Version originale et plus à jour : http://troumad.org/Linux/Linux.odt

I ) INTRODUCTION

A ) Mon cours

Le but de ce cours est de montrer que LINUX existe et qu’on peut monter plein de serveurs différents à partir des CD d’installation. Le public visé est une classe de licence professionnelle, le temps d’enseignement est de 4 heures de TD et 9 TP de 4 heures. Ce cours déborde donc largement du peu de temps disponible.

Dans ce document je ne fais que relater mon expérience et je me sers aussi de ce cours pour monter mes propres serveurs. Ceci me permet de le modifier à chaque utilisation. Je n’aborde pas l’installation de tous les serveurs, chaque serveur abordé mériterait à lui seul un livre entier et je ne peux lui consacrer que quelques pages qui sont donc incomplètes.

Je serais heureux de recevoir des remarques constructives à mon adresse : troumad@libertysurf.fr afin d’améliorer ce document qui a comme mission aussi bien d’aider les utilisateurs de LINUX à monter leurs serveurs sur leur PC que de faire découvrir LINUX à des personnes qui s’intéressent à l’installation de serveurs. Je peux aussi rajouter des chapitres sur d’autres serveurs si vous me les passez.

B ) Unixⁱ

Informations disponibles sur :

http://www.linux-france.org/article/jdanield/V2.0/

http://fr.wikipedia.org/wiki/UNIX#.C3.80_l.27heure_actuelle

Unix est un système d’exploitation multi-utilisateur et multi-tâche né en 1969. Depuis 1973, Unix est écrit en C.

Une des forces d’UNIX est d’être disponible sur plusieurs architectures avec des normes suffisamment strictes qui permettent d’avoir seulement à recompiler un programme pour passer d’une architecture à l’autre.

Depuis 1987, UNIX est même disponible sur PC, le nom de cette première version est Minix.

L’interface utilisateur d’Unix est constituée :

- D’un ensemble de programmes exécutables : les commandes

- Du shell, interpréteur de commande mais aussi, plus que dans n’importe quel autre système d’exploitation, langage de commande permettant d’écrire des programmes, scripts, d’une grande complexité. Travailler en ligne de commande, c’est utiliser la puissance du shell sur une console texte sans interface graphique.

C ) GNU : GNU's Not Unix

(http://www.gnu.org/)

Le 27 septembre 1983, le projet GNUⁱⁱ naît dans la tête de Richard Stallman :

« À dater de ce Thanksgiving, je vais écrire un système d’exploitation complet compatible Unix appelé GNU (pour Gnu N’est_pas Unix) et le donner gratuitement à toute personne qui peut l’utiliser. Des contributions en temps, argent, programmes sont grandement nécessaires ».

« Pourquoi Je Dois Écrire GNU

Je considère que la règle d’or exige que si j’aime un programme je dois le partager avec les autres personnes qui l’aiment. Je ne peux pas, en bonne conscience signer un accord de non divulgation ou de licence sur un logiciel. »

GNU est à l’origine des licences GPL (General Public licence) et donc des logiciels libres. Parmi les logiciels libres, on trouve, entre autre, Linux et une grande partie des logiciels tournant sous Linux.

D ) Linux

Au cours de l’année 1991, un étudiant finlandais, Linus Torvalds, trouvant Minix trop limité, décide d’écrire un noyau Unix pour PC. Il réalise quelques modules (juste de quoi faire fonctionner un lecteur de disquettes) et poste le tout sur le site Internet de son université. Depuis Linus Torvalds est resté propriétaire du noyau et en assure la maintenance.

Son initiative allait déchaîner l’enthousiasme de milliers de programmeurs, et le nom du noyau, « Linux » devait bientôt, dans l’esprit du public, supplanter celui de GNU ou de FSF. Pourtant, en nombre d’octets, la contribution de GNU est bien plus importante que celle de Linux.

Attention, Linux est le noyau. Il ne faut pas le confondre avec les interfaces graphiques qui sont disponibles sous Linux (voir chapitre suivant).

Linux est donc un Unix parmi d’autres.

E ) Les interfaces graphiques

Une interface graphique n’est qu’une interface permettant d’accéder à des commandes qui sont souvent si puissantes, que l’on ne peut vraiment les exploiter à fond seulement en ligne de commande. Prenez l’exemple des logiciels graveurs : 4 ou 5 (et plus) interfaces et au fond, 2, 3 commandes derrière qui sont les mêmes (c’est un peu raccourci, mais c’est quand même l’idée).

Linux dispose de plusieurs interfaces graphiques (windows manager ou WM) connues comme plasma, KDE, Gnome, xfce, ICEwm… Certaines sont plus puissante (plasma) que d’autres qui demandent moins de ressource (ICEwm). Ceci permet de pouvoir installer la version souhaitée en fonction du matériel disponible et des besoins. Sur un petit ordinateur, comme un raspberry, qui peut servir de serveur (http, ftp, samba…), nous pouvons mettre les dernières versions (avec les dernières corrections des derniers bugs trouvés) du serveur avec un WM peu gourmand. On peut même se passer de WM, car la ligne de commande suffit à configurer notre ordinateur.

Lorsque qu’on travaille avec un WM, nous avons la possibilité d’ouvrir des shells ou console pour travailler en ligne de commande ou lancer des programmes graphiques. Certains programmes graphiques, comme ceux de configurations, ne sont que des interfaces (GUI : Graphical User Interface) conviviales pour faire des manipulations faisables en ligne de commande. Personnellement, je trouve la ligne de commande plus puissante, certes elle demande un investissement au départ, mais il est vite rentabilisé !

Les interfaces graphiques sont gérées par un serveur X, ⁱⁱⁱ, programme qui fournit des services graphiques. Il prend en charge la gestion des périphériques d’entrée et de sortie clavier, souris, écran). Ce serveur a d’énormes possibilités que nous ne traiterons pas ici. Par exemple, le serveur peut tourner sur un ordinateur et l’affichage se faire sur un autre.

Une petite force des interfaces graphiques, à tester avec modération (risque de saturation de RAM ou du processeur) avec le x de la fin supérieur à 0 :

startx /etc/X11/xdm/Xsession Gnome -- :X

startx /etc/X11/xdm/Xsession WindowMaker -- :X

startx /etc/X11/xdm/Xsession Enlightenment -- :X

startx /etc/X11/xdm/Xsession BlackBox -- :X

startx /etc/X11/xdm/Xsession IceWM -- :X

startx /etc/X11/xdm/Xsession Sawfish -- :X

startx /etc/X11/xdm/Xsession XFce -- :X

startx /etc/X11/xdm/Xsession KDE -- :X

Vous ouvrez ainsi un terminal, le 7+X avec l'interface choisie (F(7+X) pour y accéder).

startx /etc/X11/xdm/Xsession fluxbox -- :1 & xrandr -s 640x480 -d :1

Cette dernière ligne impose en plus la résolution.

X -query adresse-IP-de-la-machine :1

Vous êtes en Ctrl-Alt-F8 avec une session X ouverte sur un PC distant indiqué par « adresse-IP-de-la-machine ».

Remarque : il est FORT DÉCONSEILLÉ d’ouvrir une interface graphique en tant qu’administrateur. Il faut le faire en tant qu’utilisateur normal et après prendre le contrôle en tant qu’administrateur dans un shell en faisant « su » ou « su - ».

F ) Les distributions

Linux et tous les programmes qui vont avec sont avant tout livrés sous forme de source à compiler. Il est tout à fait faisable de récupérer les sources (voir de les modifier) puis de les compiler. Ceci est particulièrement fastidieux, car il y a souvent une foule de paramètres à régler (il faut connaître parfaitement son système ! ) et c’est vraiment long : plusieurs journées (semaines ?) juste pour la compilation (voir http://www.fr.linuxfromscratch.org/lfs/) . Pour éviter cela, Linux est bien plus souvent diffusé sous forme d’une distribution. Une distribution est un ensemble de programmes (noyaux, commandes, applications…) qui assure une installation d’un système complet et le maintien à jour de tous les programmes.

Voici une liste de distributions :

Mageia (https://www.mageialinux-online.org ou http://www.mageia.org/fr/): c’est la distribution française qui s’est surtout orientée grand public avec un effort sur les outils d’installation et de configuration. Mageia (anciennement Mandrake puis Mandriva) distribue gratuitement une version complète.

Redhat (http://www.fr.redhat.com/), comme Mandriva, RedHat est une entreprise.

Fedora : la redhat gratuite pour test.

Debian (http://www.fr.debian.org/) est la seule distribution relevant d'un projet GNU, elle est surtout prévu pour les serveurs ou les prof.

Ubuntu (http://www.ubuntulinux.org/), une version démocratisée de la debian.

Slackware (http://www.slackware.com/) soit disant la plus Unix des distributions.

SuSE (http://www.suse.de/fr/) est une distribution professionnelle et payante.

OpenSuse : (https://fr.opensuse.org/Bienvenue_sur_openSUSE.org), la Suse gratuite.

Gentoo (http://www.gentoo.org/) fournit un système de paquetage sources qui sont recompilés au moment de l’installation.

LFS (http://www.fr.linuxfromscratch.org/) : un système où on doit tout installer à la main à partir de la compilation du noyau.

Rescuecd (http://rescuecd.sourceforge.net) qui permet en cas de gros soucis de réparer son système (Linux ou Windows), elle est basée sur Debian. Elles n'ont pas d'interfaces graphiques, mais elle est très efficace, et en plus elle est personnalisable très facilement et avec n'importe distribution.

System rescue (http://www.sysresccd.org/index.fr.php) est une autre distribution qui permet réparer un système.

La page http://www.linux-france.org/article/choix-distri/choix-distri.html vous fait un meilleur descriptif.

Nb : les distributions lives deviennent de plus en plus fréquentes. En s’exécutant directement à partir d’un DVD ou d’une clef USB, sans avoir besoin d’être installée sur le disque dur, elles se révèlent très pratiques pour intervenir sur des PC qui ont des problèmes de disques dur afin de pouvoir espérer sauver des données avant la réinstallation d’un nouveau système.

G ) Les listes de discussions – aides en ligne

Illustration 1: Tux

Profitons en pour donner la définition de tux d’après http://www.linux-france.org/prj/jargonf/ :

TUX = Petit nom du manchot, souvent confondu avec un pingouin, qui est la mascotte de Linux. Rien à voir avec Tuxedo, même si on peut se douter que Tux est une abréviation du « smoking » que portent certains volatiles… La petite histoire dit que le nom a été choisi lors du concours « Let's Name The Penguin While Linus Is Away Contest » (« Donnons un nom au pingouin pendant que Linus a le dos tourné »).

Il existe des forums d’aide comme http://www.developpez.net/forums/viewforum.php?f=5 qui fournissent des aides complètes (avec une introduction spéciale débutant) comme : http://nepomiachty.developpez.com/config-linux/index.php .

Et surtout, on trouve énormément d’aide sur internet. Tout au long de ce document, je m’en inspire en citant mes sources.

II ) Disques et partitions et système de fichiers

Dessin 1 : plateau de disque dur

A ) Structure de disques dur

Un disque dur est composé de cylindres (pistes) et secteurs, têtes, plateaux. On parle de cylindre quand il y a plusieurs plateaux. Donc s’il y a qu’un seul plateau alors un cylindre = une piste. Voilà a quoi ressemble un disque dur une fois formaté.

B ) Disques et partitions

Un disque dur peut être divisé en plusieurs partitions,donc le diviser en plusieurs parties comme si on avait plusieurs disques dur indépendants.

Avant l'installation de tout OS, il faut préparer le disque dur, c'est à dire créer des partitions et ensuite créer un système de fichiers. En général sous windows vous avez une partition, avec un système de fichiers (fat16, fat32, NTFS, suivant les versions). Un disque bien préparé devrait posséder au moins deux partitions, une pour le système et l'autre pour les données. Pour installer Linux il faut au minimum 2 partitions, mais je conseille minimum 3. La partition de swap, la partition système, et la partition des données.

La partition swap, sert de mémoire virtuelle, la mémoire virtuelle permet d’augmenter la mémoire, mais elle est très lente, car elle est sur le disque et que le disque a des temps d'accès plus lent

La partition système s’appelle « / » et elle peut être divisée en plusieurs partitions.

La partition contenant les données s’appelle « /home », et elle contient les données de tous les utilisateurs.

Il existe plusieurs types de disques dur, il y a le type IDE et le type SCSI ou SATA, je détaille ces types car Linux les nomment différemment. Avec le noyau 2.4, le nom du périphérique contient 3 lettres + un nombre. Les 2 premières lettres nous donnent le type périphérique, la deuxième le n° du disque dur, et le chiffre le n° de partition.

/dev/fd0 représente le premier (0) lecteur de disquette (fd)

/dev/hda1 représente la première (1) partition du premier (a) disque dur IDE (hd)

/dev/sdb3 représente la troisième (3) partition du deuxième (b) disque dur SCSI (sd)

Avec l’apparition du noyau 2.6, le grand ménage du répertoire /dev a fait changer ses noms en créant des sous-répertoires :

/dev/floppy/0 pour le premier lecteur de disquette (le second sera /dev/floppy/1

/dev/ pour les disques durs

C ) Système de fichiers

Après avoir partitionné le disque il faut formater la partition, le formatage crée le système de fichiers qui va recevoir les données et le système d’exploitation. Linux reconnaît beaucoup de système de fichiers. Celui utilisé par Linux est ext2, ext3 ou ext4 pour le standard, le premier est non journalisé tandis que le deuxième est journalisé. Mais il en existe d’autres que l’on peut utiliser comme reiserfs ou xfs. Les nouvelles distributions utilisent un système de fichiers journalisé, qui a l’avantage de pouvoir de se réparer plus facilement.

D ) L’arborescence Linux

Le répertoire racine est « / », il est créé par défaut, il contient tous les autres sous-répertoires. Chaque répertoire a une signification bien précise, au moins pour les répertoires système. Donc c'est un système bien organisé comme vous allez le voir.

/usr : Ce répertoire contient toutes les ressources du système, son nom signifie « Unix System Ressources ».

/usr/bin : Contient les utilitaires installés sur le système

/usr/lib : Contient les bibliothèques associées aux exécutables de /usr/bin.

/usr/include : Contient les fichiers d’entête, qui sont présents que si on installe les versions de développement. Ne sert que si on veut installer les versions sources des programmes.

/usr/X11 : Concerne tous ce qui concerne Xfree86 ou xorg (l’interface graphique).

/usr/share : Contient les ressources partagées par tous les logiciels présents dans /usr/bin

/usr/local : Il reproduit l’arborescence de /usr, et il contient les programmes installés à partir de sources.

/usr/src : contient les sources des programmes.

/boot : Il contient le noyau et tous ce qui permet à Linux de booter, Il est préférable de mettre cette partition sur les 1024 premiers cylindres, surtout pour les anciennes distributions, car sinon le bootloader ne pourra pas trouver ces fichiers. Il contient aussi le fichier de configuration de grub ou lilo (gestion de démarrage multiboot)

/boot/grub : fichiers de configurations de grub (concurent de lilo)

/root : C’est le répertoire du super utilisateur.

/lib : Contient les librairies et les modules du noyau.

/etc : Contient les fichiers de configuration.

/home : Contient les données des utilisateurs. Chaque utilisateur a son propre répertoire.

/var : Il contient les courriers (si vous avez un serveur de mail), les files d’impressions et les journaux (logs), ces derniers se trouvent dans /var/logs. Par exemple si quelque chose ne va pas, on pourra trouver la raison dans ces fichiers. L’origine de var est variable.

/dev : Contient tous les fichiers gérant les périphériques, son contenu est surtout généré lors du boot.

/proc : Contient l'état du système, à la différence des autres répertoires, « /proc » est stocké en memoire et non sur le disque dur.

/mnt : Sert à monter par exemple des disques amovibles ou disques réseaux... mnt vient de mount.

/media : Remplace parfois /mnt pour monter des « médias » comme les lecteurs de CDROM, DVD ,disquettes, clef USB...

/tmp : C'est un répertoire temporaire.

/opt : Sert à mettre des exécutables en phase de test.

E ) Remarques

1) Il existe un visualiseur graphique pour analyser l'encombrement des différents répertoires de votre arborescence : filelight. Vous pouvez l'installer avec « urpmi filelight » ou « apt-get install filelight » pour Mageia ou Debian.

2) Il faut savoir que sur Linux tout est fichiers. Pour vous convaincre : « less /home » par exemple.

3) Il arrive (surtout quand, comme moi, on fait sans arrêt des tests sur tout et n’importe quoi) qu’on pense avoir tué la table des partitions. Pour ceci il existe plusieurs programmes qui peuvent vous sauver la vie :

- sfdisk : donne des informations ce qu'il croit être avec « sfdisk -l /dev/sda »

- gpart : un peu plus bavard avec « gpart -l /dev/sda »

- estdisk : pour réparer un boot perdu, monter une partition, copier les fichiers même sans boot (il m'a déjà sauvé)

- photorec : pour récupérer des fichiers sur une partition endommagée et même reformatée.

III ) Fichiers, Répertoires et Liens

Avant de rentrer dans le système, il faut savoir comment sont rangées les informations.

A ) Répertoires/Fichiers

Les données sont stockées de manière hiérarchisée arborescente sur les disquettes, disques durs, CD-ROM… Les informations sont dans des cases nommées répertoires, dans ces répertoires on trouve soit des fichiers (qui contiennent les données) soit d’autres répertoires. L’ensemble des répertoires forment l'arborescence de votre système de données.

Sur Unix (Linux donc aussi), la répartition physique des données n’est pas visible de l’utilisateur final si l’administrateur fait bien son travail. On ne parle pas de disque C, du D…(comme dans DOS/Windows) tout est comme si on a un seul disque, même pour les données partagées qui viennent d’un autre ordinateur (voir IX) B) 1) /etc/fstab). Ceci permet à l’utilisateur final de passer d’un ordinateur à l’autre sur un réseau ou de changer de PC sans changer d’environnement, les données de travail étant toujours stockées dans le même répertoire au même endroit dans l’arborescence. Dire que la structure matérielle est complètement transparente, c’est un peu exagéré, car il faut bien savoir où est le CD, la clef USB ou les autres périphériques amovibles ! Régulièrement, c’est dans le répertoire /mnt ou /media. C’est aussi dans ce répertoire que Linux installe (monte) automatiquement les partitions autres comme les partitions windows. Mais Linux étant entièrement libre, on peut faire ce qu’on veut. Ceci peut être modifié lors de l’installation avec le fichier /etc/fstab. La commande « lf » permet de savoir où sont montés les différents médias présents.

B ) Les liens

1)présentation

Ceci n’est pas toujours évident, vous aurez par la suite une série d’essais pour mieux comprendre ( voir III) C) 1) f) liens )!

On peut, au lieu de dupliquer un fichier, mettre un lien vers ce fichier. Si on modifie le fichier à partir du lien, on modifie le fichier, en revanche, si on l’efface une fois il reste pour l’autre, mais ATTENTION si le lien créé est symbolique. On peut aussi mettre un même fichier dans plusieurs répertoires afin que différentes personnes puissent y accéder avec différents droits.

La différence entre un lien physique et symbolique se voit bien quand on efface le fichier original (voir plus loin).

Un lien symbolique peut permettre par exemple d’avoir un lien vers une application qui pourra être changée lors d’une mise à jour et notre lien lui, inchangé, indiquera la nouvelle version.

Un lien physique sur un fichier ne peut se faire que si le fichier est sur le même système de fichiers (même partition). Il peut être une protection en cas d’effacement intempestif car pour effacer réellement un fichier, il faut effacer tous les liens physiques qui pointent vers lui.

On peut aussi mettre un lien symbolique vers un répertoire pour faciliter la navigation dans l’arborescence.

En fait tout est lien sous Linux. Dans un répertoire, on a des liens vers d’autres répertoires, d’autres fichiers : une information pour savoir où ils sont stockés.

2)Les droits

L’important pour pouvoir supprimer le lien symbolique est le propriétaire et le groupe du lien. « chown -h » permet de changer les droits du lien symbolique et non de l’objet pointé. Un « chmod » change les droits du fichier cible.

Il faut savoir que changer les droits d’un lien symbolique ne sert à rien, et ce pour la simple raison qu’ils ne sont jamais pris en compte.

La création/suppression d’un fichier dans un répertoire, dépend uniquement des droits de l’utilisateur dans ce répertoire.

Concernant la lecture/écriture du fichier en question, seul compte les droits du fichier pointé.

Un cas particulier tout de même : lorsque que le sticky bit est activé sur le répertoire qui contient le lien, le propriétaire du lien est pris en compte. Mais c’est à ma connaissance le seul cas.

C ) Premiers outils pour manipuler les fichiers

1)Ligne de commande

Pour ceux qui ont connu le DOS, c’est fort semblable. La ligne de commande est très puissante, très rapide et importante à connaître car parfois, à distance par exemple, c’est la seule méthode disponible. Cette méthode semble certes fastidieuse, mais elle se révèle rapidement bien plus efficace et plus précise que les méthodes graphiques.

Dès que vous vous posez une question quant à une commande ayez le bon réflexe : « man la_commande », il y a aussi la possibilité de faire « la_commande --help » mais l’explication est plus restreinte. Pour plus d’explications sur la commande man, faîtes « man man » :-).

a) Affichage du contenu d’un répertoire

Illustration 2: Arborescence visualisée avec une interface graphique (Konqueror sous KDE)

« ls » ne donne que la liste des fichiers, répertoires, liens et autres contenu dans le répertoire. Souvent, il doté d’un affichage coloré pour informer sur la nature du fichier/répertoire, bleu foncé pour un répertoire, bleu clair pour un lien, blanc pour un fichier quelconque et vert pour un exécutable… Même sans couleurs, ces informations sont visibles : un / à la fin du nom pour un répertoire, un @ pour un lien et un * pour un exécutable.

« ll » lui affiche dans l’ordre, les permissions (ou droits : voir plus loin IV) B) Système de droits), le nombre de liens physiques, le propriétaire du fichier et le groupe propriétaire, la taille en octets, l’horodatage ( par défaut l’horodatage présenté est celui de la dernière modification du fichier), et finalement le nom du répertoire/fichier/…

« la » affiche tous les fichiers des répertoires, y compris les fichiers commençant par un « . ».

Une autre information importante est de savoir où on est sur l’arborescence. Cette information est donnée par la commande « pwd ». Vous remarquerez que l’arborescence est indiquée de la manière suivante : /premier_répertoire/second/... . Le séparateur entre répertoire est le séparateur Unix « / » (normal, LINUX est un UNIX), pas le séparateur microsoft « \ ».

« ls -ltr » affiche comme un « ll » avec l’option « l », mais avec un tri par date grâce à l’option « t » dans l’ordre inverse avec l’option « r ». Ceci permet d’avoir à la fin les derniers éléments modifiés, c’est intéressant si la liste est trop longue pour s’afficher entièrement.

b) bouger dans l’arborescence

La commande de base est « cd » (Change working Directory).

Pour aller à la racine on fait « cd / ». Une fois sur la racine pour aller au répertoire home on fait « cd home ». Ensuite, pour aller dans le répertoire home/root (répertoire de départ de la flèche verte du l'illustration 1), on fait « cd root ». À partir de la racine, on aurait pu faire « cd home/root », en revanche si on est n’importe où, le plus simple est de faire « cd /home/root » : un déplacement absolu.

Pour faire le parcours de la flèche verte de l’illusatration précédente sans passer par la racine, on fait : « cd ../mclaires/projets », c’est un déplacement en mode relatif. On aurait pu faire ce déplacement en se référant à la racine « cd /home/mclaires/projets », cette fois, on a fait un déplacement en mode absolu : on se réfère à la racine.

La touche tabulation étant très utile : elle fait la complétion. Nous allons la tester de suite : taper « cd /ho » + tabulation vous aurez alors « cd /home/ » qui va s’afficher. En effet, elle complète l’affichage jusqu’où elle peut. Si au bout d’un certain avancement il y a plusieurs choix, elle affiche les choix possibles (ou demande s’il est utile de les afficher s’il y en a trop !).

Remarque 1 : un « cd » seul renvoie l’utilisateur sur son répertoire personnel et « cd ~/un_chemin » donne un chemin absolu à partir du répertoire personnel de l’utilisateur.

Remarque 2 : le répertoire personnel de root (administrateur système) est /root régulièrement dans la partition racine. Je copie donc des données importantes de root dans un répertoire que j’attribue à root dans la partition /home afin de sauvegarder des données importantes de root en cas de formatage de la racine si on veut changer de version de Linux. Le passage d’une version à la suivante d’une même distribution se fait sans reformatage, mais si on fait un changement de distribution, rien n’est assuré !

c) Créer et effacer des répertoires

La commande pour créer un répertoire est « mkdir » pour MaKe DIRectory (un raccourci -alias- existe souvent : md). Pour créer un répertoire bidon dans /home, on peut faire « md /home/bidon » (on peut le faire aussi bien en relatif qu’en absolu). « md bidon » créera un répertoire bidon à l’endroit où nous sommes en ce moment, cette commande fera ce qu’on souhaite si on était dans /home.

Maintenant, on veut créer un répertoire vide dans le répertoire bidon, on peut faire « md /home/bidon/vide ». Cette commande tapée sans avoir auparavant créé le répertoire /home/bidon aurait donné une erreur : « mkdir: Ne peut créer le répertoire `/home/bidon/vide': No such file or directory ».

La commande pour effacer un répertoire est « rmdir » pour ReMove DRIectory (un alias existe souvent : rd). Maintenant, on veut effacer le répertoire /home/bidon et ce qu’il contient. Pour pouvoir effacer avec « rd » un répertoire, il faut qu’il soit vide, c’est-à-dire que si on fait « rd /home/bidon », on obtient le message suivant : « rmdir: `/home/bidon': Directory not empty ». Il nous faudra donc faire avant « rd /home/bidon/vide ». Il y a une méthode risquée pour éviter ça qu’on verra plus tard.

Encore la touche tabulation : taper « rmd » + tabulation. Vous allez avoir « rmdir » qui s’affiche car c’est la seule commande qui commence par rmd.

d) copier et bouger les fichiers

Pour copier (dupliquer) un fichier la commande de base est « cp » pour CoPy. cp fichier_origine fichier_arrivée.

Revenons dans le répertoire /home/root. Si nous voulons copier le fichier bashrc dans le fichier .bashrc (caché, car il a un point devant) on fait « cp bashrc .bashrc ». Si on avait voulu copier directement ce fichier dans le répertoire /home/mclaires, on aurait pu faire directement « cp bashrc ../mclaires/.bashrc » en relatif ou « cp bashrc /home/mclaires/.bashrc » en absolu. On peut faire la même chose sans mettre de nom, mais juste un chemin vers un autre répertoire. Ceci duplique le fichier dans le répertoire cible sans changer le nom : « cp bashrc ../bs » copie le fichier dans le répertoire /home/bs sans changer son nom.

