Différences
Ci-dessous, les différences entre deux révisions de la page.
| Les deux révisions précédentesRévision précédenteProchaine révision | Révision précédente | ||
| elearning:workbooks:debian:6:avance:l106 [2020/03/01 08:24] – créée admin | elearning:workbooks:debian:6:avance:l106 [2020/08/07 17:20] (Version actuelle) – admin | ||
|---|---|---|---|
| Ligne 3: | Ligne 3: | ||
| Dernière mise-à-jour : ~~LASTMOD~~ | Dernière mise-à-jour : ~~LASTMOD~~ | ||
| - | ======LDF303 | + | ======LDF306 |
| - | =====X Window System===== | + | =====Contenu du Module===== |
| - | L'architecture graphique | + | * **LDF306 - Gestion du Réseau** |
| + | * Contenu du Module | ||
| + | * Configuration du Réseau sous Debian 6 | ||
| + | * Configuration de TCP/IP | ||
| + | * / | ||
| + | * DHCP | ||
| + | * IP Fixe | ||
| + | * La Commande hostname | ||
| + | * La Commande ifconfig | ||
| + | * Activer/ | ||
| + | * / | ||
| + | * Résolution d' | ||
| + | * / | ||
| + | * / | ||
| + | * / | ||
| + | * Configuration du Réseau sous Debian 9 | ||
| + | * La Commande nmcli | ||
| + | * Connections et Profils | ||
| + | * Ajouter une Deuxième Adresse IP à un Profil | ||
| + | * La Commande hostname | ||
| + | * La Commande ip | ||
| + | * Activer/ | ||
| + | * Services réseaux | ||
| + | * xinetd | ||
| + | * TCP Wrapper | ||
| + | * Diagnostique du Réseau | ||
| + | * ping | ||
| + | * netstat -i | ||
| + | * traceroute | ||
| + | * Connexions à Distance | ||
| + | * Telnet | ||
| + | * wget | ||
| + | * ftp | ||
| + | * SSH | ||
| + | * Introduction | ||
| + | * SSH-1 | ||
| + | * SSH-2 | ||
| + | * L'authentification par mot de passe | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | * Présentation des Réseaux | ||
| + | * Classification des Réseaux | ||
| + | * Classification par Mode de Transmission | ||
| + | * Classification par Topologie | ||
| + | * La Topologie Physique | ||
| + | * La Topologie en Ligne | ||
| + | * La Topologie en Bus | ||
| + | * La Topologie en Étoile | ||
| + | * La Topologie en Anneau | ||
| + | * La Topologie en Arbre | ||
| + | * La Topologie Maillée | ||
| + | * Classification par Étendue | ||
| + | * Les Types de LAN | ||
| + | * Réseau à Serveur Dédié | ||
| + | * Réseau Poste-à-Poste | ||
| + | * Le Modèle Client/Serveur | ||
| + | * Modèles de Communication | ||
| + | * Le modèle OSI | ||
| + | * Les Couches | ||
| + | * Les Protocoles | ||
| + | * Les Interfaces | ||
| + | * Protocol Data Units | ||
| + | * Encapsulation et Désencapsulation | ||
| + | * Spécification NDIS et le Modèle ODI | ||
| + | * Le modèle TCP/IP | ||
| + | * Les Raccordements | ||
| + | * Les Modes de Transmission | ||
| + | * Les Câbles | ||
| + | * Le Câble Coaxial | ||
| + | * Le Câble Paire Torsadée | ||
| + | * Catégories de Blindage | ||
| + | * La Prise RJ45 | ||
| + | * Channel Link et Basic Link | ||
| + | * La Fibre Optique | ||
| + | * Les Réseaux sans Fils | ||
| + | * Le Courant Porteur en Ligne | ||
| + | * Technologies | ||
| + | * Ethernet | ||
| + | * Token-Ring | ||
| + | * Périphériques Réseaux Spéciaux | ||
| + | * Les Concentrateurs | ||
| + | * Les Répéteurs | ||
| + | * Les Ponts | ||
| + | * Le Pont de Base | ||
| + | * Le Pont en Cascade | ||
| + | * Le Pont en Dorsale | ||
| + | * Les Commutateurs | ||
| + | * Les Routeurs | ||
| + | * Les Passerelles | ||
| + | * Annexe #2 - Comprendre TCP Version 4 | ||
| + | * En-tête TCP | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | * VLSM | ||
| + | * Ports et sockets | ||
| + | * / | ||
| + | * Résolution d' | ||
| + | * Annexe #3 - Comprendre le Chiffrement | ||
| + | * Introduction à la cryptologie | ||
| + | * Définitions | ||
| + | * La Cryptographie | ||
| + | * Le Chiffrement par Substitution | ||
| + | * Algorithmes à clé secrète | ||
| + | * Le Chiffrement Symétrique | ||
| + | * Algorithmes à clef publique | ||
| + | * Le Chiffrement Asymétrique | ||
| + | * La Clef de Session | ||
| + | * Fonctions de Hachage | ||
| + | * Signature Numérique | ||
| + | * LAB #1 - Utilisation de GnuPG | ||
| + | * Présentation | ||
| + | * Installation | ||
| + | * Configuration | ||
| + | * Signer un message | ||
| + | * Chiffrer un message | ||
| + | * PKI | ||
| + | * Certificats X509 | ||
| - | * Fenêtres, | + | =====Configuration |
| - | * Boutons, | + | |
| - | * Menus, | + | |
| - | * Curseur | + | |
| - | * etc. | + | |
| - | **X** est une application client/ | + | La configuration TCP/IP se trouve dans le fichier |
| - | Il existe trois versions de X : | + | ===DHCP=== |
| - | * **[[http://www.xfree86.org|XFree86]]**, | + | ==== / |
| - | * un logiciel libre utilisé par la majorité | + | |
| - | * **[[http://www.x.org/wiki/|X.orgX11]]**, | + | < |
| - | * un logiciel libre utilisé depuis les modifications | + | root@debian6: |
| - | * **[[http:// | + | # This file describes the network interfaces available on your system |
| - | * un logiciel commercial édité | + | # and how to activate them. For more information, |
| + | |||
| + | # The loopback network interface | ||
| + | auto lo | ||
| + | iface lo inet loopback | ||
| + | |||
| + | # The primary network interface | ||
| + | allow-hotplug eth0 | ||
| + | # | ||
| + | </ | ||
| + | |||
| + | Dans ce fichier chaque déclaration est de la forme suivante : | ||
| + | |||
| + | < | ||
| + | interface | ||
| + | </ | ||
| + | |||
| + | On peut constater donc dans notre exemple ci-dessus : | ||
| + | |||
| + | | ||
| + | * une déclaration pour l' | ||
| + | |||
| + | ===IP Fixe=== | ||
| + | |||
| + | Dans le cas où l' | ||
| + | |||
| + | < | ||
| + | auto eth0 | ||
| + | iface eth0 inet static | ||
| + | address 10.0.2.15 | ||
| + | netmask 255.255.255.0 | ||
| + | broadcast 10.0.2.255 | ||
| + | network 10.0.2.0 | ||
| + | gateway 10.0.2.2 | ||
| + | </ | ||
| + | |||
| + | Dans ce fichier vous pouvez constater les directives suivantes : | ||
| + | |||
| + | ^ Directive ^ Description ^ | ||
| + | | address | Indique l' | ||
| + | | netmask | Indique le masque de sous-réseau IPv4 | | ||
| + | | broadcast | Indique l' | ||
| + | | network | Indique l' | ||
| + | | gateway | Indique l' | ||
| + | |||
| + | <WRAP center round important> | ||
| + | Notez que %%VirtualBox%% fournit une passerelle par défaut ( 10.0.2.2 ). | ||
| + | </ | ||
| + | |||
| + | Après avoir modifier le fichier **/ | ||
| + | |||
| + | < | ||
| + | root@debian6: | ||
| + | Stopping network connection manager: NetworkManager. | ||
| + | root@debian6: | ||
| + | update-rc.d: | ||
| + | root@debian6: | ||
| + | root@debian6: | ||
| + | Configuring network interfaces...done. | ||
| + | </ | ||
| + | |||
| + | <WRAP center round important> | ||
| + | Si le service networking réfuse de démarrer en produisant une erreur, le problème vient certainement du fait que votre interface réseau a été configurée par **udev** en **eth1**. La solution la plus simple est d' | ||
| + | </ | ||
| + | |||
| + | ====La Commande hostname==== | ||
| + | |||
| + | Le nom de la machine se trouve dans le fichier **/ | ||
| + | |||
| + | < | ||
| + | root@debian6: | ||
| + | debian6 | ||
| + | </ | ||
| + | |||
| + | Ce nom doit être un FQDN (//Fully Qualified Domain Name//). Modifiez donc ce fichier ainsi : | ||
| + | |||
| + | < | ||
| + | root@debian6: | ||
| + | debian6.fenestros.loc | ||
| + | </ | ||
| + | |||
| + | Afin d' | ||
| + | |||
| + | < | ||
| + | root@debian6: | ||
| + | debian6 | ||
| + | root@debian6: | ||
| + | root@debian6: | ||
| + | debian6.fenestros.loc | ||
| + | </ | ||
| + | |||
| + | Pour afficher le FQDN du système vous pouvez également utiliser la commande suivante : | ||
| + | |||
| + | < | ||
| + | root@debian6: | ||
| + | debian6.fenestros.loc | ||
| + | </ | ||
| + | |||
| + | ===Options de la commande hostname=== | ||
| + | |||
| + | Les options de cette commande sont : | ||
| + | |||
| + | < | ||
| + | root@debian6: | ||
| + | Usage: hostname | ||
| + | | ||
| + | | ||
| + | |||
| + | | ||
| + | | ||
| + | |||
| + | | ||
| + | |||
| + | | ||
| + | |||
| + | Program name: | ||
| + | | ||
| + | | ||
| + | |||
| + | Program options: | ||
| + | -s, --short | ||
| + | -a, --alias | ||
| + | -i, --ip-address | ||
| + | -I, --all-ip-addresses all addresses for the host | ||
| + | -f, --fqdn, --long | ||
| + | -A, --all-fqdns | ||
| + | -d, --domain | ||
| + | -y, --yp, --nis NIS/YP domain name | ||
| + | -b, --boot | ||
| + | -F, --file | ||
| + | |||
| + | Description: | ||
| + | This command can get or set the host name or the NIS domain name. You can | ||
| + | also get the DNS domain or the FQDN (fully qualified domain name). | ||
| + | | ||
| + | FQDN (Fully Qualified Domain Name) and the DNS domain name (which is | ||
| + | part of the FQDN) in the /etc/hosts file. | ||
| + | </ | ||
| + | |||
| + | ====La Commande ifconfig==== | ||
| + | |||
| + | Pour afficher la configuration IP de la machine il faut saisir la commande suivante : | ||
| + | |||
| + | < | ||
| + | root@debian6: | ||
| + | eth0 Link encap: | ||
| + | inet adr: | ||
| + | adr inet6: fe80:: | ||
| + | UP BROADCAST RUNNING MULTICAST | ||
| + | RX packets:990 errors:0 dropped:0 overruns:0 frame:0 | ||
| + | TX packets:580 errors:0 dropped:0 overruns:0 carrier:0 | ||
| + | collisions: | ||
| + | RX bytes: | ||
| + | |||
| + | lo Link encap: | ||
| + | inet adr: | ||
| + | adr inet6: ::1/128 Scope: | ||
| + | UP LOOPBACK RUNNING | ||
| + | RX packets:8 errors:0 dropped:0 overruns:0 frame:0 | ||
| + | TX packets:8 errors:0 dropped:0 overruns:0 carrier:0 | ||
| + | collisions: | ||
| + | RX bytes:560 (560.0 B) TX bytes:560 (560.0 B) | ||
| + | </ | ||
| + | |||
| + | La commande ifconfig est également utilisée pour configurer une interface. | ||
| + | |||
| + | Créez maintenant une interface fictive ainsi : | ||
| + | |||
| + | < | ||
| + | root@debian6: | ||
| + | </ | ||
| + | |||
| + | Constatez maintenant le résultat : | ||
| + | |||
| + | < | ||
| + | root@debian: | ||
| + | eth0 Link encap: | ||
| + | inet adr: | ||
| + | adr inet6: fe80:: | ||
| + | UP BROADCAST RUNNING MULTICAST | ||
| + | RX packets: | ||
| + | TX packets:611 errors:0 dropped:0 overruns:0 carrier:0 | ||
| + | collisions: | ||
| + | RX bytes: | ||
| + | |||
| + | eth0: | ||
| + | inet adr: | ||
| + | UP BROADCAST RUNNING MULTICAST | ||
| + | |||
| + | lo Link encap: | ||
| + | inet adr: | ||
| + | adr inet6: ::1/128 Scope: | ||
| + | UP LOOPBACK RUNNING | ||
| + | RX packets:8 errors:0 dropped:0 overruns:0 frame:0 | ||
| + | TX packets:8 errors:0 dropped:0 overruns:0 carrier:0 | ||
| + | collisions: | ||
| + | RX bytes:560 (560.0 B) TX bytes:560 (560.0 B) | ||
| + | </ | ||
| + | |||
| + | ===Options de la commande ifconfig=== | ||
| + | |||
| + | Les options de cette commande sont : | ||
| + | |||
| + | < | ||
| + | root@debian: | ||
| + | Usage: | ||
| + | ifconfig [-a] [-v] [-s] < | ||
| + | [add < | ||
| + | [del < | ||
| + | [[-]broadcast [< | ||
| + | [netmask < | ||
| + | [outfill <NN>] [keepalive < | ||
| + | [hw <HW> < | ||
| + | [[-]trailers] | ||
| + | [multicast] | ||
| + | [mem_start < | ||
| + | [txqueuelen < | ||
| + | [[-]dynamic] | ||
| + | [up|down] ... | ||
| + | |||
| + | < | ||
| + | Liste des types de matériels possibles: | ||
| + | loop (Boucle locale) slip (IP ligne série) cslip (IP ligne série - VJ ) | ||
| + | slip6 (IP ligne série - 6 bits) cslip6 (IP ligne série - 6 bits VJ) adaptive (IP ligne série adaptative) | ||
| + | strip (Metricom Starmode IP) ash (Ash) ether (Ethernet) | ||
| + | tr (16/4 Mbps Token Ring) tr (16/4 Mbps Token Ring (New)) ax25 (AMPR AX.25) | ||
| + | netrom (AMPR NET/ROM) rose (AMPR ROSE) tunnel (IPIP Tunnel) | ||
| + | ppp (Protocole Point-à-Point) hdlc ((Cisco)-HDLC) lapb (LAPB) | ||
| + | arcnet (ARCnet) dlci (Frame Relay DLCI) frad (Périphériue d' | ||
| + | sit (IPv6-dans-IPv4) fddi (Fiber Distributed Data Interface) hippi (HIPPI) | ||
| + | irda (IrLAP) ec (Econet) x25 (generic X.25) | ||
| + | eui64 (Generic EUI-64) | ||
| + | < | ||
| + | Liste des familles d' | ||
| + | unix (Domaine UNIX) inet (DARPA Internet) inet6 (IPv6) | ||
| + | ax25 (AMPR AX.25) netrom (AMPR NET/ROM) rose (AMPR ROSE) | ||
| + | ipx (Novell IPX) ddp (Appletalk DDP) ec (Econet) | ||
| + | ash (Ash) x25 (CCITT X.25) | ||
| + | </ | ||
| + | |||
| + | ====Activer/ | ||
| + | |||
| + | Deux commandes existent pour activer et désactiver manuellement une interface réseau : | ||
| + | |||
| + | < | ||
| + | root@debian6: | ||
| + | root@debian6: | ||
| + | lo Link encap: | ||
| + | inet adr: | ||
| + | adr inet6: ::1/128 Scope: | ||
| + | UP LOOPBACK RUNNING | ||
| + | RX packets:8 errors:0 dropped:0 overruns:0 frame:0 | ||
| + | TX packets:8 errors:0 dropped:0 overruns:0 carrier:0 | ||
| + | collisions: | ||
| + | RX bytes:560 (560.0 B) TX bytes:560 (560.0 B) | ||
| + | |||
| + | root@debian6: | ||
| + | root@debian6: | ||
| + | eth0 Link encap: | ||
| + | inet adr: | ||
| + | adr inet6: fe80:: | ||
| + | UP BROADCAST RUNNING MULTICAST | ||
| + | RX packets: | ||
| + | TX packets: | ||
| + | collisions: | ||
| + | RX bytes: | ||
| + | |||
| + | eth0: | ||
| + | inet adr: | ||
| + | UP BROADCAST RUNNING MULTICAST | ||
| + | |||
| + | lo Link encap: | ||
| + | inet adr: | ||
| + | adr inet6: ::1/128 Scope: | ||
| + | UP LOOPBACK RUNNING | ||
| + | RX packets:8 errors:0 dropped:0 overruns:0 frame:0 | ||
| + | TX packets:8 errors:0 dropped:0 overruns:0 carrier:0 | ||
| + | collisions: | ||
| + | RX bytes:560 (560.0 B) TX bytes:560 (560.0 B) | ||
| + | </ | ||
| + | |||
| + | ===/ | ||
| + | |||
| + | Ce fichier contient la correspondance entre des noms de réseaux et l' | ||
| + | |||
| + | < | ||
| + | root@debian6: | ||
| + | default 0.0.0.0 | ||
| + | loopback 127.0.0.0 | ||
| + | link-local 169.254.0.0 | ||
| + | </ | ||
| + | |||
| + | === Résolution d' | ||
| + | |||
| + | La configuration DNS est stockée dans le fichier **/ | ||
| + | |||
| + | == / | ||
| + | |||
| + | La configuration DNS est stockée dans le fichier / | ||
| + | |||
| + | < | ||
| + | root@debian: | ||
| + | nameserver 8.8.8.8 | ||
| + | nameserver 8.8.4.4 | ||
| + | </ | ||
| + | |||
| + | <WRAP center round important> | ||
| + | Notez que les DNS utilisés sont les serveurs DNS publics de Google. | ||
| + | </ | ||
| + | |||
| + | ==/ | ||
| + | |||
| + | L' | ||
| + | |||
| + | < | ||
| + | root@debian6: | ||
| + | hosts: | ||
| + | </ | ||
| + | |||
| + | == /etc/hosts == | ||
| + | |||
| + | Le mot **files** dans la sortie de la commande précédente fait référence au fichier **/ | ||
| + | |||
| + | < | ||
| + | root@debian6: | ||
| + | 127.0.0.1 localhost | ||
| + | 127.0.1.1 debian6.fenestros.loc debian6 | ||
| + | |||
| + | # The following lines are desirable for IPv6 capable hosts | ||
| + | ::1 | ||
| + | fe00::0 ip6-localnet | ||
| + | ff00::0 ip6-mcastprefix | ||
| + | ff02::1 ip6-allnodes | ||
| + | ff02::2 ip6-allrouters | ||
| + | </ | ||
| + | |||
| + | Pour tester le serveur DNS, deux commandes sont possibles : | ||
| + | |||
| + | < | ||
| + | root@debian6: | ||
| + | Server: | ||
| + | Address: | ||
| + | |||
| + | Non-authoritative answer: | ||
| + | www.linuxelearning.com canonical name = linuxelearning.com. | ||
| + | Name: | ||
| + | Address: 212.198.31.61 | ||
| + | |||
| + | root@debian6: | ||
| + | |||
| + | ; <<>> | ||
| + | ;; global options: +cmd | ||
| + | ;; Got answer: | ||
| + | ;; ->> | ||
| + | ;; flags: qr rd ra; QUERY: 1, ANSWER: 2, AUTHORITY: 0, ADDITIONAL: 0 | ||
| + | |||
| + | ;; QUESTION SECTION: | ||
| + | ; | ||
| + | |||
| + | ;; ANSWER SECTION: | ||
| + | www.linuxelearning.com. 42847 IN CNAME linuxelearning.com. | ||
| + | linuxelearning.com. 60 IN A 212.198.31.61 | ||
| + | |||
| + | ;; Query time: 51 msec | ||
| + | ;; SERVER: 8.8.8.8# | ||
| + | ;; WHEN: Wed May 9 15:47:18 2012 | ||
| + | ;; MSG SIZE rcvd: 70 | ||
| + | </ | ||
| + | |||
| + | ==== Services réseaux ==== | ||
| + | |||
| + | Quand un client émet une demande de connexion vers une application réseau sur un serveur, il utilise un socket attaché à un port local **supérieur à 1023**, alloué d'une manière dynamique. La requête contient le port de destination sur le serveur. Certaines applications serveurs se gèrent toutes seules, ce qui est la cas par exemple d' | ||
| + | |||
| + | === xinetd === | ||
| + | |||
| + | Sous Debian 6 xinetd n'est pas installé par défaut. Installez-le grâce à apt-get : | ||
| + | |||
| + | < | ||
| + | root@debian6: | ||
| + | Lecture des listes de paquets... Fait | ||
| + | Construction de l' | ||
| + | Lecture des informations d' | ||
| + | Les NOUVEAUX paquets suivants seront installés : | ||
| + | xinetd | ||
| + | 0 mis à jour, 1 nouvellement installés, 0 à enlever et 219 non mis à jour. | ||
| + | Il est nécessaire de prendre 136 ko dans les archives. | ||
| + | Après cette opération, 311 ko d' | ||
| + | Réception de : 1 http:// | ||
| + | 136 ko réceptionnés en 0s (427 ko/s) | ||
| + | Sélection du paquet xinetd précédemment désélectionné. | ||
| + | (Lecture de la base de données... 130628 fichiers et répertoires déjà installés.) | ||
| + | Dépaquetage de xinetd (à partir de .../ | ||
| + | Traitement des actions différées (« triggers ») pour « man-db »... | ||
| + | Paramétrage de xinetd (1: | ||
| + | Stopping internet superserver: | ||
| + | Starting internet superserver: | ||
| + | </ | ||
| + | |||
| + | Le programme xinetd est configuré via le fichier **/ | ||
| + | |||
| + | < | ||
| + | root@debian6: | ||
| + | # Simple configuration file for xinetd | ||
| + | # | ||
| + | # Some defaults, and include / | ||
| + | |||
| + | defaults | ||
| + | { | ||
| + | |||
| + | # Please note that you need a log_type line to be able to use log_on_success | ||
| + | # and log_on_failure. The default is the following : | ||
| + | # log_type = SYSLOG daemon info | ||
| + | |||
| + | } | ||
| + | |||
| + | includedir / | ||
| + | </ | ||
| + | |||
| + | Les valeurs des directives dans le fichier **/ | ||
| + | |||
| + | Les variables les plus usuellement utilisées dans **/ | ||
| + | |||
| + | ^ Directive | ||
| + | | | ||
| + | | log_type | ||
| + | | log_on_succes | ||
| + | | log_on_failure | ||
| + | | cps | Indique 50 connexions par seconde avec un temps d' | ||
| + | |||
| + | Les options concernant les journaux sont : | ||
| + | |||
| + | | HOST | Journalisation de l' | ||
| + | | PID | Journalisation du PID du processus qui reçoit la demande d' | ||
| + | | DURATION | ||
| + | | EXIT | Journalisation de l' | ||
| + | | ATTEMPT | ||
| + | | USERID | ||
| + | |||
| + | Examinons maintenant le répertoire **/ | ||
| + | |||
| + | < | ||
| + | root@debian6: | ||
| + | total 20 | ||
| + | -rw-r--r-- 1 root root 798 26 mars 2008 chargen | ||
| + | -rw-r--r-- 1 root root 660 26 mars 2008 daytime | ||
| + | -rw-r--r-- 1 root root 549 26 mars 2008 discard | ||
| + | -rw-r--r-- 1 root root 580 26 mars 2008 echo | ||
| + | -rw-r--r-- 1 root root 727 26 mars 2008 time | ||
| + | </ | ||
| + | |||
| + | A l' | ||
| + | |||
| + | < | ||
| + | root@debian6: | ||
| + | # default: off | ||
| + | # description: | ||
| + | # xinetd internal service which continuously generates characters until the | ||
| + | # connection is dropped. | ||
| + | # !"# | ||
| + | # This is the tcp version. | ||
| + | service chargen | ||
| + | { | ||
| + | disable = yes | ||
| + | type = INTERNAL | ||
| + | id = chargen-stream | ||
| + | socket_type = stream | ||
| + | protocol = tcp | ||
| + | user = root | ||
| + | wait = no | ||
| + | } | ||
| + | |||
| + | # This is the udp version. | ||
| + | service chargen | ||
| + | { | ||
| + | disable = yes | ||
| + | type = INTERNAL | ||
| + | id = chargen-dgram | ||
| + | socket_type = dgram | ||
| + | protocol = udp | ||
| + | user = root | ||
| + | wait = yes | ||
| + | } | ||
| + | </ | ||
| + | |||
| + | Les directives principales de ce fichier sont : | ||
| + | |||
| + | ^ Paramètre | ||
| + | | disable | ||
| + | | port | Le numéro de port ou, à défaut, le numéro indiqué pour le service dans le fichier / | ||
| + | | socket_type | ||
| + | | protocol | ||
| + | | wait | **no** : indique si xinetd active | ||
| + | | user | Indique le compte sous lequel le serveur est exécuté | | ||
| + | | server | ||
| + | | env | Définit un environnement système | | ||
| + | | server_args | ||
| + | |||
| + | Cependant il est aussi possible d' | ||
| + | |||
| + | ^ Paramètre | ||
| + | | nice | Fixe le niveau de nice entre -19 et +20 | 10 | | ||
| + | | max_load | ||
| + | | bind | Limite le service à l' | ||
| + | | only_from | ||
| + | | no_access | ||
| + | | access_time | ||
| + | | redirect | ||
| + | |||
| + | Afin d' | ||
| + | |||
| + | === TCP Wrapper === | ||
| + | |||
| + | **TCP Wrapper** contrôle l' | ||
| + | |||
| + | Quand une requête arrive pour un serveur, xinetd active le wrapper **tcpd** au lieu d' | ||
| + | |||
| + | **tcpd** met à jour un journal et vérifie si le client a le droit d' | ||
| + | |||
| + | * **/ | ||
| + | * **/ | ||
| + | |||
| + | Il faut noter que si ces fichiers n' | ||
| + | |||
| + | Le format d'une ligne dans un de ces deux fichiers est: | ||
| + | |||
| + | < | ||
| + | démon : liste_de_clients | ||
| + | </ | ||
| + | |||
| + | Par exemple dans le cas d'un serveur **démon**, on verrait une ligne dans le fichier **/ | ||
| + | |||
| + | < | ||
| + | démon : LOCAL, .fenestros.loc | ||
| + | </ | ||
| + | |||
| + | ce qui implique que les machines dont le nom ne comporte pas de point ainsi que les machines du domaine **fenestros.loc** sont autorisées à utiliser le service. | ||
| + | |||
| + | Le mot clef **ALL** peut être utilisé | ||
| + | |||
| + | ====Routage Statique==== | ||
| + | |||
| + | ===La Commande route=== | ||
| + | |||
| + | Pour afficher la table de routage de la machine vous pouvez utiliser la commande **route** : | ||
| + | |||
| + | < | ||
| + | root@debian6: | ||
| + | Table de routage IP du noyau | ||
| + | Destination | ||
| + | 192.168.1.0 | ||
| + | 10.0.2.0 | ||
| + | default | ||
| + | </ | ||
| + | |||
| + | La table issue de la commande **route** indique les informations suivantes: | ||
| + | |||
| + | * La destination qui peut être un hôte ou un réseau et est identifiée | ||
| + | * La route à prendre identifiée par les champs **Gateway** et **Iface**. Dans le cas d'une valeur de 0.0.0.0 ceci spécifie une route directe. La valeur d' | ||
| + | * Le champ **Indic** qui peux prendre un ou plusieurs de svaleurs suivantes: | ||
| + | * U - **Up** - la route est active | ||
| + | * H - **Host** - la route conduit à un hôte | ||
| + | * G - **Gateways** - la route passe par une passerelle | ||
| + | * Le champ **Metric** indique le nombre de sauts (passerelles) pour atteindre la destination, | ||
| + | * Le champ **Ref** indique le nombre de références à cette route. Ce champs est usilisé par le Noyau de Linux, | ||
| + | * Le champ **Use** indique le nombre de recherches associés à cette route. | ||
| + | |||
| + | La commande **route** permet aussi de paramétrer le routage indirect. Par exemple pour supprimer la route vers le réseau 192.168.1.0 : | ||
| + | |||
| + | < | ||
| + | root@debian6: | ||
| + | root@debian6: | ||
| + | Table de routage IP du noyau | ||
| + | Destination | ||
| + | 10.0.2.0 | ||
| + | default | ||
| + | </ | ||
| + | |||
| + | Pour ajouter la route vers le réseau 192.168.1.0 : | ||
| + | |||
| + | < | ||
| + | root@debian6: | ||
| + | root@debian6: | ||
| + | Table de routage IP du noyau | ||
| + | Destination | ||
| + | 192.168.1.0 | ||
| + | 10.0.2.0 | ||
| + | default | ||
| + | </ | ||
| + | |||
| + | <WRAP center round important> | ||
| + | La commande utilisée pour ajouter une passerelle par défaut prend la forme suivante **route add default gw // | ||
| + | </ | ||
| + | |||
| + | Les options cette commande sont : | ||
| + | |||
| + | < | ||
| + | root@debian6: | ||
| + | Syntaxe: route [-nNvee] [-FC] [< | ||
| + | route [-v] [-FC] {add|del|flush} ... Modifie la table de routage pour AF. | ||
| + | |||
| + | route {-h|--help} [< | ||
| + | route {-V|--version} | ||
| + | |||
| + | -v, --verbose | ||
| + | -n, --numeric | ||
| + | -e, --extend | ||
| + | -F, --fib display Forwarding Information Base (default) | ||
| + | -C, --cache | ||
| + | |||
| + | < | ||
| + | Liste les familles d' | ||
| + | inet (DARPA Internet) inet6 (IPv6) ax25 (AMPR AX.25) | ||
| + | netrom (AMPR NET/ROM) ipx (Novell IPX) ddp (Appletalk DDP) | ||
| + | x25 (CCITT X.25) | ||
| + | </ | ||
| + | |||
| + | Vous pouvez aussi utiliser la commande **netstat** pour afficher la table de routage de la machine : | ||
| + | |||
| + | < | ||
| + | root@debian6: | ||
| + | Table de routage IP du noyau | ||
| + | Destination | ||
| + | 192.168.1.0 | ||
| + | 10.0.2.0 | ||
| + | 0.0.0.0 | ||
| + | </ | ||
| + | |||
| + | La table issue de la commande **netstat -nr** indique les informations suivantes: | ||
| + | |||
| + | * La champ **MSS** indique | ||
| + | * Le champ **Window** indique la taille de la fenêtre sur cette route, | ||
| + | * Le champ **irrt** indique le paramètre IRRT pour la route. | ||
| + | |||
| + | ===Activer/ | ||
| + | |||
| + | Pour activer le routage sur le serveur, il convient d'activer la retransmission des paquets: | ||
| + | |||
| + | < | ||
| + | root@debian6: | ||
| + | root@debian6: | ||
| + | 1 | ||
| + | </ | ||
| + | |||
| + | Pour désactiver le routage sur le serveur, il convient de désactiver la retransmission des paquets: | ||
| + | |||
| + | < | ||
| + | root@debian6: | ||
| + | root@debian6: | ||
| + | 0 | ||
| + | </ | ||
| + | |||
| + | =====Configuration du Réseau sous Debian 8===== | ||
| + | |||
| + | Debian 8 utilise exclusivement **Network Manager** pour gérer le réseau. Network Manager est composé de deux éléments : | ||
| + | |||
| + | * un service qui gère les connexions réseaux et rapporte leurs états, | ||
| + | * des front-ends qui passent par un API de configuration du service. | ||
| + | |||
| + | <WRAP center round important> | ||
| + | **Important** : Notez qu' | ||
| + | </ | ||
| + | |||
| + | Le service NetworkManager doit toujours être lancé : | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | ● NetworkManager.service - Network Manager | ||
| + | | ||
| + | | ||
| + | Main PID: 510 (NetworkManager) | ||
| + | | ||
| + | | ||
| + | | ||
| + | |||
| + | Nov 03 09:10:12 debian8 NetworkManager[510]: | ||
| + | Nov 03 09:10:12 debian8 NetworkManager[510]: | ||
| + | Nov 03 09:10:12 debian8 NetworkManager[510]: | ||
| + | Nov 03 09:10:12 debian8 NetworkManager[510]: | ||
| + | Nov 03 09:10:12 debian8 NetworkManager[510]: | ||
| + | Nov 03 09:10:12 debian8 NetworkManager[510]: | ||
| + | Nov 03 09:10:12 debian8 dhclient[1715]: | ||
| + | Nov 03 09:10:12 debian8 NetworkManager[510]: | ||
| + | Nov 03 09:10:12 debian8 NetworkManager[510]: | ||
| + | Nov 03 09:10:12 debian8 NetworkManager[510]: | ||
| + | </ | ||
| + | |||
| + | ====La Commande nmcli==== | ||
| + | |||
| + | La commande **nmcli** (Network Manager Command Line Interface) est utilisée pour configurer NetworkManager. | ||
| + | |||
| + | Les options et les sous-commandes peuvent être consultées | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | Usage: nmcli [OPTIONS] OBJECT { COMMAND | help } | ||
| + | |||
| + | OPTIONS | ||
| + | -t[erse] | ||
| + | -p[retty] | ||
| + | -m[ode] tabular|multiline | ||
| + | -f[ields] < | ||
| + | | ||
| + | -n[ocheck] | ||
| + | -a[sk] | ||
| + | -w[ait] < | ||
| + | -v[ersion] | ||
| + | -h[elp] | ||
| + | |||
| + | OBJECT | ||
| + | g[eneral] | ||
| + | n[etworking] | ||
| + | r[adio] | ||
| + | c[onnection] | ||
| + | d[evice] | ||
| + | |||
| + | root@debian8: | ||
| + | Usage: nmcli general { COMMAND | help } | ||
| + | |||
| + | COMMAND := { status | hostname | permissions | logging } | ||
| + | |||
| + | status | ||
| + | |||
| + | hostname [< | ||
| + | |||
| + | permissions | ||
| + | |||
| + | logging [level <log level>] [domains <log domains> | ||
| + | |||
| + | root@debian8: | ||
| + | Usage: nmcli general status { help } | ||
| + | |||
| + | Show overall status of NetworkManager. | ||
| + | ' | ||
| + | </ | ||
| + | |||
| + | ====Connections et Profils==== | ||
| + | |||
| + | NetworkManager inclus la notion de **connections** ou **profils** permettant des configurations différentes en fonction de la localisation. Pour voir les connections actuelles, utilisez la commande **nmcli c** avec la sous-commande **show** : | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | NAME UUID TYPE DEVICE | ||
| + | Wired connection 1 0caa0d4f-0222-415a-8a4f-753ca284911e | ||
| + | </ | ||
| + | |||
| + | Comme on peut constater ici, il n' | ||
| + | |||
| + | Si vous constatez que vous n'avez pas de profil dans la sortie de la commande **nmcli c show**, ceci indique que NetworkManager ne gère pas la carte : | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | NAME | ||
| + | </ | ||
| + | |||
| + | Dans ce cas, le fichier **/ | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | # This file describes the network interfaces available on your system | ||
| + | # and how to activate them. For more information, | ||
| + | |||
| + | source / | ||
| + | |||
| + | # The loopback network interface | ||
| + | auto lo | ||
| + | iface lo inet loopback | ||
| + | |||
| + | # The primary network interface | ||
| + | allow-hotplug eth0 | ||
| + | iface eth0 inet dhcp | ||
| + | </ | ||
| + | |||
| + | Afin de permettre NetworkManager de gérer la carte malgré cette configuration, | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | [main] | ||
| + | plugins=ifupdown, | ||
| + | |||
| + | [ifupdown] | ||
| + | managed=true | ||
| + | </ | ||
| + | |||
| + | Il faut ensuite re-démarrer le service NetworkManager | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | </code> | ||
| + | |||
| + | Créez maintenant un profil IP fixe rattaché au périphérique **eth0** : | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | Connection ' | ||
| + | </ | ||
| + | |||
| + | Constatez sa présence : | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | NAME UUID TYPE DEVICE | ||
