Différences
Ci-dessous, les différences entre deux révisions de la page.
| Prochaine révision | Révision précédente | ||
| elearning:workbooks:centos:6:avance:l102 [2020/02/21 07:10] – créée admin | elearning:workbooks:centos:6:avance:l102 [2023/02/15 15:42] (Version actuelle) – admin | ||
|---|---|---|---|
| Ligne 1: | Ligne 1: | ||
| ~~PDF: | ~~PDF: | ||
| + | |||
| + | Version : **2022.01** | ||
| Dernière mise-à-jour : ~~LASTMOD~~ | Dernière mise-à-jour : ~~LASTMOD~~ | ||
| - | ======LRF302 | + | ======LCF301 |
| - | =====Configuration | + | =====Contenu |
| - | ==== Configuration | + | * **LCF301 - Gestion des Paramètres et les Ressources du Matériel** |
| + | * Contenu du Module | ||
| + | * Fichiers Spéciaux | ||
| + | * Commandes | ||
| + | * La Commande lspci | ||
| + | * La Commande lsusb | ||
| + | * La Commande dmidecode | ||
| + | * Répertoire /proc | ||
| + | * Répertoires | ||
| + | * ide/scsi | ||
| + | * acpi | ||
| + | * bus | ||
| + | * net | ||
| + | * sys | ||
| + | * La Commande sysctl | ||
| + | * Fichiers | ||
| + | * Processeur | ||
| + | * Interruptions système | ||
| + | * Canaux DMA | ||
| + | * Plages d' | ||
| + | * Périphériques | ||
| + | * Modules | ||
| + | * Statistiques de l' | ||
| + | * Partitions | ||
| + | * Espaces de pagination | ||
| + | * Statistiques d' | ||
| + | * Statistiques d' | ||
| + | * Version du noyau | ||
| + | * Interprétation des informations dans /proc | ||
| + | * Commandes | ||
| + | * free | ||
| + | * uptime ou w | ||
| + | * iostat | ||
| + | * vmstat | ||
| + | * mpstat | ||
| + | * sar | ||
| + | * Utilisation des commandes en production | ||
| + | * Identifier un système limité par le processeur | ||
| + | * Identifier un système ayant un problème de mémoire | ||
| + | * Identifier un système ayant un problème d' | ||
| + | * Modules usb | ||
| + | * udev | ||
| + | * La Commande udevadm | ||
| + | * Système de fichiers /sys | ||
| + | * Limiter les Ressources | ||
| + | * ulimit | ||
| + | * Groupes | ||
| + | * LAB #1 - Travailler avec les cgroups sous RHEL/CentOS 7 | ||
| - | La configuration TCP/IP se trouve dans le répertoire **/ | + | =====Fichiers Spéciaux===== |
| - | === DHCP === | + | Dans l' |
| - | == /etc/sysconfig/network == | + | <WRAP center round important> |
| + | **Important** : Les périphériques qui nécessitent à ce que l' | ||
| + | </WRAP> | ||
| + | |||
| + | Consultez le contenu du répertoire /dev : | ||
| < | < | ||
| - | [root@centos6 | + | [root@centos7 |
| - | NETWORKING=yes | + | total 0 |
| - | HOSTNAME=centos6 | + | crw-------. 1 root root 10, 235 Oct 28 09:40 autofs |
| + | drwxr-xr-x. 2 root root 140 Oct 28 09:40 block | ||
| + | drwxr-xr-x. 2 root root 80 Oct 28 09:40 bsg | ||
| + | crw-------. 1 root root 10, 234 Oct 28 09:40 btrfs-control | ||
| + | drwxr-xr-x. 3 root root 60 Oct 28 09:40 bus | ||
| + | lrwxrwxrwx. 1 root root 3 Oct 28 09:40 cdrom -> sr0 | ||
| + | drwxr-xr-x. 2 root root 2800 Oct 28 09:41 char | ||
| + | crw-------. 1 root root 5, 1 Oct 28 09:40 console | ||
| + | lrwxrwxrwx. 1 root root 11 Oct 28 09:40 core -> /proc/kcore | ||
| + | drwxr-xr-x. 3 root root 80 Oct 28 09:40 cpu | ||
| + | crw-------. 1 root root | ||
| + | crw-------. 1 root root | ||
| + | drwxr-xr-x. 5 root root 100 Oct 28 09:40 disk | ||
| + | drwxr-xr-x. 2 root root 60 Oct 28 09:40 dri | ||
| + | lrwxrwxrwx. 1 root root 13 Oct 28 09:40 fd -> / | ||
| + | crw-rw-rw-. 1 root root 1, 7 Oct 28 09:40 full | ||
| + | crw-rw-rw-. 1 root root 10, 229 Oct 28 09:41 fuse | ||
| + | crw-------. 1 root root 10, 228 Oct 28 09:40 hpet | ||
| + | drwxr-xr-x. 3 root root 0 Oct 28 09:40 hugepages | ||
| + | prw-------. 1 root root 0 Oct 28 09:40 initctl | ||
| + | drwxr-xr-x. 3 root root 240 Oct 28 09:40 input | ||
| + | crw-r--r--. 1 root root 1, 11 Oct 28 09:40 kmsg | ||
| + | --More-- | ||
| </ | </ | ||
| - | Dans ce fichier vous pouvez constater les directives suivantes : | + | On peut noter dans la sortie |
| - | + | ||
| - | ^ Directive ^ Description ^ | + | |
| - | | NETWORKING | Indique que la prise en charge du réseau est activée | | + | |
| - | | HOSTNAME | Indique le nom d' | + | |
| - | + | ||
| - | Ce fichier peut également contenir les directives suivantes : | + | |
| - | + | ||
| - | ^ Directive ^ Description ^ | + | |
| - | | GATEWAY | Indique l' | + | |
| - | | GATEWAYDEV | Indique l' | + | |
| - | | NISDOMAIN | Indique le domaine NIS s'il en existe un | | + | |
| - | | NETWORKING_IPV6 | Active ou désactive le support IPv6 | | + | |
| - | + | ||
| - | ==/ | + | |
| - | + | ||
| - | **ifcfg-eth0** | + | |
| < | < | ||
| - | [root@centos6 ~]# cat / | + | ... |
| - | DEVICE=" | + | brw-rw---- 1 root disk 8, 1 Nov 1 08:39 sda1 |
| - | NM_CONTROLLED=" | + | ... |
| - | ONBOOT=yes | + | crw-rw-rw- 1 root tty |
| - | TYPE=Ethernet | + | ... |
| - | BOOTPROTO=dhcp | + | |
| - | DEFROUTE=yes | + | |
| - | IPV4_FAILURE_FATAL=yes | + | |
| - | IPV6INIT=no | + | |
| - | NAME=" | + | |
| - | UUID=5fb06bd0-0bb0-7ffb-45f1-d6edd65f3e03 | + | |
| - | HWADDR=08:00: | + | |
| - | PEERDNS=yes | + | |
| - | PEERROUTES=yes | + | |
| </ | </ | ||
| - | Dans ce fichier vous pouvez constater | + | La différence entre les deux repose sur le type de communication entre le système et le module. Dans le premier cas le système accède au périphérique par des coordonnées du bloc de données sur le support tandis que dans le deuxième cas la communication d' |
| - | ^ Directive ^ Description ^ | + | Les deux informations clefs du fichier spécial |
| - | | DEVICE | Indique le nom de l' | + | |
| - | | NM_CONTROLLED | Indique que le service NetworkManager est utilisé pour gérer les interfaces réseau | | + | |
| - | | ONBOOT | Indique que l' | + | |
| - | | TYPE | Indique que le type de réseau est ethernet. | + | |
| - | | BOOTPROTO | Indique comment monter l' | + | |
| - | | DEFROUTE | Définit l' | + | |
| - | | IPV4_FAILURE_FATAL | Stipule que si IPv4 et IPv6 sont activés et la connexion IPv4 est perdue, | + | |
| - | | IPV6INIT | Indique que le support IPv6 ne sera pas initialisé | | + | |
| - | | NAME | Indique | + | |
| - | | UUID | Indique la valeur de l'UUID de l' | + | |
| - | | HWADDR | Indique l' | + | |
| - | | PEERDNS |Indique que le fichier / | + | |
| + | * le **majeur** identifie le pilote du périphérique et donc son contrôleur, | ||
| + | * le **mineur** identifie le périphérique ou une particularité du périphérique telle une partition d'un disque. | ||
| - | <WRAP center round todo> | + | =====Commandes===== |
| - | Recherchez la définition de la directive **PEERROUTES=yes**. | + | |
| - | </ | + | |
| - | === IP Fixe === | + | ====La Commande lspci==== |
| - | == / | + | Cette commande |
| - | + | ||
| - | < | + | |
| - | NETWORKING=yes | + | |
| - | NETWORKING_IPV6=no | + | |
| - | HOSTNAME=centos6.fenestros.loc | + | |
| - | </ | + | |
| - | + | ||
| - | ==/ | + | |
| - | + | ||
| - | **ifcfg-eth0** | + | |
| - | + | ||
| - | < | + | |
| - | DEVICE=" | + | |
| - | NM_CONTROLLED=" | + | |
| - | ONBOOT=yes | + | |
| - | TYPE=Ethernet | + | |
| - | BOOTPROTO=static | + | |
| - | IPV6INIT=no | + | |
| - | HWADDR=" | + | |
| - | NETMASK=255.255.255.0 | + | |
| - | IPADDR=10.0.2.15 | + | |
| - | GATEWAY=10.0.2.2 | + | |
| - | DNS1=8.8.8.8 | + | |
| - | DNS2=8.8.4.4 | + | |
| - | DOMAIN=fenestros.loc | + | |
| - | USERCTL=yes | + | |
| - | </ | + | |
| - | + | ||
| - | Dans ce fichier | + | |
| - | + | ||
| - | ^ Directive ^ Description ^ | + | |
| - | | NETMASK | Indique le masque de sous-réseau IPv4 associé à l' | + | |
| - | | IPADDR | Indique l' | + | |
| - | | GATEWAY | + | |
| - | | DNS1 | Indique le DNS primaire | | + | |
| - | | DNS2 | Indique le DNS secondaire | | + | |
| - | | DOMAIN | + | |
| - | | USERCTL | Indique que les utilisateurs normaux peuvent activer/ | + | |
| - | + | ||
| - | <WRAP center round important> | + | |
| - | Notez que %%VirtualBox%% fournit une passerelle par défaut ( 10.0.2.2 ). | + | |
| - | </ | + | |
| - | + | ||
| - | Après avoir modifier les deux fichiers **/ | + | |
| < | < | ||
| - | [root@centos6 | + | [root@centos7 |
| - | Arrêt du démon NetworkManager | + | 00:00.0 Host bridge: Intel Corporation 440FX - 82441FX PMC [Natoma] (rev 02) |
| - | [root@centos6 ~]# chkconfig --del NetworkManager | + | 00:01.0 ISA bridge: Intel Corporation 82371SB PIIX3 ISA [Natoma/ |
| - | [root@centos6 ~]# service network start | + | 00:01.1 IDE interface: |
| - | Activation de l'interface | + | 00:02.0 VGA compatible controller: InnoTek Systemberatung GmbH VirtualBox Graphics Adapter |
| - | Activation de l'interface eth0 : [ OK ] | + | 00:03.0 Ethernet controller: Intel Corporation 82540EM Gigabit Ethernet Controller (rev 02) |
| - | [root@centos6 ~]# | + | 00:04.0 System peripheral: InnoTek Systemberatung GmbH VirtualBox Guest Service |
| + | 00:05.0 Multimedia audio controller: Intel Corporation 82801AA AC'97 Audio Controller (rev 01) | ||
| + | 00:06.0 USB controller: Apple Inc. KeyLargo/ | ||
| + | 00:07.0 Bridge: Intel Corporation 82371AB/ | ||
| + | 00:0b.0 USB controller: Intel Corporation 82801FB/ | ||
| + | 00:0d.0 SATA controller: Intel Corporation 82801HM/HEM (ICH8M/ | ||
| </ | </ | ||
| - | + | Pour obtenir | |
| - | ====La Commande hostname==== | + | |
| - | + | ||
| - | Lors du passage à une configuration en IPv4 fixe vous avez modifié la directive **HOSTNAME** du fichier **/ | + | |
| < | < | ||
| - | [root@centos6 | + | [root@centos7 |
| - | centos6 | + | 00:03.0 Ethernet controller: Intel Corporation 82540EM Gigabit Ethernet Controller (rev 02) |
| - | [root@centos6 ~]# hostname centos6.fenestros.loc | + | Subsystem: Intel Corporation PRO/1000 MT Desktop Adapter |
| - | [root@centos6 ~]# hostname | + | Flags: bus master, 66MHz, medium devsel, latency 64, IRQ 19 |
| - | centos6.fenestros.loc | + | Memory at f0000000 (32-bit, non-prefetchable) |
| + | I/O ports at d010 [size=8] | ||
| + | Capabilities: | ||
| + | Capabilities: | ||
| + | Kernel driver in use: e1000 | ||
| </ | </ | ||
| - | Pour afficher le FQDN du système vous pouvez également utiliser la commande suivante | + | ou : |
| < | < | ||
| - | [root@centos6 | + | [root@centos7 |
| - | centos6.fenestros.loc | + | 00:03.0 Ethernet controller: Intel Corporation 82540EM Gigabit Ethernet Controller (rev 02) |
| + | Subsystem: Intel Corporation PRO/1000 MT Desktop Adapter | ||
| + | Control: I/O+ Mem+ BusMaster+ SpecCycle- MemWINV- VGASnoop- ParErr- Stepping- SERR- FastB2B- DisINTx- | ||
| + | Status: Cap+ 66MHz+ UDF- FastB2B- ParErr- DEVSEL=medium >TAbort- <TAbort- <MAbort- >SERR- <PERR- INTx- | ||
| + | Latency: 64 (63750ns min) | ||
| + | Interrupt: pin A routed to IRQ 19 | ||
| + | Region 0: Memory at f0000000 (32-bit, non-prefetchable) [size=128K] | ||
| + | Region 2: I/O ports at d010 [size=8] | ||
| + | Capabilities: | ||
| + | Flags: PMEClk- DSI+ D1- D2- AuxCurrent=0mA PME(D0-, | ||
| + | Status: D0 NoSoftRst- PME-Enable- DSel=0 DScale=0 PME- | ||
| + | Capabilities: | ||
| + | Command: DPERE- ERO+ RBC=512 OST=1 | ||
| + | Status: Dev=ff:1f.0 64bit- 133MHz- SCD- USC- DC=simple DMMRBC=2048 DMOST=1 DMCRS=8 RSCEM- 266MHz- 533MHz- | ||
| + | Kernel driver in use: e1000 | ||
| </ | </ | ||
| - | ===Options de la commande | + | ===Options de la commande=== |
| Les options de cette commande sont : | Les options de cette commande sont : | ||
| < | < | ||
| - | [root@centos6 | + | [root@centos7 |
| - | Syntaxe | + | lspci: invalid option |
| - | | + | Usage: lspci [< |
| - | hostname | + | |
| - | | + | |
| - | | + | Basic display modes: |
| + | -mm Produce machine-readable output (single | ||
| + | -t Show bus tree | ||
| - | dnsdomainname=hostname | + | Display options: |
| + | -v Be verbose (-vv for very verbose) | ||
| + | -k Show kernel drivers handling each device | ||
| + | -x Show hex-dump of the standard part of the config space | ||
| + | -xxx Show hex-dump of the whole config space (dangerous; root only) | ||
| + | -xxxx Show hex-dump of the 4096-byte extended config space (root only) | ||
| + | -b Bus-centric view (addresses and IRQ's as seen by the bus) | ||
| + | -D Always show domain numbers | ||
| - | -s, --short | + | Resolving of device ID's to names: |
| - | -a, --alias | + | -n Show numeric ID's |
| - | -i, --ip-address | + | -nn Show both textual and numeric ID's (names & numbers) |
| - | -f, --fqdn, --long | + | -q Query the PCI ID database for unknown ID's via DNS |
| - | -d, --domain | + | -qq As above, but re-query locally cached entries |
| - | -y, --yp, --nis nom de domaine NIS/YP | + | -Q Query the PCI ID database for all ID's via DNS |
| - | -F, --file | + | |
| - | This command can read or set the hostname or the NIS domainname. You can | + | Selection of devices: |
| - | also read the DNS domain or the FQDN (fully qualified | + | -s [[[[<domain> |
| - | | + | -d [< |
| - | FQDN (Fully Qualified Domain Name) and the DNS domain name (which is | + | |
| - | part of the FQDN) in the /etc/hosts file. | + | |
| - | </code> | + | |
| - | ====La Commande ifconfig==== | + | Other options: |
| - | + | -i <file> Use specified ID database instead of / | |
| - | Pour afficher la configuration IP de la machine il faut saisir la commande suivante | + | -p < |
| - | + | -M Enable `bus mapping' | |
| - | <code> | + | |
| - | [root@centos6 ~]# ifconfig | + | |
| - | eth0 Link encap: | + | |
| - | inet adr:10.0.2.15 | + | |
| - | adr inet6: fe80:: | + | |
| - | UP BROADCAST RUNNING MULTICAST | + | |
| - | RX packets: | + | |
| - | TX packets: | + | |
| - | collisions: | + | |
| - | RX bytes: | + | |
| - | lo Link encap:Boucle locale | + | PCI access options: |
| - | inet adr: | + | -A < |
| - | adr inet6: ::1/128 Scope:Hôte | + | -O < |
| - | UP LOOPBACK RUNNING | + | -G Enable PCI access debugging |
| - | RX packets:8 errors:0 dropped:0 overruns:0 frame:0 | + | -H < |
| - | TX packets:8 errors:0 dropped:0 overruns:0 carrier:0 | + | -F < |
| - | collisions: | + | |
| - | RX bytes:480 (480.0 b) TX bytes:480 (480.0 b) | + | |
| </ | </ | ||
| - | La commande ifconfig est également utilisée pour configurer une interface. | + | ====La Commande lsusb==== |
| - | Créez maintenant une interface fictive ainsi : | + | Cette commande vous renseigne sur les adaptateurs reliés au bus usb : |
| < | < | ||
| - | [root@centos6 | + | [root@centos7 |
| - | </ | + | Bus 001 Device 001: ID 1d6b:0002 Linux Foundation |
| + | Bus 002 Device 001: ID 1d6b:0001 Linux Foundation 1.1 root hub | ||
| - | Constatez maintenant le résultat : | + | [root@centos7 |
| - | + | /: | |
| - | < | + | /: |
| - | [root@centos6 | + | |
| - | eth0 Link encap: | + | |
| - | inet adr: | + | |
| - | adr inet6: fe80:: | + | |
| - | UP BROADCAST RUNNING MULTICAST | + | |
| - | RX packets: | + | |
| - | TX packets: | + | |
| - | collisions: | + | |
| - | RX bytes: | + | |
| - | + | ||
| - | eth0:1 Link encap:Ethernet | + | |
| - | inet adr: | + | |
| - | UP BROADCAST RUNNING MULTICAST | + | |
| - | + | ||
| - | lo Link encap: | + | |
| - | inet adr:127.0.0.1 | + | |
| - | adr inet6: ::1/128 Scope: | + | |
| - | UP LOOPBACK RUNNING | + | |
| - | RX packets:8 errors:0 dropped:0 overruns:0 frame:0 | + | |
| - | TX packets:8 errors:0 dropped:0 overruns:0 carrier:0 | + | |
| - | collisions: | + | |
| - | RX bytes:480 (480.0 b) TX bytes:480 (480.0 b) | + | |
| </ | </ | ||
| - | ===Options de la commande | + | ===Options de la commande=== |
| Les options de cette commande sont : | Les options de cette commande sont : | ||
| < | < | ||
| - | [root@centos6 | + | [root@centos7 |
| - | Usage: | + | Usage: |
| - | | + | List USB devices |
| - | [add < | + | -v, --verbose |
| - | | + | |
| - | [[-]broadcast | + | -s [[bus]:][devnum] |
| - | | + | Show only devices with specified device and/or |
| - | | + | bus numbers (in decimal) |
| - | [hw <HW> < | + | -d vendor:[product] |
| - | | + | Show only devices with the specified vendor and |
| - | | + | |
| - | | + | -D device |
| - | | + | |
| - | [[-]dynamic] | + | -t, --tree |
| - | [up|down] ... | + | Dump the physical USB device hierarchy as a tree |
| - | + | -V, --version | |
| - | | + | Show version of program |
| - | Liste des types de matériels possibles: | + | -h, --help |
| - | loop (Boucle locale) slip (IP ligne série) cslip (IP ligne série | + | Show usage and help |
| - | slip6 (IP ligne série | + | |
| - | strip (Metricom Starmode IP) ash (Ash) ether (Ethernet) | + | |
| - | tr (16/4 Mbps Token Ring) tr (16/4 Mbps Token Ring (New)) ax25 (AMPR AX.25) | + | |
| - | netrom (AMPR NET/ROM) rose (AMPR ROSE) tunnel (IPIP Tunnel) | + | |
| - | ppp (Protocole Point-à-Point) hdlc ((Cisco)-HDLC) lapb (LAPB) | + | |
| - | | + | |
| - | sit (IPv6-dans-IPv4) fddi (Fiber Distributed Data Interface) hippi (HIPPI) | + | |
| - | irda (IrLAP) ec (Econet) x25 (generic X.25) | + | |
| - | infiniband (InfiniBand) | + | |
| - | < | + | |
| - | Liste des familles d' | + | |
| - | unix (Domaine UNIX) inet (DARPA Internet) inet6 (IPv6) | + | |
| - | ax25 (AMPR AX.25) netrom (AMPR NET/ROM) rose (AMPR ROSE) | + | |
| - | ipx (Novell IPX) ddp (Appletalk DDP) ec (Econet) | + | |
| - | ash (Ash) x25 (CCITT X.25) | + | |
| </ | </ | ||
| - | ====Activer/ | + | ====La Commande dmidecode==== |
| - | Deux commandes existent pour activer | + | La commande **dmidecode** lit la table **DMI** (//Desktop Management Interface// |
| + | |||
| + | * l' | ||
| + | * les extensions possibles. | ||
| < | < | ||
| - | [root@centos6 | + | [root@centos7 |
| - | [root@centos6 ~]# ifconfig | + | # dmidecode 2.12 |
| - | lo Link encap: | + | SMBIOS 2.5 present. |
| - | inet adr:127.0.0.1 Masque: | + | 10 structures occupying 450 bytes. |
| - | adr inet6: ::1/128 Scope: | + | Table at 0x000E1000. |
| - | UP LOOPBACK RUNNING | + | |
| - | RX packets:384 errors:0 dropped:0 overruns:0 frame:0 | + | |
| - | TX packets:384 errors:0 dropped:0 overruns:0 carrier:0 | + | |
| - | collisions: | + | |
| - | RX bytes:32496 (31.7 KiB) TX bytes:32496 (31.7 KiB) | + | |
| - | [root@centos6 ~]# ifup eth0 | + | Handle 0x0000, DMI type 0, 20 bytes |
| - | État de connexion active& | + | BIOS Information |
| - | État de chemin actif& | + | Vendor: innotek GmbH |
| - | état& | + | Version: VirtualBox |
| - | Connexion activée | + | Release Date: 12/01/2006 |
| - | [root@centos6 ~]# ifconfig | + | Address: 0xE0000 |
| - | eth0 Link encap: | + | Runtime Size: 128 kB |
| - | inet adr:10.0.2.15 | + | ROM Size: 128 kB |
| - | adr inet6: fe80:: | + | Characteristics: |
| - | UP BROADCAST RUNNING MULTICAST | + | ISA is supported |
| - | RX packets:27 errors:0 dropped:0 overruns:0 frame:0 | + | PCI is supported |
| - | TX packets:42 errors:0 dropped:0 overruns:0 carrier:0 | + | Boot from CD is supported |
| - | | + | Selectable boot is supported |
| - | RX bytes: | + | 8042 keyboard services are supported |
| + | CGA/mono video services are supported | ||
| + | ACPI is supported | ||
| - | lo Link encap: | + | Handle 0x0001, DMI type 1, 27 bytes |
| - | inet adr:127.0.0.1 | + | System Information |
| - | adr inet6: ::1/128 Scope:Hôte | + | Manufacturer: innotek GmbH |
| - | UP LOOPBACK RUNNING | + | Product Name: VirtualBox |
| - | RX packets:392 errors:0 dropped:0 overruns:0 frame:0 | + | Version: 1.2 |
| - | TX packets:392 errors:0 dropped:0 overruns:0 carrier:0 | + | Serial Number: 0 |
| - | | + | UUID: DDEE345C-66F8-4250-B5A2-85CEF2C1C54D |
| - | RX bytes:33600 (32.8 KiB) TX bytes:33600 (32.8 KiB) | + | Wake-up Type: Power Switch |
| - | </ | + | SKU Number: Not Specified |
| + | Family: Virtual Machine | ||
| - | ===/ | + | Handle 0x0008, DMI type 2, 15 bytes |
| + | Base Board Information | ||
| + | Manufacturer: | ||
| + | Product Name: VirtualBox | ||
| + | Version: 1.2 | ||
| + | Serial Number: 0 | ||
| + | Asset Tag: Not Specified | ||
| + | Features: | ||
| + | Board is a hosting board | ||
| + | Location In Chassis: Not Specified | ||
| + | Chassis Handle: 0x0003 | ||
| + | Type: Motherboard | ||
| + | Contained Object Handles: 0 | ||
| - | Ce fichier contient la correspondance entre des noms de réseaux et l' | + | Handle 0x0003, DMI type 3, 13 bytes |
| + | Chassis Information | ||
| + | Manufacturer: Oracle Corporation | ||
| + | Type: Other | ||
| + | Lock: Not Present | ||
| + | Version: Not Specified | ||
| + | Serial Number: Not Specified | ||
| + | Asset Tag: Not Specified | ||
| + | Boot-up State: Safe | ||
| + | Power Supply State: Safe | ||
| + | Thermal State: Safe | ||
| + | Security Status: None | ||
| - | < | + | Handle 0x0007, DMI type 126, 42 bytes |
| - | [root@centos6 ~]# cat / | + | Inactive |
| - | default 0.0.0.0 | + | |
| - | loopback 127.0.0.0 | + | |
| - | link-local 169.254.0.0 | + | |
| - | </ | + | |
| - | === Résolution d' | + | Handle 0x0005, DMI type 126, 15 bytes |
| + | Inactive | ||
| - | La configuration DNS est stockée dans le fichier **/ | + | Handle 0x0006, DMI type 126, 28 bytes |
| + | Inactive | ||
| + | Handle 0x0002, DMI type 11, 7 bytes | ||
| + | OEM Strings | ||
| + | String 1: vboxVer_4.3.28 | ||
| + | String 2: vboxRev_100309 | ||
| - | == / | + | Handle 0x0008, DMI type 128, 8 bytes |
| + | OEM-specific Type | ||
| + | Header and Data: | ||
| + | 80 08 08 00 01 15 21 00 | ||
| - | La configuration DNS est stockée dans le fichier / | + | Handle 0xFEFF, DMI type 127, 4 bytes |
| + | End Of Table | ||
| - | < | ||
| - | [root@centos6 ~]# cat / | ||
| - | # Generated by NetworkManager | ||
| - | |||
| - | |||
| - | # No nameservers found; try putting DNS servers into your | ||
| - | # ifcfg files in / | ||
| - | # | ||
| - | # DNS1=xxx.xxx.xxx.xxx | ||
| - | # DNS2=xxx.xxx.xxx.xxx | ||
| - | # DOMAIN=lab.foo.com bar.foo.com | ||
| - | nameserver 8.8.8.8 | ||
| - | nameserver 8.8.4.4 | ||
| - | search fenestros.loc | ||
| </ | </ | ||
| - | <WRAP center round important> | + | ===Options |
| - | Notez que les DNS utilisés sont les serveurs DNS publics | + | |
| - | </ | + | |
| - | + | Les options | |
| - | ==/ | + | |
| - | + | ||
| - | L' | + | |
| < | < | ||
| - | [root@centos6 | + | [root@centos7 |
| - | hosts: | + | Usage: dmidecode [OPTIONS] |
| + | Options are: | ||
| + | -d, --dev-mem FILE Read memory from device FILE (default: /dev/mem) | ||
| + | -h, --help | ||
| + | -q, --quiet | ||
| + | -s, --string KEYWORD | ||
| + | -t, --type TYPE Only display the entries of given type | ||
| + | -u, --dump | ||
| + | | ||
| + | | ||
| + | -V, --version | ||
| </ | </ | ||
| - | == /etc/ | + | =====Répertoire |
| - | Le mot **files** dans la sortie | + | Le répertoire /proc contient des fichiers et des répertoires virtuels. Le contenu de ces fichiers est créé dynamiquement lors de la consultation. Seul root peut consulter la totalité des informations dans le répertoire |
| < | < | ||
| - | [root@centos6 | + | [root@centos7 |
| - | 10.0.2.15 centos6 # Added by NetworkManager | + | 1 217 260 |
| - | 127.0.0.1 localhost.localdomain localhost | + | 10 22619 2605 2879 3091 478 |
| - | :: | + | 11 |
| + | 12 | ||
| + | 1215 | ||
| + | 1217 | ||
| + | 1227 | ||
| + | 1228 | ||
| + | 1230 | ||
| + | 1264 | ||
| + | 13 | ||
| + | 1372 | ||
| + | 14 | ||
| + | 15 23998 2759 2948 38 508 | ||
| + | 16 | ||
| + | 17 | ||
| + | 1732 | ||
| + | 1744 | ||
| + | 17788 2486 | ||
| + | 18 | ||
| + | 19 | ||
| + | 2 259 28 2998 434 | ||
| + | 20 | ||
| + | 20638 2597 | ||
| + | 21 | ||
| </ | </ | ||
| - | Pour tester le serveur DNS, deux commandes sont possibles : | + | ====Répertoires==== |
| - | < | + | ===ide/ |
| - | [root@centos6 ~]# nslookup www.i2tch.com | + | |
| - | Server: | + | |
| - | Address: | + | |
| - | Non-authoritative answer: | + | Ce répertoire contient des répertoires dans lesquels se trouvent des informations sur la capacité, le type et la géométrie des disques. |
| - | www.i2tch.com canonical name = i2tch.com. | + | |
| - | Name: | + | |
| - | Address: 90.119.37.144 | + | |
| - | [root@centos6 ~]# dig www.i2tch.com | + | ===acpi=== |
| - | ; <<>> | + | Ce répertoire contient des informations sur la gestion de l' |
| - | ;; global options: +cmd | + | |
| - | ;; Got answer: | + | |
| - | ;; ->> | + | |
| - | ;; flags: qr rd ra; QUERY: 1, ANSWER: 2, AUTHORITY: 0, ADDITIONAL: 1 | + | |
| - | ;; OPT PSEUDOSECTION: | + | ===bus=== |
| - | ; EDNS: version: 0, flags:; udp: 65494 | + | |
| - | ;; QUESTION SECTION: | + | |
| - | ; | + | |
| - | ;; ANSWER SECTION: | + | Ce répertoire contient un sous-répertoire par bus. |
| - | www.i2tch.com. 6563 IN CNAME i2tch.com. | + | |
| - | i2tch.com. 50 IN A 90.119.37.144 | + | |
| - | ;; Query time: 1 msec | + | ===net=== |
| - | ;; SERVER: 8.8.8.8# | + | |
| - | ;; WHEN: Mon Jan 22 18:00:27 CET 2018 | + | |
| - | ;; MSG SIZE rcvd: 72 | + | |
| - | </ | + | |
| - | ==== Services réseaux ==== | + | Ce répertoire contient des informations sur le réseau. |
| - | Quand un client émet une demande de connexion vers une application réseau sur un serveur, il utilise un socket attaché à un port local **supérieur à 1023**, alloué d'une manière dynamique. La requête contient le port de destination sur le serveur. Certaines applications serveurs se gèrent toutes seules, ce qui est la cas par exemple d' | + | ===sys=== |
| - | === xinetd === | + | Ce répertoire contient des paramètres du noyau. Certains des fichiers dans ce répertoire sont accessibles en écriture par root en temps réel. Par exemple pour éviter des attaques réseau **%%DoS%%** utilisant la commande **ping**, saisissez la commande suivante : |
| - | Sous RHEL/CentOS 6 xinetd n'est pas installé par défaut. Installez-le grâce à yum : | + | # echo 1 > /proc/ |
| - | < | + | Cette commande a pour résultat d' |
| - | [root@centos6 ~]# yum install xinetd | + | |
| - | Loaded plugins: fastestmirror, | + | |
| - | Loading mirror speeds from cached hostfile | + | |
| - | * base: fr2.rpmfind.net | + | |
| - | * extras: fr2.rpmfind.net | + | |
| - | * updates: fr2.rpmfind.net | + | |
| - | Setting up Install Process | + | |
| - | Resolving Dependencies | + | |
| - | --> Running transaction check | + | |
| - | ---> Package xinetd.i686 2: | + | |
| - | --> Finished Dependency Resolution | + | |
| - | Dependencies Resolved | + | ===La commande sysctl=== |
| - | ================================================================================ | + | Les fichiers dans le répertoire **/ |
| - | | + | |
| - | ================================================================================ | + | |
| - | Installing: | + | |
| - | | + | |
| - | Transaction Summary | + | La commande **sysctl** applique les règles consignés dans le fichier **/etc/sysctl.conf** au démarrage de la machine. |
| - | ================================================================================ | + | |
| - | Install | + | |
| - | Upgrade | + | |
| - | + | ||
| - | Total download size: 121 k | + | |
| - | Installed size: 258 k | + | |
| - | Is this ok [y/N]: y | + | |
| - | Downloading Packages: | + | |
| - | xinetd-2.3.14-33.el6.i686.rpm | + | |
| - | Running rpm_check_debug | + | |
| - | Running Transaction Test | + | |
| - | Transaction Test Succeeded | + | |
| - | Running Transaction | + | |
| - | Installing | + | |
| - | + | ||
| - | Installed: | + | |
| - | xinetd.i686 2:2.3.14-33.el6 | + | |
| - | + | ||
| - | Complete! | + | |
| - | </ | + | |
| - | Le programme xinetd est configuré via le fichier **/ | + | Saisissez la commande |
| < | < | ||
| - | [root@centos6 | + | [root@centos7 |
| + | # System default settings live in / | ||
| + | # To override those settings, enter new settings here, or in an / | ||
| # | # | ||
| - | # This is the master xinetd configuration file. Settings in the | + | # For more information, |
| - | # default section will be inherited by all service configurations | + | |
| - | # unless explicitly overridden in the service configuration. See | + | |
| - | # xinetd.conf in the man pages for a more detailed explanation of | + | |
| - | # these attributes. | + | |
| - | defaults | + | [root@centos7 ~]# cat / |
| - | { | + | # Kernel sysctl configuration file |
| - | # The next two items are intended to be a quick access place to | + | |
| - | # temporarily enable or disable services. | + | |
| # | # | ||
| - | # enabled = | + | # For binary values, 0 is disabled, 1 is enabled. See sysctl(8) and |
| - | # disabled = | + | # sysctl.conf(5) for more details. |
| - | # Define general logging characteristics. | + | # Disable netfilter on bridges. |
| - | log_type = SYSLOG daemon info | + | net.bridge.bridge-nf-call-ip6tables |
| - | log_on_failure = HOST | + | net.bridge.bridge-nf-call-iptables |
| - | log_on_success = PID HOST DURATION EXIT | + | net.bridge.bridge-nf-call-arptables |
| - | # Define access restriction defaults | + | # Controls the maximum shared segment size, in bytes |
| - | # | + | kernel.shmmax |
| - | # | + | |
| - | # | + | |
| - | # | + | |
| - | cps = 50 10 | + | |
| - | instances = 50 | + | |
| - | per_source = 10 | + | |
| - | # Address and networking defaults | + | # Controls the maximum number of shared memory segments, in pages |
| - | # | + | |
| - | # bind = | + | |
| - | # mdns = yes | + | |
| - | v6only = no | + | |
| - | # setup environmental attributes | + | [root@centos7 ~]# ls -l / |
| - | # | + | total 0 |
| - | # | + | lrwxrwxrwx. 1 root root 14 Jun 4 09:54 99-sysctl.conf -> ../ |
| - | groups = yes | + | |
| - | umask = 002 | + | |
| - | # Generally, banners are not used. This sets up their global defaults | + | [root@centos7 ~]# cat / |
| + | # System default settings live in / | ||
| + | # To override those settings, enter new settings here, or in an / | ||
| # | # | ||
| - | # banner = | + | # For more information, |
| - | # | + | |
| - | # | + | |
| - | } | + | |
| - | + | ||
| - | includedir /etc/xinetd.d | + | |
| </ | </ | ||
| - | Les valeurs des directives dans le fichier **/ | + | ==Options |
| - | Les variables les plus importantes dans **/ | + | Les options |
| - | + | ||
| - | ^ Directive | + | |
| - | | instances | + | |
| - | | log_type | + | |
| - | | log_on_succes | + | |
| - | | log_on_failure | + | |
| - | | cps | Indique 50 connexions par seconde avec un temps d' | + | |
| - | + | ||
| - | Les options concernant les journaux | + | |
| - | + | ||
| - | | HOST | Journalisation de l' | + | |
| - | | PID | Journalisation du PID du processus qui reçoit la demande d' | + | |
| - | | DURATION | + | |
| - | | EXIT | Journalisation de l' | + | |
| - | + | ||
| - | Il est aussi possible de trouver les options suivantes pour les journaux : | + | |
| - | + | ||
| - | | ATTEMPT | + | |
| - | | USERID | + | |
| - | + | ||
| - | Examinons maintenant le répertoire **/ | + | |
| < | < | ||
| - | [root@centos6 | + | [root@centos7 |
| - | total 52 | + | |
| - | -rw-------. 1 root root 1157 7 déc. 22:07 chargen-dgram | + | |
| - | -rw-------. 1 root root 1159 7 déc. 22:07 chargen-stream | + | |
| - | -rw-r--r--. 1 root root 523 25 juin 2011 cvs | + | |
| - | -rw-------. 1 root root 1157 7 déc. 22:07 daytime-dgram | + | |
| - | -rw-------. 1 root root 1159 7 déc. 22:07 daytime-stream | + | |
| - | -rw-------. 1 root root 1157 7 déc. 22:07 discard-dgram | + | |
| - | -rw-------. 1 root root 1159 7 déc. 22:07 discard-stream | + | |
| - | -rw-------. 1 root root 1148 7 déc. 22:07 echo-dgram | + | |
| - | -rw-------. 1 root root 1150 7 déc. 22:07 echo-stream | + | |
| - | -rw-r--r--. 1 root root 332 20 mai 2009 rsync | + | |
| - | -rw-------. 1 root root 1212 7 déc. 22:07 tcpmux-server | + | |
| - | -rw-------. 1 root root 1149 7 déc. 22:07 time-dgram | + | |
| - | -rw-------. 1 root root 1150 7 déc. 22:07 time-stream | + | |
| - | </ | + | |
| - | A l' | + | Usage: |
| + | | ||
| - | < | + | Options: |
| - | [root@centos6 ~]# cat / | + | -a, --all |
| - | # default: off | + | -A |
| - | # description: | + | |
| - | # files. CVS stores | + | |
| - | # file in a clever way that only stores the differences \ | + | -b, --binary |
| - | # between versions. | + | -e, --ignore |
| - | service cvspserver | + | -N, --names |
| - | { | + | -n, --values |
| - | disable = yes | + | -p, --load[=< |
| - | port = 2401 | + | |
| - | socket_type = stream | + | |
| - | protocol = tcp | + | -r, --pattern < |
| - | wait = no | + | select setting that match expression |
| - | user = root | + | -q, --quiet |
| - | passenv = PATH | + | -w, --write enable writing a value to variable |
| - | server = / | + | |
| - | env = HOME=/ | + | |
| - | server_args = | + | |
| - | # bind = 127.0.0.1 | + | |
| - | } | + | |
| - | </ | + | |
| - | Les directives principales de ce fichier sont : | + | -h, --help |
| + | -V, --version | ||
| - | ^ Paramètre | + | For more details see sysctl(8). |
| - | | disable | + | |
| - | | port | Le numéro de port ou, à défaut, le numéro indiqué pour le service dans le fichier / | + | |
| - | | socket_type | + | |
| - | | protocol | + | |
| - | | wait | **no** : indique si xinetd active un serveur par client. **yes** : indique que xinetd active un seul serveur pour tous les client | | + | |
| - | | user | Indique le compte sous lequel le serveur est exécuté | | + | |
| - | | server | + | |
| - | | env | Définit un environnement système | | + | |
| - | | server_args | + | |
| - | + | ||
| - | Cependant il est aussi possible d' | + | |
| - | + | ||
| - | ^ Paramètre | + | |
| - | | nice | Fixe le niveau de nice entre -19 et +20 | 10 | | + | |
| - | | max_load | + | |
| - | | bind | Limite le service à l' | + | |
| - | | only_from | + | |
| - | | no_access | + | |
| - | | access_time | + | |
| - | | redirect | + | |
| - | + | ||
| - | Afin d' | + | |
| - | + | ||
| - | === TCP Wrapper === | + | |
| - | + | ||
| - | **TCP Wrapper** contrôle l' | + | |
| - | + | ||
| - | Quand une requête arrive pour un serveur, xinetd active le wrapper **tcpd** au lieu d' | + | |
| - | + | ||
| - | **tcpd** met à jour un journal et vérifie si le client a le droit d' | + | |
| - | + | ||
| - | * **/ | + | |
| - | * **/ | + | |
| - | + | ||
| - | Il faut noter que si ces fichiers n' | + | |
| - | + | ||
| - | Le format d'une ligne dans un de ces deux fichiers est: | + | |
| - | + | ||
| - | < | + | |
| - | démon : liste_de_clients | + | |
| - | </ | + | |
| - | + | ||
| - | Par exemple dans le cas d'un serveur **démon**, on verrait une ligne dans le fichier **/ | + | |
| - | + | ||
| - | < | + | |
| - | démon : LOCAL, .fenestros.loc | + | |
| - | </ | + | |
| - | + | ||
| - | ce qui implique que les machines dont le nom ne comporte pas de point ainsi que les machines du domaine **fenestros.loc** sont autorisées à utiliser le service. | + | |
| - | + | ||
| - | Le mot clef **ALL** peut être utilisé pour indiquer tout. Par exemple, **ALL:ALL** dans le fichier **/ | + | |
| - | + | ||
| - | ====Routage Statique==== | + | |
| - | + | ||
| - | ===La Commande route=== | + | |
| - | + | ||
| - | Pour afficher la table de routage de la machine vous pouvez utiliser la commande **route** : | + | |
| - | + | ||
| - | < | + | |
| - | [root@centos6 ~]# route | + | |
| - | Table de routage IP du noyau | + | |
| - | Destination | + | |
| - | 192.168.1.0 | + | |
| - | 10.0.2.0 | + | |
| - | link-local | + | |
| - | default | + | |
| </ | </ | ||
| - | La table issue de la commande | + | <WRAP center round important> |
| + | **Important** : Consultez la page de la traduction du manuel de **sysctl** **[[http:// | ||
| + | </ | ||
| - | * La destination qui peut être un hôte ou un réseau et est identifiée par les champs **Destination** et **Genmask** | + | ====Fichiers==== |
| - | * La route à prendre identifiée par les champs **Gateway** et **Iface**. Dans le cas d'une valeur de 0.0.0.0 ceci spécifie une route directe. La valeur d' | + | |
| - | * Le champ **Indic** qui peux prendre un ou plusieurs de svaleurs suivantes: | + | |
| - | * U - **Up** - la route est active | + | |
| - | * H - **Host** - la route conduit à un hôte | + | |
| - | * G - **Gateways** - la route passe par une passerelle | + | |
| - | * Le champ **Metric** indique le nombre de sauts (passerelles) pour atteindre la destination, | + | |
| - | * Le champ **Ref** indique le nombre de références à cette route. Ce champs est usilisé par le Noyau de Linux, | + | |
| - | * Le champ **Use** indique le nombre de recherches associés à cette route. | + | |
| - | La commande **route** permet aussi de paramétrer le routage indirect. Par exemple pour supprimer la route vers le réseau 192.168.1.0 : | + | ===Processeur=== |
| < | < | ||
| - | [root@centos6 | + | [root@centos7 |
| - | [root@centos6 ~]# route | + | processor : |
| - | Table de routage IP du noyau | + | vendor_id : GenuineIntel |
| - | Destination | + | cpu family : 6 |
| - | 10.0.2.0 * | + | model : 55 |
| - | link-local | + | model name : Intel(R) Celeron(R) CPU N2840 @ 2.16GHz |
| - | default | + | stepping : 8 |
| + | microcode : 0x19 | ||
| + | cpu MHz : 2167.721 | ||
| + | cache size : 6144 KB | ||
| + | physical id : 0 | ||
| + | siblings : 1 | ||
| + | core id : 0 | ||
| + | cpu cores : 1 | ||
| + | apicid : | ||
| + | initial apicid : | ||
| + | fpu : yes | ||
| + | fpu_exception : | ||
| + | cpuid level : 5 | ||
| + | wp : yes | ||
| + | flags : fpu vme de pse tsc msr pae mce cx8 apic sep mtrr pge mca cmov pat pse36 clflush mmx fxsr sse sse2 syscall nx rdtscp lm constant_tsc rep_good nopl pni monitor ssse3 lahf_lm | ||
| + | bogomips : 4335.44 | ||
| + | clflush size : 64 | ||
| + | cache_alignment : | ||
| + | address sizes : 36 bits physical, 48 bits virtual | ||
| + | power management: | ||
| </ | </ | ||
| - | Pour ajouter la route vers le réseau 192.168.1.0 : | + | ===Interruptions système=== |
