un dossier par mailbox  • contenant lui même trois dossiers : new, cur et tmp Avantages :  • Désavantages : rapidité de :  • localisation • récupération • et suppression des courriels •  peu (voir pas) de verrouillage fichier  utilisable sur des FS réseaux  n'est pas sujet à la corruption Linux LPIC-2 nombre de petits fichiers  inefficacité de certains FS recherche de texte des une ou plusieurs mailbox lente • nécessite l'ouverture de tout les fichiers Structure Maildir Wikimedia cc-by-sa tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Procmail • MDA de référence pour les systèmes Unix  Libre (Licence GPL) • Largement employé  en adéquation avec un MTA (Exim, Postfix, Sendmail) •  et souvent un serveur IMAP / POP tel que Dovecote pour la distribution distante excellentes capacités de filtrage • première version distribuée en Décembre 1990  n'est plus maintenu • version finale 3.22 le 10 Septembre 2001 • Documentation : Procmail Documentation Project et Procmail Quick Reference Guide Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Fonctionnement • programme autonome  généralement appelé directement par le MTA • Rappel : pour Postfix mailbox_command = /usr/bin/procmail mailbox_command = /usr/bin/procmail  n'est appelé via la ligne de commande que très rarement • essentiellement pour des tests • prétraitement et tri des courriels  mailinglists  anti-spam  réponses automatiques Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Configuration • /etc/promailrc composé de :    configuration générale, pour tout les utilsateurs • $HOME/.procmailrc recettes  prioritaire si présent  définitions de variables • En l'absence de fichier de configuration, procmail écrira tout les courriers dans /var/spool/mail • • pour chaque utilisateur • Exemple SHELL=/bin/sh SHELL=/bin/sh MAILDIR=$HOME/Mail MAILDIR=$HOME/Mail LOGFILE=$HOME/Mail/procmail.log LOGFILE=$HOME/Mail/procmail.log :0: :0: * ^Subject: test * ^Subject: test testing testing  pour d'autres exemples, voir dans /usr/share/doc/procmail/exemples/ , dans la documentation ou à la fin de ce support Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Recettes procmail • décomposées en 3 parties  en tête ou "ligne double point" ("colon line")  règle(s) de correspondance • expression(s) rationnelle(s) - sur les en-têtes et corps des messages •  détermine quels messages seront traités par cette recette action • à défaut de règle correspondante, les courriers seront livrés dans la mailbox par défaut Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
En tête d'une recette • Première ligne de chaque recette :0 [drapeaux] [ : [verrou_local] ] :0 [drapeaux] [ : [verrou_local] ] • le premier double point indique un début de règle  • le 0 est, lui, présent pour des raisons historiques Drapeaux : détermine la manière dont la recette sera exécutée  portée • des règles de correspondances - • B : corps du message HB : les deux des actions (ce qui leur est envoyé) -  H : en tête du message (par défaut) h : n'envoie que les en-têtes pour traitement b : n'envoie que le corps du message pour traitement hb :les deux (par défaut) contrôle des flux (exemple : c : garde une copie du message pour traitement ultérieur)  mode d’exécution  sensibilité à la casse (cf quickref) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
En tête d'une recette : verrouillage :0 [drapeaux] [ : [verrou_local] ] :0 [drapeaux] [ : [verrou_local] ] • second double point  mettre en place un fichier de verrou • •  afin de ne pas corrompre un fichier en y écrivant simultanément deux courriers nécessaire en cas d'écriture (sauvegarde) [verrou local] : explicite le fichier de verrou à mettre en place Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Règles de correspondance • permettent de déterminer si l'action doit être effectuée sur ce message ou non • commencent toujours par "* " (une étoile suivie d'un espace) • Pour associer les règles de correspondances  une par ligne = ET logique  sur une même ligne, séparées par des "|" (pipes) = OU logique • Linux LPIC-2 une seule étoile en début de ligne, non pour chaque expression tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Actions • • opération à réaliser en cas de correspondance avec la/les règle(s) redirection  vers un fichier (mbox) ou un dossier (maildir) /chemin/du/fichier /chemin/du/fichier • chemin/relatif chemin/relatif /chemin/du/dossier/ /chemin/du/dossier/ action la plus courante - permet de délivrer le courrier dans la mailbox indiquée • •  nécessite un verrou si écrit dans un fichier si le chemin est relatif (pas de / en début de ligne), il le sera par rapport à $MAILDIR vers un programme | programme | programme  vers une (ou plusieurs) autre(s) adresse(s) électronique ! addr1@site.net addr2@else.com addr3 ... ! addr1@site.net addr2@else.com addr3 ... • il est possible de remplacer l'action par une autre ensemble de recettes et de variables en utilisant les caractère { et } Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Quelques exemples transférer tout courriel de l’expéditeur lui@example.com vers l'adresse moi@noelmace.com • :0 :0 * ^From.*lui@example.com * ^From.*lui@example.com ! goodmail@example2.com ! goodmail@example2.com transférer tout courriel de plus de 1Mo vers la boite aux lettres mbox grosfichiers • • :0 :0 * > 1048576 * > 1048576 grosfichiers grosfichiers transférer tout courriel provenant du domaine fsf.org et contenant le mot "Supporter" suivit du mot "Issue" (correspondant au Free Software Suporter, newsletter mensuelle de la FSF) vers la boite mail de l'utilisateur news, et le copier vers notre dossier forwarded.news :0c :0c * ^From.*@fsf.prg * ^From.*@fsf.prg * ^Subject:.*Supporter.*Issue.* * ^Subject:.*Supporter.*Issue.* ! news ! news :0: :0: forwarded.news forwarded.news Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Ce qu’on a couvert • Configuration de procmail  recettes, drapeaux, règles et actions • Les formats de stockage  mbox  maildir 211.2 Managing Local E-Mail Delivery Weight : 2 Description : Candidates should be able to implement client e-mail management software to filter, sort and monitor incoming user e-mail. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Services de courrier électronique Distribution distante des courriels Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Plan • Introduction • Courier Mail Server  Configuration  Pré-requis Postfix et Procmail  Configuration avec Postfix et Procmail • Dovecot  Authentification •  Authentification : Configuration Emplacement des mailboxs Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Introduction Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Courier Mail Server • serveur mail / groupware tout en un   webmail (avec calendrier et planning)  • ESMTP, IMAP, POP3, LDAP, SSL et HTTP services mailing list constitué de composants individuels  activables et désactivables à volonté  cf paquets Debian (courier-base, courier-imap, courier-ldap, courier-webadmin, etc …)  nous nous concentrerons ici sur ce dont nous avons besoin : des serveurs POP3 et IMAP pour compléter Postfix et Procmail • • stockage natif en maildir  • courier-imap et courier-pop possibilité de livraison sous d'autres formats pré-établis file d'attente des mails dans /var/spool/mqueue Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Configuration • Deux possibilités (à choisir à l'installation)  par dossiers (necessaire pour webadmin)  ou par fichier (à favoriser si administration pour la console) • ce que nous présenterons ici dans le cadre de la LPIC2 • /etc/courier/  imapd : configuration de courier-imap  pop3d : configuration de courier-pop  authdeamonrc : configuration de courier-authdeamon (démon d'authentification de courier) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Pré-requis Postfix et Procmail • Postfix : fichier main.cf mailbox_command = procmail -a "$EXTENSION" mailbox_command = procmail -a "$EXTENSION" • Procmail : ajouter un fichier $HOME/.procmailrc ou /etc/procmailrc MAILDIR=$HOME/Maildir/ MAILDIR=$HOME/Maildir/ DEFAULT=$MAILDIR/ DEFAULT=$MAILDIR/ • créer le(s) dossier(s) $HOME/Maildir/ $ maildirmake ~/Maildir $ maildirmake ~/Maildir  attention aux droits posix : l'utilisateur doit avec l'accès à ce dossier en lecture et écriture • vérifiez également les alias (/etc/aliases) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Configuration avec Postfix et Procmail • courier-imap : dans le fichier /etc/courier/imapd MAILDIRPATH=Maildir MAILDIRPATH=Maildir • courier-authdeadmon authmodulelist="authpam" authmodulelist="authpam" • redémarrer les services # /etc/init.d/postfix restart # /etc/init.d/postfix restart # /etc/init.d/courier-imap restart && /etc/init.d/courier-authdaemon restart # /etc/init.d/courier-imap restart && /etc/init.d/courier-authdaemon restart • vous pouvez dés à présent vous connecter via votre MUA préféré (Evolution par exemple) en IMAP via un compte de votre système (login : votre identifiant – mdp : idem que sur le système, grâce à PAM) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Dovecot • Serveur POP3 et IMAP4r1 orienté sécurité   • • • libre (Double licence MIT et GPLv2) destiné aux systèmes Unix (Solaris, GNU/Linux, (Free|Open|Net)BSD et Mac OS X) Compatible mbox et Maildir Inclus son propre MDA (Dovecot Local Delivery Agent) Dernière version : 2.2.5 (5 Aout 2013)  • • attention : nombreuses différences de configuration avec Dovecot1, encore par défaut sous Debian Documentation officielle ici Configuration : /etc/dovecot.conf ou /etc/dovecot/dovecot.conf Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Authentification • Dovecot peu stocker les comptes utilisateurs de nombreuses manières  PAM, BDSAuth, LDAP, passwd  bases de données SQL : MySQL, PostgreSQL et SQLite • 4 parties  le mécanisme d'authentification • •  défini le protocole utilisé pour la communication des informations d'authentification PLAIN (en clair, à utiliser via SSL/TLS) ou non (CRAM-MD5, NTLM, etc ...) le mécanisme de chiffrement des mots de passe • • la plupart du temps, imposé par la base des mots de passe •  en clair (PLAIN) ou via une fonction de hachage (par exemple via MD5-CRYPT) PAM ne laissant même pas voir les mots de passe à Dovecot, la question ne se pose pas dans ce cas la base des utilisateurs •  Passwd, Passwd-file, LDAP, SQL, etc ... la base des mots de passe • PAM, IMAP, Passwd, Passwd-file, SQL, Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Authentification : Configuration • Dovecot v1 : auth default { auth default { mechanisms = plain cram-md5 mechanisms = plain cram-md5 passdb pam { passdb pam { } } userdb passwd { userdb passwd { } } } } • Dovecot v2 auth_mechanisms = plain cram-md5 auth_mechanisms = plain cram-md5 passdb { passdb { driver = pam driver = pam } } userdb { userdb { driver = passwd driver = passwd } } Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Emplacement des mailboxs • paramètre mail_location  format Maildir mail_location = maildir:~/Maildir mail_location = maildir:~/Maildir  format mbox mail_location = mbox:~/mail:INBOX=/var/mail/%u mail_location = mbox:~/mail:INBOX=/var/mail/%u • identique v1 et v2 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Ce qu’on a couvert • Configuration des serveurs IMAP et POP  courier  Dovecot 211.3 Managing Remote E-Mail Delivery Weight : 2 Description : Candidates should be able to install and configure POP and IMAP daemons. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Sécurité du système Configuration d'un routeur Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Plan • Netfilter • Extensions de • Vocabulaire correspondance  • Tables Options des extensions de correspondance • Extensions de cibles • Cibles • Options essentielles de  traduction d'adresse réseau iptables • Règles simples  Exemples de règles simples Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Netfilter • Framework  Pare-feu Linux  Projet lancé en 1998  Intégré à Linux 2.3 en mars 2000 • en remplacement de ipchains (lui aussi développé par Rusty Russell) • Manipulable par divers programmes en espace utilisateur  Le plus courant étant iptables, développé par l'équipe Netfilter • Linux LPIC-2 Mais il en existe d'autres, comme ufw ou gufw tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Vocabulaire Élément Définition Chaîne Trafic réseaux Table Regroupement de chaînes par catégorie Règle Instructions appliquées à un trafic Cible Action effectuée en cas de validation d'une règle Stratégie (Policy) Cible par défaut d'une chaîne Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Tables table usage chaînes INPUT FILTER Filtrage classique OUTPUT FORWARD PREROUTING NAT Translation d'ip POSTROUTING OUTPUT PREROUTING MANGLE Modification de paquets RAW Marquage (nécessite le module iptable_raw) Linux LPIC-2 OUTPUT PREROUTING OUTPUT tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Cibles cible Effet ACCEPT autorisation DROP destruction QUEUE transmission en espace utilisateur RETURN cesser de parcourir la chaîne et retourner dans la chaîne précédente (appelante) en passant à la règle suivante Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Options essentielles de iptables • Création d'une règle # iptables [-t table] -A chaîne règle -j cible [options] # iptables [-t table] -A chaîne règle -j cible [options] • Suppression d'une règle # iptables [-t table] -D chaîne {règle|règlenum} [options] # iptables [-t table] -D chaîne {règle|règlenum} [options] • Définition de la règle par défaut (stratégie) d'une chaine # iptables [-t table] -P chaîne cible [options] # iptables [-t table] -P chaîne cible [options] • Lister toutes les règles d'une chaîne # iptables [-t table] -L chaîne [options] # iptables [-t table] -L chaîne [options] • Vider une chaîne (supprime toutes les règles d'une chaîne) # iptables [-t table] -F chaîne [options] # iptables [-t table] -F chaîne [options] Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Règles simples • pour une interface  -i interface : d'entrée  -o interface : pour une interface de sortie • pour une adresse ip  -s adresse : source  -d adresse : destination Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Exemples de règles simples • Refuser tout les paquets entrant via l'interface eth1 # iptables -A INPUT -i eth1 -j DROP # iptables -A INPUT -i eth1 -j DROP • Accepter tout les paquets sortant via l'interface eth1 # iptables -A OUTPUT -o eth1 -j ACCEPT # iptables -A OUTPUT -o eth1 -j ACCEPT • Refuser tout les paquets en entrée provenant de 192.168.1.10 # iptables -A INPUT -s 192.168.1.10/24 -j DROP # iptables -A INPUT -s 192.168.1.10/24 -j DROP • Autoriser tout les paquets en sortie à destination de 192.168.1.1 # iptables -A OUTPUT -d 192.168.1.1/24 -j ACCEPT # iptables -A OUTPUT -d 192.168.1.1/24 -j ACCEPT Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Extensions de correspondance • modules additionnels de correspondance de paquets  Peuvent être chargés de deux manières • Implicitement - Option -p protocole ou –protocol protocole • udp, tcp, icmp ou all • Explicitement - Option -m module ou –match module • Permettent d'utiliser des options supplémentaires, en fonction du module • Remarque : pour visualiser l'aide relative à un module, indiquez l'option correspondante suivie de -h Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Options des extensions de correspondance • tcp et udp • icmp  --source-port [!] port[:port]  --destination-port [!] port[:port]  --icmp-type [!] nom_du_type_icmp • numérique ou par nom (cf -h) • state • tcp  --tcp-flags [!] masque comp   --state {NEW|ESTABLISHED| RELATED|INVALID} [!] --syn Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Extensions de cibles • modules de cible additionnels  permettre de nouvelles actions sur les paquets • LOG : journalisation du paquet • REJECT : supprimer le paquet et répondre par un paquet d'erreur  sorte de DROP verbeux • traduction d'adresse réseau (NAT : Network address translation)  DNAT  SNAT  MASQUERADE • Et bien d'autres (cf man iptables) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
traduction d'adresse réseau • Uniquement disponibles dans la table nat • modification de l'adresse de destination # iptables -t nat -A {PREROUTING|OUTPUT} règle # iptables -t nat -A {PREROUTING|OUTPUT} règle -j DNAT --to-destination adresse-ip[-adresse-ip][:port-port] -j DNAT --to-destination adresse-ip[-adresse-ip][:port-port] • modification de l'adresse source  personnalisable # iptables -t nat -A POSTROUTING règle # iptables -t nat -A POSTROUTING règle -j SNAT --to-source adresse-ip[-adresse-ip][:port-port] -j SNAT --to-source adresse-ip[-adresse-ip][:port-port]  masquerading : une seule ip (celle du routeur) # iptables -t nat -A POSTROUTING règle -j MASQUERADE # iptables -t nat -A POSTROUTING règle -j MASQUERADE Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Ce qu’on a couvert • Configuration du pare-feu Netfilter sous GNU/Linux  filtrage  NAT et IP maquerading  logging 212.1 Configuring a router Weight : 3 Description : Candidates should be able to configure a system to perform network address translation (NAT, IP masquerading) and state its significance in protecting a network. This objective includes configuring port redirection, managing filter rules and averting attacks. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Sécurité du système Sécurisation des serveurs FTP Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Plan • Introduction • Serveurs FTP • Connexions FTP actives et passives • Vsftpd • Pure-ftpd Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Introduction • File Transfer Protocol  protocole de transfert de fichier de référence  relativement ancien •  RFC 114 - 16 avril 1971 remplacée par la RFC 765 (juin 1980) puis 959 (Octobre 1985 - version finale) • complétée par - la RFC 2228 (Juin 1997) : extensions de sécurité - la RFC 2428 (Septembre 1998) : ipv6 et nouveau type de mode passif (commande EPSV) • Faiblement sécurisé  remplacé par du FTP over SSL (FTPS) ou du SFTP (SSH) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Serveurs FTP • pure-ftp  un serveur libre (licence BSD) de référence  fortement orienté sécurité  né en 2001 à partir de Troll-FTPd  disponible sur la quasi intégralité des systèmes Unix •  • même Android version actuelle : 1.0.36 - 21 Mars 2012 vsftpd : Very Secure FTP Daemon   serveur FTP par défaut sur de nombreuses distributions (Ubuntu, CentOS, Slackware …)  • également fortement orienté sécurité et libre (licence GPL) version actuelle : 3.0.2 - Septembre 2012) proftpd  libre (GPL), puissant, sécurisé et fortement documenté  configuration similaire à Apache •  fichier proftpd.conf version actuelle : 1.3.4d - 14 Juin 2013 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Connexions FTP actives et passives • Control channel (connexion de contrôle)  mode texte : commande / réponse • Data channel (connexion de donnée)  transmission de données (contenu ou liste de fichiers)  généralement établie pour le transfert de données relatives à une seule commande • Mode actif : est établie par le serveur • Mode passif (commande PASV) - met le serveur en attente de connexion sur le port aléatoire qu'il aura envoyé en réponse Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Vsftpd • Configuration  fichier /etc/vsftpd.conf (cf man)  syntaxe : clé=valeur  Exemple # listen=NO : via inetd # listen=NO : via inetd listen=YES listen=YES write_enable=YES write_enable=YES anonymous_enabled=YES anonymous_enabled=YES anon_root=/var/ftp/pub anon_root=/var/ftp/pub anon_upload_enable=YES # nécessite write_enable=YES anon_upload_enable=YES # nécessite write_enable=YES # restreindre l'utilisateur anonyme à la lecture sur les fichers # restreindre l'utilisateur anonyme à la lecture sur les fichers # accessibles à tout le monde uniquement # accessibles à tout le monde uniquement anon_world_readable_only=NO anon_world_readable_only=NO ... ... Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Pure-ftpd • N'est pas directement configuré par des fichiers  mais par des options (de la commande pure-ftpd) • Cependant un wrapper permet de récupérer ces options à partir  d'un fichier /etc/pure-ftpd/pure-ftpd.conf sous CentOS Paramètre Paramètre # commentaire # commentaire  valeur valeur ou d'un dossier /etc/pure-ftpd/conf sous Debian • un fichier par option - le nom de ce fichier correspondant à l'option dans son format long - et son contenu à la valeur à donner • Exemple $ cat /etc/pure-ftpd/cong/NoAnonymous $ cat /etc/pure-ftpd/cong/NoAnonymous yes yes - correspond à l'option -E ou --noanonymous Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Ce qu’on a couvert • Configuration des serveurs FTP  vsftpd  pure-ftpd • Sensibilisation à ProFTPd • Compréhension des différences entre les connexions FTP passives et les connexions actives. 212.2 Managing FTP servers Weight : 2 Description : Candidates should be able to configure an FTP server for anonymous downloads and uploads. This objective includes precautions to be taken if anonymous uploads are permitted and configuring user access. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Sécurité du système Shell sécurisé (SSH) Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Plan • Rappels • Rappel : Configuration • Restrictions des connexions root • Restriction des connexions Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Rappels • Ce qui a déjà été vu dans la LPIC1 :  fonctionnement et principes du SSH  client SSH : connexion  copie de fichier avec scp  configuration basique du serveur  gestion des clés coté serveur et coté client •  ssh-agent redirection de port (aka TCP Forwarding / tunneling) • Nous allons donc ici nous concentrer sur les questions de sécurité, particulièrement sur les restrictions d'accès Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Rappel : Configuration • fichier /etc/ssh/sshd-config Port 22 Protocol 2,1 ListenAddress 0.0.0.0 KeepAlive Yes HostKey ssh_host_dsa.key HostKey ssh_host_rsa.key PermitRootLogin no PasswordAuthentication yes PubkeyAuthentication yes PermitEmptyPasswords no X11Forwarding yes Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Restrictions des connexions root PermitRootLogin {yes|no|without-password|forced-commands-only} PermitRootLogin {yes|no|without-password|forced-commands-only} • yes : autoriser (par défaut) • no : interdire (recommandé) • without-password : désactiver l’authentification par mot de passe  donc restreindre aux authentifications par clé • forced-commands-only : n'autoriser les connections que via le(s) couple(s) de clés pour lesquels l'option « command » est définie  définie dans le fichier /root/.ssh/authorized_keys du serveur  permet de lancer cette commande automatiquement lors d'une connexion via la clé associer, et empêcher ainsi l'usage de toute autre commande  Exemple (voir à ce propos l'excellent article de admin-linux.fr command="ls" ssh-dss command="ls" ssh-dss ACABB3N2aC1ld2...XC2/D47x2= root@SERVEUR1 ACABB3N2aC1ld2...XC2/D47x2= root@SERVEUR1 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Restriction des connexions • Autoriser / interdire authentification par  clé publique PubkeyAuthentication {yes|no} PubkeyAuthentication {yes|no}  mot de passe PaswordAuthentication {yes|no} PaswordAuthentication {yes|no} • Restreindre l'accès à une liste d'utilisateurs / groupes {Allow|Deny}Users user1,user2 {Allow|Deny}Users user1,user2 {Allow|Deny)Groups group1,group2 {Allow|Deny)Groups group1,group2  il est possible d'utiliser les caractères ' ?' et '*' comme jocker pour ces paramètres • Limiter les versions de protocole SSH disponibles Protocol {2,1|1|2} Protocol {2,1|1|2} Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Ce qu’on a couvert • Bref rappel des éléments relatifs à la LPIC1 • Configuration du serveur OpenSSH  restriction d'accès 212.3 Secure shell (SSH) Weight : 4 Description : Candidates should be able to configure and secure an SSH daemon. This objective includes managing keys and configuring SSH for users. Candidates should also be able to forward an application protocol over SSH and manage the SSH login. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Sécurité du système Tâches de sécurité Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Plan • Rappels • fail2ban • Introduction • Se tenir au courant  Bugtraq  Configuration de fail2ban • Le scanner de vulnérabilité OpenVAS • Détection d'intrusion avec  CERT  CIAC  Autres ressources Linux LPIC-2 Snort tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Rappels • Ce que nous avons déjà vu  surveillance et analyse du trafic réseau (LPIC2 - chapitre 5.2) •  netcat, nmap gestion du pare-feu Linux (LPIC2 - chapitre 12.1) • utilisable à des fins de détection d'intrusion (cible LOG) • Nous allons donc ici approfondir ces sujets en mettant l'accent sur l'audit et la détection de problèmes de sécurité afin de pouvoir y répondre rapidement Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Introduction • La sécurité n'est pas une affaire de feignant  de par son principe même, tout y change en permanence •  il est donc très important de se tenir en permanence à jour •  vulnérabilité → annonce → résolution, le tout dans un délais très court audit, suivit de l'actualité, etc … Dans la pratique, elle est également une affaire de chaque instant • criticité des systèmes • surveillance permanente - pour un temps de réactivité minimal Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Se tenir au courant • un volume gigantesque de vulnérabilités sont découvertes chaque jour  de nombreuses solutions permettent de les surveiller  mailing lists, sites spécialisés, magazines, etc ... • Seule la connaissance d'une vulnérabilité permet de s'en protéger  faire entièrement confiance aux mises à jour et à vos protections généralistes ne peu suffire dans un environnement critique Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Bugtraq • mailing list ouverte à tous  crée le 5 Novembre 1993 (modéré depuis le 5 Juin 1995) • fondée sur le principe de Full Disclosure  divulgation publique totale de toute vulnérabilité  opposé à la sécurité par l'obscurité • traite de quasiment toutes (dans les 150/jours) les dernières vulnérabilités  annonce, description, méthodes d'exploitation, solutions, etc … • site officiel : https://www.securityfocus.com - FAQ  pour souscrire, envoyer un mail à bugtraq-subscribe@securityfocus.com Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
CERT • Les CERT (Computer Emergency Response Team)  Organismes officiels  Centres d'alerte et de réaction aux attaques informatiques • •  prévention des risques et assistance aux traitements d'incidents généralement ouverts à tous Quelques exemple : • • • US-CERT (United States Department of Homeland Security) CERT-RENATER (France - Réseau National de télécommunications pour la Technologie, l'Enseignement et la Recherche) CERT Coordination Center (ou CERT/CC)  premier CERT  aujourd'hui le centre principal de coordination des CERT  fondé par le DARPA en novembre 1988 •  suite à la frappe du « premier » ver, Moris (ou Rogue) site officiel : https://www.cert.org/ - mailing lists et flux d'actualité Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
CIAC (ancienne version) • Computer Incident Advisory Capability   • fondé par le département de l'énergie des États-Unis d’Amérique en Février 1989 Nombreuses mailing lists  CIAC-BULLETIN : Avis et informations de haute priorité  CIAC-NOTES : collection d'articles sur la sécurité informatique  SPI-ANNOUNCE : actualité de Security Profile Inspector (SPI) •  • SPI-NOTES : discussions sur l'utilisation de SPI et les problèmes rencontrés Pour souscrire, envoyer un mail avec pour contenu un message comme suit à ciac-listproc@llnl.gov  • mises à jour, nouvelles fonctionnalités, etc ... subscribe list-name LastName, FirstName, PhoneNumber cf modifications, ces mailing lists ne semblent plus exister Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
CIAC • Computer Incident Advisory Capability   • fondé par le département de l'énergie des États-Unis d’Amérique en Février 1989 Membre fondateur  du GFIRST • • •  • communautés de plus de 50 équipes de divers agences fédérales des USA hébergée par le US-CERT et du FIRST (Forum of Incident Response and Security Teams) Anciennement chargé d'informer largement sur les incidents informatiques  • Government Forum of Incident Responders and Security Teams vulnérabilités, virus et hoarx pour l'essentiel Renommé DOE-CIRC / JC3 (Joint Cybersecurity Coordination Center) en Octobre 2008  pour se tenir au courant, voir ses communiqués  travail aujourd'hui essentiellement avec l'US-CERT Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Autres ressources • MISC : « le magazine consacré 100% à la sécurité informatique »  mensuel français de Unix Garden, des Editions DIAMOND •  également éditeur de l'excellent Gnu/Linux Magazine France actualité, perspectives techniques, questions juridiques, etc … • Informations de sécurité Debian  mailing list : debian-security-annonce • Voir aussi les ressources Red Hat  notifications : https://access.redhat.com/security/updates/advisory/  mises à jour : https://access.redhat.com/security/updates/  dans un autre registre, le guide de sécurité Red Hat Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
fail2ban • Solution de protection active  parcours les journaux systèmes •  à la recherche d'activités indiquant une attaque de type DOS ou bruteforce banni automatiquement l'adresse IP source de ces attaques • en établissant une règle iptables • de manière temporaire • Ne permet pas de prévenir les attaques DDOS  Aucun véritable support de l'ipv6 à ce jour (patch expérimental) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Configuration de fail2ban • fichier /etc/fail2ban/jail.conf  un bloc par service à surveiller # bloc du service ssh # bloc du service ssh [ssh] [ssh] # activer le service # activer le service enabled = true enabled = true # ports à surveiller # ports à surveiller port = ssh,sftp port = ssh,sftp # filtre de détection pour les logs # filtre de détection pour les logs filter = sshd filter = sshd # fichier de log à surveiller # fichier de log à surveiller logpath = /var/log/auth.log logpath = /var/log/auth.log # nombre maximum d'essais autorisés avant bannissement # nombre maximum d'essais autorisés avant bannissement maxretry = 6 maxretry = 6 # bannir durant 15 minutes # bannir durant 15 minutes bantime = 900 bantime = 900 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Le scanner de vulnérabilité OpenVAS • Open Vulnerability Assessment System  fork libre (GPL) de Nessus (propriétaire) • Analyse un équipement, un ensemble d'équipements, voir même un réseau entier  afin d'y détecter les vulnérabilités éventuelles • Affiche une synthèse indiquant  une liste des vulnérabilités détectées, par niveau de criticité  une description de celles-ci  ainsi qu'un méthode (ou un lien) permettant d'y remédier • Pour plus de détails, voir notamment ce document Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Détection d'intrusion avec Snort • système de détection d'intrusion pour le réseau (NIDS)  référence en la matière  Libre (GPL) • Maintenu par Sourcefire  propose un programme de certifications professionnelles dédié • Configurable via des règles  à la manière de iptables  nombreuses sont celles partagées librement par les utilisateur sur le net (cf Emerging Threats) • Peut être amélioré par / associé à  un IPS (système de prévention d'intrusion) • Snort Inline, Guardian, SnortSam, etc...  un logiciel de monitoring  acidbase, Prelude-IDS, etc ... ajouter un texte • voir la documentation officielle Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Ce qu’on a couvert • Sites et organisations informant des alertes de sécurit  Bugtraq, CERT, CIAC et d'autres sources • Détection et protection contre les intrusions et attaques  Snort  OpenVAS  fail2ban 212.5 Security tasks Weight : 3 Description : Candidates should be able to receive security alerts from various sources, install, configure and run intrusion detection systems and apply security patches and bugfixes. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Conclusion Conclusion Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Plan • A propos de la nouvelle version • Changements opérés • Les principales modifications • Chapitre 213 en détail • Sujets abordés dans le chapitre 213 • S’entraîner au dépannage • Et pour conclure Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
A propos de la nouvelle version • Comme évoqué plus tôt :  Nouvelle version 4.0 • Déjà publiée (voir ici) • Prendra effet le 1er Novembre 2013 • Permet une approche plus logique de l'ensemble de l'apprentissage  Plus en adéquation avec les problématiques actuelles  La dernière version (3.5) datant du 1er Août 2012 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Changements opérés • Nombreux changements  Répertoriés sur cette page  Tout en tâchant de conserver au maximum la numérotation existante • Répercutions sur tout les examens (LPIC1 et 3 compris)  Éviter la répétition • Logiciels et fonctionnalités dépassées  Sendmail (en faveur de Postfix)  Plus grande importance du kernel et de udev  Etc … • En grande parti anticipé dans ce cours Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Les principales modifications • Pour plus de cohérence, quelques chapitres ont donc été revus dans ce cours afin d'anticiper ces changements • chapitre 205.4 : Information des utilisateurs  déplacé dans le chapitre 6 : Maintenance système  • chapitre 213 : « supprimé » plus cohérent, meilleure répartition entre chapitres en temps et poids  car la résolution de panne est un sujet transverse • • chapitre 212.4 : TCP Wrapper  chapitre 14.1 de notre cours : sécurité réseau - Avec la LPIC1 objectif 110.2 •  - Avec d'autres sujets de la LPIC2 déplacé dans la LPIC1 • remplacé, dans la v4, par l'objectif 212.5 (OpenVPN) • ce qui amenait à de nombreuses répétitions  nous avons donc abordé ces sujets tout au long de notre cours abordé au chapitre 5.1 de ce cours Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Chapitre 213 en détail • 213.1 : Identification des étapes de démarrage et dépannage des chargeurs d'amorçage  Fusionné avec le Sujet 202.2 Récupération du système  Suppression des mentions concernant init.d  Déjà vu dans • • • Le chapitre 7 de LPIC1 – Linux+ La chapitre 2 de ce cours (particulièrement dans la vidéo 3) 213.2 : Dépannage général  Fusionné avec le chapitre 201.5 Gestion et requêtes sur un noyau et les modules pendant l'exécution • •  lui même fusionné avec le chapitre 203.4 Gestion de périphériques avec udev Renommé en 201.3 Gestion du noyau à chaud et résolution de problèmes Déjà vu dans • • Le chapitre 1 de ce cours (particulièrement les vidéos 1 et 6) Le chapitre 3 de ce cours (vidéo 6) • • 213.3 Dépannage des ressources système et 213.4 Dépannage de la configuration de l'environnement  Supprimés du fait de nombreuses répétitions avec les autres objectifs de la LPIC2 et la LPIC1 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Sujets abordés dans le chapitre 213 • Cron • Syslog • Passwd, shadow et group • Uname • Sysctl (cf procfs) • Lsof, lsusb, lsdev, lspci • Procédure de démmarage  init  Initrd  Initramfs  Tous déjà vus et revus ! GRUB • Gestion des modules du kernel Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
S’entraîner au dépannage • La pratique, toujours la pratique • Maîtriser tout les outils présentés • Petit conseil : en profiter pour explorer les forums  Tester ses connaissances en tentant de résoudre les problèmes des autres Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Et pour conclure • Un bonne préparation à tous  en vous souhaitant de réussir haut la main vos examens • Pour avoir toutes les chances de votre côté  utilisez GNU/Linux au maximum (et tant qu'à faire, des logiciels libres)  tenez vous au courant de l'actualité •  rejoignez un groupe d'utilisateur •  UnixGarden, linuxfr, listes et sites des distributions, etc … sur Paris : parinux, sur Toulouse : le CULTe approfondissez au maximum • grâce aux liens présents dans ce cours, notamment les documentations officielles • ainsi que ceux qui vous retrouverez ici, y compris en passant des examens d’entraînement Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
Ce qu’on a couvert • Rappel concernant les actuelles versions des objectifs LPIC  Modifications principales et anticipations de ce cours • objectif 213 - Comment s'y préparer - Raisons de « l’absence » de ce chapitre dans ce cours • Conclusion de notre cours et petits conseils Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com

Contenu connexe

PDF
alphorm.com - Formation Linux LPIC-1/Comptia Linux+
parAlphorm
 
PDF
Administration Linux ( PDFDrive ).pdf
parssuser4af92c
 
PDF
Support formation vidéo : Réussir la certification Linux LPIC-1 (1)
parSmartnSkilled
 
PDF
Alphorm.com Support de la formation Vmware Esxi 6.0
parAlphorm
 
PDF
Alphorm.com Formation Hacking et Sécurité, l'essentiel
parAlphorm
 
PDF
alphorm.com - Formation Cisco ICND1-CCENT (100-101)
parAlphorm
 
PDF
Alphorm.com Formation Hacking et Sécurité 2020 (1/3) : Méthodologies de Pente...
parAlphorm
 
PDF
Formation Linux - Initiation
parrobertpluss
 
alphorm.com - Formation Linux LPIC-1/Comptia Linux+
parAlphorm
 
Administration Linux ( PDFDrive ).pdf
parssuser4af92c
 
Support formation vidéo : Réussir la certification Linux LPIC-1 (1)
parSmartnSkilled
 
Alphorm.com Support de la formation Vmware Esxi 6.0
parAlphorm
 
Alphorm.com Formation Hacking et Sécurité, l'essentiel
parAlphorm
 
alphorm.com - Formation Cisco ICND1-CCENT (100-101)
parAlphorm
 
Alphorm.com Formation Hacking et Sécurité 2020 (1/3) : Méthodologies de Pente...
parAlphorm
 
Formation Linux - Initiation
parrobertpluss
 

Tendances

PDF
alphorm.com - Formation UML
parAlphorm
 
PDF
Alphorm.com Formation Red Hat RH124
parAlphorm
 
PDF
Etude et mise en place d’une solution open source de gestion de la sécurité d...
parMohammed LAAZIZLI
 
PDF
Mini projet Zabbix
parSamiMessaoudi4
 
PDF
Pfe master fst_final_decembre2015
parGhali Rahma
 
PDF
Manuel des TP : Atelier systèmes 2
parFaycel Chaoua
 
PDF
Exercice 1 java Héritage
parNadaBenLatifa
 
PDF
Serveur Zabbix
parDamien Morisseau
 
PDF
Mise en place de zabbix sur Ubuntu 22.04
parImnaTech
 
PDF
Tp n 5 linux
parAmir Souissi
 
PDF
Tp n 3 linux
parAmir Souissi
 
PDF
Mise en place de la solution d’authentification Radius sous réseau LAN câblé
parCharif Khrichfa
 
PPTX
Administration réseaux sous linux cours 1
parStephen Salama
 
PDF
Cours linux complet
paraubin82
 
PDF
Torkhanikarima-MémoireMastereProRx&telecom-FST2015-, Supervision et Monitorin...
parKarima Torkhani
 
