WikiTeki /  Modifications de « ZAO/Cotonou/Parc/Serveurs »

mail-cotonou.bj.refer.org : 81.91.236.2

Mon serveur chouchou. Il s'appelle aussi : bj.refer.org, pop.bj.refer.org, smtp.bj.refer.org, mail.bj.refer.org, imap.bj.refer.org, cotonou.bj.refer.org. Il supporte plein de services sensibles :

• Exim :
• DNS : Bind9

  • Tout ce qui concerne les domaines se trouve dans /etc/bind/named.conf.local

  • Les zones gérées sont : refer.bj, bj.refer.org, bj.auf.org, lerevelateur.bj

  • Tansfert uniquement pour Montréal et de Paris sur tous les domaines et pour BéninTelecoms sur lerevelateur.bj

  • Aucune mise à jour acceptée de l'extérieur pour ces domaines
  • On ne gère aucune reverse encore (en cours de discussion avev le FAI)
• Base de données : Mysql5
  • Faire gaffe à nscd. Il faut qu'il se lance avant mysql sinon, mysql plante.
  • Il n'accepte des requètes que des réseaux locaux et de la DMZ (Conf du fw)
  • Passer le nombre max de connexions à 200
• Hébergement de site web : Apache2
  • Tous les sites sont dans site-available

  • Tous les sites sont activés avec a2ensite

  • Activation SSL : non
  • Il écoute sur 80 et 8080 (je ne sais pas pkoi, j'ai découvert cela en faisant cette doc)

  • Il y a une déclaration par défaut des noms des Vhosts dans /etc/apache2/conf.d/virtual-host.conf

  • Le moteur php est php5
  • phpmyadmin

  • Le site du CNF est dans le dosser /var/www/cnfc

  • Tout ce qui concerne l'université est dans /var/www/uac

  • Tout ce qui concerne les autres hébergements est dans /var/www/hebergements

  • L'ancien site du CNF de Cotonou (avant Mathieu G.) est dans /var/www/benin_ct

  • Tout ce qui n'est pas destiné à être concervé (sites de test, site pour des formations, divers) se tourve dans /var/www/temporaire

• Authentification centralisée pour les usagers : Libnss-mysql-gb + Mysql
  • Suivre la recette AUF pour la mise en place.

  • Les comptes sont toursjours créés via admincompte ( regarder dans /usr/local/bin) puis sont injectés dans la base de données par synchro-nss

  • Guia une fois terminée devrait simplifier tout ce bazar (mais qui marche ).

• Antivirus et antispam :
  • spamassassin : Laisser la config par défaut. Cela suffit
  • clamav : Laisser également la config par défaut.

cnfc.bj.refer.org

Le serveur de fichier du CNF. Son autre nom est nfs-cotonou.bj.refer.org.

• Stockage : Suite à l'installation du nouveau serveur, il a deux disques durs SATA de 1000Go en raid5 avec du lvm.
• Mirroirs locaux

  • Miroir de ftp.fr.debian.org(lenny main contrib non-free) et de archive.ubuntu.com/ubuntu/ (karmic/karmic-updates/karmic-backports main restricted universe multiverse) réalisé avec apt-mirror

  • Se trouve sur "/var/miroir"

  • Regarder le fichier de configuration dans /var/miroir/mirror.list

  • Rajouter deb http://ftp.fr.debian.org/debian lenny main/debian-installer à la liste des adresses à copier si on veut faire du boot sur le réseau

  • Les miroirs sont disponibles aux adresses http://ubuntu.bj.refer.org et http://debian.bj.refer.org

  • Ils sont mis à jour chaque nuit via un cron qui se trouve dans /etc/cron.d/apt-mirror

  • Pour debian la source.list est deb http://debian.bj.refer.org/ lenny main contrib non-free

  • pour ubuntu la source.list est deb http://ubuntu.bj.refeR.org/ karmic main restricted universe multiverse

