Master 2 TIIR. Systèmes UNIX TP Administration Linux. Septembre Paramètres réseau Salle TIIR (B03) Préambule...

Transcription

1 Master 2 TIIR Systèmes UNIX Septembre 2013 Sommaire 1 Paramètres réseau Salle TIIR (B03) Préambule Installation L installation pas à pas Administration locale Connexion administrateur Configuration des logiciels Création de comptes utilisateurs Administration réseau Connexion à distance Partage de fichiers Authentification distante Sécurité/Pare-feu Virtualisation KVM Restauration-Configuration d un client Restauration par CloneZilla Configurer une installation personnelle Préparation d un clone (pour les admins seulement) /34

2 Chapitre 1 Paramètres réseau 1.1. Salle TIIR (B03) Les machines du master sont dans le réseau privé * derrière un pare-feu. Le numéro de machine est donné durant le TP. adresse IP de vos machines : Salle TIIR : <90+N o machine > passerelle : masque de sous-réseau : serveur DNS : et nom DNS de votre machine : Salle TIIR : pcmt<n o machine > (FQDN :pcmt<n o machine >.m2fil.univ-lille1.fr.) domaine DNS : m2fil.univ-lille1.fr Les informations concernant les différents serveurs sont les suivantes : serveur LDAP : ldap.m2fil.univ-lille1.fr (l uri est ldap:// ) base : dc=mastergi utilisé pour l authentification et l automontage serveur NFS : nfs.m2fil.univ-lille1.fr ( ) répertoire exporté /home (par automontage) utilisé pour vos répertoires personnels /home/mastertiir imprimante : l imprimante est sur le réseau et s appelle lanson proxy HTTP : cache-etu.univ-lille1.fr, port 3128 serveur NTP : ntp.univ-lille1.fr serveur de messagerie : le master n a pas de messagerie propre, utilisez celle de l université. serveur web des Master 2 : le serveur web est maintenant sur le site du fil. Connexions distantes (Telnet, SSH...) : elles sont permises à l intérieur de l université mais interdites vers ou depuis l extérieur. 2/34

3 Figure 1.1 Numéros de la salle TIIR Démarrage réseau Un serveur CloneZilla (sur la machine virtuelle mercier) propose le menu suivant lorsque vous démarrez votre machine par le réseau. Clonezilla : restauration de partitions (clonage). Local Operating Systems : démarrage classique sur le disque dur. Debian/Ubuntu : des installeurs de Debian et Ubuntu en réseau La salle serveur ne contient qu un serveur DELL faisant tourner plusieurs machines virtuelles sous Xen. La machine Hôte est lafitte ( ). Voici la liste des services et des machines virtuelles (entre parenthèses). ipmi : (krug) dom0+dhcp+ntp : (lafitte) dns+ldap+nfs : (bollinger) clonezilla : (mercier) Figure 1.2 Organisation des serveurs 3/34

4 1.2. Préambule Ce TP consiste à réaliser l installation d une machine sous GNU/Linux, puis à aborder quelques aspects de son administration. L objectif essentiel est que vous soyez capable de comprendre comment sont configurés les services les plus couramment utilisés, que vous connaissiez les commandes permettant de connaître la configuration courante d un service, et que vous puissiez identifier l origine d un problème quand une machine/un service ne fonctionne pas correctemment. Vous ne serez pas à priori administrateur de votre machine pendant votre vie active, et avoir abordé quelques-uns de ces aspects vous permettra de savoir comment réagir quand «ça marche pas». Tout au moins pourrez-vous présenter le problème aux administrateurs en indiquant ce qui vous semble (sachez rester humble) en être la source. Le travail sera découpé en 3 parties distinctes : l installation et l administration purement locale de votre machine : création de comptes locaux, compilation du noyau 1 et configuration de divers logiciels ; l installation et l administration de certains services réseau : il s agit de permettre à d autres utilisateurs de se connecter sur votre machine (et réciproquement). Dans cette phase, vous travaillerez avec le binôme de la machine voisine ; la mise en œuvre de la virtualisation : il s agit d installer Windows dans une machine virtuelle sous Linux en utilisant KVM. Une dernière partie décrit comment restaurer ou configurer votre machine pour que vous puissiez l utiliser tout au long de l année. Les manipulations présentées dans ce document ne sont qu un petit échantillon des possibilités proposées par les outils que vous utiliserez. Pour effectuer la plupart du travail demandé, il existe déjà d autres outils de configurations à priori plus simples (adduser, netconf...) et même des méta-outils comme linuxconf. De plus, la plupart des distributions proposent des outils graphiques de configuration du système. Le but de ce TP n est pas de savoir utiliser ces outils mais de comprendre les processus et les fichiers mis en jeu. Tous les outils que vous trouverez ne sont en fait que des interfaces qui modifient ces fichiers et lancent un certain nombre de démons/services. C est pourquoi il vous est demandé d effectuer manuellement les procédures de configuration. Pendant le TP, vous pouvez vous reporter à la documentation en ligne disponible avec les commandes info et man. Enfin n hésitez pas à aller plus avant dans l expérimentation des logiciels que vous allez utiliser : en effet, il vous faudra disposer dans l année d une machine opérationnelle, et vous n aurez alors plus le loisir de réaliser de tels essais. 1. pour les plus courageux, nous l avons pour le moment supprimé du sujet. 4/34