PDF
TP C++ : Correction
parYoussouf EL ALLIOUI
 
PDF
Rapport PFE: Gestion de Parc Informatique
parEric Maxime
 
PPTX
Mise en place d’un serveur radius
parJeff Hermann Ela Aba
 
DOC
Rapport de stage nagios
parhindif
 
PDF
Systèmes d'Exploitation - chp1-introduction
parLilia Sfaxi
 
alphorm.com - Formation UML
parAlphorm
 
Alphorm.com Formation Red Hat RH124
parAlphorm
 
Etude et mise en place d’une solution open source de gestion de la sécurité d...
parMohammed LAAZIZLI
 
Mini projet Zabbix
parSamiMessaoudi4
 
Pfe master fst_final_decembre2015
parGhali Rahma
 
Manuel des TP : Atelier systèmes 2
parFaycel Chaoua
 
Exercice 1 java Héritage
parNadaBenLatifa
 
Serveur Zabbix
parDamien Morisseau
 
Mise en place de zabbix sur Ubuntu 22.04
parImnaTech
 
Tp n 5 linux
parAmir Souissi
 
Tp n 3 linux
parAmir Souissi
 
Mise en place de la solution d’authentification Radius sous réseau LAN câblé
parCharif Khrichfa
 
Administration réseaux sous linux cours 1
parStephen Salama
 
Cours linux complet
paraubin82
 
Torkhanikarima-MémoireMastereProRx&telecom-FST2015-, Supervision et Monitorin...
parKarima Torkhani
 
TP C++ : Correction
parYoussouf EL ALLIOUI
 
Rapport PFE: Gestion de Parc Informatique
parEric Maxime
 
Mise en place d’un serveur radius
parJeff Hermann Ela Aba
 
Rapport de stage nagios
parhindif
 
Systèmes d'Exploitation - chp1-introduction
parLilia Sfaxi
 

En vedette

PDF
Alphorm.com Formation KVM
parAlphorm
 
PDF
Alphorm.com Formation RDS Windows Server 2012 R2
parAlphorm
 
PDF
Alphorm.com Formation Linux LPIC-3 (examen 300) Environnement mixte
parAlphorm
 
PDF
Alphorm.com Support de la Formation LPIC-1 version 4 ss
parAlphorm
 
PDF
Alphorm.com Formation Exchange 2016, Configuration Avancée
parAlphorm
 
PDF
Alphorm.com Support de la Formation PromoxVE 4.x
parAlphorm
 
PDF
Alphorm.com Formation SCCM 2012 R2
parAlphorm
 
PDF
alphorm.com - Formation Windows Server Core 2008 (R2)
parAlphorm
 
PDF
Alphorm.com support de la formation windows 10 administration des services av...
parAlphorm
 
PDF
Alphorm.com Formation WordPress 4
parAlphorm
 
PDF
Alphorm.com Formation les fondamentaux de Matlab 2013 A
parAlphorm
 
PDF
Alphorm.com Support de la Formation Microsoft Identity Manager (MIM) 2016 Imp...
parAlphorm
 
PDF
Alphorm.com Formation Stormshield version 3 - Comprendre les mises à jour
parAlphorm
 
PDF
alphorm.com - Formation XenSources
parAlphorm
 
PDF
Alphorm.com Formation OS X 10.11 Client El Capitan , avancé
parAlphorm
 
PDF
Alphorm.com Support de la Formation Windows Containers
parAlphorm
 
PDF
alphorm.com - Formation Windows Server Core 2012 R2 - Guide de l'Admin IT
parAlphorm
 
PDF
Alphorm.com Formation Déployer Xen Desktop 7.6 ET XenApp 7.6
parAlphorm
 
PDF
Alphorm.com Formation Lync Server 2013 (70-336)
parAlphorm
 
PDF
Alphorm.com ressources-formation-hacking-et-securite-reseaux-sans-fils
parAlphorm
 
Alphorm.com Formation KVM
parAlphorm
 
Alphorm.com Formation RDS Windows Server 2012 R2
parAlphorm
 
Alphorm.com Formation Linux LPIC-3 (examen 300) Environnement mixte
parAlphorm
 
Alphorm.com Support de la Formation LPIC-1 version 4 ss
parAlphorm
 
Alphorm.com Formation Exchange 2016, Configuration Avancée
parAlphorm
 
Alphorm.com Support de la Formation PromoxVE 4.x
parAlphorm
 
Alphorm.com Formation SCCM 2012 R2
parAlphorm
 
alphorm.com - Formation Windows Server Core 2008 (R2)
parAlphorm
 
Alphorm.com support de la formation windows 10 administration des services av...
parAlphorm
 
Alphorm.com Formation WordPress 4
parAlphorm
 
Alphorm.com Formation les fondamentaux de Matlab 2013 A
parAlphorm
 
Alphorm.com Support de la Formation Microsoft Identity Manager (MIM) 2016 Imp...
parAlphorm
 
Alphorm.com Formation Stormshield version 3 - Comprendre les mises à jour
parAlphorm
 
alphorm.com - Formation XenSources
parAlphorm
 
Alphorm.com Formation OS X 10.11 Client El Capitan , avancé
parAlphorm
 
Alphorm.com Support de la Formation Windows Containers
parAlphorm
 
alphorm.com - Formation Windows Server Core 2012 R2 - Guide de l'Admin IT
parAlphorm
 
Alphorm.com Formation Déployer Xen Desktop 7.6 ET XenApp 7.6
parAlphorm
 
Alphorm.com Formation Lync Server 2013 (70-336)
parAlphorm
 
Alphorm.com ressources-formation-hacking-et-securite-reseaux-sans-fils
parAlphorm
 

Similaire à alphorm.com - Formation Linux LPIC-2

ODP
09 02 configuration du serveur nfs
parNoël
 
ODP
08 01 mise en place d'un serveur web
parNoël
 
ODP
01 04 compilation du noyau
parNoël
 
PDF
Alphorm.com Formation LXC
parAlphorm
 
ODP
01 01 composants du noyau
parNoël
 
ODP
LPIC1 07 02 procfs
parNoël
 
ODP
02 02 linux standard base
parNoël
 
ODP
LPIC1 07 05 intro-kernel
parNoël
 
ODP
01 06 gestion et interrogation du noyau et des modules noyau en exécution
parNoël
 
ODP
01 06 gestion et interrogation du noyau et des modules noyau en exécution
parNoël
 
ODP
02 03 récupération du système
parNoël
 
ODP
LPIC1 09 02 ps
parNoël
 
ODP
06 01 construction et installation de programmes à partir du code source
parNoël
 
ODP
LPIC1 08 01 démarrage
parNoël
 
ODP
01 05 installation d'un noyau et de modules noyau
parNoël
 
ODP
03 03 montage automatique
parNoël
 
ODP
01 03 personnalisation et configuration d'un noyau
parNoël
 
ODP
LPIC1 07 01 introduction à l'administration du matériel
parNoël
 
ODP
LPIC1 02 03 aide
parNoël
 
ODP
LPIC1 09 06 kill
parNoël
 
09 02 configuration du serveur nfs
parNoël
 
08 01 mise en place d'un serveur web
parNoël
 
01 04 compilation du noyau
parNoël
 
Alphorm.com Formation LXC
parAlphorm
 
01 01 composants du noyau
parNoël
 
LPIC1 07 02 procfs
parNoël
 
02 02 linux standard base
parNoël
 
LPIC1 07 05 intro-kernel
parNoël
 
01 06 gestion et interrogation du noyau et des modules noyau en exécution
parNoël
 
01 06 gestion et interrogation du noyau et des modules noyau en exécution
parNoël
 
02 03 récupération du système
parNoël
 
LPIC1 09 02 ps
parNoël
 
06 01 construction et installation de programmes à partir du code source
parNoël
 
LPIC1 08 01 démarrage
parNoël
 
01 05 installation d'un noyau et de modules noyau
parNoël
 
03 03 montage automatique
parNoël
 
01 03 personnalisation et configuration d'un noyau
parNoël
 
LPIC1 07 01 introduction à l'administration du matériel
parNoël
 
LPIC1 02 03 aide
parNoël
 
LPIC1 09 06 kill
parNoël
 

Plus de Alphorm

PDF
Alphorm.com Formation Techniques de Blue Teaming : L'Essentiel pour l'Analyst...
parAlphorm
 
PDF
Alphorm.com Formation CCNP ENCOR 350-401 (6of8) : Sécurité
parAlphorm
 
PDF
Alphorm.com Formation VMware vSphere 7 : La Mise à Niveau
parAlphorm
 
PDF
Alphorm.com Formation Vue JS 3 : Exploiter la Composition API
parAlphorm
 
PDF
Alphorm.com Formation Active Directory 2022 : Multi Sites et Services
parAlphorm
 
PDF
Alphorm.com Formation Blockchain : Maîtriser la Conception d'Architectures
parAlphorm
 
PDF
Alphorm.com Formation Microsoft 365 (MS-500) : Administrateur Sécurité - Prot...
parAlphorm
 
PDF
Alphorm.com Formation Sage : Gestion Commerciale
parAlphorm
 
PDF
Alphorm.com Formation Architecture Microservices : Jenkins et SpringBoot
parAlphorm
 
PDF
Alphorm.com Formation Apprendre les bonnes pratiques de CSS avec BEM : OOCSS ...
parAlphorm
 
PDF
Alphorm.com Formation Vue JS 3 : Créer une application de A à Z
parAlphorm
 
PDF
Alphorm.com Formation Power BI : Transformation de Données avec DAX et Power ...
parAlphorm
 
PDF
Alphorm.com Formation PHP 8 : Les bases de la POO
parAlphorm
 
PDF
Alphorm.com Formation PHP 8 (2/6) : L'héritage en orienté objet
parAlphorm
 
PDF
Alphorm.com Formation Maya 3D : Créer un Design d'intérieur au Style Isométrique
parAlphorm
 
PDF
Alphorm.com Formation Excel 2019 : Concevoir un Tableau de Bord Interactif
parAlphorm
 
PDF
Alphorm.com Formation Améliorer le développement avec CSS-in-JS _ Styled Comp...
parAlphorm
 
PDF
Alphorm.com Formation Unity (6/7) : Maitriser l'Intelligence Artificielle de ...
parAlphorm
 
PDF
Alphorm.com Formation Unity : Monétiser votre jeu 3D sur les plateformes Mobiles
parAlphorm
 
PDF
Alphorm.com Formation Google Sheets : Créer un Tableau de Bord Collaboratif a...
parAlphorm
 
Alphorm.com Formation Techniques de Blue Teaming : L'Essentiel pour l'Analyst...
parAlphorm
 
Alphorm.com Formation CCNP ENCOR 350-401 (6of8) : Sécurité
parAlphorm
 
Alphorm.com Formation VMware vSphere 7 : La Mise à Niveau
parAlphorm
 
Alphorm.com Formation Vue JS 3 : Exploiter la Composition API
parAlphorm
 
Alphorm.com Formation Active Directory 2022 : Multi Sites et Services
parAlphorm
 
Alphorm.com Formation Blockchain : Maîtriser la Conception d'Architectures
parAlphorm
 
Alphorm.com Formation Microsoft 365 (MS-500) : Administrateur Sécurité - Prot...
parAlphorm
 
Alphorm.com Formation Sage : Gestion Commerciale
parAlphorm
 
Alphorm.com Formation Architecture Microservices : Jenkins et SpringBoot
parAlphorm
 
Alphorm.com Formation Apprendre les bonnes pratiques de CSS avec BEM : OOCSS ...
parAlphorm
 
Alphorm.com Formation Vue JS 3 : Créer une application de A à Z
parAlphorm
 
Alphorm.com Formation Power BI : Transformation de Données avec DAX et Power ...
parAlphorm
 
Alphorm.com Formation PHP 8 : Les bases de la POO
parAlphorm
 
Alphorm.com Formation PHP 8 (2/6) : L'héritage en orienté objet
parAlphorm
 
Alphorm.com Formation Maya 3D : Créer un Design d'intérieur au Style Isométrique
parAlphorm
 
Alphorm.com Formation Excel 2019 : Concevoir un Tableau de Bord Interactif
parAlphorm
 
Alphorm.com Formation Améliorer le développement avec CSS-in-JS _ Styled Comp...
parAlphorm
 
Alphorm.com Formation Unity (6/7) : Maitriser l'Intelligence Artificielle de ...
parAlphorm
 
Alphorm.com Formation Unity : Monétiser votre jeu 3D sur les plateformes Mobiles
parAlphorm
 
Alphorm.com Formation Google Sheets : Créer un Tableau de Bord Collaboratif a...
parAlphorm
 

Dernier

PPTX
presentation-linuxmaine-dpdk-25122025.pptx
parThierry Gayet
 
PDF
framework big data kafaka , streaming all
parBenyaagoubIhab
 
PDF
Lecon Introduction oracle academy a apex
parsirimaa91
 
PDF
Comptoir OCTO - Mettre en production des agents IA : établir les bases de la ...
parOCTO Technology
 
PDF
Cloud-S3.pdf-Le Cloud Computing-INTRODUCTION
parmahamatismaelabdelke
 
PDF
Chapitre 1-base de securite informatique-2026.pdf
parmahamatismaelabdelke
 
presentation-linuxmaine-dpdk-25122025.pptx
parThierry Gayet
 
framework big data kafaka , streaming all
parBenyaagoubIhab
 
Lecon Introduction oracle academy a apex
parsirimaa91
 
Comptoir OCTO - Mettre en production des agents IA : établir les bases de la ...
parOCTO Technology
 
