Alphorm.com Support Formation Red Hat Administration Système III RHCSE-(Rh254)

26/02/2016
1
Formation Red Hat, Administration Système III RHCE (RH254) alphorm.com™©
Site : http://www.alphorm.com
Blog : http://blog.alphorm.com
Ludovic Quenec'hdu
Formateur et Consultant indépendant
OpenSource et virtualisation
Formation
Red Hat Entreprise Linux 7
Administration Système III
Cours RH 254
Certification RHCE

26/02/2016
2
Plan
• Présentation du formateur
• Les certifications Red Hat
• Le plan de la formation
• Publics concernés
• Connaissances requises
• Liens utiles

26/02/2016
5
Les certifications Red Hat

26/02/2016
6
Le plan de formation
• Administration système
• Systemd
• Retour sur Systemd
• Gestion avancée systemd
• Administration réseau
• Administrer IP V6
• NetworkManager
• Le protocole IPV6
• Configuration des interfaces réseaux
• NIC Teaming et Bridging
• Comprendre l'agrégation de lien
• Configurer le NIC Teaming
• Gérer les interfaces Team
• Comprendre les pont réseau – Bridge
• Configurer un bridge
• Configurer un bridge "teaming"
• Sécurité
• Retour sur Firewalld
• Comprendre les "Rich Rules"
• Le Masquerading
• Le port Forwarding
• Gérer les ports avec SELinux
• Le service DNS
• Comprendre le Domain Name System – DNS
• Comprendre les recherches DNS
• Comprendre les enregistrements DNS
• Le service de cache DNS
• Configurer un serveur de cache sécurisé
• Mise en œuvre d'un serveur DNS local Bind9
• Le service Web
• Configurer le serveur apache
• Configurer des hôtes virtuels
• Configurer l'authentification des utilisateurs
• Créer des certificats
• Apache mod_ssl
• Gérer du contenu dynamique

26/02/2016
7
• Le service de courier
• Le serveur Postfix
• Configurer Postfix en Null-client
• Base de données
• Introduction aux bases de données
• Maria DB
• Installation de MariaDB
• Gérer une base de données MariaDB
• Administrer les utilisateurs et les permissions
sous MariaDB
• Sauvegarder et restaurer des bases données
MariaDB
• Stockage réseau
• Les technologies SAN – NAS
• Le protocole ISCSI
• Créer des Target ISCSI avec targetcli
• Iscsiadm - accéder aux Targets
• Programmation Shell
• Écrire des scripts simples
• Créer et exécuter des scripts
• Les sorties
• Les variables
• Les variables spéciales
• Test, Boucles et structures de contrôles
• Les codes de retour, exit
• Les test
• If, then , else, .., case
• Les boucles
• Configurer l'environnement du shell
• L’environnement de travail

26/02/2016
8
• Virtualisation
• Linux containers et Dockers
• Virtualisation par isolation
• LXC - Linux containers
• Gestion d'un container
• Docker
• Docker création et manipulation des conteneurs
• Red Hat Linux Atomic Host

26/02/2016
9
Publics concernés
Administrateurs Linux expérimentés
Administrateurs Linux désirant devenir RHCE
Administrateurs Linux désirant maitriser les nouveautés de RHEL7 et
des technologies avancés

26/02/2016
10
Connaissances requises
Il faut avoir suivi les deux formations :
Red Hat System Administration I (RH124)
Red Hat System Administration II (RH134)

26/02/2016
11
Liens utiles
• http://www.redhat.com
• https://access.redhat.com/documentation
• http://doc.fedora-fr.org/wiki/Accueil

26/02/2016
12
Are you ready ? ☺
Êtes vous prêt à porter
le chapeau d’ingénieur
Red Hat ?

26/02/2016
13
Retour sur systemd
Systemd
Ludovic Quenec'hdu

26/02/2016
14
Plan
• Systemd
• Les units de Systemd
• Gestion des services
• Gestion des cibles (targets)

26/02/2016
15
Sysytemd
• Systemd est un gestionnaire de services qui remplace Sys init depuis
RedHat 7 :
Il démarre comme premier processus lancé par le noyau
Assure l’initialisation des services
Gère les démons Linux : démarre, stoppe, désactive, active
Il démarre les services en parallèle
Il suit les services avec les groupes de contrôle (gestion des ressources)
Gère la journalisation et peut transmettre les journaux à Syslog
La configuration des noms d’hôtes, des montages de fs
Gère les sessions utilisateurs et gère les ressources des utilisateurs avec les cgroups
Gère les machines virtuelles et conteneurs avec les cgroups et libvirt

26/02/2016
16
Les units de Systemd
• Systemd se base sur une notion d’unités.
• Ces unités ont un type et un nom :
Le type Service : Gestion des démons
Le type Target : regroupe plusieurs unités et permet de définir des notions de
niveau d’exécution
Le type mount : gestion des systèmes de fichiers en relation avec fstab
Le type snapshot : permet de sauvegarder et restaurer l’états des services
• Lister toutes les unités
#systemctl list-units

26/02/2016
17
Gestion des services
• Systemd fournit la commande systemctl pour gérer les services
• Lister toutes les unités de type service
#systemctl list-units –t service
• Visualiser l’état d’un service
#systemctl status NetworkManager.service
#systemctl status NetworkManager
• Démarrer , arrêter un service
#systemctl start sshd.service
#systemctl start sshd
#systemctl stop sshd.service

26/02/2016
18
Gestion des services
• Systemd fournit la commande systemctl pour gérer les services
• Activer un service au démarrage
#systemctl enable NetworkManager.service
• Désactiver un service au démarrage
#systemctl disable NetworkManager.service
• Masque des services
#systemctl stop iptables
#systemctl mask iptables.services

26/02/2016
19
Gestion des cibles (target)
• Systemd fournit la commande systemctl pour gérer les cibles
• Changer de niveau de cible temporairement
#systemctl isolate rescue.target
• Obtenir le niveau de fonctionnement par défaut
#systemctl get-default
multi-user.target
• Modifier le niveau de fonctionnement par défaut
#systemctl set-default graphical.target
rm '/etc/systemd/system/default.target'
ln -s '/usr/lib/systemd/system/graphical.target' '/etc/systemd/system/default.target‘

26/02/2016
20
Ce qu’on a couvert
• Systemd
• Les units de Systemd
• Gestion des services
• Gestion des cibles (targets)

26/02/2016
21
Gestion avancée
de systemd
Systemd
Ludovic Quenec'hdu

26/02/2016
22
Plan
• Oubliez /etc/fstab monter des FS avec Systemd
• Automount avec Systemd
• Les groupes de contrôle avec Systemd

26/02/2016
23
Oubliez /etc/fstab monter des FS avec Systemd
• Systemd introduit depuis Red hat Enterprise Linux 7 n’est pas seulement
un gestionnaire de services :
Il est aussi utilisé pour monter des systèmes de fichiers au démarrage de la
machine
• Lister les systèmes de fichiers montés par Systemd
#find / -name "*.mount«
• Jetons un œil sur tmp.mount
#cat /usr/lib/systemd/system/tmp.mount
[Mount]
What=tmpfs
Where=/tmp
Type=tmpfs

26/02/2016
24
Oubliez /etc/fstab monter des FS avec Systemd
• Utilisons Systemd pour monter un volume logique
• Création d’un fichier de montage dans /etc/systemd/system/
#vi /etc/systemd/system/test.mount
[Unit]
Description = montage du lv test
[Mount]
What = /dev/test/systemd.test
Where = /test
Type = ext4
[Install]
WantedBy = multi-user.target
#systemctl start test.mount && systemctl enable test.mount
#mount | grep test

26/02/2016
25
Automount avec Systemd
• Autofs est un programme qui permet de monter et démonter des
systèmes de fichiers « à la volée »
• Lors de l’accès au répertoire le système de fichiers est monté, lors
d’inactivité sur ce dernier, autofs démonte le FS
• Systemds utilise autofs pour monter et démonter des FS en mode
autofs

26/02/2016
26
Automount avec Systemd
• Création d’un fichier d’automontage dans /etc/systemd/system/test.automount
#vi /etc/systemd/system/test.automount
[Unit]
Description = montage automatique de test
[Automount]
Where = /test
[Install]
WantedBy = multi-user.target
#systemctl start test.automount && systemctl enable test.automount
#mount | grep test
systemd-1 on /test type autofs
#cd /test/
# mount | grep test
systemd-1 on /test type autofs
/dev/mapper/test-systemd.test on /test type ext4

26/02/2016
27
Les groupes de contrôles avec Systemd
• Les groupes de contrôle permettent de limiter, comptabiliser et isoler les
ressources (mémoire, cpu, réseau, périphériques, …)
• Systemd découpe les services et utilisateurs en slice/scope/service
• 4 slices : -.slice (top cgroups). user.slice, system.slice, machine.slice (vm, ct)
#systemd-cgls
user.slice
│ ├─user-1000.slice
│ │ └─session-36.scope
│ │ ├─9896 sshd: ludo [priv]
│ │ ├─9898 sshd: ludo@pts/2
│ │ ├─9899 –bash
─system.slice
docker-109a80f37cc97fd279258703e33243309baa639877ba294277ba64ad852011aa.scope
│ ├─6960 /bin/bash
│ ├─6999 httpd
│ ├─7000 httpd

26/02/2016
28
• Gestion des groupes de contrôles avec systemctl
#system-cgtop
#systemctl set-property user-1000.slice CPUQuota=5%
#cat /etc/systemd/system/user-1000.slice.d/50-CPUQuota.conf
[Slice]
CPUQuota=5%
#systemctl set-property user-1000.slice MemoryLimit=500M
cat /etc/systemd/system/user-1000.slice.d/50-MemoryLimit.conf
[Slice]
MemoryLimit=524288000

26/02/2016
29
#cat /etc/systemd/system/test.service
[Unit]
Description=Test daemon
[Service]
Type=notify
ExecStart=/usr/bin/test.sh –DBACKGROUND
[Install]
WantedBy=multi-user.target

26/02/2016
30
#systemctl set-property test.service MemoryLimit=500M
#cat /etc/systemd/system/test.service.d/50-MemoryLimit.conf
[Slice]
MemoryLimit=524288000
#systemctl daemon-reload
#systemctl start test.service
Job for test.service failed because the control process…..

26/02/2016
31
• Oubliez /etc/fstab monter des FS avec Systemd
• Automount avec Systemd
• Les groupes de contrôle avec Systemd

26/02/2016
32
NetworkManager
IPV6
Ludovic Quenec'hdu

26/02/2016
33
Plan
• Les scripts de configuration
• NetwokManager
• nmcli (NetworkManager Command Line Interface)
• Nom d'hôte – hostnamectl

26/02/2016
34
Les scripts de configuration
• Depuis longtemps Redhat utilise des scripts de
configuration pour les interfaces réseaux
• Scripts /etc/sysconfig/network-script/
#cat /etc/sysconfig/network-script/ifcfg-ens192
TYPE=Ethernet
BOOTPROTO=none
DEFROUTE=yes
NAME=ens192
UUID=6d286278-4265-413b-b4ee-7e22a011418f
DEVICE=ens192
ONBOOT=yes
DNS1=8.8.8.8
IPADDR=192.168.10.200
PREFIX=24
GATEWAY=192.168.10.25

26/02/2016
35
NetworkManager
• Avec la version 7 de Red Hat Enterprise Linux , le réseau est administré
par L’outil NetworkManager
• NetworkManager est un service
• NetworkManager fourni des outils de configuration :
Nmcli, nm-tool, nmtui, nmgui
• NetworkManager peut gérer des périphériques :
Ethernet, Wifi, Team, Bond, Bridge, Cellulaire, VPN, ...

26/02/2016
36
NetworkManager
• Pour NetworkManager :
Device est une interface réseau
Connection est un ensemble de paramètres afin de configurer un device
Chaque connection a un nom, un UID, un type et un device
• Pour configurer des interfaces, on utilise l’outil nmcli
• Nmcli modifie les fichiers de scripts ifcfg-eno20

26/02/2016
37
nmcli -NetworkManager Command Line Interface
• Lister les périphériques
#nmcli dev status
PÉRIPHÉRIQUE TYPE ÉTAT CONNEXION
docker0 bridge connecté docker0
ens192 ethernet connecté ens192
veth0630f70 ethernet connecté veth0630f70
• Afficher la configuration d’un périphérique
#nmcli dev show
GENERAL.PÉRIPHÉRIQUE: ens192
GENERAL.TYPE: ethernet
GENERAL.ADR.-MAT.: 00:0C:29:4D:7F:85
GENERAL.ÉTAT: 100 (connecté)
GENERAL.CONNEXION: ens192
WIRED-PROPERTIES.PORTEUSE: marche
IP4.ADRESSE[1]: 192.168.10.200/24
IP4.PASSERELLE: 192.168.10.25
IP4.DNS[1]: 8.8.8.8

26/02/2016
38
• Ajouter une connexion
#nmcli con add con-name eno2 type ethernet ifname eno2
• Ajouter des paramètres ipv4 a une connexion
#nmcli con add con-name eno2 type ethernet ifname eno2
ip4 192.168.10.99/24 gw4 192.168.10.254
• Activer une connexion
#nmcli con up eno2
• Afficher l’état de la connexion
#nmcli con show eno2

26/02/2016
39
• Modifier les paramètres d’une connexion
#nmcli con mod eno2 ipv4.adresses “192.168.10.99/24 192.168.10.254”
• Modifier les paramètres DHCP d’une connexion
#nmcli con mod eno2 ipv4.method auto
• Supprimer une connexion
#nmcli connection delete ens224
Connection 'ens224' (d26705f7-321e-4566-879e-8416700f7aef) successfully deleted.

26/02/2016
40
Nom d'hôte
• Afficher le nom d'hôte
#hostname
gateway.alphorm.lan
• Modifier le nom d'hôte
#hostnamectl set-hotnme router.alphorm.lan
• Afficher l’état
#hostnamectl status
Static hostname: gateway.alphorm.lan
Icon name: computer-vm
Chassis: vm
Machine ID: 21b7ec026e894bfcb70152956ba35a6b
Boot ID: dc360b0999e24f909c3f32b29c24dfc3

26/02/2016
41
• Les scripts de configuration
• NetwokManager
• nmcli (NetworkManager Command Line Interface)
• Nom d'hôte – hostnamectl

26/02/2016
42
Le protocole IPV6
IPV6
Ludovic Quenec'hdu

26/02/2016
43
Plan
• Pourquoi IPv6?
• L’adressage
• Le prefixe ou sous réseau
• Les types d’adresses réservées

26/02/2016
44
Pourquoi IPv6?
• L’insuffisance d’adresse ipv4
• Simplifier le protocole
• Régler la fragmentation des routeurs
• Support de la sécurité et de la qualité de service
• Prévoir les évolutions
• La fin de la translation d’adresse IP
• Fournir une passerelle ipv4 vers ipv6
• IPv4 n’est pas TCPv4, ip6 n’est donc pas TCPv6

26/02/2016
45
L’adressage
• IPv6 utilise des adresses beaucoup plus longues qu’iPv4
• IPv4 code les adresses sont codées sur 4 octets, 32 bits
• IPv6 code les adresses sur 16 octects, 128 bits
Permet de fournir des adresses presque illimitées
Codé en Hexadécimale en blocs de 16 bits
2001:0db8:0000:85a3:0000:0000:ac1f:8001
2001:db8:0:85a3:0:0:ac1f:8001
2001:db8:0:85a3::ac1f:8001

26/02/2016
46
L’adressage
2000:0000:0000:000:0000: 0000:0000:0001 2000::1
0002:0000:0000:0000:0000:0000:0000:0001 2: :1
2001:0db8:0000:0007:0000:0000:0000:0002 2001:db8:0:7::2
2000:0003:0000:0000:0000:0007:0000:0002 2001:3::7:0:2
2001:0003:0700 :0000: :0000: :0000: 0000
:0002
2001:3:700::2
ff02 :0000:0000:0000:0000: 0001:0000:0000 ff02::1:0:0
0000:0000:0000:0000:0000: 0000:0000:0000 ::
2001:db8::7::2 Adresse invalide

26/02/2016
47
L’adressage
• L’adresse se compose d’un Network ID et d’un Interface ID

26/02/2016
48
Le prefixe ou sous réseau
• Le préfixe d’une adresse IPv6 correspond à la partie réseau de l’adresse
IP. Il est noté comme cela :
L’interface ethernet 20c:29ff:fe0a:15d sur le réseau 2001:0:9d38:6abd:0015:
sera noté :
• 2001:0:9d38:6abd:0015: 20c:29ff:fe0a:15d
Un préfixe est attribué a l’adresse
• 2001:0:9d38:6abd:0015: 20c:29ff:fe0a:15d/64
Les préfixe spécifie les sous réseaux
2001:0:9d38:6abd:0015: /64
2001:0:9d38:6abd::/48

26/02/2016
49
Le prefixe ou sous réseau
• Des préfixes sont réservés à un usage spécial :
2002::/16 indique un préfixe de routage 6to4 , fe80::/10 est une adresse lien-
local, ff00::/8 une adresse multidiffusion.
• Les préfixes sont attribués par l'IANA par blocs de /12 à /23
aux registres Internet régionaux,
RIPE-NCC Réseaux IP Européens,
ARIN American Registry for Internet Numbers
Les RIR attribuent des préfixes /32 aux registres Internet locaux, Un LIR est
généralement un opérateur de télécommunications, qui les attribuent ensuite
sous forme de bloc /48 à /64 aux utilisateurs finaux.

26/02/2016
50
Les types d’adresses réservées
• Unicast global – adresse public
2000 : : /3
• Lien local – Valable uniquement sur le lien local
fe80 : : /64
• Multicast - Plus de Braodcast
ff00 : : /8
• Les adresses privés
fd00 : : /8
• La route par défaut
: : 10

26/02/2016
51
• Pourquoi IPv6?
• L’adressage
• Le prefixe ou sous réseau
• Les types d’adresses réservées

26/02/2016
52
Configuration des
interfaces réseaux
IPV6
Ludovic Quenec'hdu

26/02/2016
53
Plan
• SLAAC - Stateless Address Autoconfiguration
• Adressage statique
• Service DHCPV6

26/02/2016
54
SLAAC - Stateless Address Autoconfiguration
• Pas de serveur DHCP, Neighbor Discovery
• La machine est découvre la partie réseau auquel elle
appartient, Network ID avec un Neighbor Solicitation, un
routeur réponds par un Advertisement
• La parte Interface ID est soit basé sur l’adresse MAC de
l’interface ethernet utilisée
• Ou Génération « aléatoire » des 64 derniers bits.

26/02/2016
55
SLAAC - Stateless Address Autoconfiguration
• Configuration avec nmcli
#nmcli connection add con-name ens192IP6 type ethernet ifname ens192
#nmcli connection modify ens192IP6 ipv6.method auto
#nmcli con down ens192IP6
#nmcli con down ens192IP6
# nmcli connection show ens192IP6 | grep ipv6
ipv6.method: manual
ipv6.dns:
ipv6.dns-search:
ipv6.addresses: 2001:db8:0:1::c000:207/64
ipv6.gateway: 2001:db8:0:1::1

26/02/2016
3
Présentation du formateur
• Ludovic QUENEC’HDU
• lquenec@alphorm.com
• Consultant et expert en Open source, logiciel libre et virtualisation
• Mission de conseil, d’architecture, d’administration, de migration et de
formation
• Mes références :
Mon profil LinkedIn : https://fr.linkedin.com/pub/ludovic-quenec-hdu/47/6bb/550
Mon profil Alphorm : http://www.alphorm.com/formateur/ludovic-quenechdu

26/02/2016
60
• SLAAC - Stateless Address Autoconfiguration
• Adressage statique
• Service DHCPV6

26/02/2016
61
Comprendre
l'agrégation de lien
Ludovic Quenec'hdu
NIC Teaming et Bridging

26/02/2016
62
Plan
• Introduction à l’agrégation de lien réseaux
• Le channel bonding
• Le Teaming

26/02/2016
63
• L’agrégation de lien consiste à lier plusieurs interfaces réseaux :
Fournir plus de bande passante
Fournir de la redondance sur les interfaces
• L’agrégation de liens est connue sous les termes :
Channel Bonding
Link agregation
Port truking
NIC teaming
Etc.
Introduction a l’agrégation de lien réseaux
eth0 eth1 eth2
team0

26/02/2016
64
Le channel bonding
• Le Channel Bonding était la technologie utilisée par Red Hat pour
l’agrégation de liens
• Le Channel bonding ou agrégation de cartes réseau permet d’appliquer
des stratégies sur les cartes réseaux
• Avec plusieurs cartes, un groupe d’interface est créé. Une seule
interface, représente un groupe de cartes
• Parmi les stratégies disponibles :
L’équilibrage de charge
La tolérance aux pannes
L’amélioration des performances
eth0 eth1 eth2
Bond0

26/02/2016
65
Le channel bonding
• L’équilibrage de charge - Balance rr
Ce mode fait transiter séquentiellement les paquets sur chaque interface
• La sauvegarde active – Active backup
Seule une interface est en fonctionnement, si elle tombe en panne, l’autre interface s‘active
et reçoit donc les paquets
• La balance tdb
Le trafic sortant est distribué selon la vitesse de chaque carte réseau, permet également le
Fail-Over
• La balance XOR
Ce mode est basé sur une politique de hachage de transmission. Une interface affectée à
l’envoie vers une adresse MAC (adresse de la source XOR adresse MAC de destination
modulo du nombre d’interface)
• La balance alb, le broadcast, le 802.3

26/02/2016
66
Le Teaming
• Depuis Red hat Enterprise Linux 7, l’agrégation de liens est gérée par le
service Network teaming
• Ne remplace pas le Channel Bonding, c’est une alternative choisi par
Red Hat
• Network Teaming ou Teaming est architecturé autour :
D’un “driver” qui possède une API, une librairie LibTeam et un démon Teamd
Des outils en espace utilisateur peuvent utiliser cette API pour discuter avec
le driver. La librairie LibTeam n’interagie pas directement avec l’api (libnl)
Un utilisateur peut par exemple écrire un programme pour interagir avec la
LibTeam

26/02/2016
67
Le Teaming
• A l’instar du Channel bonding, le Teaming propose des stratégies.
• Dans le jargon Team, une stratégie est appelée un “runner”
• Différents runners sont disponibles :
Broadcast
• (Les données sont transmises sur tous les ports)
round-robin
• (Les données sont tour à tour transmises sur les ports)
active-backup
• (Une interface est utilisée. La suivante est réservée en cas de défaillance)
loadbalance
• (Algorithme d’équilibrage de charge)
lacp (implémentation du 802.3ad Link Aggregation Control Protocol)
eth0 eth1 eth2
team0

26/02/2016
68
• Introduction à l’agrégation de liens réseau
• Le channel bonding
• Le Teaming

26/02/2016
69
Configurer le NIC
Teaming
Ludovic Quenec'hdu

26/02/2016
70
Plan
• Installation du service Teamd
• Création de l’interface team avec nmcli
• Ajout adressage IP

26/02/2016
71
Installation du service Teamd
• Installation de teamd
#yum install teamd
• Activation du service teamd !!

26/02/2016
72
Création de l’interface team avec nmcli
• Création d une interface team
#nmcli con add type team con-name Interface_team0 ifname team0
config '{ "runner": {"name": "loadbalance"}}‘
• Fichier /etc/sysconfig/network-scripts/ifcfg-Interface_team0
#cat /etc/sysconfig/network-scripts/ifcfg-Interface_team0
DEVICE=team0
TEAM_CONFIG="{ "runner": {"name": "loadbalance"}}"
DEVICETYPE=Team
NAME=Interface_team0
ONBOOT=yes

26/02/2016
73
Ajout adressage IP
• Ajout méthode manuelle, adresse IP, route, et dns
#nmcli con add type team con-name Interface_team0 ifname team0
config '{ "runner": {"name": "loadbalance"}}‘
• Fichier /etc/sysconfig/network-scripts/ifcfg-Interface_team0
# nmcli con mod Interface_team0 ipv4.addresses 192.168.1.10/24
# nmcli con mod Interface_team0 ipv4.gateway 192.168.1.1
# nmcli con mod Interface_team0 ipv4.method manual

26/02/2016
74
• Installation du service Teamd
• Création de l’interface team avec nmcli
• Ajout adressage IP

26/02/2016
75
Gérer les interfaces
Team
Ludovic Quenec'hdu

26/02/2016
76
Plan
• Ajout des interfaces réseau avec nmcli
• Gestion de l’interface teaming

26/02/2016
77
Ajout des interfaces réseaux avec nmcli
• Ajout de l’interface enp0s3
# nmcli con add type team-slave con-name team0-enp0s3 ifname enp0s3
master team0
team0: Port device eth0 added
IPv6: ADDRCONF(NETDEV_CHANGE): team0: link becomes ready
Connection ' team0-enp0s3 ' (d3…..) successfully added
• Fichier /etc/sysconfig/network-scripts/ifcfg-Interface_team0-enp0s3
#cat /etc/sysconfig/network-scripts/ifcfg- team0-enp0s3
NAME= team0-enp0s3
DEVICE= enp0s3
ONBOOT=yes
TEAM_MASTER=team0
DEVICETYPE=TeamPort

26/02/2016
78
Ajout des interfaces réseaux avec nmcli
• Ajout de l’interface enp1s3
# nmcli con add type team-slave con-name team0-enp1s3 ifname enp1s3
master team0
team0: Port device eth0 added
IPv6: ADDRCONF(NETDEV_CHANGE): team0: link becomes ready
Connection ' team0-enp1s3 ' (d3…..) successfully added
• Fichier /etc/sysconfig/network-scripts/ifcfg-Interface_team0-enp1s3
#cat /etc/sysconfig/network-scripts/ifcfg- team0-enp1s3
NAME= team0-enp1s3
DEVICE= enp0s3
ONBOOT=yes
TEAM_MASTER=team0
DEVICETYPE=TeamPort

26/02/2016
79
Gestion de l’interface teaming
• Activation de l’interface
#nmcli con up Interface_team0
• Afficher les connexions
#nmcli con show
• Afficher la configuration du Teaming
#teamdctl team0 state
#teamdctl team0 config dump

26/02/2016
80
• Ajout des interfaces réseau avec nmcli
• Gestion de l’interface teaming

26/02/2016
81
Comprendre les pont
réseau - Bridge
Ludovic Quenec'hdu

26/02/2016
82
Plan
• Introduction aux pont réseau -Bridge
• Installation et découverte de bridge-utils

26/02/2016
83
Introduction aux Bridge
• Un bridge ethernet est l'équivalent d'un switch virtuel au niveau
système
• Permet donc d’avoir des fonctions :
de commutation,
spanning tree,
multiple port ethernet,
port de type channel bonding, team
VLAN, ...
• Pour partager une connexion internet
• Surtout pour les machines virtuelles
eth0 eth1
TCPI/IP
Noyau
B r i d ge
br0
promiscuous
mode
promiscuous
mode

26/02/2016
84
Installation de bridge-utils
• Le paquet bridge-utils fourni sur Red hat EL 7
• Créer et administrer des ponts
• Installation de bridge-utils
#yum install bridge-utils
#rpm –ql bridge-utils..
• La commande brctl
#brctl show
#brctl showmacs bridge0
#brctl add-br bridge0
#brctl add-if bridge0 enp0s3

26/02/2016
85
• Introduction aux pont réseaux -Bridge
• Installation et découverte de bridge-utils

26/02/2016
86
Configurer un bridge
Ludovic Quenec'hdu

26/02/2016
87
Plan
• Configurer un bridge avec nmcli
• Les scripts ifcfg

26/02/2016
88
Configurer un bridge avec nmcli
• Création du bridge
#nmcli con add type bridge con-name br0 ifname br0
#nmcli con mod br0 ipv4.addresse 192.168.1.10/24
#nmcli con mod br0 ipv4.gateway 192.168.1.1
#nmcli con mod br0 ipv4.method manual
• Ajout de deux ports attaché s aux cartes Ethernet
#nmcli con add type bridge-slave con-name br0-port1 ifname enp0s3
#nmcli con add type bridge-slave con-name br0-port2 ifname enp0s8
• Visualiser le bridge
#brctl show
#brctl showstp br0

26/02/2016
89
Les scripts ifcfg
• Contenu des fichiers /etc/sysconfig/network-script/ifcfg-br0….
#cat /etc/sysconfig/network-script/ifcfg-br0
DEVICE=br0
STP=yes
TYPE=Bridge
BOOTPROTO=none
NAME=br0
UUID=d32d5d35-0032-48d4-ac05-bfd762ec0a70
ONBOOT=yes
BRIDGING_OPTS=priority=32768
IPADDR=192.168.1.10
#cat /etc/sysconfig/network-script/ifcfg-br0-port1
TYPE=Ethernet
NAME=br0-port1
UUID=b5145422-5b3a-4561-9066-c2f07054c72e
DEVICE=enp0s3
ONBOOT=yes
BRIDGE=br0

26/02/2016
90
• Configurer un bridge avec nmcli
• Les scripts ifcfg

26/02/2016
91
Configurer un bridge
"teaming"
Ludovic Quenec'hdu

26/02/2016
92
Plan
• Mise en oeuvre d’une interface teaming
• NetworkManager
• Mise en oeuvre du Bridge

26/02/2016
93
Mise en oeuvre d’une interface teaming
• Création du teaming
#nmcli con add type team con-name team0 ifname team0
Config ‘{“runner”:{“activebackup”}}’
• Ajout de deux ports au teaming
#nmcli con add type team-slave con-name team0-port0 ifname enp0s3
Master team0
#nmcli con add type team-slave con-name team0-port1 ifname enp0s8
Master team0
• Visualiser l’interface team0

26/02/2016
94
NetworkManager
• NetworkManager ne supporte pas le mélange Teaming sur Bridge
• Il faut donc désactiver NetworkManager !
• Travailler avec les scripts réseaux
• Désactivation de NetworkManager
#systemctl stop NetworkManager
#systemctl disable NetworkManager

26/02/2016
95
Mise en oeuvre du bridge
• Modification des scripts périphériques bridge et team
#vi /etc/sysconfig/network-script/ifcfg-brteam0
DEVICE=br0
TYPE=Bridge
BOOTPROTO=none
DEFROUTE=no
NAME=brteamo
ONBOOT=yes
IPADDR=192.168.1.50
PREFIX=24
#vi /etc/sysconfig/network-script/ifcfg-team0
DEVICE=team0
DEVICETYPE=Team
BOOTPROTO=none
NAME=team
UUID=4d21f010-b7d1-48a2-9ef9-5897161fee6e
ONBOOT=yes
TEAM_CONFIG="{"runner": {"name": "activebackup"}}"
BRIDGE=brteam0

26/02/2016
96
Mise en oeuvre du bridge
• Redémarrage du serveur !!!
#reboot
• Afficher l’état du périphériques teaming
#teamdctl team0 config dump
setup:
runner: activebackup
ports:
eth2
link watches:
link summary: up
instance[link_watch_0]:
name: ethtool
link: up

26/02/2016
97
• Mise en oeuvre d’une interface teaming
• NetworkManager
• Mise en oeuvre du Bridge

26/02/2016
98
Retour sur Firewalld
Sécurité
Ludovic Quenec'hdu

26/02/2016
99
Plan
Les Zones Firewalld
La commande firewall-cmd

26/02/2016
100
Retour sur Firewalld
• Firewalld est le programme employé par RHEL 7 pour administrer le firewall
• Le service Firewalld est une interface qui manipule le sous système noyau
Netfilter
• Firewalld utilise les commandes iptables, iptables6 et ebtables pour manipuler
les règles de firewall
• Les services iptables6.service, iptables.service et ebtables.service sont en conflit
avec le service firewalld.

26/02/2016
101
Les Zones Firewalld
Public DMZ
sshwww
dns

26/02/2016
102
• Pas de commande CLI (targetcli, nmcli, …)
• Firewall-cmd pour ajouter, supprimer, modifier des zones, des accès
• Manipuler les zones
#firewall-cmd --get-active-zones
public
interfaces: eth0
#firewall-cmd –set-default-zones =work
#firewall-cmd --list-all –zone=work

26/02/2016
103
• Pas de commande CLI (targetcli, nmcli, …)
• Firewall-cmd pour ajouter, supprimer, modifier des zones, des accès
#firewall-cmd --get-active-zones
public
interfaces: eth0
#firewall-cmd --get-zones
block dmz drop external home internal public trusted work
#firewall-cmd –set-default-zones =work

26/02/2016
104
#firewall-cmd --list-all
work (default, active)
interfaces: br0 eth0
sources:
services: dhcpv6-client ipp-client ssh
ports:
masquerade: no
forward-ports:
icmp-blocks:
rich rules:
#firewall-cmd --zone=internal --change-interface=eth0
# firewall-cmd --permanent --zone=internal --change-interface=eth0
#firewall-cmd --permanent --new-zone=test
success

26/02/2016
105
• Manipuler les services et ports
#firewall-cmd --permanent --zone=work --add-service=http
services: dhcpv6-client ipp-client ssh http
ports:
#firewall-cmd --permanent --zone=work --remove--service=http
#firewall-cmd --zone=work --list-all
#firewall-cmd --permanent --zone=work --add-port=80/tcp
services: dhcpv6-client ipp-client ssh
ports: 80/tcp
#firewall-cmd --reload

26/02/2016
106
• Manipuler les sources
#firewall-cmd --permanent --zone=work --add-source=192.168.10.0/24
#firewall-cmd --permanent --zone=work --remove-source=192.168.10.0/24
#firewall-cmd --zone=work --list-sources
192.168.10.0/24
#firewall-cmd --zone=work --add-service=ssh --permanent
#firewall-cmd --zone=work --add-source=10.0.0.10/32 --permanent

26/02/2016
4
Mes formations sur Alphorm

26/02/2016
108
Les Zones Firewalld

26/02/2016
109
Comprendre
les "Rich Rules"
Sécurité
Ludovic Quenec'hdu

26/02/2016
110
Plan
• Concept de “Rich Rules”
• Travailler avec les “Rich rules”

