Modifications entre les versions 14 et 27 (s'étendant sur 13 versions)
Version 14 à la date du 2008-10-22 17:52:21
Taille: 8915
Éditeur: FranckKouyami
Commentaire:
Version 27 à la date du 2010-01-19 12:20:10
Taille: 11586
Éditeur: FranckKouyami
Commentaire:
Texte supprimé. Texte ajouté.
Ligne 7: Ligne 7:
||Cotonou ||openvz.bj.refer.org || Etch || linux-image-2.6.18-14-fza-686-bigmem || 2.6.18-14-fza-686-bigmem || backuppc || ok ||
Ligne 9: Ligne 10:
Mon serveur chouchou. Il s'appelle aussi : ''bj.refer.org'', ''pop.bj.refer.org'', ''smtp.bj.refer.org'', ''mail.bj;refer;org'', ''imap.bj.refer;org'', ''cotonou.bj.refer.org''. Il supporte plein de services sensibles :
 * Postfix : 2.3.8-2+etch1 .
  * Le fichier de configuration est dans ''/etc/postfix/main.cf''.
  * La base des aliases se trouve dans ''/etc/aliases''.
  * Il prend les courriers venant de : ''bj.refer.org, refer.bj, cotonou.bj.refer.org, cotonou.refer.bj, mail-cotonou.bj.refer.org, localhost.bj.refer.org, localhost''.
  * La table de conversion des adresses auf.org se trouve dans ''/etc/postfix/bj.auf.org''.
  * Il relaie les courriers en provenance de ''auf.org ,bj.auf.org''.
  * Il vérifie les courriers avec postgrey, amavis
 * DNS : Bind9 : 1:9.3.4-2etch3
Mon serveur chouchou. Il s'appelle aussi : ''bj.refer.org'', ''pop.bj.refer.org'', ''smtp.bj.refer.org'', ''mail.bj.refer.org'', ''imap.bj.refer.org'', ''cotonou.bj.refer.org''. Il supporte plein de services sensibles :
 * Exim :
 * DNS : Bind9
Ligne 19: Ligne 14:
  * Les zones gérées sont : '' refer.bj'' ''bj.refer.org'', ''bj.auf.org'', ''lerevelateur.bj''   * Les zones gérées sont : ''refer.bj'', ''bj.refer.org'', ''bj.auf.org'', ''lerevelateur.bj''
Ligne 21: Ligne 16:
  * Aucune mise à jour acceptée de l'extérieu pour ces domaines   * Aucune mise à jour acceptée de l'extérieur pour ces domaines
Ligne 23: Ligne 18:
 * Base de données : Mysql5 : 5.0.32-7etch6  * Base de données : Mysql5
Ligne 27: Ligne 22:
 * Hébergement de site web : Apache2 : 2.2.3-4+etch5  * Hébergement de site web : Apache2
Ligne 29: Ligne 24:
  * Tous les sites sont activés avec a2ensite   * Tous les sites sont activés avec ''a2ensite''
Ligne 33: Ligne 28:
  * Le moteur php est php5 : 5.2.0-8+etch13
  * phpmyadmin : 4:2.9.1.1-8
  * Le moteur php est php5
  * phpmyadmin
Ligne 37: Ligne 32:
  * Tout ce qui concerne les autres hébergements est dans ''/var/www/hébergements'   * Tout ce qui concerne les autres hébergements est dans ''/var/www/hebergements''
Ligne 45: Ligne 40:
  * spamassassin 3.1.7-2 : Laisser la config par défaut. Cela suffit
  * clamav 0.92.1dfsg-0volatile1 : Laisser également la config par défaut.
 * Monitoring des serveurs : Cacti 0.8.6i-3.5
  * J'ai essayé de réinstaller suite à la rencontre avec les RTRs. J'ai pas encore fini.
  * Il utilise snmp et donc il faut configurer snmp sur tous les serveurs
  * spamassassin : Laisser la config par défaut. Cela suffit
  * clamav : Laisser également la config par défaut.
Ligne 53: Ligne 45:
Le serveur de fichier du CNF. Son autre nom est

nfs-cotonou.bj.refer.org'' ''.

