Il peut être parfois pratique de pouvoir gérer les quotas des utilisateurs en fonction du dossier et non de l'utilisateur ou du groupe auquel il appartient.

L'une des solutions consiste à utiliser le système de fichier nomme "XFS". En effet, il permet la mise en place quota de projet ( c'est le nom utilisé pour désigner l'application de quotas sur des dossiers).

Une fois le système fichier installé, il faut ajouter deux paquets permettant la gestion des quotas :

# apt-get install xfsprogrs xfsdump

puis il faut ensuite aller modifier le fichier "/etc/fsttab" afin de rajouter au système de fichier l'option "prjquota". La ligne de votre fichier doit ressembler à :

# <file system> <mount point> <type> <options> <dump> <pass>

# /home was on /dev/sdb6 during installation

UUID=f9a6b742-1131-4d5a-aa09-fc9514379ef4 /home xfs defaults,prjquota 0 2

Il faut ensuite utiliser quelques commandes afin d'ajouter un quota. On notera qu'XFS_quota utilise sa propre commande.

• déclarer un quota de projet dans "/etc/projects" en associant au dossier à limiter un identifiant de projet :

echo 1:/home/a-hyaric >> /etc/projects

• affecter un nom (« prrjtest ») en lien avec ce même identifiant de projet dