TP LINUX Travaux avec Debian ETCH

TP LINUX Travaux avec Debian ETCH Sommaire version du 22/01/2008 1 ère partie Objectif : installer la distribution Linux DEBIAN ETCH R2 (Release 2 sortie en décembre 2007) 2 ème partie Objectif : configurer la connexion réseau, installer un client FTP graphique. 3 ème partie Objectif : créer une image de la partition système en vue d une réinstallation rapide (en cas de problème ultérieur) Parenthèse Objectif : Contrôler l intégrité de données téléchargées à l aide de l algorithme MD5 4 ème partie Objectif : installer et configurer un service DNS (primaire) pour un domaine local 5 ème partie Objectif : synchroniser le serveur avec un serveur de temps externe et diffuser l heure sur le réseau local 6 ème partie Objectif : installer et configurer un service DHCP et automatiser la mise à jour du service DNS En cours de réalisation : Installer et configurer un serveur Web (apache) Installer et configurer un serveur de base de données Installer et configurer un annuaire de type LDAP (openldap) Installer et configurer un serveur de courrier Installer et configurer un partage de fichiers et d imprimantes (samba, cups) Installer et configurer un parefeu (shorewall) Administrer les fonctionnalités serveur à distance (webmin) Surveiller les équipements (nagios) Travaux avec Linux Debian ETCH R2.doc édition du 31/03/2008 page 1

1 ère partie Objectif : installer une distribution Linux DEBIAN ETCH R2 (Release 2 sortie en décembre 2007) Cette installation est réalisée à partir d un cédérom d installation réseau (installation minimale en mémoire, puis téléchargement du reste sur un miroir (serveur ftp). 1) boot sur cédérom (debian-40r2-i386-netinst.iso) 2) définition de quelques données : langue et clavier, nom de domaine 1, nom d ordinateur 2, mot de passe root, compte et mot de passe utilisateur. 3) partitionnement du disque cible (partition unique de type ext3 pour le point de montage / et partition de swap) 4) définition du téléchargement : a. site miroir b. composants à installer : environnement graphique de bureau : oui système standard : oui tout le reste (web, impression, dns, fichiers, courrier, sql, portable) 3 : non 5) téléchargement (environ 10 min) et installation automatique (environ 15 min) 6) après redémarrage, il est possible de reconfigurer le serveur graphique x11 en lançant (dans le «terminal de l administrateur») la commande dpkg-reconfigure xserver-xorg 2ème partie Objectifs : configurer la connexion réseau, installer un client FTP graphique. - Se connecter en tant qu utilisateur (le compte root ne peut pas ouvrir une session graphique). - Configurer l accès au réseau (menu Bureau / Administration / Réseau) pour passer eth0 en IP statique (configurer l adresse ip, le masque, la passerelle, le dns) - Tester la connectivité : lancer le navigateur Epiphany (Gnome) et cliquer sur quelques liens. Installation d un logiciel FTP Client graphique : - Ouvrir un «Terminal de l administrateur». - Passer la commande apt-get install filezilla 1 Dans tout le document, le domaine est nommé «domdeb20.etch» où 20 désigne le numéro du poste. 2 Dans tout le document, le serveur Debian est nommé «srvdeb20» où 20 désigne le numéro du poste. Vous DEVEZ également TENIR COMPTE du fait que la station Windows XP utilisée pour les test clients s appelle «stadeb20» et qu elle fait partie d un Groupe de Travail quelconque. 3 Il serait certes facile de préinstaller certaines fonctions «serveur» mais il est préférable (pour l apprentissage des commandes et la maîtrise des paquetages) de différer ces installations. Travaux avec Linux Debian ETCH R2.doc édition du 31/03/2008 page 2