 * Stockage : Il a deux disques durs IDE de 500Go avec du lvm. Le premier supporte les données des utilisateurs et le second, le mirroir. Le système se trouve sur un troisième disque de 80 Go.
Le serveur de fichier du CNF. Son autre nom est ''nfs-cotonou.bj.refer.org''.
 * Stockage : Suite à l'installation du nouveau serveur, il a deux disques durs SATA de 1000Go en raid1 avec du lvm.
Ligne 59: Ligne 48:
  * Miroir de ''ftp.fr.debian.org''(etch main contrib non-free) et de ''archive.ubuntu.com/ubuntu/''(hardy/hardy-updates/hardy-backports main restricted universe multiverse) réalisé avec ''apt-mirror''
  * Se trouve sur "/dev/mapper/Data_CNF-home"
  * Regarder le fichier de configuration dans ''/srv/www/miroir2/mirror.list''
  * Rajouter ''deb http://ftp.fr.debian.org/debian etch main/debian-installer'' à la liste des adresses à copier si on veut faire du boot sur le réseau
  * Les miroirs sont disponibles aux adresses "http://ubuntu.bj.refer.org'' et ''http://debian.bj.refer.org''
  * Miroir de ''ftp.fr.debian.org''(lenny main contrib non-free) et de ''archive.ubuntu.com/ubuntu/'' (karmic/karmic-updates/karmic-backports main restricted universe multiverse) réalisé avec ''apt-mirror''
  * Se trouve sur "/var/miroir"
  * Regarder le fichier de configuration dans ''/var/miroir/mirror.list''
  * Rajouter ''deb http://ftp.fr.debian.org/debian lenny main/debian-installer'' à la liste des adresses à copier si on veut faire du boot sur le réseau
  * Les miroirs sont disponibles aux adresses ''http://ubuntu.bj.refer.org'' et ''http://debian.bj.refer.org''
Ligne 65: Ligne 54:
  * Pour debian la source.list est ''deb http://debian.bj.refer.org/ etch main contrib non-free''
  * pour ubuntu la source.list est ''deb h
ttp://ubuntu.bj.refeR.org/ hardy main restricted universe multiverse''
 * DNS : Bind9 : 1:9.3.4-2etch3. Uniquement pour les postes du LAN
  * Les zones gérées sont : ''cnfc'' ''wifi.cnfc''
  * Pour debian la source.list est ''deb http://debian.bj.refer.org/ lenny main contrib non-free''
  * pour ubuntu la source.list est ''deb
http://ubuntu.bj.refeR.org/ karmic main restricted universe multiverse''
 * DNS : Bind9 : Uniquement pour les postes du LAN
  * Les zones gérées sont : ''cnfc'', ''wifi.cnfc''
Ligne 71: Ligne 60:
  * On ne gère TOUTES les reverse.
 * Base de données : Mysql5 : 5.0.32-7etch6
  * On gère TOUTES les reverse.
 * Base de données : Mysql5
Ligne 76: Ligne 65:
 * Hébergement de site web : Apache2 : 2.2.3-4+etch5  * Hébergement de site web : Apache2
Ligne 82: Ligne 71:
  * Le moteur php est php5 : 5.2.0-8+etch13
  * phpmyadmin : 4:2.9.1.1-8
  * Le moteur php est php5
  * phpmyadmin
Ligne 85: Ligne 74:
 * Adressage dynamique : dhcp-server 3.0.4-13  * Adressage dynamique
Ligne 87: Ligne 76:
  * Il ya un joli script que j'ai écrit avec une copine pour récupérer automatiquement la liste des adresses mac à partir des logs dhcp et écrire les fichiers ''dhcpd.conf'',''db.cnfc'' et ''db.16.172'' correspondants. Il faut que je l'épure un peu et je vais le mettre dans ''/usr/local/bin''.
