https://wiki-ima.plil.fr/mediawiki//api.php?action=feedcontributions&feedformat=atom&user=Ylacroix 2026-05-16T15:22:45Z Contributions de l’utilisateur MediaWiki 1.29.2 https://wiki-ima.plil.fr/mediawiki//index.php?title=Intelligence_embarque_IMA5_2022/2023_G5&diff=61015 2023-01-16T11:32:38Z

<p>Ylacroix : </p> <hr /> <div>=Contrôle gestuel pour la domotique=<br /> <br /> =Présentation=<br /> L'idée consiste à développer une IA embarquée sur un microcontrôleur STM32 capable de reconnaître des gestes fixes sans mouvements de main, dans le but de contrôler certrain des systèmes domotiques. &lt;br/&gt;<br /> En effet, dans le contexte sanitaire actuel (Covid), il serait intéressant de développer des systèmes de contrôle sans contact, pour éviter la propagation du virus. Par exemple, ouverture de porte, allumage des lumières, commander un ascenseur dans un environnement public ou hospitalier. &lt;br/&gt; <br /> On pourrait aussi imaginer une application plus domestique à destination du grand public, qui controlerait une ampoule à variateur d'intensité, où notre système permettrait d'allumer, d'éteindre et de faire varier l'intensité de l'ampoule. &lt;br/&gt;<br /> <br /> =Gestes à implémenter=<br /> <br /> '''Pour l'environnement hospitalier''' &lt;br/&gt;<br /> *Main ouverte pour allumer l'ampoule<br /> *Poing fermé pour éteindre l'ampoule<br /> *Signe OK avec le pouce et l'index pour l'ouverture/fermeture de porte<br /> *Numérotation de l'étage souhaité avec les doigts pour l'ascenseur<br /> <br /> <br /> '''Pour la domotique (ampoule à variateur)''' &lt;br/&gt;<br /> <br /> *Main ouverte pour allumer l'ampoule<br /> *Poing fermé pour éteindre l'ampoule<br /> *Pouce vers le haut pour augmenter l'intensité<br /> *Pouce vers le bas pour diminuer l'intensité<br /> <br /> =PoC=<br /> Pour la démonstration, l'idée pour le moment serait à minima de pouvoir contrôler l'allumage et l'extinction d'une LED. &lt;br/&gt;<br /> Si c'est possible, nous afficherons dans un terminal le geste detecté pour pouvoir tester l'implémentation de plusieurs gestes.<br /> <br /> =Réalisation=<br /> <br /> ==Prise en main des outils logiciel==<br /> La première étape a été de prendre en main le kit STM32 Nucleo+Expansion board (capteurs ToF 8x8). Sous STM32Cube IDE, nous avons donc récupéré le code fourni, l'avons compilé puis nous avons téléversé l'exécutable sur le microcontrôleur. &lt;br/&gt;<br /> Une fois l'exécutable fonctionnel sur la board, nous scrutons grâce à l'utilitaire minicom la liaison série, les données récupérées par les capteurs. Ces données<br /> sont affichées sous la formes d'une matrice 8x8, où les valeurs sont séparées par le caractère suivant : &lt;code&gt;|&lt;/code&gt;. &lt;br/&gt;<br /> Dans un second temps, nous nous sommes penchés sur la préparation des données pour notre application, où nous avons choisi de les classer sur un axe de taille 64 (0 à 63), puisque la forme matricielle n'est pas utile dans notre cas. &lt;br/&gt; <br /> Pour cela, nous avons modifié la fonction '''print_result''' dans le fichier '''app_x-cube-tof.c''' de manière à ce que les délimiteurs soient le caractère &lt;code&gt;;&lt;/code&gt;. &lt;br/&gt; La modification du code est faite sous STM32Cube IDE.<br /> Sous NanoEdge, nous avons vérifié la bonne réception des signaux (des valeurs des capteurs) juste après le lancement de l'enregistrement d'un dataset, ces derniers respectaient bien le formalisme attendu.<br /> <br /> ==Expérimentation==<br /> Dans un second temps, nous avons choisi d'enregistrer 3 signaux : le signe OK, le signe main ouverte, et le signe poing fermé. Après l'optimisation du dataset durant la phase de benchmarking, l'objectif était de vérifier si notre librairie ainsi construite remplissait son rôle, c'est à dire réussir à identifier les 3 gestes choisis. &lt;br/&gt;<br /> Nous avons à ce stade rencontré plusieurs problèmes et pu identifier certaines erreurs à éviter :<br /> * Tout d'abord, lors de la phase d'émulation de la librairie pour vérifier la pertinence du dataset, il ne nous était pas possible de traiter des données récupérées en temps réel par le port USB, à cause d'une erreur de formattage des données. Nous avons pour cela dû changer le séparateur (le point virgule posait problème), et modifier quelque peu la fonction de print série<br /> * Il faut avant calculer l'angle d'ouverture de notre matrice de capteurs pour se placer ni trop prêt ni trop loin. Nous avions dans un premier temps fait notre dataset avec noter main à moins de 15cm du capteur. Le modèle une fois construit ne savait alors pas différencier le poing de la main étant donné qu'il ne captait pas l'intégralité de la main<br /> * Ensuite, nous avons remarqué l'intérêt de prendre à minima une centaine de valeur pour avoir un modèle fiable et efficace<br /> * Il n'est pas pertinent de vouloir ajouter trop d variations pendant l'enregistrement du dataset (variations de distance, d'angle de la main etc) car cela induit un modèle confus et de nombreuses imprécisions pour la détection ensuite. Il serait plus judicieux d'enregistrer chaque variations en différents gestes, mais qui auront ensuite le même traitement dans le software.<br /> * L'arrière plan pendant l'enregistrement du dataset est important. Il faut éviter les mouvements comme le passage de camarades, ou un changement de décor entre le dataset, et l'utilisation embarquée par la suite<br /> <br /> A ce stade, nous avons donc du expérimenter plusieurs méthodes de relevés, et nous avons donc réenregistré plusieurs dataset prenant en compte toutes ces remarques. C'est évidemment l'étape la plus importante du projet, puisque c'est la pertinence du modèle qui déterminera la fiabilité et le bon fonctionnement de notre application par la suite. Il est donc normal d'y consacrer une part importante de notre temps.&lt;br/&gt;<br /> Voici quelques images prises lors de la construction de nos modèles : <br /> <br /> [[Fichier:SIGNE5.jpg|left|thumb|signe FIVE|200px]]<br /> [[Fichier:SIGNEBOOM.jpg|right|thumb|signe POING|200px]]<br /> [[Fichier:NANO1.jpg|centre|thumb|Enregistrement des signaux sous nanoEdge par liaison série|300px]]<br /> <br /> &lt;br/&gt;<br /> <br /> <br /> ==Test du modèle==<br /> Une fois que nous avons construit nos différents dataset (variations ou non de distance, arrière plan complexe ou totalement plat ...) nous avons réalisé plusieurs essais en émulation sous NanoEdge pour chaque modèle dans le but de savoir si ils répondaient bien à nos attentes, et ainsi pouvoir les comparer entre eux et identifier LE modèle le plus efficace parmis les 4 que nous avions pu construire pendant notre phase d'expérimentation.<br /> Sous NanoEdge, nous testions donc simplement chaque geste les uns après les autres et relevions le comportement du modèle. Il s'est avéré que sur nos 4 modèles, seul un permettait d'identifier clairement les gestes avec une précision acceptable. Néanmoins, le signe OK était rarement détecté correctement et nous avons donc décider de l'écarter pour la suite de notre travail.<br /> <br /> ==Librairie et implémentation sur STM32==<br /> <br /> Après avoir testé le modèle, on déploie maintenant la librairie générée par NanoEdge sur la carte de développement STM32, librairie qui contient donc notre modèle de machine learning le plus aproprié à notre exemple, ainsi qu'une API permettant l'implémentation rapide de l'utilisation du modèle en langage C.<br /> Par ailleurs, étant donné le but de notre projet (réalisation), nous avons decidé de nous restreindre à allumer une LED, si le signe FIVE est fait, et de l'éttiendre si on lui présente le signe POING. <br /> Pour cela nous avons choisi la LED2 présente sur la Nucleo comme cible.<br /> Il a donc fallu à ce moment comprendre le fonctionnement de l'API et réfléchir à un moyen de l'adapter à notre application.<br /> Pour avoir un comportement acceptable de notre LD et au vu de l'instabilité de détection de nos gestes (changement de signe parfois plusieurs fois en quelques secondes), nous avons décidé de définir 2 seuils :<br /> * un seuil SEUIL de confiance correspondant au pourcentage de confiance minimum à partir duquel on peut considérer que le geste identifié par le modèle est correcte (80% dans notre cas après tests)<br /> * un seuil T de temps minimum à partir duquel on éteint ou allume le LED si le geste identifié était toujours le même. Cela permet d'avoir une certaine stabilité et de ne pas avoir de changement inopportun de la LED. Dans les faits, ce seuil de temps est implémenté un nombre minimum de cycle de notre algorithme, fixé à 4 ce qui correspond environ à 2s selon nos estimations. <br /> <br /> Une fois l'algorithme implémenté, nous avons pu tester notre modèle en condition réelle, et ainsi validé le fonctionnement de notre système final.<br /> <br /> [[Fichier:led_on.JPG|left|thumb|LED VERTE allumée suite au signe FIVE|300px]]<br /> <br /> <br /> <br /> <br /> [[Fichier:led_off.jpg|right|thumb|LED VERTE étiente suite au signe POING|300px]]<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> [[Fichier:code_ie_st.jpg|left|thumb|controle de la LED| 300px]]<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> [[Fichier:terminal_ie.jpg|right|thumb|Calcul des probs sur des gestes fournies en entrées|300px]]<br /> <br /> <br /> ==Résultats et améliorations==<br /> <br /> Voici un lien vers la vidéo qui montre le fonctionnement du système : <br /> [[Média:demo_g5.mp4]]<br /> <br /> Plusieurs améliorations de notre système pourrait être possibles :<br /> * Enregistrements d'autres signaux dans notre datasets NanoEdge, correspondants toujours à nos deux signes FIVE et POING mais dans des configurations légèrement différentes (distance, angle de la main, doigts plus ou moins ouverts ou tout simplement d'autres personnes ...). Cela permettrait d'avoir une plus grande flexibilité et rapidité de notre modèle, qui n'imposerait pas à l'utilisateur d'être à la distance et la position parfaite<br /> * Pour éviter les erreurs d'identification de nos gestes dûs à l'arrière plan pouvant présenter de grande variabilités et au fait que nous utilisons des capteurs de distance, nous pourrions définir un seuil de distance à partir duquel toute donnée qui dépasse ce seuil dans la matrice ne serait pas pris en compte. Cela permettrait d'avoir un modèle qui se construit uniquement sur les mesures de la main de l'utilisateur proche de du capteur sans se soucier du corps de la personne ou de l'arrière plan et ce qu'il s'y passe. En résulterait un modèle beaucoup plus robuste.<br /> <br /> =Soutenance du travail=<br /> <br /> *Slides IE : [[Fichier:IE_Slides_LACROIX_KHALAF.pdf]]</div>

Ylacroix https://wiki-ima.plil.fr/mediawiki//index.php?title=Intelligence_embarque_IMA5_2022/2023_G5&diff=61014 2023-01-16T11:22:10Z

<p>Ylacroix : </p> <hr /> <div>=Contrôle gestuel pour la domotique=<br /> <br /> =Présentation=<br /> L'idée consiste à développer une IA embarquée sur un microcontrôleur STM32 capable de reconnaître des gestes fixes sans mouvements de main, dans le but de contrôler certrain des systèmes domotiques. &lt;br/&gt;<br /> En effet, dans le contexte sanitaire actuel (Covid), il serait intéressant de développer des systèmes de contrôle sans contact, pour éviter la propagation du virus. Par exemple, ouverture de porte, allumage des lumières, commander un ascenseur dans un environnement public ou hospitalier. &lt;br/&gt; <br /> On pourrait aussi imaginer une application plus domestique à destination du grand public, qui controlerait une ampoule à variateur d'intensité, où notre système permettrait d'allumer, d'éteindre et de faire varier l'intensité de l'ampoule. &lt;br/&gt;<br /> <br /> =Gestes à implémenter=<br /> <br /> '''Pour l'environnement hospitalier''' &lt;br/&gt;<br /> *Main ouverte pour allumer l'ampoule<br /> *Poing fermé pour éteindre l'ampoule<br /> *Signe OK avec le pouce et l'index pour l'ouverture/fermeture de porte<br /> *Numérotation de l'étage souhaité avec les doigts pour l'ascenseur<br /> <br /> <br /> '''Pour la domotique (ampoule à variateur)''' &lt;br/&gt;<br /> <br /> *Main ouverte pour allumer l'ampoule<br /> *Poing fermé pour éteindre l'ampoule<br /> *Pouce vers le haut pour augmenter l'intensité<br /> *Pouce vers le bas pour diminuer l'intensité<br /> <br /> =PoC=<br /> Pour la démonstration, l'idée pour le moment serait à minima de pouvoir contrôler l'allumage et l'extinction d'une LED. &lt;br/&gt;<br /> Si c'est possible, nous afficherons dans un terminal le geste detecté pour pouvoir tester l'implémentation de plusieurs gestes.<br /> <br /> =Réalisation=<br /> <br /> ==Prise en main des outils logiciel==<br /> La première étape a été de prendre en main le kit STM32 Nucleo+Expansion board (capteurs ToF 8x8). Sous STM32Cube IDE, nous avons donc récupéré le code fourni, l'avons compilé puis nous avons téléversé l'exécutable sur le microcontrôleur. &lt;br/&gt;<br /> Une fois l'exécutable fonctionnel sur la board, nous scrutons grâce à l'utilitaire minicom la liaison série, les données récupérées par les capteurs. Ces données<br /> sont affichées sous la formes d'une matrice 8x8, où les valeurs sont séparées par le caractère suivant : &lt;code&gt;|&lt;/code&gt;. &lt;br/&gt;<br /> Dans un second temps, nous nous sommes penchés sur la préparation des données pour notre application, où nous avons choisi de les classer sur un axe de taille 64 (0 à 63), puisque la forme matricielle n'est pas utile dans notre cas. &lt;br/&gt; <br /> Pour cela, nous avons modifié la fonction '''print_result''' dans le fichier '''app_x-cube-tof.c''' de manière à ce que les délimiteurs soient le caractère &lt;code&gt;;&lt;/code&gt;. &lt;br/&gt; La modification du code est faite sous STM32Cube IDE.<br /> Sous NanoEdge, nous avons vérifié la bonne réception des signaux (des valeurs des capteurs) juste après le lancement de l'enregistrement d'un dataset, ces derniers respectaient bien le formalisme attendu.<br /> <br /> ==Expérimentation==<br /> Dans un second temps, nous avons choisi d'enregistrer 3 signaux : le signe OK, le signe main ouverte, et le signe poing fermé. Après l'optimisation du dataset durant la phase de benchmarking, l'objectif était de vérifier si notre librairie ainsi construite remplissait son rôle, c'est à dire réussir à identifier les 3 gestes choisis. &lt;br/&gt;<br /> Nous avons à ce stade rencontré plusieurs problèmes et pu identifier certaines erreurs à éviter :<br /> * Tout d'abord, lors de la phase d'émulation de la librairie pour vérifier la pertinence du dataset, il ne nous était pas possible de traiter des données récupérées en temps réel par le port USB, à cause d'une erreur de formattage des données. Nous avons pour cela dû changer le séparateur (le point virgule posait problème), et modifier quelque peu la fonction de print série<br /> * Ensuite, nous avons remarqué l'intérêt de prendre à minima une centaine de valeur pour avoir un modèle fiable et efficace<br /> * Il n'est pas pertinent de vouloir ajouter trop d variations pendant l'enregistrement du dataset (variations de distance, d'angle de la main etc) car cela induit un modèle confus et de nombreuses imprécisions pour la détection ensuite. Il serait plus judicieux d'enregistrer chaque variations en différents gestes, mais qui auront ensuite le même traitement dans le software.<br /> * L'arrière plan pendant l'enregistrement du dataset est important. Il faut éviter les mouvements comme le passage de camarades, ou un changement de décor entre le dataset, et l'utilisation embarquée par la suite<br /> <br /> A ce stade, nous avons donc du expérimenter plusieurs méthodes de relevés, et nous avons donc réenregistré plusieurs dataset prenant en compte toutes ces remarques. C'est évidemment l'étape la plus importante du projet, puisque c'est la pertinence du modèle qui déterminera la fiabilité et le bon fonctionnement de notre application par la suite. Il est donc normal d'y consacrer une part importante de notre temps.&lt;br/&gt;<br /> Voici quelques images prises lors de la construction de nos modèles : <br /> <br /> [[Fichier:SIGNE5.jpg|left|thumb|signe FIVE|200px]]<br /> [[Fichier:SIGNEBOOM.jpg|right|thumb|signe POING|200px]]<br /> [[Fichier:NANO1.jpg|centre|thumb|Enregistrement des signaux sous nanoEdge par liaison série|300px]]<br /> <br /> &lt;br/&gt;<br /> <br /> <br /> ==Test du modèle==<br /> Une fois que nous avons construit nos différents dataset (variations ou non de distance, arrière plan complexe ou totalement plat ...) nous avons réalisé plusieurs essais en émulation sous NanoEdge pour chaque modèle dans le but de savoir si ils répondaient bien à nos attentes, et ainsi pouvoir les comparer entre eux et identifier LE modèle le plus efficace parmis les 4 que nous avions pu construire pendant notre phase d'expérimentation.<br /> Sous NanoEdge, nous testions donc simplement chaque geste les uns après les autres et relevions le comportement du modèle. Il s'est avéré que sur nos 4 modèles, seul un permettait d'identifier clairement les gestes avec une précision acceptable. Néanmoins, le signe OK était rarement détecté correctement et nous avons donc décider de l'écarter pour la suite de notre travail.<br /> <br /> ==Librairie et implémentation sur STM32==<br /> <br /> Après avoir testé le modèle, on déploie maintenant la librairie générée par NanoEdge sur la carte de développement STM32, librairie qui contient donc notre modèle de machine learning le plus aproprié à notre exemple, ainsi qu'une API permettant l'implémentation rapide de l'utilisation du modèle en langage C.<br /> Par ailleurs, étant donné le but de notre projet (réalisation), nous avons decidé de nous restreindre à allumer une LED, si le signe FIVE est fait, et de l'éttiendre si on lui présente le signe POING. <br /> Pour cela nous avons choisi la LED2 présente sur la Nucleo comme cible.<br /> Il a donc fallu à ce moment comprendre le fonctionnement de l'API et réfléchir à un moyen de l'adapter à notre application.<br /> Pour avoir un comportement acceptable de notre LD et au vu de l'instabilité de détection de nos gestes (changement de signe parfois plusieurs fois en quelques secondes), nous avons décidé de définir 2 seuils :<br /> * un seuil SEUIL de confiance correspondant au pourcentage de confiance minimum à partir duquel on peut considérer que le geste identifié par le modèle est correcte (80% dans notre cas après tests)<br /> * un seuil T de temps minimum à partir duquel on éteint ou allume le LED si le geste identifié était toujours le même. Cela permet d'avoir une certaine stabilité et de ne pas avoir de changement inopportun de la LED. Dans les faits, ce seuil de temps est implémenté un nombre minimum de cycle de notre algorithme, fixé à 4 ce qui correspond environ à 2s selon nos estimations. <br /> <br /> Une fois l'algorithme implémenté, nous avons pu tester notre modèle en condition réelle, et ainsi validé le fonctionnement de notre système final.<br /> <br /> [[Fichier:led_on.JPG|left|thumb|LED VERTE allumée suite au signe FIVE|300px]]<br /> <br /> <br /> <br /> <br /> [[Fichier:led_off.jpg|right|thumb|LED VERTE étiente suite au signe POING|300px]]<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> [[Fichier:code_ie_st.jpg|left|thumb|controle de la LED| 300px]]<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> [[Fichier:terminal_ie.jpg|right|thumb|Calcul des probs sur des gestes fournies en entrées|300px]]<br /> <br /> <br /> ==Résultats et améliorations==<br /> <br /> Voici un lien vers la vidéo qui montre le fonctionnement du système : <br /> [[Média:demo_g5.mp4]]<br /> <br /> Plusieurs améliorations de notre système pourrait être possibles :<br /> * Enregistrements d'autres gestes dans notre datasets, correspondants toujours à nos deux signes <br /> <br /> =Soutenance du travail=<br /> <br /> *Slides IE : [[Fichier:IE_Slides_LACROIX_KHALAF.pdf]]</div>

Ylacroix https://wiki-ima.plil.fr/mediawiki//index.php?title=Intelligence_embarque_IMA5_2022/2023_G5&diff=61013 2023-01-16T11:03:32Z

<p>Ylacroix : </p> <hr /> <div>=Contrôle gestuel pour la domotique=<br /> <br /> =Présentation=<br /> L'idée consiste à développer une IA embarquée sur un microcontrôleur STM32 capable de reconnaître des gestes fixes sans mouvements de main, dans le but de contrôler certrain des systèmes domotiques. &lt;br/&gt;<br /> En effet, dans le contexte sanitaire actuel (Covid), il serait intéressant de développer des systèmes de contrôle sans contact, pour éviter la propagation du virus. Par exemple, ouverture de porte, allumage des lumières, commander un ascenseur dans un environnement public ou hospitalier. &lt;br/&gt; <br /> On pourrait aussi imaginer une application plus domestique à destination du grand public, qui controlerait une ampoule à variateur d'intensité, où notre système permettrait d'allumer, d'éteindre et de faire varier l'intensité de l'ampoule. &lt;br/&gt;<br /> <br /> =Gestes à implémenter=<br /> <br /> '''Pour l'environnement hospitalier''' &lt;br/&gt;<br /> *Main ouverte pour allumer l'ampoule<br /> *Poing fermé pour éteindre l'ampoule<br /> *Signe OK avec le pouce et l'index pour l'ouverture/fermeture de porte<br /> *Numérotation de l'étage souhaité avec les doigts pour l'ascenseur<br /> <br /> <br /> '''Pour la domotique (ampoule à variateur)''' &lt;br/&gt;<br /> <br /> *Main ouverte pour allumer l'ampoule<br /> *Poing fermé pour éteindre l'ampoule<br /> *Pouce vers le haut pour augmenter l'intensité<br /> *Pouce vers le bas pour diminuer l'intensité<br /> <br /> =PoC=<br /> Pour la démonstration, l'idée pour le moment serait à minima de pouvoir contrôler l'allumage et l'extinction d'une LED. &lt;br/&gt;<br /> Si c'est possible, nous afficherons dans un terminal le geste detecté pour pouvoir tester l'implémentation de plusieurs gestes.<br /> <br /> =Réalisation=<br /> <br /> ==Prise en main des outils logiciel==<br /> La première étape a été de prendre en main le kit STM32 Nucleo+Expansion board (capteurs ToF 8x8). Sous STM32Cube IDE, nous avons donc récupéré le code fourni, l'avons compilé puis nous avons téléversé l'exécutable sur le microcontrôleur. &lt;br/&gt;<br /> Une fois l'exécutable fonctionnel sur la board, nous scrutons grâce à l'utilitaire minicom la liaison série, les données récupérées par les capteurs. Ces données<br /> sont affichées sous la formes d'une matrice 8x8, où les valeurs sont séparées par le caractère suivant : &lt;code&gt;|&lt;/code&gt;. &lt;br/&gt;<br /> Dans un second temps, nous nous sommes penchés sur la préparation des données pour notre application, où nous avons choisi de les classer sur un axe de taille 64 (0 à 63), puisque la forme matricielle n'est pas utile dans notre cas. &lt;br/&gt; <br /> Pour cela, nous avons modifié la fonction '''print_result''' dans le fichier '''app_x-cube-tof.c''' de manière à ce que les délimiteurs soient le caractère &lt;code&gt;;&lt;/code&gt;. &lt;br/&gt; La modification du code est faite sous STM32Cube IDE.<br /> Sous NanoEdge, nous avons vérifié la bonne réception des signaux (des valeurs des capteurs) juste après le lancement de l'enregistrement d'un dataset, ces derniers respectaient bien le formalisme attendu.<br /> <br /> ==Expérimentation==<br /> Dans un second temps, nous avons choisi d'enregistrer 3 signaux : le signe OK, le signe main ouverte, et le signe poing fermé. Après l'optimisation du dataset durant la phase de benchmarking, l'objectif était de vérifier si notre librairie ainsi construite remplissait son rôle, c'est à dire réussir à identifier les 3 gestes choisis. &lt;br/&gt;<br /> Nous avons à ce stade rencontré plusieurs problèmes et pu identifier certaines erreurs à éviter :<br /> * Tout d'abord, lors de la phase d'émulation de la librairie pour vérifier la pertinence du dataset, il ne nous était pas possible de traiter des données récupérées en temps réel par le port USB, à cause d'une erreur de formattage des données. Nous avons pour cela dû changer le séparateur (le point virgule posait problème), et modifier quelque peu la fonction de print série<br /> * Ensuite, nous avons remarqué l'intérêt de prendre à minima une centaine de valeur pour avoir un modèle fiable et efficace<br /> * Il n'est pas pertinent de vouloir ajouter trop d variations pendant l'enregistrement du dataset (variations de distance, d'angle de la main etc) car cela induit un modèle confus et de nombreuses imprécisions pour la détection ensuite. Il serait plus judicieux d'enregistrer chaque variations en différents gestes, mais qui auront ensuite le même traitement dans le software.<br /> * L'arrière plan pendant l'enregistrement du dataset est important. Il faut éviter les mouvements comme le passage de camarades, ou un changement de décor entre le dataset, et l'utilisation embarquée par la suite<br /> <br /> A ce stade, nous avons donc du expérimenter plusieurs méthodes de relevés, et nous avons donc réenregistré plusieurs dataset prenant en compte toutes ces remarques. C'est évidemment l'étape la plus importante du projet, puisque c'est la pertinence du modèle qui déterminera la fiabilité et le bon fonctionnement de notre application par la suite. Il est donc normal d'y consacrer une part importante de notre temps.&lt;br/&gt;<br /> Voici quelques images prises lors de la construction de nos modèles : <br /> <br /> [[Fichier:SIGNE5.jpg|left|thumb|signe FIVE|200px]]<br /> [[Fichier:SIGNEBOOM.jpg|right|thumb|signe POING|200px]]<br /> [[Fichier:NANO1.jpg|centre|thumb|Enregistrement des signaux sous nanoEdge par liaison série|300px]]<br /> <br /> &lt;br/&gt;<br /> <br /> <br /> ==Test du modèle==<br /> Une fois que nous avons construit nos différents dataset (variations ou non de distance, arrière plan complexe ou totalement plat ...) nous avons réalisé plusieurs essais en émulation sous NanoEdge pour chaque modèle dans le but de savoir si ils répondaient bien à nos attentes, et ainsi pouvoir les comparer entre eux et identifier LE modèle le plus efficace parmis les 4 que nous avions pu construire pendant notre phase d'expérimentation.<br /> Sous NanoEdge, nous testions donc simplement chaque geste les uns après les autres et relevions le comportement du modèle. Il s'est avéré que sur nos 4 modèles, seul un permettait d'identifier clairement les gestes avec une précision acceptable. Néanmoins, le signe OK était rarement détecté correctement et nous avons donc décider de l'écarter pour la suite de notre travail.<br /> <br /> ==Librairie et implémentation sur STM32==<br /> <br /> Après avoir testé le modèle, on déploie maintenant la librairie générée par NanoEdge sur la carte de développement STM32, librairie qui contient donc notre modèle de machine learning le plus aproprié à notre exemple, ainsi qu'une API permettant l'implémentation rapide de l'utilisation du modèle en langage C.<br /> Par ailleurs, étant donné le but de notre projet (réalisation), nous avons decidé de nous restreindre à allumer une LED, si le signe FIVE est fait, et de l'éttiendre si on lui présente le signe POING. <br /> Pour cela nous avons choisi la LED2 présente sur la Nucleo comme cible.<br /> Il a donc fallu à ce moment comprendre le fonctionnement de l'API et réfléchir à un moyen de l'adapter à notre application.<br /> Pour avoir un comportement acceptable de notre LD et au vu de l'instabilité de détection de nos gestes (changement de signe parfois plusieurs fois en quelques secondes), nous avons décidé de définir 2 seuils :<br /> * un seuil P de confiance correspondant au pourcentage de confiance minimum à partir duquel on peut considérer que le geste identifié par le modèle est correcte (80% dans notre cas après tests)<br /> * un seuil T de temps minimum (<br /> <br /> Un algorithme en Langage C a été mis en place, pour agir sur l'état de la LED, selon le geste fourni au capteur.<br /> Cette implémentation était testée, et nous avons eu le bon résultat attendu, d'où nous garantissons le fonctionnement de notre système.<br /> <br /> [[Fichier:led_on.JPG|left|thumb|LED VERTE allumée suite au signe FIVE|300px]]<br /> <br /> <br /> <br /> <br /> [[Fichier:led_off.jpg|right|thumb|LED VERTE étiente suite au signe POING|300px]]<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> [[Fichier:code_ie_st.jpg|left|thumb|controle de la LED| 300px]]<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> [[Fichier:terminal_ie.jpg|right|thumb|Calcul des probs sur des gestes fournies en entrées|300px]]<br /> <br /> =Soutenance du travail=<br /> <br /> *Slides IE : [[Fichier:IE_Slides_LACROIX_KHALAF.pdf]]<br /> <br /> ==Résultats==<br /> <br /> Voici un lien vers la vidéo qui montre le fonctionnement du système : <br /> [[Média:demo_g5.mp4]]</div>

Ylacroix https://wiki-ima.plil.fr/mediawiki//index.php?title=Intelligence_embarque_IMA5_2022/2023_G5&diff=61012 2023-01-16T10:43:57Z

<p>Ylacroix : </p> <hr /> <div>=Contrôle gestuel pour la domotique=<br /> <br /> =Présentation=<br /> L'idée consiste à développer une IA embarquée sur un microcontrôleur STM32 capable de reconnaître des gestes fixes sans mouvements de main, dans le but de contrôler certrain des systèmes domotiques. &lt;br/&gt;<br /> En effet, dans le contexte sanitaire actuel (Covid), il serait intéressant de développer des systèmes de contrôle sans contact, pour éviter la propagation du virus. Par exemple, ouverture de porte, allumage des lumières, commander un ascenseur dans un environnement public ou hospitalier. &lt;br/&gt; <br /> On pourrait aussi imaginer une application plus domestique à destination du grand public, qui controlerait une ampoule à variateur d'intensité, où notre système permettrait d'allumer, d'éteindre et de faire varier l'intensité de l'ampoule. &lt;br/&gt;<br /> <br /> =Gestes à implémenter=<br /> <br /> '''Pour l'environnement hospitalier''' &lt;br/&gt;<br /> *Main ouverte pour allumer l'ampoule<br /> *Poing fermé pour éteindre l'ampoule<br /> *Signe OK avec le pouce et l'index pour l'ouverture/fermeture de porte<br /> *Numérotation de l'étage souhaité avec les doigts pour l'ascenseur<br /> <br /> <br /> '''Pour la domotique (ampoule à variateur)''' &lt;br/&gt;<br /> <br /> *Main ouverte pour allumer l'ampoule<br /> *Poing fermé pour éteindre l'ampoule<br /> *Pouce vers le haut pour augmenter l'intensité<br /> *Pouce vers le bas pour diminuer l'intensité<br /> <br /> =PoC=<br /> Pour la démonstration, l'idée pour le moment serait à minima de pouvoir contrôler l'allumage et l'extinction d'une LED. &lt;br/&gt;<br /> Si c'est possible, nous afficherons dans un terminal le geste detecté pour pouvoir tester l'implémentation de plusieurs gestes.<br /> <br /> =Réalisation=<br /> <br /> ==Prise en main des outils logiciel==<br /> La première étape a été de prendre en main le kit STM32 Nucleo+Expansion board (capteurs ToF 8x8). Sous STM32Cube IDE, nous avons donc récupéré le code fourni, l'avons compilé puis nous avons téléversé l'exécutable sur le microcontrôleur. &lt;br/&gt;<br /> Une fois l'exécutable fonctionnel sur la board, nous scrutons grâce à l'utilitaire minicom la liaison série, les données récupérées par les capteurs. Ces données<br /> sont affichées sous la formes d'une matrice 8x8, où les valeurs sont séparées par le caractère suivant : &lt;code&gt;|&lt;/code&gt;. &lt;br/&gt;<br /> Dans un second temps, nous nous sommes penchés sur la préparation des données pour notre application, où nous avons choisi de les classer sur un axe de taille 64 (0 à 63), puisque la forme matricielle n'est pas utile dans notre cas. &lt;br/&gt; <br /> Pour cela, nous avons modifié la fonction '''print_result''' dans le fichier '''app_x-cube-tof.c''' de manière à ce que les délimiteurs soient le caractère &lt;code&gt;;&lt;/code&gt;. &lt;br/&gt; La modification du code est faite sous STM32Cube IDE.<br /> Sous NanoEdge, nous avons vérifié la bonne réception des signaux (des valeurs des capteurs) juste après le lancement de l'enregistrement d'un dataset, ces derniers respectaient bien le formalisme attendu.<br /> <br /> ==Expérimentation==<br /> Dans un second temps, nous avons choisi d'enregistrer 3 signaux : le signe OK, le signe main ouverte, et le signe poing fermé. Après l'optimisation du dataset durant la phase de benchmarking, l'objectif était de vérifier si notre librairie ainsi construite remplissait son rôle, c'est à dire réussir à identifier les 3 gestes choisis. &lt;br/&gt;<br /> Nous avons à ce stade rencontré plusieurs problèmes et pu identifier certaines erreurs à éviter :<br /> * Tout d'abord, lors de la phase d'émulation de la librairie pour vérifier la pertinence du dataset, il ne nous était pas possible de traiter des données récupérées en temps réel par le port USB, à cause d'une erreur de formattage des données. Nous avons pour cela dû changer le séparateur (le point virgule posait problème), et modifier quelque peu la fonction de print série<br /> * Ensuite, nous avons remarqué l'intérêt de prendre à minima une centaine de valeur pour avoir un modèle fiable et efficace<br /> * Il n'est pas pertinent de vouloir ajouter trop d variations pendant l'enregistrement du dataset (variations de distance, d'angle de la main etc) car cela induit un modèle confus et de nombreuses imprécisions pour la détection ensuite. Il serait plus judicieux d'enregistrer chaque variations en différents gestes, mais qui auront ensuite le même traitement dans le software.<br /> * L'arrière plan pendant l'enregistrement du dataset est important. Il faut éviter les mouvements comme le passage de camarades, ou un changement de décor entre le dataset, et l'utilisation embarquée par la suite<br /> <br /> A ce stade, nous avons donc du expérimenter plusieurs méthodes de relevés, et nous avons donc réenregistré plusieurs dataset prenant en compte ces remarques. C'est évidmement l'étape la plus importante du projet, puisque c'est la pertinence du modèle qui déterminera la fiabilité et le bon fonctionnement de notre application par la suite. Il est donc normal d'y consacrer une part importante de notre temps.&lt;br/&gt;<br /> Voici quelques images prises lors de la construction de nos modèles : <br /> <br /> [[Fichier:SIGNE5.jpg|left|thumb|signe FIVE|200px]]<br /> [[Fichier:SIGNEBOOM.jpg|right|thumb|signe POING|200px]]<br /> [[Fichier:NANO1.jpg|centre|thumb|Enregistrement des signaux sous nanoEdge par liaison série|300px]]<br /> <br /> &lt;br/&gt;<br /> <br /> <br /> ==Test du modèle==<br /> Une fois que nous avons construit nos dataset, nous avons réalisé quelques quelques expériences pour savoir si notre modèle répond bien à nos attente.<br /> Sous NanoEdge, nous avons testé le modèle en lui faisant un geste précis. Le modèle était capable de connaître le modèle parmi ceux qui étaient enregistrés lors de la construction du dataset.<br /> <br /> ==Librairie et STM32CUBE==<br /> <br /> Après tester le modèle, on déploie une librairie du NanoEdge, qui contient le modèle du ML le plus aproprié à notre exemple.<br /> Ensuite, vu le but de notre projet (réalisation), nous avons decidé d'allumer une LED, si le signe FIVE est fait, et de l'éttiendre si on lui présente le signe POING. <br /> Pour cela nous avons choisi la LED2 présente sur le Nucleo comme cible.<br /> Un algorithme en Langage C a été mis en place, pour agir sur l'état de la LED, selon le geste fourni au capteur.<br /> Cette implémentation était testée, et nous avons eu le bon résultat attendu, d'où nous garantissons le fonctionnement de notre système.<br /> <br /> [[Fichier:led_on.JPG|left|thumb|LED VERTE allumée suite au signe FIVE|300px]]<br /> <br /> <br /> <br /> <br /> [[Fichier:led_off.jpg|right|thumb|LED VERTE étiente suite au signe POING|300px]]<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> [[Fichier:code_ie_st.jpg|left|thumb|controle de la LED| 300px]]<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> [[Fichier:terminal_ie.jpg|right|thumb|Calcul des probs sur des gestes fournies en entrées|300px]]<br /> <br /> =Soutenance du travail=<br /> <br /> *Slides IE : [[Fichier:IE_Slides_LACROIX_KHALAF.pdf]]<br /> <br /> ==Résultats==<br /> <br /> Voici un lien vers la vidéo qui montre le fonctionnement du système : <br /> [[Média:demo_g5.mp4]]</div>

Ylacroix https://wiki-ima.plil.fr/mediawiki//index.php?title=Intelligence_embarque_IMA5_2022/2023_G5&diff=61011 2023-01-16T10:35:21Z

<p>Ylacroix : /* Expérimentation */</p> <hr /> <div>=Contrôle gestuel pour la domotique=<br /> <br /> =Présentation=<br /> L'idée consiste à développer une IA embarquée sur un microcontrôleur STM32 capable de reconnaître des gestes fixes sans mouvements de main, dans le but de contrôler certrain des systèmes domotiques. &lt;br/&gt;<br /> En effet, dans le contexte sanitaire actuel (Covid), il serait intéressant de développer des systèmes de contrôle sans contact, pour éviter la propagation du virus. Par exemple, ouverture de porte, allumage des lumières, commander un ascenseur dans un environnement public ou hospitalier. &lt;br/&gt; <br /> On pourrait aussi imaginer une application plus domestique à destination du grand public, qui controlerait une ampoule à variateur d'intensité, où notre système permettrait d'allumer, d'éteindre et de faire varier l'intensité de l'ampoule. &lt;br/&gt;<br /> <br /> =Gestes à implémenter=<br /> <br /> '''Pour l'environnement hospitalier''' &lt;br/&gt;<br /> *Main ouverte pour allumer l'ampoule<br /> *Poing fermé pour éteindre l'ampoule<br /> *Signe OK avec le pouce et l'index pour l'ouverture/fermeture de porte<br /> *Numérotation de l'étage souhaité avec les doigts pour l'ascenseur<br /> <br /> <br /> '''Pour la domotique (ampoule à variateur)''' &lt;br/&gt;<br /> <br /> *Main ouverte pour allumer l'ampoule<br /> *Poing fermé pour éteindre l'ampoule<br /> *Pouce vers le haut pour augmenter l'intensité<br /> *Pouce vers le bas pour diminuer l'intensité<br /> <br /> =PoC=<br /> Pour la démonstration, l'idée pour le moment serait à minima de pouvoir contrôler l'allumage et l'extinction d'une LED. &lt;br/&gt;<br /> Si c'est possible, nous afficherons dans un terminal le geste detecté pour pouvoir tester l'implémentation de plusieurs gestes.<br /> <br /> =Réalisation=<br /> ==Récupération d'un dataset avec le capteur ToF==<br /> <br /> =Prise en main des outils logiciel=<br /> La première étape a été de prendre en main le kit STM32 Nucleo+Expansion board (capteurs ToF 8x8). Sous STM32Cube IDE, nous avons donc récupéré le code fourni, l'avons compilé puis nous avons téléversé l'exécutable sur le microcontrôleur. &lt;br/&gt;<br /> Une fois l'exécutable fonctionnel sur la board, nous scrutons grâce à l'utilitaire minicom la liaison série, les données récupérées par les capteurs. Ces données<br /> sont affichées sous la formes d'une matrice 8x8, où les valeurs sont séparées par le caractère suivant : &lt;code&gt;|&lt;/code&gt;. &lt;br/&gt;<br /> Dans un second temps, nous nous sommes penchés sur la préparation des données pour notre application, où nous avons choisi de les classer sur un axe de taille de 64 valeurs (0 à 63), puisque la forme matricielle n'est pas utile dans notre cas. &lt;br/&gt; <br /> Pour cela, nous avons modifié la fonction '''print_result''' dans le fichier '''app_x-cube-tof.c''' d'une manière que les délimiteurs soient le caractéres &lt;code&gt;;&lt;/code&gt;. &lt;br/&gt; La modification du code est faite sous STM32Cube IDE.<br /> Sous NanoEdge, nous avons vérifié la bonne réception des signaux (des valeurs des capteurs); où ces derniers repectent bien la forme attendues.<br /> <br /> =Expérimentation=<br /> Dans un second temps, nous avons choisi d'enregistrer 3 signaux : le signe OK, le signe main ouverte, et le signe poing fermé. Après l'optimisation du dataset durant la phase de benchmarking, l'objectif était de vérifier si notre librairie ainsi construite remplissait son rôle, c'est à dire réussir à identifier les 3 gestes choisis. &lt;br/&gt;<br /> Nous avons à ce stade rencontré plusieurs problèmes et pu identifier certaines erreurs à éviter :<br /> * Tout d'abord, lors de la phase d'émulation de la librairie pour vérifier la pertinence du dataset, il ne nous était pas possible de traiter des données récupérées en temps réel par le port USB, à cause d'une erreur de formattage des données. Nous avons pour cela dû changer le séparateur (le point virgule posait problème), et modifier quelque peu la fonction de print série<br /> * Ensuite, nous avons remarqué l'intérêt de prendre à minima une centaine de valeur pour avoir un modèle fiable et efficace<br /> * Il n'est pas pertinent de vouloir ajouter trop d variations pendant l'enregistrement du dataset (variations de distance, d'angle de la main etc) car cela induit un modèle confus et de nombreuses imprécisions pour la détection ensuite. Il serait plus judicieux d'enregistrer chaque variations en différents gestes, mais qui auront ensuite le même traitement dans le software.<br /> * L'arrière plan pendant l'enregistrement du dataset est important. Il faut éviter les mouvements comme le passage de camarades, ou un changement de décor entre le dataset, et l'utilisation embarquée par la suite<br /> <br /> Nous avons donc réenregistré plusieurs dataset prenant en compte ces remarques.<br /> Voici quelques images qui montrent les gestes et les signes lors de la construction de notre modèle : <br /> <br /> [[Fichier:SIGNE5.jpg|left|thumb|signe FIVE|200px]]<br /> [[Fichier:SIGNEBOOM.jpg|right|thumb|signe POING|200px]]<br /> [[Fichier:NANO1.jpg|centre|thumb|Enregistrement des signaux sous nanoEdge par liaison série|300px]]<br /> <br /> &lt;br/&gt;<br /> <br /> <br /> ==Test du modèle==<br /> Une fois que nous avons construit nos dataset, nous avons réalisé quelques quelques expériences pour savoir si notre modèle répond bien à nos attente.<br /> Sous NanoEdge, nous avons testé le modèle en lui faisant un geste précis. Le modèle était capable de connaître le modèle parmi ceux qui étaient enregistrés lors de la construction du dataset.<br /> <br /> ==Librairie et STM32CUBE==<br /> <br /> Après tester le modèle, on déploie une librairie du NanoEdge, qui contient le modèle du ML le plus aproprié à notre exemple.<br /> Ensuite, vu le but de notre projet (réalisation), nous avons decidé d'allumer une LED, si le signe FIVE est fait, et de l'éttiendre si on lui présente le signe POING. <br /> Pour cela nous avons choisi la LED2 présente sur le Nucleo comme cible.<br /> Un algorithme en Langage C a été mis en place, pour agir sur l'état de la LED, selon le geste fourni au capteur.<br /> Cette implémentation était testée, et nous avons eu le bon résultat attendu, d'où nous garantissons le fonctionnement de notre système.<br /> <br /> [[Fichier:led_on.JPG|left|thumb|LED VERTE allumée suite au signe FIVE|300px]]<br /> <br /> <br /> <br /> <br /> [[Fichier:led_off.jpg|right|thumb|LED VERTE étiente suite au signe POING|300px]]<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> [[Fichier:code_ie_st.jpg|left|thumb|controle de la LED| 300px]]<br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> <br /> [[Fichier:terminal_ie.jpg|right|thumb|Calcul des probs sur des gestes fournies en entrées|300px]]<br /> <br /> =Soutenance du travail=<br /> <br /> *Slides IE : [[Fichier:IE_Slides_LACROIX_KHALAF.pdf]]<br /> <br /> ==Résultats==<br /> <br /> Voici un lien vers la vidéo qui montre le fonctionnement du système : <br /> [[Média:demo_g5.mp4]]</div>

Ylacroix https://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA5_2022/2023_G5&diff=61008 2023-01-07T18:35:19Z

<p>Ylacroix : /* Cassage de mot de passe WPA-PSK par brut force */</p> <hr /> <div>=Installation de l'OS=<br /> <br /> Devuan Chimaera (netinstall) sur les zabeth 17 et 11<br /> <br /> ==Configuration réseau==<br /> *IP machine : 172.26.145.50+n°zabeth/24<br /> *DNS : 193.48.57.48<br /> *Domain name : plil.info<br /> *Routeur : 172.26.145.254<br /> *Proxy : http://proxy.polyetch-lille.fr:3128<br /> <br /> <br /> *mdp dio5 : XXXXXX<br /> <br /> =Ansible=<br /> Prérequis:<br /> *python<br /> *pip<br /> *ansible<br /> Rédaction du script ansible pour le Screen Saver (.yml)<br /> <br /> Tâches accomplies : <br /> * Suppression des animations de veille d'écran<br /> <br /> Tâches restantes : <br /> * Fixer une animation lente pour la veille<br /> * Eteindre complétement l'écran au bout d'un certain temps (1 heure)<br /> <br /> =Réalisation=<br /> ==Installation de la machine virtuelle XEN (séance 2)==<br /> <br /> '''Connexion au serveur hébergeant les VM :'''<br /> ssh root@capbreton.plil.info<br /> <br /> '''Création de l'image de conifguration de la VM :'''<br /> <br /> xen-create-image --ip=193.48.57.105 --gateway=193.48.57.161 --netmask=255.255.255.0 --hostname=dio5 --dist=chimaera --dir=/usr/local/xen/<br /> <br /> /!\ Adresse ip provisoire car réseau 193.48.57.160/27 non créé pour le moment. Actuellement ip : 172.26.145.105 /!\<br /> <br /> '''Modification du fichier de config (image):'''<br /> /etc/xen/dio5.cfg --&gt; <br /> <br /> '''Création de la VM à partir de l'image précédemment créée :'''<br /> xen create dio5.cfg (en étant dans le dir /etc/xen/ évidemment)<br /> <br /> '''Lancement de la VM :'''<br /> xen console dio5<br /> login: root<br /> password: XXXXXX<br /> Vérifier avant que la machine a bien été lancée avec &lt;code&gt;xen create dio5.cfg&lt;/code&gt; par la commande &lt;code&gt;xen list&lt;/code&gt;<br /> <br /> ==Séance 3==<br /> ===Amélioration du coffre fort===<br /> Un dossier compressé est en bas de page<br /> <br /> ===Création des volumes virtuels===<br /> Sur Capbreton, on créé les LVM /home /var avec leurs systèmes de fichiers : <br /> <br /> &lt;code&gt;lvcreate -L10G -ndio5_home storage &lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_home&lt;/code&gt;<br /> <br /> &lt;code&gt;lvcreate -L5G -ndio5_var storage&lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_var&lt;/code&gt;<br /> <br /> Il faut changer le fichier de configuration (situé dans /etc/xen) et y ajouter ces deux lignes dans la partie &lt;code&gt;disk =&lt;/code&gt;<br /> <br /> 'phy:/dev/storage/dio5_home,xvdb1,w',<br /> 'phy:/dev/storage/dio5_var,xvdb2,w',<br /> Ainsi que modifier la ligne &lt;code&gt;vif&lt;/code&gt; comme suit :<br /> vif = [ 'mac=00:16:3E:7B:4D:A4,bridge=IMA5sc' ]<br /> <br /> On relance ensuite la machine avec &lt;code&gt;xen create&lt;/code&gt;. <br /> Pour monter les deux partitions, il faut ensuite modifier le fichier '''/etc/fstab''' comme suit :<br /> /dev/xvdb1 /home ext4 defaults 0 2<br /> /dev/xvdb2 /var ext4 defaults 0 2<br /> Pour que ces modificcations soient prises en compte :<br /> mount -a<br /> reboot<br /> <br /> ==Séance 4==<br /> ===Sécurisation par certificat TLS===<br /> Nous avons commencé par lancer la machine virtuelle qui était créée et configurée lors des séances précédentes. &lt;br/&gt;<br /> Ensuite nous avons acheté le nom de domaine ''' blanquette.site ''' via le fournisseur de nom de domaine GANDI. Ce nom de domaine servira par la suite pour héberger notre site web Apache. &lt;br/&gt;<br /> Pour sécuriser la connexion HTTPS sur Apache, il est nécessaire de créer une clé et un CSR. On utilise pour cela l'utilitaire OpenSSL et on exécute les commandes : &lt;br/&gt;<br /> apt install openssl<br /> openssl req -nodes -newkey rsa:2048 -sha256 -keyout myserver.key -out server.csr -utf8<br /> Pour valider cette demande de certificat et obtenir notre certificat TSL, nous avons également utilisé GANDI.&lt;br/&gt;<br /> <br /> ===Configuration du routeur de secours (Cisco 9200????)===<br /> Pendant que d'autres binômes s'occupaient de la configuration physique des routeurs (câblage), nous nous sommes occupés de configurer le routeur en E304. Pour cela, on accède à l'interface de configuration Cisco du routeur par port série, via minicom :&lt;br/&gt;<br /> minicom -os &quot;&quot;&quot;device:/dev/ttyUSB0, baudrate:9600, pas de contrôle de flux&quot;&quot;&quot;<br /> Depuis cette interface, création de 3 vlan et configuration des ports physiques associés pour répondre à l'architecture réseau demandée pour le TP :<br /> * Connexion entre le routeur et Capbreton sur le VLAN 2 :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 2<br /> routeur(vlan)#name Capb-E304<br /> routeur#exit<br /> routeur#int Te5/4<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 2<br /> Il restera ensuite à configurer ce vlan sur le réseau '''193.48.57.176/28'''<br /> <br /> * Connexion de redondance entre les deux routeurs :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 64<br /> routeur(vlan)#name INTERCO-E306/304<br /> Après le choix du port à connecter sur le routeur, il restera à attribuer ce port au vlan 64 en mode '''trunk'''.<br /> <br /> * Connexion entre le routeur et le SR2<br /> enable<br /> routeur#conf t<br /> routeur#vlan 531<br /> routeur(vlan)#name INTERCO-5A<br /> routeur#exit<br /> routeur#int Te5/5<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 531<br /> Il restera ensuite à configurer ce vlan sur le réseau '''192.168.222.72/29'''<br /> <br /> PHOTO A METTRE !!! &lt;br/&gt;<br /> Pour checker la configuration des vlan du routeur :<br /> routeur#show interfaces status<br /> ou :<br /> routeur#show interface vlan X<br /> <br /> <br /> ==Séance 5==<br /> <br /> Tout d'abord nous avons commencé à vérifer le fonctionnement de notre service SSH sur la machine Xen.<br /> Pour cela nous avons modifié en premier temps après avoir être connecté sur la machine virtuelle le fichier '''sshd_config''' situé dans :<br /> /etc/ssh<br /> comme suit :<br /> # Authentication:<br /> #LoginGraceTime 2m<br /> PermitRootLogin yes<br /> #StrictModes yes<br /> #MaxAuthTries 6<br /> #MaxSessions 10<br /> <br /> d'où nous avons décommenté la ligne de qui nous permet de se connecter en tant que root, ensuite nous avons lui donné cette permission par l'expression '''yes'''.<br /> <br /> Une fois que cette étape est faite, nous avons lancé dans le shell la commande suivante : <br /> root@dio5:~# service ssh restart<br /> Dans le but de prendre en compte les modifications faites.<br /> <br /> Pour vérfier la connexion en ssh, nous lançons depuis notre machine zabeth17 la commande suivante :<br /> root@zabeth17:~# ssh root@172.26.145.105<br /> <br /> '''Attribution de l'adresse IP à VLAN2''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 2<br /> routeur#ip address 193.48.57.178 255.255.255.240<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Attribution de l'adresse IP à VLAN531''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 531<br /> routeur#ip address 192.168.222.75 255.255.255.248<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Configuration et interconnection du port trunk'''<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> conf t<br /> int Te6/5<br /> switchport<br /> switchport trunk encapsulation dot1q<br /> switchport mode trunk<br /> end<br /> <br /> *Afin de sauvegarder ces configurations; on oublie pas de les écrire par la commande :<br /> write<br /> <br /> '''Changement de l'addresse IP de la machine Xen'''<br /> *Changement du Bridge de la machine :<br /> Dans la machine Xen, nous allons modifié le fichier de configuration de notre machine dio5 (situé à /etc/xen/dio5.cfg). Il est devenu comme suivant :<br /> <br /> vif = [ 'mac=00:16:3E:2B:B5:60,bridge=IMA5sc' ]<br /> <br /> Pour prendre les modifications en compte, nous avons arreté la machine xen puis nous l'avons redemaré depuis capbreton étant bien sur dans le repretoire /etc/xen: <br /> <br /> xen shutdown dio5<br /> xen create dio5.cfg <br /> <br /> <br /> <br /> Ensuite nous avons modifié l'addresse IP de la machine dans le fichier '''/etc/network/interfaces''' avec l'addresse IP suivante et la gateway qui correspond :<br /> address 193.48.57.182<br /> gateway 193.48.57.176<br /> Pour que les modifications réseaux seront prises en compte, nous exectutons les commandes suivantes dans la machine Xen: <br /> ifdown -a<br /> ifup -a<br /> <br /> <br /> '''HTTP'''<br /> Pour que notre VM soit accessible en HTTP, il lui faut un serveur HTPP installé. Dans la machine Xen : <br /> apt install apache2<br /> <br /> '''HTTPS'''<br /> L'achat du certificat SSL nous permet de sécuriser la connexion à notre serveur Apache en HTTPS. Pour cela :<br /> a2enmod ssl<br /> a2ensite default-ssl.conf<br /> service apache2 restart<br /> On modifie ensuite le fichier '''/etc/apache2/sites-enabled/default-ssl.conf''' de telle sorte à y renseigner le certificat SSL, le certificat intermédiaire et notre clé privée.<br /> Les certificats sont à télécharger sur Gandi et à transférer sur notre VM en scp.<br /> <br /> Voici le contenu du fichier '''/etc/apache2/sites-enabled/default-ssl.conf''' pour la configuration du '''https''' :<br /> <br /> &lt;VirtualHost *:443&gt;<br /> ServerName bolognaise.site<br /> ServerAlias www.bolognaise.site<br /> ServerAdmin webmaster@bolognaise.site<br /> DocumentRoot /var/www/html<br /> SSLEngine on<br /> SSLCertificateFile /root/bolognaise.site.crt<br /> SSLCertificateKeyFile /root/myserver.key<br /> SSLCertificateChainFile /root/GandiStandardSSLCA2.pem<br /> ErrorLog ${APACHE_LOG_DIR}/error.log<br /> CustomLog ${APACHE_LOG_DIR}/access.log combined<br /> &lt;/VirtualHost&gt;<br /> <br /> On note que &lt;code&gt;VirtualHost *:443&lt;/code&gt; est pour dire que c'est du HTTPS.<br /> Nous avons ensuite modifié le bloc associé au HTTP, d'une façon à avoir une redirection vers du HTTPS comme suivant : <br /> <br /> &lt;VirtualHost *:80&gt;<br /> ServerAdmin webmaster@localhost<br /> DocumentRoot /var/www/html<br /> Redirect / https://bolognaise.site<br /> &lt;/VirtualHost&gt;<br /> <br /> Dans ce cas l'utilisateur va arriver toujours sur notre site héberger en HTTPS grâce à la commande : <br /> Redirect / https://bolognaise.site<br /> <br /> ==Séance 6==<br /> ==Serveur DNS==<br /> <br /> Tout d'abord, sur le site '''gandi''', dans la section Glue record, nous avons renseigné un nom de domaine &lt;code&gt;ns.bolognaise.site&lt;/code&gt;, et nous avons ajouté les adresses IPv4 et IPv6 associé à notre machine xen.<br /> IPv4 : 193.48.57.182<br /> IPv6 : 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> Ensuite dans la section NameServer nous avons ajouté un DNS secondaire &lt;code&gt;ns6.gandi.net&lt;/code&gt; dont son adresse IPv4 est la suivante : &lt;code&gt;217.70.177.40&lt;/code&gt;.<br /> <br /> Nous avons installé bind9 par &lt;code&gt;apt install bind9&lt;/code&gt;.<br /> <br /> '''Configuration du fichier d'option pour bind'''&lt;br/&gt;<br /> Modification du fichier &lt;code&gt;/etc/bind/named.conf.options&lt;/code&gt;<br /> <br /> <br /> options {<br /> directory &quot;/var/cache/bind&quot;;<br /> forwarders {<br /> 8.8.8.8;<br /> 4.4.2.2; //ou 8.8.4.4 <br /> };<br /> dnssec-validation auto;<br /> recursion yes;<br /> listen-on-v6 { any; };<br /> listen-on {any;};<br /> allow-recursion{trusted;};<br /> //allow-transfer{none;};<br /> };<br /> listen-on-v6 { any;}<br /> acl trusted{<br /> 193.48.57.182; //ns.bolognaise.net <br /> 217.70.177.40; //ns6.gandi.net<br /> };<br /> <br /> == Paramétrage routeur E304 ==<br /> Afin de finir la configuration du routeur en E304, il est nécessaire de mettre en place deux protocoles : &lt;br/&gt;&lt;br/&gt;<br /> '''OSBF''': partage de routes entre les deux routeurs<br /> En effet, l'objectif d'avoir 2 routeurs pour accéder au SR52 est d'avoir une redondance du réseau robuste aux pannes. Néanmoins, il faut pour cela que les deux routeurs connaissent chacun les tables de routages de l'autre. Ci-dessous la configuration OSBF du routeur E304 :<br /> router ospf 1<br /> router-id 192.162.222.6<br /> summary-address 192.168.0.0 255.255.0.0 not-advertise<br /> summary-address 193.48.57.176 255.255.255.240<br /> redistribute connected subnets ! subnets allowed<br /> redistribute static subnets route-map ospf ! subnets allowed<br /> network 192.168.222.72 0.0.0.7 area 20<br /> default-information originate<br /> Pour vérifier si le partage de routes est fonctionnel, on tape dans l'interface Cisco du routeur :<br /> do show ip route<br /> Si les routes du routeur en E306 s'affiche, c'est que le protocole a bien été configuré&lt;br/&gt;&lt;br/&gt;<br /> <br /> <br /> '''RIPv6''': <br /> La première est de permettre au routeur d'attribuer des adresses IPv6 aux différentes machines sur son réseau (Xen ...), un peu à la manière d'un DHCP. Ci-dessous la configuration :<br /> interface vlan 2 <br /> ipv6 enable<br /> ipv6 address 2001:660:4401:60b0::/64 eui-64<br /> ipv6 nd prefix 2001:660:4401:60b0::/64 1000 900<br /> ipv6 nd router-preference high<br /> !<br /> ipv6 unicast-routing<br /> <br /> La deuxième étape est d'activer le routage IPv6 entre les deux routeurs et de définir les priorités de route :<br /> ipv6 rip tpima5sc enable<br /> ipv6 router rip tpima5sc<br /> redistribute connected metric 1 XXXXXXXXX<br /> redistribute rip 1 metric 1<br /> redistribute static metric 1<br /> !<br /> Pour tester que le routage IPv6 est bien activé :<br /> do show ipv6 route<br /> <br /> '''VRRP''' :<br /> Pour rendre notre réseau plus robuste, on a finalement implémenté le protocole VRRP sur le routeur. On a simplement repris la configuration donnée dans le sujet de TP et adaptée à notre cas. Pour la priorité, nous avons indiqué :<br /> <br /> vrrp 1 priority 90<br /> De cette manière, on a définit le routeur en E304 de telle sorte à ce qu'il ne soit pas prioritaire par rapport au 6509E en E306, puisque ce dernier a été configuré avec une priorité de 100.<br /> <br /> ===Schéma ===<br /> Pour récapituler l'architecture réseau, on peut regrouper de nombreuses informations dans le schéma ci-dessous :<br /> <br /> [[Fichier:reseau_dio5_1.JPG|350px]]<br /> <br /> = Séance 7 (dernière séance)=<br /> ==Suite DNS==<br /> Fin de la configuration des fichiers DNS '''/etc/bind/named.conf.options''' , '''/etc/bind/named.conf.options.local''' et <br /> <br /> Génération des clés dnssec dans un répertoire '''/etc/bind/bolognaise.site.dnssec'''<br /> <br /> Une fois que le fichier '''/etc/bind/named.conf.options''' est rempli d'une manière à configurer notre DNS, nous avons mis en place une configuration des '''forward''' et des '''zones''' comme suit :<br /> <br /> Dans le fichier '''/etc/bind/named.conf.local''' : <br /> <br /> zone &quot;57.48.193.in-addr.arpa&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.193.48.57&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> zone &quot;bolognaise.site&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.bolognaise.site&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> Une fois que les paramètres sont ajoutés dans le fichier de configurations, nous avons créé ensuite les fichiers de zones comme suit:<br /> <br /> cp /etc/bind/db.local /etc/bind/db.bolognaise.site<br /> Cette commande va nous permettre de copier le contenu du fichier '''db.local''' dans le fichier '''db.bolognaise.site''' et qui sera créé en même temps.<br /> voici le contenu des fichiers '''/etc/bind/db.local''' et '''/etc/bind/db.bolognaise.site''' avant la configuration :<br /> <br /> $TTL 604800<br /> @ IN SOA localhost. root.localhost. (<br /> 2 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS localhost.<br /> @ IN A 127.0.0.1<br /> @ IN AAAA ::1<br /> <br /> Maintenant nous allons modifié le fichier '''/etc/bind/db.bolognaise.site'''<br /> <br /> $TTL 604800<br /> @ IN SOA ns.bolognaise.site. root.bolognaise.site. (<br /> 4 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS ns.bolognaise.site.<br /> @ IN NS ns6.gandi.net.<br /> @ IN A 193.48.57.182<br /> @ IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4 ;addresse IPV6 de dio5<br /> ns IN A 193.48.57.182<br /> ns IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> www IN A 193.48.57.182<br /> www IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> <br /> Pour que les modifications seront prises en compte :<br /> service named restart<br /> <br /> Nous faisions un test pour vérifer la fonctionalité de la forward zone :<br /> <br /> root@dio5:~# host bolognaise.site localhost<br /> Using domain server:<br /> Name: localhost<br /> Address: 127.0.0.1#53<br /> Aliases:<br /> <br /> bolognaise.site has address 193.48.57.182<br /> bolognaise.site has IPv6 address 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> <br /> Ensuite nous allons faire la même démarche pour la '''reverse zone''', où on commence par la copie du fichier comme suit : <br /> cp /etc/bind/db.127 /etc/bind/db.193.48.57 <br /> <br /> Voici le contenu du fichier '''/etc/bind/db.127''' :<br /> <br /> <br /> $TTL 604800<br /> @ IN SOA localhost. root.localhost. (<br /> 1 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS localhost.<br /> 1.0.0 IN PTR localhost.<br /> <br /> <br /> Nous allons configuré le fichier '''/etc/bind/db.193.48.57''' de la façon suivante : <br /> <br /> <br /> $TTL 604800<br /> @ IN SOA ns.bolognaise.site. root.bolognaise.site. (<br /> 1 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS ns.bolognaise.site.<br /> 182 IN PTR ns.bolognaise.site.<br /> <br /> <br /> Pour que les modifications seront prises en compte :<br /> service named restart<br /> <br /> Voici un test pour la reverse zone : <br /> root@dio5:~# host 193.48.57.182 localhost<br /> Using domain server:<br /> Name: localhost<br /> Address: 127.0.0.1#53<br /> Aliases:<br /> <br /> 182.57.48.193.in-addr.arpa domain name pointer ns.bolognaise.site.<br /> Notre DNS étant maintenant fonctionnel, nous avons pu refaire la demande sur Gandi pour les serveurs externes IPv4 et IPv6, pour rappel : ''' ns.bolognaise.site et ns6.gandi.net'''<br /> <br /> == Sécurisation du DNS par DNSSEC ==<br /> Pour sécuriser notre DNS par DNSSEC, nous aurons besions des clés DNSSEC, que nous allons les ranger dans le répertoire suivant : <br /> <br /> /etc/bind/bolognaise.site.dnssec<br /> <br /> Ensuite nous allons créé les clés DNSSEC :<br /> <br /> * '''KSK (Key Signing Key)'''<br /> dnssec-keygen -a RSASHA1 -b 2048 -f KSK -n ZONE bolognaise.site<br /> * '''ZSK (Zone Signing Key)'''<br /> dnssec-keygen -a RSASHA1 -b 1024 -n ZONE bolognaise.site<br /> Puis nous injectons les clés KSK et ZSK (Privées et Publiques) dans les fichiers qui leurs corresponds : <br /> <br /> mv ./Kbolognaise.site.+005+14017.key ./bolognaise.site-zsk.key<br /> mv ./Kbolognaise.site.+005+19378.private ./bolognaise.site-zsk.private<br /> mv ./Kbolognaise.site.+005+13782.private ./bolognaise.site-ksk.private<br /> mv ./Kbolognaise.site.+005+02617.key ./bolognaise.site-ksk.key<br /> <br /> On n'oublie pas de mettre la clé publique '''KSK sur gandi''', en prenant l'algorithme de '''RSA/SHA1'''.<br /> <br /> Dans le fichier '''/etc/bind/named.conf.options''' on ajoute le ligne suivante pour activer le dnssec :<br /> dnssec-enable yes;<br /> <br /> Ensuite nous allons modifié du nouveau le fichier '''/etc/bind/named.conf.local''' <br /> en ajoutant le champs '''signed''': <br /> zone &quot;bolognaise.site&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.bolognaise.site.signed&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> zone &quot;57.48.193.in-addr.arpa&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.193.48.57&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> Cela va impliquer la prise en compte des fichiers des zones.<br /> Après nous allons inclure les clés que nous l'avons créé dans le fichier '''/etc/bind/db.bolognaise.site'''<br /> <br /> *Pour la clé ZSK : <br /> $INCLUDE &quot;/etc/bind/bolognaise.site.dnssec/bolognaise.site-zsk.key&quot;;<br /> *Pour la clé KSK : <br /> $INCLUDE &quot;/etc/bind/bolognaise.site.dnssec/bolognaise.site-ksk.key&quot;;<br /> <br /> Et pour terminer, nous avons signé le fichier de zone comme suivant :<br /> dnssec-signzone -k bolognaise.site-ksk.key -o bolognaise.site ../db.bolognaise.site bolognaise.site-zsk.key<br /> <br /> == Modification du html de notre serveur pour ajouter une photo de BOLOGNAISE ==<br /> <br /> Dans le fichier &lt;code&gt;/var/www/html/index.html&lt;/code&gt;, nous avons modifié le code source de la page de notre site &lt;br/&gt; d'une façon à avoir l'image de bolognaise qui s'affiche. Voici le code HTML : <br /> <br /> <br /> &lt;!DOCTYPE html PUBLIC &quot;-//W3C//DTD XHTML 1.0 Transitional//EN&quot; &quot;http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd&quot;&gt;<br /> &lt;html xmlns=&quot;http://www.w3.org/1999/xhtml&quot;&gt;<br /> &lt;head&gt;<br /> &lt;meta http-equiv=&quot;Content-Type&quot; content=&quot;text/html; charset=UTF-8&quot; /&gt;<br /> &lt;title&gt;NOS Bolognaises !!!&lt;/title&gt;<br /> &lt;/head&gt;<br /> <br /> &lt;style&gt;<br /> img{<br /> height:70vh;<br /> margin:auto;<br /> display:block;<br /> }<br /> <br /> &lt;/style&gt;<br /> &lt;body&gt;<br /> &lt;img src=&quot;bolognaise.jpg&quot;&gt;<br /> &lt;a href=&quot;portail.polytech-lille.fr&quot;&gt;ICI polytech&lt;/a&gt;<br /> &lt;/body&gt;<br /> &lt;/html&gt;<br /> <br /> Si on écrit dans un navigateur : &lt;code&gt;https://bolognaise.site&lt;/code&gt; on peut arriver directement dans notre site.<br /> <br /> ==Gestion de fail2ban==<br /> Nous avons commencé par installer la commande '''fail2ban''' : <br /> <br /> apt install fail2ban<br /> <br /> Puis nous avons activé le fil2ban comme suivant :<br /> <br /> root@dio5:~# service fail2ban active<br /> Usage: /etc/init.d/fail2ban {start|force-start|stop|restart|force reload|status}<br /> root@dio5:~# service fail2ban enable<br /> Usage: /etc/init.d/fail2ban {start|force-start|stop|restart|force-reload|status}<br /> <br /> Nous regardons le status du fail2ban : <br /> <br /> root@dio5:~# service fail2ban status<br /> Status of Authentication failure monitor:fail2ban is running.<br /> <br /> Dans le fichier '''/etc/fail2ban/jail.d/defaults-debian.conf''' nous activons le '''name refused''' en ajoutant les 2 lignes suivantes : <br /> [named-refused]<br /> enabled = true<br /> <br /> Dans le fichier '''/etc/bind/named.conf.options''', on va allumer le service de loggin de named-refused, qui est par défault éteint, pour cela nous ajoutant ce bloc : <br /> <br /> logging {<br /> <br /> channel security_file{<br /> file &quot;/var/log/named/security.log&quot; versions 3 size 30m;<br /> severity dynamic;<br /> print-time yes;<br /> };<br /> category security{<br /> security_file;<br /> };<br /> <br /> Dans le fichier '''/etc/bind/named.conf.options''' nous allons définir le nombre max de reponses par seconde que le server peut l'accepter avant de faire le ban, pour cela on ajoute le bloc suivant : <br /> <br /> rate-limit{<br /> responses-per-second 5;<br /> };<br /> <br /> Le nombre max des reponses par seconde est fixé à 5.<br /> <br /> Comme que nous allons écrire dans le fichier '''security.log''' et que ce fichier n'existe pas, donc nous allons le créer et créer les dossiers qui correspondent :<br /> *Création du dossier '''named''': <br /> mkdir /var/log/named<br /> *Création du fichier '''security.log''' qui vide au départ:<br /> touch security.log étant dans le dossier /var/log/named<br /> <br /> Et comme que ce dossier &lt;code&gt;named/&lt;/code&gt; appartient au service bind (named) donc il était nécessaire de lui associé un '''owner''' qui est le bind9 :<br /> <br /> *Etant dans le dossier /var/log : <br /> chown bind named/<br /> chown bind named/security.log<br /> <br /> Pour vérifier la prise en compte des changement : <br /> <br /> root@dio5:~# ls -l /var/log/ | grep named<br /> drwxr-xr-x 2 bind root 4096 Nov 30 09:56 named<br /> root@dio5:~# ls -l /var/log/named/<br /> total 12<br /> -rw-r--r-- 1 bind root 10898 Dec 7 17:43 security.log<br /> <br /> On restart les services pour prendre en compte les modifications: <br /> service named restart<br /> <br /> == Mise en place d'un RAID 5==<br /> Dans le but de rendre les données de notre VM sécurisées (résilience aux problèmes hardware de disque), nous mettons en place une configuration RAID 5. Pour cela :<br /> Création de 3 partitions LVM de 1Go sur capbreton :<br /> lvcreate -L1G -nbolo-raid1 storage<br /> lvcreate -L1G -nbolo-raid2 storage<br /> lvcreate -L1G -nbolo-raid3 storage<br /> Il faut évidemment modifier le fichier de configuration (/etc/xen/dio5.cfg) de notre VM en conséquence pour rattacher ces 3 partitions dans la partie &lt;code&gt;disk&lt;/code&gt;:<br /> 'phy:/dev/storage/bolo-raidX,xvdb3,w' en répétant cette ligne pour X variant de 1 à 3<br /> On redémarre ensuite la VM :<br /> halt<br /> Puis sur capbreton on exécute :<br /> xen-create-image dio5.cfg<br /> xen console dio5<br /> On peut maintenant créer depuis la xen le système RAID5:<br /> mdadm --create /dev/md0 --level=5 --raid-devices 3 /dev/xvdb3 /dev/xvdb4 /dev/xvdb5<br /> mkfs /dev/md0 ''création du système de fichiers''<br /> mount /dev/md0 /mnt ''on monte le disque RAID5''<br /> Rappel des commandes utiles :<br /> lsblk : affiche la liste et les caractéristiques tous les disques et leurs partitions <br /> df : affiche la valeur d'espace disque disponible des systèmes de fichier disponibles en écriture pour le user<br /> === Test de résistance de notre RAID 5 ===<br /> On commence par enregistrer un fichier sur notre partition dans /mnt :<br /> cd /mnt ; echo &quot;Test résistance RAID5&quot; &gt; test.txt<br /> Pour simuler un cas de défaillance d'un des 3 disques, on commente dans le fichier de configuration de la xen une des lignes correspondant à un des 3 disques, puis on reboot la xen.<br /> Une fois démarrée, on peut vérifier que la reconstruction des données à bien fonctionné simplement en exécutant :<br /> cd /mnt ; cat test.txt<br /> Ce qui nous donne en sortie dans la console :<br /> Test résistantce RAID5<br /> Notre système RAID5 est donc fonctionnel.<br /> <br /> == Cassage de mot de passe WEP ==<br /> On va pour cette activité utiliser le paquet aircrack-ng. Une fois l'interface réseau Wifi identifiée (wlan0mon), on démarre aircrack-ng dessus :<br /> airmon-ng start wlan0mon<br /> On écoute ensuite tout ce qui passe sur cette interface pour identifier le BSSID correspondant à notre groupe (SSID cracotte05), et le channel associé:<br /> airodump-ng -c wlan0mon<br /> Une fois le BSSID identifié (XXXXXX), on recommence l'écoute du réseau mais cette fois en filtrant pour ne récupérer que des trames correspondant au SSID que l'on souhaite cracker :<br /> airodump-ng -c 13 --bssid 04:DA:D2:9C:50:54 -w cracotte08 wlan0mon <br /> Une fois un nombre de paquets suffisants récupérés, on lance l'algorithme de crackage pour récupéré la clé WEP :<br /> aircrack-ng cracotte05-01.cap<br /> On trouve : '''FF:FF:FF:FF:FA:BC:06:CB:AE:EE:EE:EE:EE <br /> <br /> <br /> [[Fichier:WEP.jpg]]<br /> <br /> == Cassage de mot de passe WPA-PSK par brut force==<br /> Pour le point d'accès sécurisé en WPA-PSK, il va falloir faire du brute force pour récupérer la clé. Nous savons que le mot de passe est une suite de 8 chiffres, on commence donc par créer un dictionnaire contenant toutes les possibilités à tester :<br /> crunch 8 8 0123456789 -o dico.txt<br /> Ensuite, même méthode que précédemment, on utilise le package aircrack-ng pour analyser le réseau et trouver le BSSID associé au point d'accès de notre groupe (kracotte05), et on trouve :<br /> BSSID : 44:AD:D9:5F:87:04<br /> Une fois un nombre de paquets récupérés suffisants, on peut lancer le carckage par brute force :<br /> aircrack-ng -w dico.txt -b 44:AD:D9:5F:87:04 kracotte05-01.cap<br /> Après plus d'une heure, la clé est trouvée ;<br /> 49905998<br /> [[Fichier:WPA-PSK.jpg]]<br /> <br /> =Coffre Fort=<br /> <br /> [[Fichier:Coffre_secret2.zip]]</div>

Ylacroix https://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA5_2022/2023_G5&diff=61007 2023-01-07T18:34:54Z

<p>Ylacroix : /* Cassage de mot de passe WPA-PSK par brut force */</p> <hr /> <div>=Installation de l'OS=<br /> <br /> Devuan Chimaera (netinstall) sur les zabeth 17 et 11<br /> <br /> ==Configuration réseau==<br /> *IP machine : 172.26.145.50+n°zabeth/24<br /> *DNS : 193.48.57.48<br /> *Domain name : plil.info<br /> *Routeur : 172.26.145.254<br /> *Proxy : http://proxy.polyetch-lille.fr:3128<br /> <br /> <br /> *mdp dio5 : XXXXXX<br /> <br /> =Ansible=<br /> Prérequis:<br /> *python<br /> *pip<br /> *ansible<br /> Rédaction du script ansible pour le Screen Saver (.yml)<br /> <br /> Tâches accomplies : <br /> * Suppression des animations de veille d'écran<br /> <br /> Tâches restantes : <br /> * Fixer une animation lente pour la veille<br /> * Eteindre complétement l'écran au bout d'un certain temps (1 heure)<br /> <br /> =Réalisation=<br /> ==Installation de la machine virtuelle XEN (séance 2)==<br /> <br /> '''Connexion au serveur hébergeant les VM :'''<br /> ssh root@capbreton.plil.info<br /> <br /> '''Création de l'image de conifguration de la VM :'''<br /> <br /> xen-create-image --ip=193.48.57.105 --gateway=193.48.57.161 --netmask=255.255.255.0 --hostname=dio5 --dist=chimaera --dir=/usr/local/xen/<br /> <br /> /!\ Adresse ip provisoire car réseau 193.48.57.160/27 non créé pour le moment. Actuellement ip : 172.26.145.105 /!\<br /> <br /> '''Modification du fichier de config (image):'''<br /> /etc/xen/dio5.cfg --&gt; <br /> <br /> '''Création de la VM à partir de l'image précédemment créée :'''<br /> xen create dio5.cfg (en étant dans le dir /etc/xen/ évidemment)<br /> <br /> '''Lancement de la VM :'''<br /> xen console dio5<br /> login: root<br /> password: XXXXXX<br /> Vérifier avant que la machine a bien été lancée avec &lt;code&gt;xen create dio5.cfg&lt;/code&gt; par la commande &lt;code&gt;xen list&lt;/code&gt;<br /> <br /> ==Séance 3==<br /> ===Amélioration du coffre fort===<br /> Un dossier compressé est en bas de page<br /> <br /> ===Création des volumes virtuels===<br /> Sur Capbreton, on créé les LVM /home /var avec leurs systèmes de fichiers : <br /> <br /> &lt;code&gt;lvcreate -L10G -ndio5_home storage &lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_home&lt;/code&gt;<br /> <br /> &lt;code&gt;lvcreate -L5G -ndio5_var storage&lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_var&lt;/code&gt;<br /> <br /> Il faut changer le fichier de configuration (situé dans /etc/xen) et y ajouter ces deux lignes dans la partie &lt;code&gt;disk =&lt;/code&gt;<br /> <br /> 'phy:/dev/storage/dio5_home,xvdb1,w',<br /> 'phy:/dev/storage/dio5_var,xvdb2,w',<br /> Ainsi que modifier la ligne &lt;code&gt;vif&lt;/code&gt; comme suit :<br /> vif = [ 'mac=00:16:3E:7B:4D:A4,bridge=IMA5sc' ]<br /> <br /> On relance ensuite la machine avec &lt;code&gt;xen create&lt;/code&gt;. <br /> Pour monter les deux partitions, il faut ensuite modifier le fichier '''/etc/fstab''' comme suit :<br /> /dev/xvdb1 /home ext4 defaults 0 2<br /> /dev/xvdb2 /var ext4 defaults 0 2<br /> Pour que ces modificcations soient prises en compte :<br /> mount -a<br /> reboot<br /> <br /> ==Séance 4==<br /> ===Sécurisation par certificat TLS===<br /> Nous avons commencé par lancer la machine virtuelle qui était créée et configurée lors des séances précédentes. &lt;br/&gt;<br /> Ensuite nous avons acheté le nom de domaine ''' blanquette.site ''' via le fournisseur de nom de domaine GANDI. Ce nom de domaine servira par la suite pour héberger notre site web Apache. &lt;br/&gt;<br /> Pour sécuriser la connexion HTTPS sur Apache, il est nécessaire de créer une clé et un CSR. On utilise pour cela l'utilitaire OpenSSL et on exécute les commandes : &lt;br/&gt;<br /> apt install openssl<br /> openssl req -nodes -newkey rsa:2048 -sha256 -keyout myserver.key -out server.csr -utf8<br /> Pour valider cette demande de certificat et obtenir notre certificat TSL, nous avons également utilisé GANDI.&lt;br/&gt;<br /> <br /> ===Configuration du routeur de secours (Cisco 9200????)===<br /> Pendant que d'autres binômes s'occupaient de la configuration physique des routeurs (câblage), nous nous sommes occupés de configurer le routeur en E304. Pour cela, on accède à l'interface de configuration Cisco du routeur par port série, via minicom :&lt;br/&gt;<br /> minicom -os &quot;&quot;&quot;device:/dev/ttyUSB0, baudrate:9600, pas de contrôle de flux&quot;&quot;&quot;<br /> Depuis cette interface, création de 3 vlan et configuration des ports physiques associés pour répondre à l'architecture réseau demandée pour le TP :<br /> * Connexion entre le routeur et Capbreton sur le VLAN 2 :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 2<br /> routeur(vlan)#name Capb-E304<br /> routeur#exit<br /> routeur#int Te5/4<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 2<br /> Il restera ensuite à configurer ce vlan sur le réseau '''193.48.57.176/28'''<br /> <br /> * Connexion de redondance entre les deux routeurs :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 64<br /> routeur(vlan)#name INTERCO-E306/304<br /> Après le choix du port à connecter sur le routeur, il restera à attribuer ce port au vlan 64 en mode '''trunk'''.<br /> <br /> * Connexion entre le routeur et le SR2<br /> enable<br /> routeur#conf t<br /> routeur#vlan 531<br /> routeur(vlan)#name INTERCO-5A<br /> routeur#exit<br /> routeur#int Te5/5<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 531<br /> Il restera ensuite à configurer ce vlan sur le réseau '''192.168.222.72/29'''<br /> <br /> PHOTO A METTRE !!! &lt;br/&gt;<br /> Pour checker la configuration des vlan du routeur :<br /> routeur#show interfaces status<br /> ou :<br /> routeur#show interface vlan X<br /> <br /> <br /> ==Séance 5==<br /> <br /> Tout d'abord nous avons commencé à vérifer le fonctionnement de notre service SSH sur la machine Xen.<br /> Pour cela nous avons modifié en premier temps après avoir être connecté sur la machine virtuelle le fichier '''sshd_config''' situé dans :<br /> /etc/ssh<br /> comme suit :<br /> # Authentication:<br /> #LoginGraceTime 2m<br /> PermitRootLogin yes<br /> #StrictModes yes<br /> #MaxAuthTries 6<br /> #MaxSessions 10<br /> <br /> d'où nous avons décommenté la ligne de qui nous permet de se connecter en tant que root, ensuite nous avons lui donné cette permission par l'expression '''yes'''.<br /> <br /> Une fois que cette étape est faite, nous avons lancé dans le shell la commande suivante : <br /> root@dio5:~# service ssh restart<br /> Dans le but de prendre en compte les modifications faites.<br /> <br /> Pour vérfier la connexion en ssh, nous lançons depuis notre machine zabeth17 la commande suivante :<br /> root@zabeth17:~# ssh root@172.26.145.105<br /> <br /> '''Attribution de l'adresse IP à VLAN2''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 2<br /> routeur#ip address 193.48.57.178 255.255.255.240<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Attribution de l'adresse IP à VLAN531''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 531<br /> routeur#ip address 192.168.222.75 255.255.255.248<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Configuration et interconnection du port trunk'''<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> conf t<br /> int Te6/5<br /> switchport<br /> switchport trunk encapsulation dot1q<br /> switchport mode trunk<br /> end<br /> <br /> *Afin de sauvegarder ces configurations; on oublie pas de les écrire par la commande :<br /> write<br /> <br /> '''Changement de l'addresse IP de la machine Xen'''<br /> *Changement du Bridge de la machine :<br /> Dans la machine Xen, nous allons modifié le fichier de configuration de notre machine dio5 (situé à /etc/xen/dio5.cfg). Il est devenu comme suivant :<br /> <br /> vif = [ 'mac=00:16:3E:2B:B5:60,bridge=IMA5sc' ]<br /> <br /> Pour prendre les modifications en compte, nous avons arreté la machine xen puis nous l'avons redemaré depuis capbreton étant bien sur dans le repretoire /etc/xen: <br /> <br /> xen shutdown dio5<br /> xen create dio5.cfg <br /> <br /> <br /> <br /> Ensuite nous avons modifié l'addresse IP de la machine dans le fichier '''/etc/network/interfaces''' avec l'addresse IP suivante et la gateway qui correspond :<br /> address 193.48.57.182<br /> gateway 193.48.57.176<br /> Pour que les modifications réseaux seront prises en compte, nous exectutons les commandes suivantes dans la machine Xen: <br /> ifdown -a<br /> ifup -a<br /> <br /> <br /> '''HTTP'''<br /> Pour que notre VM soit accessible en HTTP, il lui faut un serveur HTPP installé. Dans la machine Xen : <br /> apt install apache2<br /> <br /> '''HTTPS'''<br /> L'achat du certificat SSL nous permet de sécuriser la connexion à notre serveur Apache en HTTPS. Pour cela :<br /> a2enmod ssl<br /> a2ensite default-ssl.conf<br /> service apache2 restart<br /> On modifie ensuite le fichier '''/etc/apache2/sites-enabled/default-ssl.conf''' de telle sorte à y renseigner le certificat SSL, le certificat intermédiaire et notre clé privée.<br /> Les certificats sont à télécharger sur Gandi et à transférer sur notre VM en scp.<br /> <br /> Voici le contenu du fichier '''/etc/apache2/sites-enabled/default-ssl.conf''' pour la configuration du '''https''' :<br /> <br /> &lt;VirtualHost *:443&gt;<br /> ServerName bolognaise.site<br /> ServerAlias www.bolognaise.site<br /> ServerAdmin webmaster@bolognaise.site<br /> DocumentRoot /var/www/html<br /> SSLEngine on<br /> SSLCertificateFile /root/bolognaise.site.crt<br /> SSLCertificateKeyFile /root/myserver.key<br /> SSLCertificateChainFile /root/GandiStandardSSLCA2.pem<br /> ErrorLog ${APACHE_LOG_DIR}/error.log<br /> CustomLog ${APACHE_LOG_DIR}/access.log combined<br /> &lt;/VirtualHost&gt;<br /> <br /> On note que &lt;code&gt;VirtualHost *:443&lt;/code&gt; est pour dire que c'est du HTTPS.<br /> Nous avons ensuite modifié le bloc associé au HTTP, d'une façon à avoir une redirection vers du HTTPS comme suivant : <br /> <br /> &lt;VirtualHost *:80&gt;<br /> ServerAdmin webmaster@localhost<br /> DocumentRoot /var/www/html<br /> Redirect / https://bolognaise.site<br /> &lt;/VirtualHost&gt;<br /> <br /> Dans ce cas l'utilisateur va arriver toujours sur notre site héberger en HTTPS grâce à la commande : <br /> Redirect / https://bolognaise.site<br /> <br /> ==Séance 6==<br /> ==Serveur DNS==<br /> <br /> Tout d'abord, sur le site '''gandi''', dans la section Glue record, nous avons renseigné un nom de domaine &lt;code&gt;ns.bolognaise.site&lt;/code&gt;, et nous avons ajouté les adresses IPv4 et IPv6 associé à notre machine xen.<br /> IPv4 : 193.48.57.182<br /> IPv6 : 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> Ensuite dans la section NameServer nous avons ajouté un DNS secondaire &lt;code&gt;ns6.gandi.net&lt;/code&gt; dont son adresse IPv4 est la suivante : &lt;code&gt;217.70.177.40&lt;/code&gt;.<br /> <br /> Nous avons installé bind9 par &lt;code&gt;apt install bind9&lt;/code&gt;.<br /> <br /> '''Configuration du fichier d'option pour bind'''&lt;br/&gt;<br /> Modification du fichier &lt;code&gt;/etc/bind/named.conf.options&lt;/code&gt;<br /> <br /> <br /> options {<br /> directory &quot;/var/cache/bind&quot;;<br /> forwarders {<br /> 8.8.8.8;<br /> 4.4.2.2; //ou 8.8.4.4 <br /> };<br /> dnssec-validation auto;<br /> recursion yes;<br /> listen-on-v6 { any; };<br /> listen-on {any;};<br /> allow-recursion{trusted;};<br /> //allow-transfer{none;};<br /> };<br /> listen-on-v6 { any;}<br /> acl trusted{<br /> 193.48.57.182; //ns.bolognaise.net <br /> 217.70.177.40; //ns6.gandi.net<br /> };<br /> <br /> == Paramétrage routeur E304 ==<br /> Afin de finir la configuration du routeur en E304, il est nécessaire de mettre en place deux protocoles : &lt;br/&gt;&lt;br/&gt;<br /> '''OSBF''': partage de routes entre les deux routeurs<br /> En effet, l'objectif d'avoir 2 routeurs pour accéder au SR52 est d'avoir une redondance du réseau robuste aux pannes. Néanmoins, il faut pour cela que les deux routeurs connaissent chacun les tables de routages de l'autre. Ci-dessous la configuration OSBF du routeur E304 :<br /> router ospf 1<br /> router-id 192.162.222.6<br /> summary-address 192.168.0.0 255.255.0.0 not-advertise<br /> summary-address 193.48.57.176 255.255.255.240<br /> redistribute connected subnets ! subnets allowed<br /> redistribute static subnets route-map ospf ! subnets allowed<br /> network 192.168.222.72 0.0.0.7 area 20<br /> default-information originate<br /> Pour vérifier si le partage de routes est fonctionnel, on tape dans l'interface Cisco du routeur :<br /> do show ip route<br /> Si les routes du routeur en E306 s'affiche, c'est que le protocole a bien été configuré&lt;br/&gt;&lt;br/&gt;<br /> <br /> <br /> '''RIPv6''': <br /> La première est de permettre au routeur d'attribuer des adresses IPv6 aux différentes machines sur son réseau (Xen ...), un peu à la manière d'un DHCP. Ci-dessous la configuration :<br /> interface vlan 2 <br /> ipv6 enable<br /> ipv6 address 2001:660:4401:60b0::/64 eui-64<br /> ipv6 nd prefix 2001:660:4401:60b0::/64 1000 900<br /> ipv6 nd router-preference high<br /> !<br /> ipv6 unicast-routing<br /> <br /> La deuxième étape est d'activer le routage IPv6 entre les deux routeurs et de définir les priorités de route :<br /> ipv6 rip tpima5sc enable<br /> ipv6 router rip tpima5sc<br /> redistribute connected metric 1 XXXXXXXXX<br /> redistribute rip 1 metric 1<br /> redistribute static metric 1<br /> !<br /> Pour tester que le routage IPv6 est bien activé :<br /> do show ipv6 route<br /> <br /> '''VRRP''' :<br /> Pour rendre notre réseau plus robuste, on a finalement implémenté le protocole VRRP sur le routeur. On a simplement repris la configuration donnée dans le sujet de TP et adaptée à notre cas. Pour la priorité, nous avons indiqué :<br /> <br /> vrrp 1 priority 90<br /> De cette manière, on a définit le routeur en E304 de telle sorte à ce qu'il ne soit pas prioritaire par rapport au 6509E en E306, puisque ce dernier a été configuré avec une priorité de 100.<br /> <br /> ===Schéma ===<br /> Pour récapituler l'architecture réseau, on peut regrouper de nombreuses informations dans le schéma ci-dessous :<br /> <br /> [[Fichier:reseau_dio5_1.JPG|350px]]<br /> <br /> = Séance 7 (dernière séance)=<br /> ==Suite DNS==<br /> Fin de la configuration des fichiers DNS '''/etc/bind/named.conf.options''' , '''/etc/bind/named.conf.options.local''' et <br /> <br /> Génération des clés dnssec dans un répertoire '''/etc/bind/bolognaise.site.dnssec'''<br /> <br /> Une fois que le fichier '''/etc/bind/named.conf.options''' est rempli d'une manière à configurer notre DNS, nous avons mis en place une configuration des '''forward''' et des '''zones''' comme suit :<br /> <br /> Dans le fichier '''/etc/bind/named.conf.local''' : <br /> <br /> zone &quot;57.48.193.in-addr.arpa&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.193.48.57&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> zone &quot;bolognaise.site&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.bolognaise.site&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> Une fois que les paramètres sont ajoutés dans le fichier de configurations, nous avons créé ensuite les fichiers de zones comme suit:<br /> <br /> cp /etc/bind/db.local /etc/bind/db.bolognaise.site<br /> Cette commande va nous permettre de copier le contenu du fichier '''db.local''' dans le fichier '''db.bolognaise.site''' et qui sera créé en même temps.<br /> voici le contenu des fichiers '''/etc/bind/db.local''' et '''/etc/bind/db.bolognaise.site''' avant la configuration :<br /> <br /> $TTL 604800<br /> @ IN SOA localhost. root.localhost. (<br /> 2 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS localhost.<br /> @ IN A 127.0.0.1<br /> @ IN AAAA ::1<br /> <br /> Maintenant nous allons modifié le fichier '''/etc/bind/db.bolognaise.site'''<br /> <br /> $TTL 604800<br /> @ IN SOA ns.bolognaise.site. root.bolognaise.site. (<br /> 4 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS ns.bolognaise.site.<br /> @ IN NS ns6.gandi.net.<br /> @ IN A 193.48.57.182<br /> @ IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4 ;addresse IPV6 de dio5<br /> ns IN A 193.48.57.182<br /> ns IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> www IN A 193.48.57.182<br /> www IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> <br /> Pour que les modifications seront prises en compte :<br /> service named restart<br /> <br /> Nous faisions un test pour vérifer la fonctionalité de la forward zone :<br /> <br /> root@dio5:~# host bolognaise.site localhost<br /> Using domain server:<br /> Name: localhost<br /> Address: 127.0.0.1#53<br /> Aliases:<br /> <br /> bolognaise.site has address 193.48.57.182<br /> bolognaise.site has IPv6 address 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> <br /> Ensuite nous allons faire la même démarche pour la '''reverse zone''', où on commence par la copie du fichier comme suit : <br /> cp /etc/bind/db.127 /etc/bind/db.193.48.57 <br /> <br /> Voici le contenu du fichier '''/etc/bind/db.127''' :<br /> <br /> <br /> $TTL 604800<br /> @ IN SOA localhost. root.localhost. (<br /> 1 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS localhost.<br /> 1.0.0 IN PTR localhost.<br /> <br /> <br /> Nous allons configuré le fichier '''/etc/bind/db.193.48.57''' de la façon suivante : <br /> <br /> <br /> $TTL 604800<br /> @ IN SOA ns.bolognaise.site. root.bolognaise.site. (<br /> 1 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS ns.bolognaise.site.<br /> 182 IN PTR ns.bolognaise.site.<br /> <br /> <br /> Pour que les modifications seront prises en compte :<br /> service named restart<br /> <br /> Voici un test pour la reverse zone : <br /> root@dio5:~# host 193.48.57.182 localhost<br /> Using domain server:<br /> Name: localhost<br /> Address: 127.0.0.1#53<br /> Aliases:<br /> <br /> 182.57.48.193.in-addr.arpa domain name pointer ns.bolognaise.site.<br /> Notre DNS étant maintenant fonctionnel, nous avons pu refaire la demande sur Gandi pour les serveurs externes IPv4 et IPv6, pour rappel : ''' ns.bolognaise.site et ns6.gandi.net'''<br /> <br /> == Sécurisation du DNS par DNSSEC ==<br /> Pour sécuriser notre DNS par DNSSEC, nous aurons besions des clés DNSSEC, que nous allons les ranger dans le répertoire suivant : <br /> <br /> /etc/bind/bolognaise.site.dnssec<br /> <br /> Ensuite nous allons créé les clés DNSSEC :<br /> <br /> * '''KSK (Key Signing Key)'''<br /> dnssec-keygen -a RSASHA1 -b 2048 -f KSK -n ZONE bolognaise.site<br /> * '''ZSK (Zone Signing Key)'''<br /> dnssec-keygen -a RSASHA1 -b 1024 -n ZONE bolognaise.site<br /> Puis nous injectons les clés KSK et ZSK (Privées et Publiques) dans les fichiers qui leurs corresponds : <br /> <br /> mv ./Kbolognaise.site.+005+14017.key ./bolognaise.site-zsk.key<br /> mv ./Kbolognaise.site.+005+19378.private ./bolognaise.site-zsk.private<br /> mv ./Kbolognaise.site.+005+13782.private ./bolognaise.site-ksk.private<br /> mv ./Kbolognaise.site.+005+02617.key ./bolognaise.site-ksk.key<br /> <br /> On n'oublie pas de mettre la clé publique '''KSK sur gandi''', en prenant l'algorithme de '''RSA/SHA1'''.<br /> <br /> Dans le fichier '''/etc/bind/named.conf.options''' on ajoute le ligne suivante pour activer le dnssec :<br /> dnssec-enable yes;<br /> <br /> Ensuite nous allons modifié du nouveau le fichier '''/etc/bind/named.conf.local''' <br /> en ajoutant le champs '''signed''': <br /> zone &quot;bolognaise.site&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.bolognaise.site.signed&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> zone &quot;57.48.193.in-addr.arpa&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.193.48.57&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> Cela va impliquer la prise en compte des fichiers des zones.<br /> Après nous allons inclure les clés que nous l'avons créé dans le fichier '''/etc/bind/db.bolognaise.site'''<br /> <br /> *Pour la clé ZSK : <br /> $INCLUDE &quot;/etc/bind/bolognaise.site.dnssec/bolognaise.site-zsk.key&quot;;<br /> *Pour la clé KSK : <br /> $INCLUDE &quot;/etc/bind/bolognaise.site.dnssec/bolognaise.site-ksk.key&quot;;<br /> <br /> Et pour terminer, nous avons signé le fichier de zone comme suivant :<br /> dnssec-signzone -k bolognaise.site-ksk.key -o bolognaise.site ../db.bolognaise.site bolognaise.site-zsk.key<br /> <br /> == Modification du html de notre serveur pour ajouter une photo de BOLOGNAISE ==<br /> <br /> Dans le fichier &lt;code&gt;/var/www/html/index.html&lt;/code&gt;, nous avons modifié le code source de la page de notre site &lt;br/&gt; d'une façon à avoir l'image de bolognaise qui s'affiche. Voici le code HTML : <br /> <br /> <br /> &lt;!DOCTYPE html PUBLIC &quot;-//W3C//DTD XHTML 1.0 Transitional//EN&quot; &quot;http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd&quot;&gt;<br /> &lt;html xmlns=&quot;http://www.w3.org/1999/xhtml&quot;&gt;<br /> &lt;head&gt;<br /> &lt;meta http-equiv=&quot;Content-Type&quot; content=&quot;text/html; charset=UTF-8&quot; /&gt;<br /> &lt;title&gt;NOS Bolognaises !!!&lt;/title&gt;<br /> &lt;/head&gt;<br /> <br /> &lt;style&gt;<br /> img{<br /> height:70vh;<br /> margin:auto;<br /> display:block;<br /> }<br /> <br /> &lt;/style&gt;<br /> &lt;body&gt;<br /> &lt;img src=&quot;bolognaise.jpg&quot;&gt;<br /> &lt;a href=&quot;portail.polytech-lille.fr&quot;&gt;ICI polytech&lt;/a&gt;<br /> &lt;/body&gt;<br /> &lt;/html&gt;<br /> <br /> Si on écrit dans un navigateur : &lt;code&gt;https://bolognaise.site&lt;/code&gt; on peut arriver directement dans notre site.<br /> <br /> ==Gestion de fail2ban==<br /> Nous avons commencé par installer la commande '''fail2ban''' : <br /> <br /> apt install fail2ban<br /> <br /> Puis nous avons activé le fil2ban comme suivant :<br /> <br /> root@dio5:~# service fail2ban active<br /> Usage: /etc/init.d/fail2ban {start|force-start|stop|restart|force reload|status}<br /> root@dio5:~# service fail2ban enable<br /> Usage: /etc/init.d/fail2ban {start|force-start|stop|restart|force-reload|status}<br /> <br /> Nous regardons le status du fail2ban : <br /> <br /> root@dio5:~# service fail2ban status<br /> Status of Authentication failure monitor:fail2ban is running.<br /> <br /> Dans le fichier '''/etc/fail2ban/jail.d/defaults-debian.conf''' nous activons le '''name refused''' en ajoutant les 2 lignes suivantes : <br /> [named-refused]<br /> enabled = true<br /> <br /> Dans le fichier '''/etc/bind/named.conf.options''', on va allumer le service de loggin de named-refused, qui est par défault éteint, pour cela nous ajoutant ce bloc : <br /> <br /> logging {<br /> <br /> channel security_file{<br /> file &quot;/var/log/named/security.log&quot; versions 3 size 30m;<br /> severity dynamic;<br /> print-time yes;<br /> };<br /> category security{<br /> security_file;<br /> };<br /> <br /> Dans le fichier '''/etc/bind/named.conf.options''' nous allons définir le nombre max de reponses par seconde que le server peut l'accepter avant de faire le ban, pour cela on ajoute le bloc suivant : <br /> <br /> rate-limit{<br /> responses-per-second 5;<br /> };<br /> <br /> Le nombre max des reponses par seconde est fixé à 5.<br /> <br /> Comme que nous allons écrire dans le fichier '''security.log''' et que ce fichier n'existe pas, donc nous allons le créer et créer les dossiers qui correspondent :<br /> *Création du dossier '''named''': <br /> mkdir /var/log/named<br /> *Création du fichier '''security.log''' qui vide au départ:<br /> touch security.log étant dans le dossier /var/log/named<br /> <br /> Et comme que ce dossier &lt;code&gt;named/&lt;/code&gt; appartient au service bind (named) donc il était nécessaire de lui associé un '''owner''' qui est le bind9 :<br /> <br /> *Etant dans le dossier /var/log : <br /> chown bind named/<br /> chown bind named/security.log<br /> <br /> Pour vérifier la prise en compte des changement : <br /> <br /> root@dio5:~# ls -l /var/log/ | grep named<br /> drwxr-xr-x 2 bind root 4096 Nov 30 09:56 named<br /> root@dio5:~# ls -l /var/log/named/<br /> total 12<br /> -rw-r--r-- 1 bind root 10898 Dec 7 17:43 security.log<br /> <br /> On restart les services pour prendre en compte les modifications: <br /> service named restart<br /> <br /> == Mise en place d'un RAID 5==<br /> Dans le but de rendre les données de notre VM sécurisées (résilience aux problèmes hardware de disque), nous mettons en place une configuration RAID 5. Pour cela :<br /> Création de 3 partitions LVM de 1Go sur capbreton :<br /> lvcreate -L1G -nbolo-raid1 storage<br /> lvcreate -L1G -nbolo-raid2 storage<br /> lvcreate -L1G -nbolo-raid3 storage<br /> Il faut évidemment modifier le fichier de configuration (/etc/xen/dio5.cfg) de notre VM en conséquence pour rattacher ces 3 partitions dans la partie &lt;code&gt;disk&lt;/code&gt;:<br /> 'phy:/dev/storage/bolo-raidX,xvdb3,w' en répétant cette ligne pour X variant de 1 à 3<br /> On redémarre ensuite la VM :<br /> halt<br /> Puis sur capbreton on exécute :<br /> xen-create-image dio5.cfg<br /> xen console dio5<br /> On peut maintenant créer depuis la xen le système RAID5:<br /> mdadm --create /dev/md0 --level=5 --raid-devices 3 /dev/xvdb3 /dev/xvdb4 /dev/xvdb5<br /> mkfs /dev/md0 ''création du système de fichiers''<br /> mount /dev/md0 /mnt ''on monte le disque RAID5''<br /> Rappel des commandes utiles :<br /> lsblk : affiche la liste et les caractéristiques tous les disques et leurs partitions <br /> df : affiche la valeur d'espace disque disponible des systèmes de fichier disponibles en écriture pour le user<br /> === Test de résistance de notre RAID 5 ===<br /> On commence par enregistrer un fichier sur notre partition dans /mnt :<br /> cd /mnt ; echo &quot;Test résistance RAID5&quot; &gt; test.txt<br /> Pour simuler un cas de défaillance d'un des 3 disques, on commente dans le fichier de configuration de la xen une des lignes correspondant à un des 3 disques, puis on reboot la xen.<br /> Une fois démarrée, on peut vérifier que la reconstruction des données à bien fonctionné simplement en exécutant :<br /> cd /mnt ; cat test.txt<br /> Ce qui nous donne en sortie dans la console :<br /> Test résistantce RAID5<br /> Notre système RAID5 est donc fonctionnel.<br /> <br /> == Cassage de mot de passe WEP ==<br /> On va pour cette activité utiliser le paquet aircrack-ng. Une fois l'interface réseau Wifi identifiée (wlan0mon), on démarre aircrack-ng dessus :<br /> airmon-ng start wlan0mon<br /> On écoute ensuite tout ce qui passe sur cette interface pour identifier le BSSID correspondant à notre groupe (SSID cracotte05), et le channel associé:<br /> airodump-ng -c wlan0mon<br /> Une fois le BSSID identifié (XXXXXX), on recommence l'écoute du réseau mais cette fois en filtrant pour ne récupérer que des trames correspondant au SSID que l'on souhaite cracker :<br /> airodump-ng -c 13 --bssid 04:DA:D2:9C:50:54 -w cracotte08 wlan0mon <br /> Une fois un nombre de paquets suffisants récupérés, on lance l'algorithme de crackage pour récupéré la clé WEP :<br /> aircrack-ng cracotte05-01.cap<br /> On trouve : '''FF:FF:FF:FF:FA:BC:06:CB:AE:EE:EE:EE:EE <br /> <br /> <br /> [[Fichier:WEP.jpg]]<br /> <br /> == Cassage de mot de passe WPA-PSK par brut force==<br /> Pour le point d'accès sécurisé en WPA-PSK, il va falloir faire du brute force pour récupérer la clé. Nous savons que le mot de passe est une suite de 8 chiffres, on commence donc par créer un dictionnaire contenant toutes les possibilités à tester :<br /> crunch 8 8 0123456789 -o dico.txt<br /> Ensuite, même méthode que précédemment, on utilise le package aircrack-ng pour analyser le réseau et trouver le BSSID associé au point d'accès de notre groupe (kracotte05), et on trouve :<br /> BSSID : 44:AD:D9:5F:87:04<br /> Une fois un nombre de paquets récupérés suffisants, on peut lancer le carckage par brute force :<br /> aircrack-ng -w dico.txt -b 44:AD:D9:5F:87:04 kracotte05-01.cap<br /> Après environ 2h, la clé est trouvée ;<br /> 49905998<br /> [[Fichier:WPA-PSK.jpg]]<br /> <br /> =Coffre Fort=<br /> <br /> [[Fichier:Coffre_secret2.zip]]</div>