Cette fois, allons dans le répertoire /home/mclaires/projets « cd ../mclaires/projets ». D’ici rapatrions le fichier XF86Config-4.s_travail qui se trouve dans le répertoire /home/root. Nous pouvons faire soit « cp ../../root/XF86Config-4.s_travail . » ou « cp /home/root/XF86Config-4.s_travail . » Vous avez remarqué, j’espère la présence du « . » à la fin des commandes, celui-ci indique le répertoire courant.

Unix dispose d’une commande équivalente pour déplacer un fichier (MoVe), c'est « mv ». Elle marche comme cp, mais l'original sera effacé et il n’existera plus que la copie. Cette fois, on peut aussi bouger une arborescence complète : « mv /home/bs1 /home/root » créera le répertoire bs1 dans /home/root et y mettra toutes les données du répertoire /home/bs1 si le répertoire /home/root existe, sinon cette commande renomme le répertoire bs1 en root.

Je peux profiter de ces commandes pour vous parler de caractères jokers :

« * » : Caractère générique qui est équivalent à n’importe quelle chaîne de caractères (y compris les points (" . ") et aucun caractère.

« ? » lui est équivalent à n’importe quel caractère (unique)

« [ ] » signifie n’importe quel caractère compris entre les crochets ( [aeiouy] sera valable pour tout mot comportant au moins une voyelle)

Par exemple, « cp * destination » copie tous les fichiers vers la destination et « cp deb* destination » copie tous les fichiers qui commence par deb vers le répertoire destination. Une astuce : pour vérifier ce qui sera copié, vous auriez pu taper tabulation avant de taper le « * », ceci vous affichera tous les fichiers qui seront bougés. « * » est compris par presque toutes les commandes.

e) éditer, modifier et effacer les fichiers

i) Effacer

Pour effacer un fichier, la commande est « rm ». On efface un fichier avec « rm nom_du_fichier ». Cette commande est souvent modifiée par un alias qui oblige la demande de confirmation pour chaque effacement (alias rm='rm -i'). Pour éviter cela, on peut utiliser « rm -f », mais c'est dangereux.

Encore plus dangereux, il y a « rm -f -r * » qui efface tout à partir de l'emplacement actuel en parcourant les sous-répertoires. Ceci aurait pu nous être utile pour effacer le répertoire bidon quand il avait encore le répertoire vide : « rm -r -f /home/bidon ». Ceci est d’autant plus dangereux que si on fait « rm -f -r * » sur la racine avec les droits administrateur, on efface toutes les données! Peut-être pas celle qui sont sur d'autres ordinateurs suivant comment ont été définis les partages car l'administrateur de notre ordinateur n'est pas administrateur sur les autres ordinateurs a priori !

ii) Lire

Revenons dans notre répertoire /home/root. Si nous voulons visualiser le fichier bashrc, nous pouvons faire « cat bashrc ». Mais si ce fichier est trop long, il est utile d'utiliser la commande « less bashrc » ou « more bashrc ». Dans ce dernier cas, on parcourt le fichier avec les touches flèche vers le haut/vers le bas (comme les touches j et k) et/ou page suivante/page précédente. On dispose de la touche h pour faire afficher une aide et on sort avec la touche q.

iii) Modifier

Parfois il est aussi utile de modifier en ligne de commande un fichier. Les deux éditeurs principaux en ligne de commande sont « vi » et « emacs ». Les férus d’Unix qui ont appris à utiliser ces éditeurs avant l’existence des modes graphiques vous diront qu’ils sont plus puissants que n’importe quel éditeur graphique. Je pense qu’ils ont raison, mais je ne les maîtrise pas assez pour en profiter ! Je vous indiquerais donc les commandes utiles de vi (le seul que je suis arrivé à utiliser). En mode graphique, vous avez par exemple kwrite.

Nous allons donc chercher à modifier le fichier bashrc : « vi bashrc ». Pour se déplacer dans le fichier, vous avez soit les touches h,j,k et l (très utile avant l'apparition des claviers avec pavé numérique : les flèches et les chiffres), soit les flèches. Pour avoir une aide tapez « :h » pour en sortir « :q ». Pour insérer du texte, allez où vous voulez insérer le texte, puis, tapez « i » (ou « a » pour aller après), après tapez « échappe » (touche escape, ESC ou Echap en haut à gauche). Pour effacer le texte, en mode insertion avec les nouvelles versions, vous pouvez utiliser les touches supprime et backup de votre clavier. En revanche si vous n’êtes pas en mode insertion, vous pouvez commencer à goutter la force de vi : « 10 x » effacera 10 caractères à partir du curseur et s'arrêtera à la fin de la ligne. « 5 dd » effacera 5 lignes. « x » seul effacera une lettre et « dd » une ligne. « u » (undo) annulera les précédentes commandes. Pour sauver taper « :w ». vi refusera de se fermer avec « :q » si les dernières modifications n’ont pas été sauvées : « :q! » pour sortir sans sauver et « :wq » pour sauvegarder et quitter. Ceci est une « sous-utilisation » de vi, mais suffisante pour de petites utilisations.

Parfois, on n’a qu’un vi minimaliste installé, Il faut alors installer « vim » qui intègre par exemple la coloration syntaxique. Ceci se fait simplement sous Mageia avec « urpmi vim ».

f) faire des liens

Les liens se font avec la commande « ln ».

Allons encore une fois sur notre répertoire /home/root et créons un répertoire liens.

Nous allons pouvoir tester les différents liens avec les trois fichiers dont nous disposons dans ce répertoire : bashrc, .bashrc et XF86Config-4.s_travail.

Commençons par créer un lien matériel : « ln .bashrc surprise ». Si on regarde le répertoire, « ll », on voit nos 4 fichiers sans distinction entre les 4, si ce n’est que le chiffre de la seconde colonne est 2 pour .bashrc surprise, alors que pour les autres il n’est que de 1 : le nombre de liens physiques. Modifions avec vi le fichier surprise. On rajoute une première ligne par exemple. Regardons ensuite le fichier .bashrc « less .bashrc » : nous y voyons notre modification. Ensuite, on efface .bashrc « rm .bashrc » et on regarde le contenu du répertoire « ls ». Nous avons quatre fichiers bashrc, surprise, surprise~ et XF86Config-4.s_travail. surprise~ est la sauvegarde faîte par vi de notre fichier avant la dernière sauvegarde, on l’efface « rm surprise~ » Il est possible de vérifier notre fichier surprise. Pour finir avec les liens physiques, essayons à partir du répertoire /home/root de faire un lien physique vers un fichier se trouvant à /root. « ln /root/.bashrc baba » et le système répond : « ln: création d'un lien direct `baba' vers `/root/.bashrc': Invalid cross-device link ». Ceci est normal car /root est dans une autre partition !

Continuons par un lien physique « ln -s surprise .bashrc » et regardons le contenu de notre répertoire « ls ». Nous voyons que .bashrc s'affiche différemment : il a au moins un @ dernière le nom. Si on modifie .bashrc avec vi la modification apparaît aussi sur le fichier surprise. Maintenant on efface surprise et on liste le répertoire « ll ». L'affichage de .bashrc a changé : maintenant il clignote car il est relié à un fichier inexistant! Essayons de résoudre le problème en faisant « cp bashrc surprise » et « ll » : tout est revenu dans l'ordre. Pour aller plus loin vous pouvez tester un lien (les 2 sortes) sur un lien symbolique et comprendre ce qui se passe.

Il est même possible de créer un lien vers un répertoire, mais uniquement un lien symbolique.

g) Conclusion

Je conclurai que ces commandes sont très pratiques et rapide. La ligne de commande est un peu austère mais très rapide. Un expert de script bash m’a dit que tout était dans « man bash »...

Je conseillerais aussi d’éviter les noms avec des espaces très facilement faisables en mode graphique car en ligne de commande l'espace devient '\' + espace. Au lieu de mettre un espace dans un nom essayer de mettre un « _ » (souligné).

Un autre intérêt de la ligne de commande est l’intervention à distance sur des systèmes lointains. Quand on prend la main en passant par internet sur un PC, parfois les applications graphiques passent mal à cause du débit, ou parce que le système à partir duquel on prend ma main ne gère pas les applications graphiques linux distantes, par exemple si vous êtes sur un poste sous windows où sur un téléphone portable avec android.

2)Les scripts

http://abs.traduc.org/index.html

a) Votre premier script

Voici un exemple très simple de script bash à placer dans un fichier :

#!/bin/bash

echo -n "password: "

read pass

echo "Votre pass est $pass"

La première ligne #!/bin/bash sert à indiquer le type de shell à utiliser avec le script.

La deuxième ligne echo -n "password: " sert à afficher à l’écran le texte entre guillemet. L’option -n évite un retour à la ligne automatique.

La troisième ligne read pass va lire ce que l’utilisateur tape au clavier et le sauver dans la variable $pass. Du fait de l’option -n, ce que tape l’utilisateur apparaîtra à la suite du mot password.

La dernière ligne affiche à l’écran la phrase « Votre pass est » ainsi que le contenu de la variable $pass.

Une fois ces lignes sauvegardées dans un fichier monscript.sh par exemple, vous pouvez le rendre exécutable en tapant: chmod a+x monscript.sh puis en tapant uniquement le nom de votre fichier dans le shell précédé de ./: ./monscript.sh . On pourrait exécuter ce script sans la rendre exécutable en faisant : « bash monscript.sh »

Le ./ permet d’indiquer que le fichier monscript.sh se trouve dans le répertoire courant.

Voir man chmod et man chown pour apprendre plus de ces deux fonctions très utiles.

Il est également possible de taper ce script en ligne de commande en séparant chaque fonction par un point virgule :

echo -n "password: " ; read pass ; echo "Votre pass est $pass"

b) Les calculs

Il est possible d'utiliser le bash comme une calculatrice. En ligne de commande, voilà ce que cela donne:

echo $[ 4 * 2 ]

8

echo $[ 10 + 5 ]

15

ou parfois

echo $(( 10 + 5 ))

15

c) les tests et comparaisons

Voici un exemple de comparaison utilisant les tests conditionnels « if »

#!/bin/bash

echo -n "entrez un nom: "

read var1

echo -n "entrez un autre nom: "

read var2

if [ "$var1" = "$var2" ]; then

echo "Les noms sont les mêmes"

else

echo "Les noms sont différents"

fi

exit 0

"fi" est la fermeture de if, tout comme "}" est la fermeture de "{", exit 0 termine le script proprement et vous ramène au prompt.

À la place de '=' vous pouvez utiliser '-eq' pour tester si deux expressions sont équivalentes, ou '-eg' pour vérifier si deux entiers sont égaux.

À noter qu’une variable '$var' peut être écrite ${var}.

if test -f $1

then

file $1

else

echo "Le fichier \"$1\" n'existe pas"

fi

Dans le script suivant, $1 renvoie le premier argument entré après le programme ou la fonction à l'exécution. -f renvoie vrai si le fichier (stocké dans $1) existe.

Voici quelques fonctions de test utiles :

Expression Signification

-r fichier vrai si le fichier existe et est accessible en lecture (r)

-w fichier vrai si le fichier existe et est accessible en écriture (w)

-x fichier vrai si le fichier existe et est exécutable (x)

-f fichier vrai si le fichier existe et est un fichier "régulier" (file)

-d fichier vrai si le "fichier" existe et est un répertoire (directory)

-s fichier vrai si le fichier existe et a une taille non nulle (size)

c1 = c2 vrai si les deux expressions sont égales (des chaînes, en sh)

c1 != c2 vrai si les deux expressions sont différentes (des chaînes, en sh)

c1 vrai si c1 n’est pas la chaîne nulle (vide)

e1 -eq e2 vrai si les deux entiers e1 et e2 sont algébriquement égaux (equal)

e1 -ne e2 vrai si les deux entiers e1 et e2 sont algébriquement différents (not equal)

e1 -gt e2 vrai si l'entier e1 est plus grand que l'entier e2 (greater than)

e1 -lt e2 vrai si l'entier e1 est plus petit que e2 (lower than)

! expr négation de l’expression booléenne expr

expr1 -a expr2 et logique entre les deux expressions booléennes expr1 et expr2 (and)

expr1 -o expr2 ou logique entre les deux expressions booléennes expr1 et expr2 (or)

Séparateurs/contrôles en shell:

|	pipe prendra la première commande en argument de la seconde.
||	OR si la première commande est fausse, il prendra la seconde.
|=	OR IS (surtout utilisée dans les tests conditionnels "if").
&&	AND si la première commande est vraie, il exécutera la seconde.
!	NOT (surtout utilisée dans les tests et tests conditionnels "if"), mais utilisé en commande shell, il ouvre un shell pour lancer une commande (ex. `! echo foo`).
!=	NOT IS (surtout utilisée pour les tests conditionnels).
!$	dernières commandes, dernier argument.
!!	répète la dernière commande.
=	IS (surtout utilisé pour les tests conditionnels).
;	séparera 2 commandes comme si elles étaient écrites sur 2 lignes.
;;	fin d’une fonction `case` (voir `case` plus loin).
$	préfixe d’une variable comme "$myvar".
$!	PID du dernier processus enfant.
$$	PID du process courant (PID == Process ID).
$0	Montre les programmes possesseurs du processus courant.
$1	Premier argument entré après le programme ou la fonction à l'exécution.
$2	Second argument entré après le programme ou la fonction ($3 etc.).
$#	Affiche le nombre d'arguments.
$?	N'importe quel argument (bon à utiliser dans les tests conditionnels).
$-	flags de l’option courante (Je n’ai jamais eu à m’en servir).
$_	Dernier(ère) argument (commande).
$*	Tous les arguments.
$@	Tous les arguments.
#	ligne de commentaire, tout ce qui suit sur la ligne n’est pas interprété.
{	accolade ouvrante (début de fonction).
}	accolade fermante (fin de fonction).
[	crochet ouvrant (pour des arguments multiples).
]	crochet fermant (pour des arguments multiples).
@	$@ est équivalent à "$1" "$2" etc. (tous les arguments).
*	wildcard (* remplace un nombre indéterminé de caractères).
?	wildcard (? remplace un unique caractère).
"	quote
'	quote précis (inclura même des " dans le quote).
`	quote de commande (variable=`ls -la`  affichera le contenu du répertoire en utilisant $variable).
.	le point lira et exécutera des commandes à partir de fichiers (. .bashrc).
&	and. utilisé en suffixe, il exécute une tâche en background (./program &).
0<	stdin stream director (Je ne l’ai vu dans aucun script).
1>	stdout stream director (standard output)
2>	stderr stream director (standard error output)
%	caractère des tâches, %1 = fg job 1, %2 = fg job 2, etc.
>>	stream director (inclusion dans un fichier).
<<	stdin stream director. (cat > file << EOF ; anything ; EOF)
>	stream director qui commencera au tout début du fichier (dans les tests conditionnels "if" < et > seront utilisés en comparateurs mathématiques par exemple: if [ "$1" >= "2" ])
\	back-slash, retire le méta-caractère de n'importe quelle chaîne. Ainsi, \$var ne sera pas traité comme une variable. (et une nouvelle ligne ne sera pas traitée comme une nouvelle ligne) De plus, un \ avant une commande, retire tous les aliases appliqués à cette commande: \rm

>& stream director to stream director, ie. echo "a" 1>/dev/null 2>&1 dirigera 2> au même endroit que 1>

d) fonction case

case, tout comme if, se termine par la commande inversée esac.

#!/bin/bash

case "$1" in

--help)

echo "Aide..."

;;

--version)

echo "Version 1.0"

;;

esac

Dans cet exemple, si l’argument $1 est '--help', « Aide… » est affiché, si $1 est égale à '--version' etc.

Chaque condition se termine par ;;

e) fonction sed

sed est utilisé pour formater/modifier du texte.

Par exemple, si vous possédez un fichier tmp contenant des urls et que vous désiriez changer tous les www par ftp, tapez :

sed 's/www/ftp/g' tmp

et sed 's/www/ftp/g' tmp > tmp2 si vous désirez enregistrer les modifications dans un fichier tmp2.

sed -n 3 p tmp2 permet d’afficher la 3ème ligne du fichier tmp2.

f) La fonction more

La fonction more (comme la fonction less) peut être utilisée pour lire des fichiers

more -8 fichier1

affiche le contenu du fichier fichier1 8 lignes par 8 lignes (barre d’espace pour les 8 suivantes, return pour une ligne suivante, q pour quitter).

g) systemd

Ce système au cours du début des années 2010 remplace petit à petit 'system V init'. Il gère les démons et permet surtout de passer d’un démarrage séquentiel des démons à un démarrage parallèle : on indique à un démon quels démons doivent être actifs pour qu’il puisse lui aussi se lancer.

Source : http://lea-linux.org/documentations/Systemd ou https://doc.ubuntu-fr.org/systemd

i) Gérer les services

Pour lancer/arrêter/vérifier un démon on fait : systemctl (re)start/stop/status nom_du_demon . Si on a la complétion installée (urpmi bash-completion sous mageia), on peut compléter avec la touche tabulation aussi bien (re)start/stop/status que le nom du démon.

Pour avoir la liste des dépendances d’un démon, sshd par exemple, on peut lancer : systemctl list-dependencies sshd. Si l’auto-complétion est installée systemctl + tabulation et on a tout ce qui est possible.

Les actions les plus courantes sont :

• start : démarrer le service

• stop : arrêter le service

• restart : relancer le service

• reload : recharger le service

• status : connaître l’état du service

Quelle que soit l’action menée sur un service, au prochain démarrage de la machine celui-ci devrait retrouver le status qui lui a été défini par défaut.

Pour obtenir la liste triée des services accompagnés de leur état, saisissez dans un terminal :

systemctl list-unit-files | grep service | sort 

Vous pouvez également obtenir la liste des services lancés au démarrage, triés selon leur temps d’exécution :

systemd-analyze blame

Cela peut être pratique pour trouver le service qui ralentit votre démarrage.

Pour désactiver un service, il faut taper :

systemctl disable <Nom_du_service>.service

Ainsi, au prochain redémarrage du système, le service correspondant ne sera plus lancé.

Pour activer un service (c’est-à-dire le lancer à chaque démarrage de l’ordinateur) ou relire son fichier de configuration, il faut taper :

systemctl enable <Nom_du_service>.service

Néanmoins si vous souhaitez modifier l’état d’un service selon certaines conditions, vous devrez modifier ou créer /etc/systemd/system/<nom_du_service>.service. Les fichiers de configuration par défaut se trouvent dans /lib/systemd/system/

ii) Un nouveau service

Il faut mettre un fichier /etc/systemd/system/firewall.service du type :

[Unit]

Description=Gestion des règles Iptables et du service de passerelle

After=network.target auditd.service sshd.service

[Service]

Type=simple

User=root

Group=root

UMask=007

ExecStart=/etc/init.d/firewall start

[Install]

WantedBy=multi-user.target

#Alias=firewall.service

Et indiquer au début du fichier /etc/init.d/firewall quand il doit faire quoi :

#!/bin/sh

### BEGIN INIT INFO

# Provides: scriptname

# Required-Start: $remote_fs $syslog

# Required-Stop: $remote_fs $syslog

# Default-Start: 2 3 4 5

# Default-Stop: 0 1 6

# Short-Description: Start daemon at boot time

# Description: Enable service provided by daemon.

### END INIT INFO

# ATTENTION la ligne du dessus

# n'est pas un commentaire

Et finalement activer le service :

systemctl enable firewall.service

h) Les Init et system scripts

Le 'system V init', qui était l’init le plus utilisé pour Linux dans les années 2000. Les startup scripts permettent de lancer/stopper les services tels que serveur http, ftp, base de données postgresql etc. et ils sont écrits en bash ! Ils sont stockés dans :

/etc/rc.d/rc0.d/

/etc/rc.d/rc1.d/

/etc/rc.d/rc2.d/

/etc/rc.d/rc3.d/

/etc/rc.d/rc4.d/

/etc/rc.d/rc5.d/

/etc/rc.d/rc6.d/

/etc/rc.d/init.d/

Régulièrement dans les 7 premiers répertoires, nous avons des liens symboliques vers les scripts qui sont dans le dernier. Le rôle des 7 premiers répertoires est indiqué dans /etc/inittab.

Voici un script permettant de démarrer un démon nommé daemon :

#!/bin/sh

# example Exemple de script qui lancerait 'daemon'

#

# Version: @(#) /etc/rc.d/inet.d/example 0.01 19-Feb-2001

#

# Author: Billy (Alien), <alien@ktv.koping.se>

#

. /etc/rc.d/init.d/functions

function status() {

ps aux | grep daemon &&

echo "Daemon is running." ||

echo "Daemon is not running."

}

case "$1" in

start)

# Vérifie si daemon est dans notre path.

if `which daemon` > /dev/null; then success || failure; fi

echo -n "Starting Daemon"

daemon

echo

;;

stop)

# Vérifie encore si daemon est dans notre path.

if `which daemon` > /dev/null; then success || failure; fi

echo "Stopping Daemon"

killall -15 daemon

;;

status)

echo "Status of Daemon:"

status

;;

reload)

echo "Restarting Daemon."

killall -1 daemon

;;

restart)

if `which echo` > /dev/null; then success || failure; fi

$0 stop

$0 start

;;

*)

echo "Usage: $0 start|stop|restart|status"

exit 0

esac

alors à vous de lire les scripts de votre système et d’essayer de les comprendre ;-)

3)Interface graphique

Ceci est dépendant de l’environnement graphique choisi (WM). Pour trouver votre bonheur, parcourez les menus ! Souvent il existe un raccourci du nom de « Dossier personnel », il vous ouvrira un gestionnaire de fichiers « drag and drop ». En cliquant sur un fichier ou un répertoire, l’action automatiquement configurée se passe. Pour faire plus de chose, essayez de cliquer avec le bouton droit et de parcourir les menus... Tout doit être faisable, mais pas aussi facilement. Certes les manipulations courantes comme copier-coller sont très simplifiées.

D ) Résumé des commandes du shell (BASH)

http://www.lea-linux.org/admin/shell.php3

voici les commandes de base sous Linux :

Remarque :
Pour en savoir plus sur toutes ces commandes, je vous conseille de consulter leur page de man !

Voir aussi :

http://abs.traduc.org/index.html

http://www.shelldorado.com/

IV ) Installation de Mageia

A ) Présentation

Il existe plusieurs manières d’installer la distribution Mageia ( https://www.mageialinux-online.org/wiki/installer-mageia ). La plus courante est l'installation à partir des DVD de base dont on peut copier l’iso sur une clef USB ( https://www.mageialinux-online.org/wiki/creation-facile-d-une-cle-usb-bootable )si on ne souhaite/peut pas utiliser un DVD. Avec l’installation simple, on a le système d’exploitation avec plusieurs WM disponibles (windows n’apporte qu’un choix), la suite libreoffice (le DVD de MS Office), des logiciels de dessins, des logiciels de gravures, des jeux…

B ) Cahier des charges de l'installation

Pour le partitionnement, il faut obligatoirement avoir une partition / (racine du système), une partition swap (que le système utilise pour stocker des données utiles qui encombrent la RAM). Il est conseillé d’avoir la partition /home où sont stockées les données personnelles (les répertoires personnels) des utilisateurs, (que rien n’empêche de nommer /maison !) afin qu’elles échappent à d’éventuels reformatage du système (répertoire /). Vous allez laisser intactes les éventuelles partitions windows (ou autres ?) déjà présentes. Si vous avez un windows d’installé il sera intéressant de prévoir une partition FAT32 pour simplifier les échanges de données d’un système à l’autre.

Nous choisirons l’installation en mode expert. Nous allons installer :

Les environnements graphiques (tous pour tester).

les serveurs suivants : ftp, ssh, httpd, nfs.

Les outils de configuration.

firefox (butineur internet).

LibreOffice pour lire l’original de ce document.

Pour avoir une telle précision, il faudra sélectionner les paquets à la main.

Il faudra configurer l'amorçage (grub) pour bien booter sur la bonne partition.

Les fenêtres de dialogues sont en général bien faîtes.

C ) Installation

Booter simplement sur le média contenant l’image de la distribution.

D ) Configuration

Sur chaque PC, vous allez créer un seul compte : le compte root (obligatoire) avec comme mot de passe linux. Pour le compte suivant, ne pas rentrer de données, et faire directement [Accepter] afin d’être sûr de ne pas le créer.

Il vous faudra aussi le réseau : vous vous mettez en DHCP et surtout lors de la configuration réseau, choisissez le mode expert et cocher lors de la configuration de la carte réseau « ne pas affecter le nom d’hôte à partir de l’adresse DHCP, mais donner vous-même le nom du PC.

Il faudra aussi configurer l'affichage.

Pour le moment, surtout, on ne met pas de fire-wall.

Après ceci, vous rebootez la machine. Laissez tomber la mise à jour, elle peut être très longue (on n’aura pas le temps à ce moment), elle est pourtant très importante pour la sécurité !

V ) Manipulation

Avec Mageia, on peut lancer un exécutable : mcc (centre de contrôle Mageia) qui fait beaucoup de choses. Il est même disponible en partie en dehors de tout environnement graphique, mais sa version graphique est bien plus avantageuse. Il peut configurer presque tout, mais pour avoir plus de précision, rien ne vaut le travail manuel des fichiers de configuration. Nous allons aussi bien travailler en ligne de commande qu’avec des interfaces graphiques, chaque mode ayant son avantage en fonction du travail à effectuer et de notre connaissance de l’OS.

A ) Création de comptes et de groupes

1)Présentation

a) l'utilisateur

Pour permettre à de nombreux utilisateurs de travailler sur la même machine, Unix met en œuvre des mécanismes d’identification des utilisateurs, de protection et de confidentialité de l'information, tout en permettant le partage contrôlé nécessaire au travail en groupe. Tout utilisateur est identifié par son nom (login) et ne peut utiliser le système que si son nom (login) a préalablement été défini par l’administrateur du système (root ou super-utilisateur) qui lui donnera en même temps des droits. La définition d’un nouvel utilisateur s’appelle aussi créer un compte.

root a tous les droits et aucune restriction ne lui est applicable. Travailler en tant qu’administrateur (se loger sous root) est donc dangereux, mais utile pour paramétrer le système.

b) Le compte

La première question à se poser c’est que doit avoir chaque compte ?

Un compte doit avoir des données personnelles et un endroit propre pour les laisser. On crée donc un répertoire personnel à chaque utilisateur. Ce répertoire est régulièrement placé dans /home : /home/repertoire_personnel. Sa création est normalement automatique.

Les fichiers spécifiques sont (source : « man useradd ») :

- /etc/passwd - information sur les comptes utilisateurs

- /etc/shadow - information sécurisée sur les comptes utilisateurs

- /etc/group - information de groupes

- /etc/default/useradd - information par défaut modifiée avec « useradd -D »

- /etc/login.defs - réglages globaux du système

- /etc/skel - répertoire contenant les fichiers qui seront mis par défaut dans les comptes personnels lors de leur création.