Quand le téléchargement et l installation automatique sont réalisés, un raccourci est disponible dans le menu Applications / Internet... Filezilla Une fois lancé, FileZilla annoncera peut être une mise à jour disponible mais le gestionnaire de paquetages Synaptics n en trouvera pas. C est un problème de «dépôts» que l on pourra résoudre ultérieurement. A ignorer, donc, pour l instant. - Tester le fonctionnement du client FileZilla en se connectant au serveur du laboratoire. - Y télécharger le fichier «feyrer-ghostlinux-md5.txt». Ce fichier sera utile dans quelques instants... 3ème partie Objectif : créer une image de la partition système en vue d une réinstallation rapide (en cas de problème ultérieur) - Aller sur le site www.feyrer.de/g4u qui présente l outil-logiciel de clonage «g4u» (équivalent d un GHOST rudimentaire) utilisable sur les plateformes à base d UNIX. Lire rapidement 1 et 2. - Le logiciel «g4u» étant conçu pour stocker les images de disques sur un serveur FTP, il est possible d utiliser le serveur FTP du labo (si l espace de stockage le permet) ou un autre serveur FTP créé pour l occasion sur une machine du poste. Avant d aller plus loin avec «g4u», il convient donc sans doute d installer sur une autre machine un serveur FTP (File- Zilla Server pour Windows fera très bien l affaire). Dans tous les cas, prévoir sur le serveur FTP un compte «install» avec mot de passe et droit d écriture sur un dossier pouvant contenir 3 à 5 GB... - Attention! Comme l indique le 5.5, l image sera compressée par défaut au taux le plus élevé, ce qui nécessite un temps... très élevé. Ainsi, par exemple, le taux par défaut (GZIP=9) crée une image de seulement 2 GB pour une partition de 8 GB mais prend 50 min! Le moment venu (une fois g4u lancé), il faudra modifier ce taux de compression en définissant la variable d environnement GZIP=4 ou 5. Dès à présent, pour compenser le taux de compression relativement bas (qui économisera du temps mais créera une image plus volumineuse), il convient de s assurer que l espace inutilisé de la partition ext3 ne contient que des 0. Pour cela, sur la machine Debian, utiliser les deux commandes évoquées au 5.10 : dd if=/dev/zero of=/0bits bs=20971520 puis rm /0bits - Sur le site de g4u, télécharger les «floppy one» et «floppy two» mentionnés 3. PARENTHESE - Objectif : Contrôler l intégrité de données téléchargées à l aide de l algorithme MD5 Quand on télécharge un fichier via un réseau à l aide des protocoles HTTP ou FTP, on prend le risque que les données reçues ne soient pas exactement les données émises. Pour s assurer de l intégrité des données, on peut employer différentes techniques d empreinte, parmi lesquelles MD5. Vous allez contrôler l intégrité des fichiers «floppy one» et «floppy two», à l aide du fichier d empreintes «feyrer-ghostlinux-md5.txt» téléchargé il y a quelques instants. Travaux avec Linux Debian ETCH R2.doc édition du 31/03/2008 page 3

ETUDIER et mettre en œuvre le document joint «intégrité des données avec MD5». - Créer les 2 disquettes, avec la commande «cat» comme indiqué au 4 4. - Rebooter le système sur la 1 ère disquette (penser à modifier la séquence d amorçage dans le SetUp du BIOS) et insérer disquette n 2 quand elle est réclamée. Attention, le clavier est en QWERTY! - Utiliser la commande «disks» pour repérer le nom des disques. - Utiliser la commande «help» pour revoir la liste des commandes. - Utiliser la commande «parts» <nom_du_disque> pour repérer le nom de la partition à cloner. - En définissant au passage le taux de compression désiré, passer la commande adéquate pour «uploader» une image de la partition du système Debian sur le serveur FTP prévu précédemment (en nommant le fichier image «debx.gz», où X est le numéro du poste). - Une fois l image créée, retirer la disquette (ou le cédérom g4u) et redémarrer la machine Debian. Contrôler l image obtenue sur le serveur FTP. 4ème partie Objectif : installer et configurer un serveur DNS (primaire) pour un domaine local Dans la suite de ce document, votre serveur Linux va assumer plusieurs rôles, en étant le serveur principal d un domaine nommé «domdeb20.etch». Il convient donc de commencer par créer ce domaine DNS. Avant toute chose... - Modifier la configuration IP du poste en définissant une adresse IP statique. - Consultez le document «Serveur DNS». - Ouvrir le terminal de l administrateur. Installer le paquetage BIND9. - Analyser les différents messages affichés pour déceler une éventuelle anomalie. Configuration du daemon - Ouvrir le fichier /etc/bind/named.conf 5. S il comporte une mention «include», c est qu un ou plusieurs autres fichiers complètent ce fichier de base. Sous Debian et les distributions dérivées comme Ubuntu, le fichier named.conf est effectivement le fichier général, complété par le fichier named.conf.options contenant les... options et le fichier named.conf.local contenant le fichier de zone... local (le domaine à créer). Avant toute autre manipulation, il faut réaliser une sauvegarde des fichiers originaux : - Refermer named.conf. - Se placer dans le dossier /etc/bind et créer une copie des fichiers sensibles : 4 En cas de problème, une version cédérom de g4u est également disponible. 5 ASTUCE : Depuis le terminal de l administrateur, taper gedit. L éditeur s ouvre en mode graphique. Utiliser l icône Ouvrir pour ouvrir le fichier voulu. L édition se fait en mode graphique et avec des droits Root... Travaux avec Linux Debian ETCH R2.doc édition du 31/03/2008 page 4