5 Conventions Vous rencontrerez durant la lecture du sujet différentes conventions typographiques. 1. Le signe : qui vous signale un point important. 2. Toute section délimitée par les deux lignes suivantes : Manipulation : représente une séquence de commandes à exécuter pour mener à bien le TP. Les commandes décrites dans les manipulations ne sont pas garanties exemptes d erreurs! Utilisez la complétion automatique offerte par bash (touche Tab). Avant de modifier un fichier, faites une copie de l original : cp fichier fichier.orig 5/34

6 Chapitre 2 Installation Vous allez installer une distribution GNU/Linux, en l occurrence une Ubuntu (precise) version Desktop, pour une architecture amd64. Vous êtes un par machine, et vous serez amenés à travail en binôme de machine L installation pas à pas Booter la machine par le réseau L installation s effectue totalement à partir du réseau : il faut donc vérifier que le démarrage par le réseau est possible. Cela se configure dans le BIOS (appuyez sur F10 dès que la machine démarre, sans attendre d affichage) de la manière suivante : Installation A chaque changement dans un menu, tapez bien sur F10 pour accepter les changements passez à Enabled le : Menu «Advanced»-> «Power-On Options»-> POST Messages passez à 10 secondes le délai dans : Menu «Advanced»-> «Power-On Options»-> POST Delay passez à Disabled le : Menu «Advanced»-> «Device Options»-> Internal Speaker vérifiez que le boot sur la carte réseau est activé : Menu «Security» -> «Network Boot» -> «Enabled» activez la virtualisation matérielle : Menu «Security» -> «System Security» -> «Virtualization Technology (VTx)» -> Enabled Menu «Security» -> «System Security» -> «Virtualization Technology Directed (I/O) (VTd)» -> Enabled dans le menu «File», sauvez et quittez la configuration du BIOS pour rebooter ; Redémarrez l ordinateur en appuyant sur F12 pour démarrer par le réseau. Choisissez d installer l Ubuntu precise Choix de la langue/installation Français, zone géographique (France/France). 6/34

7 Répondez Non à la question «Détection automatique du clavier»/«detect Keyboard Layout», et choisissez France/Français comme clavier Configuration réseau La configuration réseau se fait par DHCP, et le nom de votre machine et son IP doivent être déterminées automatiquement. Reportez-vous à la section Paramètres réseau pour vérifier le nom de votre machine. Le nom de votre machine doit être déterminé automatiquement (pcmixx ou pcmtxx). Si le nom de votre machine n est pas correct, avertissez votre professeur. Cela signifie qu il y a un problème avec le serveur DHCP, et vous allez perturber le réseau. Pour information, le nom de domaine et les serveurs DNS sont également fournis par le serveur DHCP Choix du miroir Choisissez le miroir (France) et spécifiez Miroir : fr.archive.ubuntu.com Mandataire : Vous pouvez aussi utiliser d autres miroirs officiels Ubuntu. Dans ce cas, privilégiez les sites universitaires (ftp.u-picardie.fr, ftp.lip6.fr ou ftp.uvsq.fr) qui sont sur le réseau RE- NATER. L installateur réseau récupère alors les paquets nécessaires à la suite Mot de passe root-création d utilisateurs Sous Ubuntu, le mot de passe du compte root de la machine n est pas demandé à l installation. Il n est donc pas possible de se connecter via le compte administrateur de la machine que ce soit depuis un environnement graphique ou depuis une console texte. L installation crée donc un compte local qui peut prendre les droits administrateur en utilisant la commande sudo. Cette commande sudo permet non seulement de lancer des commandes en tant que l utilisateur root, mais aussi en tant que n importe quel utilisateur de la machine. La syntaxe est la suivante : sudo -u <utilisateur> <commande> (quand l utilisateur n est pas précisé par l option -u, par défaut ce sont les identifiants de root qui sont utilisés). Enfin, sudo permet une configuration fine des droits d accès à des commandes pour certains utilisateurs ou groupes d utilisateur (par exemple pour permettre à des utilisateurs précis d utiliser une et une seule commande en tant qu administrateur, et non toutes). Créez donc un utilisateur d identifiant localuser avec un mot de passe non trivial, puisque cet utilisateur peut prendre les droits administrateur 1. Ne chiffrez pas le dossier personnel L horloge Acceptez la zone (Europe/Paris) qui vous est proposée. 1. On rappelle que vous êtes responsables de tout ce qui provient de vos machines 7/34

