Différences
Ci-dessous, les différences entre deux révisions de la page.
| Les deux révisions précédentesRévision précédenteProchaine révision | Révision précédente | ||
| elearning:workbooks:centos:8:junior:l119 [2021/12/18 09:55] – admin | elearning:workbooks:centos:8:junior:l119 [2024/10/16 14:41] (Version actuelle) – admin | ||
|---|---|---|---|
| Ligne 1: | Ligne 1: | ||
| ~~PDF: | ~~PDF: | ||
| + | |||
| + | Version : **2024.01** | ||
| Dernière mise-à-jour : ~~LASTMOD~~ | Dernière mise-à-jour : ~~LASTMOD~~ | ||
| - | ======LCF513 - Gestion du Réseau, le Pare-feu et SELinux====== | + | ======LCF513 - Gestion du Réseau====== |
| =====Contenu du Module===== | =====Contenu du Module===== | ||
| - | * **LCF513 - Gestion du Réseau, le Pare-feu et SELinux** | + | * **LCF513 - Gestion du Réseau** |
| * Contenu du Module | * Contenu du Module | ||
| - | * Présentation | + | |
| + | | ||
| + | * Classification des Réseaux | ||
| + | * Classification par Mode de Transmission | ||
| + | * Classification par Topologie | ||
| + | * Classification par Étendue | ||
| + | * Les Types de LAN | ||
| + | * Le Modèle Client/ | ||
| + | * Modèles de Communication | ||
| + | * Le modèle OSI | ||
| + | * Spécification NDIS et le Modèle ODI | ||
| + | * Le modèle TCP/IP | ||
| + | * Les Raccordements | ||
| + | * Les Modes de Transmission | ||
| + | * Les Câbles | ||
| + | * Les Réseaux sans Fils | ||
| + | * Le Courant Porteur en Ligne | ||
| + | * Technologies | ||
| + | * Ethernet | ||
| + | * Token-Ring | ||
| + | * Périphériques Réseaux Spéciaux | ||
| + | * Les Concentrateurs | ||
| + | * Les Répéteurs | ||
| + | * Les Ponts | ||
| + | * Les Commutateurs | ||
| + | * Les Routeurs | ||
| + | * Les Passerelles | ||
| + | * Comprendre le Chiffrement | ||
| + | * Introduction à la cryptologie | ||
| + | * Définitions | ||
| + | * La Cryptographie | ||
| + | * Le Chiffrement par Substitution | ||
| + | * Algorithmes à clé secrète | ||
| + | * Le Chiffrement Symétrique | ||
| + | * Algorithmes à clef publique | ||
| + | * Le Chiffrement Asymétrique | ||
| + | * La Clef de Session | ||
| + | * Fonctions de Hachage | ||
| + | * Signature Numérique | ||
| + | * Utilisation de GnuPG | ||
| + | * Présentation | ||
| + | * Installation | ||
| + | * Configuration | ||
| + | * Signer un message | ||
| + | * Chiffrer un message | ||
| + | * PKI | ||
| + | * Certificats X509 | ||
| + | * Comprendre IPv4 | ||
| + | * En-tête TCP | ||
| + | * En-tête UDP | ||
| + | * Fragmentation et Ré-encapsulation | ||
| + | * Adressage | ||
| + | * Masques de sous-réseaux | ||
| + | * VLSM | ||
| + | * Ports et sockets | ||
| + | * / | ||
| + | * Résolution d' | ||
| + | * Comprendre IPv6 | ||
| + | * Présentation | ||
| + | * Adresses IPv6 | ||
| + | * Masque de Sous-réseau | ||
| + | * Adresses IPv6 Réservées | ||
| + | * L' | ||
| + | * DHCPv6 | ||
| + | * Configuration | ||
| * La Commande nmcli | * La Commande nmcli | ||
| * LAB #1 - Configuration du Réseau | * LAB #1 - Configuration du Réseau | ||
| Ligne 42: | Ligne 108: | ||
| * Utilisation | * Utilisation | ||
| * 3.6 - Mise en Place des Clefs Asymétriques | * 3.6 - Mise en Place des Clefs Asymétriques | ||
| - | * LAB #4 - La Configuration de firewalld | ||
| - | * 4.1 - Présentation | ||
| - | * 4.2 - La Configuration de Base de firewalld | ||
| - | * 4.3 - L' | ||
| - | * 4.4 - La Configuration Avancée de firewalld | ||
| - | * 4.5 - Le mode Panic de firewalld | ||
| - | * LAB #5 - L' | ||
| - | * 5.1 - Introducton | ||
| - | * Security Context | ||
| - | * Domains et Types | ||
| - | * Roles | ||
| - | * Politiques de Sécurité | ||
| - | * Langage des Politiques | ||
| - | * allow | ||
| - | * type | ||
| - | * type_transition | ||
| - | * Décisions de SELinux | ||
| - | * Décisions d' | ||
| - | * Décisions de Transition | ||
| - | * Commandes SELinux | ||
| - | * Les Etats de SELinux | ||
| - | * Booléens | ||
| - | * 5.2 - Copier et Déplacer des Fichiers | ||
| - | * 5.3 - Vérifier les SC des Processus | ||
| - | * 5.4 - Visualiser la SC d'un Utilisateur | ||
| - | * 5.5 - Vérifier la SC d'un fichier | ||
| - | * 5.6 - La commande chcon | ||
| - | * 5.7 - La commande restorecon | ||
| - | * 5.8 - Le fichier / | ||
| - | * 5.9 - La commande semanage | ||
| - | * 5.10 - La commande audit2allow | ||
| - | =====Présentation===== | + | |
| + | =====Comprendre les Réseaux===== | ||
| + | |||
| + | ====Présentation | ||
| + | |||
| + | La définition d'un réseau peut être résumé ainsi : | ||
| + | |||
| + | * un ensemble d' | ||
| + | * une entité destinée au transport de données dans différents environnements. | ||
| + | |||
| + | Pour que la communication soit efficace, elle doit respecter les critères suivants : | ||
| + | |||
| + | * présenter des informations compréhensibles par tous les participants, | ||
| + | * être compatible avec un maximum d' | ||
| + | * si l' | ||
| + | * permettre une réduction des coûts (par ex. interconnexion à bas coût), | ||
| + | * permettre une productivité accrue (par ex. interconnexion à haut débit), | ||
| + | * être sécurisée si les informations à transmettre sont dites sensibles, | ||
| + | * garantir l' | ||
| + | |||
| + | On peut distinguer deux familles d' | ||
| + | |||
| + | Les **Eléments Passifs** transmettent le signal d'un point à un autre : | ||
| + | |||
| + | * **Les Infrastructures ou Supports** - des câbles, de l' | ||
| + | * **La Topologie** - l' | ||
| + | |||
| + | Les **Eléments Actifs** sont des équipements qui consomment de l' | ||
| + | |||
| + | * **Equipement de Distribution Interne au Réseau** - Répartiteur (Hub, Switch, Commutateur etc.), Borne d' | ||
| + | * **Equipement d' | ||
| + | * **Nœuds** et **Interfaces Réseaux** - postes informatiques, | ||
| + | |||
| + | Un **Nœud** est une extrémité de connexion qui peut être une intersection de plusieurs connexions ou de plusieurs **Equipements**. | ||
| + | |||
| + | Une **Interface Réseau** est une prise ou élément d'un **Equipement Actif** faisant la connexion vers d' | ||
| + | |||
| + | <WRAP center round important 60%> | ||
| + | **Important** - Dans le cas d'un mélange d' | ||
| + | </ | ||
| + | |||
| + | Tous les **Equipements** connectés au même support doivent respecter un ensemble de règles appelé une **Protocole de Communication**. | ||
| + | |||
| + | Les **Protocoles de Communication** définissent de façon formelle et interopérable la manière dont les informations sont échangées entre les **Equipements**. | ||
| + | |||
| + | Des **Logiciels**, | ||
| + | |||
| + | Se basant sur des **Protocoles de Communication**, | ||
| + | |||
| + | L' | ||
| + | |||
| + | ===Classification des Réseaux=== | ||
| + | |||
| + | Les réseaux peuvent être classifiés de trois façon différentes : | ||
| + | |||
| + | * par **Mode de Transmission**, | ||
| + | * par **Topologie**, | ||
| + | * par **Étendue**. | ||
| + | |||
| + | ==Classification par Mode de Transmission== | ||
| + | |||
| + | Il existe deux **Classes** de réseaux dans cette classification : | ||
| + | |||
| + | * les **Réseaux en Mode de Diffusion**, | ||
| + | * utilise un seul support de transmission, | ||
| + | * le message est envoyé sur tout le réseau à l' | ||
| + | |||
| + | * les **Réseaux en Mode Point à Point**, | ||
| + | * une seule liaison entre deux équipements, | ||
| + | * les nœuds permettent de choisir la route en fonction de l' | ||
| + | * quand deux nœuds non directement connectés entre eux veulent communiquer ils le font par l' | ||
| + | |||
| + | ==Classification par Topologie== | ||
| + | |||
| + | <WRAP center round important 60%> | ||
| + | **Important** - La **Topologie Physique** d'un réseau décrit l' | ||
| + | </ | ||
| + | |||
| + | **La Topologie Physique** | ||
| + | |||
| + | Il existe 6 topologies physiques de réseau : | ||
| + | |||
| + | * La Topologie en Ligne, | ||
| + | * La Topologie en Bus, | ||
| + | * La Topologie en Etoile, | ||
| + | * La Topologie en Anneau, | ||
| + | * La Topologie en Arbre, | ||
| + | * La Topologie Maillée. | ||
| + | |||
| + | **La Topologie en Ligne** | ||
| + | |||
| + | Tous les nœuds sont connectés à un seul support. L' | ||
| + | |||
| + | **La Topologie en Bus** | ||
| + | |||
| + | Tous les nœuds sont connectés à un seul support (un câble BNC en T) avec des bouchons à chaque extrémité. La longueur du bus est limitée à **185m**. Le nombre de stations de travail est limité à **30**. Les Stations sont reliées au Bus par des ' | ||
| + | Quand le support tombe en panne, le réseau ne fonctionne plus. Quand une station tombe en panne, elle ne perturbe pas le fonctionnement de l' | ||
| + | |||
| + | {{: | ||
| + | |||
| + | **La Topologie en Étoile** | ||
| + | |||
| + | Chaque nœud est connecté à un périphérique central appelé un **Hub** (**Concentrateur**) ou un **Switch** (**Commutateur**). Un Hub ou un Switch est prévu pour 4, 8, 16, 32 ... stations. En cas d'un réseau d'un plus grand nombre de stations, plusieurs Hubs ou Switches sont connectés ensemble. Quand une station tombe en panne, elle ne perturbe pas le fonctionnement de l' | ||
| + | |||
| + | {{: | ||
| + | |||
| + | **La Topologie en Anneau** | ||
| + | |||
| + | Chaque nœud est relié directement à ses deux voisins dans une topologie logique de cercle ininterrompu et une topologie physique en étoile car les stations sont reliées à un type de hub spécial, appelé un **Multistation Access Unit** (MAU). | ||
| + | |||
| + | {{: | ||
| + | |||
| + | Les stations sont reliées à la MAU par un câble ' | ||
| + | |||
| + | **La Topologie en Arbre** | ||
| + | |||
| + | La Topologie en Arbre est utilisée dans un réseau hiérarchique où le sommet, aussi appelé la **racine**, est connecté à plusieurs nœuds de niveau inférieur. Ces nœuds peuvent à leur tour être connectés à d' | ||
| + | |||
| + | **La Topologie Maillée** | ||
| + | |||
| + | Cette Topologie est utilisée pour des grands réseaux de distribution tels Internet ou le WIFI. Chaque nœud est connecté à tous les autres via des liaisons point à point. Le nombre de liaisons devient très rapidement important en cas d'un grand nombre de nœuds. Par exemple dans le cas de 100 Stations (N), le nombre de liaisons est obtenu par la formule suivante : | ||
| + | |||
| + | N(N-1)/2 = 100(100-1)/ | ||
| + | |||
| + | <WRAP center round important 60%> | ||
| + | **Important** - La **Topologie Physique** la plus répandue est la **Topologie en Etoile**. | ||
| + | </ | ||
| + | |||
| + | ==Classification par Étendue== | ||
| + | |||
| + | La classification par étendue nous fournit 4 réseaux principaux : | ||
| + | |||
| + | ^ Nom ^ Description ^ Traduction ^ Taille Approximative (M) | | ||
| + | | PAN | Personal Area Network | Réseau Personnel | 1 -10 | | ||
| + | | LAN | Local Area Network | Réseau Local Entreprise (RLE) | 5 - 1 200 | | ||
| + | | MAN | Métropolitain Area Network | Réseau Urbain | 900 - 100 000 | | ||
| + | | WAN | Wide Area Network | Réseau Long Distance (RLD) | 50 000 et au delà | | ||
| + | |||
| + | Cependant, d' | ||
| + | |||
| + | | CAN | Campus Area Network | Réseau de Campus | | ||
| + | | GAN | Global Area Network | Réseau Global | | ||
| + | | TAN | Tiny Area Network | Réseau Minuscule | | ||
| + | | FAN | Family Area Network | Réseau Familial | | ||
| + | | SAN | Storage Area Network | Réseau de Stockage | | ||
| + | |||
| + | <WRAP center round important 60%> | ||
| + | **Important** - Etant donné que les WANs sont gérés par des opérateurs de télécommunications qui doivent demander une licence à l' | ||
| + | </ | ||
| + | |||
| + | ==Les Types de LAN== | ||
| + | |||
| + | Il existe deux types de LAN : | ||
| + | |||
| + | * le réseau à serveur dédié, | ||
| + | * le réseau poste à poste. | ||
| + | |||
| + | **Réseau à Serveur Dédié** | ||
| + | |||
| + | Le réseau à serveur dédié est caractérisé par le fait que toutes les ressources ( imprimantes, | ||
| + | |||
| + | Des exemples des systèmes d' | ||
| + | |||
| + | * Windows NT Server, | ||
| + | * Windows 2000 Server, | ||
| + | * Windows 2003 Server, | ||
| + | * Windows 2008 Server, | ||
| + | * Linux, | ||
| + | * Unix. | ||
| + | |||
| + | {{: | ||
| + | |||
| + | **Réseau Poste-à-Poste** | ||
| + | |||
| + | Le réseau poste à poste est caractérisé par le fait que tous les ordinateurs peuvent jouer le rôle de client et de serveur : | ||
| + | |||
| + | * Windows 95, | ||
| + | * Windows 98, | ||
| + | * Windows NT Workstation. | ||
| + | |||
| + | {{: | ||
| + | |||
| + | ===Le Modèle Client/ | ||
| + | |||
| + | Le modèle Client/ | ||
| + | |||
| + | Le serveur est aussi : | ||
| + | |||
| + | * passif, c' | ||
| + | * capable de traiter plusieurs requêtes simultanément en utilisant le **multi-threading**, | ||
| + | * garant de l' | ||
| + | |||
| + | Le client est, par contre **actif**, étant à l' | ||
| + | |||
| + | Il existe trois types de modèle client/ | ||
| + | |||
| + | * **Plat** - tous les clients communiques avec un seul serveur, | ||
| + | * **Hiérarchique** - les clients n'ont de contact qu' | ||
| + | * **Peer-to-Peer** - les équipements sont à la fois client **et** serveur en même temps. | ||
| + | |||
| + | ===Modèles de Communication=== | ||
| + | |||
| + | Les réseaux sont bâtis sur des technologies et des modèles. Le modèle **théorique** le plus important est le modèle **O**pen **S**ystem **Interconnection** créé par l' | ||
| + | |||
| + | == Le modèle OSI == | ||
| + | |||
| + | Le modèle OSI qui a été proposé par l'ISO est devenu le standard en termes de modèle pour décrire l' | ||
| + | |||
| + | Ce modèle repose sur trois termes : | ||
| + | |||
| + | * Les **Couches**, | ||
| + | * Les **Protocoles**, | ||
| + | * Les **Interfaces**. | ||
| + | |||
| + | **Les Couches** | ||
| + | |||
| + | Des sept couches : | ||
| + | |||
| + | * Les couches 1 à 3 sont les **Couches Basses** orientées **Transmission**, | ||
| + | * La couche 4 est la **Couche Charnière** entre les **Couches Basses** et les **Couches Hautes**, | ||
| + | * Les couches 5 à 7 sont les **Couches Hautes** orientées **Traitement**. | ||
| + | |||
| + | La couche du même niveau du système **A** parle avec son homologue du système **B**. | ||
| + | |||
| + | * **La Couche Physique** ( Couche 1 ) est responsable : | ||
| + | * du transfert de données binaires sur le câble physique ou virtuel | ||
| + | * de la définition de tout aspect physique allant du connecteur jusqu' | ||
| + | * de la définition des tensions électriques sur le câble pour obtenir le 0 et le 1 binaires | ||
| + | |||
| + | * **La Couche de Liaison** ( Couche 2 ) est responsable : | ||
| + | * de la réception des données de la couche physique | ||
| + | * de l' | ||
| + | * de la préparation, | ||
| + | * de la gestion de l' | ||
| + | * de la communication nœud à nœud | ||
| + | * de la gestion des erreurs | ||
| + | * avant la transmission, | ||
| + | * le nœud récepteur recalcule un CRC en fonction du contenu de la trame reçue et le compare à celui incorporé avec l' | ||
| + | * en cas de deux CRC identique, le nœud récepteur envoie un accusé de réception au nœud émetteur | ||
| + | * de la réception de l' | ||
| + | * éventuellement de le ré-émission des données | ||
| + | * En prenant ce modèle, l'IEEE ( Institute of Electrical and Eletronics Engineers ) l'a étendu avec le Modèle IEEE ( 802 ). | ||
| + | *Dans ce modèle la Couche de Liaison est divisée en deux sous-couches importantes : | ||
| + | * La **Sous-Couche LLC** ( Logical Link Control ) qui : | ||
| + | * gère les accusés de réception | ||
| + | * gère le flux de trames | ||
| + | * La **Sous-Couche MAC** ( Media Access Control ) qui : | ||
| + | * gère la méthode d' | ||
| + | * le CSMA/CD dans un réseau basé sur la technologie Ethernet | ||
| + | * l' | ||
| + | * gère les erreurs | ||
| + | |||
| + | * **La Couche de Réseau** ( Couche 3 ) est responsable de la gestion de la bonne distribution des différentes informations aux bonnes adresses en : | ||
| + | * identifiant le chemin à emprunter d'un nœud donné à un autre | ||
| + | * appliquant une conversion des adresses logiques ( des noms ) en adresses physiques | ||
| + | * ajoutant des information adressage aux envois | ||
| + | * détectant des paquets trop volumineux avant l' | ||
| + | |||
| + | * **La Couche de Transport** ( Couche 4 ) est responsable de veiller à ce que les données soient envoyées correctement en : | ||
| + | * constituant des paquets de données corrects | ||
| + | * les envoyant dans le bon ordre | ||
| + | * vérifiant que les données sont traités dans le même ordre que l' | ||
| + | * permettant à un processus sur un nœud de communiquer avec un autre nœud et d' | ||
| + | |||
| + | * **La Couche de Session** ( Couche 5 ) est responsable : | ||
| + | * de l' | ||
| + | * de la conversation entre deux processus de vérification de la réception des messages envoyés en séquences, c' | ||
| + | |||
| + | * de la sécurité lors de l' | ||
| + | |||
| + | * **La Couche de Présentation** ( Couche 6 ) est responsable : | ||
| + | * du formatage et de la mise en forme des données | ||
| + | * des conversions de données telles le cryptage/ | ||
| + | |||
| + | * **La Couche d' | ||
| + | * du dialogue homme/ | ||
| + | * du partage des ressources | ||
| + | * de la messagerie | ||
| + | |||
| + | **Les Protocoles** | ||
| + | |||
| + | Un **protocole** est un langage commun utilisé par deux entités en communication pour pouvoir se comprendre. La nature du Protocole dépends directement de la nature de la communication. Cette nature dépend du **paradigme** de communication que l' | ||
| + | |||
| + | **Les Interfaces** | ||
| + | |||
| + | Chaque couche rend des **services** à la couche immédiatement supérieure et utilise les services de la couche immédiatement inférieure. L' | ||
| + | |||
| + | **Protocol Data Units** | ||
| + | |||
| + | | ||
| + | |||
| + | * **Application Protocol Data Units** pour la couche **Application**, | ||
| + | * **Présentation Protocol Data Units** pour la couche **Présentation**, | ||
| + | * **Session Protocol Data Units** pour la couche **Session**, | ||
| + | * **Transport Protocol Data Units** pour la couche **Transport**. | ||
| + | |||
| + | Or, pour les **Couches Basses** on parle de : | ||
| + | |||
| + | * **Paquets** pour la couche **Réseau**, | ||
| + | * **Trames** pour la couche **Liaison**, | ||
| + | * **Bits** pour la couche **Physique**. | ||
| + | |||
| + | **Encapsulation et Désencapsulation** | ||
| + | |||
| + | Lorsque les données sont communiquées par le système A au système B, celles-ci commencent au niveau de la couche d' | ||
| + | |||
| + | ^ Couche Système A ^ Encapsulation ^ | ||
| + | | Application | Application Header (AH) + Unité de Données (UD) | | ||
| + | | Présentation | Présentation Header (PH) + AH + UD | | ||
| + | | Session | Session Header (SH) + PH + AH + UD | | ||
| + | | Transport | Transport Header (TH) + SH + PH + AH + UD | | ||
| + | | Réseau | Network Header (NH) + TH + SH + PH + AH + UD | | ||
| + | | Liaison | Liaison Header (DH) + NH + TH + SH + PH + AH + UD | | ||
| + | |||
| + | Lors de son voyage de la couche Physique vers la couche Application dans le système B, les en-têtes sont supprimées par chaque couche correspondante. On parle alors de **désencapsulation** : | ||
| + | |||
| + | ^ Couche Système B ^ Encapsulation ^ | ||
| + | | Liaison | Liaison Header (DH) + NH + TH + SH + PH + AH + UD | | ||
| + | | Réseau | Network Header (NH) + TH + SH + PH + AH + UD | | ||
| + | | Transport | Transport Header (TH) + SH + PH + AH + UD | | ||
| + | | Session | Session Header (SH) + PH + AH + UD | | ||
| + | | Présentation | Présentation Header (PH) + AH + UD | | ||
| + | | Application | Application Header (AH) + Unité de Données (UD) | | ||
| + | |||
| + | == Spécification NDIS et le Modèle ODI == | ||
| + | |||
| + | La spécification NDIS ( Network Driver Interface Specification ) a été introduite conjointement par les sociétés Microsoft et 3Com. | ||
| + | Cette spécification ainsi que son homologue, le modèle ODI ( Open Datalink Interface ) introduit conjointement par les sociétés Novell et Apple à la même époque, définit des standards pour les pilotes de cartes réseau afin qu'ils puissent être indépendants des protocoles utilisées et les systèmes d' | ||
| + | |||
| + | * l' | ||
| + | * l' | ||
| + | * l' | ||
| + | |||
| + | == Le modèle TCP/IP == | ||
| + | |||
| + | La suite des protocoles TCP/IP ( Transmission Control Protocol / Internet Protocol ) est issu de la DOD ( Dept. Américain de la Défense ) et le travail de l'ARPA ( Advanced Research Project Agency ). | ||
| + | |||
| + | * La suite des protocoles TCP/IP | ||
| + | * a été introduite en 1974 | ||
| + | * a été utilisée dans l' | ||
| + | * permet la communication entre des réseaux à base de systèmes d' | ||
| + | * est très proche du modèle OSI en termes d' | ||
| + | * est, en réalité, une suite de protocoles et de services : | ||
| + | * **IP** ( Internet Protocol ) | ||
| + | * le protocole IP s' | ||
| + | * **ICMP** ( Internet Control Message Protocol ) | ||
| + | * le protocole ICMP produit des messages de contrôle aidant à synchroniser le réseau. Un exemple de ceci est la commande ping. | ||
| + | * **TCP** ( Transmission Control Protocol ) | ||
| + | * le protocole TCP se trouve au niveau de la couche de Transport du modèle OSI et s' | ||
| + | * **UDP** ( User Datagram Protocol ) | ||
| + | * le protocole UDP n'est pas orienté connexion. Il est utilisé pour la transmission rapide de messages entre nœuds sans garantir leur acheminement. | ||