Cloud-S3.pdf-Le Cloud Computing-INTRODUCTION
parmahamatismaelabdelke
 
Chapitre 1-base de securite informatique-2026.pdf
parmahamatismaelabdelke
 

alphorm.com - Formation Linux LPIC-2

  • 1.
    Introduction Présentation de la formation Site: http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 2.
    Plan • Présentation duformateur • Qu’est ce que Linux • Le plan de formation • Présentation de la formation • Outils nécessaires • Comment travailler • Les références des ressources logicielles • Les liens utiles Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 3.
    Présentation du formateur •Noël Macé • alphorm@noelmace.com • Formateur consultant expert Unix et FOSS • Mes références :  Mon profil Viadeo : http://fr.viadeo.com/fr/profile/noel.mace  Mon parcours : http://vizualize.me/noelmace  Mon site : http://noelmace.com • Contacts • Blogs • Base de connaissance • CV • Etc … Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 4.
    Qu’est ce queLinux ? • Un kernel  Développé par Linux Torvalds à partir de Minix  En 1991 • Un système d’exploitation  Libre et open source  Issu du projet GNU (1983)  Leader sur : • les serveurs web (65%) • Les systèmes embarqués • Les super-calculateurs Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 5.
    Le plan deformation LPIC 202 LPIC 201 • Topic 201: Noyau Linux • Topic 208: Services web • Topic 202: Démarrage du système • Topic 209: Partage de fichiers • Topic 203: Système de fichiers et • Topic 210: Gestion des clients du réseau périphériques • Topic 204: Administration avancée des périphériques de stockage • Topic 205: Configuration réseau • Topic 211: Services de Messagerie • Topic 212: Sécurité système • Topic 213: Dépannage • Topic 206: Maintenance système • Topic 207: Domain Name Server Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 6.
    Certification • LPIC2 :http://www.lpi.org/linux-certifications/programs/lpic-2 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 7.
    Présentation de laformation • Orientée certification  Basée sur le parcours officiel • Acquisition d’un grand nombre de connaissances  Pratiques  théoriques Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 8.
    Outils nécessaires • Deuxgrandes familles de distribution Linux :  Debian (Ubuntu, Damn Small Linux, etc …)  Red Hat (RHEL, Fedora, Centos, Mandriva, etc …) • Peu de ressources matérielles exigées :  Dual-boot Debian / Fedora  Ou Machines virtuels (vitualbox) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 9.
    Outils nécessaires (2) OU LinuxLPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 10.
    Comment travailler • Lapratique, toujours la pratique :  Utiliser Linux au quotidien  Être curieux !  Reproduire les opérations effectuées dans chaque vidéo • Se documenter  Un très grand nombre de ressources sont disponibles  Ce cours ne peu pas tout traiter  Lire le man !  Effectuer des recherches sur internet Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 11.
    Les références desressources logicielles • Linux Debian : http://www.debian.org • Fedora : http://fedoraproject.org/ • Virtualbox : https://www.virtualbox.org/ • Virtualboxes : http://virtualboxes.org/ Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 12.
    Les liens utiles •Supports officiels et communautaires des distributions : • Forums et irc :  forum ubuntu-fr  Ubuntu (en)  le forum des débutant de DLFP  Ubuntu-fr  linuxforums.org (en)  Debian  forum Linux de développez.com  Gentoo (en)  Fedora (en)  RedHat (en)  OpenSuse (en)  The Linux Documentation Project  Archlinux (en)  Linux Documentation by die.net  Linux Kernel Documentation  Comment ça marche  Yet Another « Guide d’installation de Linux »  Linux pas-à-pas  section Linux de developpez.com  Flashcard exchange • Autres ressources utiles : • Supports recommandés par LPI :  LPIC-1 & LPIC-2 free educational manuals  Free online exam preparation guide for LPIC-2 • Examens d’entrainement :  Linux Praxis  PenguinTutor  MC MCSE Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 13.
    Go ! Linux LPIC-2 toutdroits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 14.
    Noyau Linux Composants du noyau Site: http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 15.
    Plan • Rappel : lenoyau Linux • Récupérer les sources • Structure • Dossiers principaux • Les différents "types" de monobloc • Documentation Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 16.
    Rappel : le noyauLinux • offre une abstraction matérielle pour les logiciels • gestion des processus • partie la plus critique de l'OS • rôle central Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 17.
    Récupérer les sources •http://www.kernel.org • Linux-version.tar.gz ou bz2 ou xz  Décompresser (commande tar) dans /usr/src/  Ou dans un autre répertoire, puis établir un lien symbolique • Par paquet  Debian etc … # apt-get install linux-source # apt-get install linux-source  CentOS (plus de parquet kernel-source) $ rpm -i $ rpm -i Linux LPIC-2 http://vault.centos.org/6.4/updates/Source/SPackages/kernel-2.6.32-358.6.2.el6.src.rpm http://vault.centos.org/6.4/updates/Source/SPackages/kernel-2.6.32-358.6.2.el6.src.rpm tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 18.
    Versioning • Trois (voirquatre) nombres :  exemples : • 2.6.24(.x) = majeure 2 – mineure 6 – révision 24 • 3.9(.x) = version 3 – révision 9 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 19.
    Structure • Un fichierprincipal  "monobloc"  Fonctionnalités critiques  Directement chargé au démarrage • Des modules  Optionnellement  Chargés et déchargés dynamiquement Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 20.
    Dossiers principaux • ./drivers •./fs • ./net Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 21.
    Les différents "types"de monobloc • vmlinux • vmlinuz • zImage • BzImage • kernel Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 22.
    Documentation • /usr/src/linux-*/README • /usr/src/linux-source-2.6.x/Documentation/  00-INDEX LinuxLPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 23.
    Ce qu’on acouvert • Comment récupérer les sources d'un noyau Linux. • Quelle est la structure du noyau Linux. • Comment mieux comprendre son arborescence. 201.1 Kernel Components Weight : 2 Description : Candidates should be able to utilise kernel components that are necessary to specific hardware, hardware drivers, system resources and requirements. This objective includes implementing different types of kernel images, identifying stable and development kernels and patches, as well as using kernel modules. Key Knowledge Areas:  Kernel 2.6.x documentation  Kernel 3.x documentation The following is a partial list of the used files, terms and utilities:  /usr/src/linux  /usr/src/linux/Documentation  zImage  bzImage Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 24.
    Noyau Linux Application de correctifs(patchs) à un noyau Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 25.
    Plan • Introduction • Méthodesimple • Tester • Permettre une récupération • Restauration à partir de fichiers .orig Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 26.
    Introduction • Permet demettre à jour l'image d'un noyau  à partir de sources pré-existantes • Plus léger donc plus rapide à récupérer qu'un noyau complet. • Permet d'ajouter ou modifier un ou plusieurs éléments  ajout de fonctionnalités  drivers tiers ou expérimentaux  correction de bugs  etc ... Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 27.
    Méthode simple • sedéplacer dans le dossier source # cd /usr/src/ # cd /usr/src/ • décompresser et appliquer le patch # gzip -cd patch-version.gz | patch -p0 # gzip -cd patch-version.gz | patch -p0 # bzip2 -dc patch-version.bz2 | patch -p0 # bzip2 -dc patch-version.bz2 | patch -p0 # patch -p0 < patch-version # patch -p0 < patch-version • L'option -p permet de situer le patch par rapport aux sources  -p0 si dans /usr/src  -p1 si dans /usr/src/linux Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 28.
    Tester # patch -p1-dry-run < fichier_du_patch # patch -p1 -dry-run < fichier_du_patch Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 29.
    Permettre une récupération •Plusieurs méthodes, suivant l'application du patch  Méthode de patching simple : appliquer un patch à l'envers # zcat patch-2.4.22.gz | patch -p0 -R # zcat patch-2.4.22.gz | patch -p0 -R  Effectuer une sauvegarde avant le patch # patch -B oldfiles/ -p0 < patch-file # patch -B oldfiles/ -p0 < patch-file • récupération # diff -ur linux-2.4.21 oldfiles/linux-2.4.21 > recover-2.4.21-patch # diff -ur linux-2.4.21 oldfiles/linux-2.4.21 > recover-2.4.21-patch  Conserver les fichiers d'origine # patch -b -P0 < fichier_patch # patch -b -P0 < fichier_patch Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 30.
    .orig for file in$(find linux-2.4.29 | grep orig) for file in $(find linux-2.4.29 | grep orig) do do FILENAME=$(echo $file | sed 's/.orig//') FILENAME=$(echo $file | sed 's/.orig//') mv -f $file $FILENAME mv -f $file $FILENAME done done Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 31.
    Ce qu’on acouvert • Qu'est qu'un patch. • Comment appliquer un patch. • Comment récupérer une image avant patching. 201.3 Patching a kernel Weight : 1 Description : Candidates should be able to properly patch a kernel to add support for new hardware. This objective also includes being able to properly remove kernel patches from already patched kernels. Key Knowledge Areas:  Kernel Makefiles The following is a partial list of the used files, terms and utilities:  patch  gzip  bzip2 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 32.
    Noyau Linux Personnalisation et configurationdu noyau Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 33.
    Plan • Introduction • Étudierson matériel • La commande make • Nettoyage • Configuration • Démonstration Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 34.
    Introduction • Une personnalisationdu noyau est indispensable avant sa compilation.  choix des fonctionnalités à intégré  modularité Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 35.
    La commande make $make [ -f makefile ] [ options ] ... [ targets ] ... $ make [ -f makefile ] [ options ] ... [ targets ] ... • Permet  la configuration  la compilation  l'installation • Plusieurs "cibles" (make targets) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 36.
    Etudier son matériel •Rappels LPIC1  lspci  lsmod  etc ... • Méthodes "génériques"  manuel du matériel  inspection visuelle Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 37.
    Nettoyage • "Cibles" demake  clean  mrproper  distclean Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 38.
    Configuration • Plusieurs typesd'interfaces utilisateur • création d'un fichier /usr/src/linux/.config • "Cibles" de make  par CLI : config  via ncurses : menuconfig  via X : xconfig  via GTK+ : gconfig  à partir d'une ancienne configuration : oldconfig Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 39.
    Ce qu’on acouvert • Comment préparer la compilation du noyau Linux. 201.4 Customise, build and install a custom kernel and kernel modules (Partiellement) Weight : 2 Description : Candidates should be able to customise, build and install a 2.6 or 3.x kernel for specific system requirements, by patching, compiling and editing configuration files as required. This objective includes being able to assess requirements for a kernel compile as well as build and configure kernel modules. Key Knowledge Areas:  Customize the current kernel configuration.  /usr/src/linux/ The following is a partial list of the used files, terms and utilities:  /usr/src/linux/*  /usr/src/linux/.config  make targets: config, menuconfig, xconfig, gconfig oldconfig Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 40.
    Noyau Linux Compilation du noyau Site: http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 41.
    Plan • Résumé desopérations • Vérifier les dépendances • Méthode simple et complète • Compiler le monobloc • Compiler les modules dynamiques • INITIal Ram Disk • Création d'un initrd • mkinitrd • mkinitramfs Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 42.
    Résumé des opérations #make dep && make clean && make bzImage && make modules # make dep && make clean && make bzImage && make modules > && make modules_install > && make modules_install • Vérifier les dépendances • Nettoyer • Compilation de monobloc • Compilation des modules • Installation des modules Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 43.
    Vérifier les dépendances $make dep $ make dep • S'assurer que toutes les dépendances sont en place  exemples : fichiers include Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 44.
    Méthode simple etcomplète $ make [all] $ make [all] • Dans le répertoire des sources • Construit le monobloc et les modules • Suffisant  si aucune erreur  et tout les utilitaires nécessaires présent • Astuce $ make [all] | grep -iw "error" $ make [all] | grep -iw "error" Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 45.
    Compiler le monobloc $make [zImage | bzImage] $ make [zImage | bzImage] • Permet de choisir le type de monobloc à compiler Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 46.
    Compiler les modulesdynamiques $ make modules $ make modules Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 47.
    Créer un package •Pour CentOS $ make rpm $ make rpm • Pour Debian $ make-kpkg kernel_image $ make-kpkg kernel_image Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 48.
    INITial Ram Disk •Rappel : cf LPIC1 • Chargé au démarrage • Système de fichier  initramfs (cramfs, squashfs)  chargé en mémoire vive • Contient certains modules nécessaires au démarrage  permet d'utiliser un kernel minimal  plus grande souplesse Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 49.
    Création d'un initrd •Nombreux outils • Varient suivant les distributions • Deux plus courants :  mkinitrd  mkinitramfs Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 50.
    mkinitrd # mkinitrd imageKernelVersion # mkinitrd image KernelVersion • Options   --version  -v : verbose  --preload=MonModule  --builtin=MonModule  -f: permettre d'écraser une image existante --nocompress  --nopivot  --omit-lvm-modules  --omit-raid-modules --with=MonModule  --image-version   --fstab=filename • Exemple # mkinitrd /boot/initrd-2.6.35.4.img 2.6.35.4 # mkinitrd /boot/initrd-2.6.35.4.img 2.6.35.4 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 51.
    mkinitramfs # mkinitramfs -o/boot/initramfs-2.6.35.4.img 2.6.35.4 # mkinitramfs -o /boot/initramfs-2.6.35.4.img 2.6.35.4 • Options :  -d confdir  -k  -o outfile  -r root  -v  --supported-host-version=version  --supported-target-version=version Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 52.
    Ce qu’on acouvert • Comment compiler le kernel. • Comment créer un initrd. 201.4 Customise, build and install a custom kernel and kernel modules (Partiellement) Key Knowledge Areas:  /usr/src/linux/  Build a new kernel and appropriate kernel modules. The following is a partial list of the used files, terms and utilities:   make /usr/src/linux/* 201.2 Compiling a kernel (Partiellement) Weight : 2 Description : Candidates should be able to properly configure a kernel to include or disable specific features of the Linux kernel as necessary. This objective includes compiling and recompiling the Linux kernel as needed, updating and noting changes in a new kernel, creating an initrd image and installing new kernels. Key Knowledge Areas:  /usr/src/linux/  Kernel 2.6.x make targets  Kernel 3.x make targets The following is a partial list of the used files, terms and utilities:  mkinitrd  mkinitramfs  make  make targets (config, xconfig, menuconfig, oldconfig, mrproper, zImage, bzImage, modules, modules_install) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 53.
    Noyau Linux Installation d'un noyauet de modules noyau Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 54.
    Plan • Méthode simpleet complète • system.map • Modules • Configuration de GRUB Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 55.
    Méthode simple etcomplète # make install # make install • Installe tout les composants  copie du monobloc dans /boot  system.map (voir plus loin)  création et mise en place d'un initrd  modification éventuelle de GRUB Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 56.
    system.map • pointeurs verscertaines fonctions du kernel   # # # # # # utiles pour débugger certains problèmes pas indispensable cp cp rm rm ln ln System.map /boot/System.map-2.6.35.4 System.map /boot/System.map-2.6.35.4 /boot/System.map /boot/System.map -s /boot/System.map-2.6.35.4 /boot/System.map -s /boot/System.map-2.6.35.4 /boot/System.map Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 57.
    Modules • Dans /lib/modules/kernel-version/ #make modules_install # make modules_install Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 58.
    Configuration de GRUB •Legacy (rappel LPIC1) title GNU/Linux, kernel 2.6.8 title GNU/Linux, kernel 2.6.8 root (hd0,0) root (hd0,0) kernel /boot/vmlinuz-2.6.8 kernel /boot/vmlinuz-2.6.8 root=/dev/hda1 ro root=/dev/hda1 ro initrd /boot/initrd.img-2.6.8 initrd /boot/initrd.img-2.6.8 savedefault savedefault boot boot • GRUB2 : cf LPIC1 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 59.
    Ce qu’on acouvert • Comment installer un noyau Linux. 201.2 Compiling a kernel (suite) Key Knowledge Areas:  GRUB configuration files The following is a partial list of the used files, terms and utilities:  make targets (modules_install) 201.4 Customise, build and install a custom kernel and kernel modules (Partiellement) Weight : 2 Description : Candidates should be able to customise, build and install a 2.6 or 3.x kernel for specific system requirements, by patching, compiling and editing configuration files as required. This objective includes being able to assess requirements for a kernel compile as well as build and configure kernel modules. Key Knowledge Areas:   Install a new kernel and any modules. Ensure that the boot manager can locate the new kernel and associated files. The following is a partial list of the used files, terms and utilities:  make  /boot/*  make targets: install, modules_install Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 60.
    Noyau Linux Gestion etinterrogation du noyau et des modules en exécution Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 61.
    Plan • Introduction • Afficherles modules actuellement chargés • Charger un module • Décharger un module • Informations • Configuration • Dépendances Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 62.
    Introduction • Rappels : cfLPIC1 – Chapitre 5.8 (matériel)  gestion dynamique des modules  afficher, charger et décharger • Pour aller plus loin :  informations  configuration  dépendances Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 63.
    Afficher les modulesactuellement chargés $ lsmod $ lsmod Module Module isofs isofs zlib_inflate zlib_inflate floppy floppy nls_iso8859_1 nls_iso8859_1 nls_cp437 nls_cp437 vfat vfat fat fat sr_mod sr_mod ide_cd ide_cd cdrom cdrom Size Size 35820 35820 21888 21888 65200 65200 5568 5568 7296 7296 15680 15680 49536 49536 19236 19236 42848 42848 39080 39080 nom taille Linux LPIC-2 Used by Used by 0 0 1 isofs 1 isofs 0 0 1 1 1 1 1 1 1 vfat 1 vfat 0 0 0 0 2 sr_mod,ide_cd 2 sr_mod,ide_cd nombre et noms des modules l'utilisant tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 64.
    Charger un module #insmode chemin_vers_le_module # insmode chemin_vers_le_module • charge un seul et unique module • nécessite d'avoir chargé les modules dont il dépend • Exemple : # insmod /lib/modules/2.6.26/kernel/drivers/block/floppy.ko # insmod /lib/modules/2.6.26/kernel/drivers/block/floppy.ko Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 65.
    Charger un module(2) # modprobe nom_du_module # modprobe nom_du_module • Options :  -v : verbose  -C fichier : changer de fichier de configuration • /etc/modprobe.conf par défaut  -n : test  -r : décharger un module  -- show-depends  -l : lister les modules disponibles Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 66.
    Décharger un module #rmmod nom_du_module # rmmod nom_du_module • Permet de libérer de la mémoire • Options :  -v : verbose  -f : force  -w : wait Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 67.
    Informations $ modinfo [-0][-F field] [modulename|filename ...] $ modinfo [-0] [-F field] [modulename|filename ...] $ uname [-snrvmapio] $ uname [-snrvmapio] Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 68.
    Configuration • /etc/modules.conf ou/etc/modprobe.conf ou /etc/modprobe.d/* • Directives :  alias aliasname result  depfile=full_path  path=path  keep  options modulename module-specific-options •  cf modprobe pre-install module command • etc ... Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 69.
    Dépendances • /lib/modules/kernel-version/modules.dep : listedes dépendances  générée par la commande depmod -a •  à partir des chemins indiqués dans /etc/modules.conf utilisé par modprobe • pour déterminer l'ordre de (dé)chargement des modules - déchargement : de gauche à droite - chargement : de droit à gauche Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 70.
    Ce qu’on acouvert • Gestion des modules et du kernel. 201.4 Customise, build and install a custom kernel and kernel modules (Partiellement) Key Knowledge Areas:  Module configuration files The following is a partial list of the used files, terms and utilities:  module tools  depmod 201.5 Manage/Query kernel and kernel modules at runtime Weight : 3 Description : Candidates should be able to manage and/or query a 2.6.x or 3.x kernel and its loadable modules. Key Knowledge Areas:  Use command-line utilities to get information about the currently running kernel and kernel modules.  Manually load and unload kernel modules.  Determine when modules can be unloaded.  Determine what parameters a module accepts.  Configure the system to load modules by names other than their file name. The following is a partial list of the used files, terms and utilities:  /lib/modules/kernel-version/modules.dep  module configuration files in /etc  /proc/sys/kernel/  depmod  insmod  lsmod  rmmod  modinfo  modprobe  uname Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 71.
    Démarrage du système Personnalisation dudémarrage système Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 72.
    Plan • Rappels LPIC1 •inittab : actions  procédure de démarrage  au démarrage  runlevels  à l'entrée dans un runlevel  chkconfig  relatives à l'alimentation  update-rc.d  diverses  afficher et changer de runlevel  inittab Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 73.
    Rappel LPIC1 : procédurede démarrage Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 74.
    Rappel LPIC1 : Runlevels RunLevel Debian N amorçage 0 Suse RedHat ARRET S mono-utilisateur au démarrage 1 mono-utilisateur commuté mono-utilisateur 2 multi-utilisateur Multi-utilisateur déconnecté … 3 … mode connecté (réseau) multi-utilisateur en mode console 4 … … … 5 … 6 redémarrage 8 … 9 Linux LPIC-2 mode-graphique (X11) … tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 75.
    chkconfig • Lister lesassociations services / runlevel # chkconfig --list [service] # chkconfig --list [service] • modifier le comportement d'un service pour un ou plusieurs runlevels # chkconfig --level [0123456] service [on/off/reset] # chkconfig --level [0123456] service [on/off/reset] • ajouter un service # chkconfig --add service # chkconfig --add service Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 76.
    update-rc.d • désactiver unservice # update-rc.d NomService remove # update-rc.d NomService remove • modifier le comportement d'un service pour un ou plusieurs runlevels # update-rc.d NomService start XX 2 3 4 5 . stop XX 0 1 6 . # update-rc.d NomService start XX 2 3 4 5 . stop XX 0 1 6 . • ajouter un service # update-rc.d NomService defaults # update-rc.d NomService defaults Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 77.
    Afficher et changerde runlevel • afficher le runlevel actuel $ runlevel $ runlevel • changer de runlevel # init [0123456Qq] # init [0123456Qq] # telinit [0123456Qq] # telinit [0123456Qq] • Eteindre ou redémarrer # shutdown [-rhc] time ["Warning Message"] # shutdown [-rhc] time ["Warning Message"] # halt / # reboot / # poweroff # halt / # reboot / # poweroff Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 78.
    Rappel : inittab • /etc/inittab •configuration de init • id:runlevels:action:process Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 79.
    inittab : actions audémarrage • sysinit • boot • bootwait • initdefault Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 80.
    inittab : actions àl'entrée dans un runlevel • once • ondemand Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 81.
    inittab : actions relativesà l'alimentation • powerwait • powerfail • powerokwait • powerfailnow Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 82.
    inittab : actions diverses •off • ctrlaltdel • kdbrequest Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 83.
    Ce qu’on acouvert • Rappels : procédures de démarrage et runlevels • Les actions de inittab. 202.1 Customising system startup and boot processes Weight : 4 Description : Candidates should be able to query and modify the behaviour of system services at various run levels. A thorough understanding of the init structure and boot process is required. This objective includes interacting with run levels. Key Knowledge Areas: • Linux Standard Base Specification (LSB) The following is a partial list of the used files, terms and utilities:  /etc/inittab  /etc/init.d/  /etc/rc.d/  chkconfig  update-rc.d Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 84.
    Démarrage du système LinuxStandard Base Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 85.
    Plan • Introduction • Unefamille de spécifications • Librairies et commandes • Système • Fonctions disponibles pour les bootscripts • Packaging Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 86.
    Introduction • crée enjuillet 2001  dernière version : 4.1 (fev 2011) •  cf Linux Foundation ISO depuis la version 2.0.1 (nov 2001) • Standardisation des distributions GNU/Linux  étend POSIX, FHS, Single Unix Specification, etc …  pour l'interopérabilité  librairies, utilitaires, scripts, etc ... Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 87.
    Une famille despécifications • spécification d'une architecture processeur • deux parties : LSB-generic et LSB-arch Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 88.
    Librairies et commandes •génériques  ex : libdl, libcrypt, libpthread • spécifiques à une architecture  ex : libc, libm • spécification d'un chemin, d'un nom et d'un format • Plus de 130 commandes  ex : cp, tar, kill, gzip Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 89.
    Système • cron • runlevels •utilisateurs et groupes (uid/gid) • bootscripts  actions : start, stop, restart, force-reload & status • reload & try-restart (optionnels) • fonctions, chemin Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 90.
    Fonctions disponibles pourles bootscripts • /lib/lsb/init-functions • lancer un programme en tant que démon start_daemon [-f] [-n nicelevel] [-p pidfile] pathname [args...] start_daemon [-f] [-n nicelevel] [-p pidfile] pathname [args...] • stopper un programme killproc [-p pidfile] pathname [signal] killproc [-p pidfile] pathname [signal] • renvoyer le ou les pid d'un programme pidofproc [-p pidfile] pathname pidofproc [-p pidfile] pathname Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 91.
    Packaging • non indispensable •RPM  compatibilité sous Debian grâce à alien Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 92.
    Ce qu’on acouvert • Ce qu'est la LSB. • Son importance au niveau de la procédure de démarrage. 202.1 Customising system startup and boot processes Weight : 4 Description : Candidates should be able to query and modify the behaviour of system services at various run levels. A thorough understanding of the init structure and boot process is required. This objective includes interacting with run levels. Key Knowledge Areas:  Linux Standard Base Specification (LSB) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 93.
    Démarrage du système Récupérationdu système Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 94.
    Plan • GRUB : personnalisationdu démarrage • GRUB legacy Shell  Commandes de démarrage  Commandes diverses  Sauvetage • GRUB2 Shell  Sauvetage • fsck Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 95.
    GRUB : personnalisation dudémarrage • Choix du système ou du kernel  flèches haut et bas sur le menu • Single user mode  éditer une entrée du menu (touche e)  ajouter l'option "single" en fin de ligne "kernel"  Enter pour valider  Touche b pour démarrer • Changer les paramètres du kernel  même démarche que pour le single user mode • remplacer "single" par le ou les paramètre(s) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 96.
    GRUB legacy Shell •permet d'interagir directement avec GRUB  via CLI • disponible au démarrage (touche "c") • ou sous GNU/Linux (et autres systèmes Unix)  par émulation # grub # grub Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 97.
    Commandes de démarrage •afficher l'aide grub > help grub > help • sélectionner un périphérique racine grub > root [DEVICE [HDBIAS]] grub > root [DEVICE [HDBIAS]] • chargement d'un kernel à partir du périphérique racine grub > kernel [--no-mem-option] [--type=TYPE] grub > kernel [--no-mem-option] [--type=TYPE] • chargement de modules grub > module FILE [ARG ...] grub > module FILE [ARG ...] grub > modulenounzip FILE [ARG ...] grub > modulenounzip FILE [ARG ...] • démarrage grub > boot grub > boot Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 98.
    Commandes diverses • trouversur quel bloc un fichier est stocké grub > blocklist FILE grub > blocklist FILE • afficher la "géométrie" d'un disque grub > geometry DRIVE [CYLINDER HEAD SECTOR] grub > geometry DRIVE [CYLINDER HEAD SECTOR] • création d'une nouvelle partition grub > partnew PART TYPE START LEN grub > partnew PART TYPE START LEN • chargement d'un initrd grub > initrd FILE [ARG ...] grub > initrd FILE [ARG ...] Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 99.
    Sauvetage • Démarre directementsur le shell  erreur la plus courante : GRUB ne trouve pas les fichiers nécessaires • retrouver les fichiers (commande find) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 100.
    GRUB2 Shell • Basésur le scripting  nombreuses commandes internes  disponibles aussi bien via la CLI interne que pour les scripts Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 101.
    Sauvetage 1) afficher l'aide grubrescue> help grub rescue> help 2) afficher les variables grub rescue> set grub rescue> set 3) lister les partitions reconnues grub rescue> ls grub rescue> ls 4) redéfinir la valeur des variables grub rescue> set prefix=(hd0,msdos3)/boot/grub grub rescue> set prefix=(hd0,msdos3)/boot/grub grub rescue> set root=hd0,msdos3 grub rescue> set root=hd0,msdos3 5) passer en mode normal si besoin Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 102.
    fsck • Sortie  0 –Aucune erreur  1 – Erreurs du fs corrigées  2 – Le système doit être redémarré  4 – Erreurs du fs non corrigées  8 – Erreurs opérationnelles  16 – Erreur de syntaxe ou d'usage  128 – Erreur de librairie partagée • Message : "fsck failed. Please repair manually"  Ctrl-D pour ignorer  sinon, entrer le mot de passe root pour lancer sulogin •  accès à fsck et résolution des problèmes éventuels manuellement Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 103.
    Ce qu’on acouvert • Résoudre les pannes au démarrage du système. 202.2 System recovery Weight : 4 Description : Candidates should be able to properly manipulate a Linux system during both the boot process and during recovery mode. This objective includes using both the init utility and init-related kernel options. Key Knowledge Areas:  inittab  GRUB  grub shell The following is a partial list of the used files, terms and utilities:  init  mount  fsck  telinit Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 104.
    Système de fichierset périphériques Intervention sur le système de fichier GNU/Linux Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 105.
    Plan • Introduction : RappelsLPIC1  •  FAT  État actuel des montages  Créer un système de fichier • • Aller plus loin UUID SWAP • • mount • paramètres  Générer un UUID Vider le buffer umount   Connaître l'UUID d'une partition Fstab : exemple • Périphérique • Point de montage • fstype et options • dump et fsck Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 106.
    Introduction : Rappels LPIC1 •créer un système de fichier  création (formatage)  montage • manuel • automatique Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 107.
    Créer un systèmede fichier # mkfs.fstype partition # mkfs.fstype partition # mkfs –t fstype partition # mkfs –t fstype partition • Options :  -c : recherche de secteurs défectueux  -m pourcentage : pourcentage d'espace réservé • Linux LPIC-2 5 par défaut tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 108.
    FAT # mkfs.msdos partition #mkfs.msdos partition # mkfs.vfat partition # mkfs.vfat partition • Options :  -F fat-size : type / taille de FAT Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 109.
    SWAP • Extension dela mémoire  type code 0x82 • "formatage" # mkswap partition # mkswap partition • utilisation # swapon partition # swapon partition  ou cf /etc/fstab Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 110.
    mount $ mount [options][device] [mountpoint] $ mount [options] [device] [mountpoint] • Options : • Options :  -a : all (/etc/fstab)  -L label  -r : ro  -U uuid  -v : verbose  -o paramètres  -w : rw (défaut pour la plupart)  -t fstype Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 111.
    Paramètres • default • loop •auto / noauto • user / nouser • users • ro • rw • etc … Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 112.
    mount $ mount [options][device] [mountpoint] $ mount [options] [device] [mountpoint] • Options : • Options :  -a : all (/etc/fstab)  -L label  -r : ro  -U uuid  -v : verbose  -o paramètres  -w : rw (défaut pour la plupart)  -t fstype Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 113.
    Paramètres • default • loop •auto / noauto • user / nouser • users • ro • rw • etc … Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 114.
    umount $ umount [options][device] [mountpoint] $ umount [options] [device] [mountpoint] • Options :  -a : all  -f : force  -r : si échec, remonter en ro  -t fstype Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 115.
    Fstab : exemple • /etc/fstab #device mountpoint filesystem #device mount point filesystem /dev/hda1 / ext3 /dev/hda1 / ext3 UUID=3631a288-673e-40f5-9e96-6539fec468e9 UUID=3631a288-673e-40f5-9e96-6539fec468e9 /usr reiserfs /usr reiserfs LABEL=/home /home reiserfs LABEL=/home /home reiserfs /dev/hdb5 /windows vfat /dev/hdb5 /windows vfat /dev/hdc /media/cdrom iso9660 /dev/hdc /media/cdrom iso9660 /dev/sda1 /media/pen auto /dev/sda1 /media/pen auto server:/home /other/home nfs server:/home /other/home nfs //winsrv/shr /other/win cifs //winsrv/shr /other/win cifs /dev/hda4 swap swap /dev/hda4 swap swap Linux LPIC-2 options options defaults defaults dump dump 1 1 fsck fsck 1 1 defaults 0 defaults 0 defaults 0 defaults 0 uid=500,umask=0 0 uid=500,umask=0 0 users,noauto 0 users,noauto 0 users,noauto 0 users,noauto 0 users,exec 0 users,exec 0 users,credentials=/etc/creds 0 users,credentials=/etc/creds 0 defaults 0 defaults 0 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 alphorm.com
  • 116.
    Périphérique #device mount point filesystem #device mount point filesystem /dev/hda1 / ext3 /dev/hda1 / ext3 UUID=3631a288-673e-40f5-9e96-6539fec468e9 UUID=3631a288-673e-40f5-9e96-6539fec468e9 /usr reiserfs /usr reiserfs LABEL=/home /home reiserfs LABEL=/home /home reiserfs /dev/hdb5 /windows vfat /dev/hdb5 /windows vfat /dev/hdc /media/cdrom iso9660 /dev/hdc /media/cdrom iso9660 /dev/sda1 /media/pen auto /dev/sda1 /media/pen auto server:/home /other/home nfs server:/home /other/home nfs //winsrv/shr /other/win cifs //winsrv/shr /other/win cifs /dev/hda4 swap swap /dev/hda4 swap swap options options defaults defaults dump dump 1 1 fsck fsck 1 1 defaults 0 defaults 0 defaults 0 defaults 0 uid=500,umask=0 0 uid=500,umask=0 0 users,noauto 0 users,noauto 0 users,noauto 0 users,noauto 0 users,exec 0 users,exec 0 users,credentials=/etc/creds 0 users,credentials=/etc/creds 0 defaults 0 defaults 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 • udev • adresse • UUID=uuid • LABEL=label Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 117.
    Point de montage #device mountpoint filesystem #device mount point filesystem /dev/hda1 / ext3 /dev/hda1 / ext3 UUID=3631a288-673e-40f5-9e96-6539fec468e9 UUID=3631a288-673e-40f5-9e96-6539fec468e9 /usr reiserfs /usr reiserfs LABEL=/home /home reiserfs LABEL=/home /home reiserfs /dev/hdb5 /windows vfat /dev/hdb5 /windows vfat /dev/hdc /media/cdrom iso9660 /dev/hdc /media/cdrom iso9660 /dev/sda1 /media/pen auto /dev/sda1 /media/pen auto server:/home /other/home nfs server:/home /other/home nfs //winsrv/shr /other/win cifs //winsrv/shr /other/win cifs /dev/hda4 swap swap /dev/hda4 swap swap options options defaults defaults dump dump 1 1 fsck fsck 1 1 defaults 0 defaults 0 defaults 0 defaults 0 uid=500,umask=0 0 uid=500,umask=0 0 users,noauto 0 users,noauto 0 users,noauto 0 users,noauto 0 users,exec 0 users,exec 0 users,credentials=/etc/creds 0 users,credentials=/etc/creds 0 defaults 0 defaults 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 • dossier vide dans un autre fs  /  /home  swap Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 118.
    fstype et options #device mountpoint filesystem #device mount point filesystem /dev/hda1 / ext3 /dev/hda1 / ext3 UUID=3631a288-673e-40f5-9e96-6539fec468e9 UUID=3631a288-673e-40f5-9e96-6539fec468e9 /usr reiserfs /usr reiserfs LABEL=/home /home reiserfs LABEL=/home /home reiserfs /dev/hdb5 /windows vfat /dev/hdb5 /windows vfat /dev/hdc /media/cdrom iso9660 /dev/hdc /media/cdrom iso9660 /dev/sda1 /media/pen auto /dev/sda1 /media/pen auto server:/home /other/home nfs server:/home /other/home nfs //winsrv/shr /other/win cifs //winsrv/shr /other/win cifs /dev/hda4 swap swap /dev/hda4 swap swap options options defaults defaults dump dump 1 1 fsck fsck 1 1 defaults 0 defaults 0 defaults 0 defaults 0 uid=500,umask=0 0 uid=500,umask=0 0 users,noauto 0 users,noauto 0 users,noauto 0 users,noauto 0 users,exec 0 users,exec 0 users,credentials=/etc/creds 0 users,credentials=/etc/creds 0 defaults 0 defaults 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 • cf mount Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 119.
    dump et fsck #device mountpoint filesystem #device mount point filesystem /dev/hda1 / ext3 /dev/hda1 / ext3 UUID=3631a288-673e-40f5-9e96-6539fec468e9 UUID=3631a288-673e-40f5-9e96-6539fec468e9 /usr reiserfs /usr reiserfs LABEL=/home /home reiserfs LABEL=/home /home reiserfs /dev/hdb5 /windows vfat /dev/hdb5 /windows vfat /dev/hdc /media/cdrom iso9660 /dev/hdc /media/cdrom iso9660 /dev/sda1 /media/pen auto /dev/sda1 /media/pen auto server:/home /other/home nfs server:/home /other/home nfs //winsrv/shr /other/win cifs //winsrv/shr /other/win cifs /dev/hda4 swap swap /dev/hda4 swap swap options options defaults defaults dump dump 1 1 fsck fsck 1 1 defaults 0 defaults 0 defaults 0 defaults 0 uid=500,umask=0 0 uid=500,umask=0 0 users,noauto 0 users,noauto 0 users,noauto 0 users,noauto 0 users,exec 0 users,exec 0 users,credentials=/etc/creds 0 users,credentials=/etc/creds 0 defaults 0 defaults 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 • dump : sauvegarde de la partition  1 = oui  0 = non (quasi toujours à notre époque)  usage de dump déconseillé aujourd'hui • fsck : vérification de l'intégrité du fs au démarrage  0 = non (reiserfs)  1 = premier (racine)  2 ou plus = les autres, dans l'ordre Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 120.
    Aller plus loin •état actuel des montages • UUID • sync Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 121.
    État actuel desmontages • via la commande mount $ mount $ mount  à partir du fichier /etc/mtab • configuration maintenue en espace utilisateur par mount • fichier /proc/mounts  maintenu par le kernel  toujours à jour (contrairement à /etc/mtab) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 122.
    UUID • Universal UniqueDisk Identifier • nombre hexadécimal de 32 chiffres  128bits • permet d'identifier à peu prêt n'importe quoi • ne change pas tant que le fs n'est pas modifié  évite toute reconfiguration en cas de changement d'identifiant de la partition • modification du branchement • OS multiples • etc ... Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 123.
    Connaître l'UUID d'unepartition # blkid /chemin/vers/la/partition # blkid /chemin/vers/la/partition • Exemple # blkid /dev/sda1 # blkid /dev/sda1 • sous Debian : paquet e2fsprogs Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 124.
    Générer un UUID •Manuellement :  grâce au packet Debian : uuid-runtime # uuidgen [-t|-r] # uuidgen [-t|-r] • deux méthodes des génération  -r : random (pseudo-aléatoire) • •  grâce à /dev/random par défaut -t : time-based • horloge système + adresse ethernet du système (si présent) • Pour la génération automatique : uuidd (uuid deamon) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 125.
    Vider le buffer •stocké dans la RAM • pour y supprimer les données stockées : # sync # sync • appelé automatiquement  au reboot  à l'extinction Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 126.
    Ce qu’on acouvert • La gestion et configuration des systèmes de fichier  formatage, montage et interrogation 203.1 Operating the Linux filesystem Weight : 4 Description : Candidates should be able to properly configure and navigate the standard Linux filesystem. This objective includes configuring and mounting various filesystem types. Key Knowledge Areas:  The concept of the fstab configuration  Tools and utilities for handling SWAP partitions and files  Use of UUIDs The following is a partial list of the used files, terms and utilities:  /etc/fstab  /etc/mtab  /proc/mounts  mount and umount  sync  swapon  swapoff Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 127.
    Système de fichierset périphériques Maintenance d'un système de fichiers Linux Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 128.
    Plan • ajuster lesparamètres des systèmes de • introduction fichiers • Vérifier et réparer un système de fichiers  • •  rappel démarrage commande e2fsck tune2fs  fsck  reiserfstune  xfs_admin • Débogueurs pour systèmes de fichiers   xfs_check et xfs_repair  badblocks debugfs et debugreiserfs • commandes de debugfs • Sauvegarde d'un système • Afficher des informations sur le système de fichiers de fichiers XFS    dumpe2fs  xfsdump xfsrestore xfs_info et xfs_metadump Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 129.
    Introduction • des outilsdifférents suivant les fs  ext (2,3,4)  ReiserFS  XFS • cf LPIC1  Chapitre 5 – 13) Introduction aux fs Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 130.
