FRsAG January 2022

frsag@frsag.org

65 participants
20 discussions

Réflexion sur référentiel identité unique dans environnement Linux, Windows et web
by DUVERGIER Claude 22 Jan '24

22 Jan '24

Bon(soi|jou)r la liste, Je pose ici mes réflexions sur un problème qui, j'espère, parlera à certains (qui l'auront résolu), pourra en aider d'autres (qui l'ont/l'auront un jour). TL;DR : Quels sont les services à utiliser pour pouvoir authentifier des utilisateurs lors d'accès à des dossiers partagés CIFS, des serveurs SSH Linux et des applications Web avec un référentiel unique/centralisé. CONTEXTE : J'ai actuellement l'infrastructure suivante : * Annuaire LDAP sous OpenLDAP : c'est le référentiel unique, il contient utilisateurs/machines (PosixAccount) et groupes (PosixGroup). * Application (web) maison pour alimenter l'annuaire en fonction des embauches/départs (pas de base de données SQL ou autre, tout est dans le LDAP). * Serveur OpenID pour certaines applications web : utilise le LDAP comme source. * Les utilisateurs ont des comptes locaux sur leur stations de travail Windows/Linux (aucune interaction avec le LDAP). Ainsi, les utilisateurs peuvent s'identifier sur : * des application Web qui gèrent nativement LDAP (eg. Moodle, GitLab, GLPI, etc.). * des applications Web sous Apache/Nginx (via mod_authnz_ldap ou nginx-ldap-auth). * des applications Web qui gèrent OpenID. * des serveurs Linux en SSH via nslcd, libnss-ldapd et libpam-ldapd. (Et avoir un carnet d'adresse des collègues dans leur client de messagerie) Chaque application est responsable de qui elle accepte (utilisateur et/ou groupe) et de ce qu'elle lui autorise de faire (l'annuaire LDAP ne contient pas de permissions). PROBLÈMES/LIMITES : Cela fonctionne (bien) depuis des années, mais ne réponds pas aux besoins suivants (arrivés plus tard) : * (Le plus important): le partage de fichiers via CIFS/Samba (car nécessite des attributs spécifiques dans le LDAP). * stocker *facilement* des données complexes dans OpenLDAP (eg. variantes d'avatars/photo, jours de présence sur x semaines) Bonus facultatif : gestion "domaine" des comptes utilisateurs des stations de travail pour qu'ils utilisent les même identifiants lors de l'ouverture de leur session, que je puisse les gérer de manière centralisée, et qu'ils soient même pré-authentifiés sur les serveurs de fichiers. ÉBAUCHE DE SOLUTION : Je pense donc qu'il est temps de tout reprendre à zéro et c'est là que je découvre (car je suis néophyte sur ces questions) : * FreeIPA qui créer un "AD-like" pour machines Linux. * Samba v4 qui intègre désormais son annuaire LDAP et se comporte comme un Active Directory. * D'autres dont j'avais déjà entendu parler sans jamais les utiliser : Kerberos et RADIUS/DIAMETER. J'envisage donc l'architecture suivante : * Application maison pour stocker (dans une base SQL quelconque) les utilisateurs/groupes (+ des infos spécifiques complexes) ET qui alimente l'annuaire avec seulement les infos pertinentes/standardisées (le schéma LDAP sera plus simple et une API REST pourra exposer les autres infos aux applications si besoin). * Serveur d'annuaire LDAP (OpenLDAP, 389DS, le 389DS de FreeIPA, le LDAP de Samba4 ?). * Serveur(s) de fichiers (TrueNAS, OpenMediaVault, etc.) : qui se connectent à l'annuaire LDAP (ou autre forme de confiance/délégation). Si je prends le bonus "domaine" : que me faudrait-il ? Samba4 seul suffirait pour les stations de travail Windows ET Ubuntu ou bien il faudrait Samba4+FreeIPA pour tout couvrir ? L'idée d'avoir un AD Samba4 qui tourne sur Internet ne me plait guère. Et comme les serveurs de fichiers seront de toutes façons dans le LAN, je pense plutôt installer Samba4 en LAN et mettre en place, juste pour les applications web, une copie (synchro à sens unique) vers un OpenLDAP ouvert sur Internet (sans les attributs samba/domaine). Je suis ouvert à : * toute correction si j'ai dit une énormité sans nom * et surtout à toute suggestion d'outil que je n'aurais pas trouvé qui m'aide dans ma quête. Merci

