Chapitre 4 : Comprendre les périphériques et les fichiers UNIX 99. Comprendre les permissions d'accès par la méthode des chaînes de caractères

Transcription

1 Chapitre 4 : Comprendre les périphériques et les fichiers UNIX 99 vez vous interroger sur la nécessité d'attribuer le paramètre SUID, SGID ou le sticky-bit. Une fois ces besoins bien définis, construisez les valeurs octales pour les attribuer aux utilisateurs. Bien que cette méthode puisse sembler ardue au premier abord, elle se comprend vite en pratique. Comprendre les permissions d'accès par la méthode des chaînes de caractères Nous allons maintenant étudier une autre méthode de modification des permissions qui peut sembler plus simple que la précédente. La Figure 4.2 montre le diagramme des permissions attribuées par cette méthode. set-uid (s) lecture (r) lecture (r) lecture (r) set-gid (s) écriture (w) écriture (w) écriture (w) sticky-bit (t) exécution (x) exécution (x) exécution (x) Special Propriétaire (u) Groupe (g) Autres (o) Tous (a) Figure 4.2 : Les permissions par la méthode des chaînes d'accès. Chaque type de permission est représenté par un seul caractère (entre parenthèses). Voici ce que vous devez indiquer pour créer une permission : A qui attribuer les permissions : l'utilisateur (u), le groupe (g), tout le monde (o) ou tous (a).

2 Chapitre 4 : Comprendre les périphériques et les fichiers UNIX 107 Permission à la création du fichier Umask Octal Masque appliqué Binaire and Permission calculée (rw-r--r--) Figure 4.3 : Fonctionnement de umask. crée un trou de sécurité énorme. Par exemple, si n'importe qui peut écrire dans le programme /usr/bin/zip, un utilisateur peu scrupuleux peut remplacer ce programme par un cheval de Troie qui détruira les fichiers et les répertoires. Vous devez donc toujours vérifier si les fichiers programmes de votre système possèdent les seuls droits nécessaires à leur exécution. Lancez souvent le programme COPS pour détecter les problèmes de permissions. Reportez-vous au Chapitre 18 pour la description de COPS.

3 Chapitre 9 : Administration réseau 277 Réseau TCP/IP NIC NIC Ordinateur A Ordinateur B Réseau TCP/IP NIC NIC Ordinateur A Ordinateur B NIC NIC Figure 9.1 : Deux exemples de réseau simple. Classes des réseaux IP Comme nous l'avons vu, les adresses IP permettent d'identifier les cartes réseau d'un ordinateur. Ces adresses ne sont pas assignées au hasard. Chaque adresse IP contient deux types d'informations. Pour comprendre cette notion, comparons les adresses IP et les numéros de téléphone. Un numéro de téléphone, par exemple (04)

4 278 Red Hat Linux Server byte 8 bits byte 8 bits byte 8 bits byte 8 bits 4 octets 32 bits 00 FF 00 FF 00 FF 00 FF C0 A8 A 1 Hex Décimal Binaire Figure 9.2 : Une adresse IP dans les formats hexadécimal, décimal et binaire. 54 est formé d'un code de zone (04) et du numéro de l'abonné dans cette zone. Si un abonné de Paris appelle le numéro précédent, la compagnie de téléphone route l'appel vers la zone 04 puis vers l'abonné. Les adresses IP fonctionnent de la même façon. Une adresse IP contient les deux renseignements suivants : Adresse IP = {Adresse réseau} + {Adresse de l'ordinateur} Par exemple, l'adresse correspond à l'ordinateur d'adresse 10 dans le réseau La partie de l'adresse IP représentant le réseau est définie par la classe du réseau. Les 32 bits d'une adresse IP vont de la valeur à Les classes ont été définies de la façon suivante :

5 Chapitre 9 : Administration réseau 279 Réseaux de classe A Toute adresse IP comprise entre et fait partie d'un réseau de classe A. La Figure 9.3 montre les valeurs possibles des adresses IP de cette classe. Réseau IP de classe A Réseau Espace adressable total Espace adressable utilisable to to to to to to Figure 9.3 : Adresses de classe A. Dans cette classe, l'adresse réseau est définie par l'octet le plus à gauche de l'adresse IP. Les trois autres octets identifient l'interface réseau de l'ordinateur. L'adresse de classe A s'écrit n.x.x.x où n peut prendre une valeur entre 0 et 127 et x.x.x entre et Il existe donc 2 à la puissance 24 ( ) adresses IP par classe A. La classe A contient deux réseaux particuliers. Le réseau est réservé. Il est utilisé pour indiquer la route par défaut. Le réseau est utilisé comme boucle. Chaque ordina-

