aujourd'hui nous allons voir comment, facilement, exploiter une fonctionnalité offerte par Gandi (ou bien comprise dans le prix de nom de domaine, ça dépend comment on voit les choses).

beaucoup d'entre nous n'ont pas le temps (et souvent pas l'envie de non plus) de se prendre la tête avec un vrai MTA genre postfix ou exim et le configurer en s'assurant de bien renseigner les enregistrement MX chez le registrar, d'installer les bons outils pour le POP (ou IMAP) etc. etc.

il faut savoir qu'avec un nom de domaine de chez Gandi, on a droit a quelques comptes emails (5 par domaine de mémoire) et une infinité d'alias sur ces comptes.

ce qu'on va voir ici, c'est comment configurer une machine (serveur dédié) pour assurer le minimum syndical en s'appuyant sur le service proposé par gandi.

dans notre exemple il s'agira d'un Exim4 (c'est le seul avec lequel j'ai testé pour l'instant, et ça marche tellement bien que je n'ai pas envie de changer :-) )

on va supposer un compte admin@mon-domaine.com

tout d'abord il faut éditer le fichier : /etc/exim4/passwd.client en ajoutant tout à la fin :

*:admin@mon-domaine.com:MOT-DE-PASSE-DU-COMPTE

en suite, on va éditer le fichier /etc/exim4/update-exim4.conf.conf pour avoir quelque chose comme :

dc_eximconfig_configtype='satellite'
dc_other_hostnames=''
dc_local_interfaces='127.0.0.1'
dc_readhost='mon-domaine.com'
dc_relay_domains=''
dc_minimaldns='false'
dc_relay_nets=''
dc_smarthost='mail.gandi.net:587'
CFILEMODE='644'
dc_use_split_config='false'
dc_hide_mailname='true'
dc_mailname_in_oh='true'
dc_localdelivery='mail_spool'

un petit

/etc/init.d/exim4 reload

et le tour est joué :)

votre serveur envoie maintenant ces mails en utilisant le compte gandi, plus de soucis de conf complexe, maj à risque etc a se faire...

pour tester :

test-machine:/etc/exim4# mail user@omain.tld
Subject: test
ceci est un message de test !
.
Cc:

PS. procédure trouvé il y a un moment sur les forums gandi, mais je n'arrive jamais a la retrouver je la mets ici, au cas où.
PS2. comme d'habitude, notre distribution ici est une Debian :)

on commence par la locale :
taper :

dpkg-reconfigure locales

choisir la bonne langue/locale et valider, comme ici :

faire de même à l'ecran suivant :

en suite on passe a l'heure, c'est très simple
on tape :

dpkg-reconfigure tzdata

et là on va avoir un écran où il faudra sélectionner "Europe" puis valider, en suite sélectionner "Paris" puis valider et c'est ok, l'heure est automatiquement régler avec le bon fuseau horaire, pas besoin de régler l'heure a la main puisque ntpdate s'occupe de la garder à jour.

N.B. Tous se fait sous root.

Aujourd'hui on va voir comment installer et configurer l'outil de monitoring munin

Un petit article aide mémoire comme beaucoup d'autres sur ce blog :)

pour commencer :

apt-get install munin munin-node

en suite il faut éditer le fichier de configuration : /etc/munin/munin.conf

changer juste la valeur de htmldir pour choisir un répertoire où les fichiers html des rapports seront déposés, pour moi c'est sous un vhosts de statistiques, exemple :

htmldir	/var/www/munin

vous pouvez aussi laisser la valeur par défaut.

un autre fichier de configuration pourrait vous intéresser, personnellement je n'ai pas eu a le toucher : /etc/munin/munin-node.conf

Important : Assurez vous que le répertoire "htmldir" choisi plus haut soit accessible en écriture a l'utilisateur munin (sinon le cron vous bombarde de mails pas cool), moi j'ai fait un :

chown -R munin:www-data MON/HTML/DIR/DE/MUNIN

maintenant on restart tout ça :

/etc/init.d/munin-node restart

quelques minutes après (le temps de générer quelques stats) on va a l'url correspondant au htmldir et on admire les garphs :)

1. Le mode NAT
2. Adaptateur réseau hôte

Le mode NAT :

Avec ce type de configuration, la machine aura accès au net, mais sans plus, elle ne sera pas joignable, elle ne sera pas visible sur le réseau, c'est le plus simple, le plus rapide, mais pas le plus efficace, néanmoins, ça peut suffire dans la plupart des cas. D'ailleurs, c'est la configuration par défaut de VirtualBox, donc il n'y a rien à faire pour que ça fonctionne.