| < | < | ||
| - | [root@centos6 | + | [root@centos7 |
| - | [root@centos6 ~]# route | + | |
| - | Table de routage IP du noyau | + | 0: 189 IO-APIC-edge |
| - | Destination | + | |
| - | 192.168.1.0 | + | 8: |
| - | 10.0.2.0 | + | 9: |
| - | link-local | + | 12: 22452 |
| - | default | + | 14: 0 |
| + | 15: 13891 | ||
| + | 19: 25816 | ||
| + | | ||
| + | | ||
| + | | ||
| + | NMI: | ||
| + | LOC: 1630315 | ||
| + | SPU: | ||
| + | PMI: | ||
| + | IWI: 83206 IRQ work interrupts | ||
| + | RTR: | ||
| + | RES: | ||
| + | CAL: | ||
| + | TLB: | ||
| + | TRM: | ||
| + | THR: | ||
| + | MCE: | ||
| + | MCP: | ||
| + | ERR: | ||
| + | MIS: | ||
| </ | </ | ||
| <WRAP center round important> | <WRAP center round important> | ||
| - | La commande utilisée pour ajouter une passerelle par défaut prend la forme suivante | + | **Important** : Un pilote de périphérique demande au processeur de fournir un service en utilisant un IRQ. Quand la demande est faite, le processeur interrompe ses activités et passe le contrôle au pilote identifié par l'IRQ. Techniquement l' |
| - | </ | + | </ |
| - | Les options cette commande sont : | + | ===Canaux DMA=== |
| < | < | ||
| - | [root@centos6 | + | [root@centos7 |
| - | Syntaxe: route [-nNvee] [-FC] [< | + | 4: cascade |
| - | route [-v] [-FC] {add|del|flush} ... Modifie la table de routage pour AF. | + | |
| - | + | ||
| - | route {-h|--help} [< | + | |
| - | route {-V|--version} | + | |
| - | + | ||
| - | -v, --verbose | + | |
| - | -n, --numeric | + | |
| - | -e, --extend | + | |
| - | -F, --fib display Forwarding Information Base (default) | + | |
| - | -C, --cache | + | |
| - | + | ||
| - | < | + | |
| - | Liste les familles d' | + | |
| - | inet (DARPA Internet) inet6 (IPv6) ax25 (AMPR AX.25) | + | |
| - | netrom (AMPR NET/ROM) ipx (Novell IPX) ddp (Appletalk DDP) | + | |
| - | x25 (CCITT X.25) | + | |
| </ | </ | ||
| - | Vous pouvez aussi utiliser la commande **netstat** pour afficher la table de routage de la machine : | + | ===Plages d' |
| < | < | ||
| - | [root@centos6 | + | [root@centos7 |
| - | Table de routage IP du noyau | + | 0000-001f : dma1 |
| - | Destination | + | 0020-0021 : pic1 |
| - | 192.168.1.0 | + | 0040-0043 : timer0 |
| - | 192.168.1.0 | + | 0050-0053 : timer1 |
| - | 10.0.2.0 | + | 0060-0060 : keyboard |
| - | 0.0.0.0 | + | 0064-0064 : keyboard |
| + | 0070-0071 : rtc_cmos | ||
| + | 0070-0071 : rtc0 | ||
| + | 0080-008f : dma page reg | ||
| + | 00a0-00a1 : pic2 | ||
| + | 00c0-00df : dma2 | ||
| + | 00f0-00ff : fpu | ||
| + | 0170-0177 : 0000:00:01.1 | ||
| + | 0170-0177 : ata_piix | ||
| + | 01f0-01f7 : 0000:00:01.1 | ||
| + | | ||
| + | 0376-0376 : 0000:00:01.1 | ||
| + | | ||
| + | 03c0-03df : vga+ | ||
| + | 03f6-03f6 : 0000:00:01.1 | ||
| + | 03f6-03f6 : ata_piix | ||
| + | 0cf8-0cff : PCI conf1 | ||
| + | 4000-4003 : ACPI PM1a_EVT_BLK | ||
| + | --More-- | ||
| </ | </ | ||
| - | La table issue de la commande **netstat -nr** indique les informations suivantes: | + | <WRAP center round alert 60%> |
| - | + | Si deux périphériques ont le même port, les **deux** | |
| - | * La champ **MSS** indique la taille maximale des segments TCP sur la route, | + | |
| - | * Le champ **Window** indique la taille de la fenêtre sur cette route, | + | |
| - | * Le champ **irrt** indique le paramètre IRRT pour la route. | + | |
| - | + | ||
| - | ===Activer/ | + | |
| - | + | ||
| - | Pour activer le routage sur le serveur, il convient d' | + | |
| - | + | ||
| - | <code> | + | |
| - | [root@centos6 ~]# echo 1 > / | + | |
| - | [root@centos6 ~]# cat / | + | |
| - | 1 | + | |
| - | </ | + | |
| - | + | ||
| - | Pour désactiver | + | |
| - | + | ||
| - | < | + | |
| - | [root@centos6 ~]# echo 0 > / | + | |
| - | [root@centos6 ~]# cat / | + | |
| - | 0 | + | |
| - | </ | + | |
| - | + | ||
| - | =====Configuration du Réseau sous RHEL/CentOS 7===== | + | |
| - | + | ||
| - | RHEL/CentOS 7 utilise exclusivement | + | |
| - | + | ||
| - | | + | |
| - | | + | |
| - | + | ||
| - | <WRAP center round important> | + | |
| - | **Important** : Notez qu' | + | |
| </ | </ | ||
| - | Le service NetworkManager doit toujours être lancé : | + | ===Périphériques=== |
| < | < | ||
| - | [root@centos7 ~]# systemctl status NetworkManager.service | + | [root@centos7 ~]# cat / |
| - | ● NetworkManager.service - Network Manager | + | Character devices: |
| - | | + | 1 mem |
| - | Active: active (running) since Sun 2016-08-07 09:18:20 CEST; 1 day 1h ago | + | 4 /dev/vc/0 |
| - | Main PID: 673 (NetworkManager) | + | 4 tty |
| - | CGroup: | + | 4 ttyS |
| - | ├─ 673 /usr/sbin/ | + | |
| - | └─2673 | + | |
| + | | ||
| + | 6 lp | ||
| + | 7 vcs | ||
| + | 10 misc | ||
| + | 13 input | ||
| + | 14 sound | ||
| + | 29 fb | ||
| + | 99 ppdev | ||
| + | 116 alsa | ||
| + | 128 ptm | ||
| + | 136 pts | ||
| + | 162 raw | ||
| + | 180 usb | ||
| + | 188 ttyUSB | ||
| + | 189 usb_device | ||
| + | 202 cpu/msr | ||
| + | 203 cpu/cpuid | ||
| + | 226 drm | ||
| + | 250 hidraw | ||
| + | 251 usbmon | ||
| + | 252 bsg | ||
| + | 253 watchdog | ||
| + | 254 rtc | ||
| - | Aug 08 11:03:55 centos7.fenestros.loc NetworkManager[673]: | + | Block devices: |
| - | Aug 08 11:03:55 centos7.fenestros.loc NetworkManager[673]: | + | 259 blkext |
| - | Aug 08 11:03:55 centos7.fenestros.loc NetworkManager[673]: | + | |
| - | Aug 08 11:03:55 centos7.fenestros.loc NetworkManager[673]: | + | |
| - | Aug 08 11:03:55 centos7.fenestros.loc NetworkManager[673]: | + | |
| - | Aug 08 11:03:55 centos7.fenestros.loc NetworkManager[673]: | + | 65 sd |
| - | Aug 08 11:03:55 centos7.fenestros.loc NetworkManager[673]: | + | 66 sd |
| - | Aug 08 11:03:55 centos7.fenestros.loc NetworkManager[673]: | + | 67 sd |
| - | Aug 08 11:03:55 centos7.fenestros.loc NetworkManager[673]: | + | 68 sd |
| - | Aug 08 11:03:55 centos7.fenestros.loc dhclient[2673]: | + | 69 sd |
| + | 70 sd | ||
| + | 71 sd | ||
| + | 128 sd | ||
| + | 129 sd | ||
| + | 130 sd | ||
| + | 131 sd | ||
| + | 132 sd | ||
| + | 133 sd | ||
| + | 134 sd | ||
| + | 135 sd | ||
| + | 253 device-mapper | ||
| + | 254 mdp | ||
| </ | </ | ||
| - | ====La Commande nmcli==== | + | ===Modules=== |
| - | + | ||
| - | La commande **nmcli** (Network Manager Command Line Interface) est utilisée pour configurer NetworkManager. | + | |
| - | + | ||
| - | Les options et les sous-commandes peuvent être consultées en utilisant les commandes suivantes : | + | |
| < | < | ||
| - | [root@centos7 ~]# nmcli help | + | [root@centos7 ~]# cat / |
| - | Usage: nmcli [OPTIONS] OBJECT { COMMAND | + | tcp_lp 12663 0 - Live 0xffffffffa059d000 |
| - | + | lp 17759 0 - Live 0xffffffffa0593000 | |
| - | OPTIONS | + | nls_utf8 12557 1 - Live 0xffffffffa0527000 |
| - | -t[erse] | + | isofs 39844 1 - Live 0xffffffffa0588000 |
| - | -p[retty] | + | bnep 19704 2 - Live 0xffffffffa0516000 |
| - | -m[ode] tabular|multiline | + | bluetooth 372662 7 bnep, Live 0xffffffffa052c000 |
| - | | + | rfkill 26536 3 bluetooth, Live 0xffffffffa051f000 |
| - | -e[scape] yes|no | + | fuse 87741 3 - Live 0xffffffffa04ff000 |
| - | -n[ocheck] | + | ip6t_rpfilter 12546 1 - Live 0xffffffffa04fa000 |
| - | -a[sk] ask for missing parameters | + | ip6t_REJECT 12939 2 - Live 0xffffffffa04f5000 |
| - | -w[ait] < | + | ipt_REJECT 12541 2 - Live 0xffffffffa04f0000 |
| - | -v[ersion] | + | xt_conntrack 12760 7 - Live 0xffffffffa04e6000 |
| - | -h[elp] | + | ebtable_nat 12807 0 - Live 0xffffffffa04e1000 |
| - | + | ebtable_broute 12731 0 - Live 0xffffffffa04eb000 | |
| - | OBJECT | + | bridge 115385 1 ebtable_broute, |
| - | | + | stp 12976 1 bridge, Live 0xffffffffa04be000 |
| - | | + | llc 14552 2 bridge,stp, Live 0xffffffffa04b5000 |
| - | | + | ebtable_filter 12827 0 - Live 0xffffffffa04b0000 |
| - | | + | ebtables 30913 3 ebtable_nat, |
| - | | + | 000 |
| - | | + | ip6table_nat 12864 1 - Live 0xffffffffa049e000 |
| - | + | nf_conntrack_ipv6 18738 5 - Live 0xffffffffa0498000 | |
| - | [root@centos7 ~]# nmcli g help | + | nf_defrag_ipv6 34651 1 nf_conntrack_ipv6, Live 0xffffffffa048a000 |
| - | Usage: nmcli general { COMMAND | help } | + | --More-- |
| - | + | ||
| - | COMMAND := { status | hostname | permissions | logging } | + | |
| - | + | ||
| - | status | + | |
| - | + | ||
| - | hostname [< | + | |
| - | + | ||
| - | permissions | + | |
| - | + | ||
| - | logging [level <log level>] [domains <log domains> | + | |
| - | + | ||
| - | + | ||
| - | [root@centos7 ~]# nmcli g status help | + | |
| - | Usage: nmcli general status { help } | + | |
| - | + | ||
| - | Show overall status of NetworkManager. | + | |
| - | ' | + | |
| </ | </ | ||
| - | ====Connections et Profils==== | + | ===Statistiques de l' |
| - | + | ||
| - | NetworkManager inclus la notion de **connections** ou **profils** permettant des configurations différentes en fonction de la localisation. Pour voir les connections actuelles, utilisez la commande **nmcli c** avec la sous-commande **show** : | + | |
| < | < | ||
| - | [root@centos7 ~]# nmcli c show | + | [root@centos7 ~]# cat / |
| - | NAME UUID TYPE DEVICE | + | |
| - | Wired connection | + | 8 0 sda 19700 638 2178341 386424 13324 1605 547086 356748 0 164849 740706 |
| + | | ||
| + | | ||
| + | | ||
| </ | </ | ||
| - | Comme on peut constater ici, il n' | + | ===Partitions=== |
| - | + | ||
| - | Créez donc un profil IP fixe rattaché au périphérique **enp0s3** : | + | |
| < | < | ||
| - | [root@centos7 ~]# nmcli connection add con-name ip_fixe ifname enp0s3 type ethernet ip4 10.0.2.16/24 gw4 10.0.2.2 | + | [root@centos7 ~]# cat /proc/ |
| - | Connection ' | + | major minor # |
| - | </ | + | |
| - | Constatez sa présence : | + | 11 0 56876 sr0 |
| - | + | 8 0 | |
| - | < | + | 8 1 |
| - | [root@centos7 ~]# nmcli c show | + | 8 2 7168000 sda2 |
| - | NAME UUID TYPE DEVICE | + | 8 |
| - | ip_fixe | + | |
| - | Wired connection 1 45b701c1-0a21-4d76-a795-2f2bcba86955 | + | |
| </ | </ | ||
| - | Notez que la sortie n' | + | ===Espaces de pagination=== |
| < | < | ||
| - | [root@centos7 ~]# nmcli d show | + | [root@centos7 ~]# cat /proc/swaps |
| - | GENERAL.DEVICE: | + | Filename Type Size Used Priority |
| - | GENERAL.TYPE: | + | /dev/ |
| - | GENERAL.HWADDR: | + | |
| - | GENERAL.MTU: | + | |
| - | GENERAL.STATE: | + | |
| - | GENERAL.CONNECTION: | + | |
| - | GENERAL.CON-PATH: | + | |
| - | WIRED-PROPERTIES.CARRIER: | + | |
| - | IP4.ADDRESS[1]: | + | |
| - | IP4.GATEWAY: | + | |
| - | IP4.DNS[1]: | + | |
| - | IP6.ADDRESS[1]: | + | |
| - | IP6.GATEWAY: | + | |
| - | + | ||
| - | GENERAL.DEVICE: | + | |
| - | GENERAL.TYPE: | + | |
| - | GENERAL.HWADDR: | + | |
| - | GENERAL.MTU: | + | |
| - | GENERAL.STATE: | + | |
| - | GENERAL.CONNECTION: | + | |
| - | GENERAL.CON-PATH: | + | |
| - | IP4.ADDRESS[1]: | + | |
| - | IP4.GATEWAY: | + | |
| - | IP6.ADDRESS[1]: | + | |
| - | IP6.GATEWAY: | + | |
| </ | </ | ||
| - | Pour activer le profil ip_fixe, utilisez la commande suivante : | + | ===Statistiques d' |
| < | < | ||
| - | [root@centos7 ~]# nmcli connection up ip_fixe | + | [root@centos7 ~]# cat / |
| + | 1.82 1.07 0.81 3/379 25349 | ||
| </ | </ | ||
| - | Le profil ip_fixe est maintenant activé tandis que le profil enp0s3 a été désactivé : | + | ===Statistiques d' |
| < | < | ||
| - | [root@centos7 ~]# nmcli c show | + | [root@centos7 ~]# cat / |
| - | NAME UUID TYPE DEVICE | + | MemTotal: |
| - | ip_fixe | + | MemFree: |
| - | Wired connection 1 45b701c1-0a21-4d76-a795-2f2bcba86955 | + | MemAvailable: |
| - | [root@centos7 ~]# nmcli d show | + | Buffers: |
| - | GENERAL.DEVICE: enp0s3 | + | Cached: 790132 kB |
| - | GENERAL.TYPE: ethernet | + | SwapCached: 0 kB |
| - | GENERAL.HWADDR: 08:00: | + | Active: |
| - | GENERAL.MTU: 1500 | + | Inactive: 529520 kB |
| - | GENERAL.STATE: | + | Active(anon): 620404 kB |
| - | GENERAL.CONNECTION: ip_fixe | + | Inactive(anon): 131808 kB |
| - | GENERAL.CON-PATH: / | + | Active(file): |
| - | WIRED-PROPERTIES.CARRIER: on | + | Inactive(file): 397712 kB |
| - | IP4.ADDRESS[1]: 10.0.2.16/ | + | Unevictable: 0 kB |
| - | IP4.GATEWAY: | + | Mlocked: 0 kB |
| - | IP6.ADDRESS[1]: fe80::a00:27ff:fe03:97dd/64 | + | SwapTotal: 3071996 kB |
| - | IP6.GATEWAY: | + | SwapFree: |
| - | + | Dirty: 35168 kB | |
| - | GENERAL.DEVICE: lo | + | Writeback: 0 kB |
| - | GENERAL.TYPE: loopback | + | AnonPages: |
| - | GENERAL.HWADDR: 00:00:00:00:00:00 | + | Mapped: 138756 kB |
| - | GENERAL.MTU: 65536 | + | Shmem: 10664 kB |
| - | GENERAL.STATE: 10 (unmanaged) | + | Slab: 98304 kB |
| - | GENERAL.CONNECTION: -- | + | SReclaimable: 59848 kB |
| - | GENERAL.CON-PATH: -- | + | SUnreclaim: |
| - | IP4.ADDRESS[1]: 127.0.0.1/8 | + | KernelStack: 5808 kB |
| - | IP4.GATEWAY: | + | PageTables: 24140 kB |
| - | IP6.ADDRESS[1]: | + | NFS_Unstable: 0 kB |
| - | IP6.GATEWAY: | + | Bounce: 0 kB |
| + | WritebackTmp: 0 kB | ||
| + | CommitLimit: 3967808 kB | ||
| + | Committed_AS: | ||
| + | VmallocTotal: 34359738367 kB | ||
| + | VmallocUsed: 28612 kB | ||
| + | VmallocChunk: 34359706684 kB | ||
| + | HardwareCorrupted: 0 kB | ||
| + | AnonHugePages: | ||
| + | HugePages_Total: | ||
| + | HugePages_Free: | ||
| + | HugePages_Rsvd: 0 | ||
| + | HugePages_Surp: 0 | ||
| + | Hugepagesize: 2048 kB | ||
| + | DirectMap4k: 75712 kB | ||
| + | DirectMap2M: 1759232 kB | ||
| </ | </ | ||
| - | Pour consulter les paramètres d'un profil, utilisez la commande suivante : | + | ===Version du noyau=== |
| < | < | ||
| - | [root@centos7 ~]# nmcli -p connection show "Wired connection 1" | + | [root@centos7 ~]# cat / |
| - | =============================================================================== | + | Linux version |
| - | Connection profile details (Wired connection 1) | + | |
| - | =============================================================================== | + | |
| - | connection.id: | + | |
| - | connection.uuid: | + | |
| - | connection.interface-name: | + | |
| - | connection.type: | + | |
| - | connection.autoconnect: | + | |
| - | connection.autoconnect-priority: | + | |
| - | connection.timestamp: | + | |
| - | connection.read-only: no | + | |
| - | connection.permissions: | + | |
| - | connection.zone: -- | + | |
| - | connection.master: | + | |
| - | connection.slave-type: | + | |
| - | connection.autoconnect-slaves: | + | |
| - | connection.secondaries: | + | |
| - | connection.gateway-ping-timeout: | + | |
| - | connection.metered: | + | |
| - | ------------------------------------------------------------------------------- | + | |
| - | 802-3-ethernet.port: | + | |
| - | 802-3-ethernet.speed: | + | |
| - | 802-3-ethernet.duplex: | + | |
| - | 802-3-ethernet.auto-negotiate: | + | |
| - | 802-3-ethernet.mac-address: | + | |
| - | 802-3-ethernet.cloned-mac-address: | + | |
| - | 802-3-ethernet.mac-address-blacklist: | + | |
| - | 802-3-ethernet.mtu: | + | |
| - | 802-3-ethernet.s390-subchannels: | + | |
| - | 802-3-ethernet.s390-nettype: | + | |
| - | 802-3-ethernet.s390-options: | + | |
| - | 802-3-ethernet.wake-on-lan: | + | |
| - | 802-3-ethernet.wake-on-lan-password: | + | |
| - | ------------------------------------------------------------------------------- | + | |
| - | ipv4.method: | + | |
| - | ipv4.dns: | + | |
| - | ipv4.dns-search: | + | |
| - | ipv4.addresses: | + | |
| - | ipv4.gateway: | + | |
| - | ipv4.routes: | + | |
| - | ipv4.route-metric: | + | |
| - | ipv4.ignore-auto-routes: | + | |
| - | ipv4.ignore-auto-dns: | + | |
| - | ipv4.dhcp-client-id: | + | |
| - | ipv4.dhcp-send-hostname: | + | |
| - | ipv4.dhcp-hostname: | + | |
| - | ipv4.never-default: | + | |
| - | ipv4.may-fail: | + | |
| - | ------------------------------------------------------------------------------- | + | |
| - | ipv6.method: | + | |
| - | ipv6.dns: | + | |
| - | ipv6.dns-search: | + | |
| - | ipv6.addresses: | + | |
| - | ipv6.gateway: | + | |
| - | ipv6.routes: | + | |
| - | ipv6.route-metric: | + | |
| - | ipv6.ignore-auto-routes: | + | |
| - | ipv6.ignore-auto-dns: | + | |
| - | ipv6.never-default: | + | |
| - | ipv6.may-fail: | + | |
| - | ipv6.ip6-privacy: | + | |
| - | ipv6.dhcp-send-hostname: | + | |
| - | ipv6.dhcp-hostname: | + | |
| - | ------------------------------------------------------------------------------- | + | |
| - | [root@centos7 ~]# nmcli -p connection show ip_fixe | + | |
| - | =============================================================================== | + | |
| - | | + | |
| - | =============================================================================== | + | |
| - | connection.id: ip_fixe | + | |
| - | connection.uuid: fb3a11d9-4e03-4032-b26e-09d1195d2bcd | + | |
| - | connection.interface-name: | + | |
| - | connection.type: | + | |
| - | connection.autoconnect: | + | |
| - | connection.autoconnect-priority: | + | |
| - | connection.timestamp: | + | |
| - | connection.read-only: | + | |
| - | connection.permissions: | + | |
| - | connection.zone: | + | |
| - | connection.master: | + | |
| - | connection.slave-type: | + | |
| - | connection.autoconnect-slaves: | + | |
| - | connection.secondaries: | + | |
| - | connection.gateway-ping-timeout: | + | |
| - | connection.metered: | + | |
| - | ------------------------------------------------------------------------------- | + | |
| - | 802-3-ethernet.port: | + | |
| - | 802-3-ethernet.speed: | + | |
| - | 802-3-ethernet.duplex: | + | |
| - | 802-3-ethernet.auto-negotiate: | + | |
| - | 802-3-ethernet.mac-address: | + | |
| - | 802-3-ethernet.cloned-mac-address: | + | |
| - | 802-3-ethernet.mac-address-blacklist: | + | |
| - | 802-3-ethernet.mtu: | + | |
| - | 802-3-ethernet.s390-subchannels: | + | |
| - | 802-3-ethernet.s390-nettype: | + | |
| - | 802-3-ethernet.s390-options: | + | |
| - | 802-3-ethernet.wake-on-lan: | + | |
| - | 802-3-ethernet.wake-on-lan-password: | + | |
| - | ------------------------------------------------------------------------------- | + | |
| - | ipv4.method: | + | |
| - | ipv4.dns: | + | |
| - | ipv4.dns-search: | + | |
| - | ipv4.addresses: | + | |
| - | ipv4.gateway: | + | |
| - | ipv4.routes: | + | |
| - | ipv4.route-metric: | + | |
| - | ipv4.ignore-auto-routes: | + | |
| - | ipv4.ignore-auto-dns: | + | |
| - | ipv4.dhcp-client-id: | + | |
| - | ipv4.dhcp-send-hostname: | + | |
| - | ipv4.dhcp-hostname: | + | |
| - | ipv4.never-default: | + | |
| - | ipv4.may-fail: | + | |
| - | ------------------------------------------------------------------------------- | + | |
| - | ipv6.method: | + | |
| - | ipv6.dns: | + | |
| - | ipv6.dns-search: | + | |
| - | ipv6.addresses: | + | |
| - | ipv6.gateway: | + | |
| - | ipv6.routes: | + | |
| - | ipv6.route-metric: | + | |
| - | ipv6.ignore-auto-routes: | + | |
| - | ipv6.ignore-auto-dns: | + | |
| - | ipv6.never-default: | + | |
| - | ipv6.may-fail: | + | |
| - | ipv6.ip6-privacy: | + | |
| - | ipv6.dhcp-send-hostname: | + | |
| - | ipv6.dhcp-hostname: | + | |
| - | ------------------------------------------------------------------------------- | + | |
| - | =============================================================================== | + | |
| - | Activate connection details (fb3a11d9-4e03-4032-b26e-09d1195d2bcd) | + | |
| - | =============================================================================== | + | |
| - | GENERAL.NAME: | + | |
| - | GENERAL.UUID: | + | |
| - | GENERAL.DEVICES: | + | |
| - | GENERAL.STATE: | + | |
| - | GENERAL.DEFAULT: | + | |
| - | GENERAL.DEFAULT6: | + | |
| - | GENERAL.VPN: | + | |
| - | GENERAL.ZONE: | + | |
| - | GENERAL.DBUS-PATH: | + | |
| - | GENERAL.CON-PATH: | + | |
| - | GENERAL.SPEC-OBJECT: | + | |
| - | GENERAL.MASTER-PATH: | + | |
| - | ------------------------------------------------------------------------------- | + | |
| - | IP4.ADDRESS[1]: | + | |
| - | IP4.GATEWAY: | + | |
| - | ------------------------------------------------------------------------------- | + | |
| - | IP6.ADDRESS[1]: fe80:: | + | |
| - | IP6.GATEWAY: | + | |
| - | ------------------------------------------------------------------------------- | + | |
| </ | </ | ||
| - | Pour consulter la liste profils associés à un périphérique, | + | ==== Interprétation des informations dans /proc==== |
| - | < | + | Les informations brutes stockées dans /proc peuvent être interprétées grâce à l' |
| - | [root@centos7 ~]# nmcli -f CONNECTIONS device show enp0s3 | + | |
| - | CONNECTIONS.AVAILABLE-CONNECTION-PATHS: | + | |
| - | CONNECTIONS.AVAILABLE-CONNECTIONS[1]: 45b701c1-0a21-4d76-a795-2f2bcba86955 | Wired connection 1 | + | |
| - | CONNECTIONS.AVAILABLE-CONNECTIONS[2]: | + | |
| - | </ | + | |
| - | Les fichiers de configuration pour le periphérique | + | |
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| - | < | + | ===Commandes=== |
| - | [root@centos7 ~]# ls -l / | + | |
| - | -rw-r--r--. 1 root root 296 Aug 8 11:08 ifcfg-ip_fixe | + | |
| - | -rw-r--r--. 1 root root 254 Sep 16 2015 ifcfg-lo | + | |
| - | </ | + | |
| - | L' | + | ==free== |
| - | < | + | La commande **free** permet de donner l’état de la mémoire totale, libre, partagée, swap et bufferisée. Saisissez |
| - | [root@centos7 ~]# cat / | + | |
| - | TYPE=Ethernet | + | |
| - | BOOTPROTO=none | + | |
| - | IPADDR=10.0.2.16 | + | |
| - | PREFIX=24 | + | |
| - | GATEWAY=10.0.2.2 | + | |
| - | DEFROUTE=yes | + | |
| - | IPV4_FAILURE_FATAL=no | + | |
| - | IPV6INIT=yes | + | |
| - | IPV6_AUTOCONF=yes | + | |
| - | IPV6_DEFROUTE=yes | + | |
| - | IPV6_PEERDNS=yes | + | |
| - | IPV6_PEERROUTES=yes | + | |
| - | IPV6_FAILURE_FATAL=no | + | |
| - | NAME=ip_fixe | + | |
| - | UUID=fb3a11d9-4e03-4032-b26e-09d1195d2bcd | + | |
| - | DEVICE=enp0s3 | + | |
| - | ONBOOT=yes | + | |
| - | </ | + | |
| - | + | ||
| - | La résolution des noms est donc inactive | + | |
| < | < | ||
| - | [root@centos7 ~]# ping www.free.fr | + | [root@centos7 ~]# free -m |
| - | ping: unknown host www.free.fr | + | |
| + | Mem: | ||
| + | Swap: 2999 | ||
| </ | </ | ||
| - | Modifiez donc la configuration du profil **ip_fixe** | + | Dans le cas de cet exemple, nous pouvons constater que l’affichage montre |
| - | < | + | * 1749 Mo de mémoire physique totale, |
| - | [root@centos7 ~]# nmcli connection mod ip_fixe ipv4.dns 8.8.8.8 | + | * 859 Mo de mémoire physique utilisée et 76 Mo de mémoire physique libre, |
| - | </ | + | * 2999 Mo de mémoire swap totale et 3 Mo de swap utilisé |
| - | L' | + | Les options de cette commande sont : |
| < | < | ||
| - | [root@centos7 ~]# cat / | + | [root@centos7 ~]# free --help |
| - | TYPE=Ethernet | + | |
| - | BOOTPROTO=none | + | |
| - | DEFROUTE=yes | + | |
| - | IPV4_FAILURE_FATAL=no | + | |
| - | IPV6INIT=yes | + | |
| - | IPV6_AUTOCONF=yes | + | |
| - | IPV6_DEFROUTE=yes | + | |
| - | IPV6_FAILURE_FATAL=no | + | |
| - | NAME=ip_fixe | + | |
| - | UUID=fb3a11d9-4e03-4032-b26e-09d1195d2bcd | + | |
| - | DEVICE=enp0s3 | + | |
| - | ONBOOT=yes | + | |
| - | IPADDR=10.0.2.16 | + | |
| - | PREFIX=24 | + | |
| - | GATEWAY=10.0.2.2 | + | |
| - | DNS1=8.8.8.8 | + | |
| - | IPV6_PEERDNS=yes | + | |
| - | IPV6_PEERROUTES=yes | + | |
| - | </ | + | |
| - | Afin que la modification du serveur DNS soit prise en compte, re-démarrez le service NetworkManager | + | Usage: |
| + | free [options] | ||
| - | < | + | Options: |
| - | [root@centos7 ~]# systemctl restart NetworkManager.service | + | -b, --bytes |
| - | [root@centos7 ~]# systemctl status NetworkManager.service | + | -k, --kilo |
| - | ● NetworkManager.service | + | -m, --mega |
| - | Loaded: loaded (/ | + | -g, --giga |
| - | Active: active (running) since Mon 2016-08-08 11:16:53 CEST; 7s ago | + | |
| - | Main PID: 8394 (NetworkManager) | + | -h, --human |
| - | CGroup: / | + | --si use powers of 1000 not 1024 |
| - | └─8394 / | + | -l, --lohi |
| + | -t, --total | ||
| + | -s N, --seconds N | ||
| + | -c N, --count N | ||
| + | -w, --wide wide output | ||
| - | Aug 08 11:16:53 centos7.fenestros.loc NetworkManager[8394]: | + | --help |
| - | Aug 08 11:16:53 centos7.fenestros.loc NetworkManager[8394]: | + | -V, --version |
| - | Aug 08 11:16:53 centos7.fenestros.loc NetworkManager[8394]: | + | |
| - | Aug 08 11:16:53 centos7.fenestros.loc NetworkManager[8394]: | + | |
| - | Aug 08 11:16:53 centos7.fenestros.loc NetworkManager[8394]: | + | |
| - | Aug 08 11:16:53 centos7.fenestros.loc NetworkManager[8394]: | + | |
| - | Aug 08 11:16:53 centos7.fenestros.loc NetworkManager[8394]: | + | |
| - | Aug 08 11:16:53 centos7.fenestros.loc NetworkManager[8394]: | + | |
| - | Aug 08 11:16:53 centos7.fenestros.loc NetworkManager[8394]: | + | |
| - | Aug 08 11:16:53 centos7.fenestros.loc NetworkManager[8394]: | + | |
| - | </ | + | |
| - | Vérifiez que le fichier **/ | + | For more details see free(1). |
| - | + | ||
| - | < | + | |
| - | [root@centos7 ~]# cat / | + | |
| - | # Generated by NetworkManager | + | |
| - | search fenestros.loc | + | |
| - | nameserver 8.8.8.8 | + | |
| </ | </ | ||
| - | Dernièrement vérifiez la resolution des noms : | + | ==uptime ou w== |
| - | < | + | Chacune des ces commandes indique la charge moyenne du ou des processeurs depuis |
| - | [root@centos7 ~]# ping www.free.fr | + | |
| - | PING www.free.fr (212.27.48.10) 56(84) bytes of data. | + | |
| - | 64 bytes from www.free.fr (212.27.48.10): | + | |
| - | 64 bytes from www.free.fr (212.27.48.10): | + | |
| - | 64 bytes from www.free.fr (212.27.48.10): | + | |
| - | ^C | + | |
| - | --- www.free.fr ping statistics --- | + | |
| - | 3 packets transmitted, 3 received, 0% packet loss, time 2002ms | + | |
| - | rtt min/ | + | |
| - | </ | + | |
| - | + | ||
| - | <WRAP center round important> | + | |
| - | **Important** : Notez qu'il existe un front-end graphique en mode texte, **nmtui**, pour configurer NetworkManager. | + | |
| - | </ | + | |
| - | + | ||
| - | ====Ajouter une Deuxième Adresse IP à un Profil==== | + | |
| - | + | ||
| - | Pour ajouter une deuxième adresse IP à un profil sous RHEL/CentOS 7, il convient d' | + | |
| < | < | ||
| - | [root@centos7 ~]# nmcli connection mod ip_fixe +ipv4.addresses 192.168.1.2/24 | + | [root@centos7 ~]# uptime |
| - | </ | + | |
| - | Redémarrez la machine virtuelle puis en tant que root saisissez la commande suivante : | + | [root@centos7 ~]# w |
| - | + | 14:43:49 up 4:05, 2 users, | |
| - | < | + | USER |
| - | [root@centos7 ~]# nmcli connection show ip_fixe | + | trainee |
| - | connection.id: | + | trainee |
| - | connection.uuid: | + | |
| - | connection.interface-name: | + | |
| - | connection.type: | + | |
| - | connection.autoconnect: | + | |
| - | connection.autoconnect-priority: 0 | + | |
| - | connection.timestamp: | + | |
| - | connection.read-only: | + | |
| - | connection.permissions: | + | |
| - | connection.zone: | + | |
| - | connection.master: | + | |
| - | connection.slave-type: | + | |
| - | connection.autoconnect-slaves: | + | |
| - | connection.secondaries: | + | |
| - | connection.gateway-ping-timeout: | + | |
| - | connection.metered: | + | |
| - | 802-3-ethernet.port: | + | |
| - | 802-3-ethernet.speed: | + | |
| - | 802-3-ethernet.duplex: | + | |
| - | 802-3-ethernet.auto-negotiate: | + | |
| - | 802-3-ethernet.mac-address: | + | |
| - | 802-3-ethernet.cloned-mac-address: | + | |
| - | 802-3-ethernet.mac-address-blacklist: | + | |
| - | 802-3-ethernet.mtu: auto | + | |
| - | 802-3-ethernet.s390-subchannels: | + | |
| - | 802-3-ethernet.s390-nettype: | + | |
| - | 802-3-ethernet.s390-options: | + | |
| - | 802-3-ethernet.wake-on-lan: | + | |
| - | 802-3-ethernet.wake-on-lan-password: | + | |
| - | ipv4.method: | + | |
| - | ipv4.dns: | + | |
| - | ipv4.dns-search: | + | |
| - | ipv4.addresses: | + | |
| - | ipv4.gateway: 10.0.2.2 | + | |
| - | ipv4.routes: | + | |
| - | ipv4.route-metric: | + | |
| - | ipv4.ignore-auto-routes: | + | |
| - | ipv4.ignore-auto-dns: | + | |
| - | ipv4.dhcp-client-id: | + | |
| - | ipv4.dhcp-send-hostname: | + | |
| - | ipv4.dhcp-hostname: | + | |
| - | ipv4.never-default: | + | |
| - | ipv4.may-fail: | + | |
| - | ipv6.method: | + | |
| - | ipv6.dns: | + | |
| - | ipv6.dns-search: | + | |
| - | ipv6.addresses: | + | |
| - | ipv6.gateway: | + | |
| - | ipv6.routes: | + | |
| - | ipv6.route-metric: | + | |
| - | ipv6.ignore-auto-routes: | + | |
| - | ipv6.ignore-auto-dns: | + | |
| - | ipv6.never-default: | + | |
| - | ipv6.may-fail: | + | |
| - | ipv6.ip6-privacy: | + | |
| - | ipv6.dhcp-send-hostname: | + | |
| - | ipv6.dhcp-hostname: | + | |
| - | GENERAL.NAME: | + | |
| - | GENERAL.UUID: | + | |
| - | GENERAL.DEVICES: | + | |
| - | GENERAL.STATE: | + | |
| - | GENERAL.DEFAULT: | + | |
| - | GENERAL.DEFAULT6: | + | |
| - | GENERAL.VPN: | + | |
| - | GENERAL.ZONE: | + | |
| - | GENERAL.DBUS-PATH: | + | |
| - | GENERAL.CON-PATH: / | + | |
| - | GENERAL.SPEC-OBJECT: | + | |
| - | GENERAL.MASTER-PATH: | + | |
| - | IP4.ADDRESS[1]: | + | |
| - | IP4.ADDRESS[2]: | + | |
| - | IP4.GATEWAY: | + | |
| - | IP4.DNS[1]: | + | |
| - | IP6.ADDRESS[1]: | + | |
| - | IP6.GATEWAY: | + | |
| </ | </ | ||
| - | <WRAP center round important> | + | Les valeurs |
| - | **Important** : Notez l' | + | |
| - | </ | + | |
| - | Consultez maintenant le contenu du fichier | + | Par exemple si les valeurs sur un système muni d'un seul processeur étaient |
| - | < | + | * 2,48 processus en attente dans la dernière minute, |
| - | [root@centos7 ~]# cat / | + | * 3,00 processus en attente dans les dernières 5 minutes, |
| - | TYPE=Ethernet | + | |
| - | BOOTPROTO=none | + | |
| - | DEFROUTE=yes | + | |
| - | IPV4_FAILURE_FATAL=no | + | |
| - | IPV6INIT=yes | + | |
| - | IPV6_AUTOCONF=yes | + | |
| - | IPV6_DEFROUTE=yes | + | |
| - | IPV6_FAILURE_FATAL=no | + | |
| - | NAME=ip_fixe | + | |
| - | UUID=fb3a11d9-4e03-4032-b26e-09d1195d2bcd | + | |
| - | DEVICE=enp0s3 | + | |
| - | ONBOOT=yes | + | |
| - | DNS1=8.8.8.8 | + | |
| - | IPADDR=10.0.2.16 | + | |
| - | PREFIX=24 | + | |
| - | IPADDR1=192.168.1.2 | + | |
| - | PREFIX1=24 | + | |
| - | GATEWAY=10.0.2.2 | + | |
| - | IPV6_PEERDNS=yes | + | |
| - | IPV6_PEERROUTES=yes | + | |
| - | </ | + | |
| - | <WRAP center round important> | + | Les options |
| - | **Important** : Notez l' | + | |
| - | </ | + | |
| - | + | ||
| - | ====La Commande hostname==== | + | |
| - | + | ||
| - | La procédure de la modification du hostname est simplifiée et sa prise en compte est immédiate | + | |
| < | < | ||
| - | [root@centos7 ~]# nmcli general hostname centos.fenestros.loc | + | [root@centos7 ~]# uptime --help |
| - | [root@centos7 ~]# cat / | + | |
| - | centos.fenestros.loc | + | |
| - | [root@centos7 ~]# hostname | + | |
| - | centos.fenestros.loc | + | |
| - | [root@centos7 ~]# nmcli general hostname centos7.fenestros.loc | + | |
| - | [root@centos7 ~]# cat / | + | |
| - | centos7.fenestros.loc | + | |
| - | [root@centos7 ~]# hostname | + | |
| - | centos7.fenestros.loc | + | |
| - | </ | + | |
| - | ====La Commande ip==== | + | Usage: |
| + | | ||
| - | Sous RHEL/CentOS 7 la commande **ip** est préférée par rapport à la commande ifconfig | + | Options: |
| + | -p, --pretty | ||
| + | -h, --help | ||
| + | -s, --since | ||
| + | -V, --version | ||
| - | < | + | For more details see uptime(1). |
| - | [root@centos7 ~]# ip address | + | |
| - | 1: lo: < | + | |
| - | link/ | + | |
| - | inet 127.0.0.1/8 scope host lo | + | |
| - | | + | |
| - | inet6 ::1/128 scope host | + | |
| - | | + | |
| - | 2: enp0s3: < | + | |
| - | link/ether 08: | + | |
| - | inet 10.0.2.16/ | + | |
| - | | + | |
| - | inet 192.168.1.2/ | + | |
| - | | + | |
| - | inet6 fe80:: | + | |
| - | | + | |
| - | [root@centos7 ~]# ip addr | + | |
| - | 1: lo: < | + | |
| - | link/ | + | |
| - | inet 127.0.0.1/8 scope host lo | + | |
| - | | + | |
| - | inet6 ::1/128 scope host | + | |
| - | | + | |
| - | 2: enp0s3: < | + | |
| - | link/ether 08: | + | |
| - | inet 10.0.2.16/ | + | |
| - | | + | |
| - | inet 192.168.1.2/ | + | |
| - | | + | |
| - | inet6 fe80:: | + | |
| - | | + | |
| - | </ | + | |
| - | ===Options de la Commande ip=== | + | [root@centos7 ~]# w --help |
| - | Les options de cette commande sont : | + | Usage: |
| + | w [options] | ||
| - | < | + | Options: |
| - | [root@centos7 ~]# ip --help | + | -h, --no-header |
| - | Usage: ip [ OPTIONS ] OBJECT { COMMAND | help } | + | -u, --no-current |
| - | ip [ -force ] -batch filename | + | -s, --short short format |
| - | where OBJECT := { link | addr | addrlabel | route | rule | neigh | ntable | | + | -f, --from show remote hostname field |
| - | | + | -o, --old-style old style output |
| - | netns | l2tp | tcp_metrics | token } | + | -i, --ip-addr |
| - | | + | |
| - | -f[amily] { inet | inet6 | ipx | dnet | bridge | link } | | + | |
| - | | + | |
| - | -l[oops] { maximum-addr-flush-attempts } | | + | |
| - | -o[neline] | -t[imestamp] | -b[atch] [filename] | | + | |
| - | | + | |
| - | </ | + | |
| + | -V, --version | ||
| - | ====Activer/ | + | For more details see w(1). |
| - | + | ||
| - | Deux commandes existent pour désactiver et activer manuellement une interface réseau : | + | |
| - | + | ||
| - | < | + | |
| - | [root@centos7 ~]# nmcli device disconnect enp0s3 | + | |
| - | [root@centos7 ~]# nmcli device connect enp0s3 | + | |
| </ | </ | ||
| - | ====Routage Statique==== | + | ==iostat== |
| - | + | ||
| - | ===La commande ip=== | + | |
| - | Sous RHEL/CentOS 7, pour supprimer la route vers le réseau 192.168.1.0 il convient d' | + | La commande **iostat** affiche des statistiques sur l' |
| < | < | ||
| - | [root@centos7 ~]# ip route | + | [root@centos7 ~]# iostat |
| - | default via 10.0.2.2 dev enp0s3 | + | Linux 3.10.0-229.4.2.el7.x86_64 (centos7.fenestros.loc) 11/02/2015 _x86_64_ (1 CPU) |
| - | 10.0.2.0/24 dev enp0s3 | + | |
| - | 192.168.1.0/24 dev enp0s3 | + | |
| - | [root@centos7 ~]# ip route del 192.168.1.0/24 via 0.0.0.0 | + | avg-cpu: |
| + | 9.00 0.14 2.67 | ||
| - | [root@centos7 ~]# ip route | + | Device: |
| - | default via 10.0.2.2 dev enp0s3 | + | scd0 0.00 0.00 0.00 |
| - | 10.0.2.0/24 dev enp0s3 | + | sda 2.56 95.04 37.09 1409026 |
| </ | </ | ||
| - | Pour ajouter | + | Au-dessous de la première ligne indiquant la version du noyau du système et son nom d' |
| - | < | + | * Pourcentage de temps passé en mode utilisateur (exécutant des applications, |
| - | [root@centos7 ~]# ip route add 192.168.1.0/ | + | * Pourcentage de temps passé en mode utilisateur (pour les processus qui ont modifié leur priorité de programmation à l'aide de la commande nice) |
| + | * Pourcentage de temps passé en mode noyau | ||
| + | * Pourcentage de temps passé en inactivité | ||
| - | [root@centos7 ~]# ip route | + | Notez la valeur de **%iowait**. Dans le cas où ce pourcentage est trop élévé, ceci indique que le processeur passe son temps à attendre les entrées et les sorties de disque. |
| - | default via 10.0.2.2 dev enp0s3 | + | |
| - | 10.0.2.0/24 dev enp0s3 | + | |
| - | 192.168.1.0/ | + | |
| - | </ | + | |
| - | + | ||
| - | <WRAP center round important> | + | |
| - | La commande utilisée pour ajouter une passerelle par défaut prend la forme suivante | + | |
| - | </ | + | |
| - | ===Activer/ | + | Pour surveiller la vitesse des entrées et des sorties du disque, vous pouvez utiliser la commande **hdparm**. |
| - | Pour activer le routage sur le serveur, il convient d'activer la retransmission des paquets: | + | Sous RHEL/CentOS 7, la commande **hdparm** n'est pas disponible par défaut. Installez donc le paquet **hdparm** |
| < | < | ||
| - | [root@centos7 ~]# echo 1 > / | + | [root@centos7 ~]# yum install hdparm |
| - | [root@centos7 ~]# cat / | + | |
| - | 1 | + | |
| </ | </ | ||
| - | |||
| - | Pour désactiver le routage sur le serveur, il convient de désactiver la retransmission des paquets: | ||
| < | < | ||
| - | [root@centos7 ~]# echo 0 > /proc/sys/ | + | [root@centos7 ~]# hdparm -t /dev/sda |
| - | [root@centos7 ~]# cat / | + | |
| - | 0 | + | |
| - | </ | + | |
| - | =====Diagnostique du Réseau===== | + | /dev/sda: |
| - | + | Timing buffered disk reads: 254 MB in | |
| - | ====ping==== | + | |
| - | + | ||
| - | Pour tester l' | + | |
| - | + | ||
| - | < | + | |
| - | [root@centos7 ~]# ping 10.0.2.2 | + | |
| - | PING 10.0.2.2 (10.0.2.2) 56(84) bytes of data. | + | |
| - | 64 bytes from 10.0.2.2: icmp_seq=1 ttl=63 time=0.602 ms | + | |
| - | 64 bytes from 10.0.2.2: icmp_seq=2 ttl=63 time=0.375 ms | + | |
| - | 64 bytes from 10.0.2.2: icmp_seq=3 ttl=63 time=0.512 ms | + | |
| - | 64 bytes from 10.0.2.2: icmp_seq=4 ttl=63 time=0.547 ms | + | |
| - | ^C | + | |
| - | --- 10.0.2.2 ping statistics --- | + | |
| - | 4 packets transmitted, | + | |
| - | rtt min/avg/ | + | |
| </ | </ | ||
| - | ===Options de la commande ping=== | + | Au-dessous du rapport d'utilisation du CPU de la sortie |
| - | + | ||
| - | Les options de cette commande sont : | + | |
| - | + | ||
| - | < | + | |
| - | [root@centos7 ~]# ping --help | + | |
| - | ping: invalid option -- '-' | + | |
| - | Usage: ping [-aAbBdDfhLnOqrRUvV] [-c count] [-i interval] [-I interface] | + | |
| - | [-m mark] [-M pmtudisc_option] [-l preload] [-p pattern] [-Q tos] | + | |
| - | [-s packetsize] [-S sndbuf] [-t ttl] [-T timestamp_option] | + | |
| - | [-w deadline] [-W timeout] [hop1 ...] destination | + | |
| - | </ | + | |
| - | + | ||
| - | ====netstat -i==== | + | |
| - | + | ||
| - | Pour visualiser les statistiques réseaux, vous disposez | + | |
| - | + | ||
| - | < | + | |
| - | [root@centos7 ~]# netstat -i | + | |
| - | Kernel Interface table | + | |
| - | Iface MTU RX-OK RX-ERR RX-DRP RX-OVR | + | |
| - | enp0s3 | + | |
| - | lo | + | |
| - | </ | + | |
| - | ===Options de la commande netstat=== | + | * La spécification du périphérique, |