 * Duplication de machine : tftpd-hpa 0.43-1.1
  * Il y a un joli script que j'ai écrit avec une copine pour récupérer automatiquement la liste des adresses mac à partir des logs dhcp et écrire les fichiers ''dhcpd.conf'',''db.cnfc'' et ''db.16.172'' correspondants. Il faut que je l'épure un peu et je vais le mettre dans ''/usr/local/bin''.
 * Duplication de machine : tftpd-hpa
Ligne 92: Ligne 81:
 * Proxy transparent : Squid 2.6.5-6etch4  * Proxy transparent : Squid
Ligne 94: Ligne 83:
  * sur ce serveur dévier toutes les connexions http des réseaux locaux vers squid ''iptables -t nat -A PREROUTING -s $ip ! -d 81.91.236.0/27 -p tcp --dport www -j REDIRECT --to-ports 3128''
  * Désactiver la proxisaton vers une destination grâce à ''iptables -t nat -A PREROUTING -s ip_source -d ip_destination -j RETURN '' (Vérifier vraiment que cela ne marche pas avant)
  * sur ce serveur dévier toutes les connexions http des réseaux locaux vers squid
{{{
iptables -t nat -A PREROUTING -s $ip ! -d 81.91.236.0/27 -p tcp --dport www -j REDIRECT --to-ports 3128 }}}
  * Désactiver la proxisaton vers une destination grâce à
{{{
iptables -t nat -A PREROUTING -s ip_source -d ip_destination -j RETURN }}} (Vérifier vraiment que cela ne marche pas avant)
Ligne 97: Ligne 90:
 * Authentification wifi : freeradieus 1.1.3-3  * Authentification wifi : freeradieus
Ligne 101: Ligne 94:
  * Pour des raisons de souplesse dans la configuration, on a un autre serveur qui s'occupe du portail chillispot. La OpênVzisation devrait permettre de réunir tout ce beau monde sur une seul machine :-) )
 * Les quotas : quota 3.14-7
  * Pour des raisons de souplesse dans la configuration, on a un autre serveur qui s'occupe du portail chillispot. La Openvzisation devrait permettre de réunir tout ce beau monde sur une seul machine :-) )
 * Les quotas : quota
Ligne 104: Ligne 97:
  * Les limites au cnf sont à 700 Mo. Il y a un patch (''taillehome.sh'') dans les scripts locaux de admin-comptes dans ''/usr/local/bin'' qui permet de connaitre la taille exacte des gros fichiers (Merci Cédric). Il faut que je l'active de nouveau...   * Les limites au cnf sont à 800 Mo. Il y a un patch (''taillehome.sh'') dans les scripts locaux de admin-comptes dans ''/usr/local/bin'' qui permet de connaitre la taille exacte des gros fichiers (Merci Cédric). Il faut que je l'active de nouveau...
Ligne 108: Ligne 101:
Le Firewall du CNF. Son autre nom est ''fw.bj.auf''.
 * Stockage : Un disque dire IDE de 80 Go avec du LVM. Ce qui est étrange est que j'y retrouve des partitions en durs avec une partie de l'ancien système .. :( . /!\ Il faut que je tire cela au clair
 * Protection : iptables
  * Règles de base : On interdit tout et on autorise au fur et à mesure.
  * Les règles de filtrage se trouve dans ''/etc/network/firewall-install''
  * On passe toutes les adresses IP par des variables en début de ce fameux fichier. c'est plus facile à maintenir. Il faut éviter d'utiliser des adresses directement dans les règles iptables.