6 280 Red Hat Linux Server teur d'un réseau possède l'adresse comme adresse de boucle. Cette adresse permet de tester les logiciels réseau sans être connecté à un réseau. Par exemple, vous pouvez lancer une session Telnet sur l'adresse pour tester un client Telnet sur un ordinateur isolé. Le client Telnet se connecte sur l'ordinateur en local. Le fichier /etc/hosts contient une entrée qui associe cette adresse IP au nom d'hôte localhost. Comme ces deux adresses réseau ne sont pas utilisées pour définir un réseau physique proprement dit, il reste 126 réseaux de classe A. Notez aussi que le réseau ne doit pas être utilisé sur l'internet. Les adresses de ce réseau sont privées. Réseaux de classe B Toutes les adresses comprises entre et font partie des réseaux de classe B. La Figure 9.4 montre les étendues possibles pour les adresses de cette classe. Réseau IP de classe B Réseau Espace adressable total Espace adressable utilisable to to to to Figure 9.4 : Adresses de classe B.

7 278 Red Hat Linux Server byte 8 bits byte 8 bits byte 8 bits byte 8 bits 4 octets 32 bits 00 FF 00 FF 00 FF 00 FF C0 A8 A 1 Hex Décimal Binaire Figure 9.2 : Une adresse IP dans les formats hexadécimal, décimal et binaire. 54 est formé d'un code de zone (04) et du numéro de l'abonné dans cette zone. Si un abonné de Paris appelle le numéro précédent, la compagnie de téléphone route l'appel vers la zone 04 puis vers l'abonné. Les adresses IP fonctionnent de la même façon. Une adresse IP contient les deux renseignements suivants : Adresse IP = {Adresse réseau} + {Adresse de l'ordinateur} Par exemple, l'adresse correspond à l'ordinateur d'adresse 10 dans le réseau La partie de l'adresse IP représentant le réseau est définie par la classe du réseau. Les 32 bits d'une adresse IP vont de la valeur à Les classes ont été définies de la façon suivante :

8 Chapitre 9 : Administration réseau 279 Réseaux de classe A Toute adresse IP comprise entre et fait partie d'un réseau de classe A. La Figure 9.3 montre les valeurs possibles des adresses IP de cette classe. Réseau IP de classe A Réseau Espace adressable total Espace adressable utilisable to to to to to to Figure 9.3 : Adresses de classe A. Dans cette classe, l'adresse réseau est définie par l'octet le plus à gauche de l'adresse IP. Les trois autres octets identifient l'interface réseau de l'ordinateur. L'adresse de classe A s'écrit n.x.x.x où n peut prendre une valeur entre 0 et 127 et x.x.x entre et Il existe donc 2 à la puissance 24 ( ) adresses IP par classe A. La classe A contient deux réseaux particuliers. Le réseau est réservé. Il est utilisé pour indiquer la route par défaut. Le réseau est utilisé comme boucle. Chaque ordina-

9 282 Red Hat Linux Server Réseau IP de classe C Réseau Espace adressable total Espace adressable utilisable to to to to to to to Figure 9.5 : Adresses de classe C. Nous allons étudier maintenant comment configurer une carte réseau. Configuration d'une carte réseau Votre Red Hat Linux étant configuré en serveur, vous avez dû installer une carte réseau dans l'ordinateur. Plusieurs cartes sont compatibles Red Hat. Le site de Red Hat indique les cartes réseau compatibles Linux.

