Contrôlez votre bande passante avec Filtokai

Transcription

1 Contrôlez votre bande passante avec Filtokai Version Date Modifications Auteur Langue /12/2012 Version initiale Loïc FONTAINE Français

2 Présentation Filtokai est un système permettant d attribuer un quota à nos utilisateurs afin d éviter qu ils téléchargent sur notre réseau. L idée est la suivante : on met en place le filtrage, l utilisateur dispose d un certain quota pour 24 heures, si l utilisateur dépasse ce quota, il est banni du réseau définitivement pour tout le reste de la journée. La version actuelle de Filtokai (version 1.0) permet de : Bloquer un utilisateur qui a dépassé son quota Autoriser le trafic pour une ou plusieurs adresses IP spécifiques Bloquer internet pour un groupe d utilisateur Filtokai se base sur le firewall iptables. Et fonctionne de la manière suivante : Par défaut, iptables ne laisse passer aucun trafic L utilisateur se connecte, iptables laisse passer le trafic venant de l adresse IP de l utilisateur connecté Lorsque l utilisateur envoie du trafic vers la passerelle internet, iptables logue le trafic de l utilisateur (IP source / IP destination / Taille du paquet ) Une tâche cron parse toutes les minutes les logs d iptables afin de pouvoir incrémenter le quota de l utilisateur L utilisateur se déconnecte ou dépasse son quota : iptables enlève l autorisation de connexion pour celui-ci Remarque : Un utilisateur ne peut pas être connecté à deux endroits en même temps Installation Installation physique Filtokai s installe sur un serveur GNU/Linux, physiquement parlant il doit être placé de manière transparente entre le réseau local et la passerelle internet comme montré ci-dessous :

3 Par conséquent, la machine doit obligatoirement être équipée de deux cartes réseaux (une connectée vers le réseau local et l autre connectée sur la passerelle internet). Remarque : Dans ce cas de figure, la passerelle internet doit obligatoirement faire partie du même réseau que le réseau local et Filtokai. Prérequis Plusieurs prérequis sont nécessaires au bon fonctionnement de Filtokai (ils seront installés lors de la phase d installation : voir partie Installation) : Iptables (bien entendu) Apache et MySQL PHP et extensions : PDO et PDO_MYSQL Interpréteur Perl et module DBI Rsyslog Installation L exemple d installation ci-dessous est donné sur une distribution Linux à base RedHat (CentOS 6.1). Il convient de l adapter en fonction de la distribution Linux utilisée. Installation du serveur Téléchargez la distribution officielle CentOS 6.1 sur et lancez l installation. Choisissez uniquement l option Web Server ce qui aura pour effet de vous installer automatiquement Rsyslog, le serveur apache et tous les pré-requis d apache. Vous pouvez télécharger bridge-utils, puis l installer avec la commande bridge-utils (ce paquet est nécessaire pour pouvoir créer une connexion de pont). Personnellement l installation s est fait via une clé USB (le paquet a été récupéré ici : ftp://ftp.muug.mb.ca/mirror/centos/6.3/os/x86_64/packages/bridge-utils el6.x86_64.rpm) # cd /mnt/cleusb # rpm i bridge-utils el6.x86_64.rpm Configuration réseau Une fois l installation terminée, il est nécessaire de configurer un pont entre les deux cartes physiques. Dans un premier temps, nous allons configurer le pont avec la commande suivante : # vi /etc/sysconfig/network-scripts/ifcfg-br0 Ce fichier contient les paramètres suivants : DEVICE=br0 TYPE=Bridge