Ce répertoire contient plusieurs fichiers cachés, afin de voir tout son contenu, faire « ll -a /etc/skel ». Un des fichiers caché est .bashrc qui contient la configuration du bash (ligne de commande) de l'utilisateur.

nb : Il se peut que votre .bashrc ne se lance pas en vous loguant sur une console texte. Dans ce cas, il faut rajouter dans ~/.bash_profile les lignes suivantes :

if [ -f ~/.bashrc ]; then

. ~/.bashrc

fi

BASH_ENV=~./bashrc

export BASH_ENV

Le premier test et lancement permet lors du login d'exécuter le .bashrc s'il existe, en effet le bash ne tiens pas compte de la variable BASH_ENV ou moment du login sous X (environnement graphique)(contre toute attente d’ailleurs).

La variable BASH_ENV indique à bash de reexécuter .bashrc à chaque nouveau shell.

2)ligne de commande

a) les terminaux

Normalement^iv, vous ne pouvez pas vous loger sur un Windows Manager, car vous n’avez que root comme utilisateur et que pour des raisons de sécurité évidente Mandriva interdit l’utilisation d’un WM sous root car toutes les applications pourraient alors écrire n’importe où ce qui ouvrirait la porte à tous les virus (il est faisable de lancer des applications windows sous LINUX...)

Vous allez donc utiliser un shell, ceci est toujours faisable et fort utile. On dispose en effet de 7 terminaux, on passe d’un à l’autre en faisant Ctrl-Alt-FX (les 3 touches appuyées simultanément) où X est entre 1 et 7. Ctrl-Alt-F7 est le terminal du windows manager, vous allez donc faire un des 6 autres, Ctrl-Alt-F2 par exemple. Ctrl-Alt-F1 est parfois « décoré » par Mandriva ce qui diminue la taille de la fenêtre.

b) useradd

Vous allez utiliser la commande « useradd » (ou « adduser »). Pour avoir plus d'information, faîtes « man adduser ». Nous n’allons pas utiliser toutes les options disponibles! Si nous faisons « useradd nom_de_l_utilisateur » tout se fait correctement car le fichier /etc/login.defs est configuré pour. En plus, cette instruction créera automatiquement un répertoire personnel dont le contenu sera la copie du répertoire /etc/skel comme c’est normalement défini dans le fichier /etc/default/useradd.

Créez-vous votre compte personnel avec comme id 1000+n°_de_votre_pc (il faudra ajouter une option à la ligne que je vous ai indiqué au chapitre précédent). Les autres comptes que vous créerez sur votre ordinateur auront un id du style X00+n°_de_votre_pc avec X>10.

Les utilisateurs sont stockés dans le fichier /etc/passwd. Ce fichier a une ligne par utilisateur. Chaque ligne contient des champs séparés par des « : » (doubles points).

Le premier champ contient le nom,

le second un x (activer protégé), une * (désactivé) ou rien (compte sans mot de passe : une faille de sécurité),

le troisième l’identificateur de l'utilisateur (son id : un numéro supérieur à 500 pour un utilisateur non système),

le suivant d’id de son groupe principal,

l’antépénultième un commentaire sur l’utilisateur, l’avant-dernier l’emplacement de son répertoire personnel (qui peut donc être vraiment quelconque)

le dernier le shell qu’on lui attribue (il existe par exemple des shells qui empêchent à l’utilisateur de se loger, ceci peut permettre à un compte de ne pouvoir faire que du ftp).

Pour enlever un utilisateur, faîtes « userdel utilisateur ».

Pour changer les paramètres d’un utilisateur, utilisez « usermod ». Après avoir lu « man usermod », définissez-vous un mot de passe, car la commande « useradd » ne l’a pas fait puisque vous ne lui avez pas demandé !

c) groupadd - addgroup

Ajoutez un groupe essai avec la commande « groupadd essai ».

Les groupes sont stockés dans le fichier /etc/group qui a la même structure que le fichier /etc/password. Les informations sur chaque ligne sont dans l’ordre : le nom du groupe, un second champ qui peut contenir soit un x, un * ou rien, un troisième d’identification du groupe (son id), le dernier champ est la liste des utilisateurs (nom complet) qui appartiennent à ce groupe sans que ce soit leur groupe principal, l'information du groupe principal étant dans le fichier password.

Ajoutez manuellement, avec vi, dans le groupe essai votre compte personnel.

Après avoir créé un compte, faîtes Ctrl-Alt-F7. Loger vous avec le compte juste créé avec un environnement graphique pris au hasard (débrouillez-vous pour ne pas avoir le même que vos voisins).

Pour enlever un groupe, utiliser « groupdel ».

Pour mettre un utilisateur dans un groupe : « addgroup <utilisateur> <group> »

L’appartenance au groupe n’apparait pour la session complète que après s’être déloggué puis reloggué. On peut utiliser "newgrp" ou "sg" pour éviter de se déloguer et récupérer l’appartenance au bon groupe dans un sous-shell.

d) addgroup

I
llustration 3 : menus mcc

3)interface graphique

Comme nous sommes sous Mageia autant utiliser les outils Mageia qui sont forts agréables et en français !

Nous avons le programme userdrake auquel nous pouvons accéder soit par mcc, soit directement.

Je profite de ceci pour vous faire lancer ces programmes à partir d’une fenêtre shell ouverte dans votre environnement graphique, souvent son icône, c’est un écran d’ordinateur avec parfois une coquille (shell) devant .

Dans cette fenêtre taper la commande « su ». « su » est la commande qui permet de donner la main dans la fenêtre shell à un autre utilisateur qu’on met en paramètre, s’il n’y a pas de paramètre, ce sera le super-utilisateur (administrateur ou root). Le prompt vous demande alors un mot de passe, donnez le mot de passe root et vous avez un shell en administrateur. « su - » fait la même chose, mais en plus on récupère les paramètres du nouvel utilisateur. Ceci est à éviter si on fait cette manipulation pour récupérer un environnement planté.

À partir de ce shell, vous pouvez faire exécuter des applications graphiques sous root. Tapez par exemple « kwrite », vous ouvrez alors un éditeur de texte graphique, mais vous n’avez plus la main dans le shell. Pour retrouver la main simplement, vous devez arrêter kwrite, soit à partir de l'interface graphique, soit en faisant Ctrl-C sur le shell ( voir plus loin au IV) C) 2) a) ). Pour garder la main, il fallait faire « kwrite & » afin de lancer kwrite en mode arrière plan.

Vous allez donc taper « mcc & ». Parcourez les menus (image à gauche) et choisissez UserDrake (icône à droite)

Dans cette interface vous devez voir que vous appartenez aussi au groupe essai. Vous pouvez créer, supprimer et éditer des comptes. Cette dernière option est bien intéressante, car elle permet entre autre de modifier les groupes d’appartenance des utilisateurs. Vous pouvez aussi choisir dans option « voir les groupes » et faire des modifications sur les groupes.

B ) Système de droits sur les fichiers

1)Propriétaire, groupe propriétaire et autres

Les droits sur un fichier/répertoire sont (dans l’ordre) lecture (r)-écriture(w)-exécution(x). Ses droits, sont attribués dans l’ordre à l’utilisateur propriétaire du fichier, au groupe propriétaire du fichier et à tous. Ceci fait 9 cases à remplir, si on permet tout : « rwxrwxrwx ». Si on permet tous à l'utilisateur, la lecture et l’exécution au groupe et l’exécution à tous, ceci donne : « rwxr-x--x », le '-' (moins) signifie que le droit n’est pas accordé ! On fait correspondre des valeurs à ces droits : le r vaut 4=2², le w vaut 2=2¹ et le x vaut 1=2⁰. Ceci donne comme valeur pour le premier 777 (écriture en Octal – base 8), le second 751. 640 correspond à « rw-r----- ».

Les droits dépendants étant lié au propriétaire et au groupe propriétaire, il faut donc parfois modifier ces paramètres. Pour modifier le groupe, on fait « chgrp groupe f1 » où f1 est un fichier ou un répertoire. Pour modifier le propriétaire, il faut faire « chown user f1 ». Si on veut modifier les deux, il faut faire « chown user:groupe f1 » ou « chown user.groupe f1 ». Ces manipulations se font sans problème si on est root. En revanche, quand on est simple utilisateur, il faut que le fichier nous appartienne, on ne peut pas changer le propriétaire et on ne peut donner un nouveau groupe que si on fait partie de ce nouveau groupe.

2)Les droits sur les fichiers

Ces droits se changent avec la fonction « chmod » : « chmod valeur_du_mode fichier ». Pour donner les droits rw-rw-r-- au fichier bashrc du répertoire /home/root, il faut faire « chmod 664 /home/root/bashrc ». Ceci permettra au propriétaire et à son groupe (root) de le lire et de le modifier et aux autres de le lire.

Il y a aussi la possibilité d’enlever ou de rajouter des droits à des fichiers avec « chmod [who]op[permission] ». who est une combinaison de u(user ou propriétaire), g (groupe) ou o (other ou autre). op est soit + pour ajouter le droit, - pour l’enlever et = pour ne donner que celui-là (les autres seront mis à 0=non). « chmod go-w fichier » supprime le droit d'écriture au groupe et aux autres. « chmod u+x fichier » rajoute au propriétaire le droit d’exécution (transforme le fichier en exécutable !). « chmod ug=r » donne un accès en écriture uniquement à son propriétaire et au groupe.

Attention : pour effacer un fichier, il suffit d’avoir le droit sur le répertoire et le droit de lecture sur le fichier…

La possibilité intéressante de chmod, mais qui peut ouvrir des failles est « chmod +s fichier » qui fait utiliser l’id du propriétaire ou du groupe propriétaire du fichier lors de l’exécution. La faille arrive quand le propriétaire du fichier est root car lors de l'exécution du fichier, on récupère les droits de root!

En plus de ces 9 données, Unix définit trois autres données de permission : SUID*, SGID* et t (voir chapitre suivant). Ces données étant toutes binaires : non ou oui, 0 ou 1, peuvent chacune être stockées sur un bit. Ceci fait donc 12 bits de permission. On les obtient en faisant « chmod 01XXX » pour le sticky-bit en octale, « chmod 02XXX » pour SGID et « chmod 04XXX » pour SUID. Le 0 indique au système qu’on est en octale.

* : trop compliqués pour en parler dans ce document !

3)Avec les répertoires

a) Présentation

Les droits sont les mêmes avec les répertoires mais les effets sont un peu différents.

Pour rentrer dans un répertoire, il faut avoir le droit d’exécution dessus. Pour lire les données d’un répertoire, il faut avoir le droit de lecture et pour avoir le droit d’écrire dessus, il faut avoir le droit d’écriture et de lecture. En combinant ces droits sur un répertoire, on peut avoir des configurations assez intéressantes et surprenantes. Par exemple, une personne qui n'a que le droit d’exécution peut aller dans le répertoire « cd répertoire » mais ne peut pas y faire grand-chose, même pas lire le contenu du répertoire « ls », elle peut visualiser un fichier « cat » si elle sait qu’il y est. Une personne qui n’a que le droit de lecture ne peut se rendre sur le répertoire « cd répertoire », mais peut lire le contenu « ls répertoire ». Une personne qui n’a que le droit d’écriture ne peut rien faire a priori. Afin que le droit d’écriture soit utilisable, il faut au moins avoir les droits de lecture. Une personne qui a le droit de lecture et d’écriture sur un répertoire peut y déposer ce qu’elle veut et lire les fichiers sur ce répertoire que si elle est informée de son existence.

Avec les répertoires, on dispose de « chmod +t repertoire » (cette option modifie aussi l’attribut pour les fichiers, mais de nos jours il n’est plus utilisé). Cette manipulation permet à tous ceux qui ont le droit d’écrire dans ce répertoire de ne pouvoir modifier que les fichiers qui leur appartiennent.

Je vous conseille de faire quelques tests afin de mieux saisir les possibilités du système !

b) mise en pratique

Créer dans votre répertoire personnel un répertoire où les visiteurs auront juste le droit d’écrire (poser) des fichiers et un autre où ils auront juste le droit de lire les fichiers.

Créer un répertoire « partage » où tout membre du groupe partage aura tous les droits. En revanche, on ne pourra modifier un fichier que s’il nous appartient. Attention, ce répertoire ne pourra être directement sur « /home » car Mageia empêche ce genre de partage sur ce répertoire pour des questions de sécurité. Je propose par exemple « /home/tous/partage ».

4)Les ACL

http://lea-linux.org/documentations/index.php/Gestion_des_ACL

C ) Gérer les processus

Un processus est un programme, une tache qui tourne sur votre ordinateur. Comme c’est un système multi-tache, il peut en avoir beaucoup en même temps. Chaque processus est identifié par un numéro unique qui s’appelle le numéro d’identification du processus PID (Process Identifier) et qui lui est attribué par le système à sa création.

1)ps, top, kill et killall

Ce sont les commandes principales qui permettent de gérer les processus.

a) ps : voir les processus

La commande « ps » permet de visualiser tous les processus lancer depuis une fenêtre :

# ps

PID TTY TIME CMD

6897 pts/5 00:00:00 bash

7584 pts/5 00:00:00 ps

Ceci est le minimum. le processus ps lui-même et la fenêtre. Heureusement, il y a d'autres options, faîtes « ps --help » ou « man ps ». Pour tout bien voir, vous pouvez essayer « ps uawx -H ». Cette commande met en évidence la notion de processus père et processus fils avec la hiérarchisation de l’affichage à droite (l’option -H). Un processus fils est un processus qui a été créé par un autre processus qui prend le nom de processus père.

Vous allez dire qu’il y en a beaucoup ! Vous vouliez juste savoir si vous aviez des bash qui tournent, faîtes : « ps uawx | grep bash ». Par cette manipulation, j’ai introduit deux nouvelles notions : un tube (pipe) avec « | » et la fonction « grep ». Un tube envoie la sortie de la commande d’avant vers la commande suivante qui cette fois est « grep ». « grep » recherche dans les fichiers d’entrée indiqués (ici la sortie du ps) les lignes correspondant à un certain motif (ici bash). Il ne s’affichera donc que les lignes qui ont bash dedans.

b) Top

« top » en ligne de commande affiche en temps réel et en mode texte, les processus selon l’ordre décroissant de charge CPU. On sort de ce mode en tapant 'q' au clavier.

c) kill et killall

Les commandes « kill » et « killall » permettent de tuer les processus. Elles sont très utiles par exemple lors des phases de test d'un programme (avec une boucle infinie par exemple).

Une utilisation simple est « kill -9 PID_du_processus » pour tuer un processus et « killall nom_d_un_processus » pour tuer tous les processus de ce nom. Bien sur, vous ne pouvez tuer que les processus vous appartenant. Seul root peut tuer n’importe quel processus.

2)exécution d’une commande

Il existe 5 modes d’exécutions : le mode interactif (foreground), le mode en arrière plan (background ou asynchrone), le mode différé, le mode batch et le mode cyclique.

a) Le mode actif

C’est le mode habituel de la ligne de commande : on lance l’exécution du programme et on attend qu’il se finisse. Ceci est très intéressant si le programme interagit en nous posant des questions sur ligne de commande.

On peut stopper un programme en faisant Ctrl-c (le tuer) ou le suspendre en faisant Ctrl-z. « bg » poursuit son exécution en arrière plan (background). « fg » poursuit son exécution au premier plan (foreground). Si on lance plusieurs programmes, on peut utiliser 'fg' et 'bg' avec un paramètre qui est le numéro du "job" listé par la commande « jobs ».

b) Le mode en arrière-plan

C’est le mode qui rend aussitôt le contrôle à l’utilisateur. Cette fonctionnalité est intéressante pour des tâches ne nécessitant pas d’interaction entre l’utilisateur et la tâche, par exemple kwrite. La commande est lancée suivie du caractère & : « kwrite & ».

Pour surveiller l’exécution de ces commandes, on dispose de « ps » ou « jobs ».

Cependant, les tâches de fond sont arrêtées dès que l’utilisateur ferme le shell. Pour assurer la pérennité de la commande, il faut la faire succéder par nohup : « nohup kwrite & ». Ce comportement peut être donné à tous programmes tournant en arrière plan si on fait « disown PID_du_programme », le PID étant donné par la commande « ps ».

La commande « wait » est là pour synchroniser des processus asynchrones. Elle fait attendre (bloque la main) que les processus lancés en tâche de fond dans cette fenêtre soient arrêtés.

c) Le mode cyclique

i) cron

L'exécution cyclique d’une tâche est réalisée à l'aide de la commande « crontab ». C’est est une commande qui vous permet d’exécuter des commandes à des intervalles de temps réguliers, avec l’avantage supplémentaire que vous n’avez pas à être connectés au système et que la sortie de ces commandes vous est envoyée par courrier électronique. « crontab » agira différemment en fonction des options :

-l : affiche votre fichier crontab courant

-e : édite votre fichier crontab (utilisation comme vi)

-r : élimine votre fichier crontab

-u <utilisateur> : applique les options ci-dessus à l’utilisateur <utilisateur>. Seul root est autorisé à faire cela.

Chaque ligne du fichier crontab est constitué de 6 champs séparés par un espace ou une tabulation. La signification des champs est respectivement la minute (0-59), l’heure (0-23), le jour du mois (1-31), le mois de l’année (1-12), le jour de la semaine (0-6, dimanche=0) et la tâche à exécuter.

C’est le démon (voir V)D) ) cron qui scrute les fichiers dans lesquels sont définies les commandes à exécuter. Ces fichiers sont dans /var/spool/cron pour tous les utilisateurs même le super-utilisateur. Mais il existe le fichier /etc/crontab :

SHELL=/bin/bash

PATH=/sbin:/bin:/usr/sbin:/usr/bin

MAILTO=root

HOME=/

# run-parts

01 * * * * root nice -n 19 run-parts /etc/cron.hourly # exécute toutes les heures + 1 min le

# contenu du réperoire /etc/cron.hourly

02 4 * * * root nice -n 19 run-parts /etc/cron.daily # tous les jours à 4h02 /etc/cron.daily

22 4 * * 0 root nice -n 19 run-parts /etc/cron.weekly # tous les dimanche à 4h22

42 4 1 * * root nice -n 19 run-parts /etc/cron.monthly # les premiers du mois à 4h42

*/10 * * * * script							# script exécuté toutes les 10 min

root peut donc mettre un fichier dans un de ces répertoires pour exécuter périodiquement une tache. On peut même rajouter un ligne qui commence par 5 astérix afin d’exécuter une tache toutes les minutes. Voici la structure d’un de ces fichiers :

#!/bin/sh => pour dire que c’est du bash

nice -n 19 ntpdate -u ntp1.tuxfamily.net # exécute ntpdate (mise à l'heure du PC) sans urgence

# voir « man ntpdate » et « nice »

Les fichiers /etc/cron.allow et /etc/cron.deny sont utilisés pour limiter l'accès à cron. Le format de ces deux fichiers de contrôle d’accès requiert un nom d'utilisateur sur chaque ligne. Les espaces blancs ne sont pas acceptés. Le démon cron (crond) n'a pas à être redémarré si les fichiers de contrôle d’accès sont modifiés. Ces derniers sont lus chaque fois qu’un utilisateur essaie d’ajouter ou de supprimer une tâche cron.

Si le fichier cron.allow existe, seuls les utilisateurs qui y sont répertoriés peuvent utiliser cron et le fichier cron.deny n'est pas pris en compte. En revanche, si le fichier cron.allow n’existe pas, les utilisateurs répertoriés dans cron.deny ne sont pas autorisés à utiliser cron.

ii) anacron

Il existe aussi anacron (utilisable que par root ?) qui est un planificateur de tâches similaire à cron, sauf qu'il ne requiert pas l'exécution du système en continu. Il peut être utilisé pour l'exécution quotidienne, hebdomadaire et mensuelle de tâches généralement exécutées par cron.

Les tâches Anacron sont répertoriées dans le fichier de configuration /etc/anacrontab. Chaque ligne de ce fichier correspond à une tâche. Elles se présentent sous le format suivant:

period — fréquence (en jours) d’exécution de la commande

delay — temps d’attente en minutes

job-identifier — description de la tâche ; utilisé dans les messages Anacron et comme nom du fichier de référence temporelle de la tâche ; peut contenir tout caractère autre qu’un blanc (à l’exception des barres obliques).

command — commande à exécuter

Pour chaque tâche, Anacron détermine si la tâche a été exécutée au cours de la période spécifiée dans le champ period du fichier de configuration. Si ce n'est pas le cas, Anacron exécute la commande spécifiée dans le champ command après avoir respecté le délai d'attente spécifié dans le champ delay.

iii) exercice

Pour le fichier /home/tous/partage, enlevez le plus souvent possible les droits d'exécutions pour le groupe et les autres utilisateurs sur chaque fichier, pas les répertoires (faire « chmod --help »).

d) Le mode batch

Tandis que cron et anacron servent à programmer des tâches récurrentes, la commande at est utilisée pour programmer une tâche unique à un moment donné. La commande batch sert à programmer une tâche qui doit être exécutée une seule fois lorsque la moyenne de chargement du système descend en dessous de 0,8=80% (lorsque le système passe au moins 20% de temps à attendre qu'on lui dise de faire quelque chose).

Pour exécuter une seule fois une tâche spécifique lorsque la moyenne de chargement est inférieure à 0.8, utilisez la commande batch.

Une fois la commande batch saisie, l'invite at> s’affiche. Entrez la commande à exécuter, appuyez sur la touche et tapez Ctrl-D. Vous pouvez spécifier plusieurs commandes en entrant chacune d'elles suivie de . Après avoir tapé toutes les commandes, appuyez sur la touche afin d'afficher une ligne vide, puis tapez Ctrl-D. Un script shell peut également être saisi en appuyant sur la touche après chaque ligne du script et en tapant Ctrl-D sur une ligne vide pour quitter. Si un script est saisi, le shell utilisé est celui défini dans l'environnement SHELL (configuration de la ligne de commande, on peut connaître la notre en faisant : « echo $SHELL »  ) de l'utilisateur, le shell de connexion de l'utilisateur ou /bin/sh (celui qui est trouvé en premier). L'ensemble de commandes ou de scripts est exécuté dès que la moyenne de chargement se situe en dessous de 0.8.

Si l'ensemble de commandes ou de scripts essaie d'afficher des informations dans la sortie standard, ces informations sont envoyées par courrier électronique à l'utilisateur.

Utilisez la commande atq pour afficher les tâches en attente. L'utilisation de la commande batch peut être restreinte. Les fichiers /etc/at.allow et /etc/at.deny (comme pour /etc/cron.allow et /etc/cron.deny) peuvent servir à limiter l'accès aux commandes at et batch. Le format de ces deux fichiers de contrôle d'accès requiert un nom d'utilisateur sur chaque ligne. Les espaces blancs n'y sont pas acceptés. Le démon at (atd) n'a pas à être redémarré si les fichiers de contrôle d'accès sont modifiés. Ces fichiers sont lus chaque fois qu'un utilisateur essaie d'exécuter les commandes at ou batch.

L'utilisateur root peut toujours exécuter les commandes at et batch indépendamment des fichiers de contrôle d'accès.

D ) Arrêt et lancement des démons

http://lea-linux.org/admin/daemons.php3

1)C'est quoi un démon?

Un démon (daemon) est un processus système qui appartient soit à root, soit à un compte d’administration (daemon, mysql, apache par exemple). Les démons activent des services.

Les démons assurent des tâches d’ordre général (gestion des serveurs installés par exemple), ils sont parfois disponibles à tous les utilisateurs du système. Ils ne sont stoppés que pour arrêter un service, qu’à l’arrêt du système d’exploitation ou prendre en compte de nouveaux paramètres. Dans ce dernier cas, il faut aussitôt les remettre en marche. Cette dernière méthode permet de modifier les paramètres sans avoir à arrêter le système et le redémarrer juste après (rebooter le système).

2)En ligne de commande

a) Avec systemctl

Il faut utiliser la commande suivante : systemctl {start|stop|restart|reload|status} nom du service

b) Avec system V init

On arrête un démon avec « nom_de_démon stop » et on le relance avec « nom_de_demon start », on l'arrête et on le relance directement avec « nom_de_demon restart ». Souvent, il faut rajouter le chemin devant le nom du démon : /etc/init.d/ ou rajouter la commande service devant. En fait on peut faire : « service nom_service {start|stop|restart|reload|status} » ou « /etc/init.d/nom_service {start|stop|restart|reload|status} ».

La liste des démons qui tournent se trouve dans /etc/rcX.d/ avec X le 'run level^v' : 5 en interface graphique et 3 en ligne de commande. Il y a aussi .etc/xinetd.d/ où chaque démon correspond à un fichier configurable. Pour voir une liste il faut faire « ls /etc/rc5.d/ » par exemple. Avant de lancer un démon, il faut vérifier qu’il ne tourne pas déjà ! Ou tout simplement le tuer, s'il était déjà inactif, on aura un message d'erreur sans gravité, juste pour nous prévenir qu’il était déjà inactif. Ce message peut être parfois important car parfois, suite à une erreur dans les fichiers de configuration, il arrive qu'un démon lancé avec succès s'arrête immédiatement.

Pour ajouter un démon à la liste des démons à lancer au démarrage, il faut faire : « chkconfig --add le_service ». Le démon devra avant obligatoirement se trouver dans /etc/rc.d/init.d ou /etc/init.d. « chkconfig » est un programme pour gérer les démons, regardez « man chkconfig ». Une option intéressante est « chkconfig --list » qui liste les états des démons dans tous les 'run level'.

« update-rc.d » est le penchant debian de chkconfig.

3)Avec une interface graphique

Avec le Centre de contrôle Mandriva (mcc), on comprend mieux ce qui se passe car il y a en plus des explications. Dans mcc, choisissez le menu système puis, Drakxservices. Là, vous pouvez arrêter, démarrer les démons ainsi que choisir ceux qui seront lancés au démarrage. En plus vous avez un bouton information par démon.

E ) Ajouter/Enlever un programme

On peut trouver l’emplacement exact d’un programme avec « which le_programme ».

1)Avec les rpm ou deb

a) rpm

RPM signifie Red hat Paquage Manager. C’est le système de gestion de logiciel inventé par Red Hat qu'utilise Mageia.

http://c.laloy.free.fr/howtos/linux/index_rpm.html

b) deb

Deb est le nom des paquets utilisés par debian et les distributions dérivées.

c) Automatiquement

i) Avec Mandriva

Toujours avec mcc, cette fois sur le menu « gestionnaire de logiciels ». Vous pouvez soit enlever des logiciels, soit en mettre, soit en rajouter des sources de logiciels ou juste faire la mise à jour de vos logiciels.

Installons le serveur Samba que nous avons volontairement oublié lors de l'installation. On clique sur « RpmDrake : installation de paquetages logiciels » et on tape samba dans la case de recherche. On dispose alors d'un choix impressionnant de logiciels contenant le mot samba! On va cocher samba serveur. Cette action ouvrira une fenêtre pour nous signaler qu'on doit installer un(des) autre(s) rpm pour que le serveur puisse fonctionner : on accepte cette obligation. On clique sur installer et tout doit bien se passer ! Après, on ferme RpmDrake. La procédure est semblable pour enlever des rpm. Ceci se fait automatiquement car le système à une base de données qui contient tous les programmes (rpm) disponibles sur les médias d'installation.