cd /etc/bind cp named.conf named.conf.save cp named.conf.options named.conf.options.save cp named.conf.local named.conf.local.save - Ouvrir le fichier named.conf.options Le bloc «forwarders» permet d optimiser la résolution de nom en désignant le(s) serveur(s) DNS externe(s) à utiliser pour les requêtes «hors zone locale». Décommenter ce bloc et indiquer les adresses IP des serveurs DNS du FAI (pour le NEUF, ces adresses IP sont 86.64.145.148 et 84.103.237.148). Sauvegarder et refermer le fichier. - Ouvrir le fichier named.conf.local - Ajouter la directive «zone» qui va permettre la recherche dans la... zone : zone «domdeb20.etch» { type master ; file «/etc/bind/db.domdeb20» ; } ; - Ajouter également la directive de recherche inversée (qui permet au Serveur DNS de retrouver le nom d une machine à partir de son adresse IP) : zone 20.31.172.in-addr-arpa { type master ; file «/etc/bind/db.172.31.20» ; } ; - Sauvegarder et refermer le fichier. Tester la syntaxe des fichiers de configuration avec la commande : named-checkconf (l absence de message retour signifie que la syntaxe est correcte, sinon l erreur est signalée). - Il faut maintenant créer et compléter le fichier de zone. Selon ce qui précède, c est le fichier «db.domdeb20». Y construire un contenu calqué sur celui-ci... $TTL 86400; temps de garde en cache @ IN SOA srvdeb20.domdeb20.etch root.domdeb20.etch ( 2008011501; numéro de série du fichier 6 3600 ; temps d actualisation 600 ; délai de renouvellement 86400 ; délai d expiration 3600 ) ; durée de vie du cache @ IN NS srvdeb20.domdeb20.etch srvdeb20 IN A 172.31.20.1 ; enregistrement du serveur stadeb20 IN A 172.31.20.10 ; enregistrement de la station - Sauvegarder et refermer le fichier. Tester la syntaxe avec la commande : named-checkzone w /etc/bind domdeb20.etch db.domdeb20 6 De manière classique, le numéro de version est composé de la date de mise à jour, inversée suivie d un numéro séquentiel. Ce numéro change-t-il tout seul quand une modification est apportée? Travaux avec Linux Debian ETCH R2.doc édition du 31/03/2008 page 5

L absence de message retour signifie que la syntaxe est correcte, sinon l erreur est signalée avec la mention du numéro de ligne où elle se situe. - De même, il faut créer et compléter le fichier de zone de recherche inversée. Selon ce qui précède, c est le fichier «db. 172.31.20». Calquer le contenu sur celui-ci... $TTL 86400 ; temps de garde en cache @ IN SOA srvdeb20.domdeb20.etch root.domdeb20.etch ( 2008011501 ; numéro de série du fichier 3600 ; temps d actualisation 600 ; délai de renouvellement 86400 ; délai d expiration 3600 ) ; durée de vie du cache @ IN NS srvdeb20.domdeb20.etch 1.20 IN PTR srvdeb20 10.20 IN PTR stadeb20 - Sauvegarder et refermer le fichier. Tester la syntaxe avec la commande : named-checkzone w /etc/bind domdeb20.etch db.172.31.20 Remarque : Penser à incrémenter le numéro de série si une modification est apportée (ce détail serait capital si un serveur DNS secondaire était installé). Avant de tester tout cela... - Disposer d une station configurée avec une IP statique (pour l instant placée dans un groupe de travail quelconque, si ce n est que le nom du groupe ne doit pas être «domdeb20») ayant comme serveur DNS celui qui est en construction (ici, 172.31.20.1). - Mentionner cette station dans les fichiers db.domdeb et db.172.31.20 comme dans l exemple ci-avant. - Modifier la configuration IP du serveur : serveur DNS = 127.0.0.1. - Vérifier que son fichier «hosts» local ne contient bien qu un seul enregistrement comme celui-ci : 127.0.0.1 localhost srvdeb20 - Vérifier que sa méthode de résolution suit l ordre a) fichier «hosts», b) DNS en insérant la clause order hosts bind en 1 ère ligne du fichier /etc/host.conf si elle n y est pas. - En l état, le service ne tourne pas correctement. Pour le vérifier, dans une fenêtre de ligne de commande, sur la station, taper la commande nslookup, puis demander la résolution de www.btsigroc.net. La réponse arrive (82.246.171.221). OK, la résolution de noms hors domaine fonctionne bien, grâce au fichier named.conf.options. Taper srvdeb20.domdeb20.etch : la réponse n est pas fournie, le DNS local ne fonctionne pas. De même, sur le serveur, passer la commande dig domdeb20.etch Le résultat doit indiquer un problème. Enfin, taper host stadeb20.domdeb20.etch pour tenter la résolution, cela échoue 7. 7 Syntaxe complète des commandes dig et host en tapant man dig et man host. Travaux avec Linux Debian ETCH R2.doc édition du 31/03/2008 page 6