| + | * **Telnet** | ||
| + | * le protocole Telnet est utilisé pour établir une connexion de terminal à distance. Il se trouve dans la couche d' | ||
| + | * **Ftp** ( File Transfer Protocol ) | ||
| + | * le protocole ftp est utilisé pour le transfert de fichiers. Il se trouve dans la couche d' | ||
| + | * **SMTP** ( Simple Message Transfer Protocol ) | ||
| + | * le service SMTP est utilisé pour le transfert de courrier électronique. Il se trouve dans la couche d' | ||
| + | * **DNS** ( Domain Name Service ) | ||
| + | * le service DNS est utilisé pour le résolution de noms en adresses IP. Il se trouve dans la couche d' | ||
| + | * **SNMP** ( Simple Network Management Protocol ) | ||
| + | * le protocole SNMP est composé d'un agent et un gestionnaire. L' | ||
| + | * **NFS** ( Network File System ) | ||
| + | * le NFS a été mis au point par Sun Microsystems | ||
| + | * le NFS génère un lien virtuel entre les lecteurs et les disques durs permettant de monter dans un disque virtuel local un disque distant | ||
| + | * et aussi POP3, NNTP, IMAP etc ... | ||
| + | |||
| + | Le modèle TCP/IP est composé de 4 couches : | ||
| + | |||
| + | * La couche d' | ||
| + | * Cette couche spécifie la forme sous laquelle les données doivent être acheminées, | ||
| + | * La couche Internet | ||
| + | * Cette couche est chargée de fournir le paquet de données. | ||
| + | * La couche de Transport | ||
| + | * Cette couche assure l' | ||
| + | * La couche d' | ||
| + | * Cette couche englobe les applications standards de réseau telles ftp, telnet, ssh, etc.. | ||
| + | |||
| + | Les noms des Unités de Données sont différents selon le protocole utilisé et la couche du modèle TCP/IP : | ||
| + | |||
| + | ^ Couche | ||
| + | | Application | Stream | Message | | ||
| + | | Transport | Segment | Packet| | ||
| + | | Internet | Datagram| Datagram | | ||
| + | | Réseau | Frame | Frame | | ||
| + | |||
| + | ===Les Raccordements=== | ||
| + | |||
| + | ==Les Modes de Transmission== | ||
| + | |||
| + | On peut distinguer 3 modes de transmission : | ||
| + | |||
| + | * La **Liaison Simplex**, | ||
| + | * Les données ne circulent que dans un **seul** sens de l' | ||
| + | * La liaison nécessite deux canaux de transmissions, | ||
| + | * La **Liaison Half-Duplex** aussi appelée la **Liaison à l' | ||
| + | * Les données circulent dans un sens ou l' | ||
| + | * La liaison permet d' | ||
| + | * La **Liaison Full-Duplex** dans les deux sens en **même** temps. Chaque extrémité peut émettre et recevoir simultanément, | ||
| + | * La liaison est caractérisée par une bande passante divisée par deux pour chaque sens des émissions. | ||
| + | |||
| + | ==Les Câbles== | ||
| + | |||
| + | **Le Câble Coaxial** | ||
| + | |||
| + | En partant de l' | ||
| + | |||
| + | * d'une **Gaine** en caoutchouc, PVC ou Téflon pour protéger le câble, | ||
| + | * d'un **Blindage** en métal pour diminuer le bruit du aux parasites, | ||
| + | * d'un **Isolant** (diélectrique) pour éviter le contact entre le blindage et l'âme et ainsi éviter des courts-circuits, | ||
| + | * d'un **Âme** en cuivre ou torsadés pour transporter les données. | ||
| + | |||
| + | Avantages : | ||
| + | |||
| + | * **Peux coûteux**, | ||
| + | * Facilement **manipulable**, | ||
| + | * Peut être utilisé pour de **longues distances**, | ||
| + | * A un débit de 10 Mbit/s dans un LAN et 100 Mbit/s dans un WAN. | ||
| + | |||
| + | Inconvénients : | ||
| + | |||
| + | * Fragile, | ||
| + | * Instable, | ||
| + | * Vulnérable aux interférences, | ||
| + | * Half-Duplex. | ||
| + | |||
| + | **Le Câble Paire Torsadée** | ||
| + | |||
| + | Ce câble existe sous deux formes selon son utilisation : | ||
| + | |||
| + | * **Monobrin** pour du câblage **horizontal** (**Capillaire**), | ||
| + | * chaque fil est composé d'un seul conducteur en cuivre, | ||
| + | * la distance ne doit pas dépassée 90m. | ||
| + | |||
| + | * **Multibrin** pour des **cordons de brassage** : | ||
| + | * chaque fil est composé de plusieurs brins en cuivre, | ||
| + | * câble souple. | ||
| + | |||
| + | Avantages : | ||
| + | |||
| + | * Un débit de 10 Mbit/s à 10 GBit/s, | ||
| + | * A une bande passante plus large, | ||
| + | * Pas d' | ||
| + | * Permet le **câblage universel** (téléphonie, | ||
| + | * Full-Duplex. | ||
| + | |||
| + | Inconvénients : | ||
| + | |||
| + | * Nombre de câbles > câble coaxial, | ||
| + | * Plus cher, | ||
| + | * Plus encombrant dans les gaines techniques. | ||
| + | |||
| + | ** Catégories de Blindage** | ||
| + | |||
| + | Il existe trois catégories de blindage : | ||
| + | |||
| + | * **Twisted** ou Torsadé, | ||
| + | * **Foiled** ou Entouré, | ||
| + | * **Shielded** ou Avec Ecran. | ||
| + | |||
| + | De ce fait, il existe 5 catégories de câbles Paire Torsadée : | ||
| + | |||
| + | ^ Nom anglais ^ Appelation Ancienne ^ Nouvelle Appelation ^ | ||
| + | | Unshielded Twisted Pair | UTP | U/UTP | | ||
| + | | Foiled Twisted Pair | FTP | F/UTP | | ||
| + | | Shield Twisted Pair | STP | S/UTP | | ||
| + | | Shield Foiled Twisted Pair | SFTP | SF/UTP | | ||
| + | | Shield Shield Twisted Pair | S/STP | SS/STP3 | | ||
| + | |||
| + | Ces catégories donnent lieu à des **Classes** : | ||
| + | |||
| + | ^ Classe ^ Débit ^ Nombre de Paires Torsadées ^ Connecteur ^ Commentaires ^ | ||
| + | | 3 | 10 Mbit/s | 4 | RJ11 | | Téléphonie Analogique et Numérique | ||
| + | | 4 | 16 Mbit/s | 4 | S/O | Non-utilisée de nos jours | | ||
| + | | 5 | 100 Mbit/s | 4 | RJ45 | Obsolète | | ||
| + | | 5e/D | 1 Gbit/s sur 100m | 4 | RJ45 | S/O | | ||
| + | | 6/E | 2.5 Gbit/s sur 100m ou 10 Gbit/s sur 25m à 55m | 4 | Idéal pour PoE | | ||
| + | | 7/F | 10 Gbit/s sur 100m | 4 | GG45 ou Tera | Paires individuellement et collectivement blindées. Problème de compatibilité avec les classes précédentes due au connecteur. | | ||
| + | |||
| + | **La Prise RJ45** | ||
| + | |||
| + | Une prise RJ45 comporte 8 broches. Un câble peut être **droit** quand la broche 1 d'une extrémité est connectée à la broche 1 de la prise RJ45 à l' | ||
| + | |||
| + | Les câbles croisés sont utilisés lors du branchement de deux équipements identiques (PC à PC, Hub à Hub, Routeur à Routeur). | ||
| + | |||
| + | **Channel Link et Basic Link** | ||
| + | |||
| + | Le **Channel Link** ou **Canal** est l' | ||
| + | |||
| + | Le **Basic Link** est le lien entre la prise RJ45 murale et la baie de brassage. Il est limité à 90m en classe 5D. | ||
| + | |||
| + | ==La Fibre Optique== | ||
| + | |||
| + | La **Fibre Optique** est un fil de **Silice** permettant le transfert de la lumière. De ce fait elle est caractérisée par : | ||
| + | |||
| + | * des meilleures performances que le cuivre, | ||
| + | * de plus de communications simultanément, | ||
| + | * de la capacité de relier de plus grandes distances, | ||
| + | * une insensibilité aux perturbations, | ||
| + | * une résistance à la corrosion. | ||
| + | |||
| + | Qui plus est, elle ne produit aucune perturbation. | ||
| + | |||
| + | Elle est composée : | ||
| + | |||
| + | * d'un coeur de 10, de 50/125 ou de 62.50 micron, | ||
| + | * d'une gaine de 125 micron, | ||
| + | * d'une protection de 230 micron. | ||
| + | |||
| + | Il existe deux types de fibres, la **Fibre Monomode** et la **Fibre Multimodes**. | ||
| + | |||
| + | La Fibre Monomode : | ||
| + | |||
| + | * a un cœur de 8 à 10 Microns, | ||
| + | * est divisée en sous-catégories de distance, | ||
| + | * 10 Km, | ||
| + | * 15 Km, | ||
| + | * 20 Km, | ||
| + | * 50 Km, | ||
| + | * 80 Km, | ||
| + | * 100 Km. | ||
| + | |||
| + | La Fibre Multimode : | ||
| + | |||
| + | * a un cœur de 62,50 micron ou de 50/125 micron avec une gaine orange, | ||
| + | * permet plusieurs trajets lumineux appelés **modes** en même temps en Full Duplex, | ||
| + | * est utilisée pour de bas débits ou de courtes distances, | ||
| + | * 2 Km pour 100 Mbit/s, | ||
| + | * 500 m pour 1 Gbit/s. | ||
| + | |||
| + | ==Les Réseaux sans Fils== | ||
| + | |||
| + | Les réseaux sans fils sans basés sur une liaison qui utilise des ondes radio-électriques (radio et infra-rouges). | ||
| + | |||
| + | Il existe des technologies différentes en fonction de la fréquence utilisée et de la portée des transmissions : | ||
| + | |||
| + | * Réseaux Personnels sans Fils - Bluetooth, HomeRF, | ||
| + | * Réseaux Locaux sans Fils - LiFI, WiFI, | ||
| + | * Réseaux Métropolitains sans Fil - wImax, | ||
| + | * Réseaux Etendus sans Fils - GSM, GPRS, UMTS. | ||
| + | |||
| + | Les principales ondes utilisées pour la transmission des données sont : | ||
| + | |||
| + | * Ondes GSM - Ondes Hertziennes reposant sur des micro-ondes à basse fréquence avec une portée d'une dizaine de kilomètres, | ||
| + | * Ondes Wi-Fi - Ondes Hertziennes reposant sur des micro-ondes à haute fréquence avec une portée de 20 à 50 mètres, | ||
| + | * Ondes Satellitaires - Ondes Hertziennes longues portées. | ||
| + | |||
| + | ==Le Courant Porteur en Ligne== | ||
| + | |||
| + | Le CPL utilise le réseau électrique domestique, le réseau moyenne et basse tension pour transmettre des informations numériques. | ||
| + | |||
| + | Le CPL superpose un signal à plus haute fréquence au signal électrique. | ||
| + | |||
| + | Seuls donc, les fils conducteurs transportent les signaux CPL. | ||
| + | |||
| + | Le coupleur intégré en entrée des boîtiers CPL élimine les composants basses fréquences pour isoler le signal CPL. | ||
| + | |||
| + | Le CPL utilise la phase électrique et le neutre. De ce fait, une installation triphasée fournit 3 réseaux CPL différents. | ||
| + | |||
| + | Le signal CPL ne s' | ||
| + | |||
| + | Les normes CPL sont : | ||
| + | |||
| + | ^ Norme ^ Débit Théorique ^ Débit Pratique ^ Temps pour copier 1 Go ^ | ||
| + | | Homeplug 1.01 | 14 Mbps | 5.4 Mbps | 25m 20s | | ||
| + | | Homeplug 1.1 | 85 Mbps | 12 Mbps | 11m 20s | | ||
| + | | PréUPA 200 | 200 Mbps | 30 Mbps | 4m 30s | | ||
| + | |||
| + | ==Technologies== | ||
| + | |||
| + | Il existe plusieurs technologies de réseau : | ||
| + | |||
| + | * Ethernet, | ||
| + | * Token-Ring, | ||
| + | * ARCnet, | ||
| + | * etc.. | ||
| + | |||
| + | Nous détaillerons ici les deux technologies les plus répandues, à savoir Ethernet et Token-Ring. | ||
| + | |||
| + | **Ethernet** | ||
| + | |||
| + | La technologie Ethernet se repose sur : | ||
| + | |||
| + | * une topologie logique de bus, | ||
| + | * une topologie physique de bus ou étoile. | ||
| + | |||
| + | L' | ||
| + | |||
| + | Il faut noter que : | ||
| + | |||
| + | * les données sont transmises à chaque nœud - c'est la méthode d' | ||
| + | * chaque nœud qui veut émettre écoute le réseau - c'est la **détection de porteuse**, | ||
| + | * quand le réseau est silencieux une trame est émise dans laquelle se trouvent les données ainsi que l' | ||
| + | * le système est dit donc **aléatoire** ou **non-déterministe**, | ||
| + | * quand deux nœuds émettent en même temps, il y a **collision de données**, | ||
| + | * les deux nœuds vont donc cesser d' | ||
| + | |||
| + | **Token-Ring** | ||
| + | |||
| + | La technologie Token-Ring se repose sur : | ||
| + | |||
| + | * une topologie logique en anneau, | ||
| + | * une topologie physique en étoile. | ||
| + | |||
| + | Token-Ring se traduit par **Anneau à Jeton**. Il n'est pas aussi répandu que l' | ||
| + | |||
| + | Il faut noter que : | ||
| + | |||
| + | * les données sont transmises dans le réseau par un système appelé **méthode de passage de jeton**, | ||
| + | * le jeton est une **trame numérique vide** de données qui tourne en permanence dans l' | ||
| + | * quand un nœud souhaite émettre, il saisit le jeton, y dépose des données avec l' | ||
| + | * pendant son voyage, aucun autre nœud ne peut émettre, | ||
| + | * une fois arrivé à sa destination, | ||
| + | * ce système est appelé **déterministe**. | ||
| + | |||
| + | L' | ||
| + | |||
| + | * qu'il **évite des collisions**, | ||
| + | * qu'il est **possible de déterminer avec exactitude le temps que prenne l' | ||
| + | |||
| + | La technologie Token-Ring est donc idéale, voire obligatoire, | ||
| + | |||
| + | ===Périphériques Réseaux Spéciaux=== | ||
| + | |||
| + | En plus du câblage, les périphériques de réseau spéciaux sont des éléments primordiaux tant au niveau de la topologie physique que la topologie logique. | ||
| + | |||
| + | Les périphériques de réseau spéciaux sont : | ||
| + | |||
| + | * les Concentrateurs ou //Hubs//, | ||
| + | * les Répéteurs ou // | ||
| + | * les Ponts ou // | ||
| + | * les Commutateurs ou // | ||
| + | * les Routeurs ou // | ||
| + | * les Passerelles ou // | ||
| + | |||
| + | L' | ||
| + | |||
| + | ==Les Concentrateurs== | ||
| + | |||
| + | Les Concentrateurs permettent une connectivité entre les nœuds en topologie en étoile. Selon leur configuration, | ||
| + | |||
| + | * **Le Concentrateur Simple** | ||
| + | * est une boîte de raccordement centrale, | ||
| + | * joue le rôle de récepteur et du réémetteur des signaux sans accélération ni gestion de ceux-ci, | ||
| + | * est un périphérique utilisé pour des groupes de travail. | ||
| + | |||
| + | * **Le Concentrateur Évolué** | ||
| + | * est un Concentrateur simple qui offre en plus l' | ||
| + | |||
| + | * **Le Concentrateur Intelligent** | ||
| + | * est un Concentrateur évolué qui offre en plus la détection automatique des pannes, la connectique avec un Pont ou un Routeur ainsi que le diagnostic et la génération de rapports. | ||
| + | |||
| + | ==Les Répéteurs== | ||
| + | |||
| + | Un Répéteur est un périphérique réseau simple. Il est utilisé pour amplifier le signal quand : | ||
| + | |||
| + | * la longueur du câble dépasse la limite autorisée, | ||
| + | * le câble passe par une zone ou les interférences sont importantes. | ||
| + | |||
| + | Éventuellement, | ||
| + | |||
| + | ==Les Ponts== | ||
| + | |||
| + | Un Pont est **Répéteur intelligent**. Outre sa capacité d' | ||
| + | |||
| + | Les **diffusions** sont néanmoins autorisées. | ||
| + | |||
| + | Comme un Pont doit être intelligent, | ||
| + | |||
| + | Le Pont sert donc à isoler des segments du réseau pour des raisons de : | ||
| + | |||
| + | * **sécurité** afin d' | ||
| + | * **performance** afin qu'une partie du réseau trop chargée ralentisse le réseau entier, | ||
| + | * **fiabilité** afin par exemple qu'une carte en panne ne gène pas le reste du réseau avec une diffusion. | ||
| + | |||
| + | Il existe trois types de configuration de Ponts | ||
| + | |||
| + | **Le Pont de Base** | ||
| + | |||
| + | Le Pont de Base est utilisé très rarement pour isoler deux segments. | ||
| + | |||
| + | {{: | ||
| + | |||
| + | **Le Pont en Cascade** | ||
| + | |||
| + | Le Pont en Cascade est à éviter car les données en provenance d'un segment doivent passer par plusieurs Ponts. Ceci a pour conséquence de ralentir la transmission des données, voire même de créer un trafic superflu en cas de rémission par le nœud | ||
| + | |||
| + | {{: | ||
| + | |||
| + | **Le Pont en Dorsale** | ||
| + | |||
| + | Le Pont en Dorsale coûte plus chère que la configuration précédente car il faut un nombre de Ponts équivalent au nombre de segments + 1. Par contre elle réduit les problèmes précédemment cités puisque les données ne transitent que par deux Ponts. | ||
| + | |||
| + | {{: | ||
| + | |||
| + | ==Les Commutateurs== | ||
| + | |||
| + | Un Commutateur peut être considéré comme un Concentrateur intelligent et un Pont. Ils sont gérés souvent par des logiciels. La topologie physique d'un réseau commuté est en étoile. Par contre la topologie logique est spéciale, elle s' | ||
| + | |||
| + | Lors de la communication de données entre deux nœuds, le Commutateur ouvre une connexion temporaire virtuelle en fermant les autres ports. De cette façon la bande passante totale est disponible pour cette transmission et les risques de collision sont minimisés. | ||
| + | |||
| + | Certains Commutateurs haut de gamme sont équipés d'un système anti-catastrophe qui leur permet d' | ||
| + | |||
| + | ==Les Routeurs== | ||
| + | |||
| + | Un Routeur est un Pont sophistiqué capable : | ||
| + | |||
| + | * d' | ||
| + | * de filtrer le trafic, | ||
| + | * d’isoler une partie du réseau, | ||
| + | * d’ explorer les informations d' | ||
| + | |||
| + | Les Routeurs utilisent une table de routage pour stocker les informations sur : | ||
| + | |||
| + | * les adresses du réseau, | ||
| + | * les solutions de connexion vers d' | ||
| + | * l' | ||
| + | |||
| + | Il existe deux types de Routeur : | ||
| + | |||
| + | * le **Routeur Statique** | ||
| + | * la table de routage est éditer manuellement, | ||
| + | * les routes empruntées pour la transmission des données sont toujours les mêmes, | ||
| + | * il n'y a pas de recherche d' | ||
| + | |||
| + | * le **Routeur Dynamique** | ||
| + | * découvre automatiquement les routes à emprunter dans un réseau. | ||
| + | |||
| + | ==Les Passerelles== | ||
| + | |||
| + | Ce périphérique, | ||
| + | |||
| + | * entre deux technologies différentes ( Ethernet - Token-Ring ), | ||
| + | * entre deux protocoles différents, | ||
| + | * entre des formats de données différents. | ||
| + | |||
| + | =====Comprendre le Chiffrement===== | ||
| + | |||
| + | ====Introduction à la cryptologie==== | ||
| + | |||
| + | ===Définitions=== | ||
| + | |||
| + | * **La Cryptologie** | ||
| + | * La science qui étudie les aspects scientifiques de ces techniques, c' | ||
| + | * **La Cryptanalyse** | ||
| + | * Lorsque la clef de déchiffrement n'est pas connue de l' | ||
| + | * **La Cryptographie** | ||
| + | * Un terme générique désignant l' | ||
| + | * **Le Décryptement ou Décryptage** | ||
| + | * Est le fait d' | ||
| + | |||
| + | {{ : | ||
| + | |||
| + | ==La Cryptographie== | ||
| + | |||
| + | La cryptographie apporte quatre points clefs: | ||
| + | |||
| + | * La confidentialité | ||
| + | * consiste à rendre l' | ||
| + | * L' | ||
| + | * consiste à déterminer si les données n'ont pas été altérées durant la communication (de manière fortuite ou intentionnelle). | ||
| + | * L' | ||
| + | * consiste à assurer l' | ||
| + | * La non-répudiation | ||
| + | * est la garantie qu' | ||
| + | |||
| + | La cryptographie est basée sur l' | ||
| + | |||
| + | * Procéder au chiffrement | ||
| + | * Le résultat de cette modification (le message chiffré) est appelé cryptogramme (Ciphertext) par opposition au message initial, appelé message en clair (Plaintext) | ||
| + | * Procéder au déchiffrement | ||
| + | |||
| + | Le chiffrement se fait à l'aide d'une clef de chiffrement. Le déchiffrement nécessite | ||
| + | |||
| + | On distingue deux types de clefs: | ||
| + | |||
| + | * Les clés symétriques: | ||
| + | * des clés utilisées pour le chiffrement ainsi que pour le déchiffrement. On parle alors de chiffrement symétrique ou de chiffrement à clé secrète. | ||
| + | * Les clés asymétriques: | ||
| + | * des clés utilisées dans le cas du chiffrement asymétrique (aussi appelé chiffrement à clé publique). Dans ce cas, une clé différente est utilisée pour le chiffrement et pour le déchiffrement. | ||
| + | |||
| + | ==Le Chiffrement par Substitution== | ||
| + | |||
| + | Le chiffrement par substitution consiste à remplacer dans un message une ou plusieurs entités (généralement des lettres) par une ou plusieurs autres entités. On distingue généralement plusieurs types de cryptosystèmes par substitution : | ||
| + | |||
| + | * La substitution **monoalphabétique** | ||
| + | * consiste à remplacer chaque lettre du message par une autre lettre de l' | ||
| + | * La substitution **polyalphabétique** | ||
| + | * consiste à utiliser une suite de chiffres monoalphabétique réutilisée périodiquement | ||
| + | * La substitution **homophonique** | ||
| + | * permet de faire correspondre à chaque lettre du message en clair un ensemble possible d' | ||
| + | * La substitution de **polygrammes** | ||
| + | * consiste à substituer un groupe de caractères (polygramme) dans le message par un autre groupe de caractères | ||
| + | |||
| + | ====Algorithmes à clé secrète==== | ||
| + | |||
| + | ===Le Chiffrement Symétrique=== | ||
| + | |||
| + | Ce système est aussi appelé le système à **Clef Secrète** ou à **clef privée**. | ||
| + | |||
| + | Ce système consiste à effectuer une opération de chiffrement par algorithme mais comporte un inconvénient, | ||
| + | |||
| + | {{: | ||
| + | |||
| + | <WRAP center round important 60%> | ||
| + | **Important** - Le système de Méthode du Masque Jetable (One Time Pad) fût mis au point dans les années 1920. Il utilisait une clef générée aléatoirement à usage unique. | ||
| + | </ | ||
| + | |||
| + | Les algorithmes de chiffrement symétrique couramment utilisés en informatique sont: | ||
| + | |||
| + | * **[[wpfr> | ||
| + | * **[[wpfr> | ||
| + | * **[[wpfr> | ||
| + | * **[[wpfr> | ||
| + | * **[[wpfr> | ||
| + | * **[[wpfr> | ||
| + | |||
| + | ====Algorithmes à clef publique==== | ||
| + | |||
| + | ===Le Chiffrement Asymétrique=== | ||
| + | |||
| + | Ce système est aussi appelé **Système à Clef Publique**. | ||
| + | |||
| + | Ce système consiste à avoir deux clefs appelées des **bi-clefs**: | ||
| + | |||
| + | * Une clef **publique** pour le chiffrement | ||
| + | * Une clef **secrète** ou **privée** pour le déchiffrement | ||
| + | |||
| + | {{: | ||
| + | |||
| + | * L' | ||
| + | * A partir de cette clef il génère plusieurs clefs publiques grâce à un algorithme. | ||
| + | * L' | ||
| + | |||
| + | Ce système est basé sur ce que l'on appelle une **fonction à trappe à sens unique** ou **one-way trap door**. | ||
