Installer et configurer un serveur de VOD

Transcription

1 Installer et configurer un serveur de VOD Par LoiselJP Le 15/09/2013

2 1 Objectifs La télévision par flux vidéo depuis l Internet, la location ou même la mise à disposition de vidéos ou flux audio sur site Internet sont des sujets forts appréciés. C est ce sujet qui va être traité dans ce document. Pour créer le serveur de Flux (ici il s agit de flux en général, audio, vidéo, depuis un ou des fichiers, voir depuis une diffusion par caméra, webcam ), c est le logiciel Flumotion qui a été choisi. Flumotion est un serveur de streaming open-source sous licence GPL. Simple à configurer et installer, il permet de diffuser à des utilisateurs ne disposant que d'un simple navigateur Web des contenus audio et vidéo. Installer et configurer un serveur de VOD page 2/56

3 2 Sommaire 1 Objectifs Sommaire Prérequis Installation du serveur... 4 Installer les outils d administration... 8 Installer et utiliser SSH... 8 Installer Webmin... 9 Utilisation de Webmin Placer une adresse IP fixe Améliorer l affichage Installer le serveur WEB Déplacer le dossier de base Déplacer les autres dossiers nécessaires Installer PHP et Mysql Configurer Mysql avec PHPMyadmin Ajouter un nouvel utilisateur Installer le serveur FTP Installer le serveur Configurer vsftpd FTP anonyme Gérer le «Compte utilisateur» Message d accueil Valider et tester les modifications Sécuriser le serveur Installer et configurer l antivirus Configurer le pare-feu DenyHosts Installer une interface graphique Installer LXDE Lancer l interface Quitter l interface Configurer le boot Installer et configurer Flumotion Configurer Flumotion Crypter le mot de passe Ouvrir un flux réseau Installer un convertisseur «ogv» Si la place vient à manquer Un mot sur LVM et le repartitionnement Découvrir LVM Espace disponible Initialiser les entrées Créer un nouveau volume logique Etendre la partition /home Conclusion Propriété Licence Installer et configurer un serveur de VOD page 3/56

4 3 Prérequis Ce tutoriel s adresse à des gestionnaires de serveur (ou futurs gestionnaire). On peut alors supposer que le lecteur (vous) aura quelques connaissances de base sur l utilisation la gestion d un serveur WEB, ce qui permettra à ce document de se limiter aux différentes commandes et modifications de fichier de configuration. Il n'est donc pas question ici de voir ou revoir toutes les bases de Linux. Pour appliquer cette opération, on suppose alors que sont acquis : - L'installation de base d'un poste de travail linux, - L'installation de logiciel: - Principe des paquets et leurs dépendances, - Les "dépôts" de paquets, - Principe d'installation manuelle, - Les principales commandes du shell, - Utilisation du programme man et l'aide des commandes (si vous ne savez pas appliquer ce qui est demandé), Pour le besoin de ce tutoriel, la machine utilisée ne demande aucune particularité, le serveur web (Flumotion est avant un système associé à un serveur Web) utilisé ne demandera que peu d espace disque. Cependant, les vidéos et divers fichiers pouvant être mis à disposition pourront très vite occuper beaucoup d espace disque, suivant l utilisation envisagée pour ce serveur, il pourra être important d y prévoir de l espace de stockage. L installation du serveur Flumotion prendra en compte ce besoin possible d espace en installant ce serveur sur un système LVM. De plus, une configuration particulière sera mise en place pour prendre en compte l interface de gestion du logiciel (Flumotion utilise l interface graphique). 4 Installation du serveur Chacun choisira la distribution de son choix, dans le cas présent toute l'installation est donnée pour une version à base de Debian (on recherche un serveur et non un poste de travail). Cette version de Linux est plus destinée à un usage de serveur. Debian est tout particulièrement prisée par les administrateurs pour ce type d emploi. Dans l installation d un serveur, moins il y a de services lancés moins il y aura de faillées de sécurité. L interface graphique est souvent un des soucis majeur sur ce point. L installation se fera donc dans un premier temps sans interface graphique. Ce n est que dans un second temps qu une interface (la plus légère possible) sera installée. Ici on effectuera une installation suivant ce modèle: Installation à partir d'un CDrom netinstall Debian 7 (la dernière en date au jour de la création de ce tutoriel) avec aucun paquet sélectionné. Installer et configurer un serveur de VOD page 4/56

5 A ce stade, le domaine n a pas d importance (il sera placé ultérieurement) Installer et configurer un serveur de VOD page 5/56

6 Au cours de l installation il va être demandé un nom d utilisateur, pour le serveur FTP, il sera préférable d utiliser un nom adéquat (Flumotion semble approprié). Comme indiqué dans le chapitre précédent, le serveur peut demander très vite de l espace disque. Cet espace disque pourra être étendu après installation ou lorsque le besoin s en fera sentir. LVM sera donc employé dans le partitionnement du disque. LVM sera donc sélectionné. Dans l écran suivant une installation dans des partitions séparées sera sélectionnée. Installer et configurer un serveur de VOD page 6/56

7 Par souci de gestion, l administrateur préfèrera souvent utiliser des partitions séparées, dans le cas présent, seul le «/home» séparé sera sélectionné (/tmp, /var/log, /var/www, /var/cache seront déplacés par la suite). Confirmer le choix d utiliser LVM Dans l écran suivant, il sera possible d ajuster les partitions. 10Gb pour le système seront très suffisants! Confirmer puis passer à l étape suivante d installation. Installer et configurer un serveur de VOD page 7/56

8 Lorsque le choix de logiciel sera proposé, une installation minimale sera réalisée LVM sera abordé en fin de document, dans un premier temps sous forme de découverte du système, puis dans un second temps sous forme d utilisation avec l ajout d un second disque dur dans le serveur. Installer les outils d administration Installer et utiliser SSH SSH est une solution de prise en main à distance sécurisée, toutes les commandes pourront être traitées par ce moyen. D autant plus que le serveur ne dispose pas d interface graphique pour l instant Pour installer OpenSSH : apt-get install openssh-server Putty qui est un logiciel libre vous permet cela en toute simplicité: Installer et configurer un serveur de VOD page 8/56

