LP SIRI informations à renseigner par l exploitation : D.I. - Exploitation - Exploitation TP

Transcription

1 LP SIRI D.I. - Exploitation - Exploitation TP D O S S I E R D E X P L O I T A T I ON Référence : Service DNS - Exploitation Version : 1.0 Date version : 17/02/2013 Etat du document : Final AUTEUR VALIDATION J. DORDOIGNE J. DORDOIGNE jose.dordoigne@sogeti.com jose.dordoigne@sogeti.com Promo LP SIRI 2013 LISTE DE DIFFUSION Historique des versions Date Num. Auteur Nature de la modification version 17/02/ J. Dordoigne Création du document informations à renseigner par l exploitation : Le Par Document livré : jj/mm/aaaa XXXXXXXXXXXX Validé par l exploitation : qui? jj/mm/aaaa XXXXXXXXXXXXX Intégré dans les outils d exploitation : qui? jj/mm/aaaa XXXXXXXXXXXXX

2 Personnes à avertir de la mise à disposition du socle technique : Nom Prénom Page 2/22

3 Table des matières Dossier installation configuration Service DNS 1. OBJECTIF DU DOCUMENT DOSSIER D INSTALLATION D UNE PLATE-FORME TECHNIQUE MODE D EMPLOI INSTALLATION & CONFIGURATION DES SERVEURS ARCHITECTURE DE LA SOLUTION Architecture DHCP Architecture DNS INSTALLATION DUSERVEUR Description de la configuration du serveur Logiciels installés systématiquement Arborescence propre à l applicatif Description des partages locaux Description des accès au serveur ACCES A DES BASES DE DONNEES PCI DISPONIBILITE PROCEDURE D INSTALLATION DES SERVEURS INSTALLATION DU SERVEUR Sources des composants additionnels Obtention du logiciel auprès de l éditeur (le cas échéant) Installation Fichiers hosts Désactivation du pare-feu Désactivation de SELINUX DHCP DNS CONFIGURATION DHCP DNS Configuration principale Configuration des fichiers de zones TESTS Dhcp Client Serveur DNS Client Serveur EXPLOITATION Service DHCP Service DNS PROCEDURES D EXPLOITATION ARRET / RELANCE ET REBOOT SECURITE SAUVEGARDES / RESTAURATION Sauvegardes Restaurations Page 3/22

4 1. OBJECTIF DU DOCUMENT Ce document décrit les informations nécessaires à l installation d un serveur DNS, la configuration et l exploitation. 2. DOSSIER D INSTALLATION D UNE PLATE-FORME TECHNIQUE MODE D EMPLOI Le dossier d installation d une plate-forme technique correspond au cahier des charges des services attendus de la part de l exploitation, en terme de mise en place d infrastructure ( serveurs, réseau, cablage ) Ce document est l occasion d indiquer formellement à l exploitation les points suivants : La description des serveurs à installer et configurer pour héberger le logiciel L emplacement physique des serveurs Les connexions des serveurs au réseau d entreprise. Ce dossier est de la responsabilité du chef de projet étude ou technique : Ainsi, il doit, soit renseigner lui-même, soit faire renseigner les différents paragraphes du document en s adressant aux équipes d architecture technique. Seul le chef de projet est habilité à livrer ce document à l Exploitation. Ce document doit être fourni, soit lors de la mise en production initiale, soit lors de tout changement (nouvelle version, nouvelle architecture, nouvelle organisation, etc.) ayant un impact sur le contenu du dossier. Le dossier est considéré comme livré à l Exploitation, non pas lors de son envoi à l Exploitation, mais lors de sa validation formelle par l Exploitation. Une fois validés, les dossiers d exploitation sont publiés dans l Intranet documentaire de l exploitation. Une assistance peut être demandée à l équipe qui gère les serveurs lors de la rédaction initiale du dossier, afin de comprendre les attentes de chacun des paragraphes. En cas d absence du dossier d exploitation, l Exploitation se réserve le droit, soit de repousser la mise en production du logiciel, soit de se dégager de sa mission d exploitation du logiciel, jusqu à ce que les informations attendues soient fournies. 3. INSTALLATION & CONFIGURATION DES SERVEURS Ce paragraphe permet de décrire l installation (et la configuration) de chacun des serveurs ou autre équipement inclus dans le périmètre décrit dans le premier paragraphe ARCHITECTURE DE LA SOLUTION L architecture globale est constituée d un seul site, d un serveur et de plusieurs postes de travail hébergés sur un sous-réseau /24. Les clients DHCP s appuient sur le serveur DHCP Linux accessible à partir de la carte réseau eth0. La zone DNS banquise.net est utilisée pour identifier les enregistrements statiques DNS. Le serveur DHCP va enregistrer dynamiquement les clients dans la zone DNS, dyn.banquise.net. L architecture physique est quant à elle constituée d un environnement virtuel s appuyant sur Oracle Virtual Box. Cet environnement accueille aujourd hui un poste de travail Windows XP ainsi que le serveur CentOS 6.2 agissant en tant que serveur DHCP et DNS. Les services utilisés sont basés sur les solutions logicielles ISC DHCP ( et BIND DNS ( Le réseau /24 est défini en tant que réseau interne uniquement. Page 4/22