| + | |||
| + | Il existe toutefois un problème – s' | ||
| + | |||
| + | Les algorithmes de chiffrement asymétrique couramment utilisés en informatique sont: | ||
| + | |||
| + | * **[[wpfr> | ||
| + | * **[[wpfr> | ||
| + | |||
| + | ===La Clef de Session=== | ||
| + | |||
| + | Ce système est un compromis entre le système symétrique et le système asymétrique. Il permet l' | ||
| + | |||
| + | {{: | ||
| + | |||
| + | Ce système fonctionne de la façon suivante : | ||
| + | |||
| + | * L' | ||
| + | * L' | ||
| + | * L' | ||
| + | * L' | ||
| + | |||
| + | ====Fonctions de Hachage==== | ||
| + | |||
| + | La fonction de **hachage**, | ||
| + | |||
| + | {{: | ||
| + | |||
| + | Les deux algorithmes de hachage utilisés sont: | ||
| + | |||
| + | * **[[wpfr> | ||
| + | * **[[wpfr> | ||
| + | |||
| + | Lors de son envoie, le message est accompagné de son haché et il est donc possible de garantir son intégrité: | ||
| + | |||
| + | {{: | ||
| + | |||
| + | * A la réception du message, le destinataire ou l’utilisateur B calcule le haché du message reçu et le compare avec le haché accompagnant le document. | ||
| + | * Si le message ou le haché a été falsifié durant la communication, | ||
| + | |||
| + | <WRAP center round important 60%> | ||
| + | **Important** - Ce système permet de vérifier que l' | ||
| + | </ | ||
| + | |||
| + | ====Signature Numérique==== | ||
| + | |||
| + | Pour garantir l' | ||
| + | |||
| + | {{: | ||
| + | |||
| + | * L’utilisateur A envoie le sceau au destinataire. | ||
| + | * A la réception du message L’utilisateur B déchiffre le sceau avec la clé publique de l’utilisateur A. | ||
| + | * Il compare le haché obtenu au haché reçu en pièce jointe. | ||
| + | |||
| + | Ce mécanisme de création de sceau est appelé **scellement**. | ||
| + | |||
| + | Ce mécanisme est identique au procédé utilisé par SSH lors d'une connexion | ||
| + | |||
| + | ====Utilisation de GnuPG==== | ||
| + | |||
| + | ===Présentation=== | ||
| + | |||
| + | **GNU Privacy Guard** permet aux utilisateurs de transférer des messages chiffrés et/ou signés. | ||
| + | |||
| + | ===Installation=== | ||
| + | |||
| + | Sous CentOS 8, le paquet gnupg est installé par défaut : | ||
| + | |||
| + | < | ||
| + | [root@centos8 ~]# whereis gpg | ||
| + | gpg: / | ||
| + | </ | ||
| + | |||
| + | ===Configuration=== | ||
| + | |||
| + | Pour initialiser %%GnuPG%%, saisissez la commande suivante : | ||
| + | |||
| + | < | ||
| + | [root@centos8 ~]# gpg | ||
| + | gpg: directory '/ | ||
| + | gpg: keybox '/ | ||
| + | gpg: WARNING: no command supplied. | ||
| + | gpg: Go ahead and type your message ... | ||
| + | ^C | ||
| + | gpg: signal Interrupt caught ... exiting | ||
| + | </ | ||
| + | |||
| + | Pour générer les clefs, saisissez la commande suivante : | ||
| + | |||
| + | < | ||
| + | [root@centos8 ~]# gpg --full-generate-key | ||
| + | gpg (GnuPG) 2.2.20; Copyright (C) 2020 Free Software Foundation, Inc. | ||
| + | This is free software: you are free to change and redistribute it. | ||
| + | There is NO WARRANTY, to the extent permitted by law. | ||
| + | |||
| + | Please select what kind of key you want: | ||
| + | (1) RSA and RSA (default) | ||
| + | (2) DSA and Elgamal | ||
| + | (3) DSA (sign only) | ||
| + | (4) RSA (sign only) | ||
| + | (14) Existing key from card | ||
| + | Your selection? 1 | ||
| + | RSA keys may be between 1024 and 4096 bits long. | ||
| + | What keysize do you want? (2048) | ||
| + | Requested keysize is 2048 bits | ||
| + | Please specify how long the key should be valid. | ||
| + | 0 = key does not expire | ||
| + | < | ||
| + | <n>w = key expires in n weeks | ||
| + | <n>m = key expires in n months | ||
| + | <n>y = key expires in n years | ||
| + | Key is valid for? (0) | ||
| + | Key does not expire at all | ||
| + | Is this correct? (y/N) y | ||
| + | |||
| + | GnuPG needs to construct a user ID to identify your key. | ||
| + | |||
| + | Real name: I2TCH | ||
| + | Email address: infos@i2tch.co.uk | ||
| + | Comment: Test Key | ||
| + | You selected this USER-ID: | ||
| + | "I2TCH (Test Key) < | ||
| + | |||
| + | Change (N)ame, (C)omment, (E)mail or (O)kay/ | ||
| + | We need to generate a lot of random bytes. It is a good idea to perform | ||
| + | some other action (type on the keyboard, move the mouse, utilize the | ||
| + | disks) during the prime generation; this gives the random number | ||
| + | generator a better chance to gain enough entropy. | ||
| + | We need to generate a lot of random bytes. It is a good idea to perform | ||
| + | some other action (type on the keyboard, move the mouse, utilize the | ||
| + | disks) during the prime generation; this gives the random number | ||
| + | generator a better chance to gain enough entropy. | ||
| + | gpg: / | ||
| + | gpg: key 8B4DEC5CC2B2AC5A marked as ultimately trusted | ||
| + | gpg: directory '/ | ||
| + | gpg: revocation certificate stored as '/ | ||
| + | public and secret key created and signed. | ||
| + | |||
| + | pub | ||
| + | 9666229B8B43D80C1832BE0D8B4DEC5CC2B2AC5A | ||
| + | uid I2TCH (Test Key) < | ||
| + | sub | ||
| + | </ | ||
| + | |||
| + | <WRAP center round important 60%> | ||
| + | **Important** - Lorsque le système vous la demande, entrez la passphrase **fenestros**. | ||
| + | </ | ||
| + | |||
| + | La liste de clefs peut être visualisée avec la commande suivante : | ||
| + | |||
| + | < | ||
| + | [root@centos8 ~]# gpg --list-keys | ||
| + | gpg: checking the trustdb | ||
| + | gpg: marginals needed: 3 completes needed: 1 trust model: pgp | ||
| + | gpg: depth: 0 valid: | ||
| + | / | ||
| + | ------------------------ | ||
| + | pub | ||
| + | 9666229B8B43D80C1832BE0D8B4DEC5CC2B2AC5A | ||
| + | uid | ||
| + | sub | ||
| + | </ | ||
| + | |||
| + | <WRAP center round important 60%> | ||
| + | **Important** - Pour importer la clef d'un correspondant dans sa trousse de clefs il convient d' | ||
| + | |||
| + | # gpg --import la-clef.asc | ||
| + | </ | ||
| + | |||
| + | Pour exporter sa clef publique, il convient d' | ||
| + | |||
| + | < | ||
| + | [root@centos8 ~]# gpg --export --armor I2TCH > ~/ | ||
| + | [root@centos8 ~]# cat I2TCH.asc | ||
| + | -----BEGIN PGP PUBLIC KEY BLOCK----- | ||
| + | |||
| + | mQENBGElDSgBCACih8Jfs1nlSPiK/ | ||
| + | TPl145L95XJkHsMf++74MVMdGBn1TnG6m+J1iXkV2EbZzxw9rExA5u9W6rtzWIzP | ||
| + | a/ | ||
| + | 0PFXXFCjP6IW4a7h761EcyCXPWhuDfc7qXqLiRjNJS9xKWj0/ | ||
| + | VnjMoHodvNvmmsLCvBM8bsxUxT4izFKRHk4xM2AaQurmiU9i1J8nOC51a2IinOtD | ||
| + | QT1WCryY1pnnNzO14BY8VjN2eFWIFh9R9UZhABEBAAG0JEkyVENIIChUZXN0IEtl | ||
| + | eSkgPGluZm9zQGkydGNoLmNvLnVrPokBTgQTAQgAOBYhBJZmIpuLQ9gMGDK+DYtN | ||
| + | 7FzCsqxaBQJhJQ0oAhsDBQsJCAcCBhUKCQgLAgQWAgMBAh4BAheAAAoJEItN7FzC | ||
| + | sqxaFAkH/ | ||
| + | wBHJR6jZ45M4e+OeQAe01VrqBJGirrgZDOg0m8gXdXr0mygAFmUwQ6E+qYlawx7j | ||
| + | 29p2al54zpaaRSy2r/ | ||
| + | ENK/ | ||
| + | +YuD6jtVzCnA2hbjCJ4xVErEBubg/ | ||
| + | 61kuoR4K4H7zvdyEOgbtZf3iDfrAc/ | ||
| + | Xssxj2UuKRYwRO6xr731aBaYKgOym0/ | ||
| + | nWg0a3WnwGssQbL4UErEe1wUrNb3hLsvFXYDehZTWcr2adfl94Yv4yaOa9vYmb5p | ||
| + | Qu5tAoDQ1PUqZYsR83IjIQinF2ZgQh6+cK+MfojtwwarmwhHJnYAhbOux3WB0FVy | ||
| + | h6SbGxA4Sps/ | ||
| + | 9IucE6Yw7SBfVlJ5ezI+Q+CNEzCJgJ/ | ||
| + | pNUAEQEAAYkBNgQYAQgAIBYhBJZmIpuLQ9gMGDK+DYtN7FzCsqxaBQJhJQ0oAhsM | ||
| + | AAoJEItN7FzCsqxadFgH/ | ||
| + | lWbhMrca8Ts9pCZE3/ | ||
| + | 825P+DaUdZ4ahX1jzaNEWgzMjKRt2P84ih1St7oW9OcOT/ | ||
| + | W+S8kIoiBJ8ucL5KNy9TAOTTvk4fC7w9plovpU9fJRs7CMg0kKEnTrgkH06bVK65 | ||
| + | +4aNWr0LPPNzJaalBMLAghbzcMzRVwsB79AuKciUP/ | ||
| + | WEhhheTEBxVhlpK40Gs0B6TMSkBGq8LjQ98V3hghYa4= | ||
| + | =0TAN | ||
| + | -----END PGP PUBLIC KEY BLOCK----- | ||
| + | </ | ||
| + | |||
| + | Cette clef peut ensuite être jointe à des messages électroniques ou bien être déposée sur un serveur de clefs tel que http:// | ||
| + | |||
| + | ===Signer un message=== | ||
| + | |||
| + | Créez maintenant un message à signer : | ||
| + | |||
| + | < | ||
| + | [root@centos8 ~]# vi ~/ | ||
| + | [root@centos8 ~]# cat ~/ | ||
| + | This is a test message for gpg | ||
| + | </ | ||
| + | |||
| + | Pour signer ce message en format binaire, il convient d' | ||
| + | |||
| + | < | ||
| + | [root@centos8 ~]# gpg --default-key I2TCH --detach-sign message.txt | ||
| + | gpg: using " | ||
| + | [root@centos8 ~]# ls -l | grep message | ||
| + | -rw-r--r--. 1 root root 31 Aug 24 11:22 message.txt | ||
| + | -rw-r--r--. 1 root root 329 Aug 24 11:23 message.txt.sig | ||
| + | [root@centos8 ~]# cat message.txt.sig | ||
| + | 0!f" | ||
| + | M\²Za%infos@i2tch.co.uk | ||
| + | M\²ZT2oh@< | ||
| + | -p& | ||
| + | 9٨B|RA? | ||
| + | / | ||
| + | a+ 6%6O%< | ||
| + | </ | ||
| + | |||
| + | Pour signer ce message en format ASCII, il convient d' | ||
| + | |||
| + | < | ||
| + | [root@centos8 ~]# gpg --default-key I2TCH --armor --detach-sign message.txt | ||
| + | gpg: using " | ||
| + | [root@centos8 ~]# ls -l | grep message | ||
| + | -rw-r--r--. 1 root root 31 Aug 24 11:22 message.txt | ||
| + | -rw-r--r--. 1 root root 512 Aug 24 11:24 message.txt.asc | ||
| + | -rw-r--r--. 1 root root 329 Aug 24 11:23 message.txt.sig | ||
| + | [root@centos8 ~]# cat message.txt.asc | ||
| + | -----BEGIN PGP SIGNATURE----- | ||
| + | |||
| + | iQFGBAABCAAwFiEElmYim4tD2AwYMr4Ni03sXMKyrFoFAmElDywSHGluZm9zQGky | ||
| + | dGNoLmNvLnVrAAoJEItN7FzCsqxac1YIAIohAPQ8x2G60HW8yhJKIJxCLrM+gvKz | ||
| + | GsTB/ | ||
| + | Dbwlt7kgwX0MNPr4qOQfAG8azJB40UCRd9aq3nwstdZWmLiQ48zraR/ | ||
| + | 0muyB4khwk2lonE/ | ||
| + | Dmj4vu2jM5YnElP5Kbz4me/ | ||
| + | WFggEvw1tSuoC3rZ0y1c0Rj59HoZ9QxaKX8n+wq5+A4k8slt6WzuAu8= | ||
| + | =//z2 | ||
| + | -----END PGP SIGNATURE----- | ||
| + | </ | ||
| + | |||
| + | Pour vérifier la signature d'un message signé en mode ASCII, il convient d' | ||
| + | |||
| + | < | ||
| + | [root@centos8 ~]# gpg --verify message.txt.asc | ||
| + | gpg: assuming signed data in ' | ||
| + | gpg: Signature made Tue 24 Aug 2021 11:24:28 EDT | ||
| + | gpg: using RSA key 9666229B8B43D80C1832BE0D8B4DEC5CC2B2AC5A | ||
| + | gpg: issuer " | ||
| + | gpg: Good signature from "I2TCH (Test Key) < | ||
| + | </ | ||
| + | |||
| + | Pour vérifier la signature d'un message signé en mode ASCII et produit en dehors du message lui-même, il convient d' | ||
| + | |||
| + | < | ||
| + | [root@centos8 ~]# gpg --verify message.txt.asc message.txt | ||
| + | gpg: Signature made Tue 24 Aug 2021 11:24:28 EDT | ||
| + | gpg: using RSA key 9666229B8B43D80C1832BE0D8B4DEC5CC2B2AC5A | ||
| + | gpg: issuer " | ||
| + | gpg: Good signature from "I2TCH (Test Key) < | ||
| + | </ | ||
| + | |||
| + | Pour signer ce message **dans le message lui-même** en format ASCII, il convient d' | ||
| + | |||
| + | < | ||
| + | [root@centos8 ~]# gpg --default-key I2TCH --clearsign message.txt | ||
| + | gpg: using " | ||
| + | File ' | ||
| + | [root@centos8 ~]# ls -l | grep message | ||
| + | -rw-r--r--. 1 root root 31 Aug 24 11:22 message.txt | ||
| + | -rw-r--r--. 1 root root 592 Aug 24 11:28 message.txt.asc | ||
| + | -rw-r--r--. 1 root root 329 Aug 24 11:23 message.txt.sig | ||
| + | [root@centos8 ~]# cat message.txt.asc | ||
| + | -----BEGIN PGP SIGNED MESSAGE----- | ||
| + | Hash: SHA256 | ||
| + | |||
| + | This is a test message for gpg | ||
| + | -----BEGIN PGP SIGNATURE----- | ||
| + | |||
| + | iQFGBAEBCAAwFiEElmYim4tD2AwYMr4Ni03sXMKyrFoFAmElEBMSHGluZm9zQGky | ||
| + | dGNoLmNvLnVrAAoJEItN7FzCsqxaQa0H+gLxI8PTEJtbg6q+PmhlsQq2PkITRDFB | ||
| + | bC5vW8CQzXUNA08aqkBEOgA1OvX9gJG0Q/ | ||
| + | Hc5uULOawGvulctflk7xCmhgtaFndwCUN685xCPDOdhUMs0rX9Zqj8pKhbwh4Xpz | ||
| + | Q7vY5gPJTn2aj4PL5GkXN/ | ||
| + | l2yHf/ | ||
| + | NNFzGPdi0HGdJhjYJ/ | ||
| + | =C3OQ | ||
| + | -----END PGP SIGNATURE----- | ||
| + | </ | ||
| + | |||
| + | ===Chiffrer un message=== | ||
| + | |||
| + | Pour chiffrer un message, il faut disposer de la clef publique du destinataire du message. Ce dernier utilisera ensuite sa clef privée pour déchiffrer le message. Il convient de préciser le destinataire du message, ou plus précisément la clef publique à utiliser, lors d'un chiffrement : | ||
| + | |||
| + | gpg --recipient < | ||
| + | |||
| + | * //< | ||
| + | * //< | ||
| + | |||
| + | Par exemple pour chiffrer un message en mode binaire, il convient de saisir la commande suivante : | ||
| + | |||
| + | < | ||
| + | [root@centos8 ~]# gpg --recipient I2TCH --encrypt message.txt | ||
| + | [root@centos8 ~]# ls -l | grep message | ||
| + | -rw-r--r--. 1 root root 31 Aug 24 11:22 message.txt | ||
| + | -rw-r--r--. 1 root root 592 Aug 24 11:28 message.txt.asc | ||
| + | -rw-r--r--. 1 root root 367 Aug 24 11:30 message.txt.gpg | ||
| + | -rw-r--r--. 1 root root 329 Aug 24 11:23 message.txt.sig | ||
| + | [root@centos8 ~]# cat message.txt.gpg | ||
| + | |||
| + | EeJ վ | ||
| + | |||
| + | | ||
| + | Wg7X | ||
| + | o# | ||
| + | </ | ||
| + | |||
| + | Et pour chiffrer un message en mode ASCII, il convient de saisir la commande suivante : | ||
| + | |||
| + | < | ||
| + | [root@centos8 ~]# gpg --recipient I2TCH --armor --encrypt message.txt | ||
| + | File ' | ||
| + | [root@centos8 ~]# ls -l | grep message | ||
| + | -rw-r--r--. 1 root root 31 Aug 24 11:22 message.txt | ||
| + | -rw-r--r--. 1 root root 561 Aug 24 11:32 message.txt.asc | ||
| + | -rw-r--r--. 1 root root 367 Aug 24 11:30 message.txt.gpg | ||
| + | -rw-r--r--. 1 root root 329 Aug 24 11:23 message.txt.sig | ||
| + | [root@centos8 ~]# cat message.txt.asc | ||
| + | -----BEGIN PGP MESSAGE----- | ||
| + | |||
| + | hQEMA0XsZUog1b4LAQf7BgGL8LMcMbLdD4nSOwc45FLNyj9MXkr0ru01jBRb3UP/ | ||
| + | MW6VxWekLrWOXRBvFo/ | ||
| + | MrKuOK6pgPdgO57AcImOeUjPL42RHh6enGRdud+GWiZNQKAvPiCNikfhJUza+o1Z | ||
| + | GyAcq5RMSuohOp2weai5CwcVqZddrTvKzjkoUrMCwnMxGKjdbNRC3+DKEI9B4L3j | ||
| + | 7Dno9DseQcebD3NYEICSt2oJr+xazejiLj4X8nerBrCqV7nK9v7mvxTKCIL5iOBR | ||
| + | duBPFvgJuSVnSJZ+XzBeEQ8q24L3FLV9B5yJnF+e8tJeASweIXfqWaeWNObfAHC3 | ||
| + | dkMtvNUNs6jkmFUGdONYosNlHW9jFWllpe2Q5Ra13kdZob3o1eevU2iGBAx0Gi0Z | ||
| + | yEB3HjqYFKxFj+lCj4KP59O55sEpePgAo2qhPhfeMw== | ||
| + | =UDxQ | ||
| + | -----END PGP MESSAGE----- | ||
| + | </ | ||
| + | |||
| + | Pour décrypter un message il convient d' | ||
| + | |||
| + | < | ||
| + | [root@centos8 ~]# gpg --decrypt message.txt.asc | ||
| + | gpg: encrypted with 2048-bit RSA key, ID 45EC654A20D5BE0B, | ||
| + | "I2TCH (Test Key) < | ||
| + | This is a test message for gpg | ||
| + | </ | ||
| + | |||
| + | ====PKI==== | ||
| + | |||
| + | On appelle **[[wpfr> | ||
| + | |||
| + | Les cryptosystèmes à clés publiques permettent de s' | ||
| + | |||
| + | * La clé publique est bien celle de son propriétaire ; | ||
| + | * Le propriétaire de la clé est digne de confiance ; | ||
| + | * La clé est toujours valide. | ||
| + | |||
| + | Ainsi, il est nécessaire d' | ||
| + | |||
| + | Le tiers de confiance est une entité appelée communément autorité de certification (ou en anglais Certification authority, abrégé CA) chargée d' | ||
| + | |||
| + | Pour ce faire, l' | ||
| + | |||
| + | Le rôle de l' | ||
| + | |||
| + | * enregistrer des demandes de clés en vérifiant l' | ||
| + | * générer les paires de clés (clé privée / clé publique) ; | ||
| + | * garantir la confidentialité des clés privées correspondant aux clés publiques ; | ||
| + | * certifier l' | ||
| + | * révoquer des clés (en cas de perte par son propriétaire, | ||
| + | |||
| + | Une infrastructure à clé publique est en règle générale composée de trois entités distinctes : | ||
| + | |||
| + | * L' | ||
| + | * L' | ||
| + | * L' | ||
| + | |||
| + | ===Certificats X509=== | ||
| + | |||
| + | Pour palier aux problèmes liés à des clefs publiques piratées, un système de certificats a été mis en place. | ||
| + | |||
| + | Le certificat permet d’associer la clef publique à une entité ou une personne. Les certificats sont délivrés par des Organismes de Certification. | ||
| + | |||
| + | Les certificats sont des fichiers divisés en deux parties : | ||
| + | |||
| + | * La partie contenant les informations | ||
| + | * La partie contenant la signature de l' | ||
| + | |||
| + | La structure des certificats est normalisée par le standard **[[wpfr> | ||
| + | |||
| + | Elle contient : | ||
| + | |||
| + | * Le nom de l' | ||
| + | * Le nom du propriétaire du certificat | ||
| + | * La date de validité du certificat | ||
| + | * L' | ||
| + | * La clé publique du propriétaire | ||
| + | |||
| + | Le Certificat est signé par l' | ||
| + | |||
| + | {{: | ||
| + | |||
| + | La vérification se passe ainsi: | ||
| + | |||
| + | {{: | ||
| + | |||
| + | |||
| + | =====Comprendre IPv4===== | ||
| + | |||
| + | ==== En-tête TCP ==== | ||
| + | |||
| + | L' | ||
| + | |||
| + | ^ 1er octet ^ 2ème octet ^ 3ème octet ^ 4 ème octet ^ | ||
| + | | Port source | ||
| + | | | ||
| + | | | ||
| + | | | ||
| + | | Checksum | ||
| + | | Options | ||
| + | | Données | ||
| + | |||
| + | Vous noterez que les numéros de ports sont codés sur 16 bits. Cette information nous permet de calculer le nombres de ports maximum en IPv4, soit 2< | ||
| + | |||
| + | L' | ||
| + | |||
| + | Les **Flags** sont : | ||
| + | |||
| + | * URG - Si la valeur est 1 le pointeur urgent est utilisé. Le numéro de séquence et le pointeur urgent indique un octet spécifique. | ||
| + | * ACK - Si la valeur est 1, le paquet est un accusé de réception | ||
| + | * PSH - Si la valeur est 1, les données sont immédiatement présentées à l' | ||
| + | * RST - Si la valeur est 1, la communication comporte un problème et la connexion est réinitialisée | ||
| + | * SYN - Si la valeur est 1, le paquet est un paquet de synchronisation | ||
| + | * FIN - Si la valeur est 1, le paquet indique la fin de la connexion | ||
| + | |||
| + | La **Fenêtre** est codée sur 16 bits. La Fenêtre est une donnée liée au fonctionnement d' | ||
| + | |||
| + | Le **Checksum** est une façon de calculer si le paquet est complet. | ||
| + | |||
| + | Le **Padding** est un champ pouvant être rempli de valeurs nulles de façon à ce que la taille de l' | ||
| + | |||
| + | ==== En-tête UDP ==== | ||
| + | |||
| + | L' | ||
| + | |||
| + | ^ 1er octet ^ 2ème octet ^ 3ème octet ^ 4 ème octet ^ | ||
| + | | Port source | ||
| + | | | ||
| + | | Données | ||
| + | |||
| + | L' | ||
| + | |||
| + | ==== Fragmentation et Ré-encapsulation ==== | ||
| + | |||
| + | La taille limite d'un paquet TCP, l' | ||
| + | |||
| + | ==== Adressage ==== | ||
| + | |||
| + | L' | ||
| + | |||
| + | Les adresses IP sont divisées en 5 classes, de A à E. Les 4 octets des classes A à C sont divisés en deux, une partie qui s' | ||
| + | |||
| + | ^ ^ 1er octet ^ 2ème octet ^ 3ème octet ^ 4 ème octet ^ | ||
| + | | A | Net ID | ||
| + | | B | Net ID || Host ID || | ||
| + | | C | Net ID ||| Host ID | | ||
| + | | D | | ||
| + | | E | | ||
| + | |||
| + | L' | ||
| + | |||
| + | ^ Classe | ||
| + | | A | 1 | 0 | 7 | 2< | ||
| + | | B | 2 | 10 | 14 | 2< | ||
| + | | C | 3 | 110 | 21 | 2< | ||
| + | |||
| + | Le réseau 127. est réservé. Il s' | ||
| + | |||
| + | Dans chaque classe, certaines adresses sont réservées pour un usage privé : | ||
| + | |||
| + | ^ Classe | ||
| + | | A | 10.0.0.0 | ||
| + | | B | 172.16.0.0 | ||
| + | | C | 192.168.0.0 | ||
| + | |||
| + | Il existe des adresses particulières ne pouvant pas être utilisées pour identifier un hôte : | ||
| + | |||
| + | ^ Adresse Particulière | ||
| + | | 169.254.0.0 à 169.254.255.255 | ||
| + | | Hôte du réseau courant | ||
| + | | Adresse de réseau | ||
| + | | Adresse de diffusion | ||
| + | |||
| + | L' | ||
| + | |||
| + | Afin de mieux comprendre l' | ||
| + | |||
| + | ^ ^ 1er octet ^ 2ème octet ^ 3ème octet ^ 4 ème octet ^ | ||
| + | ^ ^ Net ID ^^^ Host ID ^ | ||
| + | | Adresse IP | | ||
| + | | Binaire | ||
| + | | Calcul de l' | ||
| + | | Binaire | ||
| + | | Adresse réseau | ||
| + | | Calcul de l' | ||
| + | | Binaire | ||
| + | | Adresse de diffusion | | ||
| + | |||
| + | ==== Masques de sous-réseaux ==== | ||
| + | |||
| + | Tout comme l' | ||
| + | |||
| + | ^ Classe | ||
| + | | A | 255.0.0.0 | ||
| + | | B | 255.255.0.0 | ||
| + | | C | 255.255.255.0 | ||
| + | |||
| + | Le terme **CIDR** veut dire **Classless %%InterDomain%% Routing**. Le terme Notation CIDR correspond au nombre de bits d'une valeur de 1 dans le masque de sous-réseau. | ||
| + | |||
| + | Quand un hôte souhaite émettre il procède d' | ||
| + | |||
| + | * 1 x 1 = 1 | ||
| + | * 0 x 1 = 0 | ||
| + | * 1 x 0 = 0 | ||
| + | * 0 x 0 = 0 | ||
| + | |||
| + | Prenons le cas de l' | ||
| + | |||
| + | ^ ^ 1er octet ^ 2ème octet ^ 3ème octet ^ 4 ème octet ^ | ||
| + | | Adresse IP | | ||
| + | | Binaire | ||
| + | | Masque de sous-réseau | ||
| + | | Binaire | ||
| + | | Calcul AND | | ||
| + | | Adresse réseau | ||
| + | |||
| + | |||
| + | Cet hôte essaie de communiquer avec un hôte ayant une adresse IP de 192.168.10.10. Il procède donc au même calcul en appliquant **son propre masque de sous-réseau** à l' | ||
| + | |||
| + | ^ ^ 1er octet ^ 2ème octet ^ 3ème octet ^ 4 ème octet ^ | ||
| + | | Adresse IP | | ||
| + | | Binaire | ||
| + | | Masque de sous-réseau | ||
| + | | Binaire | ||
| + | | Calcul AND | | ||
| + | | Adresse réseau | ||
| + | |||
| + | Puisque l' | ||
| + | |||
| + | L' | ||
| + | |||
| + | ^ ^ 1er octet ^ 2ème octet ^ 3ème octet ^ 4 ème octet ^ | ||
| + | | Adresse IP | | ||
| + | | Binaire | ||
| + | | Masque de sous-réseau | ||
| + | | Binaire | ||
| + | | Calcul AND | | ||
| + | | Adresse réseau | ||
| + | |||
| + | Dans ce cas, l' | ||
| + | |||
| + | ==== VLSM ==== | ||
| + | |||