8 Partitionnement du disque Le disque dur fait normalement 250 Goctets sur toutes les machines. Nous allons partitionner le disque afin de faire coexister Windows XP, une installation Ubuntu clonée (maintenue par les administrateurs), et une ou plusieurs installations locales (l Ubuntu Desktop de ce TP et éventuellement Ubuntu Server, Debian ou votre distribution préférée). La version clonée permettra d assurer un fonctionnement fiable de vos machines pendant l année, en vous laissant disposer par ailleurs d installations locales si vous voulez réaliser des tests. Choisissez le partitionnement manuel et supprimez toutes les partitions. Créez ensuite dans l ordre (choisir emplacement au «Début») les partitions suivantes : No Type Taille Système Point de Commentaires de fichier montage sda1 Primaire 60Go Ne pas utiliser Ne pas utiliser Windows XP natif sda2 Primaire 8Go Swap swap Partition d échange (commune) sda5 Logique 35Go Ext3 Ne pas utiliser Clone Ubuntu Desktop sda6 Logique 10Go Ext3 Ne pas utiliser Clone Ubuntu 32bits (TP Réseau) sda7 Logique 60Go Ext3 Ne pas utiliser Machines virtuelles Il est important que la table des partitions ait la structure ci-dessus pour assurer un fonctionnement correct du clonage automatique. Il nous reste environ 80Go pour réaliser les installations locales : pour pouvoir assurer leur amorçage par chaînage depuis la partition d amorçage clonée (sda5 que vous clonerez plus tard), il nous faut créer une seconde partition d amorçage sda8 sur laquelle sera également installé grub. C est la seule obligation qui est faite pour disposer d installations locales sans avoir à réinstaller grub à chaque fois. Nous suggérons donc pour la suite du TP le partitionnement suivant : sda8 Logique 25G Ext3 / TP Ubuntu Desktop (racine) sda9 Logique 1G Ext3 /export TP Ubuntu Desktop (partition NFS) Laisser le reste libre Les partitions sont alors créées, et le système de base est installé (prend quelques minutes) Configuration de discover Choisissez «Installer les mises à jours de sécurité automatiquement» Sélection des logiciels Choisissez uniquement Ubuntu desktop en utilisant la touche espace (et pas Entrée). Ne rajoutez rien d autre ici (nous ferons les installations au fur et à mesure). A ce stade l installateur télécharge et installe les paquets restants, ce qui prend encore quelques minutes (à ce stade, le proxy de l université devrait «chauffer» un peu!). Confirmez enfin l installation de grub sur le secteur d amorçage du disque dur 2. Répondez Non à la question «L horloge système est-elle à l heure universelle (UTC)». En effet, Windows XP gère par défaut l heure locale. 2. Par défaut, au démarrage, un ordinateur choisit de booter sur la partition «active». Ce comportement est déterminé par un programme appelé bootloader, écrit au tout début du disque dur (dans le MBR, Master Boot Record, du disque). grub remplace ce bootloader par défaut quand on l installe sur le MBR 8/34

9 La machine reboote alors. Si vous avez oublié de sélectionner Ubuntu Desktop, vous pourrez lancer la commande tasksel une fois l ordinateur redémarré Après redémarrage, vous ne pouvez choisir que l interface Ubuntu. Nous souhaitons dans la suite du TP utiliser l interface GNOME classic, qui s installe avec apt-get install gnome-shell. Saurez-vous trouver un shell pour lancer la commande? Ensuite, reconnectez-vous en choisissant GNOME Classic. 9/34