26/02/2016
111
Concept de “Rich Rules”
• Firewalld offre aux administrateurs deux autres méthodes qui ne sont pas
couvertes par les notions de zone et service pour ajouter des règles : les Direct
rules et les Rich rules
• Les Direct rules acceptent une syntaxe très proche d’iptables
• Les Rich rules permettent de mettre en œuvre des configurations complexes :
Liste d’accès au service par port, par protocole, par adressage ip, etc.
Limite du nombre de connexions par minute
Journaliser toutes les connexions
Redirection de port
#firewall-cmd --direct - - permanent --add-rule ipv4 raw INPUT 0 – s 192 . 168 . 0 . 0/24 - j DROP

26/02/2016
112
Travailler avec les “Rich rules”
• Les rich rules offre quatre options pour manipuler les règles riches.
• Une règles riche fait partie d’une zone (par défaut)
•Ajouter, supprimer ,lister et interroger les regles
#firewall-cmd --add-rich-rules=‘La regle a mettre en place’
#firewall-cmd --remove-rich-rules=‘La regle mise en place’
#firewall-cmd --query-rich-rule=‘La regle mise en place’
#firewall-cmd --list-rich-rules

26/02/2016
113
•Syntaxe d’une règle riches
Rule
[source]
[destination]
Service l port l protocol l icmp-block l masquerade l forward-port
[log]
[ audit]
[ accept l rejectl drop]
# firewall-cmd --add-rich-rule='rule family=ipv4 source address=192.168.10.30/32 log accept‘

26/02/2016
114
• Logue les connexions venant de la machine 192.168.10.30
# firewall-cmd --add-rich-rule='rule family=ipv4 source address=192.168.10.30/32 log accept'
• Accepte deux connexions par minutes sur le service http venant du réseau 192.168.10.0/24
# firewall-cmd --add-rich-rule='rule service name=http family=ipv4 source address=192.168.10.0/24
limit value=2/m accept‘
• Accepte trois nouvelles connexions par secondes sur le service http venant du réseau 10.0.0./24,
journaliser avec un prefixe NEW HTTP
#firewall-cmd --permanent --add-rich-rule= ' rule family=ipv4 source address=10.0.0/24
service name= "http" log level=notice prefix="NEW HTTP" limit value="3/s" accept‘

26/02/2016
115
• Concept de “Rich Rules”
• Travailler avec les “Rich rules”

26/02/2016
116
Le Masquerading
Sécurité
Ludovic Quenec'hdu

26/02/2016
117
Plan
• Introduction au Masquerading
• Mise en place

26/02/2016
118
Introduction au Masquerading
Internet
• Une machine du réseau local souhaite atteindre une machine sur internet
• La machine du réseau local possède une adresse privée non routable
• La machine locale envoie les paquets à sa Gateway – Destination externe
• Le routeur/firewall transforme l’adresse source de la machine et tient une table de
correspondance – Table NAT (Network Translation Address)
• Le paquet retour d’internet est analysé par le routeur qui modifie l’adresse de
destination
NAT

26/02/2016
119
Mise en place
• Ajouter, supprimer le masquerade
#firewall-cmd --zones=work --add-masquerade --permanent
#firewall-cmd --zones=work --permanent --add-rich-rule='rule family=ipv4 source
address=192.168.10.0/24 masquerade‘
#firewall-cmd --reload
#firewall-cmd --zones=work --remove-masquerade --permanent

26/02/2016
120
• Introduction au Masquerading
• Mise en place

26/02/2016
121
Sécurité
Ludovic Quenec'hdu
Le port Forwarding

26/02/2016
122
Plan
• Introduction au Port forwarding
• Mise en place du transfert de port

26/02/2016
123
Introduction au Port forwarding
Internet
@IP privée
Port 80
• Une machine externe ou interne souhaite accéder a un service http, ftp, smtp,…
• Vers une machine interne au réseau
• On va donc “forwarde” les paquets avec Firewalld vers une destination
• On fait donc du transfere de paquet
PORT FW
@IP privée
Port ftp

26/02/2016
124
Mise en place
• Utilisation du transfert de port
#firewall-cmd --permanent --zone=public --add-forward
-port=port=80:proto=tcp:toport=8080:toaddr=192.168.10.10
#firewall-cmd --permanent --zone=worrk --add-rich-rule=‘rule family=ipv4
source address=192.168.10.0/24 forward-port port=80 protocol=tcp to-port=8080’
#firewall-cmd --add-forward-port=port=22:proto=tcp:toaddr=192.168.10.202 --
permanent

26/02/2016
125
• Introduction au Port forwarding
• Mise en place du transfert de port

26/02/2016
126
Sécurité
Ludovic Quenec'hdu
Gérer les ports
avec SELinux

26/02/2016
127
Plan
• Introduction
• Gestion des ports réseau avec Semanage
• Comprendre auditd et SELinux

26/02/2016
128
• SELinux ne se limite pas à labéliser les fichiers et programmes
• SELinux permet de gérer le trafic réseau en labélisant les ports réseaux
• Le port SSH labélisé SELinux est le port 22, un autre service ne pourra
pas utiliser ce port, il est labélisé port 22 service SSH
• Lors d’un changement de port pour un service, SELinux devra être mis à
jour pour accepter les connexions sur ce dernier.
• La commande semanage est l’outil de Policy Management
Introduction
• Lister les ports
#semanage port –l
http_port_t tcp 80, 81, 443, 488, 8008, 8009, 8443, 9000
ssh_port_t tcp 22

26/02/2016
129
Gestion des ports réseaux avec Semanage
• Semanage n’est pas toujours installé par défaut sur le serveur
• Semanage fait partie du paquet policycoreutils-python, installation avec
yum
#grep targeted /etc/selinux/config
…
SELINUXTYPE=targeted
#yum provides semanage
…
#yum install –y policycoreutils-python

26/02/2016
130
• La stratégie targeted utilise un nombre important de types de ports.
• Il faut parfois lire la documentation des ports, le paquet selinux-policy-
level contient les pages de man de chaque type de ports
• Autoriser le service SSH sur le port 8080
#semanage –a –t ssh_port_t –p tcp 8080
#yum -y install selinux-policy–devel
#mandb
#man –k _selinux

26/02/2016
131
#semanage –a –t ssh_port_t –p tcp 8080
• Supprime le service SSH sur le port 8080
#semanage –d –t ssh_port_t –p tcp 8080
• Modifier le service SSH sur le port 8888
#semanage –m –t ssh_port_t –p tcp 8888

26/02/2016
132
Comprendre auditd et SELinux
SELinux
Policy
/var/log/auditd/audit.log
Auditd

26/02/2016
133
Comprendre auditd et SELinux
# semanage port -a -t ssh_port_t -p tcp 9998
#vi /etc/ssh/sshd_config
Port 8888
# systemctl restart sshd
# systemctl status sshd
#grep AVC /var/log/audit/audit.log | tail -1
type=AVC msg=audit(1449574323.517:393): avc: denied { name_bind } for pid=2844
comm="sshd" src=8888 scontext=system_u:system_r:sshd_t:s0-s0:c0.c1023
tcontext=system_u:object_r:unreserved_port_t:s0 tclass=tcp_socket
#semanage port -l | grep ssh

26/02/2016
134
• Introduction
• Gestion des ports réseau avec Semanage
• Comprendre auditd et SELinux

26/02/2016
135
Comprendre le DNS
(Domain Name System)
Le service DNS
Ludovic Quenec'hdu

26/02/2016
136
Plan
• Le rôle du service DNS (Domain Name System)
• L'espace de noms
• Les serveurs de noms

26/02/2016
137
• Chaque ordinateur connecté au réseau possède une adresse IP.
• Le système DNS permet de résoudre le nom en adresse IP et inversement
• Avant 1983, les recherches se réalisaient au travers d’un fichier HOST.TXT. Copier
et recopier par le transfert de fichiers
• En 1983 Paul Mockapetris publie le design du système DNS RFC882, 883
• En 1987 la norme est publié RFC1034 et RFC1035
Le rôle du service DNS (Domain Name System)
www.alphorm.com A
78.34.59.1
www.alphorm.com
78.34.59.1

26/02/2016
138
L'espace de noms
comorg frnet edu
alphorm
blogforum www
www.alphorm.com.
racine
TLD
Domaine
Hôte

26/02/2016
140
• Le rôle du service DNS (Domain Name System)
• L'espace de noms
• Les serveurs de nom