    Vérifier et réparerun système de fichiers • fsck  rappel démarrage  commande • e2fsck • badblocks • xfs_check et xfs_repair • badblocks Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 131.
    fsck • une commandecentrale • vérifier l'intégrité d'un système de fichiers  et le réparer • uniquement sur les fs non montés ou en ro Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 132.
    Rappel démarrage • Sortie  0– Aucune erreur  1 – Erreurs du fs corrigées  2 – Le système doit être redémarré  4 – Erreurs du fs non corrigées  8 – Erreurs opérationnelles  16 – Erreur de syntaxe ou d'usage  128 – Erreur de librairie partagée • Message : "fsck failed. Please repair manually"  Ctrl-D pour ignorer  sinon, entrer le mot de passe root pour lancer sulogin •  accès à fsck et résolution des problèmes éventuels manuellement Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 133.
    Commande # fsck [-sACVRTNP][-t fstype] [--] [fsck-options] filesystems # fsck [-sACVRTNP] [-t fstype] [--] [fsck-options] filesystems • Options :  -A : vérifier tout les fs marqués "à vérifier" dans /etc/fstab  -C : indiquer une barre de progression (pour e2fsck)  -V : verbose  -N : test  -t fstype : indiquer (forcer) le type de fs Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 134.
    e2fsck (fsck.e2fs) $ e2fsck[ -pacnyrdfvstFSV ] device $ e2fsck [ -pacnyrdfvstFSV ] device • Options  -s : sérialise les opérations de fsck •  -R : ignorer le système de fichier racine •  à favoriser dans le cas d'une vérification de plusieurs systèmes de fichiers en mode interactif dans le cas d'une analyse de tout les fs grâce à -A -a : réparer automatiquement le système de fichiers • sans poser de question  -f : force la vérification même si le système de fichiers semble propre.  -n : utilisation non intéractive (par "non") • •  Ouvre en lecture-seule le système de fichiers répond «non» à toutes les questions -y : Répond «yes» à toutes les questions •  permet ainsi l'utilisation non interactive d'e2fsck. -P : Répare automatiquement (sans poser la moindre question) • en anglais «preen» signifie lisser Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 135.
    xfs_check et xfs_repair •vérifier la cohérence d'un système de fichier XFS $ xfs_check [options] device $ xfs_check [options] device • le plus souvent appelé via fsck.xfs • réparer un système de fichier XFS corrompu ou endommagé  accède directement au périphérique grâce au raw device associé  permet de contourner le kernel (caches, buffers) $ xfs_repair [options] device $ xfs_repair [options] device • Le fs DOIT être démonté auparavant ! Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 136.
    badblocks • rechercher desblocs défectueux sur un périphérique $ badblocks [options] [-o fichier_sortie] périphérique [dernier-bloc] [bloc-départ] $ badblocks [options] [-o fichier_sortie] périphérique [dernier-bloc] [bloc-départ] • recommandation : ne pas lancer directement  appeler via l'option -c de e2fsck ou mke2fs • Option :  -o fichier_sortie • Linux LPIC-2 écrire la liste des blocs défectueux dans le fichier tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 137.
    Afficher des informationssur le système de fichiers • dumpe2fs • xfs_info et xfs_metadump Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 138.
    dumpe2fs # dumpe2fs [options]device # dumpe2fs [options] device • Options :  -b : affiche les blocs qui sont marqués défectueux.  -h : n'afficher que les informations de super-bloc Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 139.
    xfs_info et xfs_metadump •informations techniques # xfs_info device # xfs_info device • copier les métadonnées du fs $ xfs_metadump $ xfs_metadump Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 140.
    Ajuster les paramètresdes systèmes de fichiers • tune2fs • reiserfstune • xfs_admin Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 141.
    tune2fs # tune2fs [options]device # tune2fs [options] device • Options :  -c max-mount-counts  -C mount-count  -i intervalle  -j : journalisation  -m pourcentage  -r blocs Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 142.
    reiserfstune • similaire àtune2fs  mais pour reiserfs # reiserfstune [ -f ] [ -j | --journal-device FILE ] # reiserfstune [ -f ] [ -j | --journal-device FILE ] [ --no-journal-available ] [ --journal-new-device FILE ] [ --no-journal-available ] [ --journal-new-device FILE ] [ --make-journal-standard ] [ -s | --journal-new-size N ] [ --make-journal-standard ] [ -s | --journal-new-size N ] [ -o | --journal-new-offset N ] [ -t | --max-transaction[ -o | --journal-new-offset N ] [ -t | --max-transactionsize N ] [ -b | --add-badblocks file ] [ -B | --badblocks size N ] [ -b | --add-badblocks file ] [ -B | --badblocks file ] [ -u | --uuid UUID ] [ -l | --label LABEL ] device file ] [ -u | --uuid UUID ] [ -l | --label LABEL ] device Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 143.
    xfs_admin # xfs_admin [options]device # xfs_admin [options] device • Options :  -j  -l  -u  -L label  -U uuid • Linux LPIC-2 -U generate tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 144.
    Débogueurs pour systèmesde fichiers • debugfs • debugreiserfs • commandes debugfs Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 145.
    Debugfs et debugreiserfs $debugfs device $ debugfs device $ debugreiserfs device $ debugreiserfs device • dumpe2fs + tune2fs + autres outils • débogage Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 146.
    Commandes debugfs • show_super_stats/ stats • stat nom_fichier • undelete inode nom / undel inode nom • lsdel / list_deleted_inodes • write fichier-interne fichier-externe • cd, ln, rm, etc ... • list_requests / lr / help / ? • quit Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 147.
    Sauvegarde d'un systèmede fichier XFS • xfsdump • xfsrestore Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 148.
    xfsdump • créer un"dump" (image de sauvegarde incrémentielle) # xfsdump [ options ] -f dest [ -f dest ... ] filesystem # xfsdump [ options ] -f dest [ -f dest ... ] filesystem • Exemples  vers un périphérique de sauvegarde (bande magnétique) # xfsdump -l 0 -p 30 -f /dev/st0 /home # xfsdump -l 0 -p 30 -f /dev/st0 /home  vers un fichier # xfsdump -l 0 -p 30 -f /backups/home-backup /home # xfsdump -l 0 -p 30 -f /backups/home-backup /home Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 149.
    xfsrestore • restaurer unfs à partir d'une sauvegarde # xfsrestore [ options ] -f source [ -f source ... ] dest # xfsrestore [ options ] -f source [ -f source ... ] dest • Exemple  mode itératif # xfsrestore -i -f /backups/home-backup /newhome # xfsrestore -i -f /backups/home-backup /newhome Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 150.
    Ce qu’on acouvert • Vérifier et réparer un système de fichiers • Optimiser un système de fichiers 203.2 Maintaining a Linux filesystem Weight : 3 Description : Candidates should be able to properly maintain a Linux filesystem using system utilities. This objective includes manipulating standard filesystems. Key Knowledge Areas:  Tools and utilities to manipulate and ext2, ext3 and ext4  Tools and utilities to manipulate reiserfs V3  Tools and utilities to manipulate xfs The following is a partial list of the used files, terms and utilities:  fsck (fsck.*)  badblocks  mkfs (mkfs.*)  dumpe2fs, xfsdump, xfsrestore  debugfs, debugreiserfs  tune2fs, reiserfstune  mkswap  xfs_info, xfs_check and xfs_repair Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 151.
    Système de fichierset périphériques montage automatique Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 152.
    Plan • Introduction • Autofs •Configuration • Fichier principal de configuration • Fichiers de configuration additionnels Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 153.
    Introduction • (re)montage automatique  grâceà un démon  à chaque fois d'un utilisateur tente d'accéder à un fs non monté • Particulièrement utile pour :  les systèmes de fichiers accessibles via le réseau  les périphériques amovibles (CD-ROMS, clés usb, etc ...) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 154.
    Autofs • implémentation Linuxdu montage automatique • composant noyau + démon automount • montage automatique (NFS, CD-ROMs, etc …) • démontage après un certain temps sans utilisation Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 155.
    Configuration • Un fichierprincipal  /etc/auto.master • Des fichiers "additionnels"  généralement un par périphérique (ou type de périphérique)  exemple : /etc/auto.cdrom • Relus à chaque rechargement du démon # /etc/init.d/autofs reload # /etc/init.d/autofs reload Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 156.
    Fichier principal deconfiguration • /etc/auto.master # sample /etc/auto.master file # sample /etc/auto.master file /var/autofs/floppy /etc/auto.floppy --timeout=2 /var/autofs/floppy /etc/auto.floppy --timeout=2 /var/autofs/cdrom /etc/auto.cdrom --timeout=6,sync,nodev,nosuid /var/autofs/cdrom /etc/auto.cdrom --timeout=6,sync,nodev,nosuid dossier de montage fichier de configuration (additionnel) options • "point d'entrée" de la configuration de automount • un démon par entrée Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 157.
    Fichiers de configurationadditionnels • Peuvent être nommés à votre convenance # sample /etc/auto.floppy file # sample /etc/auto.floppy file floppy -user,fstype=auto :/dev/fd0 floppy -user,fstype=auto :/dev/fd0 pseudo répertoire options de montage périphérique • il est recommandé de se limiter à un périphérique par fichier additionnel  et donc par démon les "pseudo répertoires" ne sont pas de réels dossiers Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 158.
    Ce qu’on acouvert • Qu'est ce que autofs et automount • les fichiers de configuration d'autofs   /etc/auto.master /etc/auto.[dir] Creating And Configuring Filesystem Options (203.3) – part 1 Weight : 2 Description : Candidates should be able to configure automount filesystems using AutoFS. This objective includes configuring automount for network and device filesystems. Also included is creating filesystems for devices such as CD-ROMs and a basic feature knowledge of encrypted filesystems. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 159.
    Système de fichierset périphériques Systèmes de fichiers pour périphériques optiques Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 160.
    Plan • Introduction • HFS •Comparatif • Extensions à l'ISO9660 • Image • Créer un système de fichier ISO • Monter une image ISO • Gravure d'une image ISO • Faire une copie d'un disque optique Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 161.
    Introduction • ISO 9660  systèmede fichier des CD-ROMs et DVD-ROMs  3 niveaux : • 1 – compatibilité MS-DOS • 2 – noms de fichiers pouvant aller jusqu'à 32 caractères • 3 – fragmentation possible des fichiers • remplacé progressivement par l'UDF  Universal Disk Format  ISO 13346  quasi indispensable pour les blu-rays  rétro-compatible • on peu "fermer" un UDF en ISO, mais ceci est irréversible Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 162.
    HFS • Hierarchical FileSystem (HFS)  inventé par Apple  à l'origine pour les disquettes et disques durs  pour Mac OS et z/OS Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 163.
    Comparatif Système de fichiers ISO 9660 UDF HFS Taillemax de fichier 2/4Go (8To en level 3) 16Eo soit 16x10^18 octets 2Go Taille max d'image théoriquement illimité quasi illimité 2To Nombre max de fichiers / répertoires 65535 répertoires quasi illimité 65535 fichiers Noms de fichiers 8.3 en level 1 32 en level 2 255 octets 31 caractères ISO 9660 est également limité à une profondeur maximale de 8 dossiers incluant la racine Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 164.
    Extensions à l'ISO9660 •Joliet  définie et soutenue par Microsoft  limite des noms de fichiers passant à 64 caractères unicodes  largement répendu et intégré aujourd'hui • Rock Ridge  ajout de la sémantique des systèmes de fichiers POSIX • • UID, GID, timestamps, liens symboliques, devfiles •  limite des noms de fichiers passant à 255 octets profondeur plus grande (que les 8 dossiers de l'ISO9660) par défaut sous les systèmes Unix Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 165.
    Extensions à l'ISO9660 •El Torito  lancé par IMB et Phoenix Technologies (BIOS) en 1995  permet de booter à partir d'un support optique (LiveCDs) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 166.
    Image • Un cdn'est pas aussi simple à gérer que les autres types de périphériques de stockage  réécriture directe impossible  même pour les RW (suppression de toute l'image) • Solution : créer une image avant gravure  sur disque dur ou autre  directement modifiable Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 167.
    Créer un systèmede fichier ISO $ mkisofs [ options ] [ -o filename ] pathspec [pathspec ...] $ mkisofs [ options ] [ -o filename ] pathspec [pathspec ...] • Exemple : $ mkisofs -r -o cd_image private_collection/ $ mkisofs -r -o cd_image private_collection/ • Depuis Debian Squeeze, est remplacé par genisoimage  fork avec options identiques • Options  -r : tout fichier publiquement lisible et activation des extensions Rock Ridge  -J : MS Joliet extension Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 168.
    Monter une imageISO $ mount -t iso9660 -o ro,loop=/dev/loop0 cd_image /cdrom $ mount -t iso9660 -o ro,loop=/dev/loop0 cd_image /cdrom Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 169.
    Gravure d'une imageISO • Récupération des informations $ cdrecord -scanbus $ cdrecord -scanbus • $ $ $ $ $ $ Mise en place des variables (optionnel) SCSI_BUS=0 SCSI_BUS=0 SCSI_ID=6 SCSI_ID=6 SCSI_LUN=0 SCSI_LUN=0 • Ecriture $ cdrecord -v speed=2 dev=$SCSI_BUS,$SCSI_ID,$SCSI_LUN -data cd_image $ cdrecord -v speed=2 dev=$SCSI_BUS,$SCSI_ID,$SCSI_LUN -data cd_image  ou $ cdrecord -v speed=2 dev=0,6,0 -data cd_image $ cdrecord -v speed=2 dev=0,6,0 -data cd_image Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 170.
    Faire une copied'un disque optique • Vers un autre disque optique (par gravure directe) $ cdrecord -v dev=0,6,0 speed=2 -isosize /dev/scd0 $ cdrecord -v dev=0,6,0 speed=2 -isosize /dev/scd0 • Vers un fichier $ dd if=/dev/scd0 of=cdimage $ dd if=/dev/scd0 of=cdimage Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 171.
    Ce qu’on acouvert • Les différents systèmes de fichiers pour disques optiques  UDF, ISO9660, HFS • Les extensions : Joliet, Rock Ridge, El Torito • Comment créer une image ISO (mkisofs) • Comment graver une image ISO. • Comment faire une sauvegarde d'un disque optique (dd) Creating And Configuring Filesystem Options (203.3) – part 2 Weight : 2 Description : Candidates should be able to configure automount filesystems using AutoFS. This objective includes configuring automount for network and device filesystems. Also included is creating filesystems for devices such as CD-ROMs and a basic feature knowledge of encrypted filesystems. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 172.
    Système de fichierset périphériques Introduction au chiffrement des systèmes de fichiers Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 173.
    Plan • Introduction • Pré-requis •Test Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 174.
    Introduction • devicemapper  permet demapper un périphérique bloc à un autre  utilisé par RAID et LVM (nous y reviendrons) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 175.
    Pré-requis • Pour lesmodules # # # # # # # # echo aes >> /etc/modules echo aes >> /etc/modules echo dm_mod >> /etc/modules echo dm_mod >> /etc/modules echo dm_crypt >> /etc/modules echo dm_crypt >> /etc/modules modprobe -a aes dm_mod dm_crypt modprobe -a aes dm_mod dm_crypt • Mapper le périphérique avec devicemapper # cryptsetup -y create crypt /dev/sda2 # cryptsetup -y create crypt /dev/sda2  créera un périphérique virtuel /dev/mapper/crypt Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 176.
    Pré-requis • Ajout d'uneentrée dans /etc/cryptab # echo "crypt /dev/hda3 none none" >> /etc/crypttab # echo "crypt /dev/hda3 none none" >> /etc/crypttab • Ajout d'une entrée dans /etc/fstab # echo "/dev/mapper/crypt /crypt ext2 defaults 0 1" >> /etc/fstab # echo "/dev/mapper/crypt /crypt ext2 defaults 0 1" >> /etc/fstab • Formatage # mke2fs /dev/mapper/crypt # mke2fs /dev/mapper/crypt Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 177.
    Test • Montage manuel #mkdir /crypt # mkdir /crypt # mount /crypt # mount /crypt • Le mot de passe entré lors du mappage vous sera demandé  il vous sera ensuite demandé à chaque montage  donc également à chaque démarrage Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 178.
    Ce qu’on acouvert • Comment mettre en place rapidement un système de fichier chiffré.  ainsi qu'un petit rappel de mke2fs Creating And Configuring Filesystem Options (203.3) – part 3 Weight : 2 Description : Candidates should be able to configure automount filesystems using AutoFS. This objective includes configuring automount for network and device filesystems. Also included is creating filesystems for devices such as CD-ROMs and a basic feature knowledge of encrypted filesystems. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 179.
    Système de fichierset périphériques Gestion de périphérique udev Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 180.
    Plan • Introduction • uevent •Configuration • Règles udev • Opérateurs • Quelques clés communes • udevmonitor Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 181.
    Introduction Linux LPIC-2 tout droitsréservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 182.
    uevent • envoyé parle kernel  à chaque (dé)branchement d'un périphérique • contient les informations sur le périphérique  subsystem (net, usb, …)  action (add, remove)  attributes (MAC address, vendor, …) • est analysé par udev grâce à des règles associées à ces informations Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 183.
    Configuration • Dans /etc/udev/  udev.conf :fichier de configuration principal •  modifier la priorité de logging (udev_log) rules.d/ : règles personnalisées • Linux LPIC-2 sinon, lues à partir de /lib/udev/rules.d/ tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 184.
    Règles udev • dans/etc/udev/rules.d/  celles par défaut dans /lib/udev/rules.d/ • rassemblées par fichier (catégorie) • une ligne par règle  constituée d'éléments clé/opérateur/valeur séparés par des virgules • exemple : SUBSYSTEM=="net", ACTION=="add", DRIVERS=="?*", SUBSYSTEM=="net", ACTION=="add", DRIVERS=="?*", ATTR{address}=="00:21:86:9e:c2:c4", ATTR{type}=="1", KERNEL=="eth*", NAME="eth0" ATTR{address}=="00:21:86:9e:c2:c4", ATTR{type}=="1", KERNEL=="eth*", NAME="eth0" ne jamais créer de règles pouvant entrer en conflit Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 185.
    Opérateurs Catégorie Op Description Comparaisons == égalité != inégalité Affectation = fixe la valeurà remplace l'intégralité des éléments d'une liste += := Linux LPIC-2 ajouter (à la fin d'une liste) affection définitive empêche toute modification ultérieure par une autre règle tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 186.
    Quelques clés communes Clé Description KERNEL nomde périphérique SUBSYSTEM sous-système contenant le périphérique DRIVER pilote du périphérique NAME nom du nœud associé au périphérique SYMLINK liste des liens symboliques noms alternatifs pour le périphérique ATTR{xxx} attribut sysfs (model, size, product, etc ...) PROGRAM appel d'un programme lors de "l'execution" de cette règle ENV{xxx} valeur d'une variable d'environnement Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 187.
    udevmonitor • affiche entemps réel  les uvents envoyés par le kernel  évènements envoyés par udev $ udevmonitor $ udevmonitor • lien symbolique vers $ udevadm monitor $ udevadm monitor Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 188.
    Ce qu’on acouvert • les règles udev • udevmonitor 203.4 udev Device Management Weight : 1 Description : Candidates should understand device detection and management using udev. This objective includes troubleshooting udev rules. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 189.
    Administration avancée despériphériques de stockage Configuration RAID Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 190.
    Plan • Introduction • Pasà pas • NRAID – RAID Linéaire • Multiple Devices Admin • RAID 0 • Modes : création et activation • RAID 1 • Modes : modification et surveillance • RAID 4 • Création d'un ensemble RAID • RAID 5 • RAID combiné • Exemple : RAID 01 • Disque de rechange Linux LPIC-2 • /etc/mdadm.conf • Résolution de panne • /proc/mdstat • tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 191.
    Introduction • Redundant Arrayof Independent (or inexpensive) Disks   regroupement redondant de disques indépendants groupement de périphériques blocs en un ensemble (ou matrice) RAID • répartir les données sur plusieurs disques durs  tolérance aux pannes (récupération simplifiée)  performance • •  transactions par secondes vitesse de transfert sécurité • logiciel ou matériel Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 192.
    NRAID – RAIDLinéaire • JBOD – Just a Bunch of Disks • concaténation  écriture séquentielle  les données sont écrites sur le second disque quand le premier est plein • aucune redondance • aucune tolérance aux panne supplémentaire Capacité somme de tout les disques Fiabilité aucune Cout minimal Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 193.
    RAID 0 • volumeagrégé par bandes  "striping" • répartition des blocs des fichiers • parallélisation  augmentation des performances Capacité plus petit élément x nombre d'éléments Fiabilité aucune Cout minimal Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 194.
    RAID 1 • redondance "mirroring" • permet de conserver les données en cas de panne Capacité plus petit élément Fiabilité optimale (tant qu'il reste un disque) Cout élevé (directement lié au nombre de miroirs) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 195.
    RAID 4 • volumeagrégé par bandes à parité  stripping + un disque de parités Capacité de n-1 disques Fiabilité perte d'un disque à la fois maximum Cout optimal Performances très bonnes en lecture faible en écriture • recalcule des données à partir du bloc de parité en cas de perte • 3 disques minimum • peu courant Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 196.
    RAID 5 • volumeagrégé par bandes à parité répartie  RAID  répartition circulaire des blocs de parité • le plus courant  meilleur Linux LPIC-2 rapport qualité prix de n-1 disques Fiabilité perte d'un disque à la fois maximum Cout 4 réparti Capacité optimal Performances très bonnes en lecture faible en écriture tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 197.
    RAID combiné • Combinaisonde différents niveaux de RAID  le premier chiffre indiquant le niveau de RAID d'une grappe  le second indiquant le niveau de RAID supérieur • Cas courants  RAID 01  RAID 10  RAID 05  RAID 50  RAID 51 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 198.
    Exemple : RAID 01 •Minimum  2 grappes  2 disques / grappe Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 199.
    Disque de rechange •"spare" ou "hotspare" • disque complémentaire  non utilisé  prend automatiquement le relais en cas de défaillance d'un des disques du RAID • la reconstruction de celui-ci pouvant prendre beaucoup de temps • après coup, remplacer le disque défaillant  qui deviendra un nouveau disque de rechange Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 200.
    Pas à pas 1)préparer les partitions pour l'auto- détection  partition type : fd (Linux RAID auto)  via fdisk (commande t) 2) création d'un ensemble RAID  périphérique /dev/md[n]  4) création du fichier /etc/mdadm.conf 5) création du point de montage 6) édition de /etc/fstab 7) mountage via mdadm --create (cf plus loin) 3) création du système de fichier  via mkfs -t xxx /dev/md[n] Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 201.
    Multiple Devices Admin #mdadm [mode] <raiddevice> [options] <component-devices> # mdadm [mode] <raiddevice> [options] <component-devices> • 9 modes : Assemble, Build, Create, Follow (ou Monitor), Grow, Incremental, Manage, Auto-detect & Divers • pour lancer une commande dans un mode :  --nomdumode  ou -X (première lettre du mode, à l’exception d'Auto-detect)  Exemple : --create ou -C Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 202.
    Modes : création etactivation • create : créer et activer un ensemble RAID à partir de zéro • build : construire un ensemble RAID sans superblock pour chaque périphérique  ne détruit pas les données pré-existantes  utile lors de la récupération de données corrompues  ne peut être utilisé avec mdadm.conf • assemble : reconstruire un ensemble RAID pré-existante  migrer un ensemble vers un autre hôte  activer un ensemble au démarrage • auto-detect : activer tout ensemble RAID auto-détecté, via le kernel Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 203.
    Modes : modification etsurveillance • incremental : ajouter / supprimer un périphérique d'un ensemble RAID • manage : agir sur les composants spécifiques d'un ensemble RAID  suppression de disques défectueux  ajout de périphériques de rechange • follow / monitor : surveiller un ou plusieurs périphérique md, et agir sur tout changement d'état • grow : modifier un ensemble RAID existant  ajout / suppression de périphérique • misc : "tout le reste" (pas d'option spécifique)  opérations sur les ensembles RAID actifs  effacer de vieux super-blocks  récupération d'informations Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 204.
    Création d'un ensembleRAID • création d'un ensemble /dev/md0 en RAID1 # mdadm --create --verbose /dev/md0 --level=1 --raid-devices=2 # mdadm --create --verbose /dev/md0 --level=1 --raid-devices=2 /dev/sdb1 /dev/sdc1 /dev/sdb1 /dev/sdc1 • identique à # mdadm -Cv /dev/md0 -l1 -n2 /dev/sdb1 /dev/sdc1 # mdadm -Cv /dev/md0 -l1 -n2 /dev/sdb1 /dev/sdc1  avec périphérique de rechange # mdadm --create --verbose /dev/md0 --level=1 --raid-devices=2 # mdadm --create --verbose /dev/md0 --level=1 --raid-devices=2 /dev/sdb1 /dev/sdc1 --spare-devices=1 /dev/sdd1 /dev/sdb1 /dev/sdc1 --spare-devices=1 /dev/sdd1 • pour surveiller l'état d'avancement de la construction # watch -n 1 cat /proc/mdstat # watch -n 1 cat /proc/mdstat Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 205.
    /etc/mdadm.conf • optionnel • simplifiedes tâches courantes • génération (mode "Divers") # mdadm --detail --scan --verbose > /etc/mdadm.conf # mdadm --detail --scan --verbose > /etc/mdadm.conf • réassemblage à partir du fichier # mdadm --assemble --scan # mdadm --assemble --scan  opération réalisée au démarrage  via /etc/rc.d/rc.sysinit ou /etc/init.d/rcS Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 206.
    Résolution de panne •retirer un disque défectueux d'un ensemble RAID # mdadm --manage /dev/md0 --remove /dev/sdb1 # mdadm --manage /dev/md0 --remove /dev/sdb1 • ajout d'un nouveau disque (après remplacement) # mdadm --manage /dev/md0 --add /dev/sdb1 # mdadm --manage /dev/md0 --add /dev/sdb1  l'ensemble RAID est alors reconstruit ne pas oublier de reconstruire le fichier mdadm.conf Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 207.
    /proc/mdstat • contient lesstatistiques sur les ensembles RAID • suivre la (re)construction d'un ensemble RAID # watch -n 1 cat /proc/mdstat # watch -n 1 cat /proc/mdstat Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 208.
    Ce qu’on acouvert • Configuration et implémentation de RAID logiciel sous GNU/Linux. • mdadm.conf • mdadm • mdstat • ainsi qu'un rapide rappel de fdisk 204.1 Configuring RAID Weight : 2 Description : Candidates should be able to configure and implement software RAID. This objective includes using and configuring RAID 0, 1 and 5. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 209.
    Administration avancée despériphériques de stockage Ajustement des accès aux périphériques de stockage Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 210.
    Plan • Configurer l'interactiondu kernel avec un fs ext • Paramètres de disques durs PATA • Paramètres de disques durs SCSI • Modifier les paramètres du Kernel • Sysctl Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 211.
    Configurer l'interaction dukernel avec un fs ext # tune2fs [options] device # tune2fs [options] device • Options :  -e [continue | remount-ro | panic ] • •  définie comment le kernel doit réagir dans le cas d'une erreur sur le système de fichier ignorer l'erreur et la reporter à l'application, remonter le fs en lecture uniquement ou kernel panic (arrêt du système) -m reserved_block_percentage • Linux LPIC-2 5 % par défaut tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 212.
    Configurer l'interaction dukernel avec un fs ext # tune2fs [options] device # tune2fs [options] device • Options :  -O [^]mount_option • •  options de montage (mount et fstab étant prioritaires) ^ pour supprimer l'option -s [0|1] • active (1) ou désactive (0) la fonctionnalité "sparse superblock" - réduire le nombre de copies de sauvegarde du superblock - dans groupes de blocks spécifiques au lieux de dans chaque groupe de blocks • l'activer permet d'économiser de l'espace sur les fs de très grand taille • relancer e2fsck après modification de cette option Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 213.
    Paramètres de disquesdurs PATA # hdparm [options] [device] # hdparm [options] [device] • tester les performances des disques ATA • ajuster leurs paramètres • la plupart de ses options n'auront aucun effet sur les disques SCSI  y compris la plupart des SATA, USB et même PATA pilotés par le sous-système SCSI Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 214.
    Paramètres de disquesdurs PATA # hdparm [options] [device] # hdparm [options] [device] • Options  -a : obtenir/modifier le nombre de secteurs pour la "lecture en avance" (read-ahead) • • 8 (4ko) par défaut (convient dans la plupart des cas) •  tampon, améliore les performances lors de la lecture séquentielle de longs fichiers pour une lecture très aléatoire, ou un disque à read-ahead intégré, baisser cette valeur / supprimer cette fonction peu améliorer les performances -d [0|1] : (dés)activer la fonction "using_dma" • Direct Memory Access (cf LPIC1 - Hardware - Introduction ) - access direct à une zone mémoire • Linux LPIC-2 améliore quasi systématiquement les performances tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 215.
    Paramètres de disquesdurs PATA # hdparm [options] [device] # hdparm [options] [device] • Options  -g : Affiche la géométrie du disque • • capacité (en secteurs) •  cylindres, têtes, secteurs adresse (en secteurs) du début du périphérique par rapport au début du disque -i : Affiche les informations d'identification •  fournies par le disque au démarrage -r [0|1] : Obtient/modifie le drapeau de lecture seule pour le périphérique Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 216.
    Paramètres de disquesdurs PATA # hdparm [options] [device] # hdparm [options] [device] • Options  -t : minutage de lecture (sans mise en cache préalable) du périphérique pour benchmarking. • •  à réaliser 2 ou 3 fois sur un périphrique inactif avec au moins quelques Mo de libre -T : minutage de lecture du cache du périphérique pour benchmarking • •  vitesse de lecture directement depuis le tampon de Linux sans accès disque indication du débit du processeur, cache et mémoire du système testé -v : afficher tout les réglages, sauf -i Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 217.
    Paramètres de disquesdurs SCSI # sdparm [options] [device] # sdparm [options] [device] • N'est pas exactement un équivalent SCSI à hdparm  Obtenir des information sur les périphériques SCSI • SCSI mode page, VPD (Vital Product Data)  Modifier leurs paramètres  Envoyer des commandes SCSI au périphérique • Utile pour tout les disques pilotés via le sous-sytème SCSI  cependant, modifier les paramètres d'un SATA reconnu comme SCSI ne sera pas toujours valable Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 218.
    Paramètres de disquesdurs SCSI # sdparm [options] [device] # sdparm [options] [device] • Options  -a / --all : afficher tout les champs reconnus pour le type de périphérique  -e / --enumerate : afficher des informations sur les pages et champs modifiables via sdparm  -g field / --get field : afficher un champs particulier  -i / --inquiry : afficher les pages d'information VPD  -l / --long : afficher des informations supplémentaires Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 219.
    Paramètres de disquesdurs SCSI # sdparm [options] [device] # sdparm [options] [device] • Options  -s STR=n / --set=STR=n : affecter la valeur au champs donné à utiliser avec grande précaution  -C CMD / --command=CMD : envoyer une commande SCSI au périphérique • Exemple : désactiver un périphérique # sdparm --command=stop /dev/sdb # sdparm --command=stop /dev/sdb Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 220.
    Modifier les paramètresdu Kernel • via procfs  cf LPIC1 - Hardware - Procfs • Deux solutions  édition directe des pseudo-fichiers # echo 1 > /proc/sys/net/ipv4/ip_forward # echo 1 > /proc/sys/net/ipv4/ip_forward • •  ne persiste pas après redémarrage nécessite que ces commandes soit appelées via un init script sysctl Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 221.
    Sysctl # sysctl [-n][-e] [-a | -A | -p filename | -w variable=value ] # sysctl [-n] [-e] [-a | -A | -p filename | -w variable=value ] • Options  -a / -A : afficher toutes les valeurs actuellement disponibles  -e : ignorer les erreurs liées aux clés inconnues  -n : désactiver l'affichage du nom de clé •  n'affiche que sa valeur -p filename : charger les paramètres à partir du fichier spécifié • •  /etc/sysctl.conf si aucun spécifié "-" pour lire à partir de l'entrée standard -w variable=value : modifier un paramètres Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 222.
    Ce qu’on acouvert • Afficher et modifier les paramètres des disques durs via  tune2fs  hdparm  sdparm  sysctl 204.2 Adjusting Storage Device Access Weight : 1 Description : Candidates should be able to configure kernel options to support various drives. This objective includes software tools to view & modify hard disk settings. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 223.
    Administration avancée despériphériques de stockage Logical Volume Manager Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 224.
    Plan • Introduction • Pasà pas • Initialiser les volumes physiques • Créer un groupe de volumes • Création de volumes logiques • Étendre un volume logique • Clichés (Snapshots) • Effectuer une sauvegarde à partir d'un cliché Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 225.
    Introduction • création etgestion de volumes logiques sous GNU/Linux • Permet une gestion plus "souple" des périphériques de stockage  redimensionnement  fonctionnalités supplémentaires • fiabilité dépendant de l'ensemble des périphériques utilisés  ie : un périphérique tombe en panne et tout les volumes logiques sont perdus  donc, à utiliser avec du RAID Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 226.
    Pas à pas 1)optionnel : création des partitions sur les périphériques  via fdisk  il est recommandé de bien définir leur type code (8E) 2) initialiser les volumes physiques (PV)  via pvcreate (ou automatiquement à l'étape suivante) 3) créer un groupe de volumes (VG)  via vgcreate 4) créer les volumes logiques (LV)  via lvcreate 5) mettre en place les systèmes de fichiers sur les LV  via mkfs Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 227.
    Initialiser les volumesphysiques # pvcreate [options] VolumePhysique [VolumePhysique ...] # pvcreate [options] VolumePhysique [VolumePhysique ...] • Initialise les volumes physiques pour une utilisation ultérieure via LVM  partition de disque  disque entier • doit être remis à zéro via la commande suivante # dd if=/dev/zero of=PhysicalVolume bs=512 count=1 # dd if=/dev/zero of=PhysicalVolume bs=512 count=1  meta périphérique (md) - recommandé  périphérique de loopback Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 228.
    Créer un groupede volumes # vgcreate [options] VolumeGroupName PhysicalDevicePath [PhysicalDevicePath...] # vgcreate [options] VolumeGroupName PhysicalDevicePath [PhysicalDevicePath...] • si les périphériques n'ont pas été initialisés via pvcreate, ils le seront automatiquement • Exemple # vgcreate vg0 /dev/sda1 /dev/sdb1 # vgcreate vg0 /dev/sda1 /dev/sdb1 • Par défaut, les PE (Physical Extents) sont de 4Mo  modifiable via l'option • Linux LPIC-2 -s, --physicalextentsize PhysicalExtentSize[bBsSkKmMgGtTpPeE] tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 229.
    Création de volumeslogiques # lvcreate [options] VolumeGroup{Name|Path} # lvcreate [options] VolumeGroup{Name|Path} • Options  -L, --size LogicalVolumeSize[bBsSkKmMgGtTpPeE] • définie la taille du volume logique • Exemple # lvcreate -L 100M volume01 # lvcreate -L 100M volume01  créé un volume logique de 100Mo  nommé par défaut /dev/volume01/lvol0 • Les opérations suivantes sont usuelles (mkfs, mount, etc ...) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 230.
    Étendre un volumelogique • Si besoin, ajouter un PV au VG # vgextend volume01 /dev/hda6 # vgextend volume01 /dev/hda6 • Étendre le LV # lvextend -L +50M /dev/volume01/lvol0 # lvextend -L +50M /dev/volume01/lvol0 • Puis étendre le système de fichier (démonté) # xfs_growfs /dev/volume01/lvol0 # xfs_growfs /dev/volume01/lvol0 • ou, pour l'ext # resize2fs /dev/volume01/lvol0 # resize2fs /dev/volume01/lvol0 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 231.
    Clichés (Snapshots) • Copievirtuelle d'un LV  facile la sauvegarde  accessible en écriture depuis LVM2 • ouvre de nombreuses possibilités (testing, XEN, etc …) • Exemple : créer une snapshot /dev/volume01/snapshot0 # lvcreate -L 10g -s -n snapshot0 /dev/volume01/lvol0 # lvcreate -L 10g -s -n snapshot0 /dev/volume01/lvol0 n'est PAS une sauvegarde  n'enregistre que les MODIFICATIONS apportées au LV, pas les données  disparaît en cas de redémarrage • taille évolutive (10Go est donc ici la taille maximum) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 232.
    Effectuer une sauvegardeà partir d'un cliché • Monter la snapshot # mount /dev/volume01/snapshot0 /mnt/snap # mount /dev/volume01/snapshot0 /mnt/snap • Copier les données # tar -cvzf /backups/snap.tar.gz /mnt/snap # tar -cvzf /backups/snap.tar.gz /mnt/snap • Démonter et détruire la snapshot # umount /dev/volume01/snapshot0 # umount /dev/volume01/snapshot0 # lvremove /dev/volume01/snapshot0 # lvremove /dev/volume01/snapshot0 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 233.
    Ce qu’on acouvert • Gestion de LVM  création et suppression de LV, PV et VG  snapshots  redimensionnement 204.3 Logical Volume Manager Weight : 3 Description : Candidates should be able to create and remove logical volumes, volume groups, and physical volumes. This objective includes snapshots and resizing logical volumes. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 234.
    Configuration Réseau OpenVPN Site :http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 235.
    Plan • Introduction • OpenVPN •Exemple simple : point à point • Configuration serveur • Configuration client Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 236.
    Introduction • Virtual PrivateNetwork  réseau privé virtuel • Connecter plusieurs réseaux distants  de manière sécurisée (tunnel chiffré)  via une connection non-sécurisée (ex : internet) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 237.
    OpenVPN • Logiciel Libre(GNU GPL) • Disponible sur de nombreux OS (GNU/Linux, Windows, BSD, Mac OS X, etc …) • Authentification via la • Créé en 2002  par James Yonan  version actuelle : 2.3.2 bibliothèque OpenSSL • Linux LPIC-2 Juin 2013 • Sécurisé via chiffrement SSL/TLS tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 238.
    Exemple simple : pointà point • VPN point à point  entre un serveur vpn.alphorm.com / 10.1.1.1 et un client 10.1.1.2  port par défaut (1194) • Création de la clé statique $ openvpn --genkey --secret static.key $ openvpn --genkey --secret static.key • Copier cette clé sur le serveur et le client Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 239.
    Configuration serveur • server.conf #type d'interface # type d'interface dev tun dev tun # adresse IP serveur / client # adresse IP serveur / client ifconfig 10.1.1.1 10.1.1.2 ifconfig 10.1.1.1 10.1.1.2 # test de connection toutes les 10 secondes, considéré # test de connection toutes les 10 secondes, considéré secondes sans réponse secondes sans réponse keepalive 10 60 keepalive 10 60 # relancer la connection si elle semble coupée # relancer la connection si elle semble coupée ping-timer-rem ping-timer-rem # empêcher OpenVPN de fermer et ré-ouvrir le tun/tap à # empêcher OpenVPN de fermer et ré-ouvrir le tun/tap à persist-tun persist-tun # idem mais pour les fichiers clés # idem mais pour les fichiers clés persist-key persist-key # clé secrète partagée pour le chiffrement # clé secrète partagée pour le chiffrement secret static.key secret static.key comme indisponible au bout de 60 comme indisponible au bout de 60 la reception d'un signal SUGSR1 la reception d'un signal SUGSR1 • tun/tap : interface de communication réseaux entre le kernel et les programmes de l'espace utilisateur Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 240.
    Configuration client • client.conf #serveur distant # serveur distant remote vpn.alphorm.com remote vpn.alphorm.com dev tun dev tun ifconfig 10.1.1.2 10.1.1.1 ifconfig 10.1.1.2 10.1.1.1 keepalive 10 60 keepalive 10 60 ping-timer-rem ping-timer-rem persist-tun persist-tun persist-key persist-key secret static.key secret static.key Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 241.
    Ce qu’on acouvert • Qu'est ce que le VPN. • Introduction à la configuration d'OpenVPN 205.2 Advanced Network Configuration and Troubleshooting (Part 1) Weight : 4 Description : Candidates should be able to configure a network device to implement various network authentication schemes. This objective includes configuring a multi-homed network device, configuring a VPN client and resolving communication problems. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 242.
    Configuration Réseau Surveillance et analysede traffic TCP/IP Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 243.
    Plan • netcat • netcat :options générales • Scanner de ports avec netcat • Netcat client / serveur • Netstat • Analyse de paquets avec Tcpdump • Analyse de paquets avec Wireshark • nmap : scanner de ports et plus Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 244.
    netcat $ nc [options ] [ hostname ] [ ports ] $ nc [ options ] [ hostname ] [ ports ] • Le couteau suisse du TCP/IP  gestion des sockets (peu établir n'importe quelle connexion)  s'utilise aussi bien en tant que client que serveur  scriptable  multiplateforme (disponible sous Windows et Mac OS X)  nombreux usages • capture de bannière • scan de ports • etc ... Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 245.