9 Depuis un autre poste, par une fenêtre de commande, vous pourrez gérer votre serveur sans besoin de travailler directement dessus. Dès lors que l on utilise une connexion SSH il sera aisé d utiliser le copier/coller en prenant directement les commandes de ce tutoriel. Installer Webmin Webmin est l un des outils d administration Linux les plus populaires. Installer les prérequis pour Webmin («aptitude» et «zip» n en font pas partie mais seront utilisé dans divers cas apt-get install aptitude zip libnet-ssleay-perl libauthen-pam-perl libio-pty-perl apt-show-versions On pourra aussi installer python-minimal et openssl Télécharger Webmin dans un dossier où il pourra être décompressé avant sa suppression : cd /tmp wget Installer et configurer un serveur de VOD page 9/56

10 Installation de Webmin dpkg -i webmin_1.620_all.deb En cas de souci cette commande réglera les différents soucis de dépendances (cela devrait être le cas si vous n avez pas installé Python par exemple avant) apt-get install -f Après installation le chemin d accès sera indiqué par l installation L accès à Webmin se fait par: Installer et configurer un serveur de VOD page 10/56

11 Après avoir confirmé le certificat, se connecter (en root avec votre mot de passe) Passer dans «Webmin», «Change Language and Theme» passer en «french» (ça peut aider pour les non anglophones) Utilisation de Webmin Le sujet de ce tutoriel n est pas l administration Linux, pour l utilisation de «Webmin» et sa portée, on se reportera au site « sur lequel toutes les informations d installation, configuration emploi seront détaillées. Installer et configurer un serveur de VOD page 11/56

12 Placer une adresse IP fixe En fonction de l organisation de la structure dans laquelle se trouve le serveur, placer une adresse IP fixe peut être intéressant. D autant que le serveur derrière un serveur DHCP peut voir son adresse IP régulièrement modifiée, le serveur n ayant pas d interface graphique, la plupart des accès se feront par le réseau (mais c est une question de choix). Pour placer une adresse IP fixe : nano /etc/network/interfaces Placer l ip fixe dans le fichier de configuration # Interface reseau de bouclage auto lo iface lo inet loopback address netmask # carte reseau en ip statique (ou auto) allow-hotplug eth0 iface eth0 inet static # <- a adapter suivant le besoin address broadcast netmask gateway dns-nameservers auto eth0 Installer et configurer un serveur de VOD page 12/56

13 Puis redémarrer l interface réseau /etc/init.d/networking restart Ou service networking restart L IP a été placée comme on le voulait. Améliorer l affichage Vous l aurez peut-être rencontré certaines versions de Linux proposent les listes en couleur et quelques commandes comme «ll» qui remplace aisément «ls l». Ces fonctions sont comprises dans le système mais non activées par défaut «ll» est un alias de «ls l». Ces fonctions pourront être activées à partir du fichier «.bashrc» du dossier de l utilisateur (ici, c est le compte root qui nous intéresse) : nano /root/.bashrc Installer et configurer un serveur de VOD page 13/56

14 Il suffira de décommenter les lignes voulues Les couleurs et commandes seront disponibles à la prochaine connexion 5 Installer le serveur WEB Le serveur est maintenant installé dans sa configuration de base. Le serveur Web peut maintenant être installé. A cette étape, le système va être laissé dans sa configuration d origine. Il ne s agit que d installer le serveur Apache et de vérifier son fonctionnement. Pour installer apache : apt-get install apache2 Installer et configurer un serveur de VOD page 14/56

15 On pourra vérifier son fonctionnement et son accès depuis n importe quel navigateur web à cette adresse : Il l annonce lui-même : «il fonctionne!». Déplacer le dossier de base Pour appel : Le serveur en cours d installation est destiné à diffuser ou permettre de visionner du flux vidéo, de la musique ou tout flux multimédia. Le volume de données stocké peut très vite prendre de grandes proportions. Pour cette raison, le disque dur principal a été partitionné avec comme espace le plus important dans «/home». C est donc dans ce dossier que les données devront être stockées. Le dossier de base de stockage est à cette adresse : /var/www cd /var/www On y trouvera la page d accueil par défaut Ce dossier peut être déplacé simplement en modifiant la configuration d Apache. Pour modifier le chemin par défaut d apache se diriger dans «/etc/apache2/sites-available», editer ensuite «default» : cd /etc/apache2/sites-available nano default Installer et configurer un serveur de VOD page 15/56

16 La solution n est pas compliquée mais déplace cependant le dossier par défaut et beaucoup s y perdront (dont moi) car habitué au dossier «/var/www» on finirait par s y perdre. Bien que cela soit rarement le cas, certains logiciels pourraient utiliser (car trop habitué aussi) le chemin /var/www. Il va alors être préférable d effectuer un lien symbolique. Si vous avez placé le dossier home dans une partition séparée déplacer le dossier dans /home est le mieux mv /var/www /home ln -s /home/www /var/www Ce qui laisse transparent la nouvelle position des fichiers. Déplacer les autres dossiers nécessaires Il a été vu précédemment comment déplacer un dossier et pour quelle raison il sera déplacé dans «home», toujours dans le but de ne pas saturer le système du serveur, d autres dossiers pourront être déplacés de la même manière, afin de limiter les dossiers en tous sens, il faudra créer auparavant un dossier destiné à accueillir ces fichiers système (logs, cache, temporaires..). Comme précédemment, il sera créé des liens symboliques, dans le but de ne pas perturber l ordre par défaut : mkdir /home/fichiers_systeme mv /tmp /home/fichiers_systeme/ ln -s /home/fichiers_systeme/tmp /tmp mv /var/log /home/fichiers_systeme/ Installer et configurer un serveur de VOD page 16/56