| + | * Le nombre de transferts (ou opérations d'E/S) par seconde. | ||
| + | * Le nombre de blocs de 512 octets lus par seconde. | ||
| + | * Le nombre de blocs de 512 octets écrits par seconde. | ||
| + | * Le nombre total de blocs de 512 octets lus par seconde. | ||
| + | * Le nombre total de blocs de 512 octets écrits par seconde. | ||
| Les options de cette commande sont : | Les options de cette commande sont : | ||
| < | < | ||
| - | [root@centos7 ~]# netstat | + | [root@centos7 ~]# iostat |
| - | usage: netstat | + | Usage: iostat |
| - | | + | Options are: |
| - | netstat { [-vWeenNac] -I[< | + | [ -c ] [ -d ] [ -h ] [ -k | -m ] [ -N ] [ -t ] [ -V ] [ -x ] [ -y ] [ -z ] |
| - | + | [ -j { ID | LABEL | PATH | UUID | ... } ] | |
| - | -r, --route | + | [ [ -T ] -g <group_name> ] [ -p [ <device> [,...] | ALL ] ] |
| - | -I, --interfaces=< | + | [ <device> [...] | ALL ] |
| - | -i, --interfaces | + | |
| - | -g, --groups | + | |
| - | -s, --statistics | + | |
| - | -M, --masquerade | + | |
| - | + | ||
| - | -v, --verbose | + | |
| - | -W, --wide | + | |
| - | | + | |
| - | | + | |
| - | --numeric-ports | + | |
| - | --numeric-users | + | |
| - | -N, --symbolic | + | |
| - | -e, --extend | + | |
| - | -p, --programs | + | |
| - | -o, --timers | + | |
| - | -c, --continuous | + | |
| - | + | ||
| - | -l, --listening | + | |
| - | -a, --all display all sockets (default: connected) | + | |
| - | -F, --fib display Forwarding Information Base (default) | + | |
| - | -C, --cache | + | |
| - | -Z, --context | + | |
| - | + | ||
| - | < | + | |
| - | | + | |
| - | | + | |
| - | List of possible address families (which support routing): | + | |
| - | inet (DARPA Internet) inet6 (IPv6) ax25 (AMPR AX.25) | + | |
| - | netrom (AMPR NET/ROM) ipx (Novell IPX) ddp (Appletalk DDP) | + | |
| - | x25 (CCITT X.25) | + | |
| </ | </ | ||
| - | ====La commande traceroute==== | + | ==vmstat== |
| - | La commande ping est à la base de la commande **traceroute**. Cette commande sert à découvrir | + | La commande **vmstat** affiche des statistiques sur la mémoire, la pagination et la charge ponctuelle du processeur |
| < | < | ||
| - | [root@centos7 ~]# traceroute www.i2tch.eu | + | [root@centos7 ~]# vmstat 1 10 |
| - | traceroute to www.i2tch.eu (217.160.122.33), | + | procs -----------memory---------- ---swap-- -----io---- -system-- ------cpu----- |
| - | 1 gateway (10.0.2.2) | + | r b |
| - | 2 192.168.0.1 (192.168.0.1) | + | |
| - | 3 * * * | + | 1 |
| - | | + | 0 0 4600 352736 |
| - | 5 ip-190.net-80-236-8.asnieres.rev.numericable.fr (80.236.8.190) | + | 1 0 4600 352776 |
| - | 6 ip-185.net-80-236-8.asnieres.rev.numericable.fr (80.236.8.185) | + | 0 0 4600 352776 |
| - | 7 172.19.132.146 (172.19.132.146) | + | 0 0 4600 352776 |
| - | 8 oneandone.franceix.net (37.49.236.42) | + | 1 0 4600 352776 |
| - | 9 ae-8-0.bb-a.bap.rhr.de.oneandone.net (212.227.120.42) | + | 0 |
| - | 10 * * * | + | 0 0 4600 352776 |
| - | 11 * * * | + | 1 0 4600 352776 |
| - | 12 * * * | + | |
| - | 13 * * * | + | |
| - | 14 * * * | + | |
| - | 15 * * * | + | |
| - | 16 * * * | + | |
| - | 17 * * * | + | |
| - | 18 * * * | + | |
| - | ... | + | |
| </ | </ | ||
| - | ===Options | + | La première ligne subdivise le champ en six catégories à savoir : processus, mémoire, swap, E/S, système et CPU sur lesquelles elle donne des statistiques. La seconde ligne identifie de manière encore plus détaillée chacun des champs, permettant ainsi de parcourir simplement et rapidement l' |
| - | Les options de cette commande | + | Les champs relatifs aux processus |
| - | < | + | * r — Le nombre de processus exécutables attendant |
| - | [root@centos7 ~]# traceroute --help | + | |
| - | Usage: | + | |
| - | traceroute [ -46dFITnreAUDV ] [ -f first_ttl ] [ -g gate,... ] [ -i device ] [ -m max_ttl ] [ -N squeries ] [ -p port ] [ -t tos ] [ -l flow_label ] [ -w waittime ] [ -q nqueries ] [ -s src_addr ] [ -z sendwait ] [ --fwmark=num ] host [ packetlen ] | + | |
| - | Options: | + | |
| - | -4 Use IPv4 | + | |
| - | -6 Use IPv6 | + | |
| - | -d | + | |
| - | -F --dont-fragment | + | |
| - | -f first_ttl | + | |
| - | Start from the first_ttl hop (instead from 1) | + | |
| - | -g gate, | + | |
| - | Route packets through the specified gateway | + | |
| - | (maximum 8 for IPv4 and 127 for IPv6) | + | |
| - | -I --icmp | + | |
| - | -T --tcp Use TCP SYN for tracerouting (default port is 80) | + | |
| - | -i device | + | |
| - | Specify a network interface to operate with | + | |
| - | -m max_ttl | + | |
| - | Set the max number of hops (max TTL to be | + | |
| - | reached). Default is 30 | + | |
| - | -N squeries | + | |
| - | Set the number of probes to be tried | + | |
| - | simultaneously (default is 16) | + | |
| - | -n Do not resolve IP addresses to their domain names | + | |
| - | -p port --port=port | + | |
| - | initial udp port value for " | + | |
| - | (incremented by each probe, default is 33434), or | + | |
| - | initial seq for " | + | |
| - | default from 1), or some constant destination | + | |
| - | port for other methods (with default of 80 for | + | |
| - | " | + | |
| - | -t tos --tos=tos | + | |
| - | traffic class) value for outgoing packets | + | |
| - | -l flow_label | + | |
| - | Use specified flow_label for IPv6 packets | + | |
| - | -w waittime | + | |
| - | Set the number of seconds to wait for response to | + | |
| - | a probe (default is 5.0). Non-integer (float | + | |
| - | point) values allowed too | + | |
| - | -q nqueries | + | |
| - | Set the number of probes per each hop. Default is | + | |
| - | 3 | + | |
| - | -r Bypass the normal routing and send directly to a | + | |
| - | host on an attached network | + | |
| - | -s src_addr | + | |
| - | Use source src_addr for outgoing packets | + | |
| - | -z sendwait | + | |
| - | Minimal time interval between probes (default 0). | + | |
| - | If the value is more than 10, then it specifies a | + | |
| - | number in milliseconds, | + | |
| - | seconds (float point values allowed too) | + | |
| - | -e --extensions | + | |
| - | -A --as-path-lookups | + | |
| - | print results directly after the corresponding | + | |
| - | addresses | + | |
| - | -M name --module=name | + | |
| - | for traceroute operations. Most methods have | + | |
| - | their shortcuts (`-I' | + | |
| - | -O OPTS, | + | |
| - | Use module-specific option OPTS for the | + | |
| - | traceroute module. Several OPTS allowed, | + | |
| - | separated by comma. If OPTS is " | + | |
| - | about available options | + | |
| - | --sport=num | + | |
| - | `-N 1' | + | |
| - | --fwmark=num | + | |
| - | -U --udp Use UDP to particular port for tracerouting | + | |
| - | (instead of increasing the port per each probe), | + | |
| - | default port is 53 | + | |
| - | -UL Use UDPLITE for tracerouting (default dest port | + | |
| - | is 53) | + | |
| - | -D --dccp | + | |
| - | is 33434) | + | |
| - | -P prot --protocol=prot | + | |
| - | --mtu | + | |
| - | `-F -N 1' | + | |
| - | --back | + | |
| - | print if it differs | + | |
| - | -V --version | + | |
| - | | + | |
| - | Arguments: | + | Les champs relatifs à la mémoire sont les suivants |
| - | + | + | |
| - | packetlen | + | |
| - | header plus 40). Can be ignored or increased to a minimal | + | |
| - | allowed value | + | |
| - | </ | + | |
| - | =====Connexions à Distance===== | + | * swpd — La quantité de mémoire virtuelle utilisée |
| + | * free — La quantité de mémoire libre | ||
| + | * buff — La quantité de mémoire utilisée par les tampons (ou buffers) | ||
| + | * cache — La quantité de mémoire utilisée comme cache de pages | ||
| - | ==== Telnet ==== | + | Les champs relatifs au swap sont les suivants : |
| - | <WRAP center round important> | + | * si — La quantité de mémoire chargée depuis le disque |
| - | La commande **telnet** n'est pas installée par défaut sous CentOS 7. Installez-le à l'aide de la commande **yum install telnet** en tant que root. | + | * so — La quantité de mémoire déchargée sur le disque |
| - | </ | + | |
| - | La commande **telnet** est utilisée pour établir une connexion à distance avec un serveur telnet | + | Les champs relatifs aux Entrées/ |
| - | < | + | * bi — Blocs envoyés vers un périphérique blocs |
| - | | + | |
| - | </ | + | |
| - | <WRAP center round important> | + | Les champs relatifs au système sont les suivants : |
| - | Le service telnet revient à une redirection des canaux standards d' | + | |
| - | </ | + | |
| - | ===Options | + | * in — Nombre d' |
| + | * cs — Nombre | ||
| - | Les options de cette commande | + | Les champs relatifs au CPU sont les suivants |
| - | <code> | + | * us — Le pourcentage de temps pendant lequel le CPU exécute un code de niveau utilisateur |
| - | [root@centos7 ~]# telnet --help | + | * sy — Le pourcentage de temps pendant lequel le CPU exécute |
| - | telnet: invalid option -- ' | + | |
| - | Usage: telnet [-8] [-E] [-L] [-S tos] [-a] [-c] [-d] [-e char] [-l user] | + | |
| - | [-n tracefile] [-b hostalias ] [-r] | + | |
| - | | + | |
| - | </ | + | |
| - | + | ||
| - | ==== wget ==== | + | |
| - | + | ||
| - | La commande | + | |
| - | + | ||
| - | <code> | + | |
| - | [root@centos7 ~]# wget https:// | + | |
| - | --2017-06-22 16: | + | |
| - | Resolving www.dropbox.com (www.dropbox.com)... 162.125.65.1 | + | |
| - | Connecting to www.dropbox.com (www.dropbox.com)|162.125.65.1|: | + | |
| - | HTTP request sent, awaiting response... 302 Found | + | |
| - | Location: https:// | + | |
| - | --2017-06-22 16: | + | |
| - | Resolving dl.dropboxusercontent.com (dl.dropboxusercontent.com)... 162.125.65.6 | + | |
| - | Connecting to dl.dropboxusercontent.com (dl.dropboxusercontent.com)|162.125.65.6|: | + | |
| - | HTTP request sent, awaiting response... 200 OK | + | |
| - | Length: 17 [text/ | + | |
| - | Saving to: ‘fichier_test? | + | |
| - | + | ||
| - | 100%[====================================================================================> | + | |
| - | + | ||
| - | 2017-06-22 16:53:41 (480 KB/s) - ‘fichier_test? | + | |
| - | </ | + | |
| - | + | ||
| - | ===Options de la commande wget=== | + | |
| Les options de cette commande sont : | Les options de cette commande sont : | ||
| < | < | ||
| - | [root@centos7 ~]# wget --help | + | [root@centos7 ~]# vmstat |
| - | GNU Wget 1.14, a non-interactive network retriever. | + | |
| - | Usage: wget [OPTION]... [URL]... | + | |
| - | Mandatory arguments to long options | + | Usage: |
| + | | ||
| - | Startup: | + | Options: |
| - | -V, --version | + | -a, --active |
| - | -h, --help print this help. | + | -f, --forks |
| - | -b, --background | + | -m, --slabs slabinfo |
| - | -e, --execute=COMMAND | + | -n, --one-header |
| + | -s, --stats | ||
| + | -d, --disk | ||
| + | -D, --disk-sum | ||
| + | -p, --partition < | ||
| + | -S, --unit < | ||
| + | -w, --wide | ||
| + | -t, --timestamp | ||
| - | Logging and input file: | + | -h, --help |
| - | -o, --output-file=FILE | + | -V, --version |
| - | -a, --append-output=FILE append messages to FILE. | + | |
| - | -d, --debug | + | |
| - | -q, --quiet | + | |
| - | -v, --verbose | + | |
| - | -nv, --no-verbose | + | |
| - | | + | |
| - | -i, --input-file=FILE | + | |
| - | -F, --force-html | + | |
| - | -B, --base=URL | + | |
| - | | + | |
| - | | + | |
| - | Download: | + | For more details see vmstat(8). |
| - | -t, --tries=NUMBER | + | |
| - | | + | |
| - | -O, --output-document=FILE | + | |
| - | -nc, --no-clobber | + | |
| - | | + | |
| - | -c, --continue | + | |
| - | | + | |
| - | -N, --timestamping | + | |
| - | | + | |
| - | --no-use-server-timestamps | + | |
| - | the one on the server. | + | |
| - | -S, --server-response | + | |
| - | | + | |
| - | -T, --timeout=SECONDS | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | -w, --wait=SECONDS | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | -Q, --quota=NUMBER | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | -4, --inet4-only | + | |
| - | -6, --inet6-only | + | |
| - | | + | |
| - | one of IPv6, IPv4, or none. | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | + | ||
| - | Directories: | + | |
| - | -nd, --no-directories | + | |
| - | -x, --force-directories | + | |
| - | -nH, --no-host-directories | + | |
| - | | + | |
| - | -P, --directory-prefix=PREFIX | + | |
| - | | + | |
| - | + | ||
| - | HTTP options: | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | this is `index.html' | + | |
| - | -E, --adjust-extension | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | -U, --user-agent=AGENT | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | + | ||
| - | HTTPS (SSL/TLS) options: | + | |
| - | | + | |
| - | SSLv3, and TLSv1. | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | + | ||
| - | FTP options: | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | + | ||
| - | WARC options: | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | WARC writer. | + | |
| - | + | ||
| - | Recursive download: | + | |
| - | -r, --recursive | + | |
| - | -l, --level=NUMBER | + | |
| - | | + | |
| - | -k, --convert-links | + | |
| - | local files. | + | |
| - | --backups=N | + | |
| - | -K, --backup-converted | + | |
| - | -m, --mirror | + | |
| - | -p, --page-requisites | + | |
| - | | + | |
| - | + | ||
| - | Recursive accept/ | + | |
| - | -A, --accept=LIST | + | |
| - | -R, --reject=LIST | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | -D, --domains=LIST | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | -H, --span-hosts | + | |
| - | -L, --relative | + | |
| - | -I, --include-directories=LIST | + | |
| - | --trust-server-names | + | |
| - | url last component. | + | |
| - | -X, --exclude-directories=LIST | + | |
| - | -np, --no-parent | + | |
| - | + | ||
| - | Mail bug reports and suggestions to < | + | |
| </ | </ | ||
| - | |||
| - | ==== ftp ==== | ||
| <WRAP center round important> | <WRAP center round important> | ||
| - | La commande | + | **Important** : Par défaut la commande |
| </ | </ | ||
| - | La commande **ftp** est utilisée pour le transfert de fichiers: | + | ==mpstat== |
| + | |||
| + | La commande **mpstat** affiche des statistiques détaillées sur le CPU : | ||
| < | < | ||
| - | [root@centos7 ~]# ftp ftp2.fenestros.com | + | [root@centos7 ~]# mpstat |
| - | Connected to ftp2.fenestros.com (213.186.33.14). | + | Linux 3.10.0-229.4.2.el7.x86_64 (centos7.fenestros.loc) 11/02/2015 _x86_64_ (1 CPU) |
| - | 220 anonymous.ftp.ovh.net NcFTPd Server | + | |
| - | Name (ftp2.fenestros.com:root): anonymous | + | 03:19:32 PM CPU %usr |
| - | 331 Guest login ok, send your complete e-mail address as password. | + | 03:19:32 PM all 9.38 0.14 2.52 0.31 0.00 0.24 0.00 0.00 0.00 87.42 |
| - | Password: | + | |
| - | 230 Logged in anonymously. | + | |
| - | Remote system type is UNIX. | + | |
| - | Using binary mode to transfer files. | + | |
| - | ftp> | + | |
| </ | </ | ||
| - | Une fois connecté, il convient d' | + | Dans le cas où vous avez plusieurs processeurs ou coeurs, vous pouvez visualiser ces mêmes informations par unité de traitement |
| < | < | ||
| - | ftp> help | + | [root@centos7 ~]# mpstat -P ALL |
| - | Commands may be abbreviated. | + | Linux 3.10.0-229.4.2.el7.x86_64 (centos7.fenestros.loc) 11/02/2015 _x86_64_ (1 CPU) |
| - | ! debug mdir sendport site | + | 03:20:06 PM CPU %usr |
| - | $ dir mget put size | + | 03:20:06 PM all 9.42 0.14 2.53 0.31 0.00 0.24 0.00 0.00 0.00 87.36 |
| - | account disconnect mkdir pwd status | + | 03:20:06 PM 0 9.42 0.14 2.53 0.31 0.00 0.24 0.00 0.00 0.00 87.36 |
| - | append exit mls quit struct | + | |
| - | ascii form mode quote system | + | |
| - | bell get modtime recv sunique | + | |
| - | binary glob mput reget tenex | + | |
| - | bye hash newer rstatus tick | + | |
| - | case help nmap rhelp trace | + | |
| - | cd idle nlist rename type | + | |
| - | cdup image ntrans reset user | + | |
| - | chmod lcd open restart umask | + | |
| - | close ls prompt rmdir verbose | + | |
| - | cr macdef passive runique ? | + | |
| - | delete mdelete proxy send | + | |
| - | ftp> | + | |
| </ | </ | ||
| - | Le caractère **!** permet | + | Pour afficher 5 jeux de statistiques à des intervales de 2 secondes pour tous les unités de traitement, il convient |
| < | < | ||
| - | ftp> !pwd | + | [root@centos7 ~]# mpstat -P ALL 2 5 |
| - | /root | + | Linux 3.10.0-229.4.2.el7.x86_64 (centos7.fenestros.loc) 11/02/2015 _x86_64_ (1 CPU) |
| - | </code> | + | |
| - | Pour transférer un fichier vers le serveur, il convient d' | + | 03:20:43 PM CPU %usr |
| + | 03:20:45 PM all | ||
| + | 03:20:45 PM 0 | ||
| - | < | + | 03:20:45 PM CPU %usr |
| - | ftp> put nom_fichier_local nom_fichier_distant | + | 03:20:47 PM all |
| - | </ | + | 03:20:47 PM 0 |
| - | Vous pouvez également transférer plusieurs fichiers à la fois grâce à la commande **mput**. Dans ce cas précis, il convient de saisir la commande suivante: | + | 03:20:47 PM CPU %usr |
| + | 03:20:49 PM all 17.95 0.00 4.49 0.00 0.00 0.00 0.00 0.00 0.00 | ||
| + | 03:20:49 PM 0 | ||
| - | < | + | 03:20:49 PM CPU %usr |
| - | ftp> mput nom*.* | + | 03:20:51 PM all 18.18 0.00 3.90 0.00 0.00 0.00 0.00 0.00 0.00 77.92 |
| - | </ | + | 03:20:51 PM 0 |
| - | Pour transférer un fichier du serveur, il convient d' | + | 03:20:51 PM CPU %usr |
| + | 03:20:53 PM all | ||
| + | 03:20:53 PM 0 | ||
| - | < | + | Average: CPU %usr |
| - | ftp> get nom_fichier | + | Average: all |
| - | </ | + | Average: |
| - | + | ||
| - | Vous pouvez également transférer plusieurs fichiers à la fois grâce à la commande **mget** ( voir la commande **mput** ci-dessus ). | + | |
| - | + | ||
| - | Pour supprimer un fichier sur le serveur, il convient d' | + | |
| - | + | ||
| - | < | + | |
| - | ftp> del nom_fichier | + | |
| - | </ | + | |
| - | + | ||
| - | Pour fermer la session, il convient d' | + | |
| - | + | ||
| - | < | + | |
| - | ftp> quit | + | |
| - | [root@centos7 ~]# | + | |
| </ | </ | ||
| - | |||
| - | ====SSH==== | ||
| - | |||
| - | ===Introduction=== | ||
| - | |||
| - | La commande **[[wpfr> | ||
| - | |||
| - | * Le **serveur SSH** | ||
| - | * le démon sshd, qui s' | ||
| - | * Le **client SSH** | ||
| - | * ssh ou scp, qui assure la connexion et le dialogue avec le serveur, | ||
| - | * La **session** qui représente la connexion courante et qui commence juste après l' | ||
| - | * Les **clefs** | ||
| - | * **Couple de clef utilisateur asymétriques** et persistantes qui assurent l' | ||
| - | * **Clef hôte asymétrique et persistante** garantissant l' | ||
| - | * **Clef serveur asymétrique et temporaire** utilisée par le protocole SSH1 qui sert au chiffrement de la clé de session, | ||
| - | * **Clef de session symétrique qui est générée aléatoirement** et qui permet le chiiffrement de la communication entre le client et le serveur. Elle est détruite en fin de session. SSH-1 utilise une seule clef tandis que SSH-2 utilise une clef par direction de la communication, | ||
| - | * La **base de données des hôtes connus** qui stocke les clés des connexions précédentes. | ||
| - | |||
| - | SSH fonctionne de la manière suivante pour la la mise en place d'un canal sécurisé: | ||
| - | |||
| - | * Le client contacte le serveur sur son port 22, | ||
| - | * Les client et le serveur échangent leur version de SSH. En cas de non-compatibilité de versions, l'un des deux met fin au processus, | ||
| - | * Le serveur SSH s' | ||
| - | * Sa clé hôte, | ||
| - | * Sa clé serveur, | ||
| - | * Une séquence aléatoire de huit octets à inclure dans les futures réponses du client, | ||
| - | * Une liste de méthodes de chiffrage, compression et authentification, | ||
| - | * Le client et le serveur produisent un identifiant identique, un haché MD5 long de 128 bits contenant la clé hôte, la clé serveur et la séquence aléatoire, | ||
| - | * Le client génère sa clé de session symétrique et la chiffre deux fois de suite, une fois avec la clé hôte du serveur et la deuxième fois avec la clé serveur. Le client envoie cette clé au serveur accompagnée de la séquence aléatoire et un choix d' | ||
| - | * Le serveur déchiffre la clé de session, | ||
| - | * Le client et le serveur mettent en place le canal sécurisé. | ||
| - | |||
| - | ==SSH-1== | ||
| - | |||
| - | SSH-1 utilise une paire de clefs de type RSA1. Il assure l' | ||
| - | |||
| - | Afin de s' | ||
| - | |||
| - | * **Kerberos**, | ||
| - | * **Rhosts**, | ||
| - | * **%%RhostsRSA%%**, | ||
| - | * Par **clef asymétrique**, | ||
| - | * **TIS**, | ||
| - | * Par **mot de passe**. | ||
| - | |||
| - | ==SSH-2== | ||
| - | |||
| - | SSH-2 utilise **DSA** ou **RSA**. Il assure l' | ||
| - | |||
| - | * **SSH-TRANS** – Transport Layer Protocol, | ||
| - | * **SSH-AUTH** – Authentification Protocol, | ||
| - | * **SSH-CONN** – Connection Protocol. | ||
| - | |||
| - | SSH-2 diffère de SSH-1 essentiellement dans la phase authentification. | ||
| - | |||
| - | Trois méthodes d' | ||
| - | |||
| - | * Par **clef asymétrique**, | ||
| - | * Identique à SSH-1 sauf avec l' | ||
| - | * **%%RhostsRSA%%**, | ||
| - | * Par **mot de passe**. | ||
| - | |||
| - | ==Options de la commande== | ||
| Les options de cette commande sont : | Les options de cette commande sont : | ||
| < | < | ||
| - | [root@centos6 | + | [root@centos7 |
| - | usage: ssh [-1246AaCfgKkMNnqsTtVvXxYy] [-b bind_address] | + | Usage: mpstat |
| - | [-D [bind_address: | + | Options are: |
| - | [-i identity_file] [-L [bind_address:]port: | + | [ -A ] [ -u ] [ -V ] [ -I { SUM | CPU | SCPU | ALL } ] |
| - | | + | [ -P { < |
| - | | + | |
| - | [-w local_tun[: | + | |
| </ | </ | ||
| - | ===L' | + | ==sar== |
| - | L' | + | La commande **sar** permet |
| - | Avantage: | + | ^ Option ^ Description ^ |
| - | * Aucune configuration de clef asymétrique n'est nécessaire. | + | | -u | Pourcentage d'utilisation du CPU | |
| + | | -q | Nombre de processus en attente | | ||
| + | | -r | Utilisation de la mémoire centrale | | ||
| + | | -w | Surveillance du swapping | | ||
| + | | -p | Surveillance de la pagination | | ||
| + | | -b | Utilisation des tampons | | ||
| + | | -d | Utilisation des disques | | ||
| - | Inconvénients: | + | Sous RHEL/CentOS 7 la commande |
| - | * L' | + | |
| - | * Moins sécurisé qu'un système par clef asymétrique. | + | |
| - | + | ||
| - | ===L' | + | |
| - | + | ||
| - | * Le **client** envoie au serveur une requête d' | + | |
| - | | + | |
| - | * Dans le cas où une correspondance n'est pas trouvée, le serveur met fin à la communication, | + | |
| - | * Dans le cas contraire le serveur génère une chaîne aléatoire | + | |
| - | * Le **client** reçoit le challenge et le décrypte avec la partie privée de sa clé. Il combine le challenge avec l' | + | |
| - | * Le **serveur** génère le même haché et le compare avec celui reçu du client. Si les deux hachés sont identiques, l' | + | |
| - | + | ||
| - | ===Installation=== | + | |
| - | + | ||
| - | Pour installer/ | + | |
| < | < | ||
| - | [root@centos7 ~]# yum install openssh-server | + | [root@centos7 ~]# ls / |
| - | Loaded plugins: fastestmirror, | + | sa1 sa2 sadc |
| - | Loading mirror speeds from cached hostfile | + | |
| - | * base: centos.mirror.fr.planethoster.net | + | |
| - | * extras: ftp.ciril.fr | + | |
| - | * updates: centos.mirrors.ovh.net | + | |
| - | Package openssh-server-6.6.1p1-25.el7_2.x86_64 already installed and latest version | + | |
| - | Nothing to do | + | |
| </ | </ | ||
| - | <WRAP center round important> | + | Le script |
| - | **Important** - Pour les stations de travail, installez le client : **openssh-clients**. | + | |
| - | </ | + | |
| - | ==Options | + | ^ Option ^ Description ^ |
| + | | -t | L' | ||
| + | | -n | Nombre | ||
| - | Les options de la commande | + | Le script **/ |
| - | < | + | Pour pouvoir fonctionner correctement, |
| - | SYNOPSIS | + | |
| - | sshd [-46DdeiqTt] [-b bits] [-C connection_spec] [-f config_file] [-g login_grace_time] [-h host_key_file] [-k key_gen_time] [-o option] [-p port] [-u len] | + | |
| - | </ | + | |
| - | ===Configuration=== | + | Modifiez |
| - | + | ||
| - | <WRAP center round important> | + | |
| - | **Important** - La configuration doit s' | + | |
| - | </ | + | |
| - | + | ||
| - | ==Serveur== | + | |
| - | + | ||
| - | La configuration du serveur s' | + | |
| < | < | ||
| - | [root@centos7 ~]# cat /etc/ssh/ | + | [root@centos7 ~]# cat /etc/cron.d/sysstat |
| - | # $OpenBSD: sshd_config, | + | # Run system |
| - | + | # */10 * * * * root /usr/lib64/sa/sa1 1 1 | |
| - | # This is the sshd server | + | */2 * * * * root /usr/lib64/sa/sa1 1 1 |
| - | # sshd_config(5) for more information. | + | # 0 * * * * root /usr/lib64/sa/sa1 600 6 & |
| - | + | # Generate a daily summary | |
| - | # This sshd was compiled with PATH=/usr/local/bin:/usr/bin | + | 53 23 * * * root /usr/lib64/sa/sa2 -A |
| - | + | ||
| - | # The strategy used for options in the default sshd_config shipped with | + | |
| - | # OpenSSH is to specify options with their default value where | + | |
| - | # possible, but leave them commented. | + | |
| - | # default value. | + | |
| - | + | ||
| - | # If you want to change the port on a SELinux system, you have to tell | + | |
| - | # SELinux about this change. | + | |
| - | # semanage port -a -t ssh_port_t -p tcp # | + | |
| - | # | + | |
| - | #Port 22 | + | |
| - | # | + | |
| - | # | + | |
| - | # | + | |
| - | + | ||
| - | # The default requires explicit activation of protocol | + | |
| - | #Protocol 2 | + | |
| - | + | ||
| - | # HostKey for protocol version | + | |
| - | # | + | |
| - | # HostKeys for protocol version | + | |
| - | HostKey | + | |
| - | # | + | |
| - | HostKey / | + | |
| - | HostKey / | + | |
| - | + | ||
| - | # Lifetime and size of ephemeral version | + | |
| - | #KeyRegenerationInterval 1h | + | |
| - | # | + | |
| - | + | ||
| - | # Ciphers and keying | + | |
| - | #RekeyLimit default none | + | |
| - | + | ||
| - | # Logging | + | |
| - | # obsoletes QuietMode and FascistLogging | + | |
| - | # | + | |
| - | SyslogFacility AUTHPRIV | + | |
| - | #LogLevel INFO | + | |
| - | + | ||
| - | # Authentication: | + | |
| - | + | ||
| - | # | + | |
| - | # | + | |
| - | # | + | |
| - | # | + | |
| - | # | + | |
| - | + | ||
| - | # | + | |
| - | # | + | |
| - | + | ||
| - | # The default is to check both .ssh/authorized_keys and .ssh/authorized_keys2 | + | |
| - | # but this is overridden so installations will only check .ssh/authorized_keys | + | |
| - | AuthorizedKeysFile .ssh/authorized_keys | + | |
| - | + | ||
| - | #AuthorizedPrincipalsFile none | + | |
| - | + | ||
| - | # | + | |
| - | # | + | |
| - | + | ||
| - | # For this to work you will also need host keys in / | + | |
| - | # | + | |
| - | # similar for protocol version 2 | + | |
| - | # | + | |
| - | # Change to yes if you don't trust ~/ | + | |
| - | # RhostsRSAAuthentication and HostbasedAuthentication | + | |
| - | # | + | |
| - | # Don't read the user's ~/.rhosts and ~/.shosts files | + | |
| - | # | + | |
| - | + | ||
| - | # To disable tunneled clear text passwords, change to no here! | + | |
| - | # | + | |
| - | # | + | |
| - | PasswordAuthentication yes | + | |
| - | + | ||
| - | # Change to no to disable s/key passwords | + | |
| - | # | + | |
| - | ChallengeResponseAuthentication no | + | |
| - | + | ||
| - | # Kerberos options | + | |
| - | # | + | |
| - | # | + | |
| - | # | + | |
| - | # | + | |
| - | # | + | |
| - | + | ||
| - | # GSSAPI options | + | |
| - | GSSAPIAuthentication yes | + | |
| - | GSSAPICleanupCredentials no | + | |
| - | # | + | |
| - | # | + | |
| - | # | + | |
| - | + | ||
| - | # Set this to ' | + | |
| - | # and session processing. If this is enabled, PAM authentication will | + | |
| - | # be allowed through the ChallengeResponseAuthentication and | + | |
| - | # PasswordAuthentication. | + | |
| - | # PAM authentication via ChallengeResponseAuthentication may bypass | + | |
| - | # the setting | + | |
| - | # If you just want the PAM account and session checks to run without | + | |
| - | # PAM authentication, | + | |
| - | # and ChallengeResponseAuthentication to ' | + | |
| - | # WARNING: ' | + | |
| - | # problems. | + | |
| - | UsePAM yes | + | |
| - | + | ||
| - | # | + | |
| - | # | + | |
| - | # | + | |
| - | X11Forwarding yes | + | |
| - | # | + | |
| - | # | + | |
| - | #PermitTTY yes | + | |
| - | #PrintMotd yes | + | |
| - | # | + | |
| - | # | + | |
| - | #UseLogin no | + | |
| - | UsePrivilegeSeparation sandbox # Default for new installations. | + | |
| - | # | + | |
| - | # | + | |
| - | # | + | |
| - | # | + | |
| - | # | + | |
| - | #UseDNS yes | + | |
| - | #PidFile / | + | |
| - | # | + | |
| - | # | + | |
| - | # | + | |
| - | # | + | |
| - | + | ||
| - | # no default banner path | + | |
| - | #Banner none | + | |
| - | + | ||
| - | # Accept locale-related environment variables | + | |
| - | AcceptEnv LANG LC_CTYPE LC_NUMERIC LC_TIME LC_COLLATE LC_MONETARY LC_MESSAGES | + | |
| - | AcceptEnv LC_PAPER LC_NAME LC_ADDRESS LC_TELEPHONE LC_MEASUREMENT | + | |
| - | AcceptEnv LC_IDENTIFICATION LC_ALL LANGUAGE | + | |
| - | AcceptEnv XMODIFIERS | + | |
| - | + | ||
| - | # override default of no subsystems | + | |
| - | Subsystem sftp /usr/libexec/openssh/sftp-server | + | |
| - | + | ||
| - | # Example of overriding settings on a per-user basis | + | |
| - | #Match User anoncvs | + | |
| - | # | + | |
| - | # | + | |
| - | # PermitTTY no | + | |
| - | # | + | |
| </ | </ | ||
| - | Pour ôter les lignes de commentaires dans ce fichier, utilisez la commande suivante | + | Attendez deux minutes puis saisissez |
| < | < | ||
| - | [root@centos7 ~]# cd /tmp ; grep -E -v '^(# | + | [root@centos7 ~]# sar |
| - | [root@centos7 | + | Linux 3.10.0-229.4.2.el7.x86_64 |
| - | HostKey / | + | |
| - | HostKey / | + | |
| - | HostKey / | + | |
| - | SyslogFacility AUTHPRIV | + | |
| - | AuthorizedKeysFile .ssh/ | + | |
| - | PasswordAuthentication yes | + | |
| - | ChallengeResponseAuthentication no | + | |
| - | GSSAPIAuthentication yes | + | |
| - | GSSAPICleanupCredentials no | + | |
| - | UsePAM yes | + | |
| - | X11Forwarding yes | + | |
| - | UsePrivilegeSeparation sandbox # Default for new installations. | + | |
| - | AcceptEnv LANG LC_CTYPE LC_NUMERIC LC_TIME LC_COLLATE LC_MONETARY LC_MESSAGES | + | |
| - | AcceptEnv LC_PAPER LC_NAME LC_ADDRESS LC_TELEPHONE LC_MEASUREMENT | + | |
| - | AcceptEnv LC_IDENTIFICATION LC_ALL LANGUAGE | + | |
| - | AcceptEnv XMODIFIERS | + | |
| - | Subsystem sftp /usr/libexec/ | + | |
| - | </ | + | |
| - | Pour sécuriser le serveur ssh, ajoutez ou modifiez les directives suivantes | + | 02:20:02 PM |
| - | + | 02:30:01 PM | |
| - | < | + | 02:40:01 PM |
| - | AllowGroups adm | + | 02:50:01 PM |
| - | Banner /etc/issue.net | + | 03:00:01 PM |
| - | HostbasedAuthentication no | + | 03:10:01 PM |
| - | IgnoreRhosts yes | + | 03:20:01 PM |
| - | LoginGraceTime 60 | + | 03:28:02 PM |
| - | LogLevel INFO | + | 03:30:01 PM |
| - | PermitEmptyPasswords no | + | 03:32:01 PM |
| - | PermitRootLogin no | + | Average: |
| - | PrintLastLog yes | + | |
| - | Protocol 2 | + | |
| - | StrictModes yes | + | |
| - | X11Forwarding no | + | |
| - | </ | + | |
| - | + | ||
| - | Votre fichier ressemblera à celui-ci | + | |
| - | + | ||
| - | < | + | |
| - | AllowGroups adm | + | |
| - | Banner /etc/issue.net | + | |
| - | HostbasedAuthentication no | + | |
| - | IgnoreRhosts yes | + | |
| - | LoginGraceTime 60 | + | |
| - | LogLevel INFO | + | |
| - | PermitEmptyPasswords no | + | |
| - | PermitRootLogin no | + | |
| - | PrintLastLog yes | + | |
| - | Protocol | + | |
| - | StrictModes yes | + | |
| - | X11Forwarding no | + | |
| - | HostKey / | + | |
| - | HostKey / | + | |
| - | HostKey / | + | |
| - | SyslogFacility AUTHPRIV | + | |
| - | AuthorizedKeysFile .ssh/ | + | |
| - | PasswordAuthentication yes | + | |
| - | ChallengeResponseAuthentication no | + | |
| - | GSSAPIAuthentication yes | + | |
| - | GSSAPICleanupCredentials no | + | |
| - | UsePAM yes | + | |
| - | UsePrivilegeSeparation sandbox # Default for new installations. | + | |
| - | AcceptEnv LANG LC_CTYPE LC_NUMERIC LC_TIME LC_COLLATE LC_MONETARY LC_MESSAGES | + | |
| - | AcceptEnv LC_PAPER LC_NAME LC_ADDRESS LC_TELEPHONE LC_MEASUREMENT | + | |
| - | AcceptEnv LC_IDENTIFICATION LC_ALL LANGUAGE | + | |
| - | AcceptEnv XMODIFIERS | + | |
| - | Subsystem sftp / | + | |
| - | </ | + | |
| - | + | ||
| - | <WRAP center round todo> | + | |
| - | **A Faire** - Renommez le fichier **/ | + | |
| - | </ | + | |
| - | + | ||
| - | Pour générer les clefs sur le serveur saisissez la commande suivante en tant que **root**: | + | |
| - | + | ||
| - | Lors de la génération des clefs, la passphrase doit être **vide**. | + | |
| - | + | ||
| - | < | + | |
| - | [root@centos7 ~]# ssh-keygen -t dsa | + | |
| - | Generating public/ | + | |
| - | Enter file in which to save the key (/root/.ssh/ | + | |
| - | Enter passphrase (empty for no passphrase): | + | |
| - | Enter same passphrase again: | + | |
| - | Your identification has been saved in / | + | |
| - | Your public key has been saved in / | + | |
| - | The key fingerprint is: | + | |
| - | d5:54:d3:30:1c: | + | |
| - | The key's randomart image is: | + | |
| - | +--[ DSA 1024]----+ | + | |
| - | | +oBB.| | + | |
| - | | o *.o*| | + | |
| - | | | + | |
| - | | . +.+ | | + | |
| - | | S | + | |
| - | | | + | |
| - | | o| | + | |
| - | | E| | + | |
| - | | | | + | |
| - | +-----------------+ | + | |
| </ | </ | ||
| - | |||
| - | <WRAP center round important> | ||
| - | Le chemin à indiquer pour le fichier est **/ | ||
| - | </ | ||
| - | |||
| - | Les clefs publiques générées possèdent l' | ||
| < | < | ||
| - | [root@centos7 ~]# ls /etc/ssh | + | [root@centos7 ~]# sar -u 5 3 |
| - | moduli | + | Linux 3.10.0-229.4.2.el7.x86_64 (centos7.fenestros.loc) 11/02/2015 _x86_64_ (1 CPU) |
| - | ssh_config | + | |
| - | </code> | + | |
| - | Re-démarrez ensuite le service sshd : | + | 03:34:01 PM |
| - | + | 03:34:06 PM | |
| - | < | + | 03:34:11 PM |
| - | [root@centos7 ~]# systemctl restart sshd.service | + | 03:34:16 PM |
| + | Average: | ||
| </ | </ | ||
| - | |||
| - | Saisissez maintenant les commandes suivantes en tant que **trainee** : | ||
| - | |||
| - | <WRAP center round important> | ||
| - | Lors de la génération des clefs, la passphrase doit être **vide**. | ||
| - | </ | ||
| < | < | ||
| - | [trainee@centos7 ~]$ ssh-keygen -t dsa | + | [root@centos7 ~]# sar -r 5 3 |
| - | Generating public/ | + | Linux 3.10.0-229.4.2.el7.x86_64 |
| - | Enter file in which to save the key (/ | + | |
| - | Created directory '/ | + | |
| - | Enter passphrase (empty for no passphrase): | + | |
| - | Enter same passphrase again: | + | |
| - | Your identification has been saved in / | + | |
| - | Your public key has been saved in / | + | |
| - | The key fingerprint is: | + | |
| - | 97: | + | |
| - | The key's randomart image is: | + | |
| - | +--[ DSA 1024]----+ | + | |
| - | | | + | |
| - | | | + | |
| - | | ... | + | |
| - | | o.. ..E.| | + | |
| - | | S.o..oo .| | + | |
| - | | .oo o.+. | | + | |
| - | | . . =. | | + | |
| - | | . | | + | |
| - | | | | + | |
| - | +-----------------+ | + | |
| - | [trainee@centos7 ~]$ ssh-keygen -t rsa | + | |
| - | Generating public/ | + | |
| - | Enter file in which to save the key (/ | + | |
| - | Enter passphrase (empty for no passphrase): | + | |
| - | Enter same passphrase again: | + | |
| - | Your identification has been saved in / | + | |
| - | Your public key has been saved in / | + | |
| - | The key fingerprint is: | + | |
| - | 80: | + | |
| - | The key's randomart image is: | + | |
| - | +--[ RSA 2048]----+ | + | |
| - | | +o=o.. | + | |
| - | | * Xo+o. | | + | |
| - | | . B.Bo. | | + | |
| - | | | + | |
| - | | o.S | | + | |
| - | | | + | |
| - | | | | + | |
| - | | | | + | |
| - | | | | + | |
| - | +-----------------+ | + | |
| - | [trainee@centos7 ~]$ ssh-keygen -t ecdsa | + | |
| - | Generating public/ | + | |
| - | Enter file in which to save the key (/ | + | |
| - | Enter passphrase (empty for no passphrase): | + | |
| - | Enter same passphrase again: | + | |
| - | Your identification has been saved in /home/trainee/ | + | |
| - | Your public key has been saved in / | + | |
| - | The key fingerprint is: | + | |
| - | 41: | + | |
| - | The key's randomart image is: | + | |
| - | +--[ECDSA | + | |
| - | | ..... .. o+ | | + | |
| - | | ... . .. o . | | + | |
| - | |. .. . = .| | + | |
| - | | o E . = . | | + | |
| - | | . | + | |
| - | | . | + | |
| - | | o . o . | | + | |
| - | | . o . . | | + | |
| - | | ..... . | | + | |
| - | +-----------------+ | + | |
| - | [trainee@centos7 ~]$ ssh-keygen -t ed25519 | + | |
| - | Generating public/ | + | |
| - | Enter file in which to save the key (/ | + | |
| - | Enter passphrase (empty for no passphrase): | + | |
| - | Enter same passphrase again: | + | |
| - | Your identification has been saved in / | + | |
| - | Your public key has been saved in / | + | |
| - | The key fingerprint is: | + | |
| - | 66: | + | |
| - | The key's randomart image is: | + | |
| - | +--[ED25519 | + | |
| - | | . . +..oo. | + | |
| - | | o +..o. . | | + | |
| - | | | + | |
| - | | . . o . . | | + | |
| - | | . . S + E | | + | |
| - | | o = o + | | + | |
| - | | . + | + | |
| - | | | + | |
| - | | | | + | |
| - | +-----------------+ | + | |
| - | </ | + | |
| - | <WRAP center round important> | + | 03:34:48 PM kbmemfree kbmemused |
| - | Les clés générées seront placées dans le répertoire **~/ | + | 03:34:53 PM 137708 |