    netcat : options générales $nc [ options ] [ hostname ] [ ports ] $ nc [ options ] [ hostname ] [ ports ] • Options :  -u : passer en mode UDP  -i int : effectuer l'opération suivant un intervalle de int secondes  -v : verbose •  -vv pour plus d'informations -x adresse[:port] : connexion via un proxy Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 246.
    Scanner de portsavec netcat • Scanner des ports 100 à 1, puis 443 $ nc -vv 127.0.0.1 1-100 443 $ nc -vv 127.0.0.1 1-100 443  -r pour scanner aléatoirement (plus discret)  par défaut, se stoppe dés qu'il trouve un port ouvert, et attend une E/S • -z pour passer en mode zero I/O • Exemple $ nc -vv -i 3 -r -z 127.0.0.1 21 23 80-160 1337 $ nc -vv -i 3 -r -z 127.0.0.1 21 23 80-160 1337 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 247.
    Netcat client /serveur • ouvrir netcat en mode listening (serveur) sur le port 1337 $ nc -l -p 1337 $ nc -l -p 1337  -k pour continuer à écouter après réception d'une connection • se connecter au serveur (coté client) $ nc monserveur 1337 $ nc monserveur 1337 • Exemple : transfert de fichiers  serveur $ cat file.tar.gz | nc -l 1337 $ cat file.tar.gz | nc -l 1337  client $ nc monserveur 1337 > file.tar.gz $ nc monserveur 1337 > file.tar.gz Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 248.
    Netstat $ netstat [options] $netstat [options] • Afficher un grand nombre d'informations  connections  tables de routage  statistiques sur les interfaces  connexions masquées  messages netlink  multicasts • Considéré comme obsolète  remplacé par ss et ip Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 249.
    Netstat $ netstat [options] $netstat [options] • Options  aucune : lister les sockets ouverts  -a : Affiche toutes les connexions TCP actives et les ports TCP et UDP sur lesquels l'ordinateur écoute  -i iface / --interface=iface : afficher les informations sur une interface •  -r / --route : afficher les tables de routage noyau •  similaire à ifconfig ou ip -s link similaire à ip route --masquerade / -M : afficher les informations relatives aux connections masquées • •  fonctionnalité NAT de Linux réseaux "cachés" derrière une unique adresse IP -p / --programs : afficher le nom et le PID des processus propriétaires de chaque socket Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 250.
    Analyse de paquetsavec Tcpdump # tcpdump [options] [-i interface] [pcap-filter expression] # tcpdump [options] [-i interface] [pcap-filter expression] • obtenir les détails sur le trafic visible depuis une interface  une ligne par paquet • date protocole source:port > destination:port : informations • Exemple # tcpdump -i eth1 host 8.8.8.8 # tcpdump -i eth1 host 8.8.8.8 tcpdump: verbose output suppressed, use -v or -vv for full protocol decode tcpdump: verbose output suppressed, use -v or -vv for full protocol decode listening on eth1, link-type EN10MB (Ethernet), capture size 65535 bytes listening on eth1, link-type EN10MB (Ethernet), capture size 65535 bytes 11:48:56.922382 IP debian.local > google-public-dns-a.google.com: ICMP echo 11:48:56.922382 IP debian.local > google-public-dns-a.google.com: ICMP echo length 64 length 64 11:48:57.053722 IP google-public-dns-a.google.com > debian.local: ICMP echo 11:48:57.053722 IP google-public-dns-a.google.com > debian.local: ICMP echo length 64 length 64 11:48:57.922897 IP debian.local > google-public-dns-a.google.com: ICMP echo 11:48:57.922897 IP debian.local > google-public-dns-a.google.com: ICMP echo length 64 length 64 11:48:57.989884 IP google-public-dns-a.google.com > debian.local: ICMP echo 11:48:57.989884 IP google-public-dns-a.google.com > debian.local: ICMP echo length 64 length 64 Linux LPIC-2 request, id 2933, seq 1, request, id 2933, seq 1, reply, id 2933, seq 1, reply, id 2933, seq 1, request, id 2933, seq 2, request, id 2933, seq 2, reply, id 2933, seq 2, reply, id 2933, seq 2, tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 251.
    Analyse de paquetsavec Wireshark • Anciennement dénommé Ethereal (avant mai 2006) • Disponible sur les systèmes Unix et Windows • Né en 1998, grâce à Gerald Combs • Deux solutions :  GUI  ligne de commande : TShark # tshark [-i interface] [pcap-filter expression] # tshark [-i interface] [pcap-filter expression] Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 252.
    nmap : scanner deports et plus • TCP connect scan # nmap -sT hostname # nmap -sT hostname • UDP scan # nmap -sU hostname # nmap -sU hostname • identification des machines d'un réseau # nmap -sP <cible> # nmap -sP <cible> • identifier l'OS d'une machine # nmap -O --osscan-guess 127.0.0.1 # nmap -O --osscan-guess 127.0.0.1 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 253.
    Ce qu’on acouvert • netcat • netstat • tcpdump • wireshark • nmap 205.2 Advanced Network Configuration and Troubleshooting (Part 2) Weight : 4 Description : Candidates should be able to configure a network device to implement various network authentication schemes. This objective includes configuring a multi-homed network device, configuring a VPN client and resolving communication problems. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 254.
    Configuration Réseau Dépannage réseau Site: http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 255.
    Plan • Exemple deméthodologie • Couches physique et liaison • Couche réseau • Couche transport • Couche application • Problèmes de résolution de nom • Problèmes de résolution de nom : dig • Autres éléments à vérifier Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 256.
    Exemple de méthodologie 1)listerles composants impliqués  interface réseau, routeur, hôte distant, etc ... 2)établir leur interaction  chemin emprunté par un paquet  cf Prime 3)Déterminer le contexte du problème  Qui, quoi, où, quand, comment, combien (de postes affectés), pourquoi ? 4)Déterminer la cause exacte de la panne à partir du modèle TCP/IP a. Couche physique b. Couche liaison de données c. Couche réseau d. Couche transport e. Couche application • Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 257.
    Rappel : Modèle TCP/IP Couche Description Exemples physique caractéristiquesphysiques de la communication câble, fibre optique, radio liaison mode de transport des paquets sur la couche physique Ethernet, Token Ring, SLIP, ATM réseau acheminement de paquets à travers un seul réseau IP transport fiabilité des échanges et détermination de l'application à laquelle chaque paquet de données doit être délivré TCP, UDP applicatio n programmes réseaux HTTP, SMTP, FTP, SSH, DNS Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 258.
    Couches physique etliaison • vérifier que les cables sont branchés et les hôtes sous-tension  contrôle visuel ou logiciels de monitoring • vérifier que les cartes réseau sont actives  ifconfig, ip, ifup Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 259.
    Couche réseau • Puis-jejoindre l'hôte distant ? Le(s) routeur(s) ? Le firewall ? • Puis-je joindre d'hôtes hôtes du réseau ? D'internet ? • D'autres hôtes peuvent ils joindre l'hôte distant ?  ping, traceroute • vérifier la configuration ip  ifconfig, ip, dhclient • vérifier la configuration de vos routes  ip, route • Pour aller plus loin : sniffing  permet d'analyser en détail les paquets émis ou reçus  tcpdump, wireshark, etc ... Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 260.
    Couche transport • Puis-jejoindre l'hôte sur le port désiré ? $ telnet <hote> <port> $ telnet <hote> <port> • Ici encore, sniffing • Le problème peu alors par exemple être lié à un routeur ou firewall Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 261.
    Couche application • Configurationde l'application cliente  tester avec un autre client  vérifier les paramètres • Configuration de l'application serveur Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 262.
    Problèmes de résolutionde nom • Tester via ping, host ou dig • /etc/resolv.conf : ip des dns • /etc/hosts : résolution de noms statique • /etc/hostname ou /etc/sysconfig/network : nom d'hôte d'une machine • retrouver l'ip / le CNAME d'un hôte (et les MX d'un domaine) $ host <hote ou domaine> $ host <hote ou domaine> • afficher toutes les informations relatives à un domaine / hôte $ host -a <hote ou domaine> $ host -a <hote ou domaine> Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 263.
    Problèmes de résolutionde nom : dig • Vérifier les enregistrements de type A d'un domaine $ dig <domaine> $ dig <domaine> • Connaitre l'adresse ip du serveur dns faisant autorité sur un domaine $ dig <domaine> +short $ dig <domaine> +short • Trouver un nom d'hôte à partir d'une ip $ dig -x 92.121.176.140 +short $ dig -x 92.121.176.140 +short • • Vérifier les enregistrements MX d'un domaine $ dig mx midia.fr +short $ dig mx midia.fr +short Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 264.
    Autres éléments àvérifier • Démarrage  /var/log/messages  dmesg  init scripts • Système  /var/log/syslog • sécurité  /etc/host.deny et /etc/host.allow • configuration réseau  /etc/sysconfig/network-scripts ou /etc/network Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 265.
    Ce qu’on acouvert • Comment diagnostiquer les pannes réseau • Dig, host, telnet • ainsi que quelques rappels sur la configuration réseau 205.3 Troubleshooting network issues Weight : 5 Description : Candidates should be able to identify and correct common network setup issues, to include knowledge of locations for basic configuration files and commands. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 266.
    Maintenance système Construction etinstallation de programmes à partir du code source Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 267.
    Plan • Introduction • Désarchivageet décompression • Configuration • Compilation Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 268.
    Introduction • optimisation • personnalisation •être à jour • Pourquoi pas dans la LPIC1 ? Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 269.
    Désarchivage et décompression •tar $ tar xvzf archive.tar.gz $ tar xvzf archive.tar.gz $ tar xvjf archive.tar.bz2 $ tar xvjf archive.tar.bz2 • gunzip $ gunzip archive.gz $ gunzip archive.gz • bzip2 $ bunzip2 archive.bz2 $ bunzip2 archive.bz2 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 270.
    Configuration $ •$ ./configure ./configure • script GNUautoconf  configurer automatiquement le code source d'un logiciel pour l'adapter au système • architecture, bibliothèques, dépendances • désactivation des fonctionnalités liées à des dépendances optionnelles non satisfaites • génération du makefile • modifier le répertoire d'installation  •$ $ par défaut : /usr/local/ ./configure --prefix=/opt ./configure --prefix=/opt • afficher les paramètres disponibles $ •$ ./configure --help ./configure --help • Rmq : vous pouvez patcher ces sources comme pour le kernel Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 271.
    Compilation •$ make $ make •à partir des éléments du makefile  modifiables directement via options $ make DESTDIR=chemin install $ make DESTDIR=chemin install • rappel kernel : targets  all (défaut)  clean  install Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 272.
    Ce qu’on acouvert • décompresser et désarchiver  tar, gunzip, gzip, bzip2, tar • personnaliser la configuration de l'installation d'un logiciel  configure • compilation et installation d'un logiciel  make 206.1 Make and install programs from source Weight : 4 Description : Candidates should be able to build and install an executable program from source. This objective includes being able to unpack a file of sources. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 273.
    Maintenance système Opérations de sauvegarde Site: http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 274.
    Plan • Introduction • Réflexionpréalable • Supports • Supports : comparatif • Manipulation des bandes magnétique • Rsync • Autres outils • Sauvegarde réseau • Intégrité • Restauration Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 275.
    Introduction • Pourquoi ? • Quoi ? •Quand ? • Où ? • Comment ? Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 276.
    Réflexion préalable • Pourquoi ?  importancedes données •  coût de création, information relative à un temps/contexte donné, etc … fiabilité • défaillance matérielle, erreur de manipulation, etc ... • Quoi ?  relativement à leur importance et leur stabilité • données personnelles, configuration • /home, /etc • éventuellement : /var • inutiles : /etc/mtab, /proc, /sys, /dev • Quand ?  fonction du rythme de changement des données  quotidiennement sur la plupart des systèmes Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 277.
    Supports • Bande magnétique  /dev/st*  /dev/nst*(non rewinding tape) • ne se rembobine pas automatiquement après chaque opération • Disque dur • Médias optiques • Réseaux Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 278.
    Supports : comparatif Type bande magnétique disque dur Avantages ● ● ● ● coût stockagepassif temps d'accès rapport capacité / prix Inconvénients ● ● temps d'accès peu adapté à une sauvegarde horssite Contextes ● ● ● média optique ● ● fiabilité transport ● ● réseaux (NAS, SAN) Linux LPIC-2 ● ● adaptabilité indépendance ● ● capacité de stockage write-once ● sauvegarde à long terme intermédiaire pour une sauvegarde hors-site restaurations rapides et fréquentes sauvegardes système coût consommation énergétique tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 279.
    Manipulation des bandesmagnétique $ mt [-h] [-f device] operation [count] [arguments...] $ mt [-h] [-f device] operation [count] [arguments...] • Opérations  fsf : avancer de count fichiers  bsf : reculer de count fichiers  eod / seod : avance jusqu'à la fin des données  rewind : rembobiner (intégralement) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 280.
    Rsync • Rsync (RemoteSYNChronisation)  synchronisation distante (ou locale) unidirectionnelle $ rsync -avz -e "ssh" source user@destination:dest $ rsync -avz -e "ssh" source user@destination:dest •  -a : mode archivage • récursif, conserve les liens symboliques, dates, permissions et périphériques  -z : compresser les données lors du transfert  -e : shell distant (ssh par défaut) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 281.
    Autres outils • dd :copie bloc à bloc $ dd if=/dev/sda2 of=/tmp/home.img bs=1024 count=1048576 • $ dd if=/dev/sda2 of=/tmp/home.img bs=1024 count=1048576 • cpio : archivage  "ancêtre" de tar (moins connu)  3 modes : -i (input / extraire), -o (output / compression) et -p (pass-through) • liste de fichiers à partir de stdin $ find /test | cpio -o > test.cpio $ find /test | cpio -o > test.cpio • tar # tar -czf /dev/st0 /www /home # tar -czf /dev/st0 /www /home # tar -xvf /dev/st0 # tar -xvf /dev/st0 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 282.
    Sauvegarde réseau • AMANDA  AdvancedMaryland Automatic Network Disk Archiver  développé par l'université du Maryland  basé sur les standards de logiciels de sauvegarde. • Unix dump et restore, Gnu tar, autres logiciels ...  Le plus populaire  sauvegarde séquentielle (lecteur de bande ou disque)  modulaire  permet une répartition des tâches sur les machines périphériques  documentation en français : http://www.linux-france.org/article/sys/amanda/ • Bacula  serveur disponible uniquement sous Unix (GNU/Linux, Solaris et FreeBSD)  repose sur une base de donnée relationnelle  enregistre les signatures (SHA-1 ou MD5) de chaque fichier sauvegardé  extrêmement complet (chiffrement, gestion des robots changeurs de bandes, scripting, etc …)  administrable via de nombreux GUI Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 283.
    Sauvegarde réseau • BackupPC  viaSMB, tar over SSH/rsh/nfs ou rsync  administrable via interface web • Tous sont :  disponibles pour Unix (GNU/Linux, BSD, Mac OS X, Solaris) et Windows  Libres  des références incontournables (mais seulement à "connaître" pour la LPIC2) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 284.
    Intégrité • il estimportant de vérifier l'intégrité des données sauvegardées  et de répéter l'opération régulièrement (ex : tout les ans) • exemple (backup)$ find ./ -type f -exec sha1sum {} ; > ~/backup_sums.txt (backup)$ find ./ -type f -exec sha1sum {} ; > ~/backup_sums.txt (origin)$ scp backup:backup_sums.txt . (origin)$ scp backup:backup_sums.txt . (origin)$ sha1sum -c backup_sums.txt (origin)$ sha1sum -c backup_sums.txt ... ... ./.kde/Autostart/.directory: OK ./.kde/Autostart/.directory: OK ./.ssh/authorized_keys: OK ./.ssh/authorized_keys: OK ./.ssh/id_dsa: OK ./.ssh/id_dsa: OK ... ... ./rsync-out.txt: FAILED ./rsync-out.txt: FAILED ./try.pl~: OK ./try.pl~: OK sha1sum: WARNING: 1 of 667 computed checksums did NOT match sha1sum: WARNING: 1 of 667 computed checksums did NOT match Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 285.
    Restauration • Toujours vérifierla restauration après sauvegarde • Établir une procédure de restauration  spécifie comment restaurer les données • Linux LPIC-2 option x de tar, script, rsync ou dd inverse, etc ... tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 286.
    Ce qu’on acouvert • Établir une stratégie de sauvegarde. • Les différents supports de sauvegarde. • cpio, dd, tar, rsync • Vérifier l'intégrité d'une sauvegarde. • Restauration 206.2 Backup operations Weight : 3 Description : Candidates should be able to use system tools to back up important system data. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 287.
    Maintenance système Notification aux utilisateursdes problèmes système Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 288.
    Plan • Messages àl'authentification • Broadcaster un message à tout les utilisateurs • Commande shutdown Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 289.
    Messages à l'authentification •/etc/issue  message affiché avant authentification  ex : "Bienvenue sur le serveur toto.machin.com - Debian GNU/Linux"  mieux : "Attention : utilisateurs autorisés uniquement" • /etc/issue.net  idem, mais pour les connections distante • /etc/motd  message affiché une fois l'authentification établie  particulièrement utile pour informer les utilisateurs d'un événement particulier (ex : extinction planifiée du système)  inutile pour les larges environnement •  particulièrement en cas d'authentification unique attention à sa mise à jour Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 290.
    Broadcaster un messageà tout les utilisateurs • Envoyer un message (22 lignes maximum) $ wall [file] $ wall [file]  à partir d'un fichier ou de l'entrée standard (Ctrl-D pour clore) • Contrôler l'accès en écriture à son terminal par les autres utilisateurs $ mesg [y|n] $ mesg [y|n] • Afficher le statut d'accès en écriture des utilisateurs # finger # finger  colonne TTY : précédé de * si accès en écriture désactivé Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 291.
    Commande shutdown • Exemple #Shutdown -H +10 Server halting in 10 minutes for change change # Shutdown -H +10 Server halting in 10 minutes for change change number. Expected up at 00:00:00. number. Expected up at 00:00:00. • Options  -k : simuler un arrêt du système • créé tout de même le fichier /etc/nologin durant son execution - interdit la connexion à tout autre utilisateur que root  -c : annuler (cancel) un arrêt du système Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 292.
    Ce qu’on acouvert • /etc/issue • /etc/issue.net • /etc/motd • wall • /sbin/shutdown 206.3 Notify users on system-related issues Weight : 1 Description : Candidates should be able to notify the users about current issues related to the system. Remarque : pour des raisons de cohérence, nous anticipons ici la v4, renumérotant ce sujet du 205.4 au 206.3 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 293.
    Domain Name Server Configuration élémentaired'un DNS Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 294.
    Plan • Introduction • Logging •Hiérarchie • Zones • Fonctionnement • Configuration de rndc • Vocabulaire • Commandes rndc • Bind • Exemple : serveur de cache • Composants • Syntaxe du fichier named.conf • Options Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 295.
    Introduction • correspondance nom(FQDN) / adresse ip • autrefois grâce à un fichier HOST.TXT partagé par copie • Remplace les fichiers hosts depuis 1987  "dynamique"  centralisé  hiérarchisé  standard Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 296.
    Hiérarchie Linux LPIC-2 tout droitsréservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 297.
    Fonctionnement Linux LPIC-2 tout droitsréservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 298.
    Vocabulaire Terme Définition Zone Ensemble des directivesassociées à un domaine. A chaque zone / domaine correspond un fichier. DNS récursif Serveur capable d'interroger de manière récursive les autres serveurs DNS lorsqu'il ne parvient pas à déterminer un serveur faisant autorité sur le nom de domaine recherché. Serveur primaire / Maître (d'une zone) Serveur obtenant la configuration de sa zone à partir d'un fichier directement administré. Serveur principal d'un domaine. Serveur secondaire Serveur obtenant toutes les informations d'une zone à partir d'un serveur primaire. Faire autorité sur un domaine Répondre directement aux requêtes concernant un domaine sans passer par un autre serveur ou un cache. C'est le cas des serveurs primaires et secondaires. ne pas confondre "authoritive" (primaire / master) avec "faire autorité" Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 299.
    Bind • Berkeley InternetName Daemon • standard de fait  aujourd'hui maintenu par l'Internet Systems Consortium • Libre : Licence ISC / OpenBSD • Version 9  la plus courante  stable, sécurisé et confirmé (plus de 10 ans)  objectif LPIC • Version 10  récente (février 2013)  totalement différente (réécrit à partir de zéro en 5 ans)  intègre également le DHCP Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 300.
    Composants • /usr/sbin/named • /usr/sbin/rndc :utilitaire de contrôle • /etc/bind/named.conf ou /etc/named.conf : fichier de configuration  named.conf.local  named.conf.options • /etc/init.d/bind : init script • /var/named/ : répertoire de travail Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 301.
    Syntaxe du fichiernamed.conf • instruction (statements) keyword { keyword { ... ... ; } ; } ;  options, forwarders, logging, zone "xxx", etc …  imbricables • ex : forwarders dans options • instruction "simples"  ex : inclusion include "/etc/bind/named.conf.options"; include "/etc/bind/named.conf.options"; • doivent toutes se terminer par un ; Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 302.
    Options • Options deconfiguration du serveur DNS • Une seule instruction options par named.conf  souvent écrit dans un fichier named.conf.options Option Description Exemple directory répertoire de travail directory "/var/named"; forwarders serveurs de référence (aucun par défaut) forwarders { 123.12.135.6 ; } forward comportement avec les forwarder first (défaut) : en priorité only : uniquement forward only ; version version du serveur à afficher version none ; Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 303.
    Logging logging { logging { categorycat { channel; }; category cat { channel; }; ... ... }; }; • catégorie : type d'information à logger  security, lame-server, cname, etc ... • chaîne : spécifie la sortie  null : détruit toutes les informations  default_syslog : comportement par défaut du système • Une seule instruction logging par named.conf • Configuration par défaut correcte Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 304.
    Zones • Définit lesparamètres généraux d'une zone  type (master / slave)  nom (dans l'en-tête)  fichier (paramètres détaillés de la zone)  plus éventuellement d'autres options zone "example.org" { zone "example.org" { type master; type master; file "/etc/bind/db.example.org"; file "/etc/bind/db.example.org"; }; }; • détails dans le chapitre suivant Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 305.
    Configuration de rndc rndc.key key"rndc-key" { key "rndc-key" { algorithm hmac-md5; algorithm hmac-md5; secret "tyZqsLtPHCNna5SFBLT0Eg=="; secret "tyZqsLtPHCNna5SFBLT0Eg=="; }; }; options { options { default-key "rndc-key"; default-key "rndc-key"; default-server 127.0.0.1; default-server 127.0.0.1; default-port 953; default-port 953; }; }; named.conf key "rndc-key" { key "rndc-key" { algorithm hmac-md5; algorithm hmac-md5; secret "tyZqsLtPHCNna5SFBLT0Eg=="; secret "tyZqsLtPHCNna5SFBLT0Eg=="; }; }; controls { controls { inet 127.0.0.1 port 953 inet 127.0.0.1 port 953 allow { 127.0.0.1; } keys { "rndc-key"; }; allow { 127.0.0.1; } keys { "rndc-key"; }; }; }; Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 306.
    Commandes rndc • générerune clé si aucune n'est disponible sur le système • # rndc-confgen # rndc-confgen • syntaxe de rndc $ rndc [-b $ rndc [-b • port] [-V] port] [-V] source-address] [-c config-file] [-k key-file] [-s server] [-p source-address] [-c config-file] [-k key-file] [-s server] [-p [-y key_id] {commande} [-y key_id] {commande} • commandes :  reload : recharger la configuration  stop : arrêter le serveur  flush : vider le cache  status : afficher l'état du serveur  aucune ou help : liste des commandes possibles Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 307.
    Exemple : serveur decache Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 308.
    Ce qu’on acouvert • Ce qu'est un serveur DNS. • Les quelques principes génériques à connaître. • Bind  named.conf  /var/named  rndc 207.1 Basic DNS server configuration Weight : 2 Description : Candidates should be able to configure BIND to function as a caching-only DNS server. This objective includes the ability to convert older BIND configuration files to newer format, managing a running server and configuring logging Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 309.
    Domain Name Server Créationet maintenance de zones DNS Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 310.
    Plan • Introduction  Mail Exchange(MX) • Configuration : maitre / eslave  NameServer (NS) • Fichiers de zone  Start Of Authority (SOA) • Fichier de zone : exemple Paramètres SOA • Zone inverse • Instructions • Enregistrements  Adresse (A)  Alias (CNAME) Linux LPIC-2 • • Zone racine • Délégation de zone • Tests et vérification avec nslookup tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 311.
    Introduction • Après avoirappris à configurer un serveur en cache only  apprendre à gérer directement des zones • Deux types de zones : zones et zones inverses  à chaque zone doit correspondre une zone inverse • définition pour chaque dans named.conf • permet la résolution adresse ip → nom • exemple : 240.123.224.in-addr.arpa Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 312.
    Configuration : maitre /eslave • fichier named.conf  serveur maître zone "example.org" { zone "example.org" { type master; type master; file "/etc/bind/db.example.org"; file "/etc/bind/db.example.org"; allow-transfer { 192.168.56.101 ; } ; allow-transfer { 192.168.56.101 ; } ; }; };  serveur esclave zone "example.org" { zone "example.org" { type slave; type slave; masters { 224.123.240.1; }; masters { 224.123.240.1; }; file "db.example.org"; file "db.example.org"; }; }; Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 313.
    Fichiers de zone •contiennent les informations sur une zone particulière  enregistrements  directives • indiqués par l'option file d'une directive zone dans named.conf  chemin complet (/etc/bind/db.example.org)  ou chemin relatif • Linux LPIC-2 par rapport à la directive directory tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 314.
    Fichier de zone :exemple $ORIGIN example.com. $ORIGIN example.com. $TTL 86400 $TTL 86400 @ IN SOA dns1.example.com. hostmaster.example.com. ( @ IN SOA dns1.example.com. hostmaster.example.com. ( 2001062501 ; serial 2001062501 ; serial 21600 ; refresh after 6 hours 21600 ; refresh after 6 hours 3600 ; retry after 1 hour 3600 ; retry after 1 hour 604800 ; expire after 1 week 604800 ; expire after 1 week 86400 ) ; minimum TTL of 1 day 86400 ) ; minimum TTL of 1 day IN IN IN IN NS NS NS NS dns1.example.com. dns1.example.com. dns2.example.com. dns2.example.com. IN IN IN IN MX MX MX MX 10 10 20 20 IN IN A A 10.0.1.5 10.0.1.5 server1 server1 server2 server2 dns1 dns1 dns2 dns2 IN IN IN IN IN IN IN IN A A A A A A A A 10.0.1.5 10.0.1.5 10.0.1.7 10.0.1.7 10.0.1.2 10.0.1.2 10.0.1.3 10.0.1.3 ftp ftp mail mail mail2 mail2 www www IN IN IN IN IN IN IN IN CNAME CNAME CNAME CNAME CNAME CNAME CNAME CNAME server1 server1 server1 server1 server2 server2 server2 server2 Linux LPIC-2 mail.example.com. mail.example.com. mail2.example.com. mail2.example.com. tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 315.
    Instructions Instructions Description Exemple $TTL Valeur pardéfaut du temps de vie (Time to live : durée, en secondes, durant laquelle un enregistrement est valide). $TTL 86400 $ORIGIN Modifier l'origine (current origin : nom de domaine, spécifié dans l'en-tête de la directive zone du named.conf) $ORIGIN exemple.com $INCLUDE Permet d'inclure un autre fichier de zone à l'endroit de cette directive. Permet de stocker des configuration de zone à l'écart du fichier de zone principal. $INCLUDE /etc/bind/CNAME.exemple.com Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 316.
    Enregistrements • Syntaxe www 7200 www 7200 IN monserveur monserveur IN Nom CNAME A TTL Type monserveur monserveur 192.168.1.10 192.168.1.10 Valeur •La seconde colonne indique la classe  ie : le protocole utilisé  aujourd'hui, toujours IN (pour internet) • Nom : absolu (FQN) ou "relatif" (à l'origine)  si ne finie pas par un point, l'origine lui sera ajoutée (à droite)  @ permet de référencer uniquement l'origine  Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 317.
    Adresse (A) • Nom→ IP • Exemple monserveur Linux LPIC-2 IN A 192.168.1.10 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 318.
    Alias (CNAME) • Nom→ Nom (A) • Exemple www IN www monserveur monserveur IN Linux LPIC-2 CNAME CNAME A A monserveur monserveur 192.168.1.10 192.168.1.10 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 319.
    Mail Exchange (MX) •Serveurs mail pour le domaine • Par priorité (du + petit au + grand) • Vers une adresse (A)  Pas d'Alias (CNAME) • Exemple noelmace.com. noelmace.com. Linux LPIC-2 IN IN MX MX 10 50 mail.noelmace.com. mail.google.com. tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 320.
    NameServer (NS) • Spécifierles serveurs faisant autorité sur le domaine • Vers une adresse (A) (glue record)  Pas d'Alias (CNAME)  éviter de pointer vers l'enregistrement A d'un autre serveur DNS  Omettre les furtifs • Exemple ns Linux LPIC-2 IN IN NS A ns.noelmace.com. 192.168.1.30 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 321.
    Start Of Authority(SOA) • Informations générales sur la zone  Serveur maître  Adresse mail de l'admin  paramètres • Exemple @ @ ; ; Linux LPIC-2 IN IN SOA SOA ns.noelmace.com. contact.noelmace.com. ( ns.noelmace.com. contact.noelmace.com. ( 2011102402 ; Serial 2011102402 ; Serial 604800 ; Refresh 604800 ; Refresh 86400 ; Retry 86400 ; Retry 2419200 ; Expire 2419200 ; Expire 604800 ) ; Negative Cache TTL 604800 ) ; Negative Cache TTL tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 322.
    Paramètres SOA Paramètre Description Serial Numéro desérie. Permet au serveur secondaire de savoir si il doit se mettre à jour. Incrémenté à chaque modification du fichier. Par convention : yyyymmdd + numéro de la modification. Refresh Fréquence de consultation du serveur primaire par les serveurs secondaires. Retry Temps d'attente avant nouvel essai en cas d'echec de refresh. Expire Durée d'indisponibilité du serveur primaire après laquelle celui-ci sera considéré comme retiré du service. Minimum TTL TTL minimum du cache • Toutes les durées sont exprimées en secondes ! Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 323.
    Zone inverse • permetla résolution ip → nom • enregistrements PTR 1 IN PTR dns1.example.org. ne pas oublier le point finale (racine) • déclaration dans named.conf zone "1.168.192.in-addr.arpa" { type master ; file "/etc/bind/db.1.168.192" ; } ; Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 324.
    Zone racine • named.conf zone"." zone "." type type file file }; }; { { hint; hint; "/etc/bind/db.root"; "/etc/bind/db.root"; • fichier de zone à mettre à jour  soit par la distribution  soit via ftp.rs.internic.net  via dig dig @a.root-servers.net . ns > roothints dig @a.root-servers.net . ns > roothints Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 325.
    Délégation de zone •Permet de déléguer un sous-domaine à un autre serveur DNS • Exemple :  un serveur ns1.example.com maître sur example.com •  ip = 192.168.0.1 un serveur ns3.sd.example.com maître sur sd.example.com • Linux LPIC-2 ip = 10.10.0.1 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 326.
    Délégation de zone •fichier de zone de example.com sur ns1 $ORIGIN example.com. $ORIGIN example.com. @ IN @ IN ... ... ) ) IN IN ns1 IN ns1 IN ... ... SOA SOA NS NS A A ns1.example.com. hostmaster.example.com. ( ns1.example.com. hostmaster.example.com. ( ns1.example.com. ns1.example.com. 192.168.0.1 192.168.0.1 $ORIGIN sd.example.com. $ORIGIN sd.example.com. @ IN NS ns3.sd.example.com. @ IN NS ns3.sd.example.com. ; il est recommandé, mais non indispensable, d'établir également le serveur ; il est recommandé, mais non indispensable, d'établir également le serveur ; ns1 en slave de ns3 pour cette zone, et de lui donner autorité sur ce ; ns1 en slave de ns3 pour cette zone, et de lui donner autorité sur ce ; sous-domaine (en plus de la configuration dans named.conf) ; sous-domaine (en plus de la configuration dans named.conf) ; IN NS ns1.example.com. ; IN NS ns1.example.com. ns3 ns3 Linux LPIC-2 IN IN A A 10.10.0.1 10.10.0.1 ; 'glue' record, obligatoire ! ; 'glue' record, obligatoire ! tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 327.
    Délégation de zone •fichier de zone de sd.example.com sur ns3 $ORIGIN sd.example.com. $ORIGIN sd.example.com. @ IN SOA @ IN SOA ... ... ) ) IN IN ; pour ns1 en slave, voir ; pour ns1 en slave, voir ; IN ; IN ; ns1.example.com. IN ns1.example.com. IN ; ns3 IN ns3 IN ns3.sd.example.com. contact.sd.example.com. ( ns3.sd.example.com. contact.sd.example.com. ( NS ns3.sd.example.com. NS ns3.sd.example.com. précédemment précédemment NS ns1.example.com. NS ns1.example.com. A 192.168.0.1 ; 'glue' record A 192.168.0.1 ; 'glue' record A 10.10.0.1 A 10.10.0.1 ; exemple d'enregistrement pour ftp.sd.example.com ; exemple d'enregistrement pour ftp.sd.example.com ftp IN A 10.10.0.28 ftp IN A 10.10.0.28 ... ... Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 328.
    Tests et vérificationavec nslookup • afficher les enregistrements d'un domaine ou d'un hôte  dans le dns configuré $ nslookup www.exemple.org $ nslookup www.exemple.org  dans un autre serveur $ nslookup www.exemple.org serveur.de.nom $ nslookup www.exemple.org serveur.de.nom • mode interactif (sans arguments)  clause set pour modifier le mode d'interrogation set type=mx set type=mx • n'est plus maintenu  privilégier dig et host • cf chapitres précédents Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 329.
    Ce qu’on acouvert • Configuration des zones dans BIND 9 :  fichiers de zone •  génériques, inverses et racine named.conf • Comment ajouter un hôte au fichier de zone. • Comment mettre en place une délégation de zone. • Comment tester une zone avec nslookup. 207.2 Create and maintain DNS zones Weight : 2 Description : Candidates should be able to create a zone file for a forward or reverse zone or root level server. This objective includes setting appropriate values for records, adding hosts in zones and adding zones to the DNS. A candidate should also be able to delegate zones to another DNS server. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 330.
    Domain Name Server Sécurisationd'un serveur DNS Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 331.
    Plan • • Introduction • Remarque sur lehacking • Types de requêtes • DNSSEC Masquer le numéro de version  Signature des enregistrements DNSKEY et RRSIG  Preuves de non-existance  • Introduction  •  Chaine de confiance ACL Limiter les requêtes • • Limiter les transfers de zone • Limiter les privilèges de BIND • Chroot • Chroot : logging Mise en pratique Génération de clés avec dnssec-keygen  Limitation des transfers avec DNSSEC  Signature de zone  Configuration du client  Linux LPIC-2  Enregistrements DS tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 332.
    Introduction • mettre àjour régulièrement  garder un œil sur les nouvelles versions et les annonces de failles de sécurité  exemple : http://lists.debian.org/debian-security-announce/ • Limiter les informations disponibles • Limiter l'accès et les transferts de zone • Isoler/Limiter BIND • Sécuriser les données (avec DNSSEC) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 333.
    Remarque sur lehacking • Ne pas confondre hacking et malveillance  black / grey / white hats • Le hacking n'est d'ailleurs pas uniquement lié aux questions de sécurité, ni même d'informatique • "aptitude technique et [...] plaisir pris à résoudre des problèmes et à dépasser des limites arbitraires" - Eric Raymond, Comment devenir un hacker ?  voir aussi The Jargon File, du même auteur, et sa définition très complète du terme hacker Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 334.
    Types de requêtes •requêtes "classiques"  demande d'une information spécifique  contrôlée par l'instruction allow-query • Transferts de zone  envoi de toutes les informations d'une zone à un autre serveur  conçues pour les serveurs "esclaves"  contrôlées par l'instruction allow-transfer autorisé par défaut pour tout les hôtes Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 335.
    Masquer le numérode version • hack $ dig @target chaos version.bind txt $ dig @target chaos version.bind txt  peu permettre de cibler les attaques en fonction de failles connues • solution : named.conf options { options { ... ... version "hidden"; version "hidden"; }; }; Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 336.
    ACL • Mettre enplace un ACL acl "trusted" { acl "trusted" { localhost; localhost; 192.168.1.0/24; 192.168.1.0/24; }; }; • utilisable par diverses instructions de contrôle d'accès  allow-query, allow-transfer Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 337.
    Limiter les requêtes •grâce aux instructions allow-query et allow-transfer  utilisables dans les instructions zone et options • celles des instructions zone surchargeant celles, globales, de l'instruction options • Exemple acl "my_network" { acl "my_network" { 224.123.240.0/24; 224.123.240.0/24; }; }; zone "example.org" IN { zone "example.org" IN { type master; type master; allow-queries { my_network; }; allow-queries { my_network; }; }; }; Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 338.
    Limiter les transfersde zone • hacks $ dig axfr @serveurdns domaine $ dig axfr @serveurdns domaine $ host -l domaine serveurdns $ host -l domaine serveurdns • DOIT être limité aux serveurs "esclaves" sur les serveurs maitre  totalement interdit (none) sur les serveurs esclaves • Exemple : named.conf d'un serveur maitre acl "my_slave_servers" { acl "my_slave_servers" { 224.123.240.3; // cat.example.org 224.123.240.3; // cat.example.org }; }; zone "example.org" IN { zone "example.org" IN { type master; type master; allow-transfer { my_slave_servers; }; allow-transfer { my_slave_servers; }; }; }; ne pas oublier de faire de même pour les zones inverse Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 339.
    Limiter les privilègesde BIND • se lance par défaut en tant que root sur certaines distributions • éviter l'utilisateur/groupe nobody/nogroup  trop grand nombre d'applications lancées via cet utilisateur  risque de communication entre ces application → faille • privilégier un utilisateur/groupe spécifique  ex : named / named # named -u named -g named # named -u named -g named  Exemple de init script sous Debian start-stop-daemon ... --exec /usr/sbin/named -- -u named -g named start-stop-daemon ... --exec /usr/sbin/named -- -u named -g named vérifier que cet utilisateur ai l'accès au dossier de travail (instruction directory) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 340.
    Chroot • permet d'isolerl'execution d'un programme  en changeant sa racine (ex : /var/cache/bind)  option -t de named start-stop-daemon ... --exec /usr/sbin/named -- -t /var/cache/bind start-stop-daemon ... --exec /usr/sbin/named -- -t /var/cache/bind • fichiers requis par BIND  dossiers etc, dev, lib, sbin (ou usr/sbin) et var/run  périphérique /dev/null $ mknod -m 666 /var/cache/bind/dev/null c 1 3 $ mknod -m 666 /var/cache/bind/dev/null c 1 3  les fichiers /etc/{passwd,group,shadow,ld.so.cache,localtime} contenant l'utilisateur/groupe named/named  fichiers de configuration (dans /var/cache/bind/etc/bind/) •  atention à l'instruction directory, qui sera relative à la nouvelle racine toutes les librairies utilisées par BIND  $ ldd /usr/sbin/named $ ldd /usr/sbin/named  les programmes named, named-xfer et rndc  Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 341.
    Chroot : logging • lasolution traditionnelle de logging présentée aux chapitres précédents requière des fichiers externes au chroot  nous devons donc faire appel à une autre solution  voici un exemple logging { logging { channel some_log { channel some_log { file "bind.log" versions 3; file "bind.log" versions 3; severity info; severity info; }; }; category default { some_log; }; category default { some_log; }; // ... // ... }; };  le nouveau fichier de log sera donc /var/cache/bind/var/cache/bind/bind.log Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 342.
    DNSSEC • Introduction  Signature desenregistrements  DNSKEY et RRSIG  Preuves de non-existance  Chaine de confiance • Mise en pratique  Génération de clés avec dnssec-keygen  Limitation des transfers avec DNSSEC  Signature de zone  Configuration du client  Enregistrements DS Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 343.
    Introduction • Permet desécuriser les réponses d'un serveur DNS  par rapport à des informations existante • •  Authentification des données contenues dans les réponses. Intégrité de ces données. ou par rapport à des informations non existantes • Preuve de non existence. • En signant les enregistrements DNS au sain d'une zone • Permet d’établir une chaîne de confiance basée sur des clés publiques  délégation de signatures  un DNS de niveau supérieur pouvant annoncer que tel sous-domaine est signé • Empêche le DNS poisoning  intercepter des paquets dns et les modifier Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 344.
    Signature des enregistrements Danger : leDNS poisoning Solution : la signature des enregistrements Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 345.
    DNSKEY et RRSIG •DNSKEY : transmettre une clé publique entre le résolveur (client) et le serveur de nom  afin de vérifier la signature du serveur d'autorité  vérifier l'intégrité et l'authenticité du message • RRSIG : signature de l'enregistrement envoyé par le serveur d'autorité  pour chaque enregistrement  signature du hash de l'enregistrement avec la clé privée du serveur d'autorité Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 346.