5 L interface eth1 du serveur est configurée en tant que client DHCP sur le sous-réseau du Lycée Touchard. Client DHCP Client DHCP Client XP /24 eth0 DNS DHCP Serveur CentOS eth1 Réseau Touchard banquise.net Architecture DHCP Le service DHCP est configuré pour répondre uniquement sur l adresse IPv Il est configuré pour inscrire les clients dans le DNS dynamique (mode interim). Les adresses IP à 75 sont distribuées aux clients pour une durée de 8 jours. Les options routeur, nom de domaine et IP DNS sont distribuées aux clients. Les zones DNS dyn.banquise.net ainsi que la zone inverse sont utilisées comme cible de l inscription par le serveur DHCP Architecture DNS Le service DNS est configuré pour répondre sur l adresse IP Il autorise les requêtes des clients provenant de /24 et /32. Le service DNS fonctionne en mode standalone. Les zones DNS principales statiques suivantes sont déclarées : Zones directes - banquise.net Zones inverses , ie in-addr.arpa - 10, ie 10.in-addr.arpa. Les zones DNS principales dynamiques suivantes sont déclarées : Zones directes - dyn.banquise.net Zones inverses Page 5/22

6 , ie in-addr.arpa Une clé est utilisée pour autoriser la mise à jour à partir du serveur DHCP vers les zones dynamiques DNS. Redirecteurs et serveurs racines - Les serveurs racines sont définis mais non utilisés. - Une redirection est définie vers un accès externe La version utilisée n a pas été installée en mode chroot. L utilisateur associé au service est named INSTALLATION DUSERVEUR Description de la configuration du serveur Paramètre de configuration Valeur Renseignements complémentaires Nom du serveur Pingouin.banquise.net Alias DNS du serveur Nombre de processeur(s) Fréquence processeur Mémoire physique Espace disque ftp.banquise.net 1 VCPU 2,5GHZ 1024 Mo 25 Go Accès Web Accès FTP OS Cent OS el6.i686 Langage OS Paramètres régionaux Antivirus French French N/A Composants tiers Webmin Télémaintenance par le fournisseur Sauvegarde Rôle du serveur 1 N/A A définir Serveur DNS Serveur DHCP 1 Afin de mieux les protéger contre des attaques extérieures, nos serveurs sont répartis en 2 groupes : un groupe Accès et/ou Présentation qui correspond à des serveurs en relation directe avec les utilisateurs un groupe Traitement et/ou Bases de données qui correspond à des serveurs hébergeant des traitements ou données sensibles. Page 6/22

7 Paramètre de configuration Valeur Renseignements complémentaires Libellé dans le référentiel Serveur d infrastructure Logiciels installés systématiquement Ce paragraphe est inscrit à titre indicatif. Il précise la liste des logiciels et composants techniques installés systématiquement par l équipe qui gère les serveurs. Ce paragraphe ne doit pas être modifié, sauf exception expressément justifié, par le rédacteur du document. Libellé Outils de support Patches de sécurité Agent de sauvegarde Logiciel antivirus Agent de supervision Agent d inventaire matériel Agent d inventaire et de déploiement Rôle Assure l exploitation du serveur Assure la sécurité des serveurs Assure les sauvegardes et les restaurations Assure la protection du serveur contre les attaques virales Assure la surveillance des serveurs de production Assurent la remontée des informations matérielles Assure les tâches d inventaire de pilotage et de distribution Arborescence propre à l applicatif Ce paragraphe permet d indiquer l ensemble des répertoires propres à l applicatif ainsi que les entités responsables des livrables. Service DHCP Nom des dossiers / fichiers /etc/dhcp/dhcpd.conf /etc/rndc.key /var/lib/dhcpd/dhcpd.leases Entité Responsable du livrable N/A Service DNS Nom des dossiers / fichiers /etc/named.conf /var/named/* Entité Responsable du livrable N/A Description des partages locaux Ce paragraphe permet d indiquer le rôle des différents partages disque à configurer sur le serveur, et les droits d accès à y associer, en justifiant du besoin de ces droits. Nom du partage Chemin Rôle du partage Droits d accès et justification N/A Page 7/22