Adaptateur réseau du système hôte :

Cette configuration fait que, non seulement, la machine virtuelle aura accès au net, mais elle sera elle même joignable depuis le réseau, avec cette configuration, la machine virtuelle apparaitra sur le réseau comme une machine indépendante du système hôte, ce qui est plutôt appréciable pour certaines utilisations, indispensable pour d'autres.

Nous allons voir comment procéder à cette configuration dans le cadre d'un système hôte sous XP (ou Vista) et une machine virtuelle sous Linux (Debian Etch en l'occurrence).

Tout d'abord, aller dans les paramètres de la machine virtuelle (éteinte ;-) ) et modifier les options du réseau, dans la partie basse de la fenêtre ajouter une interface réseau (cliquez sur le "+" a droite de la fenêtre, cela créera une interface réseau supplémentaire qu'on utilisera plus tard (visible dans les connexions réseau).

dans "Attaché à :" sélectionnez "Adaptateur réseau hôte", puis validez.

aller dans les connexions réseau, sélectionnez votre connexion habituelle (en général elle s'appelle :"connexion au réseau local") et la connexion virtuelle créée précédemment, puis cliquez sur le bouton droit de la souris (il faut sélectionner les 2 en même temps), et dans le menu contextuel cliquez sur "connexion de ponts", ceci va créer un pont entre les 2 connexions réseau (en gros il va donner la connexion a l'interface virtuelle).

normalement si tout va bien votre machine virtuelle est ajouté au réseau (il faut l'allumer hein ;-) ), elle obtient directement son adresse IP (si vous avez un serveur DHCP sur le réseau bien sûr, sinon rester en NAT ou configurez une IP fixe).

En cas de problème n'hésitez pas à recommencer, parfois ça a du mal a fonctionner.

Quelques pistes en cas de problème :

parfois, si on a fait plusieurs tests, bidouillé un peu /etc/network/interfaces etc. l'interface coté linux peut changer de nom, en général c'est eth0 mais c'est pas toujours le cas, voici un moyen simple de savoir comment est appelée l'interface réseau :

cat /proc/net/dev

dans le résultat de cette commande on voit le nom de l'interface, pratique pour la configurer à la main (IP statique par exemple) en tout cas ça m'a bien servi pour voir que mon interface s'appelait eth4 ;-)

n'oublier pas une petit

/etc/init.d/networking restart

après chanque changement dans /etc/network/interfaces

Bonne chance, et bonne virtualisation :-)

Pour l'installation, ce n'est pas très compliqué, il suffit de suivre ces quelques étapes à la lettre et tout ira très bien ;-)

tout d'abord il faut s'assurer d'avoir les bons paquets d'installés, en voici une liste :

• php5-dev
• openssl
• libssl-dev
• gcc
• make
• etc. je suppose que si vous installez cette extension, c'est que vous avez déjà php, apache etc.

Toute la suite s'effectue en root

mais avant toute chose, n'oublions pas de faire un petit :

apt-get update
apt-get upgrade

en suite il faut créer un répertoire de travail :

cd ~
mkdir libssh2
cd libssh2

ensuite télécharger libssh2 :

wget http://ovh.dl.sourceforge.net/sourceforge/libssh2/libssh2-0.14.tar.gz

puis l'extraire :

tar -xzvf libssh2-0.14.tar.gz

aller dans le répertoire créé et installer libssh2 :

cd libssh2-0.14
./configure && make all install

maintenant que libssh2 est installée, passons a ssh2 :

on sort du repertoire de libssh2 et on télécharge ssh2 :

cd ..
wget http://pecl.php.net/get/ssh2-0.10.tgz

extraire l'archive téléchargée :

tar -xzvf ssh2-0.10.tgz

aller dans le répertoire créé et installer ssh2 :

cd ssh2-0.10
phpize && ./configure --with-ssh2 && make

maintenant que l'installation est terminée, on active l'extension, ici on va copier le fichier ssh2.so dans le répertoire des extension de php5 (il peut être différent du mien selon la distrib et l'installation) :

cp modules/ssh2.so /usr/lib/php5/20060613+lfs

puis on ajoute l'extension en créant un fichier ssh2.ini dans le répertoire conf.d (comme pour toutes les autres extensions de php) on n'oublie pas de le faire pour apache mais aussi pour le mode CLI.

echo "extension=ssh2.so" > /etc/php5/cli/conf.d/ssh2.ini
echo "extension=ssh2.so" > /etc/php5/apache2/conf.d/ssh2.ini
/etc/init.d/apache2 restart

Et voilà, notre extension est installée, a vous ssh2 et sftp avec php :)

ça parait simple, mais quand on a installé une Debian assez maigre (avec presque rien dessus) la tache ne se résume plus a un simple clic, voici donc ce qu'il faut faire :

la première étape est obligatoire pour nous éviter un message d'erreur du type :

