Fabien a écrit 137 commentaires

si ce n'est que pour améliorer les chroots de base sous linux, je pense qu'une solution de type grsecurity est meilleure que les vservers qui servent plus à proposer des services mutualisés.
D'ailleurs, si je me rappelle bien, les auteurs du patch vserver proposaient il y a quelques temps leur patch avec grsecurity intégré. On se demande pourquoi ? :)

Pour sécuriser une machine, je commence par installer ma distribution favorite (Debian) avec le minimum requis pour un système de base en configurant bien tout ce qui est installé.

Ensuite, j'installe un kernel grsecurity ( http://www.grsecurity.org(...) ) patché par mes soins, je trouve que c'est l'un des meilleurs "patchs" pour la sécurité niveau noyau, mais il demande du temps afin de comprendre / analyser / configurer ses nombreuses options. Attention à bien choisir les options du noyau, que ce soit pour la configuration de grsecurity ou pour celles des options de base du noyau (ça ne sert à rien d'avoir des fonctionnalités en trop, par habitude, je n'utilise jamais les modules, je n'active pas leur support ...)

Apres l'étape de configuration du noyau, une bonne chose à faire est de passer gradm en mode "apprenant", de restreindre les privilèges / accès / ... de certains programmes ... (grsecurity permet vraiment beaucoup de chose, voici une documentation bien qu'elle date un peu : http://tigrou3tac.org/index.php?current=3&suite=1&article=3(...) )

Ensuite, je configure le firewall (iptables + IMQ pour la qos) qui ne laissera passer que ce qui est autorisé et ce dans les 2 sens.
Viens ensuite la configuration des services. J'essaye d'en chrooter le maximum possible, et c'est là qu'intervient grsecurity, il "renforce" les chroots ( je pense qu'un chroot n'est valable que sur une machine grsecurity, peut être avec d'autres patchs noyau aussi mais je ne les connais pas). Ne pas oublier de bien configurer ces services et de définir leur portée (réseau local ou disponible depuis internet ?) , les utilisateurs autorisés à s'y connecter ... Dans le cas où plusieurs programmes sont en concurrence pour proposer un service, une bonne démarche à suivre serait d'étudier leur mode de fonctionnement, de savoir quelle politique sécuritaire ils utilisent (par exemple pour proposer un service ftp, à-t-on besoin de toutes les options de proftpd ? vsftpd ne serait pas plus adapté ?).

A présent que tous les services sont installés, configurés et sécurisés au maximum de leurs possiblités, il faut penser à espionner la machine, ce qui passe par l'installation d'un NIDS, de processus de surveillance ... en vrac, j'utilise snort (avec oinkmaster pour la mise à jour des règles), cacti et nagios pour superviser un peu le réseau, tiger pour un audit de sécurité du système.

Une fois la machine proprement installée, il ne faut pas oublier de faire les mises à jour, de consulter les listes de bugs/vulnérabilités/... de tous les composants du système (noyau, prog, ...) et d'étudier les logs générés (qui peuvent être assez conséquent si vous activez les bonnes options de grsecurity, mais rien ne pourra vous échapper :)

Voilà pour mes habitudes de configuration au niveau de la sécurité, ce n'est surement pas la meilleure solution mais je pense que ça m'apporte une bonne protection, surtout pour un particulier.
Tout ça pour dire que j'aime bien grsecurity, que je le recommande et que j'aimerais bien avoir des retours d'expérience de son utilisation avec des noyaux 2.6.x.y .

Il existe aussi DRBD dans le même genre mais ENBD semble mieux avec son driver "raid intelligent" mais j'aime pas les modules et j'ai pas réussi à le mettre en dur dans mon noyau.

Et comme dit plus haut, je ne sais pas si c'est une bonne idée de répliquer les configurations entre deux machines: tu auras 2 machines "identiques" donc si tu as un problème de configuration sur l'une tu l'auras sur l'autre, ça peut être problèmatique ...


Si tu veux faire du HA, je te propose une solution que je vais tester dans pas longtemps:

. Un linux avec LVS qui sera le chef d'orchestre du cluster HA (on peut "protéger" celui-ci avec une autre machine et hearbeat)

. et 2 -> X (X < 20 si tu utilises le nat) machines derrières et fournissant les services désirés. A toi de synchroniser ces services, j'entends par là l'arborescence d'un site web par exemple. Il n'est pas interdit de varier ces machines "esclaves", par exemple avec du Linux, du FreeBSD ... voir du Windows si tu veux.

En conclusion, et pour répondre simplement à ta question et sans chercher à t'en dissuader, tu peux regarder du coté de rsync, unison et consort pour la synchro de fichiers.