| + | Puisque le stock de réseaux disponibles sous IPv4 est presque épuisé, une solution a du être trouvée pour créer des sous-réseaux en attendant l' | ||
| + | |||
| + | Son principe est simple. Afin de créer des réseaux différents à partir d'une adresse réseau d'une classe donnée, il convient de réduire le nombre d' | ||
| + | |||
| + | Pour illustrer ceci, prenons l' | ||
| + | |||
| + | Supposons que nous souhaiterions diviser notre réseau en 2 sous-réseaux. Pour coder 2 sous-réseaux, | ||
| + | |||
| + | * 00 | ||
| + | * 01 | ||
| + | * 10 | ||
| + | * 11 | ||
| + | |||
| + | Les valeurs binaires du quatrième octet de nos adresses de sous-réseaux seront donc : | ||
| + | |||
| + | * 192.168.1.00XXXXXX | ||
| + | * 192.168.1.01XXXXXX | ||
| + | * 192.168.1.10XXXXXX | ||
| + | * 192.168.1.11XXXXXX | ||
| + | |||
| + | où les XXXXXX représentent les bits que nous réservons pour décrire les hôtes dans chacun des sous-réseaux. | ||
| + | |||
| + | Nous ne pouvons pas utiliser les deux sous-réseaux suivants : | ||
| + | |||
| + | * 192.168.1.00XXXXXX | ||
| + | * 192.168.1.11XXXXXX | ||
| + | |||
| + | car ceux-ci correspondent aux débuts de l' | ||
| + | |||
| + | Nous pouvons utiliser les deux sous-réseaux suivants : | ||
| + | |||
| + | * 192.168.1.01XXXXXX | ||
| + | * 192.168.1.10XXXXXX | ||
| + | |||
| + | Pour le premier sous-réseau l' | ||
| + | |||
| + | | Sous-réseau #1 | | ||
| + | | Calcul de l' | ||
| + | | Binaire | ||
| + | | Adresse réseau | ||
| + | | Calcul de l' | ||
| + | | Binaire | ||
| + | | Adresse de diffusion | | ||
| + | |||
| + | * L' | ||
| + | |||
| + | * Le masque de sous-réseau est donc le 11111111.11111111.11111111.11000000 ou le 255.255.255.192 | ||
| + | |||
| + | * Nous pouvons avoir 2< | ||
| + | |||
| + | * La plage valide d' | ||
| + | |||
| + | Pour le deuxième sous-réseau l' | ||
| + | |||
| + | | Sous-réseau #2 | | ||
| + | | Calcul de l' | ||
| + | | Binaire | ||
| + | | Adresse réseau | ||
| + | | Calcul de l' | ||
| + | | Binaire | ||
| + | | Adresse de diffusion | | ||
| + | |||
| + | * L' | ||
| + | |||
| + | * Le masque de sous-réseau est donc le 11111111.11111111.11111111.11000000 ou le 255.255.255.192 | ||
| + | |||
| + | * Nous pouvons avoir 2< | ||
| + | |||
| + | * La plage valide d' | ||
| + | |||
| + | |||
| + | La valeur qui sépare les sous-réseaux est 64. Cette valeur comporte le nom **incrément**. | ||
| + | |||
| + | ==== Ports et sockets ==== | ||
| + | |||
| + | Afin que les données arrivent aux applications que les attendent, TCP utilise des numéros de ports sur la couche transport. Le numéros de ports sont divisés en trois groupes : | ||
| + | |||
| + | * **Well Known Ports** | ||
| + | * De 1 à 1023 | ||
| + | * **Registered Ports** | ||
| + | * De 1024 à 49151 | ||
| + | * **Dynamic** et/ou **Private Ports** | ||
| + | * De 49152 à 65535 | ||
| + | |||
| + | Le couple **numéro IP:numéro de port** s' | ||
| + | |||
| + | ==== / | ||
| + | |||
| + | Les ports les plus utilisés sont détaillés dans le fichier **/ | ||
| + | |||
| + | < | ||
| + | [root@centos8 ~]# more / | ||
| + | # / | ||
| + | # $Id: services,v 1.49 2017/08/18 12:43:23 ovasik Exp $ | ||
| + | # | ||
| + | # Network services, Internet style | ||
| + | # IANA services version: last updated 2016-07-08 | ||
| + | # | ||
| + | # Note that it is presently the policy of IANA to assign a single well-known | ||
| + | # port number for both TCP and UDP; hence, most entries here have two entries | ||
| + | # even if the protocol doesn' | ||
| + | # Updated from RFC 1700, ``Assigned Numbers'' | ||
| + | # are included, only the more common ones. | ||
| + | # | ||
| + | # The latest IANA port assignments can be gotten from | ||
| + | # | ||
| + | # The Well Known Ports are those from 0 through 1023. | ||
| + | # The Registered Ports are those from 1024 through 49151 | ||
| + | # The Dynamic and/or Private Ports are those from 49152 through 65535 | ||
| + | # | ||
| + | # Each line describes one service, and is of the form: | ||
| + | # | ||
| + | # service-name | ||
| + | |||
| + | tcpmux | ||
| + | tcpmux | ||
| + | rje | ||
| + | rje | ||
| + | echo 7/tcp | ||
| + | echo 7/udp | ||
| + | discard | ||
| + | discard | ||
| + | systat | ||
| + | systat | ||
| + | daytime | ||
| + | daytime | ||
| + | qotd 17/ | ||
| + | qotd 17/ | ||
| + | chargen | ||
| + | chargen | ||
| + | ftp-data | ||
| + | ftp-data | ||
| + | # 21 is registered to ftp, but also used by fsp | ||
| + | ftp | ||
| + | ftp | ||
| + | --More--(0%) | ||
| + | </ | ||
| + | |||
| + | Notez que les ports sont listés par deux : | ||
| + | |||
| + | * le port TCP | ||
| + | * le port UDP | ||
| + | |||
| + | La liste la plus complète peut être consultée à l' | ||
| + | |||
| + | Pour connaitre la liste des sockets ouverts sur l' | ||
| + | |||
| + | < | ||
| + | [root@centos8 ~]# netstat -an | more | ||
| + | Active Internet connections (servers and established) | ||
| + | Proto Recv-Q Send-Q Local Address | ||
| + | tcp 0 0 0.0.0.0: | ||
| + | tcp 0 0 192.168.122.1: | ||
| + | tcp 0 0 0.0.0.0: | ||
| + | tcp 0 0 127.0.0.1: | ||
| + | tcp 0 0 0.0.0.0: | ||
| + | tcp 0 0 0.0.0.0: | ||
| + | tcp 0 0 10.0.2.45: | ||
| + | tcp | ||
| + | tcp | ||
| + | tcp 0 0 10.0.2.45: | ||
| + | tcp6 | ||
| + | tcp6 | ||
| + | tcp6 | ||
| + | tcp6 | ||
| + | udp 0 0 0.0.0.0: | ||
| + | udp 0 0 0.0.0.0: | ||
| + | udp 0 0 0.0.0.0: | ||
| + | udp 0 0 192.168.122.1: | ||
| + | udp 0 0 0.0.0.0: | ||
| + | udp 0 0 0.0.0.0: | ||
| + | udp 0 0 127.0.0.1: | ||
| + | udp6 | ||
| + | udp6 | ||
| + | udp6 | ||
| + | udp6 | ||
| + | raw6 | ||
| + | Active UNIX domain sockets (servers and established) | ||
| + | Proto RefCnt Flags | ||
| + | unix 2 [ ACC ] | ||
| + | unix 2 [ ACC ] | ||
| + | unix 2 [ ACC ] | ||
| + | rol | ||
| + | unix 2 [ ACC ] | ||
| + | unix 2 [ ACC ] | ||
| + | unix 2 [ ACC ] | ||
| + | unix 2 [ ACC ] | ||
| + | unix 2 [ ACC ] | ||
| + | multipathd | ||
| + | unix 2 [ ACC ] | ||
| + | socket | ||
| + | unix 2 [ ACC ] | ||
| + | --More-- | ||
| + | </ | ||
| + | |||
| + | Pour connaitre la liste des applications ayant ouvert un port sur l' | ||
| + | |||
| + | < | ||
| + | [root@centos8 ~]# netstat -anp | more | ||
| + | Active Internet connections (servers and established) | ||
| + | Proto Recv-Q Send-Q Local Address | ||
| + | tcp 0 0 0.0.0.0: | ||
| + | tcp 0 0 192.168.122.1: | ||
| + | tcp 0 0 0.0.0.0: | ||
| + | tcp 0 0 127.0.0.1: | ||
| + | tcp 0 0 0.0.0.0: | ||
| + | tcp 0 0 0.0.0.0: | ||
| + | tcp 0 0 10.0.2.45: | ||
| + | tcp | ||
| + | tcp | ||
| + | tcp 0 0 10.0.2.45: | ||
| + | tcp6 | ||
| + | tcp6 | ||
| + | tcp6 | ||
| + | tcp6 | ||
| + | udp 0 0 0.0.0.0: | ||
| + | udp 0 0 0.0.0.0: | ||
| + | udp 0 0 0.0.0.0: | ||
| + | udp 0 0 192.168.122.1: | ||
| + | udp 0 0 0.0.0.0: | ||
| + | udp 0 0 0.0.0.0: | ||
| + | udp 0 0 127.0.0.1: | ||
| + | udp6 | ||
| + | udp6 | ||
| + | udp6 | ||
| + | udp6 | ||
| + | raw6 | ||
| + | Active UNIX domain sockets (servers and established) | ||
| + | Proto RefCnt Flags | ||
| + | unix 2 [ ACC ] | ||
| + | unix 2 [ ACC ] | ||
| + | unix 2 [ ACC ] | ||
| + | unix 2 [ ACC ] | ||
| + | unix 2 [ ACC ] | ||
| + | unix 2 [ ACC ] | ||
| + | unix 2 [ ACC ] | ||
| + | unix 2 [ ACC ] | ||
| + | unix 2 [ ACC ] | ||
| + | unix 2 [ ACC ] | ||
| + | unix 2 [ ACC ] | ||
| + | unix 2 [ ACC ] | ||
| + | unix 2 [ ACC ] | ||
| + | --More-- | ||
| + | </ | ||
| + | |||
| + | La commande **ss** peut aussi être utilisée pour connaître la liste des sockets ouverts : | ||
| + | |||
| + | < | ||
| + | [root@centos8 ~]# ss -ta | ||
| + | State | ||
| + | LISTEN | ||
| + | LISTEN | ||
| + | LISTEN | ||
| + | LISTEN | ||
| + | LISTEN | ||
| + | ESTAB | ||
| + | ESTAB | ||
| + | ESTAB | ||
| + | ESTAB | ||
| + | LISTEN | ||
| + | LISTEN | ||
| + | LISTEN | ||
| + | LISTEN | ||
| + | </ | ||
| + | |||
| + | ==== Résolution d' | ||
| + | |||
| + | Chaque protocole peut être encapsulé dans une **trame** Ethernet. Lorsque la trame doit être transportée de l' | ||
| + | |||
| + | Pour connaître l' | ||
| + | |||
| + | < | ||
| + | [root@centos8 ~]# arp -a | ||
| + | _gateway (10.0.2.1) at 42: | ||
| + | </ | ||
| + | |||
| + | ===Options de la commande=== | ||
| + | |||
| + | Les options de cette commande sont : | ||
| + | |||
| + | < | ||
| + | [root@centos8 ~]# arp --help | ||
| + | Usage: | ||
| + | arp [-vn] [< | ||
| + | arp [-v] [-i <if>] -d < | ||
| + | arp [-vnD] [< | ||
| + | arp [-v] | ||
| + | arp [-v] | ||
| + | |||
| + | -a | ||
| + | -e | ||
| + | -s, --set set a new ARP entry | ||
| + | -d, --delete | ||
| + | -v, --verbose | ||
| + | -n, --numeric | ||
| + | -i, --device | ||
| + | -D, --use-device | ||
| + | -A, -p, --protocol | ||
| + | -f, --file | ||
| + | |||
| + | < | ||
| + | List of possible hardware types (which support ARP): | ||
| + | ash (Ash) ether (Ethernet) ax25 (AMPR AX.25) | ||
| + | netrom (AMPR NET/ROM) rose (AMPR ROSE) arcnet (ARCnet) | ||
| + | dlci (Frame Relay DLCI) fddi (Fiber Distributed Data Interface) hippi (HIPPI) | ||
| + | irda (IrLAP) x25 (generic X.25) infiniband (InfiniBand) | ||
| + | eui64 (Generic EUI-64) | ||
| + | </ | ||
| + | |||
| + | =====Comprendre IPv6===== | ||
| + | |||
| + | ====Présentation==== | ||
| + | |||
| + | IPv6 peut être utilisé en parallèle avec IPv4 dans un modèle à double pile. Dans cette configuration, | ||
| + | |||
| + | ====Adresses IPv6==== | ||
| + | |||
| + | Une adresse IPv6 est un nombre de 128 bits, normalement exprimé sous la forme de huit groupes de quatre **nibbles** (demi-octets) hexadécimaux séparés par deux points. Chaque nibble représente quatre bits de l' | ||
| + | |||
| + | 2001: | ||
| + | |||
| + | Pour faciliter l' | ||
| + | |||
| + | 2001: | ||
| + | |||
| + | En vertu de ces règles, 2001: | ||
| + | |||
| + | Le conseils pour rédiger des adresses lisibles de manière cohérente sont : | ||
| + | |||
| + | * Supprimer les zéros initiaux dans un groupe. | ||
| + | * Utiliser : : pour raccourcir autant que possible. | ||
| + | * Si une adresse contient deux groupes de zéros consécutifs de même longueur, il est préférable de raccourcir les groupes de zéros les plus à gauche en : : et les groupes les plus à droite en :0 : pour chaque groupe. | ||
| + | * Bien que cela soit autorisé, n' | ||
| + | * Utiliser toujours des lettres minuscules pour les nombres hexadécimaux de a à f | ||
| + | |||
| + | Par exemple : | ||
| + | |||
| + | 2001: | ||
| + | |||
| + | Dernièrement, | ||
| + | |||
| + | [2001: | ||
| + | |||
| + | Une adresse unicast IPv6 normale est divisée en deux parties : | ||
| + | |||
| + | * Le préfixe de réseau, | ||
| + | * Le préfixe identifie le sous-réseau. | ||
| + | * L' | ||
| + | * Deux interfaces réseau sur le même sous-réseau ne peuvent pas avoir le même identifiant, | ||
| + | * Un identifiant d' | ||
| + | |||
| + | ====Masque de Sous-réseau==== | ||
| + | |||
| + | Contrairement à l' | ||
| + | |||
| + | Par exemple, dans le cas de l' | ||
| + | |||
| + | En regardant le NetID, la partie **2001: | ||
| + | |||
| + | ====Adresses IPv6 Réservées==== | ||
| + | |||
| + | Les adresses IPv6 réservés à une utilisation spécifique sont : | ||
| + | |||
| + | ^ Adresse ^ Description ^ | ||
| + | | ::1/128 | L' | ||
| + | | :: | L' | ||
| + | | ::/0 | La route par défaut similaire à l' | ||
| + | | 2000::/3 | Cet espace d' | ||
| + | | fd00::/8 | Issue de la RFC 4193, ceci est similaire à la RFC 1918, c' | ||
| + | | fe80::/10 | Adresses Link-local | | ||
| + | | ff00::/8 | Adresses Multicast | | ||
| + | |||
| + | ====L' | ||
| + | |||
| + | Chaque interface sur un réseau est configurée automatiquement avec une adresse Link-local : | ||
| + | |||
| + | < | ||
| + | [root@centos8 ~]# ifconfig | ||
| + | ens18: flags=4163< | ||
| + | inet 10.0.2.45 | ||
| + | inet6 fe80:: | ||
| + | ether 1e: | ||
| + | RX packets 175 bytes 30014 (29.3 KiB) | ||
| + | RX errors 0 dropped 0 overruns 0 frame 0 | ||
| + | TX packets 179 bytes 24197 (23.6 KiB) | ||
| + | TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0 | ||
| + | |||
| + | ens19: flags=4163< | ||
| + | ether ee: | ||
| + | RX packets 0 bytes 0 (0.0 B) | ||
| + | RX errors 0 dropped 0 overruns 0 frame 0 | ||
| + | TX packets 0 bytes 0 (0.0 B) | ||
| + | TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0 | ||
| + | |||
| + | lo: flags=73< | ||
| + | inet 127.0.0.1 | ||
| + | inet6 ::1 prefixlen 128 scopeid 0x10< | ||
| + | loop txqueuelen 1000 (Local Loopback) | ||
| + | RX packets 0 bytes 0 (0.0 B) | ||
| + | RX errors 0 dropped 0 overruns 0 frame 0 | ||
| + | TX packets 0 bytes 0 (0.0 B) | ||
| + | TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0 | ||
| + | |||
| + | virbr0: flags=4099< | ||
| + | inet 192.168.122.1 | ||
| + | ether 52: | ||
| + | RX packets 0 bytes 0 (0.0 B) | ||
| + | RX errors 0 dropped 0 overruns 0 frame 0 | ||
| + | TX packets 0 bytes 0 (0.0 B) | ||
| + | TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0 | ||
| + | </ | ||
| + | |||
| + | Pour tester la connectivité de l' | ||
| + | |||
| + | < | ||
| + | [root@centos8 ~]# ping6 -c4 fe80:: | ||
| + | PING fe80:: | ||
| + | 64 bytes from fe80:: | ||
| + | 64 bytes from fe80:: | ||
| + | 64 bytes from fe80:: | ||
| + | 64 bytes from fe80:: | ||
| + | |||
| + | --- fe80:: | ||
| + | 4 packets transmitted, | ||
| + | rtt min/ | ||
| + | </ | ||
| + | |||
| + | <WRAP center round important 60%> | ||
| + | **Important** : Notez qu'à la fin de l' | ||
| + | </ | ||
| + | |||
| + | ====DHCPv6==== | ||
| + | |||
| + | DHCPv6 ne fonctionne pas de la même façon que DHCPv4 parce qu'il n' | ||
| + | |||
| + | En résumé, l' | ||
| + | |||
| + | =====Configuration===== | ||
| RHEL/CentOS 8 utilise **Network Manager** pour gérer le réseau. Network Manager est composé de deux éléments : | RHEL/CentOS 8 utilise **Network Manager** pour gérer le réseau. Network Manager est composé de deux éléments : | ||
| Ligne 169: | Ligne 2059: | ||
| </ | </ | ||
| - | Notez que la sortie n' | + | Notez que la sortie n' |
| < | < | ||
| Ligne 237: | Ligne 2127: | ||
| <WRAP center round todo 60%> | <WRAP center round todo 60%> | ||
| - | **A faire** - Revenez à l' | + | **A faire** - Revenez à l' |
| </ | </ | ||
| - | Le profil ip_fixe est maintenant activé tandis que le profil | + | Le profil ip_fixe est maintenant activé tandis que le profil |
| < | < | ||
| Ligne 555: | Ligne 2445: | ||
| </ | </ | ||
| - | Les fichiers de configuration pour le periphérique | + | Les fichiers de configuration pour le périphérique |
| < | < | ||
| Ligne 565: | Ligne 2455: | ||
| ====1.2 - Résolution des Noms==== | ====1.2 - Résolution des Noms==== | ||
| - | L' | + | L' |
| < | < | ||
| Ligne 665: | Ligne 2555: | ||
| </ | </ | ||
| - | Dernièrement vérifiez la resolution | + | Dernièrement vérifiez la résolution |
| < | < | ||
| Ligne 983: | Ligne 2873: | ||
| ===Désactiver/ | ===Désactiver/ | ||
| - | Pour désactiver le routage sur le serveur, il convient de désactiver la retransmission des paquets: | + | Pour désactiver le routage sur le serveur, il convient de désactiver la retransmission des paquets. |
| + | |||
| + | Pour IPv4 : | ||
| < | < | ||
| Ligne 998: | Ligne 2890: | ||
| [root@centos8 ~]# echo 1 > / | [root@centos8 ~]# echo 1 > / | ||
| [root@centos8 ~]# cat / | [root@centos8 ~]# cat / | ||
| + | 1 | ||
| + | </ | ||
| + | |||
| + | Pour IPv6 : | ||
| + | |||
| + | < | ||
| + | [root@centos8 ~]# cat / | ||
| + | 1 | ||
| + | [root@centos8 ~]# echo " | ||
| + | [root@centos8 ~]# cat / | ||
| + | 0 | ||
| + | </ | ||
| + | |||
| + | Pour activer le routage sur le serveur, il convient d' | ||
| + | |||
| + | < | ||
| + | [root@centos8 ~]# echo " | ||
| + | [root@centos8 ~]# cat / | ||
| 1 | 1 | ||
| </ | </ | ||
| Ligne 1249: | Ligne 3159: | ||
| ==== 3.1 - Telnet ==== | ==== 3.1 - Telnet ==== | ||
| - | WRAP center round important> | + | <WRAP center round important> |
| **Important** - Si la commande **telnet** n'est pas installée sous CentOS 8, installez-le à l'aide de la commande **dnf install telnet** en tant que root. | **Important** - Si la commande **telnet** n'est pas installée sous CentOS 8, installez-le à l'aide de la commande **dnf install telnet** en tant que root. | ||
| </ | </ | ||
| Ligne 1260: | Ligne 3170: | ||
| <WRAP center round important 60%> | <WRAP center round important 60%> | ||
| - | **Important** - Le service telnet revient à une redirection des canaux standards d' | + | **Important** - Le service telnet revient à une redirection des canaux standards d' |
| </ | </ | ||
| Ligne 1280: | Ligne 3190: | ||
| < | < | ||
| - | [root@centos8 ~]# wget https:// | + | [root@centos8 ~]# wget https:// |
| - | --2021-08-29 06: | + | ... |
| - | Resolving www.dropbox.com (www.dropbox.com)... 162.125.67.18, | + | |
| - | Connecting to www.dropbox.com (www.dropbox.com)|162.125.67.18|: | + | |
| - | HTTP request sent, awaiting response... 301 Moved Permanently | + | |
| - | Location: / | + | |
| - | --2021-08-29 06: | + | |
| - | Reusing existing connection to www.dropbox.com: | + | |
| - | HTTP request sent, awaiting response... 302 Found | + | |
| - | Location: https:// | + | |
| - | --2021-08-29 06: | + | |
| - | Resolving uc8a5f475f4a5f849fd1055f560f.dl.dropboxusercontent.com (uc8a5f475f4a5f849fd1055f560f.dl.dropboxusercontent.com)... 162.125.67.15, | + | |
| - | Connecting to uc8a5f475f4a5f849fd1055f560f.dl.dropboxusercontent.com (uc8a5f475f4a5f849fd1055f560f.dl.dropboxusercontent.com)|162.125.67.15|: | + | |
| - | HTTP request sent, awaiting response... 200 OK | + | |
| - | Length: 46 [text/ | + | |
| - | Saving to: ‘wget_file.txt’ | + | |
| - | + | ||
| - | wget_file.txt | + | |
| - | + | ||
| - | 2021-08-29 06:22:27 (26.9 MB/s) - ‘wget_file.txt’ saved [46/46] | + | |
| [root@centos8 ~]# cat wget_file.txt | [root@centos8 ~]# cat wget_file.txt | ||
| Ligne 1607: | Ligne 3499: | ||
| * **Clef hôte asymétrique et persistante** garantissant l' | * **Clef hôte asymétrique et persistante** garantissant l' | ||
| * **Clef serveur asymétrique et temporaire** utilisée par le protocole SSH1 qui sert au chiffrement de la clé de session, | * **Clef serveur asymétrique et temporaire** utilisée par le protocole SSH1 qui sert au chiffrement de la clé de session, | ||
| - | * **Clef de session symétrique qui est générée aléatoirement** et qui permet le chiiffrement | + | * **Clef de session symétrique qui est générée aléatoirement** et qui permet le chiffrement |
| * La **base de données des hôtes connus** qui stocke les clés des connexions précédentes. | * La **base de données des hôtes connus** qui stocke les clés des connexions précédentes. | ||
| Ligne 1906: | Ligne 3798: | ||
| HostKey / | HostKey / | ||
| SyslogFacility AUTHPRIV | SyslogFacility AUTHPRIV | ||
| - | PermitRootLogin yes | ||
| AuthorizedKeysFile | AuthorizedKeysFile | ||
| PasswordAuthentication yes | PasswordAuthentication yes | ||
| Ligne 2401: | Ligne 4292: | ||
| ssh-dss AAAAB3NzaC1kc3MAAACBALIdwEEqHrMWSUdzARm9ldsZK9ebbtZShtmwgdjphOk77fxymK0y6wV7QEmLL25LOcLb12uZ1F0LtRt/ | ssh-dss AAAAB3NzaC1kc3MAAACBALIdwEEqHrMWSUdzARm9ldsZK9ebbtZShtmwgdjphOk77fxymK0y6wV7QEmLL25LOcLb12uZ1F0LtRt/ | ||
| ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIOfFQULLU8IZyKiSU63D2Zz6yGLqyHcBHnCRdSR9JSmc trainee@centos8.ittraining.loc | ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIOfFQULLU8IZyKiSU63D2Zz6yGLqyHcBHnCRdSR9JSmc trainee@centos8.ittraining.loc | ||
| - | </ | ||
| - | |||
| - | =====LAB #4 - La Configuration de firewalld===== | ||
| - | |||
| - | ====4.1 - Présentation==== | ||
| - | |||
| - | firewalld utilise **[[https:// | ||
| - | |||
| - | * **trusted** - un réseau fiable. Dans ce cas tous les ports sont autorisés, | ||
| - | * **work**, **home**, **internal** - un réseau partiellement fiable. Dans ce cas quelques ports sont autorisés, | ||
| - | * **dmz**, **public**, **external** - un réseau non fiable. Dans ce cas peu de ports sont autorisés, | ||
| - | * **block**, **drop** - tout est interdit. La zone drop n' | ||
| - | |||
| - | <WRAP center round important 60%> | ||
| - | **Important** - Une interface ne peut être que dans une zone à la fois tandis que plusieurs interfaces peuvent être dans la même zone. | ||
| - | </ | ||
| - | |||
| - | Le service firewalld doit toujours être lancé : | ||
| - | |||
| - | < | ||
| - | [trainee@centos8 .ssh]$ exit | ||
| - | logout | ||
| - | Connection to localhost closed. | ||
| - | [trainee@centos8 ~]$ su - | ||
| - | Password: fenestros | ||
| - | |||
| - | [root@centos8 ~]# systemctl status firewalld | ||
| - | ● firewalld.service - firewalld - dynamic firewall daemon | ||
| - | | ||
| - | | ||
| - | Docs: man: | ||
| - | Main PID: 960 (code=exited, | ||
| - | |||
| - | Warning: Journal has been rotated since unit was started. Log output is incomplete or unavailable. | ||
| - | |||
| - | [root@centos8 ~]# systemctl start firewalld | ||
| - | [root@centos8 ~]# systemctl status firewalld | ||
| - | ● firewalld.service - firewalld - dynamic firewall daemon | ||
| - | | ||
| - | | ||
| - | Docs: man: | ||
| - | Main PID: 1045271 (firewalld) | ||
| - | Tasks: 2 (limit: 23535) | ||
| - | | ||
| - | | ||
| - | | ||
| - | |||
| - | Aug 30 04:13:49 centos8.ittraining.loc systemd[1]: Starting firewalld - dynamic firewall daemon... | ||
| - | Aug 30 04:13:51 centos8.ittraining.loc systemd[1]: Started firewalld - dynamic firewall daemon. | ||
| - | Aug 30 04:13:51 centos8.ittraining.loc firewalld[1045271]: | ||
| - | [q] | ||
| - | </ | ||
| - | |||
| - | ====4.2 - La Configuration de Base de firewalld==== | ||
| - | |||