    Preuves de non-existance •pour des noms inexistants  par défaut, le serveur répondra par une réponse vide • il n'y a donc rien à signer • NSEC (Next SECure) : preuve de non existance  indique les noms n'existant pas !  permet ainsi la création d'un RRSIG correspondant  Exemple : il n'y a aucun nom entre beta et delta beta.example.net. NSEC delta.example.net. A RRSIG NSEC beta.example.net. NSEC delta.example.net. A RRSIG NSEC  problème : à chaque nom existant est associé un NSEC • permet donc du "zone walking" (énumération de zone) • ie : récupérer l'ensemble des enregistrements existant sur la zone Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 347.
    Preuves de non-existance •NSEC3 : évite les attaques de type énumération de zone  utilise les hashs des noms au lieu des noms eux même  Exemple : il n'y a pas de hash valide entre 810c et c73a 810c.example.net. NSEC 1 0 5 5A17 c73a A RRSIG 810c.example.net. NSEC 1 0 5 5A17 c73a A RRSIG • algo (1), salt (5A17), iterations (5) • NSEC3PARAM : paramètres NSEC3  ne sert qu'aux serveur d'autorité  afin de calculer le hash des noms qu'il conserve Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 348.
    Chaine de confiance •être certain que la clé publique (DNSKEY) du résolveur correspond bien à la bonne clé de la zone • cf délégation de zone  un serveur de confiance indique que l'un de ses serveurs enfants est digne de confiance • DS : identifier rapidement la clé publique de la zone fille • directement lié à l'enregistrement DNSKEY d'une des zones filles - envoyé par le serveur fils pour l'enregistrer dans le serveur père • Linux LPIC-2 hash du nom du détenteur de la clé publique (zone fille) tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 349.
    Mise en pratique •2 types de clés :  KSK (Key Signing Keys) •  utilisée uniquement pour signer les clés d'une zone (DNSKEY) ZSK (Zone Signing Keys) • Linux LPIC-2 utilisée pour signer tout les RRsets d'une zone (RRSIG) tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 350.
    Génération de clésavec dnssec-keygen $ dnssec-keygen -a algo -b size -n nametype [-f flag] nom $ dnssec-keygen -a algo -b size -n nametype [-f flag] nom • algo : algorithme cryptographique  non sensible à la casse  pour DNSSEC : RSAMD5, RSASHA1, DSA …  pour TSIG/TKEY : DH (Diffie Hellman), HMAC-MD5, HMAC-SHA1 … • size : longueur de la clé (en bits)  RSA : entre 512 et 2048  DH : entre 128 et 4096  DSA : entre 512 et 1024  HMAC : entre 1 et 512 • nametype : type d'utilisation de la clé  non sensible à la casse  ZONE, USER ou OTHER • flag : utilisé pour indiquer qu'une clé est une clé KSK  ZSK sinon • créé les fichiers Kname+algorithm+footprint.private and Kname+algorithm+footprint.key Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 351.
    Limitation des transfersavec DNSSEC • dans named.conf key key.example.com. { key key.example.com. { algorithm "hmac-md5"; algorithm "hmac-md5"; secret "5VBiSy..."; secret "5VBiSy..."; }; };  limiter les droits d'accès en lecture au seul utilisateur/groupe liés au serveur BIND • définir les serveurs pouvant se connecter grâce à cette clé server ip_du_serveur_distant { server ip_du_serveur_distant { keys key.example.com.; keys key.example.com.; }; };  à inscrire sur tout les serveurs Linux LPIC-2 • tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 352.
    Limitation des transfersavec DNSSEC • grâce à la clé déclarée précédemment zone "example.com" { zone "example.com" { type master; type master; file "example.com.zone"; file "example.com.zone"; allow-transfer { key key.example.com.; }; allow-transfer { key key.example.com.; }; }; }; Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 353.
    Signature de zone 1)Création des clés (dans /etc/bind/) $ dnssec-keygen -f KSK -a RSASHA1 -b 1024 -n ZONE projet $ dnssec-keygen -f KSK -a RSASHA1 -b 1024 -n ZONE projet $ dnssec-keygen -a RSASHA1 -b 1024 -n ZONE projet $ dnssec-keygen -a RSASHA1 -b 1024 -n ZONE projet 2) Inclusion des clés dans le fichier de zone $include nom_du_fichier_KSK.key $include nom_du_fichier_KSK.key $include nom_du_fichier_ZSK.key $include nom_du_fichier_ZSK.key 3) Signature de la zone  créé le fichier de zone signée projet.signed $ dnssec-signzone -t -k clé_KSK.key db.projet -o projet clé_ZSK.key $ dnssec-signzone -t -k clé_KSK.key db.projet -o projet clé_ZSK.key Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 354.
    Signature de zone 4)modification de named.conf zone “projet” { zone “projet” { type “master”; type “master”; file “/etc/bind/db.projet.signed”; file “/etc/bind/db.projet.signed”; }; }; 5) modification de named.conf.options dnssec-enable yes; dnssec-enable yes; 6) relancer bind $ /etc/init.d/bind9 restart $ /etc/init.d/bind9 restart Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 355.
    Configuration du client •récupérer la clé KSK  de manière sécurisée (scp, sftp ...) • l'ajouter au fichier /etc/trusted-key.key tail -n 1 KSK.key >> /etc/trusted-key.key tail -n 1 KSK.key >> /etc/trusted-key.key • tester la configuration $ dig +dnssec +sigchase papa.projet $ dig +dnssec +sigchase papa.projet Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 356.
    Signature de zone 1)Création des clés (dans /etc/bind/) $ dnssec-keygen -f KSK -a RSASHA1 -b 1024 -n ZONE projet $ dnssec-keygen -f KSK -a RSASHA1 -b 1024 -n ZONE projet $ dnssec-keygen -a RSASHA1 -b 1024 -n ZONE projet $ dnssec-keygen -a RSASHA1 -b 1024 -n ZONE projet 2) Inclusion des clés dans le fichier de zone $include nom_du_fichier_KSK.key $include nom_du_fichier_KSK.key $include nom_du_fichier_ZSK.key $include nom_du_fichier_ZSK.key 3) Signature de la zone  créé le fichier de zone signée projet.signed) $ dnssec-signzone -t -k clé_KSK.key db.projet -o projet clé_ZSK.key $ dnssec-signzone -t -k clé_KSK.key db.projet -o projet clé_ZSK.key Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 357.
    Enregistrements DS • Exemple :un serveur A1 fait autorité sur example.org  un serveur A2, grâce à une délégation de zone, fait autorité sur sd.example.org • Nous devons donc transmettre les enregistrements DS générés dans A2 à A1 afin d'établire une chaine de confiance • Ces enregistrements ont été créés dans un fichier séparé, dsset-sd.example.org  envoyer ce fichier de manière sécurisée à A1  l'inclure dans le fichier de zone non signé Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 358.
    Ce qu’on acouvert • Principes de base de la sécurisation du DNS.  lancement en tant qu'utilisateur non-root  Chrooting de bind  Transfert de zone • Signature de zone avec DNSSEC  dnssec-keygen et dnssec-signzone 207.3 Securing a DNS server Weight : 2 Description : Candidates should be able to configure a DNS server to run as a non-root user and run in a chroot jail. This objective includes secure exchange of data between DNS servers. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 359.
    Services web Mise enplace d'un serveur web Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 360.
    Plan • Introduction • Modularité   Apache  MPM :prefork ou worker ?  Virtual Hosts Chargement d'un module Apache  mod_perl • Installer mod_perl   • Configuration PHP Authentification et autorisation  httpd.conf : exemple • Mise en place  Options du serveur Apache • Gestion des comptes utilisateur  Contrôle des répertoires •  Logging Protection d'un dossier par DAC • Protection d'un dossier par MAC • apache2ctl • Bonus : les outils Debian Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 361.
    Introduction • Un desservices primordiaux d'Internet  certainement le plus connu du grand public  beaucoup confondant World Wide Web et Internet • HTTP  HyperText Transfer Protocol  Permettre aux utilisateurs d’accéder à des données (pages web) sur un serveur • Linux LPIC-2 via un client web (ex : Firefox) tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 362.
    Apache • Né enavril 1995  ensemble de correctifs à NCSA HTTPd (du domaine publique) • leader de l'époque (plus de 55 % de parts de marché) • "mort" (0%) en juillet 1999 • Totalement réécrit en 2000 pour la version 2  plus aucune trace de NCSA HTTPd • LE serveur web de référence depuis avril 1996 • Libre (Licence Apache)  v2.0 (compatible GPL v3) depuis Janvier 2004 GNU/Linux, Mac OS X, BSD, Solaris, Windows Linux LPIC-2 de parts de marché sur les sites actifs en avril 2013 selon netcraft.com • contre 13 % pour Nginx, plus léger et performant, qui connaît une progression certaine depuis 2007 • • Multi-plateforme   54 % 12 % pour Microsoft-IIS et 8 % pour Google Servers  LAMP : Linux, Apache, MySQL, PHP tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 363.
    MPM : prefork ouworker ? • Multi-Processing Module  Moteur de serveur : interprète les requêtes •  "duplique" apache afin de répondre à plusieurs requêtes simultanément • 2 principaux paquets : apache2-mpm-prefork ou worker • Prefork • Worker Mode historique (apache 1.3)  Meilleure isolation / Faibles performances Multi-threading : un thread par connexion Meilleures performances multi-processing : un processus par connexion     Linux LPIC-2 •  pas ou peu de commutation de contexte nécessite des modules compatibles • exclue mod_php tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 364.
    Virtual Hosts • Hébergerplusieurs sites sur un même serveur • Deux types :  IP based • Nécessite  Named plusieurs interfaces (ou routage) based • Répond en fonction de l'url appelée • Configurés dans httpd.conf  ou  cf /etc/apache2/sites-available/ sur Debian et dérivés cours suivant Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 365.
    Configuration • Dans (suivantla distribution) :  /etc/apache/config/  ou /etc/apache2/  ou /etc/httpd/config/ • fichiers .htaccess  permettent une configuration spécifique pour chaque dossier  à utiliser avec prudence • • httpd.conf (ou apache2.conf)  administrateurs soit séparé en plusieurs parties (cf "Include") • soit d'un bloc •  - ie : interdire le droit d'accès à httpd.conf à certains fichier de configuration principal • s'applique à tout le serveur uniquement si vous devez séparer la configuration de certains contextes du fichier principal  3 parties : • global environment - configuration générale du serveur • paramètres du serveur par défaut - requêtes non gérées par un virtual host • « En général, vous ne devriez jamais utiliser les fichiers .htaccess à moins que vous n'ayez pas accès au fichier principal de configuration du serveur. Il y a, par exemple, une conception erronée qui prévaut selon laquelle les droits des utilisateurs doivent toujours être gérés dans le fichier .htaccess. Cela n'est simplement pas le cas. Vous pouvez placer les configurations des droits dans la configuration principale du serveur, et cela est, en fait, la manière favorisée de le faire. » - Documentation Apache configuration des virtuals hosts Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 366.
    httpd.conf : exemple • unexemple sur internet Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 367.
    Options du serveurApache • Première section du fichier httpd.conf  nombreuses options de type clé valeur • Nombre maximum de requêtes simultanées autorisées MaxKeepAliveRequests 100 MaxKeepAliveRequests 100 • Nombre de serveurs à lancer au démarrage StartServers 5 StartServers 5 • Nombre minimal et maximal de serveurs "en attente" MinSpareServers MinSpareServers MaxSpareServers MaxSpareServers  5 5 10 10 trop bas → perte de performance / trop haut → consommation excessive de ressources • nombre maximal de connections (de clients) simultanées  ie : nombre maximal de serveurs MaxKeepAliveRequests 100 MaxKeepAliveRequests 100 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 368.
    Contrôle des répertoires <Directorychemin répertoire> ... </Directory> <Directory chemin répertoire> ... </Directory> • Regrouper des directives pour qu'elles ne s'appliquent qu'au répertoire concerné • Exemple <Directory "/usr/local/httpd/htdocs"> <Directory "/usr/local/httpd/htdocs"> Options Indexes FollowSymLinks Options Indexes FollowSymLinks </Directory> </Directory>  voir : https://httpd.apache.org/docs/current/mod/core.html#directory Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 369.
    Logging • généralement dans/var/log/apache2 ou httpd • Configuration (httpd.conf)  Messages d'erreurs ErrorLog ${APACHE_LOG_DIR}/error.log ErrorLog ${APACHE_LOG_DIR}/error.log  Niveau de logging des messages d'erreurs Loglevel warn Loglevel warn • Dans l'odre : debug, info, notice, warn, error, crit, alert et emerg • Accès au serveur LogFormat "%h %l %u %t "%r" %>s %b" common LogFormat "%h %l %u %t "%r" %>s %b" common CustomLog ${APACHE_LOG_DIR}/access.log CustomLog ${APACHE_LOG_DIR}/access.log • Pour aller plus loin : Documentation Apache des Logs Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 370.
    Modularité • Apache reposesur une architecture modulaire  similaire à celle du kernel Linux  permet à l'administrateur de choisir les fonctionnalités à inclure • DSOs (Dynamic Shared Objects)  Objets Dynamiques Partagés  séparés du fichier binaire principal httpd  soit compilés en même temps que le serveur • peuvent être intégrés statiquement dans le binaire httpd $ ./configure --prefix=/chemin/vers/installation --enable-foo $ ./configure --prefix=/chemin/vers/installation --enable-foo $ make install $ make install  soit ajoutés ultérieurement • grâce à apxs (Apache Extension Tool) $ cd • /chemin/vers/module_tiers $ cd /chemin/vers/module_tiers $ apxs -cia mod_foo.c apxs -cia mod_foo.c $ Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 371.
    Chargement d'un moduleApache • Dans le fichier httpd.conf LoadModule module filename LoadModule module filename • Remarque (pour ceux ayant travaillé sous Apache1) :  la directive AddModule n'est plus nécessaire • Exemple LoadModule alias_module /usr/lib/apache2/modules/mod_alias.so LoadModule alias_module /usr/lib/apache2/modules/mod_alias.so • • Comportement conditionnel pour un module <IfModule [!]fichier module|identificateur module> <IfModule [!]fichier module|identificateur module> … … </IfModule> </IfModule> Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 372.
    mod_perl • Interpréteur Perlpour Apache  permet, grâce à des scripts Perl, de : • • gérer Apache •  produire du contenu dynamique et bien d'autres choses encore sans faire appel à un interpréteur externe • gain de performance significatif • accès complet à l'API Apache • "mod_perl is more than CGI scripting on steroids. It is a whole new way to create dynamic content by utilizing the full power of the Apache web server to create stateful sessions, customized user authentication systems, smart proxies and much more. Yet, magically, your old CGI scripts will continue to work and work very fast indeed. With mod_perl you give up nothing and gain so much!" - Lincoln Stein, un des principaux contributeurs de mod_perl Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 373.
    Installer mod_perl • SousDebian : # apt-get install libapache2-mod-perl2 # apt-get install libapache2-mod-perl2 • Sous CentOS : # yum install mod_perl # yum install mod_perl • Pour aller plus loin :  installation : https://perl.apache.org/docs/2.0/user/install/install.html  configuration : https://perl.apache.org/docs/2.0/user/config/config.html Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 374.
    PHP • Langage descript, coté serveur, orienté Web et multi-plateforme  une référence (cf LAMP) # apt-get install libapache2-mod-php5 # apt-get install libapache2-mod-php5 # yum install php # yum install php • Pour tester l'installation, créer une PHP info page # echo -e "<?phpntphpinfo();n?>" > /var/www/html/info.php # echo -e "<?phpntphpinfo();n?>" > /var/www/html/info.php • Pour aller plus loin : documentation complète de l'installation Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 375.
    Authentification et autorisation •Deux méthodes :  discretionary access control (DAC) - Contrôle d'accès discrétionnaire • •  où "un sujet avec une certaine autorisation d'accès est capable de transmettre cette permission (peut-être indirectement) à n'importe quel autre sujet" - Trusted Computer System Evaluation Criteria ici : login + mot de passe mandatory access controls (MAC) - Contrôle d'accès obligatoire • décisions de protections imposées (non prises par les objets concernés) • ici : Adresse IP, nom d'hôte, etc … • Géré par des modules  mod_auth_basic : le plus courant - stock les informations dans des fichiers texte • mod_auth_dbd : stockage dans une base SQL • mod_auth_dbm : stockage dans des fichiers sous un format DBM • mod_auth_digest : authentification basée sur les condensés MD5  mod_auth_anon : comportement similaire à un FTP anonymisé  mod_authz_host : restriction de l'accès en fonction du nom d'hôte ou de l'ip (depuis 2.3) • pour les versions précédentes, voir mod_access • Pour aller plus loin : https://httpd.apache.org/docs/current/howto/auth.html Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 376.
    Mise en place •Soit dans httpd.conf (recommandé)  directives <Directory> ou <Limit> • Soit dans des fichiers .htaccess  dans le répertoire à contrôler  non recommandé • Pour autoriser la surcharge de ces directives AllowOverride AuthConfig AllowOverride AuthConfig  peu concerner les .htaccess, les sous-répertoires avec <Directory>, et autres Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 377.
    Gestion des comptesutilisateur • Création d'un utilisateur # htpasswd [-c] /usr/local/apache/passwd/passwords monutilisateur # htpasswd [-c] /usr/local/apache/passwd/passwords monutilisateur  -c pour créer automatiquement le fichier si n'existe pas le fichier ne DOIT pas être accessible aux autres utilisateurs • et encore moins au web ! • Supprimer un utilisateur # htpasswd -D /usr/local/apache/passwd/passwords monutilisateur # htpasswd -D /usr/local/apache/passwd/passwords monutilisateur • Créer un ou plusieurs groupes d'utilisateurs  Créer un fichier de groupe selon la syntaxe suivante Nom-de-groupe: user1 user2 user3 Nom-de-groupe: user1 user2 user3 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 378.
    Protection d'un dossierpar DAC • Dans une directive <Directory mondossier> ou un fichier .htaccess dans le dossier AuthType Basic AuthType Basic # message à afficher # message à afficher AuthName "Restricted Files" AuthName "Restricted Files" AuthBasicProvider file AuthBasicProvider file AuthUserFile /usr/local/apache/passwd/passwords AuthUserFile /usr/local/apache/passwd/passwords AuthGroupFile /usr/local/apache/passwd/groups AuthGroupFile /usr/local/apache/passwd/groups Require user monutilisateur Require user monutilisateur Require group mongroupe Require group mongroupe • Autoriser l'accès à tout les utilisateurs enregistrés Require valid-user Require valid-user Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 379.
    Protection d'un dossierpar MAC • Grâce au module mod_authz_host • Dans une directive <Directory mondossier> ou un fichier .htaccess dans le dossier • adresse IP • Hôte Require ip 10.1.2.3 Require ip 10.1.2.3 Require ip 192.168.1.104 192.168.1.205 Require ip 192.168.1.104 192.168.1.205  Require Require Require Require host host host host example.org example.org .net example.edu .net example.edu sous-réseau • ip partielle  Require ip 10.1 Require ip 10.1 Require ip 10 172.20 192.168.2 Require ip 10 172.20 192.168.2 • Local Require local Require local réseau / masque Require Require Require Require Linux LPIC-2  ip ip ip ip 10.1.0.0/255.255.0.0 10.1.0.0/255.255.0.0 10.1.0.0/16 10.1.0.0/16 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 380.
    apache2ctl • Interface decontrôle du démon Apache # apache2ctl [commande] ... # apache2ctl [commande] ... • Commandes  start  stop  restart  fullstatus : statut complet à partir de mod_status • nécessite un navigateur web texte (comme Lynx) • url d'accès modifiable (variable STATUSURL)  status : idem, sans la liste des requêtes actuellement traitées  graceful : redémarrage par l'envoi d'un SIGUSR1 • ne clos pas les connections actuellement ouvertes  configtest : teste de syntaxe des fichiers de configuration  help Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 381.
    Bonus : les outilsDebian • activer / désactiver un site $ a2ensite [site] $ a2ensite [site] $ a2dissite [site] $ a2dissite [site]  créé / supprimer un lien symbolique de sites-availables/site dans sites-enables • activer / désactiver un module $ a2enmod [module] $ a2enmod [module] $ a2dismod [module] $ a2dismod [module]  créé / supprimer un lien symbolique de sites-availables/site dans sites-enables Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 382.
    Ce qu’on acouvert • Installation et configuration de Apache2  httpd.conf et .htaccess  fichiers journaux  nombre maximum de requêtes, nombres minimums et maximums de serveurs et de clients • Gestion des modules  mod_perl  mod_php  mod_auth • htpasswd • Apache2ctl 208.1 Implementing a web server Weight : 3 Description : Candidates should be able to install and configure a web server. This objective includes monitoring the server's load and performance, restricting client user access, configuring support for scripting languages as modules and setting up client user authentication. Also included is configuring server options to restrict usage of resources. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 383.
    Services web Mise enplace de serveurs virtuels Apache 2 Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 384.
    Plan • Introduction • Deuxsolutions • Directive VirtualHost • Serveurs virtuels par IP • Serveurs virtuels par nom d'hôte • Mécanisme de sélection de serveur virtuel Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 385.
    Introduction • Héberger plusieurssites sur un même serveur • Deux types :  IP based • Nécessite  Named plusieurs interfaces (ou routage) based • Répond en fonction de l'url appelée • Configurés dans httpd.conf  ou /etc/apache2/sites-available/ sur Debian et dérivés • Documentation officielle : https://httpd.apache.org/docs/current/vhosts/ Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 386.
    Deux solutions • Fairetourner un processus httpd pour chaque domaine  plusieurs installations séparées  répartition de sécurité • directives User, Group et ServerRoot différentes User httpd1 User httpd1 Group httpd1 Group httpd1 ServerRoot "/etc/httpd/server1" ServerRoot "/etc/httpd/server1"  répartition des interfaces (adresses ip) • via des directives Listen différentes Listen 192.170.2.1:80 Listen 192.170.2.1:80 • Utiliser un unique processus résident  partage de configuration des serveurs virtuels  meilleures performances Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 387.
    Directive VirtualHost <VirtualHost adresseIP[:port] [adresse IP[:port]] ...> ... </VirtualHost> <VirtualHost adresse IP[:port] [adresse IP[:port]] ...> ... </VirtualHost>  Contexte : Configuration du serveur  rassemble des directives qui ne s'appliqueront qu'à un serveur virtuel particulier • La plupart des directives (toutes celles acceptant le contexte "Serveur Virtuel" - cf doc) sont compatibles • Exemple <VirtualHost *:80> <VirtualHost *:80> ServerAdmin contact@example.org ServerAdmin contact@example.org DocumentRoot /www/docs/www.example.org DocumentRoot /www/docs/www.example.org ServerName www.example.org ServerName www.example.org ErrorLog logs/example.org-error_log ErrorLog logs/example.org-error_log TransferLog logs/example.org-access_log TransferLog logs/example.org-access_log </VirtualHost> </VirtualHost> Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 388.
    Serveurs virtuels parIP • Directive VirtualHost  définition des directives ServerAdmin, ServerName, DocumentRoot, ErrorLog ainsi que TransferLog ou CustomLog  Exemple <VirtualHost 172.20.30.40:80> <VirtualHost 172.20.30.40:80> ServerAdmin webmaster@www1.example.com ServerAdmin webmaster@www1.example.com DocumentRoot /www/vhosts/www1 DocumentRoot /www/vhosts/www1 ServerName www1.example.com ServerName www1.example.com ErrorLog /www/logs/www1/error_log ErrorLog /www/logs/www1/error_log CustomLog /www/logs/www1/access_log combined CustomLog /www/logs/www1/access_log combined </VirtualHost> </VirtualHost> Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 389.
    Serveurs virtuels parnom d'hôte • Directive VirtualHost  grâce à la directive ServerName, permettant de définir le nom auquel répondra le serveur virtuel •  peu répondre à plusieurs noms grâce à la directive ServerAlias Exemple <VirtualHost *:80> <VirtualHost *:80> # Le premier serveur virtuel de la liste est aussi le # Le premier serveur virtuel de la liste est aussi le # serveur par défaut pour *:80 # serveur par défaut pour *:80 ServerName www.example.com ServerName www.example.com ServerAlias example.com ServerAlias example.com DocumentRoot /www/domain DocumentRoot /www/domain </VirtualHost> </VirtualHost> <VirtualHost *:80> <VirtualHost *:80> ServerName other.example.com ServerName other.example.com DocumentRoot /www/otherdomain DocumentRoot /www/otherdomain </VirtualHost> </VirtualHost> Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 390.
    Mécanisme de sélectionde serveur virtuel 1) Par couple adresse IP / port  Les chaînes sans caractères génériques l'emportent sur celles qui en contiennent  Le port est également pris en compte •  ie : il peu exister deux hôtes virtuels 192.168.1.1:80 et 192.168.1.1:8080 la configuration du serveur principale sera utilisée si aucune correspondance n'est trouvée 2) Par nom d'hôte  Si (et seulement si) plusieurs hôtes virtuels correspondent au couple adresse IP / Port  Comparaison des directives ServerName et ServerAlias avec le nom de serveur dans la requête • Le premier correspondant est utilisé - Y compris si un caractère générique (*) est présent (aucune priorité particulière) • Si aucune correspondance n'est trouvée, le premier hôte virtuel correspondant au couple IP / Port sera employé Remarque : il est bien entendu nécessaire d'avoir configuré votre DNS en conséquent Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 391.
    Ce qu’on acouvert • Qu'est ce qu'un hôte virtuel. • Mise en place des serveurs virtuels Apache 2  avec ou sans adresse IP dédiée • Comment sont sélectionnés les hôtes virtuels. 208.2 Maintaining a web server (Part 1) Weight : 2 Description : Candidates should be able to configure a web server to use virtual hosts, Secure Sockets Layer (SSL) and customise file access. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 392.
    Services web Sécurisation d'un serveurweb avec SSL Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 393.
    Plan • Secure SocketLayer • mod_ssl • Chiffrement par clés asymétriques • Signature • Certificat • Installation • /etc/ssl/* • Création du certificat auto-signé • Création d'un certificat signé par un CA • Configuration d'un virtual host SSL Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 394.
    Secure Socket Layer •protocole se situant entre un protocole réseau orienté connexion (TCP/IP) et un protocole de la couche applicative (HTTP) • sécurisation des communications entre un serveur et un client  authentification mutuelle  intégrité par signature digitale  chiffrement par clés asymétriques • Port 443 Listen 443 Listen 443 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 395.
    mod_ssl • Utilisation deSSL pour Apache via OpenSSL  d'autres solutions dérivées existent • • Raven SSL Module de Raven •  Secure Web Server de Red Hat Stronghold de C2Net mais leur conception est assez similaire dans l'ensemble, et leur usage spécifique (non couverts par la LPIC2 et donc par ce cours) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 396.
    Chiffrement par clésasymétriques Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 397.
    Signature Linux LPIC-2 tout droitsréservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 398.
    Certificat Linux LPIC-2 tout droitsréservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 399.
    Installation • Debian : installépar défaut # a2enmod ssl # a2enmod ssl • CentOS # yum install mod_ssl # yum install mod_ssl  configuration complète dans conf.d/ssl.conf • Directives LoadModule et Listen • Contexte global de ssl • virtual host par défaut Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 400.
    /etc/ssl/* • Configuration deOpenSSL  certs/ : certificats SSL  openssl.cnf : Configuration de OpenSSL • • nom de l'organisation •  date d'expiration des clés adresse, etc ... private/ : clés privées Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 401.
    Création du certificatauto-signé # openssl req -x509 -nodes -days 365 -newkey rsa:1024 # openssl req -x509 -nodes -days 365 -newkey rsa:1024 > -out /etc/ssl/certs/noelmace.com.crt > -out /etc/ssl/certs/noelmace.com.crt > -keyout /etc/ssl/private/noelmace.com.key > -keyout /etc/ssl/private/noelmace.com.key # chmod 400 /etc/ssl/private/noelmace.com.key # chmod 400 /etc/ssl/private/noelmace.com.key • Options  -x509 -nodes : type de certificat  -days 365 : durée de validité du certificat (en jours)  -newkey rsa:1024 : clé RSA de 1024 bits • il est déconseillé de créer une clé plus grosse pour des histoires de compatibilité  -out /etc/apache2/server.crt : certificat  -keyout /etc/apache2/server.key : clé privée • Interactif : suite de questions (Pays, Ville, Organisation, CN et Adresse mail) pour Common Name : indiquer le nom de domaine à protéger Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 402.
    Création d'un certificatsigné par un CA • génération de la clé privée # openssl genrsa 1024 > noelmace.com.key # openssl genrsa 1024 > noelmace.com.key • création du CSR  Certificate Signing Request ou fichier de demande de signature de certificat # openssl req -new -key servwiki.key > servwiki.csr # openssl req -new -key servwiki.key > servwiki.csr • Envoyer le CSR au CA (Autorité de certification)  par exemple gandi.net, tustico ou StartSSL (gratuit)  permet d'obtenir un certificat signé par la clé privée de l'organisme • Déposer les certificats fournis aux bons emplacements  votre certificat ainsi que celui de votre CA dans /etc/ssl/certs/  votre clé dans le dossier /etc/ssl/private/ avec les droits 400 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 403.
    Configuration d'un virtualhost SSL <VirtualHost *:443> <VirtualHost *:443> ServerName noelmace.com ServerName noelmace.com DocumentRoot /var/www/noelmace.com DocumentRoot /var/www/noelmace.com SSLEngine on SSLEngine on SSLCertificateFile /etc/ssl/certs/noelmace.com.crt SSLCertificateFile /etc/ssl/certs/noelmace.com.crt SSLCertificateKeyFile /etc/ssl/private/noelmace.com.key SSLCertificateKeyFile /etc/ssl/private/noelmace.com.key SSLCACertificateFile /etc/ssl/certs/GandiXXXSSLCA.pem SSLCACertificateFile /etc/ssl/certs/GandiXXXSSLCA.pem SSLVerifyClient none SSLVerifyClient none Require ssl Require ssl </VirtualHost> </VirtualHost> • Directives  SSLEngine on/off : active / désactive le SSL pour ce serveur virtuel  SSLCertificateFile file : chemin vers le certificat  SSLCertificateFile file : chemin vers la clé privée  SSLVerifyClient none/optional/require/optional_no_ca : niveau de vérification du certificat pour l'authentification du client  Require ssl : les clients ne peuvent se connecter à ce serveur virtuel que via ssl Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 404.
    Ce qu’on acouvert • Qu'est ce que le SSL ?  Ainsi que les principes liés. • Les fichiers de configuration, outils et utilitaires pour SSL  openssl, /etc/ssl/* • Gestion des certificats SSL • Configuration d'un virtual host pour le ssl 208.2 Maintaining a web server (part 2) Weight : 2 Description : Candidates should be able to configure a web server to use virtual hosts, Secure Sockets Layer (SSL) and customise file access. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 405.
    Services web Mise enplace d'un serveur mandataire (proxy) Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 406.
    Plan • Introduction  Squid • Configuration  Paramètresgénéraux • ACLs  ACLs : Exemples • Restriction d'accès • Authentification utilisateur  Authentification utilisateur pour Squid 2.4- Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 407.
    Introduction • Serveur mandataire(proxy)  intermédiaire entre deux réseaux (ex : local / internet) • Avantages et fonctionnalités  performances •  mémoire cache, compression sécurité • •  anonymisation surveillance (journalisation) filtrage • des publicités et contenus lourds (performance) • des contenus indésirables Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 408.
    Squid • Proxy librede référence  Licence GNU GPL  créé en Juillet 1996  Notamment utilisé par Wikimedia Fondation et Flickr  version actuelle (au 13 Juillet 2013) : 3.3.8 • Support des protocoles HTTP, HTTPS, FTP et Gopher • Nombreuses fonctionnalités  mémoire cache  contrôle étendu des accès  cache DNS  mandataire inverse Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 409.
    Configuration • squid.conf  /etc/squid (CentOSet Debian Squid 2) ou /etc/squid3 (Debian Squid 3)  Ensemble de directive complexes •  ligne par ligne Fonctionnel à l'installation • Exemple (Extrait) : visible_hostname ubuntu visible_hostname ubuntu http_port 3128 http_port 3128 ... ... acl allowedips src 192.168.1.1/255.255.255.0 acl allowedips src 192.168.1.1/255.255.255.0 ... ... forwarded_for off forwarded_for off ... ... Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 410.
    Paramètres généraux • Définitiondu port d'écoute HTTP (3128 par défaut) http_port 3177 http_port 3177 • Interface d'écoute HTTP (toutes par défaut)  limiter aux réseaux locaux pour des raisons de sécurité http_port 192.168.1.1:3177 http_port 192.168.1.1:3177 • Nom de la machine (obtenu via gethostname() par défaut) visible_hostname nom_machine visible_hostname nom_machine Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 411.
    ACLs • Syntaxe acl aclnameacltype string[string2] acl aclname acltype string[string2]  acltype : • src : adresse IP de la source (ie. le client) (adresse/masque) ou d'une place d'adresses (adresse_IP_debut-adresse_IP_fin) • dst : adresse IP de la destination (ie. ordinateur cible) • srcdomain : domaine du client • dstdomain : domaine de destination. • url_regex : chaîne contenu dans l'URL - possibilité d'utiliser les jokers ou un fichier - sensible à la casse • urlpath_regex : chaîne comparée avec le chemin de l'URL - possibilité d'utiliser les jokers • proto : protocole. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 412.
    ACLs : Exemples acl mon_domaine_dstdstdomain noelmace.com acl mon_domaine_dst dstdomain noelmace.com acl clients src 192.168.0.0/255.255.0.0 acl clients src 192.168.0.0/255.255.0.0 acl url_interdit url_regex forbidden acl url_interdit url_regex forbidden acl url_interdites url_regex "/etc/squid/denied_url" acl url_interdites url_regex "/etc/squid/denied_url" Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 413.
    Restriction d'accès • Apartir d'une acl pré-définie  doit être placé après la définition de cette acl • Syntaxe http_access allow|deny [!]aclname http_access allow|deny [!]aclname • Exemples  interdire l'accès au domaine noelmace.com http_access http_access http_access http_access  mon_domaine_dst mon_domaine_dst all all interdire l'accès aux pages contenant le mot forbidden http_access http_access http_access http_access  deny deny allow allow deny deny allow allow url_interdit url_interdit all all Restreindre l'accès au proxy aux seul réseau 192.168.0.0 http_access http_access http_access http_access http_access http_access Linux LPIC-2 allow allow allow allow deny deny localhost localhost clients clients all all tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 414.
    Authentification utilisateur • 4types d'authentification HTTP possible  Basic, NTLM (SMB LM, v1 and v2), Digest, et Negotiate. • Nombreuses solutions disponibles  APM, LDAP, NCSA auth, SMB … • Avec NCSA auth  à partir des mêmes outils (htpasswd) que pour Apache2 mod_auth_basic  Exemple auth_param basic program /usr/local/squid/bin/ncsa_auth /usr/local/squid/etc/passwd auth_param basic program /usr/local/squid/bin/ncsa_auth /usr/local/squid/etc/passwd acl auth_users proxy_auth REQUIRED acl auth_users proxy_auth REQUIRED http_access allow auth_users http_access allow auth_users http_access deny all http_access deny all • Documentation : http://wiki.squid-cache.org/Features/Authentication • Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 415.
    Authentification utilisateur pourSquid 2.4• Avec NCSA auth authenticate_program authenticate_program acl acl acl acl http_access http_access http_access http_access /usr/lib/ncsa_auth /usr/lib/ncsa_auth auth_users auth_users all all allow allow deny deny /etc/squid/passwd /etc/squid/passwd proxy_auth REQUIRED proxy_auth REQUIRED src 0/0 src 0/0 auth_users auth_users all all • Avec LDAP acl identification proxy_auth REQUIRED acl identification proxy_auth REQUIRED http_access allow identification http_access allow identification authentificate_program /usr/lib/squid/squid_ldap_auth -b $LDAP_USER -u uid SERVEUR_LDAP /usr/lib/squid/squid_ldap_auth -b $LDAP_USER -u uid SERVEUR_LDAP authentificate_program • LDAP_USER : ou (organizational unit) contenant les clients  exemple ou=people, ou= ac-limoges, ou=education, ou=gouv, c=fr Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 416.
    Test : configuration duclient Debian • Pour tester votre serveur, vous pouvez utilisez n'importe quel client http (firefox, epiphany, etc …) • La configuration peu se faire au niveau de l'OS client ou du logiciel client web  pour configurer firefox : Documentation officielle  pour configurer le proxy sur votre client Debian $ gnome-network-preferences • $ gnome-network-preferences Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 417.
    Ce qu’on acouvert • Gestion et configuration du serveur mandataire Squid • Restriction d'accès grâce aux ACLs • Authentification utilisateur 208.3 Implementing a proxy server Weight : 1 Description : Candidates should be able to install and configure a proxy server, including access policies, authentication and resource usage. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 418.
    Partage de fichiers Configurationdu serveur SAMBA Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 419.
    Plan • Server MessageBlock • SAMBA • Gestion des utilisateurs  Identificateurs Windows  Installation • Gestion des groupes  Structure • smbclient  Configuration • Monter un partage SMB • Paramètres généraux • Partage d'imprimante • Partage de fichiers • Utilitaires - Politique d'accès à un partage - Droits des fichiers créés Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 420.
    Server Message Block •Protocole de partage réseau de ressources  développé en 1985 par IBM pour OS/2 •  nommé alors LAN Manager puis popularisé par Microsoft qui l'intègre à Windows après de nombreuses améliorations, créant ainsi SMB • temporairement dénommé CIFS (Common Internet File System) entre 1998 et 2006 - notamment dans Windows NT 4 • puis renommé SMB2, une nouvelle version plus rapide - Depuis Windows Vista • nouvelle version 3.0 introduite avec Windows 8 • Propriétaire  spécifications fermées à l'origine  puis distribuées via le MSDN Open Specifications Developer Center • Permet le partage de fichiers et d'imprimante sur tout réseau local Windows Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 421.
    SAMBA • Développé parrétro-ingénierie grâce à un renifleur de paquets  par Andrew Tridgell depuis 1992  aujourd'hui en "partenariat" avec Microsoft, contraint à signé un accord d'information technique après avoir perdu leur procès en appel contre l'Union Européenne en 2007  2,5 fois plus performant que Microsoft Windows Server 2003 • version actuelle (au 2 Juillet 2013) : 4.0.7  réécriture complète  offre un contrôleur de domaine Active Directory • Dans le cadre de la LPIC2, nous étudierons cependant la version 3, encore parfaitement d'actualité • Libre (Licence GNU GPL v3) • Supporte les principaux produits réseau propriétaires Microsoft  SMB/CIFS pour le partage de fichiers et imprimantes  NetBIOS sur TCP/IP (NBT) pour le nommage WINS (rendu obsolète par DNS) et l'établissement de sessions  MSRPC pour les appels de procédure à distance Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 422.
    Installation • Serveur  Debian # apt-getinstall samba # apt-get install samba  CentOS # yum install samba # yum install samba • Client  Debian # apt-get install smbclient # apt-get install smbclient CentOS # yum install samba-client # yum install samba-client  Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 423.
    Structure • via Inetdou des démons  inetd pour plus de sécurité via tcpwrappers et moins d'utilisation de la mémoire  démons pour plus de performance • Deux démons :  smbd : Server Message Block Daemon •  gestion du partage réseau SMB nmbd : NetBIOS Name Service Daemon • gestion du serveur WINS • Ports logiciels • TCP et UDP 137 : NetBIOS Name Service • UDP 138 : NetBIOS Datagram Service • TCP 139 : NetBIOS Session Service • TCP et UDP 445 : Services de dossiers partagés Windows Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 424.
    Configuration • /etc/samba/smbd.conf  découpé ensections • [printers] et [print$] : partage d'imprimantes • [homes] : partage du répertoire personnel des utilisateurs •  [global] : paramètres généraux (indiqués par un G dans le man) et paramètres par défaut • [partage] : nom d'un partage (tout les paramètres indiqués par un S dans le man, également compatibles avec la section global) vérifié par smbd toutes les 3 minutes pour prendre en compte les modifications • Exemple : [global] [global] workgroup = "Mon_Workgroup" workgroup = "Mon_Workgroup" server string = (Samba %v) server string = (Samba %v) # commentaire # commentaire ... ... [homes] [homes] comment = Home Directories comment = Home Directories preexec = /bin/sh -c 'echo "Repertoire_source_samba"/bin/smbclient -M %m -I %I'& preexec = /bin/sh -c 'echo "Repertoire_source_samba"/bin/smbclient -M %m -I %I'& browseable = yes browseable = yes ... ... ["Nom_De_Partage"] ["Nom_De_Partage"] comment = "Commentaire" comment = "Commentaire" ... ... Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 425.
    Paramètres généraux • section[global] de smb.conf  groupe de travail (Domaine NetBIOS) workgroup = MON_WG workgroup = MON_WG  Nom NetBIOS netbios name = SERVEUR1 netbios name = SERVEUR1  Description server string = serveur %h (Samba %v, GNU/Linux) server string = serveur %h (Samba %v, GNU/Linux) • •  % permet la substitution de variables (cf man) %h pour le nom d'hôte et %v pour le numéro de version du serveur limiter le partage à certaines interfaces bind interfaces only = Yes bind interfaces only = Yes interfaces = 127.0.0.1 eth0:0 192.168.1.20/24 interfaces = 127.0.0.1 eth0:0 192.168.1.20/24 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 426.
    Partage de fichiers •une section par partage  chemin vers le répertoire à partager path = /data/Documents path = /data/Documents  description comment = mon commentaire workgroup = MON_WG comment = mon commentaire workgroup = MON_WG Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 427.