Apres avoir lu tous les commentaires, je m'étonne de n'avoir vu aucune mention sur EVMS.

EVMS est un projet développé par IBM et qui avait pour but principal de devenir le successeur de LVM, mais les dev noyau ont choisi LVM2.
L'équipe EVMS a choisi de continuer le projet et propose des patchs noyaux (bien qu'il ne soit pas obligatoire de patcher son noyau pour utiliser EVMS) et un utilitaire présent sous différent aspect ( evms en mode console, evms-gui en graphique et aussi une version ncurses). Il propose aussi une image initrd afin de démarrer les outils spécifiques à EVMS afin que le noyau reconnaisse les nouvelles partitions.

EVMS permet grâce à un seul outil de gérer du RAID/LVM(2)/FS(jfs,xfs ...).

En gros, tu te serais fait autant chier à installer tout ça, mais apres c'est que du bonheur car un seul outil. Néanmoins, les utilitaires raid et mdadm par exemple reste compatibles, EVMS utilisant le driver MD du noyau.

le lien vers le site ->http://evms.sourceforge.net/(...)

Je ne sais pas si j'ai été tres clair, mais il me semble que ce projet mérite d'être plus connu.

Je te décris ma situation:
station de travail avec 2 disques SATA 160Go chacun
pas de disque dur IDE
noyau 2.6.10-ck5-udm1 (patch con Kolivas et patch evms)
j'ai choisi grub comme bootloader

objectif:
/boot <- raid1 ( /dev/sda2 et /dev/sdb2)
swap <- raid0 ( /dev/sda3 et /dev/sdb3)
une grosse partition (50Go, partition logique) en raid1 (/devsda5 et /dev/sdb5), cette partition est ensuite déclarée en lvm2, puis je "découpe" en volume logique / /usr /var /home et encore un peu de place pour les agrandir si besoin se fait sentir.

le tout en jfs (sauf la swap biensur :)

je boot avec grub:
root (hd0,1)
kernel /vmlinuz-2.6.10-ck5-udm1 root=/dev/evms/root ramdisk=8192
initrd /evms-2.5.1-1....

et quand j'en ai envie je peux modifier ponctuellement cette configuration pour root (hd1,1) qui correspond à la partition /boot mais stocké sur le deuxième disque.

Tout ça pour dire que le mode commande de grub est relativement puissant. Jusqu'à maintenant, il m'a toujours rendu les meilleurs services possibles ( evms, jfs, xfs, ext2/3 ...).

Une chose est sûre, si tu bidouilles ta distrib (plusieurs noyaux, possibilité de passer plusieurs paramètres au noyau lors du boot ...) , grub se révèlera plus puissant que lilo.

Sinon question estétique: je m'en fous :)

Je voulais d'abord vous féliciter pour le travail accompli (et celui à venir).

J'utilise sur mon réseau personnel une passerelle linux avec le patch IMQ :
Intermediate Queueing Device.
A l'époque où je l'ai découvert, il n'était plus maintenu et j'ai du mettre
la main dans le "camboui" pour suivre l'évolution des noyaux 2.4.
Apparemment, les développeurs ont repris le travail, et désormais
des patchs sont disponibles pour les noyaux 2.6 -> http://www.linuximq.net/(...) .
J'ai laissé sur mon site dans la section download les quelques modifications
que j'avais appporté au patch pour noyau 2.4 .

IMQ permet la création d'interfaces virtuelles auxquelles
ont associes des files d'attentes avec les outils fournis par iproute2 .
Ensuite avec iptables, on va "marquer" les paquets suivant la classification choisie.
Il y a un exemple de script sur mon site, section Documentation.

Avant de tester RCC, J'aimerais savoir si IMQ est supporté ou sera supporté par RCC
sachant que le patch a attiré de nombreuses personnes ces derniers temps,
les mainteneurs étant tres actifs alors que ce patch a failli disparaitre?

J'ai repris la doc sur la qos de léa-linux et j'ai modifié la partie sur le dérivé de Wondershaper.
De plus, j'ai du adapté le patch IMQ pour les derniers noyaux 2.4.xy

Ma documentation:
http://galactus.tigrou3tac.org/?current=3&suite=1&article=3(...)

Patch kernel pour IMP + lib pour iptables (pour le support de IMQ)
http://galactus.tigrou3tac.org/?current=7(...)

J'utilise cette configuration avec succès depuis quelques temps, si quelqu'un veux essayer ....