| - | La configuration par défaut de firewalld se trouve dans **/ | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# ls -l / | ||
| - | total 16 | ||
| - | drwxr-xr-x. 2 root root 224 Jul 19 10:39 helpers | ||
| - | drwxr-xr-x. 2 root root 4096 Jul 19 10:39 icmptypes | ||
| - | drwxr-xr-x. 2 root root 20 Jul 19 10:39 ipsets | ||
| - | drwxr-xr-x. 2 root root 8192 Jul 19 10:39 services | ||
| - | drwxr-xr-x. 2 root root 203 Jul 19 10:39 zones | ||
| - | |||
| - | [root@centos8 ~]# ls -l / | ||
| - | total 52 | ||
| - | -rw-r--r--. 1 root root 125 Jun 29 13:27 amanda.xml | ||
| - | -rw-r--r--. 1 root root 119 Jun 29 13:27 ftp.xml | ||
| - | -rw-r--r--. 1 root root 85 Jun 29 13:27 h323.xml | ||
| - | -rw-r--r--. 1 root root 134 Jun 29 13:27 irc.xml | ||
| - | -rw-r--r--. 1 root root 141 Jun 29 13:27 netbios-ns.xml | ||
| - | -rw-r--r--. 1 root root 136 Jun 29 13:27 pptp.xml | ||
| - | -rw-r--r--. 1 root root 90 Jun 29 13:27 proto-gre.xml | ||
| - | -rw-r--r--. 1 root root 122 Jun 29 13:27 Q.931.xml | ||
| - | -rw-r--r--. 1 root root 122 Jun 29 13:27 RAS.xml | ||
| - | -rw-r--r--. 1 root root 122 Jun 29 13:27 sane.xml | ||
| - | -rw-r--r--. 1 root root 158 Jun 29 13:27 sip.xml | ||
| - | -rw-r--r--. 1 root root 135 Jun 29 13:27 snmp.xml | ||
| - | -rw-r--r--. 1 root root 120 Jun 29 13:27 tftp.xml | ||
| - | |||
| - | [root@centos8 ~]# ls -l / | ||
| - | total 180 | ||
| - | -rw-r--r--. 1 root root 385 Jun 29 13:27 address-unreachable.xml | ||
| - | -rw-r--r--. 1 root root 258 Jun 29 13:27 bad-header.xml | ||
| - | -rw-r--r--. 1 root root 294 Jun 29 13:27 beyond-scope.xml | ||
| - | -rw-r--r--. 1 root root 279 Jun 29 13:27 communication-prohibited.xml | ||
| - | -rw-r--r--. 1 root root 222 Jun 29 13:27 destination-unreachable.xml | ||
| - | -rw-r--r--. 1 root root 173 Jun 29 13:27 echo-reply.xml | ||
| - | -rw-r--r--. 1 root root 210 Jun 29 13:27 echo-request.xml | ||
| - | -rw-r--r--. 1 root root 261 Jun 29 13:27 failed-policy.xml | ||
| - | -rw-r--r--. 1 root root 280 Jun 29 13:27 fragmentation-needed.xml | ||
| - | -rw-r--r--. 1 root root 266 Jun 29 13:27 host-precedence-violation.xml | ||
| - | -rw-r--r--. 1 root root 257 Jun 29 13:27 host-prohibited.xml | ||
| - | -rw-r--r--. 1 root root 242 Jun 29 13:27 host-redirect.xml | ||
| - | -rw-r--r--. 1 root root 239 Jun 29 13:27 host-unknown.xml | ||
| - | -rw-r--r--. 1 root root 247 Jun 29 13:27 host-unreachable.xml | ||
| - | -rw-r--r--. 1 root root 229 Jun 29 13:27 ip-header-bad.xml | ||
| - | -rw-r--r--. 1 root root 355 Jun 29 13:27 neighbour-advertisement.xml | ||
| - | -rw-r--r--. 1 root root 457 Jun 29 13:27 neighbour-solicitation.xml | ||
| - | -rw-r--r--. 1 root root 250 Jun 29 13:27 network-prohibited.xml | ||
| - | -rw-r--r--. 1 root root 248 Jun 29 13:27 network-redirect.xml | ||
| - | -rw-r--r--. 1 root root 239 Jun 29 13:27 network-unknown.xml | ||
| - | -rw-r--r--. 1 root root 247 Jun 29 13:27 network-unreachable.xml | ||
| - | -rw-r--r--. 1 root root 239 Jun 29 13:27 no-route.xml | ||
| - | -rw-r--r--. 1 root root 328 Jun 29 13:27 packet-too-big.xml | ||
| - | -rw-r--r--. 1 root root 225 Jun 29 13:27 parameter-problem.xml | ||
| - | -rw-r--r--. 1 root root 233 Jun 29 13:27 port-unreachable.xml | ||
| - | -rw-r--r--. 1 root root 256 Jun 29 13:27 precedence-cutoff.xml | ||
| - | -rw-r--r--. 1 root root 249 Jun 29 13:27 protocol-unreachable.xml | ||
| - | -rw-r--r--. 1 root root 185 Jun 29 13:27 redirect.xml | ||
| - | -rw-r--r--. 1 root root 244 Jun 29 13:27 reject-route.xml | ||
| - | -rw-r--r--. 1 root root 241 Jun 29 13:27 required-option-missing.xml | ||
| - | -rw-r--r--. 1 root root 227 Jun 29 13:27 router-advertisement.xml | ||
| - | -rw-r--r--. 1 root root 223 Jun 29 13:27 router-solicitation.xml | ||
| - | -rw-r--r--. 1 root root 248 Jun 29 13:27 source-quench.xml | ||
| - | -rw-r--r--. 1 root root 236 Jun 29 13:27 source-route-failed.xml | ||
| - | -rw-r--r--. 1 root root 253 Jun 29 13:27 time-exceeded.xml | ||
| - | -rw-r--r--. 1 root root 233 Jun 29 13:27 timestamp-reply.xml | ||
| - | -rw-r--r--. 1 root root 228 Jun 29 13:27 timestamp-request.xml | ||
| - | -rw-r--r--. 1 root root 258 Jun 29 13:27 tos-host-redirect.xml | ||
| - | -rw-r--r--. 1 root root 257 Jun 29 13:27 tos-host-unreachable.xml | ||
| - | -rw-r--r--. 1 root root 272 Jun 29 13:27 tos-network-redirect.xml | ||
| - | -rw-r--r--. 1 root root 269 Jun 29 13:27 tos-network-unreachable.xml | ||
| - | -rw-r--r--. 1 root root 293 Jun 29 13:27 ttl-zero-during-reassembly.xml | ||
| - | -rw-r--r--. 1 root root 256 Jun 29 13:27 ttl-zero-during-transit.xml | ||
| - | -rw-r--r--. 1 root root 259 Jun 29 13:27 unknown-header-type.xml | ||
| - | -rw-r--r--. 1 root root 249 Jun 29 13:27 unknown-option.xml | ||
| - | |||
| - | [root@centos8 ~]# ls -l / | ||
| - | total 4 | ||
| - | -rw-r--r--. 1 root root 29 Jun 29 13:27 README | ||
| - | |||
| - | [root@centos8 ~]# ls -l / | ||
| - | total 688 | ||
| - | -rw-r--r--. 1 root root 399 Jun 29 13:27 amanda-client.xml | ||
| - | -rw-r--r--. 1 root root 427 Jun 29 13:27 amanda-k5-client.xml | ||
| - | -rw-r--r--. 1 root root 283 Jun 29 13:27 amqps.xml | ||
| - | -rw-r--r--. 1 root root 273 Jun 29 13:27 amqp.xml | ||
| - | -rw-r--r--. 1 root root 285 Jun 29 13:27 apcupsd.xml | ||
| - | -rw-r--r--. 1 root root 301 Jun 29 13:27 audit.xml | ||
| - | -rw-r--r--. 1 root root 320 Jun 29 13:27 bacula-client.xml | ||
| - | -rw-r--r--. 1 root root 346 Jun 29 13:27 bacula.xml | ||
| - | -rw-r--r--. 1 root root 429 Jun 29 13:27 bb.xml | ||
| - | -rw-r--r--. 1 root root 339 Jun 29 13:27 bgp.xml | ||
| - | -rw-r--r--. 1 root root 275 Jun 29 13:27 bitcoin-rpc.xml | ||
| - | -rw-r--r--. 1 root root 307 Jun 29 13:27 bitcoin-testnet-rpc.xml | ||
| - | -rw-r--r--. 1 root root 281 Jun 29 13:27 bitcoin-testnet.xml | ||
| - | -rw-r--r--. 1 root root 244 Jun 29 13:27 bitcoin.xml | ||
| - | -rw-r--r--. 1 root root 410 Jun 29 13:27 bittorrent-lsd.xml | ||
| - | -rw-r--r--. 1 root root 294 Jun 29 13:27 ceph-mon.xml | ||
| - | -rw-r--r--. 1 root root 329 Jun 29 13:27 ceph.xml | ||
| - | -rw-r--r--. 1 root root 168 Jun 29 13:27 cfengine.xml | ||
| - | -rw-r--r--. 1 root root 211 Jun 29 13:27 cockpit.xml | ||
| - | -rw-r--r--. 1 root root 296 Jun 29 13:27 collectd.xml | ||
| - | -rw-r--r--. 1 root root 260 Jun 29 13:27 condor-collector.xml | ||
| - | -rw-r--r--. 1 root root 296 Jun 29 13:27 ctdb.xml | ||
| - | -rw-r--r--. 1 root root 305 Jun 29 13:27 dhcpv6-client.xml | ||
| - | -rw-r--r--. 1 root root 234 Jun 29 13:27 dhcpv6.xml | ||
| - | -rw-r--r--. 1 root root 227 Jun 29 13:27 dhcp.xml | ||
| - | -rw-r--r--. 1 root root 205 Jun 29 13:27 distcc.xml | ||
| - | -rw-r--r--. 1 root root 318 Jun 29 13:27 dns-over-tls.xml | ||
| - | -rw-r--r--. 1 root root 346 Jun 29 13:27 dns.xml | ||
| - | -rw-r--r--. 1 root root 374 Jun 29 13:27 docker-registry.xml | ||
| - | -rw-r--r--. 1 root root 391 Jun 29 13:27 docker-swarm.xml | ||
| - | -rw-r--r--. 1 root root 228 Jun 29 13:27 dropbox-lansync.xml | ||
| - | -rw-r--r--. 1 root root 338 Jun 29 13:27 elasticsearch.xml | ||
| - | -rw-r--r--. 1 root root 304 Jun 29 13:27 etcd-client.xml | ||
| - | -rw-r--r--. 1 root root 304 Jun 29 13:27 etcd-server.xml | ||
| - | -rw-r--r--. 1 root root 224 Jun 29 13:27 finger.xml | ||
| - | -rw-r--r--. 1 root root 709 Jun 29 13:27 freeipa-4.xml | ||
| - | -rw-r--r--. 1 root root 489 Jun 29 13:27 freeipa-ldaps.xml | ||
| - | -rw-r--r--. 1 root root 488 Jun 29 13:27 freeipa-ldap.xml | ||
| - | -rw-r--r--. 1 root root 242 Jun 29 13:27 freeipa-replication.xml | ||
| - | -rw-r--r--. 1 root root 657 Jun 29 13:27 freeipa-trust.xml | ||
| - | -rw-r--r--. 1 root root 361 Jun 29 13:27 ftp.xml | ||
| - | -rw-r--r--. 1 root root 292 Jun 29 13:27 galera.xml | ||
| - | -rw-r--r--. 1 root root 184 Jun 29 13:27 ganglia-client.xml | ||
| - | -rw-r--r--. 1 root root 176 Jun 29 13:27 ganglia-master.xml | ||
| - | -rw-r--r--. 1 root root 212 Jun 29 13:27 git.xml | ||
| - | -rw-r--r--. 1 root root 218 Jun 29 13:27 grafana.xml | ||
| - | -rw-r--r--. 1 root root 119 Jun 29 13:27 gre.xml | ||
| - | -rw-r--r--. 1 root root 608 Jun 29 13:27 high-availability.xml | ||
| - | -rw-r--r--. 1 root root 448 Jun 29 13:27 https.xml | ||
| - | -rw-r--r--. 1 root root 353 Jun 29 13:27 http.xml | ||
| - | -rw-r--r--. 1 root root 372 Jun 29 13:27 imaps.xml | ||
| - | -rw-r--r--. 1 root root 327 Jun 29 13:27 imap.xml | ||
| - | -rw-r--r--. 1 root root 454 Jun 29 13:27 ipp-client.xml | ||
| - | -rw-r--r--. 1 root root 427 Jun 29 13:27 ipp.xml | ||
| - | -rw-r--r--. 1 root root 894 Jun 29 13:27 ipsec.xml | ||
| - | -rw-r--r--. 1 root root 255 Jun 29 13:27 ircs.xml | ||
| - | -rw-r--r--. 1 root root 247 Jun 29 13:27 irc.xml | ||
| - | -rw-r--r--. 1 root root 264 Jun 29 13:27 iscsi-target.xml | ||
| - | -rw-r--r--. 1 root root 358 Jun 29 13:27 isns.xml | ||
| - | -rw-r--r--. 1 root root 213 Jun 29 13:27 jenkins.xml | ||
| - | -rw-r--r--. 1 root root 182 Jun 29 13:27 kadmin.xml | ||
| - | -rw-r--r--. 1 root root 272 Jun 29 13:27 kdeconnect.xml | ||
| - | -rw-r--r--. 1 root root 233 Jun 29 13:27 kerberos.xml | ||
| - | -rw-r--r--. 1 root root 384 Jun 29 13:27 kibana.xml | ||
| - | -rw-r--r--. 1 root root 249 Jun 29 13:27 klogin.xml | ||
| - | -rw-r--r--. 1 root root 221 Jun 29 13:27 kpasswd.xml | ||
| - | -rw-r--r--. 1 root root 182 Jun 29 13:27 kprop.xml | ||
| - | -rw-r--r--. 1 root root 242 Jun 29 13:27 kshell.xml | ||
| - | -rw-r--r--. 1 root root 308 Jun 29 13:27 kube-apiserver.xml | ||
| - | -rw-r--r--. 1 root root 232 Jun 29 13:27 ldaps.xml | ||
| - | -rw-r--r--. 1 root root 199 Jun 29 13:27 ldap.xml | ||
| - | -rw-r--r--. 1 root root 385 Jun 29 13:27 libvirt-tls.xml | ||
| - | -rw-r--r--. 1 root root 389 Jun 29 13:27 libvirt.xml | ||
| - | -rw-r--r--. 1 root root 269 Jun 29 13:27 lightning-network.xml | ||
| - | -rw-r--r--. 1 root root 324 Jun 29 13:27 llmnr.xml | ||
| - | -rw-r--r--. 1 root root 349 Jun 29 13:27 managesieve.xml | ||
| - | -rw-r--r--. 1 root root 432 Jun 29 13:27 matrix.xml | ||
| - | -rw-r--r--. 1 root root 424 Jun 29 13:27 mdns.xml | ||
| - | -rw-r--r--. 1 root root 245 Jun 29 13:27 memcache.xml | ||
| - | -rw-r--r--. 1 root root 343 Jun 29 13:27 minidlna.xml | ||
| - | -rw-r--r--. 1 root root 237 Jun 29 13:27 mongodb.xml | ||
| - | -rw-r--r--. 1 root root 473 Jun 29 13:27 mosh.xml | ||
| - | -rw-r--r--. 1 root root 211 Jun 29 13:27 mountd.xml | ||
| - | -rw-r--r--. 1 root root 296 Jun 29 13:27 mqtt-tls.xml | ||
| - | -rw-r--r--. 1 root root 287 Jun 29 13:27 mqtt.xml | ||
| - | -rw-r--r--. 1 root root 170 Jun 29 13:27 mssql.xml | ||
| - | -rw-r--r--. 1 root root 190 Jun 29 13:27 ms-wbt.xml | ||
| - | -rw-r--r--. 1 root root 242 Jun 29 13:27 murmur.xml | ||
| - | -rw-r--r--. 1 root root 171 Jun 29 13:27 mysql.xml | ||
| - | -rw-r--r--. 1 root root 342 Jun 29 13:27 nfs3.xml | ||
| - | -rw-r--r--. 1 root root 324 Jun 29 13:27 nfs.xml | ||
| - | -rw-r--r--. 1 root root 293 Jun 29 13:27 nmea-0183.xml | ||
| - | -rw-r--r--. 1 root root 247 Jun 29 13:27 nrpe.xml | ||
| - | -rw-r--r--. 1 root root 389 Jun 29 13:27 ntp.xml | ||
| - | -rw-r--r--. 1 root root 368 Jun 29 13:27 nut.xml | ||
| - | -rw-r--r--. 1 root root 335 Jun 29 13:27 openvpn.xml | ||
| - | -rw-r--r--. 1 root root 260 Jun 29 13:27 ovirt-imageio.xml | ||
| - | -rw-r--r--. 1 root root 343 Jun 29 13:27 ovirt-storageconsole.xml | ||
| - | -rw-r--r--. 1 root root 235 Jun 29 13:27 ovirt-vmconsole.xml | ||
| - | -rw-r--r--. 1 root root 1024 Jun 29 13:27 plex.xml | ||
| - | -rw-r--r--. 1 root root 433 Jun 29 13:27 pmcd.xml | ||
| - | -rw-r--r--. 1 root root 474 Jun 29 13:27 pmproxy.xml | ||
| - | -rw-r--r--. 1 root root 544 Jun 29 13:27 pmwebapis.xml | ||
| - | -rw-r--r--. 1 root root 460 Jun 29 13:27 pmwebapi.xml | ||
| - | -rw-r--r--. 1 root root 357 Jun 29 13:27 pop3s.xml | ||
| - | -rw-r--r--. 1 root root 348 Jun 29 13:27 pop3.xml | ||
| - | -rw-r--r--. 1 root root 181 Jun 29 13:27 postgresql.xml | ||
| - | -rw-r--r--. 1 root root 509 Jun 29 13:27 privoxy.xml | ||
| - | -rw-r--r--. 1 root root 213 Jun 29 13:27 prometheus.xml | ||
| - | -rw-r--r--. 1 root root 261 Jun 29 13:27 proxy-dhcp.xml | ||
| - | -rw-r--r--. 1 root root 424 Jun 29 13:27 ptp.xml | ||
| - | -rw-r--r--. 1 root root 414 Jun 29 13:27 pulseaudio.xml | ||
| - | -rw-r--r--. 1 root root 297 Jun 29 13:27 puppetmaster.xml | ||
| - | -rw-r--r--. 1 root root 273 Jun 29 13:27 quassel.xml | ||
| - | -rw-r--r--. 1 root root 520 Jun 29 13:27 radius.xml | ||
| - | -rw-r--r--. 1 root root 183 Jun 29 13:27 rdp.xml | ||
| - | -rw-r--r--. 1 root root 212 Jun 29 13:27 redis-sentinel.xml | ||
| - | -rw-r--r--. 1 root root 268 Jun 29 13:27 redis.xml | ||
| - | -rw-r--r--. 1 root root 737 Jun 29 13:27 RH-Satellite-6.xml | ||
| - | -rw-r--r--. 1 root root 214 Jun 29 13:27 rpc-bind.xml | ||
| - | -rw-r--r--. 1 root root 213 Jun 29 13:27 rquotad.xml | ||
| - | -rw-r--r--. 1 root root 310 Jun 29 13:27 rsh.xml | ||
| - | -rw-r--r--. 1 root root 311 Jun 29 13:27 rsyncd.xml | ||
| - | -rw-r--r--. 1 root root 350 Jun 29 13:27 rtsp.xml | ||
| - | -rw-r--r--. 1 root root 329 Jun 29 13:27 salt-master.xml | ||
| - | -rw-r--r--. 1 root root 371 Jun 29 13:27 samba-client.xml | ||
| - | -rw-r--r--. 1 root root 1298 Jun 29 13:27 samba-dc.xml | ||
| - | -rw-r--r--. 1 root root 448 Jun 29 13:27 samba.xml | ||
| - | -rw-r--r--. 1 root root 324 Jun 29 13:27 sane.xml | ||
| - | -rw-r--r--. 1 root root 283 Jun 29 13:27 sips.xml | ||
| - | -rw-r--r--. 1 root root 496 Jun 29 13:27 sip.xml | ||
| - | -rw-r--r--. 1 root root 299 Jun 29 13:27 slp.xml | ||
| - | -rw-r--r--. 1 root root 231 Jun 29 13:27 smtp-submission.xml | ||
| - | -rw-r--r--. 1 root root 577 Jun 29 13:27 smtps.xml | ||
| - | -rw-r--r--. 1 root root 550 Jun 29 13:27 smtp.xml | ||
| - | -rw-r--r--. 1 root root 308 Jun 29 13:27 snmptrap.xml | ||
| - | -rw-r--r--. 1 root root 342 Jun 29 13:27 snmp.xml | ||
| - | -rw-r--r--. 1 root root 405 Jun 29 13:27 spideroak-lansync.xml | ||
| - | -rw-r--r--. 1 root root 275 Jun 29 13:27 spotify-sync.xml | ||
| - | -rw-r--r--. 1 root root 173 Jun 29 13:27 squid.xml | ||
| - | -rw-r--r--. 1 root root 421 Jun 29 13:27 ssdp.xml | ||
| - | -rw-r--r--. 1 root root 463 Jun 29 13:27 ssh.xml | ||
| - | -rw-r--r--. 1 root root 631 Jun 29 13:27 steam-streaming.xml | ||
| - | -rw-r--r--. 1 root root 287 Jun 29 13:27 svdrp.xml | ||
| - | -rw-r--r--. 1 root root 231 Jun 29 13:27 svn.xml | ||
| - | -rw-r--r--. 1 root root 297 Jun 29 13:27 syncthing-gui.xml | ||
| - | -rw-r--r--. 1 root root 311 Jun 29 13:27 syncthing.xml | ||
| - | -rw-r--r--. 1 root root 496 Jun 29 13:27 synergy.xml | ||
| - | -rw-r--r--. 1 root root 444 Jun 29 13:27 syslog-tls.xml | ||
| - | -rw-r--r--. 1 root root 329 Jun 29 13:27 syslog.xml | ||
| - | -rw-r--r--. 1 root root 393 Jun 29 13:27 telnet.xml | ||
| - | -rw-r--r--. 1 root root 252 Jun 29 13:27 tentacle.xml | ||
| - | -rw-r--r--. 1 root root 288 Jun 29 13:27 tftp-client.xml | ||
| - | -rw-r--r--. 1 root root 424 Jun 29 13:27 tftp.xml | ||
| - | -rw-r--r--. 1 root root 221 Jun 29 13:27 tile38.xml | ||
| - | -rw-r--r--. 1 root root 336 Jun 29 13:27 tinc.xml | ||
| - | -rw-r--r--. 1 root root 771 Jun 29 13:27 tor-socks.xml | ||
| - | -rw-r--r--. 1 root root 244 Jun 29 13:27 transmission-client.xml | ||
| - | -rw-r--r--. 1 root root 264 Jun 29 13:27 upnp-client.xml | ||
| - | -rw-r--r--. 1 root root 593 Jun 29 13:27 vdsm.xml | ||
| - | -rw-r--r--. 1 root root 475 Jun 29 13:27 vnc-server.xml | ||
| - | -rw-r--r--. 1 root root 310 Jun 29 13:27 wbem-https.xml | ||
| - | -rw-r--r--. 1 root root 352 Jun 29 13:27 wbem-http.xml | ||
| - | -rw-r--r--. 1 root root 323 Jun 29 13:27 wsmans.xml | ||
| - | -rw-r--r--. 1 root root 316 Jun 29 13:27 wsman.xml | ||
| - | -rw-r--r--. 1 root root 329 Jun 29 13:27 xdmcp.xml | ||
| - | -rw-r--r--. 1 root root 509 Jun 29 13:27 xmpp-bosh.xml | ||
| - | -rw-r--r--. 1 root root 488 Jun 29 13:27 xmpp-client.xml | ||
| - | -rw-r--r--. 1 root root 264 Jun 29 13:27 xmpp-local.xml | ||
| - | -rw-r--r--. 1 root root 545 Jun 29 13:27 xmpp-server.xml | ||
| - | -rw-r--r--. 1 root root 314 Jun 29 13:27 zabbix-agent.xml | ||
| - | -rw-r--r--. 1 root root 315 Jun 29 13:27 zabbix-server.xml | ||
| - | |||
| - | [root@centos8 ~]# ls -l / | ||
| - | total 44 | ||
| - | -rw-r--r--. 1 root root 299 Jun 29 13:27 block.xml | ||
| - | -rw-r--r--. 1 root root 293 Jun 29 13:27 dmz.xml | ||
| - | -rw-r--r--. 1 root root 291 Jun 29 13:27 drop.xml | ||
| - | -rw-r--r--. 1 root root 304 Jun 29 13:27 external.xml | ||
| - | -rw-r--r--. 1 root root 397 Jun 29 13:27 home.xml | ||
| - | -rw-r--r--. 1 root root 412 Jun 29 13:27 internal.xml | ||
| - | -rw-r--r--. 1 root root 809 Nov 26 2019 libvirt.xml | ||
| - | -rw-r--r--. 1 root root 729 Feb 1 2021 nm-shared.xml | ||
| - | -rw-r--r--. 1 root root 343 Jun 29 13:27 public.xml | ||
| - | -rw-r--r--. 1 root root 162 Jun 29 13:27 trusted.xml | ||
| - | -rw-r--r--. 1 root root 339 Jun 29 13:27 work.xml | ||
| - | </ | ||
| - | |||
| - | Ces fichiers sont au format **xml**, par exemple : | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# cat / | ||
| - | <?xml version=" | ||
| - | < | ||
| - | < | ||
| - | < | ||
| - | <service name=" | ||
| - | <service name=" | ||
| - | <service name=" | ||
| - | <service name=" | ||
| - | <service name=" | ||
| - | </ | ||
| - | </ | ||
| - | |||
| - | La configuration de firewalld ainsi que les définitions et règles personnalisées se trouvent dans **/ | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# ls -l / | ||
| - | total 8 | ||
| - | -rw-r--r--. 1 root root 2747 Jun 29 13:27 firewalld.conf | ||
| - | drwxr-x---. 2 root root 6 Jun 29 13:27 helpers | ||
| - | drwxr-x---. 2 root root 6 Jun 29 13:27 icmptypes | ||
| - | drwxr-x---. 2 root root 6 Jun 29 13:27 ipsets | ||
| - | -rw-r--r--. 1 root root 283 Jun 29 13:27 lockdown-whitelist.xml | ||
| - | drwxr-x---. 2 root root 6 Jun 29 13:27 services | ||
| - | drwxr-x---. 2 root root 46 Jun 29 13:27 zones | ||
| - | </ | ||
| - | |||
| - | Le fichier de configuration de firewalld est **/ | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# cat / | ||
| - | # firewalld config file | ||
| - | |||
| - | # default zone | ||
| - | # The default zone used if an empty zone string is used. | ||
| - | # Default: public | ||
| - | DefaultZone=public | ||
| - | |||
| - | # Clean up on exit | ||
| - | # If set to no or false the firewall configuration will not get cleaned up | ||
| - | # on exit or stop of firewalld | ||
| - | # Default: yes | ||
| - | CleanupOnExit=yes | ||
| - | |||
| - | # Lockdown | ||
| - | # If set to enabled, firewall changes with the D-Bus interface will be limited | ||
| - | # to applications that are listed in the lockdown whitelist. | ||
| - | # The lockdown whitelist file is lockdown-whitelist.xml | ||
| - | # Default: no | ||
| - | Lockdown=no | ||
| - | |||
| - | # IPv6_rpfilter | ||
| - | # Performs a reverse path filter test on a packet for IPv6. If a reply to the | ||
| - | # packet would be sent via the same interface that the packet arrived on, the | ||
| - | # packet will match and be accepted, otherwise dropped. | ||
| - | # The rp_filter for IPv4 is controlled using sysctl. | ||
| - | # Default: yes | ||
| - | IPv6_rpfilter=yes | ||
| - | |||
| - | # IndividualCalls | ||
| - | # Do not use combined -restore calls, but individual calls. This increases the | ||
| - | # time that is needed to apply changes and to start the daemon, but is good for | ||
| - | # debugging. | ||
| - | # Default: no | ||
| - | IndividualCalls=no | ||
| - | |||
| - | # LogDenied | ||
| - | # Add logging rules right before reject and drop rules in the INPUT, FORWARD | ||
| - | # and OUTPUT chains for the default rules and also final reject and drop rules | ||
| - | # in zones. Possible values are: all, unicast, broadcast, multicast and off. | ||
| - | # Default: off | ||
| - | LogDenied=off | ||
| - | |||
| - | # FirewallBackend | ||
| - | # Selects the firewall backend implementation. | ||
| - | # Choices are: | ||
| - | # - nftables (default) | ||
| - | # - iptables (iptables, ip6tables, ebtables and ipset) | ||
| - | FirewallBackend=nftables | ||
| - | |||
| - | # FlushAllOnReload | ||
| - | # Flush all runtime rules on a reload. In previous releases some runtime | ||
| - | # configuration was retained during a reload, namely; interface to zone | ||
| - | # assignment, and direct rules. This was confusing to users. To get the old | ||
| - | # behavior set this to " | ||
| - | # Default: yes | ||
| - | FlushAllOnReload=yes | ||
| - | |||
| - | # RFC3964_IPv4 | ||
| - | # As per RFC 3964, filter IPv6 traffic with 6to4 destination addresses that | ||
| - | # correspond to IPv4 addresses that should not be routed over the public | ||
| - | # internet. | ||
| - | # Defaults to " | ||
| - | RFC3964_IPv4=yes | ||
| - | |||
| - | # AllowZoneDrifting | ||
| - | # Older versions of firewalld had undocumented behavior known as "zone | ||
| - | # drifting" | ||
| - | # violation of zone based firewalls. However, some users rely on this behavior | ||
| - | # to have a " | ||
| - | # desire such behavior. It's disabled by default for security reasons. | ||
| - | # Note: If " | ||
| - | # based zones (including the default zone). Packets never drift from interface | ||
| - | # based zones to other interfaces based zones (including the default zone). | ||
| - | # Possible values; " | ||
| - | AllowZoneDrifting=yes | ||
| - | </ | ||
| - | |||
| - | ====4.3 - L' | ||
| - | |||
| - | firewalld s' | ||
| - | |||
| - | <WRAP center round important 60%> | ||
| - | **Important** - firewall-cmd est le front-end de firewalld en ligne de commande. Il existe aussi la commande **firewall-config** qui lance un outi de configuration graphique. | ||