4 BOOTPROTO=static GATEWAY= IPADDR= NETMASK= ONBOOT=yes Où : TYPE indique que la carte réseau est un pont virtuel BOOTPROTO indique que cette carte est adressée statiquement GATEWAY indique l adresse IP de la passerelle internet IPADDR indique l adresse IP du serveur NETMASK indique le masque de sous-réseau ONBOOT indique que cette interface démarre lorsque le serveur boot Maintenant, nous allons passer à la configuration des deux cartes-réseaux. Voici l exemple pour la carte réseau eth0, vous pouvez le reproduire pour eth1 (il suffit juste de modifier le nom de l interface) : # vi /etc/sysconfig/network-scripts/ifcfg-eth0 Ce fichier contient les paramètres suivants : DEVICE=eth0 HWADDR=00:0C:29:F5:0F:59 ONBOOT=yes TYPE=Ethernet BRIDGE=br0 USERCTL=no Où : DEVICE indique le nom de l interface HWADDR indique l adresse MAC de ma carte réseau ONBOOT indique cette interface se lance au démarrage BRIDGE indique que cette carte réseau physique appartient au pont br0 USERCTL Les utilisateurs ne faisant pas partie de la base ne sont pas autorisés à contrôler ce périphérique. Enfin, nous allons configurer le serveur DNS qu utilisera notre serveur : # vi /etc/resolv.conf Ajoutez : nameserver [adresse_ip_du_serveur_dns]

5 Autres paramètres Modifications du fichier sysctl.conf Afin que le trafic puisse transiter par la machine et qu iptables se mette à analyser le trafic qui transite par notre machine il est nécessaire de modifier certains paramètres : # vi /etc/sysctl.conf Trouvez les paramètres suivants : net.ipv4.ip_forward = 0 net.bridge.bridge-nf-call-iptables = 0 Activez-les : net.ipv4.ip_forward = 1 net.bridge.bridge-nf-call-iptables = 1 Désactivation de SELinux Maintenant, pour les distributions qui sont équipées de SELinux il est nécessaire de le désactiver : # vi /etc/selinux/config Changez : SELINUX=enforcing En : SELINUX=disabled Modification du fichier sudo Enfin, une modification du fichier sudoers est nécessaire : # visudo Trouvez la ligne : Defaults requiretty

6 Et commentez-là : # Defaults requiretty Régler la date et l heure Pour changer la date et l heure, entrez les commandes suivantes : # date s MM/JJ/AAAA # date s HH:MM:SS Redémarrez votre serveur. Installation des paquets nécessaires Installation des paquets Maintenant que notre serveur est configuré, il faut installer les paquets nécessaires au bon fonctionnement de Filtokai. Nous installerons par la même occasion le gestionnaire git pour récupérer Filtokai : # yum y install mysql-server gcc make httpd php php-pdo mod_ssl php-devel php-pear mysql-devel httpd-devel php-mysql iptables perl cron rsyslog git Configuration de PDO Maintenant, nous allons installer le driver MySQL pour PDO : # pecl install pdo_mysql Il est maintenant nécessaire de configurer php.ini : # vi /etc/php.ini Ajoutez les lignes suivantes à la fin du fichier : extension=pdo.so extension=pdo_mysql.so Installation du module DBI pour perl Installons le module DBI en perl (une petite configuration de CPAN peut être demandée lors de l exécution de la commande): # perl -MCPAN -e "install DBI"

7 Initialisation des services Nous allons faire démarrer nos services en même temps que notre serveur. Tapez les commandes suivantes : # chkconfig level 2345 httpd on # chkconfig level 2345 mysqld on # chkconfig level 2345 iptables on # chkconfig level 2345 crond on # chkconfig -level 2345 rsyslog on Configuration d Apache Activer l HTTPS Afin de conserver des données chiffrées entre le client et le serveur Apache notamment lors de l échange des identifiants de connexions, nous allons garder uniquement un serveur Apache en HTTPS. Pour cela, éditez : # vi /etc/httpd/conf/httpd.conf Trouvez la ligne : Listen 80 Commentez-la : # Listen 80 Enlever le listage de dossiers Nous allons enlever la possibilité pour les utilisateurs de lister les dossiers. Pour cela trouvez la partie (/var/www/html change en fonction du DocumentRoot) : <Directory /var/www/html> [ ] </Directory> Trouvez : Options Indexes S il existe modifiez le en ou ajoutez : Options -Indexes