8 Description des accès au serveur Ce paragraphe permet d indiquer les accès à prévoir sur le serveur en terme de prise de main à distance. Nom de l utilisateur Badge Droits d accès Justification demandé Root Full contrôle Administrateur de la plateforme Il est possible d utiliser Webmin pour gérer des accès spécifiques ACCES A DES BASES DE DONNEES Ce paragraphe doit être renseigné si le logiciel nécessite l installation de bases de données sur des serveurs mutualisés. Si tel est le cas, le rédacteur doit préciser la technologie et la version du SGDB, ainsi que la volumétrie prévisionnelle en Go de la base de données. Nom du serveur Type de SGBD Volumétrie de la base de données (en Go) Description fonctionnelle du contenu de la base Seuls des fichiers à plat sont utilisés avec DHCP et DNS. Il n y a pas de base de données PCI Ce paragraphe permet de préciser si le SI est architecturé pour supporter la destruction d une salle ordinateur et/ou la procédure et les délais de remise en service en cas de destruction d une salle. PCI NON Mécanisme de continuité. <exemple : serveur dans la salle alternée avec répartition par cluster Nortel> Dans la mesure où les serveurs de de l entreprise sont répartis sur 2 sites, il peut être souhaitable, pour des raisons de cohérence d installer les serveurs de ce SI dans la même salle que les serveurs d autres SI, le préciser L essentiel est de récupérer les fichiers de configuration de chacun des services, de les réinstaller sur un nouveau serveur disposant du même nom et de la même IP DISPONIBILITE Ce paragraphe permet de préciser si le SI est architecturé pour supporter la destruction d une machine et/ou la procédure et les délais de remise en service en cas de destruction d une machine Mécanisme de disponibilité : <exemple : serveur élément d un cluster MSCS> Pour le service DHCP, il est possible d implémenter un mode Failover. Non mis en œuvre ici. Pour le service DNS, il est possible d utiliser un second serveur DNS et de gérer des zones secondaires. Les clients devront obtenir alors deux adresses IP de serveur DNS au lieu d une seule actuellement. Page 8/22

9 4. PROCEDURE D INSTALLATION DES SERVEURS 4.1. INSTALLATION DU SERVEUR Sources des composants additionnels Webmin est installé en téléchargeant le rpm à partir du site : Il est ensuite installé à partir de la commande suivante : rpm ivh webmin noarch.rpm Obtention du logiciel auprès de l éditeur (le cas échéant) N/A Installation Fichiers hosts Pour garantir le bon fonctionnement des services réseau, il est important de veiller à bien configurer le fichier /etc/hosts du serveur : pingouin pingouin.banquise.net localhost localhost.localdomain localhost4 localhost4.localdomain4 ::1 localhost localhost.localdomain localhost6 localhost6.localdomain Désactivation du pare-feu Etant donnée la non criticité de la solution mise en place, nous avons opté pour la désactivation du pare-feu, en autorisant toutes les règles : iptables X iptables -F Désactivation de SELINUX Nous avons opté pour la désactivation de SELINUX. Cette opération est réalisée en modifiant le fichier /etc/sysconfig/selinux de la manière suivante : # This file controls the state of SELinux on the system. # SELINUX= can take one of these three values: # enforcing - SELinux security policy is enforced. # permissive - SELinux prints warnings instead of enforcing. # disabled - No SELinux policy is loaded. Page 9/22

10 SELINUX=disabled # SELINUXTYPE= can take one of these two values: # targeted - Targeted processes are protected, # mls - Multi Level Security protection. SELINUXTYPE=targeted DHCP L installation est réalisée au moyen de la commande YUM. yum install dhcp Pour permettre de réaliser avec succès la commande YUM, il faut veiller à ce que la résolution DNS aboutisse, c est-à-dire qu elle soit sollicitée au travers de la connexion eth1 (Lycée Touchard). Pour cela, vérifier que le fichier /etc/resolv.conf référence bien le bon serveur DNS. Une fois configuré, le service est programmé au moyen de la commande suivante : chkconfig dhcpd on Dès lors que la configuration sera définie, on pourra procéder au démarrage du service la première fois : service dhcpd start DNS L installation est réalisée au moyen de la commande YUM. yum install bind yum install bind-utils Une fois configuré, le service est programmé au moyen de la commande suivante : chkconfig named on Dès lors que la configuration sera définie, on pourra procéder au démarrage du service la première fois : service named start Page 10/22