| - | </ | + | 03:34:58 PM 130988 |
| - | + | 03:35:03 PM 131360 | |
| - | ==Utilisation== | + | Average: 133352 |
| - | + | ||
| - | La commande ssh prend la forme suivante: | + | |
| - | + | ||
| - | ssh -l nom_de_compte numero_ip (nom_de_machine) | + | |
| - | + | ||
| - | En saisissant cette commande sur votre propre machine, vous obtiendrez un résultat similaire à celle-ci | + | |
| - | + | ||
| - | < | + | |
| - | [trainee@centos7 ~]$ su - | + | |
| - | Mot de passe : | + | |
| - | Dernière connexion | + | |
| - | + | ||
| - | [root@centos7 ~]# ssh -l trainee localhost | + | |
| - | The authenticity of host ' | + | |
| - | ECDSA key fingerprint is 19:cd:05: | + | |
| - | Are you sure you want to continue connecting (yes/no)? yes | + | |
| - | Warning: Permanently added ' | + | |
| - | trainee@localhost' | + | |
| - | Last login: Mon May 9 23:25:15 2016 from localhost.localdomain | + | |
| </ | </ | ||
| - | |||
| - | ===Tunnels SSH=== | ||
| - | |||
| - | Le protocole SSH peut être utilisé pour sécuriser les protocoles tels telnet, pop3 etc.. En effet, on peut créer un //tunnel// SSH dans lequel passe les communications du protocole non-sécurisé. | ||
| - | |||
| - | La commande pour créer un tunnel ssh prend la forme suivante : | ||
| - | |||
| - | ssh -N -f compte@hôte -Lport-local: | ||
| - | |||
| - | Dans votre cas, vous allez créer un tunnel dans votre propre vm entre le port 15023 et le port 23 : | ||
| < | < | ||
| - | [root@centos7 ~]# ssh -N -f trainee@localhost -L15023: | + | [root@centos7 ~]# sar -w 5 3 |
| - | trainee@localhost' | + | Linux 3.10.0-229.4.2.el7.x86_64 (centos7.fenestros.loc) 11/02/2015 _x86_64_ (1 CPU) |
| - | </code> | + | |
| - | Installez maintenant le client et le serveur telnet | + | 03:35:51 PM proc/ |
| - | + | 03:35:56 PM 0.00 608.04 | |
| - | < | + | 03:36:01 PM 1.06 531.75 |
| - | [root@centos7 ~]# yum install telnet telnet-server | + | 03:36:06 PM |
| + | Average: | ||
| </ | </ | ||
| - | |||
| - | Telnet n'est ni démarré ni activé. Il convient donc de le démarrer et de l' | ||
| < | < | ||
| - | [root@centos7 ~]# systemctl status telnet.socket | + | [root@centos7 ~]# sar -b 5 3 |
| - | ● telnet.socket | + | Linux 3.10.0-229.4.2.el7.x86_64 |
| - | | + | |
| - | | + | |
| - | Docs: man: | + | |
| - | | + | |
| - | | + | |
| - | [root@centos7 ~]# systemctl start telnet.socket | + | 03:36:09 PM |
| - | + | 03:36:14 PM | |
| - | [root@centos7 ~]# systemctl status telnet.socket | + | 03:36:19 PM 0.00 0.00 0.00 0.00 0.00 |
| - | ● telnet.socket - Telnet Server Activation Socket | + | 03:36:24 PM 2.32 0.00 2.32 0.00 31.79 |
| - | | + | Average: 0.89 |
| - | | + | |
| - | Docs: man: | + | |
| - | | + | |
| - | Accepted: 0; Connected: 0 | + | |
| - | + | ||
| - | May 09 23:40:13 centos7.fenestros.loc systemd[1]: Listening on Telnet Server Activation Socket. | + | |
| - | May 09 23:40:13 centos7.fenestros.loc systemd[1]: Starting Telnet Server Activation Socket. | + | |
| - | + | ||
| - | [root@centos7 ~]# systemctl enable telnet.socket | + | |
| - | Created symlink from / | + | |
| - | [root@centos7 ~]# systemctl status telnet.socket | + | |
| - | ● telnet.socket - Telnet Server Activation Socket | + | |
| - | | + | |
| - | | + | |
| - | Docs: man: | + | |
| - | | + | |
| - | | + | |
| - | + | ||
| - | May 09 23:40:13 centos7.fenestros.loc systemd[1]: Listening on Telnet Server Activation Socket. | + | |
| - | May 09 23:40:13 centos7.fenestros.loc systemd[1]: Starting Telnet Server Activation Socket. | + | |
| </ | </ | ||
| - | |||
| - | Connectez-vous ensuite via telnet sur le port 15023, vous constaterez que votre connexion n' | ||
| < | < | ||
| - | [root@centos7 ~]# telnet localhost 15023 | + | [root@centos7 ~]# sar -d 5 3 |
| - | Trying 127.0.0.1... | + | Linux 3.10.0-229.4.2.el7.x86_64 (centos7.fenestros.loc) 11/02/2015 _x86_64_ (1 CPU) |
| - | Connected to localhost. | + | |
| - | Escape character is ' | + | |
| - | Kernel 3.10.0-327.13.1.el7.x86_64 on an x86_64 | + | 03:36:46 PM |
| - | centos7 login: trainee | + | 03:36:51 PM |
| - | Password: | + | 03:36:51 PM dev8-0 |
| - | Last login: Mon May 9 23:26:32 from localhost.localdomain | + | |
| - | [trainee@centos7 ~]$ | + | |
| - | </code> | + | 03:36:51 PM |
| + | 03:36:56 PM | ||
| + | 03:36:56 PM dev8-0 | ||
| - | <WRAP center round important> | + | 03:36:56 PM |
| - | Notez bien que votre communication telnet passe par le tunnel SSH. | + | 03:37:01 PM |
| - | </ | + | 03:37:01 PM dev8-0 |
| - | ====SCP==== | + | Average: |
| - | + | Average: | |
| - | ===Introduction=== | + | Average: dev8-0 |
| - | + | ||
| - | La commande **scp** est le successeur et la remplaçante de la commande **rcp** de la famille des commandes **remote**. Il permet de faire des transferts sécurisés à partir d'une machine distante | + | |
| - | + | ||
| - | $ scp compte@numero_ip(nom_de_machine): | + | |
| - | + | ||
| - | ou vers une machine distante : | + | |
| - | + | ||
| - | $ scp / | + | |
| - | + | ||
| - | ===Utilisation=== | + | |
| - | + | ||
| - | Nous allons maintenant utiliser **scp** pour chercher un fichier sur le << | + | |
| - | + | ||
| - | Créez le fichier **/ | + | |
| - | + | ||
| - | < | + | |
| - | [trainee@centos7 ~]$ pwd | + | |
| - | / | + | |
| - | [trainee@centos7 ~]$ touch scp_test | + | |
| </ | </ | ||
| - | |||
| - | Récupérez le fichier **scp_test** en utilisant scp : | ||
| < | < | ||
| - | [trainee@centos7 ~]$ touch / | + | [root@centos7 ~]# sar -p 5 3 |
| - | [trainee@centos7 ~]$ scp trainee@127.0.0.1:/ | + | Linux 3.10.0-229.4.2.el7.x86_64 |
| - | The authenticity of host '127.0.0.1 (127.0.0.1)' can't be established. | + | |
| - | ECDSA key fingerprint is 19: | + | |
| - | Are you sure you want to continue connecting | + | |
| - | Warning: Permanently added ' | + | |
| - | trainee@127.0.0.1' | + | |
| - | scp_test | + | |
| - | [trainee@centos7 ~]$ ls / | + | |
| - | / | + | |
| - | </ | + | |
| - | ==Mise en place des clefs== | + | 03:37:16 PM |
| - | + | 03:37:21 PM | |
| - | Il convient maintenant de se connecter sur le << | + | 03:37:26 PM |
| - | + | 03:37:31 PM | |
| - | En saisissant cette commande, vous obtiendrez une fenêtre similaire à celle-ci | + | Average: |
| - | + | ||
| - | < | + | |
| - | [trainee@centos7 ~]$ ssh -l trainee 127.0.0.1 | + | |
| - | trainee@127.0.0.1's password: | + | |
| - | Last login: Mon May 9 23:42:46 2016 from localhost.localdomain | + | |
| - | [trainee@centos7 ~]$ ls -la | grep .ssh | + | |
| - | drwx------. 2 trainee trainee 4096 May 9 23:25 .ssh | + | |
| - | [trainee@centos7 ~]$ exit | + | |
| - | logout | + | |
| - | Connection to 127.0.0.1 closed. | + | |
| </ | </ | ||
| - | |||
| - | <WRAP center round important> | ||
| - | Si le dossier distant .ssh n' | ||
| - | </ | ||
| - | |||
| - | Ensuite, il convient de transférer le fichier local **.ssh/ | ||
| < | < | ||
| - | [trainee@centos7 ~]$ scp .ssh/ | + | [root@centos7 ~]# sar -v 5 3 |
| - | trainee@127.0.0.1's password: trainee | + | Linux 3.10.0-229.4.2.el7.x86_64 (centos7.fenestros.loc) 11/02/2015 _x86_64_ (1 CPU) |
| - | id_ecdsa.pub | + | |
| - | </code> | + | |
| - | Connectez-vous via telnet et insérer les clefs publiques restantes dans le fichier .ssh/ | + | 03:38:44 PM dentunusd |
| - | + | 03:38:49 PM 136266 | |
| - | < | + | 03:38:54 PM 136266 |
| - | root@centos7 ~]# ssh -l trainee localhost | + | 03:38:59 PM 136266 |
| - | trainee@localhost' | + | Average: |
| - | Last login: Tue May 10 01:39:33 2016 from localhost.localdomain | + | |
| - | [trainee@centos7 ~]$ cat .ssh/ | + | |
| - | [trainee@centos7 ~]$ cat .ssh/ | + | |
| - | [trainee@centos7 ~]$ cat .ssh/ | + | |
| - | [trainee@centos7 ~]$ cat .ssh/ | + | |
| - | ecdsa-sha2-nistp256 AAAAE2VjZHNhLXNoYTItbmlzdHAyNTYAAAAIbmlzdHAyNTYAAABBBG5BtOMFLrUbxD// | + | |
| - | ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQC9KOuEH5+kyihhm99Na8UTA4Gi5AfiOVeJyS3UzH7ta73ewmv7JZqaXzar1NlHcpEMkCUs2yKxHyO/ | + | |
| - | ssh-dss AAAAB3NzaC1kc3MAAACBAK9/ | + | |
| - | ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIENas3A3hmXFj1cb+lrn2NAt6g95Pla6qUFQHd1wg2y1 trainee@centos7.fenestros.loc | + | |
| - | ecdsa-sha2-nistp256 AAAAE2VjZHNhLXNoYTItbmlzdHAyNTYAAAAIbmlzdHAyNTYAAABBBG5BtOMFLrUbxD// | + | |
| </ | </ | ||
| - | Lors de la connexion suivante au serveur, l' | + | Les options |
| < | < | ||
| - | [trainee@centos7 ~]$ ssh -l trainee localhost | + | [root@centos7 ~]# sar --help |
| - | Last login: Tue May 10 01:50:39 2016 from localhost.localdomain | + | Usage: sar [ options ] [ < |
| - | [trainee@centos7 ~]$ exit | + | Options are: |
| - | déconnexion | + | [ -A ] [ -B ] [ -b ] [ -C ] [ -d ] [ -H ] [ -h ] [ -p ] [ -q ] [ -R ] |
| - | Connection to localhost closed. | + | [ -r ] [ -S ] [ -t ] [ -u [ ALL ] ] [ -V ] [ -v ] [ -W ] [ -w ] [ -y ] |
| + | [ -I { <int> [,...] | SUM | ALL | XALL } ] [ -P { <cpu> [,...] | ALL } ] | ||
| + | [ -m { < | ||
| + | [ -j { ID | LABEL | PATH | UUID | ... } ] | ||
| + | [ -f [ < | ||
| + | [ -i < | ||
| </ | </ | ||
| - | <WRAP center round important> | + | ===Utilisation des commandes en production=== |
| - | Le fichier **authorized_keys** doit avoir les permissions de 600. | + | |
| - | </ | + | |
| - | =====Gestion du Serveur NFS===== | + | ==Identifier un système limité par le processeur== |
| - | ====Présentation==== | + | Dans ce cas utilisez les commandes suivantes : |
| - | Quand on parle de NFS, on parle d'**exportation** d'un répertoire sur le serveur afin que celui-ci puisse être vu par des clients sur le réseau. Ces clients peuvent ensuite monter le répertoire et l' | + | |
| + | | ||
| + | | ||
| + | | ||
| + | * iostat | ||
| - | Le Network File System (NFS) est le protocole | + | ==Identifier un système ayant un problème |
| - | * le partage ainsi que ses caractéristiques sont configurés par rapport à l' | + | Dans ce cas utilisez les commandes suivantes : |
| - | * aucun mot de passe n'est demandé lors de la connexion d'un utilisateur à une ressource car le serveur NFS présume que l' | + | |
| - | Cependant l' | + | * free |
| + | * sar -B | ||
| - | Il existe actuellement 3 versions de NFS : | ||
| - | ^ Version ^ Protocole Utilisé ^ Dépendance ^ | + | ==Identifier un système ayant un problème d' |
| - | | **NFSv2** | TCP et UDP | portmap | | + | |
| - | | **NFSv3** | TCP et UDP | portmap | | + | |
| - | | **NFSv4** | TCP | Aucune - les fonctions de portmap sont incluses dans NFSv4 | | + | |
| - | La version utilisée par défaut sous CentOS/ | + | Utilisez la commande : |
| - | ===Les Services et Processus du Serveur NFSv3=== | + | * iostat -d -x |
| - | La version NFSv3 utilise les services suivants : | ||
| - | ^ Services ^ Fonction ^ | + | =====Modules usb===== |
| - | | **nfs** | Démarre le service NFS ainsi que les processus RPC pour recevoir et traiter les demandes des clients | | + | |
| - | | **nfslock** | Démarre les processus RPC qui permettent aux clients de verrouiller les fichiers sur le serveur | + | |
| - | | **portmap** | Gestion des réservations des ports pour les services RPC locaux afin que les services RPC distants puissent se connecter | | + | |
| - | ==Les Services RPC== | + | L' |
| - | Les services RPC ( //Remote Procedure Calls// ou appel de procédures distantes ) ont été inventé par SUN Microsystem pour faciliter le travail des développeurs | + | ^ Version USB ^ Module ^ Nom Complet ^ |
| + | | 1.0\1.1 | ||
| + | | ::: | **OHCI** | //Open Controller Host Interface// | | ||
| + | | 2.0 | **EHCI** | //Enhanced Host Controller Interface// | | ||
| + | | 3.0 | **XHCI** | // | ||
| - | Lorsque le client veut faire une requête à un service RPC, il contacte | + | Le tableau suivant liste les modules courrament chargés |
| - | ===Options | + | ^ Module ^ Type de Périphérique ^ |
| + | | **usb_storage** | ||
| + | | **usbhid** | ||
| + | | **snd-usb-audio** | ||
| + | | **usbvidéo** | ||
| + | | **irda-usb** | ||
| + | | **usbnet** | ||
| - | Certaines options, appliquées à un partage, modifient le comportement du serveur NFS pour le partage concerné lors de son démarrage | + | Les modules peuvent être chargés par un des moyens suivants |
| - | ^ Option ^ Comportement ^ | + | |
| - | | **ro** | Accès en lecture seule | | + | * Le processus init, |
| - | | **rw** | Accès en lecture / écriture | | + | * kmod, d'une manière dynamique et transparente lors du branchement du périphérique, |
| - | | **sync** | Ecriture synchrone ( écriture immédiate sur disque ) | | + | * udev, |
| - | | **async** | Ecriture asynchrone ( écriture sur disque | + | * manuellement. |
| - | | **root_squash** | Root perd ses prérogatives sur le partage concerné | | + | |
| - | | **no_root_squash** | Root garde ses prérogatives sur le partage concerné | | + | |
| - | | **no_lock** | Pas de verrous sur les fichiers accédés | | + | |
| - | | **all_squash** | Force la mapping de tous les utilisateurs vers l' | + | |
| - | | **anonuid** | Fixe l'UID de l' | + | |
| - | | **anongid** | Fixe le GID de l' | + | |
| - | <WRAP center round important> | + | <WRAP center round todo> |
| - | **Important** : Si plusieurs options sont spécifiées, celles-ci doivent être séparées par des virgules. | + | **A faire** : Branchez une clef USB avant de continuer. |
| </ | </ | ||
| - | ===Commandes de Base=== | + | =====udev===== |
| - | Plusieurs commandes permettent de gérer et de s'informer sur l'activité du serveur NFS : | + | Depuis le noyau Linux 2.6 Linux est capable |
| - | ^ Commande ^ Comportement ^ | + | |
| - | | **exportfs** | Affiche les partages actifs sur le serveur courant | | + | * HAL, |
| - | | **nfsstat** | Affiche les statistiques de l' | + | * Dbus. |
| - | | **rpcinfo** | Affiche les démons gérés en effectuant une requête RPC sur le serveur courant | | + | |
| - | | **showmount** | Affiche les partages actifs sur un serveur distant | | + | |
| - | | **mount** | Permet de monter un partage distant sur un répertoire local | | + | |
| - | ====Mise en Place==== | + | Les rôles de chaque composant sont les suivants : |
| - | ===Configuration du Serveur=== | + | * Udev se charge de créer et supprimer d'une manière dynamique les nœuds dans le répertoire **/dev**, |
| + | * HAL obtient des informations à partir d'Udev et créé un fichier au format XML représentant le périphérique branché. Il informe ensuite Nautilus en utilisant le Dbus, | ||
| + | * Dbus joue le rôle d'un bus système qui est utilisé pour la communication inter-processus. | ||
| - | <WRAP center round important> | + | Lors de démarrage de Linux, Udev joue un rôle important : |
| - | **Important** : Arrêtez votre VM. Dans la fenêtre | + | |
| - | </ | + | |
| - | Configurez votre interface réseau si ce n'est pas déjà fait : | + | * Au démarrage **tmpfs** |
| + | * Udev copie les éventuels nœuds statiques de **/ | ||
| + | * le démon **udevd** collecte des données appelées **uevents** du noyau et cherche une règle correspondante dans le répertoire **/ | ||
| + | * Udev crée les nœuds et liens symboliques spécifiés dans la règle identifiée, | ||
| + | * Udev stocke les règles contenues dans **/ | ||
| + | * En cas de modification des ces règles, Udev met à jour la mémoire. | ||
| - | < | + | Udev repose sur le filesystem **sysfs** monté sur /sys qui permet de rendre les périphériques visibles à Udev dans l'// |
| - | [root@centos7 ~]# nmcli connection add con-name ip_fixe ifname enp0s3 type ethernet ip4 10.0.2.16/24 gw4 10.0.2.2 | + | |
| - | Connection | + | |
| - | [root@centos7 ~]# nmcli connection mod ip_fixe ipv4.dns 8.8.8.8 | + | |
| - | [root@centos7 ~]# nmcli connection up ip_fixe | + | |
| - | Connection successfully activated (D-Bus active path: /org/freedesktop/NetworkManager/ActiveConnection/1) | + | |
| - | [root@centos7 ~]# systemctl restart NetworkManager.service | + | |
| - | </ | + | |
| - | Ajoutez une autre adresse IP pour le NFS : | + | Le fichier de configuration principal d'Udev est **/ |
| < | < | ||
| - | [root@centos7 ~]# nmcli connection mod ip_fixe +ipv4.addresses 192.168.1.2/ | + | [root@centos7 ~]# cat / |
| - | </ | + | # see udev(7) for details |
| - | Continuez maintenant par la mise en place du service **nfs** : | + | #udev_log=" |
| - | + | ||
| - | < | + | |
| - | [root@centos7 ~]# systemctl status nfs.service | + | |
| - | nfs-server.service - NFS server and services | + | |
| - | | + | |
| - | | + | |
| - | + | ||
| - | [root@centos7 ~]# systemctl enable nfs-server.service | + | |
| - | ln -s '/ | + | |
| - | [root@centos7 ~]# systemctl status nfs.service | + | |
| - | nfs-server.service - NFS server and services | + | |
| - | | + | |
| - | | + | |
| </ | </ | ||
| - | La mise en place d'un partage ponctuel | + | Les fichiers de règles |
| < | < | ||
| - | [root@centos7 ~]# exportfs | + | [root@centos7 ~]# ls / |
| - | [root@centos7 ~]# exportfs 192.168.1.1:/ | + | 10-dm.rules |
| - | [root@centos7 ~]# exportfs | + | 11-dm-lvm.rules |
| - | / | + | 11-dm-mpath.rules |
| - | </ | + | 13-dm-disk.rules |
| - | + | 40-libgphoto2.rules | |
| - | Démarrez maintenant le service **nfs** : | + | 40-redhat.rules |
| - | + | 40-usb_modeswitch.rules | |
| - | < | + | 42-usb-hid-pm.rules |
| - | [root@centos7 ~]# systemctl start nfs.service | + | 50-rbd.rules 69-dm-lvm-metad.rules |
| - | [root@centos7 ~]# systemctl status nfs.service | + | 50-udev-default.rules |
| - | nfs-server.service | + | 56-hpmud.rules 69-xorg-vmmouse.rules |
| - | Loaded: loaded (/ | + | 60-alias-kmsg.rules |
| - | Active: active (exited) since Thu 2015-10-01 13:18:13 CEST; 4s ago | + | 60-cdrom_id.rules |
| - | | + | 60-fprint-autosuspend.rules |
| - | | + | 60-keyboard.rules |
| - | Main PID: 9552 (code=exited, | + | 60-net.rules |
| - | CGroup: /system.slice/nfs-server.service | + | 60-persistent-alsa.rules 70-wacom.rules |
| - | + | 60-persistent-input.rules | |
| - | Oct 01 13:18:13 centos7.fenestros.loc systemd[1]: Starting NFS server and services... | + | 60-persistent-serial.rules 71-seat.rules 80-udisks2.rules 98-rdma.rules |
| - | Oct 01 13:18:13 centos7.fenestros.loc systemd[1]: Started NFS server and services. | + | 60-persistent-storage.rules |
| - | </ | + | 60-persistent-storage-tape.rules 73-seat-late.rules |
| - | + | 60-persistent-v4l.rules | |
| - | Afin de mettre en place un ou des partages **permanents**, | + | 60-raw.rules 75-probe_mtd.rules |
| - | + | 61-accelerometer.rules | |
| - | < | + | |
| - | / | + | |
| - | / | + | |
| </ | </ | ||
| <WRAP center round important> | <WRAP center round important> | ||
| - | **Important** : Dans ce cas, nous avons partagé le répertoire | + | **Important** : Il vous est possible d' |
| </ | </ | ||
| - | Redémarrez maintenant | + | Comme indique |
| < | < | ||
| - | [root@centos7 ~]# systemctl restart nfs.service | + | [root@centos7 ~]# cat /lib/udev/rules.d/50-udev-default.rules | more |
| - | [root@centos7 ~]# systemctl status nfs.service | + | # do not edit this file, it will be overwritten on update |
| - | nfs-server.service - NFS server and services | + | |
| - | | + | |
| - | | + | |
| - | Process: 4642 ExecStopPost=/ | + | |
| - | Process: 4639 ExecStopPost=/ | + | |
| - | Process: 4638 ExecStop=/ | + | |
| - | | + | |
| - | Process: 4649 ExecStartPre=/ | + | |
| - | Main PID: 4650 (code=exited, | + | |
| - | | + | |
| - | Oct 01 14:24:50 centos7.fenestros.loc systemd[1]: Starting NFS server and services... | + | SUBSYSTEM==" |
| - | Oct 01 14:24:50 centos7.fenestros.loc exportfs[4649]: | + | |
| - | Oct 01 14:24:50 centos7.fenestros.loc exportfs[4649]: | + | |
| - | Oct 01 14:24:50 centos7.fenestros.loc systemd[1]: Started NFS server and services. | + | |
| - | </code> | + | |
| - | Puisque aucune option ne soit spécifiée pour les montages, ceux-ci ont été exportés avec des option par défaut. En utilisant l' | + | # select " |
| + | SUBSYSTEM==" | ||
| + | SUBSYSTEM==" | ||
| - | < | + | SUBSYSTEM==" |
| - | [root@centos7 ~]# exportfs -v | + | SUBSYSTEM==" |
| - | / | + | ENV{MODALIAS}!="", |
| - | /tmp < | + | |
| - | </ | + | |
| - | ===Configuration du Client=== | + | ACTION!=" |
| - | <WRAP center round important> | + | SUBSYSTEM==" |
| - | **Important** : Arrêtez votre VM. Créez une clône de votre VM. Démarrez la VM clonée. | + | SUBSYSTEM==" |
| - | </WRAP> | + | SUBSYSTEM==" |
| + | SUBSYSTEM==" | ||
| + | SUBSYSTEM==" | ||
| + | SUBSYSTEM==" | ||
| + | SUBSYSTEM==" | ||
| + | KERNEL==" | ||
| - | Re-configurez ensuite l' | + | SUBSYSTEM==" |
| - | < | + | SUBSYSTEM==" |
| - | [root@centos7 ~]# nmcli connection del ip_fixe | + | |
| - | [root@centos7 ~]# nmcli connection show ip_fixe | + | SUBSYSTEM==" |
| - | Error: ip_fixe - no such connection profile. | + | SUBSYSTEM==" |
| - | + | --More-- | |
| - | [root@centos7 ~]# nmcli connection add con-name ip_fixe ifname enp0s3 type ethernet ip4 10.0.2.17/ | + | |
| - | Connection ' | + | |
| - | + | ||
| - | [root@centos7 ~]# nmcli connection mod ip_fixe ipv4.dns 8.8.8.8 | + | |
| - | + | ||
| - | [root@centos7 ~]# nmcli connection mod ip_fixe +ipv4.addresses 192.168.1.1/ | + | |
| - | + | ||
| - | [root@centos7 ~]# nmcli connection up ip_fixe | + | |
| - | Connection successfully activated (D-Bus active path: / | + | |
| - | + | ||
| - | [root@centos7 ~]# systemctl restart NetworkManager.service | + | |
| </ | </ | ||
| - | <WRAP center round important > | + | Chaque règle prend la forme suivante : |
| - | **Important** : Démarrez | + | |
| - | </ | + | |
| - | Dans la VM d' | + | KEY, [KEY, ...] NAME [, SYMLINK] |
| - | < | + | Chaque KEY est un champ au format **type=valeur** qui doit correspondre à un périphérique unique. La valeur de type peut prendre plusieurs formes |
| - | [root@centos7 ~]# getenforce | + | |
| - | Enforcing | + | |
| - | [root@centos7 ~]# setenforce permissive | + | |
| - | [root@centos7 ~]# systemctl status firewalld.service | + | |
| - | firewalld.service - firewalld - dynamic firewall daemon | + | |
| - | | + | |
| - | | + | |
| - | Main PID: 479 (firewalld) | + | |
| - | | + | |
| - | | + | |
| - | Oct 01 14:54:57 centos7.fenestros.loc systemd[1]: Started firewalld | + | ^ Type ^ Description ^ Exemples ^ |
| - | [root@centos7 ~]# systemctl stop firewalld.service | + | | BUS | Type de bus | usb, scsi, ide | |
| - | </code> | + | | KERNEL | Le nom par défault du périphérique donné par le noyau | hda, ttyUSB0, lp0 | |
| + | | SUBSYSTEM | Le nom noyau du sous-système, généralement identique à la valeur du BUS | usb, scsi | | ||
| + | | DRIVER | Le nom du pilote qui contrôle le périphérique | usb-storage | | ||
| + | | ID | Le numéro du périphérique sur son bus | PCI bus id, USB id | | ||
| + | | PLACE | Ne concerne que les périphériques USB et donne la position topologique du périphérique sur son bus | S/O | | ||
| + | | SYSFS{filename} | Le nom du fichier dans /sys pour le périphérique. Ce fichier contient le fabricant, le label, le numéro de série et UUID du périphérique. La vérification de jusqu' | ||
| + | | PROGRAM | Ceci permet à Udev d' | ||
| + | | RESULT | Valeur à comparer au résultat de PROGRAM | S/O | | ||
| - | A partir de votre client, consultez les répertoire exportés du serveur | + | NAME et SYMLINK sont utilisées pour stipuler ce que Udev doit faire avec le périphérique |
| - | < | + | ^ Type ^ Description ^ Exemples ^ |
| - | [root@centos7 ~]# showmount --exports 192.168.1.2 | + | | NAME | Le nome du nœud dans /dev | S/O | |
| - | Export list for 192.168.1.2: | + | | SYMLINK | Le ou les lien(s) symbolique(s) qui pointe(nt) vers le NAME | S/O | |
| - | /tmp * | + | |
| - | /home/trainee 192.168.1.1 | + | |
| - | </code> | + | |
| - | Créez maintenant le répertoire **/nfs** dans le client et montez le partage **192.168.1.2:/ | + | ====La commande udevadm==== |
| - | + | ||
| - | < | + | |
| - | [root@centos7 ~]# mkdir /nfs | + | |
| - | [root@centos7 ~]# mount -t nfs 192.168.1.2:/ | + | |
| - | </ | + | |
| - | Notez que quand vous essayer | + | Pour obtenir |
| < | < | ||
| - | [root@centos7 ~]# cd /nfs | + | [root@centos7 ~]# udevadm info --query=all -n /dev/sda |
| - | -bash: cd: /nfs: Permission denied | + | P: / |
| + | N: sda | ||
| + | S: disk/by-id/ | ||
| + | E: DEVLINKS=/ | ||
| + | E: DEVNAME=/dev/sda | ||
| + | E: DEVPATH=/ | ||
| + | E: DEVTYPE=disk | ||
| + | E: ID_ATA=1 | ||
| + | E: ID_ATA_FEATURE_SET_PM=1 | ||
| + | E: ID_ATA_FEATURE_SET_PM_ENABLED=1 | ||
| + | E: ID_ATA_SATA=1 | ||
| + | E: ID_ATA_SATA_SIGNAL_RATE_GEN2=1 | ||
| + | E: ID_ATA_WRITE_CACHE=1 | ||
| + | E: ID_ATA_WRITE_CACHE_ENABLED=1 | ||
| + | E: ID_BUS=ata | ||
| + | E: ID_MODEL=VBOX_HARDDISK | ||
| + | E: ID_MODEL_ENC=VBOX\x20HARDDISK\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20\x20 | ||
| + | E: ID_PART_TABLE_TYPE=dos | ||
| + | E: ID_REVISION=1.0 | ||
| + | E: ID_SERIAL=VBOX_HARDDISK_VBc40eec8a-49b6b6f3 | ||
| + | E: ID_SERIAL_SHORT=VBc40eec8a-49b6b6f3 | ||
| + | E: ID_TYPE=disk | ||
| + | E: MAJOR=8 | ||
| + | E: MINOR=0 | ||
| + | E: MPATH_SBIN_PATH=/ | ||
| + | E: SUBSYSTEM=block | ||
| + | E: TAGS=: | ||
| + | E: USEC_INITIALIZED=957366 | ||
| </ | </ | ||
| - | <WRAP center round important> | + | ===Les options |
| - | **Important** : Puisque le répertoire **/ | + | |
| - | </ | + | |
| - | Retournez donc dans le serveur et modifiez le fichier **/ | + | Les options de la commande udevadm sont : |
| < | < | ||
| - | [root@centos7 ~]# cat / | + | [root@centos7 ~]# udevadm --help |
| - | / | + | Usage: udevadm [--help] [--version] [--debug] COMMAND [COMMAND OPTIONS] |
| - | / | + | |
| - | </ | + | |
| + | settle | ||
| + | control | ||
| + | monitor | ||
| + | hwdb | ||
| + | test test an event run | ||
| + | test-builtin test a built-in command | ||
| - | Redémarrez le service nfs : | + | [root@centos7 ~]# udevadm info --help |
| - | + | Usage: udevadm info OPTIONS | |
| - | < | + | --query=< |
| - | [root@centos7 ~]# systemctl restart nfs.service | + | name name of device node |
| + | symlink | ||
| + | path sys device path | ||
| + | property | ||
| + | all all values | ||
| + | --path=< | ||
| + | --name=< | ||
| + | --root | ||
| + | --attribute-walk | ||
| + | of parent devices | ||
| + | --device-id-of-file=< | ||
| + | --export | ||
| + | --export-prefix | ||
| + | --export-db | ||
| + | --cleanup-db | ||
| + | --help | ||
| </ | </ | ||
| - | Vous noterez que maintenant vous êtes capable | + | =====Système |
| - | < | + | Le système de fichiers virtuel **/sys** a été introduit avec le noyau Linux **2.6**. Son rôle est de décrire le matériel pour udev. |
| - | [root@centos7 ~]# cd /nfs | + | |
| - | [root@centos7 nfs]# | + | |
| - | </ | + | |
| - | ====Surveillance du Serveur==== | + | Saisissez la commande |
| - | + | ||
| - | ===La Commande rpcinfo=== | + | |
| - | + | ||
| - | La commande | + | |
| < | < | ||
| - | [root@centos6 | + | [root@centos7 |
| - | program version netid | + | total 0 |
| - | 100000 | + | drwxr-xr-x. 2 root root 0 Oct 28 09:40 block |
| - | | + | drwxr-xr-x. |
| - | 100000 | + | drwxr-xr-x. 45 root root 0 Oct 28 09:40 class |
| - | | + | drwxr-xr-x. 4 root root 0 Oct 28 09:40 dev |
| - | 100000 | + | drwxr-xr-x. 11 root root 0 Oct 28 09:40 devices |
| - | 100000 | + | drwxr-xr-x. 5 root root 0 Oct 28 09:40 firmware |
| - | 100000 | + | drwxr-xr-x. 6 root root 0 Oct 28 09:40 fs |
| - | 100000 | + | drwxr-xr-x. 2 root root 0 Oct 28 09:40 hypervisor |
| - | 100000 | + | drwxr-xr-x. 9 root root 0 Oct 28 09:40 kernel |
| - | 100000 | + | drwxr-xr-x. 146 root root 0 Oct 28 09:40 module |
| - | 100000 | + | drwxr-xr-x. 2 root root 0 Oct 28 09:40 power |
| - | 100000 | + | |
| - | 100024 | + | |
| - | 100024 | + | |
| - | 100024 | + | |
| - | | + | |
| - | 100011 | + | |
| - | 100011 | + | |
| - | 100011 | + | |
| - | 100011 | + | |
| - | 100005 | + | |
| - | 100005 | + | |
| - | 100005 | + | |
| - | | + | |
| - | 100005 | + | |
| - | 100005 | + | |
| - | 100005 | + | |
| - | | + | |
| - | 100005 | + | |
| - | 100005 | + | |
| - | 100005 | + | |
| - | | + | |
| - | 100003 | + | |
| - | 100003 | + | |
| - | 100003 | + | |
| - | 100227 | + | |
| - | 100227 | + | |
| - | 100003 | + | |
| - | 100003 | + | |
| - | 100003 | + | |
| - | 100227 | + | |
| - | 100227 | + | |
| - | 100003 | + | |
| - | | + | |
| - | 100003 | + | |
| - | 100227 | + | |
| - | 100227 | + | |
| - | 100003 | + | |
| - | 100003 | + | |
| - | 100003 | + | |
| - | 100227 | + | |
| - | 100227 | + | |
| - | 100021 | + | |
| - | 100021 | + | |
| - | | + | |
| - | 100021 | + | |
| - | | + | |
| - | 100021 | + | |
| - | 100021 | + | |
| - | | + | |
| - | 100021 | + | |
| - | | + | |
| - | 100021 | + | |
| - | 100021 | + | |
| </ | </ | ||
| - | < | + | Chaque répertoire contient des informations |
| - | [root@centos7 ~]# rpcinfo | + | |
| - | | + | |
| - | 100000 | + | |
| - | 100000 | + | |
| - | 100000 | + | |
| - | 100000 | + | |
| - | 100000 | + | |
| - | 100000 | + | |
| - | 100000 | + | |
| - | 100000 | + | |
| - | 100000 | + | |
| - | 100000 | + | |
| - | 100000 | + | |
| - | 100000 | + | |
| - | 100024 | + | |
| - | 100024 | + | |
| - | 100024 | + | |
| - | 100024 | + | |
| - | 100005 | + | |
| - | 100005 | + | |
| - | 100005 | + | |
| - | 100005 | + | |
| - | 100005 | + | |
| - | 100005 | + | |
| - | 100005 | + | |
| - | 100005 | + | |
| - | 100005 | + | |
| - | 100005 | + | |
| - | 100005 | + | |
| - | 100005 | + | |
| - | 100003 | + | |
| - | 100003 | + | |
| - | 100227 | + | |
| - | 100003 | + | |
| - | 100003 | + | |
| - | 100227 | + | |
| - | 100003 | + | |
| - | 100003 | + | |
| - | 100227 | + | |
| - | 100003 | + | |
| - | 100003 | + | |
| - | 100227 | + | |
| - | 100021 | + | |
| - | 100021 | + | |
| - | 100021 | + | |
| - | 100021 | + | |
| - | 100021 | + | |
| - | 100021 | + | |
| - | 100021 | + | |
| - | 100021 | + | |
| - | 100021 | + | |
| - | 100021 | + | |
| - | 100021 | + | |
| - | 100021 | + | |
| - | </ | + | |
| - | ===La Commande nfsstat=== | + | * **block** |
| + | * contient des informations sur les périphériques bloc | ||
| + | * **bus** | ||
| + | * contient des informations sur les bus de données | ||
| + | * **class** | ||
| + | * contient des informations sur des classes de matériel | ||
| + | * **devices** | ||
| + | * contient des informations sur la position des périphériques sur les bus | ||
| + | * **firmware** | ||
| + | * contient, entre autre, des informations sur l' | ||
| + | * **module** | ||
| + | * contient des informations sur les modules du noyau | ||
| + | * **power** | ||
| + | * contient des informations sur la gestion de l' | ||
| + | * **fs** | ||
| + | * contient des informations sur les systèmes de fichiers | ||
| - | La Commande **nfsstat** permet de vérifier l' | + | Pour illustrer ceci, saisissez la commande suivante |
| < | < | ||
| - | [root@centos6 | + | [root@centos7 |
| - | Server rpc stats: | + | 409600 |
| - | calls badcalls | + | |
| - | 50 | + | |
| - | + | ||
| - | Server nfs v4: | + | |
| - | null | + | |
| - | 2 4% 48 96% | + | |
| - | + | ||
| - | Server nfs v4 operations: | + | |
| - | op0-unused | + | |
| - | 0 0% 0 0% 0 0% 5 4% 0 0% 0 0% | + | |
| - | create | + | |
| - | 0 0% 0 0% 0 0% 45 41% 5 4% 0 0% | + | |
| - | lock | + | |
| - | 0 0% 0 0% 0 0% 3 2% 0 0% 0 0% | + | |
| - | open | + | |
| - | 0 0% 0 0% 0 0% 0 0% 46 42% 0 0% | + | |
| - | putrootfh | + | |
| - | 2 1% 0 0% 3 2% 0 0% 0 0% 0 0% | + | |
| - | renew restorefh | + | |
| - | 0 0% 0 0% 0 0% 0 0% 0 0% 0 0% | + | |
| - | setcltidconf verify | + | |
| - | 0 0% 0 0% 0 0% 0 0% 0 0% 0 0% | + | |
| - | exchange_id | + | |
| - | 0 0% 0 0% 0 0% 0 0% 0 0% 0 0% | + | |
| - | getdevlist | + | |
| - | 0 0% 0 0% 0 0% 0 0% 0 0% 0 0% | + | |
| - | set_ssv | + | |
| - | 0 0% 0 0% 0 0% 0 0% 0 | + | |
| </ | </ | ||
| - | < | + | Ce chiffre correspond aux nombre de secteurs. |
| - | [root@centos7 ~]# nfsstat | + | |
| - | Server rpc stats: | + | |
| - | calls badcalls | + | |
| - | 34 | + | |
| - | Server nfs v4: | + | =====Limitation des ressources===== |
| - | null | + | |
| - | 1 2% 33 | + | |
| - | Server nfs v4 operations: | + | ====ulimit==== |
| - | op0-unused | + | |
| - | 0 0% 0 0% 0 0% 5 7% 0 0% 0 0% | + | |
| - | create | + | |
| - | 0 0% 0 0% 0 0% 22 31% 4 5% 0 0% | + | |
| - | lock | + | |
| - | 0 0% 0 0% 0 0% 5 7% 0 0% 0 0% | + | |
| - | open | + | |
| - | 0 0% 0 0% 0 0% 0 0% 23 33% 0 0% | + | |
| - | putrootfh | + | |
| - | 1 1% 0 0% 0 0% 0 0% 0 0% 0 0% | + | |
| - | renew restorefh | + | |
| - | 5 7% 0 0% 0 0% 0 0% 0 0% 2 2% | + | |
| - | setcltidconf verify | + | |
| - | 2 2% 0 0% 0 0% 0 0% 0 0% 0 0% | + | |
| - | exchange_id | + | |
| - | 0 0% 0 0% 0 0% 0 0% 0 0% 0 0% | + | |
| - | getdevlist | + | |
| - | 0 0% 0 0% 0 0% 0 0% 0 0% 0 0% | + | |
| - | set_ssv | + | |
| - | 0 0% 0 0% 0 0% 0 0% 0 0% | + | |
| - | </ | + | |
| + | Les ressources disponibles aux utilisateurs peuvent être limitées par l' | ||
| - | =====Le Parefeu Netfilter===== | + | La commande **ulimit** gère deux types de limite, la limite //hard// en utilisant l' |
| - | ===Configuration du Pare-feu Netfilter/iptables==== | + | La limite |
| - | + | ||
| - | ==Introduction== | + | |
| - | + | ||
| - | **Netfilter** est composé de 5 //hooks// : | + | |
| - | + | ||
| - | * NF_IP_PRE_ROUTING | + | |
| - | * NF_IP_LOCAL_IN | + | |
| - | * NF_IP_LOCAL_OUT | + | |
| - | * NF_IP_FORWARD | + | |
| - | * NF_IP_POSTROUTING | + | |
| - | + | ||
| - | Ces hooks sont utilisés par deux branches, la première | + | |
| - | + | ||
| - | * NF_IP_PRE_ROUTING > NF_IP_LOCAL_IN > NF_IP_LOCAL_OUT > NF_IP_POSTROUTING | + | |
| - | + | ||
| - | tandis que la deuxième concerne les paquets qui traversent la passerelle: | + | |
| - | + | ||
| - | * NF_IP_PRE_ROUTING > NF_IP_FORWARD > NF_IP_POSTROUTING | + | |
| - | + | ||
| - | Si IPTABLES a été compilé en tant que module, son utilisation nécessite le chargement de plusieurs modules supplémentaires en fonction de la situation: | + | |
| - | + | ||
| - | * iptable_filter | + | |
| - | * iptable_mangle | + | |
| - | * iptable_net | + | |
| - | * etc | + | |
| - | + | ||
| - | Netfilter est organisé en **tables**. La commande **iptables** de netfilter permet d' | + | |
| - | + | ||
| - | * La table **FILTER** | + | |
| - | * La chaîne INPUT | + | |
| - | * Concerne les paquets entrants | + | |
| - | * Policies: ACCEPT, DROP, REJECT | + | |
| - | * La chaîne OUTPUT | + | |
| - | * Concerne les paquets sortants | + | |
| - | * Policies: ACCEPT, DROP, REJECT | + | |
| - | * La chaîne FORWARD | + | |
| - | * Concerne les paquets traversant le par-feu. | + | |
| - | * Policies: ACCEPT, DROP, REJECT | + | |
| - | + | ||
| - | Si aucune table n'est précisée, c'est la table FILTER qui s'applique | + | |
| - | + | ||
| - | * La table **NAT** | + | |
| - | * La chaîne PREROUTING | + | |
| - | * Permet de faire la translation d' | + | |
| - | * Cibles: SNAT, DNAT, MASQUERADE | + | |
| - | * La chaîne POSTROUTING | + | |
| - | * Permet de faire la translation d' | + | |
| - | * Cibles: SNAT, DNAT, MASQUERADE | + | |
| - | * Le cas spécifique OUTPUT | + | |
| - | * Permet la modification de la destination des paquets générés localement | + | |
| - | + | ||
| - | * La table **MANGLE** | + | |
| - | * Permet le marquage de paquets générés localement (OUTPUT) et entrants (PREROUTING) | + | |
| - | + | ||
| - | Les **policies** sont: | + | |
| - | + | ||
| - | * ACCEPT | + | |
| - | * Permet d' | + | |
| - | * DROP | + | |
| - | * Permet de rejeter le paquet concerné sans générer un message d' | + | |
| - | * REJECT | + | |
| - | * Permet de rejeter le paquet concerné en générant une message d' | + | |
| - | + | ||
| - | Les **cibles** sont: | + | |
| - | + | ||
| - | * SNAT | + | |
| - | * Permet de modifier l' | + | |
| - | * DNAT | + | |
| - | * Permet de modifier l' | + | |
| - | * MASQUERADE | + | |
| - | * Permet de remplacer l' | + | |
| - | + | ||
| - | IPTABLES peut être configuré soit par des outils tels shorewall, soit en utilisant des lignes de commandes ou un script. Dans ce dernier cas, la ligne prend la forme: | + | |
| - | + | ||
| - | # IPTABLES --action CHAINE --option1 --option2 | + | |
| - | + | ||
| - | Les actions sont: | + | |
| - | + | ||
| - | ^ Action | + | |
| - | | - -append | -A | Ajouter une règle à la fin de la chaîne spécifiée | | + | |
| - | | - -delete | -D | Supprimer une règle en spécifiant son numéro ou la règle à supprimer | | + | |
| - | | - -replace | -R | Permet de remplacer la règle spécifée par son numéro | | + | |
| - | | - -insert | -I | Permet d' | + | |
| - | | - -list | -L | Permet d' | + | |
| - | | - -flush | -F | Permet de vider toutes les règles d'une chaîne | | + | |
| - | + | ||
| - | Les options sont: | + | |
| - | + | ||
| - | ^ Option | + | |
| - | | - -protocol | -p | Permet de spécifier un protocol - tcp, udp, icmp, all | | + | |
| - | | - -source | -s | Permet de spécifier une adresse source | | + | |
| - | | - -destination | -d | Permet de spécifier une adresse de destination | | + | |
| - | | - -in-interface | -i | Permet de spécifier une interface réseau d' | + | |
| - | | - -out-interface | -o | Permet de spécifier une interface réseau de sortie | | + | |
| - | | - -fragment | -f | Permet de ne spécifier que les paquets fragmentés | | + | |
| - | | - -source-port | -sport | + | |
| - | | - -destination-port | -dport | + | |
| - | | - -tcp-flags | s/o | Permet de spécifier un flag TCP à matcher - SYN, ACK, FIN, RST, URG, PSH, ALL, NONE | | + | |
| - | | - -icmp-type | s/o | Permet de spécifier un type de paquet ICMP | | + | |
| - | | - -mac-source | s/o | Permet de spécifier une adresse MAC | | + | |
| - | + | ||