Ylacroix https://wiki-ima.plil.fr/mediawiki//index.php?title=Fichier:WPA-PSK.jpg&diff=61006 2023-01-07T18:34:19Z

<p>Ylacroix : </p> <hr /> <div></div>

Ylacroix https://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA5_2022/2023_G5&diff=61005 2023-01-07T18:33:40Z

<p>Ylacroix : /* Cassage de mot de passe WPA-PSK par brut force */</p> <hr /> <div>=Installation de l'OS=<br /> <br /> Devuan Chimaera (netinstall) sur les zabeth 17 et 11<br /> <br /> ==Configuration réseau==<br /> *IP machine : 172.26.145.50+n°zabeth/24<br /> *DNS : 193.48.57.48<br /> *Domain name : plil.info<br /> *Routeur : 172.26.145.254<br /> *Proxy : http://proxy.polyetch-lille.fr:3128<br /> <br /> <br /> *mdp dio5 : XXXXXX<br /> <br /> =Ansible=<br /> Prérequis:<br /> *python<br /> *pip<br /> *ansible<br /> Rédaction du script ansible pour le Screen Saver (.yml)<br /> <br /> Tâches accomplies : <br /> * Suppression des animations de veille d'écran<br /> <br /> Tâches restantes : <br /> * Fixer une animation lente pour la veille<br /> * Eteindre complétement l'écran au bout d'un certain temps (1 heure)<br /> <br /> =Réalisation=<br /> ==Installation de la machine virtuelle XEN (séance 2)==<br /> <br /> '''Connexion au serveur hébergeant les VM :'''<br /> ssh root@capbreton.plil.info<br /> <br /> '''Création de l'image de conifguration de la VM :'''<br /> <br /> xen-create-image --ip=193.48.57.105 --gateway=193.48.57.161 --netmask=255.255.255.0 --hostname=dio5 --dist=chimaera --dir=/usr/local/xen/<br /> <br /> /!\ Adresse ip provisoire car réseau 193.48.57.160/27 non créé pour le moment. Actuellement ip : 172.26.145.105 /!\<br /> <br /> '''Modification du fichier de config (image):'''<br /> /etc/xen/dio5.cfg --&gt; <br /> <br /> '''Création de la VM à partir de l'image précédemment créée :'''<br /> xen create dio5.cfg (en étant dans le dir /etc/xen/ évidemment)<br /> <br /> '''Lancement de la VM :'''<br /> xen console dio5<br /> login: root<br /> password: XXXXXX<br /> Vérifier avant que la machine a bien été lancée avec &lt;code&gt;xen create dio5.cfg&lt;/code&gt; par la commande &lt;code&gt;xen list&lt;/code&gt;<br /> <br /> ==Séance 3==<br /> ===Amélioration du coffre fort===<br /> Un dossier compressé est en bas de page<br /> <br /> ===Création des volumes virtuels===<br /> Sur Capbreton, on créé les LVM /home /var avec leurs systèmes de fichiers : <br /> <br /> &lt;code&gt;lvcreate -L10G -ndio5_home storage &lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_home&lt;/code&gt;<br /> <br /> &lt;code&gt;lvcreate -L5G -ndio5_var storage&lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_var&lt;/code&gt;<br /> <br /> Il faut changer le fichier de configuration (situé dans /etc/xen) et y ajouter ces deux lignes dans la partie &lt;code&gt;disk =&lt;/code&gt;<br /> <br /> 'phy:/dev/storage/dio5_home,xvdb1,w',<br /> 'phy:/dev/storage/dio5_var,xvdb2,w',<br /> Ainsi que modifier la ligne &lt;code&gt;vif&lt;/code&gt; comme suit :<br /> vif = [ 'mac=00:16:3E:7B:4D:A4,bridge=IMA5sc' ]<br /> <br /> On relance ensuite la machine avec &lt;code&gt;xen create&lt;/code&gt;. <br /> Pour monter les deux partitions, il faut ensuite modifier le fichier '''/etc/fstab''' comme suit :<br /> /dev/xvdb1 /home ext4 defaults 0 2<br /> /dev/xvdb2 /var ext4 defaults 0 2<br /> Pour que ces modificcations soient prises en compte :<br /> mount -a<br /> reboot<br /> <br /> ==Séance 4==<br /> ===Sécurisation par certificat TLS===<br /> Nous avons commencé par lancer la machine virtuelle qui était créée et configurée lors des séances précédentes. &lt;br/&gt;<br /> Ensuite nous avons acheté le nom de domaine ''' blanquette.site ''' via le fournisseur de nom de domaine GANDI. Ce nom de domaine servira par la suite pour héberger notre site web Apache. &lt;br/&gt;<br /> Pour sécuriser la connexion HTTPS sur Apache, il est nécessaire de créer une clé et un CSR. On utilise pour cela l'utilitaire OpenSSL et on exécute les commandes : &lt;br/&gt;<br /> apt install openssl<br /> openssl req -nodes -newkey rsa:2048 -sha256 -keyout myserver.key -out server.csr -utf8<br /> Pour valider cette demande de certificat et obtenir notre certificat TSL, nous avons également utilisé GANDI.&lt;br/&gt;<br /> <br /> ===Configuration du routeur de secours (Cisco 9200????)===<br /> Pendant que d'autres binômes s'occupaient de la configuration physique des routeurs (câblage), nous nous sommes occupés de configurer le routeur en E304. Pour cela, on accède à l'interface de configuration Cisco du routeur par port série, via minicom :&lt;br/&gt;<br /> minicom -os &quot;&quot;&quot;device:/dev/ttyUSB0, baudrate:9600, pas de contrôle de flux&quot;&quot;&quot;<br /> Depuis cette interface, création de 3 vlan et configuration des ports physiques associés pour répondre à l'architecture réseau demandée pour le TP :<br /> * Connexion entre le routeur et Capbreton sur le VLAN 2 :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 2<br /> routeur(vlan)#name Capb-E304<br /> routeur#exit<br /> routeur#int Te5/4<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 2<br /> Il restera ensuite à configurer ce vlan sur le réseau '''193.48.57.176/28'''<br /> <br /> * Connexion de redondance entre les deux routeurs :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 64<br /> routeur(vlan)#name INTERCO-E306/304<br /> Après le choix du port à connecter sur le routeur, il restera à attribuer ce port au vlan 64 en mode '''trunk'''.<br /> <br /> * Connexion entre le routeur et le SR2<br /> enable<br /> routeur#conf t<br /> routeur#vlan 531<br /> routeur(vlan)#name INTERCO-5A<br /> routeur#exit<br /> routeur#int Te5/5<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 531<br /> Il restera ensuite à configurer ce vlan sur le réseau '''192.168.222.72/29'''<br /> <br /> PHOTO A METTRE !!! &lt;br/&gt;<br /> Pour checker la configuration des vlan du routeur :<br /> routeur#show interfaces status<br /> ou :<br /> routeur#show interface vlan X<br /> <br /> <br /> ==Séance 5==<br /> <br /> Tout d'abord nous avons commencé à vérifer le fonctionnement de notre service SSH sur la machine Xen.<br /> Pour cela nous avons modifié en premier temps après avoir être connecté sur la machine virtuelle le fichier '''sshd_config''' situé dans :<br /> /etc/ssh<br /> comme suit :<br /> # Authentication:<br /> #LoginGraceTime 2m<br /> PermitRootLogin yes<br /> #StrictModes yes<br /> #MaxAuthTries 6<br /> #MaxSessions 10<br /> <br /> d'où nous avons décommenté la ligne de qui nous permet de se connecter en tant que root, ensuite nous avons lui donné cette permission par l'expression '''yes'''.<br /> <br /> Une fois que cette étape est faite, nous avons lancé dans le shell la commande suivante : <br /> root@dio5:~# service ssh restart<br /> Dans le but de prendre en compte les modifications faites.<br /> <br /> Pour vérfier la connexion en ssh, nous lançons depuis notre machine zabeth17 la commande suivante :<br /> root@zabeth17:~# ssh root@172.26.145.105<br /> <br /> '''Attribution de l'adresse IP à VLAN2''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 2<br /> routeur#ip address 193.48.57.178 255.255.255.240<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Attribution de l'adresse IP à VLAN531''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 531<br /> routeur#ip address 192.168.222.75 255.255.255.248<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Configuration et interconnection du port trunk'''<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> conf t<br /> int Te6/5<br /> switchport<br /> switchport trunk encapsulation dot1q<br /> switchport mode trunk<br /> end<br /> <br /> *Afin de sauvegarder ces configurations; on oublie pas de les écrire par la commande :<br /> write<br /> <br /> '''Changement de l'addresse IP de la machine Xen'''<br /> *Changement du Bridge de la machine :<br /> Dans la machine Xen, nous allons modifié le fichier de configuration de notre machine dio5 (situé à /etc/xen/dio5.cfg). Il est devenu comme suivant :<br /> <br /> vif = [ 'mac=00:16:3E:2B:B5:60,bridge=IMA5sc' ]<br /> <br /> Pour prendre les modifications en compte, nous avons arreté la machine xen puis nous l'avons redemaré depuis capbreton étant bien sur dans le repretoire /etc/xen: <br /> <br /> xen shutdown dio5<br /> xen create dio5.cfg <br /> <br /> <br /> <br /> Ensuite nous avons modifié l'addresse IP de la machine dans le fichier '''/etc/network/interfaces''' avec l'addresse IP suivante et la gateway qui correspond :<br /> address 193.48.57.182<br /> gateway 193.48.57.176<br /> Pour que les modifications réseaux seront prises en compte, nous exectutons les commandes suivantes dans la machine Xen: <br /> ifdown -a<br /> ifup -a<br /> <br /> <br /> '''HTTP'''<br /> Pour que notre VM soit accessible en HTTP, il lui faut un serveur HTPP installé. Dans la machine Xen : <br /> apt install apache2<br /> <br /> '''HTTPS'''<br /> L'achat du certificat SSL nous permet de sécuriser la connexion à notre serveur Apache en HTTPS. Pour cela :<br /> a2enmod ssl<br /> a2ensite default-ssl.conf<br /> service apache2 restart<br /> On modifie ensuite le fichier '''/etc/apache2/sites-enabled/default-ssl.conf''' de telle sorte à y renseigner le certificat SSL, le certificat intermédiaire et notre clé privée.<br /> Les certificats sont à télécharger sur Gandi et à transférer sur notre VM en scp.<br /> <br /> Voici le contenu du fichier '''/etc/apache2/sites-enabled/default-ssl.conf''' pour la configuration du '''https''' :<br /> <br /> &lt;VirtualHost *:443&gt;<br /> ServerName bolognaise.site<br /> ServerAlias www.bolognaise.site<br /> ServerAdmin webmaster@bolognaise.site<br /> DocumentRoot /var/www/html<br /> SSLEngine on<br /> SSLCertificateFile /root/bolognaise.site.crt<br /> SSLCertificateKeyFile /root/myserver.key<br /> SSLCertificateChainFile /root/GandiStandardSSLCA2.pem<br /> ErrorLog ${APACHE_LOG_DIR}/error.log<br /> CustomLog ${APACHE_LOG_DIR}/access.log combined<br /> &lt;/VirtualHost&gt;<br /> <br /> On note que &lt;code&gt;VirtualHost *:443&lt;/code&gt; est pour dire que c'est du HTTPS.<br /> Nous avons ensuite modifié le bloc associé au HTTP, d'une façon à avoir une redirection vers du HTTPS comme suivant : <br /> <br /> &lt;VirtualHost *:80&gt;<br /> ServerAdmin webmaster@localhost<br /> DocumentRoot /var/www/html<br /> Redirect / https://bolognaise.site<br /> &lt;/VirtualHost&gt;<br /> <br /> Dans ce cas l'utilisateur va arriver toujours sur notre site héberger en HTTPS grâce à la commande : <br /> Redirect / https://bolognaise.site<br /> <br /> ==Séance 6==<br /> ==Serveur DNS==<br /> <br /> Tout d'abord, sur le site '''gandi''', dans la section Glue record, nous avons renseigné un nom de domaine &lt;code&gt;ns.bolognaise.site&lt;/code&gt;, et nous avons ajouté les adresses IPv4 et IPv6 associé à notre machine xen.<br /> IPv4 : 193.48.57.182<br /> IPv6 : 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> Ensuite dans la section NameServer nous avons ajouté un DNS secondaire &lt;code&gt;ns6.gandi.net&lt;/code&gt; dont son adresse IPv4 est la suivante : &lt;code&gt;217.70.177.40&lt;/code&gt;.<br /> <br /> Nous avons installé bind9 par &lt;code&gt;apt install bind9&lt;/code&gt;.<br /> <br /> '''Configuration du fichier d'option pour bind'''&lt;br/&gt;<br /> Modification du fichier &lt;code&gt;/etc/bind/named.conf.options&lt;/code&gt;<br /> <br /> <br /> options {<br /> directory &quot;/var/cache/bind&quot;;<br /> forwarders {<br /> 8.8.8.8;<br /> 4.4.2.2; //ou 8.8.4.4 <br /> };<br /> dnssec-validation auto;<br /> recursion yes;<br /> listen-on-v6 { any; };<br /> listen-on {any;};<br /> allow-recursion{trusted;};<br /> //allow-transfer{none;};<br /> };<br /> listen-on-v6 { any;}<br /> acl trusted{<br /> 193.48.57.182; //ns.bolognaise.net <br /> 217.70.177.40; //ns6.gandi.net<br /> };<br /> <br /> == Paramétrage routeur E304 ==<br /> Afin de finir la configuration du routeur en E304, il est nécessaire de mettre en place deux protocoles : &lt;br/&gt;&lt;br/&gt;<br /> '''OSBF''': partage de routes entre les deux routeurs<br /> En effet, l'objectif d'avoir 2 routeurs pour accéder au SR52 est d'avoir une redondance du réseau robuste aux pannes. Néanmoins, il faut pour cela que les deux routeurs connaissent chacun les tables de routages de l'autre. Ci-dessous la configuration OSBF du routeur E304 :<br /> router ospf 1<br /> router-id 192.162.222.6<br /> summary-address 192.168.0.0 255.255.0.0 not-advertise<br /> summary-address 193.48.57.176 255.255.255.240<br /> redistribute connected subnets ! subnets allowed<br /> redistribute static subnets route-map ospf ! subnets allowed<br /> network 192.168.222.72 0.0.0.7 area 20<br /> default-information originate<br /> Pour vérifier si le partage de routes est fonctionnel, on tape dans l'interface Cisco du routeur :<br /> do show ip route<br /> Si les routes du routeur en E306 s'affiche, c'est que le protocole a bien été configuré&lt;br/&gt;&lt;br/&gt;<br /> <br /> <br /> '''RIPv6''': <br /> La première est de permettre au routeur d'attribuer des adresses IPv6 aux différentes machines sur son réseau (Xen ...), un peu à la manière d'un DHCP. Ci-dessous la configuration :<br /> interface vlan 2 <br /> ipv6 enable<br /> ipv6 address 2001:660:4401:60b0::/64 eui-64<br /> ipv6 nd prefix 2001:660:4401:60b0::/64 1000 900<br /> ipv6 nd router-preference high<br /> !<br /> ipv6 unicast-routing<br /> <br /> La deuxième étape est d'activer le routage IPv6 entre les deux routeurs et de définir les priorités de route :<br /> ipv6 rip tpima5sc enable<br /> ipv6 router rip tpima5sc<br /> redistribute connected metric 1 XXXXXXXXX<br /> redistribute rip 1 metric 1<br /> redistribute static metric 1<br /> !<br /> Pour tester que le routage IPv6 est bien activé :<br /> do show ipv6 route<br /> <br /> '''VRRP''' :<br /> Pour rendre notre réseau plus robuste, on a finalement implémenté le protocole VRRP sur le routeur. On a simplement repris la configuration donnée dans le sujet de TP et adaptée à notre cas. Pour la priorité, nous avons indiqué :<br /> <br /> vrrp 1 priority 90<br /> De cette manière, on a définit le routeur en E304 de telle sorte à ce qu'il ne soit pas prioritaire par rapport au 6509E en E306, puisque ce dernier a été configuré avec une priorité de 100.<br /> <br /> ===Schéma ===<br /> Pour récapituler l'architecture réseau, on peut regrouper de nombreuses informations dans le schéma ci-dessous :<br /> <br /> [[Fichier:reseau_dio5_1.JPG|350px]]<br /> <br /> = Séance 7 (dernière séance)=<br /> ==Suite DNS==<br /> Fin de la configuration des fichiers DNS '''/etc/bind/named.conf.options''' , '''/etc/bind/named.conf.options.local''' et <br /> <br /> Génération des clés dnssec dans un répertoire '''/etc/bind/bolognaise.site.dnssec'''<br /> <br /> Une fois que le fichier '''/etc/bind/named.conf.options''' est rempli d'une manière à configurer notre DNS, nous avons mis en place une configuration des '''forward''' et des '''zones''' comme suit :<br /> <br /> Dans le fichier '''/etc/bind/named.conf.local''' : <br /> <br /> zone &quot;57.48.193.in-addr.arpa&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.193.48.57&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> zone &quot;bolognaise.site&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.bolognaise.site&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> Une fois que les paramètres sont ajoutés dans le fichier de configurations, nous avons créé ensuite les fichiers de zones comme suit:<br /> <br /> cp /etc/bind/db.local /etc/bind/db.bolognaise.site<br /> Cette commande va nous permettre de copier le contenu du fichier '''db.local''' dans le fichier '''db.bolognaise.site''' et qui sera créé en même temps.<br /> voici le contenu des fichiers '''/etc/bind/db.local''' et '''/etc/bind/db.bolognaise.site''' avant la configuration :<br /> <br /> $TTL 604800<br /> @ IN SOA localhost. root.localhost. (<br /> 2 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS localhost.<br /> @ IN A 127.0.0.1<br /> @ IN AAAA ::1<br /> <br /> Maintenant nous allons modifié le fichier '''/etc/bind/db.bolognaise.site'''<br /> <br /> $TTL 604800<br /> @ IN SOA ns.bolognaise.site. root.bolognaise.site. (<br /> 4 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS ns.bolognaise.site.<br /> @ IN NS ns6.gandi.net.<br /> @ IN A 193.48.57.182<br /> @ IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4 ;addresse IPV6 de dio5<br /> ns IN A 193.48.57.182<br /> ns IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> www IN A 193.48.57.182<br /> www IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> <br /> Pour que les modifications seront prises en compte :<br /> service named restart<br /> <br /> Nous faisions un test pour vérifer la fonctionalité de la forward zone :<br /> <br /> root@dio5:~# host bolognaise.site localhost<br /> Using domain server:<br /> Name: localhost<br /> Address: 127.0.0.1#53<br /> Aliases:<br /> <br /> bolognaise.site has address 193.48.57.182<br /> bolognaise.site has IPv6 address 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> <br /> Ensuite nous allons faire la même démarche pour la '''reverse zone''', où on commence par la copie du fichier comme suit : <br /> cp /etc/bind/db.127 /etc/bind/db.193.48.57 <br /> <br /> Voici le contenu du fichier '''/etc/bind/db.127''' :<br /> <br /> <br /> $TTL 604800<br /> @ IN SOA localhost. root.localhost. (<br /> 1 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS localhost.<br /> 1.0.0 IN PTR localhost.<br /> <br /> <br /> Nous allons configuré le fichier '''/etc/bind/db.193.48.57''' de la façon suivante : <br /> <br /> <br /> $TTL 604800<br /> @ IN SOA ns.bolognaise.site. root.bolognaise.site. (<br /> 1 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS ns.bolognaise.site.<br /> 182 IN PTR ns.bolognaise.site.<br /> <br /> <br /> Pour que les modifications seront prises en compte :<br /> service named restart<br /> <br /> Voici un test pour la reverse zone : <br /> root@dio5:~# host 193.48.57.182 localhost<br /> Using domain server:<br /> Name: localhost<br /> Address: 127.0.0.1#53<br /> Aliases:<br /> <br /> 182.57.48.193.in-addr.arpa domain name pointer ns.bolognaise.site.<br /> Notre DNS étant maintenant fonctionnel, nous avons pu refaire la demande sur Gandi pour les serveurs externes IPv4 et IPv6, pour rappel : ''' ns.bolognaise.site et ns6.gandi.net'''<br /> <br /> == Sécurisation du DNS par DNSSEC ==<br /> Pour sécuriser notre DNS par DNSSEC, nous aurons besions des clés DNSSEC, que nous allons les ranger dans le répertoire suivant : <br /> <br /> /etc/bind/bolognaise.site.dnssec<br /> <br /> Ensuite nous allons créé les clés DNSSEC :<br /> <br /> * '''KSK (Key Signing Key)'''<br /> dnssec-keygen -a RSASHA1 -b 2048 -f KSK -n ZONE bolognaise.site<br /> * '''ZSK (Zone Signing Key)'''<br /> dnssec-keygen -a RSASHA1 -b 1024 -n ZONE bolognaise.site<br /> Puis nous injectons les clés KSK et ZSK (Privées et Publiques) dans les fichiers qui leurs corresponds : <br /> <br /> mv ./Kbolognaise.site.+005+14017.key ./bolognaise.site-zsk.key<br /> mv ./Kbolognaise.site.+005+19378.private ./bolognaise.site-zsk.private<br /> mv ./Kbolognaise.site.+005+13782.private ./bolognaise.site-ksk.private<br /> mv ./Kbolognaise.site.+005+02617.key ./bolognaise.site-ksk.key<br /> <br /> On n'oublie pas de mettre la clé publique '''KSK sur gandi''', en prenant l'algorithme de '''RSA/SHA1'''.<br /> <br /> Dans le fichier '''/etc/bind/named.conf.options''' on ajoute le ligne suivante pour activer le dnssec :<br /> dnssec-enable yes;<br /> <br /> Ensuite nous allons modifié du nouveau le fichier '''/etc/bind/named.conf.local''' <br /> en ajoutant le champs '''signed''': <br /> zone &quot;bolognaise.site&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.bolognaise.site.signed&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> zone &quot;57.48.193.in-addr.arpa&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.193.48.57&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> Cela va impliquer la prise en compte des fichiers des zones.<br /> Après nous allons inclure les clés que nous l'avons créé dans le fichier '''/etc/bind/db.bolognaise.site'''<br /> <br /> *Pour la clé ZSK : <br /> $INCLUDE &quot;/etc/bind/bolognaise.site.dnssec/bolognaise.site-zsk.key&quot;;<br /> *Pour la clé KSK : <br /> $INCLUDE &quot;/etc/bind/bolognaise.site.dnssec/bolognaise.site-ksk.key&quot;;<br /> <br /> Et pour terminer, nous avons signé le fichier de zone comme suivant :<br /> dnssec-signzone -k bolognaise.site-ksk.key -o bolognaise.site ../db.bolognaise.site bolognaise.site-zsk.key<br /> <br /> == Modification du html de notre serveur pour ajouter une photo de BOLOGNAISE ==<br /> <br /> Dans le fichier &lt;code&gt;/var/www/html/index.html&lt;/code&gt;, nous avons modifié le code source de la page de notre site &lt;br/&gt; d'une façon à avoir l'image de bolognaise qui s'affiche. Voici le code HTML : <br /> <br /> <br /> &lt;!DOCTYPE html PUBLIC &quot;-//W3C//DTD XHTML 1.0 Transitional//EN&quot; &quot;http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd&quot;&gt;<br /> &lt;html xmlns=&quot;http://www.w3.org/1999/xhtml&quot;&gt;<br /> &lt;head&gt;<br /> &lt;meta http-equiv=&quot;Content-Type&quot; content=&quot;text/html; charset=UTF-8&quot; /&gt;<br /> &lt;title&gt;NOS Bolognaises !!!&lt;/title&gt;<br /> &lt;/head&gt;<br /> <br /> &lt;style&gt;<br /> img{<br /> height:70vh;<br /> margin:auto;<br /> display:block;<br /> }<br /> <br /> &lt;/style&gt;<br /> &lt;body&gt;<br /> &lt;img src=&quot;bolognaise.jpg&quot;&gt;<br /> &lt;a href=&quot;portail.polytech-lille.fr&quot;&gt;ICI polytech&lt;/a&gt;<br /> &lt;/body&gt;<br /> &lt;/html&gt;<br /> <br /> Si on écrit dans un navigateur : &lt;code&gt;https://bolognaise.site&lt;/code&gt; on peut arriver directement dans notre site.<br /> <br /> ==Gestion de fail2ban==<br /> Nous avons commencé par installer la commande '''fail2ban''' : <br /> <br /> apt install fail2ban<br /> <br /> Puis nous avons activé le fil2ban comme suivant :<br /> <br /> root@dio5:~# service fail2ban active<br /> Usage: /etc/init.d/fail2ban {start|force-start|stop|restart|force reload|status}<br /> root@dio5:~# service fail2ban enable<br /> Usage: /etc/init.d/fail2ban {start|force-start|stop|restart|force-reload|status}<br /> <br /> Nous regardons le status du fail2ban : <br /> <br /> root@dio5:~# service fail2ban status<br /> Status of Authentication failure monitor:fail2ban is running.<br /> <br /> Dans le fichier '''/etc/fail2ban/jail.d/defaults-debian.conf''' nous activons le '''name refused''' en ajoutant les 2 lignes suivantes : <br /> [named-refused]<br /> enabled = true<br /> <br /> Dans le fichier '''/etc/bind/named.conf.options''', on va allumer le service de loggin de named-refused, qui est par défault éteint, pour cela nous ajoutant ce bloc : <br /> <br /> logging {<br /> <br /> channel security_file{<br /> file &quot;/var/log/named/security.log&quot; versions 3 size 30m;<br /> severity dynamic;<br /> print-time yes;<br /> };<br /> category security{<br /> security_file;<br /> };<br /> <br /> Dans le fichier '''/etc/bind/named.conf.options''' nous allons définir le nombre max de reponses par seconde que le server peut l'accepter avant de faire le ban, pour cela on ajoute le bloc suivant : <br /> <br /> rate-limit{<br /> responses-per-second 5;<br /> };<br /> <br /> Le nombre max des reponses par seconde est fixé à 5.<br /> <br /> Comme que nous allons écrire dans le fichier '''security.log''' et que ce fichier n'existe pas, donc nous allons le créer et créer les dossiers qui correspondent :<br /> *Création du dossier '''named''': <br /> mkdir /var/log/named<br /> *Création du fichier '''security.log''' qui vide au départ:<br /> touch security.log étant dans le dossier /var/log/named<br /> <br /> Et comme que ce dossier &lt;code&gt;named/&lt;/code&gt; appartient au service bind (named) donc il était nécessaire de lui associé un '''owner''' qui est le bind9 :<br /> <br /> *Etant dans le dossier /var/log : <br /> chown bind named/<br /> chown bind named/security.log<br /> <br /> Pour vérifier la prise en compte des changement : <br /> <br /> root@dio5:~# ls -l /var/log/ | grep named<br /> drwxr-xr-x 2 bind root 4096 Nov 30 09:56 named<br /> root@dio5:~# ls -l /var/log/named/<br /> total 12<br /> -rw-r--r-- 1 bind root 10898 Dec 7 17:43 security.log<br /> <br /> On restart les services pour prendre en compte les modifications: <br /> service named restart<br /> <br /> == Mise en place d'un RAID 5==<br /> Dans le but de rendre les données de notre VM sécurisées (résilience aux problèmes hardware de disque), nous mettons en place une configuration RAID 5. Pour cela :<br /> Création de 3 partitions LVM de 1Go sur capbreton :<br /> lvcreate -L1G -nbolo-raid1 storage<br /> lvcreate -L1G -nbolo-raid2 storage<br /> lvcreate -L1G -nbolo-raid3 storage<br /> Il faut évidemment modifier le fichier de configuration (/etc/xen/dio5.cfg) de notre VM en conséquence pour rattacher ces 3 partitions dans la partie &lt;code&gt;disk&lt;/code&gt;:<br /> 'phy:/dev/storage/bolo-raidX,xvdb3,w' en répétant cette ligne pour X variant de 1 à 3<br /> On redémarre ensuite la VM :<br /> halt<br /> Puis sur capbreton on exécute :<br /> xen-create-image dio5.cfg<br /> xen console dio5<br /> On peut maintenant créer depuis la xen le système RAID5:<br /> mdadm --create /dev/md0 --level=5 --raid-devices 3 /dev/xvdb3 /dev/xvdb4 /dev/xvdb5<br /> mkfs /dev/md0 ''création du système de fichiers''<br /> mount /dev/md0 /mnt ''on monte le disque RAID5''<br /> Rappel des commandes utiles :<br /> lsblk : affiche la liste et les caractéristiques tous les disques et leurs partitions <br /> df : affiche la valeur d'espace disque disponible des systèmes de fichier disponibles en écriture pour le user<br /> === Test de résistance de notre RAID 5 ===<br /> On commence par enregistrer un fichier sur notre partition dans /mnt :<br /> cd /mnt ; echo &quot;Test résistance RAID5&quot; &gt; test.txt<br /> Pour simuler un cas de défaillance d'un des 3 disques, on commente dans le fichier de configuration de la xen une des lignes correspondant à un des 3 disques, puis on reboot la xen.<br /> Une fois démarrée, on peut vérifier que la reconstruction des données à bien fonctionné simplement en exécutant :<br /> cd /mnt ; cat test.txt<br /> Ce qui nous donne en sortie dans la console :<br /> Test résistantce RAID5<br /> Notre système RAID5 est donc fonctionnel.<br /> <br /> == Cassage de mot de passe WEP ==<br /> On va pour cette activité utiliser le paquet aircrack-ng. Une fois l'interface réseau Wifi identifiée (wlan0mon), on démarre aircrack-ng dessus :<br /> airmon-ng start wlan0mon<br /> On écoute ensuite tout ce qui passe sur cette interface pour identifier le BSSID correspondant à notre groupe (SSID cracotte05), et le channel associé:<br /> airodump-ng -c wlan0mon<br /> Une fois le BSSID identifié (XXXXXX), on recommence l'écoute du réseau mais cette fois en filtrant pour ne récupérer que des trames correspondant au SSID que l'on souhaite cracker :<br /> airodump-ng -c 13 --bssid 04:DA:D2:9C:50:54 -w cracotte08 wlan0mon <br /> Une fois un nombre de paquets suffisants récupérés, on lance l'algorithme de crackage pour récupéré la clé WEP :<br /> aircrack-ng cracotte05-01.cap<br /> On trouve : '''FF:FF:FF:FF:FA:BC:06:CB:AE:EE:EE:EE:EE <br /> <br /> <br /> [[Fichier:WEP.jpg]]<br /> <br /> == Cassage de mot de passe WPA-PSK par brut force==<br /> Pour le point d'accès sécurisé en WPA-PSK, il va falloir faire du brute force pour récupérer la clé. Nous savons que le mot de passe est une suite de 8 chiffres, on commence donc par créer un dictionnaire contenant toutes les possibilités à tester :<br /> crunch 8 8 0123456789 -o dico.txt<br /> Ensuite, même méthode que précédemment, on utilise le package aircrack-ng pour analyser le réseau et trouver le BSSID associé au point d'accès de notre groupe (kracotte05), et on trouve :<br /> BSSID : 44:AD:D9:5F:87:04<br /> Une fois un nombre de paquets récupérés suffisants, on peut lancer le carckage par brute force :<br /> aircrack-ng -w dico.txt -b 44:AD:D9:5F:87:04 kracotte05-01.cap<br /> Après environ 2h, la clé est trouvée ;<br /> 49905998<br /> [[Fichier:WPA.jpg]]<br /> <br /> =Coffre Fort=<br /> <br /> [[Fichier:Coffre_secret2.zip]]</div>

Ylacroix https://wiki-ima.plil.fr/mediawiki//index.php?title=Fichier:WEP.jpg&diff=61004 2023-01-07T18:17:56Z

<p>Ylacroix : Ylacroix a téléversé une nouvelle version de Fichier:WEP.jpg</p> <hr /> <div></div>

Ylacroix https://wiki-ima.plil.fr/mediawiki//index.php?title=Fichier:WEP.jpg&diff=61003 2023-01-07T18:17:06Z

<p>Ylacroix : </p> <hr /> <div></div>

Ylacroix https://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA5_2022/2023_G5&diff=61002 2023-01-07T18:16:43Z

<p>Ylacroix : /* Cassage de mot de passe WEP */</p> <hr /> <div>=Installation de l'OS=<br /> <br /> Devuan Chimaera (netinstall) sur les zabeth 17 et 11<br /> <br /> ==Configuration réseau==<br /> *IP machine : 172.26.145.50+n°zabeth/24<br /> *DNS : 193.48.57.48<br /> *Domain name : plil.info<br /> *Routeur : 172.26.145.254<br /> *Proxy : http://proxy.polyetch-lille.fr:3128<br /> <br /> <br /> *mdp dio5 : XXXXXX<br /> <br /> =Ansible=<br /> Prérequis:<br /> *python<br /> *pip<br /> *ansible<br /> Rédaction du script ansible pour le Screen Saver (.yml)<br /> <br /> Tâches accomplies : <br /> * Suppression des animations de veille d'écran<br /> <br /> Tâches restantes : <br /> * Fixer une animation lente pour la veille<br /> * Eteindre complétement l'écran au bout d'un certain temps (1 heure)<br /> <br /> =Réalisation=<br /> ==Installation de la machine virtuelle XEN (séance 2)==<br /> <br /> '''Connexion au serveur hébergeant les VM :'''<br /> ssh root@capbreton.plil.info<br /> <br /> '''Création de l'image de conifguration de la VM :'''<br /> <br /> xen-create-image --ip=193.48.57.105 --gateway=193.48.57.161 --netmask=255.255.255.0 --hostname=dio5 --dist=chimaera --dir=/usr/local/xen/<br /> <br /> /!\ Adresse ip provisoire car réseau 193.48.57.160/27 non créé pour le moment. Actuellement ip : 172.26.145.105 /!\<br /> <br /> '''Modification du fichier de config (image):'''<br /> /etc/xen/dio5.cfg --&gt; <br /> <br /> '''Création de la VM à partir de l'image précédemment créée :'''<br /> xen create dio5.cfg (en étant dans le dir /etc/xen/ évidemment)<br /> <br /> '''Lancement de la VM :'''<br /> xen console dio5<br /> login: root<br /> password: XXXXXX<br /> Vérifier avant que la machine a bien été lancée avec &lt;code&gt;xen create dio5.cfg&lt;/code&gt; par la commande &lt;code&gt;xen list&lt;/code&gt;<br /> <br /> ==Séance 3==<br /> ===Amélioration du coffre fort===<br /> Un dossier compressé est en bas de page<br /> <br /> ===Création des volumes virtuels===<br /> Sur Capbreton, on créé les LVM /home /var avec leurs systèmes de fichiers : <br /> <br /> &lt;code&gt;lvcreate -L10G -ndio5_home storage &lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_home&lt;/code&gt;<br /> <br /> &lt;code&gt;lvcreate -L5G -ndio5_var storage&lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_var&lt;/code&gt;<br /> <br /> Il faut changer le fichier de configuration (situé dans /etc/xen) et y ajouter ces deux lignes dans la partie &lt;code&gt;disk =&lt;/code&gt;<br /> <br /> 'phy:/dev/storage/dio5_home,xvdb1,w',<br /> 'phy:/dev/storage/dio5_var,xvdb2,w',<br /> Ainsi que modifier la ligne &lt;code&gt;vif&lt;/code&gt; comme suit :<br /> vif = [ 'mac=00:16:3E:7B:4D:A4,bridge=IMA5sc' ]<br /> <br /> On relance ensuite la machine avec &lt;code&gt;xen create&lt;/code&gt;. <br /> Pour monter les deux partitions, il faut ensuite modifier le fichier '''/etc/fstab''' comme suit :<br /> /dev/xvdb1 /home ext4 defaults 0 2<br /> /dev/xvdb2 /var ext4 defaults 0 2<br /> Pour que ces modificcations soient prises en compte :<br /> mount -a<br /> reboot<br /> <br /> ==Séance 4==<br /> ===Sécurisation par certificat TLS===<br /> Nous avons commencé par lancer la machine virtuelle qui était créée et configurée lors des séances précédentes. &lt;br/&gt;<br /> Ensuite nous avons acheté le nom de domaine ''' blanquette.site ''' via le fournisseur de nom de domaine GANDI. Ce nom de domaine servira par la suite pour héberger notre site web Apache. &lt;br/&gt;<br /> Pour sécuriser la connexion HTTPS sur Apache, il est nécessaire de créer une clé et un CSR. On utilise pour cela l'utilitaire OpenSSL et on exécute les commandes : &lt;br/&gt;<br /> apt install openssl<br /> openssl req -nodes -newkey rsa:2048 -sha256 -keyout myserver.key -out server.csr -utf8<br /> Pour valider cette demande de certificat et obtenir notre certificat TSL, nous avons également utilisé GANDI.&lt;br/&gt;<br /> <br /> ===Configuration du routeur de secours (Cisco 9200????)===<br /> Pendant que d'autres binômes s'occupaient de la configuration physique des routeurs (câblage), nous nous sommes occupés de configurer le routeur en E304. Pour cela, on accède à l'interface de configuration Cisco du routeur par port série, via minicom :&lt;br/&gt;<br /> minicom -os &quot;&quot;&quot;device:/dev/ttyUSB0, baudrate:9600, pas de contrôle de flux&quot;&quot;&quot;<br /> Depuis cette interface, création de 3 vlan et configuration des ports physiques associés pour répondre à l'architecture réseau demandée pour le TP :<br /> * Connexion entre le routeur et Capbreton sur le VLAN 2 :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 2<br /> routeur(vlan)#name Capb-E304<br /> routeur#exit<br /> routeur#int Te5/4<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 2<br /> Il restera ensuite à configurer ce vlan sur le réseau '''193.48.57.176/28'''<br /> <br /> * Connexion de redondance entre les deux routeurs :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 64<br /> routeur(vlan)#name INTERCO-E306/304<br /> Après le choix du port à connecter sur le routeur, il restera à attribuer ce port au vlan 64 en mode '''trunk'''.<br /> <br /> * Connexion entre le routeur et le SR2<br /> enable<br /> routeur#conf t<br /> routeur#vlan 531<br /> routeur(vlan)#name INTERCO-5A<br /> routeur#exit<br /> routeur#int Te5/5<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 531<br /> Il restera ensuite à configurer ce vlan sur le réseau '''192.168.222.72/29'''<br /> <br /> PHOTO A METTRE !!! &lt;br/&gt;<br /> Pour checker la configuration des vlan du routeur :<br /> routeur#show interfaces status<br /> ou :<br /> routeur#show interface vlan X<br /> <br /> <br /> ==Séance 5==<br /> <br /> Tout d'abord nous avons commencé à vérifer le fonctionnement de notre service SSH sur la machine Xen.<br /> Pour cela nous avons modifié en premier temps après avoir être connecté sur la machine virtuelle le fichier '''sshd_config''' situé dans :<br /> /etc/ssh<br /> comme suit :<br /> # Authentication:<br /> #LoginGraceTime 2m<br /> PermitRootLogin yes<br /> #StrictModes yes<br /> #MaxAuthTries 6<br /> #MaxSessions 10<br /> <br /> d'où nous avons décommenté la ligne de qui nous permet de se connecter en tant que root, ensuite nous avons lui donné cette permission par l'expression '''yes'''.<br /> <br /> Une fois que cette étape est faite, nous avons lancé dans le shell la commande suivante : <br /> root@dio5:~# service ssh restart<br /> Dans le but de prendre en compte les modifications faites.<br /> <br /> Pour vérfier la connexion en ssh, nous lançons depuis notre machine zabeth17 la commande suivante :<br /> root@zabeth17:~# ssh root@172.26.145.105<br /> <br /> '''Attribution de l'adresse IP à VLAN2''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 2<br /> routeur#ip address 193.48.57.178 255.255.255.240<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Attribution de l'adresse IP à VLAN531''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 531<br /> routeur#ip address 192.168.222.75 255.255.255.248<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Configuration et interconnection du port trunk'''<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> conf t<br /> int Te6/5<br /> switchport<br /> switchport trunk encapsulation dot1q<br /> switchport mode trunk<br /> end<br /> <br /> *Afin de sauvegarder ces configurations; on oublie pas de les écrire par la commande :<br /> write<br /> <br /> '''Changement de l'addresse IP de la machine Xen'''<br /> *Changement du Bridge de la machine :<br /> Dans la machine Xen, nous allons modifié le fichier de configuration de notre machine dio5 (situé à /etc/xen/dio5.cfg). Il est devenu comme suivant :<br /> <br /> vif = [ 'mac=00:16:3E:2B:B5:60,bridge=IMA5sc' ]<br /> <br /> Pour prendre les modifications en compte, nous avons arreté la machine xen puis nous l'avons redemaré depuis capbreton étant bien sur dans le repretoire /etc/xen: <br /> <br /> xen shutdown dio5<br /> xen create dio5.cfg <br /> <br /> <br /> <br /> Ensuite nous avons modifié l'addresse IP de la machine dans le fichier '''/etc/network/interfaces''' avec l'addresse IP suivante et la gateway qui correspond :<br /> address 193.48.57.182<br /> gateway 193.48.57.176<br /> Pour que les modifications réseaux seront prises en compte, nous exectutons les commandes suivantes dans la machine Xen: <br /> ifdown -a<br /> ifup -a<br /> <br /> <br /> '''HTTP'''<br /> Pour que notre VM soit accessible en HTTP, il lui faut un serveur HTPP installé. Dans la machine Xen : <br /> apt install apache2<br /> <br /> '''HTTPS'''<br /> L'achat du certificat SSL nous permet de sécuriser la connexion à notre serveur Apache en HTTPS. Pour cela :<br /> a2enmod ssl<br /> a2ensite default-ssl.conf<br /> service apache2 restart<br /> On modifie ensuite le fichier '''/etc/apache2/sites-enabled/default-ssl.conf''' de telle sorte à y renseigner le certificat SSL, le certificat intermédiaire et notre clé privée.<br /> Les certificats sont à télécharger sur Gandi et à transférer sur notre VM en scp.<br /> <br /> Voici le contenu du fichier '''/etc/apache2/sites-enabled/default-ssl.conf''' pour la configuration du '''https''' :<br /> <br /> &lt;VirtualHost *:443&gt;<br /> ServerName bolognaise.site<br /> ServerAlias www.bolognaise.site<br /> ServerAdmin webmaster@bolognaise.site<br /> DocumentRoot /var/www/html<br /> SSLEngine on<br /> SSLCertificateFile /root/bolognaise.site.crt<br /> SSLCertificateKeyFile /root/myserver.key<br /> SSLCertificateChainFile /root/GandiStandardSSLCA2.pem<br /> ErrorLog ${APACHE_LOG_DIR}/error.log<br /> CustomLog ${APACHE_LOG_DIR}/access.log combined<br /> &lt;/VirtualHost&gt;<br /> <br /> On note que &lt;code&gt;VirtualHost *:443&lt;/code&gt; est pour dire que c'est du HTTPS.<br /> Nous avons ensuite modifié le bloc associé au HTTP, d'une façon à avoir une redirection vers du HTTPS comme suivant : <br /> <br /> &lt;VirtualHost *:80&gt;<br /> ServerAdmin webmaster@localhost<br /> DocumentRoot /var/www/html<br /> Redirect / https://bolognaise.site<br /> &lt;/VirtualHost&gt;<br /> <br /> Dans ce cas l'utilisateur va arriver toujours sur notre site héberger en HTTPS grâce à la commande : <br /> Redirect / https://bolognaise.site<br /> <br /> ==Séance 6==<br /> ==Serveur DNS==<br /> <br /> Tout d'abord, sur le site '''gandi''', dans la section Glue record, nous avons renseigné un nom de domaine &lt;code&gt;ns.bolognaise.site&lt;/code&gt;, et nous avons ajouté les adresses IPv4 et IPv6 associé à notre machine xen.<br /> IPv4 : 193.48.57.182<br /> IPv6 : 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> Ensuite dans la section NameServer nous avons ajouté un DNS secondaire &lt;code&gt;ns6.gandi.net&lt;/code&gt; dont son adresse IPv4 est la suivante : &lt;code&gt;217.70.177.40&lt;/code&gt;.<br /> <br /> Nous avons installé bind9 par &lt;code&gt;apt install bind9&lt;/code&gt;.<br /> <br /> '''Configuration du fichier d'option pour bind'''&lt;br/&gt;<br /> Modification du fichier &lt;code&gt;/etc/bind/named.conf.options&lt;/code&gt;<br /> <br /> <br /> options {<br /> directory &quot;/var/cache/bind&quot;;<br /> forwarders {<br /> 8.8.8.8;<br /> 4.4.2.2; //ou 8.8.4.4 <br /> };<br /> dnssec-validation auto;<br /> recursion yes;<br /> listen-on-v6 { any; };<br /> listen-on {any;};<br /> allow-recursion{trusted;};<br /> //allow-transfer{none;};<br /> };<br /> listen-on-v6 { any;}<br /> acl trusted{<br /> 193.48.57.182; //ns.bolognaise.net <br /> 217.70.177.40; //ns6.gandi.net<br /> };<br /> <br /> == Paramétrage routeur E304 ==<br /> Afin de finir la configuration du routeur en E304, il est nécessaire de mettre en place deux protocoles : &lt;br/&gt;&lt;br/&gt;<br /> '''OSBF''': partage de routes entre les deux routeurs<br /> En effet, l'objectif d'avoir 2 routeurs pour accéder au SR52 est d'avoir une redondance du réseau robuste aux pannes. Néanmoins, il faut pour cela que les deux routeurs connaissent chacun les tables de routages de l'autre. Ci-dessous la configuration OSBF du routeur E304 :<br /> router ospf 1<br /> router-id 192.162.222.6<br /> summary-address 192.168.0.0 255.255.0.0 not-advertise<br /> summary-address 193.48.57.176 255.255.255.240<br /> redistribute connected subnets ! subnets allowed<br /> redistribute static subnets route-map ospf ! subnets allowed<br /> network 192.168.222.72 0.0.0.7 area 20<br /> default-information originate<br /> Pour vérifier si le partage de routes est fonctionnel, on tape dans l'interface Cisco du routeur :<br /> do show ip route<br /> Si les routes du routeur en E306 s'affiche, c'est que le protocole a bien été configuré&lt;br/&gt;&lt;br/&gt;<br /> <br /> <br /> '''RIPv6''': <br /> La première est de permettre au routeur d'attribuer des adresses IPv6 aux différentes machines sur son réseau (Xen ...), un peu à la manière d'un DHCP. Ci-dessous la configuration :<br /> interface vlan 2 <br /> ipv6 enable<br /> ipv6 address 2001:660:4401:60b0::/64 eui-64<br /> ipv6 nd prefix 2001:660:4401:60b0::/64 1000 900<br /> ipv6 nd router-preference high<br /> !<br /> ipv6 unicast-routing<br /> <br /> La deuxième étape est d'activer le routage IPv6 entre les deux routeurs et de définir les priorités de route :<br /> ipv6 rip tpima5sc enable<br /> ipv6 router rip tpima5sc<br /> redistribute connected metric 1 XXXXXXXXX<br /> redistribute rip 1 metric 1<br /> redistribute static metric 1<br /> !<br /> Pour tester que le routage IPv6 est bien activé :<br /> do show ipv6 route<br /> <br /> '''VRRP''' :<br /> Pour rendre notre réseau plus robuste, on a finalement implémenté le protocole VRRP sur le routeur. On a simplement repris la configuration donnée dans le sujet de TP et adaptée à notre cas. Pour la priorité, nous avons indiqué :<br /> <br /> vrrp 1 priority 90<br /> De cette manière, on a définit le routeur en E304 de telle sorte à ce qu'il ne soit pas prioritaire par rapport au 6509E en E306, puisque ce dernier a été configuré avec une priorité de 100.<br /> <br /> ===Schéma ===<br /> Pour récapituler l'architecture réseau, on peut regrouper de nombreuses informations dans le schéma ci-dessous :<br /> <br /> [[Fichier:reseau_dio5_1.JPG|350px]]<br /> <br /> = Séance 7 (dernière séance)=<br /> ==Suite DNS==<br /> Fin de la configuration des fichiers DNS '''/etc/bind/named.conf.options''' , '''/etc/bind/named.conf.options.local''' et <br /> <br /> Génération des clés dnssec dans un répertoire '''/etc/bind/bolognaise.site.dnssec'''<br /> <br /> Une fois que le fichier '''/etc/bind/named.conf.options''' est rempli d'une manière à configurer notre DNS, nous avons mis en place une configuration des '''forward''' et des '''zones''' comme suit :<br /> <br /> Dans le fichier '''/etc/bind/named.conf.local''' : <br /> <br /> zone &quot;57.48.193.in-addr.arpa&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.193.48.57&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> zone &quot;bolognaise.site&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.bolognaise.site&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> Une fois que les paramètres sont ajoutés dans le fichier de configurations, nous avons créé ensuite les fichiers de zones comme suit:<br /> <br /> cp /etc/bind/db.local /etc/bind/db.bolognaise.site<br /> Cette commande va nous permettre de copier le contenu du fichier '''db.local''' dans le fichier '''db.bolognaise.site''' et qui sera créé en même temps.<br /> voici le contenu des fichiers '''/etc/bind/db.local''' et '''/etc/bind/db.bolognaise.site''' avant la configuration :<br /> <br /> $TTL 604800<br /> @ IN SOA localhost. root.localhost. (<br /> 2 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS localhost.<br /> @ IN A 127.0.0.1<br /> @ IN AAAA ::1<br /> <br /> Maintenant nous allons modifié le fichier '''/etc/bind/db.bolognaise.site'''<br /> <br /> $TTL 604800<br /> @ IN SOA ns.bolognaise.site. root.bolognaise.site. (<br /> 4 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS ns.bolognaise.site.<br /> @ IN NS ns6.gandi.net.<br /> @ IN A 193.48.57.182<br /> @ IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4 ;addresse IPV6 de dio5<br /> ns IN A 193.48.57.182<br /> ns IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> www IN A 193.48.57.182<br /> www IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> <br /> Pour que les modifications seront prises en compte :<br /> service named restart<br /> <br /> Nous faisions un test pour vérifer la fonctionalité de la forward zone :<br /> <br /> root@dio5:~# host bolognaise.site localhost<br /> Using domain server:<br /> Name: localhost<br /> Address: 127.0.0.1#53<br /> Aliases:<br /> <br /> bolognaise.site has address 193.48.57.182<br /> bolognaise.site has IPv6 address 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> <br /> Ensuite nous allons faire la même démarche pour la '''reverse zone''', où on commence par la copie du fichier comme suit : <br /> cp /etc/bind/db.127 /etc/bind/db.193.48.57 <br /> <br /> Voici le contenu du fichier '''/etc/bind/db.127''' :<br /> <br /> <br /> $TTL 604800<br /> @ IN SOA localhost. root.localhost. (<br /> 1 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS localhost.<br /> 1.0.0 IN PTR localhost.<br /> <br /> <br /> Nous allons configuré le fichier '''/etc/bind/db.193.48.57''' de la façon suivante : <br /> <br /> <br /> $TTL 604800<br /> @ IN SOA ns.bolognaise.site. root.bolognaise.site. (<br /> 1 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS ns.bolognaise.site.<br /> 182 IN PTR ns.bolognaise.site.<br /> <br /> <br /> Pour que les modifications seront prises en compte :<br /> service named restart<br /> <br /> Voici un test pour la reverse zone : <br /> root@dio5:~# host 193.48.57.182 localhost<br /> Using domain server:<br /> Name: localhost<br /> Address: 127.0.0.1#53<br /> Aliases:<br /> <br /> 182.57.48.193.in-addr.arpa domain name pointer ns.bolognaise.site.<br /> Notre DNS étant maintenant fonctionnel, nous avons pu refaire la demande sur Gandi pour les serveurs externes IPv4 et IPv6, pour rappel : ''' ns.bolognaise.site et ns6.gandi.net'''<br /> <br /> == Sécurisation du DNS par DNSSEC ==<br /> Pour sécuriser notre DNS par DNSSEC, nous aurons besions des clés DNSSEC, que nous allons les ranger dans le répertoire suivant : <br /> <br /> /etc/bind/bolognaise.site.dnssec<br /> <br /> Ensuite nous allons créé les clés DNSSEC :<br /> <br /> * '''KSK (Key Signing Key)'''<br /> dnssec-keygen -a RSASHA1 -b 2048 -f KSK -n ZONE bolognaise.site<br /> * '''ZSK (Zone Signing Key)'''<br /> dnssec-keygen -a RSASHA1 -b 1024 -n ZONE bolognaise.site<br /> Puis nous injectons les clés KSK et ZSK (Privées et Publiques) dans les fichiers qui leurs corresponds : <br /> <br /> mv ./Kbolognaise.site.+005+14017.key ./bolognaise.site-zsk.key<br /> mv ./Kbolognaise.site.+005+19378.private ./bolognaise.site-zsk.private<br /> mv ./Kbolognaise.site.+005+13782.private ./bolognaise.site-ksk.private<br /> mv ./Kbolognaise.site.+005+02617.key ./bolognaise.site-ksk.key<br /> <br /> On n'oublie pas de mettre la clé publique '''KSK sur gandi''', en prenant l'algorithme de '''RSA/SHA1'''.<br /> <br /> Dans le fichier '''/etc/bind/named.conf.options''' on ajoute le ligne suivante pour activer le dnssec :<br /> dnssec-enable yes;<br /> <br /> Ensuite nous allons modifié du nouveau le fichier '''/etc/bind/named.conf.local''' <br /> en ajoutant le champs '''signed''': <br /> zone &quot;bolognaise.site&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.bolognaise.site.signed&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> zone &quot;57.48.193.in-addr.arpa&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.193.48.57&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> Cela va impliquer la prise en compte des fichiers des zones.<br /> Après nous allons inclure les clés que nous l'avons créé dans le fichier '''/etc/bind/db.bolognaise.site'''<br /> <br /> *Pour la clé ZSK : <br /> $INCLUDE &quot;/etc/bind/bolognaise.site.dnssec/bolognaise.site-zsk.key&quot;;<br /> *Pour la clé KSK : <br /> $INCLUDE &quot;/etc/bind/bolognaise.site.dnssec/bolognaise.site-ksk.key&quot;;<br /> <br /> Et pour terminer, nous avons signé le fichier de zone comme suivant :<br /> dnssec-signzone -k bolognaise.site-ksk.key -o bolognaise.site ../db.bolognaise.site bolognaise.site-zsk.key<br /> <br /> == Modification du html de notre serveur pour ajouter une photo de BOLOGNAISE ==<br /> <br /> Dans le fichier &lt;code&gt;/var/www/html/index.html&lt;/code&gt;, nous avons modifié le code source de la page de notre site &lt;br/&gt; d'une façon à avoir l'image de bolognaise qui s'affiche. Voici le code HTML : <br /> <br /> <br /> &lt;!DOCTYPE html PUBLIC &quot;-//W3C//DTD XHTML 1.0 Transitional//EN&quot; &quot;http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd&quot;&gt;<br /> &lt;html xmlns=&quot;http://www.w3.org/1999/xhtml&quot;&gt;<br /> &lt;head&gt;<br /> &lt;meta http-equiv=&quot;Content-Type&quot; content=&quot;text/html; charset=UTF-8&quot; /&gt;<br /> &lt;title&gt;NOS Bolognaises !!!&lt;/title&gt;<br /> &lt;/head&gt;<br /> <br /> &lt;style&gt;<br /> img{<br /> height:70vh;<br /> margin:auto;<br /> display:block;<br /> }<br /> <br /> &lt;/style&gt;<br /> &lt;body&gt;<br /> &lt;img src=&quot;bolognaise.jpg&quot;&gt;<br /> &lt;a href=&quot;portail.polytech-lille.fr&quot;&gt;ICI polytech&lt;/a&gt;<br /> &lt;/body&gt;<br /> &lt;/html&gt;<br /> <br /> Si on écrit dans un navigateur : &lt;code&gt;https://bolognaise.site&lt;/code&gt; on peut arriver directement dans notre site.<br /> <br /> ==Gestion de fail2ban==<br /> Nous avons commencé par installer la commande '''fail2ban''' : <br /> <br /> apt install fail2ban<br /> <br /> Puis nous avons activé le fil2ban comme suivant :<br /> <br /> root@dio5:~# service fail2ban active<br /> Usage: /etc/init.d/fail2ban {start|force-start|stop|restart|force reload|status}<br /> root@dio5:~# service fail2ban enable<br /> Usage: /etc/init.d/fail2ban {start|force-start|stop|restart|force-reload|status}<br /> <br /> Nous regardons le status du fail2ban : <br /> <br /> root@dio5:~# service fail2ban status<br /> Status of Authentication failure monitor:fail2ban is running.<br /> <br /> Dans le fichier '''/etc/fail2ban/jail.d/defaults-debian.conf''' nous activons le '''name refused''' en ajoutant les 2 lignes suivantes : <br /> [named-refused]<br /> enabled = true<br /> <br /> Dans le fichier '''/etc/bind/named.conf.options''', on va allumer le service de loggin de named-refused, qui est par défault éteint, pour cela nous ajoutant ce bloc : <br /> <br /> logging {<br /> <br /> channel security_file{<br /> file &quot;/var/log/named/security.log&quot; versions 3 size 30m;<br /> severity dynamic;<br /> print-time yes;<br /> };<br /> category security{<br /> security_file;<br /> };<br /> <br /> Dans le fichier '''/etc/bind/named.conf.options''' nous allons définir le nombre max de reponses par seconde que le server peut l'accepter avant de faire le ban, pour cela on ajoute le bloc suivant : <br /> <br /> rate-limit{<br /> responses-per-second 5;<br /> };<br /> <br /> Le nombre max des reponses par seconde est fixé à 5.<br /> <br /> Comme que nous allons écrire dans le fichier '''security.log''' et que ce fichier n'existe pas, donc nous allons le créer et créer les dossiers qui correspondent :<br /> *Création du dossier '''named''': <br /> mkdir /var/log/named<br /> *Création du fichier '''security.log''' qui vide au départ:<br /> touch security.log étant dans le dossier /var/log/named<br /> <br /> Et comme que ce dossier &lt;code&gt;named/&lt;/code&gt; appartient au service bind (named) donc il était nécessaire de lui associé un '''owner''' qui est le bind9 :<br /> <br /> *Etant dans le dossier /var/log : <br /> chown bind named/<br /> chown bind named/security.log<br /> <br /> Pour vérifier la prise en compte des changement : <br /> <br /> root@dio5:~# ls -l /var/log/ | grep named<br /> drwxr-xr-x 2 bind root 4096 Nov 30 09:56 named<br /> root@dio5:~# ls -l /var/log/named/<br /> total 12<br /> -rw-r--r-- 1 bind root 10898 Dec 7 17:43 security.log<br /> <br /> On restart les services pour prendre en compte les modifications: <br /> service named restart<br /> <br /> == Mise en place d'un RAID 5==<br /> Dans le but de rendre les données de notre VM sécurisées (résilience aux problèmes hardware de disque), nous mettons en place une configuration RAID 5. Pour cela :<br /> Création de 3 partitions LVM de 1Go sur capbreton :<br /> lvcreate -L1G -nbolo-raid1 storage<br /> lvcreate -L1G -nbolo-raid2 storage<br /> lvcreate -L1G -nbolo-raid3 storage<br /> Il faut évidemment modifier le fichier de configuration (/etc/xen/dio5.cfg) de notre VM en conséquence pour rattacher ces 3 partitions dans la partie &lt;code&gt;disk&lt;/code&gt;:<br /> 'phy:/dev/storage/bolo-raidX,xvdb3,w' en répétant cette ligne pour X variant de 1 à 3<br /> On redémarre ensuite la VM :<br /> halt<br /> Puis sur capbreton on exécute :<br /> xen-create-image dio5.cfg<br /> xen console dio5<br /> On peut maintenant créer depuis la xen le système RAID5:<br /> mdadm --create /dev/md0 --level=5 --raid-devices 3 /dev/xvdb3 /dev/xvdb4 /dev/xvdb5<br /> mkfs /dev/md0 ''création du système de fichiers''<br /> mount /dev/md0 /mnt ''on monte le disque RAID5''<br /> Rappel des commandes utiles :<br /> lsblk : affiche la liste et les caractéristiques tous les disques et leurs partitions <br /> df : affiche la valeur d'espace disque disponible des systèmes de fichier disponibles en écriture pour le user<br /> === Test de résistance de notre RAID 5 ===<br /> On commence par enregistrer un fichier sur notre partition dans /mnt :<br /> cd /mnt ; echo &quot;Test résistance RAID5&quot; &gt; test.txt<br /> Pour simuler un cas de défaillance d'un des 3 disques, on commente dans le fichier de configuration de la xen une des lignes correspondant à un des 3 disques, puis on reboot la xen.<br /> Une fois démarrée, on peut vérifier que la reconstruction des données à bien fonctionné simplement en exécutant :<br /> cd /mnt ; cat test.txt<br /> Ce qui nous donne en sortie dans la console :<br /> Test résistantce RAID5<br /> Notre système RAID5 est donc fonctionnel.<br /> <br /> == Cassage de mot de passe WEP ==<br /> On va pour cette activité utiliser le paquet aircrack-ng. Une fois l'interface réseau Wifi identifiée (wlan0mon), on démarre aircrack-ng dessus :<br /> airmon-ng start wlan0mon<br /> On écoute ensuite tout ce qui passe sur cette interface pour identifier le BSSID correspondant à notre groupe (SSID cracotte05), et le channel associé:<br /> airodump-ng -c wlan0mon<br /> Une fois le BSSID identifié (XXXXXX), on recommence l'écoute du réseau mais cette fois en filtrant pour ne récupérer que des trames correspondant au SSID que l'on souhaite cracker :<br /> airodump-ng -c 13 --bssid 04:DA:D2:9C:50:54 -w cracotte08 wlan0mon <br /> Une fois un nombre de paquets suffisants récupérés, on lance l'algorithme de crackage pour récupéré la clé WEP :<br /> aircrack-ng cracotte05-01.cap<br /> On trouve : '''FF:FF:FF:FF:FA:BC:06:CB:AE:EE:EE:EE:EE <br /> <br /> <br /> [[Fichier:WEP.jpg]]<br /> <br /> == Cassage de mot de passe WPA-PSK par brut force==<br /> A COMPLETER + photo<br /> <br /> =Coffre Fort=<br /> <br /> [[Fichier:Coffre_secret2.zip]]</div>

Ylacroix https://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA5_2022/2023_G5&diff=61001 2023-01-07T18:16:29Z

<p>Ylacroix : /* Cassage de mot de passe WEP */</p> <hr /> <div>=Installation de l'OS=<br /> <br /> Devuan Chimaera (netinstall) sur les zabeth 17 et 11<br /> <br /> ==Configuration réseau==<br /> *IP machine : 172.26.145.50+n°zabeth/24<br /> *DNS : 193.48.57.48<br /> *Domain name : plil.info<br /> *Routeur : 172.26.145.254<br /> *Proxy : http://proxy.polyetch-lille.fr:3128<br /> <br /> <br /> *mdp dio5 : XXXXXX<br /> <br /> =Ansible=<br /> Prérequis:<br /> *python<br /> *pip<br /> *ansible<br /> Rédaction du script ansible pour le Screen Saver (.yml)<br /> <br /> Tâches accomplies : <br /> * Suppression des animations de veille d'écran<br /> <br /> Tâches restantes : <br /> * Fixer une animation lente pour la veille<br /> * Eteindre complétement l'écran au bout d'un certain temps (1 heure)<br /> <br /> =Réalisation=<br /> ==Installation de la machine virtuelle XEN (séance 2)==<br /> <br /> '''Connexion au serveur hébergeant les VM :'''<br /> ssh root@capbreton.plil.info<br /> <br /> '''Création de l'image de conifguration de la VM :'''<br /> <br /> xen-create-image --ip=193.48.57.105 --gateway=193.48.57.161 --netmask=255.255.255.0 --hostname=dio5 --dist=chimaera --dir=/usr/local/xen/<br /> <br /> /!\ Adresse ip provisoire car réseau 193.48.57.160/27 non créé pour le moment. Actuellement ip : 172.26.145.105 /!\<br /> <br /> '''Modification du fichier de config (image):'''<br /> /etc/xen/dio5.cfg --&gt; <br /> <br /> '''Création de la VM à partir de l'image précédemment créée :'''<br /> xen create dio5.cfg (en étant dans le dir /etc/xen/ évidemment)<br /> <br /> '''Lancement de la VM :'''<br /> xen console dio5<br /> login: root<br /> password: XXXXXX<br /> Vérifier avant que la machine a bien été lancée avec &lt;code&gt;xen create dio5.cfg&lt;/code&gt; par la commande &lt;code&gt;xen list&lt;/code&gt;<br /> <br /> ==Séance 3==<br /> ===Amélioration du coffre fort===<br /> Un dossier compressé est en bas de page<br /> <br /> ===Création des volumes virtuels===<br /> Sur Capbreton, on créé les LVM /home /var avec leurs systèmes de fichiers : <br /> <br /> &lt;code&gt;lvcreate -L10G -ndio5_home storage &lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_home&lt;/code&gt;<br /> <br /> &lt;code&gt;lvcreate -L5G -ndio5_var storage&lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_var&lt;/code&gt;<br /> <br /> Il faut changer le fichier de configuration (situé dans /etc/xen) et y ajouter ces deux lignes dans la partie &lt;code&gt;disk =&lt;/code&gt;<br /> <br /> 'phy:/dev/storage/dio5_home,xvdb1,w',<br /> 'phy:/dev/storage/dio5_var,xvdb2,w',<br /> Ainsi que modifier la ligne &lt;code&gt;vif&lt;/code&gt; comme suit :<br /> vif = [ 'mac=00:16:3E:7B:4D:A4,bridge=IMA5sc' ]<br /> <br /> On relance ensuite la machine avec &lt;code&gt;xen create&lt;/code&gt;. <br /> Pour monter les deux partitions, il faut ensuite modifier le fichier '''/etc/fstab''' comme suit :<br /> /dev/xvdb1 /home ext4 defaults 0 2<br /> /dev/xvdb2 /var ext4 defaults 0 2<br /> Pour que ces modificcations soient prises en compte :<br /> mount -a<br /> reboot<br /> <br /> ==Séance 4==<br /> ===Sécurisation par certificat TLS===<br /> Nous avons commencé par lancer la machine virtuelle qui était créée et configurée lors des séances précédentes. &lt;br/&gt;<br /> Ensuite nous avons acheté le nom de domaine ''' blanquette.site ''' via le fournisseur de nom de domaine GANDI. Ce nom de domaine servira par la suite pour héberger notre site web Apache. &lt;br/&gt;<br /> Pour sécuriser la connexion HTTPS sur Apache, il est nécessaire de créer une clé et un CSR. On utilise pour cela l'utilitaire OpenSSL et on exécute les commandes : &lt;br/&gt;<br /> apt install openssl<br /> openssl req -nodes -newkey rsa:2048 -sha256 -keyout myserver.key -out server.csr -utf8<br /> Pour valider cette demande de certificat et obtenir notre certificat TSL, nous avons également utilisé GANDI.&lt;br/&gt;<br /> <br /> ===Configuration du routeur de secours (Cisco 9200????)===<br /> Pendant que d'autres binômes s'occupaient de la configuration physique des routeurs (câblage), nous nous sommes occupés de configurer le routeur en E304. Pour cela, on accède à l'interface de configuration Cisco du routeur par port série, via minicom :&lt;br/&gt;<br /> minicom -os &quot;&quot;&quot;device:/dev/ttyUSB0, baudrate:9600, pas de contrôle de flux&quot;&quot;&quot;<br /> Depuis cette interface, création de 3 vlan et configuration des ports physiques associés pour répondre à l'architecture réseau demandée pour le TP :<br /> * Connexion entre le routeur et Capbreton sur le VLAN 2 :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 2<br /> routeur(vlan)#name Capb-E304<br /> routeur#exit<br /> routeur#int Te5/4<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 2<br /> Il restera ensuite à configurer ce vlan sur le réseau '''193.48.57.176/28'''<br /> <br /> * Connexion de redondance entre les deux routeurs :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 64<br /> routeur(vlan)#name INTERCO-E306/304<br /> Après le choix du port à connecter sur le routeur, il restera à attribuer ce port au vlan 64 en mode '''trunk'''.<br /> <br /> * Connexion entre le routeur et le SR2<br /> enable<br /> routeur#conf t<br /> routeur#vlan 531<br /> routeur(vlan)#name INTERCO-5A<br /> routeur#exit<br /> routeur#int Te5/5<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 531<br /> Il restera ensuite à configurer ce vlan sur le réseau '''192.168.222.72/29'''<br /> <br /> PHOTO A METTRE !!! &lt;br/&gt;<br /> Pour checker la configuration des vlan du routeur :<br /> routeur#show interfaces status<br /> ou :<br /> routeur#show interface vlan X<br /> <br /> <br /> ==Séance 5==<br /> <br /> Tout d'abord nous avons commencé à vérifer le fonctionnement de notre service SSH sur la machine Xen.<br /> Pour cela nous avons modifié en premier temps après avoir être connecté sur la machine virtuelle le fichier '''sshd_config''' situé dans :<br /> /etc/ssh<br /> comme suit :<br /> # Authentication:<br /> #LoginGraceTime 2m<br /> PermitRootLogin yes<br /> #StrictModes yes<br /> #MaxAuthTries 6<br /> #MaxSessions 10<br /> <br /> d'où nous avons décommenté la ligne de qui nous permet de se connecter en tant que root, ensuite nous avons lui donné cette permission par l'expression '''yes'''.<br /> <br /> Une fois que cette étape est faite, nous avons lancé dans le shell la commande suivante : <br /> root@dio5:~# service ssh restart<br /> Dans le but de prendre en compte les modifications faites.<br /> <br /> Pour vérfier la connexion en ssh, nous lançons depuis notre machine zabeth17 la commande suivante :<br /> root@zabeth17:~# ssh root@172.26.145.105<br /> <br /> '''Attribution de l'adresse IP à VLAN2''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 2<br /> routeur#ip address 193.48.57.178 255.255.255.240<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Attribution de l'adresse IP à VLAN531''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 531<br /> routeur#ip address 192.168.222.75 255.255.255.248<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Configuration et interconnection du port trunk'''<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> conf t<br /> int Te6/5<br /> switchport<br /> switchport trunk encapsulation dot1q<br /> switchport mode trunk<br /> end<br /> <br /> *Afin de sauvegarder ces configurations; on oublie pas de les écrire par la commande :<br /> write<br /> <br /> '''Changement de l'addresse IP de la machine Xen'''<br /> *Changement du Bridge de la machine :<br /> Dans la machine Xen, nous allons modifié le fichier de configuration de notre machine dio5 (situé à /etc/xen/dio5.cfg). Il est devenu comme suivant :<br /> <br /> vif = [ 'mac=00:16:3E:2B:B5:60,bridge=IMA5sc' ]<br /> <br /> Pour prendre les modifications en compte, nous avons arreté la machine xen puis nous l'avons redemaré depuis capbreton étant bien sur dans le repretoire /etc/xen: <br /> <br /> xen shutdown dio5<br /> xen create dio5.cfg <br /> <br /> <br /> <br /> Ensuite nous avons modifié l'addresse IP de la machine dans le fichier '''/etc/network/interfaces''' avec l'addresse IP suivante et la gateway qui correspond :<br /> address 193.48.57.182<br /> gateway 193.48.57.176<br /> Pour que les modifications réseaux seront prises en compte, nous exectutons les commandes suivantes dans la machine Xen: <br /> ifdown -a<br /> ifup -a<br /> <br /> <br /> '''HTTP'''<br /> Pour que notre VM soit accessible en HTTP, il lui faut un serveur HTPP installé. Dans la machine Xen : <br /> apt install apache2<br /> <br /> '''HTTPS'''<br /> L'achat du certificat SSL nous permet de sécuriser la connexion à notre serveur Apache en HTTPS. Pour cela :<br /> a2enmod ssl<br /> a2ensite default-ssl.conf<br /> service apache2 restart<br /> On modifie ensuite le fichier '''/etc/apache2/sites-enabled/default-ssl.conf''' de telle sorte à y renseigner le certificat SSL, le certificat intermédiaire et notre clé privée.<br /> Les certificats sont à télécharger sur Gandi et à transférer sur notre VM en scp.<br /> <br /> Voici le contenu du fichier '''/etc/apache2/sites-enabled/default-ssl.conf''' pour la configuration du '''https''' :<br /> <br /> &lt;VirtualHost *:443&gt;<br /> ServerName bolognaise.site<br /> ServerAlias www.bolognaise.site<br /> ServerAdmin webmaster@bolognaise.site<br /> DocumentRoot /var/www/html<br /> SSLEngine on<br /> SSLCertificateFile /root/bolognaise.site.crt<br /> SSLCertificateKeyFile /root/myserver.key<br /> SSLCertificateChainFile /root/GandiStandardSSLCA2.pem<br /> ErrorLog ${APACHE_LOG_DIR}/error.log<br /> CustomLog ${APACHE_LOG_DIR}/access.log combined<br /> &lt;/VirtualHost&gt;<br /> <br /> On note que &lt;code&gt;VirtualHost *:443&lt;/code&gt; est pour dire que c'est du HTTPS.<br /> Nous avons ensuite modifié le bloc associé au HTTP, d'une façon à avoir une redirection vers du HTTPS comme suivant : <br /> <br /> &lt;VirtualHost *:80&gt;<br /> ServerAdmin webmaster@localhost<br /> DocumentRoot /var/www/html<br /> Redirect / https://bolognaise.site<br /> &lt;/VirtualHost&gt;<br /> <br /> Dans ce cas l'utilisateur va arriver toujours sur notre site héberger en HTTPS grâce à la commande : <br /> Redirect / https://bolognaise.site<br /> <br /> ==Séance 6==<br /> ==Serveur DNS==<br /> <br /> Tout d'abord, sur le site '''gandi''', dans la section Glue record, nous avons renseigné un nom de domaine &lt;code&gt;ns.bolognaise.site&lt;/code&gt;, et nous avons ajouté les adresses IPv4 et IPv6 associé à notre machine xen.<br /> IPv4 : 193.48.57.182<br /> IPv6 : 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> Ensuite dans la section NameServer nous avons ajouté un DNS secondaire &lt;code&gt;ns6.gandi.net&lt;/code&gt; dont son adresse IPv4 est la suivante : &lt;code&gt;217.70.177.40&lt;/code&gt;.<br /> <br /> Nous avons installé bind9 par &lt;code&gt;apt install bind9&lt;/code&gt;.<br /> <br /> '''Configuration du fichier d'option pour bind'''&lt;br/&gt;<br /> Modification du fichier &lt;code&gt;/etc/bind/named.conf.options&lt;/code&gt;<br /> <br /> <br /> options {<br /> directory &quot;/var/cache/bind&quot;;<br /> forwarders {<br /> 8.8.8.8;<br /> 4.4.2.2; //ou 8.8.4.4 <br /> };<br /> dnssec-validation auto;<br /> recursion yes;<br /> listen-on-v6 { any; };<br /> listen-on {any;};<br /> allow-recursion{trusted;};<br /> //allow-transfer{none;};<br /> };<br /> listen-on-v6 { any;}<br /> acl trusted{<br /> 193.48.57.182; //ns.bolognaise.net <br /> 217.70.177.40; //ns6.gandi.net<br /> };<br /> <br /> == Paramétrage routeur E304 ==<br /> Afin de finir la configuration du routeur en E304, il est nécessaire de mettre en place deux protocoles : &lt;br/&gt;&lt;br/&gt;<br /> '''OSBF''': partage de routes entre les deux routeurs<br /> En effet, l'objectif d'avoir 2 routeurs pour accéder au SR52 est d'avoir une redondance du réseau robuste aux pannes. Néanmoins, il faut pour cela que les deux routeurs connaissent chacun les tables de routages de l'autre. Ci-dessous la configuration OSBF du routeur E304 :<br /> router ospf 1<br /> router-id 192.162.222.6<br /> summary-address 192.168.0.0 255.255.0.0 not-advertise<br /> summary-address 193.48.57.176 255.255.255.240<br /> redistribute connected subnets ! subnets allowed<br /> redistribute static subnets route-map ospf ! subnets allowed<br /> network 192.168.222.72 0.0.0.7 area 20<br /> default-information originate<br /> Pour vérifier si le partage de routes est fonctionnel, on tape dans l'interface Cisco du routeur :<br /> do show ip route<br /> Si les routes du routeur en E306 s'affiche, c'est que le protocole a bien été configuré&lt;br/&gt;&lt;br/&gt;<br /> <br /> <br /> '''RIPv6''': <br /> La première est de permettre au routeur d'attribuer des adresses IPv6 aux différentes machines sur son réseau (Xen ...), un peu à la manière d'un DHCP. Ci-dessous la configuration :<br /> interface vlan 2 <br /> ipv6 enable<br /> ipv6 address 2001:660:4401:60b0::/64 eui-64<br /> ipv6 nd prefix 2001:660:4401:60b0::/64 1000 900<br /> ipv6 nd router-preference high<br /> !<br /> ipv6 unicast-routing<br /> <br /> La deuxième étape est d'activer le routage IPv6 entre les deux routeurs et de définir les priorités de route :<br /> ipv6 rip tpima5sc enable<br /> ipv6 router rip tpima5sc<br /> redistribute connected metric 1 XXXXXXXXX<br /> redistribute rip 1 metric 1<br /> redistribute static metric 1<br /> !<br /> Pour tester que le routage IPv6 est bien activé :<br /> do show ipv6 route<br /> <br /> '''VRRP''' :<br /> Pour rendre notre réseau plus robuste, on a finalement implémenté le protocole VRRP sur le routeur. On a simplement repris la configuration donnée dans le sujet de TP et adaptée à notre cas. Pour la priorité, nous avons indiqué :<br /> <br /> vrrp 1 priority 90<br /> De cette manière, on a définit le routeur en E304 de telle sorte à ce qu'il ne soit pas prioritaire par rapport au 6509E en E306, puisque ce dernier a été configuré avec une priorité de 100.<br /> <br /> ===Schéma ===<br /> Pour récapituler l'architecture réseau, on peut regrouper de nombreuses informations dans le schéma ci-dessous :<br /> <br /> [[Fichier:reseau_dio5_1.JPG|350px]]<br /> <br /> = Séance 7 (dernière séance)=<br /> ==Suite DNS==<br /> Fin de la configuration des fichiers DNS '''/etc/bind/named.conf.options''' , '''/etc/bind/named.conf.options.local''' et <br /> <br /> Génération des clés dnssec dans un répertoire '''/etc/bind/bolognaise.site.dnssec'''<br /> <br /> Une fois que le fichier '''/etc/bind/named.conf.options''' est rempli d'une manière à configurer notre DNS, nous avons mis en place une configuration des '''forward''' et des '''zones''' comme suit :<br /> <br /> Dans le fichier '''/etc/bind/named.conf.local''' : <br /> <br /> zone &quot;57.48.193.in-addr.arpa&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.193.48.57&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> zone &quot;bolognaise.site&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.bolognaise.site&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> Une fois que les paramètres sont ajoutés dans le fichier de configurations, nous avons créé ensuite les fichiers de zones comme suit:<br /> <br /> cp /etc/bind/db.local /etc/bind/db.bolognaise.site<br /> Cette commande va nous permettre de copier le contenu du fichier '''db.local''' dans le fichier '''db.bolognaise.site''' et qui sera créé en même temps.<br /> voici le contenu des fichiers '''/etc/bind/db.local''' et '''/etc/bind/db.bolognaise.site''' avant la configuration :<br /> <br /> $TTL 604800<br /> @ IN SOA localhost. root.localhost. (<br /> 2 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS localhost.<br /> @ IN A 127.0.0.1<br /> @ IN AAAA ::1<br /> <br /> Maintenant nous allons modifié le fichier '''/etc/bind/db.bolognaise.site'''<br /> <br /> $TTL 604800<br /> @ IN SOA ns.bolognaise.site. root.bolognaise.site. (<br /> 4 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS ns.bolognaise.site.<br /> @ IN NS ns6.gandi.net.<br /> @ IN A 193.48.57.182<br /> @ IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4 ;addresse IPV6 de dio5<br /> ns IN A 193.48.57.182<br /> ns IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> www IN A 193.48.57.182<br /> www IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> <br /> Pour que les modifications seront prises en compte :<br /> service named restart<br /> <br /> Nous faisions un test pour vérifer la fonctionalité de la forward zone :<br /> <br /> root@dio5:~# host bolognaise.site localhost<br /> Using domain server:<br /> Name: localhost<br /> Address: 127.0.0.1#53<br /> Aliases:<br /> <br /> bolognaise.site has address 193.48.57.182<br /> bolognaise.site has IPv6 address 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> <br /> Ensuite nous allons faire la même démarche pour la '''reverse zone''', où on commence par la copie du fichier comme suit : <br /> cp /etc/bind/db.127 /etc/bind/db.193.48.57 <br /> <br /> Voici le contenu du fichier '''/etc/bind/db.127''' :<br /> <br /> <br /> $TTL 604800<br /> @ IN SOA localhost. root.localhost. (<br /> 1 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS localhost.<br /> 1.0.0 IN PTR localhost.<br /> <br /> <br /> Nous allons configuré le fichier '''/etc/bind/db.193.48.57''' de la façon suivante : <br /> <br /> <br /> $TTL 604800<br /> @ IN SOA ns.bolognaise.site. root.bolognaise.site. (<br /> 1 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS ns.bolognaise.site.<br /> 182 IN PTR ns.bolognaise.site.<br /> <br /> <br /> Pour que les modifications seront prises en compte :<br /> service named restart<br /> <br /> Voici un test pour la reverse zone : <br /> root@dio5:~# host 193.48.57.182 localhost<br /> Using domain server:<br /> Name: localhost<br /> Address: 127.0.0.1#53<br /> Aliases:<br /> <br /> 182.57.48.193.in-addr.arpa domain name pointer ns.bolognaise.site.<br /> Notre DNS étant maintenant fonctionnel, nous avons pu refaire la demande sur Gandi pour les serveurs externes IPv4 et IPv6, pour rappel : ''' ns.bolognaise.site et ns6.gandi.net'''<br /> <br /> == Sécurisation du DNS par DNSSEC ==<br /> Pour sécuriser notre DNS par DNSSEC, nous aurons besions des clés DNSSEC, que nous allons les ranger dans le répertoire suivant : <br /> <br /> /etc/bind/bolognaise.site.dnssec<br /> <br /> Ensuite nous allons créé les clés DNSSEC :<br /> <br /> * '''KSK (Key Signing Key)'''<br /> dnssec-keygen -a RSASHA1 -b 2048 -f KSK -n ZONE bolognaise.site<br /> * '''ZSK (Zone Signing Key)'''<br /> dnssec-keygen -a RSASHA1 -b 1024 -n ZONE bolognaise.site<br /> Puis nous injectons les clés KSK et ZSK (Privées et Publiques) dans les fichiers qui leurs corresponds : <br /> <br /> mv ./Kbolognaise.site.+005+14017.key ./bolognaise.site-zsk.key<br /> mv ./Kbolognaise.site.+005+19378.private ./bolognaise.site-zsk.private<br /> mv ./Kbolognaise.site.+005+13782.private ./bolognaise.site-ksk.private<br /> mv ./Kbolognaise.site.+005+02617.key ./bolognaise.site-ksk.key<br /> <br /> On n'oublie pas de mettre la clé publique '''KSK sur gandi''', en prenant l'algorithme de '''RSA/SHA1'''.<br /> <br /> Dans le fichier '''/etc/bind/named.conf.options''' on ajoute le ligne suivante pour activer le dnssec :<br /> dnssec-enable yes;<br /> <br /> Ensuite nous allons modifié du nouveau le fichier '''/etc/bind/named.conf.local''' <br /> en ajoutant le champs '''signed''': <br /> zone &quot;bolognaise.site&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.bolognaise.site.signed&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> zone &quot;57.48.193.in-addr.arpa&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.193.48.57&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> Cela va impliquer la prise en compte des fichiers des zones.<br /> Après nous allons inclure les clés que nous l'avons créé dans le fichier '''/etc/bind/db.bolognaise.site'''<br /> <br /> *Pour la clé ZSK : <br /> $INCLUDE &quot;/etc/bind/bolognaise.site.dnssec/bolognaise.site-zsk.key&quot;;<br /> *Pour la clé KSK : <br /> $INCLUDE &quot;/etc/bind/bolognaise.site.dnssec/bolognaise.site-ksk.key&quot;;<br /> <br /> Et pour terminer, nous avons signé le fichier de zone comme suivant :<br /> dnssec-signzone -k bolognaise.site-ksk.key -o bolognaise.site ../db.bolognaise.site bolognaise.site-zsk.key<br /> <br /> == Modification du html de notre serveur pour ajouter une photo de BOLOGNAISE ==<br /> <br /> Dans le fichier &lt;code&gt;/var/www/html/index.html&lt;/code&gt;, nous avons modifié le code source de la page de notre site &lt;br/&gt; d'une façon à avoir l'image de bolognaise qui s'affiche. Voici le code HTML : <br /> <br /> <br /> &lt;!DOCTYPE html PUBLIC &quot;-//W3C//DTD XHTML 1.0 Transitional//EN&quot; &quot;http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd&quot;&gt;<br /> &lt;html xmlns=&quot;http://www.w3.org/1999/xhtml&quot;&gt;<br /> &lt;head&gt;<br /> &lt;meta http-equiv=&quot;Content-Type&quot; content=&quot;text/html; charset=UTF-8&quot; /&gt;<br /> &lt;title&gt;NOS Bolognaises !!!&lt;/title&gt;<br /> &lt;/head&gt;<br /> <br /> &lt;style&gt;<br /> img{<br /> height:70vh;<br /> margin:auto;<br /> display:block;<br /> }<br /> <br /> &lt;/style&gt;<br /> &lt;body&gt;<br /> &lt;img src=&quot;bolognaise.jpg&quot;&gt;<br /> &lt;a href=&quot;portail.polytech-lille.fr&quot;&gt;ICI polytech&lt;/a&gt;<br /> &lt;/body&gt;<br /> &lt;/html&gt;<br /> <br /> Si on écrit dans un navigateur : &lt;code&gt;https://bolognaise.site&lt;/code&gt; on peut arriver directement dans notre site.<br /> <br /> ==Gestion de fail2ban==<br /> Nous avons commencé par installer la commande '''fail2ban''' : <br /> <br /> apt install fail2ban<br /> <br /> Puis nous avons activé le fil2ban comme suivant :<br /> <br /> root@dio5:~# service fail2ban active<br /> Usage: /etc/init.d/fail2ban {start|force-start|stop|restart|force reload|status}<br /> root@dio5:~# service fail2ban enable<br /> Usage: /etc/init.d/fail2ban {start|force-start|stop|restart|force-reload|status}<br /> <br /> Nous regardons le status du fail2ban : <br /> <br /> root@dio5:~# service fail2ban status<br /> Status of Authentication failure monitor:fail2ban is running.<br /> <br /> Dans le fichier '''/etc/fail2ban/jail.d/defaults-debian.conf''' nous activons le '''name refused''' en ajoutant les 2 lignes suivantes : <br /> [named-refused]<br /> enabled = true<br /> <br /> Dans le fichier '''/etc/bind/named.conf.options''', on va allumer le service de loggin de named-refused, qui est par défault éteint, pour cela nous ajoutant ce bloc : <br /> <br /> logging {<br /> <br /> channel security_file{<br /> file &quot;/var/log/named/security.log&quot; versions 3 size 30m;<br /> severity dynamic;<br /> print-time yes;<br /> };<br /> category security{<br /> security_file;<br /> };<br /> <br /> Dans le fichier '''/etc/bind/named.conf.options''' nous allons définir le nombre max de reponses par seconde que le server peut l'accepter avant de faire le ban, pour cela on ajoute le bloc suivant : <br /> <br /> rate-limit{<br /> responses-per-second 5;<br /> };<br /> <br /> Le nombre max des reponses par seconde est fixé à 5.<br /> <br /> Comme que nous allons écrire dans le fichier '''security.log''' et que ce fichier n'existe pas, donc nous allons le créer et créer les dossiers qui correspondent :<br /> *Création du dossier '''named''': <br /> mkdir /var/log/named<br /> *Création du fichier '''security.log''' qui vide au départ:<br /> touch security.log étant dans le dossier /var/log/named<br /> <br /> Et comme que ce dossier &lt;code&gt;named/&lt;/code&gt; appartient au service bind (named) donc il était nécessaire de lui associé un '''owner''' qui est le bind9 :<br /> <br /> *Etant dans le dossier /var/log : <br /> chown bind named/<br /> chown bind named/security.log<br /> <br /> Pour vérifier la prise en compte des changement : <br /> <br /> root@dio5:~# ls -l /var/log/ | grep named<br /> drwxr-xr-x 2 bind root 4096 Nov 30 09:56 named<br /> root@dio5:~# ls -l /var/log/named/<br /> total 12<br /> -rw-r--r-- 1 bind root 10898 Dec 7 17:43 security.log<br /> <br /> On restart les services pour prendre en compte les modifications: <br /> service named restart<br /> <br /> == Mise en place d'un RAID 5==<br /> Dans le but de rendre les données de notre VM sécurisées (résilience aux problèmes hardware de disque), nous mettons en place une configuration RAID 5. Pour cela :<br /> Création de 3 partitions LVM de 1Go sur capbreton :<br /> lvcreate -L1G -nbolo-raid1 storage<br /> lvcreate -L1G -nbolo-raid2 storage<br /> lvcreate -L1G -nbolo-raid3 storage<br /> Il faut évidemment modifier le fichier de configuration (/etc/xen/dio5.cfg) de notre VM en conséquence pour rattacher ces 3 partitions dans la partie &lt;code&gt;disk&lt;/code&gt;:<br /> 'phy:/dev/storage/bolo-raidX,xvdb3,w' en répétant cette ligne pour X variant de 1 à 3<br /> On redémarre ensuite la VM :<br /> halt<br /> Puis sur capbreton on exécute :<br /> xen-create-image dio5.cfg<br /> xen console dio5<br /> On peut maintenant créer depuis la xen le système RAID5:<br /> mdadm --create /dev/md0 --level=5 --raid-devices 3 /dev/xvdb3 /dev/xvdb4 /dev/xvdb5<br /> mkfs /dev/md0 ''création du système de fichiers''<br /> mount /dev/md0 /mnt ''on monte le disque RAID5''<br /> Rappel des commandes utiles :<br /> lsblk : affiche la liste et les caractéristiques tous les disques et leurs partitions <br /> df : affiche la valeur d'espace disque disponible des systèmes de fichier disponibles en écriture pour le user<br /> === Test de résistance de notre RAID 5 ===<br /> On commence par enregistrer un fichier sur notre partition dans /mnt :<br /> cd /mnt ; echo &quot;Test résistance RAID5&quot; &gt; test.txt<br /> Pour simuler un cas de défaillance d'un des 3 disques, on commente dans le fichier de configuration de la xen une des lignes correspondant à un des 3 disques, puis on reboot la xen.<br /> Une fois démarrée, on peut vérifier que la reconstruction des données à bien fonctionné simplement en exécutant :<br /> cd /mnt ; cat test.txt<br /> Ce qui nous donne en sortie dans la console :<br /> Test résistantce RAID5<br /> Notre système RAID5 est donc fonctionnel.<br /> <br /> == Cassage de mot de passe WEP ==<br /> On va pour cette activité utiliser le paquet aircrack-ng. Une fois l'interface réseau Wifi identifiée (wlan0mon), on démarre aircrack-ng dessus :<br /> airmon-ng start wlan0mon<br /> On écoute ensuite tout ce qui passe sur cette interface pour identifier le BSSID correspondant à notre groupe (SSID cracotte05), et le channel associé:<br /> airodump-ng -c wlan0mon<br /> Une fois le BSSID identifié (XXXXXX), on recommence l'écoute du réseau mais cette fois en filtrant pour ne récupérer que des trames correspondant au SSID que l'on souhaite cracker :<br /> airodump-ng -c 13 --bssid 04:DA:D2:9C:50:54 -w cracotte08 wlan0mon <br /> Une fois un nombre de paquets suffisants récupérés, on lance l'algorithme de crackage pour récupéré la clé WEP :<br /> aircrack-ng cracotte05-01.cap<br /> On trouve : '''FF:FF:FF:FF:FA:BC:06:CB:AE:EE:EE:EE:EE \r<br /> [[Fichier:WEP.jpg]]<br /> <br /> == Cassage de mot de passe WPA-PSK par brut force==<br /> A COMPLETER + photo<br /> <br /> =Coffre Fort=<br /> <br /> [[Fichier:Coffre_secret2.zip]]</div>

Ylacroix https://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA5_2022/2023_G5&diff=61000 2023-01-07T18:16:02Z