| + | ip_fixe | ||
| + | Wired connection 1 0caa0d4f-0222-415a-8a4f-753ca284911e | ||
| + | </ | ||
| + | |||
| + | Notez que la sortie n' | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | GENERAL.DEVICE: | ||
| + | GENERAL.TYPE: | ||
| + | GENERAL.HWADDR: | ||
| + | GENERAL.MTU: | ||
| + | GENERAL.STATE: | ||
| + | GENERAL.CONNECTION: | ||
| + | GENERAL.CON-PATH: | ||
| + | WIRED-PROPERTIES.CARRIER: | ||
| + | IP4.ADDRESS[1]: | ||
| + | IP4.ROUTE[1]: | ||
| + | IP4.DNS[1]: | ||
| + | IP4.DOMAIN[1]: | ||
| + | IP6.ADDRESS[1]: | ||
| + | |||
| + | GENERAL.DEVICE: | ||
| + | GENERAL.TYPE: | ||
| + | GENERAL.HWADDR: | ||
| + | GENERAL.MTU: | ||
| + | GENERAL.STATE: | ||
| + | GENERAL.CONNECTION: | ||
| + | GENERAL.CON-PATH: | ||
| + | IP4.ADDRESS[1]: | ||
| + | IP6.ADDRESS[1]: | ||
| + | </ | ||
| + | |||
| + | Pour activer le profil ip_fixe, utilisez la commande suivante : | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | Connection successfully activated (D-Bus active path: / | ||
| + | </ | ||
| + | |||
| + | Le profil ip_fixe est maintenant activé tandis que le profil Wired connection 1 a été désactivé : | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | NAME UUID TYPE DEVICE | ||
| + | ip_fixe | ||
| + | Wired connection 1 0caa0d4f-0222-415a-8a4f-753ca284911e | ||
| + | |||
| + | root@debian8: | ||
| + | GENERAL.DEVICE: | ||
| + | GENERAL.TYPE: | ||
| + | GENERAL.HWADDR: | ||
| + | GENERAL.MTU: | ||
| + | GENERAL.STATE: | ||
| + | GENERAL.CONNECTION: | ||
| + | GENERAL.CON-PATH: | ||
| + | WIRED-PROPERTIES.CARRIER: | ||
| + | IP4.ADDRESS[1]: | ||
| + | IP4.ROUTE[1]: | ||
| + | IP6.ADDRESS[1]: | ||
| + | |||
| + | GENERAL.DEVICE: | ||
| + | GENERAL.TYPE: | ||
| + | GENERAL.HWADDR: | ||
| + | GENERAL.MTU: | ||
| + | GENERAL.STATE: | ||
| + | GENERAL.CONNECTION: | ||
| + | GENERAL.CON-PATH: | ||
| + | IP4.ADDRESS[1]: | ||
| + | IP6.ADDRESS[1]: | ||
| + | </ | ||
| + | |||
| + | Pour consulter les paramètres d'un profil, utilisez la commande suivante : | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | =============================================================================== | ||
| + | Connection profile details (Wired connection 1) | ||
| + | =============================================================================== | ||
| + | connection.id: | ||
| + | connection.uuid: | ||
| + | connection.interface-name: | ||
| + | connection.type: | ||
| + | connection.autoconnect: | ||
| + | connection.timestamp: | ||
| + | connection.read-only: | ||
| + | connection.permissions: | ||
| + | connection.zone: | ||
| + | connection.master: | ||
| + | connection.slave-type: | ||
| + | connection.secondaries: | ||
| + | connection.gateway-ping-timeout: | ||
| + | ------------------------------------------------------------------------------- | ||
| + | 802-3-ethernet.port: | ||
| + | 802-3-ethernet.speed: | ||
| + | 802-3-ethernet.duplex: | ||
| + | 802-3-ethernet.auto-negotiate: | ||
| + | 802-3-ethernet.mac-address: | ||
| + | 802-3-ethernet.cloned-mac-address: | ||
| + | 802-3-ethernet.mac-address-blacklist: | ||
| + | 802-3-ethernet.mtu: | ||
| + | 802-3-ethernet.s390-subchannels: | ||
| + | 802-3-ethernet.s390-nettype: | ||
| + | 802-3-ethernet.s390-options: | ||
| + | ------------------------------------------------------------------------------- | ||
| + | ipv4.method: | ||
| + | ipv4.dns: | ||
| + | ipv4.dns-search: | ||
| + | ipv4.addresses: | ||
| + | ipv4.routes: | ||
| + | ipv4.ignore-auto-routes: | ||
| + | ipv4.ignore-auto-dns: | ||
| + | ipv4.dhcp-client-id: | ||
| + | ipv4.dhcp-send-hostname: | ||
| + | ipv4.dhcp-hostname: | ||
| + | ipv4.never-default: | ||
| + | ipv4.may-fail: | ||
| + | ------------------------------------------------------------------------------- | ||
| + | ipv6.method: | ||
| + | ipv6.dns: | ||
| + | ipv6.dns-search: | ||
| + | ipv6.addresses: | ||
| + | ipv6.routes: | ||
| + | ipv6.ignore-auto-routes: | ||
| + | ipv6.ignore-auto-dns: | ||
| + | ipv6.never-default: | ||
| + | ipv6.may-fail: | ||
| + | ipv6.ip6-privacy: | ||
| + | ipv6.dhcp-hostname: | ||
| + | ------------------------------------------------------------------------------- | ||
| + | </ | ||
| + | |||
| + | Pour consulter la liste profils associés à un périphérique, | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | CONNECTIONS.AVAILABLE-CONNECTION-PATHS: | ||
| + | CONNECTIONS.AVAILABLE-CONNECTIONS[1]: | ||
| + | CONNECTIONS.AVAILABLE-CONNECTIONS[2]: | ||
| + | </ | ||
| + | |||
| + | Sous Debian 8, les fichiers de configuration pour le periphérique **eth0** se trouvent dans le répertoire **/ | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | total 8 | ||
| + | -rw------- 1 root root 207 Nov 3 12:00 ip_fixe | ||
| + | -rw------- 1 root root 170 Oct 23 16:44 Wired connection 1 | ||
| + | </ | ||
| + | |||
| + | L' | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | [connection] | ||
| + | id=ip_fixe | ||
| + | uuid=ec7e2b5f-0d19-4a40-8639-24af88a59d79 | ||
| + | interface-name=eth0 | ||
| + | type=ethernet | ||
| + | timestamp=1446548328 | ||
| + | |||
| + | [ipv6] | ||
| + | method=auto | ||
| + | |||
| + | [ipv4] | ||
| + | method=manual | ||
| + | address1=10.0.2.16/ | ||
| + | </ | ||
| + | |||
| + | La résolution des noms est donc inactive : | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | ping: unknown host www.free.fr | ||
| + | </ | ||
| + | |||
| + | Modifiez donc la configuration du profil | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | </ | ||
| + | |||
| + | Sous Debian 8 l' | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | [connection] | ||
| + | id=ip_fixe | ||
| + | uuid=ec7e2b5f-0d19-4a40-8639-24af88a59d79 | ||
| + | interface-name=eth0 | ||
| + | type=ethernet | ||
| + | timestamp=1446548328 | ||
| + | |||
| + | [ipv6] | ||
| + | method=auto | ||
| + | |||
| + | [ipv4] | ||
| + | method=manual | ||
| + | dns=8.8.8.8; | ||
| + | address1=10.0.2.16/ | ||
| + | </ | ||
| + | |||
| + | Afin que la modification du serveur DNS soit prise en compte, re-démarrez le service NetworkManager : | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | |||
| + | root@debian8: | ||
| + | ● NetworkManager.service - Network Manager | ||
| + | | ||
| + | | ||
| + | Main PID: 2991 (NetworkManager) | ||
| + | | ||
| + | | ||
| + | |||
| + | Nov 03 12:08:26 debian8 NetworkManager[2991]: | ||
| + | Nov 03 12:08:26 debian8 NetworkManager[2991]: | ||
| + | Nov 03 12:08:26 debian8 NetworkManager[2991]: | ||
| + | Nov 03 12:08:26 debian8 NetworkManager[2991]: | ||
| + | Nov 03 12:08:26 debian8 NetworkManager[2991]: | ||
| + | Nov 03 12:08:26 debian8 NetworkManager[2991]: | ||
| + | Nov 03 12:08:26 debian8 NetworkManager[2991]: | ||
| + | Nov 03 12:08:26 debian8 NetworkManager[2991]: | ||
| + | Nov 03 12:08:26 debian8 NetworkManager[2991]: | ||
| + | Nov 03 12:08:31 debian8 NetworkManager[2991]: | ||
| + | </ | ||
| + | |||
| + | Vérifiez que le fichier | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | # Generated by NetworkManager | ||
| + | nameserver 8.8.8.8 | ||
| + | </ | ||
| + | |||
| + | Dernièrement vérifiez la resolution des noms : | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | PING www.free.fr (212.27.48.10) 56(84) bytes of data. | ||
| + | 64 bytes from www.free.fr (212.27.48.10): | ||
| + | ^C | ||
| + | --- www.free.fr ping statistics --- | ||
| + | 2 packets transmitted, | ||
| + | rtt min/ | ||
| + | </ | ||
| + | |||
| + | <WRAP center round important> | ||
| + | **Important** : Notez qu'il existe | ||
| + | </ | ||
| + | |||
| + | ====Ajouter une Deuxième Adresse IP à un Profil==== | ||
| + | |||
| + | Pour ajouter une deuxième adresse IP à un profil sous Debian 8, il convient d' | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | </ | ||
| + | |||
| + | Redémarrez la machine virtuelle puis en tant que root saisissez la commande suivante : | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | connection.id: | ||
| + | connection.uuid: | ||
| + | connection.interface-name: | ||
| + | connection.type: | ||
| + | connection.autoconnect: | ||
| + | connection.timestamp: | ||
| + | connection.read-only: | ||
| + | connection.permissions: | ||
| + | connection.zone: | ||
| + | connection.master: | ||
| + | connection.slave-type: | ||
| + | connection.secondaries: | ||
| + | connection.gateway-ping-timeout: | ||
| + | 802-3-ethernet.port: | ||
| + | 802-3-ethernet.speed: | ||
| + | 802-3-ethernet.duplex: | ||
| + | 802-3-ethernet.auto-negotiate: | ||
| + | 802-3-ethernet.mac-address: | ||
| + | 802-3-ethernet.cloned-mac-address: | ||
| + | 802-3-ethernet.mac-address-blacklist: | ||
| + | 802-3-ethernet.mtu: | ||
| + | 802-3-ethernet.s390-subchannels: | ||
| + | 802-3-ethernet.s390-nettype: | ||
| + | 802-3-ethernet.s390-options: | ||
| + | ipv4.method: | ||
| + | ipv4.dns: | ||
| + | ipv4.dns-search: | ||
| + | ipv4.addresses: | ||
| + | ipv4.routes: | ||
| + | ipv4.ignore-auto-routes: | ||
| + | ipv4.ignore-auto-dns: | ||
| + | ipv4.dhcp-client-id: | ||
| + | ipv4.dhcp-send-hostname: | ||
| + | ipv4.dhcp-hostname: | ||
| + | ipv4.never-default: | ||
| + | ipv4.may-fail: | ||
| + | ipv6.method: | ||
| + | ipv6.dns: | ||
| + | ipv6.dns-search: | ||
| + | ipv6.addresses: | ||
| + | ipv6.routes: | ||
| + | ipv6.ignore-auto-routes: | ||
| + | ipv6.ignore-auto-dns: | ||
| + | ipv6.never-default: | ||
| + | ipv6.may-fail: | ||
| + | ipv6.ip6-privacy: | ||
| + | ipv6.dhcp-hostname: | ||
| + | GENERAL.NAME: | ||
| + | GENERAL.UUID: | ||
| + | GENERAL.DEVICES: | ||
| + | GENERAL.STATE: | ||
| + | GENERAL.DEFAULT: | ||
| + | GENERAL.DEFAULT6: | ||
| + | GENERAL.VPN: | ||
| + | GENERAL.ZONE: | ||
| + | GENERAL.DBUS-PATH: | ||
| + | GENERAL.CON-PATH: | ||
| + | GENERAL.SPEC-OBJECT: | ||
| + | GENERAL.MASTER-PATH: | ||
| + | IP4.ADDRESS[1]: | ||
| + | IP4.ADDRESS[2]: | ||
| + | IP4.ROUTE[1]: | ||
| + | IP4.DNS[1]: | ||
| + | IP6.ADDRESS[1]: | ||
| + | </ | ||
| + | |||
| + | <WRAP center round important> | ||
| + | **Important** : Notez l' | ||
| + | </ | ||
| + | |||
| + | Sous Debian 8, consultez maintenant le contenu du fichier **/ | ||
| + | |||
| + | < | ||
| + | [root@debian8: | ||
| + | [connection] | ||
| + | id=ip_fixe | ||
| + | uuid=ec7e2b5f-0d19-4a40-8639-24af88a59d79 | ||
| + | interface-name=eth0 | ||
| + | type=ethernet | ||
| + | timestamp=1446551688 | ||
| + | |||
| + | [ipv6] | ||
| + | method=auto | ||
| + | |||
| + | [ipv4] | ||
| + | method=manual | ||
| + | dns=8.8.8.8; | ||
| + | address1=10.0.2.16/ | ||
| + | address2=192.168.1.2/ | ||
| + | </ | ||
| + | |||
| + | <WRAP center round important> | ||
| + | **Important** : Notez l' | ||
| + | </ | ||
| + | |||
| + | ====La Commande hostname==== | ||
| + | |||
| + | La procédure de la modification du hostname est simplifiée et sa prise en compte est immédiate : | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | |||
| + | root@debian8: | ||
| + | debian.fenestros.loc | ||
| + | |||
| + | root@debian8: | ||
| + | debian.fenestros.loc | ||
| + | |||
| + | root@debian8: | ||
| + | |||
| + | root@debian8: | ||
| + | debian8.fenestros.loc | ||
| + | |||
| + | root@debian8: | ||
| + | debian8.fenestros.loc | ||
| + | </ | ||
| + | |||
| + | ====La Commande ip==== | ||
| + | |||
| + | Sous Debian 8 la commande **ip** est préférée par rapport à la commande ifconfig : | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | 1: lo: < | ||
| + | link/ | ||
| + | inet 127.0.0.1/8 scope host lo | ||
| + | | ||
| + | inet6 ::1/128 scope host | ||
| + | | ||
| + | 2: eth0: < | ||
| + | link/ether 08: | ||
| + | inet 10.0.2.16/ | ||
| + | | ||
| + | inet 192.168.1.2/ | ||
| + | | ||
| + | inet6 fe80:: | ||
| + | | ||
| + | </ | ||
| + | |||
| + | ===Options de la Commande ip=== | ||
| + | |||
| + | Les options de cette commande sont : | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | Usage: ip [ OPTIONS ] OBJECT { COMMAND | help } | ||
| + | ip [ -force ] -batch filename | ||
| + | where OBJECT := { link | addr | addrlabel | route | rule | neigh | ntable | | ||
| + | | ||
| + | netns | l2tp | tcp_metrics | token | netconf } | ||
| + | | ||
| + | -f[amily] { inet | inet6 | ipx | dnet | bridge | link } | | ||
| + | -4 | -6 | -I | -D | -B | -0 | | ||
| + | -l[oops] { maximum-addr-flush-attempts } | | ||
| + | -o[neline] | -t[imestamp] | -b[atch] [filename] | | ||
| + | -rc[vbuf] [size]} | ||
| + | </ | ||
| + | |||
| + | ====Activer/ | ||
| + | |||
| + | Deux commandes existent pour désactiver et activer manuellement une interface réseau : | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | root@debian8: | ||
| + | </ | ||
| + | |||
| + | ====Routage Statique==== | ||
| + | |||
| + | ===La commande ip=== | ||
| + | |||
| + | Sous Debian 8, pour supprimer la route vers le réseau 192.168.1.0 il convient d' | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | default via 10.0.2.2 dev enp0s3 | ||
| + | 10.0.2.0/24 dev enp0s3 | ||
| + | 192.168.1.0/ | ||
| + | |||
| + | root@debian8: | ||
| + | |||
| + | root@debian8: | ||
| + | default via 10.0.2.2 dev enp0s3 | ||
| + | 10.0.2.0/24 dev enp0s3 | ||
| + | </ | ||
| + | |||
| + | Pour ajouter la route vers le réseau 192.168.1.0 : | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | |||
| + | root@debian8: | ||
| + | default via 10.0.2.2 dev enp0s3 | ||
| + | 10.0.2.0/24 dev enp0s3 | ||
| + | 192.168.1.0/ | ||
| + | </ | ||
| + | |||
| + | <WRAP center round important> | ||
| + | La commande utilisée pour ajouter une passerelle par défaut prend la forme suivante **ip route add default via //adresse ip//**. | ||
| + | </ | ||
| + | |||
| + | ===Activer/ | ||
| + | |||
| + | Pour activer le routage sur le serveur, il convient d' | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | root@debian8: | ||
| + | 1 | ||
| + | </ | ||
| + | |||
| + | Pour désactiver le routage sur le serveur, il convient de désactiver la retransmission des paquets: | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | root@debian8: | ||
| + | 0 | ||
| + | </ | ||
| + | |||
| + | =====Diagnostique du Réseau===== | ||
| + | |||
| + | ====ping==== | ||
| + | |||
| + | Pour tester l' | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | PING 10.0.2.2 (10.0.2.2) 56(84) bytes of data. | ||
| + | 64 bytes from 10.0.2.2: icmp_seq=1 ttl=64 time=0.095 ms | ||
| + | 64 bytes from 10.0.2.2: icmp_seq=2 ttl=64 time=0.153 ms | ||
| + | 64 bytes from 10.0.2.2: icmp_seq=3 ttl=64 time=0.137 ms | ||
| + | ^C | ||
| + | --- 10.0.2.2 ping statistics --- | ||
| + | 3 packets transmitted, | ||
| + | rtt min/ | ||
| + | </ | ||
| + | |||
| + | ===Options de la commande ping=== | ||
| + | |||
| + | Les options de cette commande sont : | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | ping: invalid option -- ' | ||
| + | Usage: ping [-aAbBdDfhLnOqrRUvV] [-c count] [-i interval] [-I interface] | ||
| + | [-m mark] [-M pmtudisc_option] [-l preload] [-p pattern] [-Q tos] | ||
| + | [-s packetsize] [-S sndbuf] [-t ttl] [-T timestamp_option] | ||
| + | [-w deadline] [-W timeout] [hop1 ...] destination | ||
| + | </ | ||
| + | |||
| + | ====netstat -i==== | ||
| + | |||
| + | Pour visualiser les statistiques réseaux, vous disposez de la commande **netstat** : | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | Kernel Interface table | ||
| + | Iface MTU Met RX-OK RX-ERR RX-DRP RX-OVR | ||
| + | eth0 1500 0 | ||
| + | lo 65536 0 | ||
| + | </ | ||
| + | |||
| + | ===Options de la commande netstat=== | ||
| + | |||
| + | Les options de cette commande sont : | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | usage: netstat [-vWeenNcCF] [< | ||
| + | | ||
| + | | ||
| + | |||
| + | -r, --route | ||
| + | -i, --interfaces | ||
| + | -g, --groups | ||
| + | -s, --statistics | ||
| + | -M, --masquerade | ||
| + | |||
| + | -v, --verbose | ||
| + | -W, --wide | ||
| + | -n, --numeric | ||
| + | --numeric-hosts | ||
| + | --numeric-ports | ||
| + | --numeric-users | ||
| + | -N, --symbolic | ||
| + | -e, --extend | ||
| + | -p, --programs | ||
| + | -c, --continuous | ||
| + | |||
| + | -l, --listening | ||
| + | -a, --all, --listening | ||
| + | -o, --timers | ||
| + | -F, --fib display Forwarding Information Base (default) | ||
| + | -C, --cache | ||
| + | |||
| + | < | ||
| + | < | ||
| + | List of possible address families (which support routing): | ||
| + | inet (DARPA Internet) inet6 (IPv6) ax25 (AMPR AX.25) | ||
| + | netrom (AMPR NET/ROM) ipx (Novell IPX) ddp (Appletalk DDP) | ||
| + | x25 (CCITT X.25) | ||
| + | </ | ||
| + | |||
| + | ====La commande traceroute==== | ||
| + | |||
| + | La commande ping est à la base de la commande **traceroute**. Cette commande sert à découvrir la route empruntée pour accéder à un site donné : | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | traceroute to www.i2tch.eu (217.160.122.33), | ||
| + | | ||
| + | | ||
| + | 3 * * * | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | 10 * * * | ||
| + | 11 * * * | ||
| + | 12 * * * | ||
| + | 13 * * * | ||
| + | 14 *^C | ||
| + | </ | ||
| + | |||
| + | ===Options | ||
| + | |||
| + | Les options de cette commande sont : | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | Usage: | ||
| + | traceroute [ -46dFITnreAUDV ] [ -f first_ttl ] [ -g gate,... ] [ -i device ] [ -m max_ttl ] [ -N squeries ] [ -p port ] [ -t tos ] [ -l flow_label ] [ -w waittime ] [ -q nqueries ] [ -s src_addr ] [ -z sendwait ] [ --fwmark=num ] host [ packetlen ] | ||
| + | Options: | ||
| + | | ||
| + | -6 Use IPv6 | ||
| + | -d --debug | ||
| + | -F --dont-fragment | ||
| + | -f first_ttl | ||
| + | Start from the first_ttl hop (instead from 1) | ||
| + | -g gate, | ||
| + | Route packets through the specified gateway | ||
| + | (maximum 8 for IPv4 and 127 for IPv6) | ||
| + | -I --icmp | ||
| + | -T --tcp Use TCP SYN for tracerouting (default port is 80) | ||
| + | -i device | ||
| + | Specify a network interface to operate with | ||
| + | -m max_ttl | ||
| + | Set the max number of hops (max TTL to be | ||
| + | reached). Default is 30 | ||
| + | -N squeries | ||
| + | Set the number of probes to be tried | ||
| + | simultaneously (default is 16) | ||
| + | -n Do not resolve IP addresses to their domain names | ||
| + | -p port --port=port | ||
| + | initial udp port value for " | ||
| + | (incremented by each probe, default is 33434), or | ||
| + | initial seq for " | ||
| + | default from 1), or some constant destination | ||
| + | port for other methods (with default of 80 for | ||
| + | " | ||
| + | -t tos --tos=tos | ||
| + | traffic class) value for outgoing packets | ||
| + | -l flow_label | ||
| + | Use specified flow_label for IPv6 packets | ||
| + | -w waittime | ||
| + | Set the number of seconds to wait for response to | ||
| + | a probe (default is 5.0). Non-integer (float | ||
| + | point) values allowed too | ||
| + | -q nqueries | ||
| + | Set the number of probes per each hop. Default is | ||
| + | 3 | ||
| + | -r Bypass the normal routing and send directly to a | ||
| + | host on an attached network | ||
| + | -s src_addr | ||
| + | Use source src_addr for outgoing packets | ||
| + | -z sendwait | ||
| + | Minimal time interval between probes (default 0). | ||
| + | If the value is more than 10, then it specifies a | ||
| + | number in milliseconds, | ||
| + | seconds (float point values allowed too) | ||
| + | -e --extensions | ||
| + | -A --as-path-lookups | ||
| + | print results directly after the corresponding | ||
| + | addresses | ||
| + | -M name --module=name | ||
| + | for traceroute operations. Most methods have | ||
| + | their shortcuts (`-I' means `-M icmp' etc.) | ||
| + | -O OPTS, | ||
| + | Use module-specific option OPTS for the | ||
| + | traceroute module. Several OPTS allowed, | ||
| + | separated by comma. If OPTS is " | ||
| + | about available options | ||
| + | --sport=num | ||
| + | `-N 1' | ||
| + | --fwmark=num | ||
| + | -U --udp Use UDP to particular port for tracerouting | ||
| + | (instead of increasing the port per each probe), | ||
| + | default port is 53 | ||
| + | -UL Use UDPLITE for tracerouting (default dest port | ||
| + | is 53) | ||
| + | -D --dccp | ||
| + | is 33434) | ||
| + | -P prot --protocol=prot | ||
| + | --mtu | ||
| + | `-F -N 1' | ||
| + | --back | ||
| + | print if it differs | ||
| + | -V --version | ||
| + | --help | ||
| + | |||
| + | Arguments: | ||
| + | + | ||
| + | packetlen | ||
| + | header plus 40). Can be ignored or increased to a minimal | ||
| + | allowed value | ||
| + | </ | ||
| + | |||
| + | =====Connexions à Distance===== | ||
| + | |||
| + | ==== Telnet ==== | ||
| + | |||
| + | La commande | ||
| + | |||
| + | < | ||
| + | # telnet numero_ip | ||
| + | </ | ||
| + | |||
| + | <WRAP center round important> | ||
| + | Le service telnet revient à une redirection des canaux standards d' | ||
| + | </ | ||
| + | |||
| + | ===Options de la commande telnet=== | ||
| + | |||
| + | Les options de cette commande sont : | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | telnet: invalid option -- ' | ||
| + | Usage: telnet | ||
| + | [-n tracefile] [ -b addr ] [-r] [host-name [port]] | ||
| + | </ | ||
| + | |||
| + | ==== wget ==== | ||
| + | |||
| + | La commande **wget** est utilisée pour récupérer un fichier via http ou ftp : | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | --2017-06-22 15: | ||
| + | Resolving www.dropbox.com (www.dropbox.com)... 162.125.65.1 | ||
| + | Connecting to www.dropbox.com (www.dropbox.com)|162.125.65.1|: | ||
| + | HTTP request sent, awaiting response... 302 Found | ||
| + | Location: https:// | ||
| + | --2017-06-22 15: | ||
| + | Resolving dl.dropboxusercontent.com (dl.dropboxusercontent.com)... 162.125.65.6 | ||
| + | Connecting to dl.dropboxusercontent.com (dl.dropboxusercontent.com)|162.125.65.6|: | ||
| + | HTTP request sent, awaiting response... 200 OK | ||
| + | Length: 17 [text/plain] | ||
| + | Saving to: ‘fichier_test? | ||
| + | |||
| + | fichier_test? | ||
| + | |||
| + | 2017-06-22 15:58:31 (3.53 MB/s) - ‘fichier_test? | ||
| + | </ | ||
| + | |||
| + | ===Options de la commande wget=== | ||
| + | |||
| + | Les options de cette commande sont : | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | GNU Wget 1.16, a non-interactive network retriever. | ||
| + | Usage: wget [OPTION]... [URL]... | ||
| + | |||
| + | Mandatory arguments to long options are mandatory for short options too. | ||
| + | |||
| + | Startup: | ||
| + | -V, --version | ||
| + | -h, --help | ||
| + | -b, --background | ||
| + | -e, --execute=COMMAND | ||
| + | |||
| + | Logging and input file: | ||
| + | -o, --output-file=FILE | ||
| + | -a, --append-output=FILE | ||
| + | -d, --debug | ||
| + | -q, --quiet | ||
| + | -v, --verbose | ||
| + | -nv, --no-verbose | ||
| + | | ||
| + | -i, --input-file=FILE | ||
| + | -F, --force-html | ||
| + | -B, --base=URL | ||
| + | | ||
| + | | ||
| + | | ||
| + | |||
| + | Download: | ||
| + | -t, --tries=NUMBER | ||
| + | | ||
| + | -O, --output-document=FILE | ||
| + | -nc, --no-clobber | ||
| + | | ||
| + | -c, --continue | ||
| + | | ||
| + | | ||
| + | | ||
| + | -N, --timestamping | ||
| + | | ||
| + | --no-use-server-timestamps | ||
| + | the one on the server. | ||
| + | -S, --server-response | ||
| + | | ||
| + | -T, --timeout=SECONDS | ||
| + | | ||
| + | | ||
| + | | ||
| + | -w, --wait=SECONDS | ||
| + | | ||
| + | | ||
| + | | ||
| + | -Q, | ||
| + | --bind-address=ADDRESS | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | -4, --inet4-only | ||
| + | -6, --inet6-only | ||
| + | | ||
| + | one of IPv6, IPv4, or none. | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | |||
| + | Directories: | ||
| + | -nd, --no-directories | ||
| + | -x, --force-directories | ||
| + | -nH, --no-host-directories | ||
| + | | ||
| + | -P, --directory-prefix=PREFIX | ||
| + | | ||
| + | |||
| + | HTTP options: | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | this is `index.html' | ||
| + | -E, --adjust-extension | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | -U, --user-agent=AGENT | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | |||
| + | HTTPS (SSL/TLS) options: | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | |||
| + | FTP options: | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | |||
| + | WARC options: | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | WARC writer. | ||
| + | |||
| + | Recursive download: | ||
| + | -r, --recursive | ||
| + | -l, --level=NUMBER | ||
| + | | ||
| + | -k, --convert-links | ||
| + | local files. | ||
| + | | ||
| + | -K, --backup-converted | ||
| + | -m, --mirror | ||
| + | -p, --page-requisites | ||
| + | | ||
| + | |||
| + | Recursive accept/ | ||
| + | -A, --accept=LIST | ||
| + | -R, --reject=LIST | ||
| + | | ||
| + | | ||
| + | | ||
| + | -D, --domains=LIST | ||
| + | | ||
| + | | ||
| + | | ||
| + | | ||
| + | -H, --span-hosts | ||
| + | -L, --relative | ||
| + | -I, --include-directories=LIST | ||
| + | | ||
| + | url last component. | ||
| + | -X, --exclude-directories=LIST | ||
| + | -np, --no-parent | ||
| + | |||
| + | Mail bug reports and suggestions to < | ||
| + | </ | ||
| + | |||
| + | ==== ftp ==== | ||
| + | |||
| + | La commande | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | Connected to anonymous.ftp.ovh.net. | ||
| + | 220 anonymous.ftp.ovh.net NcFTPd Server (licensed copy) ready. | ||
| + | Name (ftp2.fenestros.com: | ||
| + | 331 Guest login ok, send your complete e-mail address as password. | ||
| + | Password: | ||
| + | 230 Logged in anonymously. | ||
| + | Remote system type is UNIX. | ||
| + | Using binary mode to transfer files. | ||
| + | ftp> | ||
| + | </ | ||
| + | |||
| + | Une fois connecté, il convient d' | ||
| + | |||
| + | < | ||
| + | ftp> help | ||
| + | Commands may be abbreviated. | ||
| + | |||
| + | ! dir mdelete qc site | ||
| + | $ disconnect mdir sendport size | ||
| + | account exit mget put status | ||
| + | append form mkdir pwd struct | ||
| + | ascii get mls quit system | ||
| + | bell glob mode quote sunique | ||
| + | binary hash modtime recv tenex | ||
| + | bye help mput reget tick | ||
| + | case idle newer rstatus trace | ||
| + | cd image nmap rhelp type | ||
| + | cdup ipany nlist rename user | ||
| + | chmod ipv4 ntrans reset umask | ||
| + | close ipv6 open restart verbose | ||
| + | cr lcd prompt rmdir ? | ||
| + | delete ls passive runique | ||
| + | debug macdef proxy send | ||
| + | </ | ||
| + | |||
| + | Le caractère **!** permet d' | ||
| + | |||
| + | < | ||
| + | ftp> !pwd | ||
| + | /root | ||
| + | </ | ||
| + | |||
| + | Pour transférer | ||
| + | |||
| + | < | ||
| + | ftp> put nom_fichier_local nom_fichier_distant | ||
| + | </ | ||
| + | |||
| + | Vous pouvez également transférer plusieurs fichiers à la fois grâce à la commande **mput**. Dans ce cas précis, il convient de saisir la commande suivante: | ||
| + | |||
| + | < | ||
| + | ftp> mput nom*.* | ||
| + | </ | ||
| + | |||
| + | Pour transférer un fichier du serveur, il convient d' | ||
| + | |||
| + | < | ||
| + | ftp> get nom_fichier | ||
| + | </ | ||
| + | |||
| + | Vous pouvez également transférer plusieurs fichiers à la fois grâce à la commande **mget** ( voir la commande **mput** ci-dessus ). | ||
| + | |||
| + | Pour supprimer un fichier sur le serveur, il convient d' | ||
| + | |||
| + | < | ||
| + | ftp> del nom_fichier | ||
| + | </ | ||
| + | |||
| + | Pour fermer la session, il convient d' | ||
| + | |||
| + | < | ||
| + | ftp> quit | ||
| + | 221 Goodbye. | ||
| + | root@debian8: | ||
| + | </ | ||
| + | |||
| + | ====SSH==== | ||
| + | |||
| + | ===Introduction=== | ||
| + | |||
| + | La commande **[[wpfr> | ||
| + | |||
| + | * Le **serveur SSH** | ||
| + | * le démon sshd, qui s' | ||
| + | * Le **client SSH** | ||
| + | * ssh ou scp, qui assure la connexion et le dialogue avec le serveur, | ||
| + | * La **session** qui représente la connexion courante et qui commence juste après l' | ||
| + | * Les **clefs** | ||
| + | * **Couple de clef utilisateur asymétriques** et persistantes qui assurent l' | ||
| + | * **Clef hôte asymétrique et persistante** garantissant l' | ||
| + | * **Clef serveur asymétrique et temporaire** utilisée | ||
| + | | ||
| + | * La **base de données des hôtes connus** qui stocke les clés des connexions précédentes. | ||
| + | |||
| + | SSH fonctionne de la manière suivante pour la la mise en place d'un canal sécurisé: | ||
| + | |||
| + | * Le client contacte le serveur sur son port 22, | ||
| + | * Les client et le serveur échangent leur version de SSH. En cas de non-compatibilité de versions, l'un des deux met fin au processus, | ||
| + | * Le serveur SSH s' | ||
| + | * Sa clé hôte, | ||
| + | * Sa clé serveur, | ||
| + | * Une séquence aléatoire de huit octets à inclure dans les futures réponses du client, | ||
| + | * Une liste de méthodes de chiffrage, compression et authentification, | ||
| + | * Le client et le serveur produisent un identifiant identique, un haché MD5 long de 128 bits contenant la clé hôte, la clé serveur et la séquence aléatoire, | ||
| + | * Le client génère sa clé de session symétrique et la chiffre deux fois de suite, une fois avec la clé hôte du serveur et la deuxième fois avec la clé serveur. Le client envoie cette clé au serveur accompagnée de la séquence aléatoire et un choix d' | ||
| + | * Le serveur déchiffre la clé de session, | ||
| + | * Le client et le serveur mettent en place le canal sécurisé. | ||
| + | |||
| + | ===SSH-1=== | ||
| + | |||
| + | SSH-1 utilise une paire de clefs de type RSA1. Il assure l' | ||
| + | |||
| + | Afin de s' | ||
| + | |||
| + | * **Kerberos**, | ||
| + | * **Rhosts**, | ||
| + | * **%%RhostsRSA%%**, | ||
| + | * Par **clef asymétrique**, | ||
| + | * **TIS**, | ||
| + | * Par **mot de passe**. | ||
| + | |||
| + | ===SSH-2=== | ||
| + | |||
| + | SSH-2 utilise **DSA** ou **RSA**. Il assure l' | ||
| + | |||
| + | * **SSH-TRANS** – Transport Layer Protocol, | ||
| + | * **SSH-AUTH** – Authentification Protocol, | ||
| + | * **SSH-CONN** – Connection Protocol. | ||
| + | |||