On peut rajouter des sources (de nouveaux médias avec d’autres programmes). Pour faire ceci, allons voir le site : http://easyurpmi.zarb.org/?language=fr. Rajoutons des sources disponibles, comme les sources pfl, (on pourra en ligne de commande regarder le répertoire /var/lib/urpmi/ et le répertoire /etc/urpmi). Dans mcc, toujours menu « gestionnaire de logiciels », on clique « Gestionnaire des dépôts de logiciels : choisir d’où sont téléchargés les logiciels ». Là, on peut travailler sur les sources avec les boutons de gauche. Regardons le bouton « Ajouter... ». Ca se complique! Que dit le site que nous regardons? Il donne simplement une ligne de commande ! Profitons en, passons à la ligne de commande !

ii) Avec debian

Le logiciel synaptic.

d) En ligne de commande

i) Avec Mageia

Pour travailler sur les rpm, il faut avoir un shell avec les droits administrateur.

On rentre les lignes de commande proposées par http://easyurpmi.zarb.org/?language=fr. Un long téléchargement commence : les informations sur les données disponibles. On ouvre donc un autre shell en cliquant sur la page blanche dessinée en bas à gauche de la fenêtre de shell. On se loge sous root dessus et on continue de travailler. À la fin du téléchargement, vous pouvez toujours retourner sous RPMDrak et voir les logiciels disponibles automatiquement : tapez par exemple DVD dans la recherche...

En ligne de commande on installe LinNeighborhood : « urpmi --auto-select LinNeighborhood ». L'option « --auto-select » a permis la sélection de tous les rpm dont dépend LinNeighborhood. Il existe d'autres programmes pour gérer les rpm : faîtes « rpm + tab » ainsi que « urpm +tab » et regardez. Pour plus d'information, faîtes « man le_programme_qui_vous_intéresse ». Par exemple avec « rpm -q proftpd », vous pouvez savoir si proftpd a été installé avec un rpm et quelle est sa version.

Après cette manipulation, on peut faire une mise à jour. On pourrait passer par le mode graphique, mais on va rester en ligne de commande. Nous allons commencer par créer un alias (raccourci) sous root : « alias maj='urpmi.update -a;urpmi –auto-select –auto --keep' ». Attention, parfois, il peut être utile de vérifier les mises à jour proposées, dans ce cas, le « --auto » est en trop. Nous avons défini un nouveau raccourci. Pourvoir tous ceux qui sont déjà définis, on peut faire simplement « alias ». On peut définir autant d’alias qu’on le souhaite, on peut le faire avec celui-là, car il sera utile par la suite pour gérer le PC et indispensable pour une gestion à distance. On rajoute donc la ligne « alias maj='urpmi.update -a;urpmi –auto-select –auto --keep' » (sans les guillemets) dans le fichier « .bashrc » de la racine du répertoire personnel (de root ici). Pour faire la mise à jour on attend que toutes les autres installations soient achevées et on tape « maj », notre alias (comparer cette mise à jour à une mise à jour d’un système concurrent payant :-) ).

Pour enlever un rpm, on utilise la commande « urpme ».

Voir aussi : http://www.urpmi.org/fr/index.php

ii) Avec debian

Pour complètement nettoyer et refaire une installation à neuf comme s’il n’y avait rien eu avant :

apt-get clean

apt-get --purge remove ulogd

apt-get check

apt-get install ulogd

e) Réparation de la base de données des programmes installés

La gestion des rpm se fait avec une base de données qui contient à la fois les rpm disponibles (en fonction des sources choisies) et les rpm installés. Il se peut qu’il y ait un plantage lors de la manipulation de ces bases de données (alimentation, crash disques dur...). La base de données est donc détériorée.

La commande à utiliser est :

# rpm --rebuilddb

Parfois ceci ne suffit pas, l’expérience dit qu’on peut alors faire avant une des deux (voir les deux ?) instructions suivantes :

updatedb

rm -fr /var/lib/rpm/__*

voir : http://c.laloy.free.fr/howtos/linux/index_rpm.html

Parfois, il se peut (si on utilise la version de test de Mandriva, comme moi : la cooker), que urpmi soit mort... Heureusement, il existe aussi sous Mandriva smart (qui vient de connectiva) qu’il faudrait avoir installé avant que urpmi soit cassé pour l’utiliser après :

smart update

smart upgrade

On peut aussi avoir l'information sur l'ordre des rpm installés :

rpm -qa --qf '%{installtime} %{installtime:date} %{name}-%{version}-%{release}\n' | sort -n

f) Comparaison de systèmes : correspondance des commandes URPMI / APT / emerge

Nous espérons que ce petit tableau vous permettra de passer facilement de Mageia à Debian ou inversement.

Sur Gentoo, le parametre nom du package peut être :

un nom simple (xfree)

un nom avec categorie (x11-base/xfree)

un fichier ebuild (/usr/portage/x11-base/xfree/xfree-4.3.0-r3.ebuild)

un package binaire precompile (/usr/portage/packages/x11-base/xfree-4.3.0-r3.tbz2)

un masque (<x11-base/xfree-4)

Sources : http://linux.ensimag.fr/urpmiapt.html

Mise à jour d’une debian automatiquement avec cron-apt ou apt-cron

2)Sans les rpm

Il est bien sur possible d’installer des programmes sans rpm. Certains sont livrés autoextractables avec un exécutable qui pose deux-trois questions avant de s'installer. Souvent, lors de l'extraction il y a des fichiers du style « README » à lire avant.

Parfois, on ne récupère que les sources (c’est de plus en plus rare), il faut alors compiler soi-même le programme. Dans ce cas, il faut avoir installé les bons logiciels (un compilateur C/C++ la plupart du temps) et les bonnes librairies.

F ) Configuration des serveurs

Quelle que soit la manipulation que nous souhaitons faire ici, il est INDISPENSABLE d’avoir les droits administrateurs pour les faire.

Il y a bien sur dans mcc ou d’autres logiciels parfois très bien faits la possibilité d’avoir des GUI (interface graphique utilisateur) pour configurer les serveurs, mais je pense qu’il est plus puissant de le faire à la main. Bien qu’au début ce soit un peu rébarbatif, finalement, on trouve rapidement que c'est plus rapide et plus puissant à la main. Un autre intérêt est la possibilité de faire les modifications à distance sans GUI. Nous allons voir par la suite plusieurs exemples.

Dès qu’on modifie les fichiers de configuration à la main, il ne faut pas oublier d’arrêter et relancer le démon associé pour que la nouvelle configuration soit effective « systemctl restart nom_du_demon » . Avec Linux, il n’y a pas besoin d’arrêter la machine et de redémarrer la machine !

Les serveurs de réseau et les services sont des programmes qui permettent à un utilisateur distant de devenir utilisateur de votre machine. Les programmes serveurs sont à l’écoute des ports réseau. Les ports réseau permettent de demander un service particulier à un hôte particulier et de faire la différence entre une connexion telnet entrante et une connexion ftp entrante. L’utilisateur distant établit une connexion réseau avec votre machine puis le programme serveur, ou démon de réseau, à l’écoute du port, accepte la connexion et s'exécute.

Pratiquement chaque serveur à un port, qui lui est attribué. Lors d’une connexion à un ordinateur hôte, il est nécessaire de spécifier l'adresse de cet hôte mais aussi son port. Le numéro de port va spécifier quel service de cet hôte vous voulez utiliser. Par exemple, le port pour une communication Telnet est 23, celle pour une communication HTTP est 80… Mais rassurez-vous, le choix du port est aujourd’hui dans la plupart des cas automatique.

Afin de savoir quel service est associé à quel port pour votre ordinateur, regarder le fichier /etc/services .

G ) Mettre le serveur à l'heure

La notion d'heure pour des équipements informatiques (serveurs, stations de travail, PCs, MACs...) est importante, ne serait-ce que pour le datage des fichiers. Bien qu’utilisant des oscillateurs à quartz il faut les remettre à l’heure régulièrement sinon ils dérivent comme toute montre ordinaire. Ce problème s'accentue dans le cas d'équipements en réseau qui se retrouvent rapidement avoir tous, des heures différentes bien que partageant de plus en plus souvent les mêmes systèmes de fichiers…

Pour ceci, il existe le protocole NTP (Network Time Protocole) qui permet à un ordinateur de synchroniser son horloge sur un ordinateur de précision plus élevé. Vous pouvez trouver la liste des serveurs français sur : http://www.cru.fr/NTP/serveurs_francais.html . Attention, vous ne pouvez vous synchroniser que sur des serveurs secondaires (strate 2) car les serveurs primaires (strate 1) sont destinés à synchroniser essentiellement les serveurs de strate 2 publics, à la rigueur des serveurs de sites importants (plusieurs centaines de clients locaux) mais pas des "petits" serveurs voire des clients terminaux…

Vous devez installer le rpm ntp : « urpmi ntp » ou « apt-get install ntpdate » puis faire une mise à l'heure : « ntpdate pool.ntp.org ». Cette méthode, bien qu’efficace, n’est pas satisfaisante, car elle doit être effectuée à la main. Nous pouvons mettre cette commande dans un des répertoires /etc/cron.* en fonction de la période de rafraîchissement que nous voulons avoir.

Voir au XVII) la configuration d'un serveur ntp et plus d’informations sur le sujet.

http://alexandre.alapetite.net/iup-gmi/ntp/

H ) Plantages ?

1)En sortir

http://petitjournal.org/index.php?page=5035 et http://www.linux-france.org/article/cesar/index.php?page=5035

Pour sortir des plantages (souvent dus au serveur X ou aux applications graphiques) nous disposons de plusieurs possibilités :

Revenir dans une fenêtre texte avec Ctrl-Alt-FX (X entre 1 et 6)

si le plantage du serveur X plante même le clavier : un ssh à partir d'un PC voisin

Il reste aussi une solution … pour éviter le RESET sauvage, les MagicSysReq

(option CONFIG_MAGIC_SYSRQ=y dans la config du noyau)

ALT+Touche Système (Impr. Écran) + R ()

ALT+Touche Système (Impr. Écran) + S (synchro des disques)

ALT+Touche Système (Impr. Écran) + E

ALT+Touche Système (Impr. Écran) + I

ALT+Touche Système (Impr. Écran) + U (démontage)

ALT+Touche Système (Impr. Écran) + B (reboot)

Pour résumer, en cas de plantage grave de votre machine, il suffit de faire [Alt][Syst][s] pour refermer les fichiers ouverts (on entend le disque dur travailler un court instant), suivi d'un [Alt][Syst][u] pour démonter les partitions, puis [Alt][Syst][b] pour redémarrer...

(description plus complète sur /usr/src/linux/Documentation/sysrq.txt si les sources du noyau sont installées).

2)Pourquoi ?

Une des raisons de plantages réguliers avec erreur sur les partitions des disques durs peut être une barrette de RAM défectueuse. Pour tester cela, vous pouvez installer memtest86 : « urpmi memtest86 » qui s’exécute lors du boot (choix proposé par LILO ou Grub). Il est aussi possible que le disque dur soit mort, avant de le jeter essayez tout de même un formatage bas niveau du disque dur avec lformat par exemple ou un utilitaire du genre ultimat boot cd : http://www.ultimatebootcd.com/ .

VI ) Le réseau

http://www.cryptos.ch/spip.php?article38

ifup eth1 : lancer l'interface eth1

ifdown eth1 : arrêter l'interface eth1

A ) Les adresses réseau.

Il va falloir attribuer une "adresse" unique à une carte réseau afin de permettre aux ordinateurs de communiquer. Cette adresse correspond à une norme (IPv4) définie dans les protocoles de communication TCP/IP. Elle est constituée de 4 séries d’au maximum 3 chiffres séparés par un simple point et allant de 0 à 255, comme ceci :

xxx.xxx.xxx.xxx

En fait on n’utilise pas 255 qui sert de masque et 0 non plus d’ailleurs, donc on va de 1 à 254.

Dans un réseau, un ordinateur est donc désigné par l’adresse attribuée à sa carte ethernet.

Certaines adresses sont réservées à certains usages. Par exemple "127.0.0.1" : il s’agit de l’adresse de "bouclage" ou "rebouclage" et représente l’ordinateur lui-même. Les adresses sont réparties en "classes". Une classe d’adresses est réservée aux réseaux locaux c’est-à-dire des adresses ne devant pas être diffusées sur Internet.

Les classes peuvent être 10.0.0.0 à 10.255.255.255 (10/8 prefix), 172.16.0.0 à 172.31.255.255 (172.16/12 prefix) et 192.168.0.0 à 192.168.255.255 (192.168/16 prefix). C’est 192.168.0.0 dont on se servira. Elle est répertoriée comme "classe C". On n’utilise pas une adresse qui se termine par 0 pour adresser une machine, car cette adresse désigne le réseau lui-même. Ainsi dans le réseau 192.168.0.0 la première adresse utilisable est 192.168.0.1 et la dernière 192.168.0.254

Attention d’autres adresses ou classes sont réservées :

Les détails par ici, par là et par là aussi

Revenons à notre petit réseau.

B ) Attribuer une adresse à la carte ethernet.

La première interface réseau de l’ordinateur sera appelée sous Linux "eth0", la deuxième "eth1" etc. Nous allons donc attribuer une adresse locale (par exemple 192.168.0.1) à eth0, notre carte ethernet.

Ouvrir un terminal, passer sous root :

$ su
Passwd:xxxxxxxx
# ifconfig eth0 192.168.0.1 netmask 255.255.255.0

C’est fait, si on tape (sous root) "ifconfig" on peut voir ses différentes interfaces réseaux et leurs configurations. Pour qu’elles soient conservées au redémarrage de la machine il faudra que cela soit inscrit définitivement dans un fichier de configuration : voir le paragraphe "5. Les fichiers"

On peut faire la même chose sous Mandriva en passant par le Centre de Contrôle —> Réseau et Internet —> Reconfigurer une interface réseau. Dans "périphérique sélectionné" choisir eth0, dans l’onglet "TCP/IP", "protocole" choisir statique, remplir le champ adresse avec 192.168.0.1 (dans notre exemple mais on peut en prendre une autre), dans "masque de sous-réseau" on doit avoir 255.255.255.0 et dans "passerelle" rien, pour l’instant nous n’avons pas partagé notre connexion internet. On peut aller dans l’onglet "options" pour choisir les options qui nous conviennent ; dans l’onglet information on peut lire les renseignements sur sa carte et plus particulièrement son adresse matérielle ou adresse MAC qui est unique pour chaque carte (ifconfig donne ce renseignement sous "HWaddr") .Ok. Le fichier de configuration est alors écrit.

C ) Les fichiers

1)Sous Mandriva

On peut vérifier que ce paramétrage sera bien pris en compte (et conservé lors du redémarrage) dans le fichier /etc/sysconfig/network-scripts/ifcfg-eth0 (pour la carte eth0, ifcfg-eth1 pour la carte eth1 etc...). Il doit ressembler à cela (on peut évidemment le remplir à la main si on n’utilise pas le centre de contrôle de Mandriva, les lignes marquées d ’un # sont des commentaires) :

networkDEVICE=eth0
BOOTPROTO=static
#protocole statique par opposition à DHCP qui négocie seul l'attribution des adresses
IPADDR=192.168.0.1
#adresse ip choisie
NETMASK=255.255.255.0
# c'est le masque de sous-réseau, il comporte les 254 adresses de cette classe.
NETWORK=192.168.0.0
# c'est le réseau lui-même d'ou le 0 à la fin.
BROADCAST=192.168.0.255
#diffusion en français. Indique en liaison avec le masque de sous-réseau que la plage de diffusion se fait pour les machines 192.168.0.1 à 192.168.0.254
ONBOOT=yes
# on lance l'interface au démarrage
HWADDR=xx:xx:xx:xx:xx:xx
# adresse MAC
METRIC=10
# etc... selon les options choisies

2)Sous debian

http://linux.developpez.com/faq/?page=configdebian#debnetconf

http://www.debian.org/doc/manuals/reference/ch-gateway.fr.html

Pour toute machine située dans un réseau local ou derrière un routeur, la configuration passe principalement par le fichier /etc/network/interfaces dont voici un exemple :

auto eth0

iface eth0 inet dhcp

pre-up ifconfig eth0 hw ether 00:60:08:11:51:D7

up vi start

auto eth1

iface eth1 inet static

address 192.168.2.1

netmask 255.255.255.0

broadcast 192.168.2.255

Chaque interface réseau doit être activée par la ligne « auto ethX ». Ce fichier est pour une passerelle, internet étant sur eth0 et le réseau interne sur eth1. Les 2 exemples présentés montrent une configuration en IP statique pour eth1, les paramètres parlent d’eux-mêmes, et eth0 est quant à elle configurée en DHCP pour acquérir ses paramètres automatiquement. L’interface locale quant à elle a la configuration particulière "loopback". La ligne "up" suivie du nom d’un script iptables permet de démarrer automatiquement le firewall dès que l’interface réseau est configurée, ce qui permet d’avoir une protection immédiate et de ne pas laisser le réseau une seule fraction de seconde sans défense. C’est le meilleur endroit pour placer votre script iptables. Plutôt que d’éditer le fichier à la main, vous pouvez lancer l’assistant de configuration en mode console par la commande dpkg-reconfigure etherconf.

Il y a aussi avec les commandes ethtools ( apt-get install ethtool ) mii-tool, net-tools ( apt-get install nettools ) et mii-diag ( apt-get install mii-diag ).

Si on reçoit internet par une interface configurée en static, alors il est important de mettre en paramètre une autre ligne qui défini le routeur pour aller vers le net (ici 192.168.1.1) :

gateway 192.168.1.1

Une fois le fichier interfaces modifié, vous devez réinitialiser le réseau par la commande /etc/init.d/networking restart pour que la nouvelle configuration soit prise en compte.

Pour une configuration en IP statique, n’oubliez pas d’indiquer les serveurs de résolution de nom dans le fichier /etc/resolv.conf (cf. Q/R sur la configuration générale du réseau).

Dans le cas d’une connexion PPPoE (par exemple si votre carte réseau est directement connectée à un modem ADSL), utilisez le script pppoeconf qui écrira les bonnes options dans les fichiers de configuration adéquats.

D ) Un nom d’hôte

Pour changer le nom de la machine jusqu’au prochain allumage :

hostname ton_nouveau_nom

Seulement ça n’est pas tout, si on veut conserver notre nom d’hôte dans notre prompt et ne pas se retrouver avec un "localhost" au prochain redémarrage il faut affecter à la machine la variable HOSTNAME.

Attention : en fin de manipulation, pensez dans ce cas à bien informer /etc/hosts :

127.0.0.1 localhost ton_nouveau_nom

1)Sous Mandriva

on va donc le faire (sous root avec l’éditeur de votre choix) dans le fichier /etc/sysconfig/network comme ceci (# indique des commentaires)

HOSTNAME=ton_nouveau_nom #voici la ligne à ajouter
NETWORKING=yes #ça y était déjà

On enregistre (attention il est prudent avant de modifier un fichier d’en faire une copie avec une extension *.bak ou *.old : en cas d’erreur il sera facile de revenir en arrière).

Dans les nouvelles versions de Mandriva (2007 et plus récent), on peut modifier le fichier /etc/rc.d/rc.sysinit :

#HOSTNAME=`/bin/hostname`

HOSTNAME= ton_nouveau_nom

On commente la première ligne pour la remplacer par la seconde. Cependant, une modification dans /etc/sysconfig/network est prioritaire.

On relance les services réseaux (toujours sous root bien sûr) :

# service network restart

Vous pouvez constater qu’en ouvrant une console l’invite a changé et contient désormais votre nom de machine. Si vous redémarrez vous conservez ce nom. La commande "hostname" permet aussi d’afficher le nom d’hôte défini dans la variable HOSTNAME.

Ceci dit, beaucoup de programmes fonctionnant avec le nom de l'ordinateur, il est préférable de rebooter après pour être sûr que tout soit bien configuré.

À tester :

Bon je fais un copier-coller de la console de ma machine, sans relance 
de session, sous root pour avoir tout (c'est rigolo) :
***********************************
[root@gaia andre]# /bin/hostname
gaia.terre
[root@gaia andre]# /bin/hostname essai.bete
[root@gaia andre]# /bin/hostname
essai.bete
[root@gaia andre]# cat /etc/HOSTNAME
gaia.terre
****************************
mais c'est pas tout :
*****************************
[root@gaia andre]# env | grep -i hostname
HOSTNAME=gaia.terre
[root@gaia andre]# hostname
essai.bete
**********************
retour au point de départ :
**********************
[root@gaia andre]# /bin/hostname gaia.terre
[root@gaia andre]# hostname
gaia.terre
[root@gaia andre]# cat /etc/HOSTNAME
gaia.terre
*****************

2)Sous debian

Pour debian, voir : /etc/hostname qui ne contient qu'un mot, le mon du PC !

E ) Les adresses des PC du réseau

En pratique et pour la suite il serait utile de configurer aussi un nom de machine ou nom d’hôte pour les PC du réseau. Celui-ci se trouve dans le fichier /etc/hosts et se présente en 3 zones ainsi :

127.0.0.1 'nom'        'alias'

"nom" correspond à "nom_de_machine.nom_de_réseau.nom_de_domaine" ; "alias" est généralement le nom seul de la machine. Le nom de réseau peut être ce qu’on veut dans la mesure où son utilisation n’est que locale.

On peut modifier ceci directement sous root en éditant le fichier /etc/hosts (chaque zone est séparée par un espace) ou avec le centre de contrôle —> Réseau et Internet —> gérer les définitions d’hôtes.
On sélectionne l’adresse IP puis on modifie le nom d’hôte et les alias (interface avec plusieurs champs pour faciliter les choses), par exemple

127.0.0.1 localhost.localdomain localhost
# cas d'une machine non connectée en réseau

Il peut y avoir plusieurs hôtes : 127.0.0.1 (la boucle locale) sera appelée localhost.localdomain avec comme alias localhost ; 192.168.0.1 (l’adresse de notre interface réseau - eth0- sera appelée par le nom de notre machine dans notre réseau et domaine. Une seule interface par ligne. Par exemple :

127.0.0.1 localhost.localdomain localhost
#notre carte réseau(eth0) qui sera aussi le nom de notre serveur sur le réseau.
192.168.0.1 serveur.chezmoi.fr serveur
#etc... pour les autres machines du réseau en utilisant l'adresse IP attribuée à leur carte réseau et leur nom d'hôte complet.

On fait la même chose pour les différentes machines de notre réseau en évitant bien sûr de leur affecter la même adresse et le même nom de machine (à part localhost qui correspond à la boucle locale : une machine est toujours 127.0.0.1 localhost pour elle-même). Il serait en revanche logique dans notre cas de leur affecter les mêmes réseau et domaine. Par exemple pour la première machine :

#La boucle locale
127.0.0.1 localhost.localdomain localhost
#Carte réseau et donc nom de cette machine sur notre réseau privé
192.168.0.10 client1.chezmoi.fr client1
#Le serveur
192.168.0.1 serveur.chezmoi.fr serveur
# etc... pour toutes les machines du réseau.

Ça n’est bien sûr pas indispensable mais ça va être pratique pour nommer les machines "humainement" dans un réseau, parce que franchement 192.168.0.1, 192.168.0.10 etc... on peut constater que l’esprit humain n’est pas très fort à mémoriser ce genre de truc. C’est à cela que sert le fichier /etc/hosts, ce fichier devra être dupliqué sur tous les ordinateurs du réseau. C’est ici qu’on listera les autres machines faisant partie de notre réseau donc autorisées. Une ligne par machine en commençant par l’adresse et ceci sur chaque machine du réseau. Nous (les humains) pourrons ainsi, grâce à cette correspondance, désigner les machines par leurs noms et pas uniquement par leurs adresses IP.

On peut également voir des fichiers hosts.deny et hosts.allow qui permettent d’affiner respectivement les interdictions et autorisations de connexions, nous aurons l’occasion d’en reparler par la suite.

Une dernière chose : si nous considérons que notre machine 192.168.0.1 est celle qui va contenir les fichiers à partager et que nous utilisons donc comme serveur, les autres étant clientes, il est préférable d’affecter à cette tâche la machine la plus puissante.

Pour vérifier si le réseau est fonctionnel on utilise la commande ping dans un terminal pour voir si les machines répondent :

$ ping 192.168.0.1

Et ainsi de suite pour les autres machines. Pour arrêter le processus [Ctrl-c].

Voilà une fois cela fait on devrait être prêt pour choisir un protocole de communication et le mettre en place.

Il est aussi possible de définir un serveur DNS pour le réseau local. Cette manipulation, bien que plus lourde à mettre en oeuvre, simplifiera la maintenance du réseau.

$ nmap -sP 192.168.0.*

Cette commande vous informera de tous les PC présents sur votre réseau,

F ) Changer la mac adresse

http://newbie.opentech.be/forum/viewtopic.php?t=44

Pour certaines raisons tout à fait louables, il peut parfois être nécessaire de devoir changer la mac adresse de sa carte réseau. Par exemple quand momentanément, on change un serveur sous Ip dynamique.

Avec debian, voila comment changer cela au démarrage et donc faire "comme si" le changement était définitif en utilisant la directive pre-up de /etc/network/interfaces :

# le fichier /etc/network/interfaces
auto eth0
iface eth0 inet static
pre-up ifconfig eth0 hw ether 0A:0B:AA:89:68:34
address 192.168.0.10
netmask 255.255.255.0
gateway 192.168.0.1

VII ) ftp

A ) La configuration du serveur

ftp est un protocole de transfert de fichiers (File Transfert Protocole) qui permet d'échanger des fichiers entre ordinateurs.

Le serveur ftp se configure avec le fichier /etc/proftpd.conf car nous avons choisi le serveur ftp proftpd. Il existe aussi wu-ftp qui avait plus de failles de sécurités. Le rpm étant déjà installé (en cas de besoin : « urpmi proftpd », on n'a plus qu'à configurer le système. puis relancer le démon : « systemctl restart proftpd »( ou utilisation : /etc/init.d/proftpd {start|stop|status|restart|reload|resume|suspend} avec les vieilles versions).

Parfois, les personnes auxquelles on donne un accès ftp n'ont peut-être pas besoin d'accéder à d'autres services sur le PC. Par exemple, elles n'ont peut-être pas besoin de se loger, d'avoir accès à la ligne de commande. Par sécurité, on peut donc leur enlever ce droit. Ceci se fait en choisissant un shell spécial : /bin/false. Et pour que cette option puisse se paramètrer en ligne de commande (sans rentrer manuellement dans le fichier /etc/password), il faut rajouter la ligne /bin/false dans /etc/shell si elle n'y est pas.