26/02/2016
141
Comprendre les
recherches DNS
Le service DNS
Ludovic Quenec'hdu

26/02/2016
142
Plan
• Résolution du nom par un hôte

26/02/2016
143
Résolution du nom par un hôte
a.root.servers
Com NS A0.com.afilias-nst.info 2.3.4.5
Ns01.alphorm.com
www.alphorm.com A ?
www.alphorm.com A ?
A0.com.afilias-nst.info
www.alphorm.com A
78.34.59.1

26/02/2016
144
• Résolution du nom par un hôte

26/02/2016
145
Comprendre les
enregistrements DNS
Le service DNS
Ludovic Quenec'hdu

26/02/2016
146
Plan
• Qu’est-ce qu’un enregistrement DNS
• Les enregistrement de type SOA et NS
• Les enregistrement de type A et AAAA
• Les enregistrement CNAME
• Les enregistrement de “service” MX, SRV
• L’enregistrement PTR

26/02/2016
147
Qu’est-ce qu’un enregistrement DNS?
• Un DNS est une base de données répartie contenant des
enregistrements.
• Ces enregistrement sont appelés RR (Resource Records).
FQDN : Le nom de domaine pleinement qualifié. Se termine par un POINT.
TTL : Durée de vie, utile pour les serveurs de cache.
Type : Définit le type de ressources. Adresse IPv4, IPv6, service de messagerie. …
RessourceData : Données correspondant à l'enregistrement selon le type
Nom de alphorm (FQDN) TTL Type Classe RData
alphorm.com. 3600 A IN (internet) 23.97.208.18

26/02/2016
148
Les enregistrement de type SOA et NS
a.root.servers
SOA (Start Of Authority) : le champ SOA permet de
décrire le serveur de nom ayant autorité sur la zone.
fournit les informations générales de la zone : le
serveur principal, messagerie de contact, différentes
durées dont celle d'expiration, numéro de série de la
zone
NS : correspond au serveur de noms ayant autorité sur
le Alphorm.
Ns01.alphorm.com
$TTL 604800
86400 IN SOA a.root-servers.net. nstld.verisign-grs.com.
2016010600 ; Serial
1800 ; Refresh
900 ; Retry
604800 ; Expire
86400 ; Negative Cache TTL
. IN NS a.root-servers.net.
. IN NS b.root-servers.net.
. IN NS c.root-servers.net.
$TTL 604800
86400 IN SOA d.service.afiliasdns.com.
2016010600 ; Serial
1800 ; Refresh
900 ; Retry
604800 ; Expire
1.34.5.6 IN NS alphorm.com.
$TTL 604800
86400 IN SOA alphorm.com..
2016010600 ; Serial
1800 ; Refresh
900 ; Retry
604800 ; Expire
1.34.5.6 IN NS ns01.alphorm.com.
2.4.67.4 IN A www
$TTL 604800
2016010600 ; Serial
1800 ; Refresh
900 ; Retry
604800 ; Expire
2.4.67.4 IN A www

26/02/2016
149
Les enregistrement de type A et AAAA
A - address record : le type A décrit simplement une
correspondance entre l’adresse IP et le non
canonique, nom d'hôte
AAAA - IPv6 address record : décrit simplement une
correspondance entre l’adresse IP V6 et le non
canonique, nom d'hôte
Ns01.alphorm.com
$TTL 604800
86400 IN SOA d.service.afiliasdns.com.
2016010600 ; Serial
1800 ; Refresh
…
Ns01alphorm.com. IN A 6.78.65.90
Ns0.alphorm.com. IN AAAA 2001:500:a5:0:0:0:0:1
$TTL 604800
2016010600 ; Serial
….
www IN A 6.78.65.89
forum. IN A 6.78.65.88
ftp IN A 6.78.65.87
www IN AAAA 201:500:a5:0:0:1
forum. IN AAAA 201:500:a5:0:0:2 ftp
IN AAAA 201:500:a5:0:0:3

26/02/2016
150
Les enregistrement CNAME
CNAME – Canonical Name: décrit un alias sur un FQDN,
un nom canonique.
Ns01.alphorm.com
$TTL 604800
2016010600 ; Serial
….
www IN A 6.78.65.89
forum IN CNAME www.alphorm.com.
ftp IN CNAME www.alphorm.com.

26/02/2016
151
Les enregistrement de “service” MX, SRV
SRV– Enregistrement de service: indique des services disponibles. Kerberos, ldap. On trouve le service _sip, le
protocole _tcp, le nom de alphorm, TTL, type SRV, priorité, poids, port et le serveur. Permet l’équilibrage de
charge.
MX – Mail Exchanger : fournit les noms d’hôtes et le poids des serveurs de messagerie
Ns01.alphorm.com
$TTL 604800
2016010600 ; Serial
….
alphorm.com. 86400 IN MX 50 alt2.aspmx.l.google.com.
alphorm.com. 86400 IN MX 100 aspmx2.googlemail.com.
aspmx2.googlemail.com. 175 IN A 74.125.68.27
aspmx2.googlemail.com. 54 IN AAAA 2404:6800:4003:c02::1b
_sip._tcp.alphorm.com. 86400 IN SRV 0 33 5060 SRV sip1.alphorm.com..
_ldap._tcp.alphorm.com. 86400 IN SRV 0 33 5060 SRV ldap.alphorm.com.
_kerberos._tcp.alphorm.com. 86400 IN SRV 0 33 5060 SRV kerberos.alphorm.com.

26/02/2016
152
L’enregistrement PTR
PTR– Pointer reccord: fournit les noms d’hôtes à partir de l’adresse IP,
il y a une zone particulière, in-addr.arpa, qui permet la résolution inverse d'adresses IP
Ns01.alphorm.com
$TTL 604800
2016010600 ; Serial
….
0.168.192.in-addr.arpa. IN NS ns1.alphorm.com.
0.168.192.in-addr.arpa. IN NS ns2.alphorm.com.
2 IN PTR www.alphorm.com.
3 IN PTR ftp.alphorm.com.
4 IN PTR ldap.alphorm.com..

26/02/2016
153
• Qu’est-ce qu’un enregistrement DNS
• Les enregistrement de type SOA et NS
• Les enregistrement de type A et AAAA
• Les enregistrement CNAME
• Les enregistrement de “service” MX, SRV
• L’enregistrement PTR

26/02/2016
154
Le service de cache
DNS
Le service DNS
Ludovic Quenec'hdu

26/02/2016
155
Plan
• Le serveur de cache ?
• Les serveurs de cache DNS
• DNSSEC
• Configuration d’un serveur de cache sécurisé - Unbound

26/02/2016
156
Le serveur de cache ?
a.root.servers
Com NS A0.com.afilias-nst.info 2.3.4.5
Ns01.alphorm.com
www.alphorm.com A ?
www.alphorm.com A ?
www.alphorm.com A
78.34.59.1

26/02/2016
157
Le serveur de cache ?
www.alphorm.com A ?
www.alphorm.com A
78.34.59.1
www.alphorm.com A ?
J’ai la réponse conservé dans mon cache
www.alphorm.com A 78.34.59.1
• Le client demande une résolution
de nom pour le serveur
www.alphorm.com
• La réponse à la requête :
Le serveur ne possède pas
l’information, il demande au
serveur de redirection la
résolution de nom. Le serveur
le mets en cache
Dans le cache du serveur
On peut donc configurer un serveur en serveur de cache

26/02/2016
158
Les serveur de cache DNS
https://www.unbound.net/
Petit serveur de validation, récursive
et cache sécurisé avec DNSSEC
Sous licence BSD
Le serveur DNS utilisé sous Linux et le
plus utilisé dans le monde
Serveur d’Autorité de noms de
domaines

26/02/2016
159
DNSSEC
• DNSSEC – Domain Name System Security Extensions :
Protocole standardisé IETF
Permet de sécuriser l’envoi des données du système DNS
Pas comme SSL, pas un “simple” canal chiffré, ne chiffre pas les
données DNS
Signe les enregistrements DNS et garantit la validité des données
Permet de déléguer dans les domaines et zones DNS
Permet de créer une chaine de confiance depuis la racine

26/02/2016
160
Configuration d’Ubound
• Installation du serveur de noms bind
#yum install –y unbound
#cp /etc/unbound/unbound.conf /etc/unbound/unbound.conf.original
# vim /etc/unbound/unbound.conf
auto-trust-anchor-file: "/var/lib/unbound/root.key"
verbosity: 1
interface: 192.168.0.1
logfile: /var/log/unbound
hide-identity: yes
hide-version: yes
harden-glue: yes
use-caps-for-id: yes
access-control: 192.168.0.0/24 allow
forward-zone:
name: "."
forward-addr: 208.67.222.222
forward-addr: 208.67.220.220
forward-addr: 8.8.8.8
forward-addr: 8.8.4.4

26/02/2016
161
• Le serveur de cache ?
• Les serveurs de cache DNS
• DNSSEC
• Configuration d’un serveur de cache sécurisé - Unbound

26/02/2016
162
Mise en œuvre d'un
serveur DNS local Bind9
Le service DNS
Ludovic Quenec'hdu

26/02/2016
163
Plan
• Le service Bind
• Installation de bind9
• Configuration du serveur named
• Création des zones de recherche
• Test !