17 ln -s /home/fichiers_systeme/log /var/log mv /var/cache /home/fichiers_systeme/ ln -s /home/fichiers_systeme/cache /var/cache Après installation, on pourra déplacer également les fichiers mysql. Par convention, et pour éviter toute confusion le reste de ce tutoriel traitera les dossiers suivant leur emplacement d origine (les données du serveur web seront en /var/www), des liens ayant été créés cette opération se fera de manière transparente. 6 Installer PHP et Mysql A ce stade de l installation du serveur, PHP et Mysql ne sont pas nécessaires, cependant, l installation de ce serveur est principalement faite dans le but de la création d un serveur Web et il serait bien étonnant que ce serveur se contente d afficher une page Web simple Dans l objectif de pouvoir créer un serveur web proposant des pages Web dynamiques (dont, pourquoi-pas, une petite base de données contenant des liens ) PHP et Mysql vont être installés. PHPMyadmin est un très bon outil de configuration et de gestion des bases de données Mysql, pour installer les paquets nécessaires, il suffira de taper cette commande : apt-get install mysql-server phpmyadmin Toutes les bibliothèques de dépendance du paquet seront installées («php» car le module de gestion est en php, Mysqlserver car c est le module géré) en une seule fois tout ce qui sera nécessaire sera installé Installer et configurer un serveur de VOD page 17/56

18 Lorsque la question est posée entrer un mot de passe (qu il faudra confirmer) Au cours de l installation il va être demandé quel serveur Web reconfigurer, il sera proposé Apache2 et lighttpd. Apache2 est le serveur web installé cocher les deux serveurs ne gêne en rien! On lui laisse modifier les deux serveurs Comme indiqué par la suite si vous êtes déjà un administrateur expérimenté, si la base de donnée est déjà installée, vous pouvez choisir de configurer manuellement la base de données Mysql, donc à vous de voir Après création de la base de données de gestion la question est alors posée Installer et configurer un serveur de VOD page 18/56

19 C est le compte root qui s occupera dans un premier temps de la base de données, si la base de données existe déjà, donner alors le mot de passe qui va permettre d y accéder. Dans le cas contraire, la base de données sera créée et par conséquent, n a pas besoin d accès. A l étape suivante il va être demandé de créer un mot de passe (à mettre!). Si aucun mot de passe n est fourni, un mot de passe aléatoire est créé. Vous serez alors contraint de passer en ligne de commande pour le configurer. Le mot de passe devra être confirmé Il arrive parfois de rencontrer une erreur de socket, lors de la création de la base de données Parfois mysql-server ne s est pas installé il suffira l y rajouter apt-get remove phpmyadmin apt-get install mysql-server Puis réinstaller phpmyadmin apt-get install phpmyadmin Dès lors que PHPmyadmin est installé (Avec Mysql ), l interface de gestion est disponible à l adresse suivante : http//nom_ou_ip_du_serveur/phpmyadmin Installer et configurer un serveur de VOD page 19/56

20 Configurer Mysql avec PHPMyadmin Après avoir installé PHPmyadmin, il est possible d accéder à la gestion des bases par le chemin : http//nom_ou_ip_du_serveur/phpmyadmin On y place le compte «root» avec le mot de passe de gestion (demandé au cours de l installation) Après connexion l interface pourra ressembler à ceci (l interface change régulièrement). Ajouter un nouvel utilisateur Suivant la destination du serveur, la sécurité voudrait que le compte principal utilisant le serveur ne soit pas «root» (trop facile à trouver). Il est donc nécessaire de créer un nouvel utilisateur Se rendre alors dans «Privilèges» puis choisir «Ajouter un utilisateur» Lui donner un nom, un mot de passe (que l on pourra générer automatiquement). Installer et configurer un serveur de VOD page 20/56

21 Lui donner des privilèges passepartout («Tout cocher»), sur tout! Cliquer sur «Créer un compte d utilisateur». Recommencer l ajout de l utilisateur sur le serveur «localhost» Avant toute opération sur le compte root, se déconnecter puis tester le compte Avec tous les droits sur le serveur vous pouvez maintenant supprimer «root» l administrateur qui doit être unique sera donc plus difficile à trouver 7 Installer le serveur FTP Suivant la destination du serveur (possibilité d uploader ou non des fichiers, possibilité ou non d avoir un espace privé, possibilité ou non de télécharger via FTP ), un serveur FTP peut être mis en place. Dans le cadre du serveur présent, on suppose que l utilisateur principal (et lui seul) peut être amené à accéder au serveur à distance via FTP, pour l ajout de fichiers, modification Installer et configurer un serveur de VOD page 21/56

22 Plusieurs serveurs ftp sont disponibles sous linux, dans le cadre de ce tutoriel, c est le serveur «vsftpd» qui sera choisi. Vsftpd par son nom (Very Secure FTP Daemon) parle de lui-même il s agit d un démon de serveur ftp très sécurisé. De plus, il reste l un des serveurs le plus facile à configurer, il s agit dans ce tutoriel d apprendre à créer un serveur Web sécurisé mais pour administrateur dont ce n est pas le travail principal (même si de grandes enseignes ne vont pas plus loin que cela) il n est donc pas question de chercher trop compliqué Installer le serveur Pour installer le serveur la commande est classique : apt-get install vsftpd Par défaut «fstftpd» donne accès au dossier partagé «ftp» en mode anonyme. (pas bien! sauf dans le cas ou l on autorise l utilisateur anonyme à avoir accès au serveur) en attendant de l'avoir configuré il est peut-être sage de l'arrêter : service vsftpd stop C est mieux Configurer vsftpd Dans ce paragraphe il va être question de configurer «vsftp» afin de limiter les erreurs et le sécuriser suffisamment pour l utilisation voulue. Ouvrir le fichier de configuration: nano /etc/vsftpd.conf Installer et configurer un serveur de VOD page 22/56

23 Toutes les opérations suivantes se font dans ce fichier (à l exception du changement de dossier par défaut)! Comme beaucoup de fichier configuration Linux, le fichier vsftpd.conf comporte beaucoup de commentaires qui permettront (après un peu de lecture) de configurer correctement le serveur. Mais on remarquera que le fichier ne fait que 150 lignes (commentaires compris) ce qui le rend très abordable. FTP anonyme Par défaut la connexion anonyme est autorisée, c est le répertoire du serveur («/srv/ftp») qui est utilisé pour stocker les fichiers. Comme pour les différents dossiers système, le dossier va être déplacer. On y utilisera le serveur web : mkdir /home/www/download rm -rf /srv/ftp ln -s /home/www/download /srv/ftp Avec cette configuration l utilisateur anonyme aura accès au dossier «download» du serveur web. On pourra y ajouter un fichier texte d avertissement. touch /home/www/download/avertissement.txt echo Tous droits réservés loiseljp 2013 > /home/www/download/avertissement.txt Pour désactiver l accès anonyme, ouvrir le fichier de configuration : nano /etc/vsftpd.conf Trouver le paramètre suivant et le placer à NO: anonymous_enable=no Gérer le «Compte utilisateur» Installer et configurer un serveur de VOD page 23/56