11 4.2. CONFIGURATION DHCP Le fichier de configuration auto-documenté se présente comme suit : ######################### # TP Service DHCP # # # # LP SIRI # # # # J. Dordoigne # # # # 11/11/2012 # # # # /etc/dhcp/dhcpd.conf # # # ######################### # ajout de l'option DNS # prise en compte de la zone DNS dynamique # le serveur DHCP fait l'inscription pour les clients ddns-update-style interim; # clé pour l'inscription dans le dns include "/etc/rndc.key"; # suffixe dns ddns-domainname "dyn.banquise.net"; # Serveur DHCP officiel pour le réseau local authoritative; # option globale option domain-name "dyn.banquise.net"; option domain-name-servers ; # déclaration du sous-reseau subnet netmask { # passerelle par défaut option routers ; # bail de 8 jours max-lease-time ; range ; # zone dynamique cible et serveur concerné zone dyn.banquise.net. { primary ; key "rndc-key"; } # zone dynamique cible et serveur concerné zone in-addr.arpa. { primary ; Page 11/22

12 } } key "rndc-key"; Dossier installation configuration Service DNS # déclaration pour le poste Windows XP host winxp { hardware ethernet 08:00:27:36:a8:21; } DNS Configuration principale Le service DNS est configuré en se basant sur le fichier ci-dessous. Attention, tous les fichiers doivent être accessibles pour le demon named qui doit être propriétaire de ces fichiers. Une fois tous les fichiers créés dans /var/named, utiliser la commande chown named:named * -R pour rendre le démon propriétaire des fichiers qui ont été créés par root. ######################### # TP Service DNS # # # # LP SIRI # # # # J. Dordoigne # # # # 25/11/2012 # # # # /etc/named.conf # # # ######################### // // Configuration d'une zone DNS statique banquise.net // Configuration d'une zone DNS dynamique dyn.banquise.net // configuration d'une zone inverse // chargement de la clé de mise à jour pour dhcp include "/etc/rndc.key"; // Définition des interfaces d'écoute DNS acl INTERFACES { localhost; ; // Définition des ordinateurs sources autorisés du LAN acl LAN { localhost; /24; /8; /16; // autorisation d'inscription controls { inet * allow { LAN; } keys { "rndc-key"; Page 12/22

13 options { // Démarrage du service DNS listen-on port 53 { INTERFACES; // répertoire de travail directory "/var/named"; // requêtes sources autorisées allow-query { localhost; LAN; // Mise à jour autorisées allow-update { LAN; // Récursivité activée recursion yes; allow-recursion { localhost; LAN; # redirection vers FAI # si nécessaire forwarders { ; forward only; logging { channel default_debug { file "data/named.run"; severity dynamic; // Définition de la zone racine zone "." IN { type hint; file "named.ca"; // mise à jour dynamique zone "dyn.banquise.net" { type master; file "dyn.banquise.net"; allow-update { key "rndc-key"; // Définition de la zone directe zone "banquise.net" { type master; Page 13/22

14 file "banquise.net"; allow-update { none; // Définition des zones inverses zone " in-addr.arpa" { type master; file "172.16"; allow-update { none; zone "10.in-addr.arpa" { type master; file "10"; allow-update { none; // mise à jour dynamique zone " in-addr.arpa" { type master; file " "; allow-update { key "rndc-key"; Configuration des fichiers de zones Les fichiers sont stockés dans le dossier /var/named. ; ################################### ; # # ; # fichier banquise.net # ; # zone principale statique # ; # # ; ################################### $TTL 3H $ORIGIN IN SOA pingouin.banquise.net. admin.banquise.net. ( ; serial 1D ; refresh 1H ; retry 1W ; expire 3H ) ; IN NS pingouin.banquise.net. pingouin IN A www IN CNAME pingouin.banquise.net. ftp IN CNAME pingouin.banquise.net. mail IN MX 10 pingouin.banquise.net. winxp IN A Page 14/22