| - | Les options spécifiques à NET sont: | + | |
| - | + | ||
| - | | - -to-destination | s/o | Permet de spécifier l' | + | |
| - | | - -to-source | s/o | Permet spécifier l' | + | |
| - | + | ||
| - | Les options spécifiques aux LOGS sont: | + | |
| - | + | ||
| - | | - -log-level | s/o | Permet de spécifier le niveau de logs | | + | |
| - | | - -log-prefix | s/o | Permet de spécifier un préfix pour les logs | | + | |
| - | + | ||
| - | L' | + | |
| - | + | ||
| - | | - -state | s/o | Permet de spécifier | + | |
| - | + | ||
| - | Ce dernier cas fait référence au STATEFUL. Le STATEFUL est la capacité du par-feu à enregistrer dans une table spécifique, | + | |
| - | + | ||
| - | Il existe 4 états: | + | |
| - | + | ||
| - | * NEW | + | |
| - | * Le paquet concerne une nouvelle connexion et contient donc un flag SYN à 1 | + | |
| - | * ESTABLISHED | + | |
| - | * Le paquet concerne une connexion déjà établie. Le paquet ne doit contenir **ni** flag SYN à 1, **ni** flag FIN à 1 | + | |
| - | * RELATED | + | |
| - | * Le paquet est d'une connexion qui présente une relation avec une autre connexion | + | |
| - | * INVALID | + | |
| - | * La paquet provient d'une connexion anormale. | + | |
| - | + | ||
| - | ==Configuration par Scripts sous RHEL/CentOS 6 et versions Antérieures== | + | |
| - | + | ||
| - | Dans l' | + | |
| - | + | ||
| - | < | + | |
| - | # | + | |
| - | ##################################### | + | |
| - | # proxy server IP | + | |
| - | PROXY_SERVER=" | + | |
| - | # Interface connected to Internet | + | |
| - | INTERNET=" | + | |
| - | # Interface connected to LAN | + | |
| - | LAN_IN=" | + | |
| - | # Local Interface | + | |
| - | LOCAL=" | + | |
| - | # Squid port | + | |
| - | PROXY_PORT=" | + | |
| - | # DO NOT MODIFY BELOW | + | |
| - | # Clean old firewall | + | |
| - | iptables -F | + | |
| - | iptables -X | + | |
| - | iptables -t nat -F | + | |
| - | iptables -t nat -X | + | |
| - | iptables -t mangle -F | + | |
| - | iptables -t mangle -X | + | |
| - | # Load IPTABLES modules for NAT and IP conntrack support | + | |
| - | modprobe ip_conntrack | + | |
| - | modprobe ip_conntrack_ftp | + | |
| - | # For win xp ftp client | + | |
| - | modprobe ip_nat_ftp | + | |
| - | echo 1 > / | + | |
| - | # Setting default filter policy | + | |
| - | iptables -P INPUT DROP | + | |
| - | iptables -P OUTPUT ACCEPT | + | |
| - | # Unlimited access to loop back | + | |
| - | iptables -A INPUT -i lo -j ACCEPT | + | |
| - | iptables -A OUTPUT -o lo -j ACCEPT | + | |
| - | # Allow UDP, DNS and Passive FTP | + | |
| - | iptables -A INPUT -i $INTERNET -m state --state ESTABLISHED, | + | |
| - | # set this system as a router for Rest of LAN | + | |
| - | iptables --table nat --append POSTROUTING --out-interface $INTERNET -j MASQUERADE | + | |
| - | iptables --append FORWARD --in-interface $LAN_IN -j ACCEPT | + | |
| - | # unlimited access to LAN | + | |
| - | iptables -A INPUT -i $LAN_IN -j ACCEPT | + | |
| - | iptables -A OUTPUT -o $LAN_IN -j ACCEPT | + | |
| - | # DNAT port 80 request comming from LAN systems to squid 3128 ($SQUID_PORT) aka transparent proxy | + | |
| - | iptables -t nat -A PREROUTING -i $LAN_IN -p tcp --dport 80 -j DNAT --to $PROXY_SERVER: | + | |
| - | # iptables -t nat -A PREROUTING -i br0 -p tcp --dport 80 -j REDIRECT --to-port 3128 | + | |
| - | # if it is same system | + | |
| - | iptables -t nat -A PREROUTING -i $INTERNET -p tcp --dport 80 -j REDIRECT --to-port $PROXY_PORT | + | |
| - | # DROP everything and Log it | + | |
| - | iptables -A INPUT -j LOG | + | |
| - | iptables -A INPUT -j DROP | + | |
| - | </ | + | |
| - | Dans l'exemple suivant, expliquez le fonctionnement du script en détaillant | + | L'utilisateur root peut paramétrer |
| < | < | ||
| - | #!/bin/sh | + | [root@centos7 ~]# cat /etc/security/ |
| + | # / | ||
| # | # | ||
| - | # Generated iptables firewall script | + | #This file sets the resource limits |
| - | # Script generated by Easy Firewall Generator for IPTables 1.15 | + | #It does not affect resource limits of the system services. |
| - | # copyright 2002 Timothy Scott Morizot | + | |
| - | # | + | |
| - | # Redhat chkconfig comments - firewall applied early, | + | |
| - | # | + | |
| - | # chkconfig: 2345 08 92 | + | |
| - | # description: | + | |
| - | # | + | |
| - | # This generator is primarily designed for RedHat installations, | + | |
| - | # although it should be adaptable for others. | + | |
| # | # | ||
| - | # It can be executed with the typical start and stop arguments. | + | #Also note that configuration files in / |
| - | # If used with stop, it will stop after flushing | + | #which are read in alphabetical order, override |
| - | # The save and restore arguments will save or restore | + | #file in case the domain is the same or more specific. |
| - | # from the / | + | #That means for example that setting a limit for wildcard domain here |
| - | # arguments are included to preserve compatibility | + | #can be overriden |
| - | # Redhat' | + | #subdirectory, |
| - | + | #with a user specific setting in the subdirectory. | |
| - | # Redhat/ | + | |
| # | # | ||
| - | # 1. Have the system link the iptables init.d startup script into run states | + | #Each line describes a limit for a user in the form: |
| - | # 2, 3, and 5. | + | |
| - | # chkconfig --level 235 iptables on | + | |
| # | # | ||
| - | # 2. Save this script and execute it to load the ruleset from this file. | + | #< |
| - | # You may need to run the dos2unix command on it to remove carraige returns. | + | |
| # | # | ||
| - | # 3. To have it applied at startup, copy this script to | + | #Where: |
| - | # / | + | #< |
| - | # | + | # - a user name |
| - | # | + | # - a group name, with @group syntax |
| - | # the init.d script should save the rules and reload them at runtime. | + | # - the wildcard *, for default entry |
| + | # | ||
| + | # for maxlogin limit | ||
| # | # | ||
| - | # 4. For non-Redhat systems (or Redhat systems if you have a problem), you | + | #< |
| - | # may want to append | + | # - " |
| - | # | + | # - " |
| - | # | + | |
| - | # on its own line in the rc.local file. | + | |
| - | + | ||
| - | ############################################################################### | + | |
| - | # | + | |
| - | # Local Settings | + | |
| # | # | ||
| - | + | #< | |
| - | # sysctl location. | + | # - core - limits |
| - | # If this is set to the empty string | + | # - data - max data size (KB) |
| - | # is disabled. | + | # - fsize - maximum filesize (KB) |
| - | + | # - memlock - max locked-in-memory address space (KB) | |
| - | SYSCTL="/ | + | # - nofile - max number of open file descriptors |
| - | + | # - rss - max resident set size (KB) | |
| - | # To echo the value directly to the /proc file instead | + | # - stack - max stack size (KB) |
| - | # SYSCTL="" | + | # - cpu - max CPU time (MIN) |
| - | + | # - nproc - max number of processes | |
| - | # IPTables Location | + | # - as - address space limit (KB) |
| - | + | # | |
| - | IPT="/ | + | # |
| - | IPTS="/ | + | # - priority - the priority to run user process with |
| - | IPTR="/ | + | # - locks - max number of file locks the user can hold |
| - | + | # - sigpending - max number of pending signals | |
| - | # Internet Interface | + | # - msgqueue - max memory used by POSIX message queues (bytes) |
| - | INET_IFACE=" | + | # - nice - max nice priority allowed |
| - | + | # | |
| - | # Local Interface Information | + | |
| - | LOCAL_IFACE=" | + | |
| - | LOCAL_IP=" | + | |
| - | LOCAL_NET=" | + | |
| - | LOCAL_BCAST=" | + | |
| - | + | ||
| - | # Localhost Interface | + | |
| - | + | ||
| - | LO_IFACE=" | + | |
| - | LO_IP=" | + | |
| - | + | ||
| - | # Save and Restore arguments handled here | + | |
| - | if [ " | + | |
| - | then | + | |
| - | echo -n " | + | |
| - | $IPTS > / | + | |
| - | echo " | + | |
| - | exit 0 | + | |
| - | elif [ " | + | |
| - | then | + | |
| - | echo -n " | + | |
| - | $IPTR < / | + | |
| - | echo " | + | |
| - | exit 0 | + | |
| - | fi | + | |
| - | + | ||
| - | ############################################################################### | + | |
| # | # | ||
| - | # Load Modules | + | #< |
| # | # | ||
| - | echo " | + | #* |
| + | #* | ||
| + | # | ||
| + | # | ||
| + | # | ||
| + | #ftp | ||
| + | # | ||
| - | # You should uncomment the line below and run it the first time just to | + | # End of file |
| - | # ensure all kernel module dependencies are OK. There is no need to run | + | </ |
| - | # every time, however. | + | |
| - | + | ||
| - | # / | + | |
| - | + | ||
| - | # Unless you have kernel module auto-loading disabled, you should not | + | |
| - | # need to manually load each of these modules. | + | |
| - | # ip_conntrack, | + | |
| - | # commented by default. | + | |
| - | # you have disabled module autoload. | + | |
| - | # be loaded by another kernel module. | + | |
| - | + | ||
| - | # core netfilter module | + | |
| - | / | + | |
| - | + | ||
| - | # the stateful connection tracking module | + | |
| - | / | + | |
| - | + | ||
| - | # filter table module | + | |
| - | # / | + | |
| - | + | ||
| - | # mangle table module | + | |
| - | # / | + | |
| - | + | ||
| - | # nat table module | + | |
| - | # / | + | |
| - | + | ||
| - | # LOG target module | + | |
| - | # / | + | |
| - | + | ||
| - | # This is used to limit the number of packets per sec/ | + | |
| - | # / | + | |
| - | + | ||
| - | # masquerade target module | + | |
| - | # / | + | |
| - | + | ||
| - | # filter using owner as part of the match | + | |
| - | # / | + | |
| - | Importez une machine virtuelle vierge de CentOS 6 pour effectuer le LABS #8. | + | |
| - | </ | + | |
| - | + | ||
| - | # REJECT target drops the packet and returns an ICMP response. | + | |
| - | # The response is configurable. | + | |
| - | # / | + | |
| - | + | ||
| - | # This target allows packets to be marked in the mangle table | + | |
| - | # / | + | |
| - | + | ||
| - | # This target affects the TCP MSS | + | |
| - | # / | + | |
| - | + | ||
| - | # This match allows multiple ports instead of a single port or range | + | |
| - | # / | + | |
| - | + | ||
| - | # This match checks against the TCP flags | + | |
| - | # / | + | |
| - | + | ||
| - | # This match catches packets with invalid flags | + | |
| - | # / | + | |
| - | + | ||
| - | # The ftp nat module is required for non-PASV ftp support | + | |
| - | / | + | |
| - | + | ||
| - | # the module for full ftp connection tracking | + | |
| - | / | + | |
| - | + | ||
| - | # the module for full irc connection tracking | + | |
| - | / | + | |
| - | + | ||
| - | + | ||
| - | ############################################################################### | + | |
| - | # | + | |
| - | # Kernel Parameter Configuration | + | |
| - | # | + | |
| - | # See http:// | + | |
| - | # for a detailed tutorial on sysctl and the various settings | + | |
| - | # available. | + | |
| - | + | ||
| - | # Required to enable IPv4 forwarding. | + | |
| - | # Redhat users can try setting FORWARD_IPV4 in / | + | |
| - | # Alternatively, | + | |
| - | if [ " | + | |
| - | then | + | |
| - | echo " | + | |
| - | else | + | |
| - | $SYSCTL net.ipv4.ip_forward=" | + | |
| - | fi | + | |
| - | + | ||
| - | # This enables dynamic address hacking. | + | |
| - | # This may help if you have a dynamic IP address \(e.g. slip, ppp, dhcp\). | + | |
| - | #if [ " | + | |
| - | #then | + | |
| - | # echo " | + | |
| - | #else | + | |
| - | # $SYSCTL net.ipv4.ip_dynaddr=" | + | |
| - | #fi | + | |
| - | + | ||
| - | # This enables SYN flood protection. | + | |
| - | # The SYN cookies activation allows your system to accept an unlimited | + | |
| - | # number of TCP connections while still trying to give reasonable | + | |
| - | # service during a denial of service attack. | + | |
| - | if [ " | + | |
| - | then | + | |
| - | echo " | + | |
| - | else | + | |
| - | $SYSCTL net.ipv4.tcp_syncookies=" | + | |
| - | fi | + | |
| - | + | ||
| - | # This enables source validation by reversed path according to RFC1812. | + | |
| - | # In other words, did the response packet originate from the same interface | + | |
| - | # through which the source packet was sent? It's recommended for single-homed | + | |
| - | # systems and routers on stub networks. | + | |
| - | # this firewall is designed to support, I turn it on by default. | + | |
| - | # Turn it off if you use multiple NICs connected to the same network. | + | |
| - | if [ " | + | |
| - | then | + | |
| - | echo " | + | |
| - | else | + | |
| - | $SYSCTL net.ipv4.conf.all.rp_filter=" | + | |
| - | fi | + | |
| - | + | ||
| - | # This option allows a subnet to be firewalled with a single IP address. | + | |
| - | # It's used to build a DMZ. Since that's not a focus of this firewall | + | |
| - | # script, it's not enabled by default, but is included for reference. | + | |
| - | # See: http:// | + | |
| - | #if [ " | + | |
| - | #then | + | |
| - | # echo " | + | |
| - | #else | + | |
| - | # $SYSCTL net.ipv4.conf.all.proxy_arp=" | + | |
| - | #fi | + | |
| - | + | ||
| - | # The following kernel settings were suggested by Alex Weeks. Thanks! | + | |
| - | + | ||
| - | # This kernel parameter instructs the kernel to ignore all ICMP | + | |
| - | # echo requests sent to the broadcast address. | + | |
| - | # a number of smurfs and similar DoS nasty attacks. | + | |
| - | if [ " | + | |
| - | then | + | |
| - | echo " | + | |
| - | else | + | |
| - | $SYSCTL net.ipv4.icmp_echo_ignore_broadcasts=" | + | |
| - | fi | + | |
| - | + | ||
| - | # This option can be used to accept or refuse source routed | + | |
| - | # packets. | + | |
| - | # considered a security risk. This option turns it off. | + | |
| - | if [ " | + | |
| - | then | + | |
| - | echo " | + | |
| - | else | + | |
| - | $SYSCTL net.ipv4.conf.all.accept_source_route=" | + | |
| - | fi | + | |
| - | + | ||
| - | # This option can disable ICMP redirects. | + | |
| - | # are generally considered a security risk and shouldn' | + | |
| - | # needed by most systems using this generator. | + | |
| - | #if [ " | + | |
| - | #then | + | |
| - | # echo " | + | |
| - | #else | + | |
| - | # $SYSCTL net.ipv4.conf.all.accept_redirects=" | + | |
| - | #fi | + | |
| - | + | ||
| - | # However, we'll ensure the secure_redirects option is on instead. | + | |
| - | # This option accepts only from gateways in the default gateways list. | + | |
| - | if [ " | + | |
| - | then | + | |
| - | echo " | + | |
| - | else | + | |
| - | $SYSCTL net.ipv4.conf.all.secure_redirects=" | + | |
| - | fi | + | |
| - | + | ||
| - | # This option logs packets from impossible addresses. | + | |
| - | if [ " | + | |
| - | then | + | |
| - | echo " | + | |
| - | else | + | |
| - | $SYSCTL net.ipv4.conf.all.log_martians=" | + | |
| - | fi | + | |
| - | + | ||
| - | + | ||
| - | ############################################################################### | + | |
| - | # | + | |
| - | # Flush Any Existing Rules or Chains | + | |
| - | # | + | |
| - | + | ||
| - | echo " | + | |
| - | + | ||
| - | # Reset Default Policies | + | |
| - | $IPT -P INPUT ACCEPT | + | |
| - | $IPT -P FORWARD ACCEPT | + | |
| - | $IPT -P OUTPUT ACCEPT | + | |
| - | $IPT -t nat -P PREROUTING ACCEPT | + | |
| - | $IPT -t nat -P POSTROUTING ACCEPT | + | |
| - | $IPT -t nat -P OUTPUT ACCEPT | + | |
| - | $IPT -t mangle -P PREROUTING ACCEPT | + | |
| - | $IPT -t mangle -P OUTPUT ACCEPT | + | |
| - | + | ||
| - | # Flush all rules | + | |
| - | $IPT -F | + | |
| - | $IPT -t nat -F | + | |
| - | $IPT -t mangle -F | + | |
| - | + | ||
| - | # Erase all non-default chains | + | |
| - | $IPT -X | + | |
| - | $IPT -t nat -X | + | |
| - | $IPT -t mangle -X | + | |
| - | + | ||
| - | if [ " | + | |
| - | then | + | |
| - | echo " | + | |
| - | exit 0 | + | |
| - | fi | + | |
| - | + | ||
| - | ############################################################################### | + | |
| - | # | + | |
| - | # Rules Configuration | + | |
| - | # | + | |
| - | + | ||
| - | ############################################################################### | + | |
| - | # | + | |
| - | # Filter Table | + | |
| - | # | + | |
| - | ############################################################################### | + | |
| - | + | ||
| - | # Set Policies | + | |
| - | + | ||
| - | $IPT -P INPUT DROP | + | |
| - | $IPT -P OUTPUT DROP | + | |
| - | $IPT -P FORWARD DROP | + | |
| - | + | ||
| - | ############################################################################### | + | |
| - | # | + | |
| - | # User-Specified Chains | + | |
| - | # | + | |
| - | # Create user chains to reduce the number of rules each packet | + | |
| - | # must traverse. | + | |
| - | + | ||
| - | echo " | + | |
| - | + | ||
| - | # Create a chain to filter INVALID packets | + | |
| - | + | ||
| - | $IPT -N bad_packets | + | |
| - | + | ||
| - | # Create another chain to filter bad tcp packets | + | |
| - | + | ||
| - | $IPT -N bad_tcp_packets | + | |
| - | + | ||
| - | # Create separate chains for icmp, tcp (incoming and outgoing), | + | |
| - | # and incoming udp packets. | + | |
| - | + | ||
| - | $IPT -N icmp_packets | + | |
| - | + | ||
| - | # Used for UDP packets inbound from the Internet | + | |
| - | $IPT -N udp_inbound | + | |
| - | + | ||
| - | # Used to block outbound UDP services from internal network | + | |
| - | # Default to allow all | + | |
| - | $IPT -N udp_outbound | + | |
| - | + | ||
| - | # Used to allow inbound services if desired | + | |
| - | # Default fail except for established sessions | + | |
| - | $IPT -N tcp_inbound | + | |
| - | + | ||
| - | # Used to block outbound services from internal network | + | |
| - | # Default to allow all | + | |
| - | $IPT -N tcp_outbound | + | |
| - | + | ||
| - | ############################################################################### | + | |
| - | # | + | |
| - | # Populate User Chains | + | |
| - | # | + | |
| - | + | ||
| - | # bad_packets chain | + | |
| - | # | + | |
| - | + | ||
| - | # Drop packets received on the external interface | + | |
| - | # claiming a source of the local network | + | |
| - | $IPT -A bad_packets -p ALL -i $INET_IFACE -s $LOCAL_NET -j LOG \ | + | |
| - | --log-prefix " | + | |
| - | $IPT -A bad_packets -p ALL -i $INET_IFACE -s $LOCAL_NET -j DROP | + | |
| - | + | ||
| - | # Drop INVALID packets immediately | + | |
| - | $IPT -A bad_packets -p ALL -m state --state INVALID -j LOG \ | + | |
| - | --log-prefix " | + | |
| - | + | ||
| - | $IPT -A bad_packets -p ALL -m state --state INVALID -j DROP | + | |
| - | + | ||
| - | # Then check the tcp packets for additional problems | + | |
| - | $IPT -A bad_packets -p tcp -j bad_tcp_packets | + | |
| - | + | ||
| - | # All good, so return | + | |
| - | $IPT -A bad_packets -p ALL -j RETURN | + | |
| - | + | ||
| - | # bad_tcp_packets chain | + | |
| - | # | + | |
| - | # All tcp packets will traverse this chain. | + | |
| - | # Every new connection attempt should begin with | + | |
| - | # a syn packet. | + | |
| - | # port scan. This drops packets in state | + | |
| - | # NEW that are not flagged as syn packets. | + | |
| - | + | ||
| - | # Return to the calling chain if the bad packets originate | + | |
| - | # from the local interface. This maintains the approach | + | |
| - | # throughout this firewall of a largely trusted internal | + | |
| - | # network. | + | |
| - | $IPT -A bad_tcp_packets -p tcp -i $LOCAL_IFACE -j RETURN | + | |
| - | + | ||
| - | # However, I originally did apply this filter to the forward chain | + | |
| - | # for packets originating from the internal network. | + | |
| - | # not conclusively determined its effect, it appears to have the | + | |
| - | # interesting side effect of blocking some of the ad systems. | + | |
| - | # Apparently some ad systems have the browser initiate a NEW | + | |
| - | # connection that is not flagged as a syn packet to retrieve | + | |
| - | # the ad image. | + | |
| - | # rule above. If you try it, you may also wish to uncomment the | + | |
| - | # rule below. | + | |
| - | # There are a lot of them. | + | |
| - | # $IPT -A bad_tcp_packets -p tcp -i $LOCAL_IFACE ! --syn -m state \ | + | |
| - | # | + | |
| - | + | ||
| - | $IPT -A bad_tcp_packets -p tcp ! --syn -m state --state NEW -j LOG \ | + | |
| - | --log-prefix " | + | |
| - | $IPT -A bad_tcp_packets -p tcp ! --syn -m state --state NEW -j DROP | + | |
| - | + | ||
| - | $IPT -A bad_tcp_packets -p tcp --tcp-flags ALL NONE -j LOG \ | + | |
| - | --log-prefix " | + | |
| - | $IPT -A bad_tcp_packets -p tcp --tcp-flags ALL NONE -j DROP | + | |
| - | + | ||
| - | $IPT -A bad_tcp_packets -p tcp --tcp-flags ALL ALL -j LOG \ | + | |
| - | --log-prefix " | + | |
| - | $IPT -A bad_tcp_packets -p tcp --tcp-flags ALL ALL -j DROP | + | |
| - | + | ||
| - | $IPT -A bad_tcp_packets -p tcp --tcp-flags ALL FIN,URG,PSH -j LOG \ | + | |
| - | --log-prefix " | + | |
| - | $IPT -A bad_tcp_packets -p tcp --tcp-flags ALL FIN,URG,PSH -j DROP | + | |
| - | + | ||
| - | $IPT -A bad_tcp_packets -p tcp --tcp-flags ALL SYN, | + | |
| - | --log-prefix " | + | |
| - | $IPT -A bad_tcp_packets -p tcp --tcp-flags ALL SYN, | + | |
| - | + | ||
| - | $IPT -A bad_tcp_packets -p tcp --tcp-flags SYN,RST SYN,RST -j LOG \ | + | |
| - | --log-prefix " | + | |
| - | $IPT -A bad_tcp_packets -p tcp --tcp-flags SYN,RST SYN,RST -j DROP | + | |
| - | + | ||
| - | $IPT -A bad_tcp_packets -p tcp --tcp-flags SYN,FIN SYN,FIN -j LOG \ | + | |
| - | --log-prefix " | + | |
| - | $IPT -A bad_tcp_packets -p tcp --tcp-flags SYN,FIN SYN,FIN -j DROP | + | |
| - | + | ||
| - | # All good, so return | + | |
| - | $IPT -A bad_tcp_packets -p tcp -j RETURN | + | |
| - | + | ||
| - | # icmp_packets chain | + | |
| - | # | + | |
| - | # This chain is for inbound (from the Internet) icmp packets only. | + | |
| - | # Type 8 (Echo Request) is not accepted by default | + | |
| - | # Enable it if you want remote hosts to be able to reach you. | + | |
| - | # 11 (Time Exceeded) is the only one accepted | + | |
| - | # that would not already be covered by the established | + | |
| - | # connection rule. Applied to INPUT on the external interface. | + | |
| - | # | + | |
| - | # See: http:// | + | |
| - | # for more info on ICMP types. | + | |
| - | # | + | |
| - | # Note that the stateful settings allow replies to ICMP packets. | + | |
| - | # These rules allow new packets of the specified types. | + | |
| - | + | ||
| - | # ICMP packets should fit in a Layer 2 frame, thus they should | + | |
| - | # never be fragmented. | + | |
| - | # of a denial of service attack. | + | |
| - | $IPT -A icmp_packets --fragment -p ICMP -j LOG \ | + | |
| - | --log-prefix " | + | |
| - | $IPT -A icmp_packets --fragment -p ICMP -j DROP | + | |
| - | + | ||
| - | # Echo - uncomment to allow your system to be pinged. | + | |
| - | # Uncomment the LOG command if you also want to log PING attempts | + | |
| - | # | + | |
| - | # $IPT -A icmp_packets -p ICMP -s 0/0 --icmp-type 8 -j LOG \ | + | |
| - | # --log-prefix " | + | |
| - | # $IPT -A icmp_packets -p ICMP -s 0/0 --icmp-type 8 -j ACCEPT | + | |
| - | + | ||
| - | # By default, however, drop pings without logging. Blaster | + | |
| - | # and other worms have infected systems blasting pings. | + | |
| - | # Comment the line below if you want pings logged, but it | + | |
| - | # will likely fill your logs. | + | |
| - | $IPT -A icmp_packets -p ICMP -s 0/0 --icmp-type 8 -j DROP | + | |
| - | + | ||
| - | # Time Exceeded | + | |
| - | $IPT -A icmp_packets -p ICMP -s 0/0 --icmp-type 11 -j ACCEPT | + | |
| - | + | ||
| - | # Not matched, so return so it will be logged | + | |
| - | $IPT -A icmp_packets -p ICMP -j RETURN | + | |
| - | + | ||
| - | # TCP & UDP | + | |
| - | # Identify ports at: | + | |
| - | # http:// | + | |
| - | # http:// | + | |
| - | + | ||
| - | # udp_inbound chain | + | |
| - | # | + | |
| - | # This chain describes the inbound UDP packets it will accept. | + | |
| - | # It's applied to INPUT on the external or Internet interface. | + | |
| - | # Note that the stateful settings allow replies. | + | |
| - | # These rules are for new requests. | + | |
| - | # It drops netbios packets (windows) immediately without logging. | + | |
| - | + | ||
| - | # Drop netbios calls | + | |
| - | # Please note that these rules do not really change the way the firewall | + | |
| - | # treats netbios connections. | + | |
| - | # internal interface (if one exists) are accepted by default. | + | |
| - | # Responses from the Internet to requests initiated by or through | + | |
| - | # the firewall are also accepted by default. | + | |
| - | # packets would have to be part of a new request received by the | + | |
| - | # Internet interface. | + | |
| - | # accept these. | + | |
| - | # such as those via cable modems, tend to be filled with noise from | + | |
| - | # unprotected Windows machines. | + | |
| - | # quickly and without logging them. This prevents them from traversing | + | |
| - | # the whole chain and keeps the log from getting cluttered with | + | |
| - | # chatter from Windows systems. | + | |
| - | $IPT -A udp_inbound -p UDP -s 0/0 --destination-port 137 -j DROP | + | |
| - | $IPT -A udp_inbound -p UDP -s 0/0 --destination-port 138 -j DROP | + | |
| - | + | ||
| - | # Ident requests (Port 113) must have a REJECT rule rather than the | + | |
| - | # default DROP rule. This is the minimum requirement to avoid | + | |
| - | # long delays while connecting. | + | |
| - | $IPT -A udp_inbound -p UDP -s 0/0 --destination-port 113 -j REJECT | + | |
| - | + | ||
| - | # A more sophisticated configuration could accept the ident requests. | + | |
| - | # $IPT -A udp_inbound -p UDP -s 0/0 --destination-port 113 -j ACCEPT | + | |
| - | + | ||
| - | # However, if this is a gateway system that masquerades/ | + | |
| - | # and the internal systems wish to chat, a simple changing these rules to | + | |
| - | # ACCEPT won't work. The ident daemon on the gateway will need to know how | + | |
| - | # to handle the requests. | + | |
| - | # can't do that. | + | |
| - | # See: http:// | + | |
| - | + | ||
| - | # Network Time Protocol (NTP) Server | + | |
| - | $IPT -A udp_inbound -p UDP -s 0/0 --destination-port 123 -j ACCEPT | + | |
| - | + | ||
| - | # Dynamic Address | + | |
| - | # If DHCP, the initial request is a broadcast. The response | + | |
| - | # doesn' | + | |
| - | # allow the DHCP ports to alleviate this problem. | + | |
| - | # If you receive your dynamic address by a different means, you | + | |
| - | # can probably comment this line. | + | |
| - | $IPT -A udp_inbound -p UDP -s 0/0 --source-port 67 --destination-port 68 \ | + | |
| - | -j ACCEPT | + | |
| - | + | ||
| - | + | ||
| - | # Not matched, so return for logging | + | |
| - | $IPT -A udp_inbound -p UDP -j RETURN | + | |
| - | + | ||
| - | # udp_outbound chain | + | |
| - | # | + | |
| - | # This chain is used with a private network to prevent forwarding for | + | |
| - | # UDP requests on specific protocols. | + | |
| - | # the internal network. | + | |
| - | + | ||
| - | + | ||
| - | # No match, so ACCEPT | + | |
| - | $IPT -A udp_outbound -p UDP -s 0/0 -j ACCEPT | + | |
| - | + | ||
| - | # tcp_inbound chain | + | |
| - | # | + | |
| - | # This chain is used to allow inbound connections to the | + | |
| - | # system/ | + | |
| - | # It's applied on INPUT from the external or Internet interface. | + | |
| - | + | ||
| - | # Ident requests (Port 113) must have a REJECT rule rather than the | + | |
| - | # default DROP rule. This is the minimum requirement to avoid | + | |
| - | # long delays while connecting. | + | |
| - | $IPT -A tcp_inbound -p TCP -s 0/0 --destination-port 113 -j REJECT | + | |
| - | + | ||
| - | # A more sophisticated configuration could accept the ident requests. | + | |
| - | # $IPT -A tcp_inbound -p TCP -s 0/0 --destination-port 113 -j ACCEPT | + | |
| - | + | ||
| - | # However, if this is a gateway system that masquerades/ | + | |
| - | # and the internal systems wish to chat, a simple changing these rules to | + | |
| - | # ACCEPT won't work. The ident daemon on the gateway will need to know how | + | |
| - | # to handle the requests. | + | |
| - | # can't do that. | + | |
| - | # See: http:// | + | |
| - | + | ||
| - | # Web Server | + | |
| - | + | ||
| - | # HTTP | + | |
| - | $IPT -A tcp_inbound -p TCP -s 0/0 --destination-port 80 -j ACCEPT | + | |
| - | + | ||
| - | # HTTPS (Secure Web Server) | + | |
| - | $IPT -A tcp_inbound -p TCP -s 0/0 --destination-port 443 -j ACCEPT | + | |
| - | + | ||
| - | # FTP Server (Control) | + | |
| - | $IPT -A tcp_inbound -p TCP -s 0/0 --destination-port 21 -j ACCEPT | + | |
| - | + | ||
| - | # FTP Client (Data Port for non-PASV transfers) | + | |
| - | $IPT -A tcp_inbound -p TCP -s 0/0 --source-port 20 -j ACCEPT | + | |
| - | + | ||
| - | # Passive FTP | + | |
| - | # | + | |
| - | # With passive FTP, the server provides a port to the client | + | |
| - | # and allows the client to initiate the connection rather | + | |
| - | # than initiating the connection with the client from the data port. | + | |
| - | # Web browsers and clients operating behind a firewall generally | + | |
| - | # use passive ftp transfers. | + | |
| - | # will need to support them. | + | |
| - | # | + | |
| - | # However, by default an FTP server will select a port from the entire | + | |
| - | # range of high ports. | + | |
| - | # high ports. | + | |
| - | # firewall presumes that the range has been restricted to a specific | + | |
| - | # selected range. | + | |
| - | # | + | |
| - | # Instructions for specifying the port range for the wu-ftpd server | + | |
| - | # can be found here: | + | |
| - | # http:// | + | |
| - | # (See the passive ports option.) | + | |
| - | # | + | |
| - | # Instructions for the ProFTPD server can be found here: | + | |
| - | # http:// | + | |
| - | + | ||
| - | $IPT -A tcp_inbound -p TCP -s 0/0 --destination-port 62000:64000 -j ACCEPT | + | |
| - | + | ||
| - | # Email Server (SMTP) | + | |
| - | $IPT -A tcp_inbound -p TCP -s 0/0 --destination-port 25 -j ACCEPT | + | |
| - | + | ||
| - | # Email Server (POP3) | + | |
| - | $IPT -A tcp_inbound -p TCP -s 0/0 --destination-port 110 -j ACCEPT | + | |
| - | + | ||
| - | # Email Server (IMAP4) | + | |
| - | $IPT -A tcp_inbound -p TCP -s 0/0 --destination-port 143 -j ACCEPT | + | |
| - | + | ||
| - | # SSL Email Server (POP3) | + | |
| - | $IPT -A tcp_inbound -p TCP -s 0/0 --destination-port 995 -j ACCEPT | + | |
| - | + | ||
| - | # SSL Email Server (IMAP4) | + | |
| - | $IPT -A tcp_inbound -p TCP -s 0/0 --destination-port 993 -j ACCEPT | + | |
| - | + | ||
| - | # sshd | + | |
| - | $IPT -A tcp_inbound -p TCP -s 0/0 --destination-port 22 -j ACCEPT | + | |
| - | + | ||
| - | # ICQ File Transfers & Other Advanced Features | + | |
| - | # | + | |
| - | # ICQ supports a number of options beyond simple instant messaging. | + | |
| - | # For those to function, the instant messaging system must allow | + | |
| - | # new connections initiated from remote systems. This option will | + | |
| - | # open a specified port range on the firewalled system. | + | |
| - | # on the firewalled system must also be configured to use the specified | + | |
| - | # port range. | + | |
| - | + | ||
| - | $IPT -A tcp_inbound -p TCP -s 0/0 --destination-port 5000:5100 -j ACCEPT | + | |
| - | + | ||
| - | # MSN Messenger File Transfers | + | |
| - | # | + | |
| - | # Messenger supports | + | |
| - | # remote systems to function, the system must allow | + | |
| - | # new connections initiated from remote systems a specific port range. | + | |
| - | # This option defaults to the port range 6891 through 6900. | + | |
| - | # Unless the MSN Messenger client can be configured to specify any | + | |
| - | # port range, don't change the default. | + | |
| - | + | ||
| - | $IPT -A tcp_inbound -p TCP -s 0/0 --destination-port 6891:6900 -j ACCEPT | + | |
| - | + | ||
| - | # User specified allowed UDP protocol | + | |
| - | $IPT -A tcp_inbound -p TCP -s 0/0 --destination-port 32500:36000 -j ACCEPT | + | |
| - | + | ||
| - | + | ||
| - | # Not matched, so return so it will be logged | + | |
| - | $IPT -A tcp_inbound -p TCP -j RETURN | + | |
| - | + | ||
| - | # tcp_outbound chain | + | |
| - | # | + | |
| - | # This chain is used with a private network to prevent forwarding for | + | |
| - | # requests on specific protocols. | + | |
| - | # the internal network. | + | |
| - | + | ||
| - | + | ||
| - | # No match, so ACCEPT | + | |
| - | $IPT -A tcp_outbound -p TCP -s 0/0 -j ACCEPT | + | |
| - | + | ||
| - | ############################################################################### | + | |
| - | # | + | |
| - | # INPUT Chain | + | |
| - | # | + | |
| - | + | ||
| - | echo " | + | |
| - | + | ||
| - | # Allow all on localhost interface | + | |
| - | $IPT -A INPUT -p ALL -i $LO_IFACE -j ACCEPT | + | |
| - | + | ||
| - | # Drop bad packets | + | |
| - | $IPT -A INPUT -p ALL -j bad_packets | + | |
| - | + | ||
| - | # DOCSIS compliant cable modems | + | |
| - | # Some DOCSIS compliant cable modems send IGMP multicasts to find | + | |
| - | # connected PCs. The multicast packets have the destination address | + | |
| - | # 224.0.0.1. | + | |
| - | # Uncomment the rule to ACCEPT them and comment the rule to DROP | + | |
| - | # them The firewall will drop them here by default to avoid | + | |
| - | # cluttering the log. The firewall will drop all multicasts | + | |
| - | # to the entire subnet (224.0.0.1) by default. | + | |
| - | # IGMP multicasts, change '-p ALL' to '-p 2' | + | |
| - | # if they aren't accepted elsewhere, it will only ensure that | + | |
| - | # multicasts on other protocols are logged. | + | |
| - | # Drop them without logging. | + | |
| - | $IPT -A INPUT -p ALL -d 224.0.0.1 -j DROP | + | |
| - | # The rule to accept the packets. | + | |
| - | # $IPT -A INPUT -p ALL -d 224.0.0.1 -j ACCEPT | + | |
| - | + | ||
| - | # Rules for the private network (accessing gateway system itself) | + | |
| - | $IPT -A INPUT -p ALL -i $LOCAL_IFACE -s $LOCAL_NET -j ACCEPT | + | |
| - | $IPT -A INPUT -p ALL -i $LOCAL_IFACE -d $LOCAL_BCAST -j ACCEPT | + | |
| - | + | ||
| - | + | ||
| - | # Inbound Internet Packet Rules | + | |
| - | + | ||
| - | # Accept Established Connections | + | |
| - | $IPT -A INPUT -p ALL -i $INET_IFACE -m state --state ESTABLISHED, | + | |
| - | -j ACCEPT | + | |
| - | + | ||
| - | # Route the rest to the appropriate user chain | + | |
| - | $IPT -A INPUT -p TCP -i $INET_IFACE -j tcp_inbound | + | |
| - | $IPT -A INPUT -p UDP -i $INET_IFACE -j udp_inbound | + | |
| - | $IPT -A INPUT -p ICMP -i $INET_IFACE -j icmp_packets | + | |
| - | + | ||
| - | # Drop without logging broadcasts that get this far. | + | |
| - | # Cuts down on log clutter. | + | |
| - | # Comment this line if testing new rules that impact | + | |
| - | # broadcast protocols. | + | |
| - | $IPT -A INPUT -m pkttype --pkt-type broadcast -j DROP | + | |
| - | + | ||
| - | # Log packets that still don't match | + | |
| - | $IPT -A INPUT -j LOG --log-prefix " | + | |
| - | + | ||
| - | ############################################################################### | + | |
| - | # | + | |
| - | # FORWARD Chain | + | |
| - | # | + | |
| - | + | ||
| - | echo " | + | |
| - | + | ||
| - | # Used if forwarding for a private network | + | |
| - | + | ||
| - | # Drop bad packets | + | |
| - | $IPT -A FORWARD -p ALL -j bad_packets | + | |
| - | + | ||
| - | # Accept TCP packets we want to forward from internal sources | + | |
| - | $IPT -A FORWARD -p tcp -i $LOCAL_IFACE -j tcp_outbound | + | |
| - | + | ||
| - | # Accept UDP packets we want to forward from internal sources | + | |
| - | $IPT -A FORWARD -p udp -i $LOCAL_IFACE -j udp_outbound | + | |
| - | + | ||
| - | # If not blocked, accept any other packets from the internal interface | + | |
| - | $IPT -A FORWARD -p ALL -i $LOCAL_IFACE -j ACCEPT | + | |
| - | + | ||
| - | # Deal with responses from the internet | + | |
| - | $IPT -A FORWARD -i $INET_IFACE -m state --state ESTABLISHED, | + | |
| - | -j ACCEPT | + | |
| - | + | ||
| - | # Port Forwarding is enabled, so accept forwarded traffic | + | |
| - | $IPT -A FORWARD -p tcp -i $INET_IFACE --destination-port 8080 \ | + | |
| - | | + | |
| - | + | ||
| - | # Log packets that still don't match | + | |
| - | $IPT -A FORWARD -j LOG --log-prefix " | + | |
| - | + | ||
| - | ############################################################################### | + | |
| - | # | + | |
| - | # OUTPUT Chain | + | |
| - | # | + | |
| - | + | ||
| - | echo " | + | |
| - | + | ||
| - | # Generally trust the firewall on output | + | |
| - | + | ||
| - | # However, invalid icmp packets need to be dropped | + | |
| - | # to prevent a possible exploit. | + | |
| - | $IPT -A OUTPUT -m state -p icmp --state INVALID -j DROP | + | |
| - | + | ||
| - | # Localhost | + | |
| - | $IPT -A OUTPUT -p ALL -s $LO_IP -j ACCEPT | + | |
| - | $IPT -A OUTPUT -p ALL -o $LO_IFACE -j ACCEPT | + | |
| - | + | ||
| - | # To internal network | + | |
| - | $IPT -A OUTPUT -p ALL -s $LOCAL_IP -j ACCEPT | + | |
| - | $IPT -A OUTPUT -p ALL -o $LOCAL_IFACE -j ACCEPT | + | |
| - | + | ||
| - | # To internet | + | |
| - | $IPT -A OUTPUT -p ALL -o $INET_IFACE -j ACCEPT | + | |
| - | + | ||
| - | # Log packets that still don't match | + | |
| - | $IPT -A OUTPUT -j LOG --log-prefix " | + | |
| - | + | ||