24 Si d un coté on ne désire pas autoriser l utilisateur anonyme à se connecter, mais on désire, à partir un accès «ftp», pouvoir déposer les fichiers sur le serveur: Pour cette connexion FTP, on utilisera les comptes système. Afin de limiter l accès au serveur web pour l utilisateur système, il faut activer son authentification. Ouvrir alors le fichier de configuration : nano /etc/vsftpd.conf Pour permettre l'identification des utilisateurs système, il est nécessaire de placer le paramètre «local_enable» à oui : local_enable=yes Il sera nécessaire, pour qu ils puissent y transférer des fichiers, leur autoriser l'écriture : write_enable=yes (il suffira de décommenter les lignes qui sont déjà préremplies) Sécuriser le FTP (SFTP SSL) Message d accueil Les comptes utilisateurs système peuvent avoir accès aux fichiers de tout le système. Si le serveur est un serveur dédié (c est souvent le cas pour ce type de de serveurs), ce n est pas un souci, dans le cas ou ce serveur n est pas dédié, il peut être intéressant «d enfermer» l utilisateur dans un dossier particulier. Il est alors nécessaire de les enfermer (confiner) dans leur dossier. C est le principe de base de la virtualisation : l utilisateur est enfermé dans un dossier (un machine, un programme) dont il ne peut pas s écarter. Pour cela activer le paramètre «chroot_local_user» chroot_local_user=yes La racine de leur FTP sera alors leur répertoire personnel. Par un jeu de lien symbolique il sera alors possible de donner accès à un dossier ou à l ensemble du site web : ln s /home/flumotion /home/www/flumotion (Dans l exemple de lien ci-dessus l utilisateur «flumotion» à accès au sous-dossier «flumotion» du serveur web.) Il est possible de modifier le message d accueil de votre serveur FTP en plaçant dans ce paramètre le texte voulu «ftpd_banner» : ftpd_banner=bienvenue sur le serveur LoiselJP debian-flumotion. Installer et configurer un serveur de VOD page 24/56

25 Valider et tester les modifications Cette fois le serveur est opérationnel, le chemins sont définis, le sécurité de login l est également, il ne reste qu a démarrer ou redémarrer le service : service vsftpd start ou service vsftpd restart Cette fois l utilisateur anonyme à accès au dossier download contenant le fichier avertissement : Pour l utilisateur «flumotion», il pourra utiliser cette adresse pour accéder à son dossier personnel : ftp://flumotion:mot_de_passe@adresse_ip_du_serveur Un lien symbolique permettra de lier le dossier de l utilisateur au site web : ln -s /home/flumotion /home/www/flumotion echo Ma page Web personnelle > /home/www/flumotion/index.htm 8 Sécuriser le serveur Le serveur présenté dans ce tutoriel est destiné à une utilisation sur le Web, il serait suicidaire de ne pas y mettre un minimum de sécurité, le niveau de sécurité présenté dans ce chapitre est bien entendu suffisant. Pour un niveau plus élevé, il n y aura pas d autre solution que de basculer vers des solutions externes ou propriétaires. Installer et configurer un serveur de VOD page 25/56

26 Installer et configurer l antivirus On le dit, Linux ne contient pas de virus ce qui est faux, on en trouve, certes moins que sur d autres systèmes et cela pour plusieurs raisons : les logiciels sont libres donc transparents (on peut facilement les comparer, obtenir les sources), les enjeux financiers sont inexistants, c est également un jeu pour certains, la sécurisation du système est nettement plus forte que d autres OS Mais les fichiers joints, les fichiers à télécharger, le code n est pas pour autant protégé. Il est donc indispensable de mettre un antivirus sur le serveur. Clamav est une solution libre qui présente de plus de bons résultats et qui est mis à jour très régulièrement. Facile à mettre en œuvre, particulièrement adapté à la mise en œuvre sur serveur, la solution est donc intéressante. Installer et configurer Clamav apt-get install clamav clamav-freshclam clamav-freshclam est le moteur de mise à jour de l antivirus, il est dons indispensable de le mettre Si elles existent on pourra installer les signatures de virus non officielles (c est un plus) apt-get install clamav-unofficial-sigs Mettre à jour la base de données virale : freshclam Installer et configurer un serveur de VOD page 26/56

27 La base de données virale, est assez volumineuse, Il peut être intéressant de mettre en place une vérification régulière du système Pour cela on utilisera le planificateur de tâches cron : nano /etc/crontab Ajouter ceci a la fin du fichier # Effectue un scan recursif du système à 3h le 7eme jour de la semaine 0 3 * * 7 root test -x cd / && /usr/bin/clamscan && /usr/bin/clamscan --infected --recursive / 2>/dev/null" \ > "/etc/cron.d/clamscan-weekly" Commandes de base Scanner le répertoire courant clamscan Scanner tout le système clamscan -r / Affichage des fichiers infectés Scanner un répertoire et ses sous-répertoires en n'affichant que les fichiers infectés : Installer et configurer un serveur de VOD page 27/56