8 Démarrer les services Il est temps de démarrer les différents services : # service httpd start # service mysqld start # service iptables start # service crond start # service rsyslog start Configuration de MySQL Modifier le mot de passe root Pour modifier le mot de passe root MySQL, entrez la commande suivante (où mon_mdp correspond au mot de passe choisit): # mysqladmin u root password mon_mdp Création de la base de données filtokai Nous allons maintenant créer la base de données filtokai et attribuer les droits de gestions à root : # mysql u root pmon_mdp Une fois le prompt mysql affiché, entrez les commandes suivantes : mysql> CREATE DATABASE filtokai ; mysql> USE filtokai ; mysql> GRANT ALL PRIVILEGES ON * TO root; mysql> FLUSH PRIVILEGES ; Installation de Filtokai Trèves de plaisanterie, il est temps d installer Filtokai. Pour cela, récupérez la dernière version de Filtokai sur le repository git : # git clone git://git.code.sf.net/p/filtokai/code filtokai-code Une fois les fichiers récupérées, exécutez les commandes suivantes : # cd filtokai-code # cd filtokai # chmod +x setup.sh #./setup.sh mon_mdp

9 Où mon_mdp correspond au mot de passe root mysql. Les fichiers de Filtokai sont placés au bon endroit avec les bons droits maintenant ;). Modifications des accès Maintenant que Filtokai est installé, il est nécessaire que nos scripts puissent interagir avec notre base de données. Scripts Perl Editez le fichier suivant pour les scripts perl : # vi /home/filtokai/scripts/connexion.pm Pour modifier le mot de passe root, changez la valeur de la variable : $SERV_PASS. Si vous avez opté pour une configuration différente de celle présentée dans ce document, il peut être nécessaire de modifier les autres variables également. Interface PHP Editez le fichier suivant (la variable /var/www/html peut changer en fonction de votre DocumentRoot). # vi /var/www/html/includes/connexion.php Pour modifier le mot de passe root, changez la valeur de la variable : $CONN PASS. Si vous avez opté pour une configuration différente de celle présentée dans ce document, il peut être nécessaire de modifier les autres variables également. Redémarrez votre serveur. Configuration finale Comme iptables n est pas encore configuré mais qu il peut être démarré, n oubliez pas de l arrêter afin de pouvoir accéder à votre interface web : # /etc/init.d/iptables stop Maintenant, accédez à la page web de Filtokai via Les identifiants de connexion par défaut sont : admin/filtokai. Rendez-vous dans Administration Gestion réseaux. Vous pouvez modifier deux options : Dans le champ Sous-réseau à filtrer entrez l adresse réseau de votre réseau local suivi du masque de sous réseau au format /[Nbr_bits]. Exemple /24 Dans le champ Adresses IP à ne pas filtrer : Entrez une ou plusieurs adresses IP (ou nom DNS) des machines qui ne sont pas soumises au filtrage (c est-à-dire qu elles auront accès à internet sans passer par filtokai). Séparez les différentes adresses par une virgule.

10 Cliquez sur Modifier pour enregistrer ces paramètres. Le filtrage est maintenant opérationnel sur votre réseau. Il est nécessaire de passer à la configuration avancée de l outil maintenant. Utilisation au quotidien Tout accès à l interface web se fait via Un utilisateur qui veut débloquer son accès à internet doit se connecter via cette interface. En tant qu administrateur L administrateur qui se connecte débloque automatiquement son accès à internet. De plus, il possède plus de droits qu un utilisateur. Il peut : Ajouter/Modifier/Supprimer des utilisateurs Ajouter/Modifier/Supprimer des catégories Remettre à zéro le quota d un utilisateur Augmenter ou diminuer les quotas pour un utilisateur Bloquer l accès à internet pour une catégorie d utilisateurs Activer ou désactiver le filtrage et donc l incrémentation des quotas Personnaliser l interface web Les utilisateurs Ajouter Pour ajouter un utilisateur : Rendez-vous dans Utilisateurs Ajouter un utilisateur :