| - | ############################################################################### | + | |
| - | # | + | |
| - | # nat table | + | |
| - | # | + | |
| - | ############################################################################### | + | |
| - | + | ||
| - | # The nat table is where network address translation occurs if there | + | |
| - | # is a private network. | + | |
| - | # with a static IP, snat is used. If the gateway has a dynamic address, | + | |
| - | # masquerade must be used instead. | + | |
| - | # with masquerade, so snat is better when it can be used. | + | |
| - | # The nat table has a builtin chain, PREROUTING, for dnat and redirects. | + | |
| - | # Another, POSTROUTING, | + | |
| - | + | ||
| - | echo "Load rules for nat table ..." | + | |
| - | + | ||
| - | ############################################################################### | + | |
| - | # | + | |
| - | # PREROUTING chain | + | |
| - | # | + | |
| - | + | ||
| - | # Port Forwarding | + | |
| - | # | + | |
| - | # Port forwarding forwards all traffic on a port or ports from | + | |
| - | # the firewall to a computer on the internal LAN. This can | + | |
| - | # be required to support special situations. | + | |
| - | # this is the only way to support file transfers with an ICQ | + | |
| - | # client on an internal computer. | + | |
| - | # system hosts a service such as a web server. | + | |
| - | # a dangerous option. | + | |
| - | # your internal network. | + | |
| - | # certain you know what you're doing. | + | |
| - | + | ||
| - | $IPT -t nat -A PREROUTING -p tcp -i $INET_IFACE --destination-port 80:80 \ | + | |
| - | -j DNAT --to-destination 192.168.1.50: | + | |
| - | + | ||
| - | # This is a sample that will exempt a specific host from the transparent proxy | + | |
| - | #$IPT -t nat -A PREROUTING -p tcp -s 192.168.1.50 --destination-port 80 \ | + | |
| - | # -j RETURN | + | |
| - | #$IPT -t nat -A PREROUTING -p tcp -s 192.168.1.50 --destination-port 443 \ | + | |
| - | # -j RETURN | + | |
| - | + | ||
| - | # Redirect HTTP for a transparent proxy | + | |
| - | $IPT -t nat -A PREROUTING -p tcp --destination-port 80 \ | + | |
| - | -j REDIRECT --to-ports 3128 | + | |
| - | # Redirect HTTPS for a transparent proxy - commented by default | + | |
| - | # $IPT -t nat -A PREROUTING -p tcp --destination-port 443 \ | + | |
| - | # -j REDIRECT --to-ports 3128 | + | |
| - | + | ||
| - | ############################################################################### | + | |
| - | # | + | |
| - | # POSTROUTING chain | + | |
| - | # | + | |
| - | + | ||
| - | $IPT -t nat -A POSTROUTING -o $INET_IFACE -j MASQUERADE | + | |
| - | + | ||
| - | ############################################################################### | + | |
| - | # | + | |
| - | # mangle table | + | |
| - | # | + | |
| - | ############################################################################### | + | |
| - | + | ||
| - | # The mangle table is used to alter packets. | + | |
| - | # several ways. For the purposes of this generator, we only use its ability | + | |
| - | # to alter the TTL in packets. | + | |
| - | # mark values on specific packets. | + | |
| - | # table like filter, to limit activities associated with a specific host, for | + | |
| - | # instance. | + | |
| - | # the IP header. | + | |
| - | # distribution on your system. | + | |
| - | # have to add it. That may require that you build from source. | + | |
| - | + | ||
| - | echo "Load rules for mangle table ..." | + | |
| - | + | ||
| - | # Set the TTL in outbound packets to the same consistent value. | + | |
| - | # A value around 128 is a good value. | + | |
| - | # it will adversely affect your network. | + | |
| - | # form on the Internet. | + | |
| - | $IPT -t mangle -A OUTPUT -o $INET_IFACE -j TTL --ttl-set 128 | + | |
| - | </ | + | |
| - | + | ||
| - | <WRAP center round todo> | + | |
| - | **A Faire** : Utilisez la commande **system-config-firewall** pour lancer l' | + | |
| - | </ | + | |
| - | + | ||
| - | ===La Configuration par firewalld sous RHEL/CentOS 7=== | + | |
| <WRAP center round important> | <WRAP center round important> | ||
| - | **Important** : Importez une machine virtuelle vierge | + | **Important** : La valeur |
| </ | </ | ||
| - | firewalld est à Netfilter ce que NetworkManager est au réseau. firewalld utilise des **zones** - des jeux de règles pré-définis dans lesquels sont placés | + | Par exemple, si root inscrit |
| - | * **trusted** - un réseau fiable. Dans ce cas tous les ports sont autorisés, | + | < |
| - | * **work**, **home**, **internal** - un réseau partiellement fiable. Dans ce cas quelques ports sont autorisés, | + | ... |
| - | * **dmz**, **public**, **external** - un réseau non fiable. Dans ce cas peu de ports sont autorisés, | + | trainee |
| - | * **block**, **drop** - tout est interdit. La zone drop n' | + | trainee |
| + | ... | ||
| + | </ | ||
| - | <WRAP center round important> | + | la limite du nombre de fichiers ouverts simultanément par trainee est de 1 024. Par contre, trainee a la possibilité d' |
| - | Une interface ne peut être que dans une zone à la fois tandis que plusieurs interfaces peuvent être dans la même zone. | + | |
| - | </ | + | |
| - | + | ||
| - | Le service firewalld doit toujours être lancé | + | |
| < | < | ||
| - | [root@centos7 ~]# systemctl status firewalld.service | + | $ ulimit |
| - | firewalld.service | + | |
| - | | + | |
| - | | + | |
| - | Main PID: 493 (firewalld) | + | |
| - | | + | |
| - | | + | |
| - | + | ||
| - | Jul 07 15:53:56 centos7.fenestros.loc systemd[1]: Started firewalld - dynamic firewall daemon. | + | |
| </ | </ | ||
| - | ==La Configuration de Base de firewalld== | + | Pour consulter la liste des limites actuelles, il convient d' |
| - | + | ||
| - | La configuration par défaut de firewalld se trouve dans **/ | + | |
| < | < | ||
| - | [root@centos7 ~]# ls -l / | + | [root@centos7 ~]# ulimit |
| - | total 12 | + | core file size (blocks, |
| - | drwxr-x---. 2 root root 4096 Jun 4 09:52 icmptypes | + | data seg size |
| - | drwxr-x---. 2 root root 4096 Jun 4 09:52 services | + | scheduling priority |
| - | drwxr-x---. 2 root root 4096 Jun 4 09:52 zones | + | file size |
| - | [root@centos7 ~]# ls -l / | + | pending signals |
| - | total 36 | + | max locked memory |
| - | -rw-r-----. 1 root root 299 Mar 6 00:35 block.xml | + | max memory size |
| - | -rw-r-----. 1 root root 293 Mar 6 00:35 dmz.xml | + | open files (-n) 1024 |
| - | -rw-r-----. 1 root root 291 Mar 6 00:35 drop.xml | + | pipe size (512 bytes, |
| - | -rw-r-----. 1 root root 304 Mar 6 00:35 external.xml | + | POSIX message queues |
| - | -rw-r-----. 1 root root 400 Mar 6 00:35 home.xml | + | real-time priority |
| - | -rw-r-----. 1 root root 415 Mar 6 00:35 internal.xml | + | stack size (kbytes, |
| - | -rw-r-----. 1 root root 315 Mar 6 00:35 public.xml | + | cpu time |
| - | -rw-r-----. 1 root root 162 Mar 6 00:35 trusted.xml | + | max user processes |
| - | -rw-r-----. 1 root root 342 Mar 6 00:35 work.xml | + | virtual memory |
| - | [root@centos7 ~]# ls -l / | + | file locks (-x) unlimited |
| - | total 192 | + | |
| - | -rw-r-----. 1 root root 412 Mar 6 00:35 amanda-client.xml | + | |
| - | -rw-r-----. 1 root root 320 Mar 6 00:35 bacula-client.xml | + | |
| - | -rw-r-----. 1 root root 346 Mar 6 00:35 bacula.xml | + | |
| - | -rw-r-----. 1 root root 305 Mar 6 00:35 dhcpv6-client.xml | + | |
| - | -rw-r-----. 1 root root 234 Mar 6 00:35 dhcpv6.xml | + | |
| - | -rw-r-----. 1 root root 227 Mar 6 00:35 dhcp.xml | + | |
| - | -rw-r-----. 1 root root 346 Mar 6 00:35 dns.xml | + | |
| - | -rw-r-----. 1 root root 374 Mar 6 00:35 ftp.xml | + | |
| - | -rw-r-----. 1 root root 476 Mar 6 00:35 high-availability.xml | + | |
| - | -rw-r-----. 1 root root 448 Mar 6 00:35 https.xml | + | |
| - | -rw-r-----. 1 root root 353 Mar 6 00:35 http.xml | + | |
| - | -rw-r-----. 1 root root 372 Mar 6 00:35 imaps.xml | + | |
| - | -rw-r-----. 1 root root 454 Mar 6 00:35 ipp-client.xml | + | |
| - | -rw-r-----. 1 root root 427 Mar 6 00:35 ipp.xml | + | |
| - | -rw-r-----. 1 root root 517 Mar 6 00:35 ipsec.xml | + | |
| - | -rw-r-----. 1 root root 233 Mar 6 00:35 kerberos.xml | + | |
| - | -rw-r-----. 1 root root 221 Mar 6 00:35 kpasswd.xml | + | |
| - | -rw-r-----. 1 root root 232 Mar 6 00:35 ldaps.xml | + | |
| - | -rw-r-----. 1 root root 199 Mar 6 00:35 ldap.xml | + | |
| - | -rw-r-----. 1 root root 385 Mar 6 00:35 libvirt-tls.xml | + | |
| - | -rw-r-----. 1 root root 389 Mar 6 00:35 libvirt.xml | + | |
| - | -rw-r-----. 1 root root 424 Mar 6 00:35 mdns.xml | + | |
| - | -rw-r-----. 1 root root 211 Mar 6 00:35 mountd.xml | + | |
| - | -rw-r-----. 1 root root 190 Mar 6 00:35 ms-wbt.xml | + | |
| - | -rw-r-----. 1 root root 171 Mar 6 00:35 mysql.xml | + | |
| - | -rw-r-----. 1 root root 324 Mar 6 00:35 nfs.xml | + | |
| - | -rw-r-----. 1 root root 389 Mar 6 00:35 ntp.xml | + | |
| - | -rw-r-----. 1 root root 335 Mar 6 00:35 openvpn.xml | + | |
| - | -rw-r-----. 1 root root 433 Mar 6 00:35 pmcd.xml | + | |
| - | -rw-r-----. 1 root root 474 Mar 6 00:35 pmproxy.xml | + | |
| - | -rw-r-----. 1 root root 544 Mar 6 00:35 pmwebapis.xml | + | |
| - | -rw-r-----. 1 root root 460 Mar 6 00:35 pmwebapi.xml | + | |
| - | -rw-r-----. 1 root root 357 Mar 6 00:35 pop3s.xml | + | |
| - | -rw-r-----. 1 root root 181 Mar 6 00:35 postgresql.xml | + | |
| - | -rw-r-----. 1 root root 261 Mar 6 00:35 proxy-dhcp.xml | + | |
| - | -rw-r-----. 1 root root 446 Mar 6 00:35 radius.xml | + | |
| - | -rw-r-----. 1 root root 517 Mar 6 00:35 RH-Satellite-6.xml | + | |
| - | -rw-r-----. 1 root root 214 Mar 6 00:35 rpc-bind.xml | + | |
| - | -rw-r-----. 1 root root 384 Mar 6 00:35 samba-client.xml | + | |
| - | -rw-r-----. 1 root root 461 Mar 6 00:35 samba.xml | + | |
| - | -rw-r-----. 1 root root 550 Mar 6 00:35 smtp.xml | + | |
| - | -rw-r-----. 1 root root 463 Mar 6 00:35 ssh.xml | + | |
| - | -rw-r-----. 1 root root 393 Mar 6 00:35 telnet.xml | + | |
| - | -rw-r-----. 1 root root 301 Mar 6 00:35 tftp-client.xml | + | |
| - | -rw-r-----. 1 root root 437 Mar 6 00:35 tftp.xml | + | |
| - | -rw-r-----. 1 root root 211 Mar 6 00:35 transmission-client.xml | + | |
| - | -rw-r-----. 1 root root 475 Mar 6 00:35 vnc-server.xml | + | |
| - | -rw-r-----. 1 root root 310 Mar 6 00:35 wbem-https.xml | + | |
| - | [root@centos7 ~]# ls -l / | + | |
| - | total 36 | + | |
| - | -rw-r-----. 1 root root 222 Mar 6 00:35 destination-unreachable.xml | + | |
| - | -rw-r-----. 1 root root 173 Mar 6 00:35 echo-reply.xml | + | |
| - | -rw-r-----. 1 root root 210 Mar 6 00:35 echo-request.xml | + | |
| - | -rw-r-----. 1 root root 225 Mar 6 00:35 parameter-problem.xml | + | |
| - | -rw-r-----. 1 root root 185 Mar 6 00:35 redirect.xml | + | |
| - | -rw-r-----. 1 root root 227 Mar 6 00:35 router-advertisement.xml | + | |
| - | -rw-r-----. 1 root root 223 Mar 6 00:35 router-solicitation.xml | + | |
| - | -rw-r-----. 1 root root 248 Mar 6 00:35 source-quench.xml | + | |
| - | -rw-r-----. 1 root root 253 Mar 6 00:35 time-exceeded.xml | + | |
| </ | </ | ||
| - | Ces fichiers sont au format **xml**, par exemple : | + | ====Options de la commande==== |
| - | < | + | Les options |
| - | [root@centos7 ~]# cat / | + | |
| - | <?xml version=" | + | |
| - | < | + | |
| - | < | + | |
| - | < | + | |
| - | <service name=" | + | |
| - | <service name=" | + | |
| - | <service name=" | + | |
| - | <service name=" | + | |
| - | <service name=" | + | |
| - | </ | + | |
| - | </ | + | |
| - | + | ||
| - | La configuration | + | |
| < | < | ||
| - | [root@centos7 ~]# ls -l / | + | [root@centos7 ~]# help ulimit |
| - | total 8 | + | ulimit: ulimit [-SHacdefilmnpqrstuvx] [limit] |
| - | -rw-r-----. 1 root root 1026 Mar 6 00:35 firewalld.conf | + | |
| - | drwxr-x---. 2 root root 6 Mar 6 00:35 icmptypes | + | |
| - | -rw-r-----. 1 root root 271 Mar 6 00:35 lockdown-whitelist.xml | + | Provides control over the resources available to the shell and processes |
| - | drwxr-x---. 2 root root 6 Mar 6 00:35 services | + | it creates, on systems that allow such control. |
| - | drwxr-x---. 2 root root 23 Mar 6 00:35 zones | + | |
| - | [root@centos7 ~]# ls -l / | + | Options: |
| - | total 4 | + | -S use the `soft' resource limit |
| - | -rw-r--r--. 1 root root 315 Mar 8 14:05 public.xml | + | |
| - | [root@centos7 ~]# ls -l / | + | |
| - | total 0 | + | |
| - | [root@centos7 ~]# ls -l / | + | |
| - | total 0 | + | |
| + | | ||
| + | -f the maximum size of files written by the shell and its children | ||
| + | | ||
| + | | ||
| + | | ||
| + | -n the maximum number of open file descriptors | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | -v the size of virtual memory | ||
| + | | ||
| + | |||
| + | If LIMIT is given, it is the new value of the specified resource; the | ||
| + | special LIMIT values `soft', | ||
| + | current soft limit, the current hard limit, and no limit, respectively. | ||
| + | Otherwise, the current value of the specified resource is printed. | ||
| + | no option is given, then -f is assumed. | ||
| + | |||
| + | | ||
| + | | ||
| + | number of processes. | ||
| + | |||
| + | Exit Status: | ||
| + | | ||
| </ | </ | ||
| - | Le fichier | + | ====Groupes |
| - | < | + | Les **Groupes de Contrôles** (//Control Groups//) aussi appelés **CGroups**, |
| - | [root@centos7 ~]# cat /etc/firewalld/firewalld.conf | + | |
| - | # firewalld config file | + | |
| - | # default zone | + | Les groupes de contrôle sont organisés de manière hiérarchique, |
| - | # The default zone used if an empty zone string is used. | + | |
| - | # Default: public | + | |
| - | DefaultZone=public | + | |
| - | # Minimal mark | + | Ces hiérarchies multiples et séparés sont necéssaires parce que chaque hiérarchie est attaché à un ou plusieurs **sous-système(s)** aussi appelés des **Contrôleurs de Ressources** ou simplement des **Contrôleurs**. Les contrôleurs disponibles sous RHEl/CentOS 7 sont : |
| - | # Marks up to this minimum are free for use for example in the direct | + | |
| - | # interface. If more free marks are needed, increase the minimum | + | |
| - | # Default: 100 | + | |
| - | MinimalMark=100 | + | |
| - | # Clean up on exit | + | * **blkio** - utilisé pour établir des limites sur l' |
| - | # If set to no or false the firewall configuration will not get cleaned up | + | * **cpu** - utilisé pour fournir aux tâches des groupes de contrôle accès au CPU grâce au planificateur, |
| - | # on exit or stop of firewalld | + | * **cpuacct** - utilisé pour produire des rapports automatiques sur les ressources CPU utilisées par les tâches dans un groupe de contrôle, |
| - | # Default: yes | + | * **cpuset** - utilisé pour assigner des CPU individuels sur un système multicoeur et des noeuds de mémoire à des tâches dans un groupe de contrôle, |
| - | CleanupOnExit=yes | + | * **devices** - utilisé pour autoriser ou pour refuser l' |
| + | * **freezer** - utilisé pour suspendre ou pour réactiver les tâches dans un groupe de contrôle, | ||
| + | * **memory** - utilisé pour établir les limites d' | ||
| + | * **net_cls** - utilisé pour repèrer les paquets réseau avec un identifiant de classe (// | ||
| + | * **perf_event** | ||
| + | * **hugetlb** - utilisé pour limiter des ressources sur des pages de mémoire virtuelle de grande taille. | ||
| - | # Lockdown | + | Pour visualiser les hiérarchies, il convient d'utiliser |
| - | # If set to enabled, firewall changes with the D-Bus interface will be limited | + | |
| - | # to applications that are listed in the lockdown whitelist. | + | |
| - | # The lockdown whitelist file is lockdown-whitelist.xml | + | |
| - | # Default: no | + | |
| - | Lockdown=no | + | |
| - | + | ||
| - | # IPv6_rpfilter | + | |
| - | # Performs a reverse path filter test on a packet for IPv6. If a reply to the | + | |
| - | # packet would be sent via the same interface that the packet arrived on, the | + | |
| - | # packet will match and be accepted, otherwise dropped. | + | |
| - | # The rp_filter for IPv4 is controlled using sysctl. | + | |
| - | # Default: yes | + | |
| - | IPv6_rpfilter=yes | + | |
| - | + | ||
| - | </ | + | |
| - | + | ||
| - | ===La Commande firewall-cmd=== | + | |
| - | + | ||
| - | firewalld s' | + | |
| - | + | ||
| - | <WRAP center round important> | + | |
| - | firewall-cmd est le front-end de firewalld en ligne de commande. Il existe aussi la commande **firewall-config** qui lance un outi de configuration graphique. | + | |
| - | </ | + | |
| - | + | ||
| - | Pour obtenir la liste de toutes les zones prédéfinies, | + | |
| < | < | ||
| - | [root@centos7 ~]# firewall-cmd --get-zones | + | [root@centos7 ~]# lssubsys |
| - | block dmz drop external home internal public trusted work | + | cpuset / |
| - | </ | + | cpu,cpuacct / |
| + | memory / | ||
| + | devices / | ||
| + | freezer / | ||
| + | net_cls / | ||
| + | blkio / | ||
| + | perf_event / | ||
| + | hugetlb / | ||
| + | </ | ||
| - | Pour obtenir la liste de toutes | + | Sous RHEL/CentOS 7, **Systemd** organise |
| - | < | + | En haut de l' |
| - | [root@centos7 ~]# firewall-cmd --get-services | + | |
| - | RH-Satellite-6 amanda-client bacula bacula-client dhcp dhcpv6 dhcpv6-client dns ftp high-availability http https imaps ipp ipp-client ipsec kerberos kpasswd ldap ldaps libvirt libvirt-tls mdns mountd ms-wbt mysql nfs ntp openvpn pmcd pmproxy pmwebapi pmwebapis pop3s postgresql proxy-dhcp radius rpc-bind samba samba-client smtp ssh telnet tftp tftp-client transmission-client vnc-server wbem-https | + | |
| - | </ | + | |
| - | Pour obtenir la liste de toutes les types ICMP prédéfinis, utilisez la commande suivante : | + | * le **system.slice** - l' |
| + | * le **user.slice** - l' | ||
| + | * le **machine.slice** - l' | ||
| - | < | + | En dessous des tranches peuvent se trouver : |
| - | [root@centos7 ~]# firewall-cmd --get-icmptypes | + | |
| - | destination-unreachable echo-reply echo-request parameter-problem redirect router-advertisement router-solicitation source-quench time-exceeded | + | |
| - | </ | + | |
| - | Pour obtenir la liste des zones de la configuration courante, utilisez la commande suivante : | + | * des **scopes** - des processus crées par **fork**, |
| + | * des **services** - des processus créés par une **Unité**. | ||
| - | < | + | Les slices peuvent être visualisés avec la commande suivante : |
| - | [root@centos7 ~]# firewall-cmd --get-active-zones | + | |
| - | public | + | |
| - | interfaces: enp0s3 | + | |
| - | </ | + | |
| - | + | ||
| - | Pour obtenir la liste des zones de la configuration courante pour une interface spécifique, | + | |
| < | < | ||
| - | [root@centos7 ~]# firewall-cmd --get-zone-of-interface=enp0s3 | + | [root@centos7 ~]# systemctl list-units --type=slice |
| - | public | + | UNIT |
| - | </ | + | -.slice |
| + | system-getty.slice loaded active active system-getty.slice | ||
| + | system.slice | ||
| + | user-0.slice | ||
| + | user-1000.slice | ||
| + | user.slice | ||
| - | Pour obtenir la liste des services autorisés pour la zone public, utilisez la commande suivante : | + | LOAD = Reflects whether the unit definition was properly loaded. |
| + | ACTIVE = The high-level unit activation state, i.e. generalization of SUB. | ||
| + | SUB = The low-level unit activation state, values depend on unit type. | ||
| - | < | + | 6 loaded units listed. Pass --all to see loaded but inactive units, too. |
| - | [root@centos7 ~]# firewall-cmd --zone=public | + | To show all installed unit files use ' |
| - | dhcpv6-client ssh | + | |
| </ | </ | ||
| - | Pour obtenir toute la configuration pour la zone public, utilisez la commande | + | L' |
| < | < | ||
| - | [root@centos7 ~]# firewall-cmd --zone=public | + | [root@centos7 ~]# systemd-cgls |
| - | public (default, active) | + | ├─1 / |
| - | | + | ├─user.slice |
| - | | + | │ └─user-1000.slice |
| - | | + | │ |
| - | | + | │ |
| - | | + | │ |
| - | | + | │ |
| - | | + | │ |
| - | | + | │ |
| - | + | │ | |
| + | │ | ||
| + | └─system.slice | ||
| + | ├─upower.service | ||
| + | │ └─3478 / | ||
| + | ├─polkit.service | ||
| + | │ └─822 / | ||
| + | ├─wpa_supplicant.service | ||
| + | │ └─821 / | ||
| + | ├─crond.service | ||
| + | │ └─793 / | ||
| + | ├─atd.service | ||
| + | │ └─789 / | ||
| + | ├─tuned.service | ||
| + | │ └─762 / | ||
| + | ├─simplegateway.service | ||
| + | │ ├─ | ||
| + | │ ├─ 3202 / | ||
| + | │ ├─ 3384 / | ||
| + | │ ├─13111 /bin/sh / | ||
| + | │ └─13458 sleep 1 | ||
| + | ├─postfix.service | ||
| + | │ ├─1810 / | ||
| + | │ ├─1833 pickup -l -t unix -u | ||
| + | │ └─1834 qmgr -l -t unix -u | ||
| + | ├─cups.service | ||
| + | │ └─756 / | ||
| + | ├─sshd.service | ||
| + | │ └─755 / | ||
| + | ├─docker.service | ||
| + | │ ├─750 /bin/sh -c / | ||
| + | │ ├─753 / | ||
| + | │ └─754 / | ||
| + | ├─NetworkManager.service | ||
| + | │ ├─ 678 / | ||
| + | │ └─1968 / | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | │ └─581 / | ||
| + | ├─dbus.service | ||
| + | │ └─513 / | ||
| + | ├─chronyd.service | ||
| + | │ └─525 / | ||
| + | ├─firewalld.service | ||
| + | │ └─510 / | ||
| + | ├─avahi-daemon.service | ||
| + | | ||
| + | | ||
| + | | ||
| + | │ └─506 / | ||
| + | ├─smartd.service | ||
| + | │ └─505 / | ||
| + | ├─libstoragemgmt.service | ||
| + | │ └─494 / | ||
| + | ├─gssproxy.service | ||
| + | │ └─517 / | ||
| + | ├─systemd-logind.service | ||
| + | │ └─492 / | ||
| + | ├─rsyslog.service | ||
| + | │ └─488 / | ||
| + | ├─alsa-state.service | ||
| + | │ └─487 / | ||
| + | ├─auditd.service | ||
| + | │ ├─463 / | ||
| + | │ ├─473 / | ||
| + | │ └─475 / | ||
| + | ├─systemd-udevd.service | ||
| + | │ └─381 / | ||
| + | ├─lvm2-lvmetad.service | ||
| + | │ └─378 / | ||
| + | ├─systemd-journald.service | ||
| + | │ └─349 / | ||
| + | └─system-getty.slice | ||
| + | └─getty@tty1.service | ||
| + | └─798 / | ||
| </ | </ | ||
| - | Pour obtenir la liste complète de toutes les zones et leurs configurations, utilisez la commande suivante | + | En utilisant Systemd, plusieurs ressources peuvent être limitées |
| - | < | + | |
| - | [root@centos7 ~]# firewall-cmd --list-all-zones | + | * **MemoryLimit** - limite exprimée |
| - | block | + | * **BlockIOWeight** - valeur entre 10 et 1000. Pas de valeur |
| - | interfaces: | + | * **StartupCPUShares** - comme CPUShares mais uniquement appliqué pendant |
| - | sources: | + | * **StartupBlockIOWeight** - comme BlockIOWeight mais uniquement appliqué pendant |
| - | services: | + | * **CPUQuota** - utilisé pour limiter le temps CPU, même quand le système ne fait rien. |
| - | ports: | + | |
| - | masquerade: no | + | |
| - | forward-ports: | + | |
| - | icmp-blocks: | + | |
| - | rich rules: | + | |
| - | + | ||
| - | dmz | + | |
| - | interfaces: | + | |
| - | sources: | + | |
| - | services: ssh | + | |
| - | ports: | + | |
| - | masquerade: no | + | |
| - | forward-ports: | + | |
| - | icmp-blocks: | + | |
| - | rich rules: | + | |
| - | + | ||
| - | drop | + | |
| - | interfaces: | + | |
| - | sources: | + | |
| - | services: | + | |
| - | ports: | + | |
| - | masquerade: no | + | |
| - | forward-ports: | + | |
| - | icmp-blocks: | + | |
| - | rich rules: | + | |
| - | + | ||
| - | external | + | |
| - | interfaces: | + | |
| - | sources: | + | |
| - | services: ssh | + | |
| - | ports: | + | |
| - | masquerade: yes | + | |
| - | forward-ports: | + | |
| - | icmp-blocks: | + | |
| - | rich rules: | + | |
| - | + | ||
| - | home | + | |
| - | interfaces: | + | |
| - | sources: | + | |
| - | services: dhcpv6-client ipp-client mdns samba-client ssh | + | |
| - | ports: | + | |
| - | masquerade: no | + | |
| - | forward-ports: | + | |
| - | icmp-blocks: | + | |
| - | rich rules: | + | |
| - | + | ||
| - | internal | + | |
| - | interfaces: | + | |
| - | sources: | + | |
| - | services: dhcpv6-client ipp-client mdns samba-client ssh | + | |
| - | ports: | + | |
| - | masquerade: no | + | |
| - | forward-ports: | + | |
| - | icmp-blocks: | + | |
| - | rich rules: | + | |
| - | + | ||
| - | public (default, active) | + | |
| - | interfaces: enp0s3 | + | |
| - | sources: | + | |
| - | services: dhcpv6-client ssh | + | |
| - | ports: | + | |
| - | masquerade: no | + | |
| - | forward-ports: | + | |
| - | icmp-blocks: | + | |
| - | rich rules: | + | |
| - | + | ||
| - | trusted | + | |
| - | interfaces: | + | |
| - | sources: | + | |
| - | services: | + | |
| - | ports: | + | |
| - | masquerade: no | + | |
| - | forward-ports: | + | |
| - | icmp-blocks: | + | |
| - | rich rules: | + | |
| - | + | ||
| - | work | + | |
| - | interfaces: | + | |
| - | sources: | + | |
| - | services: dhcpv6-client ipp-client ssh | + | |
| - | ports: | + | |
| - | masquerade: no | + | |
| - | forward-ports: | + | |
| - | icmp-blocks: | + | |
| - | rich rules: | + | |
| - | </ | + | |
| - | + | ||
| - | Pour changer la zone par défaut de public à work, utilisez la commande suivante : | + | |
| - | + | ||
| - | < | + | |
| - | [root@centos7 ~]# firewall-cmd --set-default-zone=work | + | |
| - | success | + | |
| - | [root@centos7 ~]# firewall-cmd --get-active-zones | + | |
| - | work | + | |
| - | interfaces: enp0s3 | + | |
| - | </ | + | |
| - | + | ||
| - | Pour ajouter l' | + | |
| - | + | ||
| - | < | + | |
| - | [root@centos7 ~]# firewall-cmd --zone=work --add-interface=ip_fixe | + | |
| - | success | + | |
| - | [root@centos7 ~]# firewall-cmd --get-active-zones | + | |
| - | work | + | |
| - | interfaces: enp0s3 ip_fixe | + | |
| - | </ | + | |
| - | + | ||
| - | Pour supprimer l' | + | |
| - | + | ||
| - | < | + | |
| - | [root@centos7 ~]# firewall-cmd --zone=work --remove-interface=ip_fixe | + | |
| - | success | + | |
| - | [root@centos7 ~]# firewall-cmd --get-active-zones | + | |
| - | work | + | |
| - | interfaces: enp0s3 | + | |
| - | </ | + | |
| - | + | ||
| - | Pour ajouter le service | + | |
| - | + | ||
| - | < | + | |
| - | [root@centos7 ~]# firewall-cmd --zone=work --add-service=http | + | |
| - | success | + | |
| - | [root@centos7 ~]# firewall-cmd --zone=work --list-services | + | |
| - | dhcpv6-client http ipp-client ssh | + | |
| - | </ | + | |
| - | + | ||
| - | Pour supprimer le service **http** de la zone **work**, utilisez la commande suivante : | + | |
| - | + | ||
| - | < | + | |
| - | [root@centos7 ~]# firewall-cmd --zone=work --remove-service=http | + | |
| - | success | + | |
| - | [root@centos7 ~]# firewall-cmd --zone=work --list-services | + | |
| - | dhcpv6-client ipp-client ssh | + | |
| - | </ | + | |
| - | + | ||
| - | Pour ajouter un nouveau bloc ICMP, utilisez la commande suivante : | + | |
| - | + | ||
| - | < | + | |
| - | [root@centos7 ~]# firewall-cmd --zone=work --add-icmp-block=echo-reply | + | |
| - | success | + | |
| - | [root@centos7 ~]# firewall-cmd --zone=work --list-icmp-blocks | + | |
| - | echo-reply | + | |
| - | </ | + | |
| - | + | ||
| - | Pour supprimer un bloc ICMP, utilisez la commande suivante : | + | |
| - | + | ||
| - | < | + | |
| - | [root@centos7 ~]# firewall-cmd --zone=work --remove-icmp-block=echo-reply | + | |
| - | success | + | |
| - | [root@centos7 ~]# firewall-cmd --zone=work --list-icmp-blocks | + | |
| - | [root@centos7 ~]# | + | |
| - | </ | + | |
| - | + | ||
| - | Pour ajouter le port 591/tcp à la zone work, utilisez la commande suivante : | + | |
| - | + | ||
| - | < | + | |
| - | [root@centos7 ~]# firewall-cmd --zone=work --add-port=591/ | + | |
| - | success | + | |
| - | [root@centos7 ~]# firewall-cmd --zone=work --list-ports | + | |
| - | 591/tcp | + | |
| - | </ | + | |
| - | + | ||
| - | Pour supprimer le port 591/tcp à la zone work, utilisez la commande suivante : | + | |
| - | + | ||
| - | < | + | |
| - | [root@centos7 ~]# firewall-cmd --zone=work --remove-port=591/ | + | |
| - | success | + | |
| - | [root@centos7 ~]# firewall-cmd --zone=work --list-ports | + | |
| - | [root@centos7 ~]# | + | |
| - | </ | + | |
| - | + | ||
| - | Pour créer un nouveau service, il convient de : | + | |
| - | + | ||
| - | * copier un fichier existant se trouvant dans le répertoire **/ | + | |
| - | * modifier le fichier, | + | |
| - | * recharger la configuration de firewalld, | + | |
| - | * vérifier que firewalld voit le nouveau service. | + | |
| - | + | ||
| - | Par exemple : | + | |
| - | + | ||
| - | < | + | |
| - | [root@centos7 ~]# cp / | + | |
| - | [root@centos7 ~]# | + | |
| - | [root@centos7 ~]# cat / | + | |
| - | <?xml version=" | + | |
| - | < | + | |
| - | < | + | |
| - | < | + | |
| - | <port protocol=" | + | |
| - | </ | + | |
| - | [root@centos7 ~]# | + | |
| - | [root@centos7 ~]# firewall-cmd --reload | + | |
| - | success | + | |
| - | [root@centos7 ~]# | + | |
| - | [root@centos7 ~]# firewall-cmd --get-services | + | |
| - | RH-Satellite-6 amanda-client bacula bacula-client dhcp dhcpv6 dhcpv6-client dns filemaker ftp high-availability http https imaps ipp ipp-client ipsec kerberos kpasswd ldap ldaps libvirt libvirt-tls mdns mountd ms-wbt mysql nfs ntp openvpn pmcd pmproxy pmwebapi pmwebapis pop3s postgresql proxy-dhcp radius rpc-bind samba samba-client smtp ssh telnet tftp tftp-client transmission-client vnc-server wbem-https | + | |
| - | </ | + | |
| - | + | ||
| - | ==La Configuration Avancée de firewalld== | + | |
| - | + | ||
| - | La configuration de base de firewalld ne permet que la configuration des zones, services, blocs ICMP et les ports non-standard. Cependant firewalld peut également être configuré avec des **Rich Rules** ou **//Règles Riches//**. Rich Rules ou Règles Riches évaluent des **critères** pour ensuite entreprendre une **action**. | + | |
| - | + | ||
| - | Les **Critères** sont : | + | |
| - | + | ||
| - | * **source address="< | + | |
| - | * **destination address="< | + | |
| - | * **rule port port="< | + | |
| - | * **service name=< | + | |
| - | + | ||
| - | Les **Actions** sont : | + | |
| - | + | ||
| - | * **accept**, | + | |
| - | * **reject**, | + | |
| - | * une Action reject peut être associée avec un message d' | + | |
| - | * **drop**. | + | |
| - | + | ||
| - | Saisissez la commande suivante pour ouvrir le port 80 : | + | |
| - | + | ||
| - | < | + | |
| - | [root@centos7 ~]# firewall-cmd --add-rich-rule=' | + | |
| - | success | + | |
| - | </ | + | |
| - | + | ||
| - | <WRAP center round important 50%> | + | |
| - | Notez que la Rich Rule doit être entourée de caractères **'**. | + | |
| - | </ | + | |
| - | + | ||
| - | Saisissez la commande suivante pour visualiser la règle iptables pour IPv4 : | + | |
| - | + | ||
| - | < | + | |
| - | [root@centos7 ~]# iptables -L -n | grep 80 | + | |
| - | ACCEPT | + | |
| - | </ | + | |
| - | + | ||
| - | Saisissez la commande suivante pour visualiser la règle iptables pour IPv6 : | + | |
| - | + | ||
| - | < | + | |
| - | [root@centos7 ~]# ip6tables -L -n | grep 80 | + | |
| - | ACCEPT | + | |
| - | ACCEPT | + | |
| - | </ | + | |
| - | + | ||
| - | <WRAP center round important 50%> | + | |
| - | Notez que la Rich Rule a créé deux règles, une pour IPv4 et une deuxième pour IPv6. Une règle peut être créée pour IPv4 seul en incluant le Critère **family=ipv4**. De la même façon, une règle peut être créée pour IPv6 seul en incluant le Critère **family=ipv6**. | + | |
| - | </ | + | |
| - | + | ||
| - | Cette nouvelle règle est écrite en mémoire mais non pas sur disque. Pour l' | + | |
| - | + | ||
| - | < | + | |
| - | [root@centos7 ~]# firewall-cmd --add-rich-rule=' | + | |
| - | success | + | |
| - | [root@centos7 ~]# | + | |
| - | [root@centos7 ~]# cat / | + | |
| - | <?xml version=" | + | |
| - | < | + | |
| - | < | + | |
| - | < | + | |
| - | <service name=" | + | |
| - | <service name=" | + | |
| - | <service name=" | + | |
| - | < | + | |
| - | <port protocol=" | + | |
| - | < | + | |
| - | </ | + | |
| - | </ | + | |
| - | </ | + | |
| - | + | ||
| - | <WRAP center round important 50%> | + | |
| - | Attention ! La règle ajoutée avec l' | + | |
| - | </ | + | |
| - | + | ||
| - | Pour visualiser cette règle dans la configuration | + | |
| - | + | ||
| - | < | + | |
| - | [root@centos7 ~]# firewall-cmd --list-all-zones | + | |
| - | ... | + | |
| - | work (default, active) | + | |
| - | | + | |
| - | sources: | + | |
| - | services: dhcpv6-client ipp-client ssh | + | |
| - | ports: | + | |
| - | masquerade: no | + | |
| - | forward-ports: | + | |
| - | icmp-blocks: | + | |
| - | rich rules: | + | |
| - | rule port port=" | + | |
| - | + | ||
| - | </ | + | |
| - | + | ||
| - | Notez que la Rich Rule est créée dans la Zone par Défaut. Il est possible de créer une Rich Rule dans une autre zone en utilisant l' | + | |
| - | + | ||
| - | < | + | |
| - | [root@centos7 ~]# firewall-cmd --zone=public --add-rich-rule=' | + | |
| - | success | + | |
| - | [root@centos7 ~]# firewall-cmd --list-all-zones | + | |
| - | ... | + | |
| - | public | + | |
| - | interfaces: | + | |
| - | sources: | + | |
| - | services: dhcpv6-client ssh | + | |
| - | ports: | + | |
| - | masquerade: no | + | |
| - | forward-ports: | + | |
| - | icmp-blocks: | + | |
| - | rich rules: | + | |
| - | rule port port=" | + | |
| - | trusted | + | |
| - | interfaces: | + | |
| - | sources: | + | |
| - | services: | + | |
| - | ports: | + | |
| - | masquerade: no | + | |
| - | forward-ports: | + | |
| - | icmp-blocks: | + | |
| - | rich rules: | + | |
| - | + | ||
| - | work (default, active) | + | |
| - | interfaces: enp0s3 | + | |
| - | sources: | + | |
| - | services: dhcpv6-client ipp-client ssh | + | |
| - | ports: | + | |
| - | masquerade: no | + | |
| - | forward-ports: | + | |
| - | icmp-blocks: | + | |
| - | rich rules: | + | |
| - | rule port port=" | + | |
| - | </ | + | |
| - | + | ||
| - | + | ||
| - | Pour supprimer une Rich Rule, il faut copier la ligne entière la concernant qui se trouve dans la sortie de la commande | + | |
| - | + | ||
| - | < | + | |
| - | [root@centos7 ~]# firewall-cmd --zone=public --remove-rich-rule=' | + | |
| - | success | + | |
| - | </ | + | |
| - | + | ||
| - | ==Le mode Panic de firewalld== | + | |
| - | + | ||
| - | Le mode Panic de firewalld permet de bloquer tout le trafic avec une seule commande. Pour connaître l' | + | |
| - | + | ||
| - | < | + | |
| - | [root@centos7 ~]# firewall-cmd --query-panic | + | |
| - | no | + | |
| - | </ | + | |
| - | + | ||
| - | Pour activer le mode Panic, il convient | + | |
| - | + | ||
| - | < | + | |
| - | [root@centos7 ~]# firewall-cmd --panic-on | + | |
| - | success | + | |
| - | [root@centos7 ~]# firewall-cmd --query-panic | + | |
| - | yes | + | |
| - | </ | + | |
| - | + | ||
| - | Pour désactiver le mode Panic, il convient de saisir la commande suivante : | + | |
| - | + | ||
| - | < | + | |
| - | [root@centos7 ~]# firewall-cmd --panic-off | + | |
| - | success | + | |
| - | [root@centos7 ~]# firewall-cmd --query-panic | + | |
| - | no | + | |
| - | </ | + | |
| - | + | ||
| - | =====Annexe #1 - Comprendre les Réseaux===== | + | |
| - | + | ||
| - | ====Présentation des Réseaux==== | + | |
| - | + | ||
| - | La définition d'un réseau peut être résumé ainsi : | + | |
| - | + | ||
| - | * un ensemble d' | + | |
| - | * une entité destinée au transport de données dans différents environnements. | + | |
| - | + | ||
| - | Pour que la communication soit efficace, elle doit respecter les critères suivants : | + | |
| - | + | ||
| - | * présenter des informations compréhensibles | + | |
| - | * être compatible avec un maximum d' | + | |
| - | | + | |
| - | | + | |
| - | * permettre une productivité accrue (par ex. interconnexion à haut débit), | + | |
| - | * être sécurisée si les informations à transmettre sont dites sensibles, | + | |
| - | * garantir l' | + | |
| - | + | ||
| - | On peut distinguer deux familles d' | + | |
| - | + | ||
| - | Les **Eléments Passifs** transmettent | + | |
| - | + | ||
| - | * **Les Infrastructures ou Supports** - des câbles, de l' | + | |
| - | * **La Topologie** - l' | + | |
| - | + | ||
| - | Les **Eléments Actifs** sont des équipements qui consomment de l' | + | |
| - | + | ||
| - | * **Equipement de Distribution Interne au Réseau** - Répartiteur (Hub, Switch, Commutateur etc.), Borne d' | + | |
| - | * **Equipement d' | + | |
| - | * **Nœuds** et **Interfaces Réseaux** - postes informatiques, | + | |
| - | + | ||
| - | Un **Nœud** est une extrémité de connexion qui peut être une intersection de plusieurs connexions ou de plusieurs **Equipements**. | + | |
| - | + | ||
| - | Une **Interface Réseau** est une prise ou élément d'un **Equipement Actif** faisant la connexion vers d' | + | |
| <WRAP center round important> | <WRAP center round important> | ||
| - | Dans le cas d'un mélange d'**Equipements** non-homogènes en termes de performances au sein du même réseau, c'est la loi du plus faible | + | **Important** : Consultez le manuel systemd.resource-control(5) pour voir les paramètres CGroup |
| </ | </ | ||
| - | Tous les **Equipements** connectés au même support doivent respecter un ensemble de règles appelé une **Protocole de Communication**. | ||
| - | Les **Protocoles de Communication** définissent de façon formelle et interopérable la manière dont les informations sont échangées entre les **Equipements**. | + | ===LAB #1 - Travailler avec les cgroups sous RHEL/CentOS 7=== |
| - | Des **Logiciels**, | + | Créez |
| - | + | ||
| - | Se basant sur des **Protocoles de Communication**, | + | |
| - | + | ||
| - | L' | + | |
| - | + | ||
| - | ====Classification des Réseaux==== | + | |
| - | + | ||
| - | Les réseaux peuvent être classifiés de trois façon différentes : | + | |
| - | + | ||
