Principes généraux

Une configuration réseau de base sur un serveur exige quatre éléments :

Un nom de machine.
Une adresse IP et un masque de réseau.
Une passerelle par défaut.
L’adresse des serveurs DNS.

Il y a deux façons d’obtenir ces éléments :

Automatiquement : par un serveur DHCP (et, en IPv6, par le routeur). La machine sollicite un serveur DHCP sur le réseau, qui lui renvoie ces paramètres dans une réponse dédiée. L’adresse IP peut changer régulièrement, dans le cas d’une station utilisateur. Le serveur DHCP peut aussi choisir d’affecter une adresse IP permanente, dans le cas d’un serveur : on dit que l’adresse IP est réservée.
Manuellement : c’est l’administrateur de la machine qui configure ces divers paramètres. Là encore, l’administrateur peut choisir (rarement) de changer l’adresse IP en fonction de ses besoins, mais le plus souvent, il choisira une adresse IP statique.

Pour ces paramètres réseau, il est possible de les consulter et de les configurer de deux manières :

Outils historiques (ou legacy) : historiquement, la configuration réseau est effectuée manuellement, dans des fichiers de configuration commandés avec des scripts. Les modifications sont consultables avec des commandes telles que route, ifconfig, etc. Ces commandes existent toujours à des fins d’analyse, mais la configuration à proprement parler est effectuée avec le nouvel outil nmcli.
Nouvel outil unifié nmcli : les fichiers de configuration et scripts associés devenant de plus en plus nombreux et hétérogènes selon les distributions, sur les versions récentes de Linux (dont font partie RHEL 7 et supérieur), l’outil...

Configuration et diagnostic réseau

1. Nom d’hôte

Pour vérifier le nom d’hôte affecté à la machine, tapez simplement la commande hostname sur la machine en question :

[root@cobb ~]# hostname  
cobb.acme.com

Ou bien connectez-vous à partir d’une autre machine. Vous devriez voir le nom d’hôte au moins dans l’invite :

[root@eames ~]# ssh jdoe@192.168.0.37  
jdoe@192.168.0.37's password:  
Last login: Sun Dec 12 21:31:24 2010 from 192.168.0.1  
[jdoe@cobb ~]$  
[jdoe@cobb ~]$ hostname  
cobb.acme.com

2. État des interfaces réseau

a. Consultation avec ifconfig

Vous pouvez voir les interfaces existantes sur votre machine en tapant simplement ifconfig :

[root@cobb ~]# ifconfig  
ens33     Link encap:Ethernet  HWaddr 00:0C:29:29:64:96  
          inet adr:192.168.0.37  Bcast:192.168.0.255  
          Masque:255.255.255.0  
          adr inet6: fe80::20c:29ff:fe29:6496/64 Scope:Lien  
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1  
          RX packets:14280 errors:0 dropped:0 overruns:0 frame:0 
          TX packets:1676 errors:0 dropped:0 overruns:0 carrier:0 
          collisions:0 lg file transmission:1000  
          RX bytes:1826809 (1.7 MiB)  TX bytes:234914 (229.4 KiB) 
          Interruption:19...

Sécurité : configuration du pare-feu pour un serveur

1. Introduction

Il n’est plus nécessaire de souligner l’importance de la sécurité. Tout au long de ce livre, nous insistons sur le fait que la sécurisation de votre serveur doit être un réflexe. Bien sûr, le pare-feu est la première défense à mettre en place sur votre machine.

Le pare-feu est un outil de filtrage de paquets, c’est-à-dire qu’il filtre les paquets entrants et sortants d’une machine ou d’un réseau. Il existe deux grands types de pare-feu :

Pare-feu machine (ou pare-feu système) : c’est un filtre de paquets équipant la machine. Il filtre les paquets entrants et sortants de la machine.
Pare-feu réseau : c’est une machine positionnée à l’entrée du réseau, qui filtre les flux entrants et sortants du réseau.

Même si les technologies sont assez similaires entre les deux types de pare-feu, les configurations sont relativement différentes. Conscients qu’il existe des outils spécialisés dans le filtrage de réseau, et que Red Hat Enterprise Linux n’en fait pas partie, nous vous présenterons ici la configuration du pare-feu pour un serveur.

La présence du pare-feu sur le serveur n’empêche pas de mettre en place une sécurité robuste sur le réseau, avec les équipements suivants :

Pare-feu réseau.
IDS (Intrusion Detection System) : système détectant les comportements anormaux sur le réseau, et vous avertissant s’il y a soupçon d’intrusion.
Proxy : utilisation d’un serveur mandataire pour les connexions vers Internet. Cela permet une sécurisation accrue des flux sortant.
VPN : connexion sécurisée entre deux...

Accès sécurisé au serveur

1. SSH pour l’administration à distance

a. Présentation

SSH (Secure Shell, shell sécurisé) est une ligne de commande exécutée à distance et sécurisée permettant de vous connecter sur un autre système Linux (entre autres). Cela vous permet d’administrer la machine à distance, sans être physiquement face à elle et sans avoir besoin d’importantes ressources graphiques.

Une connexion SSH présente de nombreux avantages :

Sécurisation :

Les données transitant dans la connexion SSH sont chiffrées, c’est-à-dire rendues illisibles.
La machine à laquelle on se connecte est authentifiée, c’est-à-dire qu’on est sûr que c’est la bonne machine (et non pas la machine d’un pirate qui usurpe une identité).

Compression : les données peuvent être compressées, pour améliorer la vitesse de transfert des informations.
Tunneling (tunnelisation) : à l’intérieur de la connexion SSH, il est possible de faire transiter des données provenant d’autres applications, en plus de la ligne de commande. Ces données sont donc sécurisées, voire compressées. Le concept n’est pas si éloigné du VPN.

b. Utilisation simple

L’utilisation simple de SSH consiste à se connecter à une autre machine avec un simple mot de passe, ou plus précisément une paire nom d’utilisateur / mot de passe.

Lorsque vous vous connectez sur une autre machine avec un nom d’utilisateur, le compte doit exister sur la machine distante. C’est ce compte que vous utiliserez une fois connecté.

En anglais, on parle de login / password (souvent raccourci l/p), qui est un abus de langage. En effet, «...

Réseau