| - | </ | ||
| - | |||
| - | Pour obtenir la liste de toutes les zones prédéfinies, | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# firewall-cmd --get-zones | ||
| - | block dmz drop external home internal libvirt nm-shared public trusted work | ||
| - | </ | ||
| - | |||
| - | Pour obtenir la liste de toutes les services prédéfinis, | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# firewall-cmd --get-services | ||
| - | RH-Satellite-6 amanda-client amanda-k5-client amqp amqps apcupsd audit bacula bacula-client bb bgp bitcoin bitcoin-rpc bitcoin-testnet bitcoin-testnet-rpc bittorrent-lsd ceph ceph-mon cfengine cockpit collectd condor-collector ctdb dhcp dhcpv6 dhcpv6-client distcc dns dns-over-tls docker-registry docker-swarm dropbox-lansync elasticsearch etcd-client etcd-server finger freeipa-4 freeipa-ldap freeipa-ldaps freeipa-replication freeipa-trust ftp galera ganglia-client ganglia-master git grafana gre high-availability http https imap imaps ipp ipp-client ipsec irc ircs iscsi-target isns jenkins kadmin kdeconnect kerberos kibana klogin kpasswd kprop kshell kube-apiserver ldap ldaps libvirt libvirt-tls lightning-network llmnr managesieve matrix mdns memcache minidlna mongodb mosh mountd mqtt mqtt-tls ms-wbt mssql murmur mysql nfs nfs3 nmea-0183 nrpe ntp nut openvpn ovirt-imageio ovirt-storageconsole ovirt-vmconsole plex pmcd pmproxy pmwebapi pmwebapis pop3 pop3s postgresql privoxy prometheus proxy-dhcp ptp pulseaudio puppetmaster quassel radius rdp redis redis-sentinel rpc-bind rquotad rsh rsyncd rtsp salt-master samba samba-client samba-dc sane sip sips slp smtp smtp-submission smtps snmp snmptrap spideroak-lansync spotify-sync squid ssdp ssh steam-streaming svdrp svn syncthing syncthing-gui synergy syslog syslog-tls telnet tentacle tftp tftp-client tile38 tinc tor-socks transmission-client upnp-client vdsm vnc-server wbem-http wbem-https wsman wsmans xdmcp xmpp-bosh xmpp-client xmpp-local xmpp-server zabbix-agent zabbix-server | ||
| - | </ | ||
| - | |||
| - | Pour obtenir la liste de toutes les types ICMP prédéfinis, | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# firewall-cmd --get-icmptypes | ||
| - | address-unreachable bad-header beyond-scope communication-prohibited destination-unreachable echo-reply echo-request failed-policy fragmentation-needed host-precedence-violation host-prohibited host-redirect host-unknown host-unreachable ip-header-bad neighbour-advertisement neighbour-solicitation network-prohibited network-redirect network-unknown network-unreachable no-route packet-too-big parameter-problem port-unreachable precedence-cutoff protocol-unreachable redirect reject-route required-option-missing router-advertisement router-solicitation source-quench source-route-failed time-exceeded timestamp-reply timestamp-request tos-host-redirect tos-host-unreachable tos-network-redirect tos-network-unreachable ttl-zero-during-reassembly ttl-zero-during-transit unknown-header-type unknown-option | ||
| - | </ | ||
| - | |||
| - | Pour obtenir la liste des zones de la configuration courante, utilisez la commande suivante : | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# firewall-cmd --get-active-zones | ||
| - | public | ||
| - | interfaces: ens18 | ||
| - | </ | ||
| - | |||
| - | Pour obtenir la liste des zones de la configuration courante pour une interface spécifique, | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# firewall-cmd --get-zone-of-interface=ens18 | ||
| - | public | ||
| - | </ | ||
| - | |||
| - | Pour obtenir la liste des services autorisés pour la zone public, utilisez la commande suivante : | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# firewall-cmd --zone=public --list-services | ||
| - | cockpit dhcpv6-client ssh | ||
| - | </ | ||
| - | |||
| - | Pour obtenir toute la configuration pour la zone public, utilisez la commande suivante : | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# firewall-cmd --zone=public --list-all | ||
| - | public (active) | ||
| - | target: default | ||
| - | icmp-block-inversion: | ||
| - | interfaces: ens18 | ||
| - | sources: | ||
| - | services: cockpit dhcpv6-client ssh | ||
| - | ports: 5901/tcp | ||
| - | protocols: | ||
| - | masquerade: no | ||
| - | forward-ports: | ||
| - | source-ports: | ||
| - | icmp-blocks: | ||
| - | rich rules: | ||
| - | </ | ||
| - | |||
| - | Pour obtenir la liste complète de toutes les zones et leurs configurations, | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# firewall-cmd --list-all-zones | ||
| - | block | ||
| - | target: %%REJECT%% | ||
| - | icmp-block-inversion: | ||
| - | interfaces: | ||
| - | sources: | ||
| - | services: | ||
| - | ports: | ||
| - | protocols: | ||
| - | masquerade: no | ||
| - | forward-ports: | ||
| - | source-ports: | ||
| - | icmp-blocks: | ||
| - | rich rules: | ||
| - | |||
| - | dmz | ||
| - | target: default | ||
| - | icmp-block-inversion: | ||
| - | interfaces: | ||
| - | sources: | ||
| - | services: ssh | ||
| - | ports: | ||
| - | protocols: | ||
| - | masquerade: no | ||
| - | forward-ports: | ||
| - | source-ports: | ||
| - | icmp-blocks: | ||
| - | rich rules: | ||
| - | |||
| - | drop | ||
| - | target: DROP | ||
| - | icmp-block-inversion: | ||
| - | interfaces: | ||
| - | sources: | ||
| - | services: | ||
| - | ports: | ||
| - | protocols: | ||
| - | masquerade: no | ||
| - | forward-ports: | ||
| - | source-ports: | ||
| - | icmp-blocks: | ||
| - | rich rules: | ||
| - | |||
| - | external | ||
| - | target: default | ||
| - | icmp-block-inversion: | ||
| - | interfaces: | ||
| - | sources: | ||
| - | services: ssh | ||
| - | ports: | ||
| - | protocols: | ||
| - | masquerade: yes | ||
| - | forward-ports: | ||
| - | source-ports: | ||
| - | icmp-blocks: | ||
| - | rich rules: | ||
| - | |||
| - | home | ||
| - | target: default | ||
| - | icmp-block-inversion: | ||
| - | interfaces: | ||
| - | sources: | ||
| - | services: cockpit dhcpv6-client mdns samba-client ssh | ||
| - | ports: | ||
| - | protocols: | ||
| - | masquerade: no | ||
| - | forward-ports: | ||
| - | source-ports: | ||
| - | icmp-blocks: | ||
| - | rich rules: | ||
| - | |||
| - | internal | ||
| - | target: default | ||
| - | icmp-block-inversion: | ||
| - | interfaces: | ||
| - | sources: | ||
| - | services: cockpit dhcpv6-client mdns samba-client ssh | ||
| - | ports: | ||
| - | protocols: | ||
| - | masquerade: no | ||
| - | forward-ports: | ||
| - | source-ports: | ||
| - | icmp-blocks: | ||
| - | rich rules: | ||
| - | |||
| - | libvirt | ||
| - | target: ACCEPT | ||
| - | icmp-block-inversion: | ||
| - | interfaces: | ||
| - | sources: | ||
| - | services: dhcp dhcpv6 dns ssh tftp | ||
| - | ports: | ||
| - | protocols: icmp ipv6-icmp | ||
| - | masquerade: no | ||
| - | forward-ports: | ||
| - | source-ports: | ||
| - | icmp-blocks: | ||
| - | rich rules: | ||
| - | rule priority=" | ||
| - | |||
| - | nm-shared | ||
| - | target: ACCEPT | ||
| - | icmp-block-inversion: | ||
| - | interfaces: | ||
| - | sources: | ||
| - | services: dhcp dns ssh | ||
| - | ports: | ||
| - | protocols: icmp ipv6-icmp | ||
| - | masquerade: no | ||
| - | forward-ports: | ||
| - | source-ports: | ||
| - | icmp-blocks: | ||
| - | rich rules: | ||
| - | rule priority=" | ||
| - | |||
| - | public (active) | ||
| - | target: default | ||
| - | icmp-block-inversion: | ||
| - | interfaces: ens18 | ||
| - | sources: | ||
| - | services: cockpit dhcpv6-client ssh | ||
| - | ports: 5901/tcp | ||
| - | protocols: | ||
| - | masquerade: no | ||
| - | forward-ports: | ||
| - | source-ports: | ||
| - | icmp-blocks: | ||
| - | rich rules: | ||
| - | |||
| - | trusted | ||
| - | target: ACCEPT | ||
| - | icmp-block-inversion: | ||
| - | interfaces: | ||
| - | sources: | ||
| - | services: | ||
| - | ports: | ||
| - | protocols: | ||
| - | masquerade: no | ||
| - | forward-ports: | ||
| - | source-ports: | ||
| - | icmp-blocks: | ||
| - | rich rules: | ||
| - | |||
| - | work | ||
| - | target: default | ||
| - | icmp-block-inversion: | ||
| - | interfaces: | ||
| - | sources: | ||
| - | services: cockpit dhcpv6-client ssh | ||
| - | ports: | ||
| - | protocols: | ||
| - | masquerade: no | ||
| - | forward-ports: | ||
| - | source-ports: | ||
| - | icmp-blocks: | ||
| - | rich rules: | ||
| - | </ | ||
| - | |||
| - | Pour changer la zone par défaut de public à work, utilisez la commande suivante : | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# firewall-cmd --set-default-zone=work | ||
| - | success | ||
| - | |||
| - | [root@centos8 ~]# firewall-cmd --get-active-zones | ||
| - | work | ||
| - | interfaces: ens18 | ||
| - | </ | ||
| - | |||
| - | Pour ajouter l' | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# firewall-cmd --zone=work --add-interface=ip_fixe | ||
| - | success | ||
| - | [root@centos8 ~]# firewall-cmd --get-active-zones | ||
| - | work | ||
| - | interfaces: ens18 ip_fixe | ||
| - | </ | ||
| - | |||
| - | Pour supprimer l' | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# firewall-cmd --zone=work --remove-interface=ip_fixe | ||
| - | success | ||
| - | [root@centos8 ~]# firewall-cmd --get-active-zones | ||
| - | work | ||
| - | interfaces: ens18 | ||
| - | </ | ||
| - | |||
| - | Pour ajouter le service **http** à la zone **work**, utilisez la commande suivante : | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# firewall-cmd --zone=work --add-service=http | ||
| - | success | ||
| - | [root@centos8 ~]# firewall-cmd --zone=work --list-services | ||
| - | cockpit dhcpv6-client http ssh | ||
| - | </ | ||
| - | |||
| - | Pour supprimer le service **http** de la zone **work**, utilisez la commande suivante : | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# firewall-cmd --zone=work --remove-service=http | ||
| - | success | ||
| - | [root@centos8 ~]# firewall-cmd --zone=work --list-services | ||
| - | cockpit dhcpv6-client ssh | ||
| - | </ | ||
| - | |||
| - | Pour ajouter un nouveau bloc ICMP, utilisez la commande suivante : | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# firewall-cmd --zone=work --add-icmp-block=echo-reply | ||
| - | success | ||
| - | [root@centos8 ~]# firewall-cmd --zone=work --list-icmp-blocks | ||
| - | echo-reply | ||
| - | </ | ||
| - | |||
| - | Pour supprimer un bloc ICMP, utilisez la commande suivante : | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# firewall-cmd --zone=work --remove-icmp-block=echo-reply | ||
| - | success | ||
| - | [root@centos8 ~]# firewall-cmd --zone=work --list-icmp-blocks | ||
| - | |||
| - | [root@centos8 ~]# | ||
| - | </ | ||
| - | |||
| - | Pour ajouter le port 591/tcp à la zone work, utilisez la commande suivante : | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# firewall-cmd --zone=work --add-port=591/ | ||
| - | success | ||
| - | [root@centos8 ~]# firewall-cmd --zone=work --list-ports | ||
| - | 591/tcp | ||
| - | </ | ||
| - | |||
| - | Pour supprimer le port 591/tcp à la zone work, utilisez la commande suivante : | ||
| - | |||
| - | < | ||
| - | root@centos8 ~]# firewall-cmd --zone=work --remove-port=591/ | ||
| - | success | ||
| - | [root@centos8 ~]# firewall-cmd --zone=work --list-ports | ||
| - | |||
| - | [root@centos8 ~]# | ||
| - | </ | ||
| - | |||
| - | Pour créer un nouveau service, il convient de : | ||
| - | |||
| - | * copier un fichier existant se trouvant dans le répertoire **/ | ||
| - | * modifier le fichier, | ||
| - | * recharger la configuration de firewalld, | ||
| - | * vérifier que firewalld voit le nouveau service. | ||
| - | |||
| - | Par exemple : | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# cp / | ||
| - | |||
| - | [root@centos8 ~]# vi / | ||
| - | [root@centos8 ~]# cat / | ||
| - | <?xml version=" | ||
| - | < | ||
| - | < | ||
| - | < | ||
| - | <port protocol=" | ||
| - | </ | ||
| - | |||
| - | [root@centos8 ~]# firewall-cmd --reload | ||
| - | success | ||
| - | |||
| - | [root@centos8 ~]# firewall-cmd --get-services | grep filemaker | ||
| - | RH-Satellite-6 amanda-client amanda-k5-client amqp amqps apcupsd audit bacula bacula-client bb bgp bitcoin bitcoin-rpc bitcoin-testnet bitcoin-testnet-rpc bittorrent-lsd ceph ceph-mon cfengine cockpit collectd condor-collector ctdb dhcp dhcpv6 dhcpv6-client distcc dns dns-over-tls docker-registry docker-swarm dropbox-lansync elasticsearch etcd-client etcd-server filemaker finger freeipa-4 freeipa-ldap freeipa-ldaps freeipa-replication freeipa-trust ftp galera ganglia-client ganglia-master git grafana gre high-availability http https imap imaps ipp ipp-client ipsec irc ircs iscsi-target isns jenkins kadmin kdeconnect kerberos kibana klogin kpasswd kprop kshell kube-apiserver ldap ldaps libvirt libvirt-tls lightning-network llmnr managesieve matrix mdns memcache minidlna mongodb mosh mountd mqtt mqtt-tls ms-wbt mssql murmur mysql nfs nfs3 nmea-0183 nrpe ntp nut openvpn ovirt-imageio ovirt-storageconsole ovirt-vmconsole plex pmcd pmproxy pmwebapi pmwebapis pop3 pop3s postgresql privoxy prometheus proxy-dhcp ptp pulseaudio puppetmaster quassel radius rdp redis redis-sentinel rpc-bind rquotad rsh rsyncd rtsp salt-master samba samba-client samba-dc sane sip sips slp smtp smtp-submission smtps snmp snmptrap spideroak-lansync spotify-sync squid ssdp ssh steam-streaming svdrp svn syncthing syncthing-gui synergy syslog syslog-tls telnet tentacle tftp tftp-client tile38 tinc tor-socks transmission-client upnp-client vdsm vnc-server wbem-http wbem-https wsman wsmans xdmcp xmpp-bosh xmpp-client xmpp-local xmpp-server zabbix-agent zabbix-server | ||
| - | </ | ||
| - | |||
| - | ====4.4 - La Configuration Avancée de firewalld==== | ||
| - | |||
| - | La configuration de base de firewalld ne permet que la configuration des zones, services, blocs ICMP et les ports non-standard. Cependant firewalld peut également être configuré avec des **Rich Rules** ou **//Règles Riches//**. Rich Rules ou Règles Riches évaluent des **critères** pour ensuite entreprendre une **action**. | ||
| - | |||
| - | Les **Critères** sont : | ||
| - | |||
| - | * **source address="< | ||
| - | * **destination address="< | ||
| - | * **rule port port="< | ||
| - | * **service name=< | ||
| - | |||
| - | Les **Actions** sont : | ||
| - | |||
| - | * **accept**, | ||
| - | * **reject**, | ||
| - | * une Action reject peut être associée avec un message d' | ||
| - | * **drop**. | ||
| - | |||
| - | Saisissez la commande suivante pour ouvrir le port 80 : | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# firewall-cmd --add-rich-rule=' | ||
| - | success | ||
| - | [root@centos8 ~]# firewall-cmd --list-all | ||
| - | work (active) | ||
| - | target: default | ||
| - | icmp-block-inversion: | ||
| - | interfaces: ens18 | ||
| - | sources: | ||
| - | services: cockpit dhcpv6-client ssh | ||
| - | ports: | ||
| - | protocols: | ||
| - | masquerade: no | ||
| - | forward-ports: | ||
| - | source-ports: | ||
| - | icmp-blocks: | ||
| - | rich rules: | ||
| - | rule port port=" | ||
| - | </ | ||
| - | |||
| - | <WRAP center round important 50%> | ||
| - | **Important** - Notez que la Rich Rule doit être entourée de caractères **' | ||
| - | </ | ||
| - | |||
| - | Saisissez la commande suivante pour visualiser la règle nftables : | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# nft list ruleset | grep 80 | ||
| - | ip6 daddr fe80::/64 udp dport 546 ct state { new, untracked } accept | ||
| - | tcp dport 80 ct state { new, untracked } accept | ||
| - | </ | ||
| - | |||
| - | Cette nouvelle règle est écrite en mémoire mais non pas sur disque : | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# ls -l / | ||
| - | total 12 | ||
| - | -rw-r--r--. 1 root root 380 Jun 16 12:02 public.xml | ||
| - | -rw-r--r--. 1 root root 343 Jun 16 06:39 public.xml.old | ||
| - | </ | ||
| - | |||
| - | Pour l' | ||
| - | |||
| - | < | ||
| - | [root@centos7 ~]# firewall-cmd --add-rich-rule=' | ||
| - | success | ||
| - | |||
| - | [root@centos8 ~]# ls -l / | ||
| - | total 12 | ||
| - | -rw-r--r--. 1 root root 380 Jun 16 12:02 public.xml | ||
| - | -rw-r--r--. 1 root root 343 Jun 16 06:39 public.xml.old | ||
| - | -rw-r--r--. 1 root root 409 Aug 30 06:43 work.xml | ||
| - | |||
| - | [root@centos8 ~]# cat / | ||
| - | <?xml version=" | ||
| - | < | ||
| - | < | ||
| - | < | ||
| - | <service name=" | ||
| - | <service name=" | ||
| - | <service name=" | ||
| - | < | ||
| - | <port port=" | ||
| - | < | ||
| - | </ | ||
| - | </ | ||
| - | </ | ||
| - | |||
| - | <WRAP center round important 50%> | ||
| - | Attention ! La règle ajoutée avec l' | ||
| - | </ | ||
| - | |||
| - | Notez que la Rich Rule est créée dans la Zone par Défaut. Il est possible de créer une Rich Rule dans une autre zone en utilisant l' | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# firewall-cmd --zone=public --add-rich-rule=' | ||
| - | success | ||
| - | |||
| - | [root@centos8 ~]# firewall-cmd --list-all --zone=public | ||
| - | public | ||
| - | target: default | ||
| - | icmp-block-inversion: | ||
| - | interfaces: | ||
| - | sources: | ||
| - | services: cockpit dhcpv6-client ssh | ||
| - | ports: 5901/tcp | ||
| - | protocols: | ||
| - | masquerade: no | ||
| - | forward-ports: | ||
| - | source-ports: | ||
| - | icmp-blocks: | ||
| - | rich rules: | ||
| - | rule port port=" | ||
| - | </ | ||
| - | |||
| - | Pour supprimer une Rich Rule, il faut copier la ligne entière la concernant qui se trouve dans la sortie de la commande **firewall-cmd --list-all-zones** : | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# firewall-cmd --zone=public --remove-rich-rule=' | ||
| - | success | ||
| - | |||
| - | [root@centos8 ~]# firewall-cmd --list-all --zone=public | ||
| - | public | ||
| - | target: default | ||
| - | icmp-block-inversion: | ||
| - | interfaces: | ||
| - | sources: | ||
| - | services: cockpit dhcpv6-client ssh | ||
| - | ports: 5901/tcp | ||
| - | protocols: | ||
| - | masquerade: no | ||
| - | forward-ports: | ||
| - | source-ports: | ||
| - | icmp-blocks: | ||
| - | rich rules: | ||
| - | </ | ||
| - | |||
| - | ====4.5 - Le mode Panic de firewalld==== | ||
| - | |||
| - | Le mode Panic de firewalld permet de bloquer tout le trafic avec une seule commande. Pour connaître l' | ||
| - | |||
| - | < | ||
| - | [root@centos7 ~]# firewall-cmd --query-panic | ||
| - | no | ||
| - | </ | ||
| - | |||
| - | Pour activer le mode Panic, il convient de saisir la commande suivante : | ||
| - | |||
| - | < | ||
| - | # firewall-cmd --panic-on | ||
| - | </ | ||
| - | |||
| - | <WRAP center round warning 60%> | ||
| - | **Attention** - Veuillez ne **PAS** saisir la commande ci-dessus. | ||
| - | </ | ||
| - | |||
| - | Pour désactiver le mode Panic, il convient de saisir la commande suivante : | ||
| - | |||
| - | < | ||
| - | # firewall-cmd --panic-off | ||
| - | </ | ||
| - | |||
| - | <WRAP center round warning 60%> | ||
| - | **Attention** - Veuillez ne **PAS** saisir la commande ci-dessus. | ||
| - | </ | ||
| - | |||
| - | =====LAB #5 - L' | ||
| - | |||
| - | ====5.1 - Introducton==== | ||
| - | |||
| - | L' | ||
| - | ur | ||
| - | ^ Type de Sécurité ^ Nom ^ Description ^ | ||
| - | | TE | //Type enforcement// | ||
| - | | RBAC | //Role Based Access Control// | ||
| - | | MAC | //Mandatory Access Control// | ||
| - | | MLS | // | ||
| - | |||
| - | Même quand le modèle %%SELinux%% de sécurité est actif, la sécurité type DAC est toujours active. Cependant dans le cas où la sécurité du type DAC autorise une action, %%SELinux%% va évaluer cette action par rapport à ses propres règles avant de l' | ||
| - | |||
| - | %%SELinux%% évalue toujours des **// | ||
| - | |||
| - | Dans le contexte de %%SELinux%% : | ||
| - | |||
| - | * un **// | ||
| - | * un **// | ||
| - | * une **// | ||
| - | |||
| - | Chaque **//classe d' | ||
| - | |||
| - | ===Security Context=== | ||
| - | |||
| - | %%SELinux%% associe un //Security Context// (SC) à chaque **// | ||
| - | |||
| - | Un SC prend la forme **identité: | ||
| - | |||
| - | ^ Nom ^ Descriptions ^ | ||
| - | | Identité | Le nom du propriétaire de l' | ||
| - | | Rôle | Essentiellement appliqué aux processus, le rôle est appelé une domaine. Dans le cas d'un rôle de fichier, celui-ci est toujours **object_r**. Un rôle se termine généralement par **_r**. | | ||
| - | | Type | Définit la classification de sécurité de l' | ||
| - | | Niveau | Un niveau est un attribut de MLS et MCS. Une plage MLS est une paire de niveaux exprimée en utilisant la syntaxe // | ||
| - | |||
| - | Sous RHEL/CentOS 7, le fichier **/ | ||
| - | |||
| - | < | ||
| - | [root@centos7 /]# cat / | ||
| - | # | ||
| - | # Multi-Category Security translation table for SELinux | ||
| - | # | ||
| - | # Uncomment the following to disable translation libary | ||
| - | # disable=1 | ||
| - | # | ||
| - | # Objects can be categorized with 0-1023 categories defined by the admin. | ||
| - | # Objects can be in more than one category at a time. | ||
| - | # Categories are stored in the system as c0-c1023. | ||
| - | # table to translate the categories into a more meaningful output. | ||
| - | # Examples: | ||
| - | # s0: | ||
| - | # s0: | ||
| - | # s0: | ||
| - | # s0: | ||
| - | # s0: | ||
| - | s0=SystemLow | ||
| - | s0-s0: | ||
| - | s0: | ||
| - | </ | ||
| - | |||
| - | Dans le contexte d'un SC pour un **// | ||
| - | |||
| - | Dans le contexte d'un SC pour un **// | ||
| - | |||
