Cette page présente les modèles de configuration à mettre en place dans la [:ZAP:Zone Asie-Pacifique], autrement dit l'infrastructure système standard selon JeanChristopheAndré.

Le serveur

La configuration matérielle

• CPU avec >= 1 Mo de cache pour plus d'efficacité

• RAM : au strict minimum 1 Go, le maximum étant le mieux (Linux supportant 64 Go sans problème)

• Disques ATA (IDE/PATA ou SATA) pour le système et les partages de fichiers (web, ftp, nfs, ...) => pas indispensable d'être efficace car le cache disque en RAM compensera

• Disques SCSI pour les gros volumes de données d'accès aléatoire rapide : courriels en Maildir et bases de données avec accès fréquents

• Boîtier rack entre 2U et 4U pour éviter le matériel et les câbles qui traînent (attention aux ajouts de cartes d'extension quand < 3U)

L'installation du système

• [:Debian/Etch:Debian GNU/Linux "Etch" 4.0] : le choix d'excellence, discutable mais non négociable !

• Partitionnement en deux parties (tant que grub ne supporte pas directement LVM) :

  • 64 Mo sur /dev/sd[ab]1, de type Linux raid autodetect (code fd)

  • le reste sur /dev/sd[ab]2, de type Linux raid autodetect (code fd)

• RAID logiciel de niveau 1 : sécurisation en fonctionnement

  • réunir les partitions de 64 Mo dans /dev/md0, le formater en ext3 pour /boot

  • réunir les autres partitions dans /dev/md1, de type Linux LVM (code 8e)

• LVM : souplesse de gestion de l'espace disque

  • 700 Mo pour / : presque rien ici car tous les services sont dans des serveurs virtuels

  • 1 Go pour le swap : ne devrait pas être utilisé, juste là en réserve pour avoir le temps d'intervenir en cas de souci
• [:OpenVZ:] : consolidation des serveurs et isolation des services

• configurer le service de monitorage des ensembles RAID (paquet mdadm)

• configurer le service de monitorage des disques S.M.A.R.T. (paquet smartmontools)

Les services

• La sécurité des données :
  • premier niveau de panne en fonctionnement assuré par le RAID logiciel

  • sauvegarde quotidienne avec historique avec backuppc, depuis un autre serveur avec un peu de RAM mais surtout de la puissance CPU (calcul de MD5 + compression) et de l'espace disque ATA (pas besoin d'accès efficace ici)

  • sauvegarde hebdomadaire des données de backuppc sur un disque externe type USB2

• La gestion des courriels :

  • service de boîte aux lettres avec dovecot (IMAP, IMAPS, POP3, POP3S)

  • service de transfert/livraison avec postfix (SMTP, SMTPS)

  • service de filtrage (spams, virus, ...) avec amavid-new

    • détection des spams avec spamassassin

    • détection des virus avec clamav

• Le web :
  • service avec apache2 (HTTP, HTTPS)

  • scripts PHP avec php5, libapache2-mod-php5

• Proxy/cache :

  • service avec squid

  • surveillance avec squidview

  • statistiques avec calamaris

Le poste client

• système d'exploitation Ubuntu "Gutsy Gibbon" 7.10

  • nom de machine dynamique : supprimer /etc/hostname pour prendre le nom via DHCP

  • synchronisation d'heure :

    • sed -i '/^NTPDATE_USE_NTP_CONF/s/=.*/=no/' /etc/default/ntpdate

    • ajouter request ntp-servers; dans /etc/dhcp3/dhclient.conf

  • montages NFS :

    • installer autofs et ajouter /nfs /etc/auto.nfs --timeout=3600 dans /etc/auto.master

    • mettre les lignes suivantes dans /etc/auto.nfs :

      home-share      -fstype=nfs,hard,intr,nolock,noatime,nosuid,nodev,proto=tcp    nfs:/home/share
      srv-share       -fstype=nfs,hard,intr,nolock,noatime,nosuid,nodev,proto=tcp    nfs:/srv/share

    • faire un lien de /srv/share vers /nfs/srv-share et de /home/server vers /nfs/home-share

    • relancer le « service » autofs
  • imprimante PDF via cups-pdf :

    • changer Out ${HOME}/PDF en Out ${HOME}/Bureau dans /etc/cups/cups-pdf.conf

    • changer Label 0 en Label 1 dans /etc/cups/cups-pdf.conf pour éviter les écrasements

• changer @{HOME}/PDF/ en @{HOME}/Bureau/ dans /etc/apparmor.d/usr.sbin.cupsd

• mettre @{HOMEDIRS}=/home/local/ /home/server/ /nfs/home-share/ dans /etc/apparmor.d/tunables/home

• relancer le « service » apparmor

• configurer pour le [:Projet/Reflets/InstallationClientReflets:Projet Reflets]

• droits d'accès par défaut (chez nous on travaille par groupes) :

  • remplacer umask 022 par umask 002 à la fin de /etc/profile

  • ajouter umask 002 dans chaque ~/.bashrc

• gestion des courriels :
  • thunderbird avec courriers sortants forcés en UTF-8
  • enigmail pour le support GnuPGP, PGP et PGP/MIME