Quelques trucs qui sont spécifiques à nous
  * Ouvrir complêtement le traffic pour l'équipement de visio en TCP.
  * Autoriser l'accès ssf depuis l'ENF. L'adresse de leur fw est récupérer par un script écrit par Cédric qui se trouve dans ''/root/getipenf''
  * Il faut toujours autoriser l'accès ssh depuis Dakar, Paris et Montréal
  * Ouvir le port udp (1194) en entrée pour la OpenVPN :
{{{
$IPT -A INPUT -p udp --dport 1194 -j ACCEPT }}}
  * Ouvrir UDP totalement en sortie :
{{{
$IPT -A OUTPUT -p udp -j ACCEPT }}}
  * Rendre le serveur astérix accessible sur le port 4569 sur tous les réseaux :
{{{
$IPTF -p udp -i $ETHOPT -o $ETHRPV -m state --state NEW -d $VOIPRPV --dport 4569 -j ACCEPT
$IPTF -p udp -i $ETHRPV -o $ETHOPT -m state --state NEW -s $VOIPRPV --dport 4569 -j ACCEPT
$IPTF -p udp -i $ETHDMZ -o $ETHRPV -m state --state NEW -d $VOIPRPV --dport 4569 -j ACCEPT
$IPTF -p udp -i $ETHRPV -o $ETHDMZ -m state --state NEW -s $VOIPRPV --dport 4569 -j ACCEPT
}}}
  * Ouvrir le port 1500 vers pour utiliser la plate-forme du DU UTICEF (est-ce vraiment encore utile ...???)
  * Ouvrir le port 1520 vers LPATC, Strasbourg : port 1520 : cela permettra de chater :
{{{
${IPT} -t filter -A FORWARD -s $IPCNFC -p tcp -m tcp --dport 1600 -m state --state NEW -j ACCEPT
}}}
  * Autoriser tout le traffic en provenance de nos serveurs chéris à aller ver l'extérieur :D
  * Il faut impérativement natter tout le traffic du CNF vers l'Université avec
{{{
${IPT} -t nat -A POSTROUTING -o $ETHUNIV -j SNAT --to-source $VOIPPUB
}}}
  * Autoriser les serveurs à sortir directement sur internet sans passer par le proxy. En tout cas autoriser au moins le proxy :
{{{
$IPT -t mangle -A PREROUTING -s $IPCNFC -p tcp --dport 80 -j RETURN
}}}
 * Redirection squid
  * ici, on marque les concernant le web avec ''1'' dans ''/etc/network/firewall-install'' par exemple avec :
{{{
$IPT -t mangle -A PREROUTING -i IP_RESEAU -p tcp --dport 80 -j MARK --set-mark 1
}}}
  * et on les traite ensuite dans ''/etc/network/police-de-la-route'' en créant une route particulière vers le proxy (nfs-cotonou)
{{{
/sbin/ip route add table 11 default via $CNFC
/sbin/ip rule add fwmark 1 table 11 }}}
 * le RPV Ipsec : Rien à dire dessus. Suivre la recette AUF. Suivre [[http://wiki.auf.org/wikiteki/PKI|le projet PKI]]. Poser des questions à TN et JC si on comprends pas un truc. Se tenir prèts...
 * Généralement, sur ce serveur, ne faire confiance à personne sauf les amis du RPV, de Dakar de Paris et de Montréal pour faire une connexion SSH. Demander à ceux qui insistent vraiment de se créer une clé ssh et de l'envoyer pour qu'on le mette sur le serveur. Être méchant et parano quand quelqu'un loue la salle de formation et souhaite mettre un serveur dans la DMZ avec un accès ssh. Dire NON !!! Point à la ligne. (J'ai pensé à une solution avec du Dnat, mais .. non, finalement, on refuse)