7 6

[TECH] Sonde température interrogeable en SNMP
by Fabien Sirjean 04 Oct '22

04 Oct '22

Salut la liste, Quel est votre modèle préféré de sonde de température IP interrogeable en SNMP ? Dans mon cahier des charges du monde idéal, il y aurait par exemple : * open hardware * SNMPv3 * pas lié à un provider cloud bling bling quelconque * si ça fait l'hygrométrie aussi c'est bien * 0U, alimenté en USB ou mieux en POE * pour ~ 40-50 balles (je rêve ?) Merci pour vos retours d'expérience :-) Belle fin de journée, Fabien

11 13

Re: [FRsAG] recherche solution relay smtp on premise
by elpablodelcasata＠netcourrier.com 18 Sep '22

18 Sep '22

Vadesecure > c'est super cher super efficace (trop ?) Promox, j'ai vu et je me pose la question sur les performances antispam, est ce vraiment efficace ? des retex ? PineApp > une idée de la tarification ? Tobi De : Maxime DERCHE <maxime(a)mouet-mouet.net> À : frsag(a)frsag.org Sujet : Re: [FRsAG] recherche solution relay smtp on premise Date : 11/01/2022 14:37:17 Europe/Paris Bonjour, Le 11/01/2022 à 11:28, elpablodelcasata(a)netcourrier.com a écrit : > > Bonjour, > > Je suis à la recherche d'une solution de relay SMTP antispam / antivirus performant. > Avec du support et un antispam performant. > Pas besoin de portail utilisateur pour débloquer les emails. > Facilité d'exploitation pour les sysadmin. > C'est pour héberger sur mon infra (vmware), on a environ 2000 boites. > > Il faut que se soit fiable. > Je n'ai pas envie de dépenser une fortune donc pas de solution qui fait payer au mail > protégé si possible. <https://www.vadesecure.com/> ? Société basée à Hem, banlieue Lilloise. Apparemment (<https://fr.wikipedia.org/wiki/Vade_Secure>) il y aurait de l'activité aux USA donc exposition au Patriot Act, à vérifier. J'y ai brièvement bossé il y a quinze ans, mais j'ai pas du tout suivi depuis donc je n'ai pas d'avis sur le produit et je ne connais pas leur politique tarifaire, mais j'en entends régulièrement du bien localement. Bien cordialement, -- Maxime DERCHE OpenPGP public key ID : 0xAE5264B5 OpenPGP public key fingerprint : 7221 4C4F D57C 456F 8E40 3257 47F7 29A6 AE52 64B5 <https://www.mouet-mouet.net/maxime/blog/> _______________________________________________ Liste de diffusion du FRsAG http://www.frsag.org/

8 13

Fwd: Fiabilité marques serveurs moins courantes
by Jean-François MOULE 28 Jan '22

28 Jan '22

Bonjour, Ceci est mon premier post sur la liste. Nous souhaitons nous libérer des verrouillages sur les pièces des serveurs de grandes marques tel que HPE. Certain.e.s ont-ils des retours d'expérience sur la fiabilité des serveurs (et du support) de marques telles que Gigabyte, Asus, Tyan ou autre ? Merci d'avance. -- Jean François Moule System & Network Engineer *Phone number : +33 1 85 08 60 20* jean-francois.moule(a)enyx.fr ------------------------------ *Enyx SA* 8 Rue Greneta 75003 Paris - France

9 9

PXE install
by Mickael MONSIEUR 25 Jan '22

25 Jan '22

Bonjour, Est-ce que vous connaissez des projets open source d'installation PXE ? Quelque chose capable de : - Assigner une IP locale en DHCP juste à la mac address de la carte (pas DHCP pour tout le VLAN) avec les informations PXE - Envoyer une commande de reboot à l'IPMI (via le port 623 RMCP probablement) - Générer un fichier preseed sur un serveur TFTP - Déclencher une action comme un appel API quand c'est terminé J'ai déjà pas mal de ces choses qui existent dans mon labo, mais je serais pas contre un projet plus complet, plus standardisé,... Merci