| - | %%SELinux%% maintient sa propre liste d' | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# / | ||
| - | |||
| - | Login Name | ||
| - | |||
| - | __default__ | ||
| - | root | ||
| - | </ | ||
| - | |||
| - | ===Domains et Types=== | ||
| - | |||
| - | Le **Domain** est l' | ||
| - | |||
| - | Le **Domain** contient des **// | ||
| - | |||
| - | Dans %%SELinux%% on utilise le mot : | ||
| - | |||
| - | * **Domain** pour un processus, | ||
| - | * **Type** pour un fichier. | ||
| - | |||
| - | ===Roles=== | ||
| - | |||
| - | Un **Rôle** est comme un utilisateur dans le système de sécurité DAC de Linux. Chaque utilisateur autorisé peut assumer l' | ||
| - | |||
| - | ===Politiques de Sécurité=== | ||
| - | |||
| - | Une politique de sécurité définit les SC de chaque application. Elle définit des droits d' | ||
| - | |||
| - | ^ Politique ^ Description ^ | ||
| - | | targeted | Les politiques de sécurité ne s' | ||
| - | | mls | Multi Level Security protection | | ||
| - | |||
| - | Les politiques de sécurité se trouvent dans le répertoire **/ | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# ls -lR / | ||
| - | / | ||
| - | total 8 | ||
| - | -rw-r--r--. 1 root root 548 Sep 5 07:26 config | ||
| - | -rw-r--r--. 1 root root 2647 Feb 3 2021 semanage.conf | ||
| - | drwxr-xr-x. 5 root root 133 Jun 16 11:34 targeted | ||
| - | |||
| - | / | ||
| - | total 16 | ||
| - | -rw-r--r--. 1 root root 2367 Mar 18 12:30 booleans.subs_dist | ||
| - | drwxr-xr-x. 4 root root 4096 Jun 16 06:27 contexts | ||
| - | drwxr-xr-x. 2 root root 6 Mar 18 12:30 logins | ||
| - | drwxr-xr-x. 2 root root 23 Jun 16 11:34 policy | ||
| - | -rw-r--r--. 1 root root 607 Mar 18 12:30 setrans.conf | ||
| - | -rw-r--r--. 1 root root 73 Jun 16 11:34 seusers | ||
| - | |||
| - | / | ||
| - | total 68 | ||
| - | -rw-r--r--. 1 root root 262 Jun 16 06:27 customizable_types | ||
| - | -rw-r--r--. 1 root root 195 Mar 18 12:29 dbus_contexts | ||
| - | -rw-r--r--. 1 root root 1111 Mar 18 12:29 default_contexts | ||
| - | -rw-r--r--. 1 root root 114 Mar 18 12:29 default_type | ||
| - | -rw-r--r--. 1 root root 29 Mar 18 12:29 failsafe_context | ||
| - | drwxr-xr-x. 2 root root 213 Jun 16 11:34 files | ||
| - | -rw-r--r--. 1 root root 30 Mar 18 12:29 initrc_context | ||
| - | -rw-r--r--. 1 root root 372 Mar 18 12:29 lxc_contexts | ||
| - | -rw-r--r--. 1 root root 27 Mar 18 12:29 openssh_contexts | ||
| - | -rw-r--r--. 1 root root 33 Mar 18 12:29 removable_context | ||
| - | -rw-r--r--. 1 root root 74 Mar 18 12:30 securetty_types | ||
| - | -rw-r--r--. 1 root root 1170 Mar 18 12:29 sepgsql_contexts | ||
| - | -rw-r--r--. 1 root root 53 Mar 18 12:29 snapperd_contexts | ||
| - | -rw-r--r--. 1 root root 57 Mar 18 12:29 systemd_contexts | ||
| - | -rw-r--r--. 1 root root 33 Mar 18 12:29 userhelper_context | ||
| - | drwxr-xr-x. 2 root root 114 Jun 16 06:26 users | ||
| - | -rw-r--r--. 1 root root 62 Mar 18 12:29 virtual_domain_context | ||
| - | -rw-r--r--. 1 root root 71 Mar 18 12:29 virtual_image_context | ||
| - | -rw-r--r--. 1 root root 2920 Mar 18 12:29 x_contexts | ||
| - | |||
| - | / | ||
| - | total 1000 | ||
| - | -rw-r--r--. 1 root root 404956 Jun 16 11:33 file_contexts | ||
| - | -rw-r--r--. 1 root root 570698 Jun 16 11:33 file_contexts.bin | ||
| - | -rw-r--r--. 1 root root 13880 Jun 16 11:33 file_contexts.homedirs | ||
| - | -rw-r--r--. 1 root root 19104 Jun 16 11:33 file_contexts.homedirs.bin | ||
| - | -rw-r--r--. 1 root root 0 Mar 18 12:30 file_contexts.local | ||
| - | --More-- | ||
| - | </ | ||
| - | |||
| - | Afin d' | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# dnf -y install setools-console | ||
| - | </ | ||
| - | |||
| - | Pour consulter les statistiques de la politique, il convient d' | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# seinfo | ||
| - | Statistics for policy file: / | ||
| - | Policy Version: | ||
| - | Target Policy: | ||
| - | Handle unknown classes: | ||
| - | Classes: | ||
| - | Sensitivities: | ||
| - | Types: | ||
| - | Users: | ||
| - | Booleans: | ||
| - | Allow: | ||
| - | Auditallow: | ||
| - | Type_trans: | ||
| - | Type_member: | ||
| - | Role allow: | ||
| - | Constraints: | ||
| - | MLS Constrain: | ||
| - | Permissives: | ||
| - | Defaults: | ||
| - | Allowxperm: | ||
| - | Auditallowxperm: | ||
| - | Ibendportcon: | ||
| - | Initial SIDs: | ||
| - | Genfscon: | ||
| - | Netifcon: | ||
| - | </ | ||
| - | |||
| - | <WRAP center round important 50%> | ||
| - | **Important** : Notez ici le grand nombre de la catégorie **Dontaudit**. | ||
| - | </ | ||
| - | |||
| - | ===Langage de Politiques=== | ||
| - | |||
| - | Un politique est composé de centaines de directives. Les principales directives sont : | ||
| - | |||
| - | ==allow== | ||
| - | |||
| - | **allow** autorise l' | ||
| - | |||
| - | allow user_t domaine_t : file (read execute getattr) ; | ||
| - | |||
| - | Dans cette directive : | ||
| - | |||
| - | * user_t est le type de fichier, | ||
| - | * domaine_t est le domaine des processus qui sont autorisés par allow, | ||
| - | * file (droit1 droit2 etc) est la liste des permissions accordées. | ||
| - | |||
| - | Les permissions possibles sont : | ||
| - | |||
| - | * read | ||
| - | * write | ||
| - | * append | ||
| - | * execute | ||
| - | * getattr | ||
| - | * setattr | ||
| - | * lock | ||
| - | * link | ||
| - | * unlink | ||
| - | * rename | ||
| - | * ioctl | ||
| - | |||
| - | ==type== | ||
| - | |||
| - | La directive **type** définit un type %%SELinux%%. Le type se termine généralement par **_t**. | ||
| - | |||
| - | **auditallow, | ||
| - | |||
| - | La directive **auditallow** demande l' | ||
| - | |||
| - | L' | ||
| - | |||
| - | ===type_transition=== | ||
| - | |||
| - | Normalement quand un fichier est créé, il hérite du SC du répertoire parent. De même quand un processus %%SELinux%% active un nouveau processus, ce dernier s' | ||
| - | |||
| - | ===Décisions de SELinux=== | ||
| - | |||
| - | Il existe deux types de décisions auxquelles %%SELinux%% doit faire face : | ||
| - | |||
| - | * **Décisions d' | ||
| - | * **Décisions de Transition** | ||
| - | |||
| - | ==Décisions d' | ||
| - | |||
| - | Dans ce type de décision %%SELinux%% doit décider d' | ||
| - | |||
| - | * un **// | ||
| - | * un **// | ||
| - | |||
| - | ==Décisions de Transition== | ||
| - | |||
| - | Dans ce type de décision %%SELinux%% doit décider d' | ||
| - | |||
| - | * d' | ||
| - | * de créer des **// | ||
| - | |||
| - | ===Commandes SELinux=== | ||
| - | |||
| - | ^ Commande ^ Description ^ | ||
| - | | chcon | Changer le SC d'un fichier | | ||
| - | | audit2allow | Générer la source de la règle de sécurité à l' | ||
| - | | restorecon | Restaurer le SC par défaut à un ou plusieurs fichiers | | ||
| - | | setfiles -n | Vérifier si les SC sont corrects | ||
| - | | semodule | Gèrer les modules de politiques | | ||
| - | | semodule -i | Installer un module de politiques | | ||
| - | | checkmodule | Compiler un module | | ||
| - | | semodule_package | Créer un module installable par semodule | | ||
| - | | semanage | Administrer une politique | | ||
| - | | audit2allow -M | Créer un module à partir d'un message d' | ||
| - | | sesearch | Recherche des règles %%SELinux%% | | ||
| - | | seinfo | Effectuer des recherches dans la politique | | ||
| - | | getsebool | Affiche l' | ||
| - | | getsebool -a | Affiche l' | ||
| - | | sestatus -b | Affiche l' | ||
| - | | setsebool | Modifie l' | ||
| - | | togglesebool | Bascule la valeur d'un booléen | | ||
| - | |||
| - | ===Les Etats de SELinux=== | ||
| - | |||
| - | %%SELinux%% connait trois états : | ||
| - | |||
| - | ^ Etat ^ Description ^ | ||
| - | | disabled | %%SELinux%% est inactif. | | ||
| - | | permissive | %%SELinux%% est actif mais tout est permis. Des interdictions ne font que de générer des messages d' | ||
| - | | enforcing | %%SELinux%% est actif. | | ||
| - | |||
| - | L' | ||
| - | |||
| - | ^ Valeur ^ Description ^ | ||
| - | | 0 | %%SELinux%% est en mode // | ||
| - | | 1 | %%SELinux%% est en mode // | ||
| - | |||
| - | La configuration de l' | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# cat / | ||
| - | |||
| - | # This file controls the state of SELinux on the system. | ||
| - | # SELINUX= can take one of these three values: | ||
| - | # | ||
| - | # | ||
| - | # | ||
| - | SELINUX=permissive | ||
| - | # SELINUXTYPE= can take one of these three values: | ||
| - | # | ||
| - | # | ||
| - | # mls - Multi Level Security protection. | ||
| - | SELINUXTYPE=targeted | ||
| - | </ | ||
| - | |||
| - | Afin de connaître l' | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# getenforce | ||
| - | Permissive | ||
| - | </ | ||
| - | |||
| - | Pour modifier l' | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# setenforce enforcing | ||
| - | [root@centos8 ~]# getenforce | ||
| - | Enforcing | ||
| - | </ | ||
| - | |||
| - | La commande **sestatus** vous informe sur la configuration de %%SELinux%% et notamment sur la version de la politique utilisée : | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# sestatus | ||
| - | SELinux status: | ||
| - | SELinuxfs mount: | ||
| - | SELinux root directory: | ||
| - | Loaded policy name: | ||
| - | Current mode: | ||
| - | Mode from config file: permissive | ||
| - | Policy MLS status: | ||
| - | Policy deny_unknown status: | ||
| - | Memory protection checking: | ||
| - | Max kernel policy version: | ||
| - | </ | ||
| - | |||
| - | Les différentes versions de politiques évolue en même temps que le noyau Linux. | ||
| - | |||
| - | La commande sestatus peut aussi prendre l' | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# sestatus -v | ||
| - | SELinux status: | ||
| - | SELinuxfs mount: | ||
| - | SELinux root directory: | ||
| - | Loaded policy name: | ||
| - | Current mode: | ||
| - | Mode from config file: permissive | ||
| - | Policy MLS status: | ||
| - | Policy deny_unknown status: | ||
| - | Memory protection checking: | ||
| - | Max kernel policy version: | ||
| - | |||
| - | Process contexts: | ||
| - | Current context: | ||
| - | Init context: | ||
| - | / | ||
| - | |||
| - | File contexts: | ||
| - | Controlling terminal: | ||
| - | / | ||
| - | / | ||
| - | / | ||
| - | / | ||
| - | / | ||
| - | / | ||
| - | / | ||
| - | / | ||
| - | </ | ||
| - | |||
| - | ===Booléens=== | ||
| - | |||
| - | Les booléens permettent à des ensembles de règles d' | ||
| - | |||
| - | Pour visualiser l' | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# getsebool -a | more | ||
| - | abrt_anon_write --> off | ||
| - | abrt_handle_event --> off | ||
| - | abrt_upload_watch_anon_write --> on | ||
| - | antivirus_can_scan_system --> off | ||
| - | antivirus_use_jit --> off | ||
| - | auditadm_exec_content --> on | ||
| - | authlogin_nsswitch_use_ldap --> off | ||
| - | authlogin_radius --> off | ||
| - | authlogin_yubikey --> off | ||
| - | awstats_purge_apache_log_files --> off | ||
| - | boinc_execmem --> on | ||
| - | cdrecord_read_content --> off | ||
| - | cluster_can_network_connect --> off | ||
| - | cluster_manage_all_files --> off | ||
| - | cluster_use_execmem --> off | ||
| - | cobbler_anon_write --> off | ||
| - | cobbler_can_network_connect --> off | ||
| - | cobbler_use_cifs --> off | ||
| - | cobbler_use_nfs --> off | ||
| - | collectd_tcp_network_connect --> off | ||
| - | colord_use_nfs --> off | ||
| - | condor_tcp_network_connect --> off | ||
| - | conman_can_network --> off | ||
| - | conman_use_nfs --> off | ||
| - | container_connect_any --> off | ||
| - | container_manage_cgroup --> off | ||
| - | container_use_cephfs --> off | ||
| - | cron_can_relabel --> off | ||
| - | cron_system_cronjob_use_shares --> off | ||
| - | cron_userdomain_transition --> on | ||
| - | cups_execmem --> off | ||
| - | cvs_read_shadow --> off | ||
| - | daemons_dump_core --> off | ||
| - | daemons_enable_cluster_mode --> off | ||
| - | daemons_use_tcp_wrapper --> off | ||
| - | daemons_use_tty --> off | ||
| - | dbadm_exec_content --> on | ||
| - | dbadm_manage_user_files --> off | ||
| - | dbadm_read_user_files --> off | ||
| - | deny_bluetooth --> off | ||
| - | deny_execmem --> off | ||
| - | deny_ptrace --> off | ||
| - | dhcpc_exec_iptables --> off | ||
| - | dhcpd_use_ldap --> off | ||
| - | --More-- | ||
| - | </ | ||
| - | |||
| - | ou la commande **sestatus -b** : | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# sestatus -b | more | ||
| - | SELinux status: | ||
| - | SELinuxfs mount: | ||
| - | SELinux root directory: | ||
| - | Loaded policy name: | ||
| - | Current mode: | ||
| - | Mode from config file: permissive | ||
| - | Policy MLS status: | ||
| - | Policy deny_unknown status: | ||
| - | Memory protection checking: | ||
| - | Max kernel policy version: | ||
| - | |||
| - | Policy booleans: | ||
| - | abrt_anon_write | ||
| - | abrt_handle_event | ||
| - | abrt_upload_watch_anon_write | ||
| - | antivirus_can_scan_system | ||
| - | antivirus_use_jit | ||
| - | auditadm_exec_content | ||
| - | authlogin_nsswitch_use_ldap | ||
| - | authlogin_radius | ||
| - | authlogin_yubikey | ||
| - | awstats_purge_apache_log_files | ||
| - | boinc_execmem | ||
| - | cdrecord_read_content | ||
| - | cluster_can_network_connect | ||
| - | cluster_manage_all_files | ||
| - | cluster_use_execmem | ||
| - | cobbler_anon_write | ||
| - | cobbler_can_network_connect | ||
| - | cobbler_use_cifs | ||
| - | cobbler_use_nfs | ||
| - | collectd_tcp_network_connect | ||
| - | colord_use_nfs | ||
| - | condor_tcp_network_connect | ||
| - | conman_can_network | ||
| - | conman_use_nfs | ||
| - | container_connect_any | ||
| - | container_manage_cgroup | ||
| - | container_use_cephfs | ||
| - | cron_can_relabel | ||
| - | cron_system_cronjob_use_shares | ||
| - | cron_userdomain_transition | ||
| - | cups_execmem | ||
| - | cvs_read_shadow | ||
| - | --More-- | ||
| - | </ | ||
| - | |||
| - | Pour fixer l' | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# setsebool antivirus_can_scan_system 1 | ||
| - | [root@centos8 ~]# getsebool antivirus_can_scan_system | ||
| - | antivirus_can_scan_system --> on | ||
| - | [root@centos8 ~]# setsebool antivirus_can_scan_system 0 | ||
| - | [root@centos8 ~]# getsebool antivirus_can_scan_system | ||
| - | antivirus_can_scan_system --> off | ||
| - | </ | ||
| - | |||
| - | Afin reconstruire la politique actuelle **sans** les règles **dontaudit**, | ||
| - | |||
| - | < | ||
| - | [root@centos7 ~]# semodule -DB | ||
| - | </ | ||
| - | |||
| - | Vérifiez qu'il ne reste aucune règle de type **dontaudit** : | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# seinfo | ||
| - | Statistics for policy file: / | ||
| - | Policy Version: | ||
| - | Target Policy: | ||
| - | Handle unknown classes: | ||
| - | Classes: | ||
| - | Sensitivities: | ||
| - | Types: | ||
| - | Users: | ||
| - | Booleans: | ||
| - | Allow: | ||
| - | Auditallow: | ||
| - | Type_trans: | ||
| - | Type_member: | ||
| - | Role allow: | ||
| - | Constraints: | ||
| - | MLS Constrain: | ||
| - | Permissives: | ||
| - | Defaults: | ||
| - | Allowxperm: | ||
| - | Auditallowxperm: | ||
| - | Ibendportcon: | ||
| - | Initial SIDs: | ||
| - | Genfscon: | ||
| - | Netifcon: | ||
| - | </ | ||
| - | |||
| - | ====5.2 - Copier et Déplacer des Fichiers==== | ||
| - | |||
| - | Créez deux fichiers **file1** et **file2** en tant que l' | ||
| - | |||
| - | < | ||
| - | [root@centos7 /]# exit | ||
| - | logout | ||
| - | [trainee@centos7 ~]$ touch file1 file2 | ||
| - | |||
| - | [trainee@centos8 ~]$ ls -lZ file* | ||
| - | -rw-rw-r--. 1 trainee trainee unconfined_u: | ||
| - | -rw-rw-r--. 1 trainee trainee unconfined_u: | ||
| - | </ | ||
| - | |||
| - | Notez que le type des deux fichiers est **user_home_t**. | ||
| - | |||
| - | Copiez maintenant le fichier **file1** vers **/tmp** en utilisant la commande **cp** et visualiser son SC : | ||
| - | |||
| - | < | ||
| - | [trainee@centos8 ~]$ cp file1 /tmp | ||
| - | |||
| - | [trainee@centos8 ~]$ ls -lZ /tmp/file1 | ||
| - | -rw-rw-r--. 1 trainee trainee unconfined_u: | ||
| - | </ | ||
| - | |||
| - | Notez que le fichier ainsi copié a hérité du **type** du répertoire parent, à savoir **tmp_t**. | ||
| - | |||
| - | Déplacez maintenant le fichier **file2** dans le répertoire **/tmp** et contrôlez son SC : | ||
| - | |||
| - | < | ||
| - | [trainee@centos8 ~]$ mv file2 /tmp | ||
| - | |||
| - | [trainee@centos8 ~]$ ls -lZ /tmp/file2 | ||
| - | -rw-rw-r--. 1 trainee trainee unconfined_u: | ||
| - | </ | ||
| - | |||
| - | Notez que la commande **mv** maintient le **type** d' | ||
| - | |||
| - | ====5.3 - Vérifier les SC des Processus==== | ||
| - | |||
| - | Il convient d' | ||
| - | |||
| - | < | ||
| - | [trainee@centos8 ~]$ ps auxZ | more | ||
| - | LABEL | ||
| - | system_u: | ||
| - | system_u: | ||
| - | system_u: | ||
| - | system_u: | ||
| - | system_u: | ||
| - | system_u: | ||
| - | system_u: | ||
| - | system_u: | ||
| - | system_u: | ||
| - | system_u: | ||
| - | system_u: | ||
| - | system_u: | ||
| - | system_u: | ||
| - | system_u: | ||
| - | system_u: | ||
| - | system_u: | ||
| - | system_u: | ||
| - | system_u: | ||
| - | system_u: | ||
| - | system_u: | ||
| - | system_u: | ||
| - | system_u: | ||
| - | system_u: | ||
| - | system_u: | ||
| - | system_u: | ||
| - | system_u: | ||
| - | system_u: | ||
| - | system_u: | ||
| - | system_u: | ||
| - | system_u: | ||
| - | system_u: | ||
| - | system_u: | ||
| - | system_u: | ||
| - | system_u: | ||
| - | system_u: | ||
| - | system_u: | ||
| - | system_u: | ||
| - | system_u: | ||
| - | system_u: | ||
| - | system_u: | ||
| - | system_u: | ||
| - | system_u: | ||
| - | system_u: | ||
| - | --More-- | ||
| - | </ | ||
| - | |||
| - | ====5.4 - Visualiser la SC d'un Utilisateur==== | ||
| - | |||
| - | Utilisez l' | ||
| - | |||
| - | < | ||
| - | [trainee@centos8 ~]$ id -Z | ||
| - | unconfined_u: | ||
| - | </ | ||
| - | |||
| - | Notez que vous ne pouvez pas consulter le SC d'un autre utilisateur : | ||
| - | |||
| - | < | ||
| - | [trainee@centos8 ~]$ id root | ||
| - | uid=0(root) gid=0(root) groups=0(root) | ||
| - | [trainee@centos8 ~]$ id -Z root | ||
| - | id: cannot print security context when user specified | ||
| - | </ | ||
| - | |||
| - | ====5.5 - Vérifier la SC d'un fichier==== | ||
| - | |||
| - | Il convient d' | ||
| - | |||
| - | < | ||
| - | [trainee@centos8 ~]$ cd /etc | ||
| - | |||
| - | [trainee@centos8 etc]$ ls -Z l* -dl | ||
| - | -rw-r--r--. 1 root root unconfined_u: | ||
| - | -rw-r--r--. 1 root root system_u: | ||
| - | drwxr-xr-x. 2 root root system_u: | ||
| - | -rw-r-----. 1 root root system_u: | ||
| - | drwxr-xr-x. 3 root root system_u: | ||
| - | -rw-r--r--. 1 root root system_u: | ||
| - | drwxr-xr-x. 2 root root system_u: | ||
| - | drwxr-xr-x. 2 root root system_u: | ||
| - | drwxr-xr-x. 2 root root system_u: | ||
| - | drwxr-xr-x. 6 root root system_u: | ||
| - | drwxr-xr-x. 2 root root system_u: | ||
| - | -rw-r--r--. 1 root root system_u: | ||
| - | drwx------. 6 root root system_u: | ||
| - | -rw-r--r--. 1 root root system_u: | ||
| - | lrwxrwxrwx. 1 root root system_u: | ||
| - | -rw-r--r--. 1 root root system_u: | ||
| - | -rw-r--r--. 1 root root system_u: | ||
| - | drwxr-xr-x. 2 root root system_u: | ||
| - | drwxr-xr-x. 3 root root system_u: | ||
| - | drwxr-xr-x. 6 root root system_u: | ||
| - | </ | ||
| - | |||
| - | ====5.6 - La commande chcon==== | ||
| - | |||
| - | L' | ||
| - | |||
| - | Si le démon **auditd** est démarré, les messages de %%SELinux%% sont consignés dans le fichier **/ | ||
| - | |||
| - | La commande **chcon** permet de modifier // | ||
| - | |||
| - | < | ||
| - | [trainee@centos8 etc]$ cd ~ | ||
| - | |||
| - | [trainee@centos8 ~]$ chcon --help | ||
| - | Usage: chcon [OPTION]... CONTEXT FILE... | ||
| - | or: chcon [OPTION]... [-u USER] [-r ROLE] [-l RANGE] [-t TYPE] FILE... | ||
| - | or: chcon [OPTION]... --reference=RFILE FILE... | ||
| - | Change the SELinux security context of each FILE to CONTEXT. | ||
| - | With --reference, | ||
| - | |||
| - | Mandatory arguments to long options are mandatory for short options too. | ||
| - | --dereference | ||
| - | the default), rather than the symbolic link itself | ||
| - | -h, --no-dereference | ||
| - | -u, --user=USER | ||
| - | -r, --role=ROLE | ||
| - | -t, --type=TYPE | ||
| - | -l, --range=RANGE | ||
| - | --no-preserve-root | ||
| - | --preserve-root | ||
| - | --reference=RFILE | ||
| - | a CONTEXT value | ||
| - | -R, --recursive | ||
| - | -v, --verbose | ||
| - | |||
| - | The following options modify how a hierarchy is traversed when the -R | ||
| - | option is also specified. | ||
| - | one takes effect. | ||
| - | |||
| - | -H if a command line argument is a symbolic link | ||
| - | to a directory, traverse it | ||
| - | -L | ||
| - | | ||
| - | -P do not traverse any symbolic links (default) | ||
| - | |||
| - | --help | ||
| - | --version | ||
| - | |||
| - | GNU coreutils online help: < | ||
| - | Full documentation at: < | ||
| - | or available locally via: info ' | ||
| - | </ | ||
| - | |||
| - | Prenons le cas de la création d'un répertoire à la racine du système de fichiers afin d'y stocker les pages web du serveur apache : | ||
| - | |||
| - | < | ||
| - | [trainee@centos8 ~]$ su - | ||
| - | Password: fenestros | ||
| - | |||
| - | [root@centos8 ~]# mkdir /www | ||
| - | |||
| - | [root@centos8 ~]# touch / | ||
| - | </ | ||
| - | |||
| - | Installez maintenant le serveur Apache : | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# dnf -y install httpd | ||
| - | </ | ||