Pour plus de renseignements sur , voir /etc/proftpd.conf :http://linux.tnc.edu.tw/techdoc/proftpd-userguide/userguide.html ou http://matthieu.bouthors.org/wiki/doku.php?id=linux:proftpd

Voici un exemple commenté de fichier :

# Cette ligne, comme toutes celles qui commencent par un dièse (#), est un commentaire

# Les commentaires seront placés devant les paramètres

# Le nom du serveur. C'est le nom qui s'affiche lors de la connexion d'un client.

ServerName "Troumad"

# Le démon ftpd sera toujours actif et c'est lui qui répondra aux sollicitations des clients FTP.

# Un autre réglage pourrait être xinetd pour que ce soit xinet qui,

#à la demande du client ne réveille le démon.

ServerType standalone

# c'est pour des hôtes virtuels je/nous n'en sommes pas là.

DefaultServer on

# C'est pour autoriser les clients à reprendre un téléchargement vers le serveur.

AllowStoreRestart on

# on pourrait changer le port, mais bon..., c'est le port 21 qui normalement sert au ftp

Port 21

# Umask 022 est un bon standard : On enlève les droits d'écriture au groupe et aux autres

Umask 022

# Nombre à limiter pour la sécurité

MaxInstances 30

# L'utilisateur normal est nobody, son group est nogroup. nobody est fait pour ça.

User nobody

Group nogroup

<Limit LOGIN> # Qui peut faire du ftp?

DenyAll # personne, obligatoire pour ici, pour d'autres services ce n'est pas le cas

AllowGroup ftp # sauf les membres du groupe ftp

</Limit> # c'est juste une protection...

# les clients authentifiés ont le droit de mettre à jour leurs fichiers

<Directory /*>

AllowOverwrite on

</Directory>

#Pour permettre aux "anomymes" de se connecter décommenter les lignes suivantes

#<Anonymous ~ftp> # configuration de base, permettant le téléchargement à partir du rép. /var/ftp

# User ftp

# Group ftp

# UserAlias anonymous ftp

# MaxClients 10 # 10 connexions maxi en anonymous

# RequireValidShell off

# AnonRequirePassword off # pas de mots de passe valide

# <Limit WRITE>

# DenyAll # sans droits d'écriture.

# </Limit>

# <Directory depot/*> # répertoire de dépot

# <Limit READ>

# DenyAll # on ne peut pas lire

# </Limit>

# <Limit STOR>

# AllowAll # mais écrire

# </Limit>

# </Directory>

#</Anonymous>

# Needed for NIS.

PersistentPasswd off

# Message de bien-venue lors de l'identification (%u donne le nom de l'utilisateur)

AccessGrantMsg "Bienvenue %u chez Troumad"

DeferWelcome off

# Message qui s'affiche en ligne de commande au début de la communication

ServerIdent on "Serveur FTP Troumad prêt"

AllowForeignAddress on

# Chemin par défaut pour tous (personne de désigné) sauf moi (il y a un '!' devant mon nom)

# on peut mettre aussi bien des groupes que des utilisateurs.

# Tous, sauf moi, auront donc un chemin par défaut le répertoire public_html dans le répertoire

# personnel, et ne pourront voir ce qu'il y a plus vers la racine.

DefaultRoot ~/public_html !troumad

DefaultRoot / troumad

Ne pas oublier de relancer le démon après chaque modification du fichier de configuration afin qu'elles soient prises en compte.

B ) Certificat SSL

http://www.modssl.org/docs/2.8/ssl_faq.html#ToC27

http://lea-linux.org/reseau/proftpd.html

en premier lieu il te faut créer un CA:

1) mkdir /var/myca
  cd /var/myca

2) créer un nouveau CA:
/usr/share/ssl/misc/CA.sh -newca
cela va créer demoCA/cacert.pem et demoCA/private/cakey.pem (certificat CA and clef privée)

3) Faire le CSR du serveur:
openssl req -newkey rsa:1024 -nodes -keyout newreq.pem -out newreq.pem

4) signer avec le certificat CA:

/usr/share/ssl/misc/CA.sh -sign

5) Puis deplacer les certificats dans les repertoire voulus:

cp demoCA/cacert.pem /usr/var/proftp-data/cacert.pem
% mv newcert.pem /usr/var/proftp-data/servercrt.pem
% mv newreq.pem /usr/var/proftp-data/serverkey.pem
% chmod 400 /usr/var/proftp-data/serverkey.pem

Répéter les étapes 3), 4) et 5) pour le client et le tour est joué

C ) gproftpd

Il existe une interface graphique pour proftpd : gproftpd. Elle s'installe avec « urpmi gproftpd » et se lance par« gproftpd ». Son utilisation semble simple quand on sait ce qu'on souhaite.

VIII ) ssh

A ) Présentation

Tout d'abord, qu'est-ce que ssh. Principalement ce sont deux exécutables, un serveur (sshd) et un client (ssh), qui permettent d'ouvrir une console distante (à la manière de telnet), de manière sécurisée. D’autre part Il permet également la copie de fichier d'une machine à une autre (sans partage de disque!) à l'aide de scp, le tunelling sécurisé de port TCP, et peux même compresser les données ainsi transmises (utile sur des lignes à faible débit) ou rediriger les requêtes X, permettant par là même affichage d'une application sur une machine distante.

SSH signifie Secure SHell. C'est un protocole qui permet de faire des connexions sécurisées (i.e. cryptées) entre un serveur et un client SSH. Nous allons utiliser le programme OpenSSH, qui est la version libre du client et du serveur SSH.

Un serveur ssh est très important car il permet de prendre le contrôle de la machine à distance : d'avoir la main en ligne de commande. Il y a aussi le protocole telnet qui marche très bien mais pour des raisons de sécurité, il est devenu obsolète. ssh est choisi car les transferts de données sont codés : les mots de passe ainsi que les informations ne circulent pas en clair sur le réseau.

Comme on l'a vu ci-dessus, ssh permet de se connecter à une machine distante. Cela nécessite donc une identification et une authentification (un compte valide doit donc exister sur la machine distante).

B ) Installation

Pour l'installer, il faut faire « urpmi openssh-server » ou « urpmi ssh-server ».

Le fichier de configuration du serveur est /etc/ssh/sshd_config , celui du client est /etc/ssh/ssh_config. Le démon est systemctl restart sshd (Utilisation : /etc/init.d/sshd {start|stop|restart|reload|condrestart|status} avec les vieilles versions) . Voici un exemple commenté :

#Port 22 # port par défaut

Protocol 2,1 # choix entre les protocoles 1 et 2

PermitRootLogin no # surtout interdire à root de pouvoir faire directement un accès en ssh

# On peut tout de même prendre le contrôle administrateur en faisant su

# ceci est plus sécurisant car le « su » laisse plus de trace dans les log

X11Forwarding yes # on peut renvoyer l'affichage

UsePrivilegeSeparation yes

#Compression yes # en plus d'être codé, le ssh est comprimé.

# ssh offre en plus la possibilité de faire du sftp, un protocole semblable à ftp,

# mais cette fois, c'est codé et compressé

Subsystem sftp /usr/lib/ssh/sftp-server

# Une protection pour ne permettre l'accès qu'à certaines personnes en ssh.

#DenyGroups * # interdire tous les groupes cités

#AllowGroups * # permettre à tous les groupes cités, ceci interdit l’accès aux autres

#DenyUsers * # interdire tous les utilisateurs cités, les autres sont autorisés

AllowUsers troumad cjm # cette ligne ne permet qu'aux deux comptes cités de pouvoir se loger

# et du même coup elle interdit aux autres l’accès au serveur ssh

# donc le DenyUsers devient inutile (comme avec les groupes)

Banner /etc/ssh/banniere # le lien vers la bannière pour prévenir d'éventuels pirates

Ne pas oublier de relancer le démon après chaque modification du fichier de configuration afin qu'elles soient prises en compte.

Pour utiliser ssh, il faut en ligne de commande faire « ssh login@serveur ». Après avoir tapé le mot de passe on a une ligne de commande sur le serveur.

Le fichier /etc/ssh/banniere peut être par exemple :

###########################################
#                                         #
# ATTENTION ZONE PRIVÉE INTERDITE D’ACCÈS #
#       AUX PERSONNES NON AUTORISÉES      #
#                                         #
###########################################

Ce message s'affichera avant même de rentrer le mot de passe, pour pouvoir porter plainte contre d'éventuels pirates, la présence de ce message est obligatoire. Il est aussi possible de mettre un message du même genre dans /etc/motd, mais ce message s'affichera après la connexion et quelque soit le mode de connexion.

C ) Utilisation

Pour l'identification, l'identité du compte (nom d'utilisateur) à utiliser sur la machine distante est envoyé au serveur distant (nom d'utilisateur). Par défaut, l'identité de la machine cliente est utilisé, sinon pour en stipuler un, il y a deux manière de l'écrire (qui sont équivalentes), soit par l'option -l, soit dans l'URL (adresse) du serveur avec un @ (à la manière des courriels). Les deux exemples ci-dessous sont donc identiques :

ssh -l jean monserveur.com

ssh jean@monserveur.com

Pour l'authentification , il y a (au moins) deux méthodes.

La première, classique, et que certains d'entre vous utilisent déjà, consiste à donner le mot de passe. Le serveur sshd va utiliser ce mot de passe (qui transite de manière cryptée, bien évidemment) pour s'identifier sur le système distant. Cela signifie donc que vous pouvez avoir des identités et des mots de passes différents sur les deux systèmes. L'avantage, c'est que mis à part le post-it collé sur votre écran , personne ne devrait arriver à découvrir le mot de passe, même en cas de compromission du poste client (le poste serveur ou distant, c'est une autre affaire). Le désavantage, c'est que cela demande de se souvenir d'un n^ième mot de passe et bien évidemment une interaction (quid des scripts etc... ?). Pour palier à ce problème, il y a une autre méthode d'identification.

Nb : comme je travaille sur plusieurs PC, afin d'identifier facilement sur lequel je suis, j'ai modifié le fichier « /etc/bashrc » afin qu'il mette en couleur le nom du PC : http://troumad.free.fr/Linux/prompt.zip . Ce fichier est automatiquement pris en compte par votre fichier .bashrc grâce aux lignes suivantes :

# Source global definitions

if [ -f /etc/bashrc ]; then

. /etc/bashrc

fi

D ) Ouverture de sessions graphiques

Si dans une fenêtre texte logée par ssh sur un autre PC, on lance une application graphique, cette dernière va s'afficher sur notre écran et sera exécuté sur l'autre PC. Ceci peut être pratique pour exécuter « mcc » afin de réparer graphiquement un PC dont l'interface graphique est inactive (window manager planté, serveur sans écran... ). Le réseau interne doit être protégé si on travaille sous telnet car tout passe en clair. De façon générale, il est conseillé, même pour un réseau interne de travailler sous ssh.

Pour y arriver on doit configurer le serveur en activant cette ligne dans /etc/ssh/sshd_config :

X11Forwarding yes # on peut renvoyer l'affichage

Le client, lui doit avoir la ligne suivante dans /etc/ssh/ssh_config :

ForwardX11 yes

Ceci peut se faire même en dehors d'un réseau local, mais la vitesse de connexion limite les transferts de manière radicale !

E ) Génération des paires de clef privée/publique

http://www.linux-france.org/prj/edu/archinet/systeme/x2500.html

La méthode par clef publique (la serrure), et clef privée (la clef). Dans ce mode, la clef publique est réellement à l'image d'une serrure, il faut la copier (ou l'installer) sur le serveur distant. La clef privée sera ensuite utilisée (comme une clef sur une serrure) pour s'identifier auprès de ce serveur. Il est donc important de protéger sa clef privée. Pour générer une paire de clef privée/publique, il faut utiliser l'utilitaire ssh-keygen. La commande suivante devrait créer une paire de clef publique/privée rsa de 1024 bits (par défaut) :

ssh-keygen -t rsa

Dès ce moment, deux fichiers sont créés dans le répertoire (caché) $HOME/.ssh :

id_rsa, qui contient la clef privée

id_rsa.pub qui contient la clef publique

Il est donc IMPORTANT que ce répertoire (.ssh) soit accessible en lecture/écriture UNIQUEMENT par l'utilisateur de ce répertoire, et interdit aux groupes (group) et aux autres (others)! Sans quoi il est facile de voler la clef privée.

Bon, petite précision ici. Lors de la génération de la clef, ssh va vous demander une "passphrase". Cette passphrase vas être utilisée pour CRYPTER la clef privée Ainsi, même en cas de compromission du client, ou de vol de la clef publique, cette dernière n'est pas utilisable sans la passphrase. Si on n'entre pas de passphrase, alors la clef privée n'est pas cryptée et est donc lisible par tout un chacun, si ce chacun à accès, d’une manière ou d’une autre, au répertoire $HOME/.ssh. En revanche une fois cryptée, cette clef est difficilement utilisable sans la passphrase. Contre partie du cryptage, ssh va avoir besoin de la passphrase pour décripter la clef privée. Nous avons donc perdu l’avantage de la non utilisation du mot de passe pour l’identification ? Non, ssh-agent est votre ami (man ssh-agent pour plus d'info), il va garder la passphrase en mémoire et l'utiliser pour expédier la clef publique au serveur. Voir chapitre suivant : G) Se logguer par SSH sans taper de mot de passe

Normalement chaque utilisateur souhaitant employer SSH avec l'authentification RSA ou DSA devra créer une fois pour toute la clef d'authentification dans $HOME/.ssh/identity, $HOME/.ssh/id_dsa ou $HOME/.ssh/id_rsa :

rsa1 créé par ssh-keygen -t rsa crée le fichier : identity

rsa2 créé par ssh-keygen -t rsa crée le fichier : id_rsa

dsa créé par ssh-keygen -t dsa crée le fichier : id_dsa

Je conseille de créer les 3, avec la même passphrase, de donner la priorité la plus faible à la rsa1, mais d'en avoir une quand même : il y a encore des machines un peu vieilles qui ne supportent que ça.

Pour modifier votre "passphrase" sur une clé privée DSA, utilisez la commande :

ssh-keygen -p -f ~/.ssh/id_dsa

En résumé, l'ordinateur sur lequel on est physiquement a une clef privée ~/.ssh/id_rsa et celui sur lequel on se connecte par ssh a la clef publique~/.ssh/id_rsa.pub qu'on renomme ~/.ssh/authorized_keys .

authorized_keys. Ce fichier peux contenir plusieurs clefs, donc si c’est ce que vous désirez, il vous suffit alors d’y ajouter une ligne avec le contenu du fichier id_rsa.pub au moyen de n’importe quel éditeur de texte. Je donne en exemple l'utilisation de scp, pour la copie du fichier id_rsa.pub

Pour récupérer une clef privée sur le serveur et la mettre sur un client :

scp jean@nomserveur:/home/jean/.ssh/id_rsa /home/jean/.ssh/

Il faut aussi renommer id_rsa : mv ~/.ssh/id_rsa ~/.ssh/identity

F ) Utilisation de scp

La commande scp copie un fichier vers ou à partir d'une machine distante d'une façon sécurisé.

# scp user@example.com:/COPYRIGHT COPYRIGHT

user@example.com's password: *******

COPYRIGHT 100% |*****************************| 4735

00:00

#

Les arguments passés à scp sont similaires à ceux de cp, avec le ou les fichiers en premier argument, et la destination en second. Puisque que le fichier est copié via le réseau, par l'intermédiaire de SSH, un ou plusieurs des arguments prennent la forme utilisateur@machine_distante:<chemin_du_fichier>.

L'exemple donné est fait avec échange de clef (chapitre précédent) activé pas ssh_agent (vois chapitre suivant).

G ) Se loguer par SSH sans taper de mot de passe

1)Le principe

Cette section s'adresse à ceux qui utilisent un couple de clés publiques / privées, et qui ont crypté leur clef privée avec une pass phrase (c'est la configuration la plus sûre). Par conséquent, le client SSH demande la pass phrase à chaque utilisation des clés pour s'authentifier.

Pour éviter d'avoir à taper systématiquement sa pass phrase, il faut utiliser ssh-agent : ce programme tourne en tâche de fond et garde la clef en mémoire. La commande ssh-add permet de donner sa clé à ssh-agent. Ensuite, quand vous utilisez le client SSH, il contacte ssh-agent pour qu'il lui donne la clé.

2)La pratique

http://www.linux-france.org/prj/lfoyer/doc/html/ssh.fr-7.html ou http://cert.in2p3.fr/openssh.html

Dans une console, ouvrez un screen avec ssh-agent en tâche de fond :

% ssh-agent screen

Puis donnez votre clé à l'agent :

% ssh-add

Il vous demande alors votre pass phrase. Maintenant que votre clef a été transmise à l'agent, vous pouvez vous connecter sans entrer de mot de passe à toutes les machines pour lesquelles vous avez mis votre clé publique dans le fichier ~/.ssh/authorized_keys.

Attention : cette manipulation n'affectera que cette console, pas les autres !

Il faut aussi configurer correctement le serveur ssh. Dans le fichier /etc/ssh/sshd_config, il faut que les lignes suivantes soit déactivées :

RSAAuthentication yes

PubkeyAuthentication yes

AuthorizedKeysFile %h/.ssh/authorized_keys

Il est possible de mémoriser la clef publique pour toute la session :

Dans ~/.xsession  lancer le window manager avec ssh-agent (ceci est mis automatiquement par Mandriva !) :

ssh-agent twm

3)Automatisation en mode graphique

Il est possible que ssh-agent soit lancé automatiquement et que vous ayez une fenêtre qui s'ouvre au début de votre session graphique pour demander votre « passphrase ». Comme ça, tout votre environnement de travail connaît votre clef. Ceci rend inutile la suite des manipulations de ce chapitre en simplifiant bien la vie.

Au début de chaque session entrer « ssh-add » qui enregistre la 'pass phrase' et donne l'accès à la clef privée pour toute la session.

Il est également possible d'utiliser le package ssh-askpass (disponible dans un package séparé par urpmi ssh-askpass) qui offre une invite X11 pour demander la 'pass phrase'. Pour cela, dans ~/.xsession  lancer le windows manager avec ssh-agent (startx ou bien ~/.xinitrc ou bien ~/.xsession *) :

exec ssh-agent sh ~/xsession-twm     // le window manager qui sera lancé par le script

                                     // xsession-twm sera un fils de ssh-agent

Dans ~/xsession-twm :

ssh-add < /dev/null       // ssh-add dont l'entrée est redirigée sur /dev/null

        // utilise ssh-askpass pour demander la pass phrase pour fournir la clef à ssh-agent

twm     // lance le window manager

* : Ces fichiers sont optionnels, ils servent à outrepasser la configuration par défaut (dans /etc/X11/xinit/xinitrc /etc/X11/Xsession) pour un utilisateur particulier.

4)Automatisation en mode texte

Il suffit de mettre les lignes suivante dans ~/.bash_profile :

if [ -r $HOME/.ssh/identity -o -r $HOME/.ssh/id_dsa -o -r $HOME/.ssh/id_rsa ]; then

if [ ! -d $HOME/.keychain ]; then

keychain

fi

fi

Après, il faut installer keychain : « urpmi keychain »

H ) Quelques commutateurs

Cette liste est très loin d’être exhaustive. Un man ssh ou la lecture de la documentation vous donnerons bien d’autres commutateurs communs à ssh et scp.

-C permet de compresser les données, niveau par défaut moyen (utile pour bande passante faible)

-o CompressionLevel=X en conjonction avec -C permet d'adapter la compression à utiliser (0=faible ou nul, 9=forte, par défaut, ce niveau est à 5)

-X permet de rediriger les requêtes X d’une application s’exécutant sur la machine distante vers la machine cliente (connectée)

-L permet de rediriger un port, en connexion locale (127.0.0.1) vers un autre port d’une machine se trouvant dans le même sous-réseau de la machine distante (voir chapitre suivant).

I ) Tunnel ssh (redirection de ports)

Tunel ssh se dit aussi « Tunneling ».

Le client doit être configuré pour accepter le tuneling. Ceci se configure dans /etc/ssh/ssh_config en activant la ligne suivante :

ForwardAgent yes

http://slwww.epfl.ch/SIC/SL/Securite/outils/ssh-install.html#port-forwarding

Un autre intérêt du ssh est de pouvoir faire du tunneling ou port forwarding. Ceci consiste à rediriger un appel à travers le canal ssh. Pour ceci, à partir de HOST1, 'instruction est : « ssh -L p1:HOST3:p2 mon_login@HOST2 ». Cette manipulation permet en appelant le port p1' du PC client (HOST1) d'avoir le port p2 de HOST3 ce qui est intéressant si le port p2 de ce PC est protégé par un fire-wall.

Ceci peut aussi être fait à partir de HOST2 : ssh -R p1:HOST3:p2 root@HOST1.

Bien sûr, il faut avoir un contrôle administrateur sur le PC HOST1, donc la manipulation à partir de HOST2 est à éviter puisqu'elle requiert de permettre le SSH en tant que root.

Admettons le cas de figure suivant :

J'ai une machine serveur (192.168.0.1) sur un réseau local, tournant PostGreSQL sur le port 5432 (par défaut pour PostGreSQL). Une passerelle branchée sur l'Internet à l'adresse externe 64.32.74.12 (l'adresse est inventée! je ne sais pas à qui elle appartient) fait tourner sshd (le serveur) sur le port 22 (standard). Avec un client ssh il est dès lors possible de communiquer avec une application cliente PostGreSQL sur le serveur distant d'adresse interne, de manière sécurisée (éventuellement de compresser les données) au travers d'internet. Voici comment procéder :

ssh -L 5432:192.168.0.1:5432 un_compte_ssh_sur_passerelle@64.32.74.12

Maintenant en connectant l'application cliente de PostGreSQL sur localhost (ou 127.0.0.1), elle sera en communication, transparente pour elle, avec le serveur 192.168.0.1 se trouvant sur l'Internet à 64.32.74.12. En fait ssh va écouter le port 5432 localement (sur l'adresse localhost ou 127.0.0.1), tout ce qui y parvient est alors crypté et expédié en direction du port 22 vers 64.32.74.12. Sur cette machine, ces messages sont décryptés et expédié en direction du port 5432 vers 192.168.0.1. Les réponses suivent le chemin inverse.

Un autre exemple, soit une machine NT à l'adresse 192.168.0.1, alors

ssh -L 135:192.168.0.1:135 nom@64.32.74.12

ssh -L 137:192.168.0.1:137 nom@64.32.74.12

ssh -L 138:192.168.0.1:138 nom@64.32.74.12

ssh -L 139:192.168.0.1:139 nom@64.32.74.12

Un coup de voisinage réseau de la machine distante, devrait faire apparaître localhost (127.0.0.1) dans la fenêtre, représentant en fait le serveur NT distant.

J ) Intégration de KDE

1)kdessh

kdessh permet de faire une demande graphique du mot de passe à l'utilisateur. Cela permet de créer une icône pour un utilisateur, et le mot de passe lui est demandé graphiquement, plutôt que par l’ouverture d’un terminal (ssh étant un outils en ligne de commande). Les commutateurs sont différents et moins nombreux, veuillez vous référer à la documentation (man kdessh)

2)Konqueror

Konqueror permet d'avoir une interface de fichier graphique pour la manipulation des fichiers (renommage, copie, suppression, déplacement etc..), sur une machine distante, en utilisant ssh. Pour ce faire, taper dans la ligne d'URL (en lieu et place de file:/qqchose ou http://quqchose) fish://nom_utilisateur_ssh@nom_serveur_ou_adresse_IP:/repertoire. Konqueror s'utilise alors de manière tout à fait standard, avec manipulation des droits, drag'n drop etc...). Interface vraiment bien pratique.

K ) sftp

sftp est du ftp sous ssh (définition rapide). Pour le permettre, il faut configurer le serveur, fichier /etc/ssh/sshd_config :

Subsystem sftp /usr/lib/ssh/sftp-server

Pour avoir un accès sftp à un PC, il faut avoir accès à un shell ce qui n'est pas le cas du ftp. C'est à mon avis le gros problème de sécurité du sftp. Si on laisse l'accès en sftp à une personne, on lui laisse aussi l'accès en ssh. Le transfert des données est donc sécurisé, mais la personne en face, on ne la connaît peut-être pas!

J'ai trouvé une astuce consistant à empêcher la ligne de commande à une personne dès qu'elle veut afficher son prompt, en faisant du ssh par exemple. Voici le .bashrc de cette personne (il n'empêche pas d'ouvrir un WM, mais dans ce WM, il ne peut ouvrir de shell) :

if [ "$PS1" ]; then

exit

fi

Il existe un shell sécurisé ne permettant pas de faire du ssh : « scponly » qu'il faut installer et donne par défaut à l'utilisateur dans /etc/passwd en mettant comme shell : /usr/bin/scponly

J'ai aussi entendu parlé d'un dummy_ssh_shell, qui serait un shell ne donnant accès qu'au sftp, mais je ne l'ai jamais trouvé!

Ou en lui créant un shell chrooté avec
http://www.fuschlberger.net/programs/ssh-scp-chroot-jail/make_chroot_jail.sh
et les infos disponibles ici: 
http://www.fuschlberger.net/programs/ssh-scp-chroot-jail/
Il ne pourra pas remonter plus haut que son chroot-jail, en général, son
home-directory sur le serveur...

L ) Se connecter sur une session graphique en ssh sur un autre ordinateur

Par l'exemple :

$ xhost +
access control disabled, clients can connect from any host
$ ssh -l operateur undertaker "nohup X : 2 & " 
operateur@undertaker's password: 
$ ssh -X operateur@undertaker xcalc
operateur@undertaker's password: 
Warning: untrusted X11 forwarding setup failed: xauth key data not generated
Warning: No xauth data; using fake authentication data for X11 forwarding.
$ xhost -
access control enabled, only authorized clients can connect

M ) Astuces

tu modifies le fichier /etc/password qui contient la ligne :

toto::::/bin/bash

en

toto::::/bin/su

Comme cela, il faut connaître les deux mots de passes (toto et root) pour se connecter.

IX ) samba

A ) Installation

Sous debian : « apt-get install samba samba-common »

B ) Exemple de serveur

Samba est une suite de logiciels libres qui fournit les mêmes services de gestions de dossier et d’impression que les clients de SMB/CIFS (clients microsoft). Ceci veut dire que samba permet de partager des ressources sur un réseau comme s’il était une machine sous windows.

Le démon est le smb. Cette fois, contrairement à ftp, ssh, il faut créer un compte samba par utilisateur. On utilise en ligne de commande « smbpasswd -a username password » (je déconseille de mettre ici le mot de passe, autant ne pas le mettre, il sera demandé ensuite sans être affiché clairement et n’apparaîtra pas dans l’historique des commandes). Pour d’autres options, voir « man smbpassword » ou « smbpassword --help ».

La configuration est dans le fichier /etc/samba/smb.conf. Les fichiers par défaut sont excellents, mais beaucoup trop long. Une explication satisfaisante se trouve en faisant « man smb.conf » ou sur la page http://www.linuxfocus.org/Francais/March2002/article177.shtml. Un livre complet en ligne sur samba : http://www.oreilly.com/catalog/samba/chapter/book/index.html (je ne peux tout dire ici !).