    Politique d'accès àun partage • Lecture / écriture pour tous read only = No read only = No • Lecture seule pour tous read only = Yes read only = Yes • restriction de l'écriture à une liste d'utilisateurs read only = Yes read only = Yes write list = user1, user2, @grp1, @grp2 write list = user1, user2, @grp1, @grp2 • restriction de l'accès à une liste d'utilisateurs valid users = utilisateur1, utilisateur2, @groupe12000 valid users = utilisateur1, utilisateur2, @groupe12000 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 428.
    Droits des fichierscréés • Droit des fichiers à la création create mask = 0775 create mask = 0775 • Droit des dossiers à la création directory mask = 700 directory mask = 700 • Forcer tout les utilisateurs à être reconnus comme un seul et même utilisateur sur le système force user = nobody force user = nobody force group = nogroup force group = nogroup Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 429.
    Authentification • Mode security =mode security = mode  share : contrôle d'accès au niveau ressources •  un mot de passe par partage contrôle d'accès au niveau utilisateur • user : utilisateur / mot de passe - par défaut depuis Samba 2.2.X • domain : centralisés sur un domaine - délègue toute requête d'authentification au contrôleur de domaine workgroup = WG workgroup = WG • server : déprécié (mis en place lorsque par le passé Samba n'était pas capable d'agir en tant que serveur membre d'un domaine • ADS : via Active Directory realm = your.kerberos.REALM realm = your.kerberos.REALM password server = your.kerberos.server password server = your.kerberos.server Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 430.
    Base des utilisateursSamba • stocker la base des utilisateurs dans  un fichier (par défaut, mais déconseillé) passdb backend = smbpasswd passdb backend = smbpasswd smb passwd file = /etc/samba/smbpasswd smb passwd file = /etc/samba/smbpasswd  une base de donnée TDB (Trivial DataBase) passdb backend = tdbsam passdb backend = tdbsam  une base ldap passdb backend = ldapsam:url passdb backend = ldapsam:url • Linux LPIC-2 pour une description détaillé de la configuration de ldap et Samba, voir la documentation officielle tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 431.
    Gestion des utilisateurs •Gestion de la synchronisation des utilisateurs grâce à smbpasswd  utilitaire client/serveur (pouvant modifier à distance les comptes Windows NT)  Ajouter ou modifier un utilisateur Samba # smbpasswd -a utilisateur # smbpasswd -a utilisateur • cet utilisateur doit être un utilisateur existant sur le système - ie. dans le fichier /etc/passwd •  le mot de passe pourra cependant être différent Désactiver un utilisateur Samba # smbpasswd -d utilisateur # smbpasswd -d utilisateur  Lister les utilisateurs # pdbedit -L # pdbedit -L Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 432.
    Identificateurs Windows • SID(Security Identifier)  censé être unique dans le monde  permet d'identifier les serveurs, utilisateurs ou objets (groupes)  Format : S-1-5-12–7623811015-3361044348-030300820-1013 • S - indique que ceci est un SID • 1 - niveau de révision • 5 - valeur d'autorité de l'identificateur • 12–7623811015-3361044348-030300820 - Identificateur de domaine ou d'ordinateur • 1013 – Un identificateur relatif (RID : Relative ID) - unique au sain d'un domaine Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 433.
    Gestion des groupes •Grâce à l'utilitaire net (permet d'administrer Samba et les serveurs CIFS distants, très complet)  commande groupmap • Arguments - unixgroup : nom du groupe Unix - ntgroup : nom du groupe Windows NT (doit être associé à un SID) - rid, sid - type - type de groupe ('domain', 'local', ou 'builtin') - comment : description du groupe • Ajouter une nouvelle entrée de mapping de groupe # net groupmap add {rid=int|sid=string} unixgroup=string # net groupmap add {rid=int|sid=string} unixgroup=string [type={domain|local}] [ntgroup=string] [comment=string] [type={domain|local}] [ntgroup=string] [comment=string] • Supprimer une entrée # net groupmap delete {ntgroup=string|sid=SID} # net groupmap delete {ntgroup=string|sid=SID} • Lister les entrées # net groupmap list [verbose] [ntgroup=string] [sid=SID] # net groupmap list [verbose] [ntgroup=string] [sid=SID] Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 434.
    smbclient • Connexion $ smbclient[-L nom_netbios | nom_du_service] [-W workgroup] [-U username[%password]] $ smbclient [-L nom_netbios | nom_du_service] [-W workgroup] [-U username[%password]]  Options • -L : lister les partages disponibles pour un utilisateur (avec -U) • -W : nom de domaine SMB (workgroup) de l'utilisateur - utilise par défaut celui défini dans smb.conf •  Commandes internes "ftp like" •  -U : nom de l'utilsateur put, get, ls, cd, mkdir, help, etc ... Exemples • lister les partages disponibles # smbclient -L serveur1 -W monwg -U noel # smbclient -L serveur1 -W monwg -U noel • se connecter à un partage # smbclient serveur1Documents -W monwg -U noel # smbclient serveur1Documents -W monwg -U noel Linux LPIC-2 • tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 435.
    Monter un partageSMB • Deux solutions  smbfs • déprécié depuis Linux 2.6.20 • outils externes : smbclient, smbmount, smb.conf # smbmount {service} {mount-point} [-o options] # smbmount {service} {mount-point} [-o options]  CIFS VFS • parfaitement intégré au kernel - configuration via /proc/fs/cifs/ et les options de module (via insmode et modprobe) - ne nécessite aucun outils externe (smbmount remplacé par un simple helper mount.cifs) # mount -t cifs //192.168.1.10/monpartage /mnt/smb -o user=noel,pass=monmdp # mount -t cifs //192.168.1.10/monpartage /mnt/smb -o user=noel,pass=monmdp • Montage automatique  dans le fichier /etc/fstab //192.168.1.10/monpartage //192.168.1.10/monpartage Linux LPIC-2 /mnt/smb /mnt/smb cifs cifs user,user=noel,pass=monmdp user,user=noel,pass=monmdp 0 0 0 0 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 436.
    Partage d'imprimante • Partagertoutes les imprimantes [printers] [printers] comment = Printer %p on Server1 comment = Printer %p on Server1 path = /var/spool/samba path = /var/spool/samba printable = yes printable = yes • Partager une imprimante spécifique [HP LaserJet] [HP LaserJet] printer name = lp printer name = lp comment = HP LaserJet 5 on Server1 comment = HP LaserJet 5 on Server1 path = /var/spool/lpd/samba path = /var/spool/lpd/samba printable = yes printable = yes writeable = no writeable = no Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 437.
    Utilitaires • Tester lasyntaxe de smb.conf # testparm # testparm • Lister les connections au serveur # smbstatus # smbstatus Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 438.
    Ce qu’on acouvert • Samba 3  configuration  outils et utilitaires  partage de fichiers et d'imprimantes  montage des partages de fichiers sous GNU/Linux  sécurité et mise en correspondance des utilisateurs 209.1 SAMBA Server Configuration Weight : 4 Description : Candidates should be able to set up a SAMBA server for various clients. This objective includes setting up Samba for login clients and setting up the workgroup in which a server participates and defining shared directories and printers. Also covered is a configuring a Linux client to use a Samba server. Troubleshooting installations is also tested. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 439.
    Partage de fichiers Configurationdu serveur NFS Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 440.
    Plan • Introduction • exportfs •Options du noyau • showmount • RPC et Portmap • Montage • rpcinfo • Options de montage NFS • Démons • nfsstat • Sécurité • Configuration des exports • Options de partage NFS Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 441.
    Introduction • Network FileSystem  un des plus ancien protocole de partage de fichiers • développé par Sun en 1985 pour Unix • Versions  v1 : uniquement pour un usage expérimental en interne de Sun  v2 (RFC 1094, Mars 1989) - pour plus d'infos voir ce document • • aujourd'hui également adapté pour Windows    standard ouvert basé sur • v3 (RFC 1813, Juin 1995) • ONC/RPC (Open Network Computing Remote Procedure Call) ou Sun RPC (RFC 5531)  prise en charge du TCP, des écritures asynchrones • - protocole d'appel de procédures distant encore très utilisé, nous l'étudierons ici v4 (RFC 3010, Décembre 2000 - révisé par la RFC 3530, Avril 2003) • des communications et gestion des transactions) réécriture complète avec l'IETF • - couche 5 (session) du modèle OSI (synchronisation sécurisé (notamment avec Kerberos), support statefull, meilleures performances - pour plus d'infos sur le système d'authentification ONC/RPC, voir ce document • XDR (eXternal Data Representation)  v4.1 (RFC 5661, Janvier 2010) • parallélisation des accès, introduction du concept de session • pour en savoir plus sur NFSv4, lire ce document - couche 6 (présentation) du modèle OSI (codage)  site officiel Linux LPIC-2 non sécurisé, sur UDP tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 442.
    Options du noyau •NFS file system support (CONFIG_NFS_FS)  support client (ou serveur en espace utilisateur) NFSv2  NFSv3 client support (CONFIG_NFS_V3) • support client NFSv3 • dépend de CONFIG_NFS_FS • NFS server support (CONFIG_NFSD)  support serveur NFSv2 en espace noyau  NFSv3 server support (CONFIG_NFSD_V3) • Linux LPIC-2 support serveur NFSv3 en espace noyau tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 443.
    RPC et Portmap •Procédures (fonctions) RPC  identifiées par un numéro  regroupées en programmes • eux même identifiés par un numéro ainsi qu'un numéro de version  Les appels à un fonctions peuvent donc ce faire via l'association de ces 3 numéros  Tous référencés dans /etc/rpc (à ne pas modifier) • Portmap : démon permettant la conversion de numéros de programmes RPCs en numéros de port logiciel DARPA  destiné (sans grand succès) à limiter le nombre de ports logiciels utilisés  aujourd'hui uniquement utilisé par : • NFS • FAM (moniteur de modification de fichier) • NIS (logiciel d'annuaire devenu obsolète) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 444.
    rpcinfo • utilitaire permettantd'effectuer des appels à un serveur RPC  rapporter les informations obtenues  man : http://linux.die.net/man/8/rpcinfo • Afficher la liste de tout les programmes RPC enregistrés # rpcinfo -p [host] # rpcinfo -p [host] • Tester un programme RPC par l'appel à sa procédure 0  déprécié : via udp # rpcinfo [-n portnum] -u host prognum [versnum] # rpcinfo [-n portnum] -u host prognum [versnum]  déprécié : via tcp # rpcinfo [-n portnum] -t host prognum [versnum] # rpcinfo [-n portnum] -t host prognum [versnum]  recommandé # rpcinfo -T transport host prognum [versnum] # rpcinfo -T transport host prognum [versnum]  Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 445.
    Démons • rpc.nfsd  si installéen espace utilisateur (v2 seulement) : serveur complet  si installé en espace noyau : simple programme de contrôle • relié au "processus" [nfsd] • rpc.mountd  gestion des requêtes de montage NFS entrantes  configuré via /etc/exports • rpc.lockd  démon de verrouillage  non nécessaire pour les kernel 2.4.X et plus • intégré en interne ([lockd]) • rpc.statd  service de notification de redémarrage Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 446.
    Sécurité • NFS n'apas été conçu à une époque où les questions de sécurité étaient au premier plan  sa conception n'est donc pas adapté à ce type de contexte • Toute authentification utilisateur repose sur les UID et GID  tout hôte ayant les droits root sur sa machine a donc, en théorie, les mêmes droits sur les partages auxquels il peu accéder  il est donc nécessaire d'utiliser le mapping des utilisateurs • ie. associer l'utilisateur root ou tout utilisateur se connectant au partage à un compte (UID/GID) donné • La restriction des accès se fait donc uniquement sur l'authentification des machines clientes  nom d'hôte (dangereux en cas d'attaque sur les DNS), ip ou groupe réseau NIS • NFSv4 cependant a été totalement repensé  rend obligatoire l'implémentation du module noyau RPCSEC_GSS (RFC 2203) (voir man) • GSS-API (RFC 2743), lié à Kerberos • documentation complète sur ce document  orienté vers l'authentification individuelle des utilisateurs  d'autres problèmes de sécurité ont également été résolus, comme par suppression du démons rpc.mountd Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 447.
    Configuration des exports •Fichier /etc/exports <dossier partagé> <hôte>(<options>) <hôte2>(<options>)... <dossier partagé> <hôte>(<options>) <hôte2>(<options>)... • <dossier partagé> : chemin du dossier partagé • <hôte> : hôte pouvant accéder au partage  une IP  un nom d'hôte ou un domaine grâce à un joker (*) • exemple : *.noelmace.com  un nom de groupe réseau NIS (NIS netgroup - sous la forme @<netgroup>)  un intervalle d'IP avec masque de sous-réseau • Linux LPIC-2 exemple : 192.168.0.0/24 ou 192.168.0.* tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 448.
    Options de partageNFS • rw : lecture et l'écriture sur un partage pour l'hôte défini  ro par défaut • Synchronicité  async : mode asynchrone • • améliore les performances •  répondre aux requêtes avant que les changements effectués par celle-ci n'aient été appliqués sur l'unité de stockage danger pour l'intégrité des données en cas de redémarrage brutal (crash) sync : mode synchrone • mapping des utilisateurs  root_squash : (par défaut) mapping de l'utisateur root vers l'utilisateur anonyme  no_root_squash : pas de mapping pour l'utilisateur root  all_squash : mapping de tous les utilisateurs vers l'utilisateur anonyme.  anonuid : UID de l'utilisateur anonyme (considéré comme tel dans les précédentes options de mapping).  anongid : GID de l'utilisateur anonyme (considéré comme tel dans les précédentes options de mapping). Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 449.
    exportfs • Il estindispensable d'exporter les exports après les avoir configurés  seul /var/lib/nfs/xtab et lu par mountd • Pour relancer le partage de tout les répertoires  ie. synchroniser /var/lib/nfs/xtab avec /etc/exports # exportfs -r # exportfs -r • Interrompre tout partage # exportfs -ua # exportfs -ua Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 450.
    showmount • Afficher desinformations de montage sur un serveur NFS # showmount [ -adehv ] [ --all ] [ --directories ] [ --exports ] [ host ] # showmount [ -adehv ] [ --all ] [ --directories ] [ --exports ] [ host ]  Options • -a ou --all : nom du client et répertoire monté (machine:répertoire) • -d ou --directories : uniquement les répertoires montés par un client. • -e ou --exports : liste des répertoires exportés par le serveur NFS. • -h ou --help : aide • --no-headers : supprimer les en-têtes de description de l'affichage. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 451.
    Montage • Montage manuel #mount -t nfs server:/share # mount -t nfs server:/share /mountpoint -o options /mountpoint -o options • Montage automatique  dans /etc/fstab server:/share server:/share Linux LPIC-2 /mountpoint /mountpoint nfs nfs options options 0 0 0 0 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 452.
    Options de montageNFS • rsize=xxx et wsize=xxx  taille des blocs de donnés échangés •  • nfsvers=n  version de NFS à utiliser pour la lecture et l'écriture permet d'optimiser les vitesses de transfert • timeo=n voir ce document  délai avant de déclencher la première retransmission d'une RPC  • en 10èmes de secondes (7 par défaut) • udp et tcp  spécifier le protocole de transport à utiliser • seulement UDP pour NFSv2, les deux pour NFSv3, seulement TCP pour NFSv4 • hard (par défaut) ou soft  Si une opération sur un fichier NFS arrive à une expiration majeure de délai • • • retry=n  Nombre d'essais effectués pour un montage NFS en arrière-plan avant d'abandonner  en minutes (1000 par défaut) Linux LPIC-2 hard : réessayer indéfiniment soft : renvoyer une erreur au programme appelant • Voir man pour la liste complète des options tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 453.
    nfsstat • Afficher desstatistiques NFS # nfsstat [OPTION]... # nfsstat [OPTION]...  Options • -s : uniquement les statistiques du serveur • -c : uniquement les statistiques du client • -n : uniquement les statistiques NFS • -r : uniquement les statistiques RPC • -m : lister les partages NFS montés Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 454.
    Ce qu’on acouvert • NFS version 3  outils, utilitaires et configuration  restrictions d'accès  options de montage • sensibilisation à NFSv4 209.2 NFS Server Configuration Weight : 4 Description : Candidates should be able to export filesystems using NFS. This objective includes access restrictions, mounting an NFS filesystem on a client and securing NFS. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 455.
    Gestion des clientsréseau Configuration DHCP Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 456.
    Plan • Bootstrap Protocol •Groupes • Dynamic Host Configuration • Hôtes Protocol • Client BOOTP • ISC DHCP • Installation • Configuration • Maintenance • Agent relais DHCP • Paramètres et options • Réseaux partagés • Sous-réseaux Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 457.
    Bootstrap Protocol • BOOTP  protocoled'amorçage (boot) • pour la configuration de stations de travail sans disque disposant de capacités de démarrage limitées - adresse IP - adresse serveur - fichier (image) de démarrage  défini en Septembre 1985 (RFC 951) •  en remplacement de RARP (Reverse Address Resolution Protocol - RFC 903 - Juin 1984) très limité • Ports UDP :  server : 67  client : 68 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 458.
    Dynamic Host ConfigurationProtocol • Octobre 1993 : première définition (RFC 1531)  comme extension de BOOTP (Bootstrap Protocol) • couvre l'ensemble des configurations IP - adresse IP, masque, passerelle par défaut - adresses des serveurs de noms (DNS et NBNS (WINS)) • mécanisme de récupération des adresses IP inutilisées • modifié et complété par la RFC 2131 (Mars 1997)  référence ipv4 actuelle • adapté à l'ipv6 depuis Juillet 2003 (RFC 3315) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 459.
    ISC DHCP • Développépar Ted Lemon et Vixie Enterprises  pour l'Internet Systems Consortium • alpha release en Mars 1999 • première version stable en Janvier 2003 • Maintenu depuis 2004 par une équipe dédiée de l'ISC  aujourd'hui en version 4.2.5 (Janvier 2013) • Libre : Licence ISC également dénommée Licence OpenBSD) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 460.
    Installation • Debian  version 3(obsolète) # apt-get install dhcp3-server # apt-get install dhcp3-server  version 4 # apt-get install isc-dhcp-server # apt-get install isc-dhcp-server • CentOS  client et serveur # yum install dhcp # yum install dhcp Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 461.
    Configuration • /etc/dhcpd.conf  voir mandhcpd.conf • 6 types de directives  paramètres : valeurs internes du serveur, son comportement et informations fournies aux clients  options : options de configuration réseau et des divers services réseaux depuis le serveur DHCP  déclarations : topologie réseau, clients et adresses ou groupement de paramètres pour un contexte particulier • réseaux partagés • sous-réseaux • groupes • hôtes Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 462.
    Paramètres et options •durée du bail (en secondes) default-lease-time time; default-lease-time time; max-lease-time time; max-lease-time time; • Option (voir man dhcpd-options)  masque de sous-réseau option subnet-mask ip-address; option subnet-mask ip-address;  serveur DNS option domain-name-servers ip-address [, ip-address... ]; option domain-name-servers ip-address [, ip-address... ]; Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 463.
    Réseaux partagés • informerle serveur DHCP que certains sous-réseau IP partagent en réalité le même réseau physique • Syntaxe shared-network name { shared-network name { [ paramètres ] [ paramètres ] [ déclarations ] [ déclarations ] } } • Exemple shared-network ISC-BIGGIE { shared-network ISC-BIGGIE { paramètres spécifiques au réseau partagé... paramètres spécifiques au réseau partagé... subnet 204.254.239.0 netmask 255.255.255.224 { subnet 204.254.239.0 netmask 255.255.255.224 { paramètres spécifiques au sous-réseau... paramètres spécifiques au sous-réseau... range 204.254.239.10 204.254.239.30; range 204.254.239.10 204.254.239.30; } } subnet 204.254.239.32 netmask 255.255.255.224 { subnet 204.254.239.32 netmask 255.255.255.224 { paramètres spécifiques au sous-réseau... paramètres spécifiques au sous-réseau... range 204.254.239.42 204.254.239.62; range 204.254.239.42 204.254.239.62; } } } } Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 464.
    Sous-réseaux • fournir desparamètres spécifiques au sous-réseau • spécifier quelles adresses peuvent être dynamiquement allouées aux clients de ce sous-réseau  déclaration range  Exemple subnet 204.254.239.64 netmask 255.255.255.224 { subnet 204.254.239.64 netmask 255.255.255.224 { paramètres spécifiques au sous-réseau... paramètres spécifiques au sous-réseau... range 204.254.239.74 204.254.239.94; range 204.254.239.74 204.254.239.94; } } Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 465.
    Groupes • appliquer unou plusieurs paramètres à un groupe de déclaration  hôtes, réseaux partagés, sous-réseaux, ou même d'autres groupes • Exemple group { group { paramètres spécifiques au groupe... paramètres spécifiques au groupe... host zappo.test.isc.org { host zappo.test.isc.org { paramètres spécifiques à l'hôte... paramètres spécifiques à l'hôte... } } host beppo.test.isc.org { host beppo.test.isc.org { paramètres spécifiques à l'hôte... paramètres spécifiques à l'hôte... } } host harpo.test.isc.org { host harpo.test.isc.org { paramètres spécifiques à l'hôte... paramètres spécifiques à l'hôte... } } } } Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 466.
    Hôtes • Permet despécifier des paramètres spécifiques pour un hôte  comme une adresse IP fixe • au moins une déclaration d'hôte pour chaque client BOOTP • Exemple host client1 { host client1 { hardware ethernet DD:GH:DF:E5:F7:D7; hardware ethernet DD:GH:DF:E5:F7:D7; fixed-address 192.168.1.20; fixed-address 192.168.1.20; } } Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 467.
    Client BOOTP • Exemplede configuration host clientname { host clientname { filename "/tftpboot.img"; filename "/tftpboot.img"; server-name "servername"; server-name "servername"; next-server servertftp; next-server servertftp; hardware ethernet 01:23:45:67:89:AB; hardware ethernet 01:23:45:67:89:AB; fixed-address 192.168.1.90; fixed-address 192.168.1.90; } } • nécessite l'installation d'un serveur TFTP sur servertftp • pour une documentation complète de cette configuration sous Debian, voir ce document Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 468.
    Maintenance • /var/lib/dhcpd/dhcpd.leases (voirman dhcpd.leases)  base de données persistante des baux attribués Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 469.
    Agent relais DHCP •les trames ARP et BOOTP ne traversent pas les routeurs  nécessite donc des serveurs DHCP ou des serveurs relais sur chaque segment  transforme les requêtes multicast en de l'unicast • défini par la RFC 1542 • agent dhcprelay  développé par l'ISC  paquet Debian isc-dhcp-relay ou dhcp3-relay  inclus dans le paquet dhcp de CentOS Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 470.
    Configuration du relaisDHCP • fichier /etc/default/isc-dhcp-relay # Adresse du serveur DHCP # Adresse du serveur DHCP SERVERS="192.168.1.2" SERVERS="192.168.1.2" # Interface utilisée par le relais DHCP # Interface utilisée par le relais DHCP INTERFACES="eth1" INTERFACES="eth1" # Options additionnelles pour le démon dhcp-relay # Options additionnelles pour le démon dhcp-relay OPTIONS="-q" OPTIONS="-q" Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 471.
    Ce qu’on acouvert • Configuration du serveur ISC DHCP  paramètres  mise en place d'un réseau et d'un sous réseau  hôtes statiques et hôtes BOOTP • Maintenance • Configuration d'un relais DHCP • 210.1 DHCP configuration Weight : 2 Description : Candidates should be able to configure a DHCP server. This objective includes setting default and per client options, adding static hosts and BOOTP hosts. Also included is configuring a DHCP relay agent and maintaining the DHCP server. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 472.
    Gestion des clientsréseau Authentification PAM Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 473.
    Plan • Introduction • Modules •Configuration des services  pam_unix • Modules et services  pam_cracklib • • Types de fonctionnalités • Contrôle  Linux LPIC-2 pam_limits •  pam_cracklib : exemples pam_limits : configuration pam_listfile tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 474.
    Introduction • Pluggable AuthenticationModules  librairies + API pour l'authentification  standard sous GNU/Linux  permet de définir la politique d'authentification d'une application indépendamment de celle-ci •  et de manière centralisée utilisé par un grand nombre de programmes • ex : login et su • Un peu d'histoire  /etc/passwd → /etc/shadow  /etc/passwd → autres bases de données (ex : ldap) •  nécessité de réécrire login et chaque logiciel utilisant l'authentification externalisation du processus d'authentification Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 475.
    Configuration des services •/etc/pam.d/  un fichier par service  ou pam.conf le cas échéant • ajout d'une première colonne "service" • Syntaxe type control module-path module-arguments type control module-path module-arguments  évaluées dans leur ordre d'apparition • Exemple #%PAM-1.0 : login service #%PAM-1.0 : login service auth required pam_nologin.so auth required pam_nologin.so auth required pam_access.so auth required pam_access.so ... ... account required pam_stack.so service=system-auth password account required pam_stack.so service=system-auth password required pam_stack.so required pam_stack.so ... ... Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 476.
    Modules et services •PAM est (comme son nom l'indique) divisé en modules  chacun couvrant une fonction particulière  capable d'être liée dynamiquement à une application fournissant un service • La configuration consiste donc à déterminer quel sera le comportement d'un (ou plusieurs) modules pour un service  ex : le service login nécessite l’absence du fichier no_login (module pam_nologin) auth required pam_nologin.so auth required pam_nologin.so Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 477.
    Types de fonctionnalités •un module offre des fonctionnalités  réparties en groupes  chaque module pouvant offrir des fonctionnalités dans un ou plusieurs de ces groupes • 4 groupes indépendants  Account: vérification des comptes •  Authentification : vérification de l'identité de l'utilisateur •  validité du mot de passe, autorisations d'accès, etc ... mot de passe, carte à puce, contrôle rétinien, etc ... Password : mise à jour des mécanismes d'authentification • •  ex : entrer un nouveau mot de passe fortement lié au groupe Authentication Session : tâches à effectuer avant et après un service • ex : montage du répertoire personnel de l'utilisateur • • défini le périmètre d'action de chaque fonctionnalité d'un module Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 478.
    Contrôle • 4 types :  requisite :termine immédiatement le service en cas d'echec  required : en cas d’échec, retourne une erreur après que tout les autres modules aient été invoqués  sufficient : valide le processus d'authentification en cas de succès •  même si d'autres modules ont auparavant échoués optional : n'est pris en compte que si il s'agit de l'unique module associé au service Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 479.
    Modules • pam_unix  authentification via/etc/passwd et /etc/shadow • pam_cracklib  vérification de la sécurité d'un mot de passe • dictionnaire et autres paramètres • pam_limits  limite des ressources accessibles via une session • à partir de /etc/security/limits.conf puis limits.d/ • pam_listfile  autorise ou interdit une action en fonction d'un listfile Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 480.
    pam_unix Type Description account établir le statutdu compte et du mot de passe en se basant sur les éléments shadow (expire, last_change, max_change, min_change, warn_change) auth vérification du mot de passe (n’autorise aucun accès en cas de mot de passe vide) password mise à jour du mot de passe session journalisation des accès • Documentation (sag) : http://www.linux-pam.org/Linux-PAM-html/sag-pam_unix.html Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 481.
    pam_cracklib • Module passworduniquement • Options  difok : nombre minimum de caractères permettant de différencier un nouveau mot de passe d'un ancien •  minlen : taille minimale du nouveau mot de passe •  5 par défaut 9 par défaut Crédits : nombre minimal d’occurrence d'un certain type de caractère • si N>0 : permet de diminuer la taille minimale requise de maximum N caractères si le type de caractère est utilisé • si N< 0 : indique exactement le nombre minium de caractères du type, sans impacte sur la taille minimale total • 1 par défaut - dcredit : nombre minimal de chiffres - ucredit : nombre minimal de lettres majuscules - lcredit : nombre minimal de lettres minuscules - ocredit : nombre minimal de caractères spéciaux (autre que majuscule, minuscule ou chiffre) • Documentation : http://www.linux-pam.org/Linux-PAM-html/sag-pam_cracklib.html Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 482.
    pam_cracklib : exemples • créditspositifs  le mot de passe doit être composé de • 14 caractères si il n'est composé que de caractères minuscules • 9 caractères si, en plus des lettres minuscules, il est composé d'au moins une majuscule, deux chiffres et deux caractères password password password password required pam_cracklib.so difok=3 minlen=15 dcredit= 2 ocredit=2 required pam_cracklib.so difok=3 minlen=15 dcredit= 2 ocredit=2 required pam_unix.so use_authtok nullok md5 required pam_unix.so use_authtok nullok md5 • crédits négatifs  le mot de passe doit être composé d'au moins un caractère spécial, un chiffre et une lettre majuscule, pour une taille minimale de 8 caractères password password password password Linux LPIC-2 required pam_cracklib.so required pam_cracklib.so dcredit=-1 ucredit=-1 ocredit=-1 lcredit=0 minlen=8 dcredit=-1 ucredit=-1 ocredit=-1 lcredit=0 minlen=8 required pam_unix.so use_authtok nullok md5 required pam_unix.so use_authtok nullok md5 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 483.
    pam_limits • fichiers /etc/security/limits.confet /etc/security/limits.d/*.conf  cf LPIC1 - Sujet 110.1 : Tâches d'administration de sécurité  affecte tout les utilisateurs, y compris root • module session uniquement • Documentation : sag-pam_limits Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 484.
    pam_limits : configuration <domain> <type><item> <value> <domain> <type> <item> <value> • domain : entité pour laquelle les limites s'appliquent • item : quel type d'item est affecté (généralement en Ko)  nom d'utilisateur  nom de groupe (@groupname) • dump de l'état d'un processus en mémoire lors d'un arrêt brutal  tout le monde (*) • pour debugging  core : taille des "core files"  • type : hard ou soft limit  hard : ne peu être depassée • mise en place par l'admin  - : hard ET soft  fsize : taille des fichiers créés par l'utilisateur  nofile : nombre de fichiers ouverts  rss : resident set size maximal • soft : peu être dépassée temporairement  data : taille des données programme portion de la mémoire processus stockée en mémoire   • value : valeur à appliquer nproc : nombre de processus concurrents maxlogins : nombre maximum de sessions simultanés  priority : process priority  cpu : temps cpu d'un seul processus, en minutes • Exemple : @limited hard cpu 2 @limited hard cpu 2 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 485.
    pam_listfile • Options  item=[tty|user|rhost|ruser|group|shell] •  file=/path/filename •  fichier liste sense=[allow|deny] •  typesd'éléments contenus par le fichier et devant être vérifiés action à réalisé si l'élément est présent dans le fichier onerr=[succeed|fail] • que faire en cas d'erreur • ex : ouverture du fichier impossible • Exemples  interdire l'accès à une liste d'utilisateurs auth required pam_listfile.so onerr=succeed item=user sense=deny file=/etc/ftpusers auth required pam_listfile.so onerr=succeed item=user sense=deny file=/etc/ftpusers  autoriser l'accès à une liste d'utilisateurs auth required pam_listfile.so onerr=fail item=user sense=allow file=/etc/loginusers auth required pam_listfile.so onerr=fail item=user sense=allow file=/etc/loginusers • Documentation : sag-pam_listfile Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 486.
    Ce qu’on acouvert • Fichiers, termes et utilitaires de configuration de PAM  /etc/pam.d et pam.conf • Modules essentiels de PAM  pam_unix, pam_cracklib, pam_limits et pam_listfile 210.2 PAM authentication Weight : 3 Description : The candidate should be able to configure PAM to support authentication using various available methods. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 487.
    Gestion des clientsréseau Clients LDAP Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 488.
    Plan • Introduction : lesannuaires • Recherche • Lightweight Directory Access • Modification du mot de passe • Entrées LDAP • Ajout et modification d'une Protocol • Attributs • Filtres LDAP d'un utilisateur entrée • Suppression d'une entrée • Opérateurs • Clients LDAP sous GNU/Linux  installation Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 489.
    Introduction : les annuaires •stockage de données hiérarchisées • destiné au stockage de données pérennes  plus rapide en consultation qu'en mise à jour des données qu'une base de donnée "classique"  utilisateurs (le plus souvent), matériel, ressources, etc ... • Les principaux serveurs d'annuaire  OpenLDAP (Libre - The OpenLDAP Project)  Active Driectory (Microsoft)  eDirectory (Novell)  Open Directory (Apple) • Tous sont aujourd'hui basés sur (ou compatibles) LDAP Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 490.
    Lightweight Directory AccessProtocol • norme pour les systèmes d'annuaires  données  nommage  modèle fonctionnel  sécurité  réplication • créé par Tim Howes (Université du Michigan), Steve Kille (ISODE) et Wengyik Yeong (Performance Systems International) en 1993  initialement pour simplifier l'accès (interrogation et modification) aux services d'annuaires X.500 (DAP) • très nombreuses RFCs (cf liste) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 491.
    Entrées LDAP • identifiéepar un nom distinct  DN, distinguished name  Relative Distinguished Name (RDN) suivi du DN de son parent •  organisation hierarchique ex : cn=Richard Stallman,ou=people, dc=noelmace,dc=com • Chaque entrée est constituée d'un ensemble d'attributs  nom + type + une ou plusieurs valeurs  normaux : définissant l'objet •  nom, prénom, etc … opérationnels : réservés au serveur • ex : date de modification Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 492.
    Attributs • Quelques exemplesd'attributs courants  uid (userid) : identifiant  cn (common name) : nom  givenname : prénom  sn (surname) : surnom  o (organization) : entreprise  ou (organizational unit) : service  mail : adresse mail Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 493.
    Filtres LDAP • définispar la RFC 2254 • permettent la récupération (recherche) des entrées LDAP  "semblables" à une clause WHERE de requête SQL • s'écrit sous la forme : attribut OPERATEUR valeur Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 494.
    Opérateurs Type Opérateur Description Égalité = le champs doitavoir la valeur donnée Présence * Joker (tout hormis NULL) Groupement () Permet de séparer / grouper des filtres afin d'employer d'autres opérateurs logiques Et & Tout les filtres doivent être vrais Ou inclusif | Au moins un filtre doit être vrais Négation ! Exclusion de tout les objets correspondant au filtre Égalité approximative ~= - Plus grand ou égal >= - Plus petit ou égal <= - Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 495.
    Clients LDAP sousGNU/Linux • Recherche  ldapsearch • Manipulation des entrée  ldappasswd  ldapadd & ldapmodify  ldapdelete • Options communes  obsolètes (remplacées par -H) • -h : hôte • -p : port  -H : URI du serveur LDAP  -D binddn : DN de l'utilisateur permettant la connexion au serveur  -w passwd : mot de passe de l'utilisateur permettant la connexion au serveur Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 496.
    Installation • Debian # apt-getinstall ldapscripts # apt-get install ldapscripts • CentOS # apt-get install openldap-clients # apt-get install openldap-clients Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 497.
    Recherche $ ldapsearch [options]filtre [attrs...] $ ldapsearch [options] filtre [attrs...] • récupération des entrées d'un annuaire LDAP à l'aide de filtres • Options  -s {base|one|sub|children} : portée de la recherche •  respectivement : sur un objet de base, un niveau, la sous-arborescence (par défaut) ou les enfants (LDAPv3) -b : point de départ de la recherche • Exemple $ ldapsearch -h myhost -p 389 -s base -b "ou=people,dc=example,dc=com" "objectclass=*" $ ldapsearch -h myhost -p 389 -s base -b "ou=people,dc=example,dc=com" "objectclass=*" Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 498.
    Modification du motde passe d'un utilisateur $ ldappasswd [options] [user] $ ldappasswd [options] [user] • opération définie par la RFC 3062  sur l'attribut userPassword (RFC 2256 section 5.36) • Options  -x : authentification simple (au lieu de SASL)  -s newpasswd : nouveau mot de passe  -W : demander un nouveau mot de passe de manière interactive (au lieu de -s) • sera sinon généré par le serveur • Exemple $ ldappasswd -x -h localhost -D "cn=root,dc=example,dc=com" $ ldappasswd -x -h localhost -D "cn=root,dc=example,dc=com" -s secretpassword uid=admin,ou=users,ou=horde,dc=example,dc=com -s secretpassword uid=admin,ou=users,ou=horde,dc=example,dc=com Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 499.
    Ajout et modificationd'une entrée • Ajout d'une entrée : $ ldapadd [options] $ ldapadd [options]  lien vers ldapmodify activant l'option -a • Modification d'une entrée : $ ldapmodify [options] $ ldapmodify [options] • Options  -f : lire les informations de modification à partir du fichier au lieu de l'entrée standard • Exemple $ ldapadd -c -x -W -D cn=root,dc=example,dc=com -H ldaps://ldap1.example.com/ -f grclient.ldif $ ldapadd -c -x -W -D cn=root,dc=example,dc=com -H ldaps://ldap1.example.com/ -f grclient.ldif dn: cn=clients,ou=Group,dc=example,dc=com dn: cn=clients,ou=Group,dc=example,dc=com cn: clients cn: clients gidNumber: 10001 gidNumber: 10001 memberUid: pierre memberUid: pierre memberUid: paul memberUid: paul memberUid: jacque memberUid: jacque description: Clients de l'entreprise description: Clients de l'entreprise objectClass: posixGroup objectClass: posixGroup Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 500.
    Suppression d'une entrée $ldapdelete [options] [DN ...] $ ldapdelete [options] [DN ...] • Exemple : $ ldapdelete -H ldaps://ldap1.example.com -D "cn=root" $ ldapdelete -H ldaps://ldap1.example.com -D "cn=root" "uid=rmachin,ou=sales,ou=people,dc=example,dc=com" "uid=rmachin,ou=sales,ou=people,dc=example,dc=com" Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 501.
    Ce qu’on acouvert • Introduction au LDAP  objectif, contexte et structure • interrogation et de mise à jour des données d'un serveur LDAP  ajout et gestion d'utilisateurs  import, ajout et modification des entrées • Utilitaires  ldapsearch, ldapadd, ldapmodify, ldappasswd et ldapdelete) • 210.3 LDAP client usage Weight : 2 Description : Candidates should be able to perform queries and updates to an LDAP server. Also included is importing and adding items, as well as adding and managing users. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 502.
    Services de courrierélectronique Utilisation des serveurs de messagerie Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 503.
    Plan • Rappel : Fonctionnement •Simple Mail Transfer Protocol • Postfix  Configuration de Postfix • Paramètres essentiels  Journalisation  Postfix et les domaines •  Domaines virtuels Commandes utiles • Linux LPIC-2 Émulation des commandes sendmail tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 504.
    Rappel : Fonctionnement Linux LPIC-2 toutdroits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 505.
    Simple Mail TransferProtocol • Transfert des mails vers les serveur  ports 25, 465 (SSL) et 587 (avec authentification) • Développé à partir de 1980 en remplacement de FTP Mail et de Mail Protocol (nés en 1973)  publié en Novembre 1981 (RFC 788)  mis à jour par les RFC 821 (Août 1982) et 5321 (Octobre 2008)  pour plus de détails, voir wikipedia(en) • Sendmail (distribué avec BSD 4.1c dés 1981) est alors un des premiers MTA à implémenter ce protocole  devient très rapidement le MTA de référence sur Internet Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 506.
    Postfix • MTA pardéfaut de Mac OS X, NetBSD et de nombreuses distributions GNU/Linux (comme Ubuntu)  un MTA de référence : 25 % de parts de marché en 2012 • seconde place derrière Exim (46 %), MTA par défaut de Debian • devant Sendmail (11%), le MTA historique, encore par défaut pour CentOS, et Microsoft (10%) depuis 2009 • Libre : IBM Public Licence 1.0 (non compatible GPL)  développé dés 1997 par Wietse Venema (également à l'origine de TCP Wrapper) • au IBM Thomas J. Watson Research Center  première distribution en Décembre 1998  version actuelle (Juin 2013) : 2.10.1 • Documentation officielle en français (grâce à Traduc.org) et en anglais • Pour une comparaison en détail des différents MTA du marché, voir ce tableau Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 507.
    Configuration de Postfix •par défaut dans /etc/postfix/  main.cf : paramètres de configuration de Postfix • Syntaxe semblable aux scripts shell (sans les apostrophes) - notamment pour les variables ($)  master.cf : configuration du démon master • définit la manière dont un programme client se connecte à un service, et quel démon s'exécute lorsqu'un service est demandé • Doivent (répertoire et fichiers) appartenir à root sans droit d'écriture pour les autres utilisateurs Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 508.
    Syntaxe des paramètresPostfix • main.cf a une syntaxe semblable aux scripts shells, à quelques différences notables près  les variables (paramètres) notamment peuvent sembler proche, mais offres quelques spécificités • Déclaration / affectation  classique mavariable = valeur mavariable = valeur  à partir du contenu d'un fichier mavariable = /chemin/du/fichier mavariable = /chemin/du/fichier  à partir du contenu d'une table de correspondance • paramètres définis dans un fichier séparé à la syntaxe identique mavariable = type:/chemin/du/fichier mavariable = type:/chemin/du/fichier • Ce fichier n'étant pas évalué de manière séquentielle, une variable peu être employée avant sa "déclaration"  Postfix est "paresseux", et ne consulte la valeur d'un paramètre que lorsqu'il est utilisé mavariable = $monautrevar mavariable = $monautrevar Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 509.