• DNS : Bind9 : Uniquement pour les postes du LAN

  • Les zones gérées sont : cnfc, wifi.cnfc

  • Tansferts de domaine interdits. Il est le seul à gérer ces domaines.
  • Aucune mise à jour acceptée de l'extérieu pour ces domaines
  • On gère TOUTES les reverse.
• Base de données : Mysql5
  • Faire gaffe à nscd. Il faut qu'il se lance avant mysql sinon, mysql plante.
  • Il n'accepte des requètes que des réseaux locaux et de la DMZ (Conf du fw)
  • Passer le nombre max de connexions à 200
• Hébergement de site web : Apache2
  • Tous les sites sont dans site-available
  • Tous les sites sont activés avec a2ensite
  • Activation SSL : oui
  • Il écoute sur 80 et 443 (https pour le wifi

  • Il y a une déclaration par défaut des noms des Vhosts dans /etc/apache2/conf.d/virtual-host.conf

  • Le moteur php est php5
  • phpmyadmin
  • Il y a un domaine particulier qui est wifi.cnfc qui est en https (443) et qui permet au serveur chillispot de réaliser l'authentification.
• Adressage dynamique

  • Adresse ip des machines fixées grace à la correspondance MAC -> Nom_des_MAchines (Bon, je dois expliquer ici : Dans le fichier /etc/dhcp3/dhcpd.conf on dit telle adresse correspond à telle nom de domaine et le serveur dhcp ensuite pose à la question au serveur dns -localhost/bind9- qui lui dans le point db.cnfc voit les corresponsances entre noms de domaine et adresse ip_interne). Eg : DHCP (fixed-address cr58.cnfc) -> DNS (cr58 IN A 172.16.3.58) et la machine recoit toujours la bonne adresse... :D.

  • Il y a un joli script que j'ai écrit avec une copine pour récupérer automatiquement la liste des adresses mac à partir des logs dhcp et écrire les fichiers dhcpd.conf,db.cnfc et db.16.172 correspondants. Il faut que je l'épure un peu et je vais le mettre dans /usr/local/bin.

• Duplication de machine : tftpd-hpa

  • Tout se trouve dans /var/lib/tftpboot

  • Il est activé en mode daemon : Dans /etc/default/tftpd-hpa passer RUN_DAEMON à "yes"

  • Suivre la doc que je vais écrire dans quelques semaines

• Proxy transparent : Squid
  • Suivre la recette AUF pas compliqué
  • sur ce serveur dévier toutes les connexions http des réseaux locaux vers squid

iptables -t nat -A PREROUTING -s $ip ! -d 81.91.236.0/27 -p tcp --dport www -j REDIRECT --to-ports 3128 

• Désactiver la proxisaton vers une destination grâce à

iptables -t nat -A PREROUTING -s ip_source -d ip_destination -j RETURN 

(Vérifier vraiment que cela ne marche pas avant)

• Dévier sur le fw toutes les connexion http en provenance du RPV, de la DMZ vers Squid sur ce serveur (conf la section FW)

• Authentification wifi : freeradieus

  • On passe par PAM pour réaliser l'authentification. A lui de se débrouiller pour vérifier si le gars à un compte ou pas (dans users ajouter DEFAULT Auth-Type = Pam.

  • On est obligé de le lancer en tant que superutilisateur car sans cela, il ne peut pas utiliser pam (pour l'instant )

  • Déclarer dans clients.conf le serveur chillispot.

  • Pour des raisons de souplesse dans la configuration, on a un autre serveur qui s'occupe du portail chillispot. La Openvzisation devrait permettre de réunir tout ce beau monde sur une seul machine )

• Les quotas : quota
  • Suivre la doc

  • Les limites au cnf sont à 800 Mo. Il y a un patch (taillehome.sh) dans les scripts locaux de admin-comptes dans /usr/local/bin qui permet de connaitre la taille exacte des gros fichiers (Merci Cédric). Il faut que je l'active de nouveau...

fw.bj.refer.org

Le Firewall du CNF. Son autre nom est fw.bj.auf.