10 Chapitre 9 : Administration réseau 283 Octet de poid faible d'une adresse IP Binaire Hex Décimal F 126 Classe A Binaire Hex Décimal BF 191 Classe B Binaire Hex Décimal C DF 223 Classe C Figure 9.6 : Comment reconnaître les classes d'adresses IP. Note Vous avez peut-être configuré la carte réseau au moment de l'installation de Red Hat Linux, mais lisez malgré tout ce paragraphe car vous pourriez être amené, plus tard, à changer de carte en cas de problème. Vous pouvez configurer votre réseau de plusieurs façons. Nous décrirons d'abord la méthode par ligne de commande car c'est la plus efficace. Utiliser les méthodes traditionnelles de configuration des cartes réseau - Configurer une nouvelle carte réseau Avant de commencer à configurer votre carte, lancez le programme dmesg pour vérifier si celle-ci a bien été reconnue par le noyau de Linux au démarrage du système. Reportez-vous au Chapitre 2 (Configuration du module) si votre carte n'a pas été reconnue. Dans le cas

11 296 Red Hat Linux Server Nous venons de voir que la configuration d'une interface réseau nécessite de définir une passerelle par défaut. Le paragraphe suivant explique le rôle de cette passerelle. Rôle d'une passerelle par défaut Considérons la Figure Elle présente deux réseaux : le réseau A ( ) et le réseau B ( ). Réseau A NIC NIC NIC Réseau B NIC NIC NIC Figure 9.12 : Deux réseaux distincts. Ces deux réseaux sont complètement séparés. Un utilisateur du réseau A dont l'adresse est peut atteindre les ordinateurs de son propre réseau mais ne peut, évidemment, accéder à un ordinateur du réseau B. Pour que ces deux réseaux puissent communi-

12 Chapitre 9 : Administration réseau 297 quer, il faut installer une passerelle (ou un routeur) entre les deux. La Figure 9.13 montre comment disposer cette passerelle. Département marketing Carte Carte Carte Carte Département d'ingénierie Carte Carte Carte Carte Figure 9.13 : Deux réseaux reliés par une passerelle. L'ordinateur reliant les deux réseaux possède deux interfaces réseau. L'une est rattachée au réseau A et son adresse est et l'autre est rattachée au réseau B et son adresse est Cet ordinateur est configuré pour router les paquets de données entre les deux réseaux. Par exemple, si l'ordinateur veut envoyer des paquets à l'ordinateur , il les envoie d'abord à la passerelle Cette passerelle transmet ensuite le paquet vers le réseau par l'intermédiaire de la carte L'ordinateur peut répondre en empruntant le chemin inverse.

13 298 Red Hat Linux Server Une passerelle n'est donc nécessaire que si vous devez relier deux réseaux entre eux. Une passerelle peut être un ordinateur disposant de deux cartes ou d un matériel dédié appelé routeur. Voyons maintenant comment partager un réseau en sous-réseaux. Diviser un réseau en sous-réseaux Considérons le réseau représenté Figure Département marketing Département d'ingénierie Réseau/masque: / Figure 9.14 : Un grand réseau comprenant 100 utilisateurs. Ce réseau comprend 100 ordinateurs répartis sur le réseau Comme tous les ordinateurs partagent le même réseau physique, tous les paquets provenant des différentes stations circulent dans tout le réseau, ce qui peut entraîner un engorgement important et un ralentissement inévitable de la communication à travers le réseau. Pour éviter cet engorgement, il faut diviser ce réseau en sous-réseaux comme le montre la Figure Le réseau a été divisé en deux réseaux : et Ces deux sous-réseaux sont connectés entre eux par l'intermédiaire d'une passerelle (ou routeur) comprenant deux cartes réseau. Le trafic réseau est maintenant séparé entre ces deux réseaux.

14 Chapitre 9 : Administration réseau 299 Réseau/masque: / Département marketing eth0 eth1 Passerelle/routeur Département d'ingénierie Réseau/masque: / Figure 9.15 : Division d'un grand réseau en deux sous-réseaux. Par exemple, si un ordinateur du réseau essaie de prendre contact avec un autre ordinateur du même réseau, les paquets ne traverseront pas la passerelle. Seuls passeront à travers la passerelle les paquets d'un ordinateur du réseau destinés à un ordinateur du réseau Ce trafic sera faible si les deux sousréseaux correspondent à des groupes de travail bien différents (marketing et ingénierie, par exemple). Quand un réseau est divisé en deux sous-réseaux comme dans l'exemple précédent, il faut qu'un ordinateur d'un réseau puisse savoir si l'ordinateur avec lequel il veut échanger des données est situé sur le même réseau ou sur l'autre réseau. Par exemple, l'ordinateur du département marketing doit savoir si l'ordinateur

15 Chapitre 10 : Service DNS 313 Votre ordinateur Serveur DNS local Généralement situé chez un fournisseur d'accès Browser Web 3 4 Cache Serveur DNS racine Serveur DNS IntegrationLogic.com Figure 10.1 : Fonctionnement du DNS. Tout ce processus peut sembler quelque peu confus mais il est en réalité très simple et totalement transparent aux utilisateurs. Un internaute moyen ignore tout ce processus et c'est bien ainsi. Comme vous le constatez dans cet exemple, DNS est bien un système qui fait correspondre au nom Internet d'un ordinateur son adresse IP. Mais il est quelquefois nécessaire de trouver le nom Internet d'un hôte à partir de son adresse IP. C'est encore le rôle d'un DNS.