"Please install the build and header files for your current Linux kernel.
The current kernel version is 2.6.17-5mdv
Please install the GNU compiler.
Problems were found which would prevent VirtualBox from installing.
Please correct these problems and try again."

debian-guest:~# apt-get install linux-headers-`uname -r` build-essential

après il faut aller dans : Périphériques >> Installer les additions client...

retourner dans Debian et faire :

debian-guest:~# cd /media/
debian-guest:~# mount cdrom0
debian-guest:~# cd cdrom
debian-guest:~# sh VBoxLinuxAddition-XXXX.run (le XXX c'est la version adm64 ou x86)

redémarrez les machine virtuelle est ca devrait être bon ;-)

il faut s'assurer que le paquet locale est deja installé (par défaut sur une etch il me semble) et faire un coup de :

dpkg-reconfigure locales

et là on sélectionne la locale voulue en la mettant par défaut, se déconnecter, se reconnecter et le tour est joué :)

le problème avec cette extension c'est qu'elle est un peu dur à installer, en réalité pas si dur que ça, il suffit de prendre le temps de le faire. Il faut juste savoir qu'un simple apt-get install php5-fileinfo ne suffira pas, tout simplement parce qu'il n'existe pas de paquet debian pour cette extension (pas encore...).

Donc pour l'installer, voici la procédure :
Il faut d'abord installer PEAR :

apt-get install php-pear

ensuite il faut installer php5-dev si ce n'est pas déjà fait, ceci installera phpize ce qui nous évitera l'erreur :

sh: phpize: command not found
ERROR: `phpize' failed

installation de php5-dev :

apt-get install php5-dev

c'est presque bon mais pas encore :
maintenant il faut installer libmagic pour nous éviter une erreur lors de l'installation de fileinfo :

apt-get install libmagic-dev

maintenant tout est bon, nous allons enfin pouvoir lancer l'installation de notre extension :

pecl install fileinfo

Voilà, maintenant fileinfo est installée, nous allons pouvoir vérifier les types mime des fichiers avec des méthodes plus fiables ;-)

Normalement tout devrait fonctionner maintenant, mais il ce peut que l'extension ne soit pas activée comme il faut, dans ce cas il faudra créer un fichier fileinfo.ini dans /etc/php5/apache2/conf.d avec le contenu suivant :

extension=fileinfo.so

reloader apache avec /etc/init.d/apache2 reload et le tour est joué :)

Pour cela nous allons utiliser PHPDocumentor. qui va nous permetre de générer une documentation à paritr des sources de notre projet.

Il faut d'abord l'installer avec la commande suivante :

pear install phpdocumentor

(si pear n'est pas installé faites un apt-get install php-pear)

Si vous rencontrez un problème de dépassement de mémoire alouée avec PHP, allez dans /etc/php5/cli/php.ini et augmenter cette limite (il s'agit du paramètre memory_limit).

création d'un fichier de configuration pour le projet :

pour générer la documentation d'un projet nous avons besoin d'un fichier de configuration par projet, en voici un exemple :
fichier nom_du_projet.conf :

[Parse Data]
title = Titre de la documentation
hidden = false
parseprivate = off
javadocdesc = off
defaultcategoryname = Documentation
defaultpackagename = Projet
target = /PATH/OU/SERA/ENREGISTRE/LA/DOCUMENTATION
readmeinstallchangelog = README, INSTALL, FAQ, LICENSE
directory =   /PATH/VERS/LE/PROJET
ignore = templates/,test*.php
sourcecode = on
output=HTML:frames:earthli

et pour tester exécutez la commande suivante (après avoir créé le répertoire cible de la documentation)

phpdoc -c nom_du_projet.conf

et voilà, la génération prend un peu de temps, en fonction de la machine et de la taille du projet.

Se protéger contre les Smurf Attack:

# echo "1" > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts

Eviter le source routing:

# echo "0" > /proc/sys/net/ipv4/conf/all/accept_source_route

Se protéger des attaques de type Syn Flood:

# echo "1" > /proc/sys/net/ipv4/tcp_syncookies

# echo "1024" > /proc/sys/net/ipv4/tcp_max_syn_backlog

# echo "1" > /proc/sys/net/ipv4/conf/all/rp_filter

Désactivez l'autorisation des redirections ICMP:

# echo "0" > /proc/sys/net/ipv4/conf/all/accept_redirects

# echo "0" > /proc/sys/net/ipv4/conf/all/secure_redirects

Eviter le log des paquets icmp erroné:

# echo "1" > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses

Active le logging des packets aux adresses sources falficiées ou non routables:

# echo "1" > /proc/sys/net/ipv4/conf/all/log_martians

Source : http://www.dedibox-news.com/doku.php?id=distrib:debian:securiser_sa_debian

Pour en discuter c'est par ici : http://naeh.net/forum/index.php?topic=14.0