implantation

serveur

distribution

version kernel

version package

backup (*)

Commentaire

Cotonou

mail-cotonou.bj.refer.org

Etch

linux-image-2.6-k7

2.6.18-6-k7

backuppc

ok

Cotonou

cnfc.bj.refer.org

Etch

linux-image-2.6-k7

2.6.18-6-k7

backuppc

ok

Cotonou

fw.bj.refer.org

Etch

linux-image-2.6-k7

2.6.18-6-k7

backuppc

ok

Cotonou

interne

Etch

linux-image-2.6-k7

2.6.18-6-k7

backuppc

ok

Cotonou

backup.bj.refer.org

Etch

linux-image-2.6-k7

2.6.18-6-k7

backuppc

ok

Cotonou

openvz.bj.refer.org

Etch

linux-image-2.6.18-14-fza-686-bigmem

2.6.18-14-fza-686-bigmem

backuppc

ok

mail-cotonou.bj.refer.org : 81.91.236.2

Mon serveur chouchou. Il s'appelle aussi : bj.refer.org, pop.bj.refer.org, smtp.bj.refer.org, mail.bj.refer.org, imap.bj.refer.org, cotonou.bj.refer.org. Il supporte plein de services sensibles :

  • Exim :
  • DNS : Bind9
    • Tout ce qui concerne les domaines se trouve dans /etc/bind/named.conf.local

    • Les zones gérées sont : refer.bj, bj.refer.org, bj.auf.org, lerevelateur.bj

    • Tansfert uniquement pour Montréal et de Paris sur tous les domaines et pour BéninTelecoms sur lerevelateur.bj

    • Aucune mise à jour acceptée de l'extérieur pour ces domaines
    • On ne gère aucune reverse encore (en cours de discussion avev le FAI)
  • Base de données : Mysql5
    • Faire gaffe à nscd. Il faut qu'il se lance avant mysql sinon, mysql plante.
    • Il n'accepte des requètes que des réseaux locaux et de la DMZ (Conf du fw)
    • Passer le nombre max de connexions à 200
  • Hébergement de site web : Apache2
    • Tous les sites sont dans site-available
    • Tous les sites sont activés avec a2ensite

    • Activation SSL : non
    • Il écoute sur 80 et 8080 (je ne sais pas pkoi, j'ai découvert cela en faisant cette doc)
    • Il y a une déclaration par défaut des noms des Vhosts dans /etc/apache2/conf.d/virtual-host.conf

    • Le moteur php est php5
    • phpmyadmin
    • Le site du CNF est dans le dosser /var/www/cnfc

    • Tout ce qui concerne l'université est dans /var/www/uac

    • Tout ce qui concerne les autres hébergements est dans /var/www/hebergements

    • L'ancien site du CNF de Cotonou (avant Mathieu G.) est dans /var/www/benin_ct

    • Tout ce qui n'est pas destiné à être concervé (sites de test, site pour des formations, divers) se tourve dans /var/www/temporaire

  • Authentification centralisée pour les usagers : Libnss-mysql-gb + Mysql
    • Suivre la recette AUF pour la mise en place.
    • Les comptes sont toursjours créés via admincompte ( regarder dans /usr/local/bin) puis sont injectés dans la base de données par synchro-nss

    • Guia une fois terminée devrait simplifier tout ce bazar (mais qui marche ;-) ).

  • Antivirus et antispam :
    • spamassassin : Laisser la config par défaut. Cela suffit
    • clamav : Laisser également la config par défaut.

cnfc.bj.refer.org

Le serveur de fichier du CNF. Son autre nom est nfs-cotonou.bj.refer.org.

  • Stockage : Suite à l'installation du nouveau serveur, il a deux disques durs SATA de 1000Go en raid1 avec du lvm.
  • Mirroirs locaux
    • Miroir de ftp.fr.debian.org(lenny main contrib non-free) et de archive.ubuntu.com/ubuntu/ (karmic/karmic-updates/karmic-backports main restricted universe multiverse) réalisé avec apt-mirror

    • Se trouve sur "/var/miroir"
    • Regarder le fichier de configuration dans /var/miroir/mirror.list

    • Rajouter deb http://ftp.fr.debian.org/debian lenny main/debian-installer à la liste des adresses à copier si on veut faire du boot sur le réseau

    • Les miroirs sont disponibles aux adresses http://ubuntu.bj.refer.org et http://debian.bj.refer.org

    • Ils sont mis à jour chaque nuit via un cron qui se trouve dans /etc/cron.d/apt-mirror

    • Pour debian la source.list est deb http://debian.bj.refer.org/ lenny main contrib non-free

    • pour ubuntu la source.list est deb http://ubuntu.bj.refeR.org/ karmic main restricted universe multiverse

  • DNS : Bind9 : Uniquement pour les postes du LAN
    • Les zones gérées sont : cnfc, wifi.cnfc