16 354 Red Hat Linux Server Pourriez-vous imaginer l'internet sans le service de messagerie électronique (le fameux comme disent les Anglo-Saxons), un des services les plus utilisés sur l'internet. Ce chapitre va vous en expliquer son fonctionnement et vous montrer comment créer un serveur de messagerie sur votre serveur Red Hat Linux. La Figure 11.1 décrit le fonctionnement de la messagerie entre deux stations de l'internet. Serveur de courrier SMTP/POP local Serveur DNS local SMTP POP3 Expéditeur SMTP Internet SMTP SMTP Destinataire POP3 Serveur de courrier SMTP/POP local Serveur DNS local Figure 11.1 : Cheminement du courrier entre deux utilisateurs. Comme vous pouvez le constater, un utilisateur envoie un message à un serveur SMTP à partir de son logiciel de courrier client. Ce serveur localise le serveur de courrier du destinataire puis transfert le messa-

17 662 Red Hat Linux Server suffit d'installer une autre base de données et de modifier un seul mot dans votre script Perl pour vous trouver dans votre nouvel environnement. DBI a été écrit par Dan Bunce et peut être téléchargé à partir du site Utilisateur Script Perl DBI Base de données SQL Figure 17.1 : Le module DBI comme couche d'abstraction. Nous utiliserons aussi le module CGI (CGI.pm) pour interagir avec l'utilisateur à partir d'un browser Web. Ce module est un outil excellent pour écrire des scripts CGI. Il a été écrit par Lincoln Stein et peut être téléchargé à partir du site cité précédemment :

18 Chapitre 18 : Sécurité 695 Utilisateur Application attribuant des privilèges compatibles PAM Fonctions de conversion pour PAM 7 Demande d'informations à l'utilisateur PAM 3 Fichier de configuration pour l'application compatible PAM. Ce fichier est stocké dans le répertoire etc/pam.d/ 4 Module(s) d'authentification Figure 18.5 : Fonctionnement de PAM. plication pour accéder aux services (étape 1). L'application compatible PAM appelle la sous-couche des bibliothèques PAM pour effectuer l'authentification (étape 2). La bibliothèque PAM recherche un fichier de configuration spécifique de l'application dans le répertoire /etc/pam.d (étape 3). Ce fichier indique à PAM le type d'authentification nécessaire pour accéder à l'application. La bibliothèque PAM charge alors le ou les modules d'authentification (étape 4). Ces modules permettent à PAM de communiquer avec les fonctions disponibles dans l'application (étape 5). Ces fonctions sont utilisées pour demander à l'utilisateur de s'identifier (étape 6) par un mot de passe ou en présentant son œil à un scanner de rétine. Lorsque l'uti-

19 802 Red Hat Linux Server La première méthode consiste à configurer le serveur DNS en roundrobin. Le paragraphe suivant détaille cette configuration. Internet Routeur Hub Ferme des services réseau DNS, FTP, SMTP et POP3 Ferme des serveurs Web Figure 21.1 : Schéma d'un réseau simple. Solution avec un DNS round-robin Si vous avez déjà lu le Chapitre 10 sur la répartition des charges par le serveur DNS, vous savez comment fonctionne un DNS round-robin. Supposons que AMINEWS ne possède que deux serveurs Web www1.aminews.com ( ) et www2.aminews.com ( ). Vous désirez répartir la charge pour le domaine entre ces deux serveurs en configurant le DNS round-robin. Ajoutez les lignes suivantes dans le fichier de zone aminews.com :

20 Chapitre 21 : Construire un réseau Web multiserveurs 805 Internet Routeur Director Hub Serveur Web #1 Serveur Web #3 Serveur Web #n Figure 21.2 : Fonctionnement d'un directeur. Caractéristique DNS round-robin Redirecteur Charge distribuée sur plusieurs serveurs? Oui mais cette distribution est passive. Les serveurs sont sélectionnés toujours dans le même ordre? Oui. Un serveur est sélectionné en fonction de la charge sur le réseau, de sa disponibilité ou d'une application et même en fonction des performances. Tableau 21.1 : Comparaison des solutions round-robin et redirecteur.