| + | SSH-2 diffère de SSH-1 essentiellement dans la phase authentification. | ||
| + | |||
| + | Trois méthodes d' | ||
| + | |||
| + | * Par **clef asymétrique**, | ||
| + | * Identique à SSH-1 sauf avec l' | ||
| + | * **%%RhostsRSA%%**, | ||
| + | * Par **mot de passe**. | ||
| + | |||
| + | ===Options de la commande=== | ||
| + | |||
| + | Les options de cette commande sont : | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | unknown option -- - | ||
| + | usage: ssh [-1246AaCfgKkMNnqsTtVvXxYy] [-b bind_address] [-c cipher_spec] | ||
| + | [-D [bind_address: | ||
| + | [-F configfile] [-I pkcs11] [-i identity_file] | ||
| + | [-L [bind_address: | ||
| + | [-O ctl_cmd] [-o option] [-p port] | ||
| + | [-Q cipher | cipher-auth | mac | kex | key] | ||
| + | [-R [bind_address: | ||
| + | [-w local_tun[: | ||
| + | </ | ||
| + | |||
| + | ====L' | ||
| + | |||
| + | L' | ||
| + | |||
| + | Avantage: | ||
| + | * Aucune configuration de clef asymétrique n'est nécessaire. | ||
| + | |||
| + | Inconvénients: | ||
| + | * L' | ||
| + | * Moins sécurisé qu'un système par clef asymétrique. | ||
| + | |||
| + | ====L' | ||
| + | |||
| + | * Le **client** envoie au serveur une requête d' | ||
| + | * Le **serveur** recherche une correspondance pour ce module dans le fichier des clés autorisés **~/ | ||
| + | * Dans le cas où une correspondance n'est pas trouvée, le serveur met fin à la communication, | ||
| + | * Dans le cas contraire le serveur génère une chaîne aléatoire de 256 bits appelée un **challenge** et la chiffre avec la **clé publique du client**, | ||
| + | * Le **client** reçoit le challenge et le décrypte avec la partie privée de sa clé. Il combine le challenge avec l' | ||
| + | * Le **serveur** génère le même haché et le compare avec celui reçu du client. Si les deux hachés sont identiques, l' | ||
| + | |||
| + | ====Installation==== | ||
| + | |||
| + | Pour installer/ | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | / | ||
| + | root@debian8: | ||
| + | / | ||
| + | root@debian8: | ||
| + | openssh-server: | ||
| + | root@debian8: | ||
| + | openssh-client: | ||
| + | root@debian8: | ||
| + | Reading package lists... Done | ||
| + | Building dependency tree | ||
| + | Reading state information... Done | ||
| + | openssh-server is already the newest version. | ||
| + | 0 upgraded, 0 newly installed, 0 to remove and 0 not upgraded. | ||
| + | </ | ||
| + | |||
| + | <WRAP center round important> | ||
| + | **Important** - Pour les stations de travail, installez le client : **openssh-client**. | ||
| + | </ | ||
| + | |||
| + | ===Options de la commande=== | ||
| + | |||
| + | Les options de la commande sont : | ||
| + | |||
| + | < | ||
| + | SYNOPSIS | ||
| + | sshd [-46DdeiqTt] [-b bits] [-C connection_spec] [-f config_file] [-g login_grace_time] [-h host_key_file] [-k key_gen_time] [-o option] [-p port] [-u len] | ||
| + | </ | ||
| ====Configuration==== | ====Configuration==== | ||
| - | IL existe plusieurs outils pour configurer le serveur X : | + | <WRAP center round important> |
| + | **Important** - La configuration doit s' | ||
| + | </ | ||
| - | | + | ===Serveur=== |
| - | | + | |
| + | La configuration du serveur s' | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | # Package generated configuration file | ||
| + | # See the sshd_config(5) manpage for details | ||
| + | |||
| + | # What ports, IPs and protocols we listen for | ||
| + | Port 22 | ||
| + | # Use these options to restrict which interfaces/ | ||
| + | # | ||
| + | # | ||
| + | Protocol 2 | ||
| + | # HostKeys for protocol version 2 | ||
| + | HostKey / | ||
| + | HostKey / | ||
| + | HostKey / | ||
| + | HostKey / | ||
| + | #Privilege Separation is turned on for security | ||
| + | UsePrivilegeSeparation yes | ||
| + | |||
| + | # Lifetime and size of ephemeral version 1 server key | ||
| + | KeyRegenerationInterval 3600 | ||
| + | ServerKeyBits 1024 | ||
| + | |||
| + | # Logging | ||
| + | SyslogFacility AUTH | ||
| + | LogLevel INFO | ||
| + | |||
| + | # Authentication: | ||
| + | LoginGraceTime 120 | ||
| + | PermitRootLogin without-password | ||
| + | StrictModes yes | ||
| + | |||
| + | RSAAuthentication yes | ||
| + | PubkeyAuthentication yes | ||
| + | # | ||
| + | |||
| + | # Don't read the user's ~/.rhosts and ~/.shosts files | ||
| + | IgnoreRhosts yes | ||
| + | # For this to work you will also need host keys in / | ||
| + | RhostsRSAAuthentication no | ||
| + | # similar for protocol version 2 | ||
| + | HostbasedAuthentication no | ||
| + | # Uncomment if you don't trust ~/ | ||
| + | # | ||
| + | |||
| + | # To enable empty passwords, change to yes (NOT RECOMMENDED) | ||
| + | PermitEmptyPasswords no | ||
| + | |||
| + | # Change to yes to enable challenge-response passwords (beware issues with | ||
| + | # some PAM modules and threads) | ||
| + | ChallengeResponseAuthentication no | ||
| + | |||
| + | # Change to no to disable tunnelled clear text passwords | ||
| + | # | ||
| + | |||
| + | # Kerberos options | ||
| + | # | ||
| + | # | ||
| + | # | ||
| + | # | ||
| + | |||
| + | # GSSAPI options | ||
| + | # | ||
| + | # | ||
| + | |||
| + | X11Forwarding yes | ||
| + | X11DisplayOffset 10 | ||
| + | PrintMotd no | ||
| + | PrintLastLog yes | ||
| + | TCPKeepAlive yes | ||
| + | #UseLogin no | ||
| + | |||
| + | # | ||
| + | #Banner / | ||
| + | |||
| + | # Allow client to pass locale environment variables | ||
| + | AcceptEnv LANG LC_* | ||
| + | |||
| + | Subsystem sftp / | ||
| + | |||
| + | # Set this to ' | ||
| + | # and session processing. If this is enabled, PAM authentication will | ||
| + | # be allowed through the ChallengeResponseAuthentication and | ||
| + | # PasswordAuthentication. | ||
| + | # PAM authentication via ChallengeResponseAuthentication may bypass | ||
| + | # the setting of " | ||
| + | # If you just want the PAM account and session checks to run without | ||
| + | # PAM authentication, | ||
| + | # and ChallengeResponseAuthentication to ' | ||
| + | UsePAM yes | ||
| + | </ | ||
| + | |||
| + | Pour ôter les lignes de commentaires dans ce fichier, utilisez | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | root@debian8:/ | ||
| + | Port 22 | ||
| + | Protocol 2 | ||
| + | HostKey / | ||
| + | HostKey / | ||
| + | HostKey / | ||
| + | HostKey / | ||
| + | UsePrivilegeSeparation yes | ||
| + | KeyRegenerationInterval 3600 | ||
| + | ServerKeyBits 1024 | ||
| + | SyslogFacility AUTH | ||
| + | LogLevel INFO | ||
| + | LoginGraceTime 120 | ||
| + | PermitRootLogin without-password | ||
| + | StrictModes yes | ||
| + | RSAAuthentication yes | ||
| + | PubkeyAuthentication yes | ||
| + | IgnoreRhosts yes | ||
| + | RhostsRSAAuthentication no | ||
| + | HostbasedAuthentication no | ||
| + | PermitEmptyPasswords no | ||
| + | ChallengeResponseAuthentication no | ||
| + | X11Forwarding yes | ||
| + | X11DisplayOffset 10 | ||
| + | PrintMotd no | ||
| + | PrintLastLog yes | ||
| + | TCPKeepAlive yes | ||
| + | AcceptEnv LANG LC_* | ||
| + | Subsystem sftp / | ||
| + | UsePAM yes | ||
| + | </ | ||
| + | |||
| + | Pour sécuriser le serveur | ||
| + | |||
| + | < | ||
| + | AllowGroups adm | ||
| + | Banner /etc/issue.net | ||
| + | PermitRootLogin no | ||
| + | X11Forwarding no | ||
| + | </ | ||
| + | |||
| + | Votre fichier ressemblera à celui-ci : | ||
| + | |||
| + | < | ||
| + | AllowGroups adm | ||
| + | Banner /etc/issue.net | ||
| + | PermitRootLogin no | ||
| + | X11Forwarding no | ||
| + | Port 22 | ||
| + | Protocol 2 | ||
| + | HostKey / | ||
| + | HostKey / | ||
| + | HostKey / | ||
| + | HostKey / | ||
| + | UsePrivilegeSeparation yes | ||
| + | KeyRegenerationInterval 3600 | ||
| + | ServerKeyBits 1024 | ||
| + | SyslogFacility AUTH | ||
| + | LogLevel INFO | ||
| + | LoginGraceTime 120 | ||
| + | StrictModes yes | ||
| + | RSAAuthentication yes | ||
| + | PubkeyAuthentication yes | ||
| + | IgnoreRhosts yes | ||
| + | RhostsRSAAuthentication no | ||
| + | HostbasedAuthentication no | ||
| + | PermitEmptyPasswords no | ||
| + | ChallengeResponseAuthentication no | ||
| + | X11DisplayOffset 10 | ||
| + | PrintMotd no | ||
| + | PrintLastLog yes | ||
| + | TCPKeepAlive yes | ||
| + | AcceptEnv LANG LC_* | ||
| + | Subsystem sftp / | ||
| + | UsePAM yes | ||
| + | </ | ||
| + | |||
| + | <WRAP center round todo> | ||
| + | **A Faire** - Renommez | ||
| + | </ | ||
| + | |||
| + | Saisissez maintenant les commandes suivantes en tant que **trainee** : | ||
| <WRAP center round important> | <WRAP center round important> | ||
| - | **Important** : Ces deux commandes doivent être utilisées quand le serveur X est arrêté. | + | Lors de la génération des clefs, la passphrase doit être **vide**. |
| </ | </ | ||
| - | Deux outils qui ne bénéficient plus de support sont **xf86cfg** et **xorgcfg** sont parfois présents dans la distribution et peuvent être utilisés pour configurer le serveur X. | + | < |
| + | trainee@debian8: | ||
| + | Generating public/ | ||
| + | Enter file in which to save the key (/ | ||
| + | Created directory '/ | ||
| + | Enter passphrase (empty for no passphrase): | ||
| + | Enter same passphrase again: | ||
| + | Your identification has been saved in / | ||
| + | Your public key has been saved in / | ||
| + | The key fingerprint is: | ||
| + | 07: | ||
| + | The key's randomart image is: | ||
| + | +---[DSA 1024]----+ | ||
| + | | | | ||
| + | | . . | | ||
| + | | + | | ||
| + | | | ||
| + | | . .S o | | ||
| + | |o E o. + | | ||
| + | |++ o +o | | ||
| + | |= = . +.oo | | ||
| + | |.+ . | ||
| + | +-----------------+ | ||
| + | trainee@debian8: | ||
| + | Generating public/ | ||
| + | Enter file in which to save the key (/ | ||
| + | Enter passphrase (empty for no passphrase): | ||
| + | Enter same passphrase again: | ||
| + | Your identification has been saved in / | ||
| + | Your public key has been saved in / | ||
| + | The key fingerprint is: | ||
| + | 75: | ||
| + | The key's randomart image is: | ||
| + | +---[RSA 2048]----+ | ||
| + | | . oo.. | | ||
| + | | . ...o . | | ||
| + | | | ||
| + | | . . + . | | ||
| + | | .S. . . | | ||
| + | | . . . .o . | | ||
| + | | | ||
| + | | ..*. | | ||
| + | | .=o+. | | ||
| + | +-----------------+ | ||
| + | trainee@debian8: | ||
| + | Generating public/ | ||
| + | Enter file in which to save the key (/ | ||
| + | Enter passphrase (empty for no passphrase): | ||
| + | Enter same passphrase again: | ||
| + | Your identification has been saved in / | ||
| + | Your public key has been saved in / | ||
| + | The key fingerprint is: | ||
| + | 66: | ||
| + | The key's randomart image is: | ||
| + | +---[ECDSA 256]---+ | ||
| + | | | ||
| + | | | ||
| + | | o.. . | | ||
| + | | oo . + | | ||
| + | | S+ . = | | ||
| + | | | ||
| + | | + + + | | ||
| + | | | ||
| + | | o . | | ||
| + | +-----------------+ | ||
| + | trainee@debian8: | ||
| + | Generating public/ | ||
| + | Enter file in which to save the key (/ | ||
| + | Enter passphrase (empty for no passphrase): | ||
| + | Enter same passphrase again: | ||
| + | Your identification has been saved in / | ||
| + | Your public key has been saved in / | ||
| + | The key fingerprint is: | ||
| + | 92: | ||
| + | The key's randomart image is: | ||
| + | +--[ED25519 256]--+ | ||
| + | | ++| | ||
| + | | | ||
| + | | + . + + +o.| | ||
| + | | . + . B + | | ||
| + | | o S | ||
| + | | | ||
| + | | | ||
| + | | | | ||
| + | | | | ||
| + | +-----------------+ | ||
| + | </ | ||
| - | Dernièrement il existe des outils spécifiques à une distribution : | + | <WRAP center round important> |
| + | Les clés générées seront placées dans le répertoire **~/ | ||
| + | </ | ||
| - | | + | ===Utilisation=== |
| + | |||
| + | La commande ssh prend la forme suivante: | ||
| + | |||
| + | ssh -l nom_de_compte numero_ip (nom_de_machine) | ||
| + | |||
| + | En saisissant cette commande sur votre propre machine, vous obtiendrez un résultat similaire à celle-ci : | ||
| + | |||
| + | < | ||
| + | trainee@debian8: | ||
| + | Password: fenestros | ||
| + | |||
| + | root@debian8: | ||
| + | The authenticity of host ' | ||
| + | ECDSA key fingerprint is 79: | ||
| + | Are you sure you want to continue connecting (yes/no)? yes | ||
| + | Warning: Permanently added ' | ||
| + | trainee@localhost' | ||
| + | |||
| + | The programs included with the Debian GNU/Linux system are free software; | ||
| + | the exact distribution terms for each program are described in the | ||
| + | individual files in / | ||
| + | |||
| + | Debian GNU/Linux comes with ABSOLUTELY NO WARRANTY, to the extent | ||
| + | permitted by applicable law. | ||
| + | Last login: Sun Aug 7 08:17:07 2016 from 10.0.2.2 | ||
| + | |||
| + | trainee@debian8: | ||
| + | / | ||
| + | |||
| + | trainee@debian8: | ||
| + | trainee | ||
| + | |||
| + | trainee@debian8: | ||
| + | logout | ||
| + | Connection to localhost closed. | ||
| + | </ | ||
| + | |||
| + | ====Tunnels SSH==== | ||
| + | |||
| + | Le protocole SSH peut être utilisé pour sécuriser les protocoles tels telnet, pop3 etc.. En effet, on peut créer un //tunnel// SSH dans lequel passe les communications du protocole non-sécurisé. | ||
| + | |||
| + | La commande pour créer un tunnel ssh prend la forme suivante | ||
| + | |||
| + | ssh -N -f compte@hôte -Lport-local: | ||
| + | |||
| + | Dans votre cas, vous allez créer un tunnel dans votre propre vm entre le port 15023 et le port 23 : | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | trainee@localhost' | ||
| + | </ | ||
| + | |||
| + | Installez maintenant le serveur telnet : | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | Reading package lists... Done | ||
| + | Building dependency tree | ||
| + | Reading state information... Done | ||
| + | The following extra packages will be installed: | ||
| + | openbsd-inetd | ||
| + | The following NEW packages will be installed: | ||
| + | openbsd-inetd telnetd | ||
| + | 0 upgraded, 2 newly installed, 0 to remove and 0 not upgraded. | ||
| + | Need to get 80.0 kB of archives. | ||
| + | After this operation, 289 kB of additional disk space will be used. | ||
| + | Do you want to continue? [Y/n] y | ||
| + | Get:1 http:// | ||
| + | Get:2 http:// | ||
| + | Fetched 80.0 kB in 0s (585 kB/s) | ||
| + | Selecting previously unselected package openbsd-inetd. | ||
| + | (Reading database ... 82450 files and directories currently installed.) | ||
| + | Preparing to unpack .../ | ||
| + | Unpacking openbsd-inetd (0.20140418-2) ... | ||
| + | Selecting previously unselected package telnetd. | ||
| + | Preparing to unpack .../ | ||
| + | Unpacking telnetd (0.17-36) ... | ||
| + | Processing triggers for systemd (215-17+deb8u4) ... | ||
| + | Processing triggers for man-db (2.7.0.2-5) ... | ||
| + | Setting up openbsd-inetd (0.20140418-2) ... | ||
| + | Setting up telnetd (0.17-36) ... | ||
| + | Adding user telnetd to group utmp | ||
| + | Processing triggers for systemd (215-17+deb8u4) ... | ||
| + | </ | ||
| + | |||
| + | Connectez-vous ensuite via telnet sur le port 15023, vous constaterez que votre connexion n' | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | Trying ::1... | ||
| + | Connected to localhost. | ||
| + | Escape character is ' | ||
| + | Debian GNU/Linux 8 | ||
| + | debian8 login: trainee | ||
| + | Password: | ||
| + | Last login: Sun Aug 7 09:30:13 BST 2016 from localhost on pts/1 | ||
| + | Linux debian8 3.16.0-4-amd64 #1 SMP Debian 3.16.7-ckt25-2 (2016-04-08) x86_64 | ||
| + | |||
| + | The programs included with the Debian GNU/Linux system are free software; | ||
| + | the exact distribution terms for each program are described in the | ||
| + | individual files in / | ||
| + | |||
| + | Debian GNU/Linux comes with ABSOLUTELY NO WARRANTY, to the extent | ||
| + | permitted by applicable law. | ||
| + | |||
| + | trainee@debian8: | ||
| + | / | ||
| + | |||
| + | trainee@debian8: | ||
| + | trainee | ||
| + | |||
| + | trainee@debian8: | ||
| + | logout | ||
| + | Connection closed by foreign host. | ||
| + | </ | ||
| <WRAP center round important> | <WRAP center round important> | ||
| - | **Important** : Les outils disponibles pour le serveur XFree86 version 3.3.6 et antérieure était **xf86config**, | + | Notez bien que votre communication telnet passe par le tunnel SSH. |
| </ | </ | ||
| - | Les fichiers de configuration de chaque serveur X sont : | + | ====SCP==== |
| - | * **[[http:// | + | ===Introduction=== |
| - | * **/ | + | |
| - | * **[[http:// | + | |
| - | * **/ | + | |
| - | * **[[http:// | + | |
| - | * **/ | + | |
| - | =====Gestionnaire | + | La commande **scp** est le successeur et la remplaçante |
| - | **X** ne doit être confondue avec un **Gestionnaire de Fenêtres** | + | $ scp compte@numero_ip(nom_de_machine): |
| - | * KDE, | + | ou vers une machine distante : |
| - | * GNOME, | + | |
| - | * twm, | + | |
| - | * IceWM, | + | |
| - | * Rvwm, | + | |
| - | * CDE, | + | |
| - | * WindowMaker, | + | |
| - | * Enlightenment, | + | |
| - | * Xfce, | + | |
| - | * Afterstep | + | |
| - | * Compiz Fusion, | + | |
| - | * Fluxbox, | + | |
| - | * Openbox, | + | |
| - | * Metacity, | + | |
| - | * Blackbox, | + | |
| - | * Ion, | + | |
| - | * Wmii, | + | |
| - | * etc. | + | |
| - | Les Gestionnaires les plus connus sont : | + | $ scp / |
| - | * **KDE** (//Kool Desktop Environment// | + | ===Utilisation=== |
| - | * **GNOME** (//Gnu Network Object Model Environment// | + | |
| - | =====Toolkits===== | + | Nous allons maintenant utiliser **scp** pour chercher un fichier sur le << |
| - | Chaque Gestionnaire utilise une bibliothèque graphique contenant des fonctions " | + | Créez |
| - | Une bibliothèque complète est appelée un **Widget Toolkit**. Le Toolkit le plus connu est **MOTIF**. Cependant **MOTIF** n'est pas libre. Pour cette raison les développeurs de Linux ont du concevoir des Toolkits ayant une licence libre. | + | < |
| + | root@debian8: | ||
| + | logout | ||
| - | Comme dans beaucoup de cas de développement sous Linux, il existe plusieurs Toolkits dont les deux les plus connus sont : | + | trainee@debian8:~$ pwd |
| + | / | ||
| - | * **GTK** (//GIMP Toolkit//), programé en langage C et embarqué par défaut dans le Gestionnaire de Fenêtres **Gnome**, | + | trainee@debian8: |
| - | * **QT** (//Cute//), programé en langage C++ et embarqué par défaut dans le Gestionnaire de Fenêtres **KDE**. | + | </code> |
| - | =====Freedesktop===== | + | Récupérez le fichier **scp_test** en utilisant scp : |
| - | Afin d'assurer la possibilité d'utiliser une application développée avec GTK sur un système fonctionnant sous QT et vice-versa, les développeurs de GNOME et KDE ont créé ensemble le projet **Freedesktop**. Les développements issus de ce projet sont intégrés dans les deux Gestionnaires. | + | < |
| + | trainee@debian8: | ||
| + | The authenticity of host '127.0.0.1 (127.0.0.1)' | ||
| + | ECDSA key fingerprint is 79: | ||
| + | Are you sure you want to continue connecting (yes/no)? yes | ||
| + | Warning: Permanently added ' | ||
| + | trainee@127.0.0.1' | ||
| + | scp_test | ||
| + | |||
| + | trainee@debian8: | ||
| + | / | ||
| - | =====Display Manager===== | + | </ |
| - | Le **Display Manager** est chargé de gérer les connexions locales et à distance, les authentifications et les ouvertures de sessions. De ce fait, Le Display Manager est l' | + | ==Mise en place des clefs== |
| - | Pour les connexions à distance | + | Il convient maintenant de se connecter sur le << |
| - | ====XDM, GDM et KDM==== | + | En saisissant cette commande, vous obtiendrez une fenêtre similaire à celle-ci : |
| - | Le Display Manager par défaut, compatible avec tous les serveurs **X**, est **XDM**. Les deux autres Display Managers les plus connus sont : | + | < |
| + | trainee@debian8: | ||
| + | trainee@127.0.0.1's password: trainee | ||
| - | * **GDM** pour GNOME, | + | The programs included with the Debian GNU/Linux system are free software; |
| - | * **KDM** pour KDE, | + | the exact distribution terms for each program are described in the |
| - | * **LightDM** de Canonical. | + | individual files in / |
| - | Les deux premiers sont essentiellement des XDM avec des fonctionnalités supplémentaires telles | + | Debian GNU/Linux comes with ABSOLUTELY NO WARRANTY, to the extent |
| + | permitted by applicable law. | ||
| + | Last login: Sun Aug 7 09:36:15 2016 from localhost | ||
| - | * le passage d'un utilisateur à un autre, | + | trainee@debian8: |
| - | * la liste des utilisateurs, | + | drwx------ |
| - | | + | trainee@debian8: |
| - | * la possibilité d'une autoconnexion, | + | logout |
| - | * la liste des serveurs **X** distants, | + | Connection to 127.0.0.1 closed. |
| - | * etc. | + | </ |
| - | ====LightDM==== | + | <WRAP center round important> |
| + | Si le dossier distant .ssh n' | ||
| + | </ | ||
| - | LightDM est un gestionnaire d' | + | Ensuite, il convient |
| - | * Pas de dépendances de Gnome | + | < |
| - | * Utilisation de webkit pour le rendu des thèmes | + | trainee@debian8: |
| - | | + | trainee@127.0.0.1' |
| + | id_ecdsa.pub | ||
| + | </ | ||
| - | Le fichier | + | <WRAP center round important> |
| + | **Important** : Le fichier **authorized_keys** doit avoir les permissions de 600. | ||
| + | </ | ||
| + | |||
| + | |||
| + | Connectez-vous via telnet et insérer les clefs publiques restantes dans le fichier .ssh/ | ||
| < | < | ||
| - | root@debian8:~# cat /etc/lightdm/lightdm.conf | + | trainee@debian8:~$ ssh -l trainee localhost |
| + | The authenticity of host ' | ||
| + | ECDSA key fingerprint is 79: | ||
| + | Are you sure you want to continue connecting (yes/no)? yes | ||
| + | Warning: Permanently added ' | ||
| + | |||
| + | The programs included with the Debian GNU/Linux system are free software; | ||
| + | the exact distribution terms for each program are described in the | ||
| + | individual files in / | ||
| + | |||
| + | Debian GNU/Linux comes with ABSOLUTELY NO WARRANTY, to the extent | ||
| + | permitted by applicable law. | ||
| + | Last login: Sun Aug 7 09:39:27 2016 from localhost | ||
| + | trainee@debian8: | ||
| + | trainee@debian8: | ||
| + | trainee@debian8: | ||
| + | trainee@debian8: | ||
| + | ecdsa-sha2-nistp256 AAAAE2VjZHNhLXNoYTItbmlzdHAyNTYAAAAIbmlzdHAyNTYAAABBBGdOSQvO1nuPdg5FqzsdwD2l6JuylCDjguGV89prpCYndSaNDyLzE8qV2lHNy8Nk+026oDSyceTOJMJ56rzCVpM= trainee@debian8 | ||
| + | ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDdVGlmhx8NjbSOk4DHFcUU/ | ||
| + | ssh-dss AAAAB3NzaC1kc3MAAACBAP0CgPkPk5tkJeZC3bmB+7yuSjWzdeNF3WeKKxd6YRfHwYVtTWbpw5VMBEGQVVTLtozGmSaZXI2rcL2ZjLRKu2PrWMXMHNptu+5xD1B7obRutzNa0wzxRuwyI7Ducq8PK53nbm56M4GormuZmc/ | ||
| + | ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIOmyQOP1WnEAbS/ | ||
| + | </ | ||
| + | |||
| + | <WRAP center round important> | ||
| + | **Important** : Notez que l' | ||
| + | </ | ||
| + | |||
| + | =====Le Parefeu Netfilter===== | ||
| + | |||
| + | ====Configuration du Pare-feu Netfilter/ | ||
| + | |||
| + | ===Introduction=== | ||
| + | |||
| + | **Netfilter** est composé de 5 //hooks// : | ||
| + | |||
| + | * NF_IP_PRE_ROUTING | ||
| + | * NF_IP_LOCAL_IN | ||
| + | * NF_IP_LOCAL_OUT | ||
| + | * NF_IP_FORWARD | ||
| + | * NF_IP_POSTROUTING | ||
| + | |||
| + | Ces hooks sont utilisés par deux branches, la première est celle concernée par les paquets qui entrent vers des services locaux : | ||
| + | |||
| + | * NF_IP_PRE_ROUTING > NF_IP_LOCAL_IN > NF_IP_LOCAL_OUT > NF_IP_POSTROUTING | ||
| + | |||
| + | tandis que la deuxième concerne les paquets qui traversent la passerelle: | ||
| + | |||
| + | * NF_IP_PRE_ROUTING > NF_IP_FORWARD > NF_IP_POSTROUTING | ||
| + | |||
| + | Si IPTABLES a été compilé en tant que module, son utilisation nécessite le chargement de plusieurs modules supplémentaires en fonction de la situation: | ||
| + | |||
| + | * iptable_filter | ||
| + | * iptable_mangle | ||
| + | * iptable_net | ||
| + | * etc | ||
| + | |||
| + | Netfilter est organisé en **tables**. La commande **iptables** de netfilter permet d' | ||
| + | |||
| + | * La table **FILTER** | ||
| + | * La chaîne INPUT | ||
| + | * Concerne les paquets entrants | ||
| + | * Policies: ACCEPT, DROP, REJECT | ||
| + | * La chaîne OUTPUT | ||
| + | * Concerne les paquets sortants | ||
| + | * Policies: ACCEPT, DROP, REJECT | ||
| + | * La chaîne FORWARD | ||
| + | * Concerne les paquets traversant le par-feu. | ||
| + | * Policies: ACCEPT, DROP, REJECT | ||
| + | |||
| + | Si aucune table n'est précisée, c'est la table FILTER qui s' | ||
| + | |||
| + | * La table **NAT** | ||
| + | * La chaîne PREROUTING | ||
| + | * Permet de faire la translation d' | ||
| + | * Cibles: SNAT, DNAT, MASQUERADE | ||
| + | * La chaîne POSTROUTING | ||
| + | * Permet de faire la translation d' | ||
| + | * Cibles: SNAT, DNAT, MASQUERADE | ||
| + | * Le cas spécifique OUTPUT | ||
| + | * Permet la modification de la destination des paquets générés localement | ||
| + | |||
| + | * La table **MANGLE** | ||
| + | * Permet le marquage de paquets générés localement (OUTPUT) et entrants (PREROUTING) | ||
| + | |||
| + | Les **policies** sont: | ||
| + | |||
| + | * ACCEPT | ||
| + | * Permet d' | ||
| + | * DROP | ||
| + | * Permet de rejeter le paquet concerné sans générer un message d' | ||
| + | * REJECT | ||
| + | * Permet de rejeter le paquet concerné en générant une message d' | ||
| + | |||
| + | Les **cibles** sont: | ||
| + | |||
| + | * SNAT | ||
| + | * Permet de modifier l' | ||
| + | * DNAT | ||
| + | * Permet de modifier l' | ||
| + | * MASQUERADE | ||
| + | * Permet de remplacer l' | ||
| + | |||
| + | IPTABLES peut être configuré soit par des outils tels shorewall, soit en utilisant des lignes de commandes ou un script. Dans ce dernier cas, la ligne prend la forme: | ||
| + | |||
| + | # IPTABLES --action CHAINE --option1 --option2 | ||
| + | |||
| + | Les actions sont: | ||
| + | |||
| + | ^ Action | ||
| + | | - -append | -A | Ajouter une règle à la fin de la chaîne spécifiée | | ||
| + | | - -delete | -D | Supprimer une règle en spécifiant son numéro ou la règle à supprimer | | ||
| + | | - -replace | -R | Permet de remplacer la règle spécifée par son numéro | | ||
| + | | - -insert | -I | Permet d' | ||
| + | | - -list | -L | Permet d' | ||
| + | | - -flush | -F | Permet de vider toutes les règles d'une chaîne | | ||
| + | |||
| + | Les options sont: | ||
| + | |||
| + | ^ Option | ||
| + | | - -protocol | -p | Permet de spécifier un protocol - tcp, udp, icmp, all | | ||
| + | | - -source | -s | Permet de spécifier une adresse source | | ||
| + | | - -destination | -d | Permet de spécifier une adresse de destination | | ||
| + | | - -in-interface | -i | Permet de spécifier une interface réseau d' | ||
| + | | - -out-interface | -o | Permet de spécifier une interface réseau de sortie | | ||
| + | | - -fragment | -f | Permet de ne spécifier que les paquets fragmentés | | ||
| + | | - -source-port | -sport | ||
| + | | - -destination-port | -dport | ||
| + | | - -tcp-flags | s/o | Permet de spécifier un flag TCP à matcher - SYN, ACK, FIN, RST, URG, PSH, ALL, NONE | | ||
| + | | - -icmp-type | s/o | Permet de spécifier un type de paquet ICMP | | ||
| + | | - -mac-source | s/o | Permet de spécifier une adresse MAC | | ||
| + | |||
| + | Les options spécifiques à NET sont: | ||
| + | |||
| + | | - -to-destination | s/o | Permet de spécifier l' | ||
| + | | - -to-source | s/o | Permet spécifier l' | ||
| + | |||
| + | Les options spécifiques aux LOGS sont: | ||
| + | |||
| + | | - -log-level | s/o | Permet de spécifier le niveau de logs | | ||
| + | | - -log-prefix | s/o | Permet de spécifier un préfix pour les logs | | ||
| + | |||
| + | L' | ||
| + | |||
| + | | - -state | s/o | Permet de spécifier l' | ||
| + | |||
| + | Ce dernier cas fait référence au STATEFUL. Le STATEFUL est la capacité du par-feu à enregistrer dans une table spécifique, | ||
| + | |||
| + | Il existe 4 états: | ||
| + | |||
| + | * NEW | ||
| + | * Le paquet concerne une nouvelle connexion et contient donc un flag SYN à 1 | ||
| + | * ESTABLISHED | ||
| + | * Le paquet concerne une connexion déjà établie. Le paquet ne doit contenir **ni** flag SYN à 1, **ni** flag FIN à 1 | ||
| + | * RELATED | ||
| + | * Le paquet est d'une connexion qui présente une relation avec une autre connexion | ||
| + | * INVALID | ||
| + | * La paquet provient d'une connexion anormale. | ||
| + | |||
| + | ===Configuration par Scripts sous Debian 6 et 7=== | ||
| + | |||
| + | Dans l' | ||
| + | |||
| + | < | ||
| + | # | ||
| + | ##################################### | ||
| + | # proxy server IP | ||
| + | PROXY_SERVER=" | ||
| + | # Interface connected to Internet | ||
| + | INTERNET=" | ||
| + | # Interface connected to LAN | ||
| + | LAN_IN=" | ||
| + | # Local Interface | ||
| + | LOCAL=" | ||
| + | # Squid port | ||
| + | PROXY_PORT=" | ||
| + | # DO NOT MODIFY BELOW | ||
| + | # Clean old firewall | ||
| + | iptables -F | ||
| + | iptables -X | ||
| + | iptables -t nat -F | ||
| + | iptables -t nat -X | ||
| + | iptables -t mangle -F | ||
| + | iptables -t mangle -X | ||
| + | # Load IPTABLES modules for NAT and IP conntrack support | ||
| + | modprobe ip_conntrack | ||
| + | modprobe ip_conntrack_ftp | ||
| + | # For win xp ftp client | ||
| + | modprobe ip_nat_ftp | ||
| + | echo 1 > / | ||
| + | # Setting default filter policy | ||
| + | iptables -P INPUT DROP | ||
| + | iptables -P OUTPUT ACCEPT | ||
| + | # Unlimited access to loop back | ||
| + | iptables -A INPUT -i lo -j ACCEPT | ||
| + | iptables -A OUTPUT -o lo -j ACCEPT | ||
| + | # Allow UDP, DNS and Passive FTP | ||
| + | iptables -A INPUT -i $INTERNET -m state --state ESTABLISHED, | ||
| + | # set this system as a router for Rest of LAN | ||
| + | iptables --table nat --append POSTROUTING --out-interface $INTERNET -j MASQUERADE | ||
| + | iptables --append FORWARD --in-interface $LAN_IN -j ACCEPT | ||
| + | # unlimited access to LAN | ||
| + | iptables -A INPUT -i $LAN_IN -j ACCEPT | ||
| + | iptables -A OUTPUT -o $LAN_IN -j ACCEPT | ||
| + | # DNAT port 80 request comming from LAN systems to squid 3128 ($SQUID_PORT) aka transparent proxy | ||
| + | iptables -t nat -A PREROUTING -i $LAN_IN -p tcp --dport 80 -j DNAT --to $PROXY_SERVER: | ||
| + | # iptables -t nat -A PREROUTING -i br0 -p tcp --dport 80 -j REDIRECT --to-port 3128 | ||
| + | # if it is same system | ||
| + | iptables -t nat -A PREROUTING -i $INTERNET -p tcp --dport 80 -j REDIRECT --to-port $PROXY_PORT | ||
| + | # DROP everything and Log it | ||
| + | iptables -A INPUT -j LOG | ||
| + | iptables -A INPUT -j DROP | ||
| + | </ | ||
| + | |||
| + | Dans l' | ||
| + | |||
| + | < | ||
| + | #!/bin/sh | ||
| # | # | ||
| - | # General configuration | + | # Generated iptables firewall script for the Linux 2.4 kernel |
| + | # Script generated by Easy Firewall Generator for IPTables 1.15 | ||
| + | # copyright 2002 Timothy Scott Morizot | ||
| + | # | ||
| + | # Redhat chkconfig comments - firewall applied early, | ||
| + | # | ||
| + | # chkconfig: 2345 08 92 | ||
| + | # description: | ||
| + | # | ||
| + | # This generator is primarily designed for RedHat installations, | ||
| + | # although it should be adaptable for others. | ||
| # | # | ||
| - | # start-default-seat = True to always start one seat if none are defined in the configuration | + | # It can be executed with the typical |
| - | # greeter-user = User to run greeter as | + | # If used with stop, it will stop after flushing the firewall. |
| - | # minimum-display-number = Minimum display number to use for X servers | + | # The save and restore arguments will save or restore the rules |
| - | # minimum-vt = First VT to run displays on | + | # from the / |
| - | # lock-memory = True to prevent memory | + | # arguments |
| - | # user-authority-in-system-dir = True if session authority should be in the system location | + | # Redhat' |
| - | # guest-account-script = Script to be run to setup guest account | + | |
| - | # logind-load-seats = True to automatically set up multi-seat configuration from logind | + | # Redhat/ |
| - | # logind-check-graphical = True to on start seats that are marked as graphical by logind | + | |
| - | # log-directory = Directory to log information | + | |
| - | # run-directory = Directory | + | |
| - | # cache-directory = Directory to cache to | + | |
| - | # sessions-directory = Directory to find sessions | + | |
| - | # remote-sessions-directory = Directory to find remote sessions | + | |
| - | # greeters-directory = Directory to find greeters | + | |
| # | # | ||
| - | [LightDM] | + | # 1. Have the system link the iptables init.d startup script into run states |
| - | #start-default-seat=true | + | # 2, 3, and 5. |
| - | #greeter-user=lightdm | + | # |
| - | #minimum-display-number=0 | + | # |
| - | #minimum-vt=7 | + | # 2. Save this script and execute it to load the ruleset from this file. |
| - | #lock-memory=true | + | # You may need to run the dos2unix command on it to remove carraige returns. |
| - | #user-authority-in-system-dir=false | + | # |
| - | #guest-account-script=guest-account | + | # 3. To have it applied at startup, copy this script to |
| - | #logind-load-seats=false | + | # /etc/init.d/iptables. |
| - | #logind-check-graphical=false | + | # |
| - | # | + | # Alternatively, |
| - | #run-directory=/ | + | # the init.d script should save the rules and reload them at runtime. |
| - | #cache-directory=/ | + | # |
| - | #sessions-directory=/usr/share/lightdm/ | + | # 4. For non-Redhat systems (or Redhat systems if you have a problem), you |
| - | #remote-sessions-directory=/usr/share/lightdm/remote-sessions | + | # may want to append the command to execute this script to rc.local. |
| - | #greeters-directory=/ | + | # rc.local is typically located in /etc and /etc/rc.d and is usually |
| + | # the last thing executed on startup. | ||
| + | # on its own line in the rc.local file. | ||
| + | ############################################################################### | ||
| + | # | ||
| + | # Local Settings | ||
| # | # | ||
| - | # Seat defaults | + | |
| + | # sysctl location. | ||
| + | # If this is set to the empty string (or is unset), the use of sysctl | ||
| + | # is disabled. | ||
| + | |||
| + | SYSCTL="/ | ||
| + | |||
| + | # To echo the value directly to the /proc file instead | ||
| + | # SYSCTL="" | ||
| + | |||
| + | # IPTables Location - adjust if needed | ||
| + | |||
| + | IPT="/ | ||
| + | IPTS="/ | ||
| + | IPTR="/ | ||
| + | |||
| + | # Internet Interface | ||
| + | INET_IFACE=" | ||
| + | |||
| + | # Local Interface Information | ||
| + | LOCAL_IFACE=" | ||
| + | LOCAL_IP=" | ||
| + | LOCAL_NET=" | ||
| + | LOCAL_BCAST=" | ||
| + | |||
| + | # Localhost Interface | ||
| + | |||
| + | LO_IFACE=" | ||
| + | LO_IP=" | ||
| + | |||
| + | # Save and Restore arguments handled here | ||
| + | if [ " | ||
| + | then | ||
| + | echo -n " | ||
| + | $IPTS > / | ||
| + | echo " | ||
| + | exit 0 | ||
| + | elif [ " | ||
| + | then | ||
| + | echo -n " | ||
| + | $IPTR < / | ||
| + | echo " | ||
| + | exit 0 | ||
| + | fi | ||
| + | |||
| + | ############################################################################## | ||
| # | # | ||
| - | # type = Seat type (xlocal, xremote) | + | # Load Modules |
| - | # xdg-seat = Seat name to set pam_systemd XDG_SEAT variable and name to pass to X server | + | |
| - | # pam-service = PAM service to use for login | + | |
| - | # pam-autologin-service = PAM service to use for autologin | + | |
| - | # pam-greeter-service = PAM service to use for greeters | + | |
| - | # xserver-command = X server command to run (can also contain arguments e.g. X -special-option) | + | |
| - | # xserver-layout = Layout to pass to X server | + | |
| - | # xserver-config = Config file to pass to X server | + | |
| - | # xserver-allow-tcp = True if TCP/IP connections are allowed to this X server | + | |
| - | # xserver-share = True if the X server is shared for both greeter and session | + | |
| - | # xserver-hostname = Hostname of X server (only for type=xremote) | + | |
| - | # xserver-display-number = Display number of X server (only for type=xremote) | + | |
| - | # xdmcp-manager = XDMCP manager to connect to (implies xserver-allow-tcp=true) | + | |
| - | # xdmcp-port = XDMCP UDP/IP port to communicate on | + | |
| - | # xdmcp-key = Authentication key to use for XDM-AUTHENTICATION-1 (stored in keys.conf) | + | |
| - | # unity-compositor-command = Unity compositor command to run (can also contain arguments e.g. unity-system-compositor -special-option) | + | |
| - | # unity-compositor-timeout = Number of seconds to wait for compositor to start | + | |
| - | # greeter-session = Session to load for greeter | + | |
| - | # greeter-hide-users = True to hide the user list | + | |
| - | # greeter-allow-guest = True if the greeter should show a guest login option | + | |
| - | # greeter-show-manual-login = True if the greeter should offer a manual login option | + | |
| - | # greeter-show-remote-login = True if the greeter should offer a remote login option | + | |
| - | # user-session = Session to load for users | + | |
| - | # allow-user-switching = True if allowed to switch users | + | |
| - | # allow-guest = True if guest login is allowed | + | |
| - | # guest-session = Session to load for guests (overrides user-session) | + | |
| - | # session-wrapper = Wrapper script to run session with | + | |
| - | # greeter-wrapper = Wrapper script to run greeter with | + | |
| - | # guest-wrapper = Wrapper script to run guest sessions with | + | |
| - | # display-setup-script = Script to run when starting a greeter session (runs as root) | + | |
| - | # display-stopped-script = Script to run after stopping the display server (runs as root) | + | |
| - | # greeter-setup-script = Script to run when starting a greeter (runs as root) | + | |
| - | # session-setup-script = Script to run when starting a user session (runs as root) | + | |
| - | # session-cleanup-script = Script to run when quitting a user session (runs as root) | + | |
| - | # autologin-guest = True to log in as guest by default | + | |
| - | # autologin-user = User to log in with by default (overrides autologin-guest) | + | |
| - | # autologin-user-timeout = Number of seconds to wait before loading default user | + | |
| - | # autologin-session = Session to load for automatic login (overrides user-session) | + | |
| - | # autologin-in-background = True if autologin session should not be immediately activated | + | |
| - | # exit-on-failure = True if the daemon should exit if this seat fails | + | |
| # | # | ||
| - | [SeatDefaults] | ||
| - | # | ||
| - | # | ||
| - | # | ||
| - | # | ||
| - | # | ||
| - | # | ||
| - | # | ||
| - | # | ||
| - | # | ||
| - | # | ||
| - | # | ||
| - | # | ||
| - | # | ||
| - | # | ||
| - | #xdmcp-key= | ||
| - | # | ||
| - | # | ||
| - | # | ||
| - | # | ||
| - | # | ||
| - | # | ||
| - | # | ||
| - | # | ||
| - | # | ||
| - | # | ||
| - | # | ||
| - | # | ||
| - | # | ||
| - | # | ||
| - | # | ||
| - | # | ||
| - | # | ||
| - | # | ||
| - | # | ||
| - | # | ||
| - | # | ||
| - | # | ||
| - | # | ||
| - | # | ||
| - | # | ||
| + | echo " | ||
| + | |||
| + | # You should uncomment the line below and run it the first time just to | ||
| + | # ensure all kernel module dependencies are OK. There is no need to run | ||
| + | # every time, however. | ||
| + | |||
| + | # / | ||
| + | |||
| + | # Unless you have kernel module auto-loading disabled, you should not | ||
| + | # need to manually load each of these modules. | ||
| + | # ip_conntrack, | ||
| + | # commented by default. | ||
| + | # you have disabled module autoload. | ||
| + | # be loaded by another kernel module. | ||
| + | |||
| + | # core netfilter module | ||
| + | / | ||
| + | |||
| + | # the stateful connection tracking module | ||
| + | / | ||
| + | |||
| + | # filter table module | ||
| + | # / | ||
| + | |||
| + | # mangle table module | ||
| + | # / | ||
| + | |||
| + | # nat table module | ||
| + | # / | ||
| + | |||
| + | # LOG target module | ||
| + | # / | ||
| + | |||
| + | # This is used to limit the number of packets per sec/min/hr | ||
| + | # / | ||
| + | |||
| + | # masquerade target module | ||
| + | # / | ||
| + | |||
| + | # filter using owner as part of the match | ||
| + | # / | ||
| + | Importez une machine virtuelle vierge de CentOS 6 pour effectuer le LABS #8. | ||
| + | </ | ||
| + | |||
| + | # REJECT target drops the packet and returns an ICMP response. | ||
| + | # The response is configurable. | ||
| + | # / | ||
| + | |||
| + | # This target allows packets to be marked in the mangle table | ||
| + | # / | ||
| + | |||
| + | # This target affects the TCP MSS | ||
| + | # / | ||
| + | |||
| + | # This match allows multiple ports instead of a single port or range | ||
| + | # / | ||
| + | |||
| + | # This match checks against the TCP flags | ||
| + | # / | ||
| + | |||
| + | # This match catches packets with invalid flags | ||
| + | # / | ||
| + | |||
| + | # The ftp nat module is required for non-PASV ftp support | ||
| + | / | ||
| + | |||
| + | # the module for full ftp connection tracking | ||
| + | / | ||
| + | |||
| + | # the module for full irc connection tracking | ||
| + | / | ||
| + | |||
| + | |||
| + | ############################################################################### | ||
| # | # | ||
| - | # Seat configuration | + | # Kernel Parameter Configuration |
| # | # | ||
| - | # Each seat must start with "Seat:". | + | # See http:// |
| - | # Uses settings from [SeatDefaults], any of these can be overriden | + | # for a detailed tutorial on sysctl and the various |
| + | # available. | ||
| + | |||
| + | # Required to enable IPv4 forwarding. | ||
| + | # Redhat users can try setting FORWARD_IPV4 in / | ||
| + | # Alternatively, | ||
| + | if [ " | ||
| + | then | ||
| + | echo " | ||
| + | else | ||
| + | $SYSCTL net.ipv4.ip_forward=" | ||
| + | fi | ||
| + | |||
| + | # This enables dynamic address hacking. | ||
| + | # This may help if you have a dynamic IP address \(e.g. slip, ppp, dhcp\). | ||
| + | #if [ " | ||
| + | #then | ||
| + | # echo " | ||
| + | #else | ||
| + | # $SYSCTL net.ipv4.ip_dynaddr=" | ||
| + | #fi | ||
| + | |||
| + | # This enables SYN flood protection. | ||
| + | # The SYN cookies activation allows your system to accept an unlimited | ||
| + | # number of TCP connections while still trying to give reasonable | ||
| + | # service during a denial of service attack. | ||
| + | if [ " | ||
| + | then | ||
| + | echo " | ||
| + | else | ||
| + | $SYSCTL net.ipv4.tcp_syncookies=" | ||
| + | fi | ||
| + | |||
| + | # This enables source validation by reversed path according to RFC1812. | ||
| + | # In other words, did the response packet originate | ||
| + | # through which the source packet was sent? It's recommended for single-homed | ||
| + | # systems and routers on stub networks. | ||
| + | # this firewall is designed to support, I turn it on by default. | ||
| + | # Turn it off if you use multiple NICs connected to the same network. | ||
| + | if [ " | ||
| + | then | ||
| + | echo " | ||
| + | else | ||
| + | $SYSCTL net.ipv4.conf.all.rp_filter=" | ||
| + | fi | ||
| + | |||
| + | # This option allows a subnet to be firewalled with a single IP address. | ||
| + | # It's used to build a DMZ. Since that's not a focus of this firewall | ||
| + | # script, it's not enabled by default, but is included for reference. | ||
| + | # See: http:// | ||
| + | #if [ " | ||
| + | #then | ||
| + | # echo " | ||
| + | #else | ||
| + | # $SYSCTL net.ipv4.conf.all.proxy_arp=" | ||
| + | #fi | ||
| + | |||
| + | # The following kernel settings were suggested by Alex Weeks. Thanks! | ||
| + | |||
| + | # This kernel parameter instructs the kernel to ignore all ICMP | ||
| + | # echo requests sent to the broadcast address. | ||
| + | # a number | ||
| + | if [ " | ||
| + | then | ||
| + | echo " | ||
| + | else | ||
| + | $SYSCTL net.ipv4.icmp_echo_ignore_broadcasts=" | ||
| + | fi | ||
| + | |||
| + | # This option | ||
| + | # packets. | ||
| + | # considered a security risk. This option turns it off. | ||
| + | if [ " | ||
| + | then | ||
| + | echo " | ||
| + | else | ||
| + | $SYSCTL net.ipv4.conf.all.accept_source_route=" | ||
| + | fi | ||
| + | |||
| + | # This option can disable ICMP redirects. | ||
| + | # are generally considered a security risk and shouldn' | ||
| + | # needed by most systems using this generator. | ||
| + | #if [ " | ||
| + | #then | ||
| + | # echo " | ||
| + | #else | ||
| + | # $SYSCTL net.ipv4.conf.all.accept_redirects=" | ||
| + | #fi | ||
| + | |||
| + | # However, we'll ensure the secure_redirects option is on instead. | ||
| + | # This option accepts only from gateways in the default gateways list. | ||
| + | if [ " | ||
| + | then | ||
| + | echo " | ||
| + | else | ||
| + | $SYSCTL net.ipv4.conf.all.secure_redirects=" | ||
| + | fi | ||
| + | |||
| + | # This option logs packets from impossible addresses. | ||
| + | if [ " | ||
| + | then | ||
| + | echo " | ||
| + | else | ||
| + | $SYSCTL net.ipv4.conf.all.log_martians=" | ||
| + | fi | ||
| + | |||
| + | |||
| + | ############################################################################### | ||
| # | # | ||
| - | #[Seat:0] | + | # Flush Any Existing Rules or Chains |
| + | # | ||
| + | |||
| + | echo " | ||
| + | |||
| + | # Reset Default Policies | ||
| + | $IPT -P INPUT ACCEPT | ||
| + | $IPT -P FORWARD ACCEPT | ||
| + | $IPT -P OUTPUT ACCEPT | ||
| + | $IPT -t nat -P PREROUTING ACCEPT | ||
| + | $IPT -t nat -P POSTROUTING ACCEPT | ||
| + | $IPT -t nat -P OUTPUT ACCEPT | ||
| + | $IPT -t mangle -P PREROUTING ACCEPT | ||
| + | $IPT -t mangle -P OUTPUT ACCEPT | ||
| + | |||
| + | # Flush all rules | ||
| + | $IPT -F | ||
| + | $IPT -t nat -F | ||
| + | $IPT -t mangle -F | ||
| + | |||
| + | # Erase all non-default chains | ||
| + | $IPT -X | ||
| + | $IPT -t nat -X | ||
| + | $IPT -t mangle -X | ||
| + | |||
| + | if [ " | ||
| + | then | ||
| + | echo " | ||
| + | exit 0 | ||
| + | fi | ||
| + | ############################################################################### | ||
| # | # | ||
| - | # XDMCP Server configuration | + | # Rules Configuration |
| # | # | ||
| - | # enabled = True if XDMCP connections should be allowed | + | |
| - | # port = UDP/IP port to listen for connections on | + | ############################################################################### |
| - | # key = Authentication key to use for XDM-AUTHENTICATION-1 or blank to not use authentication (stored in keys.conf) | + | |
| # | # | ||
| - | # The authentication key is a 56 bit DES key specified in hex as 0xnnnnnnnnnnnnnn. | + | # Filter Table |
| - | # it can be a word and the first 7 characters are used as the key. | + | |
| # | # | ||
| - | [XDMCPServer] | + | ############################################################################### |
| - | #enabled=false | + | |
| - | #port=177 | + | # Set Policies |
| - | #key= | + | |
| + | $IPT -P INPUT DROP | ||
| + | $IPT -P OUTPUT DROP | ||
| + | $IPT -P FORWARD DROP | ||
| + | ############################################################################### | ||
| # | # | ||
| - | # VNC Server configuration | + | # User-Specified Chains |
| # | # | ||
| - | # enabled = True if VNC connections should be allowed | + | # Create user chains to reduce the number of rules each packet |
| - | # command = Command | + | # must traverse. |
| - | # port = TCP/IP port to listen | + | |
| - | # width = Width of display | + | echo " |
| - | # height = Height of display | + | |
| - | # depth = Color depth of display | + | # Create a chain to filter INVALID packets |
| + | |||
| + | $IPT -N bad_packets | ||
| + | |||
| + | # Create another chain to filter bad tcp packets | ||
| + | |||
| + | $IPT -N bad_tcp_packets | ||
| + | |||
| + | # Create separate chains | ||
| + | # and incoming udp packets. | ||
| + | |||
| + | $IPT -N icmp_packets | ||
| + | |||
| + | # Used for UDP packets inbound from the Internet | ||
| + | $IPT -N udp_inbound | ||
| + | |||
| + | # Used to block outbound UDP services from internal network | ||
| + | # Default | ||
| + | $IPT -N udp_outbound | ||
| + | |||
| + | # Used to allow inbound services if desired | ||
| + | # Default fail except for established sessions | ||
| + | $IPT -N tcp_inbound | ||
| + | |||
| + | # Used to block outbound services from internal network | ||
| + | # Default to allow all | ||
| + | $IPT -N tcp_outbound | ||
| + | |||
| + | ############################################################################### | ||
| + | # | ||
| + | # Populate User Chains | ||
| # | # | ||
| - | [VNCServer] | ||
| - | # | ||
| - | # | ||
| - | #port=5900 | ||
| - | #width=1024 | ||
| - | #height=768 | ||
| - | #depth=8 | ||
| - | </ | ||
| - | La configuration de l' | + | # bad_packets chain |
| + | # | ||
| - | < | + | # Drop packets received on the external interface |
| - | root@debian8:~# cat / | + | # claiming a source of the local network |
| + | $IPT -A bad_packets -p ALL -i $INET_IFACE -s $LOCAL_NET -j LOG \ | ||
| + | --log-prefix " | ||
| + | $IPT -A bad_packets -p ALL -i $INET_IFACE -s $LOCAL_NET -j DROP | ||
| + | |||
| + | # Drop INVALID packets immediately | ||
| + | $IPT -A bad_packets | ||
| + | --log-prefix " | ||
| + | |||
| + | $IPT -A bad_packets -p ALL -m state --state INVALID -j DROP | ||
| + | |||
| + | # Then check the tcp packets for additional problems | ||
| + | $IPT -A bad_packets -p tcp -j bad_tcp_packets | ||
| + | |||
| + | # All good, so return | ||
| + | $IPT -A bad_packets -p ALL -j RETURN | ||
| + | |||
| + | # bad_tcp_packets chain | ||
| # | # | ||
| - | # background = Background file to use, either an image path or a color (e.g. #772953) | + | # All tcp packets will traverse this chain. |
| - | # theme-name = GTK+ theme to use | + | # Every new connection attempt should begin with |
| - | # icon-theme-name = Icon theme to use | + | # a syn packet. |
| - | # font-name = Font to use | + | # port scan. This drops packets in state |
| - | # xft-antialias = Whether | + | # NEW that are not flagged as syn packets. |
| - | # xft-dpi = Resolution for Xft in dots per inch (e.g. 96) | + | |
| - | # xft-hintstyle = What degree | + | # Return |
| - | # xft-rgba = Type of subpixel antialiasing (none, rgb, bgr, vrgb or vbgr) | + | # from the local interface. This maintains the approach |
| - | # show-indicators = semi-colon ";" | + | # throughout this firewall of a largely trusted internal |
| - | # show-clock (true or false) | + | # network. |
| - | # clock-format | + | $IPT -A bad_tcp_packets |
| - | # keyboard = command to launch on-screen keyboard | + | |
| - | # position | + | # However, I originally did apply this filter |
| - | # default-user-image = Image used as default user icon, path or #icon-name | + | # for packets originating from the internal network. |
| - | # screensaver-timeout = Timeout | + | # not conclusively determined its effect, it appears |
| + | # interesting side effect of blocking some of the ad systems. | ||
| + | # Apparently some ad systems have the browser initiate a NEW | ||
| + | # connection that is not flagged as a syn packet | ||
| + | # the ad image. If you wish to experiment further comment the | ||
| + | # rule above. If you try it, you may also wish to uncomment the | ||
| + | # rule below. | ||
| + | # There are a lot of them. | ||
| + | # $IPT -A bad_tcp_packets -p tcp -i $LOCAL_IFACE ! --syn -m state \ | ||
| + | # | ||
| + | |||
| + | $IPT -A bad_tcp_packets -p tcp ! --syn -m state --state NEW -j LOG \ | ||
| + | --log-prefix | ||
| + | $IPT -A bad_tcp_packets -p tcp ! --syn -m state --state NEW -j DROP | ||
| + | |||
| + | $IPT -A bad_tcp_packets -p tcp --tcp-flags ALL NONE -j LOG \ | ||
| + | --log-prefix | ||
| + | $IPT -A bad_tcp_packets -p tcp --tcp-flags ALL NONE -j DROP | ||
| + | |||
| + | $IPT -A bad_tcp_packets -p tcp --tcp-flags ALL ALL -j LOG \ | ||
| + | --log-prefix | ||
| + | $IPT -A bad_tcp_packets -p tcp --tcp-flags ALL ALL -j DROP | ||
| + | |||
| + | $IPT -A bad_tcp_packets -p tcp --tcp-flags ALL FIN,URG,PSH -j LOG \ | ||
| + | --log-prefix | ||
| + | $IPT -A bad_tcp_packets -p tcp --tcp-flags ALL FIN,URG,PSH -j DROP | ||
| + | |||
| + | $IPT -A bad_tcp_packets -p tcp --tcp-flags ALL SYN, | ||
| + | --log-prefix | ||
| + | $IPT -A bad_tcp_packets -p tcp --tcp-flags ALL SYN,RST,ACK,FIN,URG -j DROP | ||
| + | |||
| + | $IPT -A bad_tcp_packets -p tcp --tcp-flags SYN,RST SYN,RST -j LOG \ | ||
| + | --log-prefix "fp=bad_tcp_packets: | ||
| + | $IPT -A bad_tcp_packets -p tcp --tcp-flags SYN,RST SYN,RST -j DROP | ||
| + | |||
| + | $IPT -A bad_tcp_packets -p tcp --tcp-flags SYN,FIN SYN, | ||
| + | | ||
| + | $IPT -A bad_tcp_packets | ||
| + | |||
| + | # All good, so return | ||
| + | $IPT -A bad_tcp_packets -p tcp -j RETURN | ||
| + | |||
| + | # icmp_packets chain | ||
| + | # | ||
| + | # This chain is for inbound | ||
| + | # Type 8 (Echo Request) is not accepted by default | ||
| + | # Enable it if you want remote hosts to be able to reach you. | ||
| + | # 11 (Time Exceeded) is the only one accepted | ||
| + | # that would not already be covered by the established | ||
| + | # connection rule. Applied to INPUT on the external interface. | ||
| # | # | ||
| - | [greeter] | + | # See: http:// |
| - | background=/usr/share/images/desktop-base/login-background.svg | + | # for more info on ICMP types. |
| - | theme-name=Adwaita | + | # |
| - | #icon-theme-name= | + | # Note that the stateful settings allow replies to ICMP packets. |
| - | #font-name= | + | # These rules allow new packets of the specified types. |
| - | xft-antialias=true | + | |
| - | #xft-dpi= | + | # ICMP packets should fit in a Layer 2 frame, thus they should |
| - | xft-hintstyle=hintfull | + | # never be fragmented. |
| - | xft-rgba=rgb | + | # of a denial of service attack. |
| - | show-indicators=~language; | + | $IPT -A icmp_packets --fragment -p ICMP -j LOG \ |
| - | #show-clock= | + | --log-prefix "fp=icmp_packets: |
| - | #clock-format= | + | $IPT -A icmp_packets --fragment -p ICMP -j DROP |
| - | #keyboard= | + | |
| - | #position= | + | # Echo - uncomment to allow your system to be pinged. |
| - | #screensaver-timeout= | + | # Uncomment the LOG command if you also want to log PING attempts |
| + | # | ||
| + | # $IPT -A icmp_packets -p ICMP -s 0/0 --icmp-type 8 -j LOG \ | ||
| + | # --log-prefix " | ||
| + | # $IPT -A icmp_packets -p ICMP -s 0/0 --icmp-type 8 -j ACCEPT | ||
| + | |||
| + | # By default, however, drop pings without logging. Blaster | ||
| + | # and other worms have infected systems blasting pings. | ||
| + | # Comment the line below if you want pings logged, but it | ||
| + | # will likely fill your logs. | ||
| + | $IPT -A icmp_packets -p ICMP -s 0/0 --icmp-type 8 -j DROP | ||
| + | |||
| + | # Time Exceeded | ||
| + | $IPT -A icmp_packets -p ICMP -s 0/0 --icmp-type 11 -j ACCEPT | ||
| + | |||
| + | # Not matched, so return so it will be logged | ||
| + | $IPT -A icmp_packets -p ICMP -j RETURN | ||
| + | |||
| + | # TCP & UDP | ||
| + | # Identify ports at: | ||
| + | # http:// | ||
| + | # http:// | ||
| + | |||
| + | # udp_inbound chain | ||
| + | # | ||
| + | # This chain describes the inbound UDP packets it will accept. | ||
| + | # It's applied to INPUT on the external or Internet interface. | ||
| + | # Note that the stateful settings allow replies. | ||
| + | # These rules are for new requests. | ||
| + | # It drops netbios packets (windows) immediately without logging. | ||
| + | |||
| + | # Drop netbios calls | ||
| + | # Please note that these rules do not really change the way the firewall | ||
| + | # treats netbios connections. | ||
| + | # internal interface (if one exists) are accepted by default. | ||
| + | # Responses from the Internet to requests initiated by or through | ||
| + | # the firewall are also accepted by default. | ||
| + | # packets would have to be part of a new request received by the | ||
| + | # Internet interface. | ||
| + | # accept these. | ||
| + | # such as those via cable modems, tend to be filled with noise from | ||
| + | # unprotected Windows machines. | ||
| + | # quickly and without logging them. This prevents them from traversing | ||
| + | # the whole chain and keeps the log from getting cluttered with | ||
| + | # chatter from Windows systems. | ||
| + | $IPT -A udp_inbound | ||
| + | $IPT -A udp_inbound -p UDP -s 0/0 --destination-port 138 -j DROP | ||
| + | |||
| + | # Ident requests (Port 113) must have a REJECT rule rather than the | ||
| + | # default DROP rule. This is the minimum requirement to avoid | ||
| + | # long delays while connecting. | ||
| + | $IPT -A udp_inbound -p UDP -s 0/0 --destination-port 113 -j REJECT | ||
| + | |||
| + | # A more sophisticated configuration could accept the ident requests. | ||
| + | # $IPT -A udp_inbound -p UDP -s 0/0 --destination-port 113 -j ACCEPT | ||
| + | |||
| + | # However, if this is a gateway system that masquerades/ | ||
| + | # and the internal systems wish to chat, a simple changing these rules to | ||
| + | # ACCEPT won't work. The ident daemon on the gateway will need to know how | ||
| + | # to handle the requests. | ||
| + | # can't do that. | ||
| + | # See: http:// | ||
| + | |||
| + | # Network Time Protocol (NTP) Server | ||
| + | $IPT -A udp_inbound -p UDP -s 0/0 --destination-port 123 -j ACCEPT | ||
| + | |||
| + | # Dynamic Address | ||
| + | # If DHCP, the initial request is a broadcast. The response | ||
| + | # doesn' | ||
| + | # allow the DHCP ports to alleviate this problem. | ||
| + | # If you receive your dynamic address by a different means, you | ||
| + | # can probably comment this line. | ||
| + | $IPT -A udp_inbound -p UDP -s 0/0 --source-port 67 --destination-port 68 \ | ||
| + | | ||
| + | |||
| + | |||
| + | # Not matched, so return for logging | ||
| + | $IPT -A udp_inbound -p UDP -j RETURN | ||
| + | |||
| + | # udp_outbound chain | ||
| + | # | ||
| + | # This chain is used with a private network to prevent forwarding for | ||
| + | # UDP requests on specific protocols. | ||
| + | # the internal network. | ||
| + | |||
| + | |||
| + | # No match, so ACCEPT | ||
| + | $IPT -A udp_outbound -p UDP -s 0/0 -j ACCEPT | ||
| + | |||
| + | # tcp_inbound chain | ||
| + | # | ||
| + | # This chain is used to allow inbound connections to the | ||
| + | # system/ | ||
| + | # It's applied on INPUT from the external or Internet interface. | ||
| + | |||
| + | # Ident requests (Port 113) must have a REJECT rule rather than the | ||
| + | # default DROP rule. This is the minimum requirement to avoid | ||
| + | # long delays while connecting. | ||
| + | $IPT -A tcp_inbound -p TCP -s 0/0 --destination-port 113 -j REJECT | ||
| + | |||
| + | # A more sophisticated configuration could accept the ident requests. | ||
| + | # $IPT -A tcp_inbound -p TCP -s 0/0 --destination-port 113 -j ACCEPT | ||
| + | |||
| + | # However, if this is a gateway system that masquerades/ | ||
| + | # and the internal systems wish to chat, a simple changing these rules to | ||
| + | # ACCEPT won't work. The ident daemon on the gateway will need to know how | ||
| + | # to handle the requests. | ||
| + | # can't do that. | ||
| + | # See: http:// | ||
| + | |||
| + | # Web Server | ||
| + | |||
| + | # HTTP | ||
| + | $IPT -A tcp_inbound -p TCP -s 0/0 --destination-port 80 -j ACCEPT | ||
| + | |||
| + | # HTTPS (Secure Web Server) | ||
| + | $IPT -A tcp_inbound -p TCP -s 0/0 --destination-port 443 -j ACCEPT | ||
| + | |||
| + | # FTP Server (Control) | ||
| + | $IPT -A tcp_inbound -p TCP -s 0/0 --destination-port 21 -j ACCEPT | ||
| + | |||
| + | # FTP Client (Data Port for non-PASV transfers) | ||
| + | $IPT -A tcp_inbound -p TCP -s 0/0 --source-port 20 -j ACCEPT | ||
| + | |||
| + | # Passive FTP | ||
| + | # | ||
| + | # With passive FTP, the server provides a port to the client | ||
| + | # and allows the client to initiate the connection rather | ||
| + | # than initiating the connection with the client from the data port. | ||