<p>Ylacroix : /* Cassage de mot de passe WEP */</p> <hr /> <div>=Installation de l'OS=<br /> <br /> Devuan Chimaera (netinstall) sur les zabeth 17 et 11<br /> <br /> ==Configuration réseau==<br /> *IP machine : 172.26.145.50+n°zabeth/24<br /> *DNS : 193.48.57.48<br /> *Domain name : plil.info<br /> *Routeur : 172.26.145.254<br /> *Proxy : http://proxy.polyetch-lille.fr:3128<br /> <br /> <br /> *mdp dio5 : XXXXXX<br /> <br /> =Ansible=<br /> Prérequis:<br /> *python<br /> *pip<br /> *ansible<br /> Rédaction du script ansible pour le Screen Saver (.yml)<br /> <br /> Tâches accomplies : <br /> * Suppression des animations de veille d'écran<br /> <br /> Tâches restantes : <br /> * Fixer une animation lente pour la veille<br /> * Eteindre complétement l'écran au bout d'un certain temps (1 heure)<br /> <br /> =Réalisation=<br /> ==Installation de la machine virtuelle XEN (séance 2)==<br /> <br /> '''Connexion au serveur hébergeant les VM :'''<br /> ssh root@capbreton.plil.info<br /> <br /> '''Création de l'image de conifguration de la VM :'''<br /> <br /> xen-create-image --ip=193.48.57.105 --gateway=193.48.57.161 --netmask=255.255.255.0 --hostname=dio5 --dist=chimaera --dir=/usr/local/xen/<br /> <br /> /!\ Adresse ip provisoire car réseau 193.48.57.160/27 non créé pour le moment. Actuellement ip : 172.26.145.105 /!\<br /> <br /> '''Modification du fichier de config (image):'''<br /> /etc/xen/dio5.cfg --&gt; <br /> <br /> '''Création de la VM à partir de l'image précédemment créée :'''<br /> xen create dio5.cfg (en étant dans le dir /etc/xen/ évidemment)<br /> <br /> '''Lancement de la VM :'''<br /> xen console dio5<br /> login: root<br /> password: XXXXXX<br /> Vérifier avant que la machine a bien été lancée avec &lt;code&gt;xen create dio5.cfg&lt;/code&gt; par la commande &lt;code&gt;xen list&lt;/code&gt;<br /> <br /> ==Séance 3==<br /> ===Amélioration du coffre fort===<br /> Un dossier compressé est en bas de page<br /> <br /> ===Création des volumes virtuels===<br /> Sur Capbreton, on créé les LVM /home /var avec leurs systèmes de fichiers : <br /> <br /> &lt;code&gt;lvcreate -L10G -ndio5_home storage &lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_home&lt;/code&gt;<br /> <br /> &lt;code&gt;lvcreate -L5G -ndio5_var storage&lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_var&lt;/code&gt;<br /> <br /> Il faut changer le fichier de configuration (situé dans /etc/xen) et y ajouter ces deux lignes dans la partie &lt;code&gt;disk =&lt;/code&gt;<br /> <br /> 'phy:/dev/storage/dio5_home,xvdb1,w',<br /> 'phy:/dev/storage/dio5_var,xvdb2,w',<br /> Ainsi que modifier la ligne &lt;code&gt;vif&lt;/code&gt; comme suit :<br /> vif = [ 'mac=00:16:3E:7B:4D:A4,bridge=IMA5sc' ]<br /> <br /> On relance ensuite la machine avec &lt;code&gt;xen create&lt;/code&gt;. <br /> Pour monter les deux partitions, il faut ensuite modifier le fichier '''/etc/fstab''' comme suit :<br /> /dev/xvdb1 /home ext4 defaults 0 2<br /> /dev/xvdb2 /var ext4 defaults 0 2<br /> Pour que ces modificcations soient prises en compte :<br /> mount -a<br /> reboot<br /> <br /> ==Séance 4==<br /> ===Sécurisation par certificat TLS===<br /> Nous avons commencé par lancer la machine virtuelle qui était créée et configurée lors des séances précédentes. &lt;br/&gt;<br /> Ensuite nous avons acheté le nom de domaine ''' blanquette.site ''' via le fournisseur de nom de domaine GANDI. Ce nom de domaine servira par la suite pour héberger notre site web Apache. &lt;br/&gt;<br /> Pour sécuriser la connexion HTTPS sur Apache, il est nécessaire de créer une clé et un CSR. On utilise pour cela l'utilitaire OpenSSL et on exécute les commandes : &lt;br/&gt;<br /> apt install openssl<br /> openssl req -nodes -newkey rsa:2048 -sha256 -keyout myserver.key -out server.csr -utf8<br /> Pour valider cette demande de certificat et obtenir notre certificat TSL, nous avons également utilisé GANDI.&lt;br/&gt;<br /> <br /> ===Configuration du routeur de secours (Cisco 9200????)===<br /> Pendant que d'autres binômes s'occupaient de la configuration physique des routeurs (câblage), nous nous sommes occupés de configurer le routeur en E304. Pour cela, on accède à l'interface de configuration Cisco du routeur par port série, via minicom :&lt;br/&gt;<br /> minicom -os &quot;&quot;&quot;device:/dev/ttyUSB0, baudrate:9600, pas de contrôle de flux&quot;&quot;&quot;<br /> Depuis cette interface, création de 3 vlan et configuration des ports physiques associés pour répondre à l'architecture réseau demandée pour le TP :<br /> * Connexion entre le routeur et Capbreton sur le VLAN 2 :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 2<br /> routeur(vlan)#name Capb-E304<br /> routeur#exit<br /> routeur#int Te5/4<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 2<br /> Il restera ensuite à configurer ce vlan sur le réseau '''193.48.57.176/28'''<br /> <br /> * Connexion de redondance entre les deux routeurs :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 64<br /> routeur(vlan)#name INTERCO-E306/304<br /> Après le choix du port à connecter sur le routeur, il restera à attribuer ce port au vlan 64 en mode '''trunk'''.<br /> <br /> * Connexion entre le routeur et le SR2<br /> enable<br /> routeur#conf t<br /> routeur#vlan 531<br /> routeur(vlan)#name INTERCO-5A<br /> routeur#exit<br /> routeur#int Te5/5<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 531<br /> Il restera ensuite à configurer ce vlan sur le réseau '''192.168.222.72/29'''<br /> <br /> PHOTO A METTRE !!! &lt;br/&gt;<br /> Pour checker la configuration des vlan du routeur :<br /> routeur#show interfaces status<br /> ou :<br /> routeur#show interface vlan X<br /> <br /> <br /> ==Séance 5==<br /> <br /> Tout d'abord nous avons commencé à vérifer le fonctionnement de notre service SSH sur la machine Xen.<br /> Pour cela nous avons modifié en premier temps après avoir être connecté sur la machine virtuelle le fichier '''sshd_config''' situé dans :<br /> /etc/ssh<br /> comme suit :<br /> # Authentication:<br /> #LoginGraceTime 2m<br /> PermitRootLogin yes<br /> #StrictModes yes<br /> #MaxAuthTries 6<br /> #MaxSessions 10<br /> <br /> d'où nous avons décommenté la ligne de qui nous permet de se connecter en tant que root, ensuite nous avons lui donné cette permission par l'expression '''yes'''.<br /> <br /> Une fois que cette étape est faite, nous avons lancé dans le shell la commande suivante : <br /> root@dio5:~# service ssh restart<br /> Dans le but de prendre en compte les modifications faites.<br /> <br /> Pour vérfier la connexion en ssh, nous lançons depuis notre machine zabeth17 la commande suivante :<br /> root@zabeth17:~# ssh root@172.26.145.105<br /> <br /> '''Attribution de l'adresse IP à VLAN2''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 2<br /> routeur#ip address 193.48.57.178 255.255.255.240<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Attribution de l'adresse IP à VLAN531''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 531<br /> routeur#ip address 192.168.222.75 255.255.255.248<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Configuration et interconnection du port trunk'''<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> conf t<br /> int Te6/5<br /> switchport<br /> switchport trunk encapsulation dot1q<br /> switchport mode trunk<br /> end<br /> <br /> *Afin de sauvegarder ces configurations; on oublie pas de les écrire par la commande :<br /> write<br /> <br /> '''Changement de l'addresse IP de la machine Xen'''<br /> *Changement du Bridge de la machine :<br /> Dans la machine Xen, nous allons modifié le fichier de configuration de notre machine dio5 (situé à /etc/xen/dio5.cfg). Il est devenu comme suivant :<br /> <br /> vif = [ 'mac=00:16:3E:2B:B5:60,bridge=IMA5sc' ]<br /> <br /> Pour prendre les modifications en compte, nous avons arreté la machine xen puis nous l'avons redemaré depuis capbreton étant bien sur dans le repretoire /etc/xen: <br /> <br /> xen shutdown dio5<br /> xen create dio5.cfg <br /> <br /> <br /> <br /> Ensuite nous avons modifié l'addresse IP de la machine dans le fichier '''/etc/network/interfaces''' avec l'addresse IP suivante et la gateway qui correspond :<br /> address 193.48.57.182<br /> gateway 193.48.57.176<br /> Pour que les modifications réseaux seront prises en compte, nous exectutons les commandes suivantes dans la machine Xen: <br /> ifdown -a<br /> ifup -a<br /> <br /> <br /> '''HTTP'''<br /> Pour que notre VM soit accessible en HTTP, il lui faut un serveur HTPP installé. Dans la machine Xen : <br /> apt install apache2<br /> <br /> '''HTTPS'''<br /> L'achat du certificat SSL nous permet de sécuriser la connexion à notre serveur Apache en HTTPS. Pour cela :<br /> a2enmod ssl<br /> a2ensite default-ssl.conf<br /> service apache2 restart<br /> On modifie ensuite le fichier '''/etc/apache2/sites-enabled/default-ssl.conf''' de telle sorte à y renseigner le certificat SSL, le certificat intermédiaire et notre clé privée.<br /> Les certificats sont à télécharger sur Gandi et à transférer sur notre VM en scp.<br /> <br /> Voici le contenu du fichier '''/etc/apache2/sites-enabled/default-ssl.conf''' pour la configuration du '''https''' :<br /> <br /> &lt;VirtualHost *:443&gt;<br /> ServerName bolognaise.site<br /> ServerAlias www.bolognaise.site<br /> ServerAdmin webmaster@bolognaise.site<br /> DocumentRoot /var/www/html<br /> SSLEngine on<br /> SSLCertificateFile /root/bolognaise.site.crt<br /> SSLCertificateKeyFile /root/myserver.key<br /> SSLCertificateChainFile /root/GandiStandardSSLCA2.pem<br /> ErrorLog ${APACHE_LOG_DIR}/error.log<br /> CustomLog ${APACHE_LOG_DIR}/access.log combined<br /> &lt;/VirtualHost&gt;<br /> <br /> On note que &lt;code&gt;VirtualHost *:443&lt;/code&gt; est pour dire que c'est du HTTPS.<br /> Nous avons ensuite modifié le bloc associé au HTTP, d'une façon à avoir une redirection vers du HTTPS comme suivant : <br /> <br /> &lt;VirtualHost *:80&gt;<br /> ServerAdmin webmaster@localhost<br /> DocumentRoot /var/www/html<br /> Redirect / https://bolognaise.site<br /> &lt;/VirtualHost&gt;<br /> <br /> Dans ce cas l'utilisateur va arriver toujours sur notre site héberger en HTTPS grâce à la commande : <br /> Redirect / https://bolognaise.site<br /> <br /> ==Séance 6==<br /> ==Serveur DNS==<br /> <br /> Tout d'abord, sur le site '''gandi''', dans la section Glue record, nous avons renseigné un nom de domaine &lt;code&gt;ns.bolognaise.site&lt;/code&gt;, et nous avons ajouté les adresses IPv4 et IPv6 associé à notre machine xen.<br /> IPv4 : 193.48.57.182<br /> IPv6 : 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> Ensuite dans la section NameServer nous avons ajouté un DNS secondaire &lt;code&gt;ns6.gandi.net&lt;/code&gt; dont son adresse IPv4 est la suivante : &lt;code&gt;217.70.177.40&lt;/code&gt;.<br /> <br /> Nous avons installé bind9 par &lt;code&gt;apt install bind9&lt;/code&gt;.<br /> <br /> '''Configuration du fichier d'option pour bind'''&lt;br/&gt;<br /> Modification du fichier &lt;code&gt;/etc/bind/named.conf.options&lt;/code&gt;<br /> <br /> <br /> options {<br /> directory &quot;/var/cache/bind&quot;;<br /> forwarders {<br /> 8.8.8.8;<br /> 4.4.2.2; //ou 8.8.4.4 <br /> };<br /> dnssec-validation auto;<br /> recursion yes;<br /> listen-on-v6 { any; };<br /> listen-on {any;};<br /> allow-recursion{trusted;};<br /> //allow-transfer{none;};<br /> };<br /> listen-on-v6 { any;}<br /> acl trusted{<br /> 193.48.57.182; //ns.bolognaise.net <br /> 217.70.177.40; //ns6.gandi.net<br /> };<br /> <br /> == Paramétrage routeur E304 ==<br /> Afin de finir la configuration du routeur en E304, il est nécessaire de mettre en place deux protocoles : &lt;br/&gt;&lt;br/&gt;<br /> '''OSBF''': partage de routes entre les deux routeurs<br /> En effet, l'objectif d'avoir 2 routeurs pour accéder au SR52 est d'avoir une redondance du réseau robuste aux pannes. Néanmoins, il faut pour cela que les deux routeurs connaissent chacun les tables de routages de l'autre. Ci-dessous la configuration OSBF du routeur E304 :<br /> router ospf 1<br /> router-id 192.162.222.6<br /> summary-address 192.168.0.0 255.255.0.0 not-advertise<br /> summary-address 193.48.57.176 255.255.255.240<br /> redistribute connected subnets ! subnets allowed<br /> redistribute static subnets route-map ospf ! subnets allowed<br /> network 192.168.222.72 0.0.0.7 area 20<br /> default-information originate<br /> Pour vérifier si le partage de routes est fonctionnel, on tape dans l'interface Cisco du routeur :<br /> do show ip route<br /> Si les routes du routeur en E306 s'affiche, c'est que le protocole a bien été configuré&lt;br/&gt;&lt;br/&gt;<br /> <br /> <br /> '''RIPv6''': <br /> La première est de permettre au routeur d'attribuer des adresses IPv6 aux différentes machines sur son réseau (Xen ...), un peu à la manière d'un DHCP. Ci-dessous la configuration :<br /> interface vlan 2 <br /> ipv6 enable<br /> ipv6 address 2001:660:4401:60b0::/64 eui-64<br /> ipv6 nd prefix 2001:660:4401:60b0::/64 1000 900<br /> ipv6 nd router-preference high<br /> !<br /> ipv6 unicast-routing<br /> <br /> La deuxième étape est d'activer le routage IPv6 entre les deux routeurs et de définir les priorités de route :<br /> ipv6 rip tpima5sc enable<br /> ipv6 router rip tpima5sc<br /> redistribute connected metric 1 XXXXXXXXX<br /> redistribute rip 1 metric 1<br /> redistribute static metric 1<br /> !<br /> Pour tester que le routage IPv6 est bien activé :<br /> do show ipv6 route<br /> <br /> '''VRRP''' :<br /> Pour rendre notre réseau plus robuste, on a finalement implémenté le protocole VRRP sur le routeur. On a simplement repris la configuration donnée dans le sujet de TP et adaptée à notre cas. Pour la priorité, nous avons indiqué :<br /> <br /> vrrp 1 priority 90<br /> De cette manière, on a définit le routeur en E304 de telle sorte à ce qu'il ne soit pas prioritaire par rapport au 6509E en E306, puisque ce dernier a été configuré avec une priorité de 100.<br /> <br /> ===Schéma ===<br /> Pour récapituler l'architecture réseau, on peut regrouper de nombreuses informations dans le schéma ci-dessous :<br /> <br /> [[Fichier:reseau_dio5_1.JPG|350px]]<br /> <br /> = Séance 7 (dernière séance)=<br /> ==Suite DNS==<br /> Fin de la configuration des fichiers DNS '''/etc/bind/named.conf.options''' , '''/etc/bind/named.conf.options.local''' et <br /> <br /> Génération des clés dnssec dans un répertoire '''/etc/bind/bolognaise.site.dnssec'''<br /> <br /> Une fois que le fichier '''/etc/bind/named.conf.options''' est rempli d'une manière à configurer notre DNS, nous avons mis en place une configuration des '''forward''' et des '''zones''' comme suit :<br /> <br /> Dans le fichier '''/etc/bind/named.conf.local''' : <br /> <br /> zone &quot;57.48.193.in-addr.arpa&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.193.48.57&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> zone &quot;bolognaise.site&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.bolognaise.site&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> Une fois que les paramètres sont ajoutés dans le fichier de configurations, nous avons créé ensuite les fichiers de zones comme suit:<br /> <br /> cp /etc/bind/db.local /etc/bind/db.bolognaise.site<br /> Cette commande va nous permettre de copier le contenu du fichier '''db.local''' dans le fichier '''db.bolognaise.site''' et qui sera créé en même temps.<br /> voici le contenu des fichiers '''/etc/bind/db.local''' et '''/etc/bind/db.bolognaise.site''' avant la configuration :<br /> <br /> $TTL 604800<br /> @ IN SOA localhost. root.localhost. (<br /> 2 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS localhost.<br /> @ IN A 127.0.0.1<br /> @ IN AAAA ::1<br /> <br /> Maintenant nous allons modifié le fichier '''/etc/bind/db.bolognaise.site'''<br /> <br /> $TTL 604800<br /> @ IN SOA ns.bolognaise.site. root.bolognaise.site. (<br /> 4 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS ns.bolognaise.site.<br /> @ IN NS ns6.gandi.net.<br /> @ IN A 193.48.57.182<br /> @ IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4 ;addresse IPV6 de dio5<br /> ns IN A 193.48.57.182<br /> ns IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> www IN A 193.48.57.182<br /> www IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> <br /> Pour que les modifications seront prises en compte :<br /> service named restart<br /> <br /> Nous faisions un test pour vérifer la fonctionalité de la forward zone :<br /> <br /> root@dio5:~# host bolognaise.site localhost<br /> Using domain server:<br /> Name: localhost<br /> Address: 127.0.0.1#53<br /> Aliases:<br /> <br /> bolognaise.site has address 193.48.57.182<br /> bolognaise.site has IPv6 address 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> <br /> Ensuite nous allons faire la même démarche pour la '''reverse zone''', où on commence par la copie du fichier comme suit : <br /> cp /etc/bind/db.127 /etc/bind/db.193.48.57 <br /> <br /> Voici le contenu du fichier '''/etc/bind/db.127''' :<br /> <br /> <br /> $TTL 604800<br /> @ IN SOA localhost. root.localhost. (<br /> 1 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS localhost.<br /> 1.0.0 IN PTR localhost.<br /> <br /> <br /> Nous allons configuré le fichier '''/etc/bind/db.193.48.57''' de la façon suivante : <br /> <br /> <br /> $TTL 604800<br /> @ IN SOA ns.bolognaise.site. root.bolognaise.site. (<br /> 1 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS ns.bolognaise.site.<br /> 182 IN PTR ns.bolognaise.site.<br /> <br /> <br /> Pour que les modifications seront prises en compte :<br /> service named restart<br /> <br /> Voici un test pour la reverse zone : <br /> root@dio5:~# host 193.48.57.182 localhost<br /> Using domain server:<br /> Name: localhost<br /> Address: 127.0.0.1#53<br /> Aliases:<br /> <br /> 182.57.48.193.in-addr.arpa domain name pointer ns.bolognaise.site.<br /> Notre DNS étant maintenant fonctionnel, nous avons pu refaire la demande sur Gandi pour les serveurs externes IPv4 et IPv6, pour rappel : ''' ns.bolognaise.site et ns6.gandi.net'''<br /> <br /> == Sécurisation du DNS par DNSSEC ==<br /> Pour sécuriser notre DNS par DNSSEC, nous aurons besions des clés DNSSEC, que nous allons les ranger dans le répertoire suivant : <br /> <br /> /etc/bind/bolognaise.site.dnssec<br /> <br /> Ensuite nous allons créé les clés DNSSEC :<br /> <br /> * '''KSK (Key Signing Key)'''<br /> dnssec-keygen -a RSASHA1 -b 2048 -f KSK -n ZONE bolognaise.site<br /> * '''ZSK (Zone Signing Key)'''<br /> dnssec-keygen -a RSASHA1 -b 1024 -n ZONE bolognaise.site<br /> Puis nous injectons les clés KSK et ZSK (Privées et Publiques) dans les fichiers qui leurs corresponds : <br /> <br /> mv ./Kbolognaise.site.+005+14017.key ./bolognaise.site-zsk.key<br /> mv ./Kbolognaise.site.+005+19378.private ./bolognaise.site-zsk.private<br /> mv ./Kbolognaise.site.+005+13782.private ./bolognaise.site-ksk.private<br /> mv ./Kbolognaise.site.+005+02617.key ./bolognaise.site-ksk.key<br /> <br /> On n'oublie pas de mettre la clé publique '''KSK sur gandi''', en prenant l'algorithme de '''RSA/SHA1'''.<br /> <br /> Dans le fichier '''/etc/bind/named.conf.options''' on ajoute le ligne suivante pour activer le dnssec :<br /> dnssec-enable yes;<br /> <br /> Ensuite nous allons modifié du nouveau le fichier '''/etc/bind/named.conf.local''' <br /> en ajoutant le champs '''signed''': <br /> zone &quot;bolognaise.site&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.bolognaise.site.signed&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> zone &quot;57.48.193.in-addr.arpa&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.193.48.57&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> Cela va impliquer la prise en compte des fichiers des zones.<br /> Après nous allons inclure les clés que nous l'avons créé dans le fichier '''/etc/bind/db.bolognaise.site'''<br /> <br /> *Pour la clé ZSK : <br /> $INCLUDE &quot;/etc/bind/bolognaise.site.dnssec/bolognaise.site-zsk.key&quot;;<br /> *Pour la clé KSK : <br /> $INCLUDE &quot;/etc/bind/bolognaise.site.dnssec/bolognaise.site-ksk.key&quot;;<br /> <br /> Et pour terminer, nous avons signé le fichier de zone comme suivant :<br /> dnssec-signzone -k bolognaise.site-ksk.key -o bolognaise.site ../db.bolognaise.site bolognaise.site-zsk.key<br /> <br /> == Modification du html de notre serveur pour ajouter une photo de BOLOGNAISE ==<br /> <br /> Dans le fichier &lt;code&gt;/var/www/html/index.html&lt;/code&gt;, nous avons modifié le code source de la page de notre site &lt;br/&gt; d'une façon à avoir l'image de bolognaise qui s'affiche. Voici le code HTML : <br /> <br /> <br /> &lt;!DOCTYPE html PUBLIC &quot;-//W3C//DTD XHTML 1.0 Transitional//EN&quot; &quot;http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd&quot;&gt;<br /> &lt;html xmlns=&quot;http://www.w3.org/1999/xhtml&quot;&gt;<br /> &lt;head&gt;<br /> &lt;meta http-equiv=&quot;Content-Type&quot; content=&quot;text/html; charset=UTF-8&quot; /&gt;<br /> &lt;title&gt;NOS Bolognaises !!!&lt;/title&gt;<br /> &lt;/head&gt;<br /> <br /> &lt;style&gt;<br /> img{<br /> height:70vh;<br /> margin:auto;<br /> display:block;<br /> }<br /> <br /> &lt;/style&gt;<br /> &lt;body&gt;<br /> &lt;img src=&quot;bolognaise.jpg&quot;&gt;<br /> &lt;a href=&quot;portail.polytech-lille.fr&quot;&gt;ICI polytech&lt;/a&gt;<br /> &lt;/body&gt;<br /> &lt;/html&gt;<br /> <br /> Si on écrit dans un navigateur : &lt;code&gt;https://bolognaise.site&lt;/code&gt; on peut arriver directement dans notre site.<br /> <br /> ==Gestion de fail2ban==<br /> Nous avons commencé par installer la commande '''fail2ban''' : <br /> <br /> apt install fail2ban<br /> <br /> Puis nous avons activé le fil2ban comme suivant :<br /> <br /> root@dio5:~# service fail2ban active<br /> Usage: /etc/init.d/fail2ban {start|force-start|stop|restart|force reload|status}<br /> root@dio5:~# service fail2ban enable<br /> Usage: /etc/init.d/fail2ban {start|force-start|stop|restart|force-reload|status}<br /> <br /> Nous regardons le status du fail2ban : <br /> <br /> root@dio5:~# service fail2ban status<br /> Status of Authentication failure monitor:fail2ban is running.<br /> <br /> Dans le fichier '''/etc/fail2ban/jail.d/defaults-debian.conf''' nous activons le '''name refused''' en ajoutant les 2 lignes suivantes : <br /> [named-refused]<br /> enabled = true<br /> <br /> Dans le fichier '''/etc/bind/named.conf.options''', on va allumer le service de loggin de named-refused, qui est par défault éteint, pour cela nous ajoutant ce bloc : <br /> <br /> logging {<br /> <br /> channel security_file{<br /> file &quot;/var/log/named/security.log&quot; versions 3 size 30m;<br /> severity dynamic;<br /> print-time yes;<br /> };<br /> category security{<br /> security_file;<br /> };<br /> <br /> Dans le fichier '''/etc/bind/named.conf.options''' nous allons définir le nombre max de reponses par seconde que le server peut l'accepter avant de faire le ban, pour cela on ajoute le bloc suivant : <br /> <br /> rate-limit{<br /> responses-per-second 5;<br /> };<br /> <br /> Le nombre max des reponses par seconde est fixé à 5.<br /> <br /> Comme que nous allons écrire dans le fichier '''security.log''' et que ce fichier n'existe pas, donc nous allons le créer et créer les dossiers qui correspondent :<br /> *Création du dossier '''named''': <br /> mkdir /var/log/named<br /> *Création du fichier '''security.log''' qui vide au départ:<br /> touch security.log étant dans le dossier /var/log/named<br /> <br /> Et comme que ce dossier &lt;code&gt;named/&lt;/code&gt; appartient au service bind (named) donc il était nécessaire de lui associé un '''owner''' qui est le bind9 :<br /> <br /> *Etant dans le dossier /var/log : <br /> chown bind named/<br /> chown bind named/security.log<br /> <br /> Pour vérifier la prise en compte des changement : <br /> <br /> root@dio5:~# ls -l /var/log/ | grep named<br /> drwxr-xr-x 2 bind root 4096 Nov 30 09:56 named<br /> root@dio5:~# ls -l /var/log/named/<br /> total 12<br /> -rw-r--r-- 1 bind root 10898 Dec 7 17:43 security.log<br /> <br /> On restart les services pour prendre en compte les modifications: <br /> service named restart<br /> <br /> == Mise en place d'un RAID 5==<br /> Dans le but de rendre les données de notre VM sécurisées (résilience aux problèmes hardware de disque), nous mettons en place une configuration RAID 5. Pour cela :<br /> Création de 3 partitions LVM de 1Go sur capbreton :<br /> lvcreate -L1G -nbolo-raid1 storage<br /> lvcreate -L1G -nbolo-raid2 storage<br /> lvcreate -L1G -nbolo-raid3 storage<br /> Il faut évidemment modifier le fichier de configuration (/etc/xen/dio5.cfg) de notre VM en conséquence pour rattacher ces 3 partitions dans la partie &lt;code&gt;disk&lt;/code&gt;:<br /> 'phy:/dev/storage/bolo-raidX,xvdb3,w' en répétant cette ligne pour X variant de 1 à 3<br /> On redémarre ensuite la VM :<br /> halt<br /> Puis sur capbreton on exécute :<br /> xen-create-image dio5.cfg<br /> xen console dio5<br /> On peut maintenant créer depuis la xen le système RAID5:<br /> mdadm --create /dev/md0 --level=5 --raid-devices 3 /dev/xvdb3 /dev/xvdb4 /dev/xvdb5<br /> mkfs /dev/md0 ''création du système de fichiers''<br /> mount /dev/md0 /mnt ''on monte le disque RAID5''<br /> Rappel des commandes utiles :<br /> lsblk : affiche la liste et les caractéristiques tous les disques et leurs partitions <br /> df : affiche la valeur d'espace disque disponible des systèmes de fichier disponibles en écriture pour le user<br /> === Test de résistance de notre RAID 5 ===<br /> On commence par enregistrer un fichier sur notre partition dans /mnt :<br /> cd /mnt ; echo &quot;Test résistance RAID5&quot; &gt; test.txt<br /> Pour simuler un cas de défaillance d'un des 3 disques, on commente dans le fichier de configuration de la xen une des lignes correspondant à un des 3 disques, puis on reboot la xen.<br /> Une fois démarrée, on peut vérifier que la reconstruction des données à bien fonctionné simplement en exécutant :<br /> cd /mnt ; cat test.txt<br /> Ce qui nous donne en sortie dans la console :<br /> Test résistantce RAID5<br /> Notre système RAID5 est donc fonctionnel.<br /> <br /> == Cassage de mot de passe WEP ==<br /> On va pour cette activité utiliser le paquet aircrack-ng. Une fois l'interface réseau Wifi identifiée (wlan0mon), on démarre aircrack-ng dessus :<br /> airmon-ng start wlan0mon<br /> On écoute ensuite tout ce qui passe sur cette interface pour identifier le BSSID correspondant à notre groupe (SSID cracotte05), et le channel associé:<br /> airodump-ng -c wlan0mon<br /> Une fois le BSSID identifié (XXXXXX), on recommence l'écoute du réseau mais cette fois en filtrant pour ne récupérer que des trames correspondant au SSID que l'on souhaite cracker :<br /> airodump-ng -c 13 --bssid 04:DA:D2:9C:50:54 -w cracotte08 wlan0mon <br /> Une fois un nombre de paquets suffisants récupérés, on lance l'algorithme de crackage pour récupéré la clé WEP :<br /> aircrack-ng cracotte05-01.cap<br /> On trouve : '''FF:FF:FF:FF:FA:BC:06:CB:AE:EE:EE:EE:EE<br /> [[Fichier:WEP.jpg]]<br /> <br /> == Cassage de mot de passe WPA-PSK par brut force==<br /> A COMPLETER + photo<br /> <br /> =Coffre Fort=<br /> <br /> [[Fichier:Coffre_secret2.zip]]</div>

Ylacroix https://wiki-ima.plil.fr/mediawiki//index.php?title=Fichier:Exemple.jpg&diff=60999 2023-01-07T18:15:33Z

<p>Ylacroix : Ylacroix a téléversé une nouvelle version de Fichier:Exemple.jpg</p> <hr /> <div></div>

Ylacroix https://wiki-ima.plil.fr/mediawiki//index.php?title=Fichier:Exemple.jpg&diff=60998 2023-01-07T18:14:31Z

<p>Ylacroix : Ylacroix a téléversé une nouvelle version de Fichier:Exemple.jpg</p> <hr /> <div></div>

Ylacroix https://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA5_2022/2023_G5&diff=60997 2023-01-07T18:13:41Z

<p>Ylacroix : /* Cassage de mot de passe WEP */</p> <hr /> <div>=Installation de l'OS=<br /> <br /> Devuan Chimaera (netinstall) sur les zabeth 17 et 11<br /> <br /> ==Configuration réseau==<br /> *IP machine : 172.26.145.50+n°zabeth/24<br /> *DNS : 193.48.57.48<br /> *Domain name : plil.info<br /> *Routeur : 172.26.145.254<br /> *Proxy : http://proxy.polyetch-lille.fr:3128<br /> <br /> <br /> *mdp dio5 : XXXXXX<br /> <br /> =Ansible=<br /> Prérequis:<br /> *python<br /> *pip<br /> *ansible<br /> Rédaction du script ansible pour le Screen Saver (.yml)<br /> <br /> Tâches accomplies : <br /> * Suppression des animations de veille d'écran<br /> <br /> Tâches restantes : <br /> * Fixer une animation lente pour la veille<br /> * Eteindre complétement l'écran au bout d'un certain temps (1 heure)<br /> <br /> =Réalisation=<br /> ==Installation de la machine virtuelle XEN (séance 2)==<br /> <br /> '''Connexion au serveur hébergeant les VM :'''<br /> ssh root@capbreton.plil.info<br /> <br /> '''Création de l'image de conifguration de la VM :'''<br /> <br /> xen-create-image --ip=193.48.57.105 --gateway=193.48.57.161 --netmask=255.255.255.0 --hostname=dio5 --dist=chimaera --dir=/usr/local/xen/<br /> <br /> /!\ Adresse ip provisoire car réseau 193.48.57.160/27 non créé pour le moment. Actuellement ip : 172.26.145.105 /!\<br /> <br /> '''Modification du fichier de config (image):'''<br /> /etc/xen/dio5.cfg --&gt; <br /> <br /> '''Création de la VM à partir de l'image précédemment créée :'''<br /> xen create dio5.cfg (en étant dans le dir /etc/xen/ évidemment)<br /> <br /> '''Lancement de la VM :'''<br /> xen console dio5<br /> login: root<br /> password: XXXXXX<br /> Vérifier avant que la machine a bien été lancée avec &lt;code&gt;xen create dio5.cfg&lt;/code&gt; par la commande &lt;code&gt;xen list&lt;/code&gt;<br /> <br /> ==Séance 3==<br /> ===Amélioration du coffre fort===<br /> Un dossier compressé est en bas de page<br /> <br /> ===Création des volumes virtuels===<br /> Sur Capbreton, on créé les LVM /home /var avec leurs systèmes de fichiers : <br /> <br /> &lt;code&gt;lvcreate -L10G -ndio5_home storage &lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_home&lt;/code&gt;<br /> <br /> &lt;code&gt;lvcreate -L5G -ndio5_var storage&lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_var&lt;/code&gt;<br /> <br /> Il faut changer le fichier de configuration (situé dans /etc/xen) et y ajouter ces deux lignes dans la partie &lt;code&gt;disk =&lt;/code&gt;<br /> <br /> 'phy:/dev/storage/dio5_home,xvdb1,w',<br /> 'phy:/dev/storage/dio5_var,xvdb2,w',<br /> Ainsi que modifier la ligne &lt;code&gt;vif&lt;/code&gt; comme suit :<br /> vif = [ 'mac=00:16:3E:7B:4D:A4,bridge=IMA5sc' ]<br /> <br /> On relance ensuite la machine avec &lt;code&gt;xen create&lt;/code&gt;. <br /> Pour monter les deux partitions, il faut ensuite modifier le fichier '''/etc/fstab''' comme suit :<br /> /dev/xvdb1 /home ext4 defaults 0 2<br /> /dev/xvdb2 /var ext4 defaults 0 2<br /> Pour que ces modificcations soient prises en compte :<br /> mount -a<br /> reboot<br /> <br /> ==Séance 4==<br /> ===Sécurisation par certificat TLS===<br /> Nous avons commencé par lancer la machine virtuelle qui était créée et configurée lors des séances précédentes. &lt;br/&gt;<br /> Ensuite nous avons acheté le nom de domaine ''' blanquette.site ''' via le fournisseur de nom de domaine GANDI. Ce nom de domaine servira par la suite pour héberger notre site web Apache. &lt;br/&gt;<br /> Pour sécuriser la connexion HTTPS sur Apache, il est nécessaire de créer une clé et un CSR. On utilise pour cela l'utilitaire OpenSSL et on exécute les commandes : &lt;br/&gt;<br /> apt install openssl<br /> openssl req -nodes -newkey rsa:2048 -sha256 -keyout myserver.key -out server.csr -utf8<br /> Pour valider cette demande de certificat et obtenir notre certificat TSL, nous avons également utilisé GANDI.&lt;br/&gt;<br /> <br /> ===Configuration du routeur de secours (Cisco 9200????)===<br /> Pendant que d'autres binômes s'occupaient de la configuration physique des routeurs (câblage), nous nous sommes occupés de configurer le routeur en E304. Pour cela, on accède à l'interface de configuration Cisco du routeur par port série, via minicom :&lt;br/&gt;<br /> minicom -os &quot;&quot;&quot;device:/dev/ttyUSB0, baudrate:9600, pas de contrôle de flux&quot;&quot;&quot;<br /> Depuis cette interface, création de 3 vlan et configuration des ports physiques associés pour répondre à l'architecture réseau demandée pour le TP :<br /> * Connexion entre le routeur et Capbreton sur le VLAN 2 :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 2<br /> routeur(vlan)#name Capb-E304<br /> routeur#exit<br /> routeur#int Te5/4<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 2<br /> Il restera ensuite à configurer ce vlan sur le réseau '''193.48.57.176/28'''<br /> <br /> * Connexion de redondance entre les deux routeurs :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 64<br /> routeur(vlan)#name INTERCO-E306/304<br /> Après le choix du port à connecter sur le routeur, il restera à attribuer ce port au vlan 64 en mode '''trunk'''.<br /> <br /> * Connexion entre le routeur et le SR2<br /> enable<br /> routeur#conf t<br /> routeur#vlan 531<br /> routeur(vlan)#name INTERCO-5A<br /> routeur#exit<br /> routeur#int Te5/5<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 531<br /> Il restera ensuite à configurer ce vlan sur le réseau '''192.168.222.72/29'''<br /> <br /> PHOTO A METTRE !!! &lt;br/&gt;<br /> Pour checker la configuration des vlan du routeur :<br /> routeur#show interfaces status<br /> ou :<br /> routeur#show interface vlan X<br /> <br /> <br /> ==Séance 5==<br /> <br /> Tout d'abord nous avons commencé à vérifer le fonctionnement de notre service SSH sur la machine Xen.<br /> Pour cela nous avons modifié en premier temps après avoir être connecté sur la machine virtuelle le fichier '''sshd_config''' situé dans :<br /> /etc/ssh<br /> comme suit :<br /> # Authentication:<br /> #LoginGraceTime 2m<br /> PermitRootLogin yes<br /> #StrictModes yes<br /> #MaxAuthTries 6<br /> #MaxSessions 10<br /> <br /> d'où nous avons décommenté la ligne de qui nous permet de se connecter en tant que root, ensuite nous avons lui donné cette permission par l'expression '''yes'''.<br /> <br /> Une fois que cette étape est faite, nous avons lancé dans le shell la commande suivante : <br /> root@dio5:~# service ssh restart<br /> Dans le but de prendre en compte les modifications faites.<br /> <br /> Pour vérfier la connexion en ssh, nous lançons depuis notre machine zabeth17 la commande suivante :<br /> root@zabeth17:~# ssh root@172.26.145.105<br /> <br /> '''Attribution de l'adresse IP à VLAN2''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 2<br /> routeur#ip address 193.48.57.178 255.255.255.240<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Attribution de l'adresse IP à VLAN531''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 531<br /> routeur#ip address 192.168.222.75 255.255.255.248<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Configuration et interconnection du port trunk'''<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> conf t<br /> int Te6/5<br /> switchport<br /> switchport trunk encapsulation dot1q<br /> switchport mode trunk<br /> end<br /> <br /> *Afin de sauvegarder ces configurations; on oublie pas de les écrire par la commande :<br /> write<br /> <br /> '''Changement de l'addresse IP de la machine Xen'''<br /> *Changement du Bridge de la machine :<br /> Dans la machine Xen, nous allons modifié le fichier de configuration de notre machine dio5 (situé à /etc/xen/dio5.cfg). Il est devenu comme suivant :<br /> <br /> vif = [ 'mac=00:16:3E:2B:B5:60,bridge=IMA5sc' ]<br /> <br /> Pour prendre les modifications en compte, nous avons arreté la machine xen puis nous l'avons redemaré depuis capbreton étant bien sur dans le repretoire /etc/xen: <br /> <br /> xen shutdown dio5<br /> xen create dio5.cfg <br /> <br /> <br /> <br /> Ensuite nous avons modifié l'addresse IP de la machine dans le fichier '''/etc/network/interfaces''' avec l'addresse IP suivante et la gateway qui correspond :<br /> address 193.48.57.182<br /> gateway 193.48.57.176<br /> Pour que les modifications réseaux seront prises en compte, nous exectutons les commandes suivantes dans la machine Xen: <br /> ifdown -a<br /> ifup -a<br /> <br /> <br /> '''HTTP'''<br /> Pour que notre VM soit accessible en HTTP, il lui faut un serveur HTPP installé. Dans la machine Xen : <br /> apt install apache2<br /> <br /> '''HTTPS'''<br /> L'achat du certificat SSL nous permet de sécuriser la connexion à notre serveur Apache en HTTPS. Pour cela :<br /> a2enmod ssl<br /> a2ensite default-ssl.conf<br /> service apache2 restart<br /> On modifie ensuite le fichier '''/etc/apache2/sites-enabled/default-ssl.conf''' de telle sorte à y renseigner le certificat SSL, le certificat intermédiaire et notre clé privée.<br /> Les certificats sont à télécharger sur Gandi et à transférer sur notre VM en scp.<br /> <br /> Voici le contenu du fichier '''/etc/apache2/sites-enabled/default-ssl.conf''' pour la configuration du '''https''' :<br /> <br /> &lt;VirtualHost *:443&gt;<br /> ServerName bolognaise.site<br /> ServerAlias www.bolognaise.site<br /> ServerAdmin webmaster@bolognaise.site<br /> DocumentRoot /var/www/html<br /> SSLEngine on<br /> SSLCertificateFile /root/bolognaise.site.crt<br /> SSLCertificateKeyFile /root/myserver.key<br /> SSLCertificateChainFile /root/GandiStandardSSLCA2.pem<br /> ErrorLog ${APACHE_LOG_DIR}/error.log<br /> CustomLog ${APACHE_LOG_DIR}/access.log combined<br /> &lt;/VirtualHost&gt;<br /> <br /> On note que &lt;code&gt;VirtualHost *:443&lt;/code&gt; est pour dire que c'est du HTTPS.<br /> Nous avons ensuite modifié le bloc associé au HTTP, d'une façon à avoir une redirection vers du HTTPS comme suivant : <br /> <br /> &lt;VirtualHost *:80&gt;<br /> ServerAdmin webmaster@localhost<br /> DocumentRoot /var/www/html<br /> Redirect / https://bolognaise.site<br /> &lt;/VirtualHost&gt;<br /> <br /> Dans ce cas l'utilisateur va arriver toujours sur notre site héberger en HTTPS grâce à la commande : <br /> Redirect / https://bolognaise.site<br /> <br /> ==Séance 6==<br /> ==Serveur DNS==<br /> <br /> Tout d'abord, sur le site '''gandi''', dans la section Glue record, nous avons renseigné un nom de domaine &lt;code&gt;ns.bolognaise.site&lt;/code&gt;, et nous avons ajouté les adresses IPv4 et IPv6 associé à notre machine xen.<br /> IPv4 : 193.48.57.182<br /> IPv6 : 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> Ensuite dans la section NameServer nous avons ajouté un DNS secondaire &lt;code&gt;ns6.gandi.net&lt;/code&gt; dont son adresse IPv4 est la suivante : &lt;code&gt;217.70.177.40&lt;/code&gt;.<br /> <br /> Nous avons installé bind9 par &lt;code&gt;apt install bind9&lt;/code&gt;.<br /> <br /> '''Configuration du fichier d'option pour bind'''&lt;br/&gt;<br /> Modification du fichier &lt;code&gt;/etc/bind/named.conf.options&lt;/code&gt;<br /> <br /> <br /> options {<br /> directory &quot;/var/cache/bind&quot;;<br /> forwarders {<br /> 8.8.8.8;<br /> 4.4.2.2; //ou 8.8.4.4 <br /> };<br /> dnssec-validation auto;<br /> recursion yes;<br /> listen-on-v6 { any; };<br /> listen-on {any;};<br /> allow-recursion{trusted;};<br /> //allow-transfer{none;};<br /> };<br /> listen-on-v6 { any;}<br /> acl trusted{<br /> 193.48.57.182; //ns.bolognaise.net <br /> 217.70.177.40; //ns6.gandi.net<br /> };<br /> <br /> == Paramétrage routeur E304 ==<br /> Afin de finir la configuration du routeur en E304, il est nécessaire de mettre en place deux protocoles : &lt;br/&gt;&lt;br/&gt;<br /> '''OSBF''': partage de routes entre les deux routeurs<br /> En effet, l'objectif d'avoir 2 routeurs pour accéder au SR52 est d'avoir une redondance du réseau robuste aux pannes. Néanmoins, il faut pour cela que les deux routeurs connaissent chacun les tables de routages de l'autre. Ci-dessous la configuration OSBF du routeur E304 :<br /> router ospf 1<br /> router-id 192.162.222.6<br /> summary-address 192.168.0.0 255.255.0.0 not-advertise<br /> summary-address 193.48.57.176 255.255.255.240<br /> redistribute connected subnets ! subnets allowed<br /> redistribute static subnets route-map ospf ! subnets allowed<br /> network 192.168.222.72 0.0.0.7 area 20<br /> default-information originate<br /> Pour vérifier si le partage de routes est fonctionnel, on tape dans l'interface Cisco du routeur :<br /> do show ip route<br /> Si les routes du routeur en E306 s'affiche, c'est que le protocole a bien été configuré&lt;br/&gt;&lt;br/&gt;<br /> <br /> <br /> '''RIPv6''': <br /> La première est de permettre au routeur d'attribuer des adresses IPv6 aux différentes machines sur son réseau (Xen ...), un peu à la manière d'un DHCP. Ci-dessous la configuration :<br /> interface vlan 2 <br /> ipv6 enable<br /> ipv6 address 2001:660:4401:60b0::/64 eui-64<br /> ipv6 nd prefix 2001:660:4401:60b0::/64 1000 900<br /> ipv6 nd router-preference high<br /> !<br /> ipv6 unicast-routing<br /> <br /> La deuxième étape est d'activer le routage IPv6 entre les deux routeurs et de définir les priorités de route :<br /> ipv6 rip tpima5sc enable<br /> ipv6 router rip tpima5sc<br /> redistribute connected metric 1 XXXXXXXXX<br /> redistribute rip 1 metric 1<br /> redistribute static metric 1<br /> !<br /> Pour tester que le routage IPv6 est bien activé :<br /> do show ipv6 route<br /> <br /> '''VRRP''' :<br /> Pour rendre notre réseau plus robuste, on a finalement implémenté le protocole VRRP sur le routeur. On a simplement repris la configuration donnée dans le sujet de TP et adaptée à notre cas. Pour la priorité, nous avons indiqué :<br /> <br /> vrrp 1 priority 90<br /> De cette manière, on a définit le routeur en E304 de telle sorte à ce qu'il ne soit pas prioritaire par rapport au 6509E en E306, puisque ce dernier a été configuré avec une priorité de 100.<br /> <br /> ===Schéma ===<br /> Pour récapituler l'architecture réseau, on peut regrouper de nombreuses informations dans le schéma ci-dessous :<br /> <br /> [[Fichier:reseau_dio5_1.JPG|350px]]<br /> <br /> = Séance 7 (dernière séance)=<br /> ==Suite DNS==<br /> Fin de la configuration des fichiers DNS '''/etc/bind/named.conf.options''' , '''/etc/bind/named.conf.options.local''' et <br /> <br /> Génération des clés dnssec dans un répertoire '''/etc/bind/bolognaise.site.dnssec'''<br /> <br /> Une fois que le fichier '''/etc/bind/named.conf.options''' est rempli d'une manière à configurer notre DNS, nous avons mis en place une configuration des '''forward''' et des '''zones''' comme suit :<br /> <br /> Dans le fichier '''/etc/bind/named.conf.local''' : <br /> <br /> zone &quot;57.48.193.in-addr.arpa&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.193.48.57&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> zone &quot;bolognaise.site&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.bolognaise.site&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> Une fois que les paramètres sont ajoutés dans le fichier de configurations, nous avons créé ensuite les fichiers de zones comme suit:<br /> <br /> cp /etc/bind/db.local /etc/bind/db.bolognaise.site<br /> Cette commande va nous permettre de copier le contenu du fichier '''db.local''' dans le fichier '''db.bolognaise.site''' et qui sera créé en même temps.<br /> voici le contenu des fichiers '''/etc/bind/db.local''' et '''/etc/bind/db.bolognaise.site''' avant la configuration :<br /> <br /> $TTL 604800<br /> @ IN SOA localhost. root.localhost. (<br /> 2 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS localhost.<br /> @ IN A 127.0.0.1<br /> @ IN AAAA ::1<br /> <br /> Maintenant nous allons modifié le fichier '''/etc/bind/db.bolognaise.site'''<br /> <br /> $TTL 604800<br /> @ IN SOA ns.bolognaise.site. root.bolognaise.site. (<br /> 4 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS ns.bolognaise.site.<br /> @ IN NS ns6.gandi.net.<br /> @ IN A 193.48.57.182<br /> @ IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4 ;addresse IPV6 de dio5<br /> ns IN A 193.48.57.182<br /> ns IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> www IN A 193.48.57.182<br /> www IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> <br /> Pour que les modifications seront prises en compte :<br /> service named restart<br /> <br /> Nous faisions un test pour vérifer la fonctionalité de la forward zone :<br /> <br /> root@dio5:~# host bolognaise.site localhost<br /> Using domain server:<br /> Name: localhost<br /> Address: 127.0.0.1#53<br /> Aliases:<br /> <br /> bolognaise.site has address 193.48.57.182<br /> bolognaise.site has IPv6 address 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> <br /> Ensuite nous allons faire la même démarche pour la '''reverse zone''', où on commence par la copie du fichier comme suit : <br /> cp /etc/bind/db.127 /etc/bind/db.193.48.57 <br /> <br /> Voici le contenu du fichier '''/etc/bind/db.127''' :<br /> <br /> <br /> $TTL 604800<br /> @ IN SOA localhost. root.localhost. (<br /> 1 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS localhost.<br /> 1.0.0 IN PTR localhost.<br /> <br /> <br /> Nous allons configuré le fichier '''/etc/bind/db.193.48.57''' de la façon suivante : <br /> <br /> <br /> $TTL 604800<br /> @ IN SOA ns.bolognaise.site. root.bolognaise.site. (<br /> 1 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS ns.bolognaise.site.<br /> 182 IN PTR ns.bolognaise.site.<br /> <br /> <br /> Pour que les modifications seront prises en compte :<br /> service named restart<br /> <br /> Voici un test pour la reverse zone : <br /> root@dio5:~# host 193.48.57.182 localhost<br /> Using domain server:<br /> Name: localhost<br /> Address: 127.0.0.1#53<br /> Aliases:<br /> <br /> 182.57.48.193.in-addr.arpa domain name pointer ns.bolognaise.site.<br /> Notre DNS étant maintenant fonctionnel, nous avons pu refaire la demande sur Gandi pour les serveurs externes IPv4 et IPv6, pour rappel : ''' ns.bolognaise.site et ns6.gandi.net'''<br /> <br /> == Sécurisation du DNS par DNSSEC ==<br /> Pour sécuriser notre DNS par DNSSEC, nous aurons besions des clés DNSSEC, que nous allons les ranger dans le répertoire suivant : <br /> <br /> /etc/bind/bolognaise.site.dnssec<br /> <br /> Ensuite nous allons créé les clés DNSSEC :<br /> <br /> * '''KSK (Key Signing Key)'''<br /> dnssec-keygen -a RSASHA1 -b 2048 -f KSK -n ZONE bolognaise.site<br /> * '''ZSK (Zone Signing Key)'''<br /> dnssec-keygen -a RSASHA1 -b 1024 -n ZONE bolognaise.site<br /> Puis nous injectons les clés KSK et ZSK (Privées et Publiques) dans les fichiers qui leurs corresponds : <br /> <br /> mv ./Kbolognaise.site.+005+14017.key ./bolognaise.site-zsk.key<br /> mv ./Kbolognaise.site.+005+19378.private ./bolognaise.site-zsk.private<br /> mv ./Kbolognaise.site.+005+13782.private ./bolognaise.site-ksk.private<br /> mv ./Kbolognaise.site.+005+02617.key ./bolognaise.site-ksk.key<br /> <br /> On n'oublie pas de mettre la clé publique '''KSK sur gandi''', en prenant l'algorithme de '''RSA/SHA1'''.<br /> <br /> Dans le fichier '''/etc/bind/named.conf.options''' on ajoute le ligne suivante pour activer le dnssec :<br /> dnssec-enable yes;<br /> <br /> Ensuite nous allons modifié du nouveau le fichier '''/etc/bind/named.conf.local''' <br /> en ajoutant le champs '''signed''': <br /> zone &quot;bolognaise.site&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.bolognaise.site.signed&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> zone &quot;57.48.193.in-addr.arpa&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.193.48.57&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> Cela va impliquer la prise en compte des fichiers des zones.<br /> Après nous allons inclure les clés que nous l'avons créé dans le fichier '''/etc/bind/db.bolognaise.site'''<br /> <br /> *Pour la clé ZSK : <br /> $INCLUDE &quot;/etc/bind/bolognaise.site.dnssec/bolognaise.site-zsk.key&quot;;<br /> *Pour la clé KSK : <br /> $INCLUDE &quot;/etc/bind/bolognaise.site.dnssec/bolognaise.site-ksk.key&quot;;<br /> <br /> Et pour terminer, nous avons signé le fichier de zone comme suivant :<br /> dnssec-signzone -k bolognaise.site-ksk.key -o bolognaise.site ../db.bolognaise.site bolognaise.site-zsk.key<br /> <br /> == Modification du html de notre serveur pour ajouter une photo de BOLOGNAISE ==<br /> <br /> Dans le fichier &lt;code&gt;/var/www/html/index.html&lt;/code&gt;, nous avons modifié le code source de la page de notre site &lt;br/&gt; d'une façon à avoir l'image de bolognaise qui s'affiche. Voici le code HTML : <br /> <br /> <br /> &lt;!DOCTYPE html PUBLIC &quot;-//W3C//DTD XHTML 1.0 Transitional//EN&quot; &quot;http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd&quot;&gt;<br /> &lt;html xmlns=&quot;http://www.w3.org/1999/xhtml&quot;&gt;<br /> &lt;head&gt;<br /> &lt;meta http-equiv=&quot;Content-Type&quot; content=&quot;text/html; charset=UTF-8&quot; /&gt;<br /> &lt;title&gt;NOS Bolognaises !!!&lt;/title&gt;<br /> &lt;/head&gt;<br /> <br /> &lt;style&gt;<br /> img{<br /> height:70vh;<br /> margin:auto;<br /> display:block;<br /> }<br /> <br /> &lt;/style&gt;<br /> &lt;body&gt;<br /> &lt;img src=&quot;bolognaise.jpg&quot;&gt;<br /> &lt;a href=&quot;portail.polytech-lille.fr&quot;&gt;ICI polytech&lt;/a&gt;<br /> &lt;/body&gt;<br /> &lt;/html&gt;<br /> <br /> Si on écrit dans un navigateur : &lt;code&gt;https://bolognaise.site&lt;/code&gt; on peut arriver directement dans notre site.<br /> <br /> ==Gestion de fail2ban==<br /> Nous avons commencé par installer la commande '''fail2ban''' : <br /> <br /> apt install fail2ban<br /> <br /> Puis nous avons activé le fil2ban comme suivant :<br /> <br /> root@dio5:~# service fail2ban active<br /> Usage: /etc/init.d/fail2ban {start|force-start|stop|restart|force reload|status}<br /> root@dio5:~# service fail2ban enable<br /> Usage: /etc/init.d/fail2ban {start|force-start|stop|restart|force-reload|status}<br /> <br /> Nous regardons le status du fail2ban : <br /> <br /> root@dio5:~# service fail2ban status<br /> Status of Authentication failure monitor:fail2ban is running.<br /> <br /> Dans le fichier '''/etc/fail2ban/jail.d/defaults-debian.conf''' nous activons le '''name refused''' en ajoutant les 2 lignes suivantes : <br /> [named-refused]<br /> enabled = true<br /> <br /> Dans le fichier '''/etc/bind/named.conf.options''', on va allumer le service de loggin de named-refused, qui est par défault éteint, pour cela nous ajoutant ce bloc : <br /> <br /> logging {<br /> <br /> channel security_file{<br /> file &quot;/var/log/named/security.log&quot; versions 3 size 30m;<br /> severity dynamic;<br /> print-time yes;<br /> };<br /> category security{<br /> security_file;<br /> };<br /> <br /> Dans le fichier '''/etc/bind/named.conf.options''' nous allons définir le nombre max de reponses par seconde que le server peut l'accepter avant de faire le ban, pour cela on ajoute le bloc suivant : <br /> <br /> rate-limit{<br /> responses-per-second 5;<br /> };<br /> <br /> Le nombre max des reponses par seconde est fixé à 5.<br /> <br /> Comme que nous allons écrire dans le fichier '''security.log''' et que ce fichier n'existe pas, donc nous allons le créer et créer les dossiers qui correspondent :<br /> *Création du dossier '''named''': <br /> mkdir /var/log/named<br /> *Création du fichier '''security.log''' qui vide au départ:<br /> touch security.log étant dans le dossier /var/log/named<br /> <br /> Et comme que ce dossier &lt;code&gt;named/&lt;/code&gt; appartient au service bind (named) donc il était nécessaire de lui associé un '''owner''' qui est le bind9 :<br /> <br /> *Etant dans le dossier /var/log : <br /> chown bind named/<br /> chown bind named/security.log<br /> <br /> Pour vérifier la prise en compte des changement : <br /> <br /> root@dio5:~# ls -l /var/log/ | grep named<br /> drwxr-xr-x 2 bind root 4096 Nov 30 09:56 named<br /> root@dio5:~# ls -l /var/log/named/<br /> total 12<br /> -rw-r--r-- 1 bind root 10898 Dec 7 17:43 security.log<br /> <br /> On restart les services pour prendre en compte les modifications: <br /> service named restart<br /> <br /> == Mise en place d'un RAID 5==<br /> Dans le but de rendre les données de notre VM sécurisées (résilience aux problèmes hardware de disque), nous mettons en place une configuration RAID 5. Pour cela :<br /> Création de 3 partitions LVM de 1Go sur capbreton :<br /> lvcreate -L1G -nbolo-raid1 storage<br /> lvcreate -L1G -nbolo-raid2 storage<br /> lvcreate -L1G -nbolo-raid3 storage<br /> Il faut évidemment modifier le fichier de configuration (/etc/xen/dio5.cfg) de notre VM en conséquence pour rattacher ces 3 partitions dans la partie &lt;code&gt;disk&lt;/code&gt;:<br /> 'phy:/dev/storage/bolo-raidX,xvdb3,w' en répétant cette ligne pour X variant de 1 à 3<br /> On redémarre ensuite la VM :<br /> halt<br /> Puis sur capbreton on exécute :<br /> xen-create-image dio5.cfg<br /> xen console dio5<br /> On peut maintenant créer depuis la xen le système RAID5:<br /> mdadm --create /dev/md0 --level=5 --raid-devices 3 /dev/xvdb3 /dev/xvdb4 /dev/xvdb5<br /> mkfs /dev/md0 ''création du système de fichiers''<br /> mount /dev/md0 /mnt ''on monte le disque RAID5''<br /> Rappel des commandes utiles :<br /> lsblk : affiche la liste et les caractéristiques tous les disques et leurs partitions <br /> df : affiche la valeur d'espace disque disponible des systèmes de fichier disponibles en écriture pour le user<br /> === Test de résistance de notre RAID 5 ===<br /> On commence par enregistrer un fichier sur notre partition dans /mnt :<br /> cd /mnt ; echo &quot;Test résistance RAID5&quot; &gt; test.txt<br /> Pour simuler un cas de défaillance d'un des 3 disques, on commente dans le fichier de configuration de la xen une des lignes correspondant à un des 3 disques, puis on reboot la xen.<br /> Une fois démarrée, on peut vérifier que la reconstruction des données à bien fonctionné simplement en exécutant :<br /> cd /mnt ; cat test.txt<br /> Ce qui nous donne en sortie dans la console :<br /> Test résistantce RAID5<br /> Notre système RAID5 est donc fonctionnel.<br /> <br /> == Cassage de mot de passe WEP ==<br /> On va pour cette activité utiliser le paquet aircrack-ng. Une fois l'interface réseau Wifi identifiée (wlan0mon), on démarre aircrack-ng dessus :<br /> airmon-ng start wlan0mon<br /> On écoute ensuite tout ce qui passe sur cette interface pour identifier le BSSID correspondant à notre groupe (SSID cracotte05), et le channel associé:<br /> airodump-ng -c wlan0mon<br /> Une fois le BSSID identifié (XXXXXX), on recommence l'écoute du réseau mais cette fois en filtrant pour ne récupérer que des trames correspondant au SSID que l'on souhaite cracker :<br /> airodump-ng -c 13 --bssid 04:DA:D2:9C:50:54 -w cracotte08 wlan0mon <br /> Une fois un nombre de paquets suffisants récupérés, on lance l'algorithme de crackage pour récupéré la clé WEP :<br /> aircrack-ng cracotte05-01.cap<br /> On trouve : '''FF:FF:FF:FF:FA:BC:06:CB:AE:EE:EE:EE:EE<br /> [[Fichier:Exemple.jpg]]<br /> <br /> == Cassage de mot de passe WPA-PSK par brut force==<br /> A COMPLETER + photo<br /> <br /> =Coffre Fort=<br /> <br /> [[Fichier:Coffre_secret2.zip]]</div>

Ylacroix https://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA5_2022/2023_G5&diff=60996 2023-01-07T18:13:09Z

<p>Ylacroix : /* Cassage de mot de passe WEP */</p> <hr /> <div>=Installation de l'OS=<br /> <br /> Devuan Chimaera (netinstall) sur les zabeth 17 et 11<br /> <br /> ==Configuration réseau==<br /> *IP machine : 172.26.145.50+n°zabeth/24<br /> *DNS : 193.48.57.48<br /> *Domain name : plil.info<br /> *Routeur : 172.26.145.254<br /> *Proxy : http://proxy.polyetch-lille.fr:3128<br /> <br /> <br /> *mdp dio5 : XXXXXX<br /> <br /> =Ansible=<br /> Prérequis:<br /> *python<br /> *pip<br /> *ansible<br /> Rédaction du script ansible pour le Screen Saver (.yml)<br /> <br /> Tâches accomplies : <br /> * Suppression des animations de veille d'écran<br /> <br /> Tâches restantes : <br /> * Fixer une animation lente pour la veille<br /> * Eteindre complétement l'écran au bout d'un certain temps (1 heure)<br /> <br /> =Réalisation=<br /> ==Installation de la machine virtuelle XEN (séance 2)==<br /> <br /> '''Connexion au serveur hébergeant les VM :'''<br /> ssh root@capbreton.plil.info<br /> <br /> '''Création de l'image de conifguration de la VM :'''<br /> <br /> xen-create-image --ip=193.48.57.105 --gateway=193.48.57.161 --netmask=255.255.255.0 --hostname=dio5 --dist=chimaera --dir=/usr/local/xen/<br /> <br /> /!\ Adresse ip provisoire car réseau 193.48.57.160/27 non créé pour le moment. Actuellement ip : 172.26.145.105 /!\<br /> <br /> '''Modification du fichier de config (image):'''<br /> /etc/xen/dio5.cfg --&gt; <br /> <br /> '''Création de la VM à partir de l'image précédemment créée :'''<br /> xen create dio5.cfg (en étant dans le dir /etc/xen/ évidemment)<br /> <br /> '''Lancement de la VM :'''<br /> xen console dio5<br /> login: root<br /> password: XXXXXX<br /> Vérifier avant que la machine a bien été lancée avec &lt;code&gt;xen create dio5.cfg&lt;/code&gt; par la commande &lt;code&gt;xen list&lt;/code&gt;<br /> <br /> ==Séance 3==<br /> ===Amélioration du coffre fort===<br /> Un dossier compressé est en bas de page<br /> <br /> ===Création des volumes virtuels===<br /> Sur Capbreton, on créé les LVM /home /var avec leurs systèmes de fichiers : <br /> <br /> &lt;code&gt;lvcreate -L10G -ndio5_home storage &lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_home&lt;/code&gt;<br /> <br /> &lt;code&gt;lvcreate -L5G -ndio5_var storage&lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_var&lt;/code&gt;<br /> <br /> Il faut changer le fichier de configuration (situé dans /etc/xen) et y ajouter ces deux lignes dans la partie &lt;code&gt;disk =&lt;/code&gt;<br /> <br /> 'phy:/dev/storage/dio5_home,xvdb1,w',<br /> 'phy:/dev/storage/dio5_var,xvdb2,w',<br /> Ainsi que modifier la ligne &lt;code&gt;vif&lt;/code&gt; comme suit :<br /> vif = [ 'mac=00:16:3E:7B:4D:A4,bridge=IMA5sc' ]<br /> <br /> On relance ensuite la machine avec &lt;code&gt;xen create&lt;/code&gt;. <br /> Pour monter les deux partitions, il faut ensuite modifier le fichier '''/etc/fstab''' comme suit :<br /> /dev/xvdb1 /home ext4 defaults 0 2<br /> /dev/xvdb2 /var ext4 defaults 0 2<br /> Pour que ces modificcations soient prises en compte :<br /> mount -a<br /> reboot<br /> <br /> ==Séance 4==<br /> ===Sécurisation par certificat TLS===<br /> Nous avons commencé par lancer la machine virtuelle qui était créée et configurée lors des séances précédentes. &lt;br/&gt;<br /> Ensuite nous avons acheté le nom de domaine ''' blanquette.site ''' via le fournisseur de nom de domaine GANDI. Ce nom de domaine servira par la suite pour héberger notre site web Apache. &lt;br/&gt;<br /> Pour sécuriser la connexion HTTPS sur Apache, il est nécessaire de créer une clé et un CSR. On utilise pour cela l'utilitaire OpenSSL et on exécute les commandes : &lt;br/&gt;<br /> apt install openssl<br /> openssl req -nodes -newkey rsa:2048 -sha256 -keyout myserver.key -out server.csr -utf8<br /> Pour valider cette demande de certificat et obtenir notre certificat TSL, nous avons également utilisé GANDI.&lt;br/&gt;<br /> <br /> ===Configuration du routeur de secours (Cisco 9200????)===<br /> Pendant que d'autres binômes s'occupaient de la configuration physique des routeurs (câblage), nous nous sommes occupés de configurer le routeur en E304. Pour cela, on accède à l'interface de configuration Cisco du routeur par port série, via minicom :&lt;br/&gt;<br /> minicom -os &quot;&quot;&quot;device:/dev/ttyUSB0, baudrate:9600, pas de contrôle de flux&quot;&quot;&quot;<br /> Depuis cette interface, création de 3 vlan et configuration des ports physiques associés pour répondre à l'architecture réseau demandée pour le TP :<br /> * Connexion entre le routeur et Capbreton sur le VLAN 2 :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 2<br /> routeur(vlan)#name Capb-E304<br /> routeur#exit<br /> routeur#int Te5/4<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 2<br /> Il restera ensuite à configurer ce vlan sur le réseau '''193.48.57.176/28'''<br /> <br /> * Connexion de redondance entre les deux routeurs :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 64<br /> routeur(vlan)#name INTERCO-E306/304<br /> Après le choix du port à connecter sur le routeur, il restera à attribuer ce port au vlan 64 en mode '''trunk'''.<br /> <br /> * Connexion entre le routeur et le SR2<br /> enable<br /> routeur#conf t<br /> routeur#vlan 531<br /> routeur(vlan)#name INTERCO-5A<br /> routeur#exit<br /> routeur#int Te5/5<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 531<br /> Il restera ensuite à configurer ce vlan sur le réseau '''192.168.222.72/29'''<br /> <br /> PHOTO A METTRE !!! &lt;br/&gt;<br /> Pour checker la configuration des vlan du routeur :<br /> routeur#show interfaces status<br /> ou :<br /> routeur#show interface vlan X<br /> <br /> <br /> ==Séance 5==<br /> <br /> Tout d'abord nous avons commencé à vérifer le fonctionnement de notre service SSH sur la machine Xen.<br /> Pour cela nous avons modifié en premier temps après avoir être connecté sur la machine virtuelle le fichier '''sshd_config''' situé dans :<br /> /etc/ssh<br /> comme suit :<br /> # Authentication:<br /> #LoginGraceTime 2m<br /> PermitRootLogin yes<br /> #StrictModes yes<br /> #MaxAuthTries 6<br /> #MaxSessions 10<br /> <br /> d'où nous avons décommenté la ligne de qui nous permet de se connecter en tant que root, ensuite nous avons lui donné cette permission par l'expression '''yes'''.<br /> <br /> Une fois que cette étape est faite, nous avons lancé dans le shell la commande suivante : <br /> root@dio5:~# service ssh restart<br /> Dans le but de prendre en compte les modifications faites.<br /> <br /> Pour vérfier la connexion en ssh, nous lançons depuis notre machine zabeth17 la commande suivante :<br /> root@zabeth17:~# ssh root@172.26.145.105<br /> <br /> '''Attribution de l'adresse IP à VLAN2''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 2<br /> routeur#ip address 193.48.57.178 255.255.255.240<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Attribution de l'adresse IP à VLAN531''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 531<br /> routeur#ip address 192.168.222.75 255.255.255.248<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Configuration et interconnection du port trunk'''<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> conf t<br /> int Te6/5<br /> switchport<br /> switchport trunk encapsulation dot1q<br /> switchport mode trunk<br /> end<br /> <br /> *Afin de sauvegarder ces configurations; on oublie pas de les écrire par la commande :<br /> write<br /> <br /> '''Changement de l'addresse IP de la machine Xen'''<br /> *Changement du Bridge de la machine :<br /> Dans la machine Xen, nous allons modifié le fichier de configuration de notre machine dio5 (situé à /etc/xen/dio5.cfg). Il est devenu comme suivant :<br /> <br /> vif = [ 'mac=00:16:3E:2B:B5:60,bridge=IMA5sc' ]<br /> <br /> Pour prendre les modifications en compte, nous avons arreté la machine xen puis nous l'avons redemaré depuis capbreton étant bien sur dans le repretoire /etc/xen: <br /> <br /> xen shutdown dio5<br /> xen create dio5.cfg <br /> <br /> <br /> <br /> Ensuite nous avons modifié l'addresse IP de la machine dans le fichier '''/etc/network/interfaces''' avec l'addresse IP suivante et la gateway qui correspond :<br /> address 193.48.57.182<br /> gateway 193.48.57.176<br /> Pour que les modifications réseaux seront prises en compte, nous exectutons les commandes suivantes dans la machine Xen: <br /> ifdown -a<br /> ifup -a<br /> <br /> <br /> '''HTTP'''<br /> Pour que notre VM soit accessible en HTTP, il lui faut un serveur HTPP installé. Dans la machine Xen : <br /> apt install apache2<br /> <br /> '''HTTPS'''<br /> L'achat du certificat SSL nous permet de sécuriser la connexion à notre serveur Apache en HTTPS. Pour cela :<br /> a2enmod ssl<br /> a2ensite default-ssl.conf<br /> service apache2 restart<br /> On modifie ensuite le fichier '''/etc/apache2/sites-enabled/default-ssl.conf''' de telle sorte à y renseigner le certificat SSL, le certificat intermédiaire et notre clé privée.<br /> Les certificats sont à télécharger sur Gandi et à transférer sur notre VM en scp.<br /> <br /> Voici le contenu du fichier '''/etc/apache2/sites-enabled/default-ssl.conf''' pour la configuration du '''https''' :<br /> <br /> &lt;VirtualHost *:443&gt;<br /> ServerName bolognaise.site<br /> ServerAlias www.bolognaise.site<br /> ServerAdmin webmaster@bolognaise.site<br /> DocumentRoot /var/www/html<br /> SSLEngine on<br /> SSLCertificateFile /root/bolognaise.site.crt<br /> SSLCertificateKeyFile /root/myserver.key<br /> SSLCertificateChainFile /root/GandiStandardSSLCA2.pem<br /> ErrorLog ${APACHE_LOG_DIR}/error.log<br /> CustomLog ${APACHE_LOG_DIR}/access.log combined<br /> &lt;/VirtualHost&gt;<br /> <br /> On note que &lt;code&gt;VirtualHost *:443&lt;/code&gt; est pour dire que c'est du HTTPS.<br /> Nous avons ensuite modifié le bloc associé au HTTP, d'une façon à avoir une redirection vers du HTTPS comme suivant : <br /> <br /> &lt;VirtualHost *:80&gt;<br /> ServerAdmin webmaster@localhost<br /> DocumentRoot /var/www/html<br /> Redirect / https://bolognaise.site<br /> &lt;/VirtualHost&gt;<br /> <br /> Dans ce cas l'utilisateur va arriver toujours sur notre site héberger en HTTPS grâce à la commande : <br /> Redirect / https://bolognaise.site<br /> <br /> ==Séance 6==<br /> ==Serveur DNS==<br /> <br /> Tout d'abord, sur le site '''gandi''', dans la section Glue record, nous avons renseigné un nom de domaine &lt;code&gt;ns.bolognaise.site&lt;/code&gt;, et nous avons ajouté les adresses IPv4 et IPv6 associé à notre machine xen.<br /> IPv4 : 193.48.57.182<br /> IPv6 : 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> Ensuite dans la section NameServer nous avons ajouté un DNS secondaire &lt;code&gt;ns6.gandi.net&lt;/code&gt; dont son adresse IPv4 est la suivante : &lt;code&gt;217.70.177.40&lt;/code&gt;.<br /> <br /> Nous avons installé bind9 par &lt;code&gt;apt install bind9&lt;/code&gt;.<br /> <br /> '''Configuration du fichier d'option pour bind'''&lt;br/&gt;<br /> Modification du fichier &lt;code&gt;/etc/bind/named.conf.options&lt;/code&gt;<br /> <br /> <br /> options {<br /> directory &quot;/var/cache/bind&quot;;<br /> forwarders {<br /> 8.8.8.8;<br /> 4.4.2.2; //ou 8.8.4.4 <br /> };<br /> dnssec-validation auto;<br /> recursion yes;<br /> listen-on-v6 { any; };<br /> listen-on {any;};<br /> allow-recursion{trusted;};<br /> //allow-transfer{none;};<br /> };<br /> listen-on-v6 { any;}<br /> acl trusted{<br /> 193.48.57.182; //ns.bolognaise.net <br /> 217.70.177.40; //ns6.gandi.net<br /> };<br /> <br /> == Paramétrage routeur E304 ==<br /> Afin de finir la configuration du routeur en E304, il est nécessaire de mettre en place deux protocoles : &lt;br/&gt;&lt;br/&gt;<br /> '''OSBF''': partage de routes entre les deux routeurs<br /> En effet, l'objectif d'avoir 2 routeurs pour accéder au SR52 est d'avoir une redondance du réseau robuste aux pannes. Néanmoins, il faut pour cela que les deux routeurs connaissent chacun les tables de routages de l'autre. Ci-dessous la configuration OSBF du routeur E304 :<br /> router ospf 1<br /> router-id 192.162.222.6<br /> summary-address 192.168.0.0 255.255.0.0 not-advertise<br /> summary-address 193.48.57.176 255.255.255.240<br /> redistribute connected subnets ! subnets allowed<br /> redistribute static subnets route-map ospf ! subnets allowed<br /> network 192.168.222.72 0.0.0.7 area 20<br /> default-information originate<br /> Pour vérifier si le partage de routes est fonctionnel, on tape dans l'interface Cisco du routeur :<br /> do show ip route<br /> Si les routes du routeur en E306 s'affiche, c'est que le protocole a bien été configuré&lt;br/&gt;&lt;br/&gt;<br /> <br /> <br /> '''RIPv6''': <br /> La première est de permettre au routeur d'attribuer des adresses IPv6 aux différentes machines sur son réseau (Xen ...), un peu à la manière d'un DHCP. Ci-dessous la configuration :<br /> interface vlan 2 <br /> ipv6 enable<br /> ipv6 address 2001:660:4401:60b0::/64 eui-64<br /> ipv6 nd prefix 2001:660:4401:60b0::/64 1000 900<br /> ipv6 nd router-preference high<br /> !<br /> ipv6 unicast-routing<br /> <br /> La deuxième étape est d'activer le routage IPv6 entre les deux routeurs et de définir les priorités de route :<br /> ipv6 rip tpima5sc enable<br /> ipv6 router rip tpima5sc<br /> redistribute connected metric 1 XXXXXXXXX<br /> redistribute rip 1 metric 1<br /> redistribute static metric 1<br /> !<br /> Pour tester que le routage IPv6 est bien activé :<br /> do show ipv6 route<br /> <br /> '''VRRP''' :<br /> Pour rendre notre réseau plus robuste, on a finalement implémenté le protocole VRRP sur le routeur. On a simplement repris la configuration donnée dans le sujet de TP et adaptée à notre cas. Pour la priorité, nous avons indiqué :<br /> <br /> vrrp 1 priority 90<br /> De cette manière, on a définit le routeur en E304 de telle sorte à ce qu'il ne soit pas prioritaire par rapport au 6509E en E306, puisque ce dernier a été configuré avec une priorité de 100.<br /> <br /> ===Schéma ===<br /> Pour récapituler l'architecture réseau, on peut regrouper de nombreuses informations dans le schéma ci-dessous :<br /> <br /> [[Fichier:reseau_dio5_1.JPG|350px]]<br /> <br /> = Séance 7 (dernière séance)=<br /> ==Suite DNS==<br /> Fin de la configuration des fichiers DNS '''/etc/bind/named.conf.options''' , '''/etc/bind/named.conf.options.local''' et <br /> <br /> Génération des clés dnssec dans un répertoire '''/etc/bind/bolognaise.site.dnssec'''<br /> <br /> Une fois que le fichier '''/etc/bind/named.conf.options''' est rempli d'une manière à configurer notre DNS, nous avons mis en place une configuration des '''forward''' et des '''zones''' comme suit :<br /> <br /> Dans le fichier '''/etc/bind/named.conf.local''' : <br /> <br /> zone &quot;57.48.193.in-addr.arpa&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.193.48.57&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> zone &quot;bolognaise.site&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.bolognaise.site&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> Une fois que les paramètres sont ajoutés dans le fichier de configurations, nous avons créé ensuite les fichiers de zones comme suit:<br /> <br /> cp /etc/bind/db.local /etc/bind/db.bolognaise.site<br /> Cette commande va nous permettre de copier le contenu du fichier '''db.local''' dans le fichier '''db.bolognaise.site''' et qui sera créé en même temps.<br /> voici le contenu des fichiers '''/etc/bind/db.local''' et '''/etc/bind/db.bolognaise.site''' avant la configuration :<br /> <br /> $TTL 604800<br /> @ IN SOA localhost. root.localhost. (<br /> 2 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS localhost.<br /> @ IN A 127.0.0.1<br /> @ IN AAAA ::1<br /> <br /> Maintenant nous allons modifié le fichier '''/etc/bind/db.bolognaise.site'''<br /> <br /> $TTL 604800<br /> @ IN SOA ns.bolognaise.site. root.bolognaise.site. (<br /> 4 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS ns.bolognaise.site.<br /> @ IN NS ns6.gandi.net.<br /> @ IN A 193.48.57.182<br /> @ IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4 ;addresse IPV6 de dio5<br /> ns IN A 193.48.57.182<br /> ns IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> www IN A 193.48.57.182<br /> www IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> <br /> Pour que les modifications seront prises en compte :<br /> service named restart<br /> <br /> Nous faisions un test pour vérifer la fonctionalité de la forward zone :<br /> <br /> root@dio5:~# host bolognaise.site localhost<br /> Using domain server:<br /> Name: localhost<br /> Address: 127.0.0.1#53<br /> Aliases:<br /> <br /> bolognaise.site has address 193.48.57.182<br /> bolognaise.site has IPv6 address 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> <br /> Ensuite nous allons faire la même démarche pour la '''reverse zone''', où on commence par la copie du fichier comme suit : <br /> cp /etc/bind/db.127 /etc/bind/db.193.48.57 <br /> <br /> Voici le contenu du fichier '''/etc/bind/db.127''' :<br /> <br /> <br /> $TTL 604800<br /> @ IN SOA localhost. root.localhost. (<br /> 1 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS localhost.<br /> 1.0.0 IN PTR localhost.<br /> <br /> <br /> Nous allons configuré le fichier '''/etc/bind/db.193.48.57''' de la façon suivante : <br /> <br /> <br /> $TTL 604800<br /> @ IN SOA ns.bolognaise.site. root.bolognaise.site. (<br /> 1 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS ns.bolognaise.site.<br /> 182 IN PTR ns.bolognaise.site.<br /> <br /> <br /> Pour que les modifications seront prises en compte :<br /> service named restart<br /> <br /> Voici un test pour la reverse zone : <br /> root@dio5:~# host 193.48.57.182 localhost<br /> Using domain server:<br /> Name: localhost<br /> Address: 127.0.0.1#53<br /> Aliases:<br /> <br /> 182.57.48.193.in-addr.arpa domain name pointer ns.bolognaise.site.<br /> Notre DNS étant maintenant fonctionnel, nous avons pu refaire la demande sur Gandi pour les serveurs externes IPv4 et IPv6, pour rappel : ''' ns.bolognaise.site et ns6.gandi.net'''<br /> <br /> == Sécurisation du DNS par DNSSEC ==<br /> Pour sécuriser notre DNS par DNSSEC, nous aurons besions des clés DNSSEC, que nous allons les ranger dans le répertoire suivant : <br /> <br /> /etc/bind/bolognaise.site.dnssec<br /> <br /> Ensuite nous allons créé les clés DNSSEC :<br /> <br /> * '''KSK (Key Signing Key)'''<br /> dnssec-keygen -a RSASHA1 -b 2048 -f KSK -n ZONE bolognaise.site<br /> * '''ZSK (Zone Signing Key)'''<br /> dnssec-keygen -a RSASHA1 -b 1024 -n ZONE bolognaise.site<br /> Puis nous injectons les clés KSK et ZSK (Privées et Publiques) dans les fichiers qui leurs corresponds : <br /> <br /> mv ./Kbolognaise.site.+005+14017.key ./bolognaise.site-zsk.key<br /> mv ./Kbolognaise.site.+005+19378.private ./bolognaise.site-zsk.private<br /> mv ./Kbolognaise.site.+005+13782.private ./bolognaise.site-ksk.private<br /> mv ./Kbolognaise.site.+005+02617.key ./bolognaise.site-ksk.key<br /> <br /> On n'oublie pas de mettre la clé publique '''KSK sur gandi''', en prenant l'algorithme de '''RSA/SHA1'''.<br /> <br /> Dans le fichier '''/etc/bind/named.conf.options''' on ajoute le ligne suivante pour activer le dnssec :<br /> dnssec-enable yes;<br /> <br /> Ensuite nous allons modifié du nouveau le fichier '''/etc/bind/named.conf.local''' <br /> en ajoutant le champs '''signed''': <br /> zone &quot;bolognaise.site&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.bolognaise.site.signed&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> zone &quot;57.48.193.in-addr.arpa&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.193.48.57&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> Cela va impliquer la prise en compte des fichiers des zones.<br /> Après nous allons inclure les clés que nous l'avons créé dans le fichier '''/etc/bind/db.bolognaise.site'''<br /> <br /> *Pour la clé ZSK : <br /> $INCLUDE &quot;/etc/bind/bolognaise.site.dnssec/bolognaise.site-zsk.key&quot;;<br /> *Pour la clé KSK : <br /> $INCLUDE &quot;/etc/bind/bolognaise.site.dnssec/bolognaise.site-ksk.key&quot;;<br /> <br /> Et pour terminer, nous avons signé le fichier de zone comme suivant :<br /> dnssec-signzone -k bolognaise.site-ksk.key -o bolognaise.site ../db.bolognaise.site bolognaise.site-zsk.key<br /> <br /> == Modification du html de notre serveur pour ajouter une photo de BOLOGNAISE ==<br /> <br /> Dans le fichier &lt;code&gt;/var/www/html/index.html&lt;/code&gt;, nous avons modifié le code source de la page de notre site &lt;br/&gt; d'une façon à avoir l'image de bolognaise qui s'affiche. Voici le code HTML : <br /> <br /> <br /> &lt;!DOCTYPE html PUBLIC &quot;-//W3C//DTD XHTML 1.0 Transitional//EN&quot; &quot;http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd&quot;&gt;<br /> &lt;html xmlns=&quot;http://www.w3.org/1999/xhtml&quot;&gt;<br /> &lt;head&gt;<br /> &lt;meta http-equiv=&quot;Content-Type&quot; content=&quot;text/html; charset=UTF-8&quot; /&gt;<br /> &lt;title&gt;NOS Bolognaises !!!&lt;/title&gt;<br /> &lt;/head&gt;<br /> <br /> &lt;style&gt;<br /> img{<br /> height:70vh;<br /> margin:auto;<br /> display:block;<br /> }<br /> <br /> &lt;/style&gt;<br /> &lt;body&gt;<br /> &lt;img src=&quot;bolognaise.jpg&quot;&gt;<br /> &lt;a href=&quot;portail.polytech-lille.fr&quot;&gt;ICI polytech&lt;/a&gt;<br /> &lt;/body&gt;<br /> &lt;/html&gt;<br /> <br /> Si on écrit dans un navigateur : &lt;code&gt;https://bolognaise.site&lt;/code&gt; on peut arriver directement dans notre site.<br /> <br /> ==Gestion de fail2ban==<br /> Nous avons commencé par installer la commande '''fail2ban''' : <br /> <br /> apt install fail2ban<br /> <br /> Puis nous avons activé le fil2ban comme suivant :<br /> <br /> root@dio5:~# service fail2ban active<br /> Usage: /etc/init.d/fail2ban {start|force-start|stop|restart|force reload|status}<br /> root@dio5:~# service fail2ban enable<br /> Usage: /etc/init.d/fail2ban {start|force-start|stop|restart|force-reload|status}<br /> <br /> Nous regardons le status du fail2ban : <br /> <br /> root@dio5:~# service fail2ban status<br /> Status of Authentication failure monitor:fail2ban is running.<br /> <br /> Dans le fichier '''/etc/fail2ban/jail.d/defaults-debian.conf''' nous activons le '''name refused''' en ajoutant les 2 lignes suivantes : <br /> [named-refused]<br /> enabled = true<br /> <br /> Dans le fichier '''/etc/bind/named.conf.options''', on va allumer le service de loggin de named-refused, qui est par défault éteint, pour cela nous ajoutant ce bloc : <br /> <br /> logging {<br /> <br /> channel security_file{<br /> file &quot;/var/log/named/security.log&quot; versions 3 size 30m;<br /> severity dynamic;<br /> print-time yes;<br /> };<br /> category security{<br /> security_file;<br /> };<br /> <br /> Dans le fichier '''/etc/bind/named.conf.options''' nous allons définir le nombre max de reponses par seconde que le server peut l'accepter avant de faire le ban, pour cela on ajoute le bloc suivant : <br /> <br /> rate-limit{<br /> responses-per-second 5;<br /> };<br /> <br /> Le nombre max des reponses par seconde est fixé à 5.<br /> <br /> Comme que nous allons écrire dans le fichier '''security.log''' et que ce fichier n'existe pas, donc nous allons le créer et créer les dossiers qui correspondent :<br /> *Création du dossier '''named''': <br /> mkdir /var/log/named<br /> *Création du fichier '''security.log''' qui vide au départ:<br /> touch security.log étant dans le dossier /var/log/named<br /> <br /> Et comme que ce dossier &lt;code&gt;named/&lt;/code&gt; appartient au service bind (named) donc il était nécessaire de lui associé un '''owner''' qui est le bind9 :<br /> <br /> *Etant dans le dossier /var/log : <br /> chown bind named/<br /> chown bind named/security.log<br /> <br /> Pour vérifier la prise en compte des changement : <br /> <br /> root@dio5:~# ls -l /var/log/ | grep named<br /> drwxr-xr-x 2 bind root 4096 Nov 30 09:56 named<br /> root@dio5:~# ls -l /var/log/named/<br /> total 12<br /> -rw-r--r-- 1 bind root 10898 Dec 7 17:43 security.log<br /> <br /> On restart les services pour prendre en compte les modifications: <br /> service named restart<br /> <br /> == Mise en place d'un RAID 5==<br /> Dans le but de rendre les données de notre VM sécurisées (résilience aux problèmes hardware de disque), nous mettons en place une configuration RAID 5. Pour cela :<br /> Création de 3 partitions LVM de 1Go sur capbreton :<br /> lvcreate -L1G -nbolo-raid1 storage<br /> lvcreate -L1G -nbolo-raid2 storage<br /> lvcreate -L1G -nbolo-raid3 storage<br /> Il faut évidemment modifier le fichier de configuration (/etc/xen/dio5.cfg) de notre VM en conséquence pour rattacher ces 3 partitions dans la partie &lt;code&gt;disk&lt;/code&gt;:<br /> 'phy:/dev/storage/bolo-raidX,xvdb3,w' en répétant cette ligne pour X variant de 1 à 3<br /> On redémarre ensuite la VM :<br /> halt<br /> Puis sur capbreton on exécute :<br /> xen-create-image dio5.cfg<br /> xen console dio5<br /> On peut maintenant créer depuis la xen le système RAID5:<br /> mdadm --create /dev/md0 --level=5 --raid-devices 3 /dev/xvdb3 /dev/xvdb4 /dev/xvdb5<br /> mkfs /dev/md0 ''création du système de fichiers''<br /> mount /dev/md0 /mnt ''on monte le disque RAID5''<br /> Rappel des commandes utiles :<br /> lsblk : affiche la liste et les caractéristiques tous les disques et leurs partitions <br /> df : affiche la valeur d'espace disque disponible des systèmes de fichier disponibles en écriture pour le user<br /> === Test de résistance de notre RAID 5 ===<br /> On commence par enregistrer un fichier sur notre partition dans /mnt :<br /> cd /mnt ; echo &quot;Test résistance RAID5&quot; &gt; test.txt<br /> Pour simuler un cas de défaillance d'un des 3 disques, on commente dans le fichier de configuration de la xen une des lignes correspondant à un des 3 disques, puis on reboot la xen.<br /> Une fois démarrée, on peut vérifier que la reconstruction des données à bien fonctionné simplement en exécutant :<br /> cd /mnt ; cat test.txt<br /> Ce qui nous donne en sortie dans la console :<br /> Test résistantce RAID5<br /> Notre système RAID5 est donc fonctionnel.<br /> <br /> == Cassage de mot de passe WEP ==<br /> On va pour cette activité utiliser le paquet aircrack-ng. Une fois l'interface réseau Wifi identifiée (wlan0mon), on démarre aircrack-ng dessus :<br /> airmon-ng start wlan0mon<br /> On écoute ensuite tout ce qui passe sur cette interface pour identifier le BSSID correspondant à notre groupe (SSID cracotte05), et le channel associé:<br /> airodump-ng -c wlan0mon<br /> Une fois le BSSID identifié (XXXXXX), on recommence l'écoute du réseau mais cette fois en filtrant pour ne récupérer que des trames correspondant au SSID que l'on souhaite cracker :<br /> airodump-ng -c 13 --bssid 04:DA:D2:9C:50:54 -w cracotte08 wlan0mon <br /> Une fois un nombre de paquets suffisants récupérés, on lance l'algorithme de crackage pour récupéré la clé WEP :<br /> aircrack-ng cracotte05-01.cap<br /> On trouve : '''FF:FF:FF:FF:FA:BC:06:CB:AE:EE:EE:EE:EE<br /> [[Fichier:file:///home/yanislax/T%C3%A9l%C3%A9chargements/IMG_20230107_171106.jpg]]<br /> <br /> == Cassage de mot de passe WPA-PSK par brut force==<br /> A COMPLETER + photo<br /> <br /> =Coffre Fort=<br /> <br /> [[Fichier:Coffre_secret2.zip]]</div>

Ylacroix https://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA5_2022/2023_G5&diff=60995 2023-01-07T18:08:09Z

<p>Ylacroix : /* Cassage de mot de passe WEP */</p> <hr /> <div>=Installation de l'OS=<br /> <br /> Devuan Chimaera (netinstall) sur les zabeth 17 et 11<br /> <br /> ==Configuration réseau==<br /> *IP machine : 172.26.145.50+n°zabeth/24<br /> *DNS : 193.48.57.48<br /> *Domain name : plil.info<br /> *Routeur : 172.26.145.254<br /> *Proxy : http://proxy.polyetch-lille.fr:3128<br /> <br /> <br /> *mdp dio5 : XXXXXX<br /> <br /> =Ansible=<br /> Prérequis:<br /> *python<br /> *pip<br /> *ansible<br /> Rédaction du script ansible pour le Screen Saver (.yml)<br /> <br /> Tâches accomplies : <br /> * Suppression des animations de veille d'écran<br /> <br /> Tâches restantes : <br /> * Fixer une animation lente pour la veille<br /> * Eteindre complétement l'écran au bout d'un certain temps (1 heure)<br /> <br /> =Réalisation=<br /> ==Installation de la machine virtuelle XEN (séance 2)==<br /> <br /> '''Connexion au serveur hébergeant les VM :'''<br /> ssh root@capbreton.plil.info<br /> <br /> '''Création de l'image de conifguration de la VM :'''<br /> <br /> xen-create-image --ip=193.48.57.105 --gateway=193.48.57.161 --netmask=255.255.255.0 --hostname=dio5 --dist=chimaera --dir=/usr/local/xen/<br /> <br /> /!\ Adresse ip provisoire car réseau 193.48.57.160/27 non créé pour le moment. Actuellement ip : 172.26.145.105 /!\<br /> <br /> '''Modification du fichier de config (image):'''<br /> /etc/xen/dio5.cfg --&gt; <br /> <br /> '''Création de la VM à partir de l'image précédemment créée :'''<br /> xen create dio5.cfg (en étant dans le dir /etc/xen/ évidemment)<br /> <br /> '''Lancement de la VM :'''<br /> xen console dio5<br /> login: root<br /> password: XXXXXX<br /> Vérifier avant que la machine a bien été lancée avec &lt;code&gt;xen create dio5.cfg&lt;/code&gt; par la commande &lt;code&gt;xen list&lt;/code&gt;<br /> <br /> ==Séance 3==<br /> ===Amélioration du coffre fort===<br /> Un dossier compressé est en bas de page<br /> <br /> ===Création des volumes virtuels===<br /> Sur Capbreton, on créé les LVM /home /var avec leurs systèmes de fichiers : <br /> <br /> &lt;code&gt;lvcreate -L10G -ndio5_home storage &lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_home&lt;/code&gt;<br /> <br /> &lt;code&gt;lvcreate -L5G -ndio5_var storage&lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_var&lt;/code&gt;<br /> <br /> Il faut changer le fichier de configuration (situé dans /etc/xen) et y ajouter ces deux lignes dans la partie &lt;code&gt;disk =&lt;/code&gt;<br /> <br /> 'phy:/dev/storage/dio5_home,xvdb1,w',<br /> 'phy:/dev/storage/dio5_var,xvdb2,w',<br /> Ainsi que modifier la ligne &lt;code&gt;vif&lt;/code&gt; comme suit :<br /> vif = [ 'mac=00:16:3E:7B:4D:A4,bridge=IMA5sc' ]<br /> <br /> On relance ensuite la machine avec &lt;code&gt;xen create&lt;/code&gt;. <br /> Pour monter les deux partitions, il faut ensuite modifier le fichier '''/etc/fstab''' comme suit :<br /> /dev/xvdb1 /home ext4 defaults 0 2<br /> /dev/xvdb2 /var ext4 defaults 0 2<br /> Pour que ces modificcations soient prises en compte :<br /> mount -a<br /> reboot<br /> <br /> ==Séance 4==<br /> ===Sécurisation par certificat TLS===<br /> Nous avons commencé par lancer la machine virtuelle qui était créée et configurée lors des séances précédentes. &lt;br/&gt;<br /> Ensuite nous avons acheté le nom de domaine ''' blanquette.site ''' via le fournisseur de nom de domaine GANDI. Ce nom de domaine servira par la suite pour héberger notre site web Apache. &lt;br/&gt;<br /> Pour sécuriser la connexion HTTPS sur Apache, il est nécessaire de créer une clé et un CSR. On utilise pour cela l'utilitaire OpenSSL et on exécute les commandes : &lt;br/&gt;<br /> apt install openssl<br /> openssl req -nodes -newkey rsa:2048 -sha256 -keyout myserver.key -out server.csr -utf8<br /> Pour valider cette demande de certificat et obtenir notre certificat TSL, nous avons également utilisé GANDI.&lt;br/&gt;<br /> <br /> ===Configuration du routeur de secours (Cisco 9200????)===<br /> Pendant que d'autres binômes s'occupaient de la configuration physique des routeurs (câblage), nous nous sommes occupés de configurer le routeur en E304. Pour cela, on accède à l'interface de configuration Cisco du routeur par port série, via minicom :&lt;br/&gt;<br /> minicom -os &quot;&quot;&quot;device:/dev/ttyUSB0, baudrate:9600, pas de contrôle de flux&quot;&quot;&quot;<br /> Depuis cette interface, création de 3 vlan et configuration des ports physiques associés pour répondre à l'architecture réseau demandée pour le TP :<br /> * Connexion entre le routeur et Capbreton sur le VLAN 2 :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 2<br /> routeur(vlan)#name Capb-E304<br /> routeur#exit<br /> routeur#int Te5/4<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 2<br /> Il restera ensuite à configurer ce vlan sur le réseau '''193.48.57.176/28'''<br /> <br /> * Connexion de redondance entre les deux routeurs :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 64<br /> routeur(vlan)#name INTERCO-E306/304<br /> Après le choix du port à connecter sur le routeur, il restera à attribuer ce port au vlan 64 en mode '''trunk'''.<br /> <br /> * Connexion entre le routeur et le SR2<br /> enable<br /> routeur#conf t<br /> routeur#vlan 531<br /> routeur(vlan)#name INTERCO-5A<br /> routeur#exit<br /> routeur#int Te5/5<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 531<br /> Il restera ensuite à configurer ce vlan sur le réseau '''192.168.222.72/29'''<br /> <br /> PHOTO A METTRE !!! &lt;br/&gt;<br /> Pour checker la configuration des vlan du routeur :<br /> routeur#show interfaces status<br /> ou :<br /> routeur#show interface vlan X<br /> <br /> <br /> ==Séance 5==<br /> <br /> Tout d'abord nous avons commencé à vérifer le fonctionnement de notre service SSH sur la machine Xen.<br /> Pour cela nous avons modifié en premier temps après avoir être connecté sur la machine virtuelle le fichier '''sshd_config''' situé dans :<br /> /etc/ssh<br /> comme suit :<br /> # Authentication:<br /> #LoginGraceTime 2m<br /> PermitRootLogin yes<br /> #StrictModes yes<br /> #MaxAuthTries 6<br /> #MaxSessions 10<br /> <br /> d'où nous avons décommenté la ligne de qui nous permet de se connecter en tant que root, ensuite nous avons lui donné cette permission par l'expression '''yes'''.<br /> <br /> Une fois que cette étape est faite, nous avons lancé dans le shell la commande suivante : <br /> root@dio5:~# service ssh restart<br /> Dans le but de prendre en compte les modifications faites.<br /> <br /> Pour vérfier la connexion en ssh, nous lançons depuis notre machine zabeth17 la commande suivante :<br /> root@zabeth17:~# ssh root@172.26.145.105<br /> <br /> '''Attribution de l'adresse IP à VLAN2''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 2<br /> routeur#ip address 193.48.57.178 255.255.255.240<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Attribution de l'adresse IP à VLAN531''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 531<br /> routeur#ip address 192.168.222.75 255.255.255.248<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Configuration et interconnection du port trunk'''<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> conf t<br /> int Te6/5<br /> switchport<br /> switchport trunk encapsulation dot1q<br /> switchport mode trunk<br /> end<br /> <br /> *Afin de sauvegarder ces configurations; on oublie pas de les écrire par la commande :<br /> write<br /> <br /> '''Changement de l'addresse IP de la machine Xen'''<br /> *Changement du Bridge de la machine :<br /> Dans la machine Xen, nous allons modifié le fichier de configuration de notre machine dio5 (situé à /etc/xen/dio5.cfg). Il est devenu comme suivant :<br /> <br /> vif = [ 'mac=00:16:3E:2B:B5:60,bridge=IMA5sc' ]<br /> <br /> Pour prendre les modifications en compte, nous avons arreté la machine xen puis nous l'avons redemaré depuis capbreton étant bien sur dans le repretoire /etc/xen: <br /> <br /> xen shutdown dio5<br /> xen create dio5.cfg <br /> <br /> <br /> <br /> Ensuite nous avons modifié l'addresse IP de la machine dans le fichier '''/etc/network/interfaces''' avec l'addresse IP suivante et la gateway qui correspond :<br /> address 193.48.57.182<br /> gateway 193.48.57.176<br /> Pour que les modifications réseaux seront prises en compte, nous exectutons les commandes suivantes dans la machine Xen: <br /> ifdown -a<br /> ifup -a<br /> <br /> <br /> '''HTTP'''<br /> Pour que notre VM soit accessible en HTTP, il lui faut un serveur HTPP installé. Dans la machine Xen : <br /> apt install apache2<br /> <br /> '''HTTPS'''<br /> L'achat du certificat SSL nous permet de sécuriser la connexion à notre serveur Apache en HTTPS. Pour cela :<br /> a2enmod ssl<br /> a2ensite default-ssl.conf<br /> service apache2 restart<br /> On modifie ensuite le fichier '''/etc/apache2/sites-enabled/default-ssl.conf''' de telle sorte à y renseigner le certificat SSL, le certificat intermédiaire et notre clé privée.<br /> Les certificats sont à télécharger sur Gandi et à transférer sur notre VM en scp.<br /> <br /> Voici le contenu du fichier '''/etc/apache2/sites-enabled/default-ssl.conf''' pour la configuration du '''https''' :<br /> <br /> &lt;VirtualHost *:443&gt;<br /> ServerName bolognaise.site<br /> ServerAlias www.bolognaise.site<br /> ServerAdmin webmaster@bolognaise.site<br /> DocumentRoot /var/www/html<br /> SSLEngine on<br /> SSLCertificateFile /root/bolognaise.site.crt<br /> SSLCertificateKeyFile /root/myserver.key<br /> SSLCertificateChainFile /root/GandiStandardSSLCA2.pem<br /> ErrorLog ${APACHE_LOG_DIR}/error.log<br /> CustomLog ${APACHE_LOG_DIR}/access.log combined<br /> &lt;/VirtualHost&gt;<br /> <br /> On note que &lt;code&gt;VirtualHost *:443&lt;/code&gt; est pour dire que c'est du HTTPS.<br /> Nous avons ensuite modifié le bloc associé au HTTP, d'une façon à avoir une redirection vers du HTTPS comme suivant : <br /> <br /> &lt;VirtualHost *:80&gt;<br /> ServerAdmin webmaster@localhost<br /> DocumentRoot /var/www/html<br /> Redirect / https://bolognaise.site<br /> &lt;/VirtualHost&gt;<br /> <br /> Dans ce cas l'utilisateur va arriver toujours sur notre site héberger en HTTPS grâce à la commande : <br /> Redirect / https://bolognaise.site<br /> <br /> ==Séance 6==<br /> ==Serveur DNS==<br /> <br /> Tout d'abord, sur le site '''gandi''', dans la section Glue record, nous avons renseigné un nom de domaine &lt;code&gt;ns.bolognaise.site&lt;/code&gt;, et nous avons ajouté les adresses IPv4 et IPv6 associé à notre machine xen.<br /> IPv4 : 193.48.57.182<br /> IPv6 : 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> Ensuite dans la section NameServer nous avons ajouté un DNS secondaire &lt;code&gt;ns6.gandi.net&lt;/code&gt; dont son adresse IPv4 est la suivante : &lt;code&gt;217.70.177.40&lt;/code&gt;.<br /> <br /> Nous avons installé bind9 par &lt;code&gt;apt install bind9&lt;/code&gt;.<br /> <br /> '''Configuration du fichier d'option pour bind'''&lt;br/&gt;<br /> Modification du fichier &lt;code&gt;/etc/bind/named.conf.options&lt;/code&gt;<br /> <br /> <br /> options {<br /> directory &quot;/var/cache/bind&quot;;<br /> forwarders {<br /> 8.8.8.8;<br /> 4.4.2.2; //ou 8.8.4.4 <br /> };<br /> dnssec-validation auto;<br /> recursion yes;<br /> listen-on-v6 { any; };<br /> listen-on {any;};<br /> allow-recursion{trusted;};<br /> //allow-transfer{none;};<br /> };<br /> listen-on-v6 { any;}<br /> acl trusted{<br /> 193.48.57.182; //ns.bolognaise.net <br /> 217.70.177.40; //ns6.gandi.net<br /> };<br /> <br /> == Paramétrage routeur E304 ==<br /> Afin de finir la configuration du routeur en E304, il est nécessaire de mettre en place deux protocoles : &lt;br/&gt;&lt;br/&gt;<br /> '''OSBF''': partage de routes entre les deux routeurs<br /> En effet, l'objectif d'avoir 2 routeurs pour accéder au SR52 est d'avoir une redondance du réseau robuste aux pannes. Néanmoins, il faut pour cela que les deux routeurs connaissent chacun les tables de routages de l'autre. Ci-dessous la configuration OSBF du routeur E304 :<br /> router ospf 1<br /> router-id 192.162.222.6<br /> summary-address 192.168.0.0 255.255.0.0 not-advertise<br /> summary-address 193.48.57.176 255.255.255.240<br /> redistribute connected subnets ! subnets allowed<br /> redistribute static subnets route-map ospf ! subnets allowed<br /> network 192.168.222.72 0.0.0.7 area 20<br /> default-information originate<br /> Pour vérifier si le partage de routes est fonctionnel, on tape dans l'interface Cisco du routeur :<br /> do show ip route<br /> Si les routes du routeur en E306 s'affiche, c'est que le protocole a bien été configuré&lt;br/&gt;&lt;br/&gt;<br /> <br /> <br /> '''RIPv6''': <br /> La première est de permettre au routeur d'attribuer des adresses IPv6 aux différentes machines sur son réseau (Xen ...), un peu à la manière d'un DHCP. Ci-dessous la configuration :<br /> interface vlan 2 <br /> ipv6 enable<br /> ipv6 address 2001:660:4401:60b0::/64 eui-64<br /> ipv6 nd prefix 2001:660:4401:60b0::/64 1000 900<br /> ipv6 nd router-preference high<br /> !<br /> ipv6 unicast-routing<br /> <br /> La deuxième étape est d'activer le routage IPv6 entre les deux routeurs et de définir les priorités de route :<br /> ipv6 rip tpima5sc enable<br /> ipv6 router rip tpima5sc<br /> redistribute connected metric 1 XXXXXXXXX<br /> redistribute rip 1 metric 1<br /> redistribute static metric 1<br /> !<br /> Pour tester que le routage IPv6 est bien activé :<br /> do show ipv6 route<br /> <br /> '''VRRP''' :<br /> Pour rendre notre réseau plus robuste, on a finalement implémenté le protocole VRRP sur le routeur. On a simplement repris la configuration donnée dans le sujet de TP et adaptée à notre cas. Pour la priorité, nous avons indiqué :<br /> <br /> vrrp 1 priority 90<br /> De cette manière, on a définit le routeur en E304 de telle sorte à ce qu'il ne soit pas prioritaire par rapport au 6509E en E306, puisque ce dernier a été configuré avec une priorité de 100.<br /> <br /> ===Schéma ===<br /> Pour récapituler l'architecture réseau, on peut regrouper de nombreuses informations dans le schéma ci-dessous :<br /> <br /> [[Fichier:reseau_dio5_1.JPG|350px]]<br /> <br /> = Séance 7 (dernière séance)=<br /> ==Suite DNS==<br /> Fin de la configuration des fichiers DNS '''/etc/bind/named.conf.options''' , '''/etc/bind/named.conf.options.local''' et <br /> <br /> Génération des clés dnssec dans un répertoire '''/etc/bind/bolognaise.site.dnssec'''<br /> <br /> Une fois que le fichier '''/etc/bind/named.conf.options''' est rempli d'une manière à configurer notre DNS, nous avons mis en place une configuration des '''forward''' et des '''zones''' comme suit :<br /> <br /> Dans le fichier '''/etc/bind/named.conf.local''' : <br /> <br /> zone &quot;57.48.193.in-addr.arpa&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.193.48.57&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> zone &quot;bolognaise.site&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.bolognaise.site&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> Une fois que les paramètres sont ajoutés dans le fichier de configurations, nous avons créé ensuite les fichiers de zones comme suit:<br /> <br /> cp /etc/bind/db.local /etc/bind/db.bolognaise.site<br /> Cette commande va nous permettre de copier le contenu du fichier '''db.local''' dans le fichier '''db.bolognaise.site''' et qui sera créé en même temps.<br /> voici le contenu des fichiers '''/etc/bind/db.local''' et '''/etc/bind/db.bolognaise.site''' avant la configuration :<br /> <br /> $TTL 604800<br /> @ IN SOA localhost. root.localhost. (<br /> 2 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS localhost.<br /> @ IN A 127.0.0.1<br /> @ IN AAAA ::1<br /> <br /> Maintenant nous allons modifié le fichier '''/etc/bind/db.bolognaise.site'''<br /> <br /> $TTL 604800<br /> @ IN SOA ns.bolognaise.site. root.bolognaise.site. (<br /> 4 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS ns.bolognaise.site.<br /> @ IN NS ns6.gandi.net.<br /> @ IN A 193.48.57.182<br /> @ IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4 ;addresse IPV6 de dio5<br /> ns IN A 193.48.57.182<br /> ns IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> www IN A 193.48.57.182<br /> www IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> <br /> Pour que les modifications seront prises en compte :<br /> service named restart<br /> <br /> Nous faisions un test pour vérifer la fonctionalité de la forward zone :<br /> <br /> root@dio5:~# host bolognaise.site localhost<br /> Using domain server:<br /> Name: localhost<br /> Address: 127.0.0.1#53<br /> Aliases:<br /> <br /> bolognaise.site has address 193.48.57.182<br /> bolognaise.site has IPv6 address 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> <br /> Ensuite nous allons faire la même démarche pour la '''reverse zone''', où on commence par la copie du fichier comme suit : <br /> cp /etc/bind/db.127 /etc/bind/db.193.48.57 <br /> <br /> Voici le contenu du fichier '''/etc/bind/db.127''' :<br /> <br /> <br /> $TTL 604800<br /> @ IN SOA localhost. root.localhost. (<br /> 1 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS localhost.<br /> 1.0.0 IN PTR localhost.<br /> <br /> <br /> Nous allons configuré le fichier '''/etc/bind/db.193.48.57''' de la façon suivante : <br /> <br /> <br /> $TTL 604800<br /> @ IN SOA ns.bolognaise.site. root.bolognaise.site. (<br /> 1 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS ns.bolognaise.site.<br /> 182 IN PTR ns.bolognaise.site.<br /> <br /> <br /> Pour que les modifications seront prises en compte :<br /> service named restart<br /> <br /> Voici un test pour la reverse zone : <br /> root@dio5:~# host 193.48.57.182 localhost<br /> Using domain server:<br /> Name: localhost<br /> Address: 127.0.0.1#53<br /> Aliases:<br /> <br /> 182.57.48.193.in-addr.arpa domain name pointer ns.bolognaise.site.<br /> Notre DNS étant maintenant fonctionnel, nous avons pu refaire la demande sur Gandi pour les serveurs externes IPv4 et IPv6, pour rappel : ''' ns.bolognaise.site et ns6.gandi.net'''<br /> <br /> == Sécurisation du DNS par DNSSEC ==<br /> Pour sécuriser notre DNS par DNSSEC, nous aurons besions des clés DNSSEC, que nous allons les ranger dans le répertoire suivant : <br /> <br /> /etc/bind/bolognaise.site.dnssec<br /> <br /> Ensuite nous allons créé les clés DNSSEC :<br /> <br /> * '''KSK (Key Signing Key)'''<br /> dnssec-keygen -a RSASHA1 -b 2048 -f KSK -n ZONE bolognaise.site<br /> * '''ZSK (Zone Signing Key)'''<br /> dnssec-keygen -a RSASHA1 -b 1024 -n ZONE bolognaise.site<br /> Puis nous injectons les clés KSK et ZSK (Privées et Publiques) dans les fichiers qui leurs corresponds : <br /> <br /> mv ./Kbolognaise.site.+005+14017.key ./bolognaise.site-zsk.key<br /> mv ./Kbolognaise.site.+005+19378.private ./bolognaise.site-zsk.private<br /> mv ./Kbolognaise.site.+005+13782.private ./bolognaise.site-ksk.private<br /> mv ./Kbolognaise.site.+005+02617.key ./bolognaise.site-ksk.key<br /> <br /> On n'oublie pas de mettre la clé publique '''KSK sur gandi''', en prenant l'algorithme de '''RSA/SHA1'''.<br /> <br /> Dans le fichier '''/etc/bind/named.conf.options''' on ajoute le ligne suivante pour activer le dnssec :<br /> dnssec-enable yes;<br /> <br /> Ensuite nous allons modifié du nouveau le fichier '''/etc/bind/named.conf.local''' <br /> en ajoutant le champs '''signed''': <br /> zone &quot;bolognaise.site&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.bolognaise.site.signed&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> zone &quot;57.48.193.in-addr.arpa&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.193.48.57&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> Cela va impliquer la prise en compte des fichiers des zones.<br /> Après nous allons inclure les clés que nous l'avons créé dans le fichier '''/etc/bind/db.bolognaise.site'''<br /> <br /> *Pour la clé ZSK : <br /> $INCLUDE &quot;/etc/bind/bolognaise.site.dnssec/bolognaise.site-zsk.key&quot;;<br /> *Pour la clé KSK : <br /> $INCLUDE &quot;/etc/bind/bolognaise.site.dnssec/bolognaise.site-ksk.key&quot;;<br /> <br /> Et pour terminer, nous avons signé le fichier de zone comme suivant :<br /> dnssec-signzone -k bolognaise.site-ksk.key -o bolognaise.site ../db.bolognaise.site bolognaise.site-zsk.key<br /> <br /> == Modification du html de notre serveur pour ajouter une photo de BOLOGNAISE ==<br /> <br /> Dans le fichier &lt;code&gt;/var/www/html/index.html&lt;/code&gt;, nous avons modifié le code source de la page de notre site &lt;br/&gt; d'une façon à avoir l'image de bolognaise qui s'affiche. Voici le code HTML : <br /> <br /> <br /> &lt;!DOCTYPE html PUBLIC &quot;-//W3C//DTD XHTML 1.0 Transitional//EN&quot; &quot;http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd&quot;&gt;<br /> &lt;html xmlns=&quot;http://www.w3.org/1999/xhtml&quot;&gt;<br /> &lt;head&gt;<br /> &lt;meta http-equiv=&quot;Content-Type&quot; content=&quot;text/html; charset=UTF-8&quot; /&gt;<br /> &lt;title&gt;NOS Bolognaises !!!&lt;/title&gt;<br /> &lt;/head&gt;<br /> <br /> &lt;style&gt;<br /> img{<br /> height:70vh;<br /> margin:auto;<br /> display:block;<br /> }<br /> <br /> &lt;/style&gt;<br /> &lt;body&gt;<br /> &lt;img src=&quot;bolognaise.jpg&quot;&gt;<br /> &lt;a href=&quot;portail.polytech-lille.fr&quot;&gt;ICI polytech&lt;/a&gt;<br /> &lt;/body&gt;<br /> &lt;/html&gt;<br /> <br /> Si on écrit dans un navigateur : &lt;code&gt;https://bolognaise.site&lt;/code&gt; on peut arriver directement dans notre site.<br /> <br /> ==Gestion de fail2ban==<br /> Nous avons commencé par installer la commande '''fail2ban''' : <br /> <br /> apt install fail2ban<br /> <br /> Puis nous avons activé le fil2ban comme suivant :<br /> <br /> root@dio5:~# service fail2ban active<br /> Usage: /etc/init.d/fail2ban {start|force-start|stop|restart|force reload|status}<br /> root@dio5:~# service fail2ban enable<br /> Usage: /etc/init.d/fail2ban {start|force-start|stop|restart|force-reload|status}<br /> <br /> Nous regardons le status du fail2ban : <br /> <br /> root@dio5:~# service fail2ban status<br /> Status of Authentication failure monitor:fail2ban is running.<br /> <br /> Dans le fichier '''/etc/fail2ban/jail.d/defaults-debian.conf''' nous activons le '''name refused''' en ajoutant les 2 lignes suivantes : <br /> [named-refused]<br /> enabled = true<br /> <br /> Dans le fichier '''/etc/bind/named.conf.options''', on va allumer le service de loggin de named-refused, qui est par défault éteint, pour cela nous ajoutant ce bloc : <br /> <br /> logging {<br /> <br /> channel security_file{<br /> file &quot;/var/log/named/security.log&quot; versions 3 size 30m;<br /> severity dynamic;<br /> print-time yes;<br /> };<br /> category security{<br /> security_file;<br /> };<br /> <br /> Dans le fichier '''/etc/bind/named.conf.options''' nous allons définir le nombre max de reponses par seconde que le server peut l'accepter avant de faire le ban, pour cela on ajoute le bloc suivant : <br /> <br /> rate-limit{<br /> responses-per-second 5;<br /> };<br /> <br /> Le nombre max des reponses par seconde est fixé à 5.<br /> <br /> Comme que nous allons écrire dans le fichier '''security.log''' et que ce fichier n'existe pas, donc nous allons le créer et créer les dossiers qui correspondent :<br /> *Création du dossier '''named''': <br /> mkdir /var/log/named<br /> *Création du fichier '''security.log''' qui vide au départ:<br /> touch security.log étant dans le dossier /var/log/named<br /> <br /> Et comme que ce dossier &lt;code&gt;named/&lt;/code&gt; appartient au service bind (named) donc il était nécessaire de lui associé un '''owner''' qui est le bind9 :<br /> <br /> *Etant dans le dossier /var/log : <br /> chown bind named/<br /> chown bind named/security.log<br /> <br /> Pour vérifier la prise en compte des changement : <br /> <br /> root@dio5:~# ls -l /var/log/ | grep named<br /> drwxr-xr-x 2 bind root 4096 Nov 30 09:56 named<br /> root@dio5:~# ls -l /var/log/named/<br /> total 12<br /> -rw-r--r-- 1 bind root 10898 Dec 7 17:43 security.log<br /> <br /> On restart les services pour prendre en compte les modifications: <br /> service named restart<br /> <br /> == Mise en place d'un RAID 5==<br /> Dans le but de rendre les données de notre VM sécurisées (résilience aux problèmes hardware de disque), nous mettons en place une configuration RAID 5. Pour cela :<br /> Création de 3 partitions LVM de 1Go sur capbreton :<br /> lvcreate -L1G -nbolo-raid1 storage<br /> lvcreate -L1G -nbolo-raid2 storage<br /> lvcreate -L1G -nbolo-raid3 storage<br /> Il faut évidemment modifier le fichier de configuration (/etc/xen/dio5.cfg) de notre VM en conséquence pour rattacher ces 3 partitions dans la partie &lt;code&gt;disk&lt;/code&gt;:<br /> 'phy:/dev/storage/bolo-raidX,xvdb3,w' en répétant cette ligne pour X variant de 1 à 3<br /> On redémarre ensuite la VM :<br /> halt<br /> Puis sur capbreton on exécute :<br /> xen-create-image dio5.cfg<br /> xen console dio5<br /> On peut maintenant créer depuis la xen le système RAID5:<br /> mdadm --create /dev/md0 --level=5 --raid-devices 3 /dev/xvdb3 /dev/xvdb4 /dev/xvdb5<br /> mkfs /dev/md0 ''création du système de fichiers''<br /> mount /dev/md0 /mnt ''on monte le disque RAID5''<br /> Rappel des commandes utiles :<br /> lsblk : affiche la liste et les caractéristiques tous les disques et leurs partitions <br /> df : affiche la valeur d'espace disque disponible des systèmes de fichier disponibles en écriture pour le user<br /> === Test de résistance de notre RAID 5 ===<br /> On commence par enregistrer un fichier sur notre partition dans /mnt :<br /> cd /mnt ; echo &quot;Test résistance RAID5&quot; &gt; test.txt<br /> Pour simuler un cas de défaillance d'un des 3 disques, on commente dans le fichier de configuration de la xen une des lignes correspondant à un des 3 disques, puis on reboot la xen.<br /> Une fois démarrée, on peut vérifier que la reconstruction des données à bien fonctionné simplement en exécutant :<br /> cd /mnt ; cat test.txt<br /> Ce qui nous donne en sortie dans la console :<br /> Test résistantce RAID5<br /> Notre système RAID5 est donc fonctionnel.<br /> <br /> == Cassage de mot de passe WEP ==<br /> On va pour cette activité utiliser le paquet aircrack-ng. Une fois l'interface réseau Wifi identifiée (wlan0mon), on démarre aircrack-ng dessus :<br /> airmon-ng start wlan0mon<br /> On écoute ensuite tout ce qui passe sur cette interface pour identifier le BSSID correspondant à notre groupe (SSID cracotte05), et le channel associé:<br /> airodump-ng -c wlan0mon<br /> Une fois le BSSID identifié (XXXXXX), on recommence l'écoute du réseau mais cette fois en filtrant pour ne récupérer que des trames correspondant au SSID que l'on souhaite cracker :<br /> airodump-ng -c 13 --bssid 04:DA:D2:9C:50:54 -w cracotte08 wlan0mon <br /> Une fois un nombre de paquets suffisants récupérés, on lance l'algorithme de crackage pour récupéré la clé WEP :<br /> aircrack-ng cracotte05-01.cap<br /> On trouve : '''FF:FF:FF:FF:FA:BC:06:CB:AE:EE:EE:EE:EE<br /> INSERER PHTOTO<br /> <br /> == Cassage de mot de passe WPA-PSK par brut force==<br /> A COMPLETER + photo<br /> <br /> =Coffre Fort=<br /> <br /> [[Fichier:Coffre_secret2.zip]]</div>

