TP sysres IMA5sc 2020/2021 G4 - Historique des versions

Tevrard : /* Sécuritsation de serveur DNS par DNSSEC */

2020-12-29T14:09:29Z

‎Sécuritsation de serveur DNS par DNSSEC

Tevrard : /* Sécurisation de site web par certificat */

2020-12-29T14:03:22Z

‎Sécurisation de site web par certificat

Tevrard : /* Sécurisation de site web par certificat */

2020-12-29T14:01:52Z

‎Sécurisation de site web par certificat

Tevrard : /* Sécurisation de site web par certificat */

2020-12-29T14:01:22Z

‎Sécurisation de site web par certificat

Tevrard : /* Equilibreur de charge */

2020-12-28T13:44:03Z

‎Equilibreur de charge

Tevrard : /* Déploiement de notre image */

2020-12-28T13:37:43Z

‎Déploiement de notre image

Tevrard : /* Déploiement de notre image */

2020-12-28T13:37:33Z

‎Déploiement de notre image

Tevrard : /* Configuration de nos serveurs internes */

2020-12-28T13:35:24Z

‎Configuration de nos serveurs internes

Tevrard : /* Création de notre conteneur */

2020-12-28T13:35:00Z

‎Création de notre conteneur

Tevrard : /* Création de notre conteneur */

2020-12-28T13:34:36Z

‎Création de notre conteneur

← Version précédente		Version du 29 décembre 2020 à 14:09
Ligne 182 :		Ligne 182 :

	==Sécuritsation de serveur DNS par DNSSEC==		==Sécuritsation de serveur DNS par DNSSEC==
		+
		+	Ajout de l'option dans /etc/bind/named.conf.options :
		+	dnssec-enable yes
		+
		+	Création d'un répertoire tricholome.dnssec puis génération des clefs (KSK et ZSK) au sein de ce répertoire via les commande :
		+
		+	dnssec-keygen -a RSASHA1 -b 2048 -f KSK -n ZONE tricholome.site
		+
		+	dnssec-keygen -a RSASHA1 -b 1024 -n ZONE tricholome.site
		+
		+	On renome ces paires de clefs pour plus de lisibilité puis ajoute les lignes suivante dans /etc/bind/db.tricholome.site (en incrémentant le serial)
		+
		+	$include /etc/bind/trompettedelamort.dnssec/trompettedelamort-ksk.key
		+	$include /etc/bind/trompettedelamort.dnssec/trompettedelamort-zsk.key
		+
		+	On signe ensuite la zone via la commande :
		+	dnssec-signzone -o tricholome.site -k tricholome.site-ksk ../db.tricholome.site tricholome.site-zsk
		+
		+	On obtient alors le fichier de zone suivant : '''db.tricholome.site.signed'''
		+
		+	On instancie alors ce fichier dans notre /etc/bind/name.conf.local puis on transmet la clef KSK à gandi.net.

	=Pentesting=		=Pentesting=

@@ Ligne 172 : / Ligne 172 : @@
          ErrorLog /var/log/apache2/error.tricholome.site.log
          SSLEngine on
-         SSLCertificateFile      /etc/ssl/certs/tricholome.site.crt
+         SSLCertificateFile      /etc/ssl/cert/tricholome.site.crt
          SSLCertificateKeyFile /etc/ssl/private/tricholome.site.key
          SSLCACertificateFile /etc/ssl/certs/GandiStandardSSLCA2.pem
          SSLVerifyClient None
   </VirtualHost>
 ==Sécuritsation de serveur DNS par DNSSEC==

@@ Ligne 176 : / Ligne 176 : @@
          SSLCACertificateFile /etc/ssl/certs/GandiStandardSSLCA2.pem
          SSLVerifyClient None
   </VirtualHost>

← Version précédente		Version du 29 décembre 2020 à 14:01
Ligne 135 :		Ligne 135 :