| + | # Web browsers and clients operating behind a firewall generally | ||
| + | # use passive ftp transfers. | ||
| + | # will need to support them. | ||
| + | # | ||
| + | # However, by default an FTP server will select a port from the entire | ||
| + | # range of high ports. | ||
| + | # high ports. | ||
| + | # firewall presumes that the range has been restricted to a specific | ||
| + | # selected range. | ||
| + | # | ||
| + | # Instructions for specifying the port range for the wu-ftpd server | ||
| + | # can be found here: | ||
| + | # http:// | ||
| + | # (See the passive ports option.) | ||
| + | # | ||
| + | # Instructions for the ProFTPD server can be found here: | ||
| + | # http:// | ||
| + | |||
| + | $IPT -A tcp_inbound -p TCP -s 0/0 --destination-port 62000:64000 -j ACCEPT | ||
| + | |||
| + | # Email Server (SMTP) | ||
| + | $IPT -A tcp_inbound -p TCP -s 0/0 --destination-port 25 -j ACCEPT | ||
| + | |||
| + | # Email Server (POP3) | ||
| + | $IPT -A tcp_inbound -p TCP -s 0/0 --destination-port 110 -j ACCEPT | ||
| + | |||
| + | # Email Server (IMAP4) | ||
| + | $IPT -A tcp_inbound -p TCP -s 0/0 --destination-port 143 -j ACCEPT | ||
| + | |||
| + | # SSL Email Server (POP3) | ||
| + | $IPT -A tcp_inbound -p TCP -s 0/0 --destination-port 995 -j ACCEPT | ||
| + | |||
| + | # SSL Email Server (IMAP4) | ||
| + | $IPT -A tcp_inbound -p TCP -s 0/0 --destination-port 993 -j ACCEPT | ||
| + | |||
| + | # sshd | ||
| + | $IPT -A tcp_inbound -p TCP -s 0/0 --destination-port 22 -j ACCEPT | ||
| + | |||
| + | # ICQ File Transfers & Other Advanced Features | ||
| + | # | ||
| + | # ICQ supports a number of options beyond simple instant messaging. | ||
| + | # For those to function, the instant messaging system must allow | ||
| + | # new connections initiated from remote systems. This option will | ||
| + | # open a specified port range on the firewalled system. | ||
| + | # on the firewalled system must also be configured to use the specified | ||
| + | # port range. | ||
| + | |||
| + | $IPT -A tcp_inbound -p TCP -s 0/0 --destination-port 5000:5100 -j ACCEPT | ||
| + | |||
| + | # MSN Messenger File Transfers | ||
| + | # | ||
| + | # Messenger supports file transfers. | ||
| + | # remote systems to function, the system must allow | ||
| + | # new connections initiated from remote systems a specific port range. | ||
| + | # This option defaults to the port range 6891 through 6900. | ||
| + | # Unless the MSN Messenger client can be configured to specify any | ||
| + | # port range, don't change the default. | ||
| + | |||
| + | $IPT -A tcp_inbound -p TCP -s 0/0 --destination-port 6891:6900 -j ACCEPT | ||
| + | |||
| + | # User specified allowed UDP protocol | ||
| + | $IPT -A tcp_inbound -p TCP -s 0/0 --destination-port 32500:36000 -j ACCEPT | ||
| + | |||
| + | |||
| + | # Not matched, so return so it will be logged | ||
| + | $IPT -A tcp_inbound -p TCP -j RETURN | ||
| + | |||
| + | # tcp_outbound chain | ||
| + | # | ||
| + | # This chain is used with a private network to prevent forwarding for | ||
| + | # requests on specific protocols. | ||
| + | # the internal network. | ||
| + | |||
| + | |||
| + | # No match, so ACCEPT | ||
| + | $IPT -A tcp_outbound -p TCP -s 0/0 -j ACCEPT | ||
| + | |||
| + | ############################################################################### | ||
| + | # | ||
| + | # INPUT Chain | ||
| + | # | ||
| + | |||
| + | echo " | ||
| + | |||
| + | # Allow all on localhost interface | ||
| + | $IPT -A INPUT -p ALL -i $LO_IFACE -j ACCEPT | ||
| + | |||
| + | # Drop bad packets | ||
| + | $IPT -A INPUT -p ALL -j bad_packets | ||
| + | |||
| + | # DOCSIS compliant cable modems | ||
| + | # Some DOCSIS compliant cable modems send IGMP multicasts to find | ||
| + | # connected PCs. The multicast packets have the destination address | ||
| + | # 224.0.0.1. | ||
| + | # Uncomment the rule to ACCEPT them and comment the rule to DROP | ||
| + | # them The firewall will drop them here by default to avoid | ||
| + | # cluttering the log. The firewall will drop all multicasts | ||
| + | # to the entire subnet (224.0.0.1) by default. | ||
| + | # IGMP multicasts, change '-p ALL' to '-p 2' | ||
| + | # if they aren't accepted elsewhere, it will only ensure that | ||
| + | # multicasts on other protocols are logged. | ||
| + | # Drop them without logging. | ||
| + | $IPT -A INPUT -p ALL -d 224.0.0.1 -j DROP | ||
| + | # The rule to accept the packets. | ||
| + | # $IPT -A INPUT -p ALL -d 224.0.0.1 -j ACCEPT | ||
| + | |||
| + | # Rules for the private network (accessing gateway system itself) | ||
| + | $IPT -A INPUT -p ALL -i $LOCAL_IFACE -s $LOCAL_NET -j ACCEPT | ||
| + | $IPT -A INPUT -p ALL -i $LOCAL_IFACE -d $LOCAL_BCAST -j ACCEPT | ||
| + | |||
| + | |||
| + | # Inbound Internet Packet Rules | ||
| + | |||
| + | # Accept Established Connections | ||
| + | $IPT -A INPUT -p ALL -i $INET_IFACE -m state --state ESTABLISHED, | ||
| + | -j ACCEPT | ||
| + | |||
| + | # Route the rest to the appropriate user chain | ||
| + | $IPT -A INPUT -p TCP -i $INET_IFACE -j tcp_inbound | ||
| + | $IPT -A INPUT -p UDP -i $INET_IFACE -j udp_inbound | ||
| + | $IPT -A INPUT -p ICMP -i $INET_IFACE -j icmp_packets | ||
| + | |||
| + | # Drop without logging broadcasts that get this far. | ||
| + | # Cuts down on log clutter. | ||
| + | # Comment this line if testing new rules that impact | ||
| + | # broadcast protocols. | ||
| + | $IPT -A INPUT -m pkttype --pkt-type broadcast -j DROP | ||
| + | |||
| + | # Log packets that still don't match | ||
| + | $IPT -A INPUT -j LOG --log-prefix "fp=INPUT:99 a=DROP " | ||
| + | |||
| + | ############################################################################### | ||
| + | # | ||
| + | # FORWARD Chain | ||
| + | # | ||
| + | |||
| + | echo " | ||
| + | |||
| + | # Used if forwarding for a private network | ||
| + | |||
| + | # Drop bad packets | ||
| + | $IPT -A FORWARD -p ALL -j bad_packets | ||
| + | |||
| + | # Accept TCP packets we want to forward from internal sources | ||
| + | $IPT -A FORWARD -p tcp -i $LOCAL_IFACE -j tcp_outbound | ||
| + | |||
| + | # Accept UDP packets we want to forward from internal sources | ||
| + | $IPT -A FORWARD -p udp -i $LOCAL_IFACE -j udp_outbound | ||
| + | |||
| + | # If not blocked, accept any other packets from the internal interface | ||
| + | $IPT -A FORWARD -p ALL -i $LOCAL_IFACE -j ACCEPT | ||
| + | |||
| + | # Deal with responses from the internet | ||
| + | $IPT -A FORWARD -i $INET_IFACE -m state --state ESTABLISHED, | ||
| + | -j ACCEPT | ||
| + | |||
| + | # Port Forwarding is enabled, so accept forwarded traffic | ||
| + | $IPT -A FORWARD -p tcp -i $INET_IFACE --destination-port 8080 \ | ||
| + | | ||
| + | |||
| + | # Log packets that still don't match | ||
| + | $IPT -A FORWARD -j LOG --log-prefix "fp=FORWARD:99 a=DROP " | ||
| + | |||
| + | ############################################################################### | ||
| + | # | ||
| + | # OUTPUT Chain | ||
| + | # | ||
| + | |||
| + | echo " | ||
| + | |||
| + | # Generally trust the firewall on output | ||
| + | |||
| + | # However, invalid icmp packets need to be dropped | ||
| + | # to prevent a possible exploit. | ||
| + | $IPT -A OUTPUT -m state -p icmp --state INVALID -j DROP | ||
| + | |||
| + | # Localhost | ||
| + | $IPT -A OUTPUT -p ALL -s $LO_IP -j ACCEPT | ||
| + | $IPT -A OUTPUT -p ALL -o $LO_IFACE -j ACCEPT | ||
| + | |||
| + | # To internal network | ||
| + | $IPT -A OUTPUT -p ALL -s $LOCAL_IP -j ACCEPT | ||
| + | $IPT -A OUTPUT -p ALL -o $LOCAL_IFACE -j ACCEPT | ||
| + | |||
| + | # To internet | ||
| + | $IPT -A OUTPUT -p ALL -o $INET_IFACE -j ACCEPT | ||
| + | |||
| + | # Log packets that still don't match | ||
| + | $IPT -A OUTPUT -j LOG --log-prefix "fp=OUTPUT:99 a=DROP " | ||
| + | |||
| + | ############################################################################### | ||
| + | # | ||
| + | # nat table | ||
| + | # | ||
| + | ############################################################################### | ||
| + | |||
| + | # The nat table is where network address translation occurs if there | ||
| + | # is a private network. | ||
| + | # with a static IP, snat is used. If the gateway has a dynamic address, | ||
| + | # masquerade must be used instead. | ||
| + | # with masquerade, so snat is better when it can be used. | ||
| + | # The nat table has a builtin chain, PREROUTING, for dnat and redirects. | ||
| + | # Another, POSTROUTING, | ||
| + | |||
| + | echo "Load rules for nat table ..." | ||
| + | |||
| + | ############################################################################### | ||
| + | # | ||
| + | # PREROUTING chain | ||
| + | # | ||
| + | |||
| + | # Port Forwarding | ||
| + | # | ||
| + | # Port forwarding forwards all traffic on a port or ports from | ||
| + | # the firewall to a computer on the internal LAN. This can | ||
| + | # be required to support special situations. | ||
| + | # this is the only way to support file transfers with an ICQ | ||
| + | # client on an internal computer. | ||
| + | # system hosts a service such as a web server. | ||
| + | # a dangerous option. | ||
| + | # your internal network. | ||
| + | # certain you know what you're doing. | ||
| + | |||
| + | $IPT -t nat -A PREROUTING -p tcp -i $INET_IFACE --destination-port 80:80 \ | ||
| + | -j DNAT --to-destination 192.168.1.50: | ||
| + | |||
| + | # This is a sample that will exempt a specific host from the transparent proxy | ||
| + | #$IPT -t nat -A PREROUTING -p tcp -s 192.168.1.50 --destination-port 80 \ | ||
| + | # -j RETURN | ||
| + | #$IPT -t nat -A PREROUTING -p tcp -s 192.168.1.50 --destination-port 443 \ | ||
| + | # -j RETURN | ||
| + | |||
| + | # Redirect HTTP for a transparent proxy | ||
| + | $IPT -t nat -A PREROUTING -p tcp --destination-port 80 \ | ||
| + | -j REDIRECT --to-ports 3128 | ||
| + | # Redirect HTTPS for a transparent proxy - commented by default | ||
| + | # $IPT -t nat -A PREROUTING -p tcp --destination-port 443 \ | ||
| + | # -j REDIRECT --to-ports 3128 | ||
| + | |||
| + | ############################################################################### | ||
| + | # | ||
| + | # POSTROUTING chain | ||
| + | # | ||
| + | |||
| + | $IPT -t nat -A POSTROUTING -o $INET_IFACE -j MASQUERADE | ||
| + | |||
| + | ############################################################################### | ||
| + | # | ||
| + | # mangle table | ||
| + | # | ||
| + | ############################################################################### | ||
| + | |||
| + | # The mangle table is used to alter packets. | ||
| + | # several ways. For the purposes of this generator, we only use its ability | ||
| + | # to alter the TTL in packets. | ||
| + | # mark values on specific packets. | ||
| + | # table like filter, to limit activities associated with a specific host, for | ||
| + | # instance. | ||
| + | # the IP header. | ||
| + | # distribution on your system. | ||
| + | # have to add it. That may require that you build from source. | ||
| + | |||
| + | echo "Load rules for mangle table ..." | ||
| + | |||
| + | # Set the TTL in outbound packets to the same consistent value. | ||
| + | # A value around 128 is a good value. | ||
| + | # it will adversely affect your network. | ||
| + | # form on the Internet. | ||
| + | $IPT -t mangle -A OUTPUT -o $INET_IFACE -j TTL --ttl-set 128 | ||
| </ | </ | ||
| - | Notez que l'image de l' | + | <WRAP center round todo> |
| + | Utilisez la commande **system-config-firewall** pour lancer | ||
| + | </WRAP> | ||
| + | |||
| + | ====La Configuration par firewalld sous Debian 8==== | ||
| + | |||
| + | <WRAP center round important> | ||
| + | Importez une machine virtuelle vierge de Debian 8. | ||
| + | </WRAP> | ||
| + | |||
| + | firewalld est à Netfilter ce que NetworkManager est au réseau. firewalld utilise des **zones** | ||
| + | |||
| + | | ||
| + | * **work**, **home**, **internal** - un réseau partiellement fiable. Dans ce cas quelques ports sont autorisés, | ||
| + | * **dmz**, **public**, **external** - un réseau non fiable. Dans ce cas peu de ports sont autorisés, | ||
| + | * **block**, **drop** - tout est interdit. La zone drop n' | ||
| + | |||
| + | <WRAP center round important> | ||
| + | Une interface ne peut être que dans une zone à la fois tandis que plusieurs interfaces peuvent être dans la même zone. | ||
| + | </ | ||
| + | |||
| + | Sous Debian 8, firewalld n'est pas installé par défaut : | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | Reading package lists... Done | ||
| + | Building dependency tree | ||
| + | Reading state information... Done | ||
| + | The following packages were automatically installed and are no longer required: | ||
| + | libevent-core-2.0-5 libevent-pthreads-2.0-5 | ||
| + | Use ' | ||
| + | The following extra packages will be installed: | ||
| + | ebtables python-decorator python-slip python-slip-dbus | ||
| + | The following NEW packages will be installed: | ||
| + | ebtables firewalld python-decorator python-slip python-slip-dbus | ||
| + | 0 upgraded, 5 newly installed, 0 to remove and 1 not upgraded. | ||
| + | Need to get 436 kB of archives. | ||
| + | After this operation, 2,950 kB of additional disk space will be used. | ||
| + | Do you want to continue? [Y/n] y | ||
| + | </ | ||
| + | |||
| + | Le service firewalld est déjà lancé et activé | ||
| < | < | ||
| - | root@debian8: | + | root@debian8: |
| - | lrwxrwxrwx 1 root root 36 Oct 23 16:36 /usr/share/images/desktop-base/desktop-background -> /etc/alternatives/desktop-background | + | ● firewalld.service |
| + | | ||
| + | | ||
| + | Main PID: 8093 (firewalld) | ||
| + | CGroup: /system.slice/firewalld.service | ||
| + | | ||
| - | root@debian8:~# ls -l / | + | Jul 26 09: |
| - | lrwxrwxrwx | + | |
| </ | </ | ||
| - | =====X.orgX11===== | + | ===La Configuration de Base de firewalld=== |
| - | ====Présentation==== | + | La configuration par défaut de firewalld se trouve dans **/ |
| - | L' | + | < |
| + | root@debian8: | ||
| + | / | ||
| + | total 12 | ||
| + | drwxr-xr-x 2 root root 4096 Jul 26 09:10 icmptypes | ||
| + | drwxr-xr-x 2 root root 4096 Jul 26 09:10 services | ||
| + | drwxr-xr-x 2 root root 4096 Jul 26 09:10 zones | ||
| + | |||
| + | / | ||
| + | total 36 | ||
| + | -rw-r--r-- 1 root root 222 Oct 16 2014 destination-unreachable.xml | ||
| + | -rw-r--r-- 1 root root 173 Oct 16 2014 echo-reply.xml | ||
| + | -rw-r--r-- 1 root root 210 Oct 16 2014 echo-request.xml | ||
| + | -rw-r--r-- 1 root root 225 Oct 16 2014 parameter-problem.xml | ||
| + | -rw-r--r-- 1 root root 185 Oct 16 2014 redirect.xml | ||
| + | -rw-r--r-- 1 root root 227 Oct 16 2014 router-advertisement.xml | ||
| + | -rw-r--r-- 1 root root 223 Oct 16 2014 router-solicitation.xml | ||
| + | -rw-r--r-- 1 root root 248 Oct 16 2014 source-quench.xml | ||
| + | -rw-r--r-- 1 root root 253 Oct 16 2014 time-exceeded.xml | ||
| + | |||
| + | /usr/lib/ | ||
| + | total 248 | ||
| + | -rw-r--r-- 1 root root 412 Oct 16 2014 amanda-client.xml | ||
| + | -rw-r--r-- 1 root root 447 Oct 16 2014 amanda-k5-client.xml | ||
| + | -rw-r--r-- 1 root root 320 Oct 16 2014 bacula-client.xml | ||
| + | -rw-r--r-- 1 root root 346 Oct 16 2014 bacula.xml | ||
| + | -rw-r--r-- 1 root root 305 Oct 16 2014 dhcpv6-client.xml | ||
| + | -rw-r--r-- 1 root root 234 Oct 16 2014 dhcpv6.xml | ||
| + | -rw-r--r-- 1 root root 227 Oct 16 2014 dhcp.xml | ||
| + | -rw-r--r-- 1 root root 346 Oct 16 2014 dns.xml | ||
| + | -rw-r--r-- 1 root root 836 Oct 16 2014 freeipa-ldaps.xml | ||
| + | -rw-r--r-- 1 root root 836 Oct 16 2014 freeipa-ldap.xml | ||
| + | -rw-r--r-- 1 root root 315 Oct 16 2014 freeipa-replication.xml | ||
| + | -rw-r--r-- 1 root root 374 Oct 16 2014 ftp.xml | ||
| + | -rw-r--r-- 1 root root 476 Oct 16 2014 high-availability.xml | ||
| + | -rw-r--r-- 1 root root 448 Oct 16 2014 https.xml | ||
| + | -rw-r--r-- 1 root root 353 Oct 16 2014 http.xml | ||
| + | -rw-r--r-- 1 root root 372 Oct 16 2014 imaps.xml | ||
| + | -rw-r--r-- 1 root root 454 Oct 16 2014 ipp-client.xml | ||
| + | -rw-r--r-- 1 root root 427 Oct 16 2014 ipp.xml | ||
| + | -rw-r--r-- 1 root root 517 Oct 16 2014 ipsec.xml | ||
| + | -rw-r--r-- 1 root root 182 Oct 16 2014 kadmin.xml | ||
| + | -rw-r--r-- 1 root root 233 Oct 16 2014 kerberos.xml | ||
| + | -rw-r--r-- 1 root root 221 Oct 16 2014 kpasswd.xml | ||
| + | -rw-r--r-- 1 root root 232 Oct 16 2014 ldaps.xml | ||
| + | -rw-r--r-- 1 root root 199 Oct 16 2014 ldap.xml | ||
| + | -rw-r--r-- 1 root root 385 Oct 16 2014 libvirt-tls.xml | ||
| + | -rw-r--r-- 1 root root 389 Oct 16 2014 libvirt.xml | ||
| + | -rw-r--r-- 1 root root 424 Oct 16 2014 mdns.xml | ||
| + | -rw-r--r-- 1 root root 211 Oct 16 2014 mountd.xml | ||
| + | -rw-r--r-- 1 root root 190 Oct 16 2014 ms-wbt.xml | ||
| + | -rw-r--r-- 1 root root 171 Oct 16 2014 mysql.xml | ||
| + | -rw-r--r-- 1 root root 324 Oct 16 2014 nfs.xml | ||
| + | -rw-r--r-- 1 root root 389 Oct 16 2014 ntp.xml | ||
| + | -rw-r--r-- 1 root root 335 Oct 16 2014 openvpn.xml | ||
| + | -rw-r--r-- 1 root root 433 Oct 16 2014 pmcd.xml | ||
| + | -rw-r--r-- 1 root root 474 Oct 16 2014 pmproxy.xml | ||
| + | -rw-r--r-- 1 root root 544 Oct 16 2014 pmwebapis.xml | ||
| + | -rw-r--r-- 1 root root 460 Oct 16 2014 pmwebapi.xml | ||
| + | -rw-r--r-- 1 root root 357 Oct 16 2014 pop3s.xml | ||
| + | -rw-r--r-- 1 root root 181 Oct 16 2014 postgresql.xml | ||
| + | -rw-r--r-- 1 root root 509 Oct 16 2014 privoxy.xml | ||
| + | -rw-r--r-- 1 root root 261 Oct 16 2014 proxy-dhcp.xml | ||
| + | -rw-r--r-- 1 root root 297 Oct 16 2014 puppetmaster.xml | ||
| + | -rw-r--r-- 1 root root 446 Oct 16 2014 radius.xml | ||
| + | -rw-r--r-- 1 root root 214 Oct 16 2014 rpc-bind.xml | ||
| + | -rw-r--r-- 1 root root 384 Oct 16 2014 samba-client.xml | ||
| + | -rw-r--r-- 1 root root 461 Oct 16 2014 samba.xml | ||
| + | -rw-r--r-- 1 root root 337 Oct 16 2014 sane.xml | ||
| + | -rw-r--r-- 1 root root 550 Oct 16 2014 smtp.xml | ||
| + | -rw-r--r-- 1 root root 173 Oct 16 2014 squid.xml | ||
| + | -rw-r--r-- 1 root root 463 Oct 16 2014 ssh.xml | ||
| + | -rw-r--r-- 1 root root 496 Oct 16 2014 synergy.xml | ||
| + | -rw-r--r-- 1 root root 393 Oct 16 2014 telnet.xml | ||
| + | -rw-r--r-- 1 root root 301 Oct 16 2014 tftp-client.xml | ||
| + | -rw-r--r-- 1 root root 437 Oct 16 2014 tftp.xml | ||
| + | -rw-r--r-- 1 root root 771 Oct 16 2014 tor-socks.xml | ||
| + | -rw-r--r-- 1 root root 211 Oct 16 2014 transmission-client.xml | ||
| + | -rw-r--r-- 1 root root 475 Oct 16 2014 vnc-server.xml | ||
| + | -rw-r--r-- 1 root root 310 Oct 16 2014 wbem-https.xml | ||
| + | -rw-r--r-- 1 root root 509 Oct 16 2014 xmpp-bosh.xml | ||
| + | -rw-r--r-- 1 root root 488 Oct 16 2014 xmpp-client.xml | ||
| + | -rw-r--r-- 1 root root 264 Oct 16 2014 xmpp-local.xml | ||
| + | -rw-r--r-- 1 root root 545 Oct 16 2014 xmpp-server.xml | ||
| + | |||
| + | / | ||
| + | total 36 | ||
| + | -rw-r--r-- 1 root root 299 Oct 16 2014 block.xml | ||
| + | -rw-r--r-- 1 root root 293 Oct 16 2014 dmz.xml | ||
| + | -rw-r--r-- 1 root root 291 Oct 16 2014 drop.xml | ||
| + | -rw-r--r-- 1 root root 304 Oct 16 2014 external.xml | ||
| + | -rw-r--r-- 1 root root 369 Oct 16 2014 home.xml | ||
| + | -rw-r--r-- 1 root root 384 Oct 16 2014 internal.xml | ||
| + | -rw-r--r-- 1 root root 315 Oct 16 2014 public.xml | ||
| + | -rw-r--r-- 1 root root 162 Oct 16 2014 trusted.xml | ||
| + | -rw-r--r-- 1 root root 311 Oct 16 2014 work.xml | ||
| + | </ | ||
| + | |||
| + | Ces fichiers sont au format **xml**, par exemple | ||
| < | < | ||
| - | root@debian8: | + | root@debian8: |
| - | Xorg: /usr/bin/Xorg /usr/share/ | + | <?xml version=" |
| + | < | ||
| + | < | ||
| + | < | ||
| + | <service name=" | ||
| + | <service name=" | ||
| + | <service name=" | ||
| + | <service name=" | ||
| + | </ | ||
| </ | </ | ||
| - | Les modules | + | La configuration |
| < | < | ||
| - | root@debian8: | + | root@debian8: |
| - | /usr/lib/xorg: | + | /etc/firewalld/: |
| - | total 36 | + | total 20 |
| - | drwxr-xr-x | + | -rw-r--r-- 1 root root 1026 Oct 16 2014 firewalld.conf |
| - | -rw-r--r-- 1 root root 31614 Feb 11 2015 protocol.txt | + | drwxr-xr-x |
| + | -rw-r--r-- 1 root root | ||
| + | drwxr-xr-x 2 root root 4096 Oct 16 2014 services | ||
| + | drwxr-xr-x 2 root root 4096 Oct 16 2014 zones | ||
| - | /usr/lib/xorg/ | + | /etc/firewalld/icmptypes: |
| - | total 1072 | + | total 0 |
| - | drwxr-xr-x 2 root root 4096 Nov 2 13:58 drivers | + | |
| - | drwxr-xr-x 2 root root 4096 Oct 23 16:35 extensions | + | |
| - | drwxr-xr-x 2 root root 4096 Oct 23 16:35 input | + | |
| - | -rw-r--r-- 1 root root 104144 Feb 11 2015 libexa.so | + | |
| - | -rw-r--r-- 1 root root 17920 Feb 11 2015 libfbdevhw.so | + | |
| - | -rw-r--r-- 1 root root 153600 Feb 11 2015 libfb.so | + | |
| - | -rw-r--r-- 1 root root 305920 Feb 11 2015 libglamoregl.so | + | |
| - | -rw-r--r-- 1 root root 175932 Feb 11 2015 libint10.so | + | |
| - | -rw-r--r-- 1 root root 5568 Feb 11 2015 libshadowfb.so | + | |
| - | -rw-r--r-- 1 root root 34272 Feb 11 2015 libshadow.so | + | |
| - | -rw-r--r-- 1 root root 26192 Feb 11 2015 libvbe.so | + | |
| - | -rw-r--r-- 1 root root 31036 Feb 11 2015 libvgahw.so | + | |
| - | -rw-r--r-- 1 root root 206848 Feb 11 2015 libwfb.so | + | |
| - | drwxr-xr-x 2 root root 4096 Oct 23 16:35 multimedia | + | |
| - | /usr/lib/xorg/ | + | /etc/firewalld/services: |
| - | total 4336 | + | total 0 |
| - | -rw-r--r-- 1 root root 5600 Oct 5 2014 ati_drv.so | + | |
| - | -rw-r--r-- 1 root root 31144 Jul 8 2014 cirrus_alpine.so | + | |
| - | -rw-r--r-- 1 root root 14572 Jul 8 2014 cirrus_drv.so | + | |
| - | -rw-r--r-- 1 root root 25800 Jul 8 2014 cirrus_laguna.so | + | |
| - | -rw-r--r-- 1 root root 19232 Jul 8 2014 fbdev_drv.so | + | |
| - | -rw-r--r-- 1 root root 260104 Jan 17 2015 geode_drv.so | + | |
| - | -rw-r--r-- 1 root root 1513528 Jul 8 2014 intel_drv.so | + | |
| - | -rw-r--r-- 1 root root 187008 Oct 7 2014 mach64_drv.so | + | |
| - | -rw-r--r-- 1 root root 144956 Jul 8 2014 mga_drv.so | + | |
| - | -rw-r--r-- 1 root root 41108 Jul 13 11:28 modesetting_drv.so | + | |
| - | -rw-r--r-- 1 root root 65404 Jul 8 2014 neomagic_drv.so | + | |
| - | -rw-r--r-- 1 root root 225736 Sep 6 2014 nouveau_drv.so | + | |
| - | -rw-r--r-- 1 root root 370860 Jul 8 2014 openchrome_drv.so | + | |
| - | -rw-r--r-- 1 root root 184012 Jul 8 2014 qxl_drv.so | + | |
| - | -rw-r--r-- 1 root root 107708 Jul 8 2014 r128_drv.so | + | |
| - | -rw-r--r-- 1 root root 432540 Oct 5 2014 radeon_drv.so | + | |
| - | -rw-r--r-- 1 root root 141612 Jul 8 2014 savage_drv.so | + | |
| - | -rw-r--r-- 1 root root 114232 Jul 8 2014 siliconmotion_drv.so | + | |
| - | -rw-r--r-- 1 root root 80956 Jul 8 2014 sisusb_drv.so | + | |
| - | -rw-r--r-- 1 root root 65736 Jul 8 2014 tdfx_drv.so | + | |
| - | -rw-r--r-- 1 root root 135256 Jul 8 2014 trident_drv.so | + | |
| - | lrwxrwxrwx 1 root root 63 Nov 2 13:58 vboxvideo_drv.so -> / | + | |
| - | -rw-r--r-- 1 root root 25008 Jul 8 2014 vesa_drv.so | + | |
| - | -rw-r--r-- 1 root root 164920 Mar 14 2015 vmware_drv.so | + | |
| - | -rw-r--r-- 1 root root 26868 Jan 17 2015 ztv_drv.so | + | |
| - | /usr/lib/xorg/modules/extensions: | + | /etc/firewalld/zones: |
| - | total 308 | + | total 0 |
| - | -rw-r--r-- 1 root root 311452 Feb 11 2015 libglx.so | + | </code> |
| + | |||
| + | Le fichier de configuration de firewalld est **/etc/ | ||
| + | |||
| + | < | ||
| + | root@debian8:~# cat / | ||
| + | # firewalld config file | ||
| + | |||
| + | # default zone | ||
| + | # The default zone used if an empty zone string is used. | ||
| + | # Default: public | ||
| + | DefaultZone=public | ||
| + | |||
| + | # Minimal mark | ||
| + | # Marks up to this minimum are free for use for example in the direct | ||
| + | # interface. If more free marks are needed, increase the minimum | ||
| + | # Default: 100 | ||
| + | MinimalMark=100 | ||
| + | |||
| + | # Clean up on exit | ||
| + | # If set to no or false the firewall configuration will not get cleaned up | ||
| + | # on exit or stop of firewalld | ||
| + | # Default: yes | ||
| + | CleanupOnExit=yes | ||
| - | / | + | # Lockdown |
| - | total 312 | + | # If set to enabled, firewall changes with the D-Bus interface will be limited |
| - | -rw-r--r-- 1 root root 63976 Aug 28 2014 evdev_drv.so | + | # to applications that are listed in the lockdown whitelist. |
| - | -rw-r--r-- 1 root root 48812 Oct 26 2014 mouse_drv.so | + | # The lockdown whitelist file is lockdown-whitelist.xml |
| - | -rw-r--r-- 1 root root 72636 Sep 18 2014 synaptics_drv.so | + | # Default: no |
| - | -rw-r--r-- 1 root root 12976 Jul 8 2014 vmmouse_drv.so | + | Lockdown=no |
| - | -rw-r--r-- 1 root root 111240 Oct 4 2014 wacom_drv.so | + | |
| - | / | + | # IPv6_rpfilter |
| - | total 88 | + | # Performs a reverse path filter test on a packet for IPv6. If a reply to the |
| - | -rw-r--r-- 1 root root 13760 Feb 11 2015 bt829_drv.so | + | # packet would be sent via the same interface that the packet arrived on, the |
| - | -rw-r--r-- 1 root root 13760 Feb 11 2015 fi1236_drv.so | + | # packet will match and be accepted, otherwise dropped. |
| - | -rw-r--r-- 1 root root 13760 Feb 11 2015 msp3430_drv.so | + | # The rp_filter for IPv4 is controlled using sysctl. |
| - | -rw-r--r-- 1 root root 5568 Feb 11 2015 tda8425_drv.so | + | # Default: yes |
| - | -rw-r--r-- 1 root root 9664 Feb 11 2015 tda9850_drv.so | + | IPv6_rpfilter=yes |
| - | -rw-r--r-- 1 root root 5568 Feb 11 2015 tda9885_drv.so | + | |
| - | -rw-r--r-- 1 root root 9664 Feb 11 2015 uda1380_drv.so | + | |
| </ | </ | ||
| - | Sous Debian 8 les paquets X.orgX11 installés peuvent être trouvés | + | ===La Commande firewall-cmd=== |
| + | |||
| + | firewalld s' | ||
| + | |||
| + | <WRAP center round important> | ||
| + | firewall-cmd est le front-end de firewalld | ||
| + | </ | ||
| + | |||
| + | Pour obtenir la liste de toutes les zones prédéfinies, | ||
| < | < | ||
| - | root@debian8: | + | root@debian8: |
| - | xorg install | + | block dmz drop external home internal public trusted work |
| - | xorg-docs-core install | + | |
| - | xserver-xorg install | + | |
| - | xserver-xorg-core install | + | |
| - | xserver-xorg-input-all install | + | |
| - | xserver-xorg-input-evdev install | + | |
| - | xserver-xorg-input-mouse install | + | |
| - | xserver-xorg-input-synaptics install | + | |
| - | xserver-xorg-input-vmmouse install | + | |
| - | xserver-xorg-input-wacom install | + | |
| - | xserver-xorg-video-all install | + | |
| - | xserver-xorg-video-ati install | + | |
| - | xserver-xorg-video-cirrus install | + | |
| - | xserver-xorg-video-fbdev install | + | |
| - | xserver-xorg-video-geode install | + | |
| - | xserver-xorg-video-intel install | + | |
| - | xserver-xorg-video-mach64 install | + | |
| - | xserver-xorg-video-mga install | + | |
| - | xserver-xorg-video-modesetting install | + | |
| - | xserver-xorg-video-neomagic install | + | |
| - | xserver-xorg-video-nouveau install | + | |
| - | xserver-xorg-video-openchrome install | + | |
| - | xserver-xorg-video-qxl install | + | |
| - | xserver-xorg-video-r128 install | + | |
| - | xserver-xorg-video-radeon install | + | |
| - | xserver-xorg-video-savage install | + | |
| - | xserver-xorg-video-siliconmotion install | + | |
| - | xserver-xorg-video-sisusb install | + | |
| - | xserver-xorg-video-tdfx install | + | |
| - | xserver-xorg-video-trident install | + | |
| - | xserver-xorg-video-vesa install | + | |
| - | xserver-xorg-video-vmware install | + | |
| </ | </ | ||
| - | ====Démarrage et Arrêt==== | + | Pour obtenir la liste de toutes les services prédéfinis, |
| - | Les distributions RHEL ont historiquement utilisés les niveaux d' | + | < |
| + | root@debian8: | ||
| + | amanda-client amanda-k5-client bacula bacula-client dhcp dhcpv6 dhcpv6-client dns freeipa-ldap freeipa-ldaps freeipa-replication ftp high-availability http https imaps ipp ipp-client ipsec kadmin kerberos kpasswd ldap ldaps libvirt libvirt-tls mdns mountd ms-wbt mysql nfs ntp openvpn pmcd pmproxy pmwebapi pmwebapis pop3s postgresql privoxy proxy-dhcp puppetmaster radius rpc-bind samba samba-client sane smtp squid ssh synergy telnet tftp tftp-client tor-socks transmission-client vnc-server wbem-https xmpp-bosh xmpp-client xmpp-local xmpp-server | ||
| + | </code> | ||
| - | ====Utilisation==== | + | Pour obtenir la liste de toutes les types ICMP prédéfinis, |
| - | Pour interagir avec et contrôler X.orgX11, un utilisateur dispose de plusieurs raccourcis claviers | + | < |
| + | root@debian8:~# firewall-cmd --get-icmptypes | ||
| + | destination-unreachable echo-reply echo-request parameter-problem redirect router-advertisement router-solicitation source-quench time-exceeded | ||
| + | </ | ||
| - | ^ Raccourci | + | Pour obtenir |
| - | | < | + | |
| - | | < | + | |
| - | | < | + | |
| - | ====Configuration==== | + | < |
| + | root@debian8: | ||
| + | public | ||
| + | interfaces: eth0 | ||
| + | </ | ||
| - | <WRAP center round important> | + | Pour obtenir la liste des zones de la configuration courante pour une interface spécifique, |
| - | **Important** : Notez que X.orgX11 s'auto-configure. Il est rarement nécessaire | + | |
| + | <code> | ||
| + | root@debian8: | ||
| + | public | ||
| + | </ | ||
| + | |||
| + | Pour obtenir la liste des services autorisés pour la zone public, utilisez la commande suivante : | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | dhcpv6-client ssh | ||
| + | </ | ||
| + | |||
| + | Pour obtenir toute la configuration pour la zone public, utilisez la commande suivante : | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | public (default, active) | ||
| + | interfaces: eth0 | ||
| + | sources: | ||
| + | services: dhcpv6-client ssh | ||
| + | ports: | ||
| + | masquerade: no | ||
| + | forward-ports: | ||
| + | icmp-blocks: | ||
| + | rich rules: | ||
| + | |||
| + | </ | ||
| + | |||
| + | Pour obtenir la liste complète de toutes les zones et leurs configurations, | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | block | ||