    Paramètres essentiels • domainedes courriels sortants myorigin = $myhostname myorigin = $myhostname myorigin = $mydomain myorigin = $mydomain • domaine à partir duquel les courriels sont reçus mydestination = $mydomain, localhost.$mydomain, hash:/etc/postfix/moredomains mydestination = $mydomain, localhost.$mydomain, hash:/etc/postfix/moredomains  défaut (pour les deux) : $myhostname • domaines de destination (et leurs sous-domaines) que le système acceptera de relayer  (défaut : $mydestination) relay_domains = $mydomain relay_domains = $mydomain • Indiquer un relais SMTP  ne sera pris en compte qu'en l'absence de mapping correspondant dans la table optionnelle transport  à défaut de valeur, Postfix tentera de transférer le mail au serveur MX du domaine de destination relayhost = mail.myisp.com relayhost = mail.myisp.com Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 510.
    Journalisation • via syslog(ou dérivés)  cf /etc/syslog.conf ou /etc/rsyslog.conf  Exemple : mail.err mail.err mail.debug mail.debug /dev/console /dev/console /var/log/maillog /var/log/maillog • Rapporter les problèmes de permission/appartenance # postfix check # postfix check • Lister tout les problèmes éventuels # egrep '(reject|warning|error|fatal|panic):' /var/log/maillog # egrep '(reject|warning|error|fatal|panic):' /var/log/maillog Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 511.
    Postfix et lesdomaines • Postfix offre plusieurs possibilités concernant un domaine  destination finale • domaines canoniques - nom et adresse IP du serveur et parfois le nom du domaine parent - classe : domaines locaux • domaines hébergés - ne sont pas directement associés au nom de la machine - classe : domaines virtuels • d'alias • ou de boites au lettres  serveur MX de secours d'un (ou plusieurs) domaine(s) • • les transfère dès qu'il fonctionne de nouveau •  conserve les courriels lorsque le serveur MX principal ne fonctionne pas classe : domaines relayés relais pour la retransmission des courriels • classe : domaines par défaut • Documentation : voir Virtual Readme et Address Class Readme Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 512.
    Domaines virtuels • spécificationdes domaines d'alias virtuels  par une liste (séparés par des espaces ou des virgules) virtual_alias_domains = example.com, autreexample.com virtual_alias_domains = example.com, autreexample.com • Table optionnelle faisant correspondre des adresses ou des domaines avec des adresses locales ou distantes • via une table de correspondance "hash" (créé via postmap ou postalias) virtual_alias_maps = hash:/etc/postfix/virtual virtual_alias_maps = hash:/etc/postfix/virtual  Exemple de fichier postmaster@example.com peter postmaster@example.com peter info@anotherexample.com gerda info@anotherexample.com gerda sales@example.com petra sales@example.com petra @example.com jim @example.com jim Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 513.
    Commandes utiles • Rechargerla configuration de Postfix # postfix reload # postfix reload • création ou mise à jour d'une table de correspondance "hash" # postmap fichier # postmap fichier Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 514.
    Émulation des commandessendmail • Interface de compatibilité de Postfix pour Sendmail $ sendmail [option ...] [recipient ...] $ sendmail [option ...] [recipient ...] • afficher la file d'attente des courriels $ mailq $ mailq  équivalent à sendmail -bp • initialiser la DB des alias (paramètre alias_database) # newaliases # newaliases  équivalent à sendmail -I Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 515.
    Ce qu’on acouvert • Introduction au protocole SMTP et aux MTA • Configuration de Postfix  fichiers de configuration  paramètres essentiels • Gestion de la journalisation des MTA 211.1 Using e-mail servers Weight : 3 Description : Candidates should be able to manage an e-mail server, including the configuration of e-mail aliases, e-mail quotas and virtual e-mail domains. This objective includes configuring internal e-mail relays and monitoring e-mail servers. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 516.
    Services de courrierélectronique Distribution locale des courriels Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 517.
    Plan • Introduction  Recettes procmail • Entête d'une recette - En tête d'une recette : • Formats de stockage verrouillage  Mbox • Règles de correspondance  Maildir • Actions • Quelques exemples • Procmail  Fonctionnement  Configuration Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 518.
    Introduction Linux LPIC-2 tout droitsréservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 519.
    Formats de stockage •Définissent la manière de stocker les courriels et les mailbox  format des fichiers  hiérarchie des éventuels dossiers  etc … • Nombreux formats  Standards : Mbox et Maildir • •  tout deux reconnus par procmail Maildir est cependant recommandé aujourd'hui nmh, MIX, .pst (propriétaire Microsoft), etc ... Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 520.
    Mbox • apparu avecUnix V6 (AT&T - Mai 1975) • format ouvert  RFC 4155 (Septembre 2005) • un fichier texte (ASCII 7bits) par mailbox  courriels simplement séparés par une ligne vide suivie du mot "From" en début de ligne • Désavantages : • Avantages :  universellement supporté • nombreuses conversions possibles  problèmes de verrouillage  sujet à la corruption - Outlook .pst via readpst - html via Hypermail  recherche et écriture au sain d'une mailbox rapides Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 521.
    Maildir • développé dans lecadre de QMail   par Daniel J. Bernstein (également à l'origine de daemontools)  • MTA léger, modulaire et sécurisé du domaine public Décembre 1995 un dossier par mailbox  • contenant lui même trois dossiers : new, cur et tmp Avantages :  • Désavantages : rapidité de :  • localisation • récupération • et suppression des courriels •  peu (voir pas) de verrouillage fichier  utilisable sur des FS réseaux  n'est pas sujet à la corruption Linux LPIC-2 nombre de petits fichiers  inefficacité de certains FS recherche de texte des une ou plusieurs mailbox lente • nécessite l'ouverture de tout les fichiers Structure Maildir Wikimedia cc-by-sa tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 522.
    Procmail • MDA deréférence pour les systèmes Unix  Libre (Licence GPL) • Largement employé  en adéquation avec un MTA (Exim, Postfix, Sendmail) •  et souvent un serveur IMAP / POP tel que Dovecote pour la distribution distante excellentes capacités de filtrage • première version distribuée en Décembre 1990  n'est plus maintenu • version finale 3.22 le 10 Septembre 2001 • Documentation : Procmail Documentation Project et Procmail Quick Reference Guide Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 523.
    Fonctionnement • programme autonome  généralementappelé directement par le MTA • Rappel : pour Postfix mailbox_command = /usr/bin/procmail mailbox_command = /usr/bin/procmail  n'est appelé via la ligne de commande que très rarement • essentiellement pour des tests • prétraitement et tri des courriels  mailinglists  anti-spam  réponses automatiques Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 524.
    Configuration • /etc/promailrc composé de :    configurationgénérale, pour tout les utilsateurs • $HOME/.procmailrc recettes  prioritaire si présent  définitions de variables • En l'absence de fichier de configuration, procmail écrira tout les courriers dans /var/spool/mail • • pour chaque utilisateur • Exemple SHELL=/bin/sh SHELL=/bin/sh MAILDIR=$HOME/Mail MAILDIR=$HOME/Mail LOGFILE=$HOME/Mail/procmail.log LOGFILE=$HOME/Mail/procmail.log :0: :0: * ^Subject: test * ^Subject: test testing testing  pour d'autres exemples, voir dans /usr/share/doc/procmail/exemples/ , dans la documentation ou à la fin de ce support Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 525.
    Recettes procmail • décomposéesen 3 parties  en tête ou "ligne double point" ("colon line")  règle(s) de correspondance • expression(s) rationnelle(s) - sur les en-têtes et corps des messages •  détermine quels messages seront traités par cette recette action • à défaut de règle correspondante, les courriers seront livrés dans la mailbox par défaut Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 526.
    En tête d'unerecette • Première ligne de chaque recette :0 [drapeaux] [ : [verrou_local] ] :0 [drapeaux] [ : [verrou_local] ] • le premier double point indique un début de règle  • le 0 est, lui, présent pour des raisons historiques Drapeaux : détermine la manière dont la recette sera exécutée  portée • des règles de correspondances - • B : corps du message HB : les deux des actions (ce qui leur est envoyé) -  H : en tête du message (par défaut) h : n'envoie que les en-têtes pour traitement b : n'envoie que le corps du message pour traitement hb :les deux (par défaut) contrôle des flux (exemple : c : garde une copie du message pour traitement ultérieur)  mode d’exécution  sensibilité à la casse (cf quickref) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 527.
    En tête d'unerecette : verrouillage :0 [drapeaux] [ : [verrou_local] ] :0 [drapeaux] [ : [verrou_local] ] • second double point  mettre en place un fichier de verrou • •  afin de ne pas corrompre un fichier en y écrivant simultanément deux courriers nécessaire en cas d'écriture (sauvegarde) [verrou local] : explicite le fichier de verrou à mettre en place Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 528.
    Règles de correspondance •permettent de déterminer si l'action doit être effectuée sur ce message ou non • commencent toujours par "* " (une étoile suivie d'un espace) • Pour associer les règles de correspondances  une par ligne = ET logique  sur une même ligne, séparées par des "|" (pipes) = OU logique • Linux LPIC-2 une seule étoile en début de ligne, non pour chaque expression tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 529.
    Actions • • opération à réaliseren cas de correspondance avec la/les règle(s) redirection  vers un fichier (mbox) ou un dossier (maildir) /chemin/du/fichier /chemin/du/fichier • chemin/relatif chemin/relatif /chemin/du/dossier/ /chemin/du/dossier/ action la plus courante - permet de délivrer le courrier dans la mailbox indiquée • •  nécessite un verrou si écrit dans un fichier si le chemin est relatif (pas de / en début de ligne), il le sera par rapport à $MAILDIR vers un programme | programme | programme  vers une (ou plusieurs) autre(s) adresse(s) électronique ! addr1@site.net addr2@else.com addr3 ... ! addr1@site.net addr2@else.com addr3 ... • il est possible de remplacer l'action par une autre ensemble de recettes et de variables en utilisant les caractère { et } Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 530.
    Quelques exemples transférer toutcourriel de l’expéditeur lui@example.com vers l'adresse moi@noelmace.com • :0 :0 * ^From.*lui@example.com * ^From.*lui@example.com ! goodmail@example2.com ! goodmail@example2.com transférer tout courriel de plus de 1Mo vers la boite aux lettres mbox grosfichiers • • :0 :0 * > 1048576 * > 1048576 grosfichiers grosfichiers transférer tout courriel provenant du domaine fsf.org et contenant le mot "Supporter" suivit du mot "Issue" (correspondant au Free Software Suporter, newsletter mensuelle de la FSF) vers la boite mail de l'utilisateur news, et le copier vers notre dossier forwarded.news :0c :0c * ^From.*@fsf.prg * ^From.*@fsf.prg * ^Subject:.*Supporter.*Issue.* * ^Subject:.*Supporter.*Issue.* ! news ! news :0: :0: forwarded.news forwarded.news Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 531.
    Ce qu’on acouvert • Configuration de procmail  recettes, drapeaux, règles et actions • Les formats de stockage  mbox  maildir 211.2 Managing Local E-Mail Delivery Weight : 2 Description : Candidates should be able to implement client e-mail management software to filter, sort and monitor incoming user e-mail. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 532.
    Services de courrierélectronique Distribution distante des courriels Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 533.
    Plan • Introduction • CourierMail Server  Configuration  Pré-requis Postfix et Procmail  Configuration avec Postfix et Procmail • Dovecot  Authentification •  Authentification : Configuration Emplacement des mailboxs Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 534.
    Introduction Linux LPIC-2 tout droitsréservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 535.
    Courier Mail Server • serveurmail / groupware tout en un   webmail (avec calendrier et planning)  • ESMTP, IMAP, POP3, LDAP, SSL et HTTP services mailing list constitué de composants individuels  activables et désactivables à volonté  cf paquets Debian (courier-base, courier-imap, courier-ldap, courier-webadmin, etc …)  nous nous concentrerons ici sur ce dont nous avons besoin : des serveurs POP3 et IMAP pour compléter Postfix et Procmail • • stockage natif en maildir  • courier-imap et courier-pop possibilité de livraison sous d'autres formats pré-établis file d'attente des mails dans /var/spool/mqueue Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 536.
    Configuration • Deux possibilités (àchoisir à l'installation)  par dossiers (necessaire pour webadmin)  ou par fichier (à favoriser si administration pour la console) • ce que nous présenterons ici dans le cadre de la LPIC2 • /etc/courier/  imapd : configuration de courier-imap  pop3d : configuration de courier-pop  authdeamonrc : configuration de courier-authdeamon (démon d'authentification de courier) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 537.
    Pré-requis Postfix etProcmail • Postfix : fichier main.cf mailbox_command = procmail -a "$EXTENSION" mailbox_command = procmail -a "$EXTENSION" • Procmail : ajouter un fichier $HOME/.procmailrc ou /etc/procmailrc MAILDIR=$HOME/Maildir/ MAILDIR=$HOME/Maildir/ DEFAULT=$MAILDIR/ DEFAULT=$MAILDIR/ • créer le(s) dossier(s) $HOME/Maildir/ $ maildirmake ~/Maildir $ maildirmake ~/Maildir  attention aux droits posix : l'utilisateur doit avec l'accès à ce dossier en lecture et écriture • vérifiez également les alias (/etc/aliases) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 538.
    Configuration avec Postfixet Procmail • courier-imap : dans le fichier /etc/courier/imapd MAILDIRPATH=Maildir MAILDIRPATH=Maildir • courier-authdeadmon authmodulelist="authpam" authmodulelist="authpam" • redémarrer les services # /etc/init.d/postfix restart # /etc/init.d/postfix restart # /etc/init.d/courier-imap restart && /etc/init.d/courier-authdaemon restart # /etc/init.d/courier-imap restart && /etc/init.d/courier-authdaemon restart • vous pouvez dés à présent vous connecter via votre MUA préféré (Evolution par exemple) en IMAP via un compte de votre système (login : votre identifiant – mdp : idem que sur le système, grâce à PAM) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 539.
    Dovecot • Serveur POP3 etIMAP4r1 orienté sécurité   • • • libre (Double licence MIT et GPLv2) destiné aux systèmes Unix (Solaris, GNU/Linux, (Free|Open|Net)BSD et Mac OS X) Compatible mbox et Maildir Inclus son propre MDA (Dovecot Local Delivery Agent) Dernière version : 2.2.5 (5 Aout 2013)  • • attention : nombreuses différences de configuration avec Dovecot1, encore par défaut sous Debian Documentation officielle ici Configuration : /etc/dovecot.conf ou /etc/dovecot/dovecot.conf Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 540.
    Authentification • Dovecot peustocker les comptes utilisateurs de nombreuses manières  PAM, BDSAuth, LDAP, passwd  bases de données SQL : MySQL, PostgreSQL et SQLite • 4 parties  le mécanisme d'authentification • •  défini le protocole utilisé pour la communication des informations d'authentification PLAIN (en clair, à utiliser via SSL/TLS) ou non (CRAM-MD5, NTLM, etc ...) le mécanisme de chiffrement des mots de passe • • la plupart du temps, imposé par la base des mots de passe •  en clair (PLAIN) ou via une fonction de hachage (par exemple via MD5-CRYPT) PAM ne laissant même pas voir les mots de passe à Dovecot, la question ne se pose pas dans ce cas la base des utilisateurs •  Passwd, Passwd-file, LDAP, SQL, etc ... la base des mots de passe • PAM, IMAP, Passwd, Passwd-file, SQL, Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 541.
    Authentification : Configuration • Dovecotv1 : auth default { auth default { mechanisms = plain cram-md5 mechanisms = plain cram-md5 passdb pam { passdb pam { } } userdb passwd { userdb passwd { } } } } • Dovecot v2 auth_mechanisms = plain cram-md5 auth_mechanisms = plain cram-md5 passdb { passdb { driver = pam driver = pam } } userdb { userdb { driver = passwd driver = passwd } } Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 542.
    Emplacement des mailboxs •paramètre mail_location  format Maildir mail_location = maildir:~/Maildir mail_location = maildir:~/Maildir  format mbox mail_location = mbox:~/mail:INBOX=/var/mail/%u mail_location = mbox:~/mail:INBOX=/var/mail/%u • identique v1 et v2 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 543.
    Ce qu’on acouvert • Configuration des serveurs IMAP et POP  courier  Dovecot 211.3 Managing Remote E-Mail Delivery Weight : 2 Description : Candidates should be able to install and configure POP and IMAP daemons. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 544.
    Sécurité du système Configurationd'un routeur Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 545.
    Plan • Netfilter • Extensionsde • Vocabulaire correspondance  • Tables Options des extensions de correspondance • Extensions de cibles • Cibles • Options essentielles de  traduction d'adresse réseau iptables • Règles simples  Exemples de règles simples Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 546.
    Netfilter • Framework  Pare-feu Linux  Projetlancé en 1998  Intégré à Linux 2.3 en mars 2000 • en remplacement de ipchains (lui aussi développé par Rusty Russell) • Manipulable par divers programmes en espace utilisateur  Le plus courant étant iptables, développé par l'équipe Netfilter • Linux LPIC-2 Mais il en existe d'autres, comme ufw ou gufw tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 547.
    Vocabulaire Élément Définition Chaîne Trafic réseaux Table Regroupement dechaînes par catégorie Règle Instructions appliquées à un trafic Cible Action effectuée en cas de validation d'une règle Stratégie (Policy) Cible par défaut d'une chaîne Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 548.
    Tables table usage chaînes INPUT FILTER Filtrage classique OUTPUT FORWARD PREROUTING NAT Translation d'ip POSTROUTING OUTPUT PREROUTING MANGLE Modificationde paquets RAW Marquage (nécessite le module iptable_raw) Linux LPIC-2 OUTPUT PREROUTING OUTPUT tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 549.
    Cibles cible Effet ACCEPT autorisation DROP destruction QUEUE transmission en espaceutilisateur RETURN cesser de parcourir la chaîne et retourner dans la chaîne précédente (appelante) en passant à la règle suivante Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 550.
    Options essentielles deiptables • Création d'une règle # iptables [-t table] -A chaîne règle -j cible [options] # iptables [-t table] -A chaîne règle -j cible [options] • Suppression d'une règle # iptables [-t table] -D chaîne {règle|règlenum} [options] # iptables [-t table] -D chaîne {règle|règlenum} [options] • Définition de la règle par défaut (stratégie) d'une chaine # iptables [-t table] -P chaîne cible [options] # iptables [-t table] -P chaîne cible [options] • Lister toutes les règles d'une chaîne # iptables [-t table] -L chaîne [options] # iptables [-t table] -L chaîne [options] • Vider une chaîne (supprime toutes les règles d'une chaîne) # iptables [-t table] -F chaîne [options] # iptables [-t table] -F chaîne [options] Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 551.
    Règles simples • pourune interface  -i interface : d'entrée  -o interface : pour une interface de sortie • pour une adresse ip  -s adresse : source  -d adresse : destination Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 552.
    Exemples de règlessimples • Refuser tout les paquets entrant via l'interface eth1 # iptables -A INPUT -i eth1 -j DROP # iptables -A INPUT -i eth1 -j DROP • Accepter tout les paquets sortant via l'interface eth1 # iptables -A OUTPUT -o eth1 -j ACCEPT # iptables -A OUTPUT -o eth1 -j ACCEPT • Refuser tout les paquets en entrée provenant de 192.168.1.10 # iptables -A INPUT -s 192.168.1.10/24 -j DROP # iptables -A INPUT -s 192.168.1.10/24 -j DROP • Autoriser tout les paquets en sortie à destination de 192.168.1.1 # iptables -A OUTPUT -d 192.168.1.1/24 -j ACCEPT # iptables -A OUTPUT -d 192.168.1.1/24 -j ACCEPT Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 553.
    Extensions de correspondance •modules additionnels de correspondance de paquets  Peuvent être chargés de deux manières • Implicitement - Option -p protocole ou –protocol protocole • udp, tcp, icmp ou all • Explicitement - Option -m module ou –match module • Permettent d'utiliser des options supplémentaires, en fonction du module • Remarque : pour visualiser l'aide relative à un module, indiquez l'option correspondante suivie de -h Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 554.
    Options des extensionsde correspondance • tcp et udp • icmp  --source-port [!] port[:port]  --destination-port [!] port[:port]  --icmp-type [!] nom_du_type_icmp • numérique ou par nom (cf -h) • state • tcp  --tcp-flags [!] masque comp   --state {NEW|ESTABLISHED| RELATED|INVALID} [!] --syn Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 555.
    Extensions de cibles •modules de cible additionnels  permettre de nouvelles actions sur les paquets • LOG : journalisation du paquet • REJECT : supprimer le paquet et répondre par un paquet d'erreur  sorte de DROP verbeux • traduction d'adresse réseau (NAT : Network address translation)  DNAT  SNAT  MASQUERADE • Et bien d'autres (cf man iptables) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 556.
    traduction d'adresse réseau •Uniquement disponibles dans la table nat • modification de l'adresse de destination # iptables -t nat -A {PREROUTING|OUTPUT} règle # iptables -t nat -A {PREROUTING|OUTPUT} règle -j DNAT --to-destination adresse-ip[-adresse-ip][:port-port] -j DNAT --to-destination adresse-ip[-adresse-ip][:port-port] • modification de l'adresse source  personnalisable # iptables -t nat -A POSTROUTING règle # iptables -t nat -A POSTROUTING règle -j SNAT --to-source adresse-ip[-adresse-ip][:port-port] -j SNAT --to-source adresse-ip[-adresse-ip][:port-port]  masquerading : une seule ip (celle du routeur) # iptables -t nat -A POSTROUTING règle -j MASQUERADE # iptables -t nat -A POSTROUTING règle -j MASQUERADE Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 557.
    Ce qu’on acouvert • Configuration du pare-feu Netfilter sous GNU/Linux  filtrage  NAT et IP maquerading  logging 212.1 Configuring a router Weight : 3 Description : Candidates should be able to configure a system to perform network address translation (NAT, IP masquerading) and state its significance in protecting a network. This objective includes configuring port redirection, managing filter rules and averting attacks. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 558.
    Sécurité du système Sécurisationdes serveurs FTP Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 559.
    Plan • Introduction • ServeursFTP • Connexions FTP actives et passives • Vsftpd • Pure-ftpd Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 560.
    Introduction • File TransferProtocol  protocole de transfert de fichier de référence  relativement ancien •  RFC 114 - 16 avril 1971 remplacée par la RFC 765 (juin 1980) puis 959 (Octobre 1985 - version finale) • complétée par - la RFC 2228 (Juin 1997) : extensions de sécurité - la RFC 2428 (Septembre 1998) : ipv6 et nouveau type de mode passif (commande EPSV) • Faiblement sécurisé  remplacé par du FTP over SSL (FTPS) ou du SFTP (SSH) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 561.
    Serveurs FTP • pure-ftp  un serveurlibre (licence BSD) de référence  fortement orienté sécurité  né en 2001 à partir de Troll-FTPd  disponible sur la quasi intégralité des systèmes Unix •  • même Android version actuelle : 1.0.36 - 21 Mars 2012 vsftpd : Very Secure FTP Daemon   serveur FTP par défaut sur de nombreuses distributions (Ubuntu, CentOS, Slackware …)  • également fortement orienté sécurité et libre (licence GPL) version actuelle : 3.0.2 - Septembre 2012) proftpd  libre (GPL), puissant, sécurisé et fortement documenté  configuration similaire à Apache •  fichier proftpd.conf version actuelle : 1.3.4d - 14 Juin 2013 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 562.
    Connexions FTP activeset passives • Control channel (connexion de contrôle)  mode texte : commande / réponse • Data channel (connexion de donnée)  transmission de données (contenu ou liste de fichiers)  généralement établie pour le transfert de données relatives à une seule commande • Mode actif : est établie par le serveur • Mode passif (commande PASV) - met le serveur en attente de connexion sur le port aléatoire qu'il aura envoyé en réponse Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 563.
    Vsftpd • Configuration  fichier /etc/vsftpd.conf(cf man)  syntaxe : clé=valeur  Exemple # listen=NO : via inetd # listen=NO : via inetd listen=YES listen=YES write_enable=YES write_enable=YES anonymous_enabled=YES anonymous_enabled=YES anon_root=/var/ftp/pub anon_root=/var/ftp/pub anon_upload_enable=YES # nécessite write_enable=YES anon_upload_enable=YES # nécessite write_enable=YES # restreindre l'utilisateur anonyme à la lecture sur les fichers # restreindre l'utilisateur anonyme à la lecture sur les fichers # accessibles à tout le monde uniquement # accessibles à tout le monde uniquement anon_world_readable_only=NO anon_world_readable_only=NO ... ... Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 564.
    Pure-ftpd • N'est pasdirectement configuré par des fichiers  mais par des options (de la commande pure-ftpd) • Cependant un wrapper permet de récupérer ces options à partir  d'un fichier /etc/pure-ftpd/pure-ftpd.conf sous CentOS Paramètre Paramètre # commentaire # commentaire  valeur valeur ou d'un dossier /etc/pure-ftpd/conf sous Debian • un fichier par option - le nom de ce fichier correspondant à l'option dans son format long - et son contenu à la valeur à donner • Exemple $ cat /etc/pure-ftpd/cong/NoAnonymous $ cat /etc/pure-ftpd/cong/NoAnonymous yes yes - correspond à l'option -E ou --noanonymous Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 565.
    Ce qu’on acouvert • Configuration des serveurs FTP  vsftpd  pure-ftpd • Sensibilisation à ProFTPd • Compréhension des différences entre les connexions FTP passives et les connexions actives. 212.2 Managing FTP servers Weight : 2 Description : Candidates should be able to configure an FTP server for anonymous downloads and uploads. This objective includes precautions to be taken if anonymous uploads are permitted and configuring user access. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 566.
    Sécurité du système Shellsécurisé (SSH) Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 567.
    Plan • Rappels • Rappel :Configuration • Restrictions des connexions root • Restriction des connexions Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 568.
    Rappels • Ce quia déjà été vu dans la LPIC1 :  fonctionnement et principes du SSH  client SSH : connexion  copie de fichier avec scp  configuration basique du serveur  gestion des clés coté serveur et coté client •  ssh-agent redirection de port (aka TCP Forwarding / tunneling) • Nous allons donc ici nous concentrer sur les questions de sécurité, particulièrement sur les restrictions d'accès Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 569.
    Rappel : Configuration • fichier/etc/ssh/sshd-config Port 22 Protocol 2,1 ListenAddress 0.0.0.0 KeepAlive Yes HostKey ssh_host_dsa.key HostKey ssh_host_rsa.key PermitRootLogin no PasswordAuthentication yes PubkeyAuthentication yes PermitEmptyPasswords no X11Forwarding yes Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 570.
    Restrictions des connexionsroot PermitRootLogin {yes|no|without-password|forced-commands-only} PermitRootLogin {yes|no|without-password|forced-commands-only} • yes : autoriser (par défaut) • no : interdire (recommandé) • without-password : désactiver l’authentification par mot de passe  donc restreindre aux authentifications par clé • forced-commands-only : n'autoriser les connections que via le(s) couple(s) de clés pour lesquels l'option « command » est définie  définie dans le fichier /root/.ssh/authorized_keys du serveur  permet de lancer cette commande automatiquement lors d'une connexion via la clé associer, et empêcher ainsi l'usage de toute autre commande  Exemple (voir à ce propos l'excellent article de admin-linux.fr command="ls" ssh-dss command="ls" ssh-dss ACABB3N2aC1ld2...XC2/D47x2= root@SERVEUR1 ACABB3N2aC1ld2...XC2/D47x2= root@SERVEUR1 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 571.
    Restriction des connexions •Autoriser / interdire authentification par  clé publique PubkeyAuthentication {yes|no} PubkeyAuthentication {yes|no}  mot de passe PaswordAuthentication {yes|no} PaswordAuthentication {yes|no} • Restreindre l'accès à une liste d'utilisateurs / groupes {Allow|Deny}Users user1,user2 {Allow|Deny}Users user1,user2 {Allow|Deny)Groups group1,group2 {Allow|Deny)Groups group1,group2  il est possible d'utiliser les caractères ' ?' et '*' comme jocker pour ces paramètres • Limiter les versions de protocole SSH disponibles Protocol {2,1|1|2} Protocol {2,1|1|2} Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 572.
    Ce qu’on acouvert • Bref rappel des éléments relatifs à la LPIC1 • Configuration du serveur OpenSSH  restriction d'accès 212.3 Secure shell (SSH) Weight : 4 Description : Candidates should be able to configure and secure an SSH daemon. This objective includes managing keys and configuring SSH for users. Candidates should also be able to forward an application protocol over SSH and manage the SSH login. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 573.
    Sécurité du système Tâchesde sécurité Site : http://www.alphorm.com Blog : http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 574.
    Plan • Rappels • fail2ban •Introduction • Se tenir au courant  Bugtraq  Configuration de fail2ban • Le scanner de vulnérabilité OpenVAS • Détection d'intrusion avec  CERT  CIAC  Autres ressources Linux LPIC-2 Snort tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 575.
    Rappels • Ce quenous avons déjà vu  surveillance et analyse du trafic réseau (LPIC2 - chapitre 5.2) •  netcat, nmap gestion du pare-feu Linux (LPIC2 - chapitre 12.1) • utilisable à des fins de détection d'intrusion (cible LOG) • Nous allons donc ici approfondir ces sujets en mettant l'accent sur l'audit et la détection de problèmes de sécurité afin de pouvoir y répondre rapidement Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 576.
    Introduction • La sécuritén'est pas une affaire de feignant  de par son principe même, tout y change en permanence •  il est donc très important de se tenir en permanence à jour •  vulnérabilité → annonce → résolution, le tout dans un délais très court audit, suivit de l'actualité, etc … Dans la pratique, elle est également une affaire de chaque instant • criticité des systèmes • surveillance permanente - pour un temps de réactivité minimal Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 577.
    Se tenir aucourant • un volume gigantesque de vulnérabilités sont découvertes chaque jour  de nombreuses solutions permettent de les surveiller  mailing lists, sites spécialisés, magazines, etc ... • Seule la connaissance d'une vulnérabilité permet de s'en protéger  faire entièrement confiance aux mises à jour et à vos protections généralistes ne peu suffire dans un environnement critique Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 578.
    Bugtraq • mailing listouverte à tous  crée le 5 Novembre 1993 (modéré depuis le 5 Juin 1995) • fondée sur le principe de Full Disclosure  divulgation publique totale de toute vulnérabilité  opposé à la sécurité par l'obscurité • traite de quasiment toutes (dans les 150/jours) les dernières vulnérabilités  annonce, description, méthodes d'exploitation, solutions, etc … • site officiel : https://www.securityfocus.com - FAQ  pour souscrire, envoyer un mail à bugtraq-subscribe@securityfocus.com Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 579.
    CERT • Les CERT (ComputerEmergency Response Team)  Organismes officiels  Centres d'alerte et de réaction aux attaques informatiques • •  prévention des risques et assistance aux traitements d'incidents généralement ouverts à tous Quelques exemple : • • • US-CERT (United States Department of Homeland Security) CERT-RENATER (France - Réseau National de télécommunications pour la Technologie, l'Enseignement et la Recherche) CERT Coordination Center (ou CERT/CC)  premier CERT  aujourd'hui le centre principal de coordination des CERT  fondé par le DARPA en novembre 1988 •  suite à la frappe du « premier » ver, Moris (ou Rogue) site officiel : https://www.cert.org/ - mailing lists et flux d'actualité Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 580.
    CIAC (ancienne version) • ComputerIncident Advisory Capability   • fondé par le département de l'énergie des États-Unis d’Amérique en Février 1989 Nombreuses mailing lists  CIAC-BULLETIN : Avis et informations de haute priorité  CIAC-NOTES : collection d'articles sur la sécurité informatique  SPI-ANNOUNCE : actualité de Security Profile Inspector (SPI) •  • SPI-NOTES : discussions sur l'utilisation de SPI et les problèmes rencontrés Pour souscrire, envoyer un mail avec pour contenu un message comme suit à ciac-listproc@llnl.gov  • mises à jour, nouvelles fonctionnalités, etc ... subscribe list-name LastName, FirstName, PhoneNumber cf modifications, ces mailing lists ne semblent plus exister Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 581.
    CIAC • Computer Incident AdvisoryCapability   • fondé par le département de l'énergie des États-Unis d’Amérique en Février 1989 Membre fondateur  du GFIRST • • •  • communautés de plus de 50 équipes de divers agences fédérales des USA hébergée par le US-CERT et du FIRST (Forum of Incident Response and Security Teams) Anciennement chargé d'informer largement sur les incidents informatiques  • Government Forum of Incident Responders and Security Teams vulnérabilités, virus et hoarx pour l'essentiel Renommé DOE-CIRC / JC3 (Joint Cybersecurity Coordination Center) en Octobre 2008  pour se tenir au courant, voir ses communiqués  travail aujourd'hui essentiellement avec l'US-CERT Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 582.
    Autres ressources • MISC :« le magazine consacré 100% à la sécurité informatique »  mensuel français de Unix Garden, des Editions DIAMOND •  également éditeur de l'excellent Gnu/Linux Magazine France actualité, perspectives techniques, questions juridiques, etc … • Informations de sécurité Debian  mailing list : debian-security-annonce • Voir aussi les ressources Red Hat  notifications : https://access.redhat.com/security/updates/advisory/  mises à jour : https://access.redhat.com/security/updates/  dans un autre registre, le guide de sécurité Red Hat Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 583.
    fail2ban • Solution deprotection active  parcours les journaux systèmes •  à la recherche d'activités indiquant une attaque de type DOS ou bruteforce banni automatiquement l'adresse IP source de ces attaques • en établissant une règle iptables • de manière temporaire • Ne permet pas de prévenir les attaques DDOS  Aucun véritable support de l'ipv6 à ce jour (patch expérimental) Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 584.
    Configuration de fail2ban •fichier /etc/fail2ban/jail.conf  un bloc par service à surveiller # bloc du service ssh # bloc du service ssh [ssh] [ssh] # activer le service # activer le service enabled = true enabled = true # ports à surveiller # ports à surveiller port = ssh,sftp port = ssh,sftp # filtre de détection pour les logs # filtre de détection pour les logs filter = sshd filter = sshd # fichier de log à surveiller # fichier de log à surveiller logpath = /var/log/auth.log logpath = /var/log/auth.log # nombre maximum d'essais autorisés avant bannissement # nombre maximum d'essais autorisés avant bannissement maxretry = 6 maxretry = 6 # bannir durant 15 minutes # bannir durant 15 minutes bantime = 900 bantime = 900 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 585.
    Le scanner devulnérabilité OpenVAS • Open Vulnerability Assessment System  fork libre (GPL) de Nessus (propriétaire) • Analyse un équipement, un ensemble d'équipements, voir même un réseau entier  afin d'y détecter les vulnérabilités éventuelles • Affiche une synthèse indiquant  une liste des vulnérabilités détectées, par niveau de criticité  une description de celles-ci  ainsi qu'un méthode (ou un lien) permettant d'y remédier • Pour plus de détails, voir notamment ce document Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 586.
    Détection d'intrusion avecSnort • système de détection d'intrusion pour le réseau (NIDS)  référence en la matière  Libre (GPL) • Maintenu par Sourcefire  propose un programme de certifications professionnelles dédié • Configurable via des règles  à la manière de iptables  nombreuses sont celles partagées librement par les utilisateur sur le net (cf Emerging Threats) • Peut être amélioré par / associé à  un IPS (système de prévention d'intrusion) • Snort Inline, Guardian, SnortSam, etc...  un logiciel de monitoring  acidbase, Prelude-IDS, etc ... ajouter un texte • voir la documentation officielle Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 587.
    Ce qu’on acouvert • Sites et organisations informant des alertes de sécurit  Bugtraq, CERT, CIAC et d'autres sources • Détection et protection contre les intrusions et attaques  Snort  OpenVAS  fail2ban 212.5 Security tasks Weight : 3 Description : Candidates should be able to receive security alerts from various sources, install, configure and run intrusion detection systems and apply security patches and bugfixes. Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 588.
    Conclusion Conclusion Site : http://www.alphorm.com Blog: http://www.alphorm.com/blog Forum : http://www.alphorm.com/forum Linux LPIC-2 Noël Macé Formateur et Consultant indépendant Expert Unix et FOSS Contact : alphorm@noelmace.com tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 589.
    Plan • A proposde la nouvelle version • Changements opérés • Les principales modifications • Chapitre 213 en détail • Sujets abordés dans le chapitre 213 • S’entraîner au dépannage • Et pour conclure Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 590.
    A propos dela nouvelle version • Comme évoqué plus tôt :  Nouvelle version 4.0 • Déjà publiée (voir ici) • Prendra effet le 1er Novembre 2013 • Permet une approche plus logique de l'ensemble de l'apprentissage  Plus en adéquation avec les problématiques actuelles  La dernière version (3.5) datant du 1er Août 2012 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 591.
    Changements opérés • Nombreuxchangements  Répertoriés sur cette page  Tout en tâchant de conserver au maximum la numérotation existante • Répercutions sur tout les examens (LPIC1 et 3 compris)  Éviter la répétition • Logiciels et fonctionnalités dépassées  Sendmail (en faveur de Postfix)  Plus grande importance du kernel et de udev  Etc … • En grande parti anticipé dans ce cours Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 592.
    Les principales modifications •Pour plus de cohérence, quelques chapitres ont donc été revus dans ce cours afin d'anticiper ces changements • chapitre 205.4 : Information des utilisateurs  déplacé dans le chapitre 6 : Maintenance système  • chapitre 213 : « supprimé » plus cohérent, meilleure répartition entre chapitres en temps et poids  car la résolution de panne est un sujet transverse • • chapitre 212.4 : TCP Wrapper  chapitre 14.1 de notre cours : sécurité réseau - Avec la LPIC1 objectif 110.2 •  - Avec d'autres sujets de la LPIC2 déplacé dans la LPIC1 • remplacé, dans la v4, par l'objectif 212.5 (OpenVPN) • ce qui amenait à de nombreuses répétitions  nous avons donc abordé ces sujets tout au long de notre cours abordé au chapitre 5.1 de ce cours Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 593.
    Chapitre 213 endétail • 213.1 : Identification des étapes de démarrage et dépannage des chargeurs d'amorçage  Fusionné avec le Sujet 202.2 Récupération du système  Suppression des mentions concernant init.d  Déjà vu dans • • • Le chapitre 7 de LPIC1 – Linux+ La chapitre 2 de ce cours (particulièrement dans la vidéo 3) 213.2 : Dépannage général  Fusionné avec le chapitre 201.5 Gestion et requêtes sur un noyau et les modules pendant l'exécution • •  lui même fusionné avec le chapitre 203.4 Gestion de périphériques avec udev Renommé en 201.3 Gestion du noyau à chaud et résolution de problèmes Déjà vu dans • • Le chapitre 1 de ce cours (particulièrement les vidéos 1 et 6) Le chapitre 3 de ce cours (vidéo 6) • • 213.3 Dépannage des ressources système et 213.4 Dépannage de la configuration de l'environnement  Supprimés du fait de nombreuses répétitions avec les autres objectifs de la LPIC2 et la LPIC1 Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 594.
    Sujets abordés dansle chapitre 213 • Cron • Syslog • Passwd, shadow et group • Uname • Sysctl (cf procfs) • Lsof, lsusb, lsdev, lspci • Procédure de démmarage  init  Initrd  Initramfs  Tous déjà vus et revus ! GRUB • Gestion des modules du kernel Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 595.
    S’entraîner au dépannage •La pratique, toujours la pratique • Maîtriser tout les outils présentés • Petit conseil : en profiter pour explorer les forums  Tester ses connaissances en tentant de résoudre les problèmes des autres Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 596.
    Et pour conclure •Un bonne préparation à tous  en vous souhaitant de réussir haut la main vos examens • Pour avoir toutes les chances de votre côté  utilisez GNU/Linux au maximum (et tant qu'à faire, des logiciels libres)  tenez vous au courant de l'actualité •  rejoignez un groupe d'utilisateur •  UnixGarden, linuxfr, listes et sites des distributions, etc … sur Paris : parinux, sur Toulouse : le CULTe approfondissez au maximum • grâce aux liens présents dans ce cours, notamment les documentations officielles • ainsi que ceux qui vous retrouverez ici, y compris en passant des examens d’entraînement Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com
  • 597.
    Ce qu’on acouvert • Rappel concernant les actuelles versions des objectifs LPIC  Modifications principales et anticipations de ce cours • objectif 213 - Comment s'y préparer - Raisons de « l’absence » de ce chapitre dans ce cours • Conclusion de notre cours et petits conseils Linux LPIC-2 tout droits réservés noelmace.com© autorisation d'exploitation exceptionnellement délivrée pour le site alphorm.com