	==Sécurisation de site web par certificat==		==Sécurisation de site web par certificat==
		+
		+	Notre certificat sera validé et envoyé par mail, on installe donc un serveur de mail :
		+
		+	apt install postfix
		+
		+	On configure postfix et on crée un alias dans /etc/aliases :
		+
		+	admin: root
		+
		+	Pour la génération de la clés et du certificat utilise openssl :
		+
		+	openssl req -nodes -newkey rsa:2048 -sha256 -keyout tricholome.site.key -out tricholome.site.csr
		+
		+	On transmet ensuite le certificat à gandi pour qu'il soit signé. On reçoit plus tard le certificat signé par mail.
		+
		+	'''Site web'''
		+
		+	Notre site est hébergé sur un serveur apache2 (apt install apache2). Pour la sécurisation du site par certificat on active le module SSL d'apache2 :
		+	a2enmod ssl
		+
		+	On configure notre site 000-tricholome.site-ssl.conf :
		+
		+	<VirtualHost *:80>
		+	ServerName tricholome.site
		+	ServerAlias www.tricholome.site
		+	# Redirection 301 vers le site en HTTPS
		+	Redirect permanent / https://www.tricholome.site/
		+	</VirtualHost>
		+
		+	<VirtualHost *:443>
		+	ServerName tricholome.site
		+	ServerAlias www.tricholome.site
		+	ServerAdmin webmaster@localhost
		+	DocumentRoot /var/www/tricholome.site/
		+	CustomLog /var/log/apache2/access.tricholome.site.log combined
		+	ErrorLog /var/log/apache2/error.tricholome.site.log
		+	SSLEngine on
		+	SSLCertificateFile /etc/ssl/certs/tricholome.site.crt
		+	SSLCertificateKeyFile /etc/ssl/private/tricholome.site.key
		+	SSLCACertificateFile /etc/ssl/certs/GandiStandardSSLCA2.pem
		+	SSLVerifyClient None
		+
		+	</VirtualHost>

	==Sécuritsation de serveur DNS par DNSSEC==		==Sécuritsation de serveur DNS par DNSSEC==

@@ Ligne 448 : / Ligne 448 : @@
 == Equilibreur de charge ==
-Nous avons ensuite ajouté le serveur web virtuel reverse.amanite.site, puis nous avons activé les modules apaches suivants (pour l'ensemble de nos étapes) :
+Configuration des modules nécessaires :
   a2enmod proxy
@@ Ligne 455 : / Ligne 455 : @@
   a2enmod lbmethod_byrequests
-Pour notre première partie nous avons modifier notre fichier amanite.site.db (qui se situe dans /etc/bind/zones) et nous y avons rajouter la ligne :
+Modification de notre zone dans /etc/bind/db.tricholome.site :
   reverse IN      CNAME   www
-(Nous n'oublions pas d'incrémenter le numéro de version, de signer la zone pour DNSSEC ainsi que redémarrer le service bind9).
+(+ incrémentation du numéro de version, signature de la zone pour DNSSEC et redémarrage de bind9).
-Par la suite nous avons rajouter un site dans /etc/apache2/site-available que nous nommons reverse.conf :
+Ajout d'un nouveau site dans /etc/apache2/site-available que nous nommons reverse.conf :
   <VirtualHost *:80>
-          ServerName reverse.amanite.site
+          ServerName bis.tricholome.site
-          ServerAdmin lolopierro
+          ServerAdmin Sameo
-          ProxyPass / http://192.168.42.5:8085
+          ProxyPass / http://192.168.42.4:8084
-          ProxyPassReverse / http://192.168.42.5:8085
+          ProxyPassReverse / http://192.168.42.4:8084
   </VirtualHost>
-Que nous ajoutons à nos sites enable via la commande : a2ensite reverse.conf, puis nous redémarrons le service apache2.
+On rend notre site enable :
-Après cette étape notre site est accessible via l'URL reverse.amanite.conf (qui est pour le moment accessible via notre seule machine virtuelle secondaire sur chassiron).
+ a2ensite reverse.conf
-Dans un second temps nous avons modifié notre fichier de configuration reverse.conf afin d'y rajouter de l'équilibrage de charge :
+Site désormais accessible via l'URL bis.tricholome.site
   <VirtualHost *:80>
-          ServerName reverse.amanite.site
+          ServerName bis.tricholome.site
-          ServerAdmin lolopierro
+          ServerAdmin Sameo
-          <Proxy "balancer://mycluster">
+          <Proxy "balancer://myset">
-                  BalancerMember "http://192.168.42.5:8085" route=1
+                  BalancerMember "http://192.168.42.2:8084" route=1
-                  BalancerMember "http://192.168.42.2:8085" route=2
+                  BalancerMember "http://192.168.42.4:8084" route=2
-                  BalancerMember "http://192.168.42.4:8085" route=3
+                  BalancerMember "http://192.168.42.5:8084" route=3
-                  BalancerMember "http://192.168.42.7:8085" route=4
+                  BalancerMember "http://192.168.42.7:8084" route=4
-                  BalancerMember "http://192.168.42.9:8085" route=5
+                  BalancerMember "http://192.168.42.9:8084" route=5
-                  BalancerMember "http://192.168.42.12:8085" route=6
+                  BalancerMember "http://192.168.42.12:8084" route=6
                   ProxySet lbmethod=byrequests
           </Proxy>
-          ProxyPass / balancer://mycluster/
+          ProxyPass / balancer://myset/
-          ProxyPassReverse / balancer://mycluster/
+          ProxyPassReverse / balancer://myset/
   </VirtualHost>
 =Bonus=