Ylacroix https://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA5_2022/2023_G5&diff=60994 2023-01-06T22:52:44Z

<p>Ylacroix : /* Cassage de mot de passe WEP */</p> <hr /> <div>=Installation de l'OS=<br /> <br /> Devuan Chimaera (netinstall) sur les zabeth 17 et 11<br /> <br /> ==Configuration réseau==<br /> *IP machine : 172.26.145.50+n°zabeth/24<br /> *DNS : 193.48.57.48<br /> *Domain name : plil.info<br /> *Routeur : 172.26.145.254<br /> *Proxy : http://proxy.polyetch-lille.fr:3128<br /> <br /> <br /> *mdp dio5 : XXXXXX<br /> <br /> =Ansible=<br /> Prérequis:<br /> *python<br /> *pip<br /> *ansible<br /> Rédaction du script ansible pour le Screen Saver (.yml)<br /> <br /> Tâches accomplies : <br /> * Suppression des animations de veille d'écran<br /> <br /> Tâches restantes : <br /> * Fixer une animation lente pour la veille<br /> * Eteindre complétement l'écran au bout d'un certain temps (1 heure)<br /> <br /> =Réalisation=<br /> ==Installation de la machine virtuelle XEN (séance 2)==<br /> <br /> '''Connexion au serveur hébergeant les VM :'''<br /> ssh root@capbreton.plil.info<br /> <br /> '''Création de l'image de conifguration de la VM :'''<br /> <br /> xen-create-image --ip=193.48.57.105 --gateway=193.48.57.161 --netmask=255.255.255.0 --hostname=dio5 --dist=chimaera --dir=/usr/local/xen/<br /> <br /> /!\ Adresse ip provisoire car réseau 193.48.57.160/27 non créé pour le moment. Actuellement ip : 172.26.145.105 /!\<br /> <br /> '''Modification du fichier de config (image):'''<br /> /etc/xen/dio5.cfg --&gt; <br /> <br /> '''Création de la VM à partir de l'image précédemment créée :'''<br /> xen create dio5.cfg (en étant dans le dir /etc/xen/ évidemment)<br /> <br /> '''Lancement de la VM :'''<br /> xen console dio5<br /> login: root<br /> password: XXXXXX<br /> Vérifier avant que la machine a bien été lancée avec &lt;code&gt;xen create dio5.cfg&lt;/code&gt; par la commande &lt;code&gt;xen list&lt;/code&gt;<br /> <br /> ==Séance 3==<br /> ===Amélioration du coffre fort===<br /> Un dossier compressé est en bas de page<br /> <br /> ===Création des volumes virtuels===<br /> Sur Capbreton, on créé les LVM /home /var avec leurs systèmes de fichiers : <br /> <br /> &lt;code&gt;lvcreate -L10G -ndio5_home storage &lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_home&lt;/code&gt;<br /> <br /> &lt;code&gt;lvcreate -L5G -ndio5_var storage&lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_var&lt;/code&gt;<br /> <br /> Il faut changer le fichier de configuration (situé dans /etc/xen) et y ajouter ces deux lignes dans la partie &lt;code&gt;disk =&lt;/code&gt;<br /> <br /> 'phy:/dev/storage/dio5_home,xvdb1,w',<br /> 'phy:/dev/storage/dio5_var,xvdb2,w',<br /> Ainsi que modifier la ligne &lt;code&gt;vif&lt;/code&gt; comme suit :<br /> vif = [ 'mac=00:16:3E:7B:4D:A4,bridge=IMA5sc' ]<br /> <br /> On relance ensuite la machine avec &lt;code&gt;xen create&lt;/code&gt;. <br /> Pour monter les deux partitions, il faut ensuite modifier le fichier '''/etc/fstab''' comme suit :<br /> /dev/xvdb1 /home ext4 defaults 0 2<br /> /dev/xvdb2 /var ext4 defaults 0 2<br /> Pour que ces modificcations soient prises en compte :<br /> mount -a<br /> reboot<br /> <br /> ==Séance 4==<br /> ===Sécurisation par certificat TLS===<br /> Nous avons commencé par lancer la machine virtuelle qui était créée et configurée lors des séances précédentes. &lt;br/&gt;<br /> Ensuite nous avons acheté le nom de domaine ''' blanquette.site ''' via le fournisseur de nom de domaine GANDI. Ce nom de domaine servira par la suite pour héberger notre site web Apache. &lt;br/&gt;<br /> Pour sécuriser la connexion HTTPS sur Apache, il est nécessaire de créer une clé et un CSR. On utilise pour cela l'utilitaire OpenSSL et on exécute les commandes : &lt;br/&gt;<br /> apt install openssl<br /> openssl req -nodes -newkey rsa:2048 -sha256 -keyout myserver.key -out server.csr -utf8<br /> Pour valider cette demande de certificat et obtenir notre certificat TSL, nous avons également utilisé GANDI.&lt;br/&gt;<br /> <br /> ===Configuration du routeur de secours (Cisco 9200????)===<br /> Pendant que d'autres binômes s'occupaient de la configuration physique des routeurs (câblage), nous nous sommes occupés de configurer le routeur en E304. Pour cela, on accède à l'interface de configuration Cisco du routeur par port série, via minicom :&lt;br/&gt;<br /> minicom -os &quot;&quot;&quot;device:/dev/ttyUSB0, baudrate:9600, pas de contrôle de flux&quot;&quot;&quot;<br /> Depuis cette interface, création de 3 vlan et configuration des ports physiques associés pour répondre à l'architecture réseau demandée pour le TP :<br /> * Connexion entre le routeur et Capbreton sur le VLAN 2 :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 2<br /> routeur(vlan)#name Capb-E304<br /> routeur#exit<br /> routeur#int Te5/4<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 2<br /> Il restera ensuite à configurer ce vlan sur le réseau '''193.48.57.176/28'''<br /> <br /> * Connexion de redondance entre les deux routeurs :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 64<br /> routeur(vlan)#name INTERCO-E306/304<br /> Après le choix du port à connecter sur le routeur, il restera à attribuer ce port au vlan 64 en mode '''trunk'''.<br /> <br /> * Connexion entre le routeur et le SR2<br /> enable<br /> routeur#conf t<br /> routeur#vlan 531<br /> routeur(vlan)#name INTERCO-5A<br /> routeur#exit<br /> routeur#int Te5/5<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 531<br /> Il restera ensuite à configurer ce vlan sur le réseau '''192.168.222.72/29'''<br /> <br /> PHOTO A METTRE !!! &lt;br/&gt;<br /> Pour checker la configuration des vlan du routeur :<br /> routeur#show interfaces status<br /> ou :<br /> routeur#show interface vlan X<br /> <br /> <br /> ==Séance 5==<br /> <br /> Tout d'abord nous avons commencé à vérifer le fonctionnement de notre service SSH sur la machine Xen.<br /> Pour cela nous avons modifié en premier temps après avoir être connecté sur la machine virtuelle le fichier '''sshd_config''' situé dans :<br /> /etc/ssh<br /> comme suit :<br /> # Authentication:<br /> #LoginGraceTime 2m<br /> PermitRootLogin yes<br /> #StrictModes yes<br /> #MaxAuthTries 6<br /> #MaxSessions 10<br /> <br /> d'où nous avons décommenté la ligne de qui nous permet de se connecter en tant que root, ensuite nous avons lui donné cette permission par l'expression '''yes'''.<br /> <br /> Une fois que cette étape est faite, nous avons lancé dans le shell la commande suivante : <br /> root@dio5:~# service ssh restart<br /> Dans le but de prendre en compte les modifications faites.<br /> <br /> Pour vérfier la connexion en ssh, nous lançons depuis notre machine zabeth17 la commande suivante :<br /> root@zabeth17:~# ssh root@172.26.145.105<br /> <br /> '''Attribution de l'adresse IP à VLAN2''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 2<br /> routeur#ip address 193.48.57.178 255.255.255.240<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Attribution de l'adresse IP à VLAN531''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 531<br /> routeur#ip address 192.168.222.75 255.255.255.248<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Configuration et interconnection du port trunk'''<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> conf t<br /> int Te6/5<br /> switchport<br /> switchport trunk encapsulation dot1q<br /> switchport mode trunk<br /> end<br /> <br /> *Afin de sauvegarder ces configurations; on oublie pas de les écrire par la commande :<br /> write<br /> <br /> '''Changement de l'addresse IP de la machine Xen'''<br /> *Changement du Bridge de la machine :<br /> Dans la machine Xen, nous allons modifié le fichier de configuration de notre machine dio5 (situé à /etc/xen/dio5.cfg). Il est devenu comme suivant :<br /> <br /> vif = [ 'mac=00:16:3E:2B:B5:60,bridge=IMA5sc' ]<br /> <br /> Pour prendre les modifications en compte, nous avons arreté la machine xen puis nous l'avons redemaré depuis capbreton étant bien sur dans le repretoire /etc/xen: <br /> <br /> xen shutdown dio5<br /> xen create dio5.cfg <br /> <br /> <br /> <br /> Ensuite nous avons modifié l'addresse IP de la machine dans le fichier '''/etc/network/interfaces''' avec l'addresse IP suivante et la gateway qui correspond :<br /> address 193.48.57.182<br /> gateway 193.48.57.176<br /> Pour que les modifications réseaux seront prises en compte, nous exectutons les commandes suivantes dans la machine Xen: <br /> ifdown -a<br /> ifup -a<br /> <br /> <br /> '''HTTP'''<br /> Pour que notre VM soit accessible en HTTP, il lui faut un serveur HTPP installé. Dans la machine Xen : <br /> apt install apache2<br /> <br /> '''HTTPS'''<br /> L'achat du certificat SSL nous permet de sécuriser la connexion à notre serveur Apache en HTTPS. Pour cela :<br /> a2enmod ssl<br /> a2ensite default-ssl.conf<br /> service apache2 restart<br /> On modifie ensuite le fichier '''/etc/apache2/sites-enabled/default-ssl.conf''' de telle sorte à y renseigner le certificat SSL, le certificat intermédiaire et notre clé privée.<br /> Les certificats sont à télécharger sur Gandi et à transférer sur notre VM en scp.<br /> <br /> Voici le contenu du fichier '''/etc/apache2/sites-enabled/default-ssl.conf''' pour la configuration du '''https''' :<br /> <br /> &lt;VirtualHost *:443&gt;<br /> ServerName bolognaise.site<br /> ServerAlias www.bolognaise.site<br /> ServerAdmin webmaster@bolognaise.site<br /> DocumentRoot /var/www/html<br /> SSLEngine on<br /> SSLCertificateFile /root/bolognaise.site.crt<br /> SSLCertificateKeyFile /root/myserver.key<br /> SSLCertificateChainFile /root/GandiStandardSSLCA2.pem<br /> ErrorLog ${APACHE_LOG_DIR}/error.log<br /> CustomLog ${APACHE_LOG_DIR}/access.log combined<br /> &lt;/VirtualHost&gt;<br /> <br /> On note que &lt;code&gt;VirtualHost *:443&lt;/code&gt; est pour dire que c'est du HTTPS.<br /> Nous avons ensuite modifié le bloc associé au HTTP, d'une façon à avoir une redirection vers du HTTPS comme suivant : <br /> <br /> &lt;VirtualHost *:80&gt;<br /> ServerAdmin webmaster@localhost<br /> DocumentRoot /var/www/html<br /> Redirect / https://bolognaise.site<br /> &lt;/VirtualHost&gt;<br /> <br /> Dans ce cas l'utilisateur va arriver toujours sur notre site héberger en HTTPS grâce à la commande : <br /> Redirect / https://bolognaise.site<br /> <br /> ==Séance 6==<br /> ==Serveur DNS==<br /> <br /> Tout d'abord, sur le site '''gandi''', dans la section Glue record, nous avons renseigné un nom de domaine &lt;code&gt;ns.bolognaise.site&lt;/code&gt;, et nous avons ajouté les adresses IPv4 et IPv6 associé à notre machine xen.<br /> IPv4 : 193.48.57.182<br /> IPv6 : 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> Ensuite dans la section NameServer nous avons ajouté un DNS secondaire &lt;code&gt;ns6.gandi.net&lt;/code&gt; dont son adresse IPv4 est la suivante : &lt;code&gt;217.70.177.40&lt;/code&gt;.<br /> <br /> Nous avons installé bind9 par &lt;code&gt;apt install bind9&lt;/code&gt;.<br /> <br /> '''Configuration du fichier d'option pour bind'''&lt;br/&gt;<br /> Modification du fichier &lt;code&gt;/etc/bind/named.conf.options&lt;/code&gt;<br /> <br /> <br /> options {<br /> directory &quot;/var/cache/bind&quot;;<br /> forwarders {<br /> 8.8.8.8;<br /> 4.4.2.2; //ou 8.8.4.4 <br /> };<br /> dnssec-validation auto;<br /> recursion yes;<br /> listen-on-v6 { any; };<br /> listen-on {any;};<br /> allow-recursion{trusted;};<br /> //allow-transfer{none;};<br /> };<br /> listen-on-v6 { any;}<br /> acl trusted{<br /> 193.48.57.182; //ns.bolognaise.net <br /> 217.70.177.40; //ns6.gandi.net<br /> };<br /> <br /> == Paramétrage routeur E304 ==<br /> Afin de finir la configuration du routeur en E304, il est nécessaire de mettre en place deux protocoles : &lt;br/&gt;&lt;br/&gt;<br /> '''OSBF''': partage de routes entre les deux routeurs<br /> En effet, l'objectif d'avoir 2 routeurs pour accéder au SR52 est d'avoir une redondance du réseau robuste aux pannes. Néanmoins, il faut pour cela que les deux routeurs connaissent chacun les tables de routages de l'autre. Ci-dessous la configuration OSBF du routeur E304 :<br /> router ospf 1<br /> router-id 192.162.222.6<br /> summary-address 192.168.0.0 255.255.0.0 not-advertise<br /> summary-address 193.48.57.176 255.255.255.240<br /> redistribute connected subnets ! subnets allowed<br /> redistribute static subnets route-map ospf ! subnets allowed<br /> network 192.168.222.72 0.0.0.7 area 20<br /> default-information originate<br /> Pour vérifier si le partage de routes est fonctionnel, on tape dans l'interface Cisco du routeur :<br /> do show ip route<br /> Si les routes du routeur en E306 s'affiche, c'est que le protocole a bien été configuré&lt;br/&gt;&lt;br/&gt;<br /> <br /> <br /> '''RIPv6''': <br /> La première est de permettre au routeur d'attribuer des adresses IPv6 aux différentes machines sur son réseau (Xen ...), un peu à la manière d'un DHCP. Ci-dessous la configuration :<br /> interface vlan 2 <br /> ipv6 enable<br /> ipv6 address 2001:660:4401:60b0::/64 eui-64<br /> ipv6 nd prefix 2001:660:4401:60b0::/64 1000 900<br /> ipv6 nd router-preference high<br /> !<br /> ipv6 unicast-routing<br /> <br /> La deuxième étape est d'activer le routage IPv6 entre les deux routeurs et de définir les priorités de route :<br /> ipv6 rip tpima5sc enable<br /> ipv6 router rip tpima5sc<br /> redistribute connected metric 1 XXXXXXXXX<br /> redistribute rip 1 metric 1<br /> redistribute static metric 1<br /> !<br /> Pour tester que le routage IPv6 est bien activé :<br /> do show ipv6 route<br /> <br /> '''VRRP''' :<br /> Pour rendre notre réseau plus robuste, on a finalement implémenté le protocole VRRP sur le routeur. On a simplement repris la configuration donnée dans le sujet de TP et adaptée à notre cas. Pour la priorité, nous avons indiqué :<br /> <br /> vrrp 1 priority 90<br /> De cette manière, on a définit le routeur en E304 de telle sorte à ce qu'il ne soit pas prioritaire par rapport au 6509E en E306, puisque ce dernier a été configuré avec une priorité de 100.<br /> <br /> ===Schéma ===<br /> Pour récapituler l'architecture réseau, on peut regrouper de nombreuses informations dans le schéma ci-dessous :<br /> <br /> [[Fichier:reseau_dio5_1.JPG|350px]]<br /> <br /> = Séance 7 (dernière séance)=<br /> ==Suite DNS==<br /> Fin de la configuration des fichiers DNS '''/etc/bind/named.conf.options''' , '''/etc/bind/named.conf.options.local''' et <br /> <br /> Génération des clés dnssec dans un répertoire '''/etc/bind/bolognaise.site.dnssec'''<br /> <br /> Une fois que le fichier '''/etc/bind/named.conf.options''' est rempli d'une manière à configurer notre DNS, nous avons mis en place une configuration des '''forward''' et des '''zones''' comme suit :<br /> <br /> Dans le fichier '''/etc/bind/named.conf.local''' : <br /> <br /> zone &quot;57.48.193.in-addr.arpa&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.193.48.57&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> zone &quot;bolognaise.site&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.bolognaise.site&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> Une fois que les paramètres sont ajoutés dans le fichier de configurations, nous avons créé ensuite les fichiers de zones comme suit:<br /> <br /> cp /etc/bind/db.local /etc/bind/db.bolognaise.site<br /> Cette commande va nous permettre de copier le contenu du fichier '''db.local''' dans le fichier '''db.bolognaise.site''' et qui sera créé en même temps.<br /> voici le contenu des fichiers '''/etc/bind/db.local''' et '''/etc/bind/db.bolognaise.site''' avant la configuration :<br /> <br /> $TTL 604800<br /> @ IN SOA localhost. root.localhost. (<br /> 2 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS localhost.<br /> @ IN A 127.0.0.1<br /> @ IN AAAA ::1<br /> <br /> Maintenant nous allons modifié le fichier '''/etc/bind/db.bolognaise.site'''<br /> <br /> $TTL 604800<br /> @ IN SOA ns.bolognaise.site. root.bolognaise.site. (<br /> 4 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS ns.bolognaise.site.<br /> @ IN NS ns6.gandi.net.<br /> @ IN A 193.48.57.182<br /> @ IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4 ;addresse IPV6 de dio5<br /> ns IN A 193.48.57.182<br /> ns IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> www IN A 193.48.57.182<br /> www IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> <br /> Pour que les modifications seront prises en compte :<br /> service named restart<br /> <br /> Nous faisions un test pour vérifer la fonctionalité de la forward zone :<br /> <br /> root@dio5:~# host bolognaise.site localhost<br /> Using domain server:<br /> Name: localhost<br /> Address: 127.0.0.1#53<br /> Aliases:<br /> <br /> bolognaise.site has address 193.48.57.182<br /> bolognaise.site has IPv6 address 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> <br /> Ensuite nous allons faire la même démarche pour la '''reverse zone''', où on commence par la copie du fichier comme suit : <br /> cp /etc/bind/db.127 /etc/bind/db.193.48.57 <br /> <br /> Voici le contenu du fichier '''/etc/bind/db.127''' :<br /> <br /> <br /> $TTL 604800<br /> @ IN SOA localhost. root.localhost. (<br /> 1 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS localhost.<br /> 1.0.0 IN PTR localhost.<br /> <br /> <br /> Nous allons configuré le fichier '''/etc/bind/db.193.48.57''' de la façon suivante : <br /> <br /> <br /> $TTL 604800<br /> @ IN SOA ns.bolognaise.site. root.bolognaise.site. (<br /> 1 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS ns.bolognaise.site.<br /> 182 IN PTR ns.bolognaise.site.<br /> <br /> <br /> Pour que les modifications seront prises en compte :<br /> service named restart<br /> <br /> Voici un test pour la reverse zone : <br /> root@dio5:~# host 193.48.57.182 localhost<br /> Using domain server:<br /> Name: localhost<br /> Address: 127.0.0.1#53<br /> Aliases:<br /> <br /> 182.57.48.193.in-addr.arpa domain name pointer ns.bolognaise.site.<br /> Notre DNS étant maintenant fonctionnel, nous avons pu refaire la demande sur Gandi pour les serveurs externes IPv4 et IPv6, pour rappel : ''' ns.bolognaise.site et ns6.gandi.net'''<br /> <br /> == Sécurisation du DNS par DNSSEC ==<br /> Pour sécuriser notre DNS par DNSSEC, nous aurons besions des clés DNSSEC, que nous allons les ranger dans le répertoire suivant : <br /> <br /> /etc/bind/bolognaise.site.dnssec<br /> <br /> Ensuite nous allons créé les clés DNSSEC :<br /> <br /> * '''KSK (Key Signing Key)'''<br /> dnssec-keygen -a RSASHA1 -b 2048 -f KSK -n ZONE bolognaise.site<br /> * '''ZSK (Zone Signing Key)'''<br /> dnssec-keygen -a RSASHA1 -b 1024 -n ZONE bolognaise.site<br /> Puis nous injectons les clés KSK et ZSK (Privées et Publiques) dans les fichiers qui leurs corresponds : <br /> <br /> mv ./Kbolognaise.site.+005+14017.key ./bolognaise.site-zsk.key<br /> mv ./Kbolognaise.site.+005+19378.private ./bolognaise.site-zsk.private<br /> mv ./Kbolognaise.site.+005+13782.private ./bolognaise.site-ksk.private<br /> mv ./Kbolognaise.site.+005+02617.key ./bolognaise.site-ksk.key<br /> <br /> On n'oublie pas de mettre la clé publique '''KSK sur gandi''', en prenant l'algorithme de '''RSA/SHA1'''.<br /> <br /> Dans le fichier '''/etc/bind/named.conf.options''' on ajoute le ligne suivante pour activer le dnssec :<br /> dnssec-enable yes;<br /> <br /> Ensuite nous allons modifié du nouveau le fichier '''/etc/bind/named.conf.local''' <br /> en ajoutant le champs '''signed''': <br /> zone &quot;bolognaise.site&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.bolognaise.site.signed&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> zone &quot;57.48.193.in-addr.arpa&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.193.48.57&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> Cela va impliquer la prise en compte des fichiers des zones.<br /> Après nous allons inclure les clés que nous l'avons créé dans le fichier '''/etc/bind/db.bolognaise.site'''<br /> <br /> *Pour la clé ZSK : <br /> $INCLUDE &quot;/etc/bind/bolognaise.site.dnssec/bolognaise.site-zsk.key&quot;;<br /> *Pour la clé KSK : <br /> $INCLUDE &quot;/etc/bind/bolognaise.site.dnssec/bolognaise.site-ksk.key&quot;;<br /> <br /> Et pour terminer, nous avons signé le fichier de zone comme suivant :<br /> dnssec-signzone -k bolognaise.site-ksk.key -o bolognaise.site ../db.bolognaise.site bolognaise.site-zsk.key<br /> <br /> == Modification du html de notre serveur pour ajouter une photo de BOLOGNAISE ==<br /> <br /> Dans le fichier &lt;code&gt;/var/www/html/index.html&lt;/code&gt;, nous avons modifié le code source de la page de notre site &lt;br/&gt; d'une façon à avoir l'image de bolognaise qui s'affiche. Voici le code HTML : <br /> <br /> <br /> &lt;!DOCTYPE html PUBLIC &quot;-//W3C//DTD XHTML 1.0 Transitional//EN&quot; &quot;http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd&quot;&gt;<br /> &lt;html xmlns=&quot;http://www.w3.org/1999/xhtml&quot;&gt;<br /> &lt;head&gt;<br /> &lt;meta http-equiv=&quot;Content-Type&quot; content=&quot;text/html; charset=UTF-8&quot; /&gt;<br /> &lt;title&gt;NOS Bolognaises !!!&lt;/title&gt;<br /> &lt;/head&gt;<br /> <br /> &lt;style&gt;<br /> img{<br /> height:70vh;<br /> margin:auto;<br /> display:block;<br /> }<br /> <br /> &lt;/style&gt;<br /> &lt;body&gt;<br /> &lt;img src=&quot;bolognaise.jpg&quot;&gt;<br /> &lt;a href=&quot;portail.polytech-lille.fr&quot;&gt;ICI polytech&lt;/a&gt;<br /> &lt;/body&gt;<br /> &lt;/html&gt;<br /> <br /> Si on écrit dans un navigateur : &lt;code&gt;https://bolognaise.site&lt;/code&gt; on peut arriver directement dans notre site.<br /> <br /> ==Gestion de fail2ban==<br /> Nous avons commencé par installer la commande '''fail2ban''' : <br /> <br /> apt install fail2ban<br /> <br /> Puis nous avons activé le fil2ban comme suivant :<br /> <br /> root@dio5:~# service fail2ban active<br /> Usage: /etc/init.d/fail2ban {start|force-start|stop|restart|force reload|status}<br /> root@dio5:~# service fail2ban enable<br /> Usage: /etc/init.d/fail2ban {start|force-start|stop|restart|force-reload|status}<br /> <br /> Nous regardons le status du fail2ban : <br /> <br /> root@dio5:~# service fail2ban status<br /> Status of Authentication failure monitor:fail2ban is running.<br /> <br /> Dans le fichier '''/etc/fail2ban/jail.d/defaults-debian.conf''' nous activons le '''name refused''' en ajoutant les 2 lignes suivantes : <br /> [named-refused]<br /> enabled = true<br /> <br /> Dans le fichier '''/etc/bind/named.conf.options''', on va allumer le service de loggin de named-refused, qui est par défault éteint, pour cela nous ajoutant ce bloc : <br /> <br /> logging {<br /> <br /> channel security_file{<br /> file &quot;/var/log/named/security.log&quot; versions 3 size 30m;<br /> severity dynamic;<br /> print-time yes;<br /> };<br /> category security{<br /> security_file;<br /> };<br /> <br /> Dans le fichier '''/etc/bind/named.conf.options''' nous allons définir le nombre max de reponses par seconde que le server peut l'accepter avant de faire le ban, pour cela on ajoute le bloc suivant : <br /> <br /> rate-limit{<br /> responses-per-second 5;<br /> };<br /> <br /> Le nombre max des reponses par seconde est fixé à 5.<br /> <br /> Comme que nous allons écrire dans le fichier '''security.log''' et que ce fichier n'existe pas, donc nous allons le créer et créer les dossiers qui correspondent :<br /> *Création du dossier '''named''': <br /> mkdir /var/log/named<br /> *Création du fichier '''security.log''' qui vide au départ:<br /> touch security.log étant dans le dossier /var/log/named<br /> <br /> Et comme que ce dossier &lt;code&gt;named/&lt;/code&gt; appartient au service bind (named) donc il était nécessaire de lui associé un '''owner''' qui est le bind9 :<br /> <br /> *Etant dans le dossier /var/log : <br /> chown bind named/<br /> chown bind named/security.log<br /> <br /> Pour vérifier la prise en compte des changement : <br /> <br /> root@dio5:~# ls -l /var/log/ | grep named<br /> drwxr-xr-x 2 bind root 4096 Nov 30 09:56 named<br /> root@dio5:~# ls -l /var/log/named/<br /> total 12<br /> -rw-r--r-- 1 bind root 10898 Dec 7 17:43 security.log<br /> <br /> On restart les services pour prendre en compte les modifications: <br /> service named restart<br /> <br /> == Mise en place d'un RAID 5==<br /> Dans le but de rendre les données de notre VM sécurisées (résilience aux problèmes hardware de disque), nous mettons en place une configuration RAID 5. Pour cela :<br /> Création de 3 partitions LVM de 1Go sur capbreton :<br /> lvcreate -L1G -nbolo-raid1 storage<br /> lvcreate -L1G -nbolo-raid2 storage<br /> lvcreate -L1G -nbolo-raid3 storage<br /> Il faut évidemment modifier le fichier de configuration (/etc/xen/dio5.cfg) de notre VM en conséquence pour rattacher ces 3 partitions dans la partie &lt;code&gt;disk&lt;/code&gt;:<br /> 'phy:/dev/storage/bolo-raidX,xvdb3,w' en répétant cette ligne pour X variant de 1 à 3<br /> On redémarre ensuite la VM :<br /> halt<br /> Puis sur capbreton on exécute :<br /> xen-create-image dio5.cfg<br /> xen console dio5<br /> On peut maintenant créer depuis la xen le système RAID5:<br /> mdadm --create /dev/md0 --level=5 --raid-devices 3 /dev/xvdb3 /dev/xvdb4 /dev/xvdb5<br /> mkfs /dev/md0 ''création du système de fichiers''<br /> mount /dev/md0 /mnt ''on monte le disque RAID5''<br /> Rappel des commandes utiles :<br /> lsblk : affiche la liste et les caractéristiques tous les disques et leurs partitions <br /> df : affiche la valeur d'espace disque disponible des systèmes de fichier disponibles en écriture pour le user<br /> === Test de résistance de notre RAID 5 ===<br /> On commence par enregistrer un fichier sur notre partition dans /mnt :<br /> cd /mnt ; echo &quot;Test résistance RAID5&quot; &gt; test.txt<br /> Pour simuler un cas de défaillance d'un des 3 disques, on commente dans le fichier de configuration de la xen une des lignes correspondant à un des 3 disques, puis on reboot la xen.<br /> Une fois démarrée, on peut vérifier que la reconstruction des données à bien fonctionné simplement en exécutant :<br /> cd /mnt ; cat test.txt<br /> Ce qui nous donne en sortie dans la console :<br /> Test résistantce RAID5<br /> Notre système RAID5 est donc fonctionnel.<br /> <br /> == Cassage de mot de passe WEP ==<br /> On va pour cette activité utiliser le paquet aircrack-ng. Une fois l'interface réseau Wifi identifiée (wlan0mon), on démarre aircrack-ng dessus :<br /> airmon-ng start wlan0mon<br /> On écoute ensuite tout ce qui passe sur cette interface pour identifier le BSSID correspondant à notre groupe (SSID cracotte05), et le channel associé:<br /> airodump-ng -c wlan0mon<br /> Une fois le BSSID identifié (XXXXXX), on recommence l'écoute du réseau mais cette fois en filtrant pour ne récupérer que des trames correspondant au SSID que l'on souhaite cracker :<br /> airodump-ng -c 13 --bssid 04:DA:D2:9C:50:57 -w cracotte08 wlan0mon <br /> Une fois un nombre de paquets suffisants récupérés, on lance l'algorithme de crackage pour récupéré la clé WEP :<br /> aircrack-ng cracotte05-01.cap<br /> On trouve : '''FF:FF:FF:FF:FA:BC:06:CB:AE:EE:EE:EE:EE<br /> INSERER PHTOTO<br /> <br /> == Cassage de mot de passe WPA-PSK par brut force==<br /> A COMPLETER + photo<br /> <br /> =Coffre Fort=<br /> <br /> [[Fichier:Coffre_secret2.zip]]</div>

Ylacroix https://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA5_2022/2023_G5&diff=60673 2022-12-08T00:09:38Z

<p>Ylacroix : /* Mise en place d'un RAID 5 */</p> <hr /> <div>=Installation de l'OS=<br /> <br /> Devuan Chimaera (netinstall) sur les zabeth 17 et 11<br /> <br /> ==Configuration réseau==<br /> *IP machine : 172.26.145.50+n°zabeth/24<br /> *DNS : 193.48.57.48<br /> *Domain name : plil.info<br /> *Routeur : 172.26.145.254<br /> *Proxy : http://proxy.polyetch-lille.fr:3128<br /> <br /> <br /> *mdp dio5 : XXXXXX<br /> <br /> =Ansible=<br /> Prérequis:<br /> *python<br /> *pip<br /> *ansible<br /> Rédaction du script ansible pour le Screen Saver (.yml)<br /> <br /> Tâches accomplies : <br /> * Suppression des animations de veille d'écran<br /> <br /> Tâches restantes : <br /> * Fixer une animation lente pour la veille<br /> * Eteindre complétement l'écran au bout d'un certain temps (1 heure)<br /> <br /> =Réalisation=<br /> ==Installation de la machine virtuelle XEN (séance 2)==<br /> <br /> '''Connexion au serveur hébergeant les VM :'''<br /> ssh root@capbreton.plil.info<br /> <br /> '''Création de l'image de conifguration de la VM :'''<br /> <br /> xen-create-image --ip=193.48.57.105 --gateway=193.48.57.161 --netmask=255.255.255.0 --hostname=dio5 --dist=chimaera --dir=/usr/local/xen/<br /> <br /> /!\ Adresse ip provisoire car réseau 193.48.57.160/27 non créé pour le moment. Actuellement ip : 172.26.145.105 /!\<br /> <br /> '''Modification du fichier de config (image):'''<br /> /etc/xen/dio5.cfg --&gt; <br /> <br /> '''Création de la VM à partir de l'image précédemment créée :'''<br /> xen create dio5.cfg (en étant dans le dir /etc/xen/ évidemment)<br /> <br /> '''Lancement de la VM :'''<br /> xen console dio5<br /> login: root<br /> password: XXXXXX<br /> Vérifier avant que la machine a bien été lancée avec &lt;code&gt;xen create dio5.cfg&lt;/code&gt; par la commande &lt;code&gt;xen list&lt;/code&gt;<br /> <br /> ==Séance 3==<br /> ===Amélioration du coffre fort===<br /> Un dossier compressé est en bas de page<br /> <br /> ===Création des volumes virtuels===<br /> Sur Capbreton, on créé les LVM /home /var avec leurs systèmes de fichiers : <br /> <br /> &lt;code&gt;lvcreate -L10G -ndio5_home storage &lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_home&lt;/code&gt;<br /> <br /> &lt;code&gt;lvcreate -L5G -ndio5_var storage&lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_var&lt;/code&gt;<br /> <br /> Il faut changer le fichier de configuration (situé dans /etc/xen) et y ajouter ces deux lignes dans la partie &lt;code&gt;disk =&lt;/code&gt;<br /> <br /> 'phy:/dev/storage/dio5_home,xvdb1,w',<br /> 'phy:/dev/storage/dio5_var,xvdb2,w',<br /> Ainsi que modifier la ligne &lt;code&gt;vif&lt;/code&gt; comme suit :<br /> vif = [ 'mac=00:16:3E:7B:4D:A4,bridge=IMA5sc' ]<br /> <br /> On relance ensuite la machine avec &lt;code&gt;xen create&lt;/code&gt;. <br /> Pour monter les deux partitions, il faut ensuite modifier le fichier '''/etc/fstab''' comme suit :<br /> /dev/xvdb1 /home ext4 defaults 0 2<br /> /dev/xvdb2 /var ext4 defaults 0 2<br /> Pour que ces modificcations soient prises en compte :<br /> mount -a<br /> reboot<br /> <br /> ==Séance 4==<br /> ===Sécurisation par certificat TLS===<br /> Nous avons commencé par lancer la machine virtuelle qui était créée et configurée lors des séances précédentes. &lt;br/&gt;<br /> Ensuite nous avons acheté le nom de domaine ''' blanquette.site ''' via le fournisseur de nom de domaine GANDI. Ce nom de domaine servira par la suite pour héberger notre site web Apache. &lt;br/&gt;<br /> Pour sécuriser la connexion HTTPS sur Apache, il est nécessaire de créer une clé et un CSR. On utilise pour cela l'utilitaire OpenSSL et on exécute les commandes : &lt;br/&gt;<br /> apt install openssl<br /> openssl req -nodes -newkey rsa:2048 -sha256 -keyout myserver.key -out server.csr -utf8<br /> Pour valider cette demande de certificat et obtenir notre certificat TSL, nous avons également utilisé GANDI.&lt;br/&gt;<br /> <br /> ===Configuration du routeur de secours (Cisco 9200????)===<br /> Pendant que d'autres binômes s'occupaient de la configuration physique des routeurs (câblage), nous nous sommes occupés de configurer le routeur en E304. Pour cela, on accède à l'interface de configuration Cisco du routeur par port série, via minicom :&lt;br/&gt;<br /> minicom -os &quot;&quot;&quot;device:/dev/ttyUSB0, baudrate:9600, pas de contrôle de flux&quot;&quot;&quot;<br /> Depuis cette interface, création de 3 vlan et configuration des ports physiques associés pour répondre à l'architecture réseau demandée pour le TP :<br /> * Connexion entre le routeur et Capbreton sur le VLAN 2 :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 2<br /> routeur(vlan)#name Capb-E304<br /> routeur#exit<br /> routeur#int Te5/4<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 2<br /> Il restera ensuite à configurer ce vlan sur le réseau '''193.48.57.176/28'''<br /> <br /> * Connexion de redondance entre les deux routeurs :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 64<br /> routeur(vlan)#name INTERCO-E306/304<br /> Après le choix du port à connecter sur le routeur, il restera à attribuer ce port au vlan 64 en mode '''trunk'''.<br /> <br /> * Connexion entre le routeur et le SR2<br /> enable<br /> routeur#conf t<br /> routeur#vlan 531<br /> routeur(vlan)#name INTERCO-5A<br /> routeur#exit<br /> routeur#int Te5/5<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 531<br /> Il restera ensuite à configurer ce vlan sur le réseau '''192.168.222.72/29'''<br /> <br /> PHOTO A METTRE !!! &lt;br/&gt;<br /> Pour checker la configuration des vlan du routeur :<br /> routeur#show interfaces status<br /> ou :<br /> routeur#show interface vlan X<br /> <br /> <br /> ==Séance 5==<br /> <br /> Tout d'abord nous avons commencé à vérifer le fonctionnement de notre service SSH sur la machine Xen.<br /> Pour cela nous avons modifié en premier temps après avoir être connecté sur la machine virtuelle le fichier '''sshd_config''' situé dans :<br /> /etc/ssh<br /> comme suit :<br /> # Authentication:<br /> #LoginGraceTime 2m<br /> PermitRootLogin yes<br /> #StrictModes yes<br /> #MaxAuthTries 6<br /> #MaxSessions 10<br /> <br /> d'où nous avons décommenté la ligne de qui nous permet de se connecter en tant que root, ensuite nous avons lui donné cette permission par l'expression '''yes'''.<br /> <br /> Une fois que cette étape est faite, nous avons lancé dans le shell la commande suivante : <br /> root@dio5:~# service ssh restart<br /> Dans le but de prendre en compte les modifications faites.<br /> <br /> Pour vérfier la connexion en ssh, nous lançons depuis notre machine zabeth17 la commande suivante :<br /> root@zabeth17:~# ssh root@172.26.145.105<br /> <br /> '''Attribution de l'adresse IP à VLAN2''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 2<br /> routeur#ip address 193.48.57.178 255.255.255.240<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Attribution de l'adresse IP à VLAN531''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 531<br /> routeur#ip address 192.168.222.75 255.255.255.248<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Configuration et interconnection du port trunk'''<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> conf t<br /> int Te6/5<br /> switchport<br /> switchport trunk encapsulation dot1q<br /> switchport mode trunk<br /> end<br /> <br /> *Afin de sauvegarder ces configurations; on oublie pas de les écrire par la commande :<br /> write<br /> <br /> '''Changement de l'addresse IP de la machine Xen'''<br /> *Changement du Bridge de la machine :<br /> Dans la machine Xen, nous allons modifié le fichier de configuration de notre machine dio5 (situé à /etc/xen/dio5.cfg). Il est devenu comme suivant :<br /> <br /> vif = [ 'mac=00:16:3E:2B:B5:60,bridge=IMA5sc' ]<br /> <br /> Pour prendre les modifications en compte, nous avons arreté la machine xen puis nous l'avons redemaré depuis capbreton étant bien sur dans le repretoire /etc/xen: <br /> <br /> xen shutdown dio5<br /> xen create dio5.cfg <br /> <br /> <br /> <br /> Ensuite nous avons modifié l'addresse IP de la machine dans le fichier '''/etc/network/interfaces''' avec l'addresse IP suivante et la gateway qui correspond :<br /> address 193.48.57.182<br /> gateway 193.48.57.176<br /> Pour que les modifications réseaux seront prises en compte, nous exectutons les commandes suivantes dans la machine Xen: <br /> ifdown -a<br /> ifup -a<br /> <br /> <br /> '''HTTP'''<br /> Pour que notre VM soit accessible en HTTP, il lui faut un serveur HTPP installé. Dans la machine Xen : <br /> apt install apache2<br /> <br /> '''HTTPS'''<br /> L'achat du certificat SSL nous permet de sécuriser la connexion à notre serveur Apache en HTTPS. Pour cela :<br /> a2enmod ssl<br /> a2ensite default-ssl.conf<br /> service apache2 restart<br /> On modifie ensuite le fichier '''/etc/apache2/sites-enabled/default-ssl.conf''' de telle sorte à y renseigner le certificat SSL, le certificat intermédiaire et notre clé privée.<br /> Les certificats sont à télécharger sur Gandi et à transférer sur notre VM en scp.<br /> <br /> ==Séance 6==<br /> ==Serveur DNS==<br /> <br /> Tout d'abord, sur le site '''gandi''', dans la section Glue record, nous avons renseigné un nom de domaine &lt;code&gt;ns.bolognaise.site&lt;/code&gt;, et nous avons ajouté les adresses IPv4 et IPv6 associé à notre machine xen.<br /> IPv4 : 193.48.57.182<br /> IPv6 : 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> Ensuite dans la section NameServer nous avons ajouté un DNS secondaire &lt;code&gt;ns6.gandi.net&lt;/code&gt; dont son adresse IPv4 est la suivante : &lt;code&gt;217.70.177.40&lt;/code&gt;.<br /> <br /> Nous avons installé bind9 par &lt;code&gt;apt install bind9&lt;/code&gt;.<br /> <br /> '''Configuration du fichier d'option pour bind'''&lt;br/&gt;<br /> Modification du fichier &lt;code&gt;/etc/bind/named.conf.options&lt;/code&gt;<br /> <br /> <br /> options {<br /> directory &quot;/var/cache/bind&quot;;<br /> forwarders {<br /> 8.8.8.8;<br /> 4.4.2.2; //ou 8.8.4.4 <br /> };<br /> dnssec-validation auto;<br /> recursion yes;<br /> listen-on-v6 { any; };<br /> listen-on {any;};<br /> allow-recursion{trusted;};<br /> //allow-transfer{none;};<br /> };<br /> listen-on-v6 { any;}<br /> acl trusted{<br /> 193.48.57.182; //ns.bolognaise.net <br /> 217.70.177.40; //ns6.gandi.net<br /> };<br /> <br /> == Paramétrage routeur E304 ==<br /> Afin de finir la configuration du routeur en E304, il est nécessaire de mettre en place deux protocoles : &lt;br/&gt;&lt;br/&gt;<br /> '''OSBF''': partage de routes entre les deux routeurs<br /> En effet, l'objectif d'avoir 2 routeurs pour accéder au SR52 est d'avoir une redondance du réseau robuste aux pannes. Néanmoins, il faut pour cela que les deux routeurs connaissent chacun les tables de routages de l'autre. Ci-dessous la configuration OSBF du routeur E304 :<br /> router ospf 1<br /> router-id 192.162.222.6<br /> summary-address 192.168.0.0 255.255.0.0 not-advertise<br /> summary-address 193.48.57.176 255.255.255.240<br /> redistribute connected subnets ! subnets allowed<br /> redistribute static subnets route-map ospf ! subnets allowed<br /> network 192.168.222.72 0.0.0.7 area 20<br /> default-information originate<br /> Pour vérifier si le partage de routes est fonctionnel, on tape dans l'interface Cisco du routeur :<br /> do show ip route<br /> Si les routes du routeur en E306 s'affiche, c'est que le protocole a bien été configuré&lt;br/&gt;&lt;br/&gt;<br /> <br /> <br /> '''RIPv6''': <br /> La première est de permettre au routeur d'attribuer des adresses IPv6 aux différentes machines sur son réseau (Xen ...), un peu à la manière d'un DHCP. Ci-dessous la configuration :<br /> interface vlan 2 <br /> ipv6 enable<br /> ipv6 address 2001:660:4401:60b0::/64 eui-64<br /> ipv6 nd prefix 2001:660:4401:60b0::/64 1000 900<br /> ipv6 nd router-preference high<br /> !<br /> ipv6 unicast-routing<br /> <br /> La deuxième étape est d'activer le routage IPv6 entre les deux routeurs et de définir les priorités de route :<br /> ipv6 rip tpima5sc enable<br /> ipv6 router rip tpima5sc<br /> redistribute connected metric 1 XXXXXXXXX<br /> redistribute rip 1 metric 1<br /> redistribute static metric 1<br /> !<br /> Pour tester que le routage IPv6 est bien activé :<br /> do show ipv6 route<br /> <br /> '''VRRP''' :<br /> Pour rendre notre réseau plus robuste, on a finalement implémenté le protocole VRRP sur le routeur. On a simplement repris la configuration donnée dans le sujet de TP et adaptée à notre cas. Pour la priorité, nous avons indiqué :<br /> <br /> vrrp 1 priority 90<br /> De cette manière, on a définit le routeur en E304 de telle sorte à ce qu'il ne soit pas prioritaire par rapport au 6509E en E306, puisque ce dernier a été configuré avec une priorité de 100.<br /> <br /> ===Schéma ===<br /> Pour récapituler l'architecture réseau, on peut regrouper de nombreuses informations dans le schéma ci-dessous :<br /> <br /> [[Fichier:reseau_dio5_1.JPG|350px]]<br /> <br /> = Séance 7 (dernière séance)=<br /> ==Suite DNS==<br /> Fin de la configuration des fichiers DNS '''/etc/bind/named.conf.options''' , '''/etc/bind/named.conf.options.local''' et <br /> <br /> Génération des clés dnssec dans un répertoire '''/etc/bind/bolognaise.site.dnssec'''<br /> <br /> Une fois que le fichier '''/etc/bind/named.conf.options''' est rempli d'une manière à configurer notre DNS, nous avons mis en place une configuration des '''forward''' et des '''zones''' comme suit :<br /> <br /> Dans le fichier '''/etc/bind/named.conf.local''' : <br /> <br /> zone &quot;57.48.193.in-addr.arpa&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.193.48.57&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> zone &quot;bolognaise.site&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.bolognaise.site&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> Une fois que les paramètres sont ajoutés dans le fichier de configurations, nous avons créé ensuite les fichiers de zones comme suit:<br /> <br /> cp /etc/bind/db.local /etc/bind/db.bolognaise.site<br /> Cette commande va nous permettre de copier le contenu du fichier '''db.local''' dans le fichier '''db.bolognaise.site''' et qui sera créé en même temps.<br /> voici le contenu des fichiers '''/etc/bind/db.local''' et '''/etc/bind/db.bolognaise.site''' avant la configuration :<br /> <br /> ;<br /> ; BIND data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA localhost. root.localhost. (<br /> 2 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> ;<br /> @ IN NS localhost.<br /> @ IN A 127.0.0.1<br /> @ IN AAAA ::1<br /> <br /> Maintenant nous allons modifié le fichier '''/etc/bind/db.bolognaise.site'''<br /> <br /> ;<br /> ; BIND data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA ns.bolognaise.site. root.bolognaise.site. (<br /> 4 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> ;<br /> @ IN NS ns.bolognaise.site.<br /> @ IN NS ns6.gandi.net.<br /> @ IN A 193.48.57.182<br /> @ IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4 ;addresse IPV6 de dio5<br /> ns IN A 193.48.57.182<br /> ns IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> www IN A 193.48.57.182<br /> www IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> <br /> Pour que les modifications seront prises en compte :<br /> service named restart<br /> <br /> Nous faisions un test pour vérifer la fonctionalité de la forward zone :<br /> <br /> root@dio5:~# host bolognaise.site localhost<br /> Using domain server:<br /> Name: localhost<br /> Address: 127.0.0.1#53<br /> Aliases:<br /> <br /> bolognaise.site has address 193.48.57.182<br /> bolognaise.site has IPv6 address 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> <br /> Ensuite nous allons faire la même démarche pour la '''reverse zone''', où on commence par la copie du fichier comme suit : <br /> cp /etc/bind/db.127 /etc/bind/db.193.48.57 <br /> <br /> Voici le contenu du fichier '''/etc/bind/db.127''' :<br /> <br /> ;<br /> ; BIND reverse data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA localhost. root.localhost. (<br /> 1 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> ;<br /> @ IN NS localhost.<br /> 1.0.0 IN PTR localhost.<br /> <br /> <br /> Nous allons configuré le fichier '''/etc/bind/db.193.48.57''' de la façon suivante : <br /> <br /> ;<br /> ; BIND reverse data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA ns.bolognaise.site. root.bolognaise.site. (<br /> 1 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS ns.bolognaise.site.<br /> 182 IN PTR ns.bolognaise.site.<br /> <br /> <br /> Pour que les modifications seront prises en compte :<br /> service named restart<br /> <br /> Voici un test pour la reverse zone : <br /> root@dio5:~# host 193.48.57.182 localhost<br /> Using domain server:<br /> Name: localhost<br /> Address: 127.0.0.1#53<br /> Aliases:<br /> <br /> 182.57.48.193.in-addr.arpa domain name pointer ns.bolognaise.site.<br /> Notre DNS étant maintenant fonctionnel, nous avons pu refaire la demande sur Gandi pour les serveurs externes IPv4 et IPv6, pour rappel : ''' ns.bolognaise.site et ns6.gandi.net'''<br /> <br /> == Sécurisation du DNS par DNSSEC ==<br /> Pour sécuriser notre DNS par DNSSEC, nous aurons besions des clés DNSSEC, que nous allons les ranger dans le répertoire suivant : <br /> <br /> /etc/bind/bolognaise.site.dnssec<br /> <br /> Ensuite nous allons créé les clés DNSSEC :<br /> <br /> * '''KSK (Key Signing Key)'''<br /> dnssec-keygen -a RSASHA1 -b 2048 -f KSK -n ZONE bolognaise.site<br /> * '''ZSK (Zone Signing Key)'''<br /> dnssec-keygen -a RSASHA1 -b 1024 -n ZONE bolognaise.site<br /> Puis nous injectons les clés KSK et ZSK (Privées et Publiques) dans les fichiers qui leurs corresponds : <br /> <br /> mv ./Kbolognaise.site.+005+14017.key ./bolognaise.site-zsk.key<br /> mv ./Kbolognaise.site.+005+19378.private ./bolognaise.site-zsk.private<br /> mv ./Kbolognaise.site.+005+13782.private ./bolognaise.site-ksk.private<br /> mv ./Kbolognaise.site.+005+02617.key ./bolognaise.site-ksk.key<br /> <br /> On n'oublie pas de mettre la clé publique '''KSK sur gandi''', en prenant l'algorithme de '''RSA/SHA1'''.<br /> <br /> Dans le fichier '''/etc/bind/named.conf.options''' on ajoute le ligne suivante pour activer le dnssec :<br /> dnssec-enable yes;<br /> <br /> Ensuite nous allons modifié du nouveau le fichier '''/etc/bind/named.conf.local''' <br /> en ajoutant le champs '''signed''': <br /> zone &quot;bolognaise.site&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.bolognaise.site.signed&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> zone &quot;57.48.193.in-addr.arpa&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.193.48.57&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> Cela va impliquer la prise en compte des fichiers des zones.<br /> Après nous allons inclure les clés que nous l'avons créé dans le fichier '''/etc/bind/db.bolognaise.site'''<br /> <br /> *Pour la clé ZSK : <br /> $INCLUDE &quot;/etc/bind/bolognaise.site.dnssec/bolognaise.site-zsk.key&quot;;<br /> *Pour la clé KSK : <br /> $INCLUDE &quot;/etc/bind/bolognaise.site.dnssec/bolognaise.site-ksk.key&quot;;<br /> <br /> Et pour terminer, nous avons signé le fichier de zone comme suivant :<br /> dnssec-signzone -k bolognaise.site-ksk.key -o bolognaise.site ../db.bolognaise.site bolognaise.site-zsk.key<br /> <br /> == Modification du html de notre serveur pour ajouter une photo de BOLOGNAISE ==<br /> <br /> Dans le fichier &lt;code&gt;/var/www/html/index.html&lt;/code&gt;, nous avons modifié le code source de la page de notre site &lt;br/&gt; d'une façon à avoir l'image de bolognaise qui s'affiche. Voici le code HTML : <br /> <br /> <br /> &lt;!DOCTYPE html PUBLIC &quot;-//W3C//DTD XHTML 1.0 Transitional//EN&quot; &quot;http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd&quot;&gt;<br /> &lt;html xmlns=&quot;http://www.w3.org/1999/xhtml&quot;&gt;<br /> &lt;head&gt;<br /> &lt;meta http-equiv=&quot;Content-Type&quot; content=&quot;text/html; charset=UTF-8&quot; /&gt;<br /> &lt;title&gt;NOS Bolognaises !!!&lt;/title&gt;<br /> &lt;/head&gt;<br /> <br /> &lt;style&gt;<br /> img{<br /> height:70vh;<br /> margin:auto;<br /> display:block;<br /> }<br /> <br /> &lt;/style&gt;<br /> &lt;body&gt;<br /> &lt;img src=&quot;bolognaise.jpg&quot;&gt;<br /> &lt;a href=&quot;portail.polytech-lille.fr&quot;&gt;ICI polytech&lt;/a&gt;<br /> &lt;/body&gt;<br /> &lt;/html&gt;<br /> <br /> Si on écrit dans un navigateur : &lt;code&gt;https://bolognaise.site&lt;/code&gt; on peut arriver directement dans notre site.<br /> <br /> ==Gestion de fail2ban==<br /> Nous avons commencé par installer la commande '''fail2ban''' : <br /> <br /> apt install fail2ban<br /> <br /> Puis nous avons activé le fil2ban comme suivant :<br /> <br /> root@dio5:~# service fail2ban active<br /> Usage: /etc/init.d/fail2ban {start|force-start|stop|restart|force reload|status}<br /> root@dio5:~# service fail2ban enable<br /> Usage: /etc/init.d/fail2ban {start|force-start|stop|restart|force-reload|status}<br /> <br /> Nous regardons le status du fail2ban : <br /> <br /> root@dio5:~# service fail2ban status<br /> Status of Authentication failure monitor:fail2ban is running.<br /> <br /> Dans le fichier '''/etc/fail2ban/jail.d/defaults-debian.conf''' nous activons le '''name refused''' en ajoutant les 2 lignes suivantes : <br /> [named-refused]<br /> enabled = true<br /> <br /> Dans le fichier '''/etc/bind/named.conf.options''', on va allumer le service de loggin de named-refused, qui est par défault éteint, pour cela nous ajoutant ce bloc : <br /> <br /> logging {<br /> <br /> channel security_file{<br /> file &quot;/var/log/named/security.log&quot; versions 3 size 30m;<br /> severity dynamic;<br /> print-time yes;<br /> };<br /> category security{<br /> security_file;<br /> };<br /> <br /> Dans le fichier '''/etc/bind/named.conf.options''' nous allons définir le nombre max de reponses par seconde que le server peut l'accepter avant de faire le ban, pour cela on ajoute le bloc suivant : <br /> <br /> rate-limit{<br /> responses-per-second 5;<br /> };<br /> <br /> Le nombre max des reponses par seconde est fixé à 5.<br /> <br /> Comme que nous allons écrire dans le fichier '''security.log''' et que ce fichier n'existe pas, donc nous allons le créer et créer les dossiers qui correspondent :<br /> *Création du dossier '''named''': <br /> mkdir /var/log/named<br /> *Création du fichier '''security.log''' qui vide au départ:<br /> touch security.log étant dans le dossier /var/log/named<br /> <br /> Et comme que ce dossier &lt;code&gt;named/&lt;/code&gt; appartient au service bind (named) donc il était nécessaire de lui associé un '''owner''' qui est le bind9 :<br /> <br /> *Etant dans le dossier /var/log : <br /> chown bind named/<br /> chown bind named/security.log<br /> <br /> Pour vérifier la prise en compte des changement : <br /> <br /> root@dio5:~# ls -l /var/log/ | grep named<br /> drwxr-xr-x 2 bind root 4096 Nov 30 09:56 named<br /> root@dio5:~# ls -l /var/log/named/<br /> total 12<br /> -rw-r--r-- 1 bind root 10898 Dec 7 17:43 security.log<br /> <br /> On restart les services pour prendre en compte les modifications: <br /> service named restart<br /> <br /> == Mise en place d'un RAID 5==<br /> Dans le but de rendre les données de notre VM sécurisées (résilience aux problèmes hardware de disque), nous mettons en place une configuration RAID 5. Pour cela :<br /> Création de 3 partitions LVM de 1Go sur capbreton :<br /> lvcreate -L1G -nbolo-raid1 storage<br /> lvcreate -L1G -nbolo-raid2 storage<br /> lvcreate -L1G -nbolo-raid3 storage<br /> Il faut évidemment modifier le fichier de configuration (/etc/xen/dio5.cfg) de notre VM en conséquence pour rattacher ces 3 partitions dans la partie &lt;code&gt;disk&lt;/code&gt;:<br /> 'phy:/dev/storage/bolo-raidX,xvdb3,w' en répétant cette ligne pour X variant de 1 à 3<br /> On redémarre ensuite la VM :<br /> halt<br /> Puis sur capbreton on exécute :<br /> xen-create-image dio5.cfg<br /> xen console dio5<br /> On peut maintenant créer depuis la xen le système RAID5:<br /> mdadm --create /dev/md0 --level=5 --raid-devices 3 /dev/xvdb3 /dev/xvdb4 /dev/xvdb5<br /> mkfs /dev/md0 ''création du système de fichiers''<br /> mount /dev/md0 /mnt ''on monte le disque RAID5''<br /> Rappel des commandes utiles :<br /> lsblk : affiche la liste et les caractéristiques tous les disques et leurs partitions <br /> df : affiche la valeur d'espace disque disponible des systèmes de fichier disponibles en écriture pour le user<br /> === Test de résistance de notre RAID 5 ===<br /> On commence par enregistrer un fichier sur notre partition dans /mnt :<br /> cd /mnt ; echo &quot;Test résistance RAID5&quot; &gt; test.txt<br /> Pour simuler un cas de défaillance d'un des 3 disques, on commente dans le fichier de configuration de la xen une des lignes correspondant à un des 3 disques, puis on reboot la xen.<br /> Une fois démarrée, on peut vérifier que la reconstruction des données à bien fonctionné simplement en exécutant :<br /> cd /mnt ; cat test.txt<br /> Ce qui nous donne en sortie dans la console :<br /> Test résistantce RAID5<br /> Notre système RAID5 est donc fonctionnel.<br /> <br /> == Cassage de mot de passe WEP ==<br /> A COMPLETER<br /> <br /> == Cassage de mot de passe WPA-PSK par brut force==<br /> A COMPLETER + photo<br /> <br /> =Coffre Fort=<br /> <br /> [[Fichier:Coffre_secret2.zip]]</div>

Ylacroix https://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA5_2022/2023_G5&diff=60667 2022-12-07T23:55:51Z

<p>Ylacroix : /* Mise en place d'un RAID 5 */</p> <hr /> <div>=Installation de l'OS=<br /> <br /> Devuan Chimaera (netinstall) sur les zabeth 17 et 11<br /> <br /> ==Configuration réseau==<br /> *IP machine : 172.26.145.50+n°zabeth/24<br /> *DNS : 193.48.57.48<br /> *Domain name : plil.info<br /> *Routeur : 172.26.145.254<br /> *Proxy : http://proxy.polyetch-lille.fr:3128<br /> <br /> <br /> *mdp dio5 : XXXXXX<br /> <br /> =Ansible=<br /> Prérequis:<br /> *python<br /> *pip<br /> *ansible<br /> Rédaction du script ansible pour le Screen Saver (.yml)<br /> <br /> Tâches accomplies : <br /> * Suppression des animations de veille d'écran<br /> <br /> Tâches restantes : <br /> * Fixer une animation lente pour la veille<br /> * Eteindre complétement l'écran au bout d'un certain temps (1 heure)<br /> <br /> =Réalisation=<br /> ==Installation de la machine virtuelle XEN (séance 2)==<br /> <br /> '''Connexion au serveur hébergeant les VM :'''<br /> ssh root@capbreton.plil.info<br /> <br /> '''Création de l'image de conifguration de la VM :'''<br /> <br /> xen-create-image --ip=193.48.57.105 --gateway=193.48.57.161 --netmask=255.255.255.0 --hostname=dio5 --dist=chimaera --dir=/usr/local/xen/<br /> <br /> /!\ Adresse ip provisoire car réseau 193.48.57.160/27 non créé pour le moment. Actuellement ip : 172.26.145.105 /!\<br /> <br /> '''Modification du fichier de config (image):'''<br /> /etc/xen/dio5.cfg --&gt; <br /> <br /> '''Création de la VM à partir de l'image précédemment créée :'''<br /> xen create dio5.cfg (en étant dans le dir /etc/xen/ évidemment)<br /> <br /> '''Lancement de la VM :'''<br /> xen console dio5<br /> login: root<br /> password: XXXXXX<br /> Vérifier avant que la machine a bien été lancée avec &lt;code&gt;xen create dio5.cfg&lt;/code&gt; par la commande &lt;code&gt;xen list&lt;/code&gt;<br /> <br /> ==Séance 3==<br /> ===Amélioration du coffre fort===<br /> Un dossier compressé est en bas de page<br /> <br /> ===Création des volumes virtuels===<br /> Sur Capbreton, on créé les LVM /home /var avec leurs systèmes de fichiers : <br /> <br /> &lt;code&gt;lvcreate -L10G -ndio5_home storage &lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_home&lt;/code&gt;<br /> <br /> &lt;code&gt;lvcreate -L5G -ndio5_var storage&lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_var&lt;/code&gt;<br /> <br /> Il faut changer le fichier de configuration (situé dans /etc/xen) et y ajouter ces deux lignes dans la partie &lt;code&gt;disk =&lt;/code&gt;<br /> <br /> 'phy:/dev/storage/dio5_home,xvdb1,w',<br /> 'phy:/dev/storage/dio5_var,xvdb2,w',<br /> Ainsi que modifier la ligne &lt;code&gt;vif&lt;/code&gt; comme suit :<br /> vif = [ 'mac=00:16:3E:7B:4D:A4,bridge=IMA5sc' ]<br /> <br /> On relance ensuite la machine avec &lt;code&gt;xen create&lt;/code&gt;. <br /> Pour monter les deux partitions, il faut ensuite modifier le fichier '''/etc/fstab''' comme suit :<br /> /dev/xvdb1 /home ext4 defaults 0 2<br /> /dev/xvdb2 /var ext4 defaults 0 2<br /> Pour que ces modificcations soient prises en compte :<br /> mount -a<br /> reboot<br /> <br /> ==Séance 4==<br /> ===Sécurisation par certificat TLS===<br /> Nous avons commencé par lancer la machine virtuelle qui était créée et configurée lors des séances précédentes. &lt;br/&gt;<br /> Ensuite nous avons acheté le nom de domaine ''' blanquette.site ''' via le fournisseur de nom de domaine GANDI. Ce nom de domaine servira par la suite pour héberger notre site web Apache. &lt;br/&gt;<br /> Pour sécuriser la connexion HTTPS sur Apache, il est nécessaire de créer une clé et un CSR. On utilise pour cela l'utilitaire OpenSSL et on exécute les commandes : &lt;br/&gt;<br /> apt install openssl<br /> openssl req -nodes -newkey rsa:2048 -sha256 -keyout myserver.key -out server.csr -utf8<br /> Pour valider cette demande de certificat et obtenir notre certificat TSL, nous avons également utilisé GANDI.&lt;br/&gt;<br /> <br /> ===Configuration du routeur de secours (Cisco 9200????)===<br /> Pendant que d'autres binômes s'occupaient de la configuration physique des routeurs (câblage), nous nous sommes occupés de configurer le routeur en E304. Pour cela, on accède à l'interface de configuration Cisco du routeur par port série, via minicom :&lt;br/&gt;<br /> minicom -os &quot;&quot;&quot;device:/dev/ttyUSB0, baudrate:9600, pas de contrôle de flux&quot;&quot;&quot;<br /> Depuis cette interface, création de 3 vlan et configuration des ports physiques associés pour répondre à l'architecture réseau demandée pour le TP :<br /> * Connexion entre le routeur et Capbreton sur le VLAN 2 :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 2<br /> routeur(vlan)#name Capb-E304<br /> routeur#exit<br /> routeur#int Te5/4<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 2<br /> Il restera ensuite à configurer ce vlan sur le réseau '''193.48.57.176/28'''<br /> <br /> * Connexion de redondance entre les deux routeurs :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 64<br /> routeur(vlan)#name INTERCO-E306/304<br /> Après le choix du port à connecter sur le routeur, il restera à attribuer ce port au vlan 64 en mode '''trunk'''.<br /> <br /> * Connexion entre le routeur et le SR2<br /> enable<br /> routeur#conf t<br /> routeur#vlan 531<br /> routeur(vlan)#name INTERCO-5A<br /> routeur#exit<br /> routeur#int Te5/5<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 531<br /> Il restera ensuite à configurer ce vlan sur le réseau '''192.168.222.72/29'''<br /> <br /> PHOTO A METTRE !!! &lt;br/&gt;<br /> Pour checker la configuration des vlan du routeur :<br /> routeur#show interfaces status<br /> ou :<br /> routeur#show interface vlan X<br /> <br /> <br /> ==Séance 5==<br /> <br /> Tout d'abord nous avons commencé à vérifer le fonctionnement de notre service SSH sur la machine Xen.<br /> Pour cela nous avons modifié en premier temps après avoir être connecté sur la machine virtuelle le fichier '''sshd_config''' situé dans :<br /> /etc/ssh<br /> comme suit :<br /> # Authentication:<br /> #LoginGraceTime 2m<br /> PermitRootLogin yes<br /> #StrictModes yes<br /> #MaxAuthTries 6<br /> #MaxSessions 10<br /> <br /> d'où nous avons décommenté la ligne de qui nous permet de se connecter en tant que root, ensuite nous avons lui donné cette permission par l'expression '''yes'''.<br /> <br /> Une fois que cette étape est faite, nous avons lancé dans le shell la commande suivante : <br /> root@dio5:~# service ssh restart<br /> Dans le but de prendre en compte les modifications faites.<br /> <br /> Pour vérfier la connexion en ssh, nous lançons depuis notre machine zabeth17 la commande suivante :<br /> root@zabeth17:~# ssh root@172.26.145.105<br /> <br /> '''Attribution de l'adresse IP à VLAN2''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 2<br /> routeur#ip address 193.48.57.178 255.255.255.240<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Attribution de l'adresse IP à VLAN531''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 531<br /> routeur#ip address 192.168.222.75 255.255.255.248<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Configuration et interconnection du port trunk'''<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> conf t<br /> int Te6/5<br /> switchport<br /> switchport trunk encapsulation dot1q<br /> switchport mode trunk<br /> end<br /> <br /> *Afin de sauvegarder ces configurations; on oublie pas de les écrire par la commande :<br /> write<br /> <br /> '''Changement de l'addresse IP de la machine Xen'''<br /> *Changement du Bridge de la machine :<br /> Dans la machine Xen, nous allons modifié le fichier de configuration de notre machine dio5 (situé à /etc/xen/dio5.cfg). Il est devenu comme suivant :<br /> <br /> vif = [ 'mac=00:16:3E:2B:B5:60,bridge=IMA5sc' ]<br /> <br /> Pour prendre les modifications en compte, nous avons arreté la machine xen puis nous l'avons redemaré depuis capbreton étant bien sur dans le repretoire /etc/xen: <br /> <br /> xen shutdown dio5<br /> xen create dio5.cfg <br /> <br /> <br /> <br /> Ensuite nous avons modifié l'addresse IP de la machine dans le fichier '''/etc/network/interfaces''' avec l'addresse IP suivante et la gateway qui correspond :<br /> address 193.48.57.182<br /> gateway 193.48.57.176<br /> Pour que les modifications réseaux seront prises en compte, nous exectutons les commandes suivantes dans la machine Xen: <br /> ifdown -a<br /> ifup -a<br /> <br /> <br /> '''HTTP'''<br /> Pour que notre VM soit accessible en HTTP, il lui faut un serveur HTPP installé. Dans la machine Xen : <br /> apt install apache2<br /> <br /> '''HTTPS'''<br /> L'achat du certificat SSL nous permet de sécuriser la connexion à notre serveur Apache en HTTPS. Pour cela :<br /> a2enmod ssl<br /> a2ensite default-ssl.conf<br /> service apache2 restart<br /> On modifie ensuite le fichier '''/etc/apache2/sites-enabled/default-ssl.conf''' de telle sorte à y renseigner le certificat SSL, le certificat intermédiaire et notre clé privée.<br /> Les certificats sont à télécharger sur Gandi et à transférer sur notre VM en scp.<br /> <br /> ==Séance 6==<br /> ==Serveur DNS==<br /> <br /> Tout d'abord, sur le site '''gandi''', dans la section Glue record, nous avons renseigné un nom de domaine &lt;code&gt;ns.bolognaise.site&lt;/code&gt;, et nous avons ajouté les adresses IPv4 et IPv6 associé à notre machine xen.<br /> IPv4 : 193.48.57.182<br /> IPv6 : 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> Ensuite dans la section NameServer nous avons ajouté un DNS secondaire &lt;code&gt;ns6.gandi.net&lt;/code&gt; dont son adresse IPv4 est la suivante : &lt;code&gt;217.70.177.40&lt;/code&gt;.<br /> <br /> Nous avons installé bind9 par &lt;code&gt;apt install bind9&lt;/code&gt;.<br /> <br /> '''Configuration du fichier d'option pour bind'''&lt;br/&gt;<br /> Modification du fichier &lt;code&gt;/etc/bind/named.conf.options&lt;/code&gt;<br /> <br /> <br /> options {<br /> directory &quot;/var/cache/bind&quot;;<br /> forwarders {<br /> 8.8.8.8;<br /> 4.4.2.2; //ou 8.8.4.4 <br /> };<br /> dnssec-validation auto;<br /> recursion yes;<br /> listen-on-v6 { any; };<br /> listen-on {any;};<br /> allow-recursion{trusted;};<br /> //allow-transfer{none;};<br /> };<br /> listen-on-v6 { any;}<br /> acl trusted{<br /> 193.48.57.182; //ns.bolognaise.net <br /> 217.70.177.40; //ns6.gandi.net<br /> };<br /> <br /> == Paramétrage routeur E304 ==<br /> Afin de finir la configuration du routeur en E304, il est nécessaire de mettre en place deux protocoles : &lt;br/&gt;&lt;br/&gt;<br /> '''OSBF''': partage de routes entre les deux routeurs<br /> En effet, l'objectif d'avoir 2 routeurs pour accéder au SR52 est d'avoir une redondance du réseau robuste aux pannes. Néanmoins, il faut pour cela que les deux routeurs connaissent chacun les tables de routages de l'autre. Ci-dessous la configuration OSBF du routeur E304 :<br /> router ospf 1<br /> router-id 192.162.222.6<br /> summary-address 192.168.0.0 255.255.0.0 not-advertise<br /> summary-address 193.48.57.176 255.255.255.240<br /> redistribute connected subnets ! subnets allowed<br /> redistribute static subnets route-map ospf ! subnets allowed<br /> network 192.168.222.72 0.0.0.7 area 20<br /> default-information originate<br /> Pour vérifier si le partage de routes est fonctionnel, on tape dans l'interface Cisco du routeur :<br /> do show ip route<br /> Si les routes du routeur en E306 s'affiche, c'est que le protocole a bien été configuré&lt;br/&gt;&lt;br/&gt;<br /> <br /> <br /> '''RIPv6''': <br /> La première est de permettre au routeur d'attribuer des adresses IPv6 aux différentes machines sur son réseau (Xen ...), un peu à la manière d'un DHCP. Ci-dessous la configuration :<br /> interface vlan 2 <br /> ipv6 enable<br /> ipv6 address 2001:660:4401:60b0::/64 eui-64<br /> ipv6 nd prefix 2001:660:4401:60b0::/64 1000 900<br /> ipv6 nd router-preference high<br /> !<br /> ipv6 unicast-routing<br /> <br /> La deuxième étape est d'activer le routage IPv6 entre les deux routeurs et de définir les priorités de route :<br /> ipv6 rip tpima5sc enable<br /> ipv6 router rip tpima5sc<br /> redistribute connected metric 1 XXXXXXXXX<br /> redistribute rip 1 metric 1<br /> redistribute static metric 1<br /> !<br /> Pour tester que le routage IPv6 est bien activé :<br /> do show ipv6 route<br /> <br /> '''VRRP''' :<br /> Pour rendre notre réseau plus robuste, on a finalement implémenté le protocole VRRP sur le routeur. On a simplement repris la configuration donnée dans le sujet de TP et adaptée à notre cas. Pour la priorité, nous avons indiqué :<br /> <br /> vrrp 1 priority 90<br /> De cette manière, on a définit le routeur en E304 de telle sorte à ce qu'il ne soit pas prioritaire par rapport au 6509E en E306, puisque ce dernier a été configuré avec une priorité de 100.<br /> <br /> ===Schéma ===<br /> Pour récapituler l'architecture réseau, on peut regrouper de nombreuses informations dans le schéma ci-dessous :<br /> <br /> [[Fichier:reseau_dio5_1.JPG|350px]]<br /> <br /> = Séance 7 (dernière séance)=<br /> ==Suite DNS==<br /> Fin de la configuration des fichiers DNS '''/etc/bind/named.conf.options''' , '''/etc/bind/named.conf.options.local''' et <br /> <br /> Génération des clés dnssec dans un répertoire '''/etc/bind/bolognaise.site.dnssec'''<br /> <br /> Une fois que le fichier '''/etc/bind/named.conf.options''' est rempli d'une manière à configurer notre DNS, nous avons mis en place une configuration des '''forward''' et des '''zones''' comme suit :<br /> <br /> Dans le fichier '''/etc/bind/named.conf.local''' : <br /> <br /> zone &quot;57.48.193.in-addr.arpa&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.193.48.57&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> zone &quot;bolognaise.site&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.bolognaise.site&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> Une fois que les paramètres sont ajoutés dans le fichier de configurations, nous avons créé ensuite les fichiers de zones comme suit:<br /> <br /> cp /etc/bind/db.local /etc/bind/db.bolognaise.site<br /> Cette commande va nous permettre de copier le contenu du fichier '''db.local''' dans le fichier '''db.bolognaise.site''' et qui sera créé en même temps.<br /> voici le contenu des fichiers '''/etc/bind/db.local''' et '''/etc/bind/db.bolognaise.site''' avant la configuration :<br /> <br /> ;<br /> ; BIND data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA localhost. root.localhost. (<br /> 2 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> ;<br /> @ IN NS localhost.<br /> @ IN A 127.0.0.1<br /> @ IN AAAA ::1<br /> <br /> Maintenant nous allons modifié le fichier '''/etc/bind/db.bolognaise.site'''<br /> <br /> ;<br /> ; BIND data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA ns.bolognaise.site. root.bolognaise.site. (<br /> 4 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> ;<br /> @ IN NS ns.bolognaise.site.<br /> @ IN NS ns6.gandi.net.<br /> @ IN A 193.48.57.182<br /> @ IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4 ;addresse IPV6 de dio5<br /> ns IN A 193.48.57.182<br /> ns IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> www IN A 193.48.57.182<br /> www IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> <br /> Pour que les modifications seront prises en compte :<br /> service named restart<br /> <br /> Nous faisions un test pour vérifer la fonctionalité de la forward zone :<br /> <br /> root@dio5:~# host bolognaise.site localhost<br /> Using domain server:<br /> Name: localhost<br /> Address: 127.0.0.1#53<br /> Aliases:<br /> <br /> bolognaise.site has address 193.48.57.182<br /> bolognaise.site has IPv6 address 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> <br /> Ensuite nous allons faire la même démarche pour la '''reverse zone''', où on commence par la copie du fichier comme suit : <br /> cp /etc/bind/db.127 /etc/bind/db.193.48.57 <br /> <br /> Voici le contenu du fichier '''/etc/bind/db.127''' :<br /> <br /> ;<br /> ; BIND reverse data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA localhost. root.localhost. (<br /> 1 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> ;<br /> @ IN NS localhost.<br /> 1.0.0 IN PTR localhost.<br /> <br /> <br /> Nous allons configuré le fichier '''/etc/bind/db.193.48.57''' de la façon suivante : <br /> <br /> ;<br /> ; BIND reverse data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA ns.bolognaise.site. root.bolognaise.site. (<br /> 1 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS ns.bolognaise.site.<br /> 182 IN PTR ns.bolognaise.site.<br /> <br /> <br /> Pour que les modifications seront prises en compte :<br /> service named restart<br /> <br /> Voici un test pour la reverse zone : <br /> root@dio5:~# host 193.48.57.182 localhost<br /> Using domain server:<br /> Name: localhost<br /> Address: 127.0.0.1#53<br /> Aliases:<br /> <br /> 182.57.48.193.in-addr.arpa domain name pointer ns.bolognaise.site.<br /> Notre DNS étant maintenant fonctionnel, nous avons pu refaire la demande sur Gandi pour les serveurs externes IPv4 et IPv6, pour rappel : ''' ns.bolognaise.site et ns6.gandi.net'''<br /> <br /> == Sécurisation du DNS par DNSSEC ==<br /> Pour sécuriser notre DNS par DNSSEC, nous aurons besions des clés DNSSEC, que nous allons les ranger dans le répertoire suivant : <br /> <br /> /etc/bind/bolognaise.site.dnssec<br /> <br /> Ensuite nous allons créé les clés DNSSEC :<br /> <br /> * '''KSK (Key Signing Key)'''<br /> dnssec-keygen -a RSASHA1 -b 2048 -f KSK -n ZONE bolognaise.site<br /> * '''ZSK (Zone Signing Key)'''<br /> dnssec-keygen -a RSASHA1 -b 1024 -n ZONE bolognaise.site<br /> Puis nous injectons les clés KSK et ZSK (Privées et Publiques) dans les fichiers qui leurs corresponds : <br /> <br /> mv ./Kbolognaise.site.+005+14017.key ./bolognaise.site-zsk.key<br /> mv ./Kbolognaise.site.+005+19378.private ./bolognaise.site-zsk.private<br /> mv ./Kbolognaise.site.+005+13782.private ./bolognaise.site-ksk.private<br /> mv ./Kbolognaise.site.+005+02617.key ./bolognaise.site-ksk.key<br /> <br /> On n'oublie pas de mettre la clé publique '''KSK sur gandi''', en prenant l'algorithme de '''RSA/SHA1'''.<br /> <br /> Dans le fichier '''/etc/bind/named.conf.options''' on ajoute le ligne suivante pour activer le dnssec :<br /> dnssec-enable yes;<br /> <br /> Ensuite nous allons modifié du nouveau le fichier '''/etc/bind/named.conf.local''' <br /> en ajoutant le champs '''signed''': <br /> zone &quot;bolognaise.site&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.bolognaise.site.signed&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> zone &quot;57.48.193.in-addr.arpa&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.193.48.57&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> Cela va impliquer la prise en compte des fichiers des zones.<br /> Après nous allons inclure les clés que nous l'avons créé dans le fichier '''/etc/bind/db.bolognaise.site'''<br /> <br /> *Pour la clé ZSK : <br /> $INCLUDE &quot;/etc/bind/bolognaise.site.dnssec/bolognaise.site-zsk.key&quot;;<br /> *Pour la clé KSK : <br /> $INCLUDE &quot;/etc/bind/bolognaise.site.dnssec/bolognaise.site-ksk.key&quot;;<br /> <br /> Et pour terminer, nous avons signé le fichier de zone comme suivant :<br /> dnssec-signzone -k bolognaise.site-ksk.key -o bolognaise.site ../db.bolognaise.site bolognaise.site-zsk.key<br /> <br /> == Modification du html de notre serveur pour ajouter une photo de BOLOGNAISE ==<br /> <br /> Dans le fichier &lt;code&gt;/var/www/html/index.html&lt;/code&gt;, nous avons modifié le code source de la page de notre site &lt;br/&gt; d'une façon à avoir l'image de bolognaise qui s'affiche. Voici le code HTML : <br /> <br /> <br /> &lt;!DOCTYPE html PUBLIC &quot;-//W3C//DTD XHTML 1.0 Transitional//EN&quot; &quot;http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd&quot;&gt;<br /> &lt;html xmlns=&quot;http://www.w3.org/1999/xhtml&quot;&gt;<br /> &lt;head&gt;<br /> &lt;meta http-equiv=&quot;Content-Type&quot; content=&quot;text/html; charset=UTF-8&quot; /&gt;<br /> &lt;title&gt;NOS Bolognaises !!!&lt;/title&gt;<br /> &lt;/head&gt;<br /> <br /> &lt;style&gt;<br /> img{<br /> height:70vh;<br /> margin:auto;<br /> display:block;<br /> }<br /> <br /> &lt;/style&gt;<br /> &lt;body&gt;<br /> &lt;img src=&quot;bolognaise.jpg&quot;&gt;<br /> &lt;a href=&quot;portail.polytech-lille.fr&quot;&gt;ICI polytech&lt;/a&gt;<br /> &lt;/body&gt;<br /> &lt;/html&gt;<br /> <br /> Si on écrit dans un navigateur : &lt;code&gt;https://bolognaise.site&lt;/code&gt; on peut arriver directement dans notre site.<br /> <br /> ==Gestion de fail2ban==<br /> Nous avons commencé par installer la commande '''fail2ban''' : <br /> <br /> apt install fail2ban<br /> <br /> Puis nous avons activé le fil2ban comme suivant :<br /> <br /> root@dio5:~# service fail2ban active<br /> Usage: /etc/init.d/fail2ban {start|force-start|stop|restart|force reload|status}<br /> root@dio5:~# service fail2ban enable<br /> Usage: /etc/init.d/fail2ban {start|force-start|stop|restart|force-reload|status}<br /> <br /> Nous regardons le status du fail2ban : <br /> <br /> root@dio5:~# service fail2ban status<br /> Status of Authentication failure monitor:fail2ban is running.<br /> <br /> Dans le fichier '''/etc/fail2ban/jail.d/defaults-debian.conf''' nous activons le '''name refused''' en ajoutant les 2 lignes suivantes : <br /> [named-refused]<br /> enabled = true<br /> Dans le fichier '''/etc/bind/named.conf.options''' nous allons définir le nombre max de reponses par seconde que le server peut l'accepter avant de faire le ban, pour cela on ajoute le bloc suivant : <br /> <br /> rate-limit{<br /> responses-per-second 5;<br /> };<br /> Le nombre max des reponses par seconde est fixé à 5.<br /> <br /> Dans le même fichier, on va allumer le service de loggin de named-refused, qui est par défault éteint, pour cela nous ajoutant ce bloc : <br /> <br /> <br /> logging {<br /> <br /> channel security_file{<br /> file &quot;/var/log/named/security.log&quot; versions 3 size 30m;<br /> severity dynamic;<br /> print-time yes;<br /> };<br /> category security{<br /> security_file;<br /> };<br /> <br /> == Mise en place d'un RAID 5==<br /> Dans le but de rendre les données de notre VM sécurisées (résilience aux problèmes hardware de disque), nous mettons en place une configuration RAID 5. Pour cela :<br /> Création de 3 partitions LVM de 1Go sur capbreton :<br /> lvcreate -L1G -nbolo-raid1 storage<br /> lvcreate -L1G -nbolo-raid2 storage<br /> lvcreate -L1G -nbolo-raid3 storage<br /> Il faut évidemment modifier le fichier de configuration (/etc/xen/dio5.cfg) de notre VM en conséquence pour rattacher ces 3 partitions dans la partie &lt;code&gt;disk&lt;/code&gt;:<br /> 'phy:/dev/storage/bolo-raidX,xvdb3,w' en répétant cette ligne pour X variant de 1 à 3<br /> On redémarre ensuite la VM :<br /> halt<br /> Puis sur capbreton on exécute :<br /> xen-create-image dio5.cfg<br /> xen console dio5<br /> On peut maintenant créer depuis la xen le système RAID5:<br /> mdadm --create /dev/md0 --level=5 --raid-devices 3 /dev/xvdb3 /dev/xvdb4 /dev/xvdb5<br /> mkfs /dev/md0 ''création du système de fichiers''<br /> mount /dev/md0 /mnt ''on monte le disque RAID5''<br /> Rappel des commandes utiles :<br /> lsblk : affiche la liste et les caractéristiques tous les disques et leurs partitions <br /> df : affiche la valeur d'espace disque disponible des systèmes de fichier disponibles en écriture pour le user<br /> <br /> == Cassage de mot de passe WEP ==<br /> A COMPLETER<br /> <br /> == Cassage de mot de passe WPA-PSK par brut force==<br /> A COMPLETER + photo<br /> <br /> =Coffre Fort=<br /> <br /> [[Fichier:Coffre_secret2.zip]]</div>

Ylacroix https://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA5_2022/2023_G5&diff=60662 2022-12-07T23:47:24Z