10 Chapitre 3 Administration locale Dans tout le TP, vous pourrez ignorer les références aux utilisateurs IAGL qui ne font plus le TP depuis cette année Connexion administrateur Sous Ubuntu, il n est pas possible de se connecter directement sous le compte root que ce soit depuis un environnement graphique ou depuis une console texte. Les commandes nécessitant les droits administrateur doivent être exécutées par l intermédiaire de la commande sudo. Seuls les utilisateurs listés dans le fichier /etc/sudoers ont le droit d utiliser la commande sudo et donc d exécuter des commandes d administration sous le compte root. L utilisation de sudo permet de fixer exactement les utilisateurs ayant des privilèges d administrateur (les réglages dans le fichier /etc/sudoers peuvent être affinés), évite de distribuer le mot de passe de root et facilite également la traçabilité des connexions en tant qu administrateur. Pour exécuter une commande nécessitant les droits administrateur, il suffit donc de la faire précéder de sudo : > more /etc/sudoers /etc/sudoers: Permission denied > sudo more /etc/sudoers Password: La commande sudo demande le mot de passe de l utilisateur courant (et non pas celui de root), pour éviter qu une personne mal intentionnée agisse physiquement depuis une console ou un terminal qu il n a pas ouvert. Pour éviter d avoir à taper un mot de passe à chaque commande, l option -i de sudo permet de lancer un shell et donc d obtenir un terminal dans lequel vous êtes connecté sous root. Pour obtenir un terminal avec les droits administateur, utilisez la commande sudo -i dans un terminal ordinaire Configuration des logiciels Configuration des logiciels : 10/34

11 1. Obtenir les mises à jour : Normalement, le mandataire (proxy) pour apt est configuré pour utiliser celui de l université. Vérifiez que le fichier /etc/apt/apt.conf contient bien Acquire:: " Lancez ensuite apt-get update 1 et consultez les mises à jour proposées avec apt-get -s upgrade 2. Si aucun paquetage ne semble poser de problèmes, lancez apt-get upgrade pour effectuer réellement la mise à jour. Rebootez si l upgrade vous le demande. 2. Configuration de NTP (Network Time Protocol) : Supposons que machine1 indique 10h40 et machine2 10h50 : lorsque l on accède par nfs sur machine1 aux fichiers exportés par machine2, on peut obtenir des fichiers créés dans le futur. Ceci ne va pas sans poser problème à un certain nombre d outils, tel make, qui ne savent plus comment réagir. La solution consiste à synchroniser les horloges à une horloge commune grâce à NTP. Installez le paquetage openntpd et modifiez le fichier /etc/openntpd/ntpd.conf pour qu il se serve uniquement de ntp.univ-lille1.fr comme serveur. Relancez le démon openntpd avec /etc/init.d/openntpd restart. Ainsi votre machine sera mise à l heure automatiquement. Réglez la date et l heure depuis le bureau (faites-le d abord manuellement si la différence est supérieure à 15 minutes). Ainsi votre machine sera mise à l heure automatiquement. Regardez le fichier /var/log/syslog avec la commande tail -f /var/log/syslog et attendez quelques minutes que ntpd indique des informations sur la remise à l heure. 3. Proxy (mandataire) : Configurez le mandataire système depuis le menu Petite roue -> Paramètres système -> Réseau -> Serveur mandataire. Vous pouvez utiliser la configuration manuelle (mettez le proxy pour http, https et ftp), ou bien la configuration automatique grâce à l adresse Cliquez sur «Appliquer à tout le système». Vérifiez que ça fonctionne en lançant Firefox. Testez également que wget fonctionne en tapant la commande wget qui doit sauvegarder un fichier index.html. Pour information, wget est un utilitaire permettant de charger les pages en utilisant le protocole http Création de comptes utilisateurs Bien que vous ayez créé un utilisateur durant la procédure d installation, vous allez ensuite créer vos comptes. Un utilisateur est caractérisé par un numéro d utilisateur (user_id). De plus, chaque utilisateur possède un nom de login, un numéro de groupe (group_id), un répertoire, un shell utilisé lors de la connexion et un nom complet. Votre user_id ne doit pas rentrer en conflit avec celui de vos voisins. De plus, pour être sûr de ne pas avoir de user_id déjà utilisé par le système, il faut prendre un entier supérieur à Enfin le serveur LDAP attribue actuellement des user_id compris entre 6000 et Une solution est de commencer par 60 concaténé au numéro de votre machine (de 01 à 24) concaténé 1. Mise à jour du cache des paquets : à faire après toute modification des sources de paquets 2. L option -s permet d effectuer une simulation de la mise à jour. Notez que Synaptic, le gestionnaire de paquets Debian, a éventuellement déjà dû vous prévenir de ces mises à jour quand vous vous êtes connecté. 11/34