C'est bien vrai et surtout en IDF, c'est pourquoi je suis en moto maintenant, youpi. Mais je me demande si ce n'est pas pire en moto:
- automobilistes qui ne regardent jamais dans leur rétroviseurs
- qui sont au portable en roulant, qui fument ( mangent, se maquillent ...)
- il y a ceux qui doivent être jaloux et ne veulent pas vous laisser passer
alors il prennent toute la place
- ceux qui vous coupent la route et qui s'excusnt à peine alors qu'on aurait
pu se retrouver dans un brancard ( voir cercueil )
- ....
- et beaucoup d'autres encore.

En bref c'est pas la joie, on est mieux dans son fauteuil derrière sa babasse ( et pas avec un pc portable en voiture ).

Y aurait pas un 2ème poste à pourvoir par hasard ?
(j'aime bien lolix.org mais il n'y a pas foule en ce moment)

Passe aux ACLs ( Access Control List ), tu pourras affiner les permissions de tout ton système, réglant ton problème
et surement les futurs problèmes de ce genre. C'est clair que ce n'est pas la solution la plus simple ou la plus rapide
à mettre en oeuvre ( le premier commentaire étant le plus simple), mais tu ne le regretteras pas. Et en même temps
profites-en pour passer à XFS :)

J'ai une ASUS A7N8X Deluxe, c'est à dire un chipset nforce2,
tout le matériel est reconnu (carte son, usb, firewire ...), il y a des patchs pour les 2 cartes réseau,
nvidia (forcedeth) et 3com, et les sensors sont reconnus, avec un kernel-2.6.1
donc pas de problème de compatibilité avec ce matériel, maintenant je
sais pas au niveau des perfs comparée aux autres CM.

Quand on lit la doc de léa, on a envie de tester le dernier script car il semble être le plus complet. On se lance dans la conf et on s'aperçoit que ce n'est pas si simple :

Il faut patcher le noyau pour avoir le support IMQ
Il faut avoir une bonne version d'iproute ( pour debian ) ou iproute2
Il faut avoir la bonne version d'iptables

Tout est ici : http://trash.net/~kaber/imq/(...)

- le patch pour 2.4.21 passe avec une erreur sur un 2.4.24, il faut modifier /usr/src/linux/drivers/net/Makefile et rajouter la ligne "obj-$(CONFIG_IMQ) += imq.o" entre " obj-$(CONFIG_DUMMY) += dummy.o" et "obj-$(CONFIG_DE600) += de600.o"
je viens de proposer le patch pour ce noyau au maintener imq, ou plutot à l'ex car apparemment il a envie de passer le relai ...
- pour iproute sur une debian woody c'est ici http://ftp.debian.org/debian/pool/main/i/iproute/(...)
- il faut recompiler iptables avec le patch qui va bien ( celui-ci ajoute la cible IMQ à iptables)

C'est à partir d'ici que j'ai un problème: je ne peux pas recompiler iptables, mais il existe une solution, il faut ajouter des libs dans /lib/iptables/ ( http://trash.net/~kaber/imq/libipt_IMQ-1.2.6a.tar.gz(...)) et patcher le noyau avec un combo patch ( mais pour noyau 2.4.18 ) , et là ça se gate, le patch ne passe pas sur un 2.4.24 à mon grand désespoir. Je suis en train de merger le combo patch et le patch-2.4.24 pour noyau 2.4.24

Voilà, c'est juste quelques précisions à la doc que je mettrais à jour sur mon site -> http://galactus.tigrou3tac.org/?current=3(...)

PS: Je te réponds mais ça aurait pu être aux personnes du dessus, le principal est que l'information circule.

Arrête de boire pour la suite, sinon t'en as pas fini avec la configuration de grsec. Un petit lien vers de la doc au cas où :
http://galactus.tigrou3tac.org/?current=3&suite=1&article=3(...)

Je l'ai vu aussi, par contre j'ai plutôt entendu parler de "Linex", m'enfin c'est déjà ça.
C'est des profs qui font leurs cours sur ordinateur, les élèves doivent chercher les informations ou compléments sur le net. On peut voir moz, kde je crois ....
et les profs peuvent visualiser et même prendre le contrôle des ordi à distance grâce à des vnc ( ou autres ..).

J'avais un 486 DX 25 MHz , 8Mo de RAM , 45Mo de dd, 2 cartes réseau ISA et un lecteur de disquettes sur lequel j'ai installé une debian (avec les disquettes bien sur) en tant que passerelle NAT avec dns, ntpd, upsd.

Qui dit mieux ? :)

J'ai 2 onduleurs Nitram, série Elite 2002 :
http://www.nitram.fr/www/catalogue/fiche_produit.php?&product_i(...)
et
http://www.nitram.fr/www/catalogue/fiche_produit.php?&product_i(...)