11 Les premiers champs permettent de définir l identifiant de connexion, le nom, le prénom et le mot de passe, l d un utilisateur. Le champ quota permet de définir le quota qu aura l utilisateur (les quotas sont toujours exprimés en Méga-octets (1 Mo = 1024 Ko = Octets). Le rôle de l utilisateur permet de définir s il sera un utilisateur simple ou un administrateur de la plateforme. Enfin, la catégorie d utilisateurs permet de définir à quelle catégorie appartient l utilisateur. Gérer Par défaut, lors de la connexion d un administrateur, tous les utilisateurs connectés sont affichés. Pour afficher tous les utilisateurs, rendez-vous dans Utilisateurs Gestion des utilisateurs. La suppression d un ou plusieurs utilisateurs est possible à partir de cette page. Pour supprimer un utilisateur, cochez le ou les utilisateurs que vous souhaitez supprimer et cliquez sur Supprimer. Un clic sur le nom de l utilisateur permet de modifier les paramètres de celui-ci. Remettre à zéro le quota La remise à zéro des quotas est possible à partir de la liste des utilisateurs connectés ou de la liste de tous les utilisateurs. Pour remettre à zéro les quotas utilisateurs, cochez le ou les utilisateurs que vous souhaitez réinitialiser et cliquez sur Raz quota. Les catégories Ajouter Pour ajouter une catégorie, rendez-vous dans Catégories Ajouter une catégorie. Gérer Pour modifier une catégorie, rendez-vous dans Catégories Gestion des catégories.

12 Vous pourrez supprimer ou modifier une catégorie à partir de cette page de la même manière que pour un utilisateur. Remarque : Il est impossible de supprimer une catégorie dans laquelle plusieurs utilisateurs sont présents. Bloquer internet pour une catégorie d utilisateurs Il est possible de couper internet pour une catégorie d utilisateurs. Pour cela, rendez-vous dans Catégories Bloquer une catégorie. Sélectionnez la catégorie que vous souhaitez bloquer et cliquez sur Bloquer. Pour débloquer la catégorie, vous devez revenir sur cette page et cliquer sur Débloquer. Remarque : Il est impossible de modifier un utilisateur qui subit un blocage. Activer/Désactiver le filtrage En dessous du quota de l administrateur, il est possible pour lui de définir s il souhaite activer ou désactiver Filtokai. Pour désactiver Filtokai, cliquez sur Désactiver. Pour le réactiver, cliquez sur Activer. Remarque : Lors de chaque redémarrage du serveur, Filtokai sera automatiquement réactivé. Personnaliser l interface web Il est possible de personnaliser certains paramètres inhérents à l interface web. Rendez-vous dans Administration Options

13 Le champ nom de l organisation définir le nom de l entité pour laquelle Filtokai fonctionne. Le champ message d accueil est le message qui est affiché lors du login de chaque utilisateur. Le champ message du footer est le message affiché en dessous du copyright. Le champ quota par défaut permet de définir quel sera le quota proposé par défaut pour chaque utilisateur ajouté. Le chemin du logo permet de définir un nouveau logo à afficher au lieu de celui-ci : Le logo est à uploader dans /var/www/html/images/ (/var/www/html peut changer en fonction du système d exploitation GNU/Linux). Configuration d iptables La configuration du firewall n est pas faites en ligne de commande, elle se fait directement via l interface web. Elle a été montrée dans la dernière partie de l installation. Rendez-vous dans Administration Gestion réseaux. Vous pouvez modifier deux options : Dans le champ Sous-réseau à filtrer entrez l adresse réseau de votre réseau local suivi du masque de sous réseau au format /[Nbr_bits]. Exemple /24 Dans le champ Adresses IP à ne pas filtrer : Entrez une ou plusieurs adresses IP (ou nom DNS) des machines qui ne sont pas soumises au filtrage (c est-à-dire qu elles auront accès à internet sans passer par filtokai). Séparez les différentes adresses par une virgule.

14 Cliquez sur Modifier pour enregistrer ces paramètres. En tant qu utilisateur L utilisateur qui se connecte débloque son accès à internet. Il peut uniquement modifier son propre mot de passe en cliquant sur Mon Compte (la manipulation est la même pour l administrateur) : Entrez les informations demandées et cliquez sur Modifier.