    • Tansferts de domaine interdits. Il est le seul à gérer ces domaines.
    • Aucune mise à jour acceptée de l'extérieu pour ces domaines
    • On gère TOUTES les reverse.
  • Base de données : Mysql5
    • Faire gaffe à nscd. Il faut qu'il se lance avant mysql sinon, mysql plante.
    • Il n'accepte des requètes que des réseaux locaux et de la DMZ (Conf du fw)
    • Passer le nombre max de connexions à 200
  • Hébergement de site web : Apache2
    • Tous les sites sont dans site-available
    • Tous les sites sont activés avec a2ensite
    • Activation SSL : oui
    • Il écoute sur 80 et 443 (https pour le wifi
    • Il y a une déclaration par défaut des noms des Vhosts dans /etc/apache2/conf.d/virtual-host.conf

    • Le moteur php est php5
    • phpmyadmin
    • Il y a un domaine particulier qui est wifi.cnfc qui est en https (443) et qui permet au serveur chillispot de réaliser l'authentification.
  • Adressage dynamique
    • Adresse ip des machines fixées grace à la correspondance MAC -> Nom_des_MAchines (Bon, je dois expliquer ici : Dans le fichier /etc/dhcp3/dhcpd.conf on dit telle adresse correspond à telle nom de domaine et le serveur dhcp ensuite pose à la question au serveur dns -localhost/bind9- qui lui dans le point db.cnfc voit les corresponsances entre noms de domaine et adresse ip_interne). Eg : DHCP (fixed-address cr58.cnfc) -> DNS (cr58 IN A 172.16.3.58) et la machine recoit toujours la bonne adresse... :D.

    • Il y a un joli script que j'ai écrit avec une copine pour récupérer automatiquement la liste des adresses mac à partir des logs dhcp et écrire les fichiers dhcpd.conf,db.cnfc et db.16.172 correspondants. Il faut que je l'épure un peu et je vais le mettre dans /usr/local/bin.

  • Duplication de machine : tftpd-hpa
    • Tout se trouve dans /var/lib/tftpboot

    • Il est activé en mode daemon : Dans /etc/default/tftpd-hpa passer RUN_DAEMON à "yes"

    • Suivre la doc que je vais écrire dans quelques semaines :D

  • Proxy transparent : Squid
    • Suivre la recette AUF pas compliqué
    • sur ce serveur dévier toutes les connexions http des réseaux locaux vers squid

iptables -t nat -A PREROUTING -s $ip ! -d 81.91.236.0/27 -p tcp --dport www -j REDIRECT --to-ports 3128 
  • Désactiver la proxisaton vers une destination grâce à

iptables -t nat -A PREROUTING -s ip_source -d ip_destination -j RETURN 

(Vérifier vraiment que cela ne marche pas avant)

  • Dévier sur le fw toutes les connexion http en provenance du RPV, de la DMZ vers Squid sur ce serveur (conf la section FW)
  • Authentification wifi : freeradieus
    • On passe par PAM pour réaliser l'authentification. A lui de se débrouiller pour vérifier si le gars à un compte ou pas (dans users ajouter DEFAULT Auth-Type = Pam.

    • On est obligé de le lancer en tant que superutilisateur car sans cela, il ne peut pas utiliser pam (pour l'instant :-( )

    • Déclarer dans clients.conf le serveur chillispot.
    • Pour des raisons de souplesse dans la configuration, on a un autre serveur qui s'occupe du portail chillispot. La Openvzisation devrait permettre de réunir tout ce beau monde sur une seul machine :-) )

  • Les quotas : quota
    • Suivre la doc
    • Les limites au cnf sont à 800 Mo. Il y a un patch (taillehome.sh) dans les scripts locaux de admin-comptes dans /usr/local/bin qui permet de connaitre la taille exacte des gros fichiers (Merci Cédric). Il faut que je l'active de nouveau...

fw.bj.refer.org

Le Firewall du CNF. Son autre nom est fw.bj.auf.