| - | * par **Mode de Transmission**, | + | |
| - | * par **Topologie**, | + | |
| - | * par **Étendue**. | + | |
| - | + | ||
| - | ===Classification par Mode de Transmission=== | + | |
| - | + | ||
| - | Il existe deux **Classes** de réseaux dans cette classification : | + | |
| - | + | ||
| - | * les **Réseaux en Mode de Diffusion**, | + | |
| - | * utilise | + | |
| - | * le message est envoyé sur tout le réseau à l' | + | |
| - | + | ||
| - | * les **Réseaux en Mode Point à Point**, | + | |
| - | * une seule liaison entre deux équipements, | + | |
| - | * les nœuds permettent de choisir la route en fonction de l' | + | |
| - | * quand deux nœuds non directement connectés entre eux veulent communiquer ils le font par l' | + | |
| - | + | ||
| - | ===Classification par Topologie=== | + | |
| - | + | ||
| - | <WRAP center round important> | + | |
| - | La **Topologie Physique** d'un réseau décrit l' | + | |
| - | </ | + | |
| - | + | ||
| - | ==La Topologie Physique== | + | |
| - | + | ||
| - | Il existe 6 topologies physiques de réseau : | + | |
| - | + | ||
| - | * La Topologie en Ligne, | + | |
| - | * La Topologie en Bus, | + | |
| - | * La Topologie en Etoile, | + | |
| - | * La Topologie en Anneau, | + | |
| - | * La Topologie en Arbre, | + | |
| - | * La Topologie Maillée. | + | |
| - | + | ||
| - | ==La Topologie en Ligne== | + | |
| - | + | ||
| - | Tous les nœuds sont connectés à un seul support. L' | + | |
| - | + | ||
| - | ==La Topologie en Bus== | + | |
| - | + | ||
| - | Tous les nœuds sont connectés à un seul support (un câble BNC en T) avec des bouchons à chaque extrémité. La longueur du bus est limitée à **185m**. Le nombre de stations de travail est limité à **30**. Les Stations sont reliées au Bus par des ' | + | |
| - | Quand le support tombe en panne, le réseau ne fonctionne plus. Quand une station tombe en panne, elle ne perturbe pas le fonctionnement de l' | + | |
| - | + | ||
| - | {{: | + | |
| - | + | ||
| - | ==La Topologie en Étoile== | + | |
| - | + | ||
| - | Chaque nœud est connecté à un périphérique central appelé un **Hub** (**Concentrateur**) ou un **Switch** (**Commutateur**). Un Hub ou un Switch est prévu pour 4, 8, 16, 32 ... stations. En cas d'un réseau d'un plus grand nombre de stations, plusieurs Hubs ou Switches sont connectés ensemble. Quand une station tombe en panne, elle ne perturbe pas le fonctionnement de l' | + | |
| - | + | ||
| - | {{: | + | |
| - | + | ||
| - | ==La Topologie en Anneau== | + | |
| - | + | ||
| - | Chaque nœud est relié directement à ses deux voisins dans une topologie logique de cercle ininterrompu et une topologie physique en étoile car les stations sont reliées à un type de hub spécial, appelé un **Multistation Access Unit** (MAU). | + | |
| - | + | ||
| - | {{: | + | |
| - | + | ||
| - | Les stations sont reliées à la MAU par un câble ' | + | |
| - | + | ||
| - | ==La Topologie en Arbre== | + | |
| - | + | ||
| - | La Topologie en Arbre est utilisée dans un réseau hierarchique où le sommet, aussi appelé la **racine**, est connecté à plusieurs noeuds de niveau inférieur. Ces neouds peuvent à leur tour être connectés à d' | + | |
| - | + | ||
| - | ==La Topologie Maillée== | + | |
| - | + | ||
| - | Cette Topologie est utilisée pour des grands réseaux de distribution tels Internet ou le WIFI. Chaque noeud à tous les autres via des liaisons point à point. Le nombre de liaisons devient très rapidement important en cas d'un grand nombre de noeuds. Par exemple dans le cas de 100 Stations (N), le nombre de liaisons est obtenu par la formule suivante : | + | |
| - | + | ||
| - | N(N-1)/2 = 100(100-1)/ | + | |
| - | + | ||
| - | <WRAP center round important> | + | |
| - | La **Topologie Physique** la plus répandue est la **Topologie en Etoile**. | + | |
| - | </ | + | |
| - | + | ||
| - | ===Classification par Etendue=== | + | |
| - | + | ||
| - | La classification par étendue nous fournit 4 réseaux principaux : | + | |
| - | + | ||
| - | ^ Nom ^ Description ^ Traduction ^ Taille Approximative (M) | | + | |
| - | | PAN | Personal Area Network | Réseau Personnel | 1 -10 | | + | |
| - | | LAN | Local Area Network | Réseau Local Entreprise (RLE) | 5 - 1 200 | | + | |
| - | | MAN | Métropolitain Area Network | Réseau Urbain | 900 - 100 000 | | + | |
| - | | WAN | Wide Area Network | Réseau Long Distance (RLD) | 50 000 et au delà | | + | |
| - | + | ||
| - | Cependant, d' | + | |
| - | + | ||
| - | | CAN | Campus Area Network | Réseau de Campus | | + | |
| - | | GAN | Global Area Network | Réseau Global | | + | |
| - | | TAN | Tiny Area Network | Réseau Minuscule | | + | |
| - | | FAN | Family Area Network | Réseau Familial | | + | |
| - | | SAN | Storage Area Network | Réseau de Stockage | | + | |
| - | + | ||
| - | <WRAP center round important> | + | |
| - | Etant donné que les WANs sont gérés par des opérateurs de télécommunications qui doivent demander une licence à l' | + | |
| - | </ | + | |
| - | + | ||
| - | ===Les Types de LAN=== | + | |
| - | + | ||
| - | Il existe deux types de LAN : | + | |
| - | + | ||
| - | * le réseau à serveur dédié, | + | |
| - | * le réseau poste à poste. | + | |
| - | + | ||
| - | ==Réseau à Serveur Dédié== | + | |
| - | + | ||
| - | Le réseau à serveur dédié est caractérisé par le fait que toutes les ressources ( imprimantes, | + | |
| - | + | ||
| - | Des exemples des systèmes d' | + | |
| - | + | ||
| - | * Windows NT Server, | + | |
| - | * Windows 2000 Server, | + | |
| - | * Windows 2003 Server, | + | |
| - | * Windows 2008 Server, | + | |
| - | * Linux, | + | |
| - | * Unix. | + | |
| - | + | ||
| - | {{: | + | |
| - | + | ||
| - | ==Réseau Poste-à-Poste== | + | |
| - | + | ||
| - | Le réseau poste à poste est caractérisé par le fait que tous les ordinateurs peuvent jouer le rôle de client et de serveur : | + | |
| - | + | ||
| - | * Windows 95, | + | |
| - | * Windows 98, | + | |
| - | * Windows NT Workstation. | + | |
| - | + | ||
| - | {{: | + | |
| - | + | ||
| - | ====Le Modèle Client/ | + | |
| - | + | ||
| - | Le modèle Client/ | + | |
| - | + | ||
| - | Le serveur est aussi : | + | |
| - | + | ||
| - | * passif, c' | + | |
| - | * capable de traiter plusieurs requêtes simultanément en utilisant le **multi-threading**, | + | |
| - | * garant de l' | + | |
| - | + | ||
| - | Le client est, par contre **actif**, étant à l' | + | |
| - | + | ||
| - | Il existe trois types de modèle client/ | + | |
| - | + | ||
| - | * **Plat** - tous les clients communiques avec un seul serveur, | + | |
| - | * **Hiérarchique** - les clients n'ont de contact qu' | + | |
| - | * **Peer-to-Peer** - les équipements sont à la fois client **et** serveur en même temps. | + | |
| - | + | ||
| - | ====Modèles de Communication==== | + | |
| - | + | ||
| - | Les réseaux sont bâtis sur des technologies et des modèles. Le modèle **théorique** le plus important est le modèle **O**pen **S**ystem **Interconnection** créé par l' | + | |
| - | + | ||
| - | === Le modèle OSI === | + | |
| - | + | ||
| - | Le modèle OSI qui a été proposé par l'ISO est devenu le standard en termes de modèle pour décrire l' | + | |
| - | + | ||
| - | Ce modèle repose sur trois termes : | + | |
| - | + | ||
| - | * Les **Couches**, | + | |
| - | * Les **Protocoles**, | + | |
| - | * Les **Interfaces**. | + | |
| - | + | ||
| - | ==Les Couches== | + | |
| - | + | ||
| - | Des sept couches : | + | |
| - | + | ||
| - | * Les couches 1 à 3 sont les **Couches Basses** orientées **Transmission**, | + | |
| - | * La couche 4 est la **Couche Charnière** entre les **Couches Basses** et les **Couches Hautes**, | + | |
| - | * Les couches 5 à 7 sont les **Couches Hautes** orientées **Traitement**. | + | |
| - | + | ||
| - | La couche du même niveau du système **A** parle avec son homologue du système **B**. | + | |
| - | + | ||
| - | * **La Couche Physique** ( Couche 1 ) est responsable : | + | |
| - | * du transfert de données binaires sur le câble physique ou virtuel | + | |
| - | * de la définition de tout aspect physique allant du connecteur jusqu' | + | |
| - | * de la définition des tensions électriques sur le câble pour obtenir le 0 et le 1 binaires | + | |
| - | + | ||
| - | * **La Couche de Liaison** ( Couche 2 ) est responsable : | + | |
| - | * de la réception des données de la couche physique | + | |
| - | * de l' | + | |
| - | * de la préparation, | + | |
| - | * de la gestion de l' | + | |
| - | * de la communication nœud à nœud | + | |
| - | * de la gestion des erreurs | + | |
| - | * avant la transmission, | + | |
| - | * le nœud récepteur recalcule un CRC en fonction du contenu de la trame reçue et le compare à celui incorporé avec l' | + | |
| - | * en cas de deux CRC identique, le nœud récepteur envoie un accusé de réception au nœud émetteur | + | |
| - | * de la réception de l' | + | |
| - | * éventuellement de le ré-émission des données | + | |
| - | * En prenant ce modèle, l'IEEE ( Institute of Electrical and Eletronics Engineers ) l'a étendu avec le Modèle IEEE ( 802 ). | + | |
| - | *Dans ce modèle la Couche de Liaison est divisée en deux sous-couches importantes : | + | |
| - | * La **Sous-Couche LLC** ( Logical Link Control ) qui : | + | |
| - | * gère les accusés de réception | + | |
| - | * gère le flux de trames | + | |
| - | * La **Sous-Couche MAC** ( Media Access Control ) qui : | + | |
| - | * gère la méthode d' | + | |
| - | * le CSMA/CD dans un réseau basé sur la technologie Ethernet | + | |
| - | * l' | + | |
| - | * gère les erreurs | + | |
| - | + | ||
| - | * **La Couche de Réseau** ( Couche 3 ) est responsable de la gestion de la bonne distribution des différentes informations aux bonnes adresses en : | + | |
| - | * identifiant le chemin à emprunter d'un nœud donné à un autre | + | |
| - | * appliquant une conversion des adresses logiques ( des noms ) en adresses physiques | + | |
| - | * ajoutant des information adressage aux envois | + | |
| - | * détectant des paquets trop volumineux avant l' | + | |
| - | + | ||
| - | * **La Couche de Transport** ( Couche 4 ) est responsable de veiller à ce que les données soient envoyées correctement en : | + | |
| - | * constituant des paquets de données corrects | + | |
| - | * les envoyant dans le bon ordre | + | |
| - | * vérifiant que les données sont traités dans le même ordre que l' | + | |
| - | * permettant à un processus sur un nœud de communiquer avec un autre nœud et d' | + | |
| - | + | ||
| - | * **La Couche de Session** ( Couche 5 ) est responsable : | + | |
| - | * de l' | + | |
| - | * de la conversation entre deux processus de vérification de la réception des messages envoyés en séquences, c' | + | |
| - | + | ||
| - | * de la sécurité lors de l' | + | |
| - | + | ||
| - | * **La Couche de Présentation** ( Couche 6 ) est responsable : | + | |
| - | * du formatage et de la mise en forme des données | + | |
| - | * des conversions de données telles le cryptage/ | + | |
| - | + | ||
| - | * **La Couche d' | + | |
| - | * du dialogue homme/ | + | |
| - | * du partage des ressources | + | |
| - | * de la messagerie | + | |
| - | + | ||
| - | ==Les Protocoles== | + | |
| - | + | ||
| - | Un **protocole** est un langage commun utilisé par dexu entités en communication pour pouvoir se comprendre. La nature du Protocole dépends directement de la nature de la communication. Cette bature dépend du **paradigme** de communication que l' | + | |
| - | + | ||
| - | ==Les Interfaces== | + | |
| - | + | ||
| - | Chaque couche rend des **services** à la couche immédiatement supérieure et utilise les services de la couche immédiatement inférieure. L' | + | |
| - | + | ||
| - | ==Protocol Data Units== | + | |
| - | + | ||
| - | | + | |
| - | + | ||
| - | * **Application Protocol Data Units** pour la couche **Application**, | + | |
| - | * **Présentation Protocol Data Units** pour la couche **Présentation**, | + | |
| - | * **Session Protocol Data Units** pour la couche **Session**, | + | |
| - | * **Transport Protocol Data Units** pour la couche **Transport**. | + | |
| - | + | ||
| - | Or, pour les **Couches Basses** on parle de : | + | |
| - | + | ||
| - | * **Paquets** pour la couche **Réseau**, | + | |
| - | * **Trames** pour la couche **Liaison**, | + | |
| - | * **Bits** pouyr la couche **Physique**. | + | |
| - | + | ||
| - | ==Encapsulation et Désencapsulation== | + | |
| - | + | ||
| - | Lorque les données sont communiqueés par le système A au système B, celles-ci commencent au niveau de la couche d' | + | |
| - | + | ||
| - | ^ Couche Système A ^ Encapsulation ^ | + | |
| - | | Application | Application Header (AH) + Unité de Données (UD) | | + | |
| - | | Présentation | Présentation Header (PH) + AH + UD | | + | |
| - | | Session | Session Header (SH) + PH + AH + UD | | + | |
| - | | Transport | Transport Header (TH) + SH + PH + AH + UD | | + | |
| - | | Réseau | Network Header (NH) + TH + SH + PH + AH + UD | | + | |
| - | | Liaison | Liaison Header (DH) + NH + TH + SH + PH + AH + UD | | + | |
| - | + | ||
| - | Lors de son voyage de la couche Physique vers la couche Application dans le système B, les en-têtes sont supprimées par chaque couche correspondante. On parle alors de **désencapsulation** : | + | |
| - | + | ||
| - | ^ Couche Système B ^ Encapsulation ^ | + | |
| - | | Liaison | Liaison Header (DH) + NH + TH + SH + PH + AH + UD | | + | |
| - | | Réseau | Network Header (NH) + TH + SH + PH + AH + UD | | + | |
| - | | Transport | Transport Header (TH) + SH + PH + AH + UD | | + | |
| - | | Session | Session Header (SH) + PH + AH + UD | | + | |
| - | | Présentation | Présentation Header (PH) + AH + UD | | + | |
| - | | Application | Application Header (AH) + Unité de Données (UD) | | + | |
| - | + | ||
| - | === Spécification NDIS et le Modèle ODI === | + | |
| - | + | ||
| - | <note tip> | + | |
| - | **[[https:// | + | |
| - | </ | + | |
| - | + | ||
| - | La spécification NDIS ( Network Driver Interface Specification ) a été introduite conjointement par les sociétés Microsoft et 3Com. | + | |
| - | Cette spécification ainsi que son homologue, le modèle ODI ( Open Datalink Interface ) introduit conjointement par les sociétés Novell et Apple à la même époque, définit des standards pour les pilotes de cartes réseau afin qu'ils puissent être indépendants des protocoles utilisées et les systèmes d' | + | |
| - | + | ||
| - | * l' | + | |
| - | * l' | + | |
| - | * l' | + | |
| - | + | ||
| - | === Le modèle TCP/IP === | + | |
| - | + | ||
| - | <note tip> | + | |
| - | **[[https:// | + | |
| - | </ | + | |
| - | + | ||
| - | La suite des protocoles TCP/IP ( Transmission Control Protocol / Internet Protocol ) est issu de la DOD ( Dept. Américain de la Défense ) et le travail de l'ARPA ( Advanced Research Project Agency ). | + | |
| - | + | ||
| - | * La suite des protocoles TCP/IP | + | |
| - | * a été introduite en 1974 | + | |
| - | * a été utilisée dans l' | + | |
| - | * permet la communication entre des réseaux à base de systèmes d' | + | |
| - | * est très proche du modèle OSI en termes d' | + | |
| - | * est, en réalité, une suite de protocoles et de services : | + | |
| - | * **IP** ( Internet Protocol ) | + | |
| - | * le protocole IP s' | + | |
| - | * **ICMP** ( Internet Control Message Protocol ) | + | |
| - | * le protocole ICMP produit des messages de contrôle aidant à synchroniser le réseau. Un exemple de ceci est la commande ping. | + | |
| - | * **TCP** ( Transmission Control Protocol ) | + | |
| - | * le protocole TCP se trouve au niveau de la couche de Transport du modèle OSI et s' | + | |
| - | * **UDP** ( User Datagram Protocol ) | + | |
| - | * le protocole UDP n'est pas orienté connexion. Il est utilisé pour la transmission rapide de messages entre nœuds sans garantir leur acheminement. | + | |
| - | * **Telnet** | + | |
| - | * le protocole Telnet est utilisé pour établir une connexion de terminal à distance. Il se trouve dans la couche d' | + | |
| - | * **Ftp** ( File Transfer Protocol ) | + | |
| - | * le protocole ftp est utilisé pour le transfert de fichiers. Il se trouve dans la couche d' | + | |
| - | * **SMTP** ( Simple Message Transfer Protocol ) | + | |
| - | * le service SMTP est utilisé pour le transfert de courrier électronique. Il se trouve dans la couche d' | + | |
| - | * **DNS** ( Domain Name Service ) | + | |
| - | * le service DNS est utilisé pour le résolution de noms en adresses IP. Il se trouve dans la couche d' | + | |
| - | * **SNMP** ( Simple Network Management Protocol ) | + | |
| - | * le protocole SNMP est composé d'un agent et un gestionnaire. L' | + | |
| - | * **NFS** ( Network File System ) | + | |
| - | * le NFS a été mis au point par Sun Microsystems | + | |
| - | * le NFS génère un lien virtuel entre les lecteurs et les disques durs permettant de monter dans un disque virtuel local un disque distant | + | |
| - | * et aussi POP3, NNTP, IMAP etc ... | + | |
| - | + | ||
| - | <note tip> | + | |
| - | **[[https:// | + | |
| - | </ | + | |
| - | + | ||
| - | Le modèle TCP/IP est composé de 4 couches : | + | |
| - | + | ||
| - | * La couche d' | + | |
| - | * Cette couche spécifie la forme sous laquelle les données doivent être acheminées, | + | |
| - | * La couche Internet | + | |
| - | * Cette couche est chargée de fournir le paquet de données. | + | |
| - | * La couche de Transport | + | |
| - | * Cette couche assure l' | + | |
| - | * La couche d' | + | |
| - | * Cette couche englobe les applications standards de réseau telles ftp, telnet, ssh, etc.. | + | |
| - | + | ||
| - | Les noms des Unités de Données sont différents selon le protocole utilisé et la couche du modèle TCP/IP : | + | |
| - | + | ||
| - | ^ Couche | + | |
| - | | Application | Stream | Message | | + | |
| - | | Transport | Segment | Packet| | + | |
| - | | Internet | Datagram| Datagram | | + | |
| - | | Réseau | Frame | Frame | | + | |
| - | + | ||
| - | ====Les Raccordements==== | + | |
| - | + | ||
| - | ===Les Modes de Transmission=== | + | |
| - | + | ||
| - | On peut distinguer 3 modes de transmission : | + | |
| - | + | ||
| - | * La **Liaison Simplex**, | + | |
| - | * Les données ne circulent que dans un **seul** sens de l' | + | |
| - | * La liaison nécessite deux canaux de transmissions, | + | |
| - | * La **Liaison Half-Duplex** aussi appelée la **Liaison à l' | + | |
| - | * Les données circulent dans un sens ou l' | + | |
| - | * La liaison permet d' | + | |
| - | * La **Liaison Full-Duplex** dans les deux sens en **même** temps. Chaque extrémité peut émettre et recevoir simultanément, | + | |
| - | * La liaison est caractérisée par une bande passante divisée par deux pour chaque sens des émissions. | + | |
| - | + | ||
| - | ===Les Câbles=== | + | |
| - | + | ||
| - | ==Le Câble Coaxial== | + | |
| - | + | ||
| - | En partant de l' | + | |
| - | + | ||
| - | * d'une **Gaine** en caoutchouc, PVC ou Téflon pour protéger le câble, | + | |
| - | * d'un **Blindage** en métal pour diminuer le bruit du aux parasites, | + | |
| - | * d'un **Isolant** (diélectrique) pour éviter le contact entre le blindage et l'âme et ainsi éviter des courts-circuits, | + | |
| - | * d'un **Âme** en cuivre ou torsadés pour transporter les données. | + | |
| - | + | ||
| - | Avantages : | + | |
| - | + | ||
| - | * **Peux coûteux**, | + | |
| - | * Facilement **manipulable**, | + | |
| - | * Peut être utilisé pour de **longues distances**, | + | |
| - | * A un débit de 10 Mbit/s dans un LAN et 100 Mbit/s dans un WAN. | + | |
| - | + | ||
| - | Inconvénients : | + | |
| - | + | ||
| - | * Fragile, | + | |
| - | * Instable, | + | |
| - | * Vulnérable aux interférences, | + | |
| - | * Half-Duplex. | + | |
| - | + | ||
| - | ==Le Câble Paire Torsadée== | + | |
| - | + | ||
| - | Ce câble existe sous deux formes selon son utilisation : | + | |
| - | + | ||
| - | * **Monobrin** pour du câblage **horizontal** (**Capillaire**), | + | |
| - | * chaque fil est composé d'un seul conducteur en cuivre, | + | |
| - | * la distance ne doit pas dépassée 90m. | + | |
| - | + | ||
| - | * **Multibrin** pour des **cordons de brassage** : | + | |
| - | * chaque fil est composé de plusieurs brins en cuivre, | + | |
| - | * câble souple. | + | |
| - | + | ||
| - | Avantages : | + | |
| - | + | ||
| - | * Un débit de 10 Mbit/s à 10 GBit/s, | + | |
| - | * A une bande passante plus large, | + | |
| - | * Pas d' | + | |
| - | * Permet le **câblage universel** (téléphonie, | + | |
| - | * Full-Duplex. | + | |
| - | + | ||
| - | Inconvénients : | + | |
| - | + | ||
| - | * Nombre de câbles > câble coaxial, | + | |
| - | * Plus cher, | + | |
| - | * Plus encombrant dans les gaines techniques. | + | |
| - | + | ||
| - | == Catagories de Blindage== | + | |
| - | + | ||
| - | Il existe trois catagories de blindage : | + | |
| - | + | ||
| - | * **Twisted** ou Torsadé, | + | |
| - | * **Foiled** ou Entouré, | + | |
| - | * **Shielded** ou Avec Ecran. | + | |
| - | + | ||
| - | De ce fait, il existe 5 catagories de câbles Paire Torsadée : | + | |
| - | + | ||
| - | Nom anglais ^ Appelation Ancienne ^ Nouvelle Appelation ^ | + | |
| - | | Unshielded Twisted Pair | UTP | U/UTP | | + | |
| - | | Foiled Twisted Pair | FTP | F/UTP | | + | |
| - | | Shield Twisted Pair | STP | S/UTP | | + | |
| - | | Shield Foiled Twisted Pair | SFTP | SF/UTP | | + | |
| - | | Shield Shield Twisted Pair | S/STP | SS/STP3 | | + | |
| - | + | ||
| - | Ces catégories donnent lieu à des **Classes** : | + | |
| - | + | ||
| - | ^ Classe ^ Débit ^ Nombre de Paires Torsadées ^ Connecteur ^ Commentaires ^ | + | |
| - | | 3 | 10 Mbit/s | 4 | RJ11 | | Téléphonie Analogique et Numérique | + | |
| - | | 4 | 16 Mbit/s | 4 | S/O | Non-utilisée de nos jours | | + | |
| - | | 5 | 100 Mbit/s | 4 | RJ45 | Obsolète | | + | |
| - | | 5e/D | 1 Gbit/s sur 100m | 4 | RJ45 | S/O | | + | |
| - | | 6/E | 2.5 Gbit/s sur 100m ou 10 Gbit/s sur 25m à 55m | 4 | Idéal pour PoE | | + | |
| - | | 7/F | 10 Gbit/s sur 100m | 4 | GG45 ou Tera | Paires individuellement et collectivement blindées. Problème de compatibilité avec les classes precédentes due au connecteur. | | + | |
| - | + | ||
| - | ==La Prise RJ45== | + | |
| - | + | ||
| - | Une prise RJ45 comporte 8 broches. Un câble peut être **droit** quand la broche 1 d'une extremité est connectée à la broche 1 de la prise RJ45 à l' | + | |
| - | + | ||
| - | Les câbles croisés sont utilisés lors du branchement de deux équipements identiques (PC à PC, Hub à Hub, Routeur à Routeur). | + | |
| - | + | ||
| - | ==Channel Link et Basic Link== | + | |
| - | + | ||
| - | Le **Channel Link** ou **Canal** est l' | + | |
| - | + | ||
| - | Le **Basic Link** est le lien entre la prise RJ45 murale et la baie de brassage. Il est limité à 90m en classe 5D. | + | |
| - | + | ||
| - | ===La Fibre Optique=== | + | |
| - | + | ||
| - | La **Fibre Optique** est un fil de **Silice** permettant le transfert de la lumière. De ce fait elle est caractérisée par : | + | |
| - | + | ||
| - | * des meilleures performances que le cuivre, | + | |
| - | * de plus de communications simultanément, | + | |
| - | * de la capacité de relier de plus grandes distances, | + | |
| - | * une insensibilité aux perturbations, | + | |
| - | * une résistance à la corrosion. | + | |
| - | + | ||
| - | Qui plus est, elle ne produit aucune perturbation. | + | |
| - | + | ||
| - | Elle est composée : | + | |
| - | + | ||
| - | * d'un coeur de 10, de 50/125 ou de 62.50 micron, | + | |
| - | * d'une gaine de 125 micron, | + | |
| - | * d'une protection de 230 micron. | + | |
| - | + | ||
| - | Il existe deux types de fibres, la **Fibre Monomode** et la **Fibre Multimodes**. | + | |
| - | + | ||
| - | La Fibre Monomode : | + | |
| - | + | ||
| - | * a un coeur de 8 à 10 Microns, | + | |
| - | * est divisée en sous-catégories de distance, | + | |
| - | * 10 Km, | + | |
| - | * 15 Km, | + | |
| - | * 20 Km, | + | |
| - | * 50 Km, | + | |
| - | * 80 Km, | + | |
| - | * 100 Km. | + | |
| - | + | ||
| - | La Fibre Multimode : | + | |
| - | + | ||
| - | * a un coeur de 62,50 micron ou de 50/125 micron avec une gaine orange, | + | |
| - | * permet plusieurs trajets lumineux appelés **modes** en même temps en Full Duplex, | + | |
| - | * est utilisée pour de bas débits ou de courtes distances, | + | |
| - | * 2 Km pour 100 Mbit/s, | + | |
| - | * 500 m pour 1 Gbit/s. | + | |
| - | + | ||
| - | ===Les Réseaux sans Fils=== | + | |
| - | + | ||
| - | Les réseaux sans fils sans basés sur une liaison qui utilise des ondes radio-électriques (radio et infra-rouges). | + | |
| - | + | ||
| - | Il existe des technologies différentes en fonction de la fréquence utilisée et de la portée des transmissions : | + | |
| - | + | ||
| - | * Réseaux Personnels sans Fils - Bluetooth, HomeRF, | + | |
| - | * Réseaux Locaux sans Fils - LiFI, WiFI, | + | |
| - | * Réseaux Métropolitains sans Fil - wImax, | + | |
| - | * Réseaux Etendus sans Fils - GSM, GPRS, UMTS. | + | |
| - | + | ||
| - | Les principales ondes utilisées pour la transmission des données sont : | + | |
| - | + | ||
| - | * Ondes GSM - Ondes Hertziennes repeosant sur des micro-ondes à basse fréquence avec une portée d'une dizaine de kilomètres, | + | |
| - | * Ondes Wi-Fi - Ondes Hertziennes reposant sur des micro-ondes à haute fréquence avec une portée de 20 à 50 mètres, | + | |
| - | * Ondes Satellitaires - Ondes Hertziennes longues portées. | + | |
| - | + | ||
| - | ===Le Courant Porteur en Ligne=== | + | |
| - | + | ||
| - | Le CPL utilise le réseau électrique domestique, le réseau moyenne et basse tension pour transmettre des informations numériques. | + | |
| - | + | ||
| - | Le CPL superpose un signal à plus haute fréquence au signal électrique. | + | |
| - | + | ||
| - | Seuls donc, les fils conducteurs transportent les signaux CPL. | + | |
| - | + | ||
| - | Le coupleur intégré en entrée des boîtiers CPL élimine les composants basses fréquences pour isoler le signal CPL. | + | |
| - | + | ||
| - | Le CPL utilise la phase électrique et le neutre. De ce fait, une installation triphasée fournit 3 réseaux CPL différents. | + | |
| - | + | ||
| - | Le signal CPL ne s' | + | |
| - | + | ||
| - | Les normes CPL sont : | + | |
| - | + | ||
| - | ^ Norme ^ Débit Théorique ^ Débit Pratique ^ Temps pour copier 1 Go ^ | + | |
| - | | Homeplug 1.01 | 14 Mbps | 5.4 Mbps | 25m 20s | | + | |
| - | | Homeplug 1.1 | 85 Mbps | 12 Mbps | 11m 20s | | + | |
| - | | PréUPA 200 | 200 Mbps | 30 Mbps | 4m 30s | | + | |
| - | + | ||
| - | ===Technologies=== | + | |
| - | + | ||
| - | Il existe plusieurs technologies de réseau : | + | |
| - | + | ||
| - | * Ethernet, | + | |
| - | * Token-Ring, | + | |
| - | * ARCnet, | + | |
| - | * etc.. | + | |
| - | + | ||
| - | Nous détaillerons ici les deux technologies les plus répandues, à savoir Ethernet et Token-Ring. | + | |
| - | + | ||
| - | ==Ethernet== | + | |
| - | + | ||
| - | La technologie Ethernet se repose sur : | + | |
| - | + | ||
| - | * une topologie logique de bus, | + | |
| - | * une topologie physique de bus ou étoile. | + | |
| - | + | ||
| - | L' | + | |
| - | + | ||
| - | Il faut noter que : | + | |
| - | + | ||
| - | * les données sont transmises à chaque nœud - c'est la méthode d' | + | |
| - | * chaque nœud qui veut émettre écoute le réseau - c'est la **détection de porteuse**, | + | |
| - | * quand le réseau est silencieux une trame est émise dans laquelle se trouvent les données ainsi que l' | + | |
| - | * le système est dit donc **aléatoire** ou **non-déterministe**, | + | |
| - | * quand deux nœuds émettent en même temps, il y a **collision de données**, | + | |
| - | * les deux nœuds vont donc cesser d' | + | |
| - | + | ||
| - | ==Token-Ring== | + | |
| - | + | ||
| - | La technologie Token-Ring se repose sur : | + | |
| - | + | ||
| - | * une topologie logique en anneau, | + | |
| - | * une topologie physique en étoile. | + | |
| - | + | ||
| - | Token-Ring se traduit par **Anneau à Jeton**. Il n'est pas aussi répandu que l' | + | |
| - | + | ||
| - | Il faut noter que : | + | |
| - | + | ||
| - | * les données sont transmises dans le réseau par un système | + | |
| - | * le jeton est une **trame numérique vide** de données qui tourne en permanence dans l' | + | |
| - | * quand un nœud souhaite émettre, il saisit le jeton, y dépose des données avec l' | + | |
| - | * pendant son voyage, aucun autre nœud ne peut émettre, | + | |
| - | * une fois arrivé à sa destination, | + | |
| - | * ce système est appelé **déterministe**. | + | |
| - | + | ||
| - | L' | + | |
| - | + | ||
| - | * qu'il **évite des collisions**, | + | |
| - | * qu'il est **possible de déterminer avec exactitude le temps que prenne l' | + | |
| - | + | ||
| - | La technologie Token-Ring est donc idéale, voire obligatoire, | + | |
| - | + | ||
| - | ====Périphériques Réseaux Spéciaux==== | + | |
| - | + | ||
| - | En plus du câblage, les périphériques de réseau spéciaux sont des éléments primordiaux tant au niveau de la topologie physique que la topologie logique. | + | |
| - | + | ||
| - | Les périphériques de réseau spéciaux sont : | + | |
| - | + | ||
| - | * les Concentrateurs ou //Hubs//, | + | |
| - | * les Répéteurs ou // | + | |
| - | * les Ponts ou // | + | |
| - | * les Commutateurs ou // | + | |
| - | * les Routeurs ou // | + | |
| - | * les Passerelles ou // | + | |
| - | + | ||
| - | L' | + | |
| - | + | ||
| - | ===Les Concentrateurs=== | + | |
| - | + | ||
| - | Les Concentrateurs permettent une connectivité entre les nœuds en topologie en étoile. Selon leur configuration, | + | |
| - | + | ||
| - | * **Le Concentrateur Simple** | + | |
| - | * est une boîte de raccordement centrale, | + | |
| - | * joue le rôle de récepteur et du réémetteur des signaux sans accélération ni gestion de ceux-ci, | + | |
| - | * est un périphérique utilisé pour des groupes de travail. | + | |
| - | + | ||
| - | * **Le Concentrateur Évolué** | + | |
| - | * est un Concentrateur simple qui offre en plus l' | + | |
| - | + | ||
| - | * **Le Concentrateur Intelligent** | + | |
| - | * est un Concentrateur évolué qui offre en plus la détection automatique des pannes, la connectique avec un Pont ou un Routeur ainsi que le diagnostic et la génération de rapports. | + | |
| - | + | ||
| - | ===Les Répéteurs=== | + | |
| - | + | ||
| - | Un Répéteur est un périphérique réseau simple. Il est utilisé pour amplifier le signal quand : | + | |
| - | + | ||
| - | * la longueur du câble dépasse la limite autorisée, | + | |
| - | * le câble passe par une zone ou les interférences sont importantes. | + | |
| - | + | ||
| - | Éventuellement, | + | |
| - | + | ||
| - | ===Les Ponts=== | + | |
| - | + | ||
| - | Un Pont est **Répéteur intelligent**. Outre sa capacité d' | + | |
| - | + | ||
| - | Les **diffusions** sont néanmoins autorisées. | + | |
| - | + | ||
| - | Comme un Pont doit être intelligent, | + | |
| - | + | ||
| - | Le Pont sert donc à isoler des segments du réseau pour des raisons de : | + | |
| - | + | ||
| - | * **sécurité** afin d' | + | |
| - | * **performance** afin qu'une partie du réseau trop chargée ralentisse le réseau entier, | + | |
| - | * **fiabilité** afin par exemple qu'une carte en panne ne gène pas le reste du réseau avec une diffusion. | + | |
| - | + | ||
| - | Il existe trois types de configuration de Ponts | + | |
| - | + | ||
| - | ==Le Pont de Base== | + | |
| - | + | ||
| - | Le Pont de Base est utilisé très rarement pour isoler deux segments. | + | |
| - | + | ||
| - | ;#; | + | |
| - | + | ||
| - | ==Le Pont en Cascade== | + | |
| - | + | ||
| - | Le Pont en Cascade est à éviter car les données en provenance d'un segment doivent passer par plusieurs Ponts. Ceci a pour conséquence de ralentir la transmission des données, voire même de créer un trafic superflu en cas de rémission par le nœud | + | |
| - | + | ||
| - | ;#; | + | |
| - | + | ||
| - | ==Le Pont en Dorsale== | + | |
| - | + | ||
| - | Le Pont en Dorsale coûte plus chère que la configuration précédente car il faut un nombre de Ponts équivalent au nombre de segments + 1. Par contre elle réduit les problèmes précédemment cités puisque les données ne transitent que par deux Ponts. | + | |
| - | + | ||
| - | ;#; | + | |
| - | + | ||
| - | ===Les Commutateurs=== | + | |
| - | + | ||
| - | Un Commutateur peut être considéré comme un Concentrateur intelligent et un Pont. Ils sont gérés souvent par des logiciels. La topologie physique d'un réseau commuté est en étoile. Par contre la topologie logique est spéciale, elle s' | + | |
| - | + | ||
| - | Lors de la communication de données entre deux nœuds, le Commutateur ouvre une connexion temporaire virtuelle en fermant les autres ports. De cette façon la bande passante totale est disponible pour cette transmission et les risques de collision sont minimisés. | + | |
| - | + | ||
| - | Certains Commutateurs haut de gamme sont équipés d'un système anti-catastrophe qui leur permet d' | + | |
| - | + | ||
| - | ===Les Routeurs=== | + | |
| - | + | ||
| - | Un Routeur est un Pont sophistiqué capable : | + | |
| - | + | ||
| - | * d' | + | |
| - | * de filtrer le trafic, | + | |
| - | * d’isoler une partie du réseau, | + | |
| - | * d’ explorer les informations d' | + | |
| - | + | ||
| - | Les Routeurs utilisent une table de routage pour stocker les informations sur : | + | |
| - | + | ||
| - | * les adresses du réseau, | + | |
| - | * les solutions de connexion vers d' | + | |
| - | * l' | + | |
| - | + | ||
| - | Il existe deux types de Routeur : | + | |
| - | + | ||
| - | * le **Routeur Statique** | + | |
| - | * la table de routage est éditer manuellement, | + | |
| - | * les routes empruntées pour la transmission des données sont toujours les mêmes, | + | |
| - | * il n'y a pas de recherche d' | + | |
| - | + | ||
| - | * le **Routeur Dynamique** | + | |
| - | * découvre automatiquement les routes à emprunter dans un réseau. | + | |
| - | + | ||
| - | ===Les Passerelles=== | + | |
| - | + | ||
| - | Ce périphérique, | + | |
| - | + | ||
| - | * entre deux technologies différentes ( Ethernet - Token-Ring ), | + | |
| - | * entre deux protocoles différents, | + | |
| - | * entre des formats de données différents. | + | |
| - | + | ||
| - | =====Annexe #2 - Comprendre TCP Version 4===== | + | |
| - | + | ||
| - | ==== En-tête TCP ==== | + | |
| - | + | ||
| - | L' | + | |
| - | + | ||
| - | ^ 1er octet ^ 2ème octet ^ 3ème octet ^ 4 ème octet ^ | + | |
| - | | Port source | + | |
| - | | | + | |
| - | | | + | |
| - | | | + | |
| - | | Checksum | + | |
| - | | Options | + | |
| - | | Données | + | |
| - | + | ||
| - | Vous noterez que les numéros de ports sont codés sur 16 bits. Cette information nous permet de calculer le nombres de ports maximum en IPv4, soit 2< | + | |
| - | + | ||
| - | L' | + | |
| - | + | ||
| - | Les **Flags** sont : | + | |
| - | + | ||
| - | * URG - Si la valeur est 1 le pointeur urgent est utilisé. Le numéro de séquence et le pointeur urgent indique un octet spécifique. | + | |
| - | * ACK - Si la valeur est 1, le paquet est un accusé de réception | + | |
| - | * PSH - Si la valeur est 1, les données sont immédiatement présentées à l' | + | |
| - | * RST - Si la valeur est 1, la communication comporte un problème et la connexion est réinitialisée | + | |
| - | * SYN - Si la valeur est 1, le paquet est un paquet de synchronisation | + | |
| - | * FIN - Si la valeur est 1, le paquet indique la fin de la connexion | + | |
| - | + | ||
| - | La **Fenêtre** est codée sur 16 bits. La Fenêtre est une donnée liée au fonctionnement d' | + | |
| - | + | ||
| - | Le **Checksum** est une façon de calculer si le paquet est complet. | + | |
| - | + | ||
| - | Le **Padding** est un champ pouvant être rempli de valeurs nulles de façon à ce que la taille de l' | + | |
| - | + | ||
| - | ==== En-tête UDP ==== | + | |
| - | + | ||
| - | L' | + | |
| - | + | ||
| - | ^ 1er octet ^ 2ème octet ^ 3ème octet ^ 4 ème octet ^ | + | |
| - | | Port source | + | |
| - | | | + | |
| - | | Données | + | |
| - | + | ||
| - | L' | + | |
| - | + | ||
| - | ==== Fragmentation et Ré-encapsulation ==== | + | |
| - | + | ||
| - | La taille limite d'un paquet TCP, l' | + | |
| - | + | ||
| - | ==== Adressage ==== | + | |
| - | + | ||
| - | L' | + | |
| - | + | ||
| - | Les adresses IP sont divisées en 5 classes, de A à E. Les 4 octets des classes A à C sont divisés en deux, une partie qui s' | + | |
| - | + | ||
| - | ^ ^ 1er octet ^ 2ème octet ^ 3ème octet ^ 4 ème octet ^ | + | |
| - | | A | Net ID | + | |
| - | | B | Net ID || Host ID || | + | |
| - | | C | Net ID ||| Host ID | | + | |
| - | | D | | + | |
| - | | E | | + | |
| - | + | ||
| - | L' | + | |
| - | + | ||
| - | ^ Classe | + | |
| - | | A | 1 | 0 | 7 | 2< | + | |
| - | | B | 2 | 10 | 14 | 2< | + | |
| - | | C | 3 | 110 | 21 | 2< | + | |
| - | + | ||
| - | Le réseau 127. est réservé. Il s' | + | |
| - | + | ||
| - | Dans chaque classe, certaines adresses sont réservées pour un usage privé : | + | |
| - | + | ||
| - | ^ Classe | + | |
| - | | A | 10.0.0.0 | + | |
| - | | B | 172.16.0.0 | + | |
| - | | C | 192.168.0.0 | + | |
| - | + | ||
| - | Il existe des adresses particulières ne pouvant pas être utilisées pour identifier un hôte : | + | |
| - | + | ||
| - | ^ Adresse Particulière | + | |
| - | | 169.254.0.0 à 169.254.255.255 | + | |
| - | | Hôte du réseau courant | + | |
| - | | Adresse de réseau | + | |
| - | | Adresse de diffusion | + | |
| - | + | ||
| - | L' | + | |
| - | + | ||
| - | Afin de mieux comprendre l' | + | |
| - | + | ||