• Stockage : Un disque dire IDE de 80 Go avec du LVM. Ce qui est étrange est que j'y retrouve des partitions en durs avec une partie de l'ancien système .. . Il faut que je tire cela au clair

• Protection : iptables
  • Règles de base : On interdit tout et on autorise au fur et à mesure.

  • Les règles de filtrage se trouve dans /etc/network/firewall-install

  • On passe toutes les adresses IP par des variables en début de ce fameux fichier. c'est plus facile à maintenir. Il faut éviter d'utiliser des adresses directement dans les règles iptables.

Quelques trucs qui sont spécifiques à nous

• Ouvrir complêtement le traffic pour l'équipement de visio en TCP.

• Autoriser l'accès ssf depuis l'ENF. L'adresse de leur fw est récupérer par un script écrit par Cédric qui se trouve dans /root/getipenf

• Il faut toujours autoriser l'accès ssh depuis Dakar, Paris et Montréal
• Ouvir le port udp (1194) en entrée pour la OpenVPN :

$IPT -A INPUT -p udp --dport 1194 -j ACCEPT 

• Ouvrir UDP totalement en sortie :

$IPT -A OUTPUT -p udp -j ACCEPT 

• Rendre le serveur astérix accessible sur le port 4569 sur tous les réseaux :

$IPTF -p udp -i $ETHOPT -o $ETHRPV -m state --state NEW -d $VOIPRPV --dport 4569 -j ACCEPT 
$IPTF -p udp -i $ETHRPV -o $ETHOPT -m state --state NEW -s $VOIPRPV --dport 4569 -j ACCEPT
$IPTF -p udp -i $ETHDMZ -o $ETHRPV -m state --state NEW -d $VOIPRPV --dport 4569 -j ACCEPT
$IPTF -p udp -i $ETHRPV -o $ETHDMZ -m state --state NEW -s $VOIPRPV --dport 4569 -j ACCEPT 

• Ouvrir le port 1500 vers pour utiliser la plate-forme du DU UTICEF (est-ce vraiment encore utile ...???)
• Ouvrir le port 1520 vers LPATC, Strasbourg : port 1520 : cela permettra de chater :

${IPT} -t filter -A FORWARD -s $IPCNFC -p tcp -m tcp --dport 1600 -m state --state NEW -j ACCEPT 

• Autoriser tout le traffic en provenance de nos serveurs chéris à aller ver l'extérieur

• Il faut impérativement natter tout le traffic du CNF vers l'Université avec

${IPT} -t nat -A POSTROUTING -o $ETHUNIV -j SNAT --to-source $VOIPPUB

• Autoriser les serveurs à sortir directement sur internet sans passer par le proxy. En tout cas autoriser au moins le proxy :

$IPT -t mangle -A PREROUTING -s $IPCNFC -p tcp --dport 80 -j RETURN 

• Redirection squid

  • ici, on marque les concernant le web avec 1 dans /etc/network/firewall-install par exemple avec :

$IPT -t mangle -A PREROUTING -i IP_RESEAU -p tcp --dport 80 -j MARK --set-mark 1 

• et on les traite ensuite dans /etc/network/police-de-la-route en créant une route particulière vers le proxy (nfs-cotonou)

/sbin/ip route add table 11 default via $CNFC 
/sbin/ip rule add fwmark 1 table 11 

• le RPV Ipsec : Rien à dire dessus. Suivre la recette AUF. Suivre le projet PKI. Poser des questions à TN et JC si on comprends pas un truc. Se tenir prèts...

• Généralement, sur ce serveur, ne faire confiance à personne sauf les amis du RPV, de Dakar de Paris et de Montréal pour faire une connexion SSH. Demander à ceux qui insistent vraiment de se créer une clé ssh et de l'envoyer pour qu'on le mette sur le serveur. Être méchant et parano quand quelqu'un loue la salle de formation et souhaite mettre un serveur dans la DMZ avec un accès ssh. Dire NON !!! Point à la ligne. (J'ai pensé à une solution avec du Dnat, mais .. non, finalement, on refuse)

internet.bj.auf

backup.bj.auf