| + | interfaces: | ||
| + | sources: | ||
| + | services: | ||
| + | ports: | ||
| + | masquerade: no | ||
| + | forward-ports: | ||
| + | icmp-blocks: | ||
| + | rich rules: | ||
| + | |||
| + | dmz | ||
| + | interfaces: | ||
| + | sources: | ||
| + | services: ssh | ||
| + | ports: | ||
| + | masquerade: no | ||
| + | forward-ports: | ||
| + | icmp-blocks: | ||
| + | rich rules: | ||
| + | |||
| + | drop | ||
| + | interfaces: | ||
| + | sources: | ||
| + | services: | ||
| + | ports: | ||
| + | masquerade: no | ||
| + | forward-ports: | ||
| + | icmp-blocks: | ||
| + | rich rules: | ||
| + | |||
| + | external | ||
| + | interfaces: | ||
| + | sources: | ||
| + | services: ssh | ||
| + | ports: | ||
| + | masquerade: yes | ||
| + | forward-ports: | ||
| + | icmp-blocks: | ||
| + | rich rules: | ||
| + | |||
| + | home | ||
| + | interfaces: | ||
| + | sources: | ||
| + | services: dhcpv6-client mdns samba-client ssh | ||
| + | ports: | ||
| + | masquerade: no | ||
| + | forward-ports: | ||
| + | icmp-blocks: | ||
| + | rich rules: | ||
| + | |||
| + | internal | ||
| + | interfaces: | ||
| + | sources: | ||
| + | services: dhcpv6-client mdns samba-client ssh | ||
| + | ports: | ||
| + | masquerade: no | ||
| + | forward-ports: | ||
| + | icmp-blocks: | ||
| + | rich rules: | ||
| + | |||
| + | public (default, active) | ||
| + | interfaces: eth0 | ||
| + | sources: | ||
| + | services: dhcpv6-client ssh | ||
| + | ports: | ||
| + | masquerade: no | ||
| + | forward-ports: | ||
| + | icmp-blocks: | ||
| + | rich rules: | ||
| + | |||
| + | trusted | ||
| + | interfaces: | ||
| + | sources: | ||
| + | services: | ||
| + | ports: | ||
| + | masquerade: no | ||
| + | forward-ports: | ||
| + | icmp-blocks: | ||
| + | rich rules: | ||
| + | |||
| + | work | ||
| + | interfaces: | ||
| + | sources: | ||
| + | services: dhcpv6-client ssh | ||
| + | ports: | ||
| + | masquerade: no | ||
| + | forward-ports: | ||
| + | icmp-blocks: | ||
| + | rich rules: | ||
| + | |||
| + | </ | ||
| + | |||
| + | Pour changer la zone par défaut de public à work, utilisez la commande suivante : | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | success | ||
| + | root@debian8: | ||
| + | work | ||
| + | interfaces: eth0 | ||
| + | </ | ||
| + | |||
| + | HERE | ||
| + | |||
| + | Pour ajouter l' | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | success | ||
| + | root@debian8: | ||
| + | work | ||
| + | interfaces: eth0 ip_fixe | ||
| + | </ | ||
| + | |||
| + | Pour supprimer l' | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | success | ||
| + | root@debian8: | ||
| + | work | ||
| + | interfaces: eth0 | ||
| + | </ | ||
| + | |||
| + | Pour ajouter le service | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | success | ||
| + | root@debian8: | ||
| + | dhcpv6-client http ssh | ||
| + | </ | ||
| + | |||
| + | Pour supprimer le service **http** | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | success | ||
| + | root@debian8: | ||
| + | dhcpv6-client ssh | ||
| + | </ | ||
| + | |||
| + | Pour ajouter un nouveau bloc ICMP, utilisez la commande suivante : | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | success | ||
| + | root@debian8: | ||
| + | echo-reply | ||
| + | </ | ||
| + | |||
| + | Pour supprimer un bloc ICMP, utilisez la commande suivante : | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | success | ||
| + | root@debian8: | ||
| + | root@debian8: | ||
| + | </ | ||
| + | |||
| + | Pour ajouter le port 591/tcp à la zone work, utilisez la commande suivante : | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | success | ||
| + | root@debian8: | ||
| + | 591/tcp | ||
| + | </ | ||
| + | |||
| + | Pour supprimer le port 591/tcp à la zone work, utilisez la commande suivante : | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | success | ||
| + | root@debian8: | ||
| + | root@debian8: | ||
| + | </ | ||
| + | |||
| + | Pour créer un nouveau service, | ||
| + | |||
| + | * copier un fichier | ||
| + | * modifier | ||
| + | * recharger la configuration de firewalld, | ||
| + | * vérifier que firewalld voit le nouveau service. | ||
| + | |||
| + | Par exemple : | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | root@debian8: | ||
| + | <?xml version=" | ||
| + | < | ||
| + | < | ||
| + | < | ||
| + | <port protocol=" | ||
| + | </ | ||
| + | root@debian8: | ||
| + | root@debian8: | ||
| + | <?xml version=" | ||
| + | < | ||
| + | < | ||
| + | < | ||
| + | <port protocol=" | ||
| + | </ | ||
| + | root@debian8: | ||
| + | success | ||
| + | root@debian8: | ||
| + | amanda-client amanda-k5-client bacula bacula-client dhcp dhcpv6 dhcpv6-client dns filemaker freeipa-ldap freeipa-ldaps freeipa-replication ftp high-availability http https imaps ipp ipp-client ipsec kadmin kerberos kpasswd ldap ldaps libvirt libvirt-tls mdns mountd ms-wbt mysql nfs ntp openvpn pmcd pmproxy pmwebapi pmwebapis pop3s postgresql privoxy proxy-dhcp puppetmaster radius rpc-bind samba samba-client sane smtp squid ssh synergy telnet tftp tftp-client tor-socks transmission-client vnc-server wbem-https xmpp-bosh xmpp-client xmpp-local xmpp-server | ||
| + | </ | ||
| + | |||
| + | ===La Configuration Avancée de firewalld=== | ||
| + | |||
| + | La configuration | ||
| + | |||
| + | Les **Critères** sont : | ||
| + | |||
| + | * **source address="< | ||
| + | * **destination address="< | ||
| + | * **rule port port="< | ||
| + | * **service name=< | ||
| + | |||
| + | Les **Actions** sont : | ||
| + | |||
| + | * **accept**, | ||
| + | * **reject**, | ||
| + | * une Action reject peut être associée avec un message d' | ||
| + | * **drop**. | ||
| + | |||
| + | Saisissez la commande suivante pour ouvrir le port 80 : | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | success | ||
| + | </ | ||
| + | |||
| + | <WRAP center round important 50%> | ||
| + | Notez que la Rich Rule doit être entourée | ||
| </ | </ | ||
| - | Un fichier de configuration **/ | + | Saisissez |
| - | <file> | + | <code> |
| - | Section " | + | root@debian8: |
| - | | + | ACCEPT |
| - | | + | </ |
| - | VendorName | + | |
| - | EndSection | + | |
| - | Section " | + | Saisissez la commande suivante pour visualiser la règle iptables pour IPv6 : |
| - | BoardName | + | |
| - | Driver | + | |
| - | Identifier | + | |
| - | VendorName | + | |
| - | EndSection | + | |
| - | Section " | + | < |
| - | | + | root@debian8: |
| - | | + | ACCEPT |
| - | EndSubSection | + | ACCEPT |
| - | Device | + | </code> |
| - | | + | |
| - | Monitor | + | |
| - | EndSection | + | |
| - | </file> | + | |
| - | Des applications tierces peuvent déposer des fichiers de configuration qui leur sont propres dans le répertoire | + | <WRAP center round important 50%> |
| + | **Important** - Notez que la Rich Rule a créé deux règles, une pour IPv4 et une deuxième pour IPv6. Une règle peut être créée pour IPv4 seul en incluant | ||
| + | </WRAP> | ||
| + | |||
| + | Cette nouvelle règle est écrite en mémoire mais non pas sur disque. Pour l' | ||
| < | < | ||
| - | root@debian8: | + | root@debian8: |
| - | total 20 | + | success |
| - | -rw-r--r-- 1 root root 1099 Feb 11 2015 10-evdev.conf | + | root@debian8:~# cat / |
| - | -rw-r--r-- 1 root root 1350 Feb 11 2015 10-quirks.conf | + | <?xml version=" |
| - | -rw-r--r-- 1 root root 1753 Sep 18 2014 50-synaptics.conf | + | < |
| - | -rw-r--r-- 1 root root 115 Jul 8 2014 50-vmmouse.conf | + | < |
| - | -rw-r--r-- 1 root root 1385 Oct 4 2014 50-wacom.conf | + | < |
| + | | ||
| + | | ||
| + | < | ||
| + | <port protocol=" | ||
| + | < | ||
| + | </ | ||
| + | </ | ||
| </ | </ | ||
| - | <WRAP center round important> | + | <WRAP center round important |
| - | **Important** | + | **Important** |
| </ | </ | ||
| - | Les fichiers de configuration | + | Pour visualiser cette règle dans la configuration |
| - | <file> | + | <code> |
| - | Section " | + | root@debian8: |
| - | ... | + | ... |
| - | </ | + | work (default, active) |
| + | interfaces: eth0 | ||
| + | sources: | ||
| + | services: dhcpv6-client ssh | ||
| + | ports: | ||
| + | masquerade: no | ||
| + | forward-ports: | ||
| + | icmp-blocks: | ||
| + | rich rules: | ||
| + | rule port port=" | ||
| - | et se termine par une directive **EndSection** : | + | </ |
| - | <file> | + | Notez que la Rich Rule est créée dans la Zone par Défaut. Il est possible de créer une Rich Rule dans une autre zone en utilisant l' |
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | success | ||
| + | root@debian8: | ||
| ... | ... | ||
| - | EndSection | + | public |
| - | </file> | + | interfaces: |
| + | sources: | ||
| + | services: dhcpv6-client ssh | ||
| + | ports: | ||
| + | masquerade: no | ||
| + | forward-ports: | ||
| + | icmp-blocks: | ||
| + | rich rules: | ||
| + | rule port port=" | ||
| + | trusted | ||
| + | interfaces: | ||
| + | sources: | ||
| + | services: | ||
| + | ports: | ||
| + | masquerade: no | ||
| + | forward-ports: | ||
| + | icmp-blocks: | ||
| + | rich rules: | ||
| + | |||
| + | work (default, active) | ||
| + | interfaces: eth0 | ||
| + | sources: | ||
| + | services: dhcpv6-client ssh | ||
| + | ports: | ||
| + | masquerade: no | ||
| + | forward-ports: | ||
| + | icmp-blocks: | ||
| + | rich rules: | ||
| + | rule port port=" | ||
| + | </code> | ||
| - | Dans chaque section se trouvent des lignes comprennant une **Option** suivi d'une ou de plusieurs **Valeurs** : | ||
| - | <file> | + | Pour supprimer une Rich Rule, il faut copier la ligne entière la concernant qui se trouve dans la sortie de la commande **firewall-cmd --list-all-zones** : |
| - | | + | |
| - | </file> | + | <code> |
| + | root@debian8: | ||
| + | success | ||
| + | </code> | ||
| + | |||
| + | ===Le mode Panic de firewalld=== | ||
| + | |||
| + | Le mode Panic de firewalld permet de bloquer tout le trafic avec une seule commande. Pour connaître l' | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | no | ||
| + | </ | ||
| + | |||
| + | Pour activer le mode Panic, il convient de saisir la commande suivante : | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | success | ||
| + | root@debian8: | ||
| + | yes | ||
| + | </ | ||
| + | |||
| + | Pour désactiver le mode Panic, il convient de saisir la commande suivante : | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | success | ||
| + | root@debian8: | ||
| + | no | ||
| + | </ | ||
| + | |||
| + | =====Annexe #1 - Comprendre les Réseaux===== | ||
| + | |||
| + | ====Présentation des Réseaux==== | ||
| + | |||
| + | La définition d'un réseau peut être résumé ainsi : | ||
| + | |||
| + | * un ensemble d' | ||
| + | * une entité destinée au transport de données dans différents environnements. | ||
| + | |||
| + | Pour que la communication soit efficace, elle doit respecter les critères suivants : | ||
| + | |||
| + | * présenter des informations compréhensibles par tous les participants, | ||
| + | * être compatible avec un maximum d' | ||
| + | * si l' | ||
| + | * permettre une réduction des coûts (par ex. interconnexion à bas coût), | ||
| + | * permettre une productivité accrue (par ex. interconnexion à haut débit), | ||
| + | * être sécurisée si les informations à transmettre sont dites sensibles, | ||
| + | * garantir l' | ||
| + | |||
| + | On peut distinguer deux familles d' | ||
| + | |||
| + | Les **Eléments Passifs** transmettent le signal d'un point à un autre : | ||
| + | |||
| + | * **Les Infrastructures ou Supports** - des câbles, de l' | ||
| + | * **La Topologie** - l' | ||
| + | |||
| + | Les **Eléments Actifs** sont des équipements qui consomment de l' | ||
| + | |||
| + | * **Equipement de Distribution Interne au Réseau** - Répartiteur (Hub, Switch, Commutateur etc.), Borne d' | ||
| + | * **Equipement d' | ||
| + | * **Nœuds** et **Interfaces Réseaux** - postes informatiques, | ||
| + | |||
| + | Un **Nœud** est une extrémité de connexion qui peut être une intersection de plusieurs connexions ou de plusieurs **Equipements**. | ||
| + | |||
| + | Une **Interface Réseau** est une prise ou élément d'un **Equipement Actif** faisant la connexion vers d' | ||
| <WRAP center round important> | <WRAP center round important> | ||
| - | **A faire** : Notez que la valeur est entourée | + | Dans le cas d'un mélange d'**Equipements** non-homogènes en termes |
| </ | </ | ||
| - | Certaines options sont des booléenes. Les valeurs admises sont : | + | Tous les **Equipements** connectés au même support doivent respecter un ensemble de règles appelé une **Protocole de Communication**. |
| - | | + | Les **Protocoles de Communication** définissent de façon formelle et interopérable la manière dont les informations sont échangées entre les **Equipements**. |
| - | | + | |
| - | ===La Section ServerFlags=== | + | Des **Logiciels**, |
| - | Cette section optionnelle contient | + | Se basant sur des **Protocoles de Communication**, |
| - | Un exemple | + | L' |
| - | < | + | ====Classification des Réseaux==== |
| - | Section " | + | |
| - | Option " | + | |
| - | EndSection | + | |
| - | </ | + | |
| - | Les directives les plus courantes dans cette section sont : | + | Les réseaux peuvent être classifiés de trois façon différentes |
| - | ^ Directive | + | * par **Mode de Transmission**, |
| - | | " | + | * par **Topologie**, |
| - | | " | + | * par **Étendue**. |
| - | ===La Section ServerLayout=== | + | ===Classification par Mode de Transmission=== |
| - | Cette section regroupe les informations concernant les périphériques en entrée et les périphériques en sortie. | + | Il existe deux **Classes** de réseaux dans cette classification : |
| - | Un exemple | + | * les **Réseaux en Mode de Diffusion**, |
| + | * utilise un seul support de transmission, | ||
| + | * le message | ||
| - | < | + | * les **Réseaux en Mode Point à Point**, |
| - | Section | + | * une seule liaison entre deux équipements, |
| - | Identifier | + | |
| - | Screen | + | |
| - | InputDevice | + | |
| - | InputDevice | + | |
| - | EndSection | + | |
| - | </ | + | |
| - | Les directives les plus courantes dans cette section sont : | + | ===Classification par Topologie=== |
| - | ^ Directive | + | <WRAP center round important> |
| - | | " | + | La **Topologie Physique** d'un réseau décrit l' |
| - | | " | + | </WRAP> |
| - | | " | + | |
| - | | " | + | ==La Topologie Physique== |
| + | |||
| + | Il existe 6 topologies physiques de réseau : | ||
| + | |||
| + | * La Topologie en Ligne, | ||
| + | * La Topologie en Bus, | ||
| + | * La Topologie en Etoile, | ||
| + | * La Topologie en Anneau, | ||
| + | * La Topologie en Arbre, | ||
| + | * La Topologie Maillée. | ||
| + | |||
| + | ==La Topologie en Ligne== | ||
| + | |||
| + | Tous les nœuds sont connectés à un seul support. L'inconvénient | ||
| + | |||
| + | ==La Topologie en Bus== | ||
| + | |||
| + | Tous les nœuds sont connectés à un seul support (un câble BNC en T) avec des bouchons à chaque extrémité. La longueur du bus est limitée à **185m**. Le nombre de stations de travail est limité à **30**. Les Stations sont reliées au Bus par des ' | ||
| + | Quand le support tombe en panne, le réseau ne fonctionne plus. Quand une station tombe en panne, elle ne perturbe pas le fonctionnement de l'ensemble du réseau. Les Stations étant reliés à un suel support, ce type de topologie necessite un **Protocole d' | ||
| + | |||
| + | {{: | ||
| + | |||
| + | ==La Topologie en Étoile== | ||
| + | |||
| + | Chaque nœud est connecté à un périphérique central appelé un **Hub** (**Concentrateur**) ou un **Switch** (**Commutateur**). Un Hub ou un Switch est prévu pour 4, 8, 16, 32 ... stations. En cas d'un réseau d'un plus grand nombre de stations, plusieurs Hubs ou Switches sont connectés ensemble. Quand une station tombe en panne, elle ne perturbe pas le fonctionnement | ||
| + | |||
| + | {{: | ||
| + | |||
| + | ==La Topologie en Anneau== | ||
| + | |||
| + | Chaque nœud est relié directement à ses deux voisins dans une topologie logique de cercle ininterrompu et une topologie physique en étoile car les stations sont reliées à un type de hub spécial, appelé un **Multistation Access Unit** (MAU). | ||
| + | |||
| + | {{: | ||
| + | |||
| + | Les stations sont reliées à la MAU par un câble | ||
| + | |||
| + | ==La Topologie en Arbre== | ||
| + | |||
| + | La Topologie en Arbre est utilisée dans un réseau hierarchique où le sommet, aussi appelé la **racine**, est connecté à plusieurs noeuds de niveau inférieur. Ces neouds peuvent à leur tour être connectés à d'autres noeuds inférieurs. L' | ||
| + | |||
| + | ==La Topologie Maillée== | ||
| + | |||
| + | Cette Topologie est utilisée pour des grands réseaux de distribution tels Internet ou le WIFI. Chaque noeud à tous les autres via des liaisons point à point. Le nombre de liaisons devient très rapidement important en cas d'un grand nombre de noeuds. Par exemple | ||
| + | |||
| + | N(N-1)/2 = 100(100-1)/ | ||
| <WRAP center round important> | <WRAP center round important> | ||
| - | **Important** : Le fichier de configuration peut contenir deux ou plusieurs sections ServerLayout. Seule la première sera prise en compte. | + | La **Topologie Physique** la plus répandue est la **Topologie |
| </ | </ | ||
| - | ===La Section Files=== | + | ===Classification par Etendue=== |
| - | Cette section regroupe les informations concernant les fichiers de configuration supplémentaires. | + | La classification par étendue nous fournit 4 réseaux principaux : |
| - | Un exemple de cette section est : | + | ^ Nom ^ Description ^ Traduction ^ Taille Approximative (M) | |
| + | | PAN | Personal Area Network | Réseau Personnel | 1 -10 | | ||
| + | | LAN | Local Area Network | Réseau Local Entreprise (RLE) | 5 - 1 200 | | ||
| + | | MAN | Métropolitain Area Network | Réseau Urbain | 900 - 100 000 | | ||
| + | | WAN | Wide Area Network | Réseau Long Distance (RLD) | 50 000 et au delà | | ||
| - | < | + | Cependant, d' |
| - | Section " | + | |
| - | RgbPath | + | |
| - | FontPath | + | |
| - | EndSection | + | |
| - | </ | + | |
| - | Les directives les plus courantes dans cette section sont : | + | | CAN | Campus Area Network | Réseau de Campus | |
| + | | GAN | Global Area Network | Réseau Global | | ||
| + | | TAN | Tiny Area Network | Réseau Minuscule | | ||
| + | | FAN | Family Area Network | Réseau Familial | | ||
| + | | SAN | Storage Area Network | Réseau de Stockage | | ||
| - | ^ Directive | + | <WRAP center round important> |
| - | | " | + | Etant donné que les WANs sont gérés par des opérateurs de télécommunications qui doivent demander une licence à l'état mais que les LANs ont été historiquement mis en oeuvre dans les entreprises, |
| - | | " | + | </WRAP> |
| - | | " | + | |
| - | Voici le fichier | + | ===Les Types de LAN=== |
| + | |||
| + | Il existe deux types de LAN : | ||
| + | |||
| + | * le réseau à serveur dédié, | ||
| + | | ||
| + | |||
| + | ==Réseau à Serveur Dédié== | ||
| + | |||
| + | Le réseau à serveur dédié est caractérisé par le fait que toutes les ressources ( imprimantes, | ||
| + | |||
| + | Des exemples des systèmes d' | ||
| + | |||
| + | | ||
| + | * Windows 2000 Server, | ||
| + | * Windows 2003 Server, | ||
| + | * Windows 2008 Server, | ||
| + | * Linux, | ||
| + | * Unix. | ||
| + | |||
| + | {{: | ||
| + | |||
| + | ==Réseau Poste-à-Poste== | ||
| + | |||
| + | Le réseau poste à poste est caractérisé par le fait que tous les ordinateurs peuvent jouer le rôle de client et de serveur : | ||
| + | |||
| + | * Windows 95, | ||
| + | * Windows 98, | ||
| + | * Windows NT Workstation. | ||
| + | |||
| + | {{: | ||
| + | |||
| + | ====Le Modèle Client/Serveur==== | ||
| + | |||
| + | Le modèle Client/Serveur est une des modalités des architectures informatiques distribuées. Dans ce modèle un serveur est tout **Logiciel** fournissant un **Service**. | ||
| + | |||
| + | Le serveur est aussi : | ||
| + | |||
| + | * passif, c' | ||
| + | * capable de traiter plusieurs requêtes simultanément en utilisant le **multi-threading**, | ||
| + | * garant de l' | ||
| + | |||
| + | Le client est, par contre **actif**, étant à l' | ||
| + | |||
| + | Il existe trois types de modèle client/serveur : | ||
| + | |||
| + | * **Plat** - tous les clients communiques avec un seul serveur, | ||
| + | * **Hiérarchique** - les clients n'ont de contact qu' | ||
| + | * **Peer-to-Peer** - les équipements sont à la fois client **et** serveur en même temps. | ||
| + | |||
| + | ====Modèles de Communication==== | ||
| + | |||
| + | Les réseaux sont bâtis sur des technologies et des modèles. Le modèle **théorique** le plus important est le modèle **O**pen **S**ystem **Interconnection** créé par l' | ||
| + | |||
| + | === Le modèle OSI === | ||
| + | |||
| + | Le modèle OSI qui a été proposé par l'ISO est devenu le standard en termes de modèle pour décrire l' | ||
| + | |||
| + | Ce modèle repose sur trois termes : | ||
| + | |||
| + | * Les **Couches**, | ||
| + | * Les **Protocoles**, | ||
| + | * Les **Interfaces**. | ||
| + | |||
| + | ==Les Couches== | ||
| + | |||
| + | Des sept couches : | ||
| + | |||
| + | * Les couches 1 à 3 sont les **Couches Basses** orientées **Transmission**, | ||
| + | * La couche 4 est la **Couche Charnière** entre les **Couches Basses** et les **Couches Hautes**, | ||
| + | * Les couches 5 à 7 sont les **Couches Hautes** orientées **Traitement**. | ||
| + | |||
| + | La couche du même niveau du système **A** parle avec son homologue du système **B**. | ||
| + | |||
| + | * **La Couche Physique** ( Couche 1 ) est responsable : | ||
| + | * du transfert de données binaires sur le câble physique ou virtuel | ||
| + | * de la définition de tout aspect physique allant du connecteur jusqu' | ||
| + | * de la définition des tensions électriques sur le câble pour obtenir le 0 et le 1 binaires | ||
| + | |||
| + | * **La Couche de Liaison** ( Couche 2 ) est responsable : | ||
| + | * de la réception des données de la couche physique | ||
| + | * de l' | ||
| + | * de la préparation, | ||
| + | * de la gestion de l' | ||
| + | * de la communication nœud à nœud | ||
| + | * de la gestion des erreurs | ||
| + | * avant la transmission, | ||
| + | * le nœud récepteur recalcule un CRC en fonction du contenu de la trame reçue et le compare à celui incorporé avec l' | ||
| + | * en cas de deux CRC identique, le nœud récepteur envoie un accusé de réception au nœud émetteur | ||
| + | * de la réception de l' | ||
| + | * éventuellement de le ré-émission des données | ||
| + | * En prenant ce modèle, l'IEEE ( Institute of Electrical and Eletronics Engineers ) l'a étendu avec le Modèle IEEE ( 802 ). | ||
| + | *Dans ce modèle la Couche de Liaison est divisée en deux sous-couches importantes : | ||
| + | * La **Sous-Couche LLC** ( Logical Link Control ) qui : | ||
| + | * gère les accusés de réception | ||
| + | * gère le flux de trames | ||
| + | * La **Sous-Couche MAC** ( Media Access Control ) qui : | ||
| + | * gère la méthode d' | ||
| + | * le CSMA/CD dans un réseau basé sur la technologie Ethernet | ||
| + | * l' | ||
| + | * gère les erreurs | ||
| + | |||
| + | * **La Couche de Réseau** ( Couche 3 ) est responsable de la gestion de la bonne distribution des différentes informations aux bonnes adresses en : | ||
| + | * identifiant le chemin à emprunter d'un nœud donné à un autre | ||
| + | * appliquant une conversion des adresses logiques ( des noms ) en adresses physiques | ||
| + | * ajoutant des information adressage aux envois | ||
| + | * détectant des paquets trop volumineux avant l' | ||
| + | |||
| + | * **La Couche de Transport** ( Couche 4 ) est responsable de veiller à ce que les données soient envoyées correctement en : | ||
| + | * constituant des paquets de données corrects | ||
| + | * les envoyant dans le bon ordre | ||
| + | * vérifiant que les données sont traités dans le même ordre que l' | ||
| + | * permettant à un processus sur un nœud de communiquer avec un autre nœud et d' | ||
| + | |||
| + | * **La Couche de Session** ( Couche 5 ) est responsable : | ||
| + | * de l' | ||
| + | * de la conversation entre deux processus de vérification de la réception des messages envoyés en séquences, c' | ||
| + | |||
| + | * de la sécurité lors de l' | ||
| + | |||
| + | * **La Couche de Présentation** ( Couche 6 ) est responsable : | ||
| + | * du formatage et de la mise en forme des données | ||
| + | * des conversions de données telles le cryptage/ | ||
| + | |||
| + | * **La Couche d' | ||
| + | * du dialogue homme/ | ||
| + | * du partage des ressources | ||
| + | * de la messagerie | ||
| + | |||
| + | ==Les Protocoles== | ||
| + | |||
| + | Un **protocole** est un langage commun utilisé par dexu entités en communication pour pouvoir se comprendre. La nature du Protocole dépends directement de la nature de la communication. Cette bature dépend du **paradigme** de communication que l' | ||
| + | |||
| + | ==Les Interfaces== | ||
| + | |||
| + | Chaque couche rend des **services** à la couche immédiatement supérieure et utilise les services de la couche immédiatement inférieure. L' | ||
| + | |||
| + | ==Protocol Data Units== | ||
| + | |||
| + | | ||
| + | |||
| + | * **Application Protocol Data Units** pour la couche **Application**, | ||
| + | * **Présentation Protocol Data Units** pour la couche **Présentation**, | ||
| + | * **Session Protocol Data Units** pour la couche **Session**, | ||
| + | * **Transport Protocol Data Units** pour la couche **Transport**. | ||
| + | |||
| + | Or, pour les **Couches Basses** on parle de : | ||
| + | |||
| + | * **Paquets** pour la couche **Réseau**, | ||
| + | * **Trames** pour la couche **Liaison**, | ||
| + | * **Bits** pouyr la couche **Physique**. | ||
| + | |||
| + | ==Encapsulation et Désencapsulation== | ||
| + | |||
| + | Lorque les données sont communiqueés par le système A au système B, celles-ci commencent au niveau de la couche d' | ||
| + | |||
| + | ^ Couche Système A ^ Encapsulation ^ | ||
| + | | Application | Application Header (AH) + Unité de Données (UD) | | ||
| + | | Présentation | Présentation Header (PH) + AH + UD | | ||
| + | | Session | Session Header (SH) + PH + AH + UD | | ||
| + | | Transport | Transport Header (TH) + SH + PH + AH + UD | | ||
| + | | Réseau | Network Header (NH) + TH + SH + PH + AH + UD | | ||
| + | | Liaison | Liaison Header (DH) + NH + TH + SH + PH + AH + UD | | ||
| + | |||
| + | Lors de son voyage de la couche Physique vers la couche Application dans le système B, les en-têtes sont supprimées par chaque couche correspondante. On parle alors de **désencapsulation** : | ||
| + | |||
| + | ^ Couche Système B ^ Encapsulation ^ | ||
| + | | Liaison | Liaison Header (DH) + NH + TH + SH + PH + AH + UD | | ||
| + | | Réseau | Network Header (NH) + TH + SH + PH + AH + UD | | ||
| + | | Transport | Transport Header (TH) + SH + PH + AH + UD | | ||
| + | | Session | Session Header (SH) + PH + AH + UD | | ||
| + | | Présentation | Présentation Header (PH) + AH + UD | | ||
| + | | Application | Application Header (AH) + Unité de Données (UD) | | ||
| + | |||
| + | === Spécification NDIS et le Modèle ODI === | ||
| + | |||
| + | <note tip> | ||
| + | **[[https:// | ||
| + | </ | ||
| + | |||
| + | La spécification NDIS ( Network Driver Interface Specification ) a été introduite conjointement par les sociétés Microsoft et 3Com. | ||
| + | Cette spécification ainsi que son homologue, le modèle ODI ( Open Datalink Interface ) introduit conjointement par les sociétés Novell et Apple à la même époque, définit des standards pour les pilotes de cartes réseau afin qu'ils puissent être indépendants des protocoles utilisées et les systèmes d' | ||
| + | |||
| + | * l' | ||
| + | * l' | ||
| + | * l' | ||
| + | |||
| + | === Le modèle TCP/IP === | ||
| + | |||
| + | <note tip> | ||
| + | **[[https:// | ||
| + | </ | ||
| + | |||
| + | La suite des protocoles TCP/IP ( Transmission Control Protocol / Internet Protocol ) est issu de la DOD ( Dept. Américain de la Défense ) et le travail de l'ARPA ( Advanced Research Project Agency ). | ||
| + | |||
| + | * La suite des protocoles TCP/IP | ||
| + | * a été introduite en 1974 | ||
| + | * a été utilisée dans l' | ||
| + | * permet la communication entre des réseaux à base de systèmes d' | ||
| + | * est très proche du modèle OSI en termes d' | ||
| + | * est, en réalité, une suite de protocoles et de services : | ||
| + | * **IP** ( Internet Protocol ) | ||
| + | * le protocole IP s' | ||
| + | * **ICMP** ( Internet Control Message Protocol ) | ||
| + | * le protocole ICMP produit des messages de contrôle aidant à synchroniser le réseau. Un exemple de ceci est la commande ping. | ||
| + | * **TCP** ( Transmission Control Protocol ) | ||
| + | * le protocole TCP se trouve au niveau de la couche de Transport du modèle OSI et s' | ||
| + | * **UDP** ( User Datagram Protocol ) | ||
| + | * le protocole UDP n'est pas orienté connexion. Il est utilisé pour la transmission rapide de messages entre nœuds sans garantir leur acheminement. | ||
| + | * **Telnet** | ||
| + | * le protocole Telnet est utilisé pour établir une connexion de terminal à distance. Il se trouve dans la couche d' | ||
| + | * **Ftp** ( File Transfer Protocol ) | ||
| + | * le protocole ftp est utilisé pour le transfert de fichiers. Il se trouve dans la couche d' | ||
| + | * **SMTP** ( Simple Message Transfer Protocol ) | ||
| + | * le service SMTP est utilisé pour le transfert de courrier électronique. Il se trouve dans la couche d' | ||
| + | * **DNS** ( Domain Name Service ) | ||
| + | * le service DNS est utilisé pour le résolution de noms en adresses IP. Il se trouve dans la couche d' | ||
| + | * **SNMP** ( Simple Network Management Protocol ) | ||
| + | * le protocole SNMP est composé d'un agent et un gestionnaire. L' | ||
| + | * **NFS** ( Network File System ) | ||
| + | * le NFS a été mis au point par Sun Microsystems | ||
| + | * le NFS génère un lien virtuel entre les lecteurs et les disques durs permettant de monter dans un disque virtuel local un disque distant | ||
| + | * et aussi POP3, NNTP, IMAP etc ... | ||