- Sur le serveur, ouvrir un terminal (root) supplémentaire et y afficher les lignes les plus récentes du fichier de logs général : tail f /var/log/syslog - Redémarrer le service DNS avec la commande /etc/init.d/bind9 restart - Immédiatement après le redémarrage, relancer l affichage du journal syslog. Cette fois, le service doit être visible. - Refaire les tests... Sur la station... nslookup, avec requêtes sur les noms de la zone locale et sur des noms hors zone. Sur le serveur... commande dig suivie du nom de fichier de zone, et commande host suivie de noms FQDN 8 d hôtes locaux et d hôtes hors domaine. De nombreuses commandes concernent le DNS, parmi lesquelles rndc. Exemples : rndc status renvoie l état actuel du service (requêtes en cours) rndc reload domdeb20.etch recharge toutes les informations de zone sans avoir à relancer le service. A TESTER sous toutes réserves - La commande dig permet notamment d afficher le cache courant du serveur DNS. Dans ce cache apparaît la liste des 13 serveurs racines mondiaux, contenue dans le fichier /etc/bind/db.root. On peut en profiter pour vérifier cette liste et la mettre à jour... - commencer par réaliser une copie de l actuel fichier : cp db.root db.root.old - afficher le cache actuel : dig - utiliser dig pour solliciter la liste la plus récente auprès d un des serveurs racines (en espérant que lui-même est donc toujours en état...) en redirigeant sa réponse dans le fichier db.root : dig @a.root-server.net db.root 8 Fully Qualified Domain Name : nom DNS complet, exemple : srvdeb20.domdeb20.etch Travaux avec Linux Debian ETCH R2.doc édition du 31/03/2008 page 7

5ème partie Objectif : synchroniser le serveur avec un serveur de temps externe et diffuser l heure sur le réseau local Avant toute chose, étudier attentivement le document annexe intitulé «serveur de temps protocole NTP». Note : les commandes et les éditions de fichiers mentionnées ci-après sont censées être réalisées en tant que Root 9. a) Vérifier au préalable que le serveur adopte l heure UTC : - Ouvrir le fichier /etc/default/rcs et définir la variable UTC sur yes. b) Synchroniser le serveur avec une source externe. Ce n est pas strictement nécessaire à cet instant, mais cela permet de connaître une commande de plus, qui pourra dépanner plus tard... : - Télécharger et installer le paquetage «ntpdate». - Procéder à une synchronisation avec la commande ntpdate fr.pool.ntp.org Des messages de sortie assez long doivent s afficher, confirmant la synchronisation auprès d un des serveurs de temps du «pool» constitué par le «round robin» DNS 10 fr.pool.ntp.org 11. Remarque : Lorsqu on réutilisera la commande ntpdate plus tard, elle ne sera opérationnelle si le service NTP est actif (message «the NTP socket is in use»). Il faudra d abord arrêter le service (commande /etc/init.d/ntp stop). c) Installer le service NTP sur le serveur Debian : - Installer le paquetage ntp-server. d) Configurer le service NTP (1 ère partie) : - Ouvrir le fichier de configuration /etc/ntp.conf et l étudier. - Définir l usage d un journal séparé, plus facile à exploiter, en ajoutant dans les premières lignes la mention... logfile /var/log/ntpd - Dans le haut du fichier, après le bloc consacré aux statistiques, «désactiver» entièrement (en le commentant) le bloc suivant qui définit des serveurs de temps externes (Debian). - Juste en dessous, ajouter d autres serveurs français de strate 3 (ou de strate 2 «ouverts») à choisir à partir de la documentation fournie. Remarque : A ce stade, on peut préciser un serveur «préféré» en ajoutant au bout de sa ligne le terme prefer, mais ce n est pas conseillé ici pour mener à bien la suite des opérations. - Faire en sorte que le service NTP synchronise son heure sur l horloge interne du poste si jamais les serveurs externes ne répondent pas, en ajoutant la mention suivante à la fin de la liste des serveurs NTP : 9 Rappel : Depuis un «terminal administrateur», taper gedit. L éditeur s ouvre avec des droits Root! 10 La notion de «round robin» correspond à un ensemble variant de serveurs (donc à un ensemble de différentes adresses IP) réunis sous un même nom DNS, un seul des serveurs répondant à la requête, selon un mécanisme de répartition de charge (load balancing). 11 Ce nom cache un ensemble de serveurs NTP français de niveaux 2 et 3. Travaux avec Linux Debian ETCH R2.doc édition du 31/03/2008 page 8