15 ; ################################### ; # # ; # fichier # ; # zone principale dynamique # ; # # ; ################################### $ORIGIN. $TTL ; 3 hours in-addr.arpa IN SOA pingouin.banquise.net. admin.banquise.net. ( ; serial ; refresh (1 day) 3600 ; retry (1 hour) ; expire (1 week) ; minimum (3 hours) ) NS pingouin.banquise.net. $ORIGIN in-addr.arpa. $TTL ; 6 hours 10 PTR winxp.dyn.banquise.net. $TTL ; 3 hours 100 PTR pingouin.banquise.net. 15 PTR winxp.banquise.net. ; ################################### ; # # ; # fichier dyn.banquise.net # ; # zone principale dynamique # ; # # ; ################################### $ORIGIN. $TTL ; 3 hours dyn.banquise.net IN SOA pingouin.banquise.net. admin.banquise.net. ( ; serial ; refresh (1 day) 3600 ; retry (1 hour) ; expire (1 week) ; minimum (3 hours) ) NS $ORIGIN dyn.banquise.net. pingouin A $TTL ; 6 hours pingouin.banquise.net. winxp A TXT "310ee6a0e6d3a127a4de5d0a4a2066ff8f" 4.3. TESTS Dhcp Client A partir du poste de travail, vérifier que le service DHCP est opérationnel : - Que le poste obtient une adresse IP, - Que cette adresse est obtenue à partir du serveur Linux, - Que les options DNS sont correctement transmises. ipconfig /all C:\Documents and Settings\Jdordoigne>ipconfig /all Page 15/22

16 Configuration IP de Windows Nom de l'hôte : winxp Suffixe DNS principal : Type de noud : Inconnu Routage IP activé : Non Proxy WINS activé : Non Liste de recherche du suffixe DNS : dyn.banquise.net Carte Ethernet Connexion au réseau local: Suffixe DNS propre à la connexion : dyn.banquise.net Description : Carte AMD PCNET Family Ethernet PCI Adresse physique : F DHCP activé : Oui Configuration automatique activée.... : Oui Adresse IP : Masque de sous-réseau : Passerelle par défaut : Serveur DHCP : Serveurs DNS : Bail obtenu : dimanche 17 février :52:33 Bail expirant : lundi 18 février :52:33 Il est possible d utiliser les commandes suivantes pour forcer le renouvellement ou la libération d une adresse IP. ipconfig /renew ipconfig /release Serveur Vérifier que le service est démarré service dhcpd status Vérifier que le service est programmé pour démarrer automatiquement chkconfig --list dhcpd Utiliser tcpdump pour capturer les trames DHCP tcpdump i eth0 udp port 67 Page 16/22

17 DNS Client La commande nslookup peut être utilisée côté client. L objectif est de vérifier que la résolution directe mais aussi bien indirecte fonctionnent. Page 17/22

18 Serveur Vous pouvez utiliser nslookup ou dig pour vérifier la résolution de noms. Page 18/22

19 4.1. EXPLOITATION Service DHCP Vérifier que le service est démarré service dhcpd status En cas de problème le service peut être démarré ou redémarré service dhcpd start service dhcpd restart Service DNS Vérifier que le service est démarré service named status En cas de problème le service peut être démarré ou redémarré service named start service named restart Page 19/22

20 En cas de problème le service peut être démarré ou redémarré service named start service named restart Page 20/22

21 5. PROCEDURES D EXPLOITATION 5.1. ARRET / RELANCE ET REBOOT Dossier installation configuration Service DNS Ce paragraphe précise la séquence de reboot des équipements ou la séquence d arrêt / relance de services inclus dans le périmètre décrit dans le premier paragraphe. Par défaut, les serveurs sont réinitialisés durant la nuit de dimanche à lundi. La commande chkconfig permet de garantir qu au redémarrage du serveur les services sont correctement démarrés SECURITE Ce paragraphe précise les conditions dans lesquelles les patchs de sécurité doivent être appliqués : tenir compte de la nécessité de maintenir le service aux utilisateurs opérationnel. Par défaut, les serveurs sont patchés durant l après-midi du 3ème dimanche du mois SAUVEGARDES / RESTAURATION Sauvegardes Ce paragraphe présente l expression de besoins en terme de sauvegarde des infrastructures contenues dans le périmètre décrit dans le premier paragraphe. Référence de l objet à sauvegarder /etc/named.conf /var/named/* /etc/dhcpd/dhcpd.conf /etc/rndc.key Type de procédure et contraintes Inscription dans un groupe de Sauvegarde : <OUI> : Fréquence et durée de conservation Par défaut, sauvegarde incrémentale au quotidien et complète le week-end. Les sauvegardes sont conservées 21 jours. Chemin d accès à la base : Il n y a pas de base de données Restaurations Ce paragraphe permet de décrire les éventuels besoins particuliers de restauration, en dehors des cas de casse de disque et de suppression involontaires de fichiers. Page 21/22

22 Page 22/22