Voici un exemple :

[global]

workgroup = Maison

# netbios name = troumad # inutile, c'est déjà le nom du pc!

server string = Samba Server %v

interfaces = 192.168.1.1 # c'est la carte réseau qui a cette adresse uniquement qui va servir

hosts allow = 192.168.1. # uniquement pour les ordinateurs d'adresse Ip 192.168.1.XXX

# on peut exclure des machines de l'accès au réseau avec EXCEPT

#d'autres possibilités existent : voir le manuel man smb

#bind interfaces only = Yes

encrypt passwords = Yes

log file = /var/log/samba/log.%m

max log size = 50

socket options = TCP_NODELAY SO_RCVBUF=8192 SO_SNDBUF=8192

dns proxy = no

# guest account = no

printcap name = cups

printing = cups

#local master = yes

preferred master = yes

domain master = yes

domain logons = yes

#logon script = logon.bat # à ne décommenter que si un script est vraiment là!

# Activer un serveur Wins pour la résolution des noms NetBios

name resolve order = wins lmhosts bcast

#wins support = no

# si oui, ne pas déclarer l'adresse IP d'une autre machine comme étant serveur Wins

# wins server = xxx.xxx.xxx.xxx# accès multi utilisateur

# share modes = yes

# choisir le mode de sécurité : user ou share

security = user

os level = 60 # assez haut pour être supérieur aux autres

#map to guest = bad user

#smb passwd file = /etc/samba/smbpasswd

client code page = 850 # pour nos petits caractères français

character set = ISO8859-1

#printer admin = @adm

#load printers = yes

[homes]

# cache les fichiers cachés au sens Linux, commençant par un point

hide dot files = yes

comment = Repertoire personnel # comentaire

read only = No

browseable = No

create mode = 0700

[partage] # Ce répertoire aura donc pour nom de partage Partage

comment =Partage

# Le répertoire à partager est /maison/ftp_fdd

path = /maison/ftp_fdd

# il pourra être accessible par tous les utilisateurs

public = yes

# liste des utilisateurs autorisés (avec ou sans virgule)

#valid users =

# tout le monde si cette ligne n'est pas mise

# A moins de déclarer des utilisateurs interdits d'accès

#invalid users =

# on pourra y écrire (bien sûr par ceux qui peuvent y accéder..)

writeable = yes

# les permissions par défaut des fichiers créés (le mot mode peut être remplacé par mask

create mode = 0740

# create mask=770 : droits par défaut d'un fichier créé sur le partage
# directory mask =770 : pareil pour les répertoires (x est obligatoire pour le propriétaire)

[printers]

comment = All Printers

path = /var/spool/samba

create mask = 0700

printable = Yes

print command = lpr-cups -P %p -o raw %s -r

# using client side printer drivers.

browseable = No

[print$]

path = /var/lib/samba/printers

write list = @adm root

[pdf-generator] # pour avoir une imprimante pdf gratuite...

path = /var/tmp

guest ok = No

printable = Yes

comment = PDF Generator (only valid users)

#print command = /usr/share/samba/scripts/print-pdf file path win_path recipient IP doc_name &

print command = /usr/share/samba/scripts/print-pdf %s ~%u //%L/%u %m %I "%J" &

Pour des partages, il est possible de se référer à des groupes NIS ( voir XVIII) serveur NIS ) où à des groupes UNIX définis sur le serveur samba. Pour cela, il faut mettre @ (NIS ou à défaut UNIX), & (NIS uniquement) ou + (UNIX uniquement) devant le nom du groupe. Voir « man smb.conf » pour plus de précisions.

Après avoir redémarré le démon smb : « systemctl restart samba » ou « /etc/init.d/smb restart » avec une ancienne version, regardez votre configuration avec : « testparm ».

C ) Client Samba

Il est entièrement possible à un PC sous LINUX de récupérer un partage windows comme tout autre PC windows. Ceci est fait par le client Samba. Vous avez un exemple au X.B)1)

Pour pouvoir faire des montages, en ligne de commande :

mount -t cifs //192.168.2.1/scann /mnt/w

mount -t cifs //192.168.2.1/scann /mnt/w -o user=troumad

Dans le premier cas c’est un partage public, dans le second, c’est un partage privé. Il est possible d’y rajouter en plus de l’utilisateur le mot de passe visible dans la commande, mais, je le déconseille. Il sera demandé après dans le prompt et ne s’affichera pas sur l’écran.

D ) À essayer

De plus, pour interagir avec un domaine, un système WinNT/2000/XP doit en être membre. Cette appartenance se réalise par l’intermédiaire d’un compte de machine, similaire à un compte utilisateur.

Il faut donc créer un compte, pour chaque machine cliente. Exemple pour la machine cliente sous WinXP ayant pour nom netbios posteclient :

useradd posteclient$ -d /dev/null -g machines -c Machine -s /bin/false

Le groupe machines doit avoir été préalablement créé (le nom de ce groupe a peu d’importance…)

Le $ qui suit le nom netbios est très important : il symbolise un compte machine.

Ce qui aura pour effet de créer une ligne dans les fichiers /etc/passwd :

posteclient$:x:510:150::/dev/null:/bin/false

/etc/shadow : posteclient$:!!:12352:0:99999:7:::

Heureusement, on peut réaliser cette dernière opération automatiquement à partir du paramètre ;

add user script = /usr/sbin/useradd %m$ -g machines -c Machine -d /dev/null -s /bin/false

%m étant une variable récupérant le nom netbios de la machine qui se connecte... dans smbpasswd

Attention, dernière chose, il y a une manipulation au niveau de la base de registre à faire sous Windows XP afin que ce dernier puisse se connecter à un contrôleur de domaine :

Démarrer/Exécuter/regedit

Mettre la clé suivante à 1 :

HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/Netlogon/Parameters/requiresignorseal

X ) httpd

http://tice.edres74.ac-grenoble.fr/rubrique.php3?id_rubrique=135

http://wiki.mandriva.com/fr/Linux-Apache-MySQL-PHP

A ) Présentation

Un serveur http est un serveur de pages WEB (html, htm...). On peut aussi mettre un serveur php et un autre MySQL très facilement afin de bénéficier du couple apache (php)/MySQL (base de donnée). Avec Mageia, le rpm à installer est apache : « urpmi apache » ou « urpmi apache2 » si ce dernier existe. Sous debian, il faut faire « apt-get install apache2 »

Le démon du serveur apache sous mageia est httpd : Usage: systemctl restart httpd (/etc/init.d/httpd {start|stop|restart|reload|graceful|condreload|closelogs|update|condrestart|status|extendedstatus|configtest|configtest_vhosts|semcleanrestart|debug|show_defines} avec les vieilles versions). Sous Debian, le nom est apache.

Normalement, sans modification de votre part, lors du lancement du serveur apache, vous aurez un site internet sur votre PC. L’emplacement des données du site est souvent /var/www/html sous Mageia ( /var/www/apache2-default sous de vieilles debian).

Sur une Mageia, les fichiers de configurations se trouvent sur « /etc/httpd/conf/ » et avec debian à « /etc/apache2 ». Ces fichiers parlent toujours de répertoires par rapport à la racine de l’ordinateur.

Si à l’écran paraît ce message "Could not reliably determine the server's fully qualified domain name,using 127.0.0.1 for ServerName", il suffit de taper en root (en remplaçant bien sûr le mot exemple par ce que vous voulez) :

[root@ordi ~]# echo "ServerName www.exemple.tld">>/etc/httpd/conf/httpd.conf

1)Petite protection en lecture

Si vous avez un répertoire sans fichiers d’entrée du type « index.php » ( indiqués par le champ « IfModule mod_dir.c » du fichier /etc/httpd/conf/commonhttpd.conf sur Mandrake ou/etc/apache2/sites-available/000-default.conf sur debian ) , il est alors possible qu’un appel à ce répertoire liste tous les fichiers contenus dans ce répertoire. Ceci peut être gênant. Vous pouvez alors intervenir sur ce comportement en modifiant le fichier de configuration précédemment cité soit la configuration de la racine de votre site, le champ « <Directory /chemin du site> », soit la racine de l’ordinateur « <Directory /> » le paramètre option sur lequel il faut intervenir : « Options -Indexes autres_options » où le « - » déclare que l’option est désactivée et « Indexes » permet l'affichage (listing) du contenu du répertoire s’il n’existe pas de fichier d’entrée. Avec debian, on trouve cette option dans le fichier suivant : /etc/apache2/apache2.conf .

Je conseille aussi de redéfinir vos pages d’erreur afin d’en faire de personnelles pour que votre système soit le moins facilement identifiable. Un message du genre : Apache/2.2.3 (Debian) DAV/2 PHP/5.2.0-8+etch7 Server at 192.168.2.1 Port 80 , indiquera immédiatement à un hacker potentiel que votre système est une Debian Etch avec la version du php et du serveur DAV. Il ne lui restera plus qu’à faire une recherche sur d’éventuelles failles de sécurité si votre système n’est pas à jour. Cette modification se fait dans le fichier /etc/apache2/apache2.conf sous Debian et /etc/httpd/conf/httpd.conf sous Mandriva aux lignes suivantes :

#ErrorDocument 500 "The server made a boo boo."

#ErrorDocument 404 /missing.html

#ErrorDocument 404 "/cgi-bin/missing_handler.pl"

#ErrorDocument 402 http://www.example.com/subscription_info.html

ErrorDocument 404 /index.php

ErrorDocument 403 /index.php

Cette modification peut aussi être protégée en annulant ou simplifiant le message avec les directives « ServerSignature Off » ou « serveurtoken prod ». Voir : http://httpd.apache.org/docs/2.0/mod/core.html#serversignature.

2)Répertoire personnel

Vous pouvez aussi avoir un site par compte, pour cela, il suffit de mettre dans le répertoire personnel de chaque compte un répertoire ~/public_html. Le site général sera à http://adresse, celui de l’utilisateur 'lambda' sur http://adresse/~lambda. L’adresse peut être l'adresse reconnue par le serveur DNS (le nom de la machine), l'adresse Ip et même localhost en local.

À partir de la version 2006 :

Installation : urpmi apache-mod_userdir

Modifications dans le répertoire /etc/httpd/modules.d (comme les modules en général) le fichier 67_mod_userdir.conf.

Sous debian :

# cd /etc/apache2/mods-enabled

# ln -s ../mods-available/userdir.* .

# /etc/init.d/apache2 restart

3)Virtualhost

Il est possible qu'un serveur apache réponde à plusieurs noms et donne une réponse différente en fonction du nom par lequel il est appelé : http://www.lycee.org ou http://www.geii.org. La redirection peut se faire assez facilement si vous possédez un nom de domaine (Voir le chapitre sur le DNS). Pour différencier les différents noms, le serveur httpd se configure assez simplement sous Mandriva alors que sous debian, cette manipulation semble plus compliquée car la configuration paraît plus poussée, j'en parlerai plus loin. Avec Mandriva, dans le fichier /etc/httpd/conf/httpd2.conf, il faut enlever les lignes NameVirtualHost, DocumentRoot et ServerName et mettre les lignes suivantes dans /etc/httpd/conf/vhosts/Vhosts.conf (attention la ligne Include conf/vhosts/Vhosts.conf de httpd2.conf doit être décommentée) :

NameVirtualHost * # * parce que j'ai une adresse ip qui n'est pas fixe

<VirtualHost *> # Premier définit : répond à l'appel par mon adresse ip : http://xxx.xxx.xxx.xxx

# ainsi qu'a tout autre appel sur le PC non défini par un virtual host

DocumentRoot /maison/bs/Troumad

ServerName www.lycee.org # répond aussi à http://www.lycee.org

</VirtualHost>

<VirtualHost *> # lors d'un appel par http://www.geii.org

DocumentRoot /maison/geii/public_html

ServerName www.geii.org

</VirtualHost>

NameVirtualHost 192.168.1.1

<VirtualHost 192.168.1.1> # un autre juste pour le réseau local!

DocumentRoot /maison/ftp_fdd/public_html

</VirtualHost>

NameVirtualHost 127.0.0.1

<VirtualHost 127.0.0.1> # pour le localhost : mon site principal, pour le travail

DocumentRoot /maison/bs/Troumad

ServerName localhost

</VirtualHost>

<Directory "/repertoire_du_site"> # voir le paragraphe « Protection intranet-extranet »

allow from all

order allow,deny

AuthType Basic

</Directory>

Avant de relancer le démon apache, on peut essayer la commande 'httpd2 -t' qui permet de vérifier la syntaxe des fichiers de configuration d'apache.

Sous debian, c'est le fichier /etc/apache2/sites-available/default qui contient une grosse section pour le répertoire /var/www/apache2-default l'endroit où est stoqué par défaut le site web.

4)Répertoires des sites web sur votre PC

Comme en plus, j’ai modifié l’emplacement habituel des répertoires, j’ai dû aussi intervenir dans le fichier /etc/httpd/conf/commonhttpd.conf.

Le 'localhost' a changé de place et n’est plus à /var/www/html (c’est un conseil pour des raisons de sécurité), je dois remplacer les occurrences de « DocumentRoot » qui étaient « /var/www/html » par « /maison/bs/Troumad » :

# This should be changed to whatever you set DocumentRoot to.

#

<Directory /maison/bs/Troumad>

Le répertoire personnel a aussi changé, je dois changer « /home/*/public_html » par « /maison/*/public_html ».

En revanche pour pouvoir utiliser le php avec ses droits d'écritures sur /maison/bs/Troumad, j'ai dû attribuer l’arborescence toute entière à apache : « chgrp -R apache /maison/bs/Troumad/* ». Cette manipulation, j’ai du la faire sous root.

Documentation sur le php : http://www.dwam.net/docs/php_fr/

5)Ajuster la charge

Si vous avez un serveur http avec une charge inhabituelle (faible ou grosse), vous pouvez agir sur les paramètres suivants (ici pour un -trop- petit serveur) :

<IfModule prefork.c>

StartServers 2

MinSpareServers 1

MaxSpareServers 3

Les nombres sont initialement 5, 5 et 10. Pour une grosse charge, vous pouvez les augmenter. Attention, ces process utilisent beaucoup de mémoire !

6)Protection intranet-extranet

Si vous avez un intranet et que vous souhaitez qu’il soit visible de l'extérieur uniquement par mot de passe, vous pouvez le configurer comme ça :

<Directory /maison/sites/linux>

Options -Indexes FollowSymLinks MultiViews

AllowOverride All

Order deny,allow

deny from all

allow from 192.168.1.1/255.255.255.0

#réseau interne en 192.168.1.X

AuthType Basic

AuthUserFile /etc/httpd/conf/htpasswd.users

# emplacement du fichier de mot de passe

AuthName "Demander l'autorisation"

require valid-user

satisfy any

</Directory>

<Directory /maison/sites>

Options -Indexes FollowSymLinks MultiViews

AllowOverride None

Order allow,deny

Allow from all

</Directory>

Pour rentrer les mots de passe : « htpasswd /usr/local/apache/conf/htpasswd.users troumad ». Après vous devrez rentrer le mot de passe. Ceci est dû au paramètre « satisfy any ». Il faut mettre le paramèrte « -c » si on veut créer u nouveau fichier.

Après la première déclaration qui ne donne accès qu'aux utilisateurs authentifiés à tous ce qui se trouve dans /maison/sites/linux, vous pouvez toujours faire une section pour un site particulier pour y attribuer des droits spécifiques, même s'il se trouve dans /maison/troumad. Ici, j'ai donné le droit à l'utilisateur troumad d'accéder à tout ce qui est dans /maison/sites.

7)Les log

Le répertoire des logs de httpd est /var/log/httpd. Vous pouvez regarder les sorties existantes ou en créer d'autres comme je l'indique si dessous.

Dans le fichier de configuration commonhttpd.conf avant Mandriva 2006 et dans httpd.conf pour mandriva 2006, repérez les lignes avec « LogFormat » comme « LogFormat "%h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\"" combined ». Le dernier mot « combined » est le nom de la forme de sortie, pour activer cette ligne, rajoutez après : « CustomLog logs/combined_log combined » et créez le fichier combined_log dans le répertoire delog de httpd. Faîtes ceci pour les différentes lignes avec LogFormat, repérez et sélectionnez les options qui vous conviennent pour faire votre fichier de log.

B ) php

1)Mandriva / Mageia

Pour pouvoir faire des pages en php, il faut installer mod_php : « urpmi apache2-mod_php » ou « urpmi apache-mod_php » . Sa configuration est dans le fichier : /etc/php.ini.

2)debian

Pour debian : http://www.destination-linux.org/article30.html

Installons les paquets requis (attention, à la version de php, le 4 peut être remplacé par 3, 5 ...) :

apt-get install apache2 php mariadb-server

Remarque : mysql-server a été remplacé par mariadb-server car mysql est passé sous le giron d’oracle.

apt-get install libapache2-mod-php

Activons le support de PHP dans Apache 2 :

ln -s /etc/apache2/mods-available/php4.load /etc/apache2/mods-enabled/php4.load

ln -s /etc/apache2/mods-available/php4.conf /etc/apache2/mods-enabled/php4.conf

La version de php a sûrement changée depuis !

Relancez apache :

/etc/init.d/apache2 restart

La configuration de php se fait par le fichier /etc/php4/apache2/php.ini.

3)Général

Voici un petit fichier d’une ligne en php vous fournira toutes les informations utiles sur votre serveur :

<? echo phpinfo(); ?>

Vous verrez qu’il y a plein de modules qu’on peut rajouter à php comme la gestion d’images avec php-gd ou la gestion d’une base de données MySQL ce que nous verrons après le serveur httpd.

Pour voir l’affichage des erreurs php (programmation ou autre), il faut modifier le php.ini et mettre "display_errors" à On.

Remarque : php peut aussi s’exécuter en ligne de commande http://www.manuelphp.com/php/features.commandline.php

Il est aussi possible de configurer votre serveur afin qu’il affiche ou non les erreurs durant l’exécution des codes php avec le fichier php.ini avec les lignes suivantes :

error_reporting = E_STRICT | E_ALL

display_errors = on

La première configurant les erreurs à afficher et la seconde active l’affichage des erreurs.

C ) WebDAV

1)Présentation

WebDAV (Web-based Distributed Authoring and Versioning) est un ensemble d’extensions HTTP permettant aux utilisateurs d’éditer et de gérer des fichiers sur des serveurs Web distants. WebDAV (généralement appelé DAV) prend en charge l'utilisation et la manipulation de documents par plusieurs utilisateurs via le Web. Pour plus d’informations sur DAV, reportez-vous au site Web WebDAV Resources à l'adresse http://www.webdav.org/.

Le module mod_dav offre des capacités DAV pour un serveur Web Apache. Pour plus d’informations sur le module mod_dav et les options de configuration, reportez-vous au site Web mod_dav à l'adresse http://www.webdav.org/mod_dav/.

2)Installation/configuration

http://www.ibiblio.org/pub/Linux/docs/HOWTO/translations/fr/html-1page/Apache-WebDAV-LDAP-HOWTO.html#N102A1 ,

Pour l’installer : « urpmi apache-mod_dav ». ou « [root@serveur][/etc/apache2/mods-enabled]# ln -s /etc/apache2/mods-available/dav* . ».

Le fichier DAVLockDB, la base de données de verrouillage pour WebDAV, est stockée sous Mandriva sur /var/lib/dav/lockdb. La configuration de WebDAV se fait dans le fichier « /etc/httpd/modules.d/45_mod_dav.conf » ( « /etc/httpd/conf.d/45_mod_dav.conf » sur des anciennes versions ) sur Mandriva ou « /etc/apache2/dav_fs.conf » sous debian.

<IfModule mod_dav_fs.c> # ligne inutile pour debian

DavLockDB /var/lib/dav/lockdb

<Directory "/maison/dav">

DAV On

</Directory>

Vous devez aussi rajouter les options de contrôle d’accès, mais pour ma part, elles sont définies pour tous les sites hébergés par mon PC dans /etc/httpd/conf/commonhttpd.conf :

<Directory /maison/*>

AllowOverride All

Order deny,allow

deny from all

allow from 192.168.1.1/255.255.0.0

# Je laisse l'accès à mon réseau interne considéré comme sur

allow from 127.0.0.1

AuthType Basic

AuthUserFile /etc/httpd/conf/htpasswd.users

# sous debian, cette ligne demande l'activation de authn_file.load

AuthName "Demander l'autorisation"

require valid-user

satisfy any

</Directory>

J'ai créé un virtual host juste pour le serveur WebDAV dans /etc/httpd/conf/vhosts.d/00_default_vhosts.conf ( /etc/httpd/conf/vhosts/Vhosts.conf pour des versions plus vieilles) : 

NameVirtualHost *

<VirtualHost *>

DocumentRoot /maison/dav

ServerName dav.lycee.org

</VirtualHost>

3)Utilisation d'un serveur DAV

Sous Mandriva, il faut commencer par installer le rpm davfs2.

D ) HTTPS

Il est possible de créer un serveur sécurisé par SSL (Secure Socket Layer). Un tel serveur possédera un url commençant par https:// (s pour « sécurisé » !). SSL est un procédé de sécurisation des transactions effectuée par Internet. Il a été mis au point par Netscape, Mastercard, Bank of america, MCI et Silicon Graphics. Tout comme SSH, il repose sur un procédé de cryptage par clé publique. Son utilisation est totalement transparente pour l’utilisateur. Ce dernier ne s’en rendra compte que lorsque le navigateur l’avertira qu’il pénètre dans une zone sécurisée et lui demandera de valider le certificat du site visité (image ci-contre.

De même, le navigateur indiquera par un cadenas qu’il est connecté à un site sécurisé par SSL.

La sécurisation se fait par échange de clés entre le client et le serveur. Le client se connecte au serveur sécurisé qui lui renvoie un certificat contenant sa clef publique. Le client, après validation du certificat, crée une clef secrète aléatoire. Cette clef est chiffrée à l’aide de la clef publique du serveur et lui a envoyée. Le serveur est le seul à pouvoir la décrypter grâce à sa clef privée. Cette clef, commune au client et au serveur, peut alors servir pour le reste des transactions.

1)Avec Mandriva (vieux tuto à arranger sûrement)

Si, lors de l’installation de Mandriva, vous sélectionnez l’installation d’Apache, OpenSSL, mod_ssl et PHP, un serveur sécurisé sera automatiquement installé et accessible via l'url: https://localhost. Le fichier de configuration se trouvera dans le répertoire /etc/httpd/conf.d/41_mod_ssl.default-vhost.conf.

Sinon, vous allez devoir installer le module apache mod_ssl « urpmi mod_ssl » et openssl « urpmi openssl ». Ensuite, vous devez modifier le fichier de configuration d'Apache /usr/local/httpd/conf/http2.conf comme suit :

Listen 443

<IfDefine HAVE_SSL> permet de charger le module mod_ssl si ce n'est déjà fait.

<IfModule !mod_ssl.c>

LoadModule ssl_module extramodules/mod_ssl.so

</IfModule>

</IfDefine>

<IfModule mod_ssl.c> si le module a été chargé, exécuter ce qui suis.. (facultatif)

<VirtualHost *:443>

port 443 = port sécurisé

DocumentRoot "/maison/Troumad/sitesecurise"

ServerName www.lycee.org:443

ServerAdmin root@localhost

ErrorLog logs/ssl_error_log où trouver le fichier de log

SSLEngine on activation de SSL

SSLCipherSuite ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP:+eNULL

liste des différents modes de cryptages autorisés

SSLCertificateFile /etc/ssl/apache/server.crt où trouver le fichier contenant le certificat du serveur

SSLCertificateKeyFile /etc/ssl/apache/server.key où trouver le fichier contenant la clé publique du serveur

</VirtualHost>

</IfModule>

Si vous désirez faire cohabiter un serveur crypté avec un serveur non crypté, il peut se révéler utile d’ajouter la ligne SSLEngine off dans le virtualhost du serveur non crypté.

Il n'est pas possible d’installer plusieurs serveurs sécurisés HTTPS sur une seule adresse IP. Il existe cependant une solution: Apache-SSL (http://www.apache-ssl.org) qui se présente comme un patch pour Apache.

2)Avec Debian

https://www.vincentliefooghe.net/content/activer-un-acc%C3%A8s-https-sur-apache

Il faut avoir un nom de domaine pleinement qualifié (nous utiliserons troumad.org dans la suite).

On commence par activer le lien entre le module SSL/TLS et apache2 :

a2enmod ssl

/etc/apache2/ports.conf devrait être configuré pour écouter le port 443 utilisé par le protocole https.

La commande suivante va demander la saisie de plusieurs paramètres. Le plus important est le name (Common Name). Il faut mettre à ce niveau le nom complet du host. Par exemple pour un serveur accédé par l'URL troumad,org

# openssl req -new -x509 -days 365 -nodes -out /etc/ssl/certs/troumad.crt -keyout /etc/ssl/private/troumad.key

Generating a RSA private key

..........................................................+++++

..........................................................+++++

writing new private key to '/etc/ssl/private/troumad.key'

-----

You are about to be asked to enter information that will be incorporated

into your certificate request.

What you are about to enter is what is called a Distinguished Name or a DN.

There are quite a few fields but you can leave some blank

For some fields there will be a default value,

If you enter '.', the field will be left blank.

-----

Country Name (2 letter code) [AU]:FR

State or Province Name (full name) [Some-State]:Rhône

Locality Name (eg, city) []:Genas

Organization Name (eg, company) [Internet Widgits Pty Ltd]:troumad

Organizational Unit Name (eg, section) []:Troumad

Common Name (e.g. server FQDN or YOUR name) []:troumad.org

Email Address []:troumad@troumad.org

Remarque : il s’agit ici de certificat auto-signé. Généralement cela signifie que les navigateurs internet vont émettre une alerte de sécurité. En effet, afin de garantir l’authenticité du certificat, ce dernier est signé numériquement soit par une autorité de certification reconnue (une AC – autorité de certification – ayant un prix assez élevé) soit par le détenteur du certificat lui-même. Dans ce dernier cas, on parlera de certificat auto-signé.

Après avoir créé une clef par nom de serveur, on les protège toutes en écriture :

chmod 440 /etc/ssl/private/*

À la suite de cela, on crée un virtual host sécurisé.

Sous debian, on crée ce lien « default-ssl.conf -> ../sites-available/default-ssl.conf » dans « /etc/apache2/sites-enabled/ » en modifiant à sa guise le document d’origine).

Voici un exemple :

# vhost https

<VirtualHost *:443>

DocumentRoot /var/www/webmail

ServerName webmail.mondomaine.com

ServerSignature Off

ErrorLog ${APACHE_LOG_DIR}/error_webmail.log

LogLevel info

CustomLog ${APACHE_LOG_DIR}/access_webmail.log combined

SSLEngine on

SSLCertificateFile /etc/ssl/certs/mailserver.crt

SSLCertificateKeyFile /etc/ssl/private/mailserver.key

</VirtualHost>

Une fois ceci fait, on relance le service apache :

systemctl reload apache2

ou, plus fort :

systemctl restart apache2

On peut vérifier le résultat avec

systemctl status apache2

Remarque : sous Mageia, ce n’est pas le service apache2, mais le service httpd.