@@ Ligne 440 : / Ligne 440 : @@
                    - "8084:80"
-Via le playbook ansible on déploie notre image sur les machine de chassiron :
+Via le playbook ansible on déploie notre image sur les machines de chassiron :
   - hosts: webservers

@@ Ligne 431 : / Ligne 431 : @@
 == Déploiement de notre image ==
-Pour voir déployer nos containeurs sur tous les serveurs disponibles sur Chassiron nous avons d'abord créé notre rôle "new_container" :
+On crée un rôle qui permet de déployer notre image sur une machine :
   - name: Create a container
     docker_container:
            name: amanite_container
-           image: 192.168.42.5:5000/webserver_amanite
+           image: 192.168.42.4:5000/tricholome
            ports:
-                   - "8085:80"
+                   - "8084:80"
-Ce rôle permet (après avoir push sur le registry de notre seconde machine virtuelle), d'installer l'image webserver_amanite sur l'ensemble des machines qui sont dans l'hote webservers.
+Via le playbook ansible on déploie notre image sur les machine de chassiron :
   - hosts: webservers

@@ Ligne 429 : / Ligne 429 : @@
   docker pull 192.168.42.4:5000/tricholome
-== Configuration de nos serveurs internes ==
+== Déploiement de notre image ==
 Pour voir déployer nos containeurs sur tous les serveurs disponibles sur Chassiron nous avons d'abord créé notre rôle "new_container" :

@@ Ligne 394 : / Ligne 394 : @@
           docker_apt_repository: "deb [arch={ { docker_apt_arch } }] https://download.docker.com/linux/debian buster { { docker_apt_release_channel } }"
-== Création de notre conteneur ==
+== Création d'un conteneur ==
 On crée notre conteneur à l'aide d'un dockerfile situé dans /root/Dockerfile

@@ Ligne 396 : / Ligne 396 : @@
 == Création de notre conteneur ==
-Pour lancer notre containeur web nous avons commencé par créer le Dockerfile :
+On crée notre conteneur à l'aide d'un dockerfile situé dans /root/Dockerfile
-  FROM httpd:2.4
+  FROM httpd:lattest
-  COPY . /usr/local/apache2/htdocs/
+ MAINTAINER Sameo
   CMD ["httpd", "-D", "FOREGROUND"]
-Nous avons ensuite créé l'image du Dockerfile :
+Création de l'image (dans le même dossier que notre dockerfile) :
-  docker build -t web .
+  docker build -t tricholome
-Puis nous avons lancé notre container
+Test de lancement de nore image :
-  docker run -d -p "8085:80" --name web web
+  docker run -d -p "8085:80" --name tricholome tricholome
-Plusieurs commandes nous permettent de vérifier le bon fonctionnement :
+Commande de vérification :
   docker images (Affichage des différentes images docker installées)
   docker ps -a (Affichage des différents containeurs en cours d'exécution)
-Nous avons ensuite créé un rôle ansible pour créer un dépôt local docker sur notre machine secondaire (après avoir préalablement installer la collection via la commande : ansible-galaxy collection install community.general) :
+Création d'un rôle ansible pour créer un registry sur notre VM chassiron :
   - name: Setup registry
     docker_container:
@@ Ligne 423 : / Ligne 422 : @@
                     - "5000:5000"
-Après cela nous avons voulu push notre image "web" vers notre dépôt mais une erreur est survenue, celle-ci vient du fait qu'il fallait rajouter le fichier daemon.json dans le dossier "/etc/docker/" afin de ne pas utiliser une connexion sécurisée.
+On appel ce rôle dans ansible puis on peut push-pull de notre image dans notre registry sur Chassiron :
+  docker tag tricholome 192.168.42.5:5000/tricholome
+  docker push 192.168.42.4.:5000/tricholome
 Puis coté chassiron :
-  docker pull 192.168.42.5:5000/webserver
+  docker pull 192.168.42.4:5000/tricholome
 == Configuration de nos serveurs internes ==