12 à 0 pour le premier utilisateur et à 1 pour le second 3. Pour votre login, commencez par un petit l (attention, c est la lettre l minuscule, pour local), ajoutez la première lettre de votre prénom et terminez par votre nom de famille. En ce qui concerne les groupes d utilisateurs, vous utiliserez deux groupes unix : lmasteriagl et lmastertiir. Comme précédemment, c est bien un l minuscule pour les deux noms de groupe. Le group_id de ces groupes sera respectivement et Comme shell, bash semble être un bon choix. Enfin le nom complet est une chaîne de caractères du type : Prénom Nom Structure et création des comptes La structure des répertoires de travail est décrite par la Figure 3.1. Vous devez donc créer votre répertoire de travail dans le répertoire correspondant à votre groupe. Le nom de ce répertoire doit correspondre à votre nom de login. Normalement, lors du partitionnement, vous n avez pas créé de partition spécifique pour les utilisateurs, mais seulement une partition d exportation /export. Vous allez créer l arborescence des répertoires utilisateurs dans cette partition (pour l exporter par la suite), puis ajouter un lien symbolique /home depuis la racine vers la racine de cette arborescence /export/home. / export home home lmastertiir lmasteriagl lusertiir luseriagl Figure 3.1 Répertoire utilisateurs Création des comptes : 1. Créez les groupes lmasteriagl et lmastertiir dans /etc/group. Ajoutez les deux lignes suivantes : lmasteriagl:x:60000: lmastertiir:x:61000: 2. Créez des utilisateurs dans /etc/passwd. Ajoutez des lignes de la forme : nom_de_login:mot_de_passe:user_id:group_id:nom_complet:répertoire:shell Le champ mot_de_passe devrait contenir le mot de passe crypté mais, pour des raisons de sécurité, ceux-ci sont désormais dans le fichier /etc/shadow (ce fichier n étant pas lisible par les utilisateurs ordinaires). Le champ des mot_de_passe dans /etc/passwd doit contenir juste la lettre x. 3. Ce qui donne et pour les utilisateurs de la machine 4, et pour ceux de la machine /34

13 3. Création des mots de passe dans /etc/shadow. Ajoutez des lignes de la forme : nom_de_login:mot_de_passe:last_change:min_change:max_change:\ warn_change:defer_change:expire:reserved Le mot de passe étant crypté, vous ne pouvez le créer directement : il faut utiliser la commande passwd. Laissez donc ce champ vide pour l instant. Les autres champs, à partir de last_change, contrôlent la validité du mot de passe et du compte dans le temps. Si vous ne voulez pas vous en occuper, laissez tous ces champs vides (pas de contrôle). 4. Mettez à jour les mots de passe pour chaque nouvel utilisateur par la commande passwd, et vérifiez que /etc/passwd a changé. 5. Terminez votre session gnome en tant que localuser, connectez-vous sur une console (Ctrl+Alt+F1) et renommez le répertoire /home actuel en /localhome. Modifiez /etc/passwd pour que localuser se logue dans le répertoire /localhome/localuser. Le répertoire /home n existe plus à ce stade. 6. Créez les répertoires des utilisateurs et mettez à jour les droits d accès à ces répertoires (à savoir : changez le propriétaire et son groupe par la commande chown et changez les droits par la commande chmod). On prend ici l exemple d un utilisateur user appartenant au groupe lmastertiir. > mkdir -p /export/home/lmastertiir/user > chown user:lmastertiir /export/home/lmastertiir/user > chmod 755 /export/home/lmastertiir/user 7. Il reste à créer le lien symbolique /home vers /export/home : > ln -s /export/home /home Remarques : dans /etc/skel/, vous trouverez normalement des exemples génériques de scripts de login. même s il est possible de gérer les utilisateurs et les groupes à la main dans un système Linux, il est mieux d utiliser les commandes du système pour faire cette gestion. Les commandes pour les utilisateurs sont : useradd, userdel, usermod et pour les groupes : groupadd, groupmod, groupdel À ce stade, chacun d entre vous peut se connecter avec un compte personnel sur la machine qu il a installée et dispose également d un espace personnel sur cette machine dans le répertoire /home. 13/34