<p>Ylacroix : /* Mise en place d'un disque en RAID 5 */</p> <hr /> <div>=Installation de l'OS=<br /> <br /> Devuan Chimaera (netinstall) sur les zabeth 17 et 11<br /> <br /> ==Configuration réseau==<br /> *IP machine : 172.26.145.50+n°zabeth/24<br /> *DNS : 193.48.57.48<br /> *Domain name : plil.info<br /> *Routeur : 172.26.145.254<br /> *Proxy : http://proxy.polyetch-lille.fr:3128<br /> <br /> <br /> *mdp dio5 : XXXXXX<br /> <br /> =Ansible=<br /> Prérequis:<br /> *python<br /> *pip<br /> *ansible<br /> Rédaction du script ansible pour le Screen Saver (.yml)<br /> <br /> Tâches accomplies : <br /> * Suppression des animations de veille d'écran<br /> <br /> Tâches restantes : <br /> * Fixer une animation lente pour la veille<br /> * Eteindre complétement l'écran au bout d'un certain temps (1 heure)<br /> <br /> =Réalisation=<br /> ==Installation de la machine virtuelle XEN (séance 2)==<br /> <br /> '''Connexion au serveur hébergeant les VM :'''<br /> ssh root@capbreton.plil.info<br /> <br /> '''Création de l'image de conifguration de la VM :'''<br /> <br /> xen-create-image --ip=193.48.57.105 --gateway=193.48.57.161 --netmask=255.255.255.0 --hostname=dio5 --dist=chimaera --dir=/usr/local/xen/<br /> <br /> /!\ Adresse ip provisoire car réseau 193.48.57.160/27 non créé pour le moment. Actuellement ip : 172.26.145.105 /!\<br /> <br /> '''Modification du fichier de config (image):'''<br /> /etc/xen/dio5.cfg --&gt; <br /> <br /> '''Création de la VM à partir de l'image précédemment créée :'''<br /> xen create dio5.cfg (en étant dans le dir /etc/xen/ évidemment)<br /> <br /> '''Lancement de la VM :'''<br /> xen console dio5<br /> login: root<br /> password: XXXXXX<br /> Vérifier avant que la machine a bien été lancée avec &lt;code&gt;xen create dio5.cfg&lt;/code&gt; par la commande &lt;code&gt;xen list&lt;/code&gt;<br /> <br /> ==Séance 3==<br /> ===Amélioration du coffre fort===<br /> Un dossier compressé est en bas de page<br /> <br /> ===Création des volumes virtuels===<br /> Sur Capbreton, on créé les LVM /home /var avec leurs systèmes de fichiers : <br /> <br /> &lt;code&gt;lvcreate -L10G -ndio5_home storage &lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_home&lt;/code&gt;<br /> <br /> &lt;code&gt;lvcreate -L5G -ndio5_var storage&lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_var&lt;/code&gt;<br /> <br /> Il faut changer le fichier de configuration (situé dans /etc/xen) et y ajouter ces deux lignes dans la partie &lt;code&gt;disk =&lt;/code&gt;<br /> <br /> 'phy:/dev/storage/dio5_home,xvdb1,w',<br /> 'phy:/dev/storage/dio5_var,xvdb2,w',<br /> Ainsi que modifier la ligne &lt;code&gt;vif&lt;/code&gt; comme suit :<br /> vif = [ 'mac=00:16:3E:7B:4D:A4,bridge=IMA5sc' ]<br /> <br /> On relance ensuite la machine avec &lt;code&gt;xen create&lt;/code&gt;. <br /> Pour monter les deux partitions, il faut ensuite modifier le fichier '''/etc/fstab''' comme suit :<br /> /dev/xvdb1 /home ext4 defaults 0 2<br /> /dev/xvdb2 /var ext4 defaults 0 2<br /> Pour que ces modificcations soient prises en compte :<br /> mount -a<br /> reboot<br /> <br /> ==Séance 4==<br /> ===Sécurisation par certificat TLS===<br /> Nous avons commencé par lancer la machine virtuelle qui était créée et configurée lors des séances précédentes. &lt;br/&gt;<br /> Ensuite nous avons acheté le nom de domaine ''' blanquette.site ''' via le fournisseur de nom de domaine GANDI. Ce nom de domaine servira par la suite pour héberger notre site web Apache. &lt;br/&gt;<br /> Pour sécuriser la connexion HTTPS sur Apache, il est nécessaire de créer une clé et un CSR. On utilise pour cela l'utilitaire OpenSSL et on exécute les commandes : &lt;br/&gt;<br /> apt install openssl<br /> openssl req -nodes -newkey rsa:2048 -sha256 -keyout myserver.key -out server.csr -utf8<br /> Pour valider cette demande de certificat et obtenir notre certificat TSL, nous avons également utilisé GANDI.&lt;br/&gt;<br /> <br /> ===Configuration du routeur de secours (Cisco 9200????)===<br /> Pendant que d'autres binômes s'occupaient de la configuration physique des routeurs (câblage), nous nous sommes occupés de configurer le routeur en E304. Pour cela, on accède à l'interface de configuration Cisco du routeur par port série, via minicom :&lt;br/&gt;<br /> minicom -os &quot;&quot;&quot;device:/dev/ttyUSB0, baudrate:9600, pas de contrôle de flux&quot;&quot;&quot;<br /> Depuis cette interface, création de 3 vlan et configuration des ports physiques associés pour répondre à l'architecture réseau demandée pour le TP :<br /> * Connexion entre le routeur et Capbreton sur le VLAN 2 :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 2<br /> routeur(vlan)#name Capb-E304<br /> routeur#exit<br /> routeur#int Te5/4<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 2<br /> Il restera ensuite à configurer ce vlan sur le réseau '''193.48.57.176/28'''<br /> <br /> * Connexion de redondance entre les deux routeurs :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 64<br /> routeur(vlan)#name INTERCO-E306/304<br /> Après le choix du port à connecter sur le routeur, il restera à attribuer ce port au vlan 64 en mode '''trunk'''.<br /> <br /> * Connexion entre le routeur et le SR2<br /> enable<br /> routeur#conf t<br /> routeur#vlan 531<br /> routeur(vlan)#name INTERCO-5A<br /> routeur#exit<br /> routeur#int Te5/5<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 531<br /> Il restera ensuite à configurer ce vlan sur le réseau '''192.168.222.72/29'''<br /> <br /> PHOTO A METTRE !!! &lt;br/&gt;<br /> Pour checker la configuration des vlan du routeur :<br /> routeur#show interfaces status<br /> ou :<br /> routeur#show interface vlan X<br /> <br /> <br /> ==Séance 5==<br /> <br /> Tout d'abord nous avons commencé à vérifer le fonctionnement de notre service SSH sur la machine Xen.<br /> Pour cela nous avons modifié en premier temps après avoir être connecté sur la machine virtuelle le fichier '''sshd_config''' situé dans :<br /> /etc/ssh<br /> comme suit :<br /> # Authentication:<br /> #LoginGraceTime 2m<br /> PermitRootLogin yes<br /> #StrictModes yes<br /> #MaxAuthTries 6<br /> #MaxSessions 10<br /> <br /> d'où nous avons décommenté la ligne de qui nous permet de se connecter en tant que root, ensuite nous avons lui donné cette permission par l'expression '''yes'''.<br /> <br /> Une fois que cette étape est faite, nous avons lancé dans le shell la commande suivante : <br /> root@dio5:~# service ssh restart<br /> Dans le but de prendre en compte les modifications faites.<br /> <br /> Pour vérfier la connexion en ssh, nous lançons depuis notre machine zabeth17 la commande suivante :<br /> root@zabeth17:~# ssh root@172.26.145.105<br /> <br /> '''Attribution de l'adresse IP à VLAN2''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 2<br /> routeur#ip address 193.48.57.178 255.255.255.240<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Attribution de l'adresse IP à VLAN531''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 531<br /> routeur#ip address 192.168.222.75 255.255.255.248<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Configuration et interconnection du port trunk'''<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> conf t<br /> int Te6/5<br /> switchport<br /> switchport trunk encapsulation dot1q<br /> switchport mode trunk<br /> end<br /> <br /> *Afin de sauvegarder ces configurations; on oublie pas de les écrire par la commande :<br /> write<br /> <br /> '''Changement de l'addresse IP de la machine Xen'''<br /> *Changement du Bridge de la machine :<br /> Dans la machine Xen, nous allons modifié le fichier de configuration de notre machine dio5 (situé à /etc/xen/dio5.cfg). Il est devenu comme suivant :<br /> <br /> vif = [ 'mac=00:16:3E:2B:B5:60,bridge=IMA5sc' ]<br /> <br /> Pour prendre les modifications en compte, nous avons arreté la machine xen puis nous l'avons redemaré depuis capbreton étant bien sur dans le repretoire /etc/xen: <br /> <br /> xen shutdown dio5<br /> xen create dio5.cfg <br /> <br /> <br /> <br /> Ensuite nous avons modifié l'addresse IP de la machine dans le fichier '''/etc/network/interfaces''' avec l'addresse IP suivante et la gateway qui correspond :<br /> address 193.48.57.182<br /> gateway 193.48.57.176<br /> Pour que les modifications réseaux seront prises en compte, nous exectutons les commandes suivantes dans la machine Xen: <br /> ifdown -a<br /> ifup -a<br /> <br /> <br /> '''HTTP'''<br /> Pour que notre VM soit accessible en HTTP, il lui faut un serveur HTPP installé. Dans la machine Xen : <br /> apt install apache2<br /> <br /> '''HTTPS'''<br /> L'achat du certificat SSL nous permet de sécuriser la connexion à notre serveur Apache en HTTPS. Pour cela :<br /> a2enmod ssl<br /> a2ensite default-ssl.conf<br /> service apache2 restart<br /> On modifie ensuite le fichier '''/etc/apache2/sites-enabled/default-ssl.conf''' de telle sorte à y renseigner le certificat SSL, le certificat intermédiaire et notre clé privée.<br /> Les certificats sont à télécharger sur Gandi et à transférer sur notre VM en scp.<br /> <br /> ==Séance 6==<br /> ==Serveur DNS==<br /> <br /> Tout d'abord, sur le site '''gandi''', dans la section Glue record, nous avons renseigné un nom de domaine &lt;code&gt;ns.bolognaise.site&lt;/code&gt;, et nous avons ajouté les adresses IPv4 et IPv6 associé à notre machine xen.<br /> IPv4 : 193.48.57.182<br /> IPv6 : 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> Ensuite dans la section NameServer nous avons ajouté un DNS secondaire &lt;code&gt;ns6.gandi.net&lt;/code&gt; dont son adresse IPv4 est la suivante : &lt;code&gt;217.70.177.40&lt;/code&gt;.<br /> <br /> Nous avons installé bind9 par &lt;code&gt;apt install bind9&lt;/code&gt;.<br /> <br /> '''Configuration du fichier d'option pour bind'''&lt;br/&gt;<br /> Modification du fichier &lt;code&gt;/etc/bind/named.conf.options&lt;/code&gt;<br /> <br /> <br /> options {<br /> directory &quot;/var/cache/bind&quot;;<br /> forwarders {<br /> 8.8.8.8;<br /> 4.4.2.2; //ou 8.8.4.4 <br /> };<br /> dnssec-validation auto;<br /> recursion yes;<br /> listen-on-v6 { any; };<br /> listen-on {any;};<br /> allow-recursion{trusted;};<br /> //allow-transfer{none;};<br /> };<br /> listen-on-v6 { any;}<br /> acl trusted{<br /> 193.48.57.182; //ns.bolognaise.net <br /> 217.70.177.40; //ns6.gandi.net<br /> };<br /> <br /> == Paramétrage routeur E304 ==<br /> Afin de finir la configuration du routeur en E304, il est nécessaire de mettre en place deux protocoles : &lt;br/&gt;&lt;br/&gt;<br /> '''OSBF''': partage de routes entre les deux routeurs<br /> En effet, l'objectif d'avoir 2 routeurs pour accéder au SR52 est d'avoir une redondance du réseau robuste aux pannes. Néanmoins, il faut pour cela que les deux routeurs connaissent chacun les tables de routages de l'autre. Ci-dessous la configuration OSBF du routeur E304 :<br /> router ospf 1<br /> router-id 192.162.222.6<br /> summary-address 192.168.0.0 255.255.0.0 not-advertise<br /> summary-address 193.48.57.176 255.255.255.240<br /> redistribute connected subnets ! subnets allowed<br /> redistribute static subnets route-map ospf ! subnets allowed<br /> network 192.168.222.72 0.0.0.7 area 20<br /> default-information originate<br /> Pour vérifier si le partage de routes est fonctionnel, on tape dans l'interface Cisco du routeur :<br /> do show ip route<br /> Si les routes du routeur en E306 s'affiche, c'est que le protocole a bien été configuré&lt;br/&gt;&lt;br/&gt;<br /> <br /> <br /> '''RIPv6''': <br /> La première est de permettre au routeur d'attribuer des adresses IPv6 aux différentes machines sur son réseau (Xen ...), un peu à la manière d'un DHCP. Ci-dessous la configuration :<br /> interface vlan 2 <br /> ipv6 enable<br /> ipv6 address 2001:660:4401:60b0::/64 eui-64<br /> ipv6 nd prefix 2001:660:4401:60b0::/64 1000 900<br /> ipv6 nd router-preference high<br /> !<br /> ipv6 unicast-routing<br /> <br /> La deuxième étape est d'activer le routage IPv6 entre les deux routeurs et de définir les priorités de route :<br /> ipv6 rip tpima5sc enable<br /> ipv6 router rip tpima5sc<br /> redistribute connected metric 1 XXXXXXXXX<br /> redistribute rip 1 metric 1<br /> redistribute static metric 1<br /> !<br /> Pour tester que le routage IPv6 est bien activé :<br /> do show ipv6 route<br /> <br /> '''VRRP''' :<br /> Pour rendre notre réseau plus robuste, on a finalement implémenté le protocole VRRP sur le routeur. On a simplement repris la configuration donnée dans le sujet de TP et adaptée à notre cas. Pour la priorité, nous avons indiqué :<br /> <br /> vrrp 1 priority 90<br /> De cette manière, on a définit le routeur en E304 de telle sorte à ce qu'il ne soit pas prioritaire par rapport au 6509E en E306, puisque ce dernier a été configuré avec une priorité de 100.<br /> <br /> ===Schéma ===<br /> Pour récapituler l'architecture réseau, on peut regrouper de nombreuses informations dans le schéma ci-dessous :<br /> <br /> [[Fichier:reseau_dio5_1.JPG|350px]]<br /> <br /> = Séance 7 (dernière séance)=<br /> ==Suite DNS==<br /> Fin de la configuration des fichiers DNS '''/etc/bind/named.conf.options''' , '''/etc/bind/named.conf.options.local''' et <br /> <br /> Génération des clés dnssec dans un répertoire '''/etc/bind/bolognaise.site.dnssec'''<br /> <br /> Une fois que le fichier '''/etc/bind/named.conf.options''' est rempli d'une manière à configurer notre DNS, nous avons mis en place une configuration des '''forward''' et des '''zones''' comme suit :<br /> <br /> Dans le fichier '''/etc/bind/named.conf.local''' : <br /> <br /> zone &quot;57.48.193.in-addr.arpa&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.193.48.57&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> zone &quot;bolognaise.site&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.bolognaise.site&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> Une fois que les paramètres sont ajoutés dans le fichier de configurations, nous avons créé ensuite les fichiers de zones comme suit:<br /> <br /> cp /etc/bind/db.local /etc/bind/db.bolognaise.site<br /> Cette commande va nous permettre de copier le contenu du fichier '''db.local''' dans le fichier '''db.bolognaise.site''' et qui sera créé en même temps.<br /> voici le contenu des fichiers '''/etc/bind/db.local''' et '''/etc/bind/db.bolognaise.site''' avant la configuration :<br /> <br /> ;<br /> ; BIND data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA localhost. root.localhost. (<br /> 2 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> ;<br /> @ IN NS localhost.<br /> @ IN A 127.0.0.1<br /> @ IN AAAA ::1<br /> <br /> Maintenant nous allons modifié le fichier '''/etc/bind/db.bolognaise.site'''<br /> <br /> ;<br /> ; BIND data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA ns.bolognaise.site. root.bolognaise.site. (<br /> 4 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> ;<br /> @ IN NS ns.bolognaise.site.<br /> @ IN NS ns6.gandi.net.<br /> @ IN A 193.48.57.182<br /> @ IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4 ;addresse IPV6 de dio5<br /> ns IN A 193.48.57.182<br /> ns IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> www IN A 193.48.57.182<br /> www IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> <br /> Pour que les modifications seront prises en compte :<br /> service named restart<br /> <br /> Nous faisions un test pour vérifer la fonctionalité de la forward zone :<br /> <br /> root@dio5:~# host bolognaise.site localhost<br /> Using domain server:<br /> Name: localhost<br /> Address: 127.0.0.1#53<br /> Aliases:<br /> <br /> bolognaise.site has address 193.48.57.182<br /> bolognaise.site has IPv6 address 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> <br /> Ensuite nous allons faire la même démarche pour la '''reverse zone''', où on commence par la copie du fichier comme suit : <br /> cp /etc/bind/db.127 /etc/bind/db.193.48.57 <br /> <br /> Voici le contenu du fichier '''/etc/bind/db.127''' :<br /> <br /> ;<br /> ; BIND reverse data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA localhost. root.localhost. (<br /> 1 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> ;<br /> @ IN NS localhost.<br /> 1.0.0 IN PTR localhost.<br /> <br /> <br /> Nous allons configuré le fichier '''/etc/bind/db.193.48.57''' de la façon suivante : <br /> <br /> ;<br /> ; BIND reverse data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA ns.bolognaise.site. root.bolognaise.site. (<br /> 1 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS ns.bolognaise.site.<br /> 182 IN PTR ns.bolognaise.site.<br /> <br /> <br /> Pour que les modifications seront prises en compte :<br /> service named restart<br /> <br /> Voici un test pour la reverse zone : <br /> root@dio5:~# host 193.48.57.182 localhost<br /> Using domain server:<br /> Name: localhost<br /> Address: 127.0.0.1#53<br /> Aliases:<br /> <br /> 182.57.48.193.in-addr.arpa domain name pointer ns.bolognaise.site.<br /> Notre DNS étant maintenant fonctionnel, nous avons pu refaire la demande sur Gandi pour les serveurs externes IPv4 et IPv6, pour rappel : ''' ns.bolognaise.site et ns6.gandi.net'''<br /> <br /> == Sécurisation du DNS par DNSSEC ==<br /> Pour sécuriser notre DNS par DNSSEC, nous aurons besions des clés DNSSEC, que nous allons les ranger dans le répertoire suivant : <br /> <br /> /etc/bind/bolognaise.site.dnssec<br /> <br /> Ensuite nous allons créé les clés DNSSEC :<br /> <br /> * '''KSK (Key Signing Key)'''<br /> dnssec-keygen -a RSASHA1 -b 2048 -f KSK -n ZONE bolognaise.site<br /> * '''ZSK (Zone Signing Key)'''<br /> dnssec-keygen -a RSASHA1 -b 1024 -n ZONE bolognaise.site<br /> Puis nous injectons les clés KSK et ZSK (Privées et Publiques) dans les fichiers qui leurs corresponds : <br /> <br /> mv ./Kbolognaise.site.+005+14017.key ./bolognaise.site-zsk.key<br /> mv ./Kbolognaise.site.+005+19378.private ./bolognaise.site-zsk.private<br /> mv ./Kbolognaise.site.+005+13782.private ./bolognaise.site-ksk.private<br /> mv ./Kbolognaise.site.+005+02617.key ./bolognaise.site-ksk.key<br /> <br /> On n'oublie pas de mettre la clé publique '''KSK sur gandi''', en prenant l'algorithme de '''RSA/SHA1'''.<br /> <br /> Dans le fichier '''/etc/bind/named.conf.options''' on ajoute le ligne suivante pour activer le dnssec :<br /> dnssec-enable yes;<br /> <br /> Ensuite nous allons modifié du nouveau le fichier '''/etc/bind/named.conf.local''' <br /> en ajoutant le champs '''signed''': <br /> zone &quot;bolognaise.site&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.bolognaise.site.signed&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> zone &quot;57.48.193.in-addr.arpa&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.193.48.57&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> Cela va impliquer la prise en compte des fichiers des zones.<br /> Après nous allons inclure les clés que nous l'avons créé dans le fichier '''/etc/bind/db.bolognaise.site'''<br /> <br /> *Pour la clé ZSK : <br /> $INCLUDE &quot;/etc/bind/bolognaise.site.dnssec/bolognaise.site-zsk.key&quot;;<br /> *Pour la clé KSK : <br /> $INCLUDE &quot;/etc/bind/bolognaise.site.dnssec/bolognaise.site-ksk.key&quot;;<br /> <br /> Et pour terminer, nous avons signé le fichier de zone comme suivant :<br /> dnssec-signzone -k bolognaise.site-ksk.key -o bolognaise.site ../db.bolognaise.site bolognaise.site-zsk.key<br /> <br /> == Modification du html de notre serveur pour ajouter une photo de BOLOGNAISE ==<br /> <br /> Dans le fichier &lt;code&gt;/var/www/html/index.html&lt;/code&gt;, nous avons modifié le code source de la page de notre site &lt;br/&gt; d'une façon à avoir l'image de bolognaise qui s'affiche. Voici le code HTML : <br /> <br /> <br /> &lt;!DOCTYPE html PUBLIC &quot;-//W3C//DTD XHTML 1.0 Transitional//EN&quot; &quot;http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd&quot;&gt;<br /> &lt;html xmlns=&quot;http://www.w3.org/1999/xhtml&quot;&gt;<br /> &lt;head&gt;<br /> &lt;meta http-equiv=&quot;Content-Type&quot; content=&quot;text/html; charset=UTF-8&quot; /&gt;<br /> &lt;title&gt;NOS Bolognaises !!!&lt;/title&gt;<br /> &lt;/head&gt;<br /> <br /> &lt;style&gt;<br /> img{<br /> height:70vh;<br /> margin:auto;<br /> display:block;<br /> }<br /> <br /> &lt;/style&gt;<br /> &lt;body&gt;<br /> &lt;img src=&quot;bolognaise.jpg&quot;&gt;<br /> &lt;a href=&quot;portail.polytech-lille.fr&quot;&gt;ICI polytech&lt;/a&gt;<br /> &lt;/body&gt;<br /> &lt;/html&gt;<br /> <br /> Si on écrit dans un navigateur : &lt;code&gt;https://bolognaise.site&lt;/code&gt; on peut arriver directement dans notre site.<br /> <br /> ==Gestion de fail2ban==<br /> Nous avons commencé par installer la commande '''fail2ban''' : <br /> <br /> apt install fail2ban<br /> <br /> Puis nous avons activé le fil2ban comme suivant :<br /> <br /> root@dio5:~# service fail2ban active<br /> Usage: /etc/init.d/fail2ban {start|force-start|stop|restart|force reload|status}<br /> root@dio5:~# service fail2ban enable<br /> Usage: /etc/init.d/fail2ban {start|force-start|stop|restart|force-reload|status}<br /> <br /> Nous regardons le status du fail2ban : <br /> <br /> root@dio5:~# service fail2ban status<br /> Status of Authentication failure monitor:fail2ban is running.<br /> <br /> Dans le fichier '''/etc/fail2ban/jail.d/defaults-debian.conf''' nous activons le '''name refused''' en ajoutant les 2 lignes suivantes : <br /> [named-refused]<br /> enabled = true<br /> Dans le fichier '''/etc/bind/named.conf.options''' nous allons définir le nombre max de reponses par seconde que le server peut l'accepter avant de faire le ban, pour cela on ajoute le bloc suivant : <br /> <br /> rate-limit{<br /> responses-per-second 5;<br /> };<br /> <br /> == Mise en place d'un RAID 5==<br /> Dans le but de rendre les données de notre VM sécurisées (résilience aux problèmes hardware de disque), nous mettons en place une configuration RAID 5. Pour cela :<br /> Création de 3 partitions LVM de 1Go sur capbreton :<br /> lvcreate -L1G -nbolo-raid1 storage<br /> lvcreate -L1G -nbolo-raid2 storage<br /> lvcreate -L1G -nbolo-raid3 storage<br /> Il faut évidemment modifier le fichier de configuration (/etc/xen/dio5.cfg) de notre VM en conséquence pour rattacher ces 3 partitions dans la partie &lt;code&gt;disk&lt;/code&gt;:<br /> 'phy:/dev/storage/bolo-raidX,xvdb3,w' en répétant cette ligne pour X variant de 1 à 3<br /> <br /> == Cassage de mot de passe WEP ==<br /> A COMPLETER<br /> <br /> == Cassage de mot de passe WPA-PSK par brut force==<br /> A COMPLETER + photo<br /> <br /> =Coffre Fort=<br /> <br /> [[Fichier:Coffre_secret2.zip]]</div>

Ylacroix https://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA5_2022/2023_G5&diff=60583 2022-12-02T18:32:47Z

<p>Ylacroix : /* Séance 7 (dernière séance) */</p> <hr /> <div>=Installation de l'OS=<br /> <br /> Devuan Chimaera (netinstall) sur les zabeth 17 et 11<br /> <br /> ==Configuration réseau==<br /> *IP machine : 172.26.145.50+n°zabeth/24<br /> *DNS : 193.48.57.48<br /> *Domain name : plil.info<br /> *Routeur : 172.26.145.254<br /> *Proxy : http://proxy.polyetch-lille.fr:3128<br /> <br /> <br /> *mdp dio5 : XXXXXX<br /> <br /> =Ansible=<br /> Prérequis:<br /> *python<br /> *pip<br /> *ansible<br /> Rédaction du script ansible pour le Screen Saver (.yml)<br /> <br /> Tâches accomplies : <br /> * Suppression des animations de veille d'écran<br /> <br /> Tâches restantes : <br /> * Fixer une animation lente pour la veille<br /> * Eteindre complétement l'écran au bout d'un certain temps (1 heure)<br /> <br /> =Réalisation=<br /> ==Installation de la machine virtuelle XEN (séance 2)==<br /> <br /> '''Connexion au serveur hébergeant les VM :'''<br /> ssh root@capbreton.plil.info<br /> <br /> '''Création de l'image de conifguration de la VM :'''<br /> <br /> xen-create-image --ip=193.48.57.105 --gateway=193.48.57.161 --netmask=255.255.255.0 --hostname=dio5 --dist=chimaera --dir=/usr/local/xen/<br /> <br /> /!\ Adresse ip provisoire car réseau 193.48.57.160/27 non créé pour le moment. Actuellement ip : 172.26.145.105 /!\<br /> <br /> '''Modification du fichier de config (image):'''<br /> /etc/xen/dio5.cfg --&gt; <br /> <br /> '''Création de la VM à partir de l'image précédemment créée :'''<br /> xen create dio5.cfg (en étant dans le dir /etc/xen/ évidemment)<br /> <br /> '''Lancement de la VM :'''<br /> xen console dio5<br /> login: root<br /> password: XXXXXX<br /> Vérifier avant que la machine a bien été lancée avec &lt;code&gt;xen create dio5.cfg&lt;/code&gt; par la commande &lt;code&gt;xen list&lt;/code&gt;<br /> <br /> ==Séance 3==<br /> ===Amélioration du coffre fort===<br /> Un dossier compressé est en bas de page<br /> <br /> ===Création des volumes virtuels===<br /> Sur Capbreton, on créé les LVM /home /var avec leurs systèmes de fichiers : <br /> <br /> &lt;code&gt;lvcreate -L10G -ndio5_home storage &lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_home&lt;/code&gt;<br /> <br /> &lt;code&gt;lvcreate -L5G -ndio5_var storage&lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_var&lt;/code&gt;<br /> <br /> Il faut changer le fichier de configuration (situé dans /etc/xen) et y ajouter ces deux lignes dans la partie &lt;code&gt;disk =&lt;/code&gt;<br /> <br /> 'phy:/dev/storage/dio5_home,xvdb1,w',<br /> 'phy:/dev/storage/dio5_var,xvdb2,w',<br /> Ainsi que modifier la ligne &lt;code&gt;vif&lt;/code&gt; comme suit :<br /> vif = [ 'mac=00:16:3E:7B:4D:A4,bridge=IMA5sc' ]<br /> <br /> On relance ensuite la machine avec &lt;code&gt;xen create&lt;/code&gt;. <br /> Pour monter les deux partitions, il faut ensuite modifier le fichier '''/etc/fstab''' comme suit :<br /> /dev/xvdb1 /home ext4 defaults 0 2<br /> /dev/xvdb2 /var ext4 defaults 0 2<br /> Pour que ces modificcations soient prises en compte :<br /> mount -a<br /> reboot<br /> <br /> ==Séance 4==<br /> ===Sécurisation par certificat TLS===<br /> Nous avons commencé par lancer la machine virtuelle qui était créée et configurée lors des séances précédentes. &lt;br/&gt;<br /> Ensuite nous avons acheté le nom de domaine ''' blanquette.site ''' via le fournisseur de nom de domaine GANDI. Ce nom de domaine servira par la suite pour héberger notre site web Apache. &lt;br/&gt;<br /> Pour sécuriser la connexion HTTPS sur Apache, il est nécessaire de créer une clé et un CSR. On utilise pour cela l'utilitaire OpenSSL et on exécute les commandes : &lt;br/&gt;<br /> apt install openssl<br /> openssl req -nodes -newkey rsa:2048 -sha256 -keyout myserver.key -out server.csr -utf8<br /> Pour valider cette demande de certificat et obtenir notre certificat TSL, nous avons également utilisé GANDI.&lt;br/&gt;<br /> <br /> ===Configuration du routeur de secours (Cisco 9200????)===<br /> Pendant que d'autres binômes s'occupaient de la configuration physique des routeurs (câblage), nous nous sommes occupés de configurer le routeur en E304. Pour cela, on accède à l'interface de configuration Cisco du routeur par port série, via minicom :&lt;br/&gt;<br /> minicom -os &quot;&quot;&quot;device:/dev/ttyUSB0, baudrate:9600, pas de contrôle de flux&quot;&quot;&quot;<br /> Depuis cette interface, création de 3 vlan et configuration des ports physiques associés pour répondre à l'architecture réseau demandée pour le TP :<br /> * Connexion entre le routeur et Capbreton sur le VLAN 2 :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 2<br /> routeur(vlan)#name Capb-E304<br /> routeur#exit<br /> routeur#int Te5/4<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 2<br /> Il restera ensuite à configurer ce vlan sur le réseau '''193.48.57.176/28'''<br /> <br /> * Connexion de redondance entre les deux routeurs :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 64<br /> routeur(vlan)#name INTERCO-E306/304<br /> Après le choix du port à connecter sur le routeur, il restera à attribuer ce port au vlan 64 en mode '''trunk'''.<br /> <br /> * Connexion entre le routeur et le SR2<br /> enable<br /> routeur#conf t<br /> routeur#vlan 531<br /> routeur(vlan)#name INTERCO-5A<br /> routeur#exit<br /> routeur#int Te5/5<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 531<br /> Il restera ensuite à configurer ce vlan sur le réseau '''192.168.222.72/29'''<br /> <br /> PHOTO A METTRE !!! &lt;br/&gt;<br /> Pour checker la configuration des vlan du routeur :<br /> routeur#show interfaces status<br /> ou :<br /> routeur#show interface vlan X<br /> <br /> <br /> ==Séance 5==<br /> <br /> Tout d'abord nous avons commencé à vérifer le fonctionnement de notre service SSH sur la machine Xen.<br /> Pour cela nous avons modifié en premier temps après avoir être connecté sur la machine virtuelle le fichier '''sshd_config''' situé dans :<br /> /etc/ssh<br /> comme suit :<br /> # Authentication:<br /> #LoginGraceTime 2m<br /> PermitRootLogin yes<br /> #StrictModes yes<br /> #MaxAuthTries 6<br /> #MaxSessions 10<br /> <br /> d'où nous avons décommenté la ligne de qui nous permet de se connecter en tant que root, ensuite nous avons lui donné cette permission par l'expression '''yes'''.<br /> <br /> Une fois que cette étape est faite, nous avons lancé dans le shell la commande suivante : <br /> root@dio5:~# service ssh restart<br /> Dans le but de prendre en compte les modifications faites.<br /> <br /> Pour vérfier la connexion en ssh, nous lançons depuis notre machine zabeth17 la commande suivante :<br /> root@zabeth17:~# ssh root@172.26.145.105<br /> <br /> '''Attribution de l'adresse IP à VLAN2''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 2<br /> routeur#ip address 193.48.57.178 255.255.255.240<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Attribution de l'adresse IP à VLAN531''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 531<br /> routeur#ip address 192.168.222.75 255.255.255.248<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Configuration et interconnection du port trunk'''<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> conf t<br /> int Te6/5<br /> switchport<br /> switchport trunk encapsulation dot1q<br /> switchport mode trunk<br /> end<br /> <br /> *Afin de sauvegarder ces configurations; on oublie pas de les écrire par la commande :<br /> write<br /> <br /> '''Changement de l'addresse IP de la machine Xen'''<br /> *Changement du Bridge de la machine :<br /> Dans la machine Xen, nous allons modifié le fichier de configuration de notre machine dio5 (situé à /etc/xen/dio5.cfg). Il est devenu comme suivant :<br /> <br /> vif = [ 'mac=00:16:3E:2B:B5:60,bridge=IMA5sc' ]<br /> <br /> Pour prendre les modifications en compte, nous avons arreté la machine xen puis nous l'avons redemaré depuis capbreton étant bien sur dans le repretoire /etc/xen: <br /> <br /> xen shutdown dio5<br /> xen create dio5.cfg <br /> <br /> <br /> <br /> Ensuite nous avons modifié l'addresse IP de la machine dans le fichier '''/etc/network/interfaces''' avec l'addresse IP suivante et la gateway qui correspond :<br /> address 193.48.57.182<br /> gateway 193.48.57.176<br /> Pour que les modifications réseaux seront prises en compte, nous exectutons les commandes suivantes dans la machine Xen: <br /> ifdown -a<br /> ifup -a<br /> <br /> <br /> '''HTTP'''<br /> Pour que notre VM soit accessible en HTTP, il lui faut un serveur HTPP installé. Dans la machine Xen : <br /> apt install apache2<br /> <br /> '''HTTPS'''<br /> L'achat du certificat SSL nous permet de sécuriser la connexion à notre serveur Apache en HTTPS. Pour cela :<br /> a2enmod ssl<br /> a2ensite default-ssl.conf<br /> service apache2 restart<br /> On modifie ensuite le fichier '''/etc/apache2/sites-enabled/default-ssl.conf''' de telle sorte à y renseigner le certificat SSL, le certificat intermédiaire et notre clé privée.<br /> Les certificats sont à télécharger sur Gandi et à transférer sur notre VM en scp.<br /> <br /> ==Séance 6==<br /> ==Serveur DNS==<br /> <br /> Tout d'abord, sur le site '''gandi''', dans la section Glue record, nous avons renseigné un nom de domaine &lt;code&gt;ns.bolognaise.site&lt;/code&gt;, et nous avons ajouté les adresses IPv4 et IPv6 associé à notre machine xen.<br /> IPv4 : 193.48.57.182<br /> IPv6 : 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> Ensuite dans la section NameServer nous avons ajouté un DNS secondaire &lt;code&gt;ns6.gandi.net&lt;/code&gt; dont son adresse IPv4 est la suivante : &lt;code&gt;217.70.177.40&lt;/code&gt;.<br /> <br /> Nous avons installé bind9 par &lt;code&gt;apt install bind9&lt;/code&gt;.<br /> <br /> '''Configuration du fichier d'option pour bind'''&lt;br/&gt;<br /> Modification du fichier &lt;code&gt;/etc/bind/named.conf.options&lt;/code&gt;<br /> <br /> <br /> options {<br /> directory &quot;/var/cache/bind&quot;;<br /> forwarders {<br /> 8.8.8.8;<br /> 4.4.2.2; //ou 8.8.4.4 <br /> };<br /> dnssec-validation auto;<br /> recursion yes;<br /> listen-on-v6 { any; };<br /> listen-on {any;};<br /> allow-recursion{trusted;};<br /> //allow-transfer{none;};<br /> };<br /> listen-on-v6 { any;}<br /> acl trusted{<br /> 193.48.57.182; //ns.bolognaise.net <br /> 217.70.177.40; //ns6.gandi.net<br /> };<br /> <br /> == Paramétrage routeur E304 ==<br /> Afin de finir la configuration du routeur en E304, il est nécessaire de mettre en place deux protocoles : &lt;br/&gt;&lt;br/&gt;<br /> '''OSBF''': partage de routes entre les deux routeurs<br /> En effet, l'objectif d'avoir 2 routeurs pour accéder au SR52 est d'avoir une redondance du réseau robuste aux pannes. Néanmoins, il faut pour cela que les deux routeurs connaissent chacun les tables de routages de l'autre. Ci-dessous la configuration OSBF du routeur E304 :<br /> router ospf 1<br /> router-id 192.162.222.6<br /> summary-address 192.168.0.0 255.255.0.0 not-advertise<br /> summary-address 193.48.57.176 255.255.255.240<br /> redistribute connected subnets ! subnets allowed<br /> redistribute static subnets route-map ospf ! subnets allowed<br /> network 192.168.222.72 0.0.0.7 area 20<br /> default-information originate<br /> Pour vérifier si le partage de routes est fonctionnel, on tape dans l'interface Cisco du routeur :<br /> do show ip route<br /> Si les routes du routeur en E306 s'affiche, c'est que le protocole a bien été configuré&lt;br/&gt;&lt;br/&gt;<br /> <br /> <br /> '''RIPv6''': <br /> La première est de permettre au routeur d'attribuer des adresses IPv6 aux différentes machines sur son réseau (Xen ...), un peu à la manière d'un DHCP. Ci-dessous la configuration :<br /> interface vlan 2 <br /> ipv6 enable<br /> ipv6 address 2001:660:4401:60b0::/64 eui-64<br /> ipv6 nd prefix 2001:660:4401:60b0::/64 1000 900<br /> ipv6 nd router-preference high<br /> !<br /> ipv6 unicast-routing<br /> <br /> La deuxième étape est d'activer le routage IPv6 entre les deux routeurs et de définir les priorités de route :<br /> ipv6 rip tpima5sc enable<br /> ipv6 router rip tpima5sc<br /> redistribute connected metric 1 XXXXXXXXX<br /> redistribute rip 1 metric 1<br /> redistribute static metric 1<br /> !<br /> Pour tester que le routage IPv6 est bien activé :<br /> do show ipv6 route<br /> <br /> '''VRRP''' :<br /> Pour rendre notre réseau plus robuste, on a finalement implémenté le protocole VRRP sur le routeur. On a simplement repris la configuration donnée dans le sujet de TP et adaptée à notre cas. Pour la priorité, nous avons indiqué :<br /> <br /> vrrp 1 priority 90<br /> De cette manière, on a définit le routeur en E304 de telle sorte à ce qu'il ne soit pas prioritaire par rapport au 6509E en E306, puisque ce dernier a été configuré avec une priorité de 100.<br /> <br /> ===Schéma ===<br /> Pour récapituler l'architecture réseau, on peut regrouper de nombreuses informations dans le schéma ci-dessous :<br /> <br /> [[Fichier:reseau_dio5_1.JPG|350px]]<br /> <br /> = Séance 7 (dernière séance)=<br /> ==Suite DNS==<br /> Fin de la configuration des fichiers DNS '''/etc/bind/named.conf.options''' , '''/etc/bind/named.conf.options.local''' et <br /> <br /> Génération des clés dnssec dans un répertoire '''/etc/bind/bolognaise.site.dnssec'''<br /> <br /> Une fois que le fichier '''/etc/bind/named.conf.options''' est rempli d'une manière à configurer notre DNS, nous avons mis en place une configuration des '''forward''' et des '''zones''' comme suit :<br /> <br /> Dans le fichier '''/etc/bind/named.conf.local''' : <br /> <br /> zone &quot;57.48.193.in-addr.arpa&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.193.48.57&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> zone &quot;bolognaise.site&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.bolognaise.site&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> Une fois que les paramètres sont ajoutés dans le fichier de configurations, nous avons créé ensuite les fichiers de zones comme suit:<br /> <br /> cp /etc/bind/db.local /etc/bind/db.bolognaise.site<br /> Cette commande va nous permettre de copier le contenu du fichier '''db.local''' dans le fichier '''db.bolognaise.site''' et qui sera créé en même temps.<br /> voici le contenu des fichiers '''/etc/bind/db.local''' et '''/etc/bind/db.bolognaise.site''' avant la configuration :<br /> <br /> ;<br /> ; BIND data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA localhost. root.localhost. (<br /> 2 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> ;<br /> @ IN NS localhost.<br /> @ IN A 127.0.0.1<br /> @ IN AAAA ::1<br /> <br /> Maintenant nous allons modifié le fichier '''/etc/bind/db.bolognaise.site'''<br /> <br /> ;<br /> ; BIND data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA ns.bolognaise.site. root.bolognaise.site. (<br /> 4 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> ;<br /> @ IN NS ns.bolognaise.site.<br /> @ IN NS ns6.gandi.net.<br /> @ IN A 193.48.57.182<br /> @ IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4 ;addresse IPV6 de dio5<br /> ns IN A 193.48.57.182<br /> ns IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> www IN A 193.48.57.182<br /> www IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> <br /> Pour que les modifications seront prises en compte :<br /> service named restart<br /> <br /> Nous faisions un test pour vérifer la fonctionalité de la forward zone :<br /> <br /> root@dio5:~# host bolognaise.site localhost<br /> Using domain server:<br /> Name: localhost<br /> Address: 127.0.0.1#53<br /> Aliases:<br /> <br /> bolognaise.site has address 193.48.57.182<br /> bolognaise.site has IPv6 address 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> <br /> Ensuite nous allons faire la même démarche pour la '''reverse zone''', où on commence par la copie du fichier comme suit : <br /> cp /etc/bind/db.127 /etc/bind/db.193.48.57 <br /> <br /> Voici le contenu du fichier '''/etc/bind/db.127''' :<br /> <br /> ;<br /> ; BIND reverse data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA localhost. root.localhost. (<br /> 1 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> ;<br /> @ IN NS localhost.<br /> 1.0.0 IN PTR localhost.<br /> <br /> <br /> Nous allons configuré le fichier '''/etc/bind/db.193.48.57''' de la façon suivante : <br /> <br /> ;<br /> ; BIND reverse data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA ns.bolognaise.site. root.bolognaise.site. (<br /> 1 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS ns.bolognaise.site.<br /> 182 IN PTR ns.bolognaise.site.<br /> <br /> <br /> Pour que les modifications seront prises en compte :<br /> service named restart<br /> <br /> Voici un test pour la reverse zone : <br /> root@dio5:~# host 193.48.57.182 localhost<br /> Using domain server:<br /> Name: localhost<br /> Address: 127.0.0.1#53<br /> Aliases:<br /> <br /> 182.57.48.193.in-addr.arpa domain name pointer ns.bolognaise.site.<br /> Notre DNS étant maintenant fonctionnel, nous avons pu refaire la demande sur Gandi pour les serveurs externes IPv4 et IPv6, pour rappel : ''' ns.bolognaise.site et ns6.gandi.net'''<br /> <br /> == Sécurisation du DNS par DNSSEC ==<br /> Pour sécuriser notre DNS par DNSSEC, nous aurons besions des clés DNSSEC, que nous allons les ranger dans le répertoire suivant : <br /> <br /> /etc/bind/bolognaise.site.dnssec<br /> <br /> Ensuite nous allons créé les clés DNSSEC :<br /> <br /> * '''KSK (Key Signing Key)'''<br /> dnssec-keygen -a RSASHA1 -b 2048 -f KSK -n ZONE bolognaise.site<br /> * '''ZSK (Zone Signing Key)'''<br /> dnssec-keygen -a RSASHA1 -b 1024 -n ZONE bolognaise.site<br /> Puis nous injectons les clés KSK et ZSK (Privées et Publiques) dans les fichiers qui leurs corresponds : <br /> <br /> mv ./Kbolognaise.site.+005+14017.key ./bolognaise.site-zsk.key<br /> mv ./Kbolognaise.site.+005+19378.private ./bolognaise.site-zsk.private<br /> mv ./Kbolognaise.site.+005+13782.private ./bolognaise.site-ksk.private<br /> mv ./Kbolognaise.site.+005+02617.key ./bolognaise.site-ksk.key<br /> <br /> On n'oublie pas de mettre la clé publique '''KSK sur gandi''', en prenant l'algorithme de '''RSA/SHA1'''.<br /> <br /> Dans le fichier '''/etc/bind/named.conf.options''' on ajoute le ligne suivante pour activer le dnssec :<br /> dnssec-enable yes;<br /> <br /> Ensuite nous allons modifié du nouveau le fichier '''/etc/bind/named.conf.local''' <br /> en ajoutant le champs '''signed''': <br /> zone &quot;bolognaise.site&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.bolognaise.site.signed&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> zone &quot;57.48.193.in-addr.arpa&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.193.48.57&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> Cela va impliquer la prise en compte des fichiers des zones.<br /> Après nous allons inclure les clés que nous l'avons créé dans le fichier '''/etc/bind/db.bolognaise.site'''<br /> <br /> *Pour la clé ZSK : <br /> $INCLUDE &quot;/etc/bind/bolognaise.site.dnssec/bolognaise.site-zsk.key&quot;;<br /> *Pour la clé KSK : <br /> $INCLUDE &quot;/etc/bind/bolognaise.site.dnssec/bolognaise.site-ksk.key&quot;;<br /> <br /> Et pour terminer, nous avons signé le fichier de zone comme suivant :<br /> dnssec-signzone -k bolognaise.site-ksk.key -o bolognaise.site ../db.bolognaise.site bolognaise.site-zsk.key<br /> <br /> == Modification du html de notre serveur pour ajouter une photo de BOLOGNAISE ==<br /> <br /> Dans le fichier &lt;code&gt;/var/www/html/index.html&lt;/code&gt;, nous avons modifié le code source de la page de notre site &lt;br/&gt; d'une façon à avoir l'image de bolognaise qui s'affiche. Voici le code HTML : <br /> <br /> <br /> &lt;!DOCTYPE html PUBLIC &quot;-//W3C//DTD XHTML 1.0 Transitional//EN&quot; &quot;http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd&quot;&gt;<br /> &lt;html xmlns=&quot;http://www.w3.org/1999/xhtml&quot;&gt;<br /> &lt;head&gt;<br /> &lt;meta http-equiv=&quot;Content-Type&quot; content=&quot;text/html; charset=UTF-8&quot; /&gt;<br /> &lt;title&gt;NOS Bolognaises !!!&lt;/title&gt;<br /> &lt;/head&gt;<br /> <br /> &lt;style&gt;<br /> img{<br /> height:70vh;<br /> margin:auto;<br /> display:block;<br /> }<br /> <br /> &lt;/style&gt;<br /> &lt;body&gt;<br /> &lt;img src=&quot;bolognaise.jpg&quot;&gt;<br /> &lt;a href=&quot;portail.polytech-lille.fr&quot;&gt;ICI polytech&lt;/a&gt;<br /> &lt;/body&gt;<br /> &lt;/html&gt;<br /> <br /> Si on écrit dans un navigateur : &lt;code&gt;https://bolognaise.site&lt;/code&gt; on peut arriver directement dans notre site.<br /> <br /> ==Gestion de fail2ban==<br /> Nous avons commencé par installer la commande '''fail2ban''' : <br /> <br /> apt install fail2ban<br /> <br /> <br /> == Mise en place d'un disque en RAID 5==<br /> A COMPLETER<br /> +TEST <br /> <br /> == Cassage de mot de passe WEP ==<br /> A COMPLETER<br /> <br /> == Cassage de mot de passe WPA-PSK par brut force==<br /> A COMPLETER + photo<br /> <br /> =Coffre Fort=<br /> <br /> [[Fichier:Coffre_secret2.zip]]</div>

Ylacroix https://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA5_2022/2023_G5&diff=60581 2022-12-02T18:31:58Z

<p>Ylacroix : /* Séance 7 (dernière séance) */</p> <hr /> <div>=Installation de l'OS=<br /> <br /> Devuan Chimaera (netinstall) sur les zabeth 17 et 11<br /> <br /> ==Configuration réseau==<br /> *IP machine : 172.26.145.50+n°zabeth/24<br /> *DNS : 193.48.57.48<br /> *Domain name : plil.info<br /> *Routeur : 172.26.145.254<br /> *Proxy : http://proxy.polyetch-lille.fr:3128<br /> <br /> <br /> *mdp dio5 : XXXXXX<br /> <br /> =Ansible=<br /> Prérequis:<br /> *python<br /> *pip<br /> *ansible<br /> Rédaction du script ansible pour le Screen Saver (.yml)<br /> <br /> Tâches accomplies : <br /> * Suppression des animations de veille d'écran<br /> <br /> Tâches restantes : <br /> * Fixer une animation lente pour la veille<br /> * Eteindre complétement l'écran au bout d'un certain temps (1 heure)<br /> <br /> =Réalisation=<br /> ==Installation de la machine virtuelle XEN (séance 2)==<br /> <br /> '''Connexion au serveur hébergeant les VM :'''<br /> ssh root@capbreton.plil.info<br /> <br /> '''Création de l'image de conifguration de la VM :'''<br /> <br /> xen-create-image --ip=193.48.57.105 --gateway=193.48.57.161 --netmask=255.255.255.0 --hostname=dio5 --dist=chimaera --dir=/usr/local/xen/<br /> <br /> /!\ Adresse ip provisoire car réseau 193.48.57.160/27 non créé pour le moment. Actuellement ip : 172.26.145.105 /!\<br /> <br /> '''Modification du fichier de config (image):'''<br /> /etc/xen/dio5.cfg --&gt; <br /> <br /> '''Création de la VM à partir de l'image précédemment créée :'''<br /> xen create dio5.cfg (en étant dans le dir /etc/xen/ évidemment)<br /> <br /> '''Lancement de la VM :'''<br /> xen console dio5<br /> login: root<br /> password: XXXXXX<br /> Vérifier avant que la machine a bien été lancée avec &lt;code&gt;xen create dio5.cfg&lt;/code&gt; par la commande &lt;code&gt;xen list&lt;/code&gt;<br /> <br /> ==Séance 3==<br /> ===Amélioration du coffre fort===<br /> Un dossier compressé est en bas de page<br /> <br /> ===Création des volumes virtuels===<br /> Sur Capbreton, on créé les LVM /home /var avec leurs systèmes de fichiers : <br /> <br /> &lt;code&gt;lvcreate -L10G -ndio5_home storage &lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_home&lt;/code&gt;<br /> <br /> &lt;code&gt;lvcreate -L5G -ndio5_var storage&lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_var&lt;/code&gt;<br /> <br /> Il faut changer le fichier de configuration (situé dans /etc/xen) et y ajouter ces deux lignes dans la partie &lt;code&gt;disk =&lt;/code&gt;<br /> <br /> 'phy:/dev/storage/dio5_home,xvdb1,w',<br /> 'phy:/dev/storage/dio5_var,xvdb2,w',<br /> Ainsi que modifier la ligne &lt;code&gt;vif&lt;/code&gt; comme suit :<br /> vif = [ 'mac=00:16:3E:7B:4D:A4,bridge=IMA5sc' ]<br /> <br /> On relance ensuite la machine avec &lt;code&gt;xen create&lt;/code&gt;. <br /> Pour monter les deux partitions, il faut ensuite modifier le fichier '''/etc/fstab''' comme suit :<br /> /dev/xvdb1 /home ext4 defaults 0 2<br /> /dev/xvdb2 /var ext4 defaults 0 2<br /> Pour que ces modificcations soient prises en compte :<br /> mount -a<br /> reboot<br /> <br /> ==Séance 4==<br /> ===Sécurisation par certificat TLS===<br /> Nous avons commencé par lancer la machine virtuelle qui était créée et configurée lors des séances précédentes. &lt;br/&gt;<br /> Ensuite nous avons acheté le nom de domaine ''' blanquette.site ''' via le fournisseur de nom de domaine GANDI. Ce nom de domaine servira par la suite pour héberger notre site web Apache. &lt;br/&gt;<br /> Pour sécuriser la connexion HTTPS sur Apache, il est nécessaire de créer une clé et un CSR. On utilise pour cela l'utilitaire OpenSSL et on exécute les commandes : &lt;br/&gt;<br /> apt install openssl<br /> openssl req -nodes -newkey rsa:2048 -sha256 -keyout myserver.key -out server.csr -utf8<br /> Pour valider cette demande de certificat et obtenir notre certificat TSL, nous avons également utilisé GANDI.&lt;br/&gt;<br /> <br /> ===Configuration du routeur de secours (Cisco 9200????)===<br /> Pendant que d'autres binômes s'occupaient de la configuration physique des routeurs (câblage), nous nous sommes occupés de configurer le routeur en E304. Pour cela, on accède à l'interface de configuration Cisco du routeur par port série, via minicom :&lt;br/&gt;<br /> minicom -os &quot;&quot;&quot;device:/dev/ttyUSB0, baudrate:9600, pas de contrôle de flux&quot;&quot;&quot;<br /> Depuis cette interface, création de 3 vlan et configuration des ports physiques associés pour répondre à l'architecture réseau demandée pour le TP :<br /> * Connexion entre le routeur et Capbreton sur le VLAN 2 :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 2<br /> routeur(vlan)#name Capb-E304<br /> routeur#exit<br /> routeur#int Te5/4<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 2<br /> Il restera ensuite à configurer ce vlan sur le réseau '''193.48.57.176/28'''<br /> <br /> * Connexion de redondance entre les deux routeurs :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 64<br /> routeur(vlan)#name INTERCO-E306/304<br /> Après le choix du port à connecter sur le routeur, il restera à attribuer ce port au vlan 64 en mode '''trunk'''.<br /> <br /> * Connexion entre le routeur et le SR2<br /> enable<br /> routeur#conf t<br /> routeur#vlan 531<br /> routeur(vlan)#name INTERCO-5A<br /> routeur#exit<br /> routeur#int Te5/5<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 531<br /> Il restera ensuite à configurer ce vlan sur le réseau '''192.168.222.72/29'''<br /> <br /> PHOTO A METTRE !!! &lt;br/&gt;<br /> Pour checker la configuration des vlan du routeur :<br /> routeur#show interfaces status<br /> ou :<br /> routeur#show interface vlan X<br /> <br /> <br /> ==Séance 5==<br /> <br /> Tout d'abord nous avons commencé à vérifer le fonctionnement de notre service SSH sur la machine Xen.<br /> Pour cela nous avons modifié en premier temps après avoir être connecté sur la machine virtuelle le fichier '''sshd_config''' situé dans :<br /> /etc/ssh<br /> comme suit :<br /> # Authentication:<br /> #LoginGraceTime 2m<br /> PermitRootLogin yes<br /> #StrictModes yes<br /> #MaxAuthTries 6<br /> #MaxSessions 10<br /> <br /> d'où nous avons décommenté la ligne de qui nous permet de se connecter en tant que root, ensuite nous avons lui donné cette permission par l'expression '''yes'''.<br /> <br /> Une fois que cette étape est faite, nous avons lancé dans le shell la commande suivante : <br /> root@dio5:~# service ssh restart<br /> Dans le but de prendre en compte les modifications faites.<br /> <br /> Pour vérfier la connexion en ssh, nous lançons depuis notre machine zabeth17 la commande suivante :<br /> root@zabeth17:~# ssh root@172.26.145.105<br /> <br /> '''Attribution de l'adresse IP à VLAN2''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 2<br /> routeur#ip address 193.48.57.178 255.255.255.240<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Attribution de l'adresse IP à VLAN531''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 531<br /> routeur#ip address 192.168.222.75 255.255.255.248<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Configuration et interconnection du port trunk'''<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> conf t<br /> int Te6/5<br /> switchport<br /> switchport trunk encapsulation dot1q<br /> switchport mode trunk<br /> end<br /> <br /> *Afin de sauvegarder ces configurations; on oublie pas de les écrire par la commande :<br /> write<br /> <br /> '''Changement de l'addresse IP de la machine Xen'''<br /> *Changement du Bridge de la machine :<br /> Dans la machine Xen, nous allons modifié le fichier de configuration de notre machine dio5 (situé à /etc/xen/dio5.cfg). Il est devenu comme suivant :<br /> <br /> vif = [ 'mac=00:16:3E:2B:B5:60,bridge=IMA5sc' ]<br /> <br /> Pour prendre les modifications en compte, nous avons arreté la machine xen puis nous l'avons redemaré depuis capbreton étant bien sur dans le repretoire /etc/xen: <br /> <br /> xen shutdown dio5<br /> xen create dio5.cfg <br /> <br /> <br /> <br /> Ensuite nous avons modifié l'addresse IP de la machine dans le fichier '''/etc/network/interfaces''' avec l'addresse IP suivante et la gateway qui correspond :<br /> address 193.48.57.182<br /> gateway 193.48.57.176<br /> Pour que les modifications réseaux seront prises en compte, nous exectutons les commandes suivantes dans la machine Xen: <br /> ifdown -a<br /> ifup -a<br /> <br /> <br /> '''HTTP'''<br /> Pour que notre VM soit accessible en HTTP, il lui faut un serveur HTPP installé. Dans la machine Xen : <br /> apt install apache2<br /> <br /> '''HTTPS'''<br /> L'achat du certificat SSL nous permet de sécuriser la connexion à notre serveur Apache en HTTPS. Pour cela :<br /> a2enmod ssl<br /> a2ensite default-ssl.conf<br /> service apache2 restart<br /> On modifie ensuite le fichier '''/etc/apache2/sites-enabled/default-ssl.conf''' de telle sorte à y renseigner le certificat SSL, le certificat intermédiaire et notre clé privée.<br /> Les certificats sont à télécharger sur Gandi et à transférer sur notre VM en scp.<br /> <br /> ==Séance 6==<br /> ==Serveur DNS==<br /> <br /> Tout d'abord, sur le site '''gandi''', dans la section Glue record, nous avons renseigné un nom de domaine &lt;code&gt;ns.bolognaise.site&lt;/code&gt;, et nous avons ajouté les adresses IPv4 et IPv6 associé à notre machine xen.<br /> IPv4 : 193.48.57.182<br /> IPv6 : 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> Ensuite dans la section NameServer nous avons ajouté un DNS secondaire &lt;code&gt;ns6.gandi.net&lt;/code&gt; dont son adresse IPv4 est la suivante : &lt;code&gt;217.70.177.40&lt;/code&gt;.<br /> <br /> Nous avons installé bind9 par &lt;code&gt;apt install bind9&lt;/code&gt;.<br /> <br /> '''Configuration du fichier d'option pour bind'''&lt;br/&gt;<br /> Modification du fichier &lt;code&gt;/etc/bind/named.conf.options&lt;/code&gt;<br /> <br /> <br /> options {<br /> directory &quot;/var/cache/bind&quot;;<br /> forwarders {<br /> 8.8.8.8;<br /> 4.4.2.2; //ou 8.8.4.4 <br /> };<br /> dnssec-validation auto;<br /> recursion yes;<br /> listen-on-v6 { any; };<br /> listen-on {any;};<br /> allow-recursion{trusted;};<br /> //allow-transfer{none;};<br /> };<br /> listen-on-v6 { any;}<br /> acl trusted{<br /> 193.48.57.182; //ns.bolognaise.net <br /> 217.70.177.40; //ns6.gandi.net<br /> };<br /> <br /> == Paramétrage routeur E304 ==<br /> Afin de finir la configuration du routeur en E304, il est nécessaire de mettre en place deux protocoles : &lt;br/&gt;&lt;br/&gt;<br /> '''OSBF''': partage de routes entre les deux routeurs<br /> En effet, l'objectif d'avoir 2 routeurs pour accéder au SR52 est d'avoir une redondance du réseau robuste aux pannes. Néanmoins, il faut pour cela que les deux routeurs connaissent chacun les tables de routages de l'autre. Ci-dessous la configuration OSBF du routeur E304 :<br /> router ospf 1<br /> router-id 192.162.222.6<br /> summary-address 192.168.0.0 255.255.0.0 not-advertise<br /> summary-address 193.48.57.176 255.255.255.240<br /> redistribute connected subnets ! subnets allowed<br /> redistribute static subnets route-map ospf ! subnets allowed<br /> network 192.168.222.72 0.0.0.7 area 20<br /> default-information originate<br /> Pour vérifier si le partage de routes est fonctionnel, on tape dans l'interface Cisco du routeur :<br /> do show ip route<br /> Si les routes du routeur en E306 s'affiche, c'est que le protocole a bien été configuré&lt;br/&gt;&lt;br/&gt;<br /> <br /> <br /> '''RIPv6''': <br /> La première est de permettre au routeur d'attribuer des adresses IPv6 aux différentes machines sur son réseau (Xen ...), un peu à la manière d'un DHCP. Ci-dessous la configuration :<br /> interface vlan 2 <br /> ipv6 enable<br /> ipv6 address 2001:660:4401:60b0::/64 eui-64<br /> ipv6 nd prefix 2001:660:4401:60b0::/64 1000 900<br /> ipv6 nd router-preference high<br /> !<br /> ipv6 unicast-routing<br /> <br /> La deuxième étape est d'activer le routage IPv6 entre les deux routeurs et de définir les priorités de route :<br /> ipv6 rip tpima5sc enable<br /> ipv6 router rip tpima5sc<br /> redistribute connected metric 1 XXXXXXXXX<br /> redistribute rip 1 metric 1<br /> redistribute static metric 1<br /> !<br /> Pour tester que le routage IPv6 est bien activé :<br /> do show ipv6 route<br /> <br /> '''VRRP''' :<br /> Pour rendre notre réseau plus robuste, on a finalement implémenté le protocole VRRP sur le routeur. On a simplement repris la configuration donnée dans le sujet de TP et adaptée à notre cas. Pour la priorité, nous avons indiqué :<br /> <br /> vrrp 1 priority 90<br /> De cette manière, on a définit le routeur en E304 de telle sorte à ce qu'il ne soit pas prioritaire par rapport au 6509E en E306, puisque ce dernier a été configuré avec une priorité de 100.<br /> <br /> ===Schéma ===<br /> Pour récapituler l'architecture réseau, on peut regrouper de nombreuses informations dans le schéma ci-dessous :<br /> <br /> [[Fichier:reseau_dio5_1.JPG]]<br /> <br /> = Séance 7 (dernière séance)=<br /> ==Suite DNS==<br /> Fin de la configuration des fichiers DNS '''/etc/bind/named.conf.options''' , '''/etc/bind/named.conf.options.local''' et <br /> <br /> Génération des clés dnssec dans un répertoire '''/etc/bind/bolognaise.site.dnssec'''<br /> <br /> Une fois que le fichier '''/etc/bind/named.conf.options''' est rempli d'une manière à configurer notre DNS, nous avons mis en place une configuration des '''forward''' et des '''zones''' comme suit :<br /> <br /> Dans le fichier '''/etc/bind/named.conf.local''' : <br /> <br /> zone &quot;57.48.193.in-addr.arpa&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.193.48.57&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> zone &quot;bolognaise.site&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.bolognaise.site&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> Une fois que les paramètres sont ajoutés dans le fichier de configurations, nous avons créé ensuite les fichiers de zones comme suit:<br /> <br /> cp /etc/bind/db.local /etc/bind/db.bolognaise.site<br /> Cette commande va nous permettre de copier le contenu du fichier '''db.local''' dans le fichier '''db.bolognaise.site''' et qui sera créé en même temps.<br /> voici le contenu des fichiers '''/etc/bind/db.local''' et '''/etc/bind/db.bolognaise.site''' avant la configuration :<br /> <br /> ;<br /> ; BIND data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA localhost. root.localhost. (<br /> 2 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> ;<br /> @ IN NS localhost.<br /> @ IN A 127.0.0.1<br /> @ IN AAAA ::1<br /> <br /> Maintenant nous allons modifié le fichier '''/etc/bind/db.bolognaise.site'''<br /> <br /> ;<br /> ; BIND data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA ns.bolognaise.site. root.bolognaise.site. (<br /> 4 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> ;<br /> @ IN NS ns.bolognaise.site.<br /> @ IN NS ns6.gandi.net.<br /> @ IN A 193.48.57.182<br /> @ IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4 ;addresse IPV6 de dio5<br /> ns IN A 193.48.57.182<br /> ns IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> www IN A 193.48.57.182<br /> www IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> <br /> Pour que les modifications seront prises en compte :<br /> service named restart<br /> <br /> Nous faisions un test pour vérifer la fonctionalité de la forward zone :<br /> <br /> root@dio5:~# host bolognaise.site localhost<br /> Using domain server:<br /> Name: localhost<br /> Address: 127.0.0.1#53<br /> Aliases:<br /> <br /> bolognaise.site has address 193.48.57.182<br /> bolognaise.site has IPv6 address 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> <br /> Ensuite nous allons faire la même démarche pour la '''reverse zone''', où on commence par la copie du fichier comme suit : <br /> cp /etc/bind/db.127 /etc/bind/db.193.48.57 <br /> <br /> Voici le contenu du fichier '''/etc/bind/db.127''' :<br /> <br /> ;<br /> ; BIND reverse data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA localhost. root.localhost. (<br /> 1 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> ;<br /> @ IN NS localhost.<br /> 1.0.0 IN PTR localhost.<br /> <br /> <br /> Nous allons configuré le fichier '''/etc/bind/db.193.48.57''' de la façon suivante : <br /> <br /> ;<br /> ; BIND reverse data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA ns.bolognaise.site. root.bolognaise.site. (<br /> 1 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS ns.bolognaise.site.<br /> 182 IN PTR ns.bolognaise.site.<br /> <br /> <br /> Pour que les modifications seront prises en compte :<br /> service named restart<br /> <br /> Voici un test pour la reverse zone : <br /> root@dio5:~# host 193.48.57.182 localhost<br /> Using domain server:<br /> Name: localhost<br /> Address: 127.0.0.1#53<br /> Aliases:<br /> <br /> 182.57.48.193.in-addr.arpa domain name pointer ns.bolognaise.site.<br /> Notre DNS étant maintenant fonctionnel, nous avons pu refaire la demande sur Gandi pour les serveurs externes IPv4 et IPv6, pour rappel : ''' ns.bolognaise.site et ns6.gandi.net'''<br /> <br /> == Sécurisation du DNS par DNSSEC ==<br /> Pour sécuriser notre DNS par DNSSEC, nous aurons besions des clés DNSSEC, que nous allons les ranger dans le répertoire suivant : <br /> <br /> /etc/bind/bolognaise.site.dnssec<br /> <br /> Ensuite nous allons créé les clés DNSSEC :<br /> <br /> * '''KSK (Key Signing Key)'''<br /> dnssec-keygen -a RSASHA1 -b 2048 -f KSK -n ZONE bolognaise.site<br /> * '''ZSK (Zone Signing Key)'''<br /> dnssec-keygen -a RSASHA1 -b 1024 -n ZONE bolognaise.site<br /> Puis nous injectons les clés KSK et ZSK (Privées et Publiques) dans les fichiers qui leurs corresponds : <br /> <br /> mv ./Kbolognaise.site.+005+14017.key ./bolognaise.site-zsk.key<br /> mv ./Kbolognaise.site.+005+19378.private ./bolognaise.site-zsk.private<br /> mv ./Kbolognaise.site.+005+13782.private ./bolognaise.site-ksk.private<br /> mv ./Kbolognaise.site.+005+02617.key ./bolognaise.site-ksk.key<br /> <br /> On n'oublie pas de mettre la clé publique '''KSK sur gandi''', en prenant l'algorithme de '''RSA/SHA1'''.<br /> <br /> Dans le fichier '''/etc/bind/named.conf.options''' on ajoute le ligne suivante pour activer le dnssec :<br /> dnssec-enable yes;<br /> <br /> Ensuite nous allons modifié du nouveau le fichier '''/etc/bind/named.conf.local''' <br /> en ajoutant le champs '''signed''': <br /> zone &quot;bolognaise.site&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.bolognaise.site.signed&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> zone &quot;57.48.193.in-addr.arpa&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.193.48.57&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> Cela va impliquer la prise en compte des fichiers des zones.<br /> Après nous allons inclure les clés que nous l'avons créé dans le fichier '''/etc/bind/db.bolognaise.site'''<br /> <br /> *Pour la clé ZSK : <br /> $INCLUDE &quot;/etc/bind/bolognaise.site.dnssec/bolognaise.site-zsk.key&quot;;<br /> *Pour la clé KSK : <br /> $INCLUDE &quot;/etc/bind/bolognaise.site.dnssec/bolognaise.site-ksk.key&quot;;<br /> <br /> Et pour terminer, nous avons signé le fichier de zone comme suivant :<br /> dnssec-signzone -k bolognaise.site-ksk.key -o bolognaise.site ../db.bolognaise.site bolognaise.site-zsk.key<br /> <br /> == Modification du html de notre serveur pour ajouter une photo de BOLOGNAISE ==<br /> <br /> Dans le fichier &lt;code&gt;/var/www/html/index.html&lt;/code&gt;, nous avons modifié le code source de la page de notre site &lt;br/&gt; d'une façon à avoir l'image de bolognaise qui s'affiche. Voici le code HTML : <br /> <br /> <br /> &lt;!DOCTYPE html PUBLIC &quot;-//W3C//DTD XHTML 1.0 Transitional//EN&quot; &quot;http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd&quot;&gt;<br /> &lt;html xmlns=&quot;http://www.w3.org/1999/xhtml&quot;&gt;<br /> &lt;head&gt;<br /> &lt;meta http-equiv=&quot;Content-Type&quot; content=&quot;text/html; charset=UTF-8&quot; /&gt;<br /> &lt;title&gt;NOS Bolognaises !!!&lt;/title&gt;<br /> &lt;/head&gt;<br /> <br /> &lt;style&gt;<br /> img{<br /> height:70vh;<br /> margin:auto;<br /> display:block;<br /> }<br /> <br /> &lt;/style&gt;<br /> &lt;body&gt;<br /> &lt;img src=&quot;bolognaise.jpg&quot;&gt;<br /> &lt;a href=&quot;portail.polytech-lille.fr&quot;&gt;ICI polytech&lt;/a&gt;<br /> &lt;/body&gt;<br /> &lt;/html&gt;<br /> <br /> Si on écrit dans un navigateur : &lt;code&gt;https://bolognaise.site&lt;/code&gt; on peut arriver directement dans notre site.<br /> <br /> ==Gestion de fail2ban==<br /> Nous avons commencé par installer la commande '''fail2ban''' : <br /> <br /> apt install fail2ban<br /> <br /> <br /> == Mise en place d'un disque en RAID 5===<br /> A COMPLETER<br /> +TEST <br /> <br /> === Cassage de mot de passe WEP ===<br /> A COMPLETER<br /> <br /> === Cassage de mot de passe WPA-PSK par brut force===<br /> A COMPLETER + photo<br /> <br /> =Coffre Fort=<br /> <br /> [[Fichier:Coffre_secret2.zip]]</div>

Ylacroix https://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA5_2022/2023_G5&diff=60576 2022-12-02T18:26:55Z

<p>Ylacroix : /* Paramétrage routeur E304 */</p> <hr /> <div>=Installation de l'OS=<br /> <br /> Devuan Chimaera (netinstall) sur les zabeth 17 et 11<br /> <br /> ==Configuration réseau==<br /> *IP machine : 172.26.145.50+n°zabeth/24<br /> *DNS : 193.48.57.48<br /> *Domain name : plil.info<br /> *Routeur : 172.26.145.254<br /> *Proxy : http://proxy.polyetch-lille.fr:3128<br /> <br /> <br /> *mdp dio5 : XXXXXX<br /> <br /> =Ansible=<br /> Prérequis:<br /> *python<br /> *pip<br /> *ansible<br /> Rédaction du script ansible pour le Screen Saver (.yml)<br /> <br /> Tâches accomplies : <br /> * Suppression des animations de veille d'écran<br /> <br /> Tâches restantes : <br /> * Fixer une animation lente pour la veille<br /> * Eteindre complétement l'écran au bout d'un certain temps (1 heure)<br /> <br /> =Réalisation=<br /> ==Installation de la machine virtuelle XEN (séance 2)==<br /> <br /> '''Connexion au serveur hébergeant les VM :'''<br /> ssh root@capbreton.plil.info<br /> <br /> '''Création de l'image de conifguration de la VM :'''<br /> <br /> xen-create-image --ip=193.48.57.105 --gateway=193.48.57.161 --netmask=255.255.255.0 --hostname=dio5 --dist=chimaera --dir=/usr/local/xen/<br /> <br /> /!\ Adresse ip provisoire car réseau 193.48.57.160/27 non créé pour le moment. Actuellement ip : 172.26.145.105 /!\<br /> <br /> '''Modification du fichier de config (image):'''<br /> /etc/xen/dio5.cfg --&gt; <br /> <br /> '''Création de la VM à partir de l'image précédemment créée :'''<br /> xen create dio5.cfg (en étant dans le dir /etc/xen/ évidemment)<br /> <br /> '''Lancement de la VM :'''<br /> xen console dio5<br /> login: root<br /> password: XXXXXX<br /> Vérifier avant que la machine a bien été lancée avec &lt;code&gt;xen create dio5.cfg&lt;/code&gt; par la commande &lt;code&gt;xen list&lt;/code&gt;<br /> <br /> ==Séance 3==<br /> ===Amélioration du coffre fort===<br /> Un dossier compressé est en bas de page<br /> <br /> ===Création des volumes virtuels===<br /> Sur Capbreton, on créé les LVM /home /var avec leurs systèmes de fichiers : <br /> <br /> &lt;code&gt;lvcreate -L10G -ndio5_home storage &lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_home&lt;/code&gt;<br /> <br /> &lt;code&gt;lvcreate -L5G -ndio5_var storage&lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_var&lt;/code&gt;<br /> <br /> Il faut changer le fichier de configuration (situé dans /etc/xen) et y ajouter ces deux lignes dans la partie &lt;code&gt;disk =&lt;/code&gt;<br /> <br /> 'phy:/dev/storage/dio5_home,xvdb1,w',<br /> 'phy:/dev/storage/dio5_var,xvdb2,w',<br /> Ainsi que modifier la ligne &lt;code&gt;vif&lt;/code&gt; comme suit :<br /> vif = [ 'mac=00:16:3E:7B:4D:A4,bridge=IMA5sc' ]<br /> <br /> On relance ensuite la machine avec &lt;code&gt;xen create&lt;/code&gt;. <br /> Pour monter les deux partitions, il faut ensuite modifier le fichier '''/etc/fstab''' comme suit :<br /> /dev/xvdb1 /home ext4 defaults 0 2<br /> /dev/xvdb2 /var ext4 defaults 0 2<br /> Pour que ces modificcations soient prises en compte :<br /> mount -a<br /> reboot<br /> <br /> ==Séance 4==<br /> ===Sécurisation par certificat TLS===<br /> Nous avons commencé par lancer la machine virtuelle qui était créée et configurée lors des séances précédentes. &lt;br/&gt;<br /> Ensuite nous avons acheté le nom de domaine ''' blanquette.site ''' via le fournisseur de nom de domaine GANDI. Ce nom de domaine servira par la suite pour héberger notre site web Apache. &lt;br/&gt;<br /> Pour sécuriser la connexion HTTPS sur Apache, il est nécessaire de créer une clé et un CSR. On utilise pour cela l'utilitaire OpenSSL et on exécute les commandes : &lt;br/&gt;<br /> apt install openssl<br /> openssl req -nodes -newkey rsa:2048 -sha256 -keyout myserver.key -out server.csr -utf8<br /> Pour valider cette demande de certificat et obtenir notre certificat TSL, nous avons également utilisé GANDI.&lt;br/&gt;<br /> <br /> ===Configuration du routeur de secours (Cisco 9200????)===<br /> Pendant que d'autres binômes s'occupaient de la configuration physique des routeurs (câblage), nous nous sommes occupés de configurer le routeur en E304. Pour cela, on accède à l'interface de configuration Cisco du routeur par port série, via minicom :&lt;br/&gt;<br /> minicom -os &quot;&quot;&quot;device:/dev/ttyUSB0, baudrate:9600, pas de contrôle de flux&quot;&quot;&quot;<br /> Depuis cette interface, création de 3 vlan et configuration des ports physiques associés pour répondre à l'architecture réseau demandée pour le TP :<br /> * Connexion entre le routeur et Capbreton sur le VLAN 2 :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 2<br /> routeur(vlan)#name Capb-E304<br /> routeur#exit<br /> routeur#int Te5/4<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 2<br /> Il restera ensuite à configurer ce vlan sur le réseau '''193.48.57.176/28'''<br /> <br /> * Connexion de redondance entre les deux routeurs :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 64<br /> routeur(vlan)#name INTERCO-E306/304<br /> Après le choix du port à connecter sur le routeur, il restera à attribuer ce port au vlan 64 en mode '''trunk'''.<br /> <br /> * Connexion entre le routeur et le SR2<br /> enable<br /> routeur#conf t<br /> routeur#vlan 531<br /> routeur(vlan)#name INTERCO-5A<br /> routeur#exit<br /> routeur#int Te5/5<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 531<br /> Il restera ensuite à configurer ce vlan sur le réseau '''192.168.222.72/29'''<br /> <br /> PHOTO A METTRE !!! &lt;br/&gt;<br /> Pour checker la configuration des vlan du routeur :<br /> routeur#show interfaces status<br /> ou :<br /> routeur#show interface vlan X<br /> <br /> <br /> ==Séance 5==<br /> <br /> Tout d'abord nous avons commencé à vérifer le fonctionnement de notre service SSH sur la machine Xen.<br /> Pour cela nous avons modifié en premier temps après avoir être connecté sur la machine virtuelle le fichier '''sshd_config''' situé dans :<br /> /etc/ssh<br /> comme suit :<br /> # Authentication:<br /> #LoginGraceTime 2m<br /> PermitRootLogin yes<br /> #StrictModes yes<br /> #MaxAuthTries 6<br /> #MaxSessions 10<br /> <br /> d'où nous avons décommenté la ligne de qui nous permet de se connecter en tant que root, ensuite nous avons lui donné cette permission par l'expression '''yes'''.<br /> <br /> Une fois que cette étape est faite, nous avons lancé dans le shell la commande suivante : <br /> root@dio5:~# service ssh restart<br /> Dans le but de prendre en compte les modifications faites.<br /> <br /> Pour vérfier la connexion en ssh, nous lançons depuis notre machine zabeth17 la commande suivante :<br /> root@zabeth17:~# ssh root@172.26.145.105<br /> <br /> '''Attribution de l'adresse IP à VLAN2''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 2<br /> routeur#ip address 193.48.57.178 255.255.255.240<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Attribution de l'adresse IP à VLAN531''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 531<br /> routeur#ip address 192.168.222.75 255.255.255.248<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Configuration et interconnection du port trunk'''<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> conf t<br /> int Te6/5<br /> switchport<br /> switchport trunk encapsulation dot1q<br /> switchport mode trunk<br /> end<br /> <br /> *Afin de sauvegarder ces configurations; on oublie pas de les écrire par la commande :<br /> write<br /> <br /> '''Changement de l'addresse IP de la machine Xen'''<br /> *Changement du Bridge de la machine :<br /> Dans la machine Xen, nous allons modifié le fichier de configuration de notre machine dio5 (situé à /etc/xen/dio5.cfg). Il est devenu comme suivant :<br /> <br /> vif = [ 'mac=00:16:3E:2B:B5:60,bridge=IMA5sc' ]<br /> <br /> Pour prendre les modifications en compte, nous avons arreté la machine xen puis nous l'avons redemaré depuis capbreton étant bien sur dans le repretoire /etc/xen: <br /> <br /> xen shutdown dio5<br /> xen create dio5.cfg <br /> <br /> <br /> <br /> Ensuite nous avons modifié l'addresse IP de la machine dans le fichier '''/etc/network/interfaces''' avec l'addresse IP suivante et la gateway qui correspond :<br /> address 193.48.57.182<br /> gateway 193.48.57.176<br /> Pour que les modifications réseaux seront prises en compte, nous exectutons les commandes suivantes dans la machine Xen: <br /> ifdown -a<br /> ifup -a<br /> <br /> <br /> '''HTTP'''<br /> Pour que notre VM soit accessible en HTTP, il lui faut un serveur HTPP installé. Dans la machine Xen : <br /> apt install apache2<br /> <br /> '''HTTPS'''<br /> L'achat du certificat SSL nous permet de sécuriser la connexion à notre serveur Apache en HTTPS. Pour cela :<br /> a2enmod ssl<br /> a2ensite default-ssl.conf<br /> service apache2 restart<br /> On modifie ensuite le fichier '''/etc/apache2/sites-enabled/default-ssl.conf''' de telle sorte à y renseigner le certificat SSL, le certificat intermédiaire et notre clé privée.<br /> Les certificats sont à télécharger sur Gandi et à transférer sur notre VM en scp.<br /> <br /> ==Séance 6==<br /> ==Serveur DNS==<br /> <br /> Tout d'abord, sur le site '''gandi''', dans la section Glue record, nous avons renseigné un nom de domaine &lt;code&gt;ns.bolognaise.site&lt;/code&gt;, et nous avons ajouté les adresses IPv4 et IPv6 associé à notre machine xen.<br /> IPv4 : 193.48.57.182<br /> IPv6 : 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> Ensuite dans la section NameServer nous avons ajouté un DNS secondaire &lt;code&gt;ns6.gandi.net&lt;/code&gt; dont son adresse IPv4 est la suivante : &lt;code&gt;217.70.177.40&lt;/code&gt;.<br /> <br /> Nous avons installé bind9 par &lt;code&gt;apt install bind9&lt;/code&gt;.<br /> <br /> '''Configuration du fichier d'option pour bind'''&lt;br/&gt;<br /> Modification du fichier &lt;code&gt;/etc/bind/named.conf.options&lt;/code&gt;<br /> <br /> <br /> options {<br /> directory &quot;/var/cache/bind&quot;;<br /> forwarders {<br /> 8.8.8.8;<br /> 4.4.2.2; //ou 8.8.4.4 <br /> };<br /> dnssec-validation auto;<br /> recursion yes;<br /> listen-on-v6 { any; };<br /> listen-on {any;};<br /> allow-recursion{trusted;};<br /> //allow-transfer{none;};<br /> };<br /> listen-on-v6 { any;}<br /> acl trusted{<br /> 193.48.57.182; //ns.bolognaise.net <br /> 217.70.177.40; //ns6.gandi.net<br /> };<br /> <br /> == Paramétrage routeur E304 ==<br /> Afin de finir la configuration du routeur en E304, il est nécessaire de mettre en place deux protocoles : &lt;br/&gt;&lt;br/&gt;<br /> '''OSBF''': partage de routes entre les deux routeurs<br /> En effet, l'objectif d'avoir 2 routeurs pour accéder au SR52 est d'avoir une redondance du réseau robuste aux pannes. Néanmoins, il faut pour cela que les deux routeurs connaissent chacun les tables de routages de l'autre. Ci-dessous la configuration OSBF du routeur E304 :<br /> router ospf 1<br /> router-id 192.162.222.6<br /> summary-address 192.168.0.0 255.255.0.0 not-advertise<br /> summary-address 193.48.57.176 255.255.255.240<br /> redistribute connected subnets ! subnets allowed<br /> redistribute static subnets route-map ospf ! subnets allowed<br /> network 192.168.222.72 0.0.0.7 area 20<br /> default-information originate<br /> Pour vérifier si le partage de routes est fonctionnel, on tape dans l'interface Cisco du routeur :<br /> do show ip route<br /> Si les routes du routeur en E306 s'affiche, c'est que le protocole a bien été configuré&lt;br/&gt;&lt;br/&gt;<br /> <br /> <br /> '''RIPv6''': <br /> La première est de permettre au routeur d'attribuer des adresses IPv6 aux différentes machines sur son réseau (Xen ...), un peu à la manière d'un DHCP. Ci-dessous la configuration :<br /> interface vlan 2 <br /> ipv6 enable<br /> ipv6 address 2001:660:4401:60b0::/64 eui-64<br /> ipv6 nd prefix 2001:660:4401:60b0::/64 1000 900<br /> ipv6 nd router-preference high<br /> !<br /> ipv6 unicast-routing<br /> <br /> La deuxième étape est d'activer le routage IPv6 entre les deux routeurs et de définir les priorités de route :<br /> ipv6 rip tpima5sc enable<br /> ipv6 router rip tpima5sc<br /> redistribute connected metric 1 XXXXXXXXX<br /> redistribute rip 1 metric 1<br /> redistribute static metric 1<br /> !<br /> Pour tester que le routage IPv6 est bien activé :<br /> do show ipv6 route<br /> <br /> '''VRRP''' :<br /> Pour rendre notre réseau plus robuste, on a finalement implémenté le protocole VRRP sur le routeur. On a simplement repris la configuration donnée dans le sujet de TP et adaptée à notre cas. Pour la priorité, nous avons indiqué :<br /> <br /> vrrp 1 priority 90<br /> De cette manière, on a définit le routeur en E304 de telle sorte à ce qu'il ne soit pas prioritaire par rapport au 6509E en E306, puisque ce dernier a été configuré avec une priorité de 100.<br /> <br /> ===Schéma ===<br /> Pour récapituler l'architecture réseau, on peut regrouper de nombreuses informations dans le schéma ci-dessous :<br /> <br /> PHOTO<br /> <br /> = Séance 7 (dernière séance)=<br /> ==Suite DNS==<br /> Fin de la configuration des fichiers DNS '''/etc/bind/named.conf.options''' , '''/etc/bind/named.conf.options.local''' et <br /> <br /> Génération des clés dnssec dans un répertoire '''/etc/bind/bolognaise.site.dnssec'''<br /> <br /> Une fois que le fichier '''/etc/bind/named.conf.options''' est rempli d'une manière à configurer notre DNS, nous avons mis en place une configuration des '''forward''' et des '''zones''' comme suit :<br /> <br /> Dans le fichier '''/etc/bind/named.conf.local''' : <br /> <br /> zone &quot;57.48.193.in-addr.arpa&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.193.48.57&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> zone &quot;bolognaise.site&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.bolognaise.site&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> Une fois que les paramètres sont ajoutés dans le fichier de configurations, nous avons créé ensuite les fichiers de zones comme suit:<br /> <br /> cp /etc/bind/db.local /etc/bind/db.bolognaise.site<br /> Cette commande va nous permettre de copier le contenu du fichier '''db.local''' dans le fichier '''db.bolognaise.site''' et qui sera créé en même temps.<br /> voici le contenu des fichiers '''/etc/bind/db.local''' et '''/etc/bind/db.bolognaise.site''' avant la configuration :<br /> <br /> ;<br /> ; BIND data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA localhost. root.localhost. (<br /> 2 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> ;<br /> @ IN NS localhost.<br /> @ IN A 127.0.0.1<br /> @ IN AAAA ::1<br /> <br /> Maintenant nous allons modifié le fichier '''/etc/bind/db.bolognaise.site'''<br /> <br /> ;<br /> ; BIND data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA ns.bolognaise.site. root.bolognaise.site. (<br /> 4 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> ;<br /> @ IN NS ns.bolognaise.site.<br /> @ IN NS ns6.gandi.net.<br /> @ IN A 193.48.57.182<br /> @ IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4 ;addresse IPV6 de dio5<br /> ns IN A 193.48.57.182<br /> ns IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> www IN A 193.48.57.182<br /> www IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> <br /> Pour que les modifications seront prises en compte :<br /> service named restart<br /> <br /> Nous faisions un test pour vérifer la fonctionalité de la forward zone :<br /> <br /> root@dio5:~# host bolognaise.site localhost<br /> Using domain server:<br /> Name: localhost<br /> Address: 127.0.0.1#53<br /> Aliases:<br /> <br /> bolognaise.site has address 193.48.57.182<br /> bolognaise.site has IPv6 address 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> <br /> Ensuite nous allons faire la même démarche pour la '''reverse zone''', où on commence par la copie du fichier comme suit : <br /> cp /etc/bind/db.127 /etc/bind/db.193.48.57 <br /> <br /> Voici le contenu du fichier '''/etc/bind/db.127''' :<br /> <br /> ;<br /> ; BIND reverse data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA localhost. root.localhost. (<br /> 1 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> ;<br /> @ IN NS localhost.<br /> 1.0.0 IN PTR localhost.<br /> <br /> <br /> Nous allons configuré le fichier '''/etc/bind/db.193.48.57''' de la façon suivante : <br /> <br /> ;<br /> ; BIND reverse data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA ns.bolognaise.site. root.bolognaise.site. (<br /> 1 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS ns.bolognaise.site.<br /> 182 IN PTR ns.bolognaise.site.<br /> <br /> <br /> Pour que les modifications seront prises en compte :<br /> service named restart<br /> <br /> Voici un test pour la reverse zone : <br /> root@dio5:~# host 193.48.57.182 localhost<br /> Using domain server:<br /> Name: localhost<br /> Address: 127.0.0.1#53<br /> Aliases:<br /> <br /> 182.57.48.193.in-addr.arpa domain name pointer ns.bolognaise.site.<br /> Notre DNS étant maintenant fonctionnel, nous avons pu refaire la demande sur Gandi pour les serveurs externes IPv4 et IPv6, pour rappel : ''' ns.bolognaise.site et ns6.gandi.net'''<br /> <br /> == Sécurisation du DNS par DNSSEC ==<br /> Pour sécuriser notre DNS par DNSSEC, nous aurons besions des clés DNSSEC, que nous allons les ranger dans le répertoire suivant : <br /> <br /> /etc/bind/bolognaise.site.dnssec<br /> <br /> Ensuite nous allons créé les clés DNSSEC :<br /> <br /> * '''KSK (Key Signing Key)'''<br /> dnssec-keygen -a RSASHA1 -b 2048 -f KSK -n ZONE bolognaise.site<br /> * '''ZSK (Zone Signing Key)'''<br /> dnssec-keygen -a RSASHA1 -b 1024 -n ZONE bolognaise.site<br /> Puis nous injectons les clés KSK et ZSK (Privées et Publiques) dans les fichiers qui leurs corresponds : <br /> <br /> mv ./Kbolognaise.site.+005+14017.key ./bolognaise.site-zsk.key<br /> mv ./Kbolognaise.site.+005+19378.private ./bolognaise.site-zsk.private<br /> mv ./Kbolognaise.site.+005+13782.private ./bolognaise.site-ksk.private<br /> mv ./Kbolognaise.site.+005+02617.key ./bolognaise.site-ksk.key<br /> <br /> On n'oublie pas de mettre la clé publique '''KSK sur gandi''', en prenant l'algorithme de '''RSA/SHA1'''.<br /> <br /> Dans le fichier '''/etc/bind/named.conf.options''' on ajoute le ligne suivante pour activer le dnssec :<br /> dnssec-enable yes;<br /> <br /> Ensuite nous allons modifié du nouveau le fichier '''/etc/bind/named.conf.local''' <br /> en ajoutant le champs '''signed''': <br /> zone &quot;bolognaise.site&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.bolognaise.site.signed&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> zone &quot;57.48.193.in-addr.arpa&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.193.48.57&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> Cela va impliquer la prise en compte des fichiers des zones.<br /> Après nous allons inclure les clés que nous l'avons créé dans le fichier '''/etc/bind/db.bolognaise.site'''<br /> <br /> *Pour la clé ZSK : <br /> $INCLUDE &quot;/etc/bind/bolognaise.site.dnssec/bolognaise.site-zsk.key&quot;;<br /> *Pour la clé KSK : <br /> $INCLUDE &quot;/etc/bind/bolognaise.site.dnssec/bolognaise.site-ksk.key&quot;;<br /> <br /> Et pour terminer, nous avons signé le fichier de zone comme suivant :<br /> dnssec-signzone -k bolognaise.site-ksk.key -o bolognaise.site ../db.bolognaise.site bolognaise.site-zsk.key<br /> <br /> == Modification du html de notre serveur pour ajouter une photo de BOLOGNAISE ==<br /> <br /> Dans le fichier &lt;code&gt;/var/www/html/index.html&lt;/code&gt;, nous avons modifié le code source de la page de notre site &lt;br/&gt; d'une façon à avoir l'image de bolognaise qui s'affiche. Voici le code HTML : <br /> <br /> <br /> &lt;!DOCTYPE html PUBLIC &quot;-//W3C//DTD XHTML 1.0 Transitional//EN&quot; &quot;http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd&quot;&gt;<br /> &lt;html xmlns=&quot;http://www.w3.org/1999/xhtml&quot;&gt;<br /> &lt;head&gt;<br /> &lt;meta http-equiv=&quot;Content-Type&quot; content=&quot;text/html; charset=UTF-8&quot; /&gt;<br /> &lt;title&gt;NOS Bolognaises !!!&lt;/title&gt;<br /> &lt;/head&gt;<br /> <br /> &lt;style&gt;<br /> img{<br /> height:70vh;<br /> margin:auto;<br /> display:block;<br /> }<br /> <br /> &lt;/style&gt;<br /> &lt;body&gt;<br /> &lt;img src=&quot;bolognaise.jpg&quot;&gt;<br /> &lt;a href=&quot;portail.polytech-lille.fr&quot;&gt;ICI polytech&lt;/a&gt;<br /> &lt;/body&gt;<br /> &lt;/html&gt;<br /> <br /> Si on écrit dans un navigateur : &lt;code&gt;https://bolognaise.site&lt;/code&gt; on peut arriver directement dans notre site.<br /> <br /> ==Gestion de fail2ban==<br /> Nous avons commencé par installer la commande '''fail2ban''' : <br /> <br /> apt install fail2ban<br /> <br /> =Coffre Fort=<br /> <br /> [[Fichier:Coffre_secret2.zip]]</div>

Ylacroix https://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA5_2022/2023_G5&diff=60575 2022-12-02T18:26:24Z

<p>Ylacroix : /* Paramétrage routeur E304 */</p> <hr /> <div>=Installation de l'OS=<br /> <br /> Devuan Chimaera (netinstall) sur les zabeth 17 et 11<br /> <br /> ==Configuration réseau==<br /> *IP machine : 172.26.145.50+n°zabeth/24<br /> *DNS : 193.48.57.48<br /> *Domain name : plil.info<br /> *Routeur : 172.26.145.254<br /> *Proxy : http://proxy.polyetch-lille.fr:3128<br /> <br /> <br /> *mdp dio5 : XXXXXX<br /> <br /> =Ansible=<br /> Prérequis:<br /> *python<br /> *pip<br /> *ansible<br /> Rédaction du script ansible pour le Screen Saver (.yml)<br /> <br /> Tâches accomplies : <br /> * Suppression des animations de veille d'écran<br /> <br /> Tâches restantes : <br /> * Fixer une animation lente pour la veille<br /> * Eteindre complétement l'écran au bout d'un certain temps (1 heure)<br /> <br /> =Réalisation=<br /> ==Installation de la machine virtuelle XEN (séance 2)==<br /> <br /> '''Connexion au serveur hébergeant les VM :'''<br /> ssh root@capbreton.plil.info<br /> <br /> '''Création de l'image de conifguration de la VM :'''<br /> <br /> xen-create-image --ip=193.48.57.105 --gateway=193.48.57.161 --netmask=255.255.255.0 --hostname=dio5 --dist=chimaera --dir=/usr/local/xen/<br /> <br /> /!\ Adresse ip provisoire car réseau 193.48.57.160/27 non créé pour le moment. Actuellement ip : 172.26.145.105 /!\<br /> <br /> '''Modification du fichier de config (image):'''<br /> /etc/xen/dio5.cfg --&gt; <br /> <br /> '''Création de la VM à partir de l'image précédemment créée :'''<br /> xen create dio5.cfg (en étant dans le dir /etc/xen/ évidemment)<br /> <br /> '''Lancement de la VM :'''<br /> xen console dio5<br /> login: root<br /> password: XXXXXX<br /> Vérifier avant que la machine a bien été lancée avec &lt;code&gt;xen create dio5.cfg&lt;/code&gt; par la commande &lt;code&gt;xen list&lt;/code&gt;<br /> <br /> ==Séance 3==<br /> ===Amélioration du coffre fort===<br /> Un dossier compressé est en bas de page<br /> <br /> ===Création des volumes virtuels===<br /> Sur Capbreton, on créé les LVM /home /var avec leurs systèmes de fichiers : <br /> <br /> &lt;code&gt;lvcreate -L10G -ndio5_home storage &lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_home&lt;/code&gt;<br /> <br /> &lt;code&gt;lvcreate -L5G -ndio5_var storage&lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_var&lt;/code&gt;<br /> <br /> Il faut changer le fichier de configuration (situé dans /etc/xen) et y ajouter ces deux lignes dans la partie &lt;code&gt;disk =&lt;/code&gt;<br /> <br /> 'phy:/dev/storage/dio5_home,xvdb1,w',<br /> 'phy:/dev/storage/dio5_var,xvdb2,w',<br /> Ainsi que modifier la ligne &lt;code&gt;vif&lt;/code&gt; comme suit :<br /> vif = [ 'mac=00:16:3E:7B:4D:A4,bridge=IMA5sc' ]<br /> <br /> On relance ensuite la machine avec &lt;code&gt;xen create&lt;/code&gt;. <br /> Pour monter les deux partitions, il faut ensuite modifier le fichier '''/etc/fstab''' comme suit :<br /> /dev/xvdb1 /home ext4 defaults 0 2<br /> /dev/xvdb2 /var ext4 defaults 0 2<br /> Pour que ces modificcations soient prises en compte :<br /> mount -a<br /> reboot<br /> <br /> ==Séance 4==<br /> ===Sécurisation par certificat TLS===<br /> Nous avons commencé par lancer la machine virtuelle qui était créée et configurée lors des séances précédentes. &lt;br/&gt;<br /> Ensuite nous avons acheté le nom de domaine ''' blanquette.site ''' via le fournisseur de nom de domaine GANDI. Ce nom de domaine servira par la suite pour héberger notre site web Apache. &lt;br/&gt;<br /> Pour sécuriser la connexion HTTPS sur Apache, il est nécessaire de créer une clé et un CSR. On utilise pour cela l'utilitaire OpenSSL et on exécute les commandes : &lt;br/&gt;<br /> apt install openssl<br /> openssl req -nodes -newkey rsa:2048 -sha256 -keyout myserver.key -out server.csr -utf8<br /> Pour valider cette demande de certificat et obtenir notre certificat TSL, nous avons également utilisé GANDI.&lt;br/&gt;<br /> <br /> ===Configuration du routeur de secours (Cisco 9200????)===<br /> Pendant que d'autres binômes s'occupaient de la configuration physique des routeurs (câblage), nous nous sommes occupés de configurer le routeur en E304. Pour cela, on accède à l'interface de configuration Cisco du routeur par port série, via minicom :&lt;br/&gt;<br /> minicom -os &quot;&quot;&quot;device:/dev/ttyUSB0, baudrate:9600, pas de contrôle de flux&quot;&quot;&quot;<br /> Depuis cette interface, création de 3 vlan et configuration des ports physiques associés pour répondre à l'architecture réseau demandée pour le TP :<br /> * Connexion entre le routeur et Capbreton sur le VLAN 2 :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 2<br /> routeur(vlan)#name Capb-E304<br /> routeur#exit<br /> routeur#int Te5/4<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 2<br /> Il restera ensuite à configurer ce vlan sur le réseau '''193.48.57.176/28'''<br /> <br /> * Connexion de redondance entre les deux routeurs :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 64<br /> routeur(vlan)#name INTERCO-E306/304<br /> Après le choix du port à connecter sur le routeur, il restera à attribuer ce port au vlan 64 en mode '''trunk'''.<br /> <br /> * Connexion entre le routeur et le SR2<br /> enable<br /> routeur#conf t<br /> routeur#vlan 531<br /> routeur(vlan)#name INTERCO-5A<br /> routeur#exit<br /> routeur#int Te5/5<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 531<br /> Il restera ensuite à configurer ce vlan sur le réseau '''192.168.222.72/29'''<br /> <br /> PHOTO A METTRE !!! &lt;br/&gt;<br /> Pour checker la configuration des vlan du routeur :<br /> routeur#show interfaces status<br /> ou :<br /> routeur#show interface vlan X<br /> <br /> <br /> ==Séance 5==<br /> <br /> Tout d'abord nous avons commencé à vérifer le fonctionnement de notre service SSH sur la machine Xen.<br /> Pour cela nous avons modifié en premier temps après avoir être connecté sur la machine virtuelle le fichier '''sshd_config''' situé dans :<br /> /etc/ssh<br /> comme suit :<br /> # Authentication:<br /> #LoginGraceTime 2m<br /> PermitRootLogin yes<br /> #StrictModes yes<br /> #MaxAuthTries 6<br /> #MaxSessions 10<br /> <br /> d'où nous avons décommenté la ligne de qui nous permet de se connecter en tant que root, ensuite nous avons lui donné cette permission par l'expression '''yes'''.<br /> <br /> Une fois que cette étape est faite, nous avons lancé dans le shell la commande suivante : <br /> root@dio5:~# service ssh restart<br /> Dans le but de prendre en compte les modifications faites.<br /> <br /> Pour vérfier la connexion en ssh, nous lançons depuis notre machine zabeth17 la commande suivante :<br /> root@zabeth17:~# ssh root@172.26.145.105<br /> <br /> '''Attribution de l'adresse IP à VLAN2''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 2<br /> routeur#ip address 193.48.57.178 255.255.255.240<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Attribution de l'adresse IP à VLAN531''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 531<br /> routeur#ip address 192.168.222.75 255.255.255.248<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Configuration et interconnection du port trunk'''<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> conf t<br /> int Te6/5<br /> switchport<br /> switchport trunk encapsulation dot1q<br /> switchport mode trunk<br /> end<br /> <br /> *Afin de sauvegarder ces configurations; on oublie pas de les écrire par la commande :<br /> write<br /> <br /> '''Changement de l'addresse IP de la machine Xen'''<br /> *Changement du Bridge de la machine :<br /> Dans la machine Xen, nous allons modifié le fichier de configuration de notre machine dio5 (situé à /etc/xen/dio5.cfg). Il est devenu comme suivant :<br /> <br /> vif = [ 'mac=00:16:3E:2B:B5:60,bridge=IMA5sc' ]<br /> <br /> Pour prendre les modifications en compte, nous avons arreté la machine xen puis nous l'avons redemaré depuis capbreton étant bien sur dans le repretoire /etc/xen: <br /> <br /> xen shutdown dio5<br /> xen create dio5.cfg <br /> <br /> <br /> <br /> Ensuite nous avons modifié l'addresse IP de la machine dans le fichier '''/etc/network/interfaces''' avec l'addresse IP suivante et la gateway qui correspond :<br /> address 193.48.57.182<br /> gateway 193.48.57.176<br /> Pour que les modifications réseaux seront prises en compte, nous exectutons les commandes suivantes dans la machine Xen: <br /> ifdown -a<br /> ifup -a<br /> <br /> <br /> '''HTTP'''<br /> Pour que notre VM soit accessible en HTTP, il lui faut un serveur HTPP installé. Dans la machine Xen : <br /> apt install apache2<br /> <br /> '''HTTPS'''<br /> L'achat du certificat SSL nous permet de sécuriser la connexion à notre serveur Apache en HTTPS. Pour cela :<br /> a2enmod ssl<br /> a2ensite default-ssl.conf<br /> service apache2 restart<br /> On modifie ensuite le fichier '''/etc/apache2/sites-enabled/default-ssl.conf''' de telle sorte à y renseigner le certificat SSL, le certificat intermédiaire et notre clé privée.<br /> Les certificats sont à télécharger sur Gandi et à transférer sur notre VM en scp.<br /> <br /> ==Séance 6==<br /> ==Serveur DNS==<br /> <br /> Tout d'abord, sur le site '''gandi''', dans la section Glue record, nous avons renseigné un nom de domaine &lt;code&gt;ns.bolognaise.site&lt;/code&gt;, et nous avons ajouté les adresses IPv4 et IPv6 associé à notre machine xen.<br /> IPv4 : 193.48.57.182<br /> IPv6 : 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> Ensuite dans la section NameServer nous avons ajouté un DNS secondaire &lt;code&gt;ns6.gandi.net&lt;/code&gt; dont son adresse IPv4 est la suivante : &lt;code&gt;217.70.177.40&lt;/code&gt;.<br /> <br /> Nous avons installé bind9 par &lt;code&gt;apt install bind9&lt;/code&gt;.<br /> <br /> '''Configuration du fichier d'option pour bind'''&lt;br/&gt;<br /> Modification du fichier &lt;code&gt;/etc/bind/named.conf.options&lt;/code&gt;<br /> <br /> <br /> options {<br /> directory &quot;/var/cache/bind&quot;;<br /> forwarders {<br /> 8.8.8.8;<br /> 4.4.2.2; //ou 8.8.4.4 <br /> };<br /> dnssec-validation auto;<br /> recursion yes;<br /> listen-on-v6 { any; };<br /> listen-on {any;};<br /> allow-recursion{trusted;};<br /> //allow-transfer{none;};<br /> };<br /> listen-on-v6 { any;}<br /> acl trusted{<br /> 193.48.57.182; //ns.bolognaise.net <br /> 217.70.177.40; //ns6.gandi.net<br /> };<br /> <br /> == Paramétrage routeur E304 ==<br /> Afin de finir la configuration du routeur en E304, il est nécessaire de mettre en place deux protocoles : &lt;br/&gt;&lt;br/&gt;<br /> '''OSBF''': partage de routes entre les deux routeurs<br /> En effet, l'objectif d'avoir 2 routeurs pour accéder au SR52 est d'avoir une redondance du réseau robuste aux pannes. Néanmoins, il faut pour cela que les deux routeurs connaissent chacun les tables de routages de l'autre. Ci-dessous la configuration OSBF du routeur E304 :<br /> router ospf 1<br /> router-id 192.162.222.6<br /> summary-address 192.168.0.0 255.255.0.0 not-advertise<br /> summary-address 193.48.57.176 255.255.255.240<br /> redistribute connected subnets ! subnets allowed<br /> redistribute static subnets route-map ospf ! subnets allowed<br /> network 192.168.222.72 0.0.0.7 area 20<br /> default-information originate<br /> Pour vérifier si le partage de routes est fonctionnel, on tape dans l'interface Cisco du routeur :<br /> do show ip route<br /> Si les routes du routeur en E306 s'affiche, c'est que le protocole a bien été configuré&lt;br/&gt;&lt;br/&gt;<br /> <br /> <br /> '''RIPv6''': <br /> La première est de permettre au routeur d'attribuer des adresses IPv6 aux différentes machines sur son réseau (Xen ...), un peu à la manière d'un DHCP. Ci-dessous la configuration :<br /> interface vlan 2 <br /> ipv6 enable<br /> ipv6 address 2001:660:4401:60b0::/64 eui-64<br /> ipv6 nd prefix 2001:660:4401:60b0::/64 1000 900<br /> ipv6 nd router-preference high<br /> !<br /> ipv6 unicast-routing<br /> <br /> La deuxième étape est d'activer le routage IPv6 entre les deux routeurs et de définir les priorités de route :<br /> ipv6 rip tpima5sc enable<br /> ipv6 router rip tpima5sc<br /> redistribute connected metric 1 XXXXXXXXX<br /> redistribute rip 1 metric 1<br /> redistribute static metric 1<br /> !<br /> Pour tester que le routage IPv6 est bien activé :<br /> do show ipv6 route<br /> <br /> '''VRRP''' :<br /> Pour rendre notre réseau plus robuste, on a finalement implémenté le protocole VRRP sur le routeur. On a simplement repris la configuration donnée dans le sujet de TP et adaptée à notre cas. Pour la priorité, nous avons indiqué :<br /> <br /> vrrp 1 priority 90<br /> De cette manière, on a définit le routeur en E304 de telle sorte à ce qu'il ne soit pas prioritaire par rapport au 6509E en E306, puisque ce dernier a été configuré avec une priorité de 100.<br /> <br /> '''Schéma'''<br /> Pour récapituler l'architecture réseau, on peut regrouper de nombreuses informations dans le schéma ci-dessous :<br /> <br /> PHOTO<br /> <br /> = Séance 7 (dernière séance)=<br /> ==Suite DNS==<br /> Fin de la configuration des fichiers DNS '''/etc/bind/named.conf.options''' , '''/etc/bind/named.conf.options.local''' et <br /> <br /> Génération des clés dnssec dans un répertoire '''/etc/bind/bolognaise.site.dnssec'''<br /> <br /> Une fois que le fichier '''/etc/bind/named.conf.options''' est rempli d'une manière à configurer notre DNS, nous avons mis en place une configuration des '''forward''' et des '''zones''' comme suit :<br /> <br /> Dans le fichier '''/etc/bind/named.conf.local''' : <br /> <br /> zone &quot;57.48.193.in-addr.arpa&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.193.48.57&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> zone &quot;bolognaise.site&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.bolognaise.site&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> Une fois que les paramètres sont ajoutés dans le fichier de configurations, nous avons créé ensuite les fichiers de zones comme suit:<br /> <br /> cp /etc/bind/db.local /etc/bind/db.bolognaise.site<br /> Cette commande va nous permettre de copier le contenu du fichier '''db.local''' dans le fichier '''db.bolognaise.site''' et qui sera créé en même temps.<br /> voici le contenu des fichiers '''/etc/bind/db.local''' et '''/etc/bind/db.bolognaise.site''' avant la configuration :<br /> <br /> ;<br /> ; BIND data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA localhost. root.localhost. (<br /> 2 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> ;<br /> @ IN NS localhost.<br /> @ IN A 127.0.0.1<br /> @ IN AAAA ::1<br /> <br /> Maintenant nous allons modifié le fichier '''/etc/bind/db.bolognaise.site'''<br /> <br /> ;<br /> ; BIND data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA ns.bolognaise.site. root.bolognaise.site. (<br /> 4 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> ;<br /> @ IN NS ns.bolognaise.site.<br /> @ IN NS ns6.gandi.net.<br /> @ IN A 193.48.57.182<br /> @ IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4 ;addresse IPV6 de dio5<br /> ns IN A 193.48.57.182<br /> ns IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> www IN A 193.48.57.182<br /> www IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> <br /> Pour que les modifications seront prises en compte :<br /> service named restart<br /> <br /> Nous faisions un test pour vérifer la fonctionalité de la forward zone :<br /> <br /> root@dio5:~# host bolognaise.site localhost<br /> Using domain server:<br /> Name: localhost<br /> Address: 127.0.0.1#53<br /> Aliases:<br /> <br /> bolognaise.site has address 193.48.57.182<br /> bolognaise.site has IPv6 address 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> <br /> Ensuite nous allons faire la même démarche pour la '''reverse zone''', où on commence par la copie du fichier comme suit : <br /> cp /etc/bind/db.127 /etc/bind/db.193.48.57 <br /> <br /> Voici le contenu du fichier '''/etc/bind/db.127''' :<br /> <br /> ;<br /> ; BIND reverse data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA localhost. root.localhost. (<br /> 1 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> ;<br /> @ IN NS localhost.<br /> 1.0.0 IN PTR localhost.<br /> <br /> <br /> Nous allons configuré le fichier '''/etc/bind/db.193.48.57''' de la façon suivante : <br /> <br /> ;<br /> ; BIND reverse data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA ns.bolognaise.site. root.bolognaise.site. (<br /> 1 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS ns.bolognaise.site.<br /> 182 IN PTR ns.bolognaise.site.<br /> <br /> <br /> Pour que les modifications seront prises en compte :<br /> service named restart<br /> <br /> Voici un test pour la reverse zone : <br /> root@dio5:~# host 193.48.57.182 localhost<br /> Using domain server:<br /> Name: localhost<br /> Address: 127.0.0.1#53<br /> Aliases:<br /> <br /> 182.57.48.193.in-addr.arpa domain name pointer ns.bolognaise.site.<br /> Notre DNS étant maintenant fonctionnel, nous avons pu refaire la demande sur Gandi pour les serveurs externes IPv4 et IPv6, pour rappel : ''' ns.bolognaise.site et ns6.gandi.net'''<br /> <br /> == Sécurisation du DNS par DNSSEC ==<br /> Pour sécuriser notre DNS par DNSSEC, nous aurons besions des clés DNSSEC, que nous allons les ranger dans le répertoire suivant : <br /> <br /> /etc/bind/bolognaise.site.dnssec<br /> <br /> Ensuite nous allons créé les clés DNSSEC :<br /> <br /> * '''KSK (Key Signing Key)'''<br /> dnssec-keygen -a RSASHA1 -b 2048 -f KSK -n ZONE bolognaise.site<br /> * '''ZSK (Zone Signing Key)'''<br /> dnssec-keygen -a RSASHA1 -b 1024 -n ZONE bolognaise.site<br /> Puis nous injectons les clés KSK et ZSK (Privées et Publiques) dans les fichiers qui leurs corresponds : <br /> <br /> mv ./Kbolognaise.site.+005+14017.key ./bolognaise.site-zsk.key<br /> mv ./Kbolognaise.site.+005+19378.private ./bolognaise.site-zsk.private<br /> mv ./Kbolognaise.site.+005+13782.private ./bolognaise.site-ksk.private<br /> mv ./Kbolognaise.site.+005+02617.key ./bolognaise.site-ksk.key<br /> <br /> On n'oublie pas de mettre la clé publique '''KSK sur gandi''', en prenant l'algorithme de '''RSA/SHA1'''.<br /> <br /> Dans le fichier '''/etc/bind/named.conf.options''' on ajoute le ligne suivante pour activer le dnssec :<br /> dnssec-enable yes;<br /> <br /> Ensuite nous allons modifié du nouveau le fichier '''/etc/bind/named.conf.local''' <br /> en ajoutant le champs '''signed''': <br /> zone &quot;bolognaise.site&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.bolognaise.site.signed&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> zone &quot;57.48.193.in-addr.arpa&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.193.48.57&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> Cela va impliquer la prise en compte des fichiers des zones.<br /> Après nous allons inclure les clés que nous l'avons créé dans le fichier '''/etc/bind/db.bolognaise.site'''<br /> <br /> *Pour la clé ZSK : <br /> $INCLUDE &quot;/etc/bind/bolognaise.site.dnssec/bolognaise.site-zsk.key&quot;;<br /> *Pour la clé KSK : <br /> $INCLUDE &quot;/etc/bind/bolognaise.site.dnssec/bolognaise.site-ksk.key&quot;;<br /> <br /> Et pour terminer, nous avons signé le fichier de zone comme suivant :<br /> dnssec-signzone -k bolognaise.site-ksk.key -o bolognaise.site ../db.bolognaise.site bolognaise.site-zsk.key<br /> <br /> == Modification du html de notre serveur pour ajouter une photo de BOLOGNAISE ==<br /> <br /> Dans le fichier &lt;code&gt;/var/www/html/index.html&lt;/code&gt;, nous avons modifié le code source de la page de notre site &lt;br/&gt; d'une façon à avoir l'image de bolognaise qui s'affiche. Voici le code HTML : <br /> <br /> <br /> &lt;!DOCTYPE html PUBLIC &quot;-//W3C//DTD XHTML 1.0 Transitional//EN&quot; &quot;http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd&quot;&gt;<br /> &lt;html xmlns=&quot;http://www.w3.org/1999/xhtml&quot;&gt;<br /> &lt;head&gt;<br /> &lt;meta http-equiv=&quot;Content-Type&quot; content=&quot;text/html; charset=UTF-8&quot; /&gt;<br /> &lt;title&gt;NOS Bolognaises !!!&lt;/title&gt;<br /> &lt;/head&gt;<br /> <br /> &lt;style&gt;<br /> img{<br /> height:70vh;<br /> margin:auto;<br /> display:block;<br /> }<br /> <br /> &lt;/style&gt;<br /> &lt;body&gt;<br /> &lt;img src=&quot;bolognaise.jpg&quot;&gt;<br /> &lt;a href=&quot;portail.polytech-lille.fr&quot;&gt;ICI polytech&lt;/a&gt;<br /> &lt;/body&gt;<br /> &lt;/html&gt;<br /> <br /> Si on écrit dans un navigateur : &lt;code&gt;https://bolognaise.site&lt;/code&gt; on peut arriver directement dans notre site.<br /> <br /> ==Gestion de fail2ban==<br /> Nous avons commencé par installer la commande '''fail2ban''' : <br /> <br /> apt install fail2ban<br /> <br /> =Coffre Fort=<br /> <br /> [[Fichier:Coffre_secret2.zip]]</div>