21 Chapitre 21 : Construire un réseau Web multiserveurs 807 Internet Routeur WSD Pro Hub Ferme des services réseau (DNS, FTP, SMTP, POP3) Ferme des serveurs Web Figure 21.3 : Le nouveau schéma du réseau. et ces fichiers doivent être disponibles sur les serveurs Web de la ferme Web. La quatrième indique que les fichiers et répertoires doivent être créés par des applications CGI partagées sur les serveurs Web. La Figure 21.5 montre un réseau encore plus réaliste. Ce schéma propose des noms d'hôte pour chaque machine. Le serveur unique dans la ferme des services réseau possède plusieurs noms. Le nom ns.aminews.com définit le DNS, mail.aminews.com le serveur de courrier SMTP/POP3 et ftp.aminews.com le serveur FTP. Les serveurs Web de la ferme Web portent respectivement les noms

22 808 Red Hat Linux Server Ferme des services réseau Internet Router WSD Pro Ferme des serveurs DNS Hub Ferme des serveurs SMTP/POP3 Ferme des serveurs Web Ferme des serveurs FTP Figure 21.4 : Schéma d'un réseau redondant. www1.aminews.com et www2.aminews.com. Enfin, WSD Pro redirecteur est appelé lui-même wsdpro.aminews.com. Comme AMINEWS préfère, pour le moment, n'utiliser qu'un seul serveur (ns.aminews.com) pour tous les services réseau, les hôtes ftp.client-domain.tld doivent être des alias de cet hôte. Comment les clients qui ont un compte sur cette machine pourront-ils transférer les fichiers de cette machine vers la ferme des serveurs Web? L'une des solutions consiste à utiliser NFS. Vous pouvez monter un ou plusieurs

23 Chapitre 21 : Construire un réseau Web multiserveurs 809 Internet Routeur WSD Pro wsd.aminews.com WWW www1.aminews.com WWW www2.aminews.com Hub DNS+NFS+FTP+SMTP/POP3 ns.aminews.com mail.aminews.com ftp.aminews.com Figure 21.5 : Un schéma encore plus réaliste. disques dans ce serveur et les rendre disponibles sur le serveur Web via NFS. En d'autres termes, vous devez configurer ns.aminews.com en serveur NFS de telle façon que les serveurs Web deviennent des clients NFS. Si vous utilisez le système de fichiers NFS pour partager les fichiers, tous les serveurs Web lançant des applications GCI pourront lire et écrire dans le même système de fichiers et ne rencontreront pas de problème de synchronisation des données.

24 Chapitre 21 : Construire un réseau Web multiserveurs 811 Router WSD Pro 1 2 wsd.aminews.com Epine dorsale NFS WWW www1.aminews.com WWW Hub www2.aminews.com Hub DNS+NFS+FTP+SMTP/POP3 ns.aminews.com Figure 21.6 : Utilisation d'un réseau local pour le trafic NFS et rdist. Allocation des adresses IP Comme nous l'avons vu dans un précédent chapitre, chaque carte réseau doit posséder une adresse IP. Comme chaque serveur possède deux cartes réseau, il faudra attribuer deux adresses IP par serveur. La Figure 12.7 décrit un système d'adressage possible pour le réseau. Ce schéma montre qu'il existe trois réseaux : le réseau NFS, représenté à gauche de la figure, dont l'adresse est , le réseau situé

25 812 Red Hat Linux Server Routeur 1 WSD Pro 2 wsd.aminews.com Epine dorsale NFS WWW www1.aminews.com Hub WWW www2.aminews.com Hub DNS+NFS+FTP+SMTP/POP3 ns.aminews.com Figure 21.7 : Système d'adressage pour le réseau AMINEWS. à droite des trois serveurs et dont l'adresse est et le réseau du WSD Pro relié au réseau et au routeur par le réseau Les deux réseaux internes et ne sont pas routables vers l'internet. Le réseau NFS ne doit être vu que par les serveurs locaux d'où l'adresse Le réseau n'est vu que par les serveurs et le redirecteur et possède donc l'adresse En revanche, le routeur et l'interface 1 de WSD Pro doi-