28 clamscan -r -i /dossier_a_scanner Se débarrasser ensuite du virus : clamscan --remove /chemin_du_fichier_infecté Configurer le pare-feu Pour les utilisateurs en grande difficulté devant l utilisation et la configuration d un pare-feu, il sera préférable de le configurer depuis une interface graphique pour n en citer qu un, Firestarter s acquittera très bien et facilement de cette tâche. Malheureusement, le serveur n a pas d interface graphique Le pare-feu va donc être configuré manuellement dans le cadre de ce tutoriel. Présentation de Iptables A l'origine, le pare-feu est installé mais est ouvert à toutes les communications, laissant passer toutes les communications, dans les deux sens, il ne remplit pas ses objectifs. Dans ce chapitre, un script va être utilisé pour sauver la configuration en cours après avoir été configuré, le même script restaurera la configuration à chaque démarrage. En cas de mauvaise manipulation, dans le cas où l utilisateur désirerai remettre le pare feu à son état d origine, le script utilisera un paramètres ayant ce rôle (clean). Créer un script de mise en place Dans un premier temps, un 'script' va être créé. Ce script sera destiné a recevoir les commande vers le pare-feu. Le script sera configuré pour être démarré avec le serveur, il sera mis dans «/etc/init.d». Créer le fichier 'parefeu' : touch /etc/init.d/parefeu Rendre le fichier exécutable avec commande : chmod +x /etc/init.d/parefeu Ouvrir et éditer le fichier «parefeu» : nano /etc/init.d/parefeu Dans le script suivant, il va être donné la possibilité d utiliser 3 paramètres : «clean», «start», «stop» et «restart». - Le script utilisera le fichier «/etc/config_parefeu» pour configurer le pare feu. Suivant la commande utilisée, il mettra en place (start) le contenu du fichier ou sauvera (stop) le fichier correspondant à la stratégie en place au moment de l arrêt. Pour obtenir le script effectuant la commande précédemment vue, ajouter au fichier le code suivant : #!/bin/sh Installer et configurer un serveur de VOD page 28/56

29 # Script de démarrage et d arrêt d'iptables case "$1" in 'start') /sbin/iptables-restore < /etc/config_parefeu RETVAL=$? ;; 'stop') /sbin/iptables-save > /etc/config_parefeu RETVAL=$? ;; 'clean') # nettoie le parefeu /sbin/iptables -t filter -F /sbin/iptables -t nat -F /sbin/iptables -t mangle -F /sbin/iptables -t raw -F /sbin/iptables -t filter -P INPUT ACCEPT /sbin/iptables -t filter -P OUTPUT ACCEPT /sbin/iptables -t filter -P FORWARD ACCEPT /sbin/iptables -t nat -P PREROUTING ACCEPT /sbin/iptables -t nat -P POSTROUTING ACCEPT /sbin/iptables -t nat -P OUTPUT ACCEPT /sbin/iptables -t mangle -P PREROUTING ACCEPT /sbin/iptables -t mangle -P OUTPUT ACCEPT /sbin/iptables -t mangle -P POSTROUTING ACCEPT /sbin/iptables -t mangle -P FORWARD ACCEPT /sbin/iptables -t mangle -P INPUT ACCEPT /sbin/iptables -t raw -P OUTPUT ACCEPT /sbin/iptables -t raw -P PREROUTING ACCEPT RETVAL=$? ;; Installer et configurer un serveur de VOD page 29/56

30 'restart') $0 stop && $0 start RETVAL=$? ;; *) echo "Usage: $0 { start stop restart clean}" RETVAL=1 ;; esac exit $RETVAL Pour mettre en place le pare feu on utilisera la commande suivante : update-rc.d parefeu start 1 S. stop Initialiser le pare-feu Les commandes suivantes initialiseront le pare feu (elles vont mettre en place les stratégies): iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT # Pour le serveur FTP Iptables -A INPUT -p tcp -m tcp --dport 21 -j ACCEPT # Pour le serveur SSH iptables -A INPUT -p tcp -m tcp --dport 22 -j ACCEPT # Pour le serveur Web iptables -A INPUT -p tcp -m tcp --dport 80 -j ACCEPT # pour rendre CUPS accessible (suivant le besoin) iptables -A INPUT -p tcp -m tcp --dport 631 -j ACCEPT Installer et configurer un serveur de VOD page 30/56

31 Pour les autres ports on utilisera le terme «udp» ou «tcp» en fonction du type de paquets, et le numéro de port correspondant (la ligne suivante n est pas une commande mais une explication de la commande) : iptables -A INPUT -p tcp_ou_udp -m tcp_ou_udp --dport num_port -j ACCEPT Sauver le pare feu actuel : /etc/init.d/parefeu stop Puis le démarrer : /etc/init.d/parefeu start Il est préférable de travailler directement sur le serveur plutôt qu en SSH à cette étape! En cas de blocage du pare feu, il n y aura pas d autre recours que de travailler sur le serveur et éventuellement ajouter ou supprimer les règles nécessaires. Enlever une règle Pour connaître le numéro de ligne de la règle à supprimer, la commande suivante affichera les différentes règles avec leur numéro de ligne : Installer et configurer un serveur de VOD page 31/56

32 iptables -L --line-numbers Il suffira ensuite de taper la ligne suivante (que l on adaptera en fonction du besoin) avec XX qui correspondra au numéro de ligne à supprimer : iptables -D INPUT_ou_FORWARD XX Enfin cette commande replacera le pare feu à son état d origine : /etc/init.d/parefeu clean DenyHosts Lorsqu un serveur est en ligne sur l Internet, de nombreuses tentatives de connexion sur le port SSH sont effectuées. La solution est, bien entendu de le supprimer les ports ouverts dans le pare feu, mais dès lors, il ne sera plus possible de l atteindre par SSH (la méthode est bien pratique ). Alors comment sécuriser contre les attaques en SSH Denyhosts est un paquet qui va permettre de filtrer les clients. Denyhosts analyse à chaque connexion le fichier de log «/var/log/auth.log» après plusieurs tentatives refusées, dont le nombre est défini dans la configuration, va «blacklister» l'ip en cause dans le fichier /etc/hosts.deny. L'administrateur pourra même être averti par courriel lorsqu'une IP sera bannie. Installer le paquet denyhosts : apt-get install denyhosts Dès son installation, le programme «denyhosts» protégera des intrusions. Il sera encore possible de personnaliser la configuration en éditant le fichier «/etc/denyhosts.conf». nano /etc/denyhosts.conf Quelques variables intéressantes : BLOCK_SERVICE = ALL ou sshd # pour bloquer l'accès à tous les services ou seulement à ssh DENY_THRESHOLD_INVALID = 5 #Nombre d'échec avec un login invalide avant blocage DENY_THRESHOLD_VALID =10 # Nombre d'échec avec un login valide avant blocage DENY_THRESHOLD_ROOT = 1 # Nombre d'échec avec le login root avant blocage ADMIN_ = root@localhost # Adresse mail qui sera informé à chaque blocage d'une IP SMTP_HOST = localhost # Relais SMTP pour l'envoi des mails de notification SMTP_PORT = 25 # Port utilisé pour le SMTP SMTP_FROM = DenyHosts <nobody@localhost> # définir le nom de l'expéditeur de la notification Installer et configurer un serveur de VOD page 32/56