server 127.127.1.0 12 - Placer le serveur NTP local au niveau de strate 10 pour ne pas interférer avec les serveurs de niveau supérieur, en ajoutant l instruction suivante : fudge 127.127.1.0 stratum 10 - Sauvegarder le fichier. Relancer le service NTP. - Vérifier que les serveurs NTP ajoutés sont pris en compte : menu Bureau / Administration / Date & heure. Les serveurs ajoutés doivent apparaître, cochés pour être utilisés. Décocher le pool fr.pool.ntp.org qui est sans doute présent suite à la commande ntpdate de tout à l heure. A ce stade, le service tourne mais n est pas exploitable, pour deux raisons : il n est pas correctement ouvert aux clients NTP ; il n est pas correctement synchronisé... e) Observation de la synchronisation avec l extérieur Il est possible de suivre le travail de synchronisation du serveur avec la commande ntpq. - Lancer la commande ntpq p. Un tableau doit s afficher qui indique les serveurs NTP externes choisis ainsi que le serveur NTP local (1 ère colonne), l état actuel (2 ème colonne), le niveau de strate actuel (3 ème colonne) et différentes valeurs (colonnes suivantes) correspondant aux échanges NTP. La colonne «reach» indique notamment le nombre de messages NTP destinés à synchroniser le serveur local avec les autres. Le service considère qu il est opérationnel quand ce nombre atteint 377. Dès lors, un astérisque apparaitra face à «LOCAL» qui représente le serveur. - Lancer et relancer de temps en temps la commande ntpq p pour observer l évolution. Toute la documentation sur la commande ntpq est disponible dans le navigateur Web à l adresse /usr/share/doc/ntp-doc/html/ntpq.html f) Rendre le service accessible sur le réseau local : - Ajouter l alias «ntp» dans le fichier de zone DNS «db.domdeb20» avec un enregistrement de type CNAME établissant le lien entre «ntp» et le serveur «srvdeb20». - Relancer le service DNS ou recharger les fichiers «db». A ce stade, un test est possible depuis un «Client NTP» : - Depuis la station XP inscrite dans le domaine, faire tout d abord un «nslookup» sur le nom «ntp.domdeb20.etch» pour s assurer que l alias est bien pris en compte. - Modifier la liste de serveur NTP dans le logiciel InTime pour qu il puisse s adresser à ntp.domdeb20.etch. - Tenter une synchronisation sur ce serveur. Elle doit être refusée. En effet, l accès est restreint, il faut encore modifier le fichier ntp.conf... - Dans le fichier ntp.conf, repérer les blocs contenant des instructions «restrict». - Désactiver l ensemble des lignes actives pour finalement ne définir que 3 choses... - une règle par défaut qui interdit tout accès au service : «restrict default norust nomodify» - une règle qui autorise les postes du LAN à interroger le service : restrict <Adresse_Réseau_Local> mask <Masque> nomodify notrap 12 L adresse IP 127.127.1.0 est une adresse locale, qualifiée de «magique» qui pointe en fait sur l horloge interne du poste. Travaux avec Linux Debian ETCH R2.doc édition du 31/03/2008 page 9

- une règle qui donne un accès complet au service, en local : «restrict 127.0.0.1» - Diffuser l heure sur le réseau local : en activant la ligne «broadcast <Adresse_Réseau_de_broadcast>». - Sauvegarder et relancer le service NTP. - Tester à nouveau depuis le client XP à l aide du programme InTime : cela doit marcher... g) Configurer les stations pour qu elles se synchronisent automatiquement sur le serveur NTP local : - Dans le cas d une station Windows XP, il suffit d orienter le service sur le serveur, en remplaçant le nom du serveur de temps mentionné sur l onglet «Temps Internet» dans la fenêtre «Date & Heure». Travaux avec Linux Debian ETCH R2.doc édition du 31/03/2008 page 10