| + | |||
| + | <note tip> | ||
| + | **[[https:// | ||
| + | </ | ||
| + | |||
| + | Le modèle TCP/IP est composé de 4 couches : | ||
| + | |||
| + | * La couche d' | ||
| + | * Cette couche spécifie la forme sous laquelle les données doivent être acheminées, | ||
| + | * La couche Internet | ||
| + | * Cette couche est chargée de fournir le paquet de données. | ||
| + | * La couche de Transport | ||
| + | * Cette couche assure l' | ||
| + | * La couche d' | ||
| + | * Cette couche englobe les applications standards de réseau telles ftp, telnet, ssh, etc.. | ||
| + | |||
| + | Les noms des Unités de Données sont différents selon le protocole utilisé et la couche du modèle TCP/IP : | ||
| + | |||
| + | ^ Couche | ||
| + | | Application | Stream | Message | | ||
| + | | Transport | Segment | Packet| | ||
| + | | Internet | Datagram| Datagram | | ||
| + | | Réseau | Frame | Frame | | ||
| + | |||
| + | ====Les Raccordements==== | ||
| + | |||
| + | ===Les Modes de Transmission=== | ||
| + | |||
| + | On peut distinguer 3 modes de transmission : | ||
| + | |||
| + | * La **Liaison Simplex**, | ||
| + | * Les données ne circulent que dans un **seul** sens de l' | ||
| + | * La liaison nécessite deux canaux de transmissions, | ||
| + | * La **Liaison Half-Duplex** aussi appelée la **Liaison à l' | ||
| + | * Les données circulent dans un sens ou l' | ||
| + | * La liaison permet d' | ||
| + | * La **Liaison Full-Duplex** dans les deux sens en **même** temps. Chaque extrémité peut émettre et recevoir simultanément, | ||
| + | * La liaison est caractérisée par une bande passante divisée par deux pour chaque sens des émissions. | ||
| + | |||
| + | ===Les Câbles=== | ||
| + | |||
| + | ==Le Câble Coaxial== | ||
| + | |||
| + | En partant de l' | ||
| + | |||
| + | * d'une **Gaine** en caoutchouc, PVC ou Téflon pour protéger le câble, | ||
| + | * d'un **Blindage** en métal pour diminuer le bruit du aux parasites, | ||
| + | * d'un **Isolant** (diélectrique) pour éviter le contact entre le blindage et l'âme et ainsi éviter des courts-circuits, | ||
| + | * d'un **Âme** en cuivre ou torsadés pour transporter les données. | ||
| + | |||
| + | Avantages : | ||
| + | |||
| + | * **Peux coûteux**, | ||
| + | * Facilement **manipulable**, | ||
| + | * Peut être utilisé pour de **longues distances**, | ||
| + | * A un débit de 10 Mbit/s dans un LAN et 100 Mbit/s dans un WAN. | ||
| + | |||
| + | Inconvénients : | ||
| + | |||
| + | * Fragile, | ||
| + | * Instable, | ||
| + | * Vulnérable aux interférences, | ||
| + | * Half-Duplex. | ||
| + | |||
| + | ==Le Câble Paire Torsadée== | ||
| + | |||
| + | Ce câble existe sous deux formes selon son utilisation : | ||
| + | |||
| + | * **Monobrin** pour du câblage **horizontal** (**Capillaire**), | ||
| + | * chaque fil est composé d'un seul conducteur en cuivre, | ||
| + | * la distance ne doit pas dépassée 90m. | ||
| + | |||
| + | * **Multibrin** pour des **cordons de brassage** : | ||
| + | * chaque fil est composé de plusieurs brins en cuivre, | ||
| + | * câble souple. | ||
| + | |||
| + | Avantages : | ||
| + | |||
| + | * Un débit de 10 Mbit/s à 10 GBit/s, | ||
| + | * A une bande passante plus large, | ||
| + | * Pas d' | ||
| + | * Permet le **câblage universel** (téléphonie, | ||
| + | * Full-Duplex. | ||
| + | |||
| + | Inconvénients : | ||
| + | |||
| + | * Nombre de câbles > câble coaxial, | ||
| + | * Plus cher, | ||
| + | * Plus encombrant dans les gaines techniques. | ||
| + | |||
| + | == Catagories de Blindage== | ||
| + | |||
| + | Il existe trois catagories de blindage : | ||
| + | |||
| + | * **Twisted** ou Torsadé, | ||
| + | * **Foiled** ou Entouré, | ||
| + | * **Shielded** ou Avec Ecran. | ||
| + | |||
| + | De ce fait, il existe 5 catagories de câbles Paire Torsadée : | ||
| + | |||
| + | Nom anglais ^ Appelation Ancienne ^ Nouvelle Appelation ^ | ||
| + | | Unshielded Twisted Pair | UTP | U/UTP | | ||
| + | | Foiled Twisted Pair | FTP | F/UTP | | ||
| + | | Shield Twisted Pair | STP | S/UTP | | ||
| + | | Shield Foiled Twisted Pair | SFTP | SF/UTP | | ||
| + | | Shield Shield Twisted Pair | S/STP | SS/STP3 | | ||
| + | |||
| + | Ces catégories donnent lieu à des **Classes** : | ||
| + | |||
| + | ^ Classe ^ Débit ^ Nombre de Paires Torsadées ^ Connecteur ^ Commentaires ^ | ||
| + | | 3 | 10 Mbit/s | 4 | RJ11 | | Téléphonie Analogique et Numérique | ||
| + | | 4 | 16 Mbit/s | 4 | S/O | Non-utilisée de nos jours | | ||
| + | | 5 | 100 Mbit/s | 4 | RJ45 | Obsolète | | ||
| + | | 5e/D | 1 Gbit/s sur 100m | 4 | RJ45 | S/O | | ||
| + | | 6/E | 2.5 Gbit/s sur 100m ou 10 Gbit/s sur 25m à 55m | 4 | Idéal pour PoE | | ||
| + | | 7/F | 10 Gbit/s sur 100m | 4 | GG45 ou Tera | Paires individuellement et collectivement blindées. Problème de compatibilité avec les classes precédentes due au connecteur. | | ||
| + | |||
| + | ==La Prise RJ45== | ||
| + | |||
| + | Une prise RJ45 comporte 8 broches. Un câble peut être **droit** quand la broche 1 d'une extremité est connectée à la broche 1 de la prise RJ45 à l' | ||
| + | |||
| + | Les câbles croisés sont utilisés lors du branchement de deux équipements identiques (PC à PC, Hub à Hub, Routeur à Routeur). | ||
| + | |||
| + | ==Channel Link et Basic Link== | ||
| + | |||
| + | Le **Channel Link** ou **Canal** est l' | ||
| + | |||
| + | Le **Basic Link** est le lien entre la prise RJ45 murale et la baie de brassage. Il est limité à 90m en classe 5D. | ||
| + | |||
| + | ===La Fibre Optique=== | ||
| + | |||
| + | La **Fibre Optique** est un fil de **Silice** permettant le transfert de la lumière. De ce fait elle est caractérisée par : | ||
| + | |||
| + | * des meilleures performances que le cuivre, | ||
| + | * de plus de communications simultanément, | ||
| + | * de la capacité de relier de plus grandes distances, | ||
| + | * une insensibilité aux perturbations, | ||
| + | * une résistance à la corrosion. | ||
| + | |||
| + | Qui plus est, elle ne produit aucune perturbation. | ||
| + | |||
| + | Elle est composée : | ||
| + | |||
| + | * d'un coeur de 10, de 50/125 ou de 62.50 micron, | ||
| + | * d'une gaine de 125 micron, | ||
| + | * d'une protection de 230 micron. | ||
| + | |||
| + | Il existe deux types de fibres, la **Fibre Monomode** et la **Fibre Multimodes**. | ||
| + | |||
| + | La Fibre Monomode : | ||
| + | |||
| + | * a un coeur de 8 à 10 Microns, | ||
| + | * est divisée en sous-catégories de distance, | ||
| + | * 10 Km, | ||
| + | * 15 Km, | ||
| + | * 20 Km, | ||
| + | * 50 Km, | ||
| + | * 80 Km, | ||
| + | * 100 Km. | ||
| + | |||
| + | La Fibre Multimode : | ||
| + | |||
| + | * a un coeur de 62,50 micron ou de 50/125 micron avec une gaine orange, | ||
| + | * permet plusieurs trajets lumineux appelés **modes** en même temps en Full Duplex, | ||
| + | * est utilisée pour de bas débits ou de courtes distances, | ||
| + | * 2 Km pour 100 Mbit/s, | ||
| + | * 500 m pour 1 Gbit/s. | ||
| + | |||
| + | ===Les Réseaux sans Fils=== | ||
| + | |||
| + | Les réseaux sans fils sans basés sur une liaison qui utilise des ondes radio-électriques (radio et infra-rouges). | ||
| + | |||
| + | Il existe des technologies différentes en fonction de la fréquence utilisée et de la portée des transmissions : | ||
| + | |||
| + | * Réseaux Personnels sans Fils - Bluetooth, HomeRF, | ||
| + | * Réseaux Locaux sans Fils - LiFI, WiFI, | ||
| + | * Réseaux Métropolitains sans Fil - wImax, | ||
| + | * Réseaux Etendus sans Fils - GSM, GPRS, UMTS. | ||
| + | |||
| + | Les principales ondes utilisées pour la transmission des données sont : | ||
| + | |||
| + | * Ondes GSM - Ondes Hertziennes repeosant sur des micro-ondes à basse fréquence avec une portée d'une dizaine de kilomètres, | ||
| + | * Ondes Wi-Fi - Ondes Hertziennes reposant sur des micro-ondes à haute fréquence avec une portée de 20 à 50 mètres, | ||
| + | * Ondes Satellitaires - Ondes Hertziennes longues portées. | ||
| + | |||
| + | ===Le Courant Porteur en Ligne=== | ||
| + | |||
| + | Le CPL utilise le réseau électrique domestique, le réseau moyenne et basse tension pour transmettre des informations numériques. | ||
| + | |||
| + | Le CPL superpose un signal à plus haute fréquence au signal électrique. | ||
| + | |||
| + | Seuls donc, les fils conducteurs transportent les signaux CPL. | ||
| + | |||
| + | Le coupleur intégré en entrée des boîtiers CPL élimine les composants basses fréquences pour isoler le signal CPL. | ||
| + | |||
| + | Le CPL utilise la phase électrique et le neutre. De ce fait, une installation triphasée fournit 3 réseaux CPL différents. | ||
| + | |||
| + | Le signal CPL ne s' | ||
| + | |||
| + | Les normes CPL sont : | ||
| + | |||
| + | ^ Norme ^ Débit Théorique ^ Débit Pratique ^ Temps pour copier 1 Go ^ | ||
| + | | Homeplug 1.01 | 14 Mbps | 5.4 Mbps | 25m 20s | | ||
| + | | Homeplug 1.1 | 85 Mbps | 12 Mbps | 11m 20s | | ||
| + | | PréUPA 200 | 200 Mbps | 30 Mbps | 4m 30s | | ||
| + | |||
| + | ===Technologies=== | ||
| + | |||
| + | Il existe plusieurs technologies de réseau : | ||
| + | |||
| + | * Ethernet, | ||
| + | * Token-Ring, | ||
| + | * ARCnet, | ||
| + | * etc.. | ||
| + | |||
| + | Nous détaillerons ici les deux technologies les plus répandues, à savoir Ethernet et Token-Ring. | ||
| + | |||
| + | ==Ethernet== | ||
| + | |||
| + | La technologie Ethernet se repose sur : | ||
| + | |||
| + | * une topologie logique de bus, | ||
| + | * une topologie physique de bus ou étoile. | ||
| + | |||
| + | L' | ||
| + | |||
| + | Il faut noter que : | ||
| + | |||
| + | * les données sont transmises à chaque nœud - c'est la méthode d' | ||
| + | * chaque nœud qui veut émettre écoute le réseau - c'est la **détection de porteuse**, | ||
| + | * quand le réseau est silencieux une trame est émise dans laquelle se trouvent les données ainsi que l' | ||
| + | * le système est dit donc **aléatoire** ou **non-déterministe**, | ||
| + | * quand deux nœuds émettent en même temps, il y a **collision de données**, | ||
| + | * les deux nœuds vont donc cesser d' | ||
| + | |||
| + | ==Token-Ring== | ||
| + | |||
| + | La technologie Token-Ring se repose sur : | ||
| + | |||
| + | * une topologie logique en anneau, | ||
| + | * une topologie physique en étoile. | ||
| + | |||
| + | Token-Ring se traduit par **Anneau à Jeton**. Il n'est pas aussi répandu que l' | ||
| + | |||
| + | Il faut noter que : | ||
| + | |||
| + | * les données sont transmises dans le réseau par un système appelé **méthode de passage de jeton**, | ||
| + | * le jeton est une **trame numérique vide** de données qui tourne en permanence dans l' | ||
| + | * quand un nœud souhaite émettre, il saisit le jeton, y dépose des données avec l' | ||
| + | * pendant son voyage, aucun autre nœud ne peut émettre, | ||
| + | * une fois arrivé à sa destination, | ||
| + | * ce système est appelé **déterministe**. | ||
| + | |||
| + | L' | ||
| + | |||
| + | * qu'il **évite des collisions**, | ||
| + | * qu'il est **possible de déterminer avec exactitude le temps que prenne l' | ||
| + | |||
| + | La technologie Token-Ring est donc idéale, voire obligatoire, | ||
| + | |||
| + | ====Périphériques Réseaux Spéciaux==== | ||
| + | |||
| + | En plus du câblage, les périphériques de réseau spéciaux sont des éléments primordiaux tant au niveau de la topologie physique que la topologie logique. | ||
| + | |||
| + | Les périphériques de réseau spéciaux sont : | ||
| + | |||
| + | * les Concentrateurs ou //Hubs//, | ||
| + | * les Répéteurs ou // | ||
| + | * les Ponts ou // | ||
| + | * les Commutateurs ou // | ||
| + | * les Routeurs ou // | ||
| + | * les Passerelles ou // | ||
| + | |||
| + | L' | ||
| + | |||
| + | ===Les Concentrateurs=== | ||
| + | |||
| + | Les Concentrateurs permettent une connectivité entre les nœuds en topologie en étoile. Selon leur configuration, | ||
| + | |||
| + | * **Le Concentrateur Simple** | ||
| + | * est une boîte de raccordement centrale, | ||
| + | * joue le rôle de récepteur et du réémetteur des signaux sans accélération ni gestion de ceux-ci, | ||
| + | * est un périphérique utilisé pour des groupes de travail. | ||
| + | |||
| + | * **Le Concentrateur Évolué** | ||
| + | * est un Concentrateur simple qui offre en plus l' | ||
| + | |||
| + | * **Le Concentrateur Intelligent** | ||
| + | * est un Concentrateur évolué qui offre en plus la détection automatique des pannes, la connectique avec un Pont ou un Routeur ainsi que le diagnostic et la génération de rapports. | ||
| + | |||
| + | ===Les Répéteurs=== | ||
| + | |||
| + | Un Répéteur est un périphérique réseau simple. Il est utilisé pour amplifier le signal quand : | ||
| + | |||
| + | * la longueur du câble dépasse la limite autorisée, | ||
| + | * le câble passe par une zone ou les interférences sont importantes. | ||
| + | |||
| + | Éventuellement, | ||
| + | |||
| + | ===Les Ponts=== | ||
| + | |||
| + | Un Pont est **Répéteur intelligent**. Outre sa capacité d' | ||
| + | |||
| + | Les **diffusions** sont néanmoins autorisées. | ||
| + | |||
| + | Comme un Pont doit être intelligent, | ||
| + | |||
| + | Le Pont sert donc à isoler des segments du réseau pour des raisons de : | ||
| + | |||
| + | * **sécurité** afin d' | ||
| + | * **performance** afin qu'une partie du réseau trop chargée ralentisse le réseau entier, | ||
| + | * **fiabilité** afin par exemple qu'une carte en panne ne gène pas le reste du réseau avec une diffusion. | ||
| + | |||
| + | Il existe trois types de configuration de Ponts | ||
| + | |||
| + | ==Le Pont de Base== | ||
| + | |||
| + | Le Pont de Base est utilisé très rarement pour isoler deux segments. | ||
| + | |||
| + | ;#; | ||
| + | |||
| + | ==Le Pont en Cascade== | ||
| + | |||
| + | Le Pont en Cascade est à éviter car les données en provenance d'un segment doivent passer par plusieurs Ponts. Ceci a pour conséquence de ralentir la transmission des données, voire même de créer un trafic superflu en cas de rémission par le nœud | ||
| + | |||
| + | ;#; | ||
| + | |||
| + | ==Le Pont en Dorsale== | ||
| + | |||
| + | Le Pont en Dorsale coûte plus chère que la configuration précédente car il faut un nombre de Ponts équivalent au nombre de segments + 1. Par contre elle réduit les problèmes précédemment cités puisque les données ne transitent que par deux Ponts. | ||
| + | |||
| + | ;#; | ||
| + | |||
| + | ===Les Commutateurs=== | ||
| + | |||
| + | Un Commutateur peut être considéré comme un Concentrateur intelligent et un Pont. Ils sont gérés souvent par des logiciels. La topologie physique d'un réseau commuté est en étoile. Par contre la topologie logique est spéciale, elle s' | ||
| + | |||
| + | Lors de la communication de données entre deux nœuds, le Commutateur ouvre une connexion temporaire virtuelle en fermant les autres ports. De cette façon la bande passante totale est disponible pour cette transmission et les risques de collision sont minimisés. | ||
| + | |||
| + | Certains Commutateurs haut de gamme sont équipés d'un système anti-catastrophe qui leur permet d' | ||
| + | |||
| + | ===Les Routeurs=== | ||
| + | |||
| + | Un Routeur est un Pont sophistiqué capable : | ||
| + | |||
| + | * d' | ||
| + | * de filtrer le trafic, | ||
| + | * d’isoler une partie du réseau, | ||
| + | * d’ explorer les informations d' | ||
| + | |||
| + | Les Routeurs utilisent une table de routage pour stocker les informations sur : | ||
| + | |||
| + | * les adresses du réseau, | ||
| + | * les solutions de connexion vers d' | ||
| + | * l' | ||
| + | |||
| + | Il existe deux types de Routeur : | ||
| + | |||
| + | * le **Routeur Statique** | ||
| + | * la table de routage est éditer manuellement, | ||
| + | * les routes empruntées pour la transmission des données sont toujours les mêmes, | ||
| + | * il n'y a pas de recherche d' | ||
| + | |||
| + | * le **Routeur Dynamique** | ||
| + | * découvre automatiquement les routes à emprunter dans un réseau. | ||
| + | |||
| + | ===Les Passerelles=== | ||
| + | |||
| + | Ce périphérique, | ||
| + | |||
| + | * entre deux technologies différentes ( Ethernet - Token-Ring ), | ||
| + | * entre deux protocoles différents, | ||
| + | * entre des formats de données différents. | ||
| + | |||
| + | =====Annexe #2 - Comprendre TCP Version 4===== | ||
| + | |||
| + | ==== En-tête TCP ==== | ||
| + | |||
| + | L' | ||
| + | |||
| + | ^ 1er octet ^ 2ème octet ^ 3ème octet ^ 4 ème octet ^ | ||
| + | | Port source | ||
| + | | | ||
| + | | | ||
| + | | | ||
| + | | Checksum | ||
| + | | Options | ||
| + | | Données | ||
| + | |||
| + | Vous noterez que les numéros de ports sont codés sur 16 bits. Cette information nous permet de calculer le nombres de ports maximum en IPv4, soit 2< | ||
| + | |||
| + | L' | ||
| + | |||
| + | Les **Flags** sont : | ||
| + | |||
| + | * URG - Si la valeur est 1 le pointeur urgent est utilisé. Le numéro de séquence et le pointeur urgent indique un octet spécifique. | ||
| + | * ACK - Si la valeur est 1, le paquet est un accusé de réception | ||
| + | * PSH - Si la valeur est 1, les données sont immédiatement présentées à l' | ||
| + | * RST - Si la valeur est 1, la communication comporte un problème et la connexion est réinitialisée | ||
| + | * SYN - Si la valeur est 1, le paquet est un paquet de synchronisation | ||
| + | * FIN - Si la valeur est 1, le paquet indique la fin de la connexion | ||
| + | |||
| + | La **Fenêtre** est codée sur 16 bits. La Fenêtre est une donnée liée au fonctionnement d' | ||
| + | |||
| + | Le **Checksum** est une façon de calculer si le paquet est complet. | ||
| + | |||
| + | Le **Padding** est un champ pouvant être rempli de valeurs nulles de façon à ce que la taille de l' | ||
| + | |||
| + | ==== En-tête UDP ==== | ||
| + | |||
| + | L' | ||
| + | |||
| + | ^ 1er octet ^ 2ème octet ^ 3ème octet ^ 4 ème octet ^ | ||
| + | | Port source | ||
| + | | | ||
| + | | Données | ||
| + | |||
| + | L' | ||
| + | |||
| + | ==== Fragmentation et Ré-encapsulation ==== | ||
| + | |||
| + | La taille limite d'un paquet TCP, l' | ||
| + | |||
| + | ==== Adressage ==== | ||
| + | |||
| + | L' | ||
| + | |||
| + | Les adresses IP sont divisées en 5 classes, de A à E. Les 4 octets des classes A à C sont divisés en deux, une partie qui s' | ||
| + | |||
| + | ^ ^ 1er octet ^ 2ème octet ^ 3ème octet ^ 4 ème octet ^ | ||
| + | | A | Net ID | ||
| + | | B | Net ID || Host ID || | ||
| + | | C | Net ID ||| Host ID | | ||
| + | | D | | ||
| + | | E | | ||
| + | |||
| + | L' | ||
| + | |||
| + | ^ Classe | ||
| + | | A | 1 | 0 | 7 | 2< | ||
| + | | B | 2 | 10 | 14 | 2< | ||
| + | | C | 3 | 110 | 21 | 2< | ||
| + | |||
| + | Le réseau 127. est réservé. Il s' | ||
| + | |||
| + | Dans chaque classe, certaines adresses sont réservées pour un usage privé : | ||
| + | |||
| + | ^ Classe | ||
| + | | A | 10.0.0.0 | ||
| + | | B | 172.16.0.0 | ||
| + | | C | 192.168.0.0 | ||
| + | |||
| + | Il existe des adresses particulières ne pouvant pas être utilisées pour identifier un hôte : | ||
| + | |||
| + | ^ Adresse Particulière | ||
| + | | 169.254.0.0 à 169.254.255.255 | ||
| + | | Hôte du réseau courant | ||
| + | | Adresse de réseau | ||
| + | | Adresse de diffusion | ||
| + | |||
| + | L' | ||
| + | |||
| + | Afin de mieux comprendre l' | ||
| + | |||
| + | ^ ^ 1er octet ^ 2ème octet ^ 3ème octet ^ 4 ème octet ^ | ||
| + | ^ ^ Net ID ^^^ Host ID ^ | ||
| + | | Adresse IP | | ||
| + | | Binaire | ||
| + | | Calcul de l' | ||
| + | | Binaire | ||
| + | | Adresse réseau | ||
| + | | Calcul de l' | ||
| + | | Binaire | ||
| + | | Adresse de diffusion | | ||
| + | |||
| + | ==== Masques de sous-réseaux ==== | ||
| + | |||
| + | Tout comme l' | ||
| + | |||
| + | ^ Classe | ||
| + | | A | 255.0.0.0 | ||
| + | | B | 255.255.0.0 | ||
| + | | C | 255.255.255.0 | ||
| + | |||
| + | Le terme **CIDR** veut dire **Classless %%InterDomain%% Routing**. Le terme Notation CIDR correspond au nombre de bits d'une valeur de 1 dans le masque de sous-réseau. | ||
| + | |||
| + | Quand un hôte souhaite émettre il procède d' | ||
| + | |||
| + | * 1 x 1 = 1 | ||
| + | * 0 x 1 = 0 | ||
| + | * 1 x 0 = 0 | ||
| + | * 0 x 0 = 0 | ||
| + | |||
| + | Prenons le cas de l' | ||
| + | |||
| + | ^ ^ 1er octet ^ 2ème octet ^ 3ème octet ^ 4 ème octet ^ | ||
| + | | Adresse IP | | ||
| + | | Binaire | ||
| + | | Masque de sous-réseau | ||
| + | | Binaire | ||
| + | | Calcul AND | | ||
| + | | Adresse réseau | ||
| + | |||
| + | |||
| + | Cet hôte essaie de communiquer avec un hôte ayant une adresse IP de 192.168.10.10. Il procède donc au même calcul en appliquant **son propre masque de sous-réseau** à l' | ||
| + | |||
| + | ^ ^ 1er octet ^ 2ème octet ^ 3ème octet ^ 4 ème octet ^ | ||
| + | | Adresse IP | | ||
| + | | Binaire | ||
| + | | Masque de sous-réseau | ||
| + | | Binaire | ||
| + | | Calcul AND | | ||
| + | | Adresse réseau | ||
| + | |||
| + | Puisque l' | ||
| + | |||
| + | L' | ||
| + | |||
| + | ^ ^ 1er octet ^ 2ème octet ^ 3ème octet ^ 4 ème octet ^ | ||
| + | | Adresse IP | | ||
| + | | Binaire | ||
| + | | Masque de sous-réseau | ||
| + | | Binaire | ||
| + | | Calcul AND | | ||
| + | | Adresse réseau | ||
| + | |||
| + | Dans ce cas, l' | ||
| + | |||
| + | ==== VLSM ==== | ||
| + | |||
| + | Puisque le stock de réseaux disponibles sous IPv4 est presque épuisé, une solution a du être trouvée pour créer des sous-réseaux en attendant l' | ||
| + | |||
| + | Son principe est simple. Afin de créer des réseaux différents à partir d'une adresse réseau d'une classe donnée, il convient de réduire le nombre d' | ||
| + | |||
| + | Pour illustrer ceci, prenons l' | ||
| + | |||
| + | Supposons que nous souhaiterions diviser notre réseau en 2 sous-réseaux. Pour coder 2 sous-réseaux, | ||
| + | |||
| + | * 00 | ||
| + | * 01 | ||
| + | * 10 | ||
| + | * 11 | ||
| + | |||
| + | Les valeurs binaires du quatrième octet de nos adresses de sous-réseaux seront donc : | ||
| + | |||
| + | * 192.168.1.00XXXXXX | ||
| + | * 192.168.1.01XXXXXX | ||
| + | * 192.168.1.10XXXXXX | ||
| + | * 192.168.1.11XXXXXX | ||
| + | |||
| + | où les XXXXXX représentent les bits que nous réservons pour décrire les hôtes dans chacun des sous-réseaux. | ||
| + | |||
| + | Nous ne pouvons pas utiliser les deux sous-réseaux suivants : | ||
| + | |||
| + | * 192.168.1.00XXXXXX | ||
| + | * 192.168.1.11XXXXXX | ||
| + | |||
| + | car ceux-ci correspondent aux débuts de l' | ||
| + | |||
| + | Nous pouvons utiliser les deux sous-réseaux suivants : | ||
| + | |||
| + | * 192.168.1.01XXXXXX | ||
| + | * 192.168.1.10XXXXXX | ||
| + | |||
| + | Pour le premier sous-réseau l' | ||
| + | |||
| + | | Sous-réseau #1 | | ||
| + | | Calcul de l' | ||
| + | | Binaire | ||
| + | | Adresse réseau | ||
| + | | Calcul de l' | ||
| + | | Binaire | ||
| + | | Adresse de diffusion | | ||
| + | |||
| + | * L' | ||
| + | |||
| + | * Le masque de sous-réseau est donc le 11111111.11111111.11111111.11000000 ou le 255.255.255.192 | ||
| + | |||
| + | * Nous pouvons avoir 2< | ||
| + | |||
| + | * La plage valide d' | ||
| + | |||
| + | Pour le deuxième sous-réseau l' | ||
| + | |||
| + | | Sous-réseau #2 | | ||
| + | | Calcul de l' | ||
| + | | Binaire | ||
| + | | Adresse réseau | ||
| + | | Calcul de l' | ||
| + | | Binaire | ||
| + | | Adresse de diffusion | | ||
| + | |||
| + | * L' | ||
| + | |||
| + | * Le masque de sous-réseau est donc le 11111111.11111111.11111111.11000000 ou le 255.255.255.192 | ||
| + | |||
| + | * Nous pouvons avoir 2< | ||
| + | |||
| + | * La plage valide d' | ||
| + | |||
| + | |||
| + | La valeur qui sépare les sous-réseaux est 64. Cette valeur comporte le nom **incrément**. | ||
| + | |||
| + | ==== Ports et sockets ==== | ||
| + | |||
| + | Afin que les données arrivent aux applications que les attendent, TCP utilise des numéros de ports sur la couche transport. Le numéros de ports sont divisés en trois groupes : | ||
| + | |||
| + | * **Well Known Ports** | ||
| + | * De 1 à 1023 | ||
| + | * **Registered Ports** | ||
| + | * De 1024 à 49151 | ||
| + | * **Dynamic** et/ou **Private Ports** | ||
| + | * De 49152 à 65535 | ||
| + | |||
| + | Le couple **numéro IP:numéro de port** s' | ||
| + | |||
| + | ==== / | ||
| + | |||
| + | Les ports les plus utilisés sont détaillés dans le fichier **/ | ||
| < | < | ||
| - | root@debian8: | + | trainee@debian8: |
| - | ! $Xorg: rgb.txt,v 1.3 2000/08/17 19:54:00 cpqbld Exp $ | + | Password: |
| - | 255 250 250 snow | + | root@debian8: |
| - | 248 248 255 ghost white | + | # Network services, Internet style |
| - | 248 248 255 GhostWhite | + | # |
| - | 245 245 245 white smoke | + | # Note that it is presently the policy of IANA to assign a single well-known |
| - | 245 245 245 WhiteSmoke | + | # port number for both TCP and UDP; hence, officially ports have two entries |
| - | 220 220 220 gainsboro | + | # even if the protocol doesn' |
| - | 255 250 240 floral white | + | # |
| - | 255 250 240 FloralWhite | + | # Updated from http://www.iana.org/ |
| - | 253 245 230 old lace | + | # sources like http://www.freebsd.org/cgi/cvsweb.cgi/ |
| - | 253 245 230 OldLace | + | # New ports will be added on request if they have been officially assigned |
| - | 250 240 230 linen | + | # by IANA and used in the real-world or are needed by a debian package. |
| - | 250 235 215 antique white | + | # If you need a huge list of used numbers please install the nmap package. |
| - | 250 235 215 AntiqueWhite | + | |
| - | 255 239 213 papaya whip | + | tcpmux 1/tcp # TCP port service multiplexer |
| - | 255 239 213 PapayaWhip | + | echo 7/tcp |
| - | 255 235 205 blanched almond | + | echo 7/udp |
| - | 255 235 205 BlanchedAlmond | + | discard 9/tcp sink null |
| - | 255 228 196 bisque | + | discard 9/udp sink null |
| - | 255 218 185 peach puff | + | systat 11/ |
| - | 255 218 185 PeachPuff | + | daytime 13/tcp |
| - | 255 222 173 navajo white | + | daytime 13/udp |
| - | 255 222 173 NavajoWhite | + | netstat 15/tcp |
| - | 255 228 181 moccasin | + | qotd 17/ |
| - | 255 248 220 cornsilk | + | msp 18/tcp # message send protocol |
| - | 255 255 240 ivory | + | msp 18/udp |
| - | 255 250 205 lemon chiffon | + | chargen 19/ |
| - | 255 250 205 LemonChiffon | + | chargen 19/ |
| - | 255 245 238 seashell | + | ftp-data 20/ |
| - | 240 255 240 honeydew | + | ftp 21/tcp |
| - | 245 255 250 mint cream | + | fsp 21/ |
| - | --More--(4%) | + | ssh 22/tcp # SSH Remote Login Protocol |
| + | ssh 22/udp | ||
| + | telnet 23/tcp | ||
| + | smtp 25/ | ||
| + | time 37/ | ||
| + | time 37/ | ||
| + | rlp 39/ | ||
| + | nameserver 42/ | ||
| + | --More--(6%) | ||
| </ | </ | ||
| - | ===La Section Modules=== | + | Notez que les ports sont listés par deux : |
| - | Par défaut | + | * le port TCP |
| + | * le port UDP | ||
| + | |||
| + | La liste la plus complète peut être consultée | ||
| + | |||
| + | Pour connaitre la liste des sockets ouverts sur l' | ||
| < | < | ||
| - | root@debian8: | + | root@debian8: |
| - | drivers | + | Active Internet connections (servers and established) |
| - | extensions | + | Proto Recv-Q Send-Q Local Address |
| + | tcp 0 0 127.0.0.1: | ||
| + | tcp 0 0 127.0.0.1: | ||
| + | tcp 0 0 127.0.0.1: | ||
| + | tcp 0 0 0.0.0.0: | ||
| + | tcp 0 0 0.0.0.0: | ||
| + | tcp 0 0 0.0.0.0: | ||
| + | tcp 0 0 0.0.0.0: | ||
| + | tcp 0 0 127.0.0.1: | ||
| + | tcp 0 0 127.0.0.1: | ||
| + | tcp 0 0 10.0.2.15: | ||
| + | tcp 0 0 127.0.0.1: | ||
| + | tcp6 | ||
| + | tcp6 | ||
| + | tcp6 | ||
| + | tcp6 | ||
| + | tcp6 | ||
| + | tcp6 | ||
| + | tcp6 | ||
| + | udp 0 0 0.0.0.0: | ||
| + | udp 0 0 0.0.0.0: | ||
| + | udp 0 0 0.0.0.0: | ||
| + | udp 0 0 0.0.0.0: | ||
| + | udp 0 0 0.0.0.0: | ||
| + | udp 0 0 127.0.0.1: | ||
| + | udp 0 0 0.0.0.0: | ||
| + | udp 0 0 0.0.0.0: | ||
| + | udp6 | ||
| + | udp6 | ||
| + | udp6 | ||
| + | udp6 | ||
| + | udp6 | ||
| + | udp6 | ||
| + | Active UNIX domain sockets (servers and established) | ||
| + | Proto RefCnt Flags | ||
| + | unix 2 [ ACC ] | ||
| + | --More-- | ||
| </ | </ | ||
| + | |||
| + | Pour connaitre la liste des applications ayant ouvert un port sur l' | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | Active Internet connections (servers and established) | ||
| + | Proto Recv-Q Send-Q Local Address | ||
| + | tcp 0 0 127.0.0.1: | ||
| + | tcp 0 0 127.0.0.1: | ||
| + | tcp 0 0 127.0.0.1: | ||
| + | tcp 0 0 0.0.0.0: | ||
| + | tcp 0 0 0.0.0.0: | ||
| + | tcp 0 0 0.0.0.0: | ||
| + | tcp 0 0 0.0.0.0: | ||
| + | tcp 0 0 127.0.0.1: | ||
| + | tcp 0 0 127.0.0.1: | ||
| + | tcp 0 0 10.0.2.15: | ||
| + | tcp 0 0 127.0.0.1: | ||
| + | tcp6 | ||
| + | tcp6 | ||
| + | tcp6 | ||
| + | tcp6 | ||
| + | tcp6 | ||
| + | tcp6 | ||
| + | tcp6 | ||
| + | udp 0 0 0.0.0.0: | ||
| + | udp 0 0 0.0.0.0: | ||
| + | udp 0 0 0.0.0.0: | ||
| + | udp 0 0 0.0.0.0: | ||
| + | udp 0 0 0.0.0.0: | ||
| + | udp 0 0 127.0.0.1: | ||
| + | udp 0 0 0.0.0.0: | ||
| + | udp 0 0 0.0.0.0: | ||
| + | udp6 | ||
| + | udp6 | ||
| + | udp6 | ||
| + | udp6 | ||
| + | udp6 | ||
| + | udp6 | ||
| + | Active UNIX domain sockets (servers and established) | ||
| + | Proto RefCnt Flags | ||
| + | unix 2 [ ACC ] | ||
| + | --More-- | ||
| + | </ | ||
| + | |||
| + | ==== Résolution d' | ||
| + | |||
| + | Chaque protocole peut être encapsulé dans une **trame** Ethernet. Lorsque la trame doit être transportée de l' | ||
| + | |||
| + | Pour connaître l' | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | ? (10.0.2.2) at 52: | ||
| + | ? (10.0.2.3) at 52: | ||
| + | </ | ||
| + | |||
| + | ===Options de la commande=== | ||
| + | |||
| + | Les options de cette commande sont : | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | Usage: | ||
| + | arp [-vn] [< | ||
| + | arp [-v] [-i <if>] -d < | ||
| + | arp [-vnD] [< | ||
| + | arp [-v] | ||
| + | arp [-v] | ||
| + | |||
| + | -a | ||
| + | -s, --set set a new ARP entry | ||
| + | -d, --delete | ||
| + | -v, --verbose | ||
| + | -n, --numeric | ||
| + | -i, --device | ||
| + | -D, --use-device | ||
| + | -A, -p, --protocol | ||
| + | -f, --file | ||
| + | |||
| + | < | ||
| + | List of possible hardware types (which support ARP): | ||