33 SMTP_SUBJECT = Raport DenyHosts (protection intrusion SSH) # définir le sujet du mail de notification Dans le cas ou l on se trompe trop souvent de mot de passe il est possible de ne plus être en mesure de se connecter. Le fichier «/etc/hosts.allow» pourra contenir un ensemble d adresses IP toujours autorisées à se connecter. nano /etc/hosts.allow Ajouter des adresses IP individuelles ou groupées sous cette forme : ALL: ALL: ALL: Après quelques essais infructueux le compte est bloqué (pour la circonstance «hosts.allow» ne contenait pas l IP du poste): On pourra également obtenir la liste des IP bloquées : nano /etc/hosts.deny Il faudra supprimer l adresse pour être autorisé de nouveau à se connecter (Ou ajouter le poste dans le fichier «hosts.allow»). Ceci fait, on devrait toujours pouvoir se connecter Installer et configurer un serveur de VOD page 33/56

34 9 Installer une interface graphique Comme indiqué en début de document de nombnreux administrateurs pensent qu une interface graphique est inutile et source de failles de sécurité. Dans ce cas, Flumotion se gère depuis l interface graphique. Ce chapitre va permettre d installer une interface graphique légère (on pourra envisager Fluxbox, Openbox, XFCE, LXDE ) Parmi d autres, c est Lxde qui sera expliquée ici, pour les autres le principe est le même Puis, pour respecter le choix de limiter l utilisation de l interface graphique, il va être fait en sorte que l on puisse la démarrer qu en cas de besoin. Installer LXDE Lxde est une interface graphique assez légère utilisée couremment dans l administration de serveur. Pour l installer, taper la commande suivante : apt-get install lxde Lxde prendra quand même 400mo Installer et configurer un serveur de VOD page 34/56

35 Lancer l interface Durant l installation, LXDE installe comme lancer d interface le programme «lightdm». Il suffira de taper cette commande pour lancer l interface graphique : lightdm L interface est alors lancée On pourra S y connecter comme sur toute interface graphique Dans laquelle on retrouvera les menus classiques. Quitter l interface Puis, on pourra quitter l interface graphique par la commande «service lightdm stop» depuis un terminal en administrateur (les plus aisés pourront créer un raccourci pour arrêter cette interface): service lightdm stop Installer et configurer un serveur de VOD page 35/56

36 Après fermeture de l interface, on pourra revenir sur le terminal tty1 par la combinaison de touche «ctrl+alt+f1» Configurer le boot Après installation de LXDE, Lightdm sera lancé a chaque démarrage du système. Hors nous ne voulons lancer cette interface qu en cas de besoin. Plusieurs solutions sont possibles et dépendent principalement du système utilisé. Cependant il en est un qui est simple et répond au besoin sur la plupart des systèmes : configurer le boot du noyau pour ne pas lancer l interface graphique, on retiendra la méthode en se rappelant de démarrer en mode «texte». Editer le fichier de configuration de grub : nano /boot/grub/grub.cfg Trouver alors dans le fichier l entrée de menu par défaut (ou celle de démarrage), puis y trouver la ligne correspondante au noyau (elle commence par «Linux») et se trouve presqu en fin du fichier : A la fin de ligne rajouter le mot «text», c est fait! Installer et configurer un serveur de VOD page 36/56

37 Redémarrer le serveur (par acquis de conscience) pour vérifier le démarrage en ligne de commande. Ouoooops ça marche! 10 Installer et configurer Flumotion On trouvera plusieurs méthodes pour installer Flumotion. Les puristes l installeront après avoir téléchargé la source («wget», puis «tar xvf», «./configure», «make» ) sinon il est possible de linstaller avec une méthode plus compliquée : apt-get install flumotion Il est vrai que paquets pourront être d une version plus ancienne, mais dans ce cas il n y aura pas de souci de dépendance On pourra profiter de cette installation pour installer les classiques du genre : synaptic, aptitude, apt-get install flumotion synaptic aptitude D autant qu il y aura plus de 100mo à télécharger Installer et configurer un serveur de VOD page 37/56

38 A la demande du nom d hôte on pourra laisser «localhost». Après l ajout de noms suivants, il suffira de sélectionner «OK» sans nom pour poursuivre l installation. ATTENTION : en sélectionnant «Annuler»flumotion ne sera pas configuré comme il se doit, dans messages d erreurs peuvent alors survenir. La commande «apt-get install f» règlera tout souci de cet ordre. L installation est terminée. Vient maintenant la phase de configuration Configurer Flumotion L interface graphique a été installée précédemment le gestionnaire de Flumotion ne démarrera pas autrement (il est bien sur possible de configurer flumotion depuis la ligne de commande, mais il ne faut pas être plus royaliste que le roi) Lancer l interface graphique (pour rappel : «lightdm») Installer et configurer un serveur de VOD page 38/56

39 Puis se connecter. Placer quelques vidéos dans un dossier dédier (elles peuvent aussi être mises dans le dossier «download» ou tout autre emplacement. Pour l exemple, un dossier «multimedia» va être créé dans le dossier «home», et c est dans ce dossier que seront placés les fichiers multimédia : mkdir /home/multimedia Placer les droits sur le fichier chmod 777 /home/multimedia On pourra alors y placer quelques vidéos (le site HD-Trailer propose quelques bandes annonce), on peut utiliser des vidéos publiques On prendra soin de faire attention à la taille des données, les fichiers vidéo sont gourmands Encore une fois, l Internet pourra être source d une multitude manière de configurer le serveur. Il n est pas vraiment utile de chercher loin, flumotion-admin pourra tout gérer lancer l interface en tapant depuis un terminal en administrateur ou depuis le menu «Son et vidéo» flumotion-admin Ou Se connecter alors au manager actif, puis configurer le serveur. Installer et configurer un serveur de VOD page 39/56