10 9

location nginx
by Daniel Caillibaud 22 Jan '22

22 Jan '22

Bonjour, En cherchant qqchose pour pouvoir tester des conf nginx, je suis tombé sur https://nginx.viraptor.info/ qui a l'air pas mal, sur le papier, car c'est pas fiable du tout [1] Vous connaissez qqchose d'équivalent et fiable ? L'idéal serait un truc en cli à qui on indiquerait la conf nginx (/etc/nginx/nginx.conf par défaut) puis une url absolue et il répondrait quel fichier et quelle location match. En attendant je teste en local avec un script minimaliste[2] (faut aller réparer manuellement des location imbriquées s'il y en a), mais si vous connaissez un outil plus pratique je suis preneur. [1] ajouter à une configuration basique l'entrée location = /robots.txt { return 200 "User-agent: *\nDisallow: /\n"; } suffit à ce qu'il ne trouve plus une seule location qui match [2] le script pour générer un vhost bidon pour tester les location #!/bin/sh DST=/etc/nginx/sites-enabled/debug.conf [ $# -lt 1 ] && echo "Il faut passer le fichier source en premier paramètre (il sera transformé pour générer $DST)" && exit 1 if echo 'server { listen 8080; server_name localhost; ' > "$DST"; then sed -nre 's/( *location )([^{]+)\{/\1\2 {\nreturn 200 "\2";\n}/p' $1 >> $DST echo "$DST généré à partir de $1" else echo "Impossible d'écrire dans $DST">&2 exit 1 fi -- Daniel L'abus d'alcool est dangereux pour la santé, mais je m'en fous, je suis tout le temps malade. Brèves de comptoir (rapportée par Jean-Marie Gourio)

2 1

Re: location nginx
by Daniel Caillibaud 22 Jan '22

22 Jan '22

Le 21/01/22 à 19:39, "M. de Crevoisier" <michel_de(a)hotmail.com> a écrit : > Est-ce que ce générateur/vérificateur de conf Nginx irait pour ton besoin ? > https://www.digitalocean.com/community/tools/nginx?global.app.lang=fr Je n'ai pas compris comment je pouvais lui donner ma conf à vérifier. Par ailleurs, j'ai qq doutes sur ce qu'il génère quand je vois fastcgi_param PHP_ADMIN_VALUE "open_basedir=$base/:/usr/lib/php/:/tmp/"; car mettre /tmp/ comme path par défaut pour php me semble pas une très bonne idée… (je préfère toujours mettre une chaîne vide pour cette valeur afin d'obliger chaque appli à préciser les chemins de ce qu'elle veut inclure). Mon pb était plutôt dans le cas de conf un peu compliquées (pas mal de location, éventuellement imbriquées, des locations nommées, du path splitting, etc.) de voir quelle est la location qui match une url, pour vérifier que c'est bien celle attendue. -- Daniel I ♥ rien, I'm parisien

1 0

Re: location nginx
by Daniel Caillibaud 22 Jan '22

22 Jan '22

Le 21/01/22 à 16:19, Gabriel Corre <gabriel.corre(a)4js.com> a écrit : > Bonjour, > > Ca ne correspond pas a ton besoin mais la config nginx étant parsemée de piéges, ca pourra > peut-être t'aider d'une manière ou d'une autre : > > - un analyseur de config nginx : https://github.com/yandex/gixy Excellent outil que je ne connaissais pas, merci ! -- Daniel Sage veut dire savant. On dit qu'une fille est sage quand elle ne sait rien. Anatole France -- Daniel La médecine est un métier dangereux : les clients qui ne meurent pas peuvent porter plainte. Coluche

1 0

Re: Supervision multi-sites/clients
by clauded59 20 Jan '22

20 Jan '22

Merci à tous pour vos réponses sur la liste et hors liste, Zabbix semble rencontrer une forte adhésion. PRTG semble être aussi dans la course. Pour info, une solution à base de The Dude de Microtik a également été citée. Merci à tous! Claude ‐‐‐‐‐‐‐ Original Message ‐‐‐‐‐‐‐ On Thursday, January 20th, 2022 at 11:32 AM, Thomas Constans via FRsAG <frsag(a)frsag.org> wrote: > Bonjour, > > Personnellement j'utilise zabbix sans proxy, mais en mode actif, > > Par contre cela implique de changer le type des "items" de "zabbix > > agent" à "zabbix agent (active)" > > c'est l'agent zabbix qui initie la connexion et "push" ses métriques. >

1 0

Supervision multi-sites/clients
by clauded59 20 Jan '22

20 Jan '22

Bonjour à tous, Auriez-vous des conseils pour un outil de supervision multi-sites, multi-clients? (sans liens VPNs permanents) Afin de superviser les serveurs (principalement du windows -> Espace disque / Mémoire / Mises à jours? et quelques équipements réseaux via snmp) J'ai déjà testé quelques outils de supervision, mais la partie "sans liens VPNs permanents" est souvent bloquante. Merci d'avance pour vos réponses Claude

5 5

2024

2023

2022

2021

2020

2019

2018

2017

2016

2015

2014

2013

2012

2011

2010

FRsAG January 2022