26/02/2016
164
Le service Bind
• Le service DNS - Berkeley Internet Name Daemon
• Le logiciel est actuellement développé par l'Internet
Systems Consortium.
• Le serveur le plus utilisé sur Internet 80% des serveurs DNS
• Presque un standard
• Développé Paul Vixie, à l’université de Berkeley
• Aujourd’hui Bind est en version 9 :
DNSSEC, TSIG (authentification, identification des extrémités)..

26/02/2016
165
Installation de bind9
• Installation du serveur de noms bind
#yum install –y bind bind-utils
#rpm –ql bind9
/etc/named.conf
/etc/sysconfig/named

26/02/2016
166
Configuration du serveur named
• Configuration du service bind avec le fichier /etc/named.conf
#vim /etc/named.conf
listen-on port 53 { any; };
allow-query { any; };
dnssec-validation no;
forward only;
forwarders { 8.8.8.8; };
• Déclaration des zones dans le fichier named.cond
#cat /etc/named.conf
zone "alphorm.lan" {
type master;
file "alphorm.lan.zone";
allow-update { none; };
};
zone "1.168.192.in-addr.arpa" ….

26/02/2016
167
Création des zones de recherches
• Ouverture du service dns
#vi /var/log/named/alphorm.lan.db
$TTL 86400
@ IN SOA dns.alphorm.lan. root.alphorm.lan. (
2014080601 ; Serial
1d ; refresh
2h ; retry
4w ; expire
1h ) ; min cache
IN NS dns.alphorm.lan.
IN MX 10 mail.alphorm.lan.
gateway IN A 192.168.1.1
dns IN A 192.168.1.5
master IN CNAME dns.alphorm.lan.
mail IN A 192.168.1.10
client IN A 192.168.1.15

26/02/2016
168
Création des zones de recherches
• Ouverture du service dns
#vi /var/log/named/0.1.168.192.db
$TTL 86400
@ IN SOA dns.alphorm.lan. root.alphorm.lan. (
2014080601 ; Serial
1d ; refresh
2h ; retry
4w ; expire
1h ) ; min cache
IN NS dns.alphorm.lan.
1 IN PTR gateway.alphorm.lan.
5 IN PTR dns.alphorm.lan.
10 IN PTR mail.alphorm.lan.
15 IN PTR client.alphorm.lan.

26/02/2016
169
Test
• Test du service dns
#dril dns.alphorm.lan
;; ->>HEADER<<- opcode: QUERY, rcode: NOERROR, id: 1996
;; flags: qr aa rd ra ; QUERY: 1, ANSWER: 1, AUTHORITY: 1, ADDITIONAL: 0
;; QUESTION SECTION:
;; dns.alphorm.lan. IN A
#dig mail.alphorm.lan
;; QUESTION SECTION:
;mail.alphorm.lan. IN A
;; ANSWER SECTION:
mail.alphorm.lan. 86400 IN A 192.168.10.10

26/02/2016
170
• Le service Bind
• Installation de bind9
• Configuration du serveur named
• Création des zones de recherche
• Test !

26/02/2016
171
Configurer le serveur
apache
Le service Web
Ludovic Quenec'hdu

26/02/2016
172
Plan
• Introduction au serveur HTTP apache
• Installation d’apache
• Configuration du serveur HTTP

26/02/2016
173
Introduction au serveur HTTP apache
• Le serveur Apache est un serveur http
• Le serveur le plus populaire sur Internet
• Développé et maintenu par la fondation Apache
https://fr.wikipedia.org/wiki/Apache_Software_Foundation
• En 1995 la première version d’apache, basée sur le NCSA
HTTPd
• Entièrement réécrit, Apache est aujourd’hui en version 2.xx.

26/02/2016
174
Introduction au serveur HTTP apache
• Apache est conçu de façon modulaire, il est facile de lui
ajouter de nombreuses fonctionnalités :
TLS, SSL,
Authentification des utilisateurs et des répertoires
Langage : perl, python, php, ruby, etc..
Réécriture d’urls,
Proxy,
Multi sites (Virtual host), etc..

26/02/2016
175
Installation d’apache
• Installation du serveur http
#yum groupinstall -y "Web server"
#rpm –ql apache-2….
• Activation du service http et configuration du firewall
# systemctl enable httpd
# systemctl start httpd
#firewall-cmd --permanent --add-service=https
Success
# firewall-cmd --reload
Success

26/02/2016
176
Configuration du serveur HTTP
• Configuration du service HTTP avec le fichier /etc/http/conf/httpd.conf
#vim /etc/http/conf/httpd.conf
ServerAdmin root@alphorm.lan
ServerName www.alphorm.lan:80
• Rechargment de la configuration
# systemctl restart httpd
• Créer un page html
#vim /var/www/html/index.html
<html><body>
Test Page
</body></html>

26/02/2016
177
• Introduction au serveur HTTP apache
• Installation d’apache
• Configuration du serveur HTTP

26/02/2016
178
Configurer des hôtes
virtuels
Le service Web
Ludovic Quenec'hdu

26/02/2016
179
Plan
• Introduction aux hôtes virtuels
• hôtes virtuels par nom
• hôtes virtuels par port
• hôtes virtuels par IP

26/02/2016
180
Introduction aux hôtes virtuels
• Le serveur Apache permet de gérer plusieurs sites web
indépendants sur le même serveur
• Chaque site est indépendant, avec sa propre configuration
• Il existe plusieurs méthodes afin d’héberger des VirtualHost :
VirtualHost par nom
VirtualHost par port
VirtualHost par IP

26/02/2016
181
hôtes virtuelles par nom
• Créer un fichier /etc/httpd/conf.d/vhost.conf
#vim /etc/httpd/conf.d/vhost.conf
<VirtualHost *:80>
ServerAdmin webmaster@www2.alphorm.lan
DocumentRoot /var/www/html/www2.alphorm.lan
ServerName www2.alphorm.lan
ErrorLog logs/www2.alphorm.lan-error_log
CustomLog logs/www2.alphorm.lan-access_log common
</VirtualHost>
• Vérification de la configuration
# httpd -D DUMP_VHOSTS

26/02/2016
182
hôtes virtuelles par port
Listen 80
Listen 81
<VirtualHost 192.168.20.10:81>
ServerName server81
DocumentRoot /var/www/html/www81
</VirtualHost>

26/02/2016
183
hôtes virtuelles par IP
<VirtualHost 192.168.30.30:80>
ServerName server1
</VirtualHost>
<VirtualHost 192.168.20.10:80>
ServerName server2
</VirtualHost>

26/02/2016
184
• Introduction aux hôtes virtuels
• hôtes virtuels par nom
• hôtes virtuels par port
• hôtes virtuels par IP

26/02/2016
185
L'authentification
des utilisateurs
Le service Web
Ludovic Quenec'hdu

26/02/2016
186
Plan
• Les dossiers privés
• L’authentification avec htpasswd

26/02/2016
187
Les dossiers privés
<Directory "/var/www/html/private">
AuthType Basic
AuthName “espace protegé par mot de passe"
AuthUserFile /etc/httpd/conf/password
Require user ludo
</Directory>
# apachectl configtest
Syntax OK

26/02/2016
188
L’authentification avec htpasswd
• Créer le fichier /etc/httpd/conf/password
#htpasswd -c /etc/httpd/conf/passwd ludo
New password: mot de passe
Re-type new password: ********
Adding password for user ludo
#chmod 600 /etc/httpd/conf/password
#chown apache:apache /etc/httpd/conf/password
• Rechargement de la configuration
#systemctl restart httpd

26/02/2016
189
• Les dossiers privés
• L’authentification avec htpasswd

26/02/2016
190
Transport Layer Security
Le service Web
Ludovic Quenec'hdu

26/02/2016
191
Plan
• TLS introduction
• Introduction au Certificat

26/02/2016
192
TLS introduction
• Transport Layer Security est un protocole d’échange
sécurisé à clé publique/privé
• TLS est le successeur de SSL (Netscape)
• TLS permet :
L’authentification des serveurs
La confidentialité des échanges
L’intégrité des échanges