40 Sauf cas particulier ou le serveur n est pas celui local, l hôte n a pas besoin d être modifié, le port pourra être laissé comme indiqué (c est le port par défaut) L utilisateur par défaut est «user» avec pour mot de passe «test». On pourra changer le mot de passe en modifiant les fichiers /etc/flumotion/managers/default/planet.xml et /etc/flumotion/workers/default.xml nano /etc/flumotion/managers/default/planet.xml et nano /etc/flumotion/workers/default.xml Pour faire les choses simples le mot de passe est crypté (dans le fichier «planet») Crypter le mot de passe Comme indiqué précédemment, si le comte est changé, il sera nécessaire de mettre le mot de passe sous sa forme cryptée. Pour crypter un mot de passe, il est nécessaire d installer le système associé : apt-get install libstring-mkpasswd-perl En prenant en compte le mot de passe désiré, le récupérer au travers de cette commande : Installer et configurer un serveur de VOD page 40/56

41 perl -e 'print crypt("mot de passe a crypter", "salt"),"\n"' Il ne restera qu à copier le mot de passe dans le fichier (mon mot de passe en clair c est pour la démo!) En cas de changement de mot de passe, il sera nécessaire de redémarrer le service : service flumotion restart Si le mot de passe est saisi comme il faut vous devriez voir apparaitre la fenêtre suivante : Dans le cas contraire l application se fermera Sur le serveur on pourra ensuite créer de la vidéo à la demande (c est le cas pour fournir des vidéos ), mais on pourra utiliser un flux existant ou créer un nouveau flux (vidéo en live). Installer et configurer un serveur de VOD page 41/56

42 Rentree ensuite le répertoire où se trouvent les vidéos (/home/multimedia), le port sur lequel le serveur va répondre (8800 est le port par défaut). Un éventuel point de montage (sous dossier de l adresse du serveur : Le reste des options (forcer le navigateur à proposer le téléchargement) ou la gestion des fichiers de log se fera suivant le choix de stratégie de gestion du serveur (la gestion des log étaient prévue ). Un petit message finalise la configuration Après quelques secondes (démarrage), vous pouvez vérifier le bon fonctionnement du serveur : Puis dans l onglet «browser» (navigateur) les différents liens proposables seront disponibles. On pourra remarquer la possibilité de copier un lien Installer et configurer un serveur de VOD page 42/56

43 REMARQUE : les fichiers doivent être accessibles! en cas de difficulté de lecture on pourra éventuellement penser à voir si les droits sont correctement placés : chmod 777 /home/multimedia Dès lors il ne devrait plus y avoir de souci de lecture! Ouvrir un flux réseau Dans le cadre de l exemple pris dans ce tutoriel, les fichiers placés sur le serveur sont en MP4. Or, le MP4 n est pas un standard lu par les navigateurs. Lors de l ouverture d un lien, il sera proposé de charger le fichier. Il sera alors possible de lire le fichier également depuis un lecteur du type VLC en lui indiquant l ouverture d un flux réseau : Installer un convertisseur «ogv» Il a été vu dans le paragraphe précédent que dans le cadre de l exemple pris dans ce tutoriel, les fichiers placés sur le serveur sont en MP4. Le MP4 n est pas un standard lu par les navigateurs, il est alors possible de convertir un fichier MP4 par un format tel que «ogv» qui sera lu par les plugins des navigateurs. Installer la convertisseur : apt-get install ffmpeg2theora Installer et configurer un serveur de VOD page 43/56

44 Après installation il suffira alors de convertir le fichier mp4 en ogv : ffmpeg2theora -v 6 -y 240 ancien_fichier.mp4 -o nouveau_fichier.ogv Dans le cadre des vidéo sur en streaming, le tailles, les taux de transfert peuvent très vite atteindre de grande volumes de données. ffmpeg2theora (qui est des système les plus intéressant, car gratuit et performant), permet de modifier également le taux de compression et la taille (Hauteur/Largeur) des documents. Dans le cadre du tutoriel, la conversion a été effectuée sur une vidéo en HD puis recompressée en 240Pixels (au lieu de 720) la taille du document a été réduite de 45Mo à 15Mo ce qui est loin d être négligeable. Après modification du format, la vidéo est lisible directement sur le navigateur Installer et configurer un serveur de VOD page 44/56

45 11 Si la place vient à manquer Le stockage de fichier est l un des soucis majeurs sur les serveurs en général. Sur ce type de serveur plus que dans tout autre l espace disque est l un des points particulier à traiter. Il en faut pas oublier dans son fonctionnement la disponibilité du service : peut-on imaginer d arrêter le serveur même quelques heures juste dans le but d y ajouter un disque dur Pour ce type d emploi LVM se prête particulièrement à ce type de manipulation (étendue de partition sans interruption du service). Dans le chapitre qui suit une petite explication est donnée sur le fonctionnement de LVM, il dépendra de la manière ou a été installé le serveur (avec LVM au début ou non). Un mot sur LVM et le repartitionnement Ce tutoriel traite de l installation, la configuration et l utilisation de Flumotion. LVM pourrait faire à lui seul le sujet d un tutoriel complet. Si on y ajoute le repartitionnement d un système Linux, «Je vais pouvoir me transformer en éditeur!». Ce paragraphe ne traitera que très rapidement du sujet. LVM est un système de gestion de l espace disque sous forme de volumes logiques (Logical Volume Manager). Si un système de fichier a besoin de plus d espace, l espace disponible dans son groupe de volume peut être alloué à son volume logique. Cette extension de volume peut être réalisée à chaud. Certains sites parlent de réduction de volume à chaud également, bien que cela soit effectivement possible, cette opération, risquée, n est jamais réalisée dans un cadre de production. Ce chapitre ne traitera ni de la mise en place d un LVM sur un système de base ni de la réduction d un volume. J écris (LoiselJP) de nombreux tutoriels mais l objectif n est pas de répéter de document en document une procédure. Le LVM sera abordé ici dans le même cadre qu en production, on suppose que le serveur a été installé directement avec LVM et une partition «/home» séparée (comme indiqué dans le chapitre d installation) a été créée pour recevoir les données. Découvrir LVM Il faut le reconnaitre, LVM est assez mal connu, une manière intéressante de l aborder est d utiliser le module «systemconfig-lvm». «system-config-lvm» est un système de gestion LVM depuis une interface graphique (on ne l aura pas installé uniquement pour Flumotion). Pour installer le module on pourra le faire depuis le programme «Synaptic» (installé en même temps que flumotion) ou en ligne de commande: apt-get install system-config-lvm Installer et configurer un serveur de VOD page 45/56