  • Stockage : Un disque dire IDE de 80 Go avec du LVM. Ce qui est étrange est que j'y retrouve des partitions en durs avec une partie de l'ancien système .. :( . /!\ Il faut que je tire cela au clair

  • Protection : iptables
    • Règles de base : On interdit tout et on autorise au fur et à mesure.
    • Les règles de filtrage se trouve dans /etc/network/firewall-install

    • On passe toutes les adresses IP par des variables en début de ce fameux fichier. c'est plus facile à maintenir. Il faut éviter d'utiliser des adresses directement dans les règles iptables.

Quelques trucs qui sont spécifiques à nous

  • Ouvrir complêtement le traffic pour l'équipement de visio en TCP.
  • Autoriser l'accès ssf depuis l'ENF. L'adresse de leur fw est récupérer par un script écrit par Cédric qui se trouve dans /root/getipenf

  • Il faut toujours autoriser l'accès ssh depuis Dakar, Paris et Montréal
  • Ouvir le port udp (1194) en entrée pour la OpenVPN :

$IPT -A INPUT -p udp --dport 1194 -j ACCEPT 
  • Ouvrir UDP totalement en sortie :

$IPT -A OUTPUT -p udp -j ACCEPT 
  • Rendre le serveur astérix accessible sur le port 4569 sur tous les réseaux :

$IPTF -p udp -i $ETHOPT -o $ETHRPV -m state --state NEW -d $VOIPRPV --dport 4569 -j ACCEPT 
$IPTF -p udp -i $ETHRPV -o $ETHOPT -m state --state NEW -s $VOIPRPV --dport 4569 -j ACCEPT
$IPTF -p udp -i $ETHDMZ -o $ETHRPV -m state --state NEW -d $VOIPRPV --dport 4569 -j ACCEPT
$IPTF -p udp -i $ETHRPV -o $ETHDMZ -m state --state NEW -s $VOIPRPV --dport 4569 -j ACCEPT 
  • Ouvrir le port 1500 vers pour utiliser la plate-forme du DU UTICEF (est-ce vraiment encore utile ...???)
  • Ouvrir le port 1520 vers LPATC, Strasbourg : port 1520 : cela permettra de chater :

${IPT} -t filter -A FORWARD -s $IPCNFC -p tcp -m tcp --dport 1600 -m state --state NEW -j ACCEPT 
  • Autoriser tout le traffic en provenance de nos serveurs chéris à aller ver l'extérieur :D

  • Il faut impérativement natter tout le traffic du CNF vers l'Université avec

${IPT} -t nat -A POSTROUTING -o $ETHUNIV -j SNAT --to-source $VOIPPUB
  • Autoriser les serveurs à sortir directement sur internet sans passer par le proxy. En tout cas autoriser au moins le proxy :

$IPT -t mangle -A PREROUTING -s $IPCNFC -p tcp --dport 80 -j RETURN 
  • Redirection squid
    • ici, on marque les concernant le web avec 1 dans /etc/network/firewall-install par exemple avec :

$IPT -t mangle -A PREROUTING -i IP_RESEAU -p tcp --dport 80 -j MARK --set-mark 1 

  • et on les traite ensuite dans /etc/network/police-de-la-route en créant une route particulière vers le proxy (nfs-cotonou)

/sbin/ip route add table 11 default via $CNFC 
/sbin/ip rule add fwmark 1 table 11 
  • le RPV Ipsec : Rien à dire dessus. Suivre la recette AUF. Suivre le projet PKI. Poser des questions à TN et JC si on comprends pas un truc. Se tenir prèts...

  • Généralement, sur ce serveur, ne faire confiance à personne sauf les amis du RPV, de Dakar de Paris et de Montréal pour faire une connexion SSH. Demander à ceux qui insistent vraiment de se créer une clé ssh et de l'envoyer pour qu'on le mette sur le serveur. Être méchant et parano quand quelqu'un loue la salle de formation et souhaite mettre un serveur dans la DMZ avec un accès ssh. Dire NON !!! Point à la ligne. (J'ai pensé à une solution avec du Dnat, mais .. non, finalement, on refuse)

internet.bj.auf

backup.bj.auf

ZAO/Cotonou/Parc/Serveurs (dernière édition le 2010-01-19 12:20:10 par FranckKouyami)