| + | ash (Ash) ether (Ethernet) ax25 (AMPR AX.25) | ||
| + | netrom (AMPR NET/ROM) rose (AMPR ROSE) arcnet (ARCnet) | ||
| + | dlci (Frame Relay DLCI) fddi (Fiber Distributed Data Interface) hippi (HIPPI) | ||
| + | irda (IrLAP) x25 (generic X.25) eui64 (Generic EUI-64) | ||
| + | </ | ||
| + | |||
| + | =====Annexe #3 - Comprendre le Chiffrement===== | ||
| + | |||
| + | ====Introduction à la cryptologie==== | ||
| + | |||
| + | ===Définitions=== | ||
| + | |||
| + | * **La Cryptologie** | ||
| + | * La science qui étudie les aspects scientifiques de ces techniques, c' | ||
| + | * **La Cryptanalyse** | ||
| + | * Lorsque la clef de déchiffrement n'est pas connue de l' | ||
| + | * **La Cryptographie** | ||
| + | * Un terme générique désignant l' | ||
| + | * **Le Décryptement ou Décryptage** | ||
| + | * Est le fait d' | ||
| + | |||
| + | {{ : | ||
| + | |||
| + | ==La Cryptographie== | ||
| + | |||
| + | La cryptographie apporte quatre points clefs: | ||
| + | |||
| + | * La confidentialité | ||
| + | * consiste à rendre l' | ||
| + | * L' | ||
| + | * consiste à déterminer si les données n'ont pas été altérées durant la communication (de manière fortuite ou intentionnelle). | ||
| + | * L' | ||
| + | * consiste à assurer l' | ||
| + | * La non-répudiation | ||
| + | * est la garantie qu' | ||
| + | |||
| + | La cryptographie est basée sur l' | ||
| + | |||
| + | * Procéder au chiffrement | ||
| + | * Le résultat de cette modification (le message chiffré) est appelé cryptogramme (Ciphertext) par opposition au message initial, appelé message en clair (Plaintext) | ||
| + | * Procéder au déchiffrement | ||
| + | |||
| + | Le chiffrement se fait à l'aide d'une clef de chiffrement. Le déchiffrement nécessite | ||
| + | |||
| + | On distingue deux types de clefs: | ||
| + | |||
| + | * Les clés symétriques: | ||
| + | * des clés utilisées pour le chiffrement ainsi que pour le déchiffrement. On parle alors de chiffrement symétrique ou de chiffrement à clé secrète. | ||
| + | * Les clés asymétriques: | ||
| + | * des clés utilisées dans le cas du chiffrement asymétrique (aussi appelé chiffrement à clé publique). Dans ce cas, une clé différente est utilisée pour le chiffrement et pour le déchiffrement. | ||
| + | |||
| + | ==Le Chiffrement par Substitution== | ||
| + | |||
| + | Le chiffrement par substitution consiste à remplacer dans un message une ou plusieurs entités (généralement des lettres) par une ou plusieurs autres entités. On distingue généralement plusieurs types de cryptosystèmes par substitution : | ||
| + | |||
| + | * La substitution **monoalphabétique** | ||
| + | * consiste à remplacer chaque lettre du message par une autre lettre de l' | ||
| + | * La substitution **polyalphabétique** | ||
| + | * consiste à utiliser une suite de chiffres monoalphabétique réutilisée périodiquement | ||
| + | * La substitution **homophonique** | ||
| + | * permet de faire correspondre à chaque lettre du message en clair un ensemble possible d' | ||
| + | * La substitution de **polygrammes** | ||
| + | * consiste à substituer un groupe de caractères (polygramme) dans le message par un autre groupe de caractères | ||
| + | |||
| + | ====Algorithmes à clé secrète==== | ||
| + | |||
| + | ===Le Chiffrement Symétrique=== | ||
| + | |||
| + | Ce système est aussi appelé le système à **Clef Secrète** ou à **clef privée**. | ||
| + | |||
| + | Ce système consiste à effectuer une opération de chiffrement par algorithme mais comporte un inconvénient, | ||
| + | |||
| + | {{: | ||
| <WRAP center round important> | <WRAP center round important> | ||
| - | **Important** : Le chemin par défaut | + | Le système |
| </ | </ | ||
| - | Un exemple | + | Les algorithmes |
| - | <file> | + | * **[[wpfr>Data_Encryption_Standard|Data Encryption Standard]]** (DES), |
| - | Section " | + | * **[[wpfr> |
| - | Load " | + | |
| - | EndSection | + | * **[[wpfr> |
| - | </file> | + | * **[[wpfr>International_Data_Encryption_Algorithm|International Data Encryption Algorithm]]** (IDEA), |
| + | * **[[wpfr> | ||
| + | |||
| + | ====Algorithmes à clef publique==== | ||
| + | |||
| + | ===Le Chiffrement Asymétrique=== | ||
| + | |||
| + | Ce système est aussi appelé **Système à Clef Publique**. | ||
| + | |||
| + | Ce système consiste à avoir deux clefs appelées des **bi-clefs**: | ||
| + | |||
| + | * Une clef **publique** pour le chiffrement | ||
| + | * Une clef **secrète** ou **privée** pour le déchiffrement | ||
| + | |||
| + | {{: | ||
| + | |||
| + | * L' | ||
| + | * A partir de cette clef il génère plusieurs clefs publiques grâce à un algorithme. | ||
| + | * L' | ||
| + | |||
| + | Ce système est basé sur ce que l'on appelle une **fonction à trappe à sens unique** ou **one-way trap door**. | ||
| + | |||
| + | Il existe toutefois un problème – s' | ||
| + | |||
| + | Les algorithmes de chiffrement asymétrique couramment utilisés en informatique sont: | ||
| + | |||
| + | * **[[wpfr> | ||
| + | * **[[wpfr> | ||
| + | |||
| + | ===La Clef de Session=== | ||
| + | |||
| + | Ce système est un compromis entre le système symétrique et le système asymétrique. Il permet l' | ||
| + | |||
| + | {{: | ||
| + | |||
| + | Ce système fonctionne de la façon suivante : | ||
| + | |||
| + | * L' | ||
| + | * L' | ||
| + | * L' | ||
| + | * L' | ||
| + | |||
| + | ====Fonctions de Hachage==== | ||
| + | |||
| + | La fonction de **hachage**, | ||
| + | |||
| + | {{: | ||
| + | |||
| + | Les deux algorithmes de hachage utilisés sont: | ||
| + | |||
| + | * **[[wpfr> | ||
| + | * **[[wpfr> | ||
| + | |||
| + | Lors de son envoie, le message est accompagné de son haché et il est donc possible de garantir son intégrité: | ||
| + | |||
| + | {{: | ||
| + | |||
| + | * A la réception du message, le destinataire ou l’utilisateur B calcule le haché du message reçu et le compare avec le haché accompagnant le document. | ||
| + | * Si le message ou le haché a été falsifié durant la communication, | ||
| <WRAP center round important> | <WRAP center round important> | ||
| - | **Attention** : Dans l'exemple ci-dessus, le module **fbdevhw** sera chargé **à la place des modules | + | Ce système permet de vérifier que l'empreinte correspond bien au message reçu, mais ne permet pas de prouver que le message a bien été envoyé |
| </ | </ | ||
| - | ===La Section InputDevice=== | + | ====Signature Numérique==== |
| - | Cette section décrit un périphérique en entrée. Il n'ya normalement qu'une section pour le clavier, les souris étant généralement détectées automatiquement. Vous pouvez cependant configurer une section | + | Pour garantir l'authentification du message l‘utilisateur A va chiffrer ou **signer** |
| - | Un exemple | + | {{: |
| - | < | + | * L’utilisateur A envoie le sceau au destinataire. |
| - | Section " | + | * A la réception du message L’utilisateur B déchiffre le sceau avec la clé publique de l’utilisateur A. |
| - | | + | |
| - | Driver | + | |
| - | Option | + | Ce mécanisme de création de sceau est appelé **scellement**. |
| - | Option | + | |
| - | EndSection | + | |
| - | </ | + | |
| - | Les directives les plus courantes dans cette section sont : | + | Ce mécanisme est identique au procédé utilisé par SSH lors d'une connexion |
| - | ^ Directive | + | ====Utilisation de GnuPG==== |
| - | | " | + | |
| - | | " | + | |
| - | | " | + | |
| - | Quand la section décrit une souris, on trouve typiquement les options suivantes : | + | ===Présentation=== |
| - | ^ Option | + | **GNU Privacy Guard** permet aux utilisateurs de transférer des messages chiffrés et/ou signés. |
| - | | " | + | |
| - | | " | + | |
| - | | " | + | |
| - | ===La Section Monitor=== | + | ===Installation=== |
| - | Cette section décrit l'écran. Les écrans actuels sont tous de type **DCC** qui peuvent communiquer | + | Sous RHEL/CentOS 7, le paquet gnupg est installé par défaut : |
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | gpg: / | ||
| + | </ | ||
| + | |||
| + | ===Configuration=== | ||
| + | |||
| + | Pour initialiser %%GnuPG%%, saisissez la commande suivante : | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | gpg: / | ||
| + | root@debian8: | ||
| + | gpg: directory `/ | ||
| + | gpg: new configuration file `/root/.gnupg/ | ||
| + | gpg: WARNING: options in `/ | ||
| + | gpg: keyring `/ | ||
| + | gpg: keyring `/ | ||
| + | gpg: Go ahead and type your message ... | ||
| + | ^C | ||
| + | gpg: Interrupt caught ... exiting | ||
| + | </ | ||
| + | |||
| + | Pour aider gpg dans la génération des clefs, utilisez | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | Reading package lists... Done | ||
| + | Building dependency tree | ||
| + | Reading state information... Done | ||
| + | The following NEW packages will be installed: | ||
| + | rng-tools | ||
| + | 0 upgraded, 1 newly installed, 0 to remove and 95 not upgraded. | ||
| + | Need to get 46.8 kB of archives. | ||
| + | After this operation, 209 kB of additional disk space will be used. | ||
| + | Get:1 http:// | ||
| + | Fetched 46.8 kB in 0s (146 kB/s) | ||
| + | Selecting previously unselected package rng-tools. | ||
| + | (Reading database ... 82472 files and directories currently installed.) | ||
| + | Preparing to unpack .../ | ||
| + | Unpacking rng-tools (2-unofficial-mt.14-1) ... | ||
| + | Processing triggers for systemd (215-17+deb8u4) ... | ||
| + | Processing triggers for man-db (2.7.0.2-5) ... | ||
| + | Setting up rng-tools (2-unofficial-mt.14-1) ... | ||
| + | Job for rng-tools.service failed. See 'systemctl status rng-tools.service' | ||
| + | invoke-rc.d: | ||
| + | Processing triggers for systemd (215-17+deb8u4) ... | ||
| + | |||
| + | root@debian8: | ||
| + | rngd 2-unofficial-mt.14 starting up... | ||
| + | entropy feed to the kernel ready | ||
| + | ^Cstats: bits received from HRNG source: 60064 | ||
| + | stats: bits sent to kernel pool: 4096 | ||
| + | stats: entropy added to kernel pool: 4096 | ||
| + | stats: FIPS 140-2 successes: 3 | ||
| + | stats: FIPS 140-2 failures: 0 | ||
| + | stats: FIPS 140-2(2001-10-10) Monobit: 0 | ||
| + | stats: FIPS 140-2(2001-10-10) Poker: 0 | ||
| + | stats: FIPS 140-2(2001-10-10) Runs: 0 | ||
| + | stats: FIPS 140-2(2001-10-10) Long run: 0 | ||
| + | stats: FIPS 140-2(2001-10-10) Continuous run: 0 | ||
| + | stats: HRNG source speed: (min=64.005; | ||
| + | stats: FIPS tests speed: (min=99.861; | ||
| + | stats: Lowest ready-buffers level: 2 | ||
| + | stats: Entropy starvations: | ||
| + | stats: Time spent starving for entropy: (min=0; avg=0.000; max=0)us | ||
| + | Exiting... | ||
| + | |||
| + | root@debian8: | ||
| + | 2022 | ||
| + | </ | ||
| + | |||
| + | Pour générer les clefs, saisissez la commande suivante : | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | gpg (GnuPG) 1.4.18; Copyright (C) 2014 Free Software Foundation, Inc. | ||
| + | This is free software: you are free to change and redistribute it. | ||
| + | There is NO WARRANTY, to the extent permitted by law. | ||
| + | |||
| + | Please select what kind of key you want: | ||
| + | (1) RSA and RSA (default) | ||
| + | (2) DSA and Elgamal | ||
| + | (3) DSA (sign only) | ||
| + | (4) RSA (sign only) | ||
| + | Your selection? 1 | ||
| + | RSA keys may be between 1024 and 4096 bits long. | ||
| + | What keysize do you want? (2048) | ||
| + | Requested keysize is 2048 bits | ||
| + | Please specify how long the key should be valid. | ||
| + | 0 = key does not expire | ||
| + | < | ||
| + | <n>w = key expires in n weeks | ||
| + | <n>m = key expires in n months | ||
| + | <n>y = key expires in n years | ||
| + | Key is valid for? (0) 0 | ||
| + | Key does not expire at all | ||
| + | Is this correct? (y/N) y | ||
| + | |||
| + | You need a user ID to identify your key; the software constructs the user ID | ||
| + | from the Real Name, Comment and Email Address in this form: | ||
| + | " | ||
| + | |||
| + | Real name: I2TCH | ||
| + | Email address: infos@i2tch.eu | ||
| + | Comment: Test Key | ||
| + | You selected this USER-ID: | ||
| + | "I2TCH (Test Key) < | ||
| + | |||
| + | Change (N)ame, (C)omment, (E)mail or (O)kay/ | ||
| + | You need a Passphrase to protect your secret key. | ||
| + | |||
| + | We need to generate a lot of random bytes. It is a good idea to perform | ||
| + | some other action (type on the keyboard, move the mouse, utilize the | ||
| + | disks) during the prime generation; this gives the random number | ||
| + | generator a better chance to gain enough entropy. | ||
| + | |||
| + | Not enough random bytes available. | ||
| + | the OS a chance to collect more entropy! (Need 158 more bytes) | ||
| + | .......+++++ | ||
| + | .+++++ | ||
| + | We need to generate a lot of random bytes. It is a good idea to perform | ||
| + | some other action (type on the keyboard, move the mouse, utilize the | ||
| + | disks) during the prime generation; this gives the random number | ||
| + | generator a better chance to gain enough entropy. | ||
| + | +++++ | ||
| + | ..+++++ | ||
| + | gpg: / | ||
| + | gpg: key 324951F4 marked as ultimately trusted | ||
| + | public and secret key created and signed. | ||
| + | |||
| + | gpg: checking the trustdb | ||
| + | gpg: 3 marginal(s) needed, 1 complete(s) needed, PGP trust model | ||
| + | gpg: depth: 0 valid: | ||
| + | pub | ||
| + | Key fingerprint = 293A 4AB0 C917 DEAD 1838 FAE6 B112 5F50 3249 51F4 | ||
| + | uid I2TCH (Test Key) < | ||
| + | sub | ||
| + | </ | ||
| + | |||
| + | La liste de clefs peut être visualisée avec la commande suivante : | ||
| + | |||
| + | < | ||
| + | root@debian8: | ||
| + | / | ||
| + | ------------------------ | ||
| + | pub | ||
| + | uid I2TCH (Test Key) < | ||
| + | sub | ||
| + | </ | ||
| <WRAP center round important> | <WRAP center round important> | ||
| - | **Attention** : Il est important de se munir avec la documentation du moniteur afin de connaître **la taille de l' | + | Pour importer |
| + | |||
| + | # gpg --import | ||
| </ | </ | ||
| - | Un exemple de cette section est : | + | Pour exporter sa clef publique, il convient d' |
| - | <file> | + | <code> |
| - | Section " | + | root@debian8: |
| - | Identifier | + | root@debian8: |
| - | VendorName | + | -----BEGIN PGP PUBLIC KEY BLOCK----- |
| - | ModelName | + | Version: GnuPG v1 |
| - | DisplaySize | + | |
| - | HorizSync | + | |
| - | VertRefresh | + | |
| - | EndSection | + | |
| - | </ | + | |
| - | Les directives les plus courantes dans cette section sont : | + | mQENBFem/ |
| + | RLqhi7F7+/ | ||
| + | a2jnwJjlqg4/ | ||
| + | iaSMF2XwvjSIz6nPv0EVvfzzLUdebKBDBrqiZebCbCfeTzR3yyMr9rA8QWdfCHuW | ||
| + | yQaI/ | ||
| + | 8kidI4AVIUm2WlmpLzTJN/ | ||
| + | eSkgPGluZm9zQGkydGNoLmV1PokBOAQTAQIAIgUCV6b8BQIbAwYLCQgHAwIGFQgC | ||
| + | CQoLBBYCAwECHgECF4AACgkQsRJfUDJJUfSz3ggAwsH18xuOjidLNST2OM+8Sf/ | ||
| + | 954Ajp3x7zBSQCihhHnuVL/ | ||
| + | +cLtSRjGtVE3uvScIUodJONGJJM6oOf3doyLsYHfA1511IWViryTGylS5sBBfjcN | ||
| + | / | ||
| + | 0Nrq4pqOD/ | ||
| + | 8nYA97eX0jQooxyrHq+9HHU6kvFtOVVpUEbgHyZzenQzdbAuYabJTETE7vgMfbkB | ||
| + | DQRXpvwFAQgArXPkbmoLS/ | ||
| + | d4A3kG1t3rHKlFlHnsGm8tHw3Jjg+/ | ||
| + | vqOIWCys96bKcwLIJuYDK9kLuUDRRniMcaA2sl44BaVDl9V8HEm3PS3jYbewwCZa | ||
| + | Z7vtiiK39cyn6AatZHBw7ubeYupmtTUc34dfSym5K7jKgg3VOhaVGsDF1OPogBit | ||
| + | w1tLdNHRyxYkIkhV9xtBIaUMSDsfulmMVsQXXCwY27m3EQMc25C7xuQ5K/ | ||
| + | DKzcYcPcHd0cT8B7Ym7+Xetq+CdQD1jOSQARAQABiQEfBBgBAgAJBQJXpvwFAhsM | ||
| + | AAoJELESX1AySVH0/ | ||
| + | 7XsftBUSRBPMTvKvFNLSOklggKKP2OFz3ZmBttjdJXL+24U48LtLplG2cfXpAzjD | ||
| + | 7rMVuKICgJGHlLWr+sT3t2uH/ | ||
| + | eVYbXTwXRLlyhcPVy2BZl8OVQlizqLkuzonAmzOMUpYAXU983MZlzEKhMp8R/ | ||
| + | vx/ | ||
| + | Pi6GtIZkpKnV1Q7Ct6x3K7HJKfpis3YjIZSFq+Gr09o= | ||
| + | =bhYQ | ||
| + | -----END PGP PUBLIC KEY BLOCK----- | ||
| + | </ | ||
| - | ^ Directive | + | Cette clef peut ensuite être jointe à des messages électroniques ou bien déposée sur un serveur |
| - | | " | + | |
| - | | " | + | |
| - | | " | + | |
| - | | " | + | |
| - | | " | + | |
| - | | " | + | |
| - | | " | + | |
| - | | " | + | |
| + | ===Signer un message=== | ||
| - | ===La Section Device=== | + | Créez maintenant un message à signer : |
| - | Cette section décrit une carte vidéo. Il y a une section Device pour chaque carte vidéo présente dans la machine. | + | < |
| + | root@debian8: | ||
| + | root@debian8: | ||
| + | This is a test message for gpg | ||
| + | </ | ||
| - | Un exemple de cette section est : | + | Pour signer ce message en format binaire, il convient d' |
| - | <file> | + | <code> |
| - | Section " | + | root@debian8: |
| - | Identifier | + | |
| - | Driver | + | |
| - | VendorName | + | |
| - | BoardName | + | |
| - | VideoRam | + | |
| - | Option | + | |
| - | EndSection | + | |
| - | </ | + | |
| - | Les directives les plus courantes dans cette section sont : | + | You need a passphrase to unlock the secret key for |
| + | user: "I2TCH (Test Key) < | ||
| + | 2048-bit RSA key, ID 324951F4, created 2016-08-07 | ||
| - | ^ Directive | + | root@debian8: |
| - | | " | + | -rw-r--r-- 1 root root 31 Aug 7 10:18 message.txt |
| - | | " | + | -rw-r--r-- 1 root root 287 Aug 7 10:18 message.txt.sig |
| - | | " | + | |
| - | | " | + | |
| - | | " | + | |
| - | | " | + | |
| - | | " | + | |
| - | | " | + | |
| - | ===La Section Screen=== | + | root@debian8: |
| + | � W��� | ||
| + | �_P2IQ�E�� > | ||
| + | | ||
| + | �R^i�tЉ y�`�[]a�_1�ԺP)�a�\���ɘFO$m��l | ||
| + | | ||
| + | </ | ||
| - | Cette section associe une carte vidéo décrite par une section **Device** avec un moniteur décrit par une section **Monitor** | + | Pour signer ce message en format ascii, il convient d' |
| - | Un exemple de cette section est : | + | < |
| + | root@debian8:~# gpg --default-key I2TCH --armor --detach-sign message.txt | ||
| - | <file> | + | You need a passphrase to unlock the secret key for |
| - | Section | + | user: "I2TCH (Test Key) <infos@i2tch.eu>" |
| - | Identifier " | + | 2048-bit RSA key, ID 324951F4, created 2016-08-07 |
| - | Device | + | |
| - | Monitor | + | |
| - | DefaultDepth | + | |
| - | SubSection " | + | |
| - | Depth | + | |
| - | Modes | + | |
| - | EndSubSection | + | |
| - | SubSection " | + | |
| - | Depth | + | |
| - | Modes | + | |
| - | EndSubSection | + | |
| - | EndSection | + | |
| - | </ | + | |
| - | Les directives les plus courantes dans cette section sont : | + | root@debian8:~# ls -l | grep message |
| + | -rw-r--r-- 1 root root 31 Aug 7 10:18 message.txt | ||
| + | -rw-r--r-- 1 root root 473 Aug 10 11:29 message.txt.asc | ||
| + | -rw-r--r-- 1 root root 287 Aug 7 10:18 message.txt.sig | ||
| - | ^ Directive | + | root@debian8: |
| - | | " | + | -----BEGIN PGP SIGNATURE----- |
| - | | " | + | Version: GnuPG v1 |
| - | | " | + | |
| - | | " | + | |
| - | | " | + | |
| - | | " | + | |
| - | ====La Commande xwininfo==== | + | iQEcBAABAgAGBQJXqwICAAoJELESX1AySVH0tqUH/ |
| + | 2cCj2stliojf437f7eZDyHTNiB/ | ||
| + | CTFRMwH0v61ssZTU/ | ||
| + | twDpWH8NFdW7yGNoKdnPkCdrKEMuUCthLz05W1yCngFDpPwkd8MM9wFq7UdQ+EN9 | ||
| + | G2iiyIQbArOI18v67BH571z+4UlOfJlUB+O2C9D8tobJBU7KNSPLWnYAJck6YrrC | ||
| + | 3RVW5M74LcHtfQypSeCJAqxiZf2SMtNU99zPnDqMzwX8tNCpYrlL3IX6DdduOJ4= | ||
| + | =/wL9 | ||
| + | -----END PGP SIGNATURE----- | ||
| + | </ | ||
| - | La commande xwininfo permet | + | Pour vérifier la signature |
| < | < | ||
| - | root@debian8: | + | root@debian8: |
| - | No protocol specified | + | gpg: assuming signed data in `message.txt' |
| - | xwininfo: error: unable to open display ":0" | + | gpg: Signature made Wed 10 Aug 2016 11:34:35 BST using RSA key ID 324951F4 |
| - | root@debian8:~# exit | + | gpg: Good signature from "I2TCH (Test Key) <infos@i2tch.eu>" |
| - | logout | + | </ |
| - | trainee@debian8: | + | |
| - | xwininfo: Please select the window about which you | + | <WRAP center round important> |
| - | would like information by clicking the | + | Pour vérifier la signature d'un message signé en mode ascii et produit en dehors du message lui-même, il convient d' |
| - | mouse in that window. | + | |
| - | xwininfo: Window id: 0x2e0004a " | + | # gpg --verify message.txt.asc message.txt |
| + | </ | ||
| - | Absolute upper-left X: 0 | + | Pour signer ce message **dans le message lui-même** en format ascii, il convient d' |
| - | | + | |
| - | | + | < |
| - | | + | root@debian8: |
| - | | + | |
| - | | + | You need a passphrase to unlock the secret key for |
| - | Depth: 32 | + | user: "I2TCH (Test Key) < |
| - | | + | 2048-bit RSA key, ID 324951F4, created 2016-08-07 |
| - | | + | |
| - | | + | File `message.txt.asc' |
| - | Class: InputOutput | + | root@debian8:~# ls -l | grep message |
| - | | + | -rw-r--r-- 1 root root 31 Aug 7 10:18 message.txt |
| - | Bit Gravity State: NorthWestGravity | + | -rw-r--r-- 1 root root 551 Aug 10 11:30 message.txt.asc |
| - | | + | -rw-r--r-- 1 root root 287 Aug 7 10:18 message.txt.sig |
| - | | + | root@debian8:~# cat message.txt.asc |
| - | Save Under State: no | + | -----BEGIN PGP SIGNED MESSAGE----- |
| - | Map State: IsViewable | + | Hash: SHA1 |
| - | | + | |
| - | | + | This is a test message for gpg |
| - | | + | -----BEGIN PGP SIGNATURE----- |
| + | Version: GnuPG v1 | ||
| + | |||
| + | iQEcBAEBAgAGBQJXqwJHAAoJELESX1AySVH0VEMIAJc7NP2v8s/ | ||
| + | oTS721z/ | ||
| + | hPCeMtdcWTF3/ | ||
| + | TkVnk/ | ||
| + | 582UmrGUQq5z6CC7kiZzifbOtm54pT5MioVfHpYwt6+zlfvYhgVn8VQ62eKAg0zs | ||
| + | IaaRTYVmlD1XUbWxswqvBA9RwIRck6A5Oi5YAoH8jUHaZjvVK9KaEXDQ7Ga/ | ||
| + | =i5f6 | ||
| + | -----END PGP SIGNATURE----- | ||
| </ | </ | ||
| - | Les options | + | ===Chiffrer un message=== |
| + | |||
| + | Pour chiffrer un message, il faut disposer | ||
| + | |||
| + | gpg --recipient < | ||
| + | |||
| + | * //< | ||
| + | * //< | ||
| + | |||
| + | Par exemple pour chiffrer un message en mode binaire, il convient de saisir | ||
| < | < | ||
| - | root@debian8: | + | root@debian8: |
| - | usage: | + | |
| - | where options include: | + | root@debian8:~# ls -l | grep message |
| - | | + | -rw-r--r-- 1 root root 31 Aug 7 10:18 message.txt |
| - | -display host: | + | -rw-r--r-- 1 root root 473 Aug 10 11:34 message.txt.asc |
| - | | + | -rw-r--r-- 1 root root 367 Aug 10 11:37 message.txt.gpg |
| - | | + | -rw-r--r-- 1 root root 287 Aug 7 10:18 message.txt.sig |
| - | | + | |
| - | | + | |
| - | | + | |
| - | -tree print children identifiers recursively | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | -shape print shape extents | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | </ | + | |
| - | ====La Commande xdpyinfo==== | + | root@debian8: |
| + | � W��� | ||
| + | �_P2IQ�E�� > | ||
| + | | ||
| + | �R^i�tЉ y�`�[]a�_1�ԺP)�a�\���ɘFO$m��l | ||
| + | | ||
| + | </ | ||
| - | Xdpyinfo est un utilitaire utilisé | + | Et pour chiffrer un message en mode ascii, il convient de saisir la commande suivante |
| < | < | ||
| - | trainee@debian8:~$ xdpyinfo | + | root@debian8:~# gpg --recipient I2TCH --armor --encrypt message.txt |
| - | name of display: | + | File `message.txt.asc' |
| - | version number: | + | |
| - | vendor string: | + | |
| - | vendor release number: | + | |
| - | X.Org version: 1.16.4 | + | |
| - | maximum request size: 16777212 bytes | + | |
| - | motion buffer size: 256 | + | |
| - | bitmap unit, bit order, padding: | + | |
| - | image byte order: | + | |
| - | number of supported pixmap formats: | + | |
| - | supported pixmap formats: | + | |
| - | depth 1, bits_per_pixel 1, scanline_pad 32 | + | |
| - | depth 4, bits_per_pixel 8, scanline_pad 32 | + | |
| - | depth 8, bits_per_pixel 8, scanline_pad 32 | + | |
| - | depth 15, bits_per_pixel 16, scanline_pad 32 | + | |
| - | depth 16, bits_per_pixel 16, scanline_pad 32 | + | |
| - | depth 24, bits_per_pixel 32, scanline_pad 32 | + | |
| - | depth 32, bits_per_pixel 32, scanline_pad 32 | + | |
| - | keycode range: | + | |
| - | focus: | + | |
| - | number of extensions: | + | |
| - | BIG-REQUESTS | + | |
| - | Composite | + | |
| - | DAMAGE | + | |
| - | DOUBLE-BUFFER | + | |
| - | DPMS | + | |
| - | DRI2 | + | |
| - | DRI3 | + | |
| - | GLX | + | |
| - | Generic Event Extension | + | |
| - | MIT-SCREEN-SAVER | + | |
| - | MIT-SHM | + | |
| - | Present | + | |
| - | RANDR | + | |
| - | RECORD | + | |
| - | RENDER | + | |
| - | SECURITY | + | |
| - | SGI-GLX | + | |
| - | | + | |
| - | SYNC | + | |
| - | X-Resource | + | |
| - | XC-MISC | + | |
| - | XFIXES | + | |
| - | XFree86-DGA | + | |
| - | XFree86-VidModeExtension | + | |
| - | XINERAMA | + | |
| - | XInputExtension | + | |
| - | XKEYBOARD | + | |
| - | XTEST | + | |
| - | XVideo | + | |
| - | default screen number: | + | |
| - | number of screens: | + | |
| - | screen #0: | + | root@debian8:~# ls -l | grep message |
| - | | + | -rw-r--r-- 1 root root 31 Aug 7 10:18 message.txt |
| - | | + | -rw-r--r-- |
| - | depths (7): 24, 1, 4, 8, 15, 16, 32 | + | -rw-r--r-- |
| - | | + | -rw-r--r-- 1 root root 287 Aug 7 10:18 message.txt.sig |
| - | depth of root window: 24 planes | + | |
| - | | + | root@debian8:~# cat message.txt.asc |
| - | default colormap: 0x20 | + | -----BEGIN PGP MESSAGE----- |
| - | | + | Version: GnuPG v1 |
| - | preallocated pixels: | + | |
| - | options: | + | hQEMA9hdNoMxWUPaAQgAk8S4GyQNVeB36uoLY0icuC/ |
| - | largest cursor: | + | XJX3rHW0RCavc6mLTJvUGYUysubcVisQFWm3LTZ0ZD796S671EdLNNGgsfHNdR90 |
| - | current input event mask: 0xfa8033 | + | ext6f6UihR2ep5Y++8eTSat7YQc8nLiF5yexbnOCBuyxGI7gP2lLiZAX6sifmY61 |
| - | KeyPressMask | + | pMegrrhA4BN2Wupbwm2A7WX4NcU4mdZtNxW+zC1Rtp+NOr6ad5JftEes2yPdUcrD |
| - | LeaveWindowMask | + | WW2gZaL1DJx50OmBc/ |
| - | SubstructureNotifyMask | + | mYoVwu1bYSSSzmNGGvlFDa6EE/ |
| - | PropertyChangeMask | + | EyofLf5p+DVtJs1MK3OdJ87GV5n2XamtD3Qp3O2EvF/ |
| - | number of visuals: 120 | + | m4Ka3BM8p2yK9PQQbAvQIIyUg9TjP31c1bzdRa/ |
| - | | + | =laaP |
| - | | + | -----END PGP MESSAGE----- |
| - | | + | |
| - | class: | + | |
| - | | + | |
| - | | + | |
| - | red, green, blue masks: | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | red, green, blue masks: | + | |
| - | | + | |
| - | visual: | + | |
| - | visual id: 0xfa | + | |
| - | class: | + | |
| - | depth: | + | |
| - | available colormap entries: | + | |
| - | red, green, blue masks: | + | |
| - | significant bits in color specification: | + | |
| - | visual: | + | |
| - | visual id: 0xfb | + | |
| - | class: | + | |
| - | depth: | + | |
| - | available colormap entries: | + | |
| - | red, green, blue masks: | + | |
| - | significant bits in color specification: | + | |
| - | ... | + | |
| </ | </ | ||
| - | Les options de la commande | + | Pour décrypter un message il convient d' |
| < | < | ||
| - | trainee@debian8:~$ xdpyinfo | + | root@debian8:~# gpg --decrypt message.txt.asc |
| - | usage: | + | |
| - | -display displayname server | + | You need a passphrase |
| - | -version print program version and exit | + | user: "I2TCH (Test Key) < |
| - | -queryExtensions print info returned by XQueryExtension | + | 2048-bit RSA key, ID 315943DA, created 2016-08-07 (main key ID 324951F4) |
| - | -ext all print detailed info for all supported extensions | + | |
| - | -ext extension-name print detailed info for extension-name if one of: | + | gpg: encrypted with 2048-bit RSA key, ID 315943DA, created 2016-08-07 |
| - | MIT-SHM XKEYBOARD Multi-Buffering SHAPE SYNC XFree86-DGA | + | " |
| - | XFree86-VidModeExtension XTEST DOUBLE-BUFFER RECORD XInputExtension | + | This is a test message for gpg |
| - | RENDER Composite XINERAMA | + | |
| </ | </ | ||
| - | =====L' | + | ====PKI==== |
| - | L' | + | On appelle **[[wpfr> |
| - | ====Le Clavier et la Souris==== | + | Les cryptosystèmes à clés publiques permettent de s' |
| - | Historiquement, | + | |
| + | | ||
| + | * La clé est toujours valide. | ||
| - | ^ Paramètre ^ Description ^ | + | Ainsi, il est nécessaire |
| - | | Sticky Keys | Permet de maintenir les touches < | + | |
| - | | Mouse Keys | Permet d' | + | |
| - | | Bounce Keys | Permet | + | |
| - | | Slow Keys | Necéssite qu'une touche soit enfoncée pour une durée plus longue avant que le système réagisse | | + | |
| - | ====Claviers Visuels==== | + | Le tiers de confiance est une entité appelée communément autorité de certification (ou en anglais Certification authority, abrégé CA) chargée d' |
| - | Un clavier visuel ou //Onscreen Keyboard// est un clavier qui est afficher | + | Pour ce faire, l' |
| - | Un exemple connu du clavier visuel | + | Le rôle de l' |
| - | ====L'Ecran==== | + | * enregistrer des demandes de clés en vérifiant l'identité des demandeurs ; |
| + | * générer les paires de clés (clé privée / clé publique) ; | ||
| + | * garantir la confidentialité des clés privées correspondant aux clés publiques ; | ||
| + | * certifier l' | ||
| + | * révoquer des clés (en cas de perte par son propriétaire, | ||
| - | En ce qui concerne la visibilité | + | Une infrastructure à clé publique est en règle générale composée |
| - | Il existe aussi des loupes | + | * L' |
| + | | ||
| + | | ||
| - | ====Autres Technologies==== | + | ===Certificats X509=== |
| - | Il existe aussi des logiciels | + | Pour palier aux problèmes liés à des clefs publiques piratées, un système |
| + | |||
| + | Le certificat permet d’associer la clef publique à une entité ou une personne. Les certificats sont délivrés par des Organismes de Certification. | ||
| + | |||
| + | Les certificats sont des fichiers divisés en deux parties : | ||
| + | |||
| + | * La partie contenant les informations | ||
| + | * La partie contenant la signature de l' | ||
| + | |||
| + | La structure des certificats est normalisée par le standard | ||
| + | |||
| + | Elle contient : | ||
| + | |||
| + | | ||
| + | | ||
| + | * La date de validité du certificat | ||
| + | * L' | ||
| + | * La clé publique du propriétaire | ||
| + | |||
| + | Le Certificat est signé par l' | ||
| + | |||
| + | {{: | ||
| + | |||
| + | La vérification se passe ainsi: | ||
| + | |||
| + | {{: | ||
| ----- | ----- | ||
| < | < | ||
| <div align=" | <div align=" | ||
| - | Copyright © 2020 Hugh Norris.< | + | Copyright © 2020 Hugh Norris |
| </ | </ | ||
| </ | </ | ||
| + | ----- | ||