Ylacroix https://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA5_2022/2023_G5&diff=60574 2022-12-02T18:25:19Z

<p>Ylacroix : /* Paramétrage OSBF et RiPv6 du routeur en E304 */</p> <hr /> <div>=Installation de l'OS=<br /> <br /> Devuan Chimaera (netinstall) sur les zabeth 17 et 11<br /> <br /> ==Configuration réseau==<br /> *IP machine : 172.26.145.50+n°zabeth/24<br /> *DNS : 193.48.57.48<br /> *Domain name : plil.info<br /> *Routeur : 172.26.145.254<br /> *Proxy : http://proxy.polyetch-lille.fr:3128<br /> <br /> <br /> *mdp dio5 : XXXXXX<br /> <br /> =Ansible=<br /> Prérequis:<br /> *python<br /> *pip<br /> *ansible<br /> Rédaction du script ansible pour le Screen Saver (.yml)<br /> <br /> Tâches accomplies : <br /> * Suppression des animations de veille d'écran<br /> <br /> Tâches restantes : <br /> * Fixer une animation lente pour la veille<br /> * Eteindre complétement l'écran au bout d'un certain temps (1 heure)<br /> <br /> =Réalisation=<br /> ==Installation de la machine virtuelle XEN (séance 2)==<br /> <br /> '''Connexion au serveur hébergeant les VM :'''<br /> ssh root@capbreton.plil.info<br /> <br /> '''Création de l'image de conifguration de la VM :'''<br /> <br /> xen-create-image --ip=193.48.57.105 --gateway=193.48.57.161 --netmask=255.255.255.0 --hostname=dio5 --dist=chimaera --dir=/usr/local/xen/<br /> <br /> /!\ Adresse ip provisoire car réseau 193.48.57.160/27 non créé pour le moment. Actuellement ip : 172.26.145.105 /!\<br /> <br /> '''Modification du fichier de config (image):'''<br /> /etc/xen/dio5.cfg --&gt; <br /> <br /> '''Création de la VM à partir de l'image précédemment créée :'''<br /> xen create dio5.cfg (en étant dans le dir /etc/xen/ évidemment)<br /> <br /> '''Lancement de la VM :'''<br /> xen console dio5<br /> login: root<br /> password: XXXXXX<br /> Vérifier avant que la machine a bien été lancée avec &lt;code&gt;xen create dio5.cfg&lt;/code&gt; par la commande &lt;code&gt;xen list&lt;/code&gt;<br /> <br /> ==Séance 3==<br /> ===Amélioration du coffre fort===<br /> Un dossier compressé est en bas de page<br /> <br /> ===Création des volumes virtuels===<br /> Sur Capbreton, on créé les LVM /home /var avec leurs systèmes de fichiers : <br /> <br /> &lt;code&gt;lvcreate -L10G -ndio5_home storage &lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_home&lt;/code&gt;<br /> <br /> &lt;code&gt;lvcreate -L5G -ndio5_var storage&lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_var&lt;/code&gt;<br /> <br /> Il faut changer le fichier de configuration (situé dans /etc/xen) et y ajouter ces deux lignes dans la partie &lt;code&gt;disk =&lt;/code&gt;<br /> <br /> 'phy:/dev/storage/dio5_home,xvdb1,w',<br /> 'phy:/dev/storage/dio5_var,xvdb2,w',<br /> Ainsi que modifier la ligne &lt;code&gt;vif&lt;/code&gt; comme suit :<br /> vif = [ 'mac=00:16:3E:7B:4D:A4,bridge=IMA5sc' ]<br /> <br /> On relance ensuite la machine avec &lt;code&gt;xen create&lt;/code&gt;. <br /> Pour monter les deux partitions, il faut ensuite modifier le fichier '''/etc/fstab''' comme suit :<br /> /dev/xvdb1 /home ext4 defaults 0 2<br /> /dev/xvdb2 /var ext4 defaults 0 2<br /> Pour que ces modificcations soient prises en compte :<br /> mount -a<br /> reboot<br /> <br /> ==Séance 4==<br /> ===Sécurisation par certificat TLS===<br /> Nous avons commencé par lancer la machine virtuelle qui était créée et configurée lors des séances précédentes. &lt;br/&gt;<br /> Ensuite nous avons acheté le nom de domaine ''' blanquette.site ''' via le fournisseur de nom de domaine GANDI. Ce nom de domaine servira par la suite pour héberger notre site web Apache. &lt;br/&gt;<br /> Pour sécuriser la connexion HTTPS sur Apache, il est nécessaire de créer une clé et un CSR. On utilise pour cela l'utilitaire OpenSSL et on exécute les commandes : &lt;br/&gt;<br /> apt install openssl<br /> openssl req -nodes -newkey rsa:2048 -sha256 -keyout myserver.key -out server.csr -utf8<br /> Pour valider cette demande de certificat et obtenir notre certificat TSL, nous avons également utilisé GANDI.&lt;br/&gt;<br /> <br /> ===Configuration du routeur de secours (Cisco 9200????)===<br /> Pendant que d'autres binômes s'occupaient de la configuration physique des routeurs (câblage), nous nous sommes occupés de configurer le routeur en E304. Pour cela, on accède à l'interface de configuration Cisco du routeur par port série, via minicom :&lt;br/&gt;<br /> minicom -os &quot;&quot;&quot;device:/dev/ttyUSB0, baudrate:9600, pas de contrôle de flux&quot;&quot;&quot;<br /> Depuis cette interface, création de 3 vlan et configuration des ports physiques associés pour répondre à l'architecture réseau demandée pour le TP :<br /> * Connexion entre le routeur et Capbreton sur le VLAN 2 :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 2<br /> routeur(vlan)#name Capb-E304<br /> routeur#exit<br /> routeur#int Te5/4<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 2<br /> Il restera ensuite à configurer ce vlan sur le réseau '''193.48.57.176/28'''<br /> <br /> * Connexion de redondance entre les deux routeurs :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 64<br /> routeur(vlan)#name INTERCO-E306/304<br /> Après le choix du port à connecter sur le routeur, il restera à attribuer ce port au vlan 64 en mode '''trunk'''.<br /> <br /> * Connexion entre le routeur et le SR2<br /> enable<br /> routeur#conf t<br /> routeur#vlan 531<br /> routeur(vlan)#name INTERCO-5A<br /> routeur#exit<br /> routeur#int Te5/5<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 531<br /> Il restera ensuite à configurer ce vlan sur le réseau '''192.168.222.72/29'''<br /> <br /> PHOTO A METTRE !!! &lt;br/&gt;<br /> Pour checker la configuration des vlan du routeur :<br /> routeur#show interfaces status<br /> ou :<br /> routeur#show interface vlan X<br /> <br /> <br /> ==Séance 5==<br /> <br /> Tout d'abord nous avons commencé à vérifer le fonctionnement de notre service SSH sur la machine Xen.<br /> Pour cela nous avons modifié en premier temps après avoir être connecté sur la machine virtuelle le fichier '''sshd_config''' situé dans :<br /> /etc/ssh<br /> comme suit :<br /> # Authentication:<br /> #LoginGraceTime 2m<br /> PermitRootLogin yes<br /> #StrictModes yes<br /> #MaxAuthTries 6<br /> #MaxSessions 10<br /> <br /> d'où nous avons décommenté la ligne de qui nous permet de se connecter en tant que root, ensuite nous avons lui donné cette permission par l'expression '''yes'''.<br /> <br /> Une fois que cette étape est faite, nous avons lancé dans le shell la commande suivante : <br /> root@dio5:~# service ssh restart<br /> Dans le but de prendre en compte les modifications faites.<br /> <br /> Pour vérfier la connexion en ssh, nous lançons depuis notre machine zabeth17 la commande suivante :<br /> root@zabeth17:~# ssh root@172.26.145.105<br /> <br /> '''Attribution de l'adresse IP à VLAN2''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 2<br /> routeur#ip address 193.48.57.178 255.255.255.240<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Attribution de l'adresse IP à VLAN531''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 531<br /> routeur#ip address 192.168.222.75 255.255.255.248<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Configuration et interconnection du port trunk'''<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> conf t<br /> int Te6/5<br /> switchport<br /> switchport trunk encapsulation dot1q<br /> switchport mode trunk<br /> end<br /> <br /> *Afin de sauvegarder ces configurations; on oublie pas de les écrire par la commande :<br /> write<br /> <br /> '''Changement de l'addresse IP de la machine Xen'''<br /> *Changement du Bridge de la machine :<br /> Dans la machine Xen, nous allons modifié le fichier de configuration de notre machine dio5 (situé à /etc/xen/dio5.cfg). Il est devenu comme suivant :<br /> <br /> vif = [ 'mac=00:16:3E:2B:B5:60,bridge=IMA5sc' ]<br /> <br /> Pour prendre les modifications en compte, nous avons arreté la machine xen puis nous l'avons redemaré depuis capbreton étant bien sur dans le repretoire /etc/xen: <br /> <br /> xen shutdown dio5<br /> xen create dio5.cfg <br /> <br /> <br /> <br /> Ensuite nous avons modifié l'addresse IP de la machine dans le fichier '''/etc/network/interfaces''' avec l'addresse IP suivante et la gateway qui correspond :<br /> address 193.48.57.182<br /> gateway 193.48.57.176<br /> Pour que les modifications réseaux seront prises en compte, nous exectutons les commandes suivantes dans la machine Xen: <br /> ifdown -a<br /> ifup -a<br /> <br /> <br /> '''HTTP'''<br /> Pour que notre VM soit accessible en HTTP, il lui faut un serveur HTPP installé. Dans la machine Xen : <br /> apt install apache2<br /> <br /> '''HTTPS'''<br /> L'achat du certificat SSL nous permet de sécuriser la connexion à notre serveur Apache en HTTPS. Pour cela :<br /> a2enmod ssl<br /> a2ensite default-ssl.conf<br /> service apache2 restart<br /> On modifie ensuite le fichier '''/etc/apache2/sites-enabled/default-ssl.conf''' de telle sorte à y renseigner le certificat SSL, le certificat intermédiaire et notre clé privée.<br /> Les certificats sont à télécharger sur Gandi et à transférer sur notre VM en scp.<br /> <br /> ==Séance 6==<br /> ==Serveur DNS==<br /> <br /> Tout d'abord, sur le site '''gandi''', dans la section Glue record, nous avons renseigné un nom de domaine &lt;code&gt;ns.bolognaise.site&lt;/code&gt;, et nous avons ajouté les adresses IPv4 et IPv6 associé à notre machine xen.<br /> IPv4 : 193.48.57.182<br /> IPv6 : 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> Ensuite dans la section NameServer nous avons ajouté un DNS secondaire &lt;code&gt;ns6.gandi.net&lt;/code&gt; dont son adresse IPv4 est la suivante : &lt;code&gt;217.70.177.40&lt;/code&gt;.<br /> <br /> Nous avons installé bind9 par &lt;code&gt;apt install bind9&lt;/code&gt;.<br /> <br /> '''Configuration du fichier d'option pour bind'''&lt;br/&gt;<br /> Modification du fichier &lt;code&gt;/etc/bind/named.conf.options&lt;/code&gt;<br /> <br /> <br /> options {<br /> directory &quot;/var/cache/bind&quot;;<br /> forwarders {<br /> 8.8.8.8;<br /> 4.4.2.2; //ou 8.8.4.4 <br /> };<br /> dnssec-validation auto;<br /> recursion yes;<br /> listen-on-v6 { any; };<br /> listen-on {any;};<br /> allow-recursion{trusted;};<br /> //allow-transfer{none;};<br /> };<br /> listen-on-v6 { any;}<br /> acl trusted{<br /> 193.48.57.182; //ns.bolognaise.net <br /> 217.70.177.40; //ns6.gandi.net<br /> };<br /> <br /> == Paramétrage routeur E304 ==<br /> Afin de finir la configuration du routeur en E304, il est nécessaire de mettre en place deux protocoles : &lt;br/&gt;&lt;br/&gt;<br /> '''OSBF''': partage de routes entre les deux routeurs<br /> En effet, l'objectif d'avoir 2 routeurs pour accéder au SR52 est d'avoir une redondance du réseau robuste aux pannes. Néanmoins, il faut pour cela que les deux routeurs connaissent chacun les tables de routages de l'autre. Ci-dessous la configuration OSBF du routeur E304 :<br /> router ospf 1<br /> router-id 192.162.222.6<br /> summary-address 192.168.0.0 255.255.0.0 not-advertise<br /> summary-address 193.48.57.176 255.255.255.240<br /> redistribute connected subnets ! subnets allowed<br /> redistribute static subnets route-map ospf ! subnets allowed<br /> network 192.168.222.72 0.0.0.7 area 20<br /> default-information originate<br /> Pour vérifier si le partage de routes est fonctionnel, on tape dans l'interface Cisco du routeur :<br /> do show ip route<br /> Si les routes du routeur en E306 s'affiche, c'est que le protocole a bien été configuré&lt;br/&gt;&lt;br/&gt;<br /> <br /> <br /> '''RIPv6''': <br /> La première est de permettre au routeur d'attribuer des adresses IPv6 aux différentes machines sur son réseau (Xen ...), un peu à la manière d'un DHCP. Ci-dessous la configuration :<br /> interface vlan 2 <br /> ipv6 enable<br /> ipv6 address 2001:660:4401:60b0::/64 eui-64<br /> ipv6 nd prefix 2001:660:4401:60b0::/64 1000 900<br /> ipv6 nd router-preference high<br /> !<br /> ipv6 unicast-routing<br /> <br /> La deuxième étape est d'activer le routage IPv6 entre les deux routeurs et de définir les priorités de route :<br /> ipv6 rip tpima5sc enable<br /> ipv6 router rip tpima5sc<br /> redistribute connected metric 1 XXXXXXXXX<br /> redistribute rip 1 metric 1<br /> redistribute static metric 1<br /> !<br /> Pour tester que le routage IPv6 est bien activé :<br /> do show ipv6 route<br /> <br /> '''VRRP''' :<br /> Pour rendre notre réseau plus robuste, on a finalement implémenté le protocole VRRP sur le routeur. On a simplement repris la configuration donnée dans le sujet de TP et adaptée à notre cas. Pour la priorité, nous avons indiqué :<br /> <br /> vrrp 1 priority 90<br /> De cette manière, on a définit le routeur en E304 de telle sorte à ce qu'il ne soit pas prioritaire par rapport au 6509E en E306, puisque ce dernier a été configuré avec une priorité de 100.<br /> <br /> = Séance 7 (dernière séance)=<br /> ==Suite DNS==<br /> Fin de la configuration des fichiers DNS '''/etc/bind/named.conf.options''' , '''/etc/bind/named.conf.options.local''' et <br /> <br /> Génération des clés dnssec dans un répertoire '''/etc/bind/bolognaise.site.dnssec'''<br /> <br /> Une fois que le fichier '''/etc/bind/named.conf.options''' est rempli d'une manière à configurer notre DNS, nous avons mis en place une configuration des '''forward''' et des '''zones''' comme suit :<br /> <br /> Dans le fichier '''/etc/bind/named.conf.local''' : <br /> <br /> zone &quot;57.48.193.in-addr.arpa&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.193.48.57&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> zone &quot;bolognaise.site&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.bolognaise.site&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> Une fois que les paramètres sont ajoutés dans le fichier de configurations, nous avons créé ensuite les fichiers de zones comme suit:<br /> <br /> cp /etc/bind/db.local /etc/bind/db.bolognaise.site<br /> Cette commande va nous permettre de copier le contenu du fichier '''db.local''' dans le fichier '''db.bolognaise.site''' et qui sera créé en même temps.<br /> voici le contenu des fichiers '''/etc/bind/db.local''' et '''/etc/bind/db.bolognaise.site''' avant la configuration :<br /> <br /> ;<br /> ; BIND data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA localhost. root.localhost. (<br /> 2 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> ;<br /> @ IN NS localhost.<br /> @ IN A 127.0.0.1<br /> @ IN AAAA ::1<br /> <br /> Maintenant nous allons modifié le fichier '''/etc/bind/db.bolognaise.site'''<br /> <br /> ;<br /> ; BIND data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA ns.bolognaise.site. root.bolognaise.site. (<br /> 4 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> ;<br /> @ IN NS ns.bolognaise.site.<br /> @ IN NS ns6.gandi.net.<br /> @ IN A 193.48.57.182<br /> @ IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4 ;addresse IPV6 de dio5<br /> ns IN A 193.48.57.182<br /> ns IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> www IN A 193.48.57.182<br /> www IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> <br /> Pour que les modifications seront prises en compte :<br /> service named restart<br /> <br /> Nous faisions un test pour vérifer la fonctionalité de la forward zone :<br /> <br /> root@dio5:~# host bolognaise.site localhost<br /> Using domain server:<br /> Name: localhost<br /> Address: 127.0.0.1#53<br /> Aliases:<br /> <br /> bolognaise.site has address 193.48.57.182<br /> bolognaise.site has IPv6 address 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> <br /> Ensuite nous allons faire la même démarche pour la '''reverse zone''', où on commence par la copie du fichier comme suit : <br /> cp /etc/bind/db.127 /etc/bind/db.193.48.57 <br /> <br /> Voici le contenu du fichier '''/etc/bind/db.127''' :<br /> <br /> ;<br /> ; BIND reverse data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA localhost. root.localhost. (<br /> 1 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> ;<br /> @ IN NS localhost.<br /> 1.0.0 IN PTR localhost.<br /> <br /> <br /> Nous allons configuré le fichier '''/etc/bind/db.193.48.57''' de la façon suivante : <br /> <br /> ;<br /> ; BIND reverse data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA ns.bolognaise.site. root.bolognaise.site. (<br /> 1 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS ns.bolognaise.site.<br /> 182 IN PTR ns.bolognaise.site.<br /> <br /> <br /> Pour que les modifications seront prises en compte :<br /> service named restart<br /> <br /> Voici un test pour la reverse zone : <br /> root@dio5:~# host 193.48.57.182 localhost<br /> Using domain server:<br /> Name: localhost<br /> Address: 127.0.0.1#53<br /> Aliases:<br /> <br /> 182.57.48.193.in-addr.arpa domain name pointer ns.bolognaise.site.<br /> Notre DNS étant maintenant fonctionnel, nous avons pu refaire la demande sur Gandi pour les serveurs externes IPv4 et IPv6, pour rappel : ''' ns.bolognaise.site et ns6.gandi.net'''<br /> <br /> == Sécurisation du DNS par DNSSEC ==<br /> Pour sécuriser notre DNS par DNSSEC, nous aurons besions des clés DNSSEC, que nous allons les ranger dans le répertoire suivant : <br /> <br /> /etc/bind/bolognaise.site.dnssec<br /> <br /> Ensuite nous allons créé les clés DNSSEC :<br /> <br /> * '''KSK (Key Signing Key)'''<br /> dnssec-keygen -a RSASHA1 -b 2048 -f KSK -n ZONE bolognaise.site<br /> * '''ZSK (Zone Signing Key)'''<br /> dnssec-keygen -a RSASHA1 -b 1024 -n ZONE bolognaise.site<br /> Puis nous injectons les clés KSK et ZSK (Privées et Publiques) dans les fichiers qui leurs corresponds : <br /> <br /> mv ./Kbolognaise.site.+005+14017.key ./bolognaise.site-zsk.key<br /> mv ./Kbolognaise.site.+005+19378.private ./bolognaise.site-zsk.private<br /> mv ./Kbolognaise.site.+005+13782.private ./bolognaise.site-ksk.private<br /> mv ./Kbolognaise.site.+005+02617.key ./bolognaise.site-ksk.key<br /> <br /> On n'oublie pas de mettre la clé publique '''KSK sur gandi''', en prenant l'algorithme de '''RSA/SHA1'''.<br /> <br /> Dans le fichier '''/etc/bind/named.conf.options''' on ajoute le ligne suivante pour activer le dnssec :<br /> dnssec-enable yes;<br /> <br /> Ensuite nous allons modifié du nouveau le fichier '''/etc/bind/named.conf.local''' <br /> en ajoutant le champs '''signed''': <br /> zone &quot;bolognaise.site&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.bolognaise.site.signed&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> zone &quot;57.48.193.in-addr.arpa&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.193.48.57&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> Cela va impliquer la prise en compte des fichiers des zones.<br /> Après nous allons inclure les clés que nous l'avons créé dans le fichier '''/etc/bind/db.bolognaise.site'''<br /> <br /> *Pour la clé ZSK : <br /> $INCLUDE &quot;/etc/bind/bolognaise.site.dnssec/bolognaise.site-zsk.key&quot;;<br /> *Pour la clé KSK : <br /> $INCLUDE &quot;/etc/bind/bolognaise.site.dnssec/bolognaise.site-ksk.key&quot;;<br /> <br /> Et pour terminer, nous avons signé le fichier de zone comme suivant :<br /> dnssec-signzone -k bolognaise.site-ksk.key -o bolognaise.site ../db.bolognaise.site bolognaise.site-zsk.key<br /> <br /> == Modification du html de notre serveur pour ajouter une photo de BOLOGNAISE ==<br /> <br /> Dans le fichier &lt;code&gt;/var/www/html/index.html&lt;/code&gt;, nous avons modifié le code source de la page de notre site &lt;br/&gt; d'une façon à avoir l'image de bolognaise qui s'affiche. Voici le code HTML : <br /> <br /> <br /> &lt;!DOCTYPE html PUBLIC &quot;-//W3C//DTD XHTML 1.0 Transitional//EN&quot; &quot;http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd&quot;&gt;<br /> &lt;html xmlns=&quot;http://www.w3.org/1999/xhtml&quot;&gt;<br /> &lt;head&gt;<br /> &lt;meta http-equiv=&quot;Content-Type&quot; content=&quot;text/html; charset=UTF-8&quot; /&gt;<br /> &lt;title&gt;NOS Bolognaises !!!&lt;/title&gt;<br /> &lt;/head&gt;<br /> <br /> &lt;style&gt;<br /> img{<br /> height:70vh;<br /> margin:auto;<br /> display:block;<br /> }<br /> <br /> &lt;/style&gt;<br /> &lt;body&gt;<br /> &lt;img src=&quot;bolognaise.jpg&quot;&gt;<br /> &lt;a href=&quot;portail.polytech-lille.fr&quot;&gt;ICI polytech&lt;/a&gt;<br /> &lt;/body&gt;<br /> &lt;/html&gt;<br /> <br /> Si on écrit dans un navigateur : &lt;code&gt;https://bolognaise.site&lt;/code&gt; on peut arriver directement dans notre site.<br /> <br /> ==Gestion de fail2ban==<br /> Nous avons commencé par installer la commande '''fail2ban''' : <br /> <br /> apt install fail2ban<br /> <br /> =Coffre Fort=<br /> <br /> [[Fichier:Coffre_secret2.zip]]</div>

Ylacroix https://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA5_2022/2023_G5&diff=60573 2022-12-02T18:22:38Z

<p>Ylacroix : /* Séance 7 (dernière séance) */</p> <hr /> <div>=Installation de l'OS=<br /> <br /> Devuan Chimaera (netinstall) sur les zabeth 17 et 11<br /> <br /> ==Configuration réseau==<br /> *IP machine : 172.26.145.50+n°zabeth/24<br /> *DNS : 193.48.57.48<br /> *Domain name : plil.info<br /> *Routeur : 172.26.145.254<br /> *Proxy : http://proxy.polyetch-lille.fr:3128<br /> <br /> <br /> *mdp dio5 : XXXXXX<br /> <br /> =Ansible=<br /> Prérequis:<br /> *python<br /> *pip<br /> *ansible<br /> Rédaction du script ansible pour le Screen Saver (.yml)<br /> <br /> Tâches accomplies : <br /> * Suppression des animations de veille d'écran<br /> <br /> Tâches restantes : <br /> * Fixer une animation lente pour la veille<br /> * Eteindre complétement l'écran au bout d'un certain temps (1 heure)<br /> <br /> =Réalisation=<br /> ==Installation de la machine virtuelle XEN (séance 2)==<br /> <br /> '''Connexion au serveur hébergeant les VM :'''<br /> ssh root@capbreton.plil.info<br /> <br /> '''Création de l'image de conifguration de la VM :'''<br /> <br /> xen-create-image --ip=193.48.57.105 --gateway=193.48.57.161 --netmask=255.255.255.0 --hostname=dio5 --dist=chimaera --dir=/usr/local/xen/<br /> <br /> /!\ Adresse ip provisoire car réseau 193.48.57.160/27 non créé pour le moment. Actuellement ip : 172.26.145.105 /!\<br /> <br /> '''Modification du fichier de config (image):'''<br /> /etc/xen/dio5.cfg --&gt; <br /> <br /> '''Création de la VM à partir de l'image précédemment créée :'''<br /> xen create dio5.cfg (en étant dans le dir /etc/xen/ évidemment)<br /> <br /> '''Lancement de la VM :'''<br /> xen console dio5<br /> login: root<br /> password: XXXXXX<br /> Vérifier avant que la machine a bien été lancée avec &lt;code&gt;xen create dio5.cfg&lt;/code&gt; par la commande &lt;code&gt;xen list&lt;/code&gt;<br /> <br /> ==Séance 3==<br /> ===Amélioration du coffre fort===<br /> Un dossier compressé est en bas de page<br /> <br /> ===Création des volumes virtuels===<br /> Sur Capbreton, on créé les LVM /home /var avec leurs systèmes de fichiers : <br /> <br /> &lt;code&gt;lvcreate -L10G -ndio5_home storage &lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_home&lt;/code&gt;<br /> <br /> &lt;code&gt;lvcreate -L5G -ndio5_var storage&lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_var&lt;/code&gt;<br /> <br /> Il faut changer le fichier de configuration (situé dans /etc/xen) et y ajouter ces deux lignes dans la partie &lt;code&gt;disk =&lt;/code&gt;<br /> <br /> 'phy:/dev/storage/dio5_home,xvdb1,w',<br /> 'phy:/dev/storage/dio5_var,xvdb2,w',<br /> Ainsi que modifier la ligne &lt;code&gt;vif&lt;/code&gt; comme suit :<br /> vif = [ 'mac=00:16:3E:7B:4D:A4,bridge=IMA5sc' ]<br /> <br /> On relance ensuite la machine avec &lt;code&gt;xen create&lt;/code&gt;. <br /> Pour monter les deux partitions, il faut ensuite modifier le fichier '''/etc/fstab''' comme suit :<br /> /dev/xvdb1 /home ext4 defaults 0 2<br /> /dev/xvdb2 /var ext4 defaults 0 2<br /> Pour que ces modificcations soient prises en compte :<br /> mount -a<br /> reboot<br /> <br /> ==Séance 4==<br /> ===Sécurisation par certificat TLS===<br /> Nous avons commencé par lancer la machine virtuelle qui était créée et configurée lors des séances précédentes. &lt;br/&gt;<br /> Ensuite nous avons acheté le nom de domaine ''' blanquette.site ''' via le fournisseur de nom de domaine GANDI. Ce nom de domaine servira par la suite pour héberger notre site web Apache. &lt;br/&gt;<br /> Pour sécuriser la connexion HTTPS sur Apache, il est nécessaire de créer une clé et un CSR. On utilise pour cela l'utilitaire OpenSSL et on exécute les commandes : &lt;br/&gt;<br /> apt install openssl<br /> openssl req -nodes -newkey rsa:2048 -sha256 -keyout myserver.key -out server.csr -utf8<br /> Pour valider cette demande de certificat et obtenir notre certificat TSL, nous avons également utilisé GANDI.&lt;br/&gt;<br /> <br /> ===Configuration du routeur de secours (Cisco 9200????)===<br /> Pendant que d'autres binômes s'occupaient de la configuration physique des routeurs (câblage), nous nous sommes occupés de configurer le routeur en E304. Pour cela, on accède à l'interface de configuration Cisco du routeur par port série, via minicom :&lt;br/&gt;<br /> minicom -os &quot;&quot;&quot;device:/dev/ttyUSB0, baudrate:9600, pas de contrôle de flux&quot;&quot;&quot;<br /> Depuis cette interface, création de 3 vlan et configuration des ports physiques associés pour répondre à l'architecture réseau demandée pour le TP :<br /> * Connexion entre le routeur et Capbreton sur le VLAN 2 :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 2<br /> routeur(vlan)#name Capb-E304<br /> routeur#exit<br /> routeur#int Te5/4<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 2<br /> Il restera ensuite à configurer ce vlan sur le réseau '''193.48.57.176/28'''<br /> <br /> * Connexion de redondance entre les deux routeurs :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 64<br /> routeur(vlan)#name INTERCO-E306/304<br /> Après le choix du port à connecter sur le routeur, il restera à attribuer ce port au vlan 64 en mode '''trunk'''.<br /> <br /> * Connexion entre le routeur et le SR2<br /> enable<br /> routeur#conf t<br /> routeur#vlan 531<br /> routeur(vlan)#name INTERCO-5A<br /> routeur#exit<br /> routeur#int Te5/5<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 531<br /> Il restera ensuite à configurer ce vlan sur le réseau '''192.168.222.72/29'''<br /> <br /> PHOTO A METTRE !!! &lt;br/&gt;<br /> Pour checker la configuration des vlan du routeur :<br /> routeur#show interfaces status<br /> ou :<br /> routeur#show interface vlan X<br /> <br /> <br /> ==Séance 5==<br /> <br /> Tout d'abord nous avons commencé à vérifer le fonctionnement de notre service SSH sur la machine Xen.<br /> Pour cela nous avons modifié en premier temps après avoir être connecté sur la machine virtuelle le fichier '''sshd_config''' situé dans :<br /> /etc/ssh<br /> comme suit :<br /> # Authentication:<br /> #LoginGraceTime 2m<br /> PermitRootLogin yes<br /> #StrictModes yes<br /> #MaxAuthTries 6<br /> #MaxSessions 10<br /> <br /> d'où nous avons décommenté la ligne de qui nous permet de se connecter en tant que root, ensuite nous avons lui donné cette permission par l'expression '''yes'''.<br /> <br /> Une fois que cette étape est faite, nous avons lancé dans le shell la commande suivante : <br /> root@dio5:~# service ssh restart<br /> Dans le but de prendre en compte les modifications faites.<br /> <br /> Pour vérfier la connexion en ssh, nous lançons depuis notre machine zabeth17 la commande suivante :<br /> root@zabeth17:~# ssh root@172.26.145.105<br /> <br /> '''Attribution de l'adresse IP à VLAN2''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 2<br /> routeur#ip address 193.48.57.178 255.255.255.240<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Attribution de l'adresse IP à VLAN531''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 531<br /> routeur#ip address 192.168.222.75 255.255.255.248<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Configuration et interconnection du port trunk'''<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> conf t<br /> int Te6/5<br /> switchport<br /> switchport trunk encapsulation dot1q<br /> switchport mode trunk<br /> end<br /> <br /> *Afin de sauvegarder ces configurations; on oublie pas de les écrire par la commande :<br /> write<br /> <br /> '''Changement de l'addresse IP de la machine Xen'''<br /> *Changement du Bridge de la machine :<br /> Dans la machine Xen, nous allons modifié le fichier de configuration de notre machine dio5 (situé à /etc/xen/dio5.cfg). Il est devenu comme suivant :<br /> <br /> vif = [ 'mac=00:16:3E:2B:B5:60,bridge=IMA5sc' ]<br /> <br /> Pour prendre les modifications en compte, nous avons arreté la machine xen puis nous l'avons redemaré depuis capbreton étant bien sur dans le repretoire /etc/xen: <br /> <br /> xen shutdown dio5<br /> xen create dio5.cfg <br /> <br /> <br /> <br /> Ensuite nous avons modifié l'addresse IP de la machine dans le fichier '''/etc/network/interfaces''' avec l'addresse IP suivante et la gateway qui correspond :<br /> address 193.48.57.182<br /> gateway 193.48.57.176<br /> Pour que les modifications réseaux seront prises en compte, nous exectutons les commandes suivantes dans la machine Xen: <br /> ifdown -a<br /> ifup -a<br /> <br /> <br /> '''HTTP'''<br /> Pour que notre VM soit accessible en HTTP, il lui faut un serveur HTPP installé. Dans la machine Xen : <br /> apt install apache2<br /> <br /> '''HTTPS'''<br /> L'achat du certificat SSL nous permet de sécuriser la connexion à notre serveur Apache en HTTPS. Pour cela :<br /> a2enmod ssl<br /> a2ensite default-ssl.conf<br /> service apache2 restart<br /> On modifie ensuite le fichier '''/etc/apache2/sites-enabled/default-ssl.conf''' de telle sorte à y renseigner le certificat SSL, le certificat intermédiaire et notre clé privée.<br /> Les certificats sont à télécharger sur Gandi et à transférer sur notre VM en scp.<br /> <br /> ==Séance 6==<br /> ==Serveur DNS==<br /> <br /> Tout d'abord, sur le site '''gandi''', dans la section Glue record, nous avons renseigné un nom de domaine &lt;code&gt;ns.bolognaise.site&lt;/code&gt;, et nous avons ajouté les adresses IPv4 et IPv6 associé à notre machine xen.<br /> IPv4 : 193.48.57.182<br /> IPv6 : 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> Ensuite dans la section NameServer nous avons ajouté un DNS secondaire &lt;code&gt;ns6.gandi.net&lt;/code&gt; dont son adresse IPv4 est la suivante : &lt;code&gt;217.70.177.40&lt;/code&gt;.<br /> <br /> Nous avons installé bind9 par &lt;code&gt;apt install bind9&lt;/code&gt;.<br /> <br /> '''Configuration du fichier d'option pour bind'''&lt;br/&gt;<br /> Modification du fichier &lt;code&gt;/etc/bind/named.conf.options&lt;/code&gt;<br /> <br /> <br /> options {<br /> directory &quot;/var/cache/bind&quot;;<br /> forwarders {<br /> 8.8.8.8;<br /> 4.4.2.2; //ou 8.8.4.4 <br /> };<br /> dnssec-validation auto;<br /> recursion yes;<br /> listen-on-v6 { any; };<br /> listen-on {any;};<br /> allow-recursion{trusted;};<br /> //allow-transfer{none;};<br /> };<br /> listen-on-v6 { any;}<br /> acl trusted{<br /> 193.48.57.182; //ns.bolognaise.net <br /> 217.70.177.40; //ns6.gandi.net<br /> };<br /> <br /> ===Paramétrage OSBF et RiPv6 du routeur en E304===<br /> Afin de finir la configuration du routeur en E304, il est nécessaire de mettre en place deux protocoles : &lt;br/&gt;&lt;br/&gt;<br /> '''OSBF''': partage de routes entre les deux routeurs<br /> En effet, l'objectif d'avoir 2 routeurs pour accéder au SR52 est d'avoir une redondance du réseau robuste aux pannes. Néanmoins, il faut pour cela que les deux routeurs connaissent chacun les tables de routages de l'autre. Ci-dessous la configuration OSBF du routeur E304 :<br /> router ospf 1<br /> router-id 192.162.222.6<br /> summary-address 192.168.0.0 255.255.0.0 not-advertise<br /> summary-address 193.48.57.176 255.255.255.240<br /> redistribute connected subnets ! subnets allowed<br /> redistribute static subnets route-map ospf ! subnets allowed<br /> network 192.168.222.72 0.0.0.7 area 20<br /> default-information originate<br /> Pour vérifier si le partage de routes est fonctionnel, on tape dans l'interface Cisco du routeur :<br /> do show ip route<br /> Si les routes du routeur en E306 s'affiche, c'est que le protocole a bien été configuré&lt;br/&gt;&lt;br/&gt;<br /> <br /> <br /> '''RIPv6''': <br /> La première est de permettre au routeur d'attribuer des adresses IPv6 aux différentes machines sur son réseau (Xen ...), un peu à la manière d'un DHCP. Ci-dessous la configuration :<br /> interface vlan 2 <br /> ipv6 enable<br /> ipv6 address 2001:660:4401:60b0::/64 eui-64<br /> ipv6 nd prefix 2001:660:4401:60b0::/64 1000 900<br /> ipv6 nd router-preference high<br /> !<br /> ipv6 unicast-routing<br /> <br /> La deuxième étape est d'activer le routage IPv6 entre les deux routeurs et de définir les priorités de route :<br /> ipv6 rip tpima5sc enable<br /> ipv6 router rip tpima5sc<br /> redistribute connected metric 1 XXXXXXXXX<br /> redistribute rip 1 metric 1<br /> redistribute static metric 1<br /> !<br /> Pour tester que le routage IPv6 est bien activé :<br /> do show ipv6 route<br /> <br /> '''VRRP''' :<br /> Pour rendre notre réseau plus robuste, on a finalement implémenté le protocole VRRP sur le routeur. On a simplement repris la configuration donnée dans le sujet de TP et adaptée à notre cas. Pour la priorité, nous avons indiqué :<br /> <br /> vrrp 1 priority 90<br /> De cette manière, on a définit le routeur en E304 de telle sorte à ce qu'il ne soit pas prioritaire par rapport au 6509E en E306, puisque ce dernier a été configuré avec une priorité de 100.<br /> <br /> = Séance 7 (dernière séance)=<br /> ==Suite DNS==<br /> Fin de la configuration des fichiers DNS '''/etc/bind/named.conf.options''' , '''/etc/bind/named.conf.options.local''' et <br /> <br /> Génération des clés dnssec dans un répertoire '''/etc/bind/bolognaise.site.dnssec'''<br /> <br /> Une fois que le fichier '''/etc/bind/named.conf.options''' est rempli d'une manière à configurer notre DNS, nous avons mis en place une configuration des '''forward''' et des '''zones''' comme suit :<br /> <br /> Dans le fichier '''/etc/bind/named.conf.local''' : <br /> <br /> zone &quot;57.48.193.in-addr.arpa&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.193.48.57&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> zone &quot;bolognaise.site&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.bolognaise.site&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> Une fois que les paramètres sont ajoutés dans le fichier de configurations, nous avons créé ensuite les fichiers de zones comme suit:<br /> <br /> cp /etc/bind/db.local /etc/bind/db.bolognaise.site<br /> Cette commande va nous permettre de copier le contenu du fichier '''db.local''' dans le fichier '''db.bolognaise.site''' et qui sera créé en même temps.<br /> voici le contenu des fichiers '''/etc/bind/db.local''' et '''/etc/bind/db.bolognaise.site''' avant la configuration :<br /> <br /> ;<br /> ; BIND data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA localhost. root.localhost. (<br /> 2 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> ;<br /> @ IN NS localhost.<br /> @ IN A 127.0.0.1<br /> @ IN AAAA ::1<br /> <br /> Maintenant nous allons modifié le fichier '''/etc/bind/db.bolognaise.site'''<br /> <br /> ;<br /> ; BIND data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA ns.bolognaise.site. root.bolognaise.site. (<br /> 4 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> ;<br /> @ IN NS ns.bolognaise.site.<br /> @ IN NS ns6.gandi.net.<br /> @ IN A 193.48.57.182<br /> @ IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4 ;addresse IPV6 de dio5<br /> ns IN A 193.48.57.182<br /> ns IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> www IN A 193.48.57.182<br /> www IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> <br /> Pour que les modifications seront prises en compte :<br /> service named restart<br /> <br /> Nous faisions un test pour vérifer la fonctionalité de la forward zone :<br /> <br /> root@dio5:~# host bolognaise.site localhost<br /> Using domain server:<br /> Name: localhost<br /> Address: 127.0.0.1#53<br /> Aliases:<br /> <br /> bolognaise.site has address 193.48.57.182<br /> bolognaise.site has IPv6 address 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> <br /> Ensuite nous allons faire la même démarche pour la '''reverse zone''', où on commence par la copie du fichier comme suit : <br /> cp /etc/bind/db.127 /etc/bind/db.193.48.57 <br /> <br /> Voici le contenu du fichier '''/etc/bind/db.127''' :<br /> <br /> ;<br /> ; BIND reverse data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA localhost. root.localhost. (<br /> 1 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> ;<br /> @ IN NS localhost.<br /> 1.0.0 IN PTR localhost.<br /> <br /> <br /> Nous allons configuré le fichier '''/etc/bind/db.193.48.57''' de la façon suivante : <br /> <br /> ;<br /> ; BIND reverse data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA ns.bolognaise.site. root.bolognaise.site. (<br /> 1 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS ns.bolognaise.site.<br /> 182 IN PTR ns.bolognaise.site.<br /> <br /> <br /> Pour que les modifications seront prises en compte :<br /> service named restart<br /> <br /> Voici un test pour la reverse zone : <br /> root@dio5:~# host 193.48.57.182 localhost<br /> Using domain server:<br /> Name: localhost<br /> Address: 127.0.0.1#53<br /> Aliases:<br /> <br /> 182.57.48.193.in-addr.arpa domain name pointer ns.bolognaise.site.<br /> Notre DNS étant maintenant fonctionnel, nous avons pu refaire la demande sur Gandi pour les serveurs externes IPv4 et IPv6, pour rappel : ''' ns.bolognaise.site et ns6.gandi.net'''<br /> <br /> == Sécurisation du DNS par DNSSEC ==<br /> Pour sécuriser notre DNS par DNSSEC, nous aurons besions des clés DNSSEC, que nous allons les ranger dans le répertoire suivant : <br /> <br /> /etc/bind/bolognaise.site.dnssec<br /> <br /> Ensuite nous allons créé les clés DNSSEC :<br /> <br /> * '''KSK (Key Signing Key)'''<br /> dnssec-keygen -a RSASHA1 -b 2048 -f KSK -n ZONE bolognaise.site<br /> * '''ZSK (Zone Signing Key)'''<br /> dnssec-keygen -a RSASHA1 -b 1024 -n ZONE bolognaise.site<br /> Puis nous injectons les clés KSK et ZSK (Privées et Publiques) dans les fichiers qui leurs corresponds : <br /> <br /> mv ./Kbolognaise.site.+005+14017.key ./bolognaise.site-zsk.key<br /> mv ./Kbolognaise.site.+005+19378.private ./bolognaise.site-zsk.private<br /> mv ./Kbolognaise.site.+005+13782.private ./bolognaise.site-ksk.private<br /> mv ./Kbolognaise.site.+005+02617.key ./bolognaise.site-ksk.key<br /> <br /> On n'oublie pas de mettre la clé publique '''KSK sur gandi''', en prenant l'algorithme de '''RSA/SHA1'''.<br /> <br /> Dans le fichier '''/etc/bind/named.conf.options''' on ajoute le ligne suivante pour activer le dnssec :<br /> dnssec-enable yes;<br /> <br /> Ensuite nous allons modifié du nouveau le fichier '''/etc/bind/named.conf.local''' <br /> en ajoutant le champs '''signed''': <br /> zone &quot;bolognaise.site&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.bolognaise.site.signed&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> zone &quot;57.48.193.in-addr.arpa&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.193.48.57&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> Cela va impliquer la prise en compte des fichiers des zones.<br /> Après nous allons inclure les clés que nous l'avons créé dans le fichier '''/etc/bind/db.bolognaise.site'''<br /> <br /> *Pour la clé ZSK : <br /> $INCLUDE &quot;/etc/bind/bolognaise.site.dnssec/bolognaise.site-zsk.key&quot;;<br /> *Pour la clé KSK : <br /> $INCLUDE &quot;/etc/bind/bolognaise.site.dnssec/bolognaise.site-ksk.key&quot;;<br /> <br /> Et pour terminer, nous avons signé le fichier de zone comme suivant :<br /> dnssec-signzone -k bolognaise.site-ksk.key -o bolognaise.site ../db.bolognaise.site bolognaise.site-zsk.key<br /> <br /> == Modification du html de notre serveur pour ajouter une photo de BOLOGNAISE ==<br /> <br /> Dans le fichier &lt;code&gt;/var/www/html/index.html&lt;/code&gt;, nous avons modifié le code source de la page de notre site &lt;br/&gt; d'une façon à avoir l'image de bolognaise qui s'affiche. Voici le code HTML : <br /> <br /> <br /> &lt;!DOCTYPE html PUBLIC &quot;-//W3C//DTD XHTML 1.0 Transitional//EN&quot; &quot;http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd&quot;&gt;<br /> &lt;html xmlns=&quot;http://www.w3.org/1999/xhtml&quot;&gt;<br /> &lt;head&gt;<br /> &lt;meta http-equiv=&quot;Content-Type&quot; content=&quot;text/html; charset=UTF-8&quot; /&gt;<br /> &lt;title&gt;NOS Bolognaises !!!&lt;/title&gt;<br /> &lt;/head&gt;<br /> <br /> &lt;style&gt;<br /> img{<br /> height:70vh;<br /> margin:auto;<br /> display:block;<br /> }<br /> <br /> &lt;/style&gt;<br /> &lt;body&gt;<br /> &lt;img src=&quot;bolognaise.jpg&quot;&gt;<br /> &lt;a href=&quot;portail.polytech-lille.fr&quot;&gt;ICI polytech&lt;/a&gt;<br /> &lt;/body&gt;<br /> &lt;/html&gt;<br /> <br /> Si on écrit dans un navigateur : &lt;code&gt;https://bolognaise.site&lt;/code&gt; on peut arriver directement dans notre site.<br /> <br /> ==Gestion de fail2ban==<br /> Nous avons commencé par installer la commande '''fail2ban''' : <br /> <br /> apt install fail2ban<br /> <br /> =Coffre Fort=<br /> <br /> [[Fichier:Coffre_secret2.zip]]</div>

Ylacroix https://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA5_2022/2023_G5&diff=60572 2022-12-02T18:22:17Z

<p>Ylacroix : /* Suite DNS */</p> <hr /> <div>=Installation de l'OS=<br /> <br /> Devuan Chimaera (netinstall) sur les zabeth 17 et 11<br /> <br /> ==Configuration réseau==<br /> *IP machine : 172.26.145.50+n°zabeth/24<br /> *DNS : 193.48.57.48<br /> *Domain name : plil.info<br /> *Routeur : 172.26.145.254<br /> *Proxy : http://proxy.polyetch-lille.fr:3128<br /> <br /> <br /> *mdp dio5 : XXXXXX<br /> <br /> =Ansible=<br /> Prérequis:<br /> *python<br /> *pip<br /> *ansible<br /> Rédaction du script ansible pour le Screen Saver (.yml)<br /> <br /> Tâches accomplies : <br /> * Suppression des animations de veille d'écran<br /> <br /> Tâches restantes : <br /> * Fixer une animation lente pour la veille<br /> * Eteindre complétement l'écran au bout d'un certain temps (1 heure)<br /> <br /> =Réalisation=<br /> ==Installation de la machine virtuelle XEN (séance 2)==<br /> <br /> '''Connexion au serveur hébergeant les VM :'''<br /> ssh root@capbreton.plil.info<br /> <br /> '''Création de l'image de conifguration de la VM :'''<br /> <br /> xen-create-image --ip=193.48.57.105 --gateway=193.48.57.161 --netmask=255.255.255.0 --hostname=dio5 --dist=chimaera --dir=/usr/local/xen/<br /> <br /> /!\ Adresse ip provisoire car réseau 193.48.57.160/27 non créé pour le moment. Actuellement ip : 172.26.145.105 /!\<br /> <br /> '''Modification du fichier de config (image):'''<br /> /etc/xen/dio5.cfg --&gt; <br /> <br /> '''Création de la VM à partir de l'image précédemment créée :'''<br /> xen create dio5.cfg (en étant dans le dir /etc/xen/ évidemment)<br /> <br /> '''Lancement de la VM :'''<br /> xen console dio5<br /> login: root<br /> password: XXXXXX<br /> Vérifier avant que la machine a bien été lancée avec &lt;code&gt;xen create dio5.cfg&lt;/code&gt; par la commande &lt;code&gt;xen list&lt;/code&gt;<br /> <br /> ==Séance 3==<br /> ===Amélioration du coffre fort===<br /> Un dossier compressé est en bas de page<br /> <br /> ===Création des volumes virtuels===<br /> Sur Capbreton, on créé les LVM /home /var avec leurs systèmes de fichiers : <br /> <br /> &lt;code&gt;lvcreate -L10G -ndio5_home storage &lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_home&lt;/code&gt;<br /> <br /> &lt;code&gt;lvcreate -L5G -ndio5_var storage&lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_var&lt;/code&gt;<br /> <br /> Il faut changer le fichier de configuration (situé dans /etc/xen) et y ajouter ces deux lignes dans la partie &lt;code&gt;disk =&lt;/code&gt;<br /> <br /> 'phy:/dev/storage/dio5_home,xvdb1,w',<br /> 'phy:/dev/storage/dio5_var,xvdb2,w',<br /> Ainsi que modifier la ligne &lt;code&gt;vif&lt;/code&gt; comme suit :<br /> vif = [ 'mac=00:16:3E:7B:4D:A4,bridge=IMA5sc' ]<br /> <br /> On relance ensuite la machine avec &lt;code&gt;xen create&lt;/code&gt;. <br /> Pour monter les deux partitions, il faut ensuite modifier le fichier '''/etc/fstab''' comme suit :<br /> /dev/xvdb1 /home ext4 defaults 0 2<br /> /dev/xvdb2 /var ext4 defaults 0 2<br /> Pour que ces modificcations soient prises en compte :<br /> mount -a<br /> reboot<br /> <br /> ==Séance 4==<br /> ===Sécurisation par certificat TLS===<br /> Nous avons commencé par lancer la machine virtuelle qui était créée et configurée lors des séances précédentes. &lt;br/&gt;<br /> Ensuite nous avons acheté le nom de domaine ''' blanquette.site ''' via le fournisseur de nom de domaine GANDI. Ce nom de domaine servira par la suite pour héberger notre site web Apache. &lt;br/&gt;<br /> Pour sécuriser la connexion HTTPS sur Apache, il est nécessaire de créer une clé et un CSR. On utilise pour cela l'utilitaire OpenSSL et on exécute les commandes : &lt;br/&gt;<br /> apt install openssl<br /> openssl req -nodes -newkey rsa:2048 -sha256 -keyout myserver.key -out server.csr -utf8<br /> Pour valider cette demande de certificat et obtenir notre certificat TSL, nous avons également utilisé GANDI.&lt;br/&gt;<br /> <br /> ===Configuration du routeur de secours (Cisco 9200????)===<br /> Pendant que d'autres binômes s'occupaient de la configuration physique des routeurs (câblage), nous nous sommes occupés de configurer le routeur en E304. Pour cela, on accède à l'interface de configuration Cisco du routeur par port série, via minicom :&lt;br/&gt;<br /> minicom -os &quot;&quot;&quot;device:/dev/ttyUSB0, baudrate:9600, pas de contrôle de flux&quot;&quot;&quot;<br /> Depuis cette interface, création de 3 vlan et configuration des ports physiques associés pour répondre à l'architecture réseau demandée pour le TP :<br /> * Connexion entre le routeur et Capbreton sur le VLAN 2 :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 2<br /> routeur(vlan)#name Capb-E304<br /> routeur#exit<br /> routeur#int Te5/4<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 2<br /> Il restera ensuite à configurer ce vlan sur le réseau '''193.48.57.176/28'''<br /> <br /> * Connexion de redondance entre les deux routeurs :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 64<br /> routeur(vlan)#name INTERCO-E306/304<br /> Après le choix du port à connecter sur le routeur, il restera à attribuer ce port au vlan 64 en mode '''trunk'''.<br /> <br /> * Connexion entre le routeur et le SR2<br /> enable<br /> routeur#conf t<br /> routeur#vlan 531<br /> routeur(vlan)#name INTERCO-5A<br /> routeur#exit<br /> routeur#int Te5/5<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 531<br /> Il restera ensuite à configurer ce vlan sur le réseau '''192.168.222.72/29'''<br /> <br /> PHOTO A METTRE !!! &lt;br/&gt;<br /> Pour checker la configuration des vlan du routeur :<br /> routeur#show interfaces status<br /> ou :<br /> routeur#show interface vlan X<br /> <br /> <br /> ==Séance 5==<br /> <br /> Tout d'abord nous avons commencé à vérifer le fonctionnement de notre service SSH sur la machine Xen.<br /> Pour cela nous avons modifié en premier temps après avoir être connecté sur la machine virtuelle le fichier '''sshd_config''' situé dans :<br /> /etc/ssh<br /> comme suit :<br /> # Authentication:<br /> #LoginGraceTime 2m<br /> PermitRootLogin yes<br /> #StrictModes yes<br /> #MaxAuthTries 6<br /> #MaxSessions 10<br /> <br /> d'où nous avons décommenté la ligne de qui nous permet de se connecter en tant que root, ensuite nous avons lui donné cette permission par l'expression '''yes'''.<br /> <br /> Une fois que cette étape est faite, nous avons lancé dans le shell la commande suivante : <br /> root@dio5:~# service ssh restart<br /> Dans le but de prendre en compte les modifications faites.<br /> <br /> Pour vérfier la connexion en ssh, nous lançons depuis notre machine zabeth17 la commande suivante :<br /> root@zabeth17:~# ssh root@172.26.145.105<br /> <br /> '''Attribution de l'adresse IP à VLAN2''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 2<br /> routeur#ip address 193.48.57.178 255.255.255.240<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Attribution de l'adresse IP à VLAN531''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 531<br /> routeur#ip address 192.168.222.75 255.255.255.248<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Configuration et interconnection du port trunk'''<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> conf t<br /> int Te6/5<br /> switchport<br /> switchport trunk encapsulation dot1q<br /> switchport mode trunk<br /> end<br /> <br /> *Afin de sauvegarder ces configurations; on oublie pas de les écrire par la commande :<br /> write<br /> <br /> '''Changement de l'addresse IP de la machine Xen'''<br /> *Changement du Bridge de la machine :<br /> Dans la machine Xen, nous allons modifié le fichier de configuration de notre machine dio5 (situé à /etc/xen/dio5.cfg). Il est devenu comme suivant :<br /> <br /> vif = [ 'mac=00:16:3E:2B:B5:60,bridge=IMA5sc' ]<br /> <br /> Pour prendre les modifications en compte, nous avons arreté la machine xen puis nous l'avons redemaré depuis capbreton étant bien sur dans le repretoire /etc/xen: <br /> <br /> xen shutdown dio5<br /> xen create dio5.cfg <br /> <br /> <br /> <br /> Ensuite nous avons modifié l'addresse IP de la machine dans le fichier '''/etc/network/interfaces''' avec l'addresse IP suivante et la gateway qui correspond :<br /> address 193.48.57.182<br /> gateway 193.48.57.176<br /> Pour que les modifications réseaux seront prises en compte, nous exectutons les commandes suivantes dans la machine Xen: <br /> ifdown -a<br /> ifup -a<br /> <br /> <br /> '''HTTP'''<br /> Pour que notre VM soit accessible en HTTP, il lui faut un serveur HTPP installé. Dans la machine Xen : <br /> apt install apache2<br /> <br /> '''HTTPS'''<br /> L'achat du certificat SSL nous permet de sécuriser la connexion à notre serveur Apache en HTTPS. Pour cela :<br /> a2enmod ssl<br /> a2ensite default-ssl.conf<br /> service apache2 restart<br /> On modifie ensuite le fichier '''/etc/apache2/sites-enabled/default-ssl.conf''' de telle sorte à y renseigner le certificat SSL, le certificat intermédiaire et notre clé privée.<br /> Les certificats sont à télécharger sur Gandi et à transférer sur notre VM en scp.<br /> <br /> ==Séance 6==<br /> ==Serveur DNS==<br /> <br /> Tout d'abord, sur le site '''gandi''', dans la section Glue record, nous avons renseigné un nom de domaine &lt;code&gt;ns.bolognaise.site&lt;/code&gt;, et nous avons ajouté les adresses IPv4 et IPv6 associé à notre machine xen.<br /> IPv4 : 193.48.57.182<br /> IPv6 : 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> Ensuite dans la section NameServer nous avons ajouté un DNS secondaire &lt;code&gt;ns6.gandi.net&lt;/code&gt; dont son adresse IPv4 est la suivante : &lt;code&gt;217.70.177.40&lt;/code&gt;.<br /> <br /> Nous avons installé bind9 par &lt;code&gt;apt install bind9&lt;/code&gt;.<br /> <br /> '''Configuration du fichier d'option pour bind'''&lt;br/&gt;<br /> Modification du fichier &lt;code&gt;/etc/bind/named.conf.options&lt;/code&gt;<br /> <br /> <br /> options {<br /> directory &quot;/var/cache/bind&quot;;<br /> forwarders {<br /> 8.8.8.8;<br /> 4.4.2.2; //ou 8.8.4.4 <br /> };<br /> dnssec-validation auto;<br /> recursion yes;<br /> listen-on-v6 { any; };<br /> listen-on {any;};<br /> allow-recursion{trusted;};<br /> //allow-transfer{none;};<br /> };<br /> listen-on-v6 { any;}<br /> acl trusted{<br /> 193.48.57.182; //ns.bolognaise.net <br /> 217.70.177.40; //ns6.gandi.net<br /> };<br /> <br /> ===Paramétrage OSBF et RiPv6 du routeur en E304===<br /> Afin de finir la configuration du routeur en E304, il est nécessaire de mettre en place deux protocoles : &lt;br/&gt;&lt;br/&gt;<br /> '''OSBF''': partage de routes entre les deux routeurs<br /> En effet, l'objectif d'avoir 2 routeurs pour accéder au SR52 est d'avoir une redondance du réseau robuste aux pannes. Néanmoins, il faut pour cela que les deux routeurs connaissent chacun les tables de routages de l'autre. Ci-dessous la configuration OSBF du routeur E304 :<br /> router ospf 1<br /> router-id 192.162.222.6<br /> summary-address 192.168.0.0 255.255.0.0 not-advertise<br /> summary-address 193.48.57.176 255.255.255.240<br /> redistribute connected subnets ! subnets allowed<br /> redistribute static subnets route-map ospf ! subnets allowed<br /> network 192.168.222.72 0.0.0.7 area 20<br /> default-information originate<br /> Pour vérifier si le partage de routes est fonctionnel, on tape dans l'interface Cisco du routeur :<br /> do show ip route<br /> Si les routes du routeur en E306 s'affiche, c'est que le protocole a bien été configuré&lt;br/&gt;&lt;br/&gt;<br /> <br /> <br /> '''RIPv6''': <br /> La première est de permettre au routeur d'attribuer des adresses IPv6 aux différentes machines sur son réseau (Xen ...), un peu à la manière d'un DHCP. Ci-dessous la configuration :<br /> interface vlan 2 <br /> ipv6 enable<br /> ipv6 address 2001:660:4401:60b0::/64 eui-64<br /> ipv6 nd prefix 2001:660:4401:60b0::/64 1000 900<br /> ipv6 nd router-preference high<br /> !<br /> ipv6 unicast-routing<br /> <br /> La deuxième étape est d'activer le routage IPv6 entre les deux routeurs et de définir les priorités de route :<br /> ipv6 rip tpima5sc enable<br /> ipv6 router rip tpima5sc<br /> redistribute connected metric 1 XXXXXXXXX<br /> redistribute rip 1 metric 1<br /> redistribute static metric 1<br /> !<br /> Pour tester que le routage IPv6 est bien activé :<br /> do show ipv6 route<br /> <br /> '''VRRP''' :<br /> Pour rendre notre réseau plus robuste, on a finalement implémenté le protocole VRRP sur le routeur. On a simplement repris la configuration donnée dans le sujet de TP et adaptée à notre cas. Pour la priorité, nous avons indiqué :<br /> <br /> vrrp 1 priority 90<br /> De cette manière, on a définit le routeur en E304 de telle sorte à ce qu'il ne soit pas prioritaire par rapport au 6509E en E306, puisque ce dernier a été configuré avec une priorité de 100.<br /> <br /> = Séance 7 (dernière séance)=<br /> ==Suite DNS==<br /> Fin de la configuration des fichiers DNS '''/etc/bind/named.conf.options''' , '''/etc/bind/named.conf.options.local''' et <br /> <br /> Génération des clés dnssec dans un répertoire '''/etc/bind/bolognaise.site.dnssec'''<br /> <br /> Une fois que le fichier '''/etc/bind/named.conf.options''' est rempli d'une manière à configurer notre DNS, nous avons mis en place une configuration des '''forward''' et des '''zones''' comme suit :<br /> <br /> Dans le fichier '''/etc/bind/named.conf.local''' : <br /> <br /> zone &quot;57.48.193.in-addr.arpa&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.193.48.57&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> zone &quot;bolognaise.site&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.bolognaise.site&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> Une fois que les paramètres sont ajoutés dans le fichier de configurations, nous avons créé ensuite les fichiers de zones comme suit:<br /> <br /> cp /etc/bind/db.local /etc/bind/db.bolognaise.site<br /> Cette commande va nous permettre de copier le contenu du fichier '''db.local''' dans le fichier '''db.bolognaise.site''' et qui sera créé en même temps.<br /> voici le contenu des fichiers '''/etc/bind/db.local''' et '''/etc/bind/db.bolognaise.site''' avant la configuration :<br /> <br /> ;<br /> ; BIND data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA localhost. root.localhost. (<br /> 2 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> ;<br /> @ IN NS localhost.<br /> @ IN A 127.0.0.1<br /> @ IN AAAA ::1<br /> <br /> Maintenant nous allons modifié le fichier '''/etc/bind/db.bolognaise.site'''<br /> <br /> ;<br /> ; BIND data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA ns.bolognaise.site. root.bolognaise.site. (<br /> 4 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> ;<br /> @ IN NS ns.bolognaise.site.<br /> @ IN NS ns6.gandi.net.<br /> @ IN A 193.48.57.182<br /> @ IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4 ;addresse IPV6 de dio5<br /> ns IN A 193.48.57.182<br /> ns IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> www IN A 193.48.57.182<br /> www IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> <br /> Pour que les modifications seront prises en compte :<br /> service named restart<br /> <br /> Nous faisions un test pour vérifer la fonctionalité de la forward zone :<br /> <br /> root@dio5:~# host bolognaise.site localhost<br /> Using domain server:<br /> Name: localhost<br /> Address: 127.0.0.1#53<br /> Aliases:<br /> <br /> bolognaise.site has address 193.48.57.182<br /> bolognaise.site has IPv6 address 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> <br /> Ensuite nous allons faire la même démarche pour la '''reverse zone''', où on commence par la copie du fichier comme suit : <br /> cp /etc/bind/db.127 /etc/bind/db.193.48.57 <br /> <br /> Voici le contenu du fichier '''/etc/bind/db.127''' :<br /> <br /> ;<br /> ; BIND reverse data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA localhost. root.localhost. (<br /> 1 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> ;<br /> @ IN NS localhost.<br /> 1.0.0 IN PTR localhost.<br /> <br /> <br /> Nous allons configuré le fichier '''/etc/bind/db.193.48.57''' de la façon suivante : <br /> <br /> ;<br /> ; BIND reverse data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA ns.bolognaise.site. root.bolognaise.site. (<br /> 1 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS ns.bolognaise.site.<br /> 182 IN PTR ns.bolognaise.site.<br /> <br /> <br /> Pour que les modifications seront prises en compte :<br /> service named restart<br /> <br /> Voici un test pour la reverse zone : <br /> root@dio5:~# host 193.48.57.182 localhost<br /> Using domain server:<br /> Name: localhost<br /> Address: 127.0.0.1#53<br /> Aliases:<br /> <br /> 182.57.48.193.in-addr.arpa domain name pointer ns.bolognaise.site.<br /> Notre DNS étant maintenant fonctionnel, nous avons pu refaire la demande sur Gandi pour les serveurs externes IPv4 et IPv6, pour rappel : ''' ns.bolognaise.site et ns6.gandi.net'''<br /> <br /> == Sécurisation du DNS par DNSSEC ==<br /> Pour sécuriser notre DNS par DNSSEC, nous aurons besions des clés DNSSEC, que nous allons les ranger dans le répertoire suivant : <br /> <br /> /etc/bind/bolognaise.site.dnssec<br /> <br /> Ensuite nous allons créé les clés DNSSEC :<br /> <br /> * '''KSK (Key Signing Key)'''<br /> dnssec-keygen -a RSASHA1 -b 2048 -f KSK -n ZONE bolognaise.site<br /> * '''ZSK (Zone Signing Key)'''<br /> dnssec-keygen -a RSASHA1 -b 1024 -n ZONE bolognaise.site<br /> Puis nous injectons les clés KSK et ZSK (Privées et Publiques) dans les fichiers qui leurs corresponds : <br /> <br /> mv ./Kbolognaise.site.+005+14017.key ./bolognaise.site-zsk.key<br /> mv ./Kbolognaise.site.+005+19378.private ./bolognaise.site-zsk.private<br /> mv ./Kbolognaise.site.+005+13782.private ./bolognaise.site-ksk.private<br /> mv ./Kbolognaise.site.+005+02617.key ./bolognaise.site-ksk.key<br /> <br /> On n'oublie pas de mettre la clé publique '''KSK sur gandi''', en prenant l'algorithme de '''RSA/SHA1'''.<br /> <br /> Dans le fichier '''/etc/bind/named.conf.options''' on ajoute le ligne suivante pour activer le dnssec :<br /> dnssec-enable yes;<br /> <br /> Ensuite nous allons modifié du nouveau le fichier '''/etc/bind/named.conf.local''' <br /> en ajoutant le champs '''signed''': <br /> zone &quot;bolognaise.site&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.bolognaise.site.signed&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> zone &quot;57.48.193.in-addr.arpa&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.193.48.57&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> Cela va impliquer la prise en compte des fichiers des zones.<br /> Après nous allons inclure les clés que nous l'avons créé dans le fichier '''/etc/bind/db.bolognaise.site'''<br /> <br /> *Pour la clé ZSK : <br /> $INCLUDE &quot;/etc/bind/bolognaise.site.dnssec/bolognaise.site-zsk.key&quot;;<br /> *Pour la clé KSK : <br /> $INCLUDE &quot;/etc/bind/bolognaise.site.dnssec/bolognaise.site-ksk.key&quot;;<br /> <br /> Et pour terminer, nous avons signé le fichier de zone comme suivant :<br /> dnssec-signzone -k bolognaise.site-ksk.key -o bolognaise.site ../db.bolognaise.site bolognaise.site-zsk.key<br /> <br /> == Modification du html de notre serveur pour ajouter une photo de BOLOGNAISE ==<br /> <br /> Dans le fichier &lt;code&gt;/var/www/html/index.html&lt;/code&gt;, nous avons modifié le code source de la page de notre site &lt;br/&gt; d'une façon à avoir l'image de bolognaise qui s'affiche. Voici le code HTML : <br /> <br /> <br /> &lt;!DOCTYPE html PUBLIC &quot;-//W3C//DTD XHTML 1.0 Transitional//EN&quot; &quot;http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd&quot;&gt;<br /> &lt;html xmlns=&quot;http://www.w3.org/1999/xhtml&quot;&gt;<br /> &lt;head&gt;<br /> &lt;meta http-equiv=&quot;Content-Type&quot; content=&quot;text/html; charset=UTF-8&quot; /&gt;<br /> &lt;title&gt;NOS Bolognaises !!!&lt;/title&gt;<br /> &lt;/head&gt;<br /> <br /> &lt;style&gt;<br /> img{<br /> height:70vh;<br /> margin:auto;<br /> display:block;<br /> }<br /> <br /> &lt;/style&gt;<br /> &lt;body&gt;<br /> &lt;img src=&quot;bolognaise.jpg&quot;&gt;<br /> &lt;a href=&quot;portail.polytech-lille.fr&quot;&gt;ICI polytech&lt;/a&gt;<br /> &lt;/body&gt;<br /> &lt;/html&gt;<br /> <br /> Si on écrit dans un navigateur : &lt;code&gt;https://bolognaise.site&lt;/code&gt; on peut arriver directement dans notre site.<br /> <br /> ==Gestion de fail2ban==<br /> Nous avons commencé par installer la commande '''fail2ban''' : <br /> <br /> apt install fail2ban<br /> <br /> ==Coffre Fort==<br /> <br /> [[Fichier:Coffre_secret2.zip]]</div>

Ylacroix https://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA5_2022/2023_G5&diff=60568 2022-12-02T18:16:20Z

<p>Ylacroix : /* Paramétrage OSBF et RiPv6 du routeur en E304 */</p> <hr /> <div>=Installation de l'OS=<br /> <br /> Devuan Chimaera (netinstall) sur les zabeth 17 et 11<br /> <br /> ==Configuration réseau==<br /> *IP machine : 172.26.145.50+n°zabeth/24<br /> *DNS : 193.48.57.48<br /> *Domain name : plil.info<br /> *Routeur : 172.26.145.254<br /> *Proxy : http://proxy.polyetch-lille.fr:3128<br /> <br /> <br /> *mdp dio5 : XXXXXX<br /> <br /> =Ansible=<br /> Prérequis:<br /> *python<br /> *pip<br /> *ansible<br /> Rédaction du script ansible pour le Screen Saver (.yml)<br /> <br /> Tâches accomplies : <br /> * Suppression des animations de veille d'écran<br /> <br /> Tâches restantes : <br /> * Fixer une animation lente pour la veille<br /> * Eteindre complétement l'écran au bout d'un certain temps (1 heure)<br /> <br /> =Réalisation=<br /> ==Installation de la machine virtuelle XEN (séance 2)==<br /> <br /> '''Connexion au serveur hébergeant les VM :'''<br /> ssh root@capbreton.plil.info<br /> <br /> '''Création de l'image de conifguration de la VM :'''<br /> <br /> xen-create-image --ip=193.48.57.105 --gateway=193.48.57.161 --netmask=255.255.255.0 --hostname=dio5 --dist=chimaera --dir=/usr/local/xen/<br /> <br /> /!\ Adresse ip provisoire car réseau 193.48.57.160/27 non créé pour le moment. Actuellement ip : 172.26.145.105 /!\<br /> <br /> '''Modification du fichier de config (image):'''<br /> /etc/xen/dio5.cfg --&gt; <br /> <br /> '''Création de la VM à partir de l'image précédemment créée :'''<br /> xen create dio5.cfg (en étant dans le dir /etc/xen/ évidemment)<br /> <br /> '''Lancement de la VM :'''<br /> xen console dio5<br /> login: root<br /> password: XXXXXX<br /> Vérifier avant que la machine a bien été lancée avec &lt;code&gt;xen create dio5.cfg&lt;/code&gt; par la commande &lt;code&gt;xen list&lt;/code&gt;<br /> <br /> ==Séance 3==<br /> ===Amélioration du coffre fort===<br /> Un dossier compressé est en bas de page<br /> <br /> ===Création des volumes virtuels===<br /> Sur Capbreton, on créé les LVM /home /var avec leurs systèmes de fichiers : <br /> <br /> &lt;code&gt;lvcreate -L10G -ndio5_home storage &lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_home&lt;/code&gt;<br /> <br /> &lt;code&gt;lvcreate -L5G -ndio5_var storage&lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_var&lt;/code&gt;<br /> <br /> Il faut changer le fichier de configuration (situé dans /etc/xen) et y ajouter ces deux lignes dans la partie &lt;code&gt;disk =&lt;/code&gt;<br /> <br /> 'phy:/dev/storage/dio5_home,xvdb1,w',<br /> 'phy:/dev/storage/dio5_var,xvdb2,w',<br /> Ainsi que modifier la ligne &lt;code&gt;vif&lt;/code&gt; comme suit :<br /> vif = [ 'mac=00:16:3E:7B:4D:A4,bridge=IMA5sc' ]<br /> <br /> On relance ensuite la machine avec &lt;code&gt;xen create&lt;/code&gt;. <br /> Pour monter les deux partitions, il faut ensuite modifier le fichier '''/etc/fstab''' comme suit :<br /> /dev/xvdb1 /home ext4 defaults 0 2<br /> /dev/xvdb2 /var ext4 defaults 0 2<br /> Pour que ces modificcations soient prises en compte :<br /> mount -a<br /> reboot<br /> <br /> ==Séance 4==<br /> ===Sécurisation par certificat TLS===<br /> Nous avons commencé par lancer la machine virtuelle qui était créée et configurée lors des séances précédentes. &lt;br/&gt;<br /> Ensuite nous avons acheté le nom de domaine ''' blanquette.site ''' via le fournisseur de nom de domaine GANDI. Ce nom de domaine servira par la suite pour héberger notre site web Apache. &lt;br/&gt;<br /> Pour sécuriser la connexion HTTPS sur Apache, il est nécessaire de créer une clé et un CSR. On utilise pour cela l'utilitaire OpenSSL et on exécute les commandes : &lt;br/&gt;<br /> apt install openssl<br /> openssl req -nodes -newkey rsa:2048 -sha256 -keyout myserver.key -out server.csr -utf8<br /> Pour valider cette demande de certificat et obtenir notre certificat TSL, nous avons également utilisé GANDI.&lt;br/&gt;<br /> <br /> ===Configuration du routeur de secours (Cisco 9200????)===<br /> Pendant que d'autres binômes s'occupaient de la configuration physique des routeurs (câblage), nous nous sommes occupés de configurer le routeur en E304. Pour cela, on accède à l'interface de configuration Cisco du routeur par port série, via minicom :&lt;br/&gt;<br /> minicom -os &quot;&quot;&quot;device:/dev/ttyUSB0, baudrate:9600, pas de contrôle de flux&quot;&quot;&quot;<br /> Depuis cette interface, création de 3 vlan et configuration des ports physiques associés pour répondre à l'architecture réseau demandée pour le TP :<br /> * Connexion entre le routeur et Capbreton sur le VLAN 2 :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 2<br /> routeur(vlan)#name Capb-E304<br /> routeur#exit<br /> routeur#int Te5/4<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 2<br /> Il restera ensuite à configurer ce vlan sur le réseau '''193.48.57.176/28'''<br /> <br /> * Connexion de redondance entre les deux routeurs :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 64<br /> routeur(vlan)#name INTERCO-E306/304<br /> Après le choix du port à connecter sur le routeur, il restera à attribuer ce port au vlan 64 en mode '''trunk'''.<br /> <br /> * Connexion entre le routeur et le SR2<br /> enable<br /> routeur#conf t<br /> routeur#vlan 531<br /> routeur(vlan)#name INTERCO-5A<br /> routeur#exit<br /> routeur#int Te5/5<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 531<br /> Il restera ensuite à configurer ce vlan sur le réseau '''192.168.222.72/29'''<br /> <br /> PHOTO A METTRE !!! &lt;br/&gt;<br /> Pour checker la configuration des vlan du routeur :<br /> routeur#show interfaces status<br /> ou :<br /> routeur#show interface vlan X<br /> <br /> <br /> ==Séance 5==<br /> <br /> Tout d'abord nous avons commencé à vérifer le fonctionnement de notre service SSH sur la machine Xen.<br /> Pour cela nous avons modifié en premier temps après avoir être connecté sur la machine virtuelle le fichier '''sshd_config''' situé dans :<br /> /etc/ssh<br /> comme suit :<br /> # Authentication:<br /> #LoginGraceTime 2m<br /> PermitRootLogin yes<br /> #StrictModes yes<br /> #MaxAuthTries 6<br /> #MaxSessions 10<br /> <br /> d'où nous avons décommenté la ligne de qui nous permet de se connecter en tant que root, ensuite nous avons lui donné cette permission par l'expression '''yes'''.<br /> <br /> Une fois que cette étape est faite, nous avons lancé dans le shell la commande suivante : <br /> root@dio5:~# service ssh restart<br /> Dans le but de prendre en compte les modifications faites.<br /> <br /> Pour vérfier la connexion en ssh, nous lançons depuis notre machine zabeth17 la commande suivante :<br /> root@zabeth17:~# ssh root@172.26.145.105<br /> <br /> '''Attribution de l'adresse IP à VLAN2''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 2<br /> routeur#ip address 193.48.57.178 255.255.255.240<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Attribution de l'adresse IP à VLAN531''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 531<br /> routeur#ip address 192.168.222.75 255.255.255.248<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Configuration et interconnection du port trunk'''<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> conf t<br /> int Te6/5<br /> switchport<br /> switchport trunk encapsulation dot1q<br /> switchport mode trunk<br /> end<br /> <br /> *Afin de sauvegarder ces configurations; on oublie pas de les écrire par la commande :<br /> write<br /> <br /> '''Changement de l'addresse IP de la machine Xen'''<br /> *Changement du Bridge de la machine :<br /> Dans la machine Xen, nous allons modifié le fichier de configuration de notre machine dio5 (situé à /etc/xen/dio5.cfg). Il est devenu comme suivant :<br /> <br /> vif = [ 'mac=00:16:3E:2B:B5:60,bridge=IMA5sc' ]<br /> <br /> Pour prendre les modifications en compte, nous avons arreté la machine xen puis nous l'avons redemaré depuis capbreton étant bien sur dans le repretoire /etc/xen: <br /> <br /> xen shutdown dio5<br /> xen create dio5.cfg <br /> <br /> <br /> <br /> Ensuite nous avons modifié l'addresse IP de la machine dans le fichier '''/etc/network/interfaces''' avec l'addresse IP suivante et la gateway qui correspond :<br /> address 193.48.57.182<br /> gateway 193.48.57.176<br /> Pour que les modifications réseaux seront prises en compte, nous exectutons les commandes suivantes dans la machine Xen: <br /> ifdown -a<br /> ifup -a<br /> <br /> <br /> '''HTTP'''<br /> Pour que notre VM soit accessible en HTTP, il lui faut un serveur HTPP installé. Dans la machine Xen : <br /> apt install apache2<br /> <br /> '''HTTPS'''<br /> L'achat du certificat SSL nous permet de sécuriser la connexion à notre serveur Apache en HTTPS. Pour cela :<br /> a2enmod ssl<br /> a2ensite default-ssl.conf<br /> service apache2 restart<br /> On modifie ensuite le fichier '''/etc/apache2/sites-enabled/default-ssl.conf''' de telle sorte à y renseigner le certificat SSL, le certificat intermédiaire et notre clé privée.<br /> Les certificats sont à télécharger sur Gandi et à transférer sur notre VM en scp.<br /> <br /> ==Séance 6==<br /> ==Serveur DNS==<br /> <br /> Tout d'abord, sur le site '''gandi''', dans la section Glue record, nous avons renseigné un nom de domaine &lt;code&gt;ns.bolognaise.site&lt;/code&gt;, et nous avons ajouté les adresses IPv4 et IPv6 associé à notre machine xen.<br /> IPv4 : 193.48.57.182<br /> IPv6 : 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> Ensuite dans la section NameServer nous avons ajouté un DNS secondaire &lt;code&gt;ns6.gandi.net&lt;/code&gt; dont son adresse IPv4 est la suivante : &lt;code&gt;217.70.177.40&lt;/code&gt;.<br /> <br /> Nous avons installé bind9 par &lt;code&gt;apt install bind9&lt;/code&gt;.<br /> <br /> '''Configuration du fichier d'option pour bind'''&lt;br/&gt;<br /> Modification du fichier &lt;code&gt;/etc/bind/named.conf.options&lt;/code&gt;<br /> <br /> <br /> options {<br /> directory &quot;/var/cache/bind&quot;;<br /> forwarders {<br /> 8.8.8.8;<br /> 4.4.2.2; //ou 8.8.4.4 <br /> };<br /> dnssec-validation auto;<br /> recursion yes;<br /> listen-on-v6 { any; };<br /> listen-on {any;};<br /> allow-recursion{trusted;};<br /> //allow-transfer{none;};<br /> };<br /> listen-on-v6 { any;}<br /> acl trusted{<br /> 193.48.57.182; //ns.bolognaise.net <br /> 217.70.177.40; //ns6.gandi.net<br /> };<br /> <br /> ===Paramétrage OSBF et RiPv6 du routeur en E304===<br /> Afin de finir la configuration du routeur en E304, il est nécessaire de mettre en place deux protocoles : &lt;br/&gt;&lt;br/&gt;<br /> '''OSBF''': partage de routes entre les deux routeurs<br /> En effet, l'objectif d'avoir 2 routeurs pour accéder au SR52 est d'avoir une redondance du réseau robuste aux pannes. Néanmoins, il faut pour cela que les deux routeurs connaissent chacun les tables de routages de l'autre. Ci-dessous la configuration OSBF du routeur E304 :<br /> router ospf 1<br /> router-id 192.162.222.6<br /> summary-address 192.168.0.0 255.255.0.0 not-advertise<br /> summary-address 193.48.57.176 255.255.255.240<br /> redistribute connected subnets ! subnets allowed<br /> redistribute static subnets route-map ospf ! subnets allowed<br /> network 192.168.222.72 0.0.0.7 area 20<br /> default-information originate<br /> Pour vérifier si le partage de routes est fonctionnel, on tape dans l'interface Cisco du routeur :<br /> do show ip route<br /> Si les routes du routeur en E306 s'affiche, c'est que le protocole a bien été configuré&lt;br/&gt;&lt;br/&gt;<br /> <br /> <br /> '''RIPv6''': <br /> La première est de permettre au routeur d'attribuer des adresses IPv6 aux différentes machines sur son réseau (Xen ...), un peu à la manière d'un DHCP. Ci-dessous la configuration :<br /> interface vlan 2 <br /> ipv6 enable<br /> ipv6 address 2001:660:4401:60b0::/64 eui-64<br /> ipv6 nd prefix 2001:660:4401:60b0::/64 1000 900<br /> ipv6 nd router-preference high<br /> !<br /> ipv6 unicast-routing<br /> <br /> La deuxième étape est d'activer le routage IPv6 entre les deux routeurs et de définir les priorités de route :<br /> ipv6 rip tpima5sc enable<br /> ipv6 router rip tpima5sc<br /> redistribute connected metric 1 XXXXXXXXX<br /> redistribute rip 1 metric 1<br /> redistribute static metric 1<br /> !<br /> Pour tester que le routage IPv6 est bien activé :<br /> do show ipv6 route<br /> <br /> '''VRRP''' :<br /> Pour rendre notre réseau plus robuste, on a finalement implémenté le protocole VRRP sur le routeur. On a simplement repris la configuration donnée dans le sujet de TP et adaptée à notre cas. Pour la priorité, nous avons indiqué :<br /> <br /> vrrp 1 priority 90<br /> De cette manière, on a définit le routeur en E304 de telle sorte à ce qu'il ne soit pas prioritaire par rapport au 6509E en E306, puisque ce dernier a été configuré avec une priorité de 100.<br /> <br /> = Séance 7 (dernière séance)=<br /> Fin de la configuration des fichiers DNS '''/etc/bind/named.conf.options''' , '''/etc/bind/named.conf.options.local''' et <br /> <br /> Génération des clés dnssec dans un répertoire '''/etc/bind/bolognaise.site.dnssec'''<br /> <br /> Une fois que le fichier '''/etc/bind/named.conf.options''' est rempli d'une manière à configurer notre DNS, nous avons mis en place une configuration des '''forward''' et des '''zones''' comme suit :<br /> <br /> Dans le fichier '''/etc/bind/named.conf.local''' : <br /> <br /> zone &quot;57.48.193.in-addr.arpa&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.193.48.57&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> zone &quot;bolognaise.site&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.bolognaise.site&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> Une fois que les paramètres sont ajoutés dans le fichier de configurations, nous avons créé ensuite les fichiers de zones comme suit:<br /> <br /> cp /etc/bind/db.local /etc/bind/db.bolognaise.site<br /> Cette commande va nous permettre de copier le contenu du fichier '''db.local''' dans le fichier '''db.bolognaise.site''' et qui sera créé en même temps.<br /> voici le contenu des fichiers '''/etc/bind/db.local''' et '''/etc/bind/db.bolognaise.site''' avant la configuration :<br /> <br /> ;<br /> ; BIND data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA localhost. root.localhost. (<br /> 2 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> ;<br /> @ IN NS localhost.<br /> @ IN A 127.0.0.1<br /> @ IN AAAA ::1<br /> <br /> Maintenant nous allons modifié le fichier '''/etc/bind/db.bolognaise.site'''<br /> <br /> ;<br /> ; BIND data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA ns.bolognaise.site. root.bolognaise.site. (<br /> 4 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> ;<br /> @ IN NS ns.bolognaise.site.<br /> @ IN NS ns6.gandi.net.<br /> @ IN A 193.48.57.182<br /> @ IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4 ;addresse IPV6 de dio5<br /> ns IN A 193.48.57.182<br /> ns IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> www IN A 193.48.57.182<br /> www IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> <br /> Pour que les modifications seront prises en compte :<br /> service named restart<br /> <br /> Nous faisions un test pour vérifer la fonctionalité de la forward zone :<br /> <br /> root@dio5:~# host bolognaise.site localhost<br /> Using domain server:<br /> Name: localhost<br /> Address: 127.0.0.1#53<br /> Aliases:<br /> <br /> bolognaise.site has address 193.48.57.182<br /> bolognaise.site has IPv6 address 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> <br /> Ensuite nous allons faire la même démarche pour la '''reverse zone''', où on commence par la copie du fichier comme suit : <br /> cp /etc/bind/db.127 /etc/bind/db.193.48.57 <br /> <br /> Voici le contenu du fichier '''/etc/bind/db.127''' :<br /> <br /> ;<br /> ; BIND reverse data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA localhost. root.localhost. (<br /> 1 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> ;<br /> @ IN NS localhost.<br /> 1.0.0 IN PTR localhost.<br /> <br /> <br /> Nous allons configuré le fichier '''/etc/bind/db.193.48.57''' de la façon suivante : <br /> <br /> ;<br /> ; BIND reverse data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA ns.bolognaise.site. root.bolognaise.site. (<br /> 1 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS ns.bolognaise.site.<br /> 182 IN PTR ns.bolognaise.site.<br /> <br /> <br /> Pour que les modifications seront prises en compte :<br /> service named restart<br /> <br /> Voici un test pour la reverse zone : <br /> root@dio5:~# host 193.48.57.182 localhost<br /> Using domain server:<br /> Name: localhost<br /> Address: 127.0.0.1#53<br /> Aliases:<br /> <br /> 182.57.48.193.in-addr.arpa domain name pointer ns.bolognaise.site.<br /> <br /> == Sécurisation du DNS par DNSSEC ==<br /> Pour sécuriser notre DNS par DNSSEC, nous aurons besions des clés DNSSEC, que nous allons les ranger dans le répertoire suivant : <br /> <br /> /etc/bind/bolognaise.site.dnssec<br /> <br /> Ensuite nous allons créé les clés DNSSEC :<br /> <br /> * '''KSK (Key Signing Key)'''<br /> dnssec-keygen -a RSASHA1 -b 2048 -f KSK -n ZONE bolognaise.site<br /> * '''ZSK (Zone Signing Key)'''<br /> dnssec-keygen -a RSASHA1 -b 1024 -n ZONE bolognaise.site<br /> Puis nous injectons les clés KSK et ZSK (Privées et Publiques) dans les fichiers qui leurs corresponds : <br /> <br /> mv ./Kbolognaise.site.+005+14017.key ./bolognaise.site-zsk.key<br /> mv ./Kbolognaise.site.+005+19378.private ./bolognaise.site-zsk.private<br /> mv ./Kbolognaise.site.+005+13782.private ./bolognaise.site-ksk.private<br /> mv ./Kbolognaise.site.+005+02617.key ./bolognaise.site-ksk.key<br /> <br /> On n'oublie pas de mettre la clé publique '''KSK sur gandi''', en prenant l'algorithme de '''RSA/SHA1'''.<br /> <br /> Dans le fichier '''/etc/bind/named.conf.options''' on ajoute le ligne suivante pour activer le dnssec :<br /> dnssec-enable yes;<br /> <br /> Ensuite nous allons modifié du nouveau le fichier '''/etc/bind/named.conf.local''' <br /> en ajoutant le champs '''signed''': <br /> zone &quot;bolognaise.site&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.bolognaise.site.signed&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> zone &quot;57.48.193.in-addr.arpa&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.193.48.57&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> Cela va impliquer la prise en compte des fichiers des zones.<br /> Après nous allons inclure les clés que nous l'avons créé dans le fichier '''/etc/bind/db.bolognaise.site'''<br /> <br /> *Pour la clé ZSK : <br /> $INCLUDE &quot;/etc/bind/bolognaise.site.dnssec/bolognaise.site-zsk.key&quot;;<br /> *Pour la clé KSK : <br /> $INCLUDE &quot;/etc/bind/bolognaise.site.dnssec/bolognaise.site-ksk.key&quot;;<br /> <br /> Et pour terminer, nous avons signé le fichier de zone comme suivant :<br /> dnssec-signzone -k bolognaise.site-ksk.key -o bolognaise.site ../db.bolognaise.site bolognaise.site-zsk.key<br /> <br /> == Modification du html de notre serveur pour ajouter une photo de BOLOGNAISE ==<br /> <br /> Dans le fichier &lt;code&gt;/var/www/html/index.html&lt;/code&gt;, nous avons modifié le code source de la page de notre site &lt;br/&gt; d'une façon à avoir l'image de bolognaise qui s'affiche. Voici le code HTML : <br /> <br /> <br /> &lt;!DOCTYPE html PUBLIC &quot;-//W3C//DTD XHTML 1.0 Transitional//EN&quot; &quot;http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd&quot;&gt;<br /> &lt;html xmlns=&quot;http://www.w3.org/1999/xhtml&quot;&gt;<br /> &lt;head&gt;<br /> &lt;meta http-equiv=&quot;Content-Type&quot; content=&quot;text/html; charset=UTF-8&quot; /&gt;<br /> &lt;title&gt;NOS Bolognaises !!!&lt;/title&gt;<br /> &lt;/head&gt;<br /> <br /> &lt;style&gt;<br /> img{<br /> height:70vh;<br /> margin:auto;<br /> display:block;<br /> }<br /> <br /> &lt;/style&gt;<br /> &lt;body&gt;<br /> &lt;img src=&quot;bolognaise.jpg&quot;&gt;<br /> &lt;a href=&quot;portail.polytech-lille.fr&quot;&gt;ICI polytech&lt;/a&gt;<br /> &lt;/body&gt;<br /> &lt;/html&gt;<br /> <br /> Si on écrit dans un navigateur : &lt;code&gt;https://bolognaise.site&lt;/code&gt; on peut arriver directement dans notre site.<br /> <br /> ==Gestion de fail2ban==<br /> <br /> ==Coffre Fort==<br /> <br /> [[Fichier:Coffre_secret2.zip]]</div>

Ylacroix https://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA5_2022/2023_G5&diff=60562 2022-12-02T18:01:09Z