14 Chapitre 4 Administration réseau La configuration «réseau» va mettre en jeu deux machines. Organisez-vous pour trouver une machine voisine (car vous aurez besoin de discuter) avec qui travailler. Ainsi, dans toute la suite, machine1 et machine2 désignent les noms de vos deux machines sans le nom du domaine. En salle IAGL, ce serait par exemple pcmi9 et pcmi10. En salle TIIR, ce serait par exemple pcmt1 et pcmt2. Ces deux machines (machine1 et machine2) sont respectivement les machines des binômes constitués de tiir1 et iagl1, et de tiir2 et iagl2. Il s agit ici de faire en sorte que les quatre utilisateurs puissent se connecter indifféremment sur les deux machines en trouvant leurs environnements de travail habituels. Il faudra donc arriver à ce que la structure des répertoires utilisateurs soit celle de la Figure 4.1 sur les deux machines. / home lmastertiir lmasteriagl lusertiir1 lusertiir2 luseriagl1 luseriagl2 Figure 4.1 Répertoires utilisateurs unifiés 4.1. Connexion à distance Comme il n est pas toujours possible d être devant sa machine, il est agréable de pouvoir s y connecter à distance. Pour cela, nous allons installer différents types de serveurs et nous verrons alors les problèmes de sécurité sous-jacents Les connexions «textes» Dans un premier temps, vous allez utiliser une simple connexion par telnet. telnet n est pas un protocole sécurisé et les mots de passe circulent «en clair» sur le réseau. Pour vous en convaincre vous «snifferez» les mots de passe avec le logiciel ettercap. Vous passerez ensuite à 14/34

15 une connexion de type ssh. ssh repose sur la technologie des clés publiques / clés privées. La clé publique sert à chiffrer des messages que seule la clé privée peut déchiffrer. Pour authentifier une personne, il suffit de chiffrer une phrase avec sa clé publique, car on sait que seule la personne ayant la clé privée pourra le déchiffrer. Connexions «textes» : 1. Connexion telnet Installez un serveur telnet sur machine1, puis vérifiez que vous pouvez vous connecter en tant que simple utilisateur à partir de machine2. 2. Installez le logiciel ettercap (version texte) sur une des 2 machines, et faites la manipulation suivante : > ettercap -C Sniff Unified Sniffing Start Start Sniffing Si le logiciel donne une erreur, vérifiez que vous avez les droits pour sniffer Reconnectez-vous, votre mot de passe apparaîtra alors dans ettercap. 4. Connexion ssh Installez ssh si ce n est déjà fait (apt-get install openssh-server) sur machine1 et machine2, connectez-vous depuis l autre machine. Vous ne verrez alors plus le mot de passe en clair dans ettercap, même pas la tentative de connexion. 5. refaites les manipulations précédentes en utilisant le logiciel wireshark. NB Notez que le mot de passe utilisé lors de connexions ftp apparaît aussi dans ettercap. ftp n est pas un protocole sécurisé. Il faut utiliser sftp Les connexions «graphiques» Il n est pas toujours agréable d utiliser une connexion «texte». Heureusement il existe plusieurs manières simples d obtenir des applications X depuis une machine distante. Connexion directe à un serveur X Localement, sur votre machine, vous exécutez un serveur X. Il est possible de dire à une application, même tournant sur une machine distante, de se connecter à votre serveur X (c est la motivation même de la création du protocole XWindow). Les manipulations décrites ici concernent un étudiant connecté sur machine1, souhaitant exécuter une application (xeyes) sur machine2, et dont le résultat s affichera sur machine1. Connexion directe à un serveur X : 1. Sur machine1, ajoutez à la fin du fichier /etc/lightdm/lightdm.conf la ligne xserver-allow-tcp=true puis relancez le service lightdm. 2. Nous autorisons ensuite (sur machine1) les connexions au serveur X depuis machine2. Puis on se connecte sur machine2. > xhost machine2 > ssh machine2 15/34

16 XSERVER pcmi1:0 port 6000 xeyes Terminal pcmi1 telnet, ssh, rlogin, etc... Shell pcmi2 Figure 4.2 Connexion à un serveur X distant 3. DISPLAY est une variable d environnement spécifiant l écran (au sens XWindow) et la machine sur lequel afficher les applications XWindow. Cette variable est utilisée par défaut par toute (bonne) application XWindow. Sur machine2 : > export DISPLAY=machine1:0 > xeyes & Le résultat (une paire d yeux) doit s afficher sur machine1. Connexion à un serveur X via un tunnel ssh Lors de votre connexion distante sur machine2, ssh va simuler un serveur X local qui sera en réalité l entrée d un tunnel vers votre serveur X sur machine1. XSERVER :0.0 XSERVER localhost:10 ssh sshd xeyes Terminal Shell pcmi1 pcmi2 Figure 4.3 Connexion à un serveur X à travers un tunnel ssh Connexion à travers un tunnel ssh à un serveur X : 1. Sur machine2 : vérifiez le fichier /etc/ssh/sshd_config que le serveur ssh accepte dans le X11Forwarding. Si ce n est pas le cas, activez le, et relancez ce démon (/etc/init.d/ssh restart). 2. Sur machine1, connectez-vous à machine2 par ssh avec un tunnel pour X 16/34