| - | |||
| - | Modifiez ensuite la directive **%%DocumentRoot%%** dans le fichier **/ | ||
| - | |||
| - | < | ||
| - | [...] | ||
| - | # | ||
| - | DocumentRoot "/ | ||
| - | [...] | ||
| - | </ | ||
| - | |||
| - | Ajoutez les section **< | ||
| - | |||
| - | < | ||
| - | ... | ||
| - | # | ||
| - | # Relax access to content within /var/www. | ||
| - | # | ||
| - | < | ||
| - | AllowOverride None | ||
| - | # Allow open access: | ||
| - | Require all granted | ||
| - | </ | ||
| - | |||
| - | < | ||
| - | Options Indexes FollowSymLinks | ||
| - | AllowOverride None | ||
| - | Require all granted | ||
| - | </ | ||
| - | |||
| - | # Further relax access to the default document root: | ||
| - | < | ||
| - | ... | ||
| - | </ | ||
| - | |||
| - | # Further relax access to the default document root: | ||
| - | < | ||
| - | ... | ||
| - | </ | ||
| - | |||
| - | Sauvegardez et quittez le fichier. Créez le fichier **/ | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# vi / | ||
| - | |||
| - | [root@centos8 ~]# cat / | ||
| - | < | ||
| - | < | ||
| - | This is a test | ||
| - | </ | ||
| - | < | ||
| - | www test page | ||
| - | </ | ||
| - | </ | ||
| - | </ | ||
| - | |||
| - | Modifiez ensuite le propriétaire et le groupe du répertoire **/www** et son contenu : | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# chown -R apache: | ||
| - | </ | ||
| - | |||
| - | Dernièrement, | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# touch / | ||
| - | </ | ||
| - | |||
| - | Redémarrez maintenant le service httpd : | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# systemctl restart httpd.service | ||
| - | [root@centos8 ~]# systemctl status httpd.service | ||
| - | ● httpd.service - The Apache HTTP Server | ||
| - | | ||
| - | | ||
| - | Docs: man: | ||
| - | Main PID: 49273 (httpd) | ||
| - | | ||
| - | Tasks: 213 (limit: 23535) | ||
| - | | ||
| - | | ||
| - | | ||
| - | | ||
| - | | ||
| - | | ||
| - | | ||
| - | |||
| - | Sep 05 08:57:25 centos8.ittraining.loc systemd[1]: Starting The Apache HTTP Server... | ||
| - | Sep 05 08:57:26 centos8.ittraining.loc systemd[1]: Started The Apache HTTP Server. | ||
| - | Sep 05 08:57:26 centos8.ittraining.loc httpd[49273]: | ||
| - | </ | ||
| - | |||
| - | Passez SELinux en mode Permissive : | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# getenforce | ||
| - | Enforcing | ||
| - | [root@centos8 ~]# setenforce permissive | ||
| - | [root@centos8 ~]# getenforce | ||
| - | Permissive | ||
| - | </ | ||
| - | |||
| - | Installez le navigateur web en mode texte **lynx** : | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# dnf install -y lynx | ||
| - | </ | ||
| - | |||
| - | Consultez le site localhost en utilisant **lynx** : | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# lynx localhost | ||
| - | </ | ||
| - | |||
| - | La commande **sealert** possède à la fois une interface graphique **et** un mode en ligne de commande : | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# sealert -a / | ||
| - | </ | ||
| - | |||
| - | Consultez le fichier **/ | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# more / | ||
| - | |||
| - | found 16 alerts in / | ||
| - | -------------------------------------------------------------------------------- | ||
| - | |||
| - | SELinux is preventing / | ||
| - | |||
| - | ***** Plugin catchall (100. confidence) suggests | ||
| - | |||
| - | If you believe that pkla-check-authorization should be allowed noatsecure access on processes labeled policykit_auth_t by default. | ||
| - | Then you should report this as a bug. | ||
| - | You can generate a local policy module to allow this access. | ||
| - | Do | ||
| - | allow this access for now by executing: | ||
| - | # ausearch -c ' | ||
| - | # semodule -X 300 -i my-pklacheckauth.pp | ||
| - | |||
| - | |||
| - | Additional Information: | ||
| - | Source Context | ||
| - | Target Context | ||
| - | Target Objects | ||
| - | Source | ||
| - | Source Path / | ||
| - | Port < | ||
| - | Host < | ||
| - | Source RPM Packages | ||
| - | Target RPM Packages | ||
| - | SELinux Policy RPM selinux-policy-targeted-3.14.3-67.el8.noarch | ||
| - | Local Policy RPM selinux-policy-targeted-3.14.3-67.el8.noarch | ||
| - | Selinux Enabled | ||
| - | Policy Type | ||
| - | Enforcing Mode Permissive | ||
| - | Host Name | ||
| - | Platform | ||
| - | 4.18.0-305.7.1.el8.i2tch.x86_64 #1 SMP Tue Jul 20 | ||
| - | 05:05:15 EDT 2021 x86_64 x86_64 | ||
| - | Alert Count 16 | ||
| - | First Seen 2021-09-05 08:40:01 EDT | ||
| - | Last Seen | ||
| - | Local ID 53085ad7-2855-4b4c-a781-5b47ef2f34c7 | ||
| - | |||
| - | Raw Audit Messages | ||
| - | type=AVC msg=audit(1630845907.307: | ||
| - | policykit_auth_t: | ||
| - | |||
| - | |||
| - | type=AVC msg=audit(1630845907.307: | ||
| - | stem_r: | ||
| - | |||
| - | |||
| - | type=AVC msg=audit(1630845907.307: | ||
| - | m_r: | ||
| - | |||
| - | |||
| - | type=SYSCALL msg=audit(1630845907.307: | ||
| - | 34 auid=4294967295 uid=998 gid=996 euid=998 suid=998 fsuid=998 egid=996 sgid=996 fsgid=996 tty=(none) ses=4294967295 comm=pkla-check-auth exe=/ | ||
| - | zation subj=system_u: | ||
| - | lkitd SGID=polkitd FSGID=polkitd | ||
| - | |||
| - | type=CWD msg=audit(1630845907.307: | ||
| - | |||
| - | type=PATH msg=audit(1630845907.307: | ||
| - | _so_t:s0 nametype=NORMAL cap_fp=0 cap_fi=0 cap_fe=0 cap_fver=0 cap_frootid=0OUID=root OGID=root | ||
| - | |||
| - | Hash: pkla-check-auth, | ||
| - | |||
| - | -------------------------------------------------------------------------------- | ||
| - | |||
| - | SELinux is preventing / | ||
| - | |||
| - | ***** Plugin catchall (100. confidence) suggests | ||
| - | |||
| - | If you believe that dbus-daemon-launch-helper should have the net_admin capability by default. | ||
| - | Then you should report this as a bug. | ||
| - | You can generate a local policy module to allow this access. | ||
| - | Do | ||
| - | allow this access for now by executing: | ||
| - | # ausearch -c ' | ||
| - | # semodule -X 300 -i my-dbusdaemonlau.pp | ||
| - | |||
| - | |||
| - | Additional Information: | ||
| - | Source Context | ||
| - | Target Context | ||
| - | Target Objects | ||
| - | Source | ||
| - | Source Path / | ||
| - | Port < | ||
| - | --More--(5%) | ||
| - | </ | ||
| - | |||
| - | Cherchez dans le fichier la chaine **index.html** : | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# more / | ||
| - | SELinux is preventing / | ||
| - | If you want to allow httpd to have getattr access on the index.html file | ||
| - | Then you need to change the label on / | ||
| - | # semanage fcontext -a -t FILE_TYPE '/ | ||
| - | restorecon -v '/ | ||
| - | If you believe that httpd should be allowed getattr access on the index.html file by default. | ||
| - | Target Objects | ||
| - | type=AVC msg=audit(1630847051.967: | ||
| - | SELinux is preventing / | ||
| - | If you want to allow httpd to have read access on the index.html file | ||
| - | Then you need to change the label on index.html | ||
| - | # semanage fcontext -a -t FILE_TYPE ' | ||
| - | restorecon -v ' | ||
| - | If you believe that httpd should be allowed read access on the index.html file by default. | ||
| - | Target Objects | ||
| - | type=AVC msg=audit(1630847051.967: | ||
| - | type=AVC msg=audit(1630847051.967: | ||
| - | SELinux is preventing / | ||
| - | If you want to allow httpd to have map access on the index.html file | ||
| - | Then you need to change the label on / | ||
| - | # semanage fcontext -a -t FILE_TYPE '/ | ||
| - | restorecon -v '/ | ||
| - | If you believe that httpd should be allowed map access on the index.html file by default. | ||
| - | Target Objects | ||
| - | type=AVC msg=audit(1630847051.967: | ||
| - | </ | ||
| - | |||
| - | Ce message a été généré parce que le repertoire /www ainsi que le fichier index.html ne possèdent pas le **type** nécessaire pour que le service apache puisse les utiliser : | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# ls -lZ / | ||
| - | -rw-r--r--. 1 apache apache unconfined_u: | ||
| - | |||
| - | [root@centos8 ~]# ls -lZ / | ||
| - | -rw-r--r--. 1 root root unconfined_u: | ||
| - | </ | ||
| - | |||
| - | L' | ||
| - | |||
| - | Modifiez donc la SC de /www et / | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# chcon -Rv --type=httpd_sys_content_t /www | ||
| - | changing security context of '/ | ||
| - | changing security context of '/ | ||
| - | |||
| - | [root@centos8 ~]# ls -lZ / | ||
| - | -rw-r--r--. 1 apache apache unconfined_u: | ||
| - | </ | ||
| - | |||
| - | Afin de maintenir ces SC lors d'une **restauration des SC par défaut**, il convient d' | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# semanage fcontext -a -t httpd_sys_content_t "/ | ||
| - | </ | ||
| - | |||
| - | ====5.7 - La commande restorecon==== | ||
| - | |||
| - | Pour illustrer l' | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# cd /tmp ; touch copy.html move.html | ||
| - | |||
| - | [root@centos8 tmp]# ls -lZ | grep html | ||
| - | -rw-r--r--. 1 root root unconfined_u: | ||
| - | -rw-r--r--. 1 root root unconfined_u: | ||
| - | </ | ||
| - | |||
| - | **Copiez** le fichier copy.html vers / | ||
| - | |||
| - | < | ||
| - | [root@centos8 tmp]# cp copy.html / | ||
| - | |||
| - | [root@centos8 tmp]# mv move.html / | ||
| - | |||
| - | [root@centos8 tmp]# ls -lZ / | ||
| - | total 0 | ||
| - | -rw-r--r--. 1 root root unconfined_u: | ||
| - | -rw-r--r--. 1 root root unconfined_u: | ||
| - | -rw-r--r--. 1 root root unconfined_u: | ||
| - | </ | ||
| - | |||
| - | <WRAP center round important 50%> | ||
| - | **Important** : Notez ici que copy.html a pris le type du répertoire de destination tandis que move.html retient le type obtenu lors de la création. | ||
| - | </ | ||
| - | |||
| - | Restaurez maintenant la SC par défaut de move.html compte tenu de son emplacement en utilisant la commande **restorecon** : | ||
| - | |||
| - | < | ||
| - | [root@centos8 tmp]# restorecon -v / | ||
| - | Relabeled / | ||
| - | |||
| - | [root@centos8 tmp]# ls -lZ / | ||
| - | total 0 | ||
| - | -rw-r--r--. 1 root root unconfined_u: | ||
| - | -rw-r--r--. 1 root root unconfined_u: | ||
| - | -rw-r--r--. 1 root root unconfined_u: | ||
| - | </ | ||
| - | |||
| - | ====5.8 - Le fichier / | ||
| - | |||
| - | En cas de besoin il est intéressant de pouvoir restaurer les SC par défaut sur l' | ||
| - | |||
| - | < | ||
| - | [root@centos8 tmp]# touch / | ||
| - | |||
| - | [root@centos8 tmp]# shutdown -r now | ||
| - | </ | ||
| - | |||
| - | ====5.9 - La commande semanage==== | ||
| - | |||
| - | La commande **semanage** peut prendre plusieurs options : | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# semanage --help | ||
| - | usage: semanage [-h] | ||
| - | {import, | ||
| - | ... | ||
| - | |||
| - | semanage is used to configure certain elements of SELinux policy with-out | ||
| - | requiring modification to or recompilation from policy source. | ||
| - | |||
| - | positional arguments: | ||
| - | {import, | ||
| - | import | ||
| - | export | ||
| - | login | ||
| - | confined users | ||
| - | user Manage SELinux confined users (Roles and levels for an | ||
| - | SELinux user) | ||
| - | port Manage network port type definitions | ||
| - | ibpkey | ||
| - | ibendport | ||
| - | interface | ||
| - | module | ||
| - | node Manage network node type definitions | ||
| - | fcontext | ||
| - | boolean | ||
| - | permissive | ||
| - | dontaudit | ||
| - | |||
| - | optional arguments: | ||
| - | -h, --help | ||
| - | </ | ||
| - | |||
| - | Pour illustrer l' | ||
| - | |||
| - | %%SELinux%% gère aussi l' | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# semanage port -l | grep http | ||
| - | http_cache_port_t | ||
| - | http_cache_port_t | ||
| - | http_port_t | ||
| - | pegasus_http_port_t | ||
| - | pegasus_https_port_t | ||
| - | </ | ||
| - | |||
| - | Notez que le serveur apache est autorisé à utiliser les ports suivants : | ||
| - | |||
| - | < | ||
| - | http_port_t | ||
| - | </ | ||
| - | |||
| - | Dans le cas où on souhaite qu' | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# semanage port -a -t http_port_t -p tcp 8090 | ||
| - | </ | ||
| - | |||
| - | Vous noterez que le port 8090 a été ajouté à la liste des ports reconnus comme valides par %%SELinux%% : | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# semanage port -l | grep http | ||
| - | http_cache_port_t | ||
| - | http_cache_port_t | ||
| - | http_port_t | ||
| - | pegasus_http_port_t | ||
| - | pegasus_https_port_t | ||
| - | </ | ||
| - | |||
| - | ====5.10 - La commande audit2allow==== | ||
| - | |||
| - | La création d'un module de politique personnalisé se fait en utilisant la commande **audit2allow**. L' | ||
| - | |||
| - | * la résolution du problème n'est pas possible en utilisant une des commandes précédemment citées, | ||
| - | * il n' | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# audit2allow --help | ||
| - | Usage: audit2allow [options] | ||
| - | |||
| - | Options: | ||
| - | --version | ||
| - | -h, --help | ||
| - | -b, --boot | ||
| - | -a, --all read input from audit log - conflicts with -i | ||
| - | -p POLICY, --policy=POLICY | ||
| - | Policy file to use for analysis | ||
| - | -d, --dmesg | ||
| - | --input | ||
| - | -i INPUT, --input=INPUT | ||
| - | read input from < | ||
| - | -l, --lastreload | ||
| - | -r, --requires | ||
| - | -m MODULE, --module=MODULE | ||
| - | set the module name - implies --requires | ||
| - | -M MODULE_PACKAGE, | ||
| - | generate a module package - conflicts with -o and -m | ||
| - | -o OUTPUT, --output=OUTPUT | ||
| - | append output to < | ||
| - | -D, --dontaudit | ||
| - | -R, --reference | ||
| - | -N, --noreference | ||
| - | -v, --verbose | ||
| - | -e, --explain | ||
| - | -t TYPE, --type=TYPE | ||
| - | regex | ||
| - | --perm-map=PERM_MAP | ||
| - | --interface-info=INTERFACE_INFO | ||
| - | file name of interface information | ||
| - | -x, --xperms | ||
| - | --debug | ||
| - | -w, --why | ||
| - | of why the access was denied | ||
| - | </ | ||
| - | |||
| - | Pour illustrer l' | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# mkdir /www1 | ||
| - | [root@centos8 ~]# touch / | ||
| - | </ | ||
| - | |||
| - | Éditez le fichier **/ | ||
| - | |||
| - | < | ||
| - | [...] | ||
| - | # DocumentRoot "/ | ||
| - | DocumentRoot "/ | ||
| - | [...] | ||
| - | </ | ||
| - | |||
| - | Ajoutez les section **< | ||
| - | |||
| - | < | ||
| - | ... | ||
| - | # | ||
| - | # Relax access to content within /var/www. | ||
| - | # | ||
| - | < | ||
| - | AllowOverride None | ||
| - | # Allow open access: | ||
| - | Require all granted | ||
| - | </ | ||
| - | |||
| - | < | ||
| - | Options Indexes FollowSymLinks | ||
| - | AllowOverride None | ||
| - | Require all granted | ||
| - | </ | ||
| - | |||
| - | # Further relax access to the default document root: | ||
| - | < | ||
| - | ... | ||
| - | </ | ||
| - | |||
| - | Créez le fichier **/ | ||
| - | |||
| - | < | ||
| - | [root@centos7 ~]# vi / | ||
| - | [root@centos7 ~]# cat / | ||
| - | < | ||
| - | < | ||
| - | This is a test | ||
| - | </ | ||
| - | < | ||
| - | www test page | ||
| - | </ | ||
| - | </ | ||
| - | </ | ||
| - | |||
| - | Modifiez ensuite le propriétaire et le groupe du répertoire **/www1** et son contenu : | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# chown -R apache: | ||
| - | </ | ||
| - | |||
| - | Redémarrez le service httpd : | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# systemctl restart httpd.service | ||
| - | [root@centos8 ~]# systemctl status httpd.service | ||
| - | ● httpd.service - The Apache HTTP Server | ||
| - | | ||
| - | | ||
| - | Docs: man: | ||
| - | Main PID: 51662 (httpd) | ||
| - | | ||
| - | Tasks: 213 (limit: 23535) | ||
| - | | ||
| - | | ||
| - | | ||
| - | | ||
| - | | ||
| - | | ||
| - | | ||
| - | |||
| - | Sep 05 09:35:28 centos8.ittraining.loc systemd[1]: Starting The Apache HTTP Server... | ||
| - | Sep 05 09:35:28 centos8.ittraining.loc systemd[1]: Started The Apache HTTP Server. | ||
| - | Sep 05 09:35:28 centos8.ittraining.loc httpd[51662]: | ||
| - | </ | ||
| - | |||
| - | Consultez le site localhost en utilisant **lynx** : | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# lynx localhost | ||
| - | </ | ||
| - | |||
| - | Le fichier **/ | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# cat / | ||
| - | type=AVC msg=audit(1630846645.968: | ||
| - | type=AVC msg=audit(1630846646.078: | ||
| - | type=AVC msg=audit(1630846646.094: | ||
| - | type=AVC msg=audit(1630846646.160: | ||
| - | type=AVC msg=audit(1630846646.160: | ||
| - | type=AVC msg=audit(1630846646.161: | ||
| - | type=AVC msg=audit(1630846646.163: | ||
| - | type=AVC msg=audit(1630846646.163: | ||
| - | type=AVC msg=audit(1630846646.163: | ||
| - | type=AVC msg=audit(1630846646.163: | ||
| - | type=AVC msg=audit(1630846646.164: | ||
| - | type=AVC msg=audit(1630846646.164: | ||
| - | type=AVC msg=audit(1630846646.165: | ||
| - | type=AVC msg=audit(1630846646.165: | ||
| - | type=AVC msg=audit(1630846655.174: | ||
| - | type=AVC msg=audit(1630846665.186: | ||
| - | type=AVC msg=audit(1630846675.198: | ||
| - | type=AVC msg=audit(1630846685.209: | ||
| - | type=AVC msg=audit(1630846695.221: | ||
| - | type=AVC msg=audit(1630846705.233: | ||
| - | type=AVC msg=audit(1630846715.244: | ||
| - | type=AVC msg=audit(1630846725.256: | ||
| - | type=AVC msg=audit(1630846735.268: | ||
| - | type=AVC msg=audit(1630846745.279: | ||
| - | type=AVC msg=audit(1630846755.290: | ||
| - | type=AVC msg=audit(1630846765.302: | ||
| - | type=AVC msg=audit(1630846775.313: | ||
| - | type=AVC msg=audit(1630846785.325: | ||
| - | type=AVC msg=audit(1630846795.337: | ||
| - | type=AVC msg=audit(1630846805.348: | ||
| - | type=AVC msg=audit(1630846925.487: | ||
| - | type=AVC msg=audit(1630846985.607: | ||
| - | type=AVC msg=audit(1630847051.967: | ||
| - | type=AVC msg=audit(1630847051.967: | ||
| - | type=AVC msg=audit(1630847051.967: | ||
| - | type=AVC msg=audit(1630847051.967: | ||
| - | type=AVC msg=audit(1630847065.699: | ||
| - | type=AVC msg=audit(1630847265.927: | ||
| - | type=AVC msg=audit(1630847536.237: | ||
| - | type=AVC msg=audit(1630847736.467: | ||
| - | type=AVC msg=audit(1630848237.039: | ||
| - | type=AVC msg=audit(1630848287.098: | ||
| - | type=AVC msg=audit(1630848767.654: | ||
| - | type=AVC msg=audit(1630848928.625: | ||
| - | type=AVC msg=audit(1630848972.446: | ||
| - | type=AVC msg=audit(1630848972.446: | ||
| - | type=AVC msg=audit(1630848972.446: | ||
| - | type=AVC msg=audit(1630848972.446: | ||
| - | type=AVC msg=audit(1630849007.711: | ||
| - | </ | ||
| - | |||
| - | A l'aide de la commande grep, il convient maintenant d' | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# grep httpd_t / | ||
| - | </ | ||
| - | |||
| - | L' | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# cat httpdlocal.te | ||
| - | |||
| - | module httpdlocal 1.0; | ||
| - | |||
| - | require { | ||
| - | type httpd_t; | ||
| - | type default_t; | ||
| - | class capability net_admin; | ||
| - | class file { getattr map open read }; | ||
| - | } | ||
| - | |||
| - | # | ||
| - | |||
| - | #!!!! This avc can be allowed using the boolean ' | ||
| - | allow httpd_t default_t: | ||
| - | allow httpd_t default_t: | ||
| - | allow httpd_t self: | ||
| - | </ | ||
| - | |||
| - | L' | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# grep httpd_t / | ||
| - | ******************** IMPORTANT *********************** | ||
| - | To make this policy package active, execute: | ||
| - | |||
| - | semodule -i httpdlocal.pp | ||
| - | </ | ||
| - | |||
| - | Chargez maintenant le module dans la politique %%SELinux%% : | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# semodule -i httpdlocal.pp | ||
| - | </ | ||
| - | |||
| - | Vérifiez que le module est chargé : | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# semodule -l | grep httpd | ||
| - | httpdlocal | ||
| - | </ | ||
| - | |||
| - | Redémarrez le service httpd : | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# systemctl restart httpd.service | ||
| - | [root@centos8 ~]# systemctl status httpd.service | ||
| - | ● httpd.service - The Apache HTTP Server | ||
| - | | ||
| - | | ||
| - | Docs: man: | ||
| - | Main PID: 52079 (httpd) | ||
| - | | ||
| - | Tasks: 213 (limit: 23535) | ||
| - | | ||
| - | | ||
| - | | ||
| - | | ||
| - | | ||
| - | | ||
| - | | ||
| - | |||
| - | Sep 05 09:42:18 centos8.ittraining.loc systemd[1]: Starting The Apache HTTP Server... | ||
| - | Sep 05 09:42:18 centos8.ittraining.loc systemd[1]: Started The Apache HTTP Server. | ||
| - | Sep 05 09:42:18 centos8.ittraining.loc httpd[52079]: | ||
| - | </ | ||
| - | |||
| - | Videz le fichier **/ | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# rm -rf / | ||
| - | [root@centos8 ~]# touch / | ||
| - | [root@centos8 ~]# chmod 600 / | ||
| - | [root@centos8 ~]# ls -l / | ||
| - | -rw-------. 1 root root 0 Sep 5 09:43 / | ||
| - | </ | ||
| - | |||
| - | Consultez le site localhost : | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# lynx localhost | ||
| - | </ | ||
| - | |||
| - | Constatez que la consultation ne génère plus de messages de type **AVC** : | ||
| - | |||
| - | < | ||
| - | [root@centos8 ~]# cat / | ||
| - | [root@centos8 ~]# | ||
| </ | </ | ||
| ----- | ----- | ||
| - | < | + | Copyright © 2024 Hugh Norris. |
| - | <div align=" | + | |
| - | Copyright © 2021 Hugh Norris.< | + | |
| - | </ | + | |
| - | </ | + | |