<p>Ylacroix : /* Paramétrage OSBF et RiPv6 du routeur en E304 */</p> <hr /> <div>=Installation de l'OS=<br /> <br /> Devuan Chimaera (netinstall) sur les zabeth 17 et 11<br /> <br /> ==Configuration réseau==<br /> *IP machine : 172.26.145.50+n°zabeth/24<br /> *DNS : 193.48.57.48<br /> *Domain name : plil.info<br /> *Routeur : 172.26.145.254<br /> *Proxy : http://proxy.polyetch-lille.fr:3128<br /> <br /> <br /> *mdp dio5 : XXXXXX<br /> <br /> =Ansible=<br /> Prérequis:<br /> *python<br /> *pip<br /> *ansible<br /> Rédaction du script ansible pour le Screen Saver (.yml)<br /> <br /> Tâches accomplies : <br /> * Suppression des animations de veille d'écran<br /> <br /> Tâches restantes : <br /> * Fixer une animation lente pour la veille<br /> * Eteindre complétement l'écran au bout d'un certain temps (1 heure)<br /> <br /> =Réalisation=<br /> ==Installation de la machine virtuelle XEN (séance 2)==<br /> <br /> '''Connexion au serveur hébergeant les VM :'''<br /> ssh root@capbreton.plil.info<br /> <br /> '''Création de l'image de conifguration de la VM :'''<br /> <br /> xen-create-image --ip=193.48.57.105 --gateway=193.48.57.161 --netmask=255.255.255.0 --hostname=dio5 --dist=chimaera --dir=/usr/local/xen/<br /> <br /> /!\ Adresse ip provisoire car réseau 193.48.57.160/27 non créé pour le moment. Actuellement ip : 172.26.145.105 /!\<br /> <br /> '''Modification du fichier de config (image):'''<br /> /etc/xen/dio5.cfg --&gt; <br /> <br /> '''Création de la VM à partir de l'image précédemment créée :'''<br /> xen create dio5.cfg (en étant dans le dir /etc/xen/ évidemment)<br /> <br /> '''Lancement de la VM :'''<br /> xen console dio5<br /> login: root<br /> password: XXXXXX<br /> Vérifier avant que la machine a bien été lancée avec &lt;code&gt;xen create dio5.cfg&lt;/code&gt; par la commande &lt;code&gt;xen list&lt;/code&gt;<br /> <br /> ==Séance 3==<br /> ===Amélioration du coffre fort===<br /> Un dossier compressé est en bas de page<br /> <br /> ===Création des volumes virtuels===<br /> Sur Capbreton, on créé les LVM /home /var avec leurs systèmes de fichiers : <br /> <br /> &lt;code&gt;lvcreate -L10G -ndio5_home storage &lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_home&lt;/code&gt;<br /> <br /> &lt;code&gt;lvcreate -L5G -ndio5_var storage&lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_var&lt;/code&gt;<br /> <br /> Il faut changer le fichier de configuration (situé dans /etc/xen) et y ajouter ces deux lignes dans la partie &lt;code&gt;disk =&lt;/code&gt;<br /> <br /> 'phy:/dev/storage/dio5_home,xvdb1,w',<br /> 'phy:/dev/storage/dio5_var,xvdb2,w',<br /> Ainsi que modifier la ligne &lt;code&gt;vif&lt;/code&gt; comme suit :<br /> vif = [ 'mac=00:16:3E:7B:4D:A4,bridge=IMA5sc' ]<br /> <br /> On relance ensuite la machine avec &lt;code&gt;xen create&lt;/code&gt;. <br /> Pour monter les deux partitions, il faut ensuite modifier le fichier '''/etc/fstab''' comme suit :<br /> /dev/xvdb1 /home ext4 defaults 0 2<br /> /dev/xvdb2 /var ext4 defaults 0 2<br /> Pour que ces modificcations soient prises en compte :<br /> mount -a<br /> reboot<br /> <br /> ==Séance 4==<br /> ===Sécurisation par certificat TLS===<br /> Nous avons commencé par lancer la machine virtuelle qui était créée et configurée lors des séances précédentes. &lt;br/&gt;<br /> Ensuite nous avons acheté le nom de domaine ''' blanquette.site ''' via le fournisseur de nom de domaine GANDI. Ce nom de domaine servira par la suite pour héberger notre site web Apache. &lt;br/&gt;<br /> Pour sécuriser la connexion HTTPS sur Apache, il est nécessaire de créer une clé et un CSR. On utilise pour cela l'utilitaire OpenSSL et on exécute les commandes : &lt;br/&gt;<br /> apt install openssl<br /> openssl req -nodes -newkey rsa:2048 -sha256 -keyout myserver.key -out server.csr -utf8<br /> Pour valider cette demande de certificat et obtenir notre certificat TSL, nous avons également utilisé GANDI.&lt;br/&gt;<br /> <br /> ===Configuration du routeur de secours (Cisco 9200????)===<br /> Pendant que d'autres binômes s'occupaient de la configuration physique des routeurs (câblage), nous nous sommes occupés de configurer le routeur en E304. Pour cela, on accède à l'interface de configuration Cisco du routeur par port série, via minicom :&lt;br/&gt;<br /> minicom -os &quot;&quot;&quot;device:/dev/ttyUSB0, baudrate:9600, pas de contrôle de flux&quot;&quot;&quot;<br /> Depuis cette interface, création de 3 vlan et configuration des ports physiques associés pour répondre à l'architecture réseau demandée pour le TP :<br /> * Connexion entre le routeur et Capbreton sur le VLAN 2 :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 2<br /> routeur(vlan)#name Capb-E304<br /> routeur#exit<br /> routeur#int Te5/4<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 2<br /> Il restera ensuite à configurer ce vlan sur le réseau '''193.48.57.176/28'''<br /> <br /> * Connexion de redondance entre les deux routeurs :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 64<br /> routeur(vlan)#name INTERCO-E306/304<br /> Après le choix du port à connecter sur le routeur, il restera à attribuer ce port au vlan 64 en mode '''trunk'''.<br /> <br /> * Connexion entre le routeur et le SR2<br /> enable<br /> routeur#conf t<br /> routeur#vlan 531<br /> routeur(vlan)#name INTERCO-5A<br /> routeur#exit<br /> routeur#int Te5/5<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 531<br /> Il restera ensuite à configurer ce vlan sur le réseau '''192.168.222.72/29'''<br /> <br /> PHOTO A METTRE !!! &lt;br/&gt;<br /> Pour checker la configuration des vlan du routeur :<br /> routeur#show interfaces status<br /> ou :<br /> routeur#show interface vlan X<br /> <br /> <br /> ==Séance 5==<br /> <br /> Tout d'abord nous avons commencé à vérifer le fonctionnement de notre service SSH sur la machine Xen.<br /> Pour cela nous avons modifié en premier temps après avoir être connecté sur la machine virtuelle le fichier '''sshd_config''' situé dans :<br /> /etc/ssh<br /> comme suit :<br /> # Authentication:<br /> #LoginGraceTime 2m<br /> PermitRootLogin yes<br /> #StrictModes yes<br /> #MaxAuthTries 6<br /> #MaxSessions 10<br /> <br /> d'où nous avons décommenté la ligne de qui nous permet de se connecter en tant que root, ensuite nous avons lui donné cette permission par l'expression '''yes'''.<br /> <br /> Une fois que cette étape est faite, nous avons lancé dans le shell la commande suivante : <br /> root@dio5:~# service ssh restart<br /> Dans le but de prendre en compte les modifications faites.<br /> <br /> Pour vérfier la connexion en ssh, nous lançons depuis notre machine zabeth17 la commande suivante :<br /> root@zabeth17:~# ssh root@172.26.145.105<br /> <br /> '''Attribution de l'adresse IP à VLAN2''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 2<br /> routeur#ip address 193.48.57.178 255.255.255.240<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Attribution de l'adresse IP à VLAN531''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 531<br /> routeur#ip address 192.168.222.75 255.255.255.248<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Configuration et interconnection du port trunk'''<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> conf t<br /> int Te6/5<br /> switchport<br /> switchport trunk encapsulation dot1q<br /> switchport mode trunk<br /> end<br /> <br /> *Afin de sauvegarder ces configurations; on oublie pas de les écrire par la commande :<br /> write<br /> <br /> '''Changement de l'addresse IP de la machine Xen'''<br /> *Changement du Bridge de la machine :<br /> Dans la machine Xen, nous allons modifié le fichier de configuration de notre machine dio5 (situé à /etc/xen/dio5.cfg). Il est devenu comme suivant :<br /> <br /> vif = [ 'mac=00:16:3E:2B:B5:60,bridge=IMA5sc' ]<br /> <br /> Pour prendre les modifications en compte, nous avons arreté la machine xen puis nous l'avons redemaré depuis capbreton étant bien sur dans le repretoire /etc/xen: <br /> <br /> xen shutdown dio5<br /> xen create dio5.cfg <br /> <br /> <br /> <br /> Ensuite nous avons modifié l'addresse IP de la machine dans le fichier '''/etc/network/interfaces''' avec l'addresse IP suivante et la gateway qui correspond :<br /> address 193.48.57.182<br /> gateway 193.48.57.176<br /> Pour que les modifications réseaux seront prises en compte, nous exectutons les commandes suivantes dans la machine Xen: <br /> ifdown -a<br /> ifup -a<br /> <br /> <br /> '''HTTP'''<br /> Pour que notre VM soit accessible en HTTP, il lui faut un serveur HTPP installé. Dans la machine Xen : <br /> apt install apache2<br /> <br /> '''HTTPS'''<br /> L'achat du certificat SSL nous permet de sécuriser la connexion à notre serveur Apache en HTTPS. Pour cela :<br /> a2enmod ssl<br /> a2ensite default-ssl.conf<br /> service apache2 restart<br /> On modifie ensuite le fichier '''/etc/apache2/sites-enabled/default-ssl.conf''' de telle sorte à y renseigner le certificat SSL, le certificat intermédiaire et notre clé privée.<br /> Les certificats sont à télécharger sur Gandi et à transférer sur notre VM en scp.<br /> <br /> ==Séance 6==<br /> ==Serveur DNS==<br /> <br /> Tout d'abord, sur le site '''gandi''', dans la section Glue record, nous avons renseigné un nom de domaine &lt;code&gt;ns.bolognaise.site&lt;/code&gt;, et nous avons ajouté les adresses IPv4 et IPv6 associé à notre machine xen.<br /> IPv4 : 193.48.57.182<br /> IPv6 : 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> Ensuite dans la section NameServer nous avons ajouté un DNS secondaire &lt;code&gt;ns6.gandi.net&lt;/code&gt; dont son adresse IPv4 est la suivante : &lt;code&gt;217.70.177.40&lt;/code&gt;.<br /> <br /> Nous avons installé bind9 par &lt;code&gt;apt install bind9&lt;/code&gt;.<br /> <br /> '''Configuration du fichier d'option pour bind'''&lt;br/&gt;<br /> Modification du fichier &lt;code&gt;/etc/bind/named.conf.options&lt;/code&gt;<br /> <br /> <br /> options {<br /> directory &quot;/var/cache/bind&quot;;<br /> forwarders {<br /> 8.8.8.8;<br /> 4.4.2.2; //ou 8.8.4.4 <br /> };<br /> dnssec-validation auto;<br /> recursion yes;<br /> listen-on-v6 { any; };<br /> listen-on {any;};<br /> allow-recursion{trusted;};<br /> //allow-transfer{none;};<br /> };<br /> listen-on-v6 { any;}<br /> acl trusted{<br /> 193.48.57.182; //ns.bolognaise.net <br /> 217.70.177.40; //ns6.gandi.net<br /> };<br /> <br /> ===Paramétrage OSBF et RiPv6 du routeur en E304===<br /> Afin de finir la configuration du routeur en E304, il est nécessaire de mettre en place deux protocoles : &lt;br/&gt;&lt;br/&gt;<br /> '''OSBF''': partage de routes entre les deux routeurs<br /> En effet, l'objectif d'avoir 2 routeurs pour accéder au SR52 est d'avoir une redondance du réseau robuste aux pannes. Néanmoins, il faut pour cela que les deux routeurs connaissent chacun les tables de routages de l'autre. Ci-dessous la configuration OSBF du routeur E304 :<br /> router ospf 1<br /> router-id 192.162.222.6<br /> summary-address 192.168.0.0 255.255.0.0 not-advertise<br /> summary-address 193.48.57.176 255.255.255.240<br /> redistribute connected subnets ! subnets allowed<br /> redistribute static subnets route-map ospf ! subnets allowed<br /> network 192.168.222.72 0.0.0.7 area 20<br /> default-information originate<br /> Pour vérifier si le partage de routes est fonctionnel, on tape dans l'interface Cisco du routeur :<br /> do show ip route<br /> Si les routes du routeur en E306 s'affiche, c'est que le protocole a bien été configuré&lt;br/&gt;&lt;br/&gt;<br /> <br /> <br /> '''RIPv6''': <br /> La première est de permettre au routeur d'attribuer des adresses IPv6 aux différentes machines sur son réseau (Xen ...), un peu à la manière d'un DHCP. Ci-dessous la configuration :<br /> interface vlan 2 <br /> ipv6 enable<br /> ipv6 address 2001:660:4401:60b0::/64 eui-64<br /> ipv6 nd prefix 2001:660:4401:60b0::/64 1000 900<br /> ipv6 nd router-preference high<br /> !<br /> ipv6 unicast-routing<br /> <br /> La deuxième étape est d'activer le routage IPv6 entre les deux routeurs et de définir les priorités de route :<br /> ipv6 rip tpima5sc enable<br /> ipv6 router rip tpima5sc<br /> redistribute connected metric 1 XXXXXXXXX<br /> redistribute rip 1 metric 1<br /> redistribute static metric 1<br /> !<br /> Pour tester que le routage IPv6 est bien activé :<br /> do show ipv6 route<br /> <br /> De cette manière, on a définit le routeur en E304 de telle sorte à ce qu'il ne soit pas prioritaire par rapport au 6509E en E306.<br /> <br /> = Séance 7 (dernière séance)=<br /> Fin de la configuration des fichiers DNS '''/etc/bind/named.conf.options''' , '''/etc/bind/named.conf.options.local''' et <br /> <br /> Génération des clés dnssec dans un répertoire '''/etc/bind/bolognaise.site.dnssec'''<br /> <br /> Une fois que le fichier '''/etc/bind/named.conf.options''' est rempli d'une manière à configurer notre DNS, nous avons mis en place une configuration des '''forward''' et des '''zones''' comme suit :<br /> <br /> Dans le fichier '''/etc/bind/named.conf.local''' : <br /> <br /> zone &quot;57.48.193.in-addr.arpa&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.193.48.57&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> zone &quot;bolognaise.site&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.bolognaise.site&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> Une fois que les paramètres sont ajoutés dans le fichier de configurations, nous avons créé ensuite les fichiers de zones comme suit:<br /> <br /> cp /etc/bind/db.local /etc/bind/db.bolognaise.site<br /> Cette commande va nous permettre de copier le contenu du fichier '''db.local''' dans le fichier '''db.bolognaise.site''' et qui sera créé en même temps.<br /> voici le contenu des fichiers '''/etc/bind/db.local''' et '''/etc/bind/db.bolognaise.site''' avant la configuration :<br /> <br /> ;<br /> ; BIND data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA localhost. root.localhost. (<br /> 2 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> ;<br /> @ IN NS localhost.<br /> @ IN A 127.0.0.1<br /> @ IN AAAA ::1<br /> <br /> Maintenant nous allons modifié le fichier '''/etc/bind/db.bolognaise.site'''<br /> <br /> ;<br /> ; BIND data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA ns.bolognaise.site. root.bolognaise.site. (<br /> 4 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> ;<br /> @ IN NS ns.bolognaise.site.<br /> @ IN NS ns6.gandi.net.<br /> @ IN A 193.48.57.182<br /> @ IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4 ;addresse IPV6 de dio5<br /> ns IN A 193.48.57.182<br /> ns IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> www IN A 193.48.57.182<br /> www IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> <br /> Pour que les modifications seront prises en compte :<br /> service named restart<br /> <br /> Nous faisions un test pour vérifer la fonctionalité de la forward zone :<br /> <br /> root@dio5:~# host bolognaise.site localhost<br /> Using domain server:<br /> Name: localhost<br /> Address: 127.0.0.1#53<br /> Aliases:<br /> <br /> bolognaise.site has address 193.48.57.182<br /> bolognaise.site has IPv6 address 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> <br /> Ensuite nous allons faire la même démarche pour la '''reverse zone''', où on commence par la copie du fichier comme suit : <br /> cp /etc/bind/db.127 /etc/bind/db.193.48.57 <br /> <br /> Voici le contenu du fichier '''/etc/bind/db.127''' :<br /> <br /> ;<br /> ; BIND reverse data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA localhost. root.localhost. (<br /> 1 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> ;<br /> @ IN NS localhost.<br /> 1.0.0 IN PTR localhost.<br /> <br /> <br /> Nous allons configuré le fichier '''/etc/bind/db.193.48.57''' de la façon suivante : <br /> <br /> ;<br /> ; BIND reverse data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA ns.bolognaise.site. root.bolognaise.site. (<br /> 1 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS ns.bolognaise.site.<br /> 182 IN PTR ns.bolognaise.site.<br /> <br /> <br /> Pour que les modifications seront prises en compte :<br /> service named restart<br /> <br /> Voici un test pour la reverse zone : <br /> root@dio5:~# host 193.48.57.182 localhost<br /> Using domain server:<br /> Name: localhost<br /> Address: 127.0.0.1#53<br /> Aliases:<br /> <br /> 182.57.48.193.in-addr.arpa domain name pointer ns.bolognaise.site.<br /> <br /> == Sécurisation du DNS par DNSSEC ==<br /> Pour sécuriser notre DNS par DNSSEC, nous aurons besions des clés DNSSEC, que nous allons les ranger dans le répertoire suivant : <br /> <br /> /etc/bind/bolognaise.site.dnssec<br /> <br /> Ensuite nous allons créé les clés DNSSEC :<br /> <br /> * '''KSK (Key Signing Key)'''<br /> dnssec-keygen -a RSASHA1 -b 2048 -f KSK -n ZONE bolognaise.site<br /> * '''ZSK (Zone Signing Key)'''<br /> dnssec-keygen -a RSASHA1 -b 1024 -n ZONE bolognaise.site<br /> Puis nous injectons les clés KSK et ZSK (Privées et Publiques) dans les fichiers qui leurs corresponds : <br /> <br /> mv ./Kbolognaise.site.+005+14017.key ./bolognaise.site-zsk.key<br /> mv ./Kbolognaise.site.+005+19378.private ./bolognaise.site-zsk.private<br /> mv ./Kbolognaise.site.+005+13782.private ./bolognaise.site-ksk.private<br /> mv ./Kbolognaise.site.+005+02617.key ./bolognaise.site-ksk.key<br /> <br /> Dans le fichier '''/etc/bind/named.conf.options''' on ajoute le ligne suivante pour activer le dnssec :<br /> dnssec-enable yes;<br /> <br /> Ensuite nous allons modifié du nouveau le fichier '''/etc/bind/named.conf.local''' <br /> en ajoutant le champs '''signed''': <br /> zone &quot;bolognaise.site&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.bolognaise.site.signed&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> zone &quot;57.48.193.in-addr.arpa&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.193.48.57&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> Cela va impliquer la prise en compte des fichiers des zones.<br /> Après nous allons inclure les clés que nous l'avons créé dans le fichier '''/etc/bind/db.bolognaise.site'''<br /> <br /> *Pour la clé ZSK : <br /> $INCLUDE &quot;/etc/bind/bolognaise.site.dnssec/bolognaise.site-zsk.key&quot;;<br /> *Pour la clé KSK : <br /> $INCLUDE &quot;/etc/bind/bolognaise.site.dnssec/bolognaise.site-ksk.key&quot;;<br /> <br /> Et pour terminer, nous avons signé le fichier de zone comme suivant :<br /> dnssec-signzone -k bolognaise.site-ksk.key -o bolognaise.site ../db.bolognaise.site bolognaise.site-zsk.key<br /> <br /> == Modification du html de notre serveur pour ajouter une photo de BOLOGNAISE ==<br /> <br /> ==Gestion de fail2ban==<br /> <br /> ==Coffre Fort==<br /> <br /> [[Fichier:Coffre_secret2.zip]]</div>

Ylacroix https://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA5_2022/2023_G5&diff=60559 2022-12-02T17:57:09Z

<p>Ylacroix : /* Paramétrage OSBF et RiPv6 du routeur en E304 */</p> <hr /> <div>=Installation de l'OS=<br /> <br /> Devuan Chimaera (netinstall) sur les zabeth 17 et 11<br /> <br /> ==Configuration réseau==<br /> *IP machine : 172.26.145.50+n°zabeth/24<br /> *DNS : 193.48.57.48<br /> *Domain name : plil.info<br /> *Routeur : 172.26.145.254<br /> *Proxy : http://proxy.polyetch-lille.fr:3128<br /> <br /> <br /> *mdp dio5 : XXXXXX<br /> <br /> =Ansible=<br /> Prérequis:<br /> *python<br /> *pip<br /> *ansible<br /> Rédaction du script ansible pour le Screen Saver (.yml)<br /> <br /> Tâches accomplies : <br /> * Suppression des animations de veille d'écran<br /> <br /> Tâches restantes : <br /> * Fixer une animation lente pour la veille<br /> * Eteindre complétement l'écran au bout d'un certain temps (1 heure)<br /> <br /> =Réalisation=<br /> ==Installation de la machine virtuelle XEN (séance 2)==<br /> <br /> '''Connexion au serveur hébergeant les VM :'''<br /> ssh root@capbreton.plil.info<br /> <br /> '''Création de l'image de conifguration de la VM :'''<br /> <br /> xen-create-image --ip=193.48.57.105 --gateway=193.48.57.161 --netmask=255.255.255.0 --hostname=dio5 --dist=chimaera --dir=/usr/local/xen/<br /> <br /> /!\ Adresse ip provisoire car réseau 193.48.57.160/27 non créé pour le moment. Actuellement ip : 172.26.145.105 /!\<br /> <br /> '''Modification du fichier de config (image):'''<br /> /etc/xen/dio5.cfg --&gt; <br /> <br /> '''Création de la VM à partir de l'image précédemment créée :'''<br /> xen create dio5.cfg (en étant dans le dir /etc/xen/ évidemment)<br /> <br /> '''Lancement de la VM :'''<br /> xen console dio5<br /> login: root<br /> password: XXXXXX<br /> Vérifier avant que la machine a bien été lancée avec &lt;code&gt;xen create dio5.cfg&lt;/code&gt; par la commande &lt;code&gt;xen list&lt;/code&gt;<br /> <br /> ==Séance 3==<br /> ===Amélioration du coffre fort===<br /> Un dossier compressé est en bas de page<br /> <br /> ===Création des volumes virtuels===<br /> Sur Capbreton, on créé les LVM /home /var avec leurs systèmes de fichiers : <br /> <br /> &lt;code&gt;lvcreate -L10G -ndio5_home storage &lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_home&lt;/code&gt;<br /> <br /> &lt;code&gt;lvcreate -L5G -ndio5_var storage&lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_var&lt;/code&gt;<br /> <br /> Il faut changer le fichier de configuration (situé dans /etc/xen) et y ajouter ces deux lignes dans la partie &lt;code&gt;disk =&lt;/code&gt;<br /> <br /> 'phy:/dev/storage/dio5_home,xvdb1,w',<br /> 'phy:/dev/storage/dio5_var,xvdb2,w',<br /> Ainsi que modifier la ligne &lt;code&gt;vif&lt;/code&gt; comme suit :<br /> vif = [ 'mac=00:16:3E:7B:4D:A4,bridge=IMA5sc' ]<br /> <br /> On relance ensuite la machine avec &lt;code&gt;xen create&lt;/code&gt;. <br /> Pour monter les deux partitions, il faut ensuite modifier le fichier '''/etc/fstab''' comme suit :<br /> /dev/xvdb1 /home ext4 defaults 0 2<br /> /dev/xvdb2 /var ext4 defaults 0 2<br /> Pour que ces modificcations soient prises en compte :<br /> mount -a<br /> reboot<br /> <br /> ==Séance 4==<br /> ===Sécurisation par certificat TLS===<br /> Nous avons commencé par lancer la machine virtuelle qui était créée et configurée lors des séances précédentes. &lt;br/&gt;<br /> Ensuite nous avons acheté le nom de domaine ''' blanquette.site ''' via le fournisseur de nom de domaine GANDI. Ce nom de domaine servira par la suite pour héberger notre site web Apache. &lt;br/&gt;<br /> Pour sécuriser la connexion HTTPS sur Apache, il est nécessaire de créer une clé et un CSR. On utilise pour cela l'utilitaire OpenSSL et on exécute les commandes : &lt;br/&gt;<br /> apt install openssl<br /> openssl req -nodes -newkey rsa:2048 -sha256 -keyout myserver.key -out server.csr -utf8<br /> Pour valider cette demande de certificat et obtenir notre certificat TSL, nous avons également utilisé GANDI.&lt;br/&gt;<br /> <br /> ===Configuration du routeur de secours (Cisco 9200????)===<br /> Pendant que d'autres binômes s'occupaient de la configuration physique des routeurs (câblage), nous nous sommes occupés de configurer le routeur en E304. Pour cela, on accède à l'interface de configuration Cisco du routeur par port série, via minicom :&lt;br/&gt;<br /> minicom -os &quot;&quot;&quot;device:/dev/ttyUSB0, baudrate:9600, pas de contrôle de flux&quot;&quot;&quot;<br /> Depuis cette interface, création de 3 vlan et configuration des ports physiques associés pour répondre à l'architecture réseau demandée pour le TP :<br /> * Connexion entre le routeur et Capbreton sur le VLAN 2 :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 2<br /> routeur(vlan)#name Capb-E304<br /> routeur#exit<br /> routeur#int Te5/4<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 2<br /> Il restera ensuite à configurer ce vlan sur le réseau '''193.48.57.176/28'''<br /> <br /> * Connexion de redondance entre les deux routeurs :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 64<br /> routeur(vlan)#name INTERCO-E306/304<br /> Après le choix du port à connecter sur le routeur, il restera à attribuer ce port au vlan 64 en mode '''trunk'''.<br /> <br /> * Connexion entre le routeur et le SR2<br /> enable<br /> routeur#conf t<br /> routeur#vlan 531<br /> routeur(vlan)#name INTERCO-5A<br /> routeur#exit<br /> routeur#int Te5/5<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 531<br /> Il restera ensuite à configurer ce vlan sur le réseau '''192.168.222.72/29'''<br /> <br /> PHOTO A METTRE !!! &lt;br/&gt;<br /> Pour checker la configuration des vlan du routeur :<br /> routeur#show interfaces status<br /> ou :<br /> routeur#show interface vlan X<br /> <br /> <br /> ==Séance 5==<br /> <br /> Tout d'abord nous avons commencé à vérifer le fonctionnement de notre service SSH sur la machine Xen.<br /> Pour cela nous avons modifié en premier temps après avoir être connecté sur la machine virtuelle le fichier '''sshd_config''' situé dans :<br /> /etc/ssh<br /> comme suit :<br /> # Authentication:<br /> #LoginGraceTime 2m<br /> PermitRootLogin yes<br /> #StrictModes yes<br /> #MaxAuthTries 6<br /> #MaxSessions 10<br /> <br /> d'où nous avons décommenté la ligne de qui nous permet de se connecter en tant que root, ensuite nous avons lui donné cette permission par l'expression '''yes'''.<br /> <br /> Une fois que cette étape est faite, nous avons lancé dans le shell la commande suivante : <br /> root@dio5:~# service ssh restart<br /> Dans le but de prendre en compte les modifications faites.<br /> <br /> Pour vérfier la connexion en ssh, nous lançons depuis notre machine zabeth17 la commande suivante :<br /> root@zabeth17:~# ssh root@172.26.145.105<br /> <br /> '''Attribution de l'adresse IP à VLAN2''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 2<br /> routeur#ip address 193.48.57.178 255.255.255.240<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Attribution de l'adresse IP à VLAN531''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 531<br /> routeur#ip address 192.168.222.75 255.255.255.248<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Configuration et interconnection du port trunk'''<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> conf t<br /> int Te6/5<br /> switchport<br /> switchport trunk encapsulation dot1q<br /> switchport mode trunk<br /> end<br /> <br /> *Afin de sauvegarder ces configurations; on oublie pas de les écrire par la commande :<br /> write<br /> <br /> '''Changement de l'addresse IP de la machine Xen'''<br /> *Changement du Bridge de la machine :<br /> Dans la machine Xen, nous allons modifié le fichier de configuration de notre machine dio5 (situé à /etc/xen/dio5.cfg). Il est devenu comme suivant :<br /> <br /> vif = [ 'mac=00:16:3E:2B:B5:60,bridge=IMA5sc' ]<br /> <br /> Pour prendre les modifications en compte, nous avons arreté la machine xen puis nous l'avons redemaré depuis capbreton étant bien sur dans le repretoire /etc/xen: <br /> <br /> xen shutdown dio5<br /> xen create dio5.cfg <br /> <br /> <br /> <br /> Ensuite nous avons modifié l'addresse IP de la machine dans le fichier '''/etc/network/interfaces''' avec l'addresse IP suivante et la gateway qui correspond :<br /> address 193.48.57.182<br /> gateway 193.48.57.176<br /> Pour que les modifications réseaux seront prises en compte, nous exectutons les commandes suivantes dans la machine Xen: <br /> ifdown -a<br /> ifup -a<br /> <br /> <br /> '''HTTP'''<br /> Pour que notre VM soit accessible en HTTP, il lui faut un serveur HTPP installé. Dans la machine Xen : <br /> apt install apache2<br /> <br /> '''HTTPS'''<br /> L'achat du certificat SSL nous permet de sécuriser la connexion à notre serveur Apache en HTTPS. Pour cela :<br /> a2enmod ssl<br /> a2ensite default-ssl.conf<br /> service apache2 restart<br /> On modifie ensuite le fichier '''/etc/apache2/sites-enabled/default-ssl.conf''' de telle sorte à y renseigner le certificat SSL, le certificat intermédiaire et notre clé privée.<br /> Les certificats sont à télécharger sur Gandi et à transférer sur notre VM en scp.<br /> <br /> ==Séance 6==<br /> ==Serveur DNS==<br /> <br /> Tout d'abord, sur le site '''gandi''', dans la section Glue record, nous avons renseigné un nom de domaine &lt;code&gt;ns.bolognaise.site&lt;/code&gt;, et nous avons ajouté les adresses IPv4 et IPv6 associé à notre machine xen.<br /> IPv4 : 193.48.57.182<br /> IPv6 : 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> Ensuite dans la section NameServer nous avons ajouté un DNS secondaire &lt;code&gt;ns6.gandi.net&lt;/code&gt; dont son adresse IPv4 est la suivante : &lt;code&gt;217.70.177.40&lt;/code&gt;.<br /> <br /> Nous avons installé bind9 par &lt;code&gt;apt install bind9&lt;/code&gt;.<br /> <br /> '''Configuration du fichier d'option pour bind'''&lt;br/&gt;<br /> Modification du fichier &lt;code&gt;/etc/bind/named.conf.options&lt;/code&gt;<br /> <br /> <br /> options {<br /> directory &quot;/var/cache/bind&quot;;<br /> forwarders {<br /> 8.8.8.8;<br /> 4.4.2.2; //ou 8.8.4.4 <br /> };<br /> dnssec-validation auto;<br /> recursion yes;<br /> listen-on-v6 { any; };<br /> listen-on {any;};<br /> allow-recursion{trusted;};<br /> //allow-transfer{none;};<br /> };<br /> listen-on-v6 { any;}<br /> acl trusted{<br /> 193.48.57.182; //ns.bolognaise.net <br /> 217.70.177.40; //ns6.gandi.net<br /> };<br /> <br /> ===Paramétrage OSBF et RiPv6 du routeur en E304===<br /> Afin de finir la configuration du routeur en E304, il est nécessaire de mettre en place deux protocoles : &lt;br/&gt;&lt;br/&gt;<br /> '''OSBF''': partage de routes entre les deux routeurs<br /> En effet, l'objectif d'avoir 2 routeurs pour accéder au SR52 est d'avoir une redondance du réseau robuste aux pannes. Néanmoins, il faut pour cela que les deux routeurs connaissent chacun les tables de routages de l'autre. Ci-dessous la configuration OSBF du routeur E304 :<br /> router ospf 1<br /> router-id 192.162.222.6<br /> summary-address 192.168.0.0 255.255.0.0 not-advertise<br /> summary-address 193.48.57.176 255.255.255.240<br /> redistribute connected subnets ! subnets allowed<br /> redistribute static subnets route-map ospf ! subnets allowed<br /> network 192.168.222.72 0.0.0.7 area 20<br /> default-information originate<br /> Pour vérifier si le partage de routes est fonctionnel, on tape dans l'interface Cisco du routeur :<br /> do show ip route<br /> Si les routes du routeur en E306 s'affiche, c'est que le protocole a bien été configuré&lt;br/&gt;&lt;br/&gt;<br /> <br /> <br /> '''RIPv6''': <br /> La première est de permettre au routeur d'attribuer des adresses IPv6 aux différentes machines sur son réseau (Xen ...), un peu à la manière d'un DHCP. Ci-dessous la configuration :<br /> interface vlan 2 <br /> ipv6 enable<br /> ipv6 address 2001:660:4401:60b0::/64 eui-64<br /> ipv6 nd prefix 2001:660:4401:60b0::/64 1000 900<br /> ipv6 nd router-preference high<br /> ipv6 unicast-routing<br /> !<br /> La deuxième étape est d'activer le routage IPv6 entre les deux routeurs et de définir les priorités de route :<br /> ipv6 rip tpima5sc enable<br /> ipv6 router rip tpima5sc<br /> redistribute connected metric 1 XXXXXXXXX<br /> redistribute rip 1 metric 1<br /> redistribute static metric 1<br /> !<br /> <br /> = Séance 7 (dernière séance)=<br /> Fin de la configuration des fichiers DNS '''/etc/bind/named.conf.options''' , '''/etc/bind/named.conf.options.local''' et <br /> <br /> Génération des clés dnssec dans un répertoire '''/etc/bind/bolognaise.site.dnssec'''<br /> <br /> Une fois que le fichier '''/etc/bind/named.conf.options''' est rempli d'une manière à configurer notre DNS, nous avons mis en place une configuration des '''forward''' et des '''zones''' comme suit :<br /> <br /> Dans le fichier '''/etc/bind/named.conf.local''' : <br /> <br /> zone &quot;57.48.193.in-addr.arpa&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.193.48.57&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> zone &quot;bolognaise.site&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.bolognaise.site&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> Une fois que les paramètres sont ajoutés dans le fichier de configurations, nous avons créé ensuite les fichiers de zones comme suit:<br /> <br /> cp /etc/bind/db.local /etc/bind/db.bolognaise.site<br /> Cette commande va nous permettre de copier le contenu du fichier '''db.local''' dans le fichier '''db.bolognaise.site''' et qui sera créé en même temps.<br /> voici le contenu des fichiers '''/etc/bind/db.local''' et '''/etc/bind/db.bolognaise.site''' avant la configuration :<br /> <br /> ;<br /> ; BIND data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA localhost. root.localhost. (<br /> 2 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> ;<br /> @ IN NS localhost.<br /> @ IN A 127.0.0.1<br /> @ IN AAAA ::1<br /> <br /> Maintenant nous allons modifié le fichier '''/etc/bind/db.bolognaise.site'''<br /> <br /> ;<br /> ; BIND data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA ns.bolognaise.site. root.bolognaise.site. (<br /> 4 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> ;<br /> @ IN NS ns.bolognaise.site.<br /> @ IN NS ns6.gandi.net.<br /> @ IN A 193.48.57.182<br /> @ IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4 ;addresse IPV6 de dio5<br /> ns IN A 193.48.57.182<br /> ns IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> www IN A 193.48.57.182<br /> www IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> <br /> Pour que les modifications seront prises en compte :<br /> service named restart<br /> <br /> Nous faisions un test pour vérifer la fonctionalité de la forward zone :<br /> <br /> root@dio5:~# host bolognaise.site localhost<br /> Using domain server:<br /> Name: localhost<br /> Address: 127.0.0.1#53<br /> Aliases:<br /> <br /> bolognaise.site has address 193.48.57.182<br /> bolognaise.site has IPv6 address 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> <br /> Ensuite nous allons faire la même démarche pour la '''reverse zone''', où on commence par la copie du fichier comme suit : <br /> cp /etc/bind/db.127 /etc/bind/db.193.48.57 <br /> <br /> Voici le contenu du fichier '''/etc/bind/db.127''' :<br /> <br /> ;<br /> ; BIND reverse data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA localhost. root.localhost. (<br /> 1 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> ;<br /> @ IN NS localhost.<br /> 1.0.0 IN PTR localhost.<br /> <br /> <br /> Nous allons configuré le fichier '''/etc/bind/db.193.48.57''' de la façon suivante : <br /> <br /> ;<br /> ; BIND reverse data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA ns.bolognaise.site. root.bolognaise.site. (<br /> 1 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS ns.bolognaise.site.<br /> 182 IN PTR ns.bolognaise.site.<br /> <br /> <br /> Pour que les modifications seront prises en compte :<br /> service named restart<br /> <br /> Voici un test pour la reverse zone : <br /> root@dio5:~# host 193.48.57.182 localhost<br /> Using domain server:<br /> Name: localhost<br /> Address: 127.0.0.1#53<br /> Aliases:<br /> <br /> 182.57.48.193.in-addr.arpa domain name pointer ns.bolognaise.site.<br /> <br /> == Sécurisation du DNS par DNSSEC ==<br /> Pour sécuriser notre DNS par DNSSEC, nous aurons besions des clés DNSSEC, que nous allons les ranger dans le répertoire suivant : <br /> <br /> /etc/bind/bolognaise.site.dnssec<br /> <br /> Ensuite nous allons créé les clés DNSSEC :<br /> <br /> * '''KSK (Key Signing Key)'''<br /> dnssec-keygen -a RSASHA1 -b 2048 -f KSK -n ZONE bolognaise.site<br /> * '''ZSK (Zone Signing Key)'''<br /> dnssec-keygen -a RSASHA1 -b 1024 -n ZONE bolognaise.site<br /> Puis nous injectons les clés KSK et ZSK (Privées et Publiques) dans les fichiers qui leurs corresponds : <br /> <br /> mv ./Kbolognaise.site.+005+14017.key ./bolognaise.site-zsk.key<br /> mv ./Kbolognaise.site.+005+19378.private ./bolognaise.site-zsk.private<br /> mv ./Kbolognaise.site.+005+13782.private ./bolognaise.site-ksk.private<br /> mv ./Kbolognaise.site.+005+02617.key ./bolognaise.site-ksk.key<br /> <br /> Dans le fichier '''/etc/bind/named.conf.options''' on ajoute le ligne suivante pour activer le dnssec :<br /> dnssec-enable yes;<br /> <br /> Ensuite nous allons modifié du nouveau le fichier '''/etc/bind/named.conf.local''' <br /> en ajoutant le champs '''signed''': <br /> zone &quot;bolognaise.site&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.bolognaise.site.signed&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> zone &quot;57.48.193.in-addr.arpa&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.193.48.57&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> Cela va impliquer la prise en compte des fichiers des zones.<br /> Après nous allons inclure les clés que nous l'avons créé dans le fichier '''/etc/bind/db.bolognaise.site'''<br /> <br /> *Pour la clé ZSK : <br /> $INCLUDE &quot;/etc/bind/bolognaise.site.dnssec/bolognaise.site-zsk.key&quot;;<br /> *Pour la clé KSK : <br /> $INCLUDE &quot;/etc/bind/bolognaise.site.dnssec/bolognaise.site-ksk.key&quot;;<br /> <br /> == Modification du html de notre serveur pour ajouter une photo de BOLOGNAISE ==<br /> <br /> ==Gestion de fail2ban==<br /> <br /> ==Coffre Fort==<br /> <br /> [[Fichier:Coffre_secret2.zip]]</div>

Ylacroix https://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA5_2022/2023_G5&diff=60547 2022-12-02T17:40:53Z

<p>Ylacroix : /* Paramétrage OSBF et RiPv6 du routeur en E304 */</p> <hr /> <div>=Installation de l'OS=<br /> <br /> Devuan Chimaera (netinstall) sur les zabeth 17 et 11<br /> <br /> ==Configuration réseau==<br /> *IP machine : 172.26.145.50+n°zabeth/24<br /> *DNS : 193.48.57.48<br /> *Domain name : plil.info<br /> *Routeur : 172.26.145.254<br /> *Proxy : http://proxy.polyetch-lille.fr:3128<br /> <br /> <br /> *mdp dio5 : XXXXXX<br /> <br /> =Ansible=<br /> Prérequis:<br /> *python<br /> *pip<br /> *ansible<br /> Rédaction du script ansible pour le Screen Saver (.yml)<br /> <br /> Tâches accomplies : <br /> * Suppression des animations de veille d'écran<br /> <br /> Tâches restantes : <br /> * Fixer une animation lente pour la veille<br /> * Eteindre complétement l'écran au bout d'un certain temps (1 heure)<br /> <br /> =Réalisation=<br /> ==Installation de la machine virtuelle XEN (séance 2)==<br /> <br /> '''Connexion au serveur hébergeant les VM :'''<br /> ssh root@capbreton.plil.info<br /> <br /> '''Création de l'image de conifguration de la VM :'''<br /> <br /> xen-create-image --ip=193.48.57.105 --gateway=193.48.57.161 --netmask=255.255.255.0 --hostname=dio5 --dist=chimaera --dir=/usr/local/xen/<br /> <br /> /!\ Adresse ip provisoire car réseau 193.48.57.160/27 non créé pour le moment. Actuellement ip : 172.26.145.105 /!\<br /> <br /> '''Modification du fichier de config (image):'''<br /> /etc/xen/dio5.cfg --&gt; <br /> <br /> '''Création de la VM à partir de l'image précédemment créée :'''<br /> xen create dio5.cfg (en étant dans le dir /etc/xen/ évidemment)<br /> <br /> '''Lancement de la VM :'''<br /> xen console dio5<br /> login: root<br /> password: XXXXXX<br /> Vérifier avant que la machine a bien été lancée avec &lt;code&gt;xen create dio5.cfg&lt;/code&gt; par la commande &lt;code&gt;xen list&lt;/code&gt;<br /> <br /> ==Séance 3==<br /> ===Amélioration du coffre fort===<br /> Un dossier compressé est en bas de page<br /> <br /> ===Création des volumes virtuels===<br /> Sur Capbreton, on créé les LVM /home /var avec leurs systèmes de fichiers : <br /> <br /> &lt;code&gt;lvcreate -L10G -ndio5_home storage &lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_home&lt;/code&gt;<br /> <br /> &lt;code&gt;lvcreate -L5G -ndio5_var storage&lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_var&lt;/code&gt;<br /> <br /> Il faut changer le fichier de configuration (situé dans /etc/xen) et y ajouter ces deux lignes dans la partie &lt;code&gt;disk =&lt;/code&gt;<br /> <br /> 'phy:/dev/storage/dio5_home,xvdb1,w',<br /> 'phy:/dev/storage/dio5_var,xvdb2,w',<br /> Ainsi que modifier la ligne &lt;code&gt;vif&lt;/code&gt; comme suit :<br /> vif = [ 'mac=00:16:3E:7B:4D:A4,bridge=IMA5sc' ]<br /> <br /> On relance ensuite la machine avec &lt;code&gt;xen create&lt;/code&gt;. <br /> Pour monter les deux partitions, il faut ensuite modifier le fichier '''/etc/fstab''' comme suit :<br /> /dev/xvdb1 /home ext4 defaults 0 2<br /> /dev/xvdb2 /var ext4 defaults 0 2<br /> Pour que ces modificcations soient prises en compte :<br /> mount -a<br /> reboot<br /> <br /> ==Séance 4==<br /> ===Sécurisation par certificat TLS===<br /> Nous avons commencé par lancer la machine virtuelle qui était créée et configurée lors des séances précédentes. &lt;br/&gt;<br /> Ensuite nous avons acheté le nom de domaine ''' blanquette.site ''' via le fournisseur de nom de domaine GANDI. Ce nom de domaine servira par la suite pour héberger notre site web Apache. &lt;br/&gt;<br /> Pour sécuriser la connexion HTTPS sur Apache, il est nécessaire de créer une clé et un CSR. On utilise pour cela l'utilitaire OpenSSL et on exécute les commandes : &lt;br/&gt;<br /> apt install openssl<br /> openssl req -nodes -newkey rsa:2048 -sha256 -keyout myserver.key -out server.csr -utf8<br /> Pour valider cette demande de certificat et obtenir notre certificat TSL, nous avons également utilisé GANDI.&lt;br/&gt;<br /> <br /> ===Configuration du routeur de secours (Cisco 9200????)===<br /> Pendant que d'autres binômes s'occupaient de la configuration physique des routeurs (câblage), nous nous sommes occupés de configurer le routeur en E304. Pour cela, on accède à l'interface de configuration Cisco du routeur par port série, via minicom :&lt;br/&gt;<br /> minicom -os &quot;&quot;&quot;device:/dev/ttyUSB0, baudrate:9600, pas de contrôle de flux&quot;&quot;&quot;<br /> Depuis cette interface, création de 3 vlan et configuration des ports physiques associés pour répondre à l'architecture réseau demandée pour le TP :<br /> * Connexion entre le routeur et Capbreton sur le VLAN 2 :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 2<br /> routeur(vlan)#name Capb-E304<br /> routeur#exit<br /> routeur#int Te5/4<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 2<br /> Il restera ensuite à configurer ce vlan sur le réseau '''193.48.57.176/28'''<br /> <br /> * Connexion de redondance entre les deux routeurs :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 64<br /> routeur(vlan)#name INTERCO-E306/304<br /> Après le choix du port à connecter sur le routeur, il restera à attribuer ce port au vlan 64 en mode '''trunk'''.<br /> <br /> * Connexion entre le routeur et le SR2<br /> enable<br /> routeur#conf t<br /> routeur#vlan 531<br /> routeur(vlan)#name INTERCO-5A<br /> routeur#exit<br /> routeur#int Te5/5<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 531<br /> Il restera ensuite à configurer ce vlan sur le réseau '''192.168.222.72/29'''<br /> <br /> PHOTO A METTRE !!! &lt;br/&gt;<br /> Pour checker la configuration des vlan du routeur :<br /> routeur#show interfaces status<br /> ou :<br /> routeur#show interface vlan X<br /> <br /> <br /> ==Séance 5==<br /> <br /> Tout d'abord nous avons commencé à vérifer le fonctionnement de notre service SSH sur la machine Xen.<br /> Pour cela nous avons modifié en premier temps après avoir être connecté sur la machine virtuelle le fichier '''sshd_config''' situé dans :<br /> /etc/ssh<br /> comme suit :<br /> # Authentication:<br /> #LoginGraceTime 2m<br /> PermitRootLogin yes<br /> #StrictModes yes<br /> #MaxAuthTries 6<br /> #MaxSessions 10<br /> <br /> d'où nous avons décommenté la ligne de qui nous permet de se connecter en tant que root, ensuite nous avons lui donné cette permission par l'expression '''yes'''.<br /> <br /> Une fois que cette étape est faite, nous avons lancé dans le shell la commande suivante : <br /> root@dio5:~# service ssh restart<br /> Dans le but de prendre en compte les modifications faites.<br /> <br /> Pour vérfier la connexion en ssh, nous lançons depuis notre machine zabeth17 la commande suivante :<br /> root@zabeth17:~# ssh root@172.26.145.105<br /> <br /> '''Attribution de l'adresse IP à VLAN2''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 2<br /> routeur#ip address 193.48.57.178 255.255.255.240<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Attribution de l'adresse IP à VLAN531''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 531<br /> routeur#ip address 192.168.222.75 255.255.255.248<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Configuration et interconnection du port trunk'''<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> conf t<br /> int Te6/5<br /> switchport<br /> switchport trunk encapsulation dot1q<br /> switchport mode trunk<br /> end<br /> <br /> *Afin de sauvegarder ces configurations; on oublie pas de les écrire par la commande :<br /> write<br /> <br /> '''Changement de l'addresse IP de la machine Xen'''<br /> *Changement du Bridge de la machine :<br /> Dans la machine Xen, nous allons modifié le fichier de configuration de notre machine dio5 (situé à /etc/xen/dio5.cfg). Il est devenu comme suivant :<br /> <br /> vif = [ 'mac=00:16:3E:2B:B5:60,bridge=IMA5sc' ]<br /> <br /> Pour prendre les modifications en compte, nous avons arreté la machine xen puis nous l'avons redemaré depuis capbreton étant bien sur dans le repretoire /etc/xen: <br /> <br /> xen shutdown dio5<br /> xen create dio5.cfg <br /> <br /> <br /> <br /> Ensuite nous avons modifié l'addresse IP de la machine dans le fichier '''/etc/network/interfaces''' avec l'addresse IP suivante et la gateway qui correspond :<br /> address 193.48.57.182<br /> gateway 193.48.57.176<br /> Pour que les modifications réseaux seront prises en compte, nous exectutons les commandes suivantes dans la machine Xen: <br /> ifdown -a<br /> ifup -a<br /> <br /> <br /> '''HTTP'''<br /> Pour que notre VM soit accessible en HTTP, il lui faut un serveur HTPP installé. Dans la machine Xen : <br /> apt install apache2<br /> <br /> '''HTTPS'''<br /> L'achat du certificat SSL nous permet de sécuriser la connexion à notre serveur Apache en HTTPS. Pour cela :<br /> a2enmod ssl<br /> a2ensite default-ssl.conf<br /> service apache2 restart<br /> On modifie ensuite le fichier '''/etc/apache2/sites-enabled/default-ssl.conf''' de telle sorte à y renseigner le certificat SSL, le certificat intermédiaire et notre clé privée.<br /> Les certificats sont à télécharger sur Gandi et à transférer sur notre VM en scp.<br /> <br /> ==Séance 6==<br /> ==Serveur DNS==<br /> <br /> Tout d'abord, sur le site '''gandi''', dans la section Glue record, nous avons renseigné un nom de domaine &lt;code&gt;ns.bolognaise.site&lt;/code&gt;, et nous avons ajouté les adresses IPv4 et IPv6 associé à notre machine xen.<br /> IPv4 : 193.48.57.182<br /> IPv6 : 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> Ensuite dans la section NameServer nous avons ajouté un DNS secondaire &lt;code&gt;ns6.gandi.net&lt;/code&gt; dont son adresse IPv4 est la suivante : &lt;code&gt;217.70.177.40&lt;/code&gt;.<br /> <br /> Nous avons installé bind9 par &lt;code&gt;apt install bind9&lt;/code&gt;.<br /> <br /> '''Configuration du fichier d'option pour bind'''&lt;br/&gt;<br /> Modification du fichier &lt;code&gt;/etc/bind/named.conf.options&lt;/code&gt;<br /> <br /> <br /> options {<br /> directory &quot;/var/cache/bind&quot;;<br /> forwarders {<br /> 8.8.8.8;<br /> 4.4.2.2; //ou 8.8.4.4 <br /> };<br /> dnssec-validation auto;<br /> recursion yes;<br /> listen-on-v6 { any; };<br /> listen-on {any;};<br /> allow-recursion{trusted;};<br /> //allow-transfer{none;};<br /> };<br /> listen-on-v6 { any;}<br /> acl trusted{<br /> 193.48.57.182; //ns.bolognaise.net <br /> 217.70.177.40; //ns6.gandi.net<br /> };<br /> <br /> ===Paramétrage OSBF et RiPv6 du routeur en E304===<br /> Afin de finir la configuration du routeur en E304, il est nécessaire de mettre en place deux protocoles : &lt;br/&gt;&lt;br/&gt;<br /> '''OSBF''': partage de routes entre les deux routeurs<br /> En effet, l'objectif d'avoir 2 routeurs pour accéder au SR52 est d'avoir une redondance du réseau robuste aux pannes. Néanmoins, il faut pour cela que les deux routeurs connaissent chacun les tables de routages de l'autre. Ci-dessous la configuration OSBF du routeur E304 :<br /> router ospf 1<br /> router-id 192.162.222.6<br /> summary-address 192.168.0.0 255.255.0.0 not-advertise<br /> summary-address 193.48.57.176 255.255.255.240<br /> redistribute connected subnets ! subnets allowed<br /> redistribute static subnets route-map ospf ! subnets allowed<br /> network 192.168.222.72 0.0.0.7 area 20<br /> default-information originate<br /> Pour vérifier si le partage de routes est fonctionnel, on tape dans l'interface Cisco du routeur :<br /> do show ip route<br /> Si les routes du routeur en E306 s'affiche, c'est que le protocole a bien été configuré&lt;br/&gt;&lt;br/&gt;<br /> <br /> = Séance 7 (dernière séance)=<br /> Fin de la configuration des fichiers DNS '''/etc/bind/named.conf.options''' , '''/etc/bind/named.conf.options.local''' et <br /> <br /> Génération des clés dnssec dans un répertoire '''/etc/bind/bolognaise.site.dnssec'''<br /> <br /> Une fois que le fichier '''/etc/bind/named.conf.options''' est rempli d'une manière à configurer notre DNS, nous avons mis en place une configuration des '''forward''' et des '''zones''' comme suit :<br /> <br /> Dans le fichier '''/etc/bind/named.conf.local''' : <br /> <br /> zone &quot;57.48.193.in-addr.arpa&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.193.48.57&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> zone &quot;bolognaise.site&quot;{<br /> type master;<br /> file &quot;/etc/bind/db.bolognaise.site.signed&quot;;<br /> allow-transfer{217.70.177.40;};<br /> notify yes;<br /> };<br /> <br /> Une fois que les paramètres sont ajoutés dans le fichier de configurations, nous avons créé ensuite les fichiers de zones comme suit:<br /> <br /> cp /etc/bind/db.local /etc/bind/db.bolognaise.site<br /> Cette commande va nous permettre de copier le contenu du fichier '''db.local''' dans le fichier '''db.bolognaise.site''' et qui sera créé en même temps.<br /> voici le contenu des fichiers '''/etc/bind/db.local''' et '''/etc/bind/db.bolognaise.site''' avant la configuration :<br /> <br /> ;<br /> ; BIND data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA localhost. root.localhost. (<br /> 2 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> ;<br /> @ IN NS localhost.<br /> @ IN A 127.0.0.1<br /> @ IN AAAA ::1<br /> <br /> Maintenant nous allons modifié le fichier '''/etc/bind/db.bolognaise.site'''<br /> <br /> ;<br /> ; BIND data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA ns.bolognaise.site. root.bolognaise.site. (<br /> 4 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> ;<br /> @ IN NS ns.bolognaise.site.<br /> @ IN NS ns6.gandi.net.<br /> @ IN A 193.48.57.182<br /> @ IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4 ;addresse IPV6 de dio5<br /> ns IN A 193.48.57.182<br /> ns IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> www IN A 193.48.57.182<br /> www IN AAAA 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> <br /> Pour que les modifications seront prises en compte :<br /> service named restart<br /> <br /> Nous faisions un test pour vérifer la fonctionalité de la forward zone :<br /> <br /> root@dio5:~# host bolognaise.site localhost<br /> Using domain server:<br /> Name: localhost<br /> Address: 127.0.0.1#53<br /> Aliases:<br /> <br /> bolognaise.site has address 193.48.57.182<br /> bolognaise.site has IPv6 address 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> <br /> Ensuite nous allons faire la même démarche pour la '''reverse zone''', où on commence par la copie du fichier comme suit : <br /> cp /etc/bind/db.127 /etc/bind/db.193.48.57 <br /> <br /> Voici le contenu du fichier '''/etc/bind/db.127''' :<br /> <br /> ;<br /> ; BIND reverse data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA localhost. root.localhost. (<br /> 1 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> ;<br /> @ IN NS localhost.<br /> 1.0.0 IN PTR localhost.<br /> <br /> <br /> Nous allons configuré le fichier '''/etc/bind/db.193.48.57''' de la façon suivante : <br /> <br /> ;<br /> ; BIND reverse data file for local loopback interface<br /> ;<br /> $TTL 604800<br /> @ IN SOA ns.bolognaise.site. root.bolognaise.site. (<br /> 1 ; Serial<br /> 604800 ; Refresh<br /> 86400 ; Retry<br /> 2419200 ; Expire<br /> 604800 ) ; Negative Cache TTL<br /> <br /> @ IN NS ns.bolognaise.site.<br /> 182 IN PTR ns.bolognaise.site.<br /> <br /> <br /> Pour que les modifications seront prises en compte :<br /> service named restart<br /> <br /> Voici un test pour la reverse zone : <br /> root@dio5:~# host 193.48.57.182 localhost<br /> Using domain server:<br /> Name: localhost<br /> Address: 127.0.0.1#53<br /> Aliases:<br /> <br /> 182.57.48.193.in-addr.arpa domain name pointer ns.bolognaise.site.<br /> <br /> == Sécurisation du DNS par DNSSEC ==<br /> Pour sécuriser notre DNS par DNSSEC, nous aurons besions des clés DNSSEC, que nous allons les ranger dans le répertoire suivant : <br /> <br /> /etc/bind/bolognaise.site.dnssec<br /> <br /> Ensuite nous allons créé les clés DNSSEC :<br /> <br /> * '''KSK (Key Signing Key)'''<br /> dnssec-keygen -a RSASHA1 -b 2048 -f KSK -n ZONE bolognaise.site<br /> * '''ZSK (Zone Signing Key)'''<br /> dnssec-keygen -a RSASHA1 -b 1024 -n ZONE bolognaise.site<br /> <br /> == Modification du html de notre serveur pour ajouter une photo de BOLOGNAISE ==<br /> <br /> ==Gestion de fail2ban==<br /> <br /> ==Coffre Fort==<br /> <br /> [[Fichier:Coffre_secret2.zip]]</div>

Ylacroix https://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA5_2022/2023_G5&diff=60497 2022-12-02T11:10:14Z

<p>Ylacroix : /* Serveur DNS */</p> <hr /> <div>=Installation de l'OS=<br /> <br /> Devuan Chimaera (netinstall) sur les zabeth 17 et 11<br /> <br /> ==Configuration réseau==<br /> *IP machine : 172.26.145.50+n°zabeth/24<br /> *DNS : 193.48.57.48<br /> *Domain name : plil.info<br /> *Routeur : 172.26.145.254<br /> *Proxy : http://proxy.polyetch-lille.fr:3128<br /> <br /> <br /> *mdp dio5 : XXXXXX<br /> <br /> =Ansible=<br /> Prérequis:<br /> *python<br /> *pip<br /> *ansible<br /> Rédaction du script ansible pour le Screen Saver (.yml)<br /> <br /> Tâches accomplies : <br /> * Suppression des animations de veille d'écran<br /> <br /> Tâches restantes : <br /> * Fixer une animation lente pour la veille<br /> * Eteindre complétement l'écran au bout d'un certain temps (1 heure)<br /> <br /> =Réalisation=<br /> ==Installation de la machine virtuelle XEN (séance 2)==<br /> <br /> '''Connexion au serveur hébergeant les VM :'''<br /> ssh root@capbreton.plil.info<br /> <br /> '''Création de l'image de conifguration de la VM :'''<br /> <br /> xen-create-image --ip=193.48.57.105 --gateway=193.48.57.161 --netmask=255.255.255.0 --hostname=dio5 --dist=chimaera --dir=/usr/local/xen/<br /> <br /> /!\ Adresse ip provisoire car réseau 193.48.57.160/27 non créé pour le moment. Actuellement ip : 172.26.145.105 /!\<br /> <br /> '''Modification du fichier de config (image):'''<br /> /etc/xen/dio5.cfg --&gt; <br /> <br /> '''Création de la VM à partir de l'image précédemment créée :'''<br /> xen create dio5.cfg (en étant dans le dir /etc/xen/ évidemment)<br /> <br /> '''Lancement de la VM :'''<br /> xen console dio5<br /> login: root<br /> password: XXXXXX<br /> Vérifier avant que la machine a bien été lancée avec &lt;code&gt;xen create dio5.cfg&lt;/code&gt; par la commande &lt;code&gt;xen list&lt;/code&gt;<br /> <br /> ==Séance 3==<br /> ===Amélioration du coffre fort===<br /> Un dossier compressé est en bas de page<br /> <br /> ===Création des volumes virtuels===<br /> Sur Capbreton, on créé les LVM /home /var avec leurs systèmes de fichiers : <br /> <br /> &lt;code&gt;lvcreate -L10G -ndio5_home storage &lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_home&lt;/code&gt;<br /> <br /> &lt;code&gt;lvcreate -L5G -ndio5_var storage&lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_var&lt;/code&gt;<br /> <br /> Il faut changer le fichier de configuration (situé dans /etc/xen) et y ajouter ces deux lignes dans la partie &lt;code&gt;disk =&lt;/code&gt;<br /> <br /> 'phy:/dev/storage/dio5_home,xvdb1,w',<br /> 'phy:/dev/storage/dio5_var,xvdb2,w',<br /> Ainsi que modifier la ligne &lt;code&gt;vif&lt;/code&gt; comme suit :<br /> vif = [ 'mac=00:16:3E:7B:4D:A4,bridge=IMA5sc' ]<br /> <br /> On relance ensuite la machine avec &lt;code&gt;xen create&lt;/code&gt;. <br /> Pour monter les deux partitions, il faut ensuite modifier le fichier '''/etc/fstab''' comme suit :<br /> /dev/xvdb1 /home ext4 defaults 0 2<br /> /dev/xvdb2 /var ext4 defaults 0 2<br /> Pour que ces modificcations soient prises en compte :<br /> mount -a<br /> reboot<br /> <br /> ==Séance 4==<br /> ===Sécurisation par certificat TLS===<br /> Nous avons commencé par lancer la machine virtuelle qui était créée et configurée lors des séances précédentes. &lt;br/&gt;<br /> Ensuite nous avons acheté le nom de domaine ''' blanquette.site ''' via le fournisseur de nom de domaine GANDI. Ce nom de domaine servira par la suite pour héberger notre site web Apache. &lt;br/&gt;<br /> Pour sécuriser la connexion HTTPS sur Apache, il est nécessaire de créer une clé et un CSR. On utilise pour cela l'utilitaire OpenSSL et on exécute les commandes : &lt;br/&gt;<br /> apt install openssl<br /> openssl req -nodes -newkey rsa:2048 -sha256 -keyout myserver.key -out server.csr -utf8<br /> Pour valider cette demande de certificat et obtenir notre certificat TSL, nous avons également utilisé GANDI.&lt;br/&gt;<br /> <br /> ===Configuration du routeur de secours (Cisco 9200????)===<br /> Pendant que d'autres binômes s'occupaient de la configuration physique des routeurs (câblage), nous nous sommes occupés de configurer le routeur en E304. Pour cela, on accède à l'interface de configuration Cisco du routeur par port série, via minicom :&lt;br/&gt;<br /> minicom -os &quot;&quot;&quot;device:/dev/ttyUSB0, baudrate:9600, pas de contrôle de flux&quot;&quot;&quot;<br /> Depuis cette interface, création de 3 vlan et configuration des ports physiques associés pour répondre à l'architecture réseau demandée pour le TP :<br /> * Connexion entre le routeur et Capbreton sur le VLAN 2 :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 2<br /> routeur(vlan)#name Capb-E304<br /> routeur#exit<br /> routeur#int Te5/4<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 2<br /> Il restera ensuite à configurer ce vlan sur le réseau '''193.48.57.176/28'''<br /> <br /> * Connexion de redondance entre les deux routeurs :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 64<br /> routeur(vlan)#name INTERCO-E306/304<br /> Après le choix du port à connecter sur le routeur, il restera à attribuer ce port au vlan 64 en mode '''trunk'''.<br /> <br /> * Connexion entre le routeur et le SR2<br /> enable<br /> routeur#conf t<br /> routeur#vlan 531<br /> routeur(vlan)#name INTERCO-5A<br /> routeur#exit<br /> routeur#int Te5/5<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 531<br /> Il restera ensuite à configurer ce vlan sur le réseau '''192.168.222.72/29'''<br /> <br /> PHOTO A METTRE !!! &lt;br/&gt;<br /> Pour checker la configuration des vlan du routeur :<br /> routeur#show interfaces status<br /> ou :<br /> routeur#show interface vlan X<br /> <br /> <br /> ==Séance 5==<br /> <br /> Tout d'abord nous avons commencé à vérifer le fonctionnement de notre service SSH sur la machine Xen.<br /> Pour cela nous avons modifié en premier temps après avoir être connecté sur la machine virtuelle le fichier '''sshd_config''' situé dans :<br /> /etc/ssh<br /> comme suit :<br /> # Authentication:<br /> #LoginGraceTime 2m<br /> PermitRootLogin yes<br /> #StrictModes yes<br /> #MaxAuthTries 6<br /> #MaxSessions 10<br /> <br /> d'où nous avons décommenté la ligne de qui nous permet de se connecter en tant que root, ensuite nous avons lui donné cette permission par l'expression '''yes'''.<br /> <br /> Une fois que cette étape est faite, nous avons lancé dans le shell la commande suivante : <br /> root@dio5:~# service ssh restart<br /> Dans le but de prendre en compte les modifications faites.<br /> <br /> Pour vérfier la connexion en ssh, nous lançons depuis notre machine zabeth17 la commande suivante :<br /> root@zabeth17:~# ssh root@172.26.145.105<br /> <br /> '''Attribution de l'adresse IP à VLAN2''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 2<br /> routeur#ip address 193.48.57.178 255.255.255.240<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Attribution de l'adresse IP à VLAN531''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 531<br /> routeur#ip address 192.168.222.75 255.255.255.248<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Configuration et interconnection du port trunk'''<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> conf t<br /> int Te6/5<br /> switchport<br /> switchport trunk encapsulation dot1q<br /> switchport mode trunk<br /> end<br /> <br /> *Afin de sauvegarder ces configurations; on oublie pas de les écrire par la commande :<br /> write<br /> <br /> '''Changement de l'addresse IP de la machine Xen'''<br /> *Changement du Bridge de la machine :<br /> Dans la machine Xen, nous allons modifié le fichier de configuration de notre machine dio5 (situé à /etc/xen/dio5.cfg). Il est devenu comme suivant :<br /> <br /> vif = [ 'mac=00:16:3E:2B:B5:60,bridge=IMA5sc' ]<br /> <br /> Pour prendre les modifications en compte, nous avons arreté la machine xen puis nous l'avons redemaré depuis capbreton étant bien sur dans le repretoire /etc/xen: <br /> <br /> xen shutdown dio5<br /> xen create dio5.cfg <br /> <br /> <br /> <br /> Ensuite nous avons modifié l'addresse IP de la machine dans le fichier '''/etc/network/interfaces''' avec l'addresse IP suivante et la gateway qui correspond :<br /> address 193.48.57.182<br /> gateway 193.48.57.176<br /> Pour que les modifications réseaux seront prises en compte, nous exectutons les commandes suivantes dans la machine Xen: <br /> ifdown -a<br /> ifup -a<br /> <br /> <br /> '''HTTP'''<br /> Pour que notre VM soit accessible en HTTP, il lui faut un serveur HTPP installé. Dans la machine Xen : <br /> apt install apache2<br /> <br /> '''HTTPS'''<br /> L'achat du certificat SSL nous permet de sécuriser la connexion à notre serveur Apache en HTTPS. Pour cela :<br /> a2enmod ssl<br /> a2ensite default-ssl.conf<br /> service apache2 restart<br /> On modifie ensuite le fichier '''/etc/apache2/sites-enabled/default-ssl.conf''' de telle sorte à y renseigner le certificat SSL, le certificat intermédiaire et notre clé privée.<br /> Les certificats sont à télécharger sur Gandi et à transférer sur notre VM en scp.<br /> <br /> ==Séance 6==<br /> ==Serveur DNS==<br /> <br /> Tout d'abord, sur le site '''gandi''', dans la section Glue record, nous avons renseigné un nom de domaine &lt;code&gt;ns.bolognaise.site&lt;/code&gt;, et nous avons ajouté les adresses IPv4 et IPv6 associé à notre machine xen.<br /> IPv4 : 193.48.57.182<br /> IPv6 : 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> Ensuite dans la section NameServer nous avons ajouté un DNS secondaire &lt;code&gt;ns6.gandi.net&lt;/code&gt; dont son adresse IPv4 est la suivante : &lt;code&gt;217.70.177.40&lt;/code&gt;.<br /> <br /> Nous avons installé bind9 par &lt;code&gt;apt install bind9&lt;/code&gt;.<br /> <br /> '''Configuration du fichier d'option pour bind'''&lt;br/&gt;<br /> Modification du fichier &lt;code&gt;/etc/bind/named.conf.options&lt;/code&gt;<br /> <br /> <br /> options {<br /> directory &quot;/var/cache/bind&quot;;<br /> forwarders {<br /> 8.8.8.8;<br /> 4.4.2.2; <br /> };<br /> dnssec-validation auto;<br /> };<br /> listen-on-v6 { any;}<br /> acl trusted{<br /> 193.48.57.182; //ns.bolognaise.net <br /> 217.70.177.40; //ns6.gandi.net<br /> };<br /> ===Paramétrage OSBF et RiPv6 du routeur en E304===<br /> A compléter<br /> <br /> = Séance 7 (dernière séance)=<br /> Fin de la configuration des fichiers DNS '''/etc/bind/named.conf.options''' , '''/etc/bind/named.conf.options.local''' et <br /> == Sécurisation du DNS par DNSSEC ==<br /> Génération des clés dnssec dans un répertoire '''/etc/bind/bolognaise.site.dnssec'''<br /> <br /> == Modification du html de notre serveur pour ajouter une photo de BOLOGNAISE ==<br /> <br /> <br /> ==Coffre Fort==<br /> <br /> [[Fichier:Coffre_secret2.zip]]</div>

Ylacroix https://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA5_2022/2023_G5&diff=60496 2022-12-02T11:10:00Z

<p>Ylacroix : /* Serveur DNS */</p> <hr /> <div>=Installation de l'OS=<br /> <br /> Devuan Chimaera (netinstall) sur les zabeth 17 et 11<br /> <br /> ==Configuration réseau==<br /> *IP machine : 172.26.145.50+n°zabeth/24<br /> *DNS : 193.48.57.48<br /> *Domain name : plil.info<br /> *Routeur : 172.26.145.254<br /> *Proxy : http://proxy.polyetch-lille.fr:3128<br /> <br /> <br /> *mdp dio5 : XXXXXX<br /> <br /> =Ansible=<br /> Prérequis:<br /> *python<br /> *pip<br /> *ansible<br /> Rédaction du script ansible pour le Screen Saver (.yml)<br /> <br /> Tâches accomplies : <br /> * Suppression des animations de veille d'écran<br /> <br /> Tâches restantes : <br /> * Fixer une animation lente pour la veille<br /> * Eteindre complétement l'écran au bout d'un certain temps (1 heure)<br /> <br /> =Réalisation=<br /> ==Installation de la machine virtuelle XEN (séance 2)==<br /> <br /> '''Connexion au serveur hébergeant les VM :'''<br /> ssh root@capbreton.plil.info<br /> <br /> '''Création de l'image de conifguration de la VM :'''<br /> <br /> xen-create-image --ip=193.48.57.105 --gateway=193.48.57.161 --netmask=255.255.255.0 --hostname=dio5 --dist=chimaera --dir=/usr/local/xen/<br /> <br /> /!\ Adresse ip provisoire car réseau 193.48.57.160/27 non créé pour le moment. Actuellement ip : 172.26.145.105 /!\<br /> <br /> '''Modification du fichier de config (image):'''<br /> /etc/xen/dio5.cfg --&gt; <br /> <br /> '''Création de la VM à partir de l'image précédemment créée :'''<br /> xen create dio5.cfg (en étant dans le dir /etc/xen/ évidemment)<br /> <br /> '''Lancement de la VM :'''<br /> xen console dio5<br /> login: root<br /> password: XXXXXX<br /> Vérifier avant que la machine a bien été lancée avec &lt;code&gt;xen create dio5.cfg&lt;/code&gt; par la commande &lt;code&gt;xen list&lt;/code&gt;<br /> <br /> ==Séance 3==<br /> ===Amélioration du coffre fort===<br /> Un dossier compressé est en bas de page<br /> <br /> ===Création des volumes virtuels===<br /> Sur Capbreton, on créé les LVM /home /var avec leurs systèmes de fichiers : <br /> <br /> &lt;code&gt;lvcreate -L10G -ndio5_home storage &lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_home&lt;/code&gt;<br /> <br /> &lt;code&gt;lvcreate -L5G -ndio5_var storage&lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_var&lt;/code&gt;<br /> <br /> Il faut changer le fichier de configuration (situé dans /etc/xen) et y ajouter ces deux lignes dans la partie &lt;code&gt;disk =&lt;/code&gt;<br /> <br /> 'phy:/dev/storage/dio5_home,xvdb1,w',<br /> 'phy:/dev/storage/dio5_var,xvdb2,w',<br /> Ainsi que modifier la ligne &lt;code&gt;vif&lt;/code&gt; comme suit :<br /> vif = [ 'mac=00:16:3E:7B:4D:A4,bridge=IMA5sc' ]<br /> <br /> On relance ensuite la machine avec &lt;code&gt;xen create&lt;/code&gt;. <br /> Pour monter les deux partitions, il faut ensuite modifier le fichier '''/etc/fstab''' comme suit :<br /> /dev/xvdb1 /home ext4 defaults 0 2<br /> /dev/xvdb2 /var ext4 defaults 0 2<br /> Pour que ces modificcations soient prises en compte :<br /> mount -a<br /> reboot<br /> <br /> ==Séance 4==<br /> ===Sécurisation par certificat TLS===<br /> Nous avons commencé par lancer la machine virtuelle qui était créée et configurée lors des séances précédentes. &lt;br/&gt;<br /> Ensuite nous avons acheté le nom de domaine ''' blanquette.site ''' via le fournisseur de nom de domaine GANDI. Ce nom de domaine servira par la suite pour héberger notre site web Apache. &lt;br/&gt;<br /> Pour sécuriser la connexion HTTPS sur Apache, il est nécessaire de créer une clé et un CSR. On utilise pour cela l'utilitaire OpenSSL et on exécute les commandes : &lt;br/&gt;<br /> apt install openssl<br /> openssl req -nodes -newkey rsa:2048 -sha256 -keyout myserver.key -out server.csr -utf8<br /> Pour valider cette demande de certificat et obtenir notre certificat TSL, nous avons également utilisé GANDI.&lt;br/&gt;<br /> <br /> ===Configuration du routeur de secours (Cisco 9200????)===<br /> Pendant que d'autres binômes s'occupaient de la configuration physique des routeurs (câblage), nous nous sommes occupés de configurer le routeur en E304. Pour cela, on accède à l'interface de configuration Cisco du routeur par port série, via minicom :&lt;br/&gt;<br /> minicom -os &quot;&quot;&quot;device:/dev/ttyUSB0, baudrate:9600, pas de contrôle de flux&quot;&quot;&quot;<br /> Depuis cette interface, création de 3 vlan et configuration des ports physiques associés pour répondre à l'architecture réseau demandée pour le TP :<br /> * Connexion entre le routeur et Capbreton sur le VLAN 2 :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 2<br /> routeur(vlan)#name Capb-E304<br /> routeur#exit<br /> routeur#int Te5/4<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 2<br /> Il restera ensuite à configurer ce vlan sur le réseau '''193.48.57.176/28'''<br /> <br /> * Connexion de redondance entre les deux routeurs :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 64<br /> routeur(vlan)#name INTERCO-E306/304<br /> Après le choix du port à connecter sur le routeur, il restera à attribuer ce port au vlan 64 en mode '''trunk'''.<br /> <br /> * Connexion entre le routeur et le SR2<br /> enable<br /> routeur#conf t<br /> routeur#vlan 531<br /> routeur(vlan)#name INTERCO-5A<br /> routeur#exit<br /> routeur#int Te5/5<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 531<br /> Il restera ensuite à configurer ce vlan sur le réseau '''192.168.222.72/29'''<br /> <br /> PHOTO A METTRE !!! &lt;br/&gt;<br /> Pour checker la configuration des vlan du routeur :<br /> routeur#show interfaces status<br /> ou :<br /> routeur#show interface vlan X<br /> <br /> <br /> ==Séance 5==<br /> <br /> Tout d'abord nous avons commencé à vérifer le fonctionnement de notre service SSH sur la machine Xen.<br /> Pour cela nous avons modifié en premier temps après avoir être connecté sur la machine virtuelle le fichier '''sshd_config''' situé dans :<br /> /etc/ssh<br /> comme suit :<br /> # Authentication:<br /> #LoginGraceTime 2m<br /> PermitRootLogin yes<br /> #StrictModes yes<br /> #MaxAuthTries 6<br /> #MaxSessions 10<br /> <br /> d'où nous avons décommenté la ligne de qui nous permet de se connecter en tant que root, ensuite nous avons lui donné cette permission par l'expression '''yes'''.<br /> <br /> Une fois que cette étape est faite, nous avons lancé dans le shell la commande suivante : <br /> root@dio5:~# service ssh restart<br /> Dans le but de prendre en compte les modifications faites.<br /> <br /> Pour vérfier la connexion en ssh, nous lançons depuis notre machine zabeth17 la commande suivante :<br /> root@zabeth17:~# ssh root@172.26.145.105<br /> <br /> '''Attribution de l'adresse IP à VLAN2''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 2<br /> routeur#ip address 193.48.57.178 255.255.255.240<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Attribution de l'adresse IP à VLAN531''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 531<br /> routeur#ip address 192.168.222.75 255.255.255.248<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Configuration et interconnection du port trunk'''<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> conf t<br /> int Te6/5<br /> switchport<br /> switchport trunk encapsulation dot1q<br /> switchport mode trunk<br /> end<br /> <br /> *Afin de sauvegarder ces configurations; on oublie pas de les écrire par la commande :<br /> write<br /> <br /> '''Changement de l'addresse IP de la machine Xen'''<br /> *Changement du Bridge de la machine :<br /> Dans la machine Xen, nous allons modifié le fichier de configuration de notre machine dio5 (situé à /etc/xen/dio5.cfg). Il est devenu comme suivant :<br /> <br /> vif = [ 'mac=00:16:3E:2B:B5:60,bridge=IMA5sc' ]<br /> <br /> Pour prendre les modifications en compte, nous avons arreté la machine xen puis nous l'avons redemaré depuis capbreton étant bien sur dans le repretoire /etc/xen: <br /> <br /> xen shutdown dio5<br /> xen create dio5.cfg <br /> <br /> <br /> <br /> Ensuite nous avons modifié l'addresse IP de la machine dans le fichier '''/etc/network/interfaces''' avec l'addresse IP suivante et la gateway qui correspond :<br /> address 193.48.57.182<br /> gateway 193.48.57.176<br /> Pour que les modifications réseaux seront prises en compte, nous exectutons les commandes suivantes dans la machine Xen: <br /> ifdown -a<br /> ifup -a<br /> <br /> <br /> '''HTTP'''<br /> Pour que notre VM soit accessible en HTTP, il lui faut un serveur HTPP installé. Dans la machine Xen : <br /> apt install apache2<br /> <br /> '''HTTPS'''<br /> L'achat du certificat SSL nous permet de sécuriser la connexion à notre serveur Apache en HTTPS. Pour cela :<br /> a2enmod ssl<br /> a2ensite default-ssl.conf<br /> service apache2 restart<br /> On modifie ensuite le fichier '''/etc/apache2/sites-enabled/default-ssl.conf''' de telle sorte à y renseigner le certificat SSL, le certificat intermédiaire et notre clé privée.<br /> Les certificats sont à télécharger sur Gandi et à transférer sur notre VM en scp.<br /> <br /> ==Séance 6==<br /> ==Serveur DNS==<br /> <br /> Tout d'abord, sur le site '''gandi''', dans la section Glue record, nous avons renseigné un nom de domaine &lt;code&gt;ns.bolognaise.site&lt;/code&gt;, et nous avons ajouté les adresses IPv4 et IPv6 associé à notre machine xen.<br /> IPv4 : 193.48.57.182<br /> IPv6 : 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> Ensuite dans la section NameServer nous avons ajouté un DNS secondaire &lt;code&gt;ns6.gandi.net&lt;/code&gt; dont son adresse IPv4 est la suivante : &lt;code&gt;217.70.177.40&lt;/code&gt;.<br /> <br /> Nous avons installé bind9 par &lt;code&gt;apt install bind9&lt;/code&gt;.<br /> <br /> '''Configuration du fichier d'option pour bind'''&lt;br/&gt;<br /> Modification du fichier &lt;code&gt;/etc/bind/named.conf.options&lt;/code&gt;<br /> <br /> <br /> options {<br /> directory &quot;/var/cache/bind&quot;;<br /> forwarders {<br /> 8.8.8.8;<br /> 4.4.2.2; <br /> };<br /> dnssec-validation auto;<br /> };<br /> listen-on-v6 { any;}<br /> acl trusted{<br /> 193.48.57.182; //ns.bolognaise.net <br /> 217.70.177.40; //ns6.gandi.net<br /> };<br /> ===Paramétrage OSBF et RiPv6 du routeur en E304===<br /> A compléter<br /> <br /> = Séance 7 (dernière séance)=<br /> Fin de la configuration des fichiers DNS '''/etc/bind/named.conf.options''' , '''/etc/bind/named.conf.options.local''' et <br /> == Sécurisation du DNS par DNSSEC ==<br /> Génération des clés dnssec dans un répertoire '''/etc/bind/bolognaise.site.dnssec'''<br /> <br /> == Modification du html de notre serveur pour ajouter une photo de BOLOGNAISE ==<br /> <br /> <br /> ==Coffre Fort==<br /> <br /> [[Fichier:Coffre_secret2.zip]]</div>

Ylacroix https://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA5_2022/2023_G5&diff=60495 2022-12-02T11:08:31Z

<p>Ylacroix : /* Serveur DNS */</p> <hr /> <div>=Installation de l'OS=<br /> <br /> Devuan Chimaera (netinstall) sur les zabeth 17 et 11<br /> <br /> ==Configuration réseau==<br /> *IP machine : 172.26.145.50+n°zabeth/24<br /> *DNS : 193.48.57.48<br /> *Domain name : plil.info<br /> *Routeur : 172.26.145.254<br /> *Proxy : http://proxy.polyetch-lille.fr:3128<br /> <br /> <br /> *mdp dio5 : XXXXXX<br /> <br /> =Ansible=<br /> Prérequis:<br /> *python<br /> *pip<br /> *ansible<br /> Rédaction du script ansible pour le Screen Saver (.yml)<br /> <br /> Tâches accomplies : <br /> * Suppression des animations de veille d'écran<br /> <br /> Tâches restantes : <br /> * Fixer une animation lente pour la veille<br /> * Eteindre complétement l'écran au bout d'un certain temps (1 heure)<br /> <br /> =Réalisation=<br /> ==Installation de la machine virtuelle XEN (séance 2)==<br /> <br /> '''Connexion au serveur hébergeant les VM :'''<br /> ssh root@capbreton.plil.info<br /> <br /> '''Création de l'image de conifguration de la VM :'''<br /> <br /> xen-create-image --ip=193.48.57.105 --gateway=193.48.57.161 --netmask=255.255.255.0 --hostname=dio5 --dist=chimaera --dir=/usr/local/xen/<br /> <br /> /!\ Adresse ip provisoire car réseau 193.48.57.160/27 non créé pour le moment. Actuellement ip : 172.26.145.105 /!\<br /> <br /> '''Modification du fichier de config (image):'''<br /> /etc/xen/dio5.cfg --&gt; <br /> <br /> '''Création de la VM à partir de l'image précédemment créée :'''<br /> xen create dio5.cfg (en étant dans le dir /etc/xen/ évidemment)<br /> <br /> '''Lancement de la VM :'''<br /> xen console dio5<br /> login: root<br /> password: XXXXXX<br /> Vérifier avant que la machine a bien été lancée avec &lt;code&gt;xen create dio5.cfg&lt;/code&gt; par la commande &lt;code&gt;xen list&lt;/code&gt;<br /> <br /> ==Séance 3==<br /> ===Amélioration du coffre fort===<br /> Un dossier compressé est en bas de page<br /> <br /> ===Création des volumes virtuels===<br /> Sur Capbreton, on créé les LVM /home /var avec leurs systèmes de fichiers : <br /> <br /> &lt;code&gt;lvcreate -L10G -ndio5_home storage &lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_home&lt;/code&gt;<br /> <br /> &lt;code&gt;lvcreate -L5G -ndio5_var storage&lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_var&lt;/code&gt;<br /> <br /> Il faut changer le fichier de configuration (situé dans /etc/xen) et y ajouter ces deux lignes dans la partie &lt;code&gt;disk =&lt;/code&gt;<br /> <br /> 'phy:/dev/storage/dio5_home,xvdb1,w',<br /> 'phy:/dev/storage/dio5_var,xvdb2,w',<br /> Ainsi que modifier la ligne &lt;code&gt;vif&lt;/code&gt; comme suit :<br /> vif = [ 'mac=00:16:3E:7B:4D:A4,bridge=IMA5sc' ]<br /> <br /> On relance ensuite la machine avec &lt;code&gt;xen create&lt;/code&gt;. <br /> Pour monter les deux partitions, il faut ensuite modifier le fichier '''/etc/fstab''' comme suit :<br /> /dev/xvdb1 /home ext4 defaults 0 2<br /> /dev/xvdb2 /var ext4 defaults 0 2<br /> Pour que ces modificcations soient prises en compte :<br /> mount -a<br /> reboot<br /> <br /> ==Séance 4==<br /> ===Sécurisation par certificat TLS===<br /> Nous avons commencé par lancer la machine virtuelle qui était créée et configurée lors des séances précédentes. &lt;br/&gt;<br /> Ensuite nous avons acheté le nom de domaine ''' blanquette.site ''' via le fournisseur de nom de domaine GANDI. Ce nom de domaine servira par la suite pour héberger notre site web Apache. &lt;br/&gt;<br /> Pour sécuriser la connexion HTTPS sur Apache, il est nécessaire de créer une clé et un CSR. On utilise pour cela l'utilitaire OpenSSL et on exécute les commandes : &lt;br/&gt;<br /> apt install openssl<br /> openssl req -nodes -newkey rsa:2048 -sha256 -keyout myserver.key -out server.csr -utf8<br /> Pour valider cette demande de certificat et obtenir notre certificat TSL, nous avons également utilisé GANDI.&lt;br/&gt;<br /> <br /> ===Configuration du routeur de secours (Cisco 9200????)===<br /> Pendant que d'autres binômes s'occupaient de la configuration physique des routeurs (câblage), nous nous sommes occupés de configurer le routeur en E304. Pour cela, on accède à l'interface de configuration Cisco du routeur par port série, via minicom :&lt;br/&gt;<br /> minicom -os &quot;&quot;&quot;device:/dev/ttyUSB0, baudrate:9600, pas de contrôle de flux&quot;&quot;&quot;<br /> Depuis cette interface, création de 3 vlan et configuration des ports physiques associés pour répondre à l'architecture réseau demandée pour le TP :<br /> * Connexion entre le routeur et Capbreton sur le VLAN 2 :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 2<br /> routeur(vlan)#name Capb-E304<br /> routeur#exit<br /> routeur#int Te5/4<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 2<br /> Il restera ensuite à configurer ce vlan sur le réseau '''193.48.57.176/28'''<br /> <br /> * Connexion de redondance entre les deux routeurs :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 64<br /> routeur(vlan)#name INTERCO-E306/304<br /> Après le choix du port à connecter sur le routeur, il restera à attribuer ce port au vlan 64 en mode '''trunk'''.<br /> <br /> * Connexion entre le routeur et le SR2<br /> enable<br /> routeur#conf t<br /> routeur#vlan 531<br /> routeur(vlan)#name INTERCO-5A<br /> routeur#exit<br /> routeur#int Te5/5<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 531<br /> Il restera ensuite à configurer ce vlan sur le réseau '''192.168.222.72/29'''<br /> <br /> PHOTO A METTRE !!! &lt;br/&gt;<br /> Pour checker la configuration des vlan du routeur :<br /> routeur#show interfaces status<br /> ou :<br /> routeur#show interface vlan X<br /> <br /> <br /> ==Séance 5==<br /> <br /> Tout d'abord nous avons commencé à vérifer le fonctionnement de notre service SSH sur la machine Xen.<br /> Pour cela nous avons modifié en premier temps après avoir être connecté sur la machine virtuelle le fichier '''sshd_config''' situé dans :<br /> /etc/ssh<br /> comme suit :<br /> # Authentication:<br /> #LoginGraceTime 2m<br /> PermitRootLogin yes<br /> #StrictModes yes<br /> #MaxAuthTries 6<br /> #MaxSessions 10<br /> <br /> d'où nous avons décommenté la ligne de qui nous permet de se connecter en tant que root, ensuite nous avons lui donné cette permission par l'expression '''yes'''.<br /> <br /> Une fois que cette étape est faite, nous avons lancé dans le shell la commande suivante : <br /> root@dio5:~# service ssh restart<br /> Dans le but de prendre en compte les modifications faites.<br /> <br /> Pour vérfier la connexion en ssh, nous lançons depuis notre machine zabeth17 la commande suivante :<br /> root@zabeth17:~# ssh root@172.26.145.105<br /> <br /> '''Attribution de l'adresse IP à VLAN2''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 2<br /> routeur#ip address 193.48.57.178 255.255.255.240<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Attribution de l'adresse IP à VLAN531''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 531<br /> routeur#ip address 192.168.222.75 255.255.255.248<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Configuration et interconnection du port trunk'''<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> conf t<br /> int Te6/5<br /> switchport<br /> switchport trunk encapsulation dot1q<br /> switchport mode trunk<br /> end<br /> <br /> *Afin de sauvegarder ces configurations; on oublie pas de les écrire par la commande :<br /> write<br /> <br /> '''Changement de l'addresse IP de la machine Xen'''<br /> *Changement du Bridge de la machine :<br /> Dans la machine Xen, nous allons modifié le fichier de configuration de notre machine dio5 (situé à /etc/xen/dio5.cfg). Il est devenu comme suivant :<br /> <br /> vif = [ 'mac=00:16:3E:2B:B5:60,bridge=IMA5sc' ]<br /> <br /> Pour prendre les modifications en compte, nous avons arreté la machine xen puis nous l'avons redemaré depuis capbreton étant bien sur dans le repretoire /etc/xen: <br /> <br /> xen shutdown dio5<br /> xen create dio5.cfg <br /> <br /> <br /> <br /> Ensuite nous avons modifié l'addresse IP de la machine dans le fichier '''/etc/network/interfaces''' avec l'addresse IP suivante et la gateway qui correspond :<br /> address 193.48.57.182<br /> gateway 193.48.57.176<br /> Pour que les modifications réseaux seront prises en compte, nous exectutons les commandes suivantes dans la machine Xen: <br /> ifdown -a<br /> ifup -a<br /> <br /> <br /> '''HTTP'''<br /> Pour que notre VM soit accessible en HTTP, il lui faut un serveur HTPP installé. Dans la machine Xen : <br /> apt install apache2<br /> <br /> '''HTTPS'''<br /> L'achat du certificat SSL nous permet de sécuriser la connexion à notre serveur Apache en HTTPS. Pour cela :<br /> a2enmod ssl<br /> a2ensite default-ssl.conf<br /> service apache2 restart<br /> On modifie ensuite le fichier '''/etc/apache2/sites-enabled/default-ssl.conf''' de telle sorte à y renseigner le certificat SSL, le certificat intermédiaire et notre clé privée.<br /> Les certificats sont à télécharger sur Gandi et à transférer sur notre VM en scp.<br /> <br /> ==Séance 6==<br /> ==Serveur DNS==<br /> <br /> Tout d'abord, sur le site '''gandi''', dans la section Glue record, nous avons renseigné un nom de domaine &lt;code&gt;ns.bolognaise.site&lt;/code&gt;, et nous avons ajouté les adresses IPv4 et IPv6 associé à notre machine xen.<br /> IPv4 : 193.48.57.182<br /> IPv6 : 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> Ensuite dans la section NameServer nous avons ajouté un DNS secondaire &lt;code&gt;ns6.gandi.net&lt;/code&gt; dont son adresse IPv4 est la suivante : &lt;code&gt;217.70.177.40&lt;/code&gt;.<br /> <br /> Nous avons installé bind9 par &lt;code&gt;apt install bind9&lt;/code&gt;.<br /> <br /> '''Configuration du fichier d'option pour bind'''&lt;br/&gt;<br /> Modification du fichier &lt;code&gt;/etc/bind/named.conf.options&lt;/code&gt;<br /> <br /> <br /> options {<br /> directory &quot;/var/cache/bind&quot;;<br /> forwarders {<br /> 8.8.8.8;<br /> 4.4.2.2; //use google server dns<br /> };<br /> dnssec-validation auto;<br /> };<br /> listen-on-v6 { any;}<br /> acl trusted{<br /> 193.48.57.182; //ns.bolognaise.net <br /> 217.70.177.40; //ns6.gandi.net<br /> };<br /> ===Paramétrage OSBF et RiPv6 du routeur en E304===<br /> A compléter<br /> <br /> = Séance 7 (dernière séance)=<br /> Fin de la configuration des fichiers DNS '''/etc/bind/named.conf.options''' , '''/etc/bind/named.conf.options.local''' et <br /> == Sécurisation du DNS par DNSSEC ==<br /> Génération des clés dnssec dans un répertoire '''/etc/bind/bolognaise.site.dnssec'''<br /> <br /> == Modification du html de notre serveur pour ajouter une photo de BOLOGNAISE ==<br /> <br /> <br /> ==Coffre Fort==<br /> <br /> [[Fichier:Coffre_secret2.zip]]</div>

Ylacroix https://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA5_2022/2023_G5&diff=60494 2022-12-02T11:07:41Z

<p>Ylacroix : /* Serveur DNS */</p> <hr /> <div>=Installation de l'OS=<br /> <br /> Devuan Chimaera (netinstall) sur les zabeth 17 et 11<br /> <br /> ==Configuration réseau==<br /> *IP machine : 172.26.145.50+n°zabeth/24<br /> *DNS : 193.48.57.48<br /> *Domain name : plil.info<br /> *Routeur : 172.26.145.254<br /> *Proxy : http://proxy.polyetch-lille.fr:3128<br /> <br /> <br /> *mdp dio5 : XXXXXX<br /> <br /> =Ansible=<br /> Prérequis:<br /> *python<br /> *pip<br /> *ansible<br /> Rédaction du script ansible pour le Screen Saver (.yml)<br /> <br /> Tâches accomplies : <br /> * Suppression des animations de veille d'écran<br /> <br /> Tâches restantes : <br /> * Fixer une animation lente pour la veille<br /> * Eteindre complétement l'écran au bout d'un certain temps (1 heure)<br /> <br /> =Réalisation=<br /> ==Installation de la machine virtuelle XEN (séance 2)==<br /> <br /> '''Connexion au serveur hébergeant les VM :'''<br /> ssh root@capbreton.plil.info<br /> <br /> '''Création de l'image de conifguration de la VM :'''<br /> <br /> xen-create-image --ip=193.48.57.105 --gateway=193.48.57.161 --netmask=255.255.255.0 --hostname=dio5 --dist=chimaera --dir=/usr/local/xen/<br /> <br /> /!\ Adresse ip provisoire car réseau 193.48.57.160/27 non créé pour le moment. Actuellement ip : 172.26.145.105 /!\<br /> <br /> '''Modification du fichier de config (image):'''<br /> /etc/xen/dio5.cfg --&gt; <br /> <br /> '''Création de la VM à partir de l'image précédemment créée :'''<br /> xen create dio5.cfg (en étant dans le dir /etc/xen/ évidemment)<br /> <br /> '''Lancement de la VM :'''<br /> xen console dio5<br /> login: root<br /> password: XXXXXX<br /> Vérifier avant que la machine a bien été lancée avec &lt;code&gt;xen create dio5.cfg&lt;/code&gt; par la commande &lt;code&gt;xen list&lt;/code&gt;<br /> <br /> ==Séance 3==<br /> ===Amélioration du coffre fort===<br /> Un dossier compressé est en bas de page<br /> <br /> ===Création des volumes virtuels===<br /> Sur Capbreton, on créé les LVM /home /var avec leurs systèmes de fichiers : <br /> <br /> &lt;code&gt;lvcreate -L10G -ndio5_home storage &lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_home&lt;/code&gt;<br /> <br /> &lt;code&gt;lvcreate -L5G -ndio5_var storage&lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_var&lt;/code&gt;<br /> <br /> Il faut changer le fichier de configuration (situé dans /etc/xen) et y ajouter ces deux lignes dans la partie &lt;code&gt;disk =&lt;/code&gt;<br /> <br /> 'phy:/dev/storage/dio5_home,xvdb1,w',<br /> 'phy:/dev/storage/dio5_var,xvdb2,w',<br /> Ainsi que modifier la ligne &lt;code&gt;vif&lt;/code&gt; comme suit :<br /> vif = [ 'mac=00:16:3E:7B:4D:A4,bridge=IMA5sc' ]<br /> <br /> On relance ensuite la machine avec &lt;code&gt;xen create&lt;/code&gt;. <br /> Pour monter les deux partitions, il faut ensuite modifier le fichier '''/etc/fstab''' comme suit :<br /> /dev/xvdb1 /home ext4 defaults 0 2<br /> /dev/xvdb2 /var ext4 defaults 0 2<br /> Pour que ces modificcations soient prises en compte :<br /> mount -a<br /> reboot<br /> <br /> ==Séance 4==<br /> ===Sécurisation par certificat TLS===<br /> Nous avons commencé par lancer la machine virtuelle qui était créée et configurée lors des séances précédentes. &lt;br/&gt;<br /> Ensuite nous avons acheté le nom de domaine ''' blanquette.site ''' via le fournisseur de nom de domaine GANDI. Ce nom de domaine servira par la suite pour héberger notre site web Apache. &lt;br/&gt;<br /> Pour sécuriser la connexion HTTPS sur Apache, il est nécessaire de créer une clé et un CSR. On utilise pour cela l'utilitaire OpenSSL et on exécute les commandes : &lt;br/&gt;<br /> apt install openssl<br /> openssl req -nodes -newkey rsa:2048 -sha256 -keyout myserver.key -out server.csr -utf8<br /> Pour valider cette demande de certificat et obtenir notre certificat TSL, nous avons également utilisé GANDI.&lt;br/&gt;<br /> <br /> ===Configuration du routeur de secours (Cisco 9200????)===<br /> Pendant que d'autres binômes s'occupaient de la configuration physique des routeurs (câblage), nous nous sommes occupés de configurer le routeur en E304. Pour cela, on accède à l'interface de configuration Cisco du routeur par port série, via minicom :&lt;br/&gt;<br /> minicom -os &quot;&quot;&quot;device:/dev/ttyUSB0, baudrate:9600, pas de contrôle de flux&quot;&quot;&quot;<br /> Depuis cette interface, création de 3 vlan et configuration des ports physiques associés pour répondre à l'architecture réseau demandée pour le TP :<br /> * Connexion entre le routeur et Capbreton sur le VLAN 2 :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 2<br /> routeur(vlan)#name Capb-E304<br /> routeur#exit<br /> routeur#int Te5/4<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 2<br /> Il restera ensuite à configurer ce vlan sur le réseau '''193.48.57.176/28'''<br /> <br /> * Connexion de redondance entre les deux routeurs :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 64<br /> routeur(vlan)#name INTERCO-E306/304<br /> Après le choix du port à connecter sur le routeur, il restera à attribuer ce port au vlan 64 en mode '''trunk'''.<br /> <br /> * Connexion entre le routeur et le SR2<br /> enable<br /> routeur#conf t<br /> routeur#vlan 531<br /> routeur(vlan)#name INTERCO-5A<br /> routeur#exit<br /> routeur#int Te5/5<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 531<br /> Il restera ensuite à configurer ce vlan sur le réseau '''192.168.222.72/29'''<br /> <br /> PHOTO A METTRE !!! &lt;br/&gt;<br /> Pour checker la configuration des vlan du routeur :<br /> routeur#show interfaces status<br /> ou :<br /> routeur#show interface vlan X<br /> <br /> <br /> ==Séance 5==<br /> <br /> Tout d'abord nous avons commencé à vérifer le fonctionnement de notre service SSH sur la machine Xen.<br /> Pour cela nous avons modifié en premier temps après avoir être connecté sur la machine virtuelle le fichier '''sshd_config''' situé dans :<br /> /etc/ssh<br /> comme suit :<br /> # Authentication:<br /> #LoginGraceTime 2m<br /> PermitRootLogin yes<br /> #StrictModes yes<br /> #MaxAuthTries 6<br /> #MaxSessions 10<br /> <br /> d'où nous avons décommenté la ligne de qui nous permet de se connecter en tant que root, ensuite nous avons lui donné cette permission par l'expression '''yes'''.<br /> <br /> Une fois que cette étape est faite, nous avons lancé dans le shell la commande suivante : <br /> root@dio5:~# service ssh restart<br /> Dans le but de prendre en compte les modifications faites.<br /> <br /> Pour vérfier la connexion en ssh, nous lançons depuis notre machine zabeth17 la commande suivante :<br /> root@zabeth17:~# ssh root@172.26.145.105<br /> <br /> '''Attribution de l'adresse IP à VLAN2''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 2<br /> routeur#ip address 193.48.57.178 255.255.255.240<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Attribution de l'adresse IP à VLAN531''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 531<br /> routeur#ip address 192.168.222.75 255.255.255.248<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Configuration et interconnection du port trunk'''<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> conf t<br /> int Te6/5<br /> switchport<br /> switchport trunk encapsulation dot1q<br /> switchport mode trunk<br /> end<br /> <br /> *Afin de sauvegarder ces configurations; on oublie pas de les écrire par la commande :<br /> write<br /> <br /> '''Changement de l'addresse IP de la machine Xen'''<br /> *Changement du Bridge de la machine :<br /> Dans la machine Xen, nous allons modifié le fichier de configuration de notre machine dio5 (situé à /etc/xen/dio5.cfg). Il est devenu comme suivant :<br /> <br /> vif = [ 'mac=00:16:3E:2B:B5:60,bridge=IMA5sc' ]<br /> <br /> Pour prendre les modifications en compte, nous avons arreté la machine xen puis nous l'avons redemaré depuis capbreton étant bien sur dans le repretoire /etc/xen: <br /> <br /> xen shutdown dio5<br /> xen create dio5.cfg <br /> <br /> <br /> <br /> Ensuite nous avons modifié l'addresse IP de la machine dans le fichier '''/etc/network/interfaces''' avec l'addresse IP suivante et la gateway qui correspond :<br /> address 193.48.57.182<br /> gateway 193.48.57.176<br /> Pour que les modifications réseaux seront prises en compte, nous exectutons les commandes suivantes dans la machine Xen: <br /> ifdown -a<br /> ifup -a<br /> <br /> <br /> '''HTTP'''<br /> Pour que notre VM soit accessible en HTTP, il lui faut un serveur HTPP installé. Dans la machine Xen : <br /> apt install apache2<br /> <br /> '''HTTPS'''<br /> L'achat du certificat SSL nous permet de sécuriser la connexion à notre serveur Apache en HTTPS. Pour cela :<br /> a2enmod ssl<br /> a2ensite default-ssl.conf<br /> service apache2 restart<br /> On modifie ensuite le fichier '''/etc/apache2/sites-enabled/default-ssl.conf''' de telle sorte à y renseigner le certificat SSL, le certificat intermédiaire et notre clé privée.<br /> Les certificats sont à télécharger sur Gandi et à transférer sur notre VM en scp.<br /> <br /> ==Séance 6==<br /> ==Serveur DNS==<br /> <br /> Tout d'abord, sur le site '''gandi''', dans la section Glue record, nous avons renseigné un nom de domaine &lt;code&gt;ns.bolognaise.site&lt;/code&gt;, et nous avons ajouté les adresses IPv4 et IPv6 associé à notre machine xen.<br /> IPv4 : 193.48.57.182<br /> IPv6 : 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> Ensuite dans la section NameServer nous avons ajouté un DNS secondaire &lt;code&gt;ns6.gandi.net&lt;/code&gt; dont son adresse IPv4 est la suivante : &lt;code&gt;217.70.177.40&lt;/code&gt;.<br /> <br /> Nous avons installé bind9 par &lt;code&gt;apt install bind9&lt;/code&gt;.<br /> <br /> '''Configuration du fichier d'option pour bind'''&lt;br/&gt;<br /> Modification du fichier &lt;code&gt;/etc/bind/named.conf.options&lt;/code&gt;<br /> <br /> <br /> options {<br /> directory &quot;/var/cache/bind&quot;;<br /> forwarders {<br /> 8.8.8.8;<br /> 4.4.2.2; //use google server dns<br /> //0.0.0.0;<br /> };<br /> dnssec-validation auto;<br /> };<br /> listen-on-v6 { any;}<br /> acl trusted{<br /> 193.48.57.182; //ns.bolognaise.net <br /> 217.70.177.40; //ns6.gandi.net<br /> };<br /> ===Paramétrage OSBF et RiPv6 du routeur en E304===<br /> A compléter<br /> <br /> = Séance 7 (dernière séance)=<br /> Fin de la configuration des fichiers DNS '''/etc/bind/named.conf.options''' , '''/etc/bind/named.conf.options.local''' et <br /> == Sécurisation du DNS par DNSSEC ==<br /> Génération des clés dnssec dans un répertoire '''/etc/bind/bolognaise.site.dnssec'''<br /> <br /> == Modification du html de notre serveur pour ajouter une photo de BOLOGNAISE ==<br /> <br /> <br /> ==Coffre Fort==<br /> <br /> [[Fichier:Coffre_secret2.zip]]</div>

Ylacroix https://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA5_2022/2023_G5&diff=60493 2022-12-02T11:07:11Z