Ces 2 onduleurs sont "reconnus" sous linux, j'utilise upsd et dans /etc/upsd.conf j'utilise les Belkin ReSource F5C520c
Ca marche tres bien, ils protègent tout mon réseau, un petit screenshot -> http://galactus.tigrou3tac.org/?current=5(...)

Voici une méthode pour créer des menus dynamiques:
php4-ming et php4-myqsl (ou autre) pour te construire un réel menu dynamique.
Si tu arrives à me retrouver, je pourrais te montrer ce que j'ai fait avec

J ai une A7N8X deluxe rev2, j'utlise les derniers kernels disponibles ( 2.4.22-pre3 et un 2.6.0-test1) et pour ce que j ai besoin, tout va bien.
Je n'utilise pas les 2 cartes réseaux car elles ne sont pas reconnues pas les noyaux "d'origine", je n'aime pas patcher mon noyau avec n'importe quoi.
Je viens de trouver ces liens http://home.t-online.de/home/Johann...a7n8x_3com.diff(...)
http://www.nvidia.com/view.asp?IO=linux_nforce_1.0-0261(...)
si quelqu'un veut tester?
Hormis ceci, tout le reste est reconnu enfin je crois car je ne peux pas tout tester ( SATA, IEEE, Bluetooth ) faute de matériel.
Sinon l'usb a l'air de bien fonctionner ( j ai qu une souris usb), le chip audio est reconnu ainsi que les chipsets de la carte mère, l'agp est ok ..

Je pense que c'est un bon choix de carte mère, mais il faut bien vérifier que la carte est en révision 2 au moins ( a vérifier entre les slots pci, écrit en tout petit).

PS: j ai une ati radeon7500 et je n'ai pas rencontrer de problèmes de compatibilité avec la carte mère.

sur architectures autres que i386

"I'm seeing this on sparc as well. This is because show_trace_task() is
called from kernel/sched.c, and is only implemented in i386/kernel/. This
means that other architectures that don't implement it will break. The
sparc tree is equally broken too."

Enfin le fameux 2.4.15 !
Maintenant j'attends le patch kernel Openwall, quelqu'un saurait où il en est ?
http://www.openwall.com(...) (aucunes infos sur le site à part qu'ils attendaient le 2.4.15 donc ??? )

Et si y en a qui l'ont utilisé avec les anciennes versions du kernel, pourraient ils nous faire profiter de leur expérience sur ce patch ?

En effet, l'image est suspecte.
Sinon, l'article a l'air réel, il ressemble bien à un descriptif de Microsoft pour promouvoir leur OS:
"Il est beau, encore plus beau qu'avant, maintenant ça plante plus, parce qu'avant en fait c'était de la merde nos OS, on peut le dire...."

En tout cas, je ne pense pas que c'est ce genre de descriptif qui fera vendre XP, en tout cas pas du coté des particuliers, faudra avant leur faire gober l'histoire d'abonnement... et ça va être dur.

En fin de compte, je me demande si tout n'est pas fake dans cet article, mais il m'a bien fait rire!

merci beaucoup pour ces informations, je vais pouvoir montrer à mon pote qu'une alternative sous linux existe (même si ce n'est pas complet, mais la forme est là).

Rectification après suivi des liens :
ça à l air pas mal du tout et assez complet, à mon avis c'est un bon projet à suivre de près

Je suis tout à fait d'accord avec toi et à mon avis les éditeurs en sont conscients :
pourquoi Microsoft fait des offres étudiantes ? parce que les étudiants ne sont pas riches ? doit y avoir un peu de ça, mais surtout ces étudiants s'habituent à leurs logiciels, et ils pousseront plus tard leurs employeurs à posséder ces logiciels (donc une licence de plus si la boite ne les ont pas déjà).
Pourquoi faire un système efficace contre le piratage d'Office, tout le monde l'utilise parce qu'ils en ont pris l'habitude, mais qui connait un particulier qui ai acheter la licence au prix normal?
On me dit "Linux c'est trop compliqué...", mais quand je vois un de mes potes débuter sous windows (il utilise autocad maintenant, d'ailleurs si quelqu'un connait une alternative à ce logiciel sous linux, je suis preneur ), il est clair que windows n'est pas plus simple. Tout est question d'habitude à mon avis.

Pour info "Métro boulets de Montreuil"
n'existe pas, c'est "Métro rue des boulets" sur la ligne 9 "Mairie de Montreuil / Pont de Sèvres"
à 7 stations de mairie de montreuil. Voilà !!

Moi j'aimerais bien savoir sur quel genre de matos on peut l'installer ?
J'ai un 486 avec 200Mo de dd (ram ?, cpu ? ), est ce que ça passe?
Parce que c'est bien beau de vouloir le faire tester, mais a la fin je suis en panne de machines moi.