17 > ssh -X machine2 3. Vous pouvez observer dans votre shell ssh de connexion la valeur de la variable DISPLAY qui a été positionnée par ssh. > echo $DISPLAY > xeyes & La valeur de DISPLAY vous montre que le serveur X est local à machine2. Mais l affichage se fait bien sur machine1 par le tunnel X ssh. Question : Ces deux manipulations semblent similaires, pourtant l une est beaucoup plus avantageuse que l autre. Laquelle? et pourquoi? NB : Linux dispose par défaut de 6 consoles textes virtuelles auquel on accède par Ctrl+Alt+Fn (avec n variant de 1 à 6). Sur la 8 e console, vous trouverez votre connexion X locale. Sur les consoles suivantes (jusque 12), vous pouvez trouver d autres connexions X : vous pouvez par exemple lancer plusieurs serveurs X sur une même machine, ce qui est notamment pratique si une personne a verrouillé sa session X en partant. startx -- :2 lance un serveur sur la console 9. Il est également possible de lancer un serveur X à distance par le protocole XDMCP. Dans tous les cas, pour terminer une connexion X, appuyez sur Ctrl+Alt+Backspace (qui constitue en fait un moyen de tuer un serveur X). Remarquez que cette combinaison de touche tend à disparaître dans les nouvelles versions de X Partage de fichiers Nous allons dans cette partie partager des données entre machines, et entre systèmes d exploitation Montages NFS Le partage de fichiers entre postes Linux et plus particulièrement le partage de répertoires utilisateurs peut se faire en utilisant les montages NFS. Une machine devra : rendre visibles les répertoires des utilisateurs locaux. La machine se comporte comme un serveur de fichiers et devra donc exporter ses disques pour les machines clientes ; accéder aux disques des machines distantes pour accéder aux répertoires des autres utilisateurs. La machine se comporte alors comme un client et devra monter les disques des machines serveurs. Pour satisfaire ces deux aspects (une machine est à la fois client et serveur NFS), on se propose d utiliser la structure de système de fichiers de la Figure 4.4. On efface le lien de /home vers /export/home et on crée un vrai répertoire à la place. Le répertoire /home des machines doit contenir deux répertoires lmastertiir et lmasteriagl. Chacun de ces répertoires ne contiendra alors que des liens symboliques (en traits pointillés sur la figure) vers les comptes locaux (montés physiquement sous le répertoire /export/) ou un montage NFS (en traits pleins sur la figure) vers les comptes distants. Exemple de configuration de la machine machine1. De /home à /export/home : 1. Recréez /home : 17/34

18 PCMI 1 PCMI 2 / export / export home home home home lmastertiir lmasteriagl lmastertiir lmasteriagl lmastertiir lmasteriagl lmastertiir lmasteriagl lusertiir1 lusertiir2 luseriagl1 luseriagl2 lusertiir1 luseriagl1 lusertiir1 lusertiir2 luseriagl1 luseriagl2 lusertiir2 luseriagl2 Figure 4.4 Structure globale du système de fichiers des répertoires utilisateurs > rm /home > mkdir /home > mkdir /home/lmastertiir > mkdir /home/lmasteriagl 2. Créez les liens vers les comptes locaux > cd /home/lmastertiir > ln -s /export/home/lmastertiir/lusertiir1 lusertiir1 > cd /home/masteriagl > ln -s /export/home/lmasteriagl/luseriagl1 On va ensuite configurer la machine machine1 comme étant un serveur de fichiers NFS (pour que machine2 puisse accéder aux comptes de lusertiir1 et luseriagl1). Pour cela, il faut modifier le fichier /etc/exports qui contient la liste des systèmes de fichier dont on autorise l accès par NFS. Pour prendre en compte les modifications de /etc/exports, il faut relancer les démons NFS qui sont respectivement chargés de répondre aux requêtes de montages NFS et aux requêtes d accès aux fichiers via NFS. Aspect serveur (machine1) : 1. Installez le paquetage nfs-kernel-server. 2. Modifiez le fichier de configuration /etc/exports. #Volume Machines autorisées à monter(options) /export/home machine2.m2fil.univ-lille1.fr(rw,sync, no_subtree_check) 3. Vérifiez les droits sur le fichier /etc/exports. > chmod 644 /etc/exports 4. Tuez puis relancer le démon nfs > /etc/init.d/nfs-kernel-server stop > /etc/init.d/nfs-kernel-server start 5. Vérifiez l exportation en utilisant la commande showmount. 18/34