46 Depuis «Synaptic» on pourra choisir le programme à installer 27 à 50 Mo d installation plus tard, «system-config-lvm» permettra alors de découvrir LVM : Attention, les essais sur LVM sont souvent destructeurs et sujets à de lourdes pertes souvent irrécupérables, même avec l aide d un tutoriel comme «Réparation d'une partition LVM» (ma petite pub!). Les essais sur machine virtuelle peuevnt être un très bon moyen de tests avant une mise en application sur un serveur en production Espace disponible Les serveurs, et même la plupart des PC modernes permettent l ajout de nouveau disque dur sans arrêter le système. Sinon, l intérêt deviendrait secondaire d avoir la possibilité avec LVM d étendre un volume à chaud! Avant de pouvoir étendre un volume, il est donc nécessaire de disposer d espace disque. Il sera alors nécessaire d ajouter un ou plusieurs disques durs au système avant de commencer l extension. Plusieurs solutions permettront de «voir» l espace disponible. «fidks» en est une : fidisk -l (cette commande affichera les tables de partition) Installer et configurer un serveur de VOD page 46/56

47 On y trouvera les nouveaux disques. Il suffira d initialiser les disques avec cette commande puis en suivant les instructions («w» pour écrire la table) : fdisk /dev/sdc puis fdisk /dev/sdd Donc on écrit Initialiser les entrées. L ensemble des commandes LVM peuvent être traitées en ligne de commande. On trouve alors pour les plus courantes : lvs pvs vgs Qui permettront d afficher les différents états Installer et configurer un serveur de VOD page 47/56

48 Puis les commandes de création/extension/renommage/affectation. lvcreate vgrename vgextend pvcreate Beaucoup de commandes qui, pour le novice, risque de le perdre puis le décourager d utiliser LVM. Le gestionnaire de volumes logiques sera l outil de transition à l emploi de LVM facile d emploi. Lancer le programme puis se rendre dans «Entités non initialisées» (on ne les utilise pas encore il faut donc les initialiser ): Puis l initaliser On confirme Installer et configurer un serveur de VOD page 48/56

49 (LVM est un système à part, le système sera donc remis totalement à 0) Vous êtes vraiment sur? Après formatage on se trouve avec un ou plusieurs volumes non alloués. Créer un nouveau volume logique Cette opération ne se fera pas sur l installation présente mais ce paragraphe est donnée en exemple de configuration possible. Pour diverses raison vous pouvez décider des stocker les informations sur un autre volume (on pourrait parler de dossier / partition mais pour LVM l idée est quelque peu plus compliquée on parle donc de volume ) A cette étape il est possible de créer un nouveau volume logique va être créé dans l espace disponible, c est ce volume logique qui sera destiné à recevoir le système de fichier de données. Installer et configurer un serveur de VOD page 49/56

50 Créer un nouveau groupe de volume Avant de créer un nouveau volume logique il va nous falloir disposer d espace pour stocker ce volume. Créer alors un nouveau groupe de volume appelé «data» (beau nom pour stocker des données) Pour le groupe de volumes disponibles (Data) passer alors sur «Vue logique» Puis créer un nouveau volume logique qui pourra être appelé «Datas» (puisqu il sera destiné à recevoir les données) Il va a alors : - Utiliser tout l espace disponible, - Formaté en ext4 (dernière version disponible de FS au moment de la création de ce tutoriel), - Il sera monté automatiquement dans /data (ou le dossier voulu ). Installer et configurer un serveur de VOD page 50/56

51 On terminera la création de la partition en la formatant comme prévu en ext4 : mkfs.ext4 /dev/data/ data Pour le cas qui nous intéresse, le groupe de volume, le volume logique n a pas besoin d être créer car nous désirons étendre simplement la partition «/home» en lui ajoutant l espace disponible en provenance des disques durs ajoutés précédemment. Etendre la partition /home Ce chapitre va expliquer une solution pour «étendre» le volume «/home» en toute transparence voir sans même arrêter le serveur. C est le second disque dur disponible sur le serveur qui sera utilisé pour étendre le volume (pour le troisième au besoin plus tard, la manipulation sera en tout point identique). Encore une fois, cette extension se fera avec l aide du programme «Gestionnaire de volumes logiques». Dans les volumes non allouées, la partition du disque supplémentaire va être «Ajoutée à un volume existant» Installer et configurer un serveur de VOD page 51/56

52 Dans le groupe de volume on peut alors voir l espace disponible, la vue physique. Passer maintenant en «vue logique» puis sélectionner «home» : Dans «Edition des propriétés il suffira alors de confirmer la nouvelle taille du volume Installer et configurer un serveur de VOD page 52/56

53 De retour dans la vue logique, on pourra constater «home» à cheval sur deux disques physiques Et on pourra vérifier Comme indiqué en début de chapitre, LVM n est pas très connu. Ce qui est connu fait peur et c est humain, il souvent mal utilisé, peu utilisé mais souvent est aussi sujet à de nombreux soucis. Ainsi, si l un des disques dur lâche, c est le volume complet qui est compromis. LVM est donc souvent utilisé en parallèle de disques en miroir. Dès lors les risque de perte de données est moins grand Quant à sa mise en œuvre, une fois le principe acquis c est simple : on crée un volume physique, qui s intègre dans un groupe de volume, qui permettra de créer un ou plusieurs volumes logiques. Les volumes physiquespeuvent être ajoutés au groupe de volume, qui pourront alors être étendus, qui eux-même laisseront de l espace libre pour étendre le volume logique Installer et configurer un serveur de VOD page 53/56