E ) Apache sans internet

Il est parfois utile d’avoir le serveur apache lancé même si on n'a pas internet. Par exemple pour travailler un site sur son portable en voyage. Malheureusement, la configuration par défaut de Mandriva ne la permet pas !

Il faut modifier les lignes « listen » afin de ne garder que le port. Par exemple, dans /etc/httpd/conf/httpd.conf :

Listen 80

/etc/httpd/modules.d/40_mod_ssl.conf :

Listen 443

XI ) MySQL

A ) Installation

1)Les paquetages

Un des intérêts du php est de pouvoir interagir avec plusieurs bases de données dont entre autre mysql (libre et multisystème) et access (propriétaire et ne tourne que sous windows). Nous allons parler de MySQL.

Pour installer MySQL « urpmi mariadb » (mariadb est un fork libre de MySQL) sous Mandriva/Mageia ou « apt-get install mysql-server » sous debian et pour le lien entre php et MySQL : « urpmi php-mysql » ou « .apt-get install phpX-mysql » (X étant la version de php). Après il faut relancer le démon apache pour qu'il prenne en compte MySQL et lancer le démon mysql, on peut même demander à MySQL de se lancer automatiquement à chaque démarage : « /etc/init.d/httpd restart;/etc/init.d/mysql start;chkconfig mysql » (pensez avec les nouvelles versions à utiliser systemctl pour lancer les démons à la place des fichiers de init.d .

Documentations sur MySQL :

http://dev.nexen.net/docs/mysql/annotee/manuel_tocd.php

http://www.linux-pour-lesnuls.com/adminmysql.php

http://www.ac-creteil.fr/reseaux/systemes/linux/lamp/tp-mysql.htm

...

2)Répertoire des données

une base MySQL est un document de travail important, il faut donc savoir où elle est stockée. Normalement, c'est dans /var/lib/mysql, sinon un « locate » sur des fichiers type func.MYD, host.MYD, tables_priv.MYD, user.MYD, columns_priv.MYI, db.MYI, func.MYI permettront de trouver les tables à coup sur. Attention, lorsqu'on copie les bases d'un serveur vers un autre, ne pas oublier aussi de les attribuer à l'utilisateur mysql.

Les fichiers de configuration sont :  /etc/my.cnf et /etc/sysconfig/mysqld.

Pour voir les variables d'environnement : « SHOW VARIABLES; » comme instruction quand on est dans la base de données.

Attention, lors d’une copie de ses répertoires :

- il faut modifier l’utilisateur et le groupe propriétaire des fichiers pour que le service MySQL puisse y accéder avec cette nouvelle configuration.

- sous debian il y a un utilisateur particulier qui est renseigné dans /etc/mysql/debian.cnf.

3)Plus de sécurité

il vaut mieux pour la sécurité :

accès général :

  mysql> GRANT ALL PRIVILEGES ON *.*

         TO 'nouvel_adm'@'%'

         IDENTIFIED BY 'mot_de_passe' WITH GRANT OPTION;

  Nota : ne pas modifier le paramètre '%'.

accès sur une base :

  mysql> GRANT SELECT, UPDATE, INSERT, DELETE ON base_de_données.*

         TO 'nouvel_utilisateur'@'localhost'

         IDENTIFIED BY 'mot_de_passe';

  Nota : ne pas modifier le paramètre 'localhost'.

  mysql> FLUSH PRIVILEGES;

  mysql> QUIT;

(source http://wiki.mandriva.com/fr/Linux-Apache-MySQL-PHP)

Maintenant, il y a la commande mysql_secure_installation pour sécuriser le système à partir de la ligne de commande. Les questions qui suivent vont sécuriser l'installation de votre base de données. Vous pouvez y répondre de la façon suivante :

"Enter current password for root (enter for none):" À la première installation, il n’y a pas de mot de passe, taper directement ‘Entrée’.

"change the root password ?" taper y et tapez un mot de passe .

"remove anonymous users" taper y

"disallow root login remotly?" taper n

"remove test database and access to it " taper y

"reload privilege tables now" taper y

Voilà ! Vous avez renseigné les paramètres nécessaires.

4)Connexion avec l’utilisateur root

Parfois, la connexion sous root est impossible, c’est une histoire de protection : https://www.geek17.com/fr/content/debian-9-stretch-installer-et-configurer-mariadb-65 . Il faut supprimer le plugin unix_socket de root.

# mysql -u root -p

Enter password:

ERROR 1698 (28000): Access denied for user 'root'@'localhost'

sudo mysql -u root -p

MariaDB [(none)]> USE mysql;

Reading table information for completion of table and column names

You can turn off this feature to get a quicker startup with -A

Database changed

MariaDB [mysql]> SELECT plugin FROM user WHERE user='root';

+-------------+

| plugin |

+-------------+

| unix_socket |

+-------------+

1 row in set (0.00 sec)

MariaDB [mysql]> UPDATE user SET plugin='' WHERE User='root';

Query OK, 1 row affected (0.00 sec)

Rows matched: 1 Changed: 1 Warnings: 0

MariaDB [mysql]> FLUSH PRIVILEGES;

Query OK, 0 rows affected (0.00 sec)

B ) Création d’une base pour un utilisateur

Voici un exemple de création de base de données MySQL en ligne de commande,; son but est d'avoir localement la même configuration que celle que vous offre free.

On commence par entrer dans la base MySQL avec la commande « mysql » (voir « man mysql » pour plus d'informations).

SET PASSWORD = PASSWORD( '**********' );

Ajout du mot de passe root sur localhost (IMPORTANT)

SHOW DATABASES;

On regarde toutes les bases existantes.

DROP DATABASE `test`;

Effacer la table test.

use mysql;

On va dans la base de gestion de mysql.

SHOW TABLES;

Vision des tables existantes dans la la base sélectionnées (ici mysql)

INSERT INTO `user` ( `Host` , `User` , `Password` , `Select_priv` , `Insert_priv` , `Update_priv` , `Delete_priv` , `Create_priv` , `Drop_priv` , `Reload_priv` , `Shutdown_priv` , `Process_priv` , `File_priv` , `Grant_priv` , `References_priv` , `Index_priv` , `Alter_priv` , `Show_db_priv` , `Super_priv` , `Create_tmp_table_priv` , `Lock_tables_priv` , `Execute_priv` , `Repl_slave_priv` , `Repl_client_priv` , `Create_view_priv` , `Show_view_priv` , `Create_routine_priv` , `Alter_routine_priv` , `Create_user_priv` , `ssl_type` , `ssl_cipher` , `x509_issuer` , `x509_subject` , `max_questions` , `max_updates` , `max_connections` , `max_user_connections` )
VALUES ('localhost', 'troumad', PASSWORD( 'MOT_DE_PASSE' ) , 'N', 'N', 'N', 'N', 'N', 'N', 'N', 'N', 'N', 'N', 'N', 'N', 'N', 'N', 'N', 'N', 'N', 'N', 'N', 'N', 'N', 'N', 'N', 'N', 'N', 'N', '', '', '', '', '0', '0', '0', '0')

Création de l'utilisateur 'nom_de_compte' avec le mot de passe 'mot_de_passe'

CREATE DATABASE `mon_de_compte`;

Pour créer une base avec le même nom que l'utilisateur

GRANT SELECT,INSERT,UPDATE,DELETE,CREATE,DROP ON mon_de_compte.* TO mon_de_compte;

Pour donner tous les droits à l'utilisateur sur sa base : information mise dans la table mysql.db

le premier est le nom de la base de données.

FLUSH PRIVILEGES;

Pour demander au serveur de recharger les tables de droits

use mon_de_compte;

CREATE TABLE `test` (
` id` MEDIUMINT(8) UNSIGNED NOT NULL AUTO_INCREMENT,
`date` DATE,
`heure` TIME,
`systeme` VARCHAR(255),
`adresse` VARCHAR(15),
`vient_de` VARCHAR(255),
`visiteur` MEDIUMINT(8) UNSIGNED DEFAULT '0' NOT NULL,
`fait_sa_visite` SMALLINT(5) UNSIGNED,
INDEX (` id`)
);

Pour faire un compteur de visite (Un exemple, mais, c'est à l'utilisateur de faire ce qu'il souhaite !) .

DROP TABLE `test`;

Pour effacer la table test (c'était un exemple inutile).

Exit;

Arrêter MySQL.

On peut sauver (respectivement remplir) une base de donnée de la manière suivante :

mysql -h localhost -u root -pmot_de_passe troumad > sauvegarde

mysql -h localhost -u root -pmot_de_passe troumad < sauvegarde

C ) phpMyAdmin

MySQL peut être géré par une interface graphique phpMyAdmin dont le site officiel est : http://phpwizard.net/projects/phpMyAdmin/. L'intérêt de cette interface est qu'elle nous informe des requettes MySQL qu'elle fait. Sous Mandriva, nous pouvons l'installer en faisant tout simplement : « urpmi phpmyadmin ». Le logiciel, s'installe sur /var/www/html/admin/phpMyAdmin, donc accessible en configuration initiale de http par « http://localhost/phpmyadmin ». Je conseille cependant le mettre ou vous voulez dans votre arborescence et le mettre une entrée dessus dans votre fichier « /etc/httpd/conf/httpd2.conf » :

<VirtualHost 127.0.0.1> # Une adresse vers mon php...

DocumentRoot /maison/bs/mes_sites/phpMyAdmin

ServerName phpMyAdmin.monphp.org

</VirtualHost>

Il faut informer dans le fichier le champ $cfg['blowfish_secret'] en y mettant la chaîne de caractères de son choix 'maximum 46 caractères.

Maintenant, l'utilisateur troumad peut lire et modifier la base de données troumad, le service fourni par ovh par exemple. Pour l'accès par phpMyAdmin à cette base de données soit effectif, il faut configurer le fichier config.inc.php :

$cfg['Servers'][$i]['auth_type'] = 'cookie'; // Authentication method (config, http or cookie based)?

Sous debian : PhpMyAdmin est fourni avec un script d'assistance à la configuration. Ce script peut être accédé à l'adresse « http://localhost/phpmyadmin/scripts/setup.php ». L’utilisation de ce script impose une authentification.

Regardez dans les fichiers de configuration du serveur apache les restrictions données pour l’accès à phpMyAdmin. Ces restrictions sont normales car une base de données est un ensemble de données très sensibles et phpMyAdmin est une interface simple pour la maîtriser.

D ) Bonus

Une fois MySQL et le php installés, vous pouvez installer « sans frais » un wiki ou un forum, regardez par exemple http://www.phpbb-fr.com/ ou http://www.wikini.net/ .

E ) Accessibilité à la base de données de l'extérieur

Dans les anciennes versions, il faut éditer le fichier « /etc/sysconfig/mysqld » et commenter la ligne

# MYSQL_OPTIONS="--skip-networking".

Maintenant, tout est dans /etc/my.cnf .

Et dans /etc/my.cnf , section [mysqld], la ligne suivante restreint le port d'écoute (en cas de présence de plusieurs Ip) :

bind-address=ip_du_serveur

En revanche ceci ouvre tous les ports (par défaut chez moi ):

bind-address=0.0.0.0

Ensuite, il faut donner les droits d'accès à partir de l'extérieur à un utilisateur :

use mysql;

GRANT ALL ON *.* to 'userdbt'@'192.168.0.1' IDENTIFIED BY 'tititoto';

Modification de la table mysql.user .

L'utilisateur userdbt au mot de passe tititoto peut accéder à toutes les bases à partir du PC 192.168.0.1

Vous pouvez restreindre les bases de données (recommandé), en remplaçant le *.* par la_base_permise.*

Vous pouvez permettre l'accès de tous les ordinateurs en remplaçant le '192.168.0.1' par '%'.

Après, le changement des fichiers de configuration, il faut relancer le service MySQL :

/etc/init.d/mysqld restart ou systemctl restart mysql

Finalement, il faut ouvrir le port 3306 du mur de feu pour les interfaces qui pourront accéder à la base de données.

On peut tester le partage en ligne de commande par :

mysql -h Ip_du_serveur -u nom_de_l'utilisateur -p

F ) ODBC^vi

C'est un module pour consulter à partir de programmes extérieurs, différents modèles de bases de données mêmes distants dont MySQL. Il existe une version windows qui permet l'accès aux bases de données qui sont sur des serveurs Linux ou autre à partir d'ordinateurs sous windows. Parmi les programmes extérieurs qui utilisent ODBC, il y a OpenOffice.org (voir http://fr.openoffice.org/Documentation/How-to/indexht.html section base de données).

Pour installer ODBC, « urpmi myodbc » sous Mandriva ou « sudo apt-get install libmyodbc unixodbc-bin » sous ubuntu, mais parfois, il est intéressant d'aller chercher le dernier driver sur le site officiel (comme aujourd'hui, car il marche mieux) : http://www.unixodbc.org/.

Les fichiers de configuration sont odbcinst.ini qui définit les drivers pour les différentes bases de données et odbc.ini qui définit les différents accès aux bases de données (sous ubuntu, une version de ce fichier est à /usr/share/libmyodbc/odbcinst.ini, il suffit alors de faire : sudo cp /usr/share/libmyodbc/odbcinst.ini /etc/ )

[root@portable][/etc]# cat /etc/odbc.ini

[local]

Description = Base locale

Driver = MySQL

Server = localhost

Database = troumad

Port = 3306

Socket =

Option =

Stmt =

[troumad]

Description = Base troumad

Driver = MySQL

Server = 192.168.2.1

Database = troumad

Port = 3306

Socket =

Option =

Stmt =

[root@portable][/etc]# cat /etc/odbcinst.ini

[MySQL]

Description = ODBC Driver for MySQL

Driver = /usr/lib/libmyodbc3.so.1

Setup = /usr/lib/libodbcmyS.so.1

FileUsage = 1

CPTimeout =

CPReuse =

Pour tester une connexion ODBC :

isql nom_de_base(trouvé dans odbc.ini) mon_utilisateur mot_de_passe

XII ) Partage de données par nfs

A ) Présentation

nfs est un système permettant d’effectuer un partage de certains dossiers par un réseau. C’est un protocole Unix qui n’est pas reconnu naturellement par les PC sous Windows, c’est pour cela que Samba a été développé.

Les qualités de nfs génèrent ses propres défauts : sa simplicité. Ses défauts deviennent gênant actuellement avec la démocratisation du Wi-Fi et autres moyens d’entrer dans un réseau. En effet, il suffit de pouvoir se connecter sur un réseau, de choisir une bonne adresse Ip pour accéder à un partage nfs sur un PC sur lequel on a tous les droits pour pouvoir tout lire/écrire/modifier à partir du moment qu’on a le bon uid. La seule protection de nfs étant basée sur les uid et gid, on peut donc créer les utilisateurs ayant l'uid approprié et appartenant au bon groupe pour pouvoir accéder où on veut.

Je décris donc à la fin de ce chapitre des méthodes plus sécurisées de partages. Elles me semblent d’autant plus intéressantes qu’elles offrent beaucoup plus de possibilités. Au sein d’un réseau Linux il est possible aussi d’utiliser Samba pour le partage de fichiers.

Maintenant, avec les noyaux 2.6, il existe NFSv4. J'en parle à la fin de nfs.

Voir aussi : http://docs.hp.com/en/B1031-90043/ch02s05.html

B ) Serveur nfs

1)Installation

Le serveur est celui qui propose un partage.

Si on n’a pas installé le rpm, il faut commencer par l'installer : c’est nfs-utils [et rpcbind (ce dernier demande un reboot de la machine)] pour Mageia et pour Debian, on a un choix de deux paquets différents :

aptitude search nfs.*server

i nfs-kernel-server - support for NFS kernel server

v nfs-server -

p nfs-user-server - User space NFS server

nfs-kernel-server c’est le serveur en espace noyau. Il est plus rapide mais peut présenter des risques car en espace noyau (sur raspbian, c’est le seul disponible).

nfs-user-server c’est le serveur en espace utilisateur. Il est plus lent mais plus sûr car en espace utilisateur.

Chacun de ces deux paquets fournit le paquet virtuel nfs-server.

Pour paramétrer un serveur NFS, c’est très simple. Vous devez éditer le fichier /etc/exports qui liste les dossiers partagés. Imaginons que vous voulez partager des documents textes qui se trouvent dans /usr/local/texte, insérez alors ceci :

/usr/local/texte *.toto.fr(rw,no_root_squash,insecure)

Cette ligne partage le répertoire /usr/local/texte pour tout le réseau toto.fr en lecture/écriture (rw), avec la possibilité donnée à root d’avoir des droits et aussi en mode insecure. Il est évident que vous ne devez pas donner ces permissions sur un serveur accessible à internet mais cela peut être bon pour l’intranet à petite échelle. Pour appliquer les changements, si NFS tourne déjà (vérifiable par « ps -aux |grep nfsd »), faîtes simplement : « exportfs -a ». Vous pouvez vérifier tous les montages par : « exportfs ». Si le démon NFS qui gère ce partage n’est pas démarré, lancez alors : « /etc/rc.d/init.d/nfs-server start » ou « systemctl start nfs-kernel-server.service »

Sur l’exemple suivant, on partage le répertoire /home à deux ordinateurs en lecture et écriture (voir « man exports » et le répertoire /opt à ces deux mêmes PC. Le partage de /opt n’est pas le même : root conserve ces droits root sur /opt s’il est sur le PC 192.168.1.1 et personne ne peut écrire sur /opt à partir du PC 192.168.1.100, on ne peut que lire.

Voici l’exemple de /etc/exports :

/home 192.168.1.1(rw) 192.168.1.100(rw)

/opt 192.168.1.1(rw,no_root_squash) 192.168.1.100(r)

Attention, les id des groupes et des utilisateurs propriétaires restent les mêmes dans un partage. On voit alors l'intérêt d’un serveur NIS qui met les utilisateurs et les groupes (entre autre) en commun pour tout un réseau.

C’est pour cela, que au début, j’ai donné des id différents en fonction des ordinateurs de la salle.

Remarque 1 : Pour être utilisé dans des sites où les UIDs varient suivant les machines, nfsd fournit une méthode de conversion dynamique des UIDs du serveur en UIDs du client et inversement.
Ceci est mis en service avec l’option map_daemon et utilise le protocole RPC UGID. Il faut que le démon de conversion ugidd(8) soit actif sur le client

Remarque 2 : Sous Raspbian (debian pour raspberry), rpcbind ne démarre pas par défaut. C’est sûrement pour limiter l’utilisation de mémoire du petit système. Cependant, elle n’est pas vraiment importante et est indispensable pour le montage NFS. On peut le lancer manuellement :

# systemctl start rpcbind.service

Pour le faire démarrer automatiquement à chaque boot, il faut faire :

# update-rc.d rpcbind enable

On doit aussi faire :

#systemctl restart nfs-kernel-server.service

2)Avec un fire-wall

Pour permettre pour configurer un fire-wall qui commande le NFS, est-il utile de pouvoir fixer les ports employés par ces services, car plusieurs sont choisis par défaut aléatoirement. Heureusement c’est possible, bien que les méthodes pour imposer ces nombres soient différentes pour chacun des démons. Le tableau suivant présente les démons de NFS et donne l’information appropriée pour chacun d'eux.

Pour /etc/sysconfig/nfs-commun :

STATD_OPTIONS="--port 4000"

Si ce fichier n’existe pas (ancienne version) , c'est /etc/init.d/nfslock où il faut vérifier les lignes suivantes :

start)

# Start daemons.

gprintf "Starting NFS lockd: "

daemon rpc.lockd

echo

gprintf "Starting NFS statd: "

daemon rpc.statd -p 4000

echo

touch /var/lock/subsys/nfslock

;;

Pour /etc/modprobe.conf rajouter la ligne :

options lockd nlm_udpport=4001 nlm_tcpport=4001

ou pour les versions plus anciennes /etc/modules.conf, ajouter la ligne :

options lockd nlm_udpport=4001 nlm_tcpport=4001

Pour /etc/sysconfig/nfs-server , compléter la ligne :

RPCMOUNTD_OPTIONS="--port 4002"

Si ce fichier n'existe pas (ancienne version avant mdv 2008.0), c'est le fichier /etc/sysconfig/nfs ou il faut décommenter et informer la ligne :

MOUNTD_PORT=4002

Pour /etc/rpc : « urpmi quota » et vérifier que la ligne suivante est présente :

rquotad 100011 rquotaprog quota rquota

Pour /etc/services, informer le port 4003 :

rquotad 4003/tcp # nfs

rquotad 4003/udp

Après ceci relancer les démons portmap et/ou nfs : « /etc/init.d/nfs restart ». Avec les nouvelles versions, il faut recharger le module et relancer le service nfs-server. Comme le module est en service, vous ne pouvez pas le décharger puis recharger. Vous devez donc redémarrer de l’ordinateur, ce qui est rarissime sous Linux.

Pour vérifier si les ports sont bien les bons, on peut faire : « rpcinfo -p ».

3)Protection avec hosts.deny et hosts.allow

Les fichiers /etc/hosts.allow et /etc/hosts.deny sont des fichiers pour autoriser ou refuser l’accès à certains "services réseaux" (comme nfs ou portmap) pour des machines spécifiques. La partie suivante est copiée sur : http://lea-linux.org/cached/index/Reseau-partfic-nfs.html

a) /etc/hosts.deny

On va interdire toutes les machines qui ne sont pas autorisées explicitement dans le /etc/hosts.deny.

Un bon vieux "ALL: ALL" interdira l’accès à tous les services à partir de toutes les machines. On peut cependant être plus précis en écrivant :

portmap:ALL

lockd:ALL

mountd:ALL

rquotad:ALL

statd:ALL

b) /etc/hosts.allow

Dans le même esprit que pour le /etc/hosts.allow, ce fichier a l’architecture suivante :

[service]: [IP de la machine client]

[service]: [Nom de la machine client]

Donc pour autoriser 192.168.1.34 à se connecter à un partage NFS, on écrira :

portmap:192.168.1.34

lockd:192.168.1.34

mountd:192.168.1.34

rquotad:192.168.1.34

statd:192.168.1.34

4)derrière un routeur

/home 192.168.1.1(rw,insecure)

L’option insecure permet à NFS d’écouter les requêtes sur des ports au-dessus de 1024. Ici le routeur transmet les requêtes du client sur un port supérieur à 1024, ce que refuse le serveur NFS, l’option insecure lève cette restriction.

Pour sécuriser un peu l’affaire, il faut déjà filtrer le port 111 en udp et tcp au niveau du routeur en n’autorisant juste l’accès aux stations clientes autorisées.

C ) Client nfs

Le client est celui qui accède au partage. Ceci dit un PC peut être simultanément client et serveur.

Une astuce de son côté pour installer un partage malgré un fire-wall consiste à couper le fire-wall le temps de la mise en route du partage et de le remettre ensuite. Sinon, il faut regarder le point précédent sur le serveur.

1)Logiciels à installer

Sous Mandriva, tout est là par défaut. Parfois, il faut aussi faire « urpmi rpcbind »

Sous ubuntu : «  sudo apt-get install nfs-common »

2)/etc/fstab

Ce fichier contient les informations de montage des partitions. Pour savoir ce qui est monté, vous pouvez tapez « df ». Cette instruction indiquera en plus les tailles de chaque partition montée et la place utilisée. Pour monter (accéder) en temporaire, des partages nfs, ou samba, on peut le faire avec la commande mount et plein de paramètres. Le nombre de paramètres est réduit si le partage est déjà défini dans /etc/fstab : il suffit juste de faire « mount /point_de_montage ». Le point de montage est le répertoire dans l'arborescence où on trouvera notre partage. Ce partage sera vu comme un répertoire, donc complètement transparent pour l’utilisateur.

Voici un exemple de fstab sous un noyau 2.4 (et 2.6 pour une Mandriva qui maintient la compatibilité) :

/dev/hda1 / ext3 noatime 1 1

none /dev/pts devpts mode=0620 0 0

/dev/hda5 /home ext3 noatime 1 2

none /mnt/cdrom supermount dev=/dev/hdd,fs=auto,ro,--,iocharset=iso8859-15,codepage=850,umask=0 0 0

none /mnt/floppy supermount dev=/dev/fd0,fs=auto,--,iocharset=iso8859-15,

sync,codepage=850,umask=0 0 0

/dev/hdb1 /mnt/windows vfat iocharset=iso8859-15,codepage=850,umask=0 0 0

none /proc proc defaults 0 0

//serveur/share /mnt/point_de_montage cifs uid=toto,username=toto,password=xxx 0 0

/dev/hdb5 swap swap defaults 0 0

192.168.1.1:/opt /opt nfs retry=1000,defaults 0 0

//serveur/homes /maison/bs cifs noauto,user,uid=troumad,username=bernard 0 0 # cifs remplace sur les nouvelles versions smbfs

À partir du noyau 2.6, on a effectué un grand ménage dans le répertoire /dev en créant des sous-répertoires, mais on a souvent a mis des liens symboliques afin de conserver la compatibilité. Ceci donne donc avec le nouveau noyau :

proc /proc proc defaults 0 0

/dev/discs/disc0/part1 /mnt/hda1 ext3 defaults 0 0

/dev/discs/disc0/part6 / ext3 defaults,errors=remount-ro 0 1

/dev/discs/disc0/part5 /home ext3 defaults 0 2

/dev/discs/disc0/part8 /mnt/mdk10.1 ext3 defaults 0 2

/dev/discs/disc0/part9 /mnt/mdk10.0 ext3 defaults 0 2

/dev/cdroms/cdrom0 /media/cdrom0 iso9660 ro,user,noauto 0 0

/dev/discs/disc0/part7 none swap sw 0 0

/dev/hdd /media/cdrom0 iso9660 ro,user,noauto 0 0

/dev/fd0 /media/floppy0 auto rw,user,noauto 0 0

Quand on monte une unité logique sur le système, on indique un répertoire qui doit déjà exister. S’il y a déjà des choses dans ce répertoire elles deviendront inaccessibles. C’est pour cela que la racine est montée avec le reste.

Les lignes 1 et 3 sont des partitions internes sur le premier disque dur (hda). La première sera montée à la racine :/, et la seconde est l’ensemble des répertoires personnels (/home).

Les lignes 4 et 5 prennent en compte des montages de périphériques amovibles qui sont habituellement montés en /mnt. Ici, vous pouvez les mettre ailleurs, ceci gênera bien les habitués du système.

L’antépénultième ligne est le fichier swap : partition où le système stocke les données qui devraient être dans la RAM et qui ne servent momentanément plus.

L’avant-dernière est un montage de fichier partagé avec nfs. C’est le répertoire /opt du PC dont l'adresse IP et 192.168.1.1 qu’on met nous aussi en /opt.