| - | ^ ^ 1er octet ^ 2ème octet ^ 3ème octet ^ 4 ème octet ^ | + | |
| - | ^ ^ Net ID ^^^ Host ID ^ | + | |
| - | | Adresse IP | | + | |
| - | | Binaire | + | |
| - | | Calcul de l' | + | |
| - | | Binaire | + | |
| - | | Adresse réseau | + | |
| - | | Calcul de l' | + | |
| - | | Binaire | + | |
| - | | Adresse de diffusion | | + | |
| - | + | ||
| - | ==== Masques de sous-réseaux ==== | + | |
| - | + | ||
| - | Tout comme l' | + | |
| - | + | ||
| - | ^ Classe | + | |
| - | | A | 255.0.0.0 | + | |
| - | | B | 255.255.0.0 | + | |
| - | | C | 255.255.255.0 | + | |
| - | + | ||
| - | Le terme **CIDR** veut dire **Classless %%InterDomain%% Routing**. Le terme Notation CIDR correspond au nombre de bits d'une valeur de 1 dans le masque de sous-réseau. | + | |
| - | + | ||
| - | Quand un hôte souhaite émettre il procède d' | + | |
| - | + | ||
| - | * 1 x 1 = 1 | + | |
| - | * 0 x 1 = 0 | + | |
| - | * 1 x 0 = 0 | + | |
| - | * 0 x 0 = 0 | + | |
| - | + | ||
| - | Prenons le cas de l' | + | |
| - | + | ||
| - | ^ ^ 1er octet ^ 2ème octet ^ 3ème octet ^ 4 ème octet ^ | + | |
| - | | Adresse IP | | + | |
| - | | Binaire | + | |
| - | | Masque de sous-réseau | + | |
| - | | Binaire | + | |
| - | | Calcul AND | | + | |
| - | | Adresse réseau | + | |
| - | + | ||
| - | + | ||
| - | Cet hôte essaie de communiquer avec un hôte ayant une adresse IP de 192.168.10.10. Il procède donc au même calcul en appliquant **son propre masque de sous-réseau** à l' | + | |
| - | + | ||
| - | ^ ^ 1er octet ^ 2ème octet ^ 3ème octet ^ 4 ème octet ^ | + | |
| - | | Adresse IP | | + | |
| - | | Binaire | + | |
| - | | Masque de sous-réseau | + | |
| - | | Binaire | + | |
| - | | Calcul AND | | + | |
| - | | Adresse réseau | + | |
| - | + | ||
| - | Puisque l' | + | |
| - | + | ||
| - | L' | + | |
| - | + | ||
| - | ^ ^ 1er octet ^ 2ème octet ^ 3ème octet ^ 4 ème octet ^ | + | |
| - | | Adresse IP | | + | |
| - | | Binaire | + | |
| - | | Masque de sous-réseau | + | |
| - | | Binaire | + | |
| - | | Calcul AND | | + | |
| - | | Adresse réseau | + | |
| - | + | ||
| - | Dans ce cas, l' | + | |
| - | + | ||
| - | ==== VLSM ==== | + | |
| - | + | ||
| - | Puisque le stock de réseaux disponibles sous IPv4 est presque épuisé, une solution a du être trouvée pour créer des sous-réseaux en attendant l' | + | |
| - | + | ||
| - | Son principe est simple. Afin de créer des réseaux différents à partir d'une adresse réseau d'une classe donnée, il convient de réduire le nombre d' | + | |
| - | + | ||
| - | Pour illustrer ceci, prenons l' | + | |
| - | + | ||
| - | Supposons que nous souhaiterions diviser notre réseau en 2 sous-réseaux. Pour coder 2 sous-réseaux, | + | |
| - | + | ||
| - | * 00 | + | |
| - | * 01 | + | |
| - | * 10 | + | |
| - | * 11 | + | |
| - | + | ||
| - | Les valeurs binaires du quatrième octet de nos adresses de sous-réseaux seront donc : | + | |
| - | + | ||
| - | * 192.168.1.00XXXXXX | + | |
| - | * 192.168.1.01XXXXXX | + | |
| - | * 192.168.1.10XXXXXX | + | |
| - | * 192.168.1.11XXXXXX | + | |
| - | + | ||
| - | où les XXXXXX représentent les bits que nous réservons pour décrire les hôtes dans chacun des sous-réseaux. | + | |
| - | + | ||
| - | Nous ne pouvons pas utiliser les deux sous-réseaux suivants : | + | |
| - | + | ||
| - | * 192.168.1.00XXXXXX | + | |
| - | * 192.168.1.11XXXXXX | + | |
| - | + | ||
| - | car ceux-ci correspondent aux débuts de l' | + | |
| - | + | ||
| - | Nous pouvons utiliser les deux sous-réseaux suivants : | + | |
| - | + | ||
| - | * 192.168.1.01XXXXXX | + | |
| - | * 192.168.1.10XXXXXX | + | |
| - | + | ||
| - | Pour le premier sous-réseau l' | + | |
| - | + | ||
| - | | Sous-réseau #1 | | + | |
| - | | Calcul de l' | + | |
| - | | Binaire | + | |
| - | | Adresse réseau | + | |
| - | | Calcul de l' | + | |
| - | | Binaire | + | |
| - | | Adresse de diffusion | | + | |
| - | + | ||
| - | * L' | + | |
| - | + | ||
| - | * Le masque de sous-réseau est donc le 11111111.11111111.11111111.11000000 ou le 255.255.255.192 | + | |
| - | + | ||
| - | * Nous pouvons avoir 2< | + | |
| - | + | ||
| - | * La plage valide d' | + | |
| - | + | ||
| - | Pour le deuxième sous-réseau l' | + | |
| - | + | ||
| - | | Sous-réseau #2 | | + | |
| - | | Calcul de l' | + | |
| - | | Binaire | + | |
| - | | Adresse réseau | + | |
| - | | Calcul de l' | + | |
| - | | Binaire | + | |
| - | | Adresse de diffusion | | + | |
| - | + | ||
| - | * L' | + | |
| - | + | ||
| - | * Le masque de sous-réseau est donc le 11111111.11111111.11111111.11000000 ou le 255.255.255.192 | + | |
| - | + | ||
| - | * Nous pouvons avoir 2< | + | |
| - | + | ||
| - | * La plage valide d' | + | |
| - | + | ||
| - | + | ||
| - | La valeur qui sépare les sous-réseaux est 64. Cette valeur comporte le nom **incrément**. | + | |
| - | + | ||
| - | ==== Ports et sockets ==== | + | |
| - | + | ||
| - | Afin que les données arrivent aux applications que les attendent, TCP utilise des numéros de ports sur la couche transport. Le numéros de ports sont divisés en trois groupes : | + | |
| - | + | ||
| - | * **Well Known Ports** | + | |
| - | * De 1 à 1023 | + | |
| - | * **Registered Ports** | + | |
| - | * De 1024 à 49151 | + | |
| - | * **Dynamic** et/ou **Private Ports** | + | |
| - | * De 49152 à 65535 | + | |
| - | + | ||
| - | Le couple **numéro IP:numéro de port** s' | + | |
| - | + | ||
| - | ==== / | + | |
| - | + | ||
| - | Les ports les plus utilisés sont détaillés dans le fichier **/ | + | |
| < | < | ||
| - | [root@centos7 ~]# more /etc/services | + | [root@centos7 ~]# vi /etc/systemd/system/foo.service |
| - | # /etc/services: | + | [root@centos7 ~]# cat /etc/systemd/system/foo.service |
| - | # $Id: services,v 1.55 2013/04/14 ovasik Exp $ | + | [Unit] |
| - | # | + | Description=The foo service |
| - | # Network services, Internet style | + | After=remote-fs.target nss-lookup.target |
| - | # IANA services version: last updated 2013-04-10 | + | |
| - | # | + | |
| - | # Note that it is presently the policy of IANA to assign a single well-known | + | |
| - | # port number for both TCP and UDP; hence, most entries here have two entries | + | |
| - | # even if the protocol doesn' | + | |
| - | # Updated from RFC 1700, ``Assigned Numbers'' | + | |
| - | # are included, only the more common ones. | + | |
| - | # | + | |
| - | # The latest IANA port assignments can be gotten from | + | |
| - | # http://www.iana.org/assignments/port-numbers | + | |
| - | # The Well Known Ports are those from 0 through 1023. | + | |
| - | # The Registered Ports are those from 1024 through 49151 | + | |
| - | # The Dynamic and/or Private Ports are those from 49152 through 65535 | + | |
| - | # | + | |
| - | # Each line describes one service, and is of the form: | + | |
| - | # | + | |
| - | # service-name port/ | + | |
| - | tcpmux | + | [Service] |
| - | tcpmux | + | ExecStart=/usr/bin/sha1sum |
| - | rje 5/tcp # Remote Job Entry | + | ExecStop=/bin/kill -WINCH ${MAINPID} |
| - | rje 5/udp # Remote Job Entry | + | |
| - | echo 7/tcp | + | |
| - | echo 7/udp | + | |
| - | discard | + | |
| - | discard | + | |
| - | systat | + | |
| - | systat | + | |
| - | daytime | + | |
| - | --More--(0%) | + | |
| - | </ | + | |
| - | Notez que les ports sont listés par deux : | + | [Install] |
| - | + | WantedBy=multi-user.target | |
| - | * le port TCP | + | |
| - | * le port UDP | + | |
| - | + | ||
| - | La liste la plus complète peut être consultée à l' | + | |
| - | + | ||
| - | Pour connaitre la liste des sockets ouverts sur l' | + | |
| - | + | ||
| - | < | + | |
| - | [root@centos7 ~]# netstat -an | more | + | |
| - | Active Internet connections (servers and established) | + | |
| - | Proto Recv-Q Send-Q Local Address | + | |
| - | tcp 0 0 0.0.0.0: | + | |
| - | tcp 0 0 127.0.0.1: | + | |
| - | tcp 0 0 127.0.0.1: | + | |
| - | tcp 0 0 127.0.0.1: | + | |
| - | tcp 0 0 127.0.0.1: | + | |
| - | tcp 0 0 127.0.0.1: | + | |
| - | tcp 0 0 127.0.0.1: | + | |
| - | tcp 0 0 10.0.2.15: | + | |
| - | tcp 0 0 127.0.0.1: | + | |
| - | tcp6 | + | |
| - | tcp6 | + | |
| - | udp 0 0 10.0.2.15: | + | |
| - | udp 0 0 0.0.0.0: | + | |
| - | udp 0 0 0.0.0.0: | + | |
| - | udp 0 0 127.0.0.1: | + | |
| - | udp 0 0 0.0.0.0: | + | |
| - | udp 0 0 0.0.0.0: | + | |
| - | udp 0 0 10.0.2.15: | + | |
| - | udp6 | + | |
| - | udp6 | + | |
| - | raw6 | + | |
| - | Active UNIX domain sockets (servers and established) | + | |
| - | Proto RefCnt Flags | + | |
| - | unix 2 [ ACC ] | + | |
| - | unix 2 [ ACC ] | + | |
| - | unix 2 [ ACC ] | + | |
| - | unix 2 [ ACC ] | + | |
| - | unix 2 [ ACC ] | + | |
| - | ocket | + | |
| - | unix 2 [ ACC ] | + | |
| - | unix 2 [ ACC ] | + | |
| - | --More-- | + | |
| </ | </ | ||
| - | Pour connaitre la liste des applications ayant ouvert un port sur l' | + | Consultez le statut du service foo : |
| < | < | ||
| - | [root@centos7 ~]# netstat -anp | more | + | [root@centos7 ~]# systemctl status foo.service |
| - | Active Internet connections (servers and established) | + | ● foo.service |
| - | Proto Recv-Q Send-Q Local Address | + | Loaded: loaded (/etc/systemd/system/foo.service; disabled; vendor preset: disabled) |
| - | tcp 0 0 0.0.0.0: | + | Active: inactive |
| - | tcp 0 0 127.0.0.1: | + | |
| - | tcp 0 0 127.0.0.1: | + | |
| - | tcp 0 0 127.0.0.1: | + | |
| - | tcp 0 0 127.0.0.1: | + | |
| - | tcp 0 0 127.0.0.1: | + | |
| - | tcp 0 0 127.0.0.1: | + | |
| - | tcp 0 0 10.0.2.15: | + | |
| - | tcp 0 1 10.0.2.15: | + | |
| - | tcp 0 0 127.0.0.1: | + | |
| - | tcp6 | + | |
| - | tcp6 | + | |
| - | udp 0 0 0.0.0.0: | + | |
| - | udp 0 0 0.0.0.0:5353 0.0.0.0: | + | |
| - | udp 0 0 127.0.0.1: | + | |
| - | udp 0 0 0.0.0.0: | + | |
| - | udp 0 0 0.0.0.0: | + | |
| - | udp 0 0 10.0.2.15:37244 | + | |
| - | udp6 | + | |
| - | udp6 | + | |
| - | raw6 | + | |
| - | Active UNIX domain sockets | + | |
| - | Proto RefCnt Flags | + | |
| - | unix 2 [ ACC ] | + | |
| - | unix 2 [ ACC ] | + | |
| - | unix 2 [ ACC ] | + | |
| - | unix 2 [ ACC ] | + | |
| - | unix 2 [ ACC ] | + | |
| - | unix 2 [ ACC ] | + | |
| - | unix 2 [ ACC ] | + | |
| - | unix 2 [ ACC ] | + | |
| - | --More-- | + | |
| </ | </ | ||
| - | ==== Résolution d' | + | Démarrez et actives le service |
| - | + | ||
| - | Chaque protocole peut être encapsulé dans une **trame** Ethernet. Lorsque la trame doit être transportée de l' | + | |
| - | + | ||
| - | Pour connaître l' | + | |
| < | < | ||
| - | [root@centos7 ~]# arp -a | + | [root@centos7 ~]# systemctl start foo.service |
| - | ? (10.0.2.3) at 52: | + | [root@centos7 ~]# systemctl enable foo.service |
| - | gateway (10.0.2.2) at 52:54:00:12:35:02 [ether] on enp0s3 | + | Created symlink from / |
| - | </code> | + | [root@centos7 ~]# systemctl status foo.service |
| + | ● foo.service - The foo service that does nothing useful | ||
| + | | ||
| + | | ||
| + | Main PID: 22256 (sha1sum) | ||
| + | | ||
| + | └─22256 / | ||
| - | ===Options de la commande=== | + | Jun 15 13:13:17 centos7.fenestros.loc systemd[1]: Started The foo service that does nothing useful. |
| - | + | Jun 15 13:13:17 centos7.fenestros.loc systemd[1]: Starting The foo service that does nothing useful... | |
| - | Les options de cette commande sont : | + | |
| - | + | ||
| - | < | + | |
| - | [root@centos7 ~]# arp --help | + | |
| - | Usage: | + | |
| - | arp [-vn] | + | |
| - | arp [-v] [-i <if>] -d < | + | |
| - | arp [-vnD] [< | + | |
| - | arp [-v] | + | |
| - | arp [-v] | + | |
| - | + | ||
| - | -a | + | |
| - | -e | + | |
| - | -s, --set set a new ARP entry | + | |
| - | -d, --delete | + | |
| - | -v, --verbose | + | |
| - | -n, --numeric | + | |
| - | -i, --device | + | |
| - | -D, --use-device | + | |
| - | -A, -p, --protocol | + | |
| - | -f, --file | + | |
| - | + | ||
| - | < | + | |
| - | List of possible hardware types (which support ARP): | + | |
| - | ash (Ash) ether (Ethernet) ax25 (AMPR AX.25) | + | |
| - | netrom (AMPR NET/ROM) rose (AMPR ROSE) arcnet (ARCnet) | + | |
| - | dlci (Frame Relay DLCI) fddi (Fiber Distributed Data Interface) hippi (HIPPI) | + | |
| - | irda (IrLAP) x25 (generic X.25) infiniband (InfiniBand) | + | |
| - | eui64 (Generic EUI-64) | + | |
| </ | </ | ||
| - | =====Annexe #3 - Comprendre le Chiffrement===== | + | Notez que notre service |
| - | + | ||
| - | ====Introduction à la cryptologie==== | + | |
| - | + | ||
| - | ===Définitions=== | + | |
| - | + | ||
| - | * **La Cryptologie** | + | |
| - | * La science qui étudie les aspects scientifiques de ces techniques, c' | + | |
| - | * **La Cryptanalyse** | + | |
| - | * Lorsque la clef de déchiffrement n'est pas connue de l' | + | |
| - | * **La Cryptographie** | + | |
| - | * Un terme générique désignant l' | + | |
| - | * **Le Décryptement ou Décryptage** | + | |
| - | * Est le fait d' | + | |
| - | + | ||
| - | {{ : | + | |
| - | + | ||
| - | ==La Cryptographie== | + | |
| - | + | ||
| - | La cryptographie apporte quatre points clefs: | + | |
| - | + | ||
| - | * La confidentialité | + | |
| - | * consiste à rendre l' | + | |
| - | * L' | + | |
| - | * consiste à déterminer si les données n'ont pas été altérées durant la communication (de manière fortuite ou intentionnelle). | + | |
| - | * L' | + | |
| - | * consiste à assurer l' | + | |
| - | * La non-répudiation | + | |
| - | * est la garantie qu' | + | |
| - | + | ||
| - | La cryptographie est basée sur l' | + | |
| - | + | ||
| - | * Procéder au chiffrement | + | |
| - | * Le résultat de cette modification (le message chiffré) est appelé cryptogramme (Ciphertext) par opposition au message initial, appelé message en clair (Plaintext) | + | |
| - | * Procéder au déchiffrement | + | |
| - | + | ||
| - | Le chiffrement se fait à l'aide d'une clef de chiffrement. Le déchiffrement nécessite | + | |
| - | + | ||
| - | On distingue deux types de clefs: | + | |
| - | + | ||
| - | * Les clés symétriques: | + | |
| - | * des clés utilisées pour le chiffrement ainsi que pour le déchiffrement. On parle alors de chiffrement symétrique ou de chiffrement à clé secrète. | + | |
| - | * Les clés asymétriques: | + | |
| - | * des clés utilisées dans le cas du chiffrement asymétrique (aussi appelé chiffrement à clé publique). Dans ce cas, une clé différente est utilisée pour le chiffrement et pour le déchiffrement. | + | |
| - | + | ||
| - | ==Le Chiffrement par Substitution== | + | |
| - | + | ||
| - | Le chiffrement par substitution consiste à remplacer dans un message une ou plusieurs entités (généralement des lettres) par une ou plusieurs autres entités. On distingue généralement plusieurs types de cryptosystèmes par substitution : | + | |
| - | + | ||
| - | * La substitution **monoalphabétique** | + | |
| - | * consiste à remplacer chaque lettre du message par une autre lettre de l' | + | |
| - | * La substitution **polyalphabétique** | + | |
| - | * consiste à utiliser une suite de chiffres monoalphabétique réutilisée périodiquement | + | |
| - | * La substitution **homophonique** | + | |
| - | * permet de faire correspondre à chaque lettre du message en clair un ensemble possible d' | + | |
| - | * La substitution de **polygrammes** | + | |
| - | * consiste à substituer un groupe de caractères (polygramme) dans le message par un autre groupe de caractères | + | |
| - | + | ||
| - | ====Algorithmes à clé secrète==== | + | |
| - | + | ||
| - | ===Le Chiffrement Symétrique=== | + | |
| - | + | ||
| - | Ce système est aussi appelé le système à **Clef Secrète** ou à **clef privée**. | + | |
| - | + | ||
| - | Ce système consiste à effectuer une opération de chiffrement par algorithme mais comporte un inconvénient, | + | |
| - | + | ||
| - | {{: | + | |
| - | + | ||
| - | <WRAP center round important> | + | |
| - | Le système de Méthode du Masque Jetable (One Time Pad) fût mis au point dans les années 1920. Il utilisait une clef générée aléatoirement à usage unique. | + | |
| - | </ | + | |
| - | + | ||
| - | Les algorithmes de chiffrement symétrique couramment utilisés en informatique sont: | + | |
| - | + | ||
| - | * **[[wpfr> | + | |
| - | * **[[wpfr> | + | |
| - | * **[[wpfr> | + | |
| - | * **[[wpfr> | + | |
| - | * **[[wpfr> | + | |
| - | * **[[wpfr> | + | |
| - | + | ||
| - | ====Algorithmes à clef publique==== | + | |
| - | + | ||
| - | ===Le Chiffrement Asymétrique=== | + | |
| - | + | ||
| - | Ce système est aussi appelé **Système à Clef Publique**. | + | |
| - | + | ||
| - | Ce système consiste à avoir deux clefs appelées des **bi-clefs**: | + | |
| - | + | ||
| - | * Une clef **publique** pour le chiffrement | + | |
| - | * Une clef **secrète** ou **privée** pour le déchiffrement | + | |
| - | + | ||
| - | {{: | + | |
| - | + | ||
| - | * L' | + | |
| - | * A partir de cette clef il génère plusieurs clefs publiques grâce à un algorithme. | + | |
| - | * L' | + | |
| - | + | ||
| - | Ce système est basé sur ce que l'on appelle une **fonction à trappe à sens unique** ou **one-way trap door**. | + | |
| - | + | ||
| - | Il existe toutefois un problème – s' | + | |
| - | + | ||
| - | Les algorithmes de chiffrement asymétrique couramment utilisés en informatique sont: | + | |
| - | + | ||
| - | * **[[wpfr> | + | |
| - | * **[[wpfr> | + | |
| - | + | ||
| - | ===La Clef de Session=== | + | |
| - | + | ||
| - | Ce système est un compromis entre le système symétrique et le système asymétrique. Il permet l' | + | |
| - | + | ||
| - | {{: | + | |
| - | + | ||
| - | Ce système fonctionne de la façon suivante : | + | |
| - | + | ||
| - | | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | + | ||
| - | ====Fonctions de Hachage==== | + | |
| - | + | ||
| - | La fonction de **hachage**, | + | |
| - | + | ||
| - | {{: | + | |
| - | + | ||
| - | Les deux algorithmes de hachage utilisés sont: | + | |
| - | + | ||
| - | * **[[wpfr> | + | |
| - | * **[[wpfr> | + | |
| - | + | ||
| - | Lors de son envoie, le message est accompagné de son haché et il est donc possible de garantir son intégrité: | + | |
| - | + | ||
| - | {{: | + | |
| - | + | ||
| - | * A la réception du message, le destinataire ou l’utilisateur B calcule le haché du message reçu et le compare avec le haché accompagnant le document. | + | |
| - | * Si le message ou le haché a été falsifié durant la communication, | + | |
| - | + | ||
| - | <WRAP center round important> | + | |
| - | Ce système permet de vérifier que l' | + | |
| - | </ | + | |
| - | + | ||
| - | ====Signature Numérique==== | + | |
| - | + | ||
| - | Pour garantir l' | + | |
| - | + | ||
| - | {{: | + | |
| - | + | ||
| - | * L’utilisateur A envoie le sceau au destinataire. | + | |
| - | * A la réception du message L’utilisateur B déchiffre le sceau avec la clé publique de l’utilisateur A. | + | |
| - | * Il compare le haché obtenu au haché reçu en pièce jointe. | + | |
| - | + | ||
| - | Ce mécanisme de création de sceau est appelé **scellement**. | + | |
| - | + | ||
| - | Ce mécanisme est identique au procédé utilisé par SSH lors d'une connexion | + | |
| - | + | ||
| - | ====Utilisation de GnuPG==== | + | |
| - | + | ||
| - | ===Présentation=== | + | |
| - | + | ||
| - | **GNU Privacy Guard** permet aux utilisateurs de transférer des messages chiffrés et/ou signés. | + | |
| - | + | ||
| - | ===Installation=== | + | |
| - | + | ||
| - | Sous RHEL/CentOS 7, le paquet gnupg est installé par défaut | + | |
| < | < | ||
| - | [root@centos7 ~]# whereis gpg | + | [root@centos7 ~]# systemctl show -p Slice foo.service |
| - | gpg: / | + | Slice=system.slice |
| </ | </ | ||
| - | ===Configuration=== | + | Utilisez ps pour voir le pourcentage du CPU utilisé par ce service |
| - | + | ||
| - | Pour initialiser %%GnuPG%%, saisissez la commande suivante | + | |
| < | < | ||
| - | [root@centos7 ~]# gpg | + | [root@centos7 ~]# ps -p 22256 -o pid, |
| - | gpg: directory `/ | + | PID COMMAND |
| - | gpg: new configuration file `/ | + | 22256 sha1sum |
| - | gpg: WARNING: options in `/ | + | |
| - | gpg: keyring `/ | + | |
| - | gpg: keyring `/ | + | |
| - | gpg: Go ahead and type your message ... | + | |
| - | ^C | + | |
| - | gpg: signal Interrupt caught ... exiting | + | |
| </ | </ | ||
| - | Pour générer les clefs, saisissez | + | Fixez maintenant |
| < | < | ||
| - | [root@centos7 ~]# gpg --gen-key | + | [root@centos7 ~]# systemctl set-property foo.service CPUShares=250 |
| - | gpg (GnuPG) 2.0.22; Copyright (C) 2013 Free Software Foundation, Inc. | + | |
| - | This is free software: you are free to change and redistribute it. | + | |
| - | There is NO WARRANTY, to the extent permitted by law. | + | |
| - | + | ||
| - | Please select what kind of key you want: | + | |
| - | (1) RSA and RSA (default) | + | |
| - | (2) DSA and Elgamal | + | |
| - | (3) DSA (sign only) | + | |
| - | (4) RSA (sign only) | + | |
| - | Your selection? 1 | + | |
| - | RSA keys may be between 1024 and 4096 bits long. | + | |
| - | What keysize do you want? (2048) | + | |
| - | Requested keysize is 2048 bits | + | |
| - | Please specify how long the key should be valid. | + | |
| - | | + | |
| - | < | + | |
| - | <n>w = key expires in n weeks | + | |
| - | <n>m = key expires in n months | + | |
| - | <n>y = key expires in n years | + | |
| - | Key is valid for? (0) | + | |
| - | Key does not expire at all | + | |
| - | Is this correct? (y/N) y | + | |
| - | + | ||
| - | GnuPG needs to construct a user ID to identify your key. | + | |
| - | + | ||
| - | Real name: I2TCH | + | |
| - | Email address: infos@i2tch.eu | + | |
| - | Comment: Test Key | + | |
| - | You selected this USER-ID: | + | |
| - | "I2TCH (Test Key) < | + | |
| - | + | ||
| - | Change (N)ame, (C)omment, (E)mail or (O)kay/ | + | |
| - | You need a Passphrase to protect your secret key. | + | |
| - | + | ||
| - | We need to generate a lot of random bytes. It is a good idea to perform | + | |
| - | some other action (type on the keyboard, move the mouse, utilize the | + | |
| - | disks) during the prime generation; this gives the random number | + | |
| - | generator a better chance to gain enough entropy. | + | |
| - | We need to generate a lot of random bytes. It is a good idea to perform | + | |
| - | some other action (type on the keyboard, move the mouse, utilize the | + | |
| - | disks) during the prime generation; this gives the random number | + | |
| - | generator a better chance to gain enough entropy. | + | |
| - | gpg: / | + | |
| - | gpg: key F6A5B400 marked as ultimately trusted | + | |
| - | public and secret key created and signed. | + | |
| - | + | ||
| - | gpg: checking the trustdb | + | |
| - | gpg: 3 marginal(s) needed, 1 complete(s) needed, PGP trust model | + | |
| - | gpg: depth: 0 valid: | + | |
| - | pub | + | |
| - | Key fingerprint = CA95 0CB9 859B 2F80 B8AF 8C07 5365 C618 F6A5 B400 | + | |
| - | uid I2TCH (Test Key) < | + | |
| - | sub | + | |
| </ | </ | ||
| - | La liste de clefs peut être visualisée avec la commande suivante | + | Cette limite est permenante et a été inscrite dans le fichier **50-CPUShares.conf** qui se trouve dans le répertoire **/ |
| < | < | ||
| - | [root@centos7 ~]# gpg --list-keys | + | [root@centos7 ~]# ls /etc/systemd/system/ |
| - | /root/.gnupg/pubring.gpg | + | 50-CPUShares.conf |
| - | ------------------------ | + | [root@centos7 ~]# cat /etc/ |
| - | pub 2048R/F6A5B400 2016-08-10 | + | [Service] |
| - | uid I2TCH (Test Key) < | + | CPUShares=250 |
| - | sub | + | |
| </ | </ | ||
| <WRAP center round important> | <WRAP center round important> | ||
| - | Pour importer la clef d'un correspondant dans sa trousse de clefs il convient d' | + | **Important** |
| - | + | ||
| - | # gpg --import | + | |
| </ | </ | ||
| - | Pour exporter sa clef publique, il convient d' | + | Appliquez cette modification en rechargeant systemd et en re-démarrant le service foo.service |
| < | < | ||
| - | [root@centos7 ~]# gpg --export --armor I2TCH > ~/I2TCH.asc | + | [root@centos7 ~]# systemctl daemon-reload |
| - | [root@centos7 ~]# cat I2TCH.asc | + | [root@centos7 ~]# systemctl restart foo.service |
| - | -----BEGIN PGP PUBLIC KEY BLOCK----- | + | |
| - | Version: GnuPG v2.0.22 (GNU/ | + | |
| - | + | ||
| - | mQENBFeqtJkBCACgQWXgjwnOMvsI1KDgyCRrg3MZmjcvU9SBh+lEEEWfqY7MKXjs | + | |
| - | PsXN/ | + | |
| - | LR9KcXdBoSORGXMIsRKMzfS6oyK3yi5jM65P6jpH6PnyaX1PvlgjASh7F8OGoU8y | + | |
| - | 46WW/ | + | |
| - | v3UzxXeRKxF/ | + | |
| - | T9bYfagX2LHVBanY/ | + | |
| - | eSkgPGluZm9zQGkydGNoLmV1PokBOQQTAQIAIwUCV6q0mQIbAwcLCQgHAwIBBhUI | + | |
| - | AgkKCwQWAgMBAh4BAheAAAoJEFNlxhj2pbQAYW8H/ | + | |
| - | vvVGdQhqc7UptgYyqCWfegngdBH+2ScB8kbM8QVGX8kJ+xT4SeiV/ | + | |
| - | sHBj5x77E5QVaU2Oz0cOlvg9cyGuQ5Y5sBN0MYEp7Q+mHpCTFhaCj8zwQ1/ | + | |
| - | Qk/ | + | |
| - | b0bG4p4mEmnhzZcfJ3runLJlCNrMRrWvBkkkGK/ | + | |
| - | hP/ | + | |
| - | AQ0EV6q0mQEIAOSMChRKnaZgOLzh0FN7jCJT8z8xqj1Qze8F4Vz6nS+X0Rk38lQt | + | |
| - | ICRSMJFm6CzyPbQamAAIPshT256brXF0jPp9vpirJn/ | + | |
| - | fE+/ | + | |
| - | QbyrGjZYm0q2c9zb9QSbzxg/ | + | |
| - | dpgAYycgennv7Ik8+CIOjgb+Gl5AewLYCMFKCx/ | + | |
| - | glXAr6ddQRhk6L482R3qkWTlQHx62KAr7BMAEQEAAYkBHwQYAQIACQUCV6q0mQIb | + | |
| - | DAAKCRBTZcYY9qW0AF60B/ | + | |
| - | EuCi+EB6wyQ3dGSgQ9BUrO2KbF0OtjYxak3FWrFkmoFucvraxC2xQZuoqN+Qtydf | + | |
| - | utmC6V4dCOsp3NWkuCBlUN4axI+m2M2tgTn06iDDkW0ZTISxMqapHjzIi43ufJrD | + | |
| - | 1RBPjl8BBvxSqcceZsybqNre8u9xka2fXW8xMTJr14xeYITd/ | + | |
| - | hR6B8Nji4yDplTZJtz8yJ+vOlg4p7TBN6O/ | + | |
| - | VjdGSFRo2huGFd2KNCleilRVI3xcnrR9S7ziRJu9KG9H | + | |
| - | =9R5l | + | |
| - | -----END PGP PUBLIC KEY BLOCK----- | + | |
| </ | </ | ||
| - | Cette clef peut ensuite être jointe à des messages électroniques ou bien déposée sur un serveur de clefs tel http:// | + | Vérifiez |
| - | + | ||
| - | ===Signer un message=== | + | |
| - | + | ||
| - | Créez | + | |
| < | < | ||
| - | [root@centos7 ~]# vi ~/message.txt | + | [root@centos7 ~]# cat /sys/ |
| - | [root@centos7 ~]# cat ~/message.txt | + | 250 |
| - | This is a test message for gpg | + | [root@centos7 ~]# systemctl show -p MainPID foo.service |
| + | MainPID=27233 | ||
| + | [root@centos7 | ||
| + | 4: | ||
| + | 1: | ||
| </ | </ | ||
| - | Pour signer ce message en format binaire, il convient d' | + | Créez maintenant le service **bar** |
| < | < | ||
| - | [root@centos7 ~]# gpg --default-key I2TCH --detach-sign message.txt | + | [root@centos7 ~]# vi / |
| + | [root@centos7 ~]# cat / | ||
| + | [Unit] | ||
| + | Description=The bar service that does nothing useful | ||
| + | After=remote-fs.target nss-lookup.target | ||
| - | You need a passphrase to unlock the secret key for | + | [Service] |
| - | user: "I2TCH (Test Key) < | + | ExecStart=/ |
| - | 2048-bit RSA key, ID F6A5B400, created 2016-08-10 | + | ExecStop=/ |
| - | [root@centos7 ~]# ls -l | grep message | + | [Install] |
| - | -rw-r--r--. 1 root root 31 Aug 10 07:14 message.txt | + | WantedBy=multi-user.target |
| - | -rw-r--r--. 1 root root 287 Aug 10 07:16 message.txt.sig | + | |
| - | + | ||
| - | [root@centos7 ~]# cat message.txt.sig | + | |
| - | � W��� | + | |
| - | Se����, | + | |
| - | ��2�; | + | |
| </ | </ | ||
| - | Pour signer ce message en format ascii, il convient d' | + | Fixez maintenant |
| < | < | ||
| - | [root@centos7 ~]# gpg --default-key I2TCH --armor --detach-sign message.txt | + | [root@centos7 ~]# systemctl set-property bar.service CPUShares=2000 |
| - | + | Failed | |
| - | You need a passphrase | + | [root@centos7 ~]# systemctl start bar.service |
| - | user: "I2TCH (Test Key) < | + | [root@centos7 ~]# systemctl enable bar.service |
| - | 2048-bit RSA key, ID F6A5B400, created 2016-08-10 | + | Created symlink from /etc/systemd/system/multi-user.target.wants/bar.service to /etc/systemd/system/bar.service. |
| - | + | [root@centos7 ~]# systemctl set-property bar.service CPUShares=2000 | |
| - | [root@centos7 ~]# ls -l | grep message | + | |
| - | -rw-r--r--. 1 root root 31 Aug 10 07:14 message.txt | + | |
| - | -rw-r--r--. 1 root root 490 Aug 10 07:17 message.txt.asc | + | |
| - | -rw-r--r--. 1 root root 287 Aug 10 07:16 message.txt.sig | + | |
| - | + | ||
| - | [root@centos7 ~]# cat message.txt.asc | + | |
| - | -----BEGIN PGP SIGNATURE----- | + | |
| - | Version: GnuPG v2.0.22 (GNU/Linux) | + | |
| - | + | ||
| - | iQEcBAABAgAGBQJXqrkDAAoJEFNlxhj2pbQATwoH/0oAm1YkXH3cfnlZef+qAc3X | + | |
| - | AfFZz8lfwSlrBYwgDA/vd98tJNLv8VxYLRu02JcRBHqjV/LYqfCACoLKyYWCUzT/ | + | |
| - | NZiOPZDVaEpOx1vLIbmBxGclfFtbvSiZj/eBrReE2tAnnTBSTPLH58kPAMEmVgM6 | + | |
| - | Io8BPSnZvOlNhYQrPsGd046SLPRu8hTozwtB47Do6B6RazzpGLG7zOD1JZP56eD7 | + | |
| - | oo3+1HxYdv4arVgjb/bfyCNtvyPyQm+sTZPYL3vfAjkHfBQAaoAVSPRKRLgUMPD0 | + | |
| - | xrlhOU0PhK1+0pF8nVf/jt+SgCiGU8Jg1zEKCqSBuIT2Acs/kZIMo75Qo9zE2C4= | + | |
| - | =rO70 | + | |
| - | -----END PGP SIGNATURE----- | + | |
| </ | </ | ||
| - | Pour vérifier | + | Appliquez |
| < | < | ||
| - | [root@centos7 ~]# gpg --verify message.txt.asc | + | [root@centos7 ~]# systemctl daemon-reload |
| - | gpg: Signature made Wed 10 Aug 2016 07:43:49 CEST using RSA key ID F6A5B400 | + | [root@centos7 ~]# systemctl restart bar.service |
| - | gpg: Good signature from " | + | [root@centos7 ~]# systemctl status bar.service |
| - | </code> | + | ● bar.service |
| + | | ||
| + | Drop-In: / | ||
| + | | ||
| + | Active: active (running) since Wed 2016-06-15 13:37:54 CEST; 9s ago | ||
| + | Main PID: 29515 (md5sum) | ||
| + | | ||
| + | └─29515 / | ||
| - | <WRAP center round important> | + | Jun 15 13:37:54 centos7.fenestros.loc systemd[1]: Started The bar service that does nothing useful. |
| - | Pour vérifier la signature d'un message signé en mode ascii et produit en dehors du message lui-même, il convient d' | + | Jun 15 13:37:54 centos7.fenestros.loc systemd[1]: Starting The bar service that does nothing useful... |
| - | + | ||
| - | # gpg --verify message.txt.asc message.txt | + | |
| - | </ | + | |
| - | + | ||
| - | Pour signer ce message **dans le message lui-même** en format ascii, il convient d' | + | |
| - | + | ||
| - | < | + | |
| - | [root@centos7 | + | |
| - | + | ||
| - | You need a passphrase to unlock the secret key for | + | |
| - | user: "I2TCH (Test Key) < | + | |
| - | 2048-bit RSA key, ID F6A5B400, created 2016-08-10 | + | |
| - | + | ||
| - | File `message.txt.asc' | + | |
| - | + | ||
| - | [root@centos7 ~]# ls -l | grep message | + | |
| - | -rw-r--r--. 1 root root 31 Aug 10 07:14 message.txt | + | |
| - | -rw-r--r--. 1 root root 568 Aug 10 07:43 message.txt.asc | + | |
| - | -rw-r--r--. 1 root root 287 Aug 10 07:16 message.txt.sig | + | |
| - | + | ||
| - | [root@centos7 ~]# cat message.txt.asc | + | |
| - | -----BEGIN PGP SIGNED MESSAGE----- | + | |
| - | Hash: SHA1 | + | |
| - | + | ||
| - | This is a test message for gpg | + | |
| - | -----BEGIN PGP SIGNATURE----- | + | |
| - | Version: GnuPG v2.0.22 (GNU/ | + | |
| - | + | ||
| - | iQEcBAEBAgAGBQJXqr8VAAoJEFNlxhj2pbQAQ3cH+wemHfA6SoMOakxzno0iJ5ry | + | |
| - | yROrwTm2clnEbN2zJ7rWzwRT6YtPU4mFgDyjL6G7TzOU5o9AI1dfm2iZ3kdJKmgQ | + | |
| - | ug1F9SfhtGjltnPB46keYnzthaHNzwLwNJtv2pgxcfhO9gbFWH4FCjMRAGm9S4Hl | + | |
| - | okF/ | + | |
| - | 8Z4wPBKy3AlcQlZdW9rScbyHjAeyQ/ | + | |
| - | YHV7kmFU3X/ | + | |
| - | =JTVm | + | |
| - | -----END PGP SIGNATURE----- | + | |
| </ | </ | ||
| - | ===Chiffrer un message=== | + | Re-démarrer les services foo et bar : |
| - | + | ||
| - | Pour chiffrer un message, il faut disposer de la clef publique du destinataire du message. Ce dernier utilisera ensuite sa clef privée pour déchiffrer le message. Il convient de préciser le destinataire du message, ou plus précisément la clef publique à utiliser, lors d'un chiffrement : | + | |
| - | + | ||
| - | gpg --recipient < | + | |
| - | + | ||
| - | * //< | + | |
| - | * //< | + | |
| - | + | ||
| - | Par exemple pour chiffrer un message en mode binaire, il convient de saisir la commande suivante | + | |
| < | < | ||
| - | [root@centos7 ~]# gpg --recipient I2TCH --encrypt message.txt | + | [root@centos7 ~]# systemctl restart foo.service |
| + | [root@centos7 ~]# systemctl status foo.service | ||
| + | ● foo.service | ||
| + | | ||
| + | Drop-In: / | ||
| + | | ||
| + | | ||
| + | Main PID: 652 (sha1sum) | ||
| + | | ||
| + | | ||
| - | [root@centos7 ~]# ls -l | grep message | + | Jun 15 13:50:08 centos7.fenestros.loc systemd[1]: Started The foo service that does nothing useful. |
| - | -rw-r--r--. 1 root | + | Jun 15 13:50:08 centos7.fenestros.loc systemd[1]: Starting The foo service that does nothing useful... |
| - | -rw-r--r--. 1 root root 568 Aug 10 07:43 message.txt.asc | + | [root@centos7 ~]# systemctl restart bar.service |
| - | -rw-r--r--. 1 root root 368 Aug 10 07:47 message.txt.gpg | + | [root@centos7 ~]# systemctl status bar.service |
| - | -rw-r--r--. 1 root root 287 Aug 10 07:16 message.txt.sig | + | ● bar.service - The bar service that does nothing useful |
| + | | ||
| + | Drop-In: / | ||
| + | └─50-CPUShares.conf | ||
| + | | ||
| + | Main PID: 810 (md5sum) | ||
| + | | ||
| + | | ||
| - | [root@centos7 | + | Jun 15 13: |
| - | � | + | Jun 15 13:50:38 centos7.fenestros.loc systemd[1]: Starting The bar service that does nothing useful... |
| - | �q3p ����? | + | |
| - | ���X��VL��_~7���_*�u���BD��R��҃E�%��!�j����X�$��aԼ�F0[�)\N܂��$& | + | |
| </ | </ | ||
| - | Et pour chiffrer un message en mode ascii, il convient de saisir la commande suivante | + | Utilisez ps pour voir le pourcentage du CPU utilisé par les deux services |
| < | < | ||
| - | [root@centos7 ~]# gpg --recipient I2TCH --armor --encrypt message.txt | + | [root@centos7 ~]# ps -p 652, |
| - | File `message.txt.asc' | + | PID COMMAND |
| - | + | 652 sha1sum | |
| - | [root@centos7 ~]# ls -l | grep message | + | 810 md5sum |
| - | -rw-r--r--. 1 root root 31 Aug 10 07:14 message.txt | + | |
| - | -rw-r--r--. 1 root root | + | |
| - | -rw-r--r--. 1 root root 368 Aug 10 07:47 message.txt.gpg | + | |
| - | -rw-r--r--. 1 root root 287 Aug 10 07:16 message.txt.sig | + | |
| - | + | ||
| - | [root@centos7 ~]# cat message.txt.asc | + | |
| - | -----BEGIN PGP MESSAGE----- | + | |
| - | Version: GnuPG v2.0.22 (GNU/ | + | |
| - | + | ||
| - | hQEMA8ZxMwBwDxzVAQf/ | + | |
| - | vzKPBj7IJHANmW5t9Is+zq1fjdmNVBl7rDw9fLEHGXVARhWlyhMUPHdw2XPSE+VT | + | |
| - | 0Vzg89w/ | + | |
| - | BHr8aslUp06VEOC7dy9gXy7o0Q5Ycb94uM7wC/ | + | |
| - | qdiIw0oCdhxNcirjSer3ZzHmqeSeQp6Sl424WuV1VZLnQXvmm084h3Z73kfBbeQc | + | |
| - | BJfGqDWIv0pNb/ | + | |
| - | p3h4HgfllK85X+WCQBcTgVaY7t0FHEkfQTrF3oYJI5kkRRnBvHKsKSN1fltKauBc | + | |
| - | tmT2G6lZTHO+YRUItKjlAti21hVuRw1gUierqy97Rg== | + | |
| - | =NeW+ | + | |
| - | -----END PGP MESSAGE----- | + | |
| </ | </ | ||
| - | Pour décrypter un message il convient d' | + | ----- |
| - | < | + | Copyright © 2023 Hugh Norris. |
| - | [root@centos7 ~]# gpg --decrypt message.txt.asc | + | |
| - | + | ||
| - | You need a passphrase to unlock the secret key for | + | |
| - | user: "I2TCH (Test Key) < | + | |
| - | 2048-bit RSA key, ID 700F1CD5, created 2016-08-10 (main key ID F6A5B400) | + | |
| - | + | ||
| - | gpg: encrypted with 2048-bit RSA key, ID 700F1CD5, created 2016-08-10 | + | |
| - | "I2TCH (Test Key) < | + | |
| - | This is a test message for gpg | + | |
| - | </ | + | |
| - | + | ||
| - | ====PKI==== | + | |
| - | + | ||
| - | On appelle **[[wpfr> | + | |
| - | + | ||
| - | Les cryptosystèmes à clés publiques permettent de s' | + | |
| - | + | ||
| - | * La clé publique est bien celle de son propriétaire ; | + | |
| - | * Le propriétaire de la clé est digne de confiance ; | + | |
| - | * La clé est toujours valide. | + | |
| - | + | ||
| - | Ainsi, il est nécessaire d' | + | |
| - | + | ||
| - | Le tiers de confiance est une entité appelée communément autorité de certification (ou en anglais Certification authority, abrégé CA) chargée d' | + | |
| - | + | ||
| - | Pour ce faire, l' | + | |
| - | + | ||
| - | Le rôle de l' | + | |
| - | + | ||
| - | * enregistrer des demandes de clés en vérifiant l' | + | |
| - | * générer les paires de clés (clé privée / clé publique) ; | + | |
| - | * garantir la confidentialité des clés privées correspondant aux clés publiques ; | + | |
| - | * certifier l' | + | |
| - | * révoquer des clés (en cas de perte par son propriétaire, | + | |
| - | + | ||
| - | Une infrastructure à clé publique est en règle générale composée de trois entités distinctes : | + | |
| - | + | ||
| - | * L' | + | |
| - | * L' | + | |
| - | * L' | + | |
| - | + | ||
| - | ===Certificats X509=== | + | |
| - | + | ||
| - | Pour palier aux problèmes liés à des clefs publiques piratées, un système de certificats a été mis en place. | + | |
| - | + | ||
| - | Le certificat permet d’associer la clef publique à une entité ou une personne. Les certificats sont délivrés par des Organismes de Certification. | + | |
| - | + | ||
| - | Les certificats sont des fichiers divisés en deux parties : | + | |
| - | + | ||
| - | * La partie contenant les informations | + | |
| - | * La partie contenant la signature de l' | + | |
| - | + | ||
| - | La structure des certificats est normalisée par le standard **[[wpfr> | + | |
| - | + | ||
| - | Elle contient : | + | |
| - | + | ||
| - | * Le nom de l' | + | |
| - | * Le nom du propriétaire du certificat | + | |
| - | * La date de validité du certificat | + | |
| - | * L' | + | |
| - | * La clé publique du propriétaire | + | |
| - | + | ||
| - | Le Certificat est signé par l' | + | |
| - | + | ||
| - | {{: | + | |
| - | + | ||
| - | La vérification se passe ainsi: | + | |
| - | + | ||
| - | {{: | + | |
| - | + | ||
| - | ----- | + | |
| - | < | + | |
| - | <div align=" | + | |
| - | Copyright © 2020 Hugh Norris. | + | |
| - | </ | + | |