26/02/2016
193
Introduction au Certificat
• Dans le cas des serveurs web sécurisé avec TLS.
• L’identification est réalisée avec des certificats numériques X509
• Ces certficats contiennent :
Une clé publique
Des informations : société, adresse, pays, FQDN.
Une signature
• Les certificats sont validés par des AC (Autorité de certification).
• On peut utiliser des certificats auto-signés

26/02/2016
194
Introduction au Certificat
Client Web Serveur Web
connexion TLS est établie

26/02/2016
195
Créer des certificats
• Installation des outils crypto
#yum install crypto-utils
• Création du certificat
#genkey www.alphorm.lan
ATTENDRE !!
#ping –f www.alphorm.lan

26/02/2016
196
Créer des certificats
• Attribuer les permissions sur les certificats
#chmod 0644 /etc/pki/tls/certs/www.alphorm.lan.crt
#chmod 0644 /etc/pki/tls/private/www.alphorm.lan.key
• Afficher le certifcats
#openssl x509 -in /etc/pki/tls/certs/www.alphorm.lan.crt -noout –text
Certificate:
Data:
Version: 3 (0x2)
Serial Number: 2770634487 (0xa52486f7)
Signature Algorithm: sha1WithRSAEncryption
Issuer: C=FR, ST=Ile de france, L=Paris, O=alphorm.com, OU=formation, CN=www.alphorm.lan
Validity
Not Before: Jan 12 14:53:34 2016 GMT
Not After : Feb 12 14:53:34 2016 GMT

26/02/2016
197
• TLS introduction
• Introduction au Certificat

26/02/2016
198
Apache mod_ssl
Le service Web
Ludovic Quenec'hdu

26/02/2016
199
Plan
• Introduction à Apache mod_ssl
• Configuration d’un hôte virtuel SSL

26/02/2016
200
Introduction a Apache mod_ssl
• Le module SSL fournit le support SSL v3 et TLS v1 au
serveur Apache
• Comme beaucoup d’outils de chiffrement, il s’appuie sur
OpenSSL
• Le module ssl permet des connexions https sur le port 443
• Le module SSL pour Apache fournit un virtualHost SSL

26/02/2016
201
Configuration d’un hôte virtuel SSL
• Installation du module ssl pour apache
#yum install mod_ssl
• Configuration du virtualHost SSL
#vi /etc/httpd/conf.d/ssl.conf
<VirtualHost *:443>
ServerName wwws.alphorm.lan
DocumentRoot /var/www/alphorm.lan.ssl
SSLEngine on
SSLCertificateFile /etc/pki/tls/certs/www.alphorm.lan.crt
SSLCertificateKeyFile / /etc/pki/tls/private/www.alphorm.lan.key
</VirtualHost>

26/02/2016
202
Configuration d’un hôte virtuel SSL
• Vérifiction de la configuration
#httpd –t
Syntax OK
#apachectl configtest
Syntax OK
#httpd -D DUMP_VHOSTS
VirtualHost configuration: *:443 is a NameVirtualHost
port 443 namevhost wwws.alphorm.lan (/etc/httpd/conf.d/ssl.conf….

26/02/2016
203
Test avec Openssl
• Vérification de la connexion SSL
#openssl s_client -connect localhost:443 -state
SSL_connect:before/connect initialization SSL_connect:SSLv2/v3 write client hello A
SSL_connect:SSLv3 read server hello A
….
….

26/02/2016
204
• Introduction à Apache mod_ssl
• Configuration d’un hôte virtuel SSL
• Test avec Openssl

26/02/2016
205
Gérer du contenu
dynamique
Le service Web
Ludovic Quenec'hdu

26/02/2016
206
Plan
• Introduction
• Common Gateway Interface
• Common Gateway Interface et perl
• PHP
• SELinux et la connexion aux Base de données

26/02/2016
207
Introduction
• Aujourd’hui les sites web ne se contentent plus de fournir
des pages statiques
• Les sites web modernes proposent des contenus
dynamiques
• Un administrateur Red hat Linux doit être en mesure de
fournir, de configurer des modules pour des contenus
dynamiques.
• Common Gateway Interface, du PHP, du Python, …

26/02/2016
208
Common Gateway Interface
• CGI - Commom Gateway Interface, en français Interface de
passerelle commune.
• La plus vieille méthode qui permet à Apache d’exécuter des
programmes.
• L’avantage de CGI est l’indépendance par rapport aux
programmes.
• Plus souvent utilisé avec le langage PERL, CGI est capable
d’exécuter des programmes en C, Java, VB, Shell, …
• Le langage doit respecter des contraintes d’entrées/sorties

26/02/2016
209
Common Gateway Interface et PERL
• Créons un petit, tout petit programme en Perl
#vi /var/www/cgi-bin/hello.pl
#!/usr/bin/perl
print "Content-type: text/htmlnn";
print "Hello, World!";
#chmod 755 /var/www/cgi-bin/hello.pl
• Configuration d’Apache pour le CGI
#yum install –y perl perl-CGI
#vi /etc/httpd/conf.d/cgi-enabled.conf
<Directory "/var/www/html/cgi-enabled">
Options +ExecCGI
AddHandler cgi-script .cgi .pl
</Directory>

26/02/2016
210
PHP
• PHP Hypertext Preprocessor
• Est un langage de script créé par Rasmus Lerdorf
• Il est utilisé pour fournir des contenus Web dynamiques
• PHP est surement le langage le plus utilisé sur le Web
• Facebook utilise PHP, mais aussi Wikipédia et de très nombreux sites
sur internet.
• On peut utiliser PHP avec CGI, mais on utilise plutôt les modules PHP
Apache : meilleures performance, sécurité, …

26/02/2016
211
PHP
• Installation du module php
#yum install –y php.x86_64
• Créons un petit script php
#vi /var/www/html/hello.php
<html>
<head>
<title>Exemple</title>
</head>
<body>
<?php
echo "Hello world";
?>
</body>
</html>

26/02/2016
212
SELinux et la connexion aux Base de données
• La plupart des données des sites web dynamiques sont conservées dans
des bases de données.
Contenus des sites
Structure des sites
Données des utilisateurs, etc, …
• Si la base de données est installée localement, il n’y pas de
configuration à mettre en place
• Lorsque la base données est distante, il faut modifier un booléen
SELinux :
httpd_can_network_connect_db

26/02/2016
213
• Introduction
• Common Gateway Interface
• Common Gateway Interface et perl
• PHP
• SELinux et la connexion aux Base de données

26/02/2016
214
Le serveur Postfix
Le service de courier
Ludovic Quenec'hdu

26/02/2016
215
Plan
• Introduction à Postfix
• Les différentes configurations de Postfix
• Architecture de Postfix

26/02/2016
216
Introduction
• Postfix est un serveur de messagerie développé par Wietse
Venema et plusieurs contributeurs.
• Postfix est conçu comme une alternative au serveur
Sendmail (difficulté de configuration).
• Postfix est LE serveur de messagerie par défaut de
nombreux systèmes de types Unix. Linux, MacOsx, BSD, …
• Postfix est publié sous licence IBM Public License 1.0. C'est
une licence libre, mais incompatible avec la GPL.

26/02/2016
217
Les differentes configurations de Postfix
• Postfix peut gérer la plupart des configurations professionnelles :
Postfix sur une machine Internet autonome – Site internet
Postfix en client sans rôle (null-client) – Internet avec “smarthost”
Postfix sur un réseau local – Local uniquement
Postfix sur une passerelle/pare-feu – Système Satellite
• Possède de nombreuse fonctionnalités :
Réécriture d’adresse, Gestion du contenu (spam)
Multi sites (sites virtuels), gestion de backends ldap, SGBD, …
Support d’IPV6, support de TLS (authentification, sasl, chiffrement), etc.

26/02/2016
218
Architecture de Postfix
• Composé d'une série de sous-démons :
Qmgr : gestionnaire des files d'attente .
Il contacte les agents de livraison
SMTP transfère les courriers vers les
serveurs de messagerie
LMTP : Livre les messages aux différents
services de messagerie POP, IMAP
LOCAL : Livre les messages dans les fichiers
de boites de types Unix

Alphorm.com Support Formation Red Hat Administration Système III RHCSE-(Rh254)

Alphorm.com Support Formation Red Hat Administration Système III RHCSE-(Rh254)

Recomendados

Recomendados

Más contenido relacionado

La actualidad más candente

La actualidad más candente (20)

Destacado

Destacado (20)

Similar a Alphorm.com Support Formation Red Hat Administration Système III RHCSE-(Rh254)

Similar a Alphorm.com Support Formation Red Hat Administration Système III RHCSE-(Rh254) (20)

Más de Alphorm

Más de Alphorm (20)

Alphorm.com Support Formation Red Hat Administration Système III RHCSE-(Rh254)