Vous pouvez noter les deux montages samba (dernière ligne et ligne 8) : le premier peut se faire automatiquement, car il y a le mot de passe écrit. Mais pas le second ! Voici les spécificités du second :

il n’est pas monté automatiquement, car il demande l’entrée du mot de passe, mais il peut être monté par tous si en plus /maison/bs appartient à troumad.

il correspond au montage du partage [homes] de l’utilisateur bernard

il appartiendra à l’utilisateur troumad

3)récupérer le partage

La première chose à faire est de renseigner le partage dans le fichier /etc/fstab. Ensuite, on monte tout simplement le partage : « mount /répertoire_de_montage » sans avoir à donner d'autres paramètres à mount.

Pour démonter une unité logique, ce qu’on ne peut le faire que si personne ne s'en sert, il faut faire « umount /répertoire_de_montage ». Si une personne s'en sert, on aura la réponse suivante : « umount : /home : périphérique occupé ». Pour savoir par qui ou par qui est occupé le partage en question, faire : « /sbin/fuser -vm /repertoire_partagé » ou « lsof » qui est pratique pour ça, car il liste les fichiers ouverts et signale quel processus l'a ouvert. On aura comme information les utilisateurs qui sont dessus (à déloger) et les PID des programmes qui l'utilisent (à tuer en dernier recours). Le recours ultime pourra être : « umount -fl /repertoire_partagé » qui force le démontage ou pire encore pour couper et remettre les partages nfs et samba : « /etc/init.d/netfs restart »

Remarque : Si vous avez

$ mount /opt

mount: RPC: Program not registered

alors que tout semble être correct, relancez le démon nfs sur le serveur. Puis recommencez... ou tentez :

mount 192.168.1.1:/opt /opt

4)Fermer le partage

Il est conseillé de fermer le partage sur le client avant d’éteindre le serveur. En effet un partage encore actif sur une source qui n’existe plus pose des problèmes. Par exemple, elle bloque la commande « df » qui donne l’état des différents montages.

En cas d’oubli, il y a un script disponible sous debian : /etc/init.d/umountnfs.sh .

« umount -rfl » démonte un partage récalcitrant.

D ) NFSv4

un ptit topo sur le wiki de Clubic : http://www.clubic.com/wiki/NFS.

des informations sur la mise en place du proto : http://developer.osdl.org/dev/nfsv4/wiki/index.php/Main_Page

les docs utiles sur NFSv4 : http://developer.osdl.org/dev/nfsv4/site/documentation/

http://wiki.linux-nfs.org/index.php/NFSv4_Introduction

et une traduction française :http://wiki.linux-nfs.org/index.php/Nfsv4_configuration_fr

http://www.cert.fr/francais/deri/siron/fabre/KERBEROS/MainKerb.html

1)Présence de NFSv4

On peut faire un : « grep 'nfs4' /proc/kallsyms »

Si des symboles sont retournés, le service NFSv4 est présent.

2)Configuration de kerberos^vii

http://www.supinfo-projects.com/en/2004/environnement_kerberos_linux/

http://www.startcom.org/docs/fr/Guide%20de%20reference%20StartCom%20Enterprise%20Linux%203.0.x/s1-kerberos-server.html

Ceci n'est nécessaire que si vous voulez utiliser Kerberos 5 (krb5) avec NFSv4. (Ce qui est une bonne idée.)

Kerberos est un protocole d'authentification réseau créé par l'MIT qui utilise la cryptographie des clés au lieu des mots de passe en texte clair. Kerberos renforce la sécurité du système et empêche que des personnes non autorisés interceptent les mots de passe des utilisateurs.

a) côté serveur

urpmi krb5-server

urpmi gnome-kerberos pour disposer d'un utilitaire graphique permettant d'administrer Kerberos.

fichiers de configuration /etc/krb5.conf et /etc/kerberos/krb5kdc/kdc.conf (var/kerberos/krb5kdc/kdc.conf sur d'autres : regardez, c'est indiqué dans /etc/krb5.conf)

Notes sur Kerberos

Les heures de vos machines doivent être correctes, et indiquer la même heure. Utiliser ntp pour être sûr que c'est le cas.

Le fichier /etc/hosts doit lister tous domaines complets avec tous les attributs, c'est-à-dire que le fichier doit avoir une IP, puis le nomachine.nom.de.domaine.fr. Le nom de la machine ne doit pas apparaître dans la ligne localhost

Ne pas mélanger les minuscules avec les majuscules dans les noms de machine (DNS) dans le KDC. mamachine@domaine.org est correct, mais MaMachine@domaine.org provoquera une erreur.

E ) shfs

http://www.labo-linux.com/index.php?page=lumieres&id=278&p=#s

Le serveur doit juste avoir sshd d'actif. Pour installer sur le client sous Mandriva : « urpmi shfs-utils » et sous ubuntu « sudo apt-get install shfs-source shfs-utils gcc-3.4 linux-headers-`uname -r`

sudo module-assistant build shfs

sudo module-assistant install shfs » (puis « man shfsmount »). Pour mettre en oeuvre le partage :

shfsmount -o uid=XXX,gid=XXX utilisateur@serveur

Vous pouvez permettre à tous les utilisateurs d'utiliser shfsmount en plaçant le bit setuid sur le binaire (attention aux droits sur le répertoire de montage) :

# chmod u+s $(which shfsmount)

Il est possible de mettre l'info dans /etc/fstab :

user@serveur /répertoire_de_montage shfs noauto,user,retry=1000 0 0

On peut aussi rajouter « uid=XXX,gid=XXX » comme option, mais c'est incompatible avec user ! Je conseille cette option user car ça évite de passer par root pour rentrer le mot de passe (ou la passphrase). L'option -P, pour changer le port de connection, est utilisable en rajoutant « P1221, » devant « noauto,user,retry=1000 » pour dire que ssh est sur le port 1221 au lieu de 22 :

bernard@linux.iutb.fr:/home /home_iut shfs P1221,noauto,user,retry=1000 0 0

En utilisant les clefs publique/privée couplées avec ssh-agent/ssh-add, il est possible de se passer de mots de passe (voir le chapitre sur ssh). Cette utilisation est même conseillée pour maintenir les connexions actives.

Une surprise de taille, tous les fichiers sont sensés vous appartenir, mais ne vous inquiétez-pas, vous ne pourrez pas surpasser vos droits sur le serveur !

Un grand avantage de cette méthode est son portage sur un portable. En effet, nfs ne passe pas à travers un pare-feu bien fait alors que laisser passer du ssh est tout à fait admissible, donc un montage par shfs peu se faire n'importe où de la même façon.

F ) LUFS

http://lufs.sourceforge.net/lufs/

Montage d'un partage ftp :

lufsmount ftpfs://troumad:mot de passe@ftpperso.free.fr free

Mon essai est très peu probant : déconnections fréquentes et écriture impossible.

Montage d'un répertoire personnel distant par une connecxtion ssh :

lufsmount sshfs://geiibsiaud@134.214.12.34 bo4

Pour ce dernier montage, il est préférable de le faire avec clef publique/privé et ssh-agent/ssh-add afin de ne pas avoir à rentrer le mot de passe à chaque demande. Avec cette méthode, tous ce qui ne vous appartient pas est à demon, les droits sont conservés.

Pour le moment, je conseille donc shfs. Surtout à cause de la configuration dans /etc/fstab que je suis arrivé à faire correctement. Lufs à l'air non maintenu depuis fin 2003.

G ) SSHFS

http://fuse.sourceforge.net/sshfs.html

chmod a+rw /dev/fuse

chmod u+s $(which sshfs) (pourquoi ?)

smart

Utilisation :

sshfs <user>@<serveur>:/<rep-distant> <point_montage>

Installation :

Sous Mandriva : « urpmi sshfs-fuse ».

Sous ubuntu, il suffit que l'utilisateur appartienne au groupe fuse pour qu'il puisse y accéder sans faire les changements de droits décrits si dessus.

Sous debian : « apt-get install sshfs », en plus : « chgrp fuse /dev/fuse »

Il faut parfois dire de lancer le module fuse au démarrage : dans /etc/modprobe.preload pour Mandriva ou /etc/modules pour Debian rajouter la ligne :

fuse

Le symptôme est le refus de monter le répertoire car /dev/fuse n’existe pas et ceci se répare avec :

sudo modprobe fuse

« umount s<point_montage> » simplement pour démonter, mais avec l'utilisateur qui a fait le montage.

Remarque : Voir les options  allow_other et  allow_root de sshfs pour être sur que l'utilisateur qui se connecte par samba puisse voir le répertoire.

Par défaut seul l'utilisateur qui monte le répertoire peut le voir (pour des raisons de sécurité). Mais tu peux changer ceci avec les options allow_other et allow_root comme mentionné précédemment.

# echo user_allow_other > /etc/fuse.conf

$ sshfs -o allow_other PC-distant:. ~/mnt/disk

Plus d'erreur et le répertoire est vu dans Windows via samba. Inutile de redémarrer le service fuse : le fichier /etc/fuse.conf est apparemment lu lorsque la commande sshfs est lancée.

Parfois l'utilisation de sshfs peut générer des figeages de certaines applications quand elles parcourent les répertoires. C'est que la connexion est coupée et le répertoire non démonté. La méthode la plus simple pour venir à bout de ce problème est de tuer les programmes ssh qui gèrent la connexion sshfs :

[troumad@localhost][~] 
$ ps uwx | grep ssh 
troumad   5312  0.0  0.0  12304   492 ?        Ss   Jan03   0:00 ssh-agent 
troumad  24727  0.0  0.0  28772  2600 pts/1    S    14:17   0:00 ssh -x -a -oClearAllForwardings=yes -oport=22 -2 geiibsiaud@134.214.12.234 -s sftp 
troumad  24735  0.0  0.0 176088   524 ?        Ssl  14:17   0:00 sshfs geiibsiaud@134.214.12.234:/ /bureau -o port=22 
troumad  24771  0.0  0.0  23708   852 pts/1    S+   14:17   0:00 grep --color ssh 
kill -9 24727 24735

Et le problème est résolu.

H ) Autres (à regarder)

http://www.citi.umich.edu/projects/nfsv4/ , http://www.citi.umich.edu/projects/nfsv4/linux/ , et http://www.nfsv4.org/

http://publib.boulder.ibm.com/infocenter/pseries/index.jsp?topic=/com.ibm.aix.doc/aixbman/security/secure_nfs.htm

http://www.fs.net/sfswww/

SFS est un système de fichiers réseau (basé sur nfs) sécurisé et global avec un système de contrôle complètement décentralisé. On doit créer un clef publique et une privée pour se connecter à un serveur sfs.

XIII ) F

Dessin 2 : Firewall

ire-wall

Un fire-wall est une protection de votre système contre les intrusions de l'extérieur. Il bloque certains ports et laisse les autres ouverts. Ils gèrent aussi les redirections de port et d'adresse, grâce à ça, il peut permettre le partage de connexions internet (votre PC, pourra alors servir de passerelle internet). Aujourd'hui (depuis la version 2.4 du noyau), sous Linux, le Fire-wall est géré par ip-table. Ip-table, lui peut-être géré par d'autres programmes comme shorewall.

A ) Shorewall

Pour l'installer, passez par RpmDrake : installation de paquetages logiciels. Cherchez les programmes contenant Shorewall et installez-les. Vous pouvez aussi passer par la ligne de commande : « urpmi shorewall » . Shorewall utilise IPTABLES, il faut donc que vous l'ayez installé préalablement où son installation ce fera aussi automatiquement..

L'installation sous debian se fait avec « apt-get install shorewall » et contrairement à Mandriva, les fichiers de configurations ne sont pas présents dans le répertoire /etc/shorewall. Les fichiers de configuration peuvent être trouvés sur le système dans le répertoire /usr/share/doc/shorewall/default-config. Décompressez les (gunzip) et copiez simplement les dossiers dont vous avez besoin dans /etc/shorewall et modifiez les.

Guide complet : http://france.shorewall.net/shorewall_quickstart_guide.htm

Document inspiré de http://www.iglooduhack.com/linux_shorewall.php

Pour une utilisation domestique voir : http://docs.cafe-philo.net/procedures/shorewall.html

1)Présentations

Shorewall voit le réseau où il tourne, comme un ensemble de zones.

Shorewall reconnaît aussi le système de firewall comme sa propre zone - par défaut, le firewall est connu comme fw.

Les règles à propos de quel trafic autoriser, et de quel trafic interdire sont exprimées en terme de zones.

Vous exprimez votre politique par défaut pour les connexions d'une zone vers une autre zone dans le fichier /etc/shorewall/policy.

Vous définissez les exceptions à ces politiques pas défaut dans le fichier /etc/shorewall/rules.

Pour chaque connexion demandant à entrer dans le firewall, la requête est en premier lieu comparée par rapport au fichier /etc/shorewall/rules. Si aucune règle dans ce fichier ne correspond à la demande de connexion alors la première politique dans le fichier /etc/shorewall/policy qui y correspond sera appliquée. Si cette politique est REJECT ou DROP  la requête est dans un premier temps comparée par rapport aux règles contenues dans /etc/shorewall/common. Tous les fichiers de configuration pour Shorewall sont situés dans le répertoire /etc/shorewall.

2)Configurer le fichier "zones"

Le fichier zones est utilisé pour définir les zones du réseau. Il y a une ligne par zone.

On va commencer par créer une zone qui sera le "réseau local" et une autre qui sera "Internet".

#ZONE DISPLAY COMMENTS

loc Local Reseau Local

net Net Internet

3)Configurer le fichier "interfaces"

Le fichier interfaces est utilisé pour indiquer au firewall quelle interface réseau de votre firewall est connectée à quelle zone. Il y a une entrée dans interfaces pour chacune de vos interfaces.

Si eth0 est la carte réseau qui interface le réseau local. (généralement c'est eth1 pour les connexions internet avec modem par éthernet, remplacer alors ppp0 (pour les modems usb) par eth1.)

#ZONE INTERFACE BROADCAST OPTIONS

loc eth0 detect

net ppp0 - noping

- « routestopped" : ce qui signifie que lorsque le firewall est arrêté, le traffic de et vers cet hôte sera accepté et le routage se fera entre cet hôte et les autres interfaces et hôtes qui ont l'attribut "routestopped". Cet attribut n'est plus valable dans les nouvelles versions. Il faut utiliser le fichier « routestopped ».

- "noping" : Signifie qu'il sera impossible de pinguer le firewall depuis Internet.

4)Configurer le fichier "masq"

Le fichier masq est utilisé pour définir le masquage IP classique. A partir de la version 1.2.5 de Shorewall, il peut aussi servir à définir des NAT Source (SNAT). Il y a une entrée dans le fichier pour chaque sous-réseau que vous voulez masquer.

Les adresses réservées par la RFC 1918^viii sont parfois désignées comme non-routables car les routeurs Internet (backbone) ne font pas circuler les paquets qui ont une adresse de destination appartenant à la RFC-1918. Lorsqu'un de vos systèmes en local, l'ordinateur 1 ( à l'adresse 192.168.1.2 du réseau local) demande une connexion à un serveur par Internet, le firewall doit appliquer un NAT (Network Address Translation). Le firewall réécrit l'adresse source dans le paquet, et la remplace par l'adresse de l'interface externe du firewall; en d'autres mots, le firewall fait croire que c'est lui même qui initie la connexion. Ceci est nécessaire afin que l'hôte de destination soit capable de renvoyer les paquets au firewall (souvenez vous que les paquets qui ont pour adresse de destination, une adresse réservée par la RFC 1918 ne pourront pas être routés à travers Internet, donc l'hôte Internet ne pourra adresser sa réponse à l'ordinateur 1). Lorsque le firewall reçoit le paquet de réponse, il remet l'adresse de destination à 192.168.1.2 et fait passer le paquet vers l'ordinateur 1.

Sur les systèmes Linux, ce procédé est souvent appelé de l'IP Masquerading mais vous verrez aussi le terme de Source Network Address Translation (SNAT) utilisé. Shorewall suit la convention utilisée avec Netfilter:

- Masquerade désigne le cas ou vous laissez votre firewall détecter automatiquement l'adresse de l'interface externe.

- SNAT désigne le cas où vous spécifiez explicitement l'adresse source des paquets sortant de votre réseau local.

Sous Shorewall, autant le Masquerading que le SNAT sont configurés avec des entrées dans le fichier /etc/shorewall/masq. Vous utiliserez normalement le Masquerading si votre adresse IP externe est dynamique, et SNAT si elle est statique.

Pour profiter de cet outil, vous devez avoir NAT activé. Les champs de ce fichier sont :

Si eth0 est la carte réseau qui interface le réseau local.

#INTERFACE SUBNET ADDRESS

ppp0 eth0

5)Configurer le fichier "policy"

Le fichier policy est utilisé pour décrire la politique du firewall concernant l'établissement des connexions. L'établissement des connexions est décrit en terme de clients qui initient des connexions et des serveurs qui reçoivent ces requêtes de connexion. Les politiques définissent quelles zones sont autorisées à établir des connexions avec quelles autres zones.

Le fichier policy est lu de haut en bas et Shorewall utilise la première politique applicable qu'il trouve. Faites attention à l'ordre de ces politiques.

Si eth0 est la carte réseau qui interface le réseau local.

#SOURCE DEST POLICY LOG LEVEL LIMIT:BURST

loc net ACCEPT

net fw ACCEPT

fw net ACCEPT info

net all DROP info

all all DROP info

??? - On accepte par défaut tout ce qui va du réseau local vers le firewall.

La première a qqc à voir avec le firewall? Je pensais que c'était entre le réseau local et le net!

- On accepte par défaut tout ce qui vient d'Internet vers le firewall

- On accepte par défaut tout ce qui va du firewall vers Internet en loguant

Ca veut dire quoi «  en loguant »?

De cette manière vous aller avoir la politique suivante. Tout ce qui vient du réseau local et qui veut sortir vers Internet le pourra y compris des choses comme Chevaux de Troie (Trojan), Spyware.... En revanche tout ce qui essayera d'établir une connexion depuis Internet vers le réseau local ne le pourra pas.

C'est la première politique de sécurité, la moins contraignante mais pas la plus performante.

Une fois que vous aurez défini toutes les règles de droits de sortie au niveau du fichier rules vous pourrez alors passez cette règle à DROP ainsi tout ce qui essayera de sortir par un autre port que ceux que vous avez défini ne le pourra pas. Sachez que si vous utilisez par exemple un nouveau logiciel quelconque qui travaille sur un port donné et qui a besoins de sortir sur Internet, il faudra tout d'abord ouvrir le(s) port(s) du logiciel.

Ex: Si vous voulez recevoir vos mail et que vous n'avez pas ouvert le port 110 (port pop), alors le firewall supprimera tous les paquets qu'il recoit en loguant tout ceci dans /var/log/messages

- On supprime par défaut tout ce qui vient d'Internet vers partout (dans notre réseau local) en loguant

- On supprime par défaut tout ce qui vient de partout vers partout en loguant

6)Configurer le fichier "rules"

Le fichier rules définit les exceptions aux politiques définies dans le fichier policy. Il y a une ligne dans le fichier rules pour chaque règle. Les champs du fichier rules sont :

#ACTION SOURCE DEST PROTO DEST PORT SOURCE PORT(S) ORIGINAL DEST

# Internet Vers le Firewall

ACCEPT net:IP_INTERNET/27 fw tcp -

ACCEPT net:IP_INTERNET/27 fw udp -

# Atteindre le Firewall par le reseau local

# SSH (Telnet Securisé...) et Telnet non securisé

ACCEPT loc fw tcp 22,23

# Firewall Vers Internet

# DNS , HTTP, POP, SMTP, NNTP, SSL (=HTTPS)

ACCEPT fw net tcp 53,80,110,25,119,443

ACCEPT fw net udp 53

# accepter les ping de l'extérieur : important pour les serveurs DNS

# pour être reconnu par les routeurs

ACCEPT net fw icmp

# accepter les ping vers l'extérieur

ACCEPT fw net icmp

# accepter les ping du réseau local

ACCEPT masq fw icmp

# accepter les ping vers le réseau local

ACCEPT fw masq icmp

# permettre à notre PC d'accéder à un serveur X distant identifié par son IP ou sa MAC adresse.

ACCEPT net:ip_serveur fw udp 6000:6015 -

ACCEPT net:ip_serveur fw tcp 6000:6015 -

ACCEPT net:~MAC-ADDR-SEPARER-PAR-DES-SYMBOLES-MOINS fw udp 6000:6015 -

ACCEPT net:~MAC-ADDR-SEPARER-PAR-DES-SYMBOLES-MOINS fw tcp 6000:6015 -

On peut faire tourner un ou plusieurs serveurs sur nos ordinateurs locaux. Parce que ces ordinateurs ont une adresse RFC-1918, il n' est pas possible pour les clients sur Internet de se connecter directement à eux. Il est nécessaire à ces clients d'adresser leurs demandes de connexion au firewall qui ré écrit l'adresse de destination de votre serveur, et fait passer le paquet à celui-ci. Lorsque votre serveur répond, le firewall applique automatiquement un SNAT pour ré écrire l'adresse source dans la réponse.

Ce procédé est appelé Port Forwarding ou Destination Network Address Translation(DNAT). Vous configurez le port forwarding en utilisant les règles DNAT dans le fichier /etc/shorewall/rules.

La forme générale d'une simple règle de port forwarding dans /etc/shorewall/rules est:

Voici deux exemples, ce sont deux lignes d'un fichier rules. Le premier exemple montre la redirection du port 80 du firewall vers le port 80 (même port) du PC d'adresse 192.168.1.2 et la seconde la redirection du port 5000 vers le port 80 du PC 192.168.1.3. Cette dernière méthode permet de détourner les FAI qui bloquent les requêtes entrantes de connexion sur le port 80. pour accéder au port 80 (serveur http) du PC 192.1.68.1.3, il faudra appeler le port 5000 du firewall.

DNAT net loc:192.168.1.2 tcp 80

DNAT net loc:192.168.1.3:80 tcp 5000

Pour obliger les requettes venant du sous réseau allant vers internet à passer par squid (voir XIII) Proxi)qui est sur le port 3128 :

REDIRECT masq 3128 tcp www

7)Configurer le fichier "tunnels"

Les tunnels sont utilisés pour la configuration des VPN (Réseaux Privés Virtuels).

# TYPE ZONE GATEWAY GATEWAY ZONE

8)Configurer le fichier "hosts"

Pour la plupart des applications, spécifier les zones entièrement en termes d'interfaces réseaux est suffisant. Cependant, parfois on a besoin de définir une zone comme un ensemble d'hôtes. C'est le but du fichier hosts.

Attention ! 90% des utilisateurs de Shorewall n'ont pas besoin d'utiliser ce fichier, et 80% de ceux qui essaient d'ajouter des entrées dans ce fichier le font mal. A moins que vous ne soyez ABSOLUMENT SUR d'avoir besoin d'ajouter des entrées à ce fichier, ne le faites pas.

#ZONE HOST(S) OPTIONS

loc eth0:192.168.1.0/24 routestopped

Voici l'expliquation de cette syntaxe : 192.168.1.0/24

192.168.1.0 : désigne l'adresse de départ du réseau

/24 : désigne le masque de sous réseau et est équivalent à 255.255.255.0 (192.168.1.0/255.255.255.0). /n avec n entre 1 et 31 indique un nombre dont l'écriture en binaire à 32 chiffres avec les n premiers à 1 et le reste à 0. Ceci donne par exemple pour des cas bien précis :

9)Prendre en compte la configuration

C'est très simple, il ne vous reste plus qu'à redémarrer shorewall en tapant : /etc/init.d/shorewall restart. Et là, attention, une erreur peut, par protection bloquer tous les ports!

B ) Notions Iptables

Voir aussi : http://linux.developpez.com/guide/x7875.html#AEN8027

1)On vérifie qu'iptables est disponible

# iptables -L
Chain INPUT (policy ACCEPT)

target prot opt source destination

Chain FORWARD (policy ACCEPT)

target prot opt source destination

Chain OUTPUT (policy ACCEPT)

target prot opt source destination

Sinon on a quelque chose du genre :

# iptables -L
iptables v1.2.3: can't initialize iptables table `filter': ...
Perhaps iptables or your kernel needs to be upgraded.

2)Iptables

Iptables est une instruction disponible à partir d'un terminal, on peut manuellement rentrer les commandes une par une pour mettre en place un firewall, mais il est plutôt recommandé d'en faire un fichier qu'on exécute au chaque démarrage ou changement de configuration (voir paragraphe suivant). En revanche, il est possible de tester une à une les commandes/modifications qu'on compte mettre dans ce fichier de configuration sur un terminal.

Un « man iptables » vous informera sur les possibilités de cette fonction. Le fichier de configuration suivant commenté devrait déjà vous en montrer un certain nombre.

3)Fichier de configuration

Vous devez mettre un fichier avec les droits -rwxr--r-- contenant les lignes suivantes dans /etc/init.d. Ce fichier, je vais l'appeler « firewall » , en voici un exemple commenté, il est long, mais il faut le mettre complètement pour pouvoir le recopier :

#!/bin/sh

# ATTENTION la ligne du dessus

# n'est pas un commentaire

# variable (ipt) pour l'appel à l'exécutable de iptables

# => tester le même script avec plusieurs version de iptables

ipt=/sbin/iptables

# Pour simplifier une modification éventuelle des cartes réseaux

LOCAL="eth0" # connexion vers le réseau local pour une passerelle

NET="eth1" # connexion vers internet

RESEAU='192.168.0.0/16' # réseau local pour une passerelle

PPP="ppp0"

case "$1" in

start)

echo "Mise en place du mur de feu"

# /etc/network/if-pre-up.d/$ipt-start

# Script qui démarre les règles de filtrage "$ipt"

# MISE à ZERO des règles de filtrage

$ipt -F

$ipt -t nat -F

$ipt -t nat -X

# Je veux que les connexions entrantes soient bloquées par défaut

$ipt -P INPUT DROP

# Je veux accepter les connexions qui entrent par

# une interface et sortent par l'autre (ex. de eth1 vers ppp0)

# appelé aussi Forwarding

$ipt -P FORWARD ACCEPT

# Je veux que les connexions sortantes soient acceptées par défaut

$ipt -P OUTPUT ACCEPT

# Pas de filtrage sur l'interface de "loopback"

# Je déconseille de retirer cette règle car

# ça peut poser pas mal de problème et faire perdre

# la main sur la machine

$ipt -A OUTPUT -o lo -j ACCEPT

$ipt -A INPUT -i lo -j ACCEPT

# Je veux permettre tous les paquets sortants provenant de mon ordinateur

# redondant avec $ipt -P OUTPUT ACCEPT

# $ipt -A OUTPUT -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

# Si je veux avoir une politique plus contraignante, je peux filtrer

# les demandes locales vers l'extérieur. Voici un listing récupéré sur

# http://lea-linux.org/reseau/murdefeu.html

# en tcp :

# domain (obligatoire),

# ftp,

# ftp-data,

# sftp

# www,

# https,

# pop-3,

# imap2,