19 > showmount -e Export list for machine1.m2fil.univ-lille1.fr: /export/home machine2.m2fil.univ-lille1.fr Il n y a pas de configuration spécifique pour qu une machine se comporte comme un client NFS (à part bien sûr le fait que le noyau ait été compilé pour). Il suffit simplement d effectuer le montage par la commande mount. Aspect client (machine1) : 1. Créez les points de montage : > mkdir /home/lmastertiir/lusertiir2 > mkdir /home/lmasteriagl/luseriagl2 2. Vérifiez que machine2 exporte correctement sa partition /export en utilisant la commande showmount : > showmount -e machine2.m2fil.univ-lille1.fr Export list for machine2.m2fil.univ-lille1.fr: /export/home machine1.m2fil.univ-lille1.fr 3. Réalisez le montage avec la commande mount : > mount -t nfs machine2:/export/home/lmasteriagl/iagl2 \ /home/lmasteriagl/iagl2 > mount -t nfs machine2:/export/home/lmastertiir/tiir2 \ /home/lmastertiir/tiir2 4. Vérifiez l exportation en utilisant la commande showmount sans option. > showmount machine2.m2fil.univ-lille1.fr machine1.m2fil.univ-lille1.fr Partage de fichier avec Samba (optionnel) Samba est un serveur de fichiers pour Linux (en licence GNU GPL, donc libre) compatible avec les réseaux Microsoft Windows. C est-à-dire qu il permet de partager les fichiers et les imprimantes d un serveur linux avec les ordinateurs d un réseau Microsoft Windows, et ceci de manière totalement transparente. Configuration d un serveur samba : 1. Installez samba sur une des deux machines. Vous choisirez de lancer samba comme un démon autonome et non comme une part du super démon inetd ; 2. Éditez le fichier /etc/samba/smb.conf et configurez le partage de votre répertoire /export de manière à ce qu il soit accessible à tous et sans mot de passe. Pour cela vous prendrez soin entre autres choses de vérifier les points suivants : (a) le niveau de sécurité qui doit être «share», nous n utiliserons pas d authentification au cours de cette rapide présentation de samba 1 ; (b) le workgroup qui doit être identique à celui du poste Windows ; 1. Mais rien ne vous empêche d essayer. Faites-nous signe. 19/34

20 Conclusion (c) l encodage des caractères : dos charset = 850 unix charset = ISO Relancez le démon samba. 4. Redémarrez l autre machine sous Windows ; 5. Vérifiez que vous avez accès à votre partage Samba depuis votre poste Windows. Soit en regardant le «voisinage réseau», soit en vous connectant directement à un lecteur réseau. Le partage de fichiers est très pratique et facile à mettre en œuvre, mais il pose un problème de sécurité évident : le respect des droits Unix. Avec Samba et un partage de fichiers sans authentification, il est facile pour n importe qui d effacer vos données. Pour NFS, le problème est légèrement différent puisque les fichiers appartiennent à la personne ayant un «uid» correspondant au propriétaire initial. La solution pour Samba passe par l authentification, mais nous n étudierons pas cette possibilité. Pour NFS, nous allons voir comment résoudre le problème dans la section suivante Authentification distante Authentification globale Pour l instant, les différents utilisateurs sont déclarés localement sur chaque machine. Une opération de connexion à distance ssh est impossible : si lusertiir1 exécute ssh lusertiir1@machine2 il ne pourra pas se connecter. En effet la table des mots de passe de chaque machine ne contient que les utilisateurs locaux à la machine, les utilisateurs de l autre machine sont inconnus. Ce problème est résolu en créant des tables globales de mots de passe contenant, entre autres, les quatre utilisateurs des deux machines. Pour cela, il faut isoler la partie concernant les utilisateurs locaux dans les tables des mots de passe (recopier ces lignes dans des fichiers passxx et shadxx où XX est le numéro de la machine concernée). L échange de ces fragments de table se fera en utilisant les répertoires partagés par NFS. Donnez-leur les noms nom_machine.passwd et nom_machine.shadow. Ceci étant fait, il suffit d aller chercher les fragments de l autre machine et de concaténer ceux-ci à la fin des tables des mots de passe de votre machine. Échange des tables de mots de passe : 1. Commencez sur machine1 : Isolez les lignes contenant les utilisateurs tiir1, et iagl1 dans les fichiers /tmp/machine1.passwd et /tmp/machine1.shadow. 2. Copiez-les sur /export/home/ (temporairement). 3. Récupérez les extraits de tables machine2.passwd et machine2.shadow (placés par le binôme machine2). 4. Concaténez les extraits machine2.passwd et machine2.shadow aux fichiers locaux /etc/passwd et /etc/shadow. > cat /tmp/machine2.passwd >> /etc/passwd > cat /tmp/machine2.shadow >> /etc/shadow 20/34