<p>Ylacroix : /* Séance 6 */</p> <hr /> <div>=Installation de l'OS=<br /> <br /> Devuan Chimaera (netinstall) sur les zabeth 17 et 11<br /> <br /> ==Configuration réseau==<br /> *IP machine : 172.26.145.50+n°zabeth/24<br /> *DNS : 193.48.57.48<br /> *Domain name : plil.info<br /> *Routeur : 172.26.145.254<br /> *Proxy : http://proxy.polyetch-lille.fr:3128<br /> <br /> <br /> *mdp dio5 : XXXXXX<br /> <br /> =Ansible=<br /> Prérequis:<br /> *python<br /> *pip<br /> *ansible<br /> Rédaction du script ansible pour le Screen Saver (.yml)<br /> <br /> Tâches accomplies : <br /> * Suppression des animations de veille d'écran<br /> <br /> Tâches restantes : <br /> * Fixer une animation lente pour la veille<br /> * Eteindre complétement l'écran au bout d'un certain temps (1 heure)<br /> <br /> =Réalisation=<br /> ==Installation de la machine virtuelle XEN (séance 2)==<br /> <br /> '''Connexion au serveur hébergeant les VM :'''<br /> ssh root@capbreton.plil.info<br /> <br /> '''Création de l'image de conifguration de la VM :'''<br /> <br /> xen-create-image --ip=193.48.57.105 --gateway=193.48.57.161 --netmask=255.255.255.0 --hostname=dio5 --dist=chimaera --dir=/usr/local/xen/<br /> <br /> /!\ Adresse ip provisoire car réseau 193.48.57.160/27 non créé pour le moment. Actuellement ip : 172.26.145.105 /!\<br /> <br /> '''Modification du fichier de config (image):'''<br /> /etc/xen/dio5.cfg --&gt; <br /> <br /> '''Création de la VM à partir de l'image précédemment créée :'''<br /> xen create dio5.cfg (en étant dans le dir /etc/xen/ évidemment)<br /> <br /> '''Lancement de la VM :'''<br /> xen console dio5<br /> login: root<br /> password: XXXXXX<br /> Vérifier avant que la machine a bien été lancée avec &lt;code&gt;xen create dio5.cfg&lt;/code&gt; par la commande &lt;code&gt;xen list&lt;/code&gt;<br /> <br /> ==Séance 3==<br /> ===Amélioration du coffre fort===<br /> Un dossier compressé est en bas de page<br /> <br /> ===Création des volumes virtuels===<br /> Sur Capbreton, on créé les LVM /home /var avec leurs systèmes de fichiers : <br /> <br /> &lt;code&gt;lvcreate -L10G -ndio5_home storage &lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_home&lt;/code&gt;<br /> <br /> &lt;code&gt;lvcreate -L5G -ndio5_var storage&lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_var&lt;/code&gt;<br /> <br /> Il faut changer le fichier de configuration (situé dans /etc/xen) et y ajouter ces deux lignes dans la partie &lt;code&gt;disk =&lt;/code&gt;<br /> <br /> 'phy:/dev/storage/dio5_home,xvdb1,w',<br /> 'phy:/dev/storage/dio5_var,xvdb2,w',<br /> Ainsi que modifier la ligne &lt;code&gt;vif&lt;/code&gt; comme suit :<br /> vif = [ 'mac=00:16:3E:7B:4D:A4,bridge=IMA5sc' ]<br /> <br /> On relance ensuite la machine avec &lt;code&gt;xen create&lt;/code&gt;. <br /> Pour monter les deux partitions, il faut ensuite modifier le fichier '''/etc/fstab''' comme suit :<br /> /dev/xvdb1 /home ext4 defaults 0 2<br /> /dev/xvdb2 /var ext4 defaults 0 2<br /> Pour que ces modificcations soient prises en compte :<br /> mount -a<br /> reboot<br /> <br /> ==Séance 4==<br /> ===Sécurisation par certificat TLS===<br /> Nous avons commencé par lancer la machine virtuelle qui était créée et configurée lors des séances précédentes. &lt;br/&gt;<br /> Ensuite nous avons acheté le nom de domaine ''' blanquette.site ''' via le fournisseur de nom de domaine GANDI. Ce nom de domaine servira par la suite pour héberger notre site web Apache. &lt;br/&gt;<br /> Pour sécuriser la connexion HTTPS sur Apache, il est nécessaire de créer une clé et un CSR. On utilise pour cela l'utilitaire OpenSSL et on exécute les commandes : &lt;br/&gt;<br /> apt install openssl<br /> openssl req -nodes -newkey rsa:2048 -sha256 -keyout myserver.key -out server.csr -utf8<br /> Pour valider cette demande de certificat et obtenir notre certificat TSL, nous avons également utilisé GANDI.&lt;br/&gt;<br /> <br /> ===Configuration du routeur de secours (Cisco 9200????)===<br /> Pendant que d'autres binômes s'occupaient de la configuration physique des routeurs (câblage), nous nous sommes occupés de configurer le routeur en E304. Pour cela, on accède à l'interface de configuration Cisco du routeur par port série, via minicom :&lt;br/&gt;<br /> minicom -os &quot;&quot;&quot;device:/dev/ttyUSB0, baudrate:9600, pas de contrôle de flux&quot;&quot;&quot;<br /> Depuis cette interface, création de 3 vlan et configuration des ports physiques associés pour répondre à l'architecture réseau demandée pour le TP :<br /> * Connexion entre le routeur et Capbreton sur le VLAN 2 :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 2<br /> routeur(vlan)#name Capb-E304<br /> routeur#exit<br /> routeur#int Te5/4<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 2<br /> Il restera ensuite à configurer ce vlan sur le réseau '''193.48.57.176/28'''<br /> <br /> * Connexion de redondance entre les deux routeurs :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 64<br /> routeur(vlan)#name INTERCO-E306/304<br /> Après le choix du port à connecter sur le routeur, il restera à attribuer ce port au vlan 64 en mode '''trunk'''.<br /> <br /> * Connexion entre le routeur et le SR2<br /> enable<br /> routeur#conf t<br /> routeur#vlan 531<br /> routeur(vlan)#name INTERCO-5A<br /> routeur#exit<br /> routeur#int Te5/5<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 531<br /> Il restera ensuite à configurer ce vlan sur le réseau '''192.168.222.72/29'''<br /> <br /> PHOTO A METTRE !!! &lt;br/&gt;<br /> Pour checker la configuration des vlan du routeur :<br /> routeur#show interfaces status<br /> ou :<br /> routeur#show interface vlan X<br /> <br /> <br /> ==Séance 5==<br /> <br /> Tout d'abord nous avons commencé à vérifer le fonctionnement de notre service SSH sur la machine Xen.<br /> Pour cela nous avons modifié en premier temps après avoir être connecté sur la machine virtuelle le fichier '''sshd_config''' situé dans :<br /> /etc/ssh<br /> comme suit :<br /> # Authentication:<br /> #LoginGraceTime 2m<br /> PermitRootLogin yes<br /> #StrictModes yes<br /> #MaxAuthTries 6<br /> #MaxSessions 10<br /> <br /> d'où nous avons décommenté la ligne de qui nous permet de se connecter en tant que root, ensuite nous avons lui donné cette permission par l'expression '''yes'''.<br /> <br /> Une fois que cette étape est faite, nous avons lancé dans le shell la commande suivante : <br /> root@dio5:~# service ssh restart<br /> Dans le but de prendre en compte les modifications faites.<br /> <br /> Pour vérfier la connexion en ssh, nous lançons depuis notre machine zabeth17 la commande suivante :<br /> root@zabeth17:~# ssh root@172.26.145.105<br /> <br /> '''Attribution de l'adresse IP à VLAN2''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 2<br /> routeur#ip address 193.48.57.178 255.255.255.240<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Attribution de l'adresse IP à VLAN531''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 531<br /> routeur#ip address 192.168.222.75 255.255.255.248<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Configuration et interconnection du port trunk'''<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> conf t<br /> int Te6/5<br /> switchport<br /> switchport trunk encapsulation dot1q<br /> switchport mode trunk<br /> end<br /> <br /> *Afin de sauvegarder ces configurations; on oublie pas de les écrire par la commande :<br /> write<br /> <br /> '''Changement de l'addresse IP de la machine Xen'''<br /> *Changement du Bridge de la machine :<br /> Dans la machine Xen, nous allons modifié le fichier de configuration de notre machine dio5 (situé à /etc/xen/dio5.cfg). Il est devenu comme suivant :<br /> <br /> vif = [ 'mac=00:16:3E:2B:B5:60,bridge=IMA5sc' ]<br /> <br /> Pour prendre les modifications en compte, nous avons arreté la machine xen puis nous l'avons redemaré depuis capbreton étant bien sur dans le repretoire /etc/xen: <br /> <br /> xen shutdown dio5<br /> xen create dio5.cfg <br /> <br /> <br /> <br /> Ensuite nous avons modifié l'addresse IP de la machine dans le fichier '''/etc/network/interfaces''' avec l'addresse IP suivante et la gateway qui correspond :<br /> address 193.48.57.182<br /> gateway 193.48.57.176<br /> Pour que les modifications réseaux seront prises en compte, nous exectutons les commandes suivantes dans la machine Xen: <br /> ifdown -a<br /> ifup -a<br /> <br /> <br /> '''HTTP'''<br /> Pour que notre VM soit accessible en HTTP, il lui faut un serveur HTPP installé. Dans la machine Xen : <br /> apt install apache2<br /> <br /> '''HTTPS'''<br /> L'achat du certificat SSL nous permet de sécuriser la connexion à notre serveur Apache en HTTPS. Pour cela :<br /> a2enmod ssl<br /> a2ensite default-ssl.conf<br /> service apache2 restart<br /> On modifie ensuite le fichier '''/etc/apache2/sites-enabled/default-ssl.conf''' de telle sorte à y renseigner le certificat SSL, le certificat intermédiaire et notre clé privée.<br /> Les certificats sont à télécharger sur Gandi et à transférer sur notre VM en scp.<br /> <br /> ==Séance 6==<br /> ==Serveur DNS==<br /> <br /> Tout d'abord, sur le site '''gandi''', dans la section Glue record, nous avons renseigné un nom de domaine &lt;code&gt;ns.bolognaise.site&lt;/code&gt;, et nous avons ajouté les adresses IPv4 et IPv6 associé à notre machine xen.<br /> IPv4 : 193.48.57.182<br /> IPv6 : 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> Ensuite dans la section NameServer nous avons ajouté un DNS secondaire &lt;code&gt;ns6.gandi.net&lt;/code&gt; dont son adresse IPv4 est la suivante : &lt;code&gt;217.70.177.40&lt;/code&gt;.<br /> <br /> Nous avons installé bind9 par &lt;code&gt;apt install bind9&lt;/code&gt;.<br /> <br /> '''Configuration du fichier d'option pour bind'''&lt;br/&gt;<br /> Modification du fichier &lt;code&gt;/etc/bind/named.conf.options&lt;/code&gt;<br /> <br /> <br /> options {<br /> directory &quot;/var/cache/bind&quot;;<br /> forwarders {<br /> 8.8.8.8;<br /> 4.4.2.2; //use google server dns<br /> //0.0.0.0;<br /> };<br /> dnssec-validation auto;<br /> };<br /> listen-on-v6 { any;}<br /> acl trusted{<br /> 193.48.57.182; //ns.bolognaise.net <br /> 217.70.177.40; //ns6.gandi.net<br /> };<br /> ===Paramétrage OSBF et RiPv6 du routeur en E304===<br /> A compléter<br /> <br /> = Séance 7 (dernière séance)=<br /> Fin de la configuration des fichiers DNS '''/etc/bind/named.conf.options''' , '''/etc/bind/named.conf.options.local''' et <br /> == Sécurisation du DNS par DNSSEC ==<br /> Génération des clés dnssec dans un répertoire '''/etc/bind/bolognaise.site.dnssec'''<br /> <br /> == Modification du html de notre serveur pour ajouter une photo de BOLOGNAISE ==<br /> <br /> <br /> ==Coffre Fort==<br /> <br /> [[Fichier:Coffre_secret2.zip]]</div>

Ylacroix https://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA5_2022/2023_G5&diff=60344 2022-11-30T10:19:05Z

<p>Ylacroix : /* Séance 7 (dernière séance) */</p> <hr /> <div>=Installation de l'OS=<br /> <br /> Devuan Chimaera (netinstall) sur les zabeth 17 et 11<br /> <br /> ==Configuration réseau==<br /> *IP machine : 172.26.145.50+n°zabeth/24<br /> *DNS : 193.48.57.48<br /> *Domain name : plil.info<br /> *Routeur : 172.26.145.254<br /> *Proxy : http://proxy.polyetch-lille.fr:3128<br /> <br /> <br /> *mdp dio5 : XXXXXX<br /> <br /> =Ansible=<br /> Prérequis:<br /> *python<br /> *pip<br /> *ansible<br /> Rédaction du script ansible pour le Screen Saver (.yml)<br /> <br /> Tâches accomplies : <br /> * Suppression des animations de veille d'écran<br /> <br /> Tâches restantes : <br /> * Fixer une animation lente pour la veille<br /> * Eteindre complétement l'écran au bout d'un certain temps (1 heure)<br /> <br /> =Réalisation=<br /> ==Installation de la machine virtuelle XEN (séance 2)==<br /> <br /> '''Connexion au serveur hébergeant les VM :'''<br /> ssh root@capbreton.plil.info<br /> <br /> '''Création de l'image de conifguration de la VM :'''<br /> <br /> xen-create-image --ip=193.48.57.105 --gateway=193.48.57.161 --netmask=255.255.255.0 --hostname=dio5 --dist=chimaera --dir=/usr/local/xen/<br /> <br /> /!\ Adresse ip provisoire car réseau 193.48.57.160/27 non créé pour le moment. Actuellement ip : 172.26.145.105 /!\<br /> <br /> '''Modification du fichier de config (image):'''<br /> /etc/xen/dio5.cfg --&gt; <br /> <br /> '''Création de la VM à partir de l'image précédemment créée :'''<br /> xen create dio5.cfg (en étant dans le dir /etc/xen/ évidemment)<br /> <br /> '''Lancement de la VM :'''<br /> xen console dio5<br /> login: root<br /> password: XXXXXX<br /> Vérifier avant que la machine a bien été lancée avec &lt;code&gt;xen create dio5.cfg&lt;/code&gt; par la commande &lt;code&gt;xen list&lt;/code&gt;<br /> <br /> ==Séance 3==<br /> ===Amélioration du coffre fort===<br /> Un dossier compressé est en bas de page<br /> <br /> ===Création des volumes virtuels===<br /> Sur Capbreton, on créé les LVM /home /var avec leurs systèmes de fichiers : <br /> <br /> &lt;code&gt;lvcreate -L10G -ndio5_home storage &lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_home&lt;/code&gt;<br /> <br /> &lt;code&gt;lvcreate -L5G -ndio5_var storage&lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_var&lt;/code&gt;<br /> <br /> Il faut changer le fichier de configuration (situé dans /etc/xen) et y ajouter ces deux lignes dans la partie &lt;code&gt;disk =&lt;/code&gt;<br /> <br /> 'phy:/dev/storage/dio5_home,xvdb1,w',<br /> 'phy:/dev/storage/dio5_var,xvdb2,w',<br /> Ainsi que modifier la ligne &lt;code&gt;vif&lt;/code&gt; comme suit :<br /> vif = [ 'mac=00:16:3E:7B:4D:A4,bridge=IMA5sc' ]<br /> <br /> On relance ensuite la machine avec &lt;code&gt;xen create&lt;/code&gt;. <br /> Pour monter les deux partitions, il faut ensuite modifier le fichier '''/etc/fstab''' comme suit :<br /> /dev/xvdb1 /home ext4 defaults 0 2<br /> /dev/xvdb2 /var ext4 defaults 0 2<br /> Pour que ces modificcations soient prises en compte :<br /> mount -a<br /> reboot<br /> <br /> ==Séance 4==<br /> ===Sécurisation par certificat TLS===<br /> Nous avons commencé par lancer la machine virtuelle qui était créée et configurée lors des séances précédentes. &lt;br/&gt;<br /> Ensuite nous avons acheté le nom de domaine ''' blanquette.site ''' via le fournisseur de nom de domaine GANDI. Ce nom de domaine servira par la suite pour héberger notre site web Apache. &lt;br/&gt;<br /> Pour sécuriser la connexion HTTPS sur Apache, il est nécessaire de créer une clé et un CSR. On utilise pour cela l'utilitaire OpenSSL et on exécute les commandes : &lt;br/&gt;<br /> apt install openssl<br /> openssl req -nodes -newkey rsa:2048 -sha256 -keyout myserver.key -out server.csr -utf8<br /> Pour valider cette demande de certificat et obtenir notre certificat TSL, nous avons également utilisé GANDI.&lt;br/&gt;<br /> <br /> ===Configuration du routeur de secours (Cisco 9200????)===<br /> Pendant que d'autres binômes s'occupaient de la configuration physique des routeurs (câblage), nous nous sommes occupés de configurer le routeur en E304. Pour cela, on accède à l'interface de configuration Cisco du routeur par port série, via minicom :&lt;br/&gt;<br /> minicom -os &quot;&quot;&quot;device:/dev/ttyUSB0, baudrate:9600, pas de contrôle de flux&quot;&quot;&quot;<br /> Depuis cette interface, création de 3 vlan et configuration des ports physiques associés pour répondre à l'architecture réseau demandée pour le TP :<br /> * Connexion entre le routeur et Capbreton sur le VLAN 2 :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 2<br /> routeur(vlan)#name Capb-E304<br /> routeur#exit<br /> routeur#int Te5/4<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 2<br /> Il restera ensuite à configurer ce vlan sur le réseau '''193.48.57.176/28'''<br /> <br /> * Connexion de redondance entre les deux routeurs :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 64<br /> routeur(vlan)#name INTERCO-E306/304<br /> Après le choix du port à connecter sur le routeur, il restera à attribuer ce port au vlan 64 en mode '''trunk'''.<br /> <br /> * Connexion entre le routeur et le SR2<br /> enable<br /> routeur#conf t<br /> routeur#vlan 531<br /> routeur(vlan)#name INTERCO-5A<br /> routeur#exit<br /> routeur#int Te5/5<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 531<br /> Il restera ensuite à configurer ce vlan sur le réseau '''192.168.222.72/29'''<br /> <br /> PHOTO A METTRE !!! &lt;br/&gt;<br /> Pour checker la configuration des vlan du routeur :<br /> routeur#show interfaces status<br /> ou :<br /> routeur#show interface vlan X<br /> <br /> <br /> ==Séance 5==<br /> <br /> Tout d'abord nous avons commencé à vérifer le fonctionnement de notre service SSH sur la machine Xen.<br /> Pour cela nous avons modifié en premier temps après avoir être connecté sur la machine virtuelle le fichier '''sshd_config''' situé dans :<br /> /etc/ssh<br /> comme suit :<br /> # Authentication:<br /> #LoginGraceTime 2m<br /> PermitRootLogin yes<br /> #StrictModes yes<br /> #MaxAuthTries 6<br /> #MaxSessions 10<br /> <br /> d'où nous avons décommenté la ligne de qui nous permet de se connecter en tant que root, ensuite nous avons lui donné cette permission par l'expression '''yes'''.<br /> <br /> Une fois que cette étape est faite, nous avons lancé dans le shell la commande suivante : <br /> root@dio5:~# service ssh restart<br /> Dans le but de prendre en compte les modifications faites.<br /> <br /> Pour vérfier la connexion en ssh, nous lançons depuis notre machine zabeth17 la commande suivante :<br /> root@zabeth17:~# ssh root@172.26.145.105<br /> <br /> '''Attribution de l'adresse IP à VLAN2''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 2<br /> routeur#ip address 193.48.57.178 255.255.255.240<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Attribution de l'adresse IP à VLAN531''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 531<br /> routeur#ip address 192.168.222.75 255.255.255.248<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Configuration et interconnection du port trunk'''<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> conf t<br /> int Te6/5<br /> switchport<br /> switchport trunk encapsulation dot1q<br /> switchport mode trunk<br /> end<br /> <br /> *Afin de sauvegarder ces configurations; on oublie pas de les écrire par la commande :<br /> write<br /> <br /> '''Changement de l'addresse IP de la machine Xen'''<br /> *Changement du Bridge de la machine :<br /> Dans la machine Xen, nous allons modifié le fichier de configuration de notre machine dio5 (situé à /etc/xen/dio5.cfg). Il est devenu comme suivant :<br /> <br /> vif = [ 'mac=00:16:3E:2B:B5:60,bridge=IMA5sc' ]<br /> <br /> Pour prendre les modifications en compte, nous avons arreté la machine xen puis nous l'avons redemaré depuis capbreton étant bien sur dans le repretoire /etc/xen: <br /> <br /> xen shutdown dio5<br /> xen create dio5.cfg <br /> <br /> <br /> <br /> Ensuite nous avons modifié l'addresse IP de la machine dans le fichier '''/etc/network/interfaces''' avec l'addresse IP suivante et la gateway qui correspond :<br /> address 193.48.57.182<br /> gateway 193.48.57.176<br /> Pour que les modifications réseaux seront prises en compte, nous exectutons les commandes suivantes dans la machine Xen: <br /> ifdown -a<br /> ifup -a<br /> <br /> <br /> '''HTTP'''<br /> Pour que notre VM soit accessible en HTTP, il lui faut un serveur HTPP installé. Dans la machine Xen : <br /> apt install apache2<br /> <br /> '''HTTPS'''<br /> L'achat du certificat SSL nous permet de sécuriser la connexion à notre serveur Apache en HTTPS. Pour cela :<br /> a2enmod ssl<br /> a2ensite default-ssl.conf<br /> service apache2 restart<br /> On modifie ensuite le fichier '''/etc/apache2/sites-enabled/default-ssl.conf''' de telle sorte à y renseigner le certificat SSL, le certificat intermédiaire et notre clé privée.<br /> Les certificats sont à télécharger sur Gandi et à transférer sur notre VM en scp.<br /> <br /> ==Séance 6==<br /> '''Serveur DNS'''<br /> <br /> Tout d'abord, sur le site '''gandi''', dans la section Glue record, nous avons renseigné un nom de domaine &lt;code&gt;ns.bolognaise.site&lt;/code&gt;, et nous avons ajouté les adresses IPv4 et IPv6 associé à notre machine xen.<br /> IPv4 : 193.48.57.182<br /> IPv6 : 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> Ensuite dans la section NameServer nous avons ajouté un DNS secondaire &lt;code&gt;ns6.gandi.net&lt;/code&gt; dont son adresse IPv4 est la suivante : &lt;code&gt;217.70.177.40&lt;/code&gt;.<br /> <br /> Nous avons installé bind9 par &lt;code&gt;apt install bind9&lt;/code&gt;.<br /> <br /> '''Configuration du fichier d'option pour bind'''&lt;br/&gt;<br /> Modification du fichier &lt;code&gt;/etc/bind/named.conf.options&lt;/code&gt;<br /> <br /> <br /> options {<br /> directory &quot;/var/cache/bind&quot;;<br /> dnssec-validation auto;<br /> };<br /> listen-on-v6 { any;}<br /> acl trusted{<br /> 193.48.57.182; //ns.bolognaise.net <br /> 217.70.177.40; //ns6.gandi.net<br /> };<br /> ===Paramétrage OSBF et RiPv6 du routeur en E304===<br /> A compléter<br /> <br /> = Séance 7 (dernière séance)=<br /> Fin de la configuration des fichiers DNS '''/etc/bind/named.conf.options''' , '''/etc/bind/named.conf.options.local''' et <br /> == Sécurisation du DNS par DNSSEC ==<br /> Génération des clés dnssec dans un répertoire '''/etc/bind/bolognaise.site.dnssec'''<br /> <br /> == Modification du html de notre serveur pour ajouter une photo de BOLOGNAISE ==<br /> <br /> <br /> ==Coffre Fort==<br /> <br /> [[Fichier:Coffre_secret2.zip]]</div>

Ylacroix https://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA5_2022/2023_G5&diff=60329 2022-11-30T09:52:55Z

<p>Ylacroix : /* Séance 6 */</p> <hr /> <div>=Installation de l'OS=<br /> <br /> Devuan Chimaera (netinstall) sur les zabeth 17 et 11<br /> <br /> ==Configuration réseau==<br /> *IP machine : 172.26.145.50+n°zabeth/24<br /> *DNS : 193.48.57.48<br /> *Domain name : plil.info<br /> *Routeur : 172.26.145.254<br /> *Proxy : http://proxy.polyetch-lille.fr:3128<br /> <br /> <br /> *mdp dio5 : XXXXXX<br /> <br /> =Ansible=<br /> Prérequis:<br /> *python<br /> *pip<br /> *ansible<br /> Rédaction du script ansible pour le Screen Saver (.yml)<br /> <br /> Tâches accomplies : <br /> * Suppression des animations de veille d'écran<br /> <br /> Tâches restantes : <br /> * Fixer une animation lente pour la veille<br /> * Eteindre complétement l'écran au bout d'un certain temps (1 heure)<br /> <br /> =Réalisation=<br /> ==Installation de la machine virtuelle XEN (séance 2)==<br /> <br /> '''Connexion au serveur hébergeant les VM :'''<br /> ssh root@capbreton.plil.info<br /> <br /> '''Création de l'image de conifguration de la VM :'''<br /> <br /> xen-create-image --ip=193.48.57.105 --gateway=193.48.57.161 --netmask=255.255.255.0 --hostname=dio5 --dist=chimaera --dir=/usr/local/xen/<br /> <br /> /!\ Adresse ip provisoire car réseau 193.48.57.160/27 non créé pour le moment. Actuellement ip : 172.26.145.105 /!\<br /> <br /> '''Modification du fichier de config (image):'''<br /> /etc/xen/dio5.cfg --&gt; <br /> <br /> '''Création de la VM à partir de l'image précédemment créée :'''<br /> xen create dio5.cfg (en étant dans le dir /etc/xen/ évidemment)<br /> <br /> '''Lancement de la VM :'''<br /> xen console dio5<br /> login: root<br /> password: XXXXXX<br /> Vérifier avant que la machine a bien été lancée avec &lt;code&gt;xen create dio5.cfg&lt;/code&gt; par la commande &lt;code&gt;xen list&lt;/code&gt;<br /> <br /> ==Séance 3==<br /> ===Amélioration du coffre fort===<br /> Un dossier compressé est en bas de page<br /> <br /> ===Création des volumes virtuels===<br /> Sur Capbreton, on créé les LVM /home /var avec leurs systèmes de fichiers : <br /> <br /> &lt;code&gt;lvcreate -L10G -ndio5_home storage &lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_home&lt;/code&gt;<br /> <br /> &lt;code&gt;lvcreate -L5G -ndio5_var storage&lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_var&lt;/code&gt;<br /> <br /> Il faut changer le fichier de configuration (situé dans /etc/xen) et y ajouter ces deux lignes dans la partie &lt;code&gt;disk =&lt;/code&gt;<br /> <br /> 'phy:/dev/storage/dio5_home,xvdb1,w',<br /> 'phy:/dev/storage/dio5_var,xvdb2,w',<br /> Ainsi que modifier la ligne &lt;code&gt;vif&lt;/code&gt; comme suit :<br /> vif = [ 'mac=00:16:3E:7B:4D:A4,bridge=IMA5sc' ]<br /> <br /> On relance ensuite la machine avec &lt;code&gt;xen create&lt;/code&gt;. <br /> Pour monter les deux partitions, il faut ensuite modifier le fichier '''/etc/fstab''' comme suit :<br /> /dev/xvdb1 /home ext4 defaults 0 2<br /> /dev/xvdb2 /var ext4 defaults 0 2<br /> Pour que ces modificcations soient prises en compte :<br /> mount -a<br /> reboot<br /> <br /> ==Séance 4==<br /> ===Sécurisation par certificat TLS===<br /> Nous avons commencé par lancer la machine virtuelle qui était créée et configurée lors des séances précédentes. &lt;br/&gt;<br /> Ensuite nous avons acheté le nom de domaine ''' blanquette.site ''' via le fournisseur de nom de domaine GANDI. Ce nom de domaine servira par la suite pour héberger notre site web Apache. &lt;br/&gt;<br /> Pour sécuriser la connexion HTTPS sur Apache, il est nécessaire de créer une clé et un CSR. On utilise pour cela l'utilitaire OpenSSL et on exécute les commandes : &lt;br/&gt;<br /> apt install openssl<br /> openssl req -nodes -newkey rsa:2048 -sha256 -keyout myserver.key -out server.csr -utf8<br /> Pour valider cette demande de certificat et obtenir notre certificat TSL, nous avons également utilisé GANDI.&lt;br/&gt;<br /> <br /> ===Configuration du routeur de secours (Cisco 9200????)===<br /> Pendant que d'autres binômes s'occupaient de la configuration physique des routeurs (câblage), nous nous sommes occupés de configurer le routeur en E304. Pour cela, on accède à l'interface de configuration Cisco du routeur par port série, via minicom :&lt;br/&gt;<br /> minicom -os &quot;&quot;&quot;device:/dev/ttyUSB0, baudrate:9600, pas de contrôle de flux&quot;&quot;&quot;<br /> Depuis cette interface, création de 3 vlan et configuration des ports physiques associés pour répondre à l'architecture réseau demandée pour le TP :<br /> * Connexion entre le routeur et Capbreton sur le VLAN 2 :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 2<br /> routeur(vlan)#name Capb-E304<br /> routeur#exit<br /> routeur#int Te5/4<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 2<br /> Il restera ensuite à configurer ce vlan sur le réseau '''193.48.57.176/28'''<br /> <br /> * Connexion de redondance entre les deux routeurs :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 64<br /> routeur(vlan)#name INTERCO-E306/304<br /> Après le choix du port à connecter sur le routeur, il restera à attribuer ce port au vlan 64 en mode '''trunk'''.<br /> <br /> * Connexion entre le routeur et le SR2<br /> enable<br /> routeur#conf t<br /> routeur#vlan 531<br /> routeur(vlan)#name INTERCO-5A<br /> routeur#exit<br /> routeur#int Te5/5<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 531<br /> Il restera ensuite à configurer ce vlan sur le réseau '''192.168.222.72/29'''<br /> <br /> PHOTO A METTRE !!! &lt;br/&gt;<br /> Pour checker la configuration des vlan du routeur :<br /> routeur#show interfaces status<br /> ou :<br /> routeur#show interface vlan X<br /> <br /> <br /> ==Séance 5==<br /> <br /> Tout d'abord nous avons commencé à vérifer le fonctionnement de notre service SSH sur la machine Xen.<br /> Pour cela nous avons modifié en premier temps après avoir être connecté sur la machine virtuelle le fichier '''sshd_config''' situé dans :<br /> /etc/ssh<br /> comme suit :<br /> # Authentication:<br /> #LoginGraceTime 2m<br /> PermitRootLogin yes<br /> #StrictModes yes<br /> #MaxAuthTries 6<br /> #MaxSessions 10<br /> <br /> d'où nous avons décommenté la ligne de qui nous permet de se connecter en tant que root, ensuite nous avons lui donné cette permission par l'expression '''yes'''.<br /> <br /> Une fois que cette étape est faite, nous avons lancé dans le shell la commande suivante : <br /> root@dio5:~# service ssh restart<br /> Dans le but de prendre en compte les modifications faites.<br /> <br /> Pour vérfier la connexion en ssh, nous lançons depuis notre machine zabeth17 la commande suivante :<br /> root@zabeth17:~# ssh root@172.26.145.105<br /> <br /> '''Attribution de l'adresse IP à VLAN2''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 2<br /> routeur#ip address 193.48.57.178 255.255.255.240<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Attribution de l'adresse IP à VLAN531''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 531<br /> routeur#ip address 192.168.222.75 255.255.255.248<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Configuration et interconnection du port trunk'''<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> conf t<br /> int Te6/5<br /> switchport<br /> switchport trunk encapsulation dot1q<br /> switchport mode trunk<br /> end<br /> <br /> *Afin de sauvegarder ces configurations; on oublie pas de les écrire par la commande :<br /> write<br /> <br /> '''Changement de l'addresse IP de la machine Xen'''<br /> *Changement du Bridge de la machine :<br /> Dans la machine Xen, nous allons modifié le fichier de configuration de notre machine dio5 (situé à /etc/xen/dio5.cfg). Il est devenu comme suivant :<br /> <br /> vif = [ 'mac=00:16:3E:2B:B5:60,bridge=IMA5sc' ]<br /> <br /> Pour prendre les modifications en compte, nous avons arreté la machine xen puis nous l'avons redemaré depuis capbreton étant bien sur dans le repretoire /etc/xen: <br /> <br /> xen shutdown dio5<br /> xen create dio5.cfg <br /> <br /> <br /> <br /> Ensuite nous avons modifié l'addresse IP de la machine dans le fichier '''/etc/network/interfaces''' avec l'addresse IP suivante et la gateway qui correspond :<br /> address 193.48.57.182<br /> gateway 193.48.57.176<br /> Pour que les modifications réseaux seront prises en compte, nous exectutons les commandes suivantes dans la machine Xen: <br /> ifdown -a<br /> ifup -a<br /> <br /> <br /> '''HTTP'''<br /> Pour que notre VM soit accessible en HTTP, il lui faut un serveur HTPP installé. Dans la machine Xen : <br /> apt install apache2<br /> <br /> '''HTTPS'''<br /> L'achat du certificat SSL nous permet de sécuriser la connexion à notre serveur Apache en HTTPS. Pour cela :<br /> a2enmod ssl<br /> a2ensite default-ssl.conf<br /> service apache2 restart<br /> On modifie ensuite le fichier '''/etc/apache2/sites-enabled/default-ssl.conf''' de telle sorte à y renseigner le certificat SSL, le certificat intermédiaire et notre clé privée.<br /> Les certificats sont à télécharger sur Gandi et à transférer sur notre VM en scp.<br /> <br /> ==Séance 6==<br /> '''Serveur DNS'''<br /> <br /> Tout d'abord, sur le site '''gandi''', dans la section Glue record, nous avons renseigné un nom de domaine &lt;code&gt;ns.bolognaise.site&lt;/code&gt;, et nous avons ajouté les adresses IPv4 et IPv6 associé à notre machine xen.<br /> IPv4 : 193.48.57.182<br /> IPv6 : 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> Ensuite dans la section NameServer nous avons ajouté un DNS secondaire &lt;code&gt;ns6.gandi.net&lt;/code&gt; dont son adresse IPv4 est la suivante : &lt;code&gt;217.70.177.40&lt;/code&gt;.<br /> <br /> Nous avons installé bind9 par &lt;code&gt;apt install bind9&lt;/code&gt;.<br /> <br /> '''Configuration du fichier d'option pour bind'''&lt;br/&gt;<br /> Modification du fichier &lt;code&gt;/etc/bind/named.conf.options&lt;/code&gt;<br /> <br /> <br /> options {<br /> directory &quot;/var/cache/bind&quot;;<br /> dnssec-validation auto;<br /> };<br /> listen-on-v6 { any;}<br /> acl trusted{<br /> 193.48.57.182; //ns.bolognaise.net <br /> 217.70.177.40; //ns6.gandi.net<br /> };<br /> ===Paramétrage OSBF et RiPv6 du routeur en E304===<br /> A compléter<br /> <br /> = Séance 7 (dernière séance)=<br /> Fin de la configuration des fichiers DNS '''/etc/bind/named.conf.options''' , '''/etc/bind/named.conf.options.local''' et <br /> == Sécurisation du DNS par DNSSEC ==<br /> Génération des clés dnssec dans un répertoire '''/etc/bind/bolognaise.site.dnssec'''<br /> <br /> ==Coffre Fort==<br /> <br /> [[Fichier:Coffre_secret2.zip]]</div>

Ylacroix https://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA5_2022/2023_G5&diff=60328 2022-11-30T09:47:59Z

<p>Ylacroix : /* Séance 6 */</p> <hr /> <div>=Installation de l'OS=<br /> <br /> Devuan Chimaera (netinstall) sur les zabeth 17 et 11<br /> <br /> ==Configuration réseau==<br /> *IP machine : 172.26.145.50+n°zabeth/24<br /> *DNS : 193.48.57.48<br /> *Domain name : plil.info<br /> *Routeur : 172.26.145.254<br /> *Proxy : http://proxy.polyetch-lille.fr:3128<br /> <br /> <br /> *mdp dio5 : XXXXXX<br /> <br /> =Ansible=<br /> Prérequis:<br /> *python<br /> *pip<br /> *ansible<br /> Rédaction du script ansible pour le Screen Saver (.yml)<br /> <br /> Tâches accomplies : <br /> * Suppression des animations de veille d'écran<br /> <br /> Tâches restantes : <br /> * Fixer une animation lente pour la veille<br /> * Eteindre complétement l'écran au bout d'un certain temps (1 heure)<br /> <br /> =Réalisation=<br /> ==Installation de la machine virtuelle XEN (séance 2)==<br /> <br /> '''Connexion au serveur hébergeant les VM :'''<br /> ssh root@capbreton.plil.info<br /> <br /> '''Création de l'image de conifguration de la VM :'''<br /> <br /> xen-create-image --ip=193.48.57.105 --gateway=193.48.57.161 --netmask=255.255.255.0 --hostname=dio5 --dist=chimaera --dir=/usr/local/xen/<br /> <br /> /!\ Adresse ip provisoire car réseau 193.48.57.160/27 non créé pour le moment. Actuellement ip : 172.26.145.105 /!\<br /> <br /> '''Modification du fichier de config (image):'''<br /> /etc/xen/dio5.cfg --&gt; <br /> <br /> '''Création de la VM à partir de l'image précédemment créée :'''<br /> xen create dio5.cfg (en étant dans le dir /etc/xen/ évidemment)<br /> <br /> '''Lancement de la VM :'''<br /> xen console dio5<br /> login: root<br /> password: XXXXXX<br /> Vérifier avant que la machine a bien été lancée avec &lt;code&gt;xen create dio5.cfg&lt;/code&gt; par la commande &lt;code&gt;xen list&lt;/code&gt;<br /> <br /> ==Séance 3==<br /> ===Amélioration du coffre fort===<br /> Un dossier compressé est en bas de page<br /> <br /> ===Création des volumes virtuels===<br /> Sur Capbreton, on créé les LVM /home /var avec leurs systèmes de fichiers : <br /> <br /> &lt;code&gt;lvcreate -L10G -ndio5_home storage &lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_home&lt;/code&gt;<br /> <br /> &lt;code&gt;lvcreate -L5G -ndio5_var storage&lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_var&lt;/code&gt;<br /> <br /> Il faut changer le fichier de configuration (situé dans /etc/xen) et y ajouter ces deux lignes dans la partie &lt;code&gt;disk =&lt;/code&gt;<br /> <br /> 'phy:/dev/storage/dio5_home,xvdb1,w',<br /> 'phy:/dev/storage/dio5_var,xvdb2,w',<br /> Ainsi que modifier la ligne &lt;code&gt;vif&lt;/code&gt; comme suit :<br /> vif = [ 'mac=00:16:3E:7B:4D:A4,bridge=IMA5sc' ]<br /> <br /> On relance ensuite la machine avec &lt;code&gt;xen create&lt;/code&gt;. <br /> Pour monter les deux partitions, il faut ensuite modifier le fichier '''/etc/fstab''' comme suit :<br /> /dev/xvdb1 /home ext4 defaults 0 2<br /> /dev/xvdb2 /var ext4 defaults 0 2<br /> Pour que ces modificcations soient prises en compte :<br /> mount -a<br /> reboot<br /> <br /> ==Séance 4==<br /> ===Sécurisation par certificat TLS===<br /> Nous avons commencé par lancer la machine virtuelle qui était créée et configurée lors des séances précédentes. &lt;br/&gt;<br /> Ensuite nous avons acheté le nom de domaine ''' blanquette.site ''' via le fournisseur de nom de domaine GANDI. Ce nom de domaine servira par la suite pour héberger notre site web Apache. &lt;br/&gt;<br /> Pour sécuriser la connexion HTTPS sur Apache, il est nécessaire de créer une clé et un CSR. On utilise pour cela l'utilitaire OpenSSL et on exécute les commandes : &lt;br/&gt;<br /> apt install openssl<br /> openssl req -nodes -newkey rsa:2048 -sha256 -keyout myserver.key -out server.csr -utf8<br /> Pour valider cette demande de certificat et obtenir notre certificat TSL, nous avons également utilisé GANDI.&lt;br/&gt;<br /> <br /> ===Configuration du routeur de secours (Cisco 9200????)===<br /> Pendant que d'autres binômes s'occupaient de la configuration physique des routeurs (câblage), nous nous sommes occupés de configurer le routeur en E304. Pour cela, on accède à l'interface de configuration Cisco du routeur par port série, via minicom :&lt;br/&gt;<br /> minicom -os &quot;&quot;&quot;device:/dev/ttyUSB0, baudrate:9600, pas de contrôle de flux&quot;&quot;&quot;<br /> Depuis cette interface, création de 3 vlan et configuration des ports physiques associés pour répondre à l'architecture réseau demandée pour le TP :<br /> * Connexion entre le routeur et Capbreton sur le VLAN 2 :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 2<br /> routeur(vlan)#name Capb-E304<br /> routeur#exit<br /> routeur#int Te5/4<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 2<br /> Il restera ensuite à configurer ce vlan sur le réseau '''193.48.57.176/28'''<br /> <br /> * Connexion de redondance entre les deux routeurs :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 64<br /> routeur(vlan)#name INTERCO-E306/304<br /> Après le choix du port à connecter sur le routeur, il restera à attribuer ce port au vlan 64 en mode '''trunk'''.<br /> <br /> * Connexion entre le routeur et le SR2<br /> enable<br /> routeur#conf t<br /> routeur#vlan 531<br /> routeur(vlan)#name INTERCO-5A<br /> routeur#exit<br /> routeur#int Te5/5<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 531<br /> Il restera ensuite à configurer ce vlan sur le réseau '''192.168.222.72/29'''<br /> <br /> PHOTO A METTRE !!! &lt;br/&gt;<br /> Pour checker la configuration des vlan du routeur :<br /> routeur#show interfaces status<br /> ou :<br /> routeur#show interface vlan X<br /> <br /> <br /> ==Séance 5==<br /> <br /> Tout d'abord nous avons commencé à vérifer le fonctionnement de notre service SSH sur la machine Xen.<br /> Pour cela nous avons modifié en premier temps après avoir être connecté sur la machine virtuelle le fichier '''sshd_config''' situé dans :<br /> /etc/ssh<br /> comme suit :<br /> # Authentication:<br /> #LoginGraceTime 2m<br /> PermitRootLogin yes<br /> #StrictModes yes<br /> #MaxAuthTries 6<br /> #MaxSessions 10<br /> <br /> d'où nous avons décommenté la ligne de qui nous permet de se connecter en tant que root, ensuite nous avons lui donné cette permission par l'expression '''yes'''.<br /> <br /> Une fois que cette étape est faite, nous avons lancé dans le shell la commande suivante : <br /> root@dio5:~# service ssh restart<br /> Dans le but de prendre en compte les modifications faites.<br /> <br /> Pour vérfier la connexion en ssh, nous lançons depuis notre machine zabeth17 la commande suivante :<br /> root@zabeth17:~# ssh root@172.26.145.105<br /> <br /> '''Attribution de l'adresse IP à VLAN2''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 2<br /> routeur#ip address 193.48.57.178 255.255.255.240<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Attribution de l'adresse IP à VLAN531''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 531<br /> routeur#ip address 192.168.222.75 255.255.255.248<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Configuration et interconnection du port trunk'''<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> conf t<br /> int Te6/5<br /> switchport<br /> switchport trunk encapsulation dot1q<br /> switchport mode trunk<br /> end<br /> <br /> *Afin de sauvegarder ces configurations; on oublie pas de les écrire par la commande :<br /> write<br /> <br /> '''Changement de l'addresse IP de la machine Xen'''<br /> *Changement du Bridge de la machine :<br /> Dans la machine Xen, nous allons modifié le fichier de configuration de notre machine dio5 (situé à /etc/xen/dio5.cfg). Il est devenu comme suivant :<br /> <br /> vif = [ 'mac=00:16:3E:2B:B5:60,bridge=IMA5sc' ]<br /> <br /> Pour prendre les modifications en compte, nous avons arreté la machine xen puis nous l'avons redemaré depuis capbreton étant bien sur dans le repretoire /etc/xen: <br /> <br /> xen shutdown dio5<br /> xen create dio5.cfg <br /> <br /> <br /> <br /> Ensuite nous avons modifié l'addresse IP de la machine dans le fichier '''/etc/network/interfaces''' avec l'addresse IP suivante et la gateway qui correspond :<br /> address 193.48.57.182<br /> gateway 193.48.57.176<br /> Pour que les modifications réseaux seront prises en compte, nous exectutons les commandes suivantes dans la machine Xen: <br /> ifdown -a<br /> ifup -a<br /> <br /> <br /> '''HTTP'''<br /> Pour que notre VM soit accessible en HTTP, il lui faut un serveur HTPP installé. Dans la machine Xen : <br /> apt install apache2<br /> <br /> '''HTTPS'''<br /> L'achat du certificat SSL nous permet de sécuriser la connexion à notre serveur Apache en HTTPS. Pour cela :<br /> a2enmod ssl<br /> a2ensite default-ssl.conf<br /> service apache2 restart<br /> On modifie ensuite le fichier '''/etc/apache2/sites-enabled/default-ssl.conf''' de telle sorte à y renseigner le certificat SSL, le certificat intermédiaire et notre clé privée.<br /> Les certificats sont à télécharger sur Gandi et à transférer sur notre VM en scp.<br /> <br /> ==Séance 6==<br /> '''Serveur DNS'''<br /> <br /> Tout d'abord, sur le site '''gandi''', dans la section Glue record, nous avons renseigné un nom de domaine &lt;code&gt;ns.bolognaise.site&lt;/code&gt;, et nous avons ajouté les adresses IPv4 et IPv6 associé à notre machine xen.<br /> IPv4 : 193.48.57.182<br /> IPv6 : 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> Ensuite dans la section NameServer nous avons ajouté un DNS secondaire &lt;code&gt;ns6.gandi.net&lt;/code&gt; dont son adresse IPv4 est la suivante : &lt;code&gt;217.70.177.40&lt;/code&gt;.<br /> <br /> Nous avons installé bind9 par &lt;code&gt;apt install bind9&lt;/code&gt;.<br /> <br /> '''Configuration du fichier d'option pour bind'''&lt;br/&gt;<br /> Modification du fichier &lt;code&gt;/etc/bind/named.conf.options&lt;/code&gt;<br /> <br /> <br /> options {<br /> directory &quot;/var/cache/bind&quot;;<br /> dnssec-validation auto;<br /> };<br /> listen-on-v6 { any;}<br /> acl trusted{<br /> 193.48.57.182; //ns.bolognaise.net <br /> 217.70.177.40; //ns6.gandi.net<br /> };<br /> ===Paramétrage OSBF et RiPv6 du routeur en E304===<br /> A compléter<br /> <br /> ==Coffre Fort==<br /> <br /> [[Fichier:Coffre_secret2.zip]]</div>

Ylacroix https://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA5_2022/2023_G5&diff=60327 2022-11-30T09:47:40Z

<p>Ylacroix : /* Paramétrage OSBF et RiPv6 du routeur en E304 */</p> <hr /> <div>=Installation de l'OS=<br /> <br /> Devuan Chimaera (netinstall) sur les zabeth 17 et 11<br /> <br /> ==Configuration réseau==<br /> *IP machine : 172.26.145.50+n°zabeth/24<br /> *DNS : 193.48.57.48<br /> *Domain name : plil.info<br /> *Routeur : 172.26.145.254<br /> *Proxy : http://proxy.polyetch-lille.fr:3128<br /> <br /> <br /> *mdp dio5 : XXXXXX<br /> <br /> =Ansible=<br /> Prérequis:<br /> *python<br /> *pip<br /> *ansible<br /> Rédaction du script ansible pour le Screen Saver (.yml)<br /> <br /> Tâches accomplies : <br /> * Suppression des animations de veille d'écran<br /> <br /> Tâches restantes : <br /> * Fixer une animation lente pour la veille<br /> * Eteindre complétement l'écran au bout d'un certain temps (1 heure)<br /> <br /> =Réalisation=<br /> ==Installation de la machine virtuelle XEN (séance 2)==<br /> <br /> '''Connexion au serveur hébergeant les VM :'''<br /> ssh root@capbreton.plil.info<br /> <br /> '''Création de l'image de conifguration de la VM :'''<br /> <br /> xen-create-image --ip=193.48.57.105 --gateway=193.48.57.161 --netmask=255.255.255.0 --hostname=dio5 --dist=chimaera --dir=/usr/local/xen/<br /> <br /> /!\ Adresse ip provisoire car réseau 193.48.57.160/27 non créé pour le moment. Actuellement ip : 172.26.145.105 /!\<br /> <br /> '''Modification du fichier de config (image):'''<br /> /etc/xen/dio5.cfg --&gt; <br /> <br /> '''Création de la VM à partir de l'image précédemment créée :'''<br /> xen create dio5.cfg (en étant dans le dir /etc/xen/ évidemment)<br /> <br /> '''Lancement de la VM :'''<br /> xen console dio5<br /> login: root<br /> password: XXXXXX<br /> Vérifier avant que la machine a bien été lancée avec &lt;code&gt;xen create dio5.cfg&lt;/code&gt; par la commande &lt;code&gt;xen list&lt;/code&gt;<br /> <br /> ==Séance 3==<br /> ===Amélioration du coffre fort===<br /> Un dossier compressé est en bas de page<br /> <br /> ===Création des volumes virtuels===<br /> Sur Capbreton, on créé les LVM /home /var avec leurs systèmes de fichiers : <br /> <br /> &lt;code&gt;lvcreate -L10G -ndio5_home storage &lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_home&lt;/code&gt;<br /> <br /> &lt;code&gt;lvcreate -L5G -ndio5_var storage&lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_var&lt;/code&gt;<br /> <br /> Il faut changer le fichier de configuration (situé dans /etc/xen) et y ajouter ces deux lignes dans la partie &lt;code&gt;disk =&lt;/code&gt;<br /> <br /> 'phy:/dev/storage/dio5_home,xvdb1,w',<br /> 'phy:/dev/storage/dio5_var,xvdb2,w',<br /> Ainsi que modifier la ligne &lt;code&gt;vif&lt;/code&gt; comme suit :<br /> vif = [ 'mac=00:16:3E:7B:4D:A4,bridge=IMA5sc' ]<br /> <br /> On relance ensuite la machine avec &lt;code&gt;xen create&lt;/code&gt;. <br /> Pour monter les deux partitions, il faut ensuite modifier le fichier '''/etc/fstab''' comme suit :<br /> /dev/xvdb1 /home ext4 defaults 0 2<br /> /dev/xvdb2 /var ext4 defaults 0 2<br /> Pour que ces modificcations soient prises en compte :<br /> mount -a<br /> reboot<br /> <br /> ==Séance 4==<br /> ===Sécurisation par certificat TLS===<br /> Nous avons commencé par lancer la machine virtuelle qui était créée et configurée lors des séances précédentes. &lt;br/&gt;<br /> Ensuite nous avons acheté le nom de domaine ''' blanquette.site ''' via le fournisseur de nom de domaine GANDI. Ce nom de domaine servira par la suite pour héberger notre site web Apache. &lt;br/&gt;<br /> Pour sécuriser la connexion HTTPS sur Apache, il est nécessaire de créer une clé et un CSR. On utilise pour cela l'utilitaire OpenSSL et on exécute les commandes : &lt;br/&gt;<br /> apt install openssl<br /> openssl req -nodes -newkey rsa:2048 -sha256 -keyout myserver.key -out server.csr -utf8<br /> Pour valider cette demande de certificat et obtenir notre certificat TSL, nous avons également utilisé GANDI.&lt;br/&gt;<br /> <br /> ===Configuration du routeur de secours (Cisco 9200????)===<br /> Pendant que d'autres binômes s'occupaient de la configuration physique des routeurs (câblage), nous nous sommes occupés de configurer le routeur en E304. Pour cela, on accède à l'interface de configuration Cisco du routeur par port série, via minicom :&lt;br/&gt;<br /> minicom -os &quot;&quot;&quot;device:/dev/ttyUSB0, baudrate:9600, pas de contrôle de flux&quot;&quot;&quot;<br /> Depuis cette interface, création de 3 vlan et configuration des ports physiques associés pour répondre à l'architecture réseau demandée pour le TP :<br /> * Connexion entre le routeur et Capbreton sur le VLAN 2 :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 2<br /> routeur(vlan)#name Capb-E304<br /> routeur#exit<br /> routeur#int Te5/4<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 2<br /> Il restera ensuite à configurer ce vlan sur le réseau '''193.48.57.176/28'''<br /> <br /> * Connexion de redondance entre les deux routeurs :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 64<br /> routeur(vlan)#name INTERCO-E306/304<br /> Après le choix du port à connecter sur le routeur, il restera à attribuer ce port au vlan 64 en mode '''trunk'''.<br /> <br /> * Connexion entre le routeur et le SR2<br /> enable<br /> routeur#conf t<br /> routeur#vlan 531<br /> routeur(vlan)#name INTERCO-5A<br /> routeur#exit<br /> routeur#int Te5/5<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 531<br /> Il restera ensuite à configurer ce vlan sur le réseau '''192.168.222.72/29'''<br /> <br /> PHOTO A METTRE !!! &lt;br/&gt;<br /> Pour checker la configuration des vlan du routeur :<br /> routeur#show interfaces status<br /> ou :<br /> routeur#show interface vlan X<br /> <br /> <br /> ==Séance 5==<br /> <br /> Tout d'abord nous avons commencé à vérifer le fonctionnement de notre service SSH sur la machine Xen.<br /> Pour cela nous avons modifié en premier temps après avoir être connecté sur la machine virtuelle le fichier '''sshd_config''' situé dans :<br /> /etc/ssh<br /> comme suit :<br /> # Authentication:<br /> #LoginGraceTime 2m<br /> PermitRootLogin yes<br /> #StrictModes yes<br /> #MaxAuthTries 6<br /> #MaxSessions 10<br /> <br /> d'où nous avons décommenté la ligne de qui nous permet de se connecter en tant que root, ensuite nous avons lui donné cette permission par l'expression '''yes'''.<br /> <br /> Une fois que cette étape est faite, nous avons lancé dans le shell la commande suivante : <br /> root@dio5:~# service ssh restart<br /> Dans le but de prendre en compte les modifications faites.<br /> <br /> Pour vérfier la connexion en ssh, nous lançons depuis notre machine zabeth17 la commande suivante :<br /> root@zabeth17:~# ssh root@172.26.145.105<br /> <br /> '''Attribution de l'adresse IP à VLAN2''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 2<br /> routeur#ip address 193.48.57.178 255.255.255.240<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Attribution de l'adresse IP à VLAN531''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 531<br /> routeur#ip address 192.168.222.75 255.255.255.248<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Configuration et interconnection du port trunk'''<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> conf t<br /> int Te6/5<br /> switchport<br /> switchport trunk encapsulation dot1q<br /> switchport mode trunk<br /> end<br /> <br /> *Afin de sauvegarder ces configurations; on oublie pas de les écrire par la commande :<br /> write<br /> <br /> '''Changement de l'addresse IP de la machine Xen'''<br /> *Changement du Bridge de la machine :<br /> Dans la machine Xen, nous allons modifié le fichier de configuration de notre machine dio5 (situé à /etc/xen/dio5.cfg). Il est devenu comme suivant :<br /> <br /> vif = [ 'mac=00:16:3E:2B:B5:60,bridge=IMA5sc' ]<br /> <br /> Pour prendre les modifications en compte, nous avons arreté la machine xen puis nous l'avons redemaré depuis capbreton étant bien sur dans le repretoire /etc/xen: <br /> <br /> xen shutdown dio5<br /> xen create dio5.cfg <br /> <br /> <br /> <br /> Ensuite nous avons modifié l'addresse IP de la machine dans le fichier '''/etc/network/interfaces''' avec l'addresse IP suivante et la gateway qui correspond :<br /> address 193.48.57.182<br /> gateway 193.48.57.176<br /> Pour que les modifications réseaux seront prises en compte, nous exectutons les commandes suivantes dans la machine Xen: <br /> ifdown -a<br /> ifup -a<br /> <br /> <br /> '''HTTP'''<br /> Pour que notre VM soit accessible en HTTP, il lui faut un serveur HTPP installé. Dans la machine Xen : <br /> apt install apache2<br /> <br /> '''HTTPS'''<br /> L'achat du certificat SSL nous permet de sécuriser la connexion à notre serveur Apache en HTTPS. Pour cela :<br /> a2enmod ssl<br /> a2ensite default-ssl.conf<br /> service apache2 restart<br /> On modifie ensuite le fichier '''/etc/apache2/sites-enabled/default-ssl.conf''' de telle sorte à y renseigner le certificat SSL, le certificat intermédiaire et notre clé privée.<br /> Les certificats sont à télécharger sur Gandi et à transférer sur notre VM en scp.<br /> <br /> ==Séance 6==<br /> '''Serveur DNS'''<br /> <br /> Tout d'abord, sur le site '''gandi''', dans la section Glue record, nous avons renseigné un nom de domaine &lt;code&gt;ns.bolognaise.site&lt;/code&gt;, et nous avons ajouté les adresses IPv4 et IPv6 associé à notre machine xen.<br /> IPv4 : 193.48.57.182<br /> IPv6 : 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> Ensuite dans la section NameServer nous avons ajouté un DNS secondaire &lt;code&gt;ns6.gandi.net&lt;/code&gt; dont son adresse IPv4 est la suivante : &lt;code&gt;217.70.177.40&lt;/code&gt;.<br /> <br /> Nous avons installé bind9 par &lt;code&gt;apt install bind9&lt;/code&gt;.<br /> <br /> '''Configuration du fichier d'option pour bind'''&lt;br/&gt;<br /> Modification du fichier &lt;code&gt;/etc/bind/named.conf.options&lt;/code&gt;<br /> <br /> <br /> options {<br /> directory &quot;/var/cache/bind&quot;;<br /> dnssec-validation auto;<br /> };<br /> listen-on-v6 { any;}<br /> acl trusted{<br /> 193.48.57.182; //ns.bolognaise.net <br /> 217.70.177.40; //ns6.gandi.net<br /> };<br /> ==Coffre Fort==<br /> <br /> [[Fichier:Coffre_secret2.zip]]</div>

Ylacroix https://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA5_2022/2023_G5&diff=60325 2022-11-30T09:47:31Z

<p>Ylacroix : /* Séance 6 */</p> <hr /> <div>=Installation de l'OS=<br /> <br /> Devuan Chimaera (netinstall) sur les zabeth 17 et 11<br /> <br /> ==Configuration réseau==<br /> *IP machine : 172.26.145.50+n°zabeth/24<br /> *DNS : 193.48.57.48<br /> *Domain name : plil.info<br /> *Routeur : 172.26.145.254<br /> *Proxy : http://proxy.polyetch-lille.fr:3128<br /> <br /> <br /> *mdp dio5 : XXXXXX<br /> <br /> =Ansible=<br /> Prérequis:<br /> *python<br /> *pip<br /> *ansible<br /> Rédaction du script ansible pour le Screen Saver (.yml)<br /> <br /> Tâches accomplies : <br /> * Suppression des animations de veille d'écran<br /> <br /> Tâches restantes : <br /> * Fixer une animation lente pour la veille<br /> * Eteindre complétement l'écran au bout d'un certain temps (1 heure)<br /> <br /> =Réalisation=<br /> ==Installation de la machine virtuelle XEN (séance 2)==<br /> <br /> '''Connexion au serveur hébergeant les VM :'''<br /> ssh root@capbreton.plil.info<br /> <br /> '''Création de l'image de conifguration de la VM :'''<br /> <br /> xen-create-image --ip=193.48.57.105 --gateway=193.48.57.161 --netmask=255.255.255.0 --hostname=dio5 --dist=chimaera --dir=/usr/local/xen/<br /> <br /> /!\ Adresse ip provisoire car réseau 193.48.57.160/27 non créé pour le moment. Actuellement ip : 172.26.145.105 /!\<br /> <br /> '''Modification du fichier de config (image):'''<br /> /etc/xen/dio5.cfg --&gt; <br /> <br /> '''Création de la VM à partir de l'image précédemment créée :'''<br /> xen create dio5.cfg (en étant dans le dir /etc/xen/ évidemment)<br /> <br /> '''Lancement de la VM :'''<br /> xen console dio5<br /> login: root<br /> password: XXXXXX<br /> Vérifier avant que la machine a bien été lancée avec &lt;code&gt;xen create dio5.cfg&lt;/code&gt; par la commande &lt;code&gt;xen list&lt;/code&gt;<br /> <br /> ==Séance 3==<br /> ===Amélioration du coffre fort===<br /> Un dossier compressé est en bas de page<br /> <br /> ===Création des volumes virtuels===<br /> Sur Capbreton, on créé les LVM /home /var avec leurs systèmes de fichiers : <br /> <br /> &lt;code&gt;lvcreate -L10G -ndio5_home storage &lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_home&lt;/code&gt;<br /> <br /> &lt;code&gt;lvcreate -L5G -ndio5_var storage&lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_var&lt;/code&gt;<br /> <br /> Il faut changer le fichier de configuration (situé dans /etc/xen) et y ajouter ces deux lignes dans la partie &lt;code&gt;disk =&lt;/code&gt;<br /> <br /> 'phy:/dev/storage/dio5_home,xvdb1,w',<br /> 'phy:/dev/storage/dio5_var,xvdb2,w',<br /> Ainsi que modifier la ligne &lt;code&gt;vif&lt;/code&gt; comme suit :<br /> vif = [ 'mac=00:16:3E:7B:4D:A4,bridge=IMA5sc' ]<br /> <br /> On relance ensuite la machine avec &lt;code&gt;xen create&lt;/code&gt;. <br /> Pour monter les deux partitions, il faut ensuite modifier le fichier '''/etc/fstab''' comme suit :<br /> /dev/xvdb1 /home ext4 defaults 0 2<br /> /dev/xvdb2 /var ext4 defaults 0 2<br /> Pour que ces modificcations soient prises en compte :<br /> mount -a<br /> reboot<br /> <br /> ==Séance 4==<br /> ===Sécurisation par certificat TLS===<br /> Nous avons commencé par lancer la machine virtuelle qui était créée et configurée lors des séances précédentes. &lt;br/&gt;<br /> Ensuite nous avons acheté le nom de domaine ''' blanquette.site ''' via le fournisseur de nom de domaine GANDI. Ce nom de domaine servira par la suite pour héberger notre site web Apache. &lt;br/&gt;<br /> Pour sécuriser la connexion HTTPS sur Apache, il est nécessaire de créer une clé et un CSR. On utilise pour cela l'utilitaire OpenSSL et on exécute les commandes : &lt;br/&gt;<br /> apt install openssl<br /> openssl req -nodes -newkey rsa:2048 -sha256 -keyout myserver.key -out server.csr -utf8<br /> Pour valider cette demande de certificat et obtenir notre certificat TSL, nous avons également utilisé GANDI.&lt;br/&gt;<br /> <br /> ===Configuration du routeur de secours (Cisco 9200????)===<br /> Pendant que d'autres binômes s'occupaient de la configuration physique des routeurs (câblage), nous nous sommes occupés de configurer le routeur en E304. Pour cela, on accède à l'interface de configuration Cisco du routeur par port série, via minicom :&lt;br/&gt;<br /> minicom -os &quot;&quot;&quot;device:/dev/ttyUSB0, baudrate:9600, pas de contrôle de flux&quot;&quot;&quot;<br /> Depuis cette interface, création de 3 vlan et configuration des ports physiques associés pour répondre à l'architecture réseau demandée pour le TP :<br /> * Connexion entre le routeur et Capbreton sur le VLAN 2 :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 2<br /> routeur(vlan)#name Capb-E304<br /> routeur#exit<br /> routeur#int Te5/4<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 2<br /> Il restera ensuite à configurer ce vlan sur le réseau '''193.48.57.176/28'''<br /> <br /> * Connexion de redondance entre les deux routeurs :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 64<br /> routeur(vlan)#name INTERCO-E306/304<br /> Après le choix du port à connecter sur le routeur, il restera à attribuer ce port au vlan 64 en mode '''trunk'''.<br /> <br /> * Connexion entre le routeur et le SR2<br /> enable<br /> routeur#conf t<br /> routeur#vlan 531<br /> routeur(vlan)#name INTERCO-5A<br /> routeur#exit<br /> routeur#int Te5/5<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 531<br /> Il restera ensuite à configurer ce vlan sur le réseau '''192.168.222.72/29'''<br /> <br /> PHOTO A METTRE !!! &lt;br/&gt;<br /> Pour checker la configuration des vlan du routeur :<br /> routeur#show interfaces status<br /> ou :<br /> routeur#show interface vlan X<br /> <br /> <br /> ==Séance 5==<br /> <br /> Tout d'abord nous avons commencé à vérifer le fonctionnement de notre service SSH sur la machine Xen.<br /> Pour cela nous avons modifié en premier temps après avoir être connecté sur la machine virtuelle le fichier '''sshd_config''' situé dans :<br /> /etc/ssh<br /> comme suit :<br /> # Authentication:<br /> #LoginGraceTime 2m<br /> PermitRootLogin yes<br /> #StrictModes yes<br /> #MaxAuthTries 6<br /> #MaxSessions 10<br /> <br /> d'où nous avons décommenté la ligne de qui nous permet de se connecter en tant que root, ensuite nous avons lui donné cette permission par l'expression '''yes'''.<br /> <br /> Une fois que cette étape est faite, nous avons lancé dans le shell la commande suivante : <br /> root@dio5:~# service ssh restart<br /> Dans le but de prendre en compte les modifications faites.<br /> <br /> Pour vérfier la connexion en ssh, nous lançons depuis notre machine zabeth17 la commande suivante :<br /> root@zabeth17:~# ssh root@172.26.145.105<br /> <br /> '''Attribution de l'adresse IP à VLAN2''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 2<br /> routeur#ip address 193.48.57.178 255.255.255.240<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Attribution de l'adresse IP à VLAN531''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 531<br /> routeur#ip address 192.168.222.75 255.255.255.248<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Configuration et interconnection du port trunk'''<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> conf t<br /> int Te6/5<br /> switchport<br /> switchport trunk encapsulation dot1q<br /> switchport mode trunk<br /> end<br /> <br /> *Afin de sauvegarder ces configurations; on oublie pas de les écrire par la commande :<br /> write<br /> <br /> '''Changement de l'addresse IP de la machine Xen'''<br /> *Changement du Bridge de la machine :<br /> Dans la machine Xen, nous allons modifié le fichier de configuration de notre machine dio5 (situé à /etc/xen/dio5.cfg). Il est devenu comme suivant :<br /> <br /> vif = [ 'mac=00:16:3E:2B:B5:60,bridge=IMA5sc' ]<br /> <br /> Pour prendre les modifications en compte, nous avons arreté la machine xen puis nous l'avons redemaré depuis capbreton étant bien sur dans le repretoire /etc/xen: <br /> <br /> xen shutdown dio5<br /> xen create dio5.cfg <br /> <br /> <br /> <br /> Ensuite nous avons modifié l'addresse IP de la machine dans le fichier '''/etc/network/interfaces''' avec l'addresse IP suivante et la gateway qui correspond :<br /> address 193.48.57.182<br /> gateway 193.48.57.176<br /> Pour que les modifications réseaux seront prises en compte, nous exectutons les commandes suivantes dans la machine Xen: <br /> ifdown -a<br /> ifup -a<br /> <br /> <br /> '''HTTP'''<br /> Pour que notre VM soit accessible en HTTP, il lui faut un serveur HTPP installé. Dans la machine Xen : <br /> apt install apache2<br /> <br /> '''HTTPS'''<br /> L'achat du certificat SSL nous permet de sécuriser la connexion à notre serveur Apache en HTTPS. Pour cela :<br /> a2enmod ssl<br /> a2ensite default-ssl.conf<br /> service apache2 restart<br /> On modifie ensuite le fichier '''/etc/apache2/sites-enabled/default-ssl.conf''' de telle sorte à y renseigner le certificat SSL, le certificat intermédiaire et notre clé privée.<br /> Les certificats sont à télécharger sur Gandi et à transférer sur notre VM en scp.<br /> <br /> ==Séance 6==<br /> '''Serveur DNS'''<br /> <br /> Tout d'abord, sur le site '''gandi''', dans la section Glue record, nous avons renseigné un nom de domaine &lt;code&gt;ns.bolognaise.site&lt;/code&gt;, et nous avons ajouté les adresses IPv4 et IPv6 associé à notre machine xen.<br /> IPv4 : 193.48.57.182<br /> IPv6 : 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> Ensuite dans la section NameServer nous avons ajouté un DNS secondaire &lt;code&gt;ns6.gandi.net&lt;/code&gt; dont son adresse IPv4 est la suivante : &lt;code&gt;217.70.177.40&lt;/code&gt;.<br /> <br /> Nous avons installé bind9 par &lt;code&gt;apt install bind9&lt;/code&gt;.<br /> <br /> '''Configuration du fichier d'option pour bind'''&lt;br/&gt;<br /> Modification du fichier &lt;code&gt;/etc/bind/named.conf.options&lt;/code&gt;<br /> <br /> <br /> options {<br /> directory &quot;/var/cache/bind&quot;;<br /> dnssec-validation auto;<br /> };<br /> listen-on-v6 { any;}<br /> acl trusted{<br /> 193.48.57.182; //ns.bolognaise.net <br /> 217.70.177.40; //ns6.gandi.net<br /> };<br /> =Paramétrage OSBF et RiPv6 du routeur en E304=<br /> A compléter<br /> <br /> ==Coffre Fort==<br /> <br /> [[Fichier:Coffre_secret2.zip]]</div>

Ylacroix https://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA5_2022/2023_G5&diff=60323 2022-11-30T09:47:20Z

<p>Ylacroix : /* Paramétrage OSBF et RiPv6 du routeur en E304 */</p> <hr /> <div>=Installation de l'OS=<br /> <br /> Devuan Chimaera (netinstall) sur les zabeth 17 et 11<br /> <br /> ==Configuration réseau==<br /> *IP machine : 172.26.145.50+n°zabeth/24<br /> *DNS : 193.48.57.48<br /> *Domain name : plil.info<br /> *Routeur : 172.26.145.254<br /> *Proxy : http://proxy.polyetch-lille.fr:3128<br /> <br /> <br /> *mdp dio5 : XXXXXX<br /> <br /> =Ansible=<br /> Prérequis:<br /> *python<br /> *pip<br /> *ansible<br /> Rédaction du script ansible pour le Screen Saver (.yml)<br /> <br /> Tâches accomplies : <br /> * Suppression des animations de veille d'écran<br /> <br /> Tâches restantes : <br /> * Fixer une animation lente pour la veille<br /> * Eteindre complétement l'écran au bout d'un certain temps (1 heure)<br /> <br /> =Réalisation=<br /> ==Installation de la machine virtuelle XEN (séance 2)==<br /> <br /> '''Connexion au serveur hébergeant les VM :'''<br /> ssh root@capbreton.plil.info<br /> <br /> '''Création de l'image de conifguration de la VM :'''<br /> <br /> xen-create-image --ip=193.48.57.105 --gateway=193.48.57.161 --netmask=255.255.255.0 --hostname=dio5 --dist=chimaera --dir=/usr/local/xen/<br /> <br /> /!\ Adresse ip provisoire car réseau 193.48.57.160/27 non créé pour le moment. Actuellement ip : 172.26.145.105 /!\<br /> <br /> '''Modification du fichier de config (image):'''<br /> /etc/xen/dio5.cfg --&gt; <br /> <br /> '''Création de la VM à partir de l'image précédemment créée :'''<br /> xen create dio5.cfg (en étant dans le dir /etc/xen/ évidemment)<br /> <br /> '''Lancement de la VM :'''<br /> xen console dio5<br /> login: root<br /> password: XXXXXX<br /> Vérifier avant que la machine a bien été lancée avec &lt;code&gt;xen create dio5.cfg&lt;/code&gt; par la commande &lt;code&gt;xen list&lt;/code&gt;<br /> <br /> ==Séance 3==<br /> ===Amélioration du coffre fort===<br /> Un dossier compressé est en bas de page<br /> <br /> ===Création des volumes virtuels===<br /> Sur Capbreton, on créé les LVM /home /var avec leurs systèmes de fichiers : <br /> <br /> &lt;code&gt;lvcreate -L10G -ndio5_home storage &lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_home&lt;/code&gt;<br /> <br /> &lt;code&gt;lvcreate -L5G -ndio5_var storage&lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_var&lt;/code&gt;<br /> <br /> Il faut changer le fichier de configuration (situé dans /etc/xen) et y ajouter ces deux lignes dans la partie &lt;code&gt;disk =&lt;/code&gt;<br /> <br /> 'phy:/dev/storage/dio5_home,xvdb1,w',<br /> 'phy:/dev/storage/dio5_var,xvdb2,w',<br /> Ainsi que modifier la ligne &lt;code&gt;vif&lt;/code&gt; comme suit :<br /> vif = [ 'mac=00:16:3E:7B:4D:A4,bridge=IMA5sc' ]<br /> <br /> On relance ensuite la machine avec &lt;code&gt;xen create&lt;/code&gt;. <br /> Pour monter les deux partitions, il faut ensuite modifier le fichier '''/etc/fstab''' comme suit :<br /> /dev/xvdb1 /home ext4 defaults 0 2<br /> /dev/xvdb2 /var ext4 defaults 0 2<br /> Pour que ces modificcations soient prises en compte :<br /> mount -a<br /> reboot<br /> <br /> ==Séance 4==<br /> ===Sécurisation par certificat TLS===<br /> Nous avons commencé par lancer la machine virtuelle qui était créée et configurée lors des séances précédentes. &lt;br/&gt;<br /> Ensuite nous avons acheté le nom de domaine ''' blanquette.site ''' via le fournisseur de nom de domaine GANDI. Ce nom de domaine servira par la suite pour héberger notre site web Apache. &lt;br/&gt;<br /> Pour sécuriser la connexion HTTPS sur Apache, il est nécessaire de créer une clé et un CSR. On utilise pour cela l'utilitaire OpenSSL et on exécute les commandes : &lt;br/&gt;<br /> apt install openssl<br /> openssl req -nodes -newkey rsa:2048 -sha256 -keyout myserver.key -out server.csr -utf8<br /> Pour valider cette demande de certificat et obtenir notre certificat TSL, nous avons également utilisé GANDI.&lt;br/&gt;<br /> <br /> ===Configuration du routeur de secours (Cisco 9200????)===<br /> Pendant que d'autres binômes s'occupaient de la configuration physique des routeurs (câblage), nous nous sommes occupés de configurer le routeur en E304. Pour cela, on accède à l'interface de configuration Cisco du routeur par port série, via minicom :&lt;br/&gt;<br /> minicom -os &quot;&quot;&quot;device:/dev/ttyUSB0, baudrate:9600, pas de contrôle de flux&quot;&quot;&quot;<br /> Depuis cette interface, création de 3 vlan et configuration des ports physiques associés pour répondre à l'architecture réseau demandée pour le TP :<br /> * Connexion entre le routeur et Capbreton sur le VLAN 2 :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 2<br /> routeur(vlan)#name Capb-E304<br /> routeur#exit<br /> routeur#int Te5/4<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 2<br /> Il restera ensuite à configurer ce vlan sur le réseau '''193.48.57.176/28'''<br /> <br /> * Connexion de redondance entre les deux routeurs :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 64<br /> routeur(vlan)#name INTERCO-E306/304<br /> Après le choix du port à connecter sur le routeur, il restera à attribuer ce port au vlan 64 en mode '''trunk'''.<br /> <br /> * Connexion entre le routeur et le SR2<br /> enable<br /> routeur#conf t<br /> routeur#vlan 531<br /> routeur(vlan)#name INTERCO-5A<br /> routeur#exit<br /> routeur#int Te5/5<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 531<br /> Il restera ensuite à configurer ce vlan sur le réseau '''192.168.222.72/29'''<br /> <br /> PHOTO A METTRE !!! &lt;br/&gt;<br /> Pour checker la configuration des vlan du routeur :<br /> routeur#show interfaces status<br /> ou :<br /> routeur#show interface vlan X<br /> <br /> <br /> ==Séance 5==<br /> <br /> Tout d'abord nous avons commencé à vérifer le fonctionnement de notre service SSH sur la machine Xen.<br /> Pour cela nous avons modifié en premier temps après avoir être connecté sur la machine virtuelle le fichier '''sshd_config''' situé dans :<br /> /etc/ssh<br /> comme suit :<br /> # Authentication:<br /> #LoginGraceTime 2m<br /> PermitRootLogin yes<br /> #StrictModes yes<br /> #MaxAuthTries 6<br /> #MaxSessions 10<br /> <br /> d'où nous avons décommenté la ligne de qui nous permet de se connecter en tant que root, ensuite nous avons lui donné cette permission par l'expression '''yes'''.<br /> <br /> Une fois que cette étape est faite, nous avons lancé dans le shell la commande suivante : <br /> root@dio5:~# service ssh restart<br /> Dans le but de prendre en compte les modifications faites.<br /> <br /> Pour vérfier la connexion en ssh, nous lançons depuis notre machine zabeth17 la commande suivante :<br /> root@zabeth17:~# ssh root@172.26.145.105<br /> <br /> '''Attribution de l'adresse IP à VLAN2''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 2<br /> routeur#ip address 193.48.57.178 255.255.255.240<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Attribution de l'adresse IP à VLAN531''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 531<br /> routeur#ip address 192.168.222.75 255.255.255.248<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Configuration et interconnection du port trunk'''<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> conf t<br /> int Te6/5<br /> switchport<br /> switchport trunk encapsulation dot1q<br /> switchport mode trunk<br /> end<br /> <br /> *Afin de sauvegarder ces configurations; on oublie pas de les écrire par la commande :<br /> write<br /> <br /> '''Changement de l'addresse IP de la machine Xen'''<br /> *Changement du Bridge de la machine :<br /> Dans la machine Xen, nous allons modifié le fichier de configuration de notre machine dio5 (situé à /etc/xen/dio5.cfg). Il est devenu comme suivant :<br /> <br /> vif = [ 'mac=00:16:3E:2B:B5:60,bridge=IMA5sc' ]<br /> <br /> Pour prendre les modifications en compte, nous avons arreté la machine xen puis nous l'avons redemaré depuis capbreton étant bien sur dans le repretoire /etc/xen: <br /> <br /> xen shutdown dio5<br /> xen create dio5.cfg <br /> <br /> <br /> <br /> Ensuite nous avons modifié l'addresse IP de la machine dans le fichier '''/etc/network/interfaces''' avec l'addresse IP suivante et la gateway qui correspond :<br /> address 193.48.57.182<br /> gateway 193.48.57.176<br /> Pour que les modifications réseaux seront prises en compte, nous exectutons les commandes suivantes dans la machine Xen: <br /> ifdown -a<br /> ifup -a<br /> <br /> <br /> '''HTTP'''<br /> Pour que notre VM soit accessible en HTTP, il lui faut un serveur HTPP installé. Dans la machine Xen : <br /> apt install apache2<br /> <br /> '''HTTPS'''<br /> L'achat du certificat SSL nous permet de sécuriser la connexion à notre serveur Apache en HTTPS. Pour cela :<br /> a2enmod ssl<br /> a2ensite default-ssl.conf<br /> service apache2 restart<br /> On modifie ensuite le fichier '''/etc/apache2/sites-enabled/default-ssl.conf''' de telle sorte à y renseigner le certificat SSL, le certificat intermédiaire et notre clé privée.<br /> Les certificats sont à télécharger sur Gandi et à transférer sur notre VM en scp.<br /> <br /> ==Séance 6==<br /> '''Serveur DNS'''<br /> <br /> Tout d'abord, sur le site '''gandi''', dans la section Glue record, nous avons renseigné un nom de domaine &lt;code&gt;ns.bolognaise.site&lt;/code&gt;, et nous avons ajouté les adresses IPv4 et IPv6 associé à notre machine xen.<br /> IPv4 : 193.48.57.182<br /> IPv6 : 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> Ensuite dans la section NameServer nous avons ajouté un DNS secondaire &lt;code&gt;ns6.gandi.net&lt;/code&gt; dont son adresse IPv4 est la suivante : &lt;code&gt;217.70.177.40&lt;/code&gt;.<br /> <br /> Nous avons installé bind9 par &lt;code&gt;apt install bind9&lt;/code&gt;.<br /> <br /> '''Configuration du fichier d'option pour bind'''&lt;br/&gt;<br /> Modification du fichier &lt;code&gt;/etc/bind/named.conf.options&lt;/code&gt;<br /> <br /> <br /> options {<br /> directory &quot;/var/cache/bind&quot;;<br /> dnssec-validation auto;<br /> };<br /> listen-on-v6 { any;}<br /> acl trusted{<br /> 193.48.57.182; //ns.bolognaise.net <br /> 217.70.177.40; //ns6.gandi.net<br /> };<br /> <br /> ==Coffre Fort==<br /> <br /> [[Fichier:Coffre_secret2.zip]]</div>

Ylacroix https://wiki-ima.plil.fr/mediawiki//index.php?title=TP_sysres_IMA5_2022/2023_G5&diff=60322 2022-11-30T09:46:57Z

<p>Ylacroix : /* Séance 6 */</p> <hr /> <div>=Installation de l'OS=<br /> <br /> Devuan Chimaera (netinstall) sur les zabeth 17 et 11<br /> <br /> ==Configuration réseau==<br /> *IP machine : 172.26.145.50+n°zabeth/24<br /> *DNS : 193.48.57.48<br /> *Domain name : plil.info<br /> *Routeur : 172.26.145.254<br /> *Proxy : http://proxy.polyetch-lille.fr:3128<br /> <br /> <br /> *mdp dio5 : XXXXXX<br /> <br /> =Ansible=<br /> Prérequis:<br /> *python<br /> *pip<br /> *ansible<br /> Rédaction du script ansible pour le Screen Saver (.yml)<br /> <br /> Tâches accomplies : <br /> * Suppression des animations de veille d'écran<br /> <br /> Tâches restantes : <br /> * Fixer une animation lente pour la veille<br /> * Eteindre complétement l'écran au bout d'un certain temps (1 heure)<br /> <br /> =Réalisation=<br /> ==Installation de la machine virtuelle XEN (séance 2)==<br /> <br /> '''Connexion au serveur hébergeant les VM :'''<br /> ssh root@capbreton.plil.info<br /> <br /> '''Création de l'image de conifguration de la VM :'''<br /> <br /> xen-create-image --ip=193.48.57.105 --gateway=193.48.57.161 --netmask=255.255.255.0 --hostname=dio5 --dist=chimaera --dir=/usr/local/xen/<br /> <br /> /!\ Adresse ip provisoire car réseau 193.48.57.160/27 non créé pour le moment. Actuellement ip : 172.26.145.105 /!\<br /> <br /> '''Modification du fichier de config (image):'''<br /> /etc/xen/dio5.cfg --&gt; <br /> <br /> '''Création de la VM à partir de l'image précédemment créée :'''<br /> xen create dio5.cfg (en étant dans le dir /etc/xen/ évidemment)<br /> <br /> '''Lancement de la VM :'''<br /> xen console dio5<br /> login: root<br /> password: XXXXXX<br /> Vérifier avant que la machine a bien été lancée avec &lt;code&gt;xen create dio5.cfg&lt;/code&gt; par la commande &lt;code&gt;xen list&lt;/code&gt;<br /> <br /> ==Séance 3==<br /> ===Amélioration du coffre fort===<br /> Un dossier compressé est en bas de page<br /> <br /> ===Création des volumes virtuels===<br /> Sur Capbreton, on créé les LVM /home /var avec leurs systèmes de fichiers : <br /> <br /> &lt;code&gt;lvcreate -L10G -ndio5_home storage &lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_home&lt;/code&gt;<br /> <br /> &lt;code&gt;lvcreate -L5G -ndio5_var storage&lt;/code&gt;<br /> <br /> &lt;code&gt;mkfs /dev/storage/dio5_var&lt;/code&gt;<br /> <br /> Il faut changer le fichier de configuration (situé dans /etc/xen) et y ajouter ces deux lignes dans la partie &lt;code&gt;disk =&lt;/code&gt;<br /> <br /> 'phy:/dev/storage/dio5_home,xvdb1,w',<br /> 'phy:/dev/storage/dio5_var,xvdb2,w',<br /> Ainsi que modifier la ligne &lt;code&gt;vif&lt;/code&gt; comme suit :<br /> vif = [ 'mac=00:16:3E:7B:4D:A4,bridge=IMA5sc' ]<br /> <br /> On relance ensuite la machine avec &lt;code&gt;xen create&lt;/code&gt;. <br /> Pour monter les deux partitions, il faut ensuite modifier le fichier '''/etc/fstab''' comme suit :<br /> /dev/xvdb1 /home ext4 defaults 0 2<br /> /dev/xvdb2 /var ext4 defaults 0 2<br /> Pour que ces modificcations soient prises en compte :<br /> mount -a<br /> reboot<br /> <br /> ==Séance 4==<br /> ===Sécurisation par certificat TLS===<br /> Nous avons commencé par lancer la machine virtuelle qui était créée et configurée lors des séances précédentes. &lt;br/&gt;<br /> Ensuite nous avons acheté le nom de domaine ''' blanquette.site ''' via le fournisseur de nom de domaine GANDI. Ce nom de domaine servira par la suite pour héberger notre site web Apache. &lt;br/&gt;<br /> Pour sécuriser la connexion HTTPS sur Apache, il est nécessaire de créer une clé et un CSR. On utilise pour cela l'utilitaire OpenSSL et on exécute les commandes : &lt;br/&gt;<br /> apt install openssl<br /> openssl req -nodes -newkey rsa:2048 -sha256 -keyout myserver.key -out server.csr -utf8<br /> Pour valider cette demande de certificat et obtenir notre certificat TSL, nous avons également utilisé GANDI.&lt;br/&gt;<br /> <br /> ===Configuration du routeur de secours (Cisco 9200????)===<br /> Pendant que d'autres binômes s'occupaient de la configuration physique des routeurs (câblage), nous nous sommes occupés de configurer le routeur en E304. Pour cela, on accède à l'interface de configuration Cisco du routeur par port série, via minicom :&lt;br/&gt;<br /> minicom -os &quot;&quot;&quot;device:/dev/ttyUSB0, baudrate:9600, pas de contrôle de flux&quot;&quot;&quot;<br /> Depuis cette interface, création de 3 vlan et configuration des ports physiques associés pour répondre à l'architecture réseau demandée pour le TP :<br /> * Connexion entre le routeur et Capbreton sur le VLAN 2 :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 2<br /> routeur(vlan)#name Capb-E304<br /> routeur#exit<br /> routeur#int Te5/4<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 2<br /> Il restera ensuite à configurer ce vlan sur le réseau '''193.48.57.176/28'''<br /> <br /> * Connexion de redondance entre les deux routeurs :<br /> enable<br /> routeur#conf t<br /> routeur#vlan 64<br /> routeur(vlan)#name INTERCO-E306/304<br /> Après le choix du port à connecter sur le routeur, il restera à attribuer ce port au vlan 64 en mode '''trunk'''.<br /> <br /> * Connexion entre le routeur et le SR2<br /> enable<br /> routeur#conf t<br /> routeur#vlan 531<br /> routeur(vlan)#name INTERCO-5A<br /> routeur#exit<br /> routeur#int Te5/5<br /> routeur(if)#switchport<br /> routeur(if)#switchport access vlan 531<br /> Il restera ensuite à configurer ce vlan sur le réseau '''192.168.222.72/29'''<br /> <br /> PHOTO A METTRE !!! &lt;br/&gt;<br /> Pour checker la configuration des vlan du routeur :<br /> routeur#show interfaces status<br /> ou :<br /> routeur#show interface vlan X<br /> <br /> <br /> ==Séance 5==<br /> <br /> Tout d'abord nous avons commencé à vérifer le fonctionnement de notre service SSH sur la machine Xen.<br /> Pour cela nous avons modifié en premier temps après avoir être connecté sur la machine virtuelle le fichier '''sshd_config''' situé dans :<br /> /etc/ssh<br /> comme suit :<br /> # Authentication:<br /> #LoginGraceTime 2m<br /> PermitRootLogin yes<br /> #StrictModes yes<br /> #MaxAuthTries 6<br /> #MaxSessions 10<br /> <br /> d'où nous avons décommenté la ligne de qui nous permet de se connecter en tant que root, ensuite nous avons lui donné cette permission par l'expression '''yes'''.<br /> <br /> Une fois que cette étape est faite, nous avons lancé dans le shell la commande suivante : <br /> root@dio5:~# service ssh restart<br /> Dans le but de prendre en compte les modifications faites.<br /> <br /> Pour vérfier la connexion en ssh, nous lançons depuis notre machine zabeth17 la commande suivante :<br /> root@zabeth17:~# ssh root@172.26.145.105<br /> <br /> '''Attribution de l'adresse IP à VLAN2''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 2<br /> routeur#ip address 193.48.57.178 255.255.255.240<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Attribution de l'adresse IP à VLAN531''':<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> enable<br /> routeur#conf <br /> routeur#int vlan 531<br /> routeur#ip address 192.168.222.75 255.255.255.248<br /> routeur#do show run | include interface vlan | ip address<br /> <br /> '''Configuration et interconnection du port trunk'''<br /> *voici les commandes faites sous minicom pour cette attribution:<br /> <br /> conf t<br /> int Te6/5<br /> switchport<br /> switchport trunk encapsulation dot1q<br /> switchport mode trunk<br /> end<br /> <br /> *Afin de sauvegarder ces configurations; on oublie pas de les écrire par la commande :<br /> write<br /> <br /> '''Changement de l'addresse IP de la machine Xen'''<br /> *Changement du Bridge de la machine :<br /> Dans la machine Xen, nous allons modifié le fichier de configuration de notre machine dio5 (situé à /etc/xen/dio5.cfg). Il est devenu comme suivant :<br /> <br /> vif = [ 'mac=00:16:3E:2B:B5:60,bridge=IMA5sc' ]<br /> <br /> Pour prendre les modifications en compte, nous avons arreté la machine xen puis nous l'avons redemaré depuis capbreton étant bien sur dans le repretoire /etc/xen: <br /> <br /> xen shutdown dio5<br /> xen create dio5.cfg <br /> <br /> <br /> <br /> Ensuite nous avons modifié l'addresse IP de la machine dans le fichier '''/etc/network/interfaces''' avec l'addresse IP suivante et la gateway qui correspond :<br /> address 193.48.57.182<br /> gateway 193.48.57.176<br /> Pour que les modifications réseaux seront prises en compte, nous exectutons les commandes suivantes dans la machine Xen: <br /> ifdown -a<br /> ifup -a<br /> <br /> <br /> '''HTTP'''<br /> Pour que notre VM soit accessible en HTTP, il lui faut un serveur HTPP installé. Dans la machine Xen : <br /> apt install apache2<br /> <br /> '''HTTPS'''<br /> L'achat du certificat SSL nous permet de sécuriser la connexion à notre serveur Apache en HTTPS. Pour cela :<br /> a2enmod ssl<br /> a2ensite default-ssl.conf<br /> service apache2 restart<br /> On modifie ensuite le fichier '''/etc/apache2/sites-enabled/default-ssl.conf''' de telle sorte à y renseigner le certificat SSL, le certificat intermédiaire et notre clé privée.<br /> Les certificats sont à télécharger sur Gandi et à transférer sur notre VM en scp.<br /> <br /> ==Séance 6==<br /> '''Serveur DNS'''<br /> <br /> Tout d'abord, sur le site '''gandi''', dans la section Glue record, nous avons renseigné un nom de domaine &lt;code&gt;ns.bolognaise.site&lt;/code&gt;, et nous avons ajouté les adresses IPv4 et IPv6 associé à notre machine xen.<br /> IPv4 : 193.48.57.182<br /> IPv6 : 2001:660:4401:60b0:216:3eff:fe7b:4da4<br /> Ensuite dans la section NameServer nous avons ajouté un DNS secondaire &lt;code&gt;ns6.gandi.net&lt;/code&gt; dont son adresse IPv4 est la suivante : &lt;code&gt;217.70.177.40&lt;/code&gt;.<br /> <br /> Nous avons installé bind9 par &lt;code&gt;apt install bind9&lt;/code&gt;.<br /> <br /> '''Configuration du fichier d'option pour bind'''&lt;br/&gt;<br /> Modification du fichier &lt;code&gt;/etc/bind/named.conf.options&lt;/code&gt;<br /> <br /> <br /> options {<br /> directory &quot;/var/cache/bind&quot;;<br /> dnssec-validation auto;<br /> };<br /> listen-on-v6 { any;}<br /> acl trusted{<br /> 193.48.57.182; //ns.bolognaise.net <br /> 217.70.177.40; //ns6.gandi.net<br /> };<br /> <br /> =Paramétrage OSBF et RiPv6 du routeur en E304=<br /> A compléter<br /> <br /> ==Coffre Fort==<br /> <br /> [[Fichier:Coffre_secret2.zip]]</div>

Ylacroix https://wiki-ima.plil.fr/mediawiki//index.php?title=Intelligence_embarque_IMA5_2022/2023_G5&diff=60164 2022-11-28T16:27:03Z

<p>Ylacroix : /* Récupération d'un dataset avec le capteur ToF */</p> <hr /> <div>=Contrôle gestuel pour la domotique=<br /> <br /> =Présentation=<br /> L'idée consiste à développer une IA embarquée sur un microcontrôleur STM32 capable de reconnaître des gestes fixes sans mouvements de main, dans le but de contrôler certrain des systèmes domotiques. &lt;br/&gt;<br /> En effet, dans le contexte sanitaire actuel (Covid), il serait intéressant de développer des systèmes de contrôle sans contact, pour éviter la propagation du virus. Par exemple, ouverture de porte, allumage des lumières, commander un ascenseur dans un environnement public ou hospitalier. &lt;br/&gt; <br /> On pourrait aussi imaginer une application plus domestique à destination du grand public, qui controlerait une ampoule à variateur d'intensité, où notre système permettrait d'allumer, d'éteindre et de faire varier l'intensité de l'ampoule. &lt;br/&gt;<br /> <br /> =Gestes à implémenter=<br /> <br /> '''Pour l'environnement hospitalier''' &lt;br/&gt;<br /> *Main ouverte pour allumer l'ampoule<br /> *Poing fermé pour éteindre l'ampoule<br /> *Signe OK avec le pouce et l'index pour l'ouverture/fermeture de porte<br /> *Numérotation de l'étage souhaité avec les doigts pour l'ascenseur<br /> <br /> <br /> '''Pour la domotique (ampoule à variateur)''' &lt;br/&gt;<br /> <br /> *Main ouverte pour allumer l'ampoule<br /> *Poing fermé pour éteindre l'ampoule<br /> *Pouce vers le haut pour augmenter l'intensité<br /> *Pouce vers le bas pour diminuer l'intensité<br /> <br /> =PoC=<br /> Pour la démonstration, l'idée pour le moment serait à minima de pouvoir contrôler l'allumage et l'extinction d'une LED. &lt;br/&gt;<br /> Si c'est possible, nous afficherons dans un terminal le geste detecté pour pouvoir tester l'implémentation de plusieurs gestes.<br /> <br /> =Réalisation=<br /> ==Récupération d'un dataset avec le capteur ToF==<br /> <br /> =Prise en main des outils logiciel=<br /> La première étape a été de prendre en main le kit STM32 Nucleo+Expansion board (capteurs ToF 8x8). Sous STM32Cube IDE, nous avons donc récupéré le code fourni, l'avons compilé puis nous avons téléversé l'exécutable sur le microcontrôleur. &lt;br/&gt;<br /> Une fois l'exécutable fonctionnel sur la board, nous scrutons grâce à l'utilitaire minicom la liaison série, les données récupérées par les capteurs. Ces données<br /> sont affichées sous la formes d'une matrice 8x8, où les valeurs sont séparées par le caractère suivant : &lt;code&gt;|&lt;/code&gt;. &lt;br/&gt;<br /> Dans un second temps, nous nous sommes penchés sur la préparation des données pour notre application, où nous avons choisi de les classer sur un axe de taille de 64 valeurs (0 à 63), puisque la forme matricielle n'est pas utile dans notre cas. &lt;br/&gt; <br /> Pour cela, nous avons modifié la fonction '''print_result''' dans le fichier '''app_x-cube-tof.c''' d'une manière que les délimiteurs soient le caractéres &lt;code&gt;;&lt;/code&gt;. &lt;br/&gt; La modification du code est faite sous STM32Cube IDE.<br /> Sous NanoEdge, nous avons vérifié la bonne réception des signaux (des valeurs des capteurs); où ces derniers repectent bien la forme attendues.<br /> <br /> =Expérimentation=<br /> Dans un second temps, nous avons choisi d'enregistrer 3 signaux : le signe OK, le signe main ouverte, et le signe poing fermé. Après l'optimisation du dataset durant la phase de benchmarking, l'objectif était de vérifier si notre librairie ainsi construite remplissait son rôle, c'est à dire réussir à identifier les 3 gestes choisis. &lt;br/&gt;<br /> Nous avons à ce stade rencontré plusieurs problèmes et pu identifier certaines erreurs à éviter :<br /> * Tout d'abord, lors de la phase d'émulation de la librairie pour vérifier la pertinence du dataset, il ne nous était pas possible de traiter des données récupérées en temps réel par le port USB, à cause d'une erreur de formattage des données. Nous avons pour cela dû changer le séparateur (le point virgule posait problème), et modifier quelque peu la fonction de print série<br /> * Ensuite, nous avons remarqué l'intérêt de prendre à minima une centaine de valeur pour avoir<br /> <br /> Pas pertinent de faire plusieurs angles et plusieurs distances pour chaque signe car porte à confusion le modèle. Passage en plus de camarade dans notre dos. Ca aurait été possible mais il aurait fallu prendre beaucoup plus de données.<br /> Nous avons donc réenregistrer plusieurs dataset prenant en compte ces remarques.</div>

Ylacroix https://wiki-ima.plil.fr/mediawiki//index.php?title=Intelligence_embarque_IMA5_2022/2023_G5&diff=59640 2022-10-26T08:43:48Z

<p>Ylacroix : /* Récupération d'un dataset avec le capteur ToF */</p> <hr /> <div>=Contrôle gestuel pour la domotique=<br /> <br /> =Présentation=<br /> L'idée consiste à développer une IA embarquée sur un microcontrôleur STM32 capable de reconnaître des gestes fixes sans mouvements de main, dans le but de contrôler certrain des systèmes domotiques. &lt;br/&gt;<br /> En effet, dans le contexte sanitaire actuel (Covid), il serait intéressant de développer des systèmes de contrôle sans contact, pour éviter la propagation du virus. Par exemple, ouverture de porte, allumage des lumières, commander un ascenseur dans un environnement public ou hospitalier. &lt;br/&gt; <br /> On pourrait aussi imaginer une application plus domestique à destination du grand public, qui controlerait une ampoule à variateur d'intensité, où notre système permettrait d'allumer, d'éteindre et de faire varier l'intensité de l'ampoule. &lt;br/&gt;<br /> <br /> =Gestes à implémenter=<br /> <br /> '''Pour l'environnement hospitalier''' &lt;br/&gt;<br /> *Main ouverte pour allumer l'ampoule<br /> *Poing fermé pour éteindre l'ampoule<br /> *Signe OK avec le pouce et l'index pour l'ouverture/fermeture de porte<br /> *Numérotation de l'étage souhaité avec les doigts pour l'ascenseur<br /> <br /> <br /> '''Pour la domotique (ampoule à variateur)''' &lt;br/&gt;<br /> <br /> *Main ouverte pour allumer l'ampoule<br /> *Poing fermé pour éteindre l'ampoule<br /> *Pouce vers le haut pour augmenter l'intensité<br /> *Pouce vers le bas pour diminuer l'intensité<br /> <br /> =PoC=<br /> Pour la démonstration, l'idée pour le moment serait à minima de pouvoir contrôler l'allumage et l'extinction d'une LED. &lt;br/&gt;<br /> Si c'est possible, nous afficherons dans un terminal le geste detecté pour pouvoir tester l'implémentation de plusieurs gestes.<br /> <br /> =Réalisation=<br /> ==Récupération d'un dataset avec le capteur ToF==<br /> <br /> La première étape a été de prendre en main le kit STM32 Nucleo+Expansion board (capteurs ToF 8x8). Sous STM32Cube IDE, nous avons donc récupéré le code fourni, l'avons compilé puis nous avons téléversé l'exécutable sur le microcontrôleur. &lt;br/&gt;<br /> Une fois l'exécutable fonctionnel sur la board, nous scrutons grâce à l'utilitaire minicom la liaison série, les données récupérées par les capteurs. Ces données<br /> sont affichées sous la formes d'une matrice 8x8, où les valeurs sont séparées par le caractère suivant : &lt;code&gt;|&lt;/code&gt;. &lt;br/&gt;<br /> Dans un second temps, nous nous sommes penchés sur la préparation des données pour notre application, où nous avons choisi de les classer sur un axe de taille de 64 valeurs (0 à 63), puisque la forme matricielle n'est pas utile dans notre cas. &lt;br/&gt; <br /> Pour cela, nous avons modifié la fonction '''print_result''' d'une manière que les délimiteurs soient le caractéres &lt;code&gt;;&lt;/code&gt;. &lt;br/&gt; La modification du code est faite sous STM32Cube IDE.<br /> Sous NanoEdge, nous avons vérifié la bonne réception des signaux (des valeurs des capteurs); où ces derniers repectent bien la forme attendues.</div>

Ylacroix https://wiki-ima.plil.fr/mediawiki//index.php?title=Intelligence_embarque_IMA5_2022/2023_G5&diff=59639 2022-10-26T08:39:22Z

<p>Ylacroix : /* Récupération d'un dataset avec le capteur ToF */</p> <hr /> <div>=Contrôle gestuel pour la domotique=<br /> <br /> =Présentation=<br /> L'idée consiste à développer une IA embarquée sur un microcontrôleur STM32 capable de reconnaître des gestes fixes sans mouvements de main, dans le but de contrôler certrain des systèmes domotiques. &lt;br/&gt;<br /> En effet, dans le contexte sanitaire actuel (Covid), il serait intéressant de développer des systèmes de contrôle sans contact, pour éviter la propagation du virus. Par exemple, ouverture de porte, allumage des lumières, commander un ascenseur dans un environnement public ou hospitalier. &lt;br/&gt; <br /> On pourrait aussi imaginer une application plus domestique à destination du grand public, qui controlerait une ampoule à variateur d'intensité, où notre système permettrait d'allumer, d'éteindre et de faire varier l'intensité de l'ampoule. &lt;br/&gt;<br /> <br /> =Gestes à implémenter=<br /> <br /> '''Pour l'environnement hospitalier''' &lt;br/&gt;<br /> *Main ouverte pour allumer l'ampoule<br /> *Poing fermé pour éteindre l'ampoule<br /> *Signe OK avec le pouce et l'index pour l'ouverture/fermeture de porte<br /> *Numérotation de l'étage souhaité avec les doigts pour l'ascenseur<br /> <br /> <br /> '''Pour la domotique (ampoule à variateur)''' &lt;br/&gt;<br /> <br /> *Main ouverte pour allumer l'ampoule<br /> *Poing fermé pour éteindre l'ampoule<br /> *Pouce vers le haut pour augmenter l'intensité<br /> *Pouce vers le bas pour diminuer l'intensité<br /> <br /> =PoC=<br /> Pour la démonstration, l'idée pour le moment serait à minima de pouvoir contrôler l'allumage et l'extinction d'une LED. &lt;br/&gt;<br /> Si c'est possible, nous afficherons dans un terminal le geste detecté pour pouvoir tester l'implémentation de plusieurs gestes.<br /> <br /> =Réalisation=<br /> ==Récupération d'un dataset avec le capteur ToF==<br /> <br /> La première étape a été de prendre en main le kit STM32 Nucleo+Expansion board (capteurs ToF 8x8). Sous STM32Cube IDE, nous avons donc récupéré le code fourni, l'avons compilé puis nous avons téléversé l'exécutable sur le microcontôleur. &lt;br/&gt;<br /> Une fois l'exécutable fonctionnel sur la board, nous observons grâce à minicom (la liaison série), les données récupérées par les capteurs. Ces données &lt;br/&gt;<br /> sont affichées sous formes d'une matrice. Nous avons choisi d'afficher une matrice 8x8. Sous '''minicom''', les valeurs sont renvoyées sous &lt;br/&gt; <br /> la forme d'une matrice, séparées par le caractére suivant : &lt;code&gt;|&lt;/code&gt;.<br /> La deuxième étape consiste à préparer les données pour la partie IA, où nous avons choisi de les classer sur un axe de taille de 64 valeurs (0 à 63). &lt;br/&gt; <br /> Pour cela, nous avons modifié la fonction '''print_result''' d'une manière que les délimiteurs soient le caractéres &lt;code&gt;;&lt;/code&gt;. &lt;br/&gt; La modification du code est faite sous STM32Cube IDE.<br /> Sous NanoEdge, nous avons vérifié la bonne réception des signaux (des valeurs des capteurs); où ces derniers repectent bien la forme attendues.</div>

Ylacroix https://wiki-ima.plil.fr/mediawiki//index.php?title=Intelligence_embarque_IMA5_2022/2023_G5&diff=59638 2022-10-26T08:34:34Z

<p>Ylacroix : /* Activation du capteurs */</p> <hr /> <div>=Contrôle gestuel pour la domotique=<br /> <br /> =Présentation=<br /> L'idée consiste à développer une IA embarquée sur un microcontrôleur STM32 capable de reconnaître des gestes fixes sans mouvements de main, dans le but de contrôler certrain des systèmes domotiques. &lt;br/&gt;<br /> En effet, dans le contexte sanitaire actuel (Covid), il serait intéressant de développer des systèmes de contrôle sans contact, pour éviter la propagation du virus. Par exemple, ouverture de porte, allumage des lumières, commander un ascenseur dans un environnement public ou hospitalier. &lt;br/&gt; <br /> On pourrait aussi imaginer une application plus domestique à destination du grand public, qui controlerait une ampoule à variateur d'intensité, où notre système permettrait d'allumer, d'éteindre et de faire varier l'intensité de l'ampoule. &lt;br/&gt;<br /> <br /> =Gestes à implémenter=<br /> <br /> '''Pour l'environnement hospitalier''' &lt;br/&gt;<br /> *Main ouverte pour allumer l'ampoule<br /> *Poing fermé pour éteindre l'ampoule<br /> *Signe OK avec le pouce et l'index pour l'ouverture/fermeture de porte<br /> *Numérotation de l'étage souhaité avec les doigts pour l'ascenseur<br /> <br /> <br /> '''Pour la domotique (ampoule à variateur)''' &lt;br/&gt;<br /> <br /> *Main ouverte pour allumer l'ampoule<br /> *Poing fermé pour éteindre l'ampoule<br /> *Pouce vers le haut pour augmenter l'intensité<br /> *Pouce vers le bas pour diminuer l'intensité<br /> <br /> =PoC=<br /> Pour la démonstration, l'idée pour le moment serait à minima de pouvoir contrôler l'allumage et l'extinction d'une LED. &lt;br/&gt;<br /> Si c'est possible, nous afficherons dans un terminal le geste detecté pour pouvoir tester l'implémentation de plusieurs gestes.<br /> <br /> =Réalisation=<br /> ==Récupération d'un dataset avec le capteur ToF==<br /> <br /> Lors des premières séances, nous avons commencé par l'activation de la matrice des capteurs. Dans un premier temps, nous avons réussi &lt;br/&gt;<br /> à activer l'expansion fournit, en compilant les programmes fournit, puis nous avons téléverser l'exécutable sur le microcontôleur. &lt;br/&gt;<br /> Une fois le système est active, nous récupérons grâce à minicom (la liaison série), les données renvoyées par les capteurs. Ces données &lt;br/&gt;<br /> sont affichées sous formes d'une matrice. Nous avons choisi d'afficher une matrice 8x8. Sous '''minicom''', les valeurs sont renvoyées sous &lt;br/&gt; <br /> la forme d'une matrice, séparées par le caractére suivant : &lt;code&gt;|&lt;/code&gt;.<br /> La deuxième étape consiste à préparer les données pour la partie IA, où nous avons choisi de les classer sur un axe de taille de 64 valeurs (0 à 63). &lt;br/&gt; <br /> Pour cela, nous avons modifié la fonction '''print_result''' d'une manière que les délimiteurs soient le caractéres &lt;code&gt;;&lt;/code&gt;. &lt;br/&gt; La modification du code est faite sous STM32Cube IDE.<br /> Sous NanoEdge, nous avons vérifié la bonne réception des signaux (des valeurs des capteurs); où ces derniers repectent bien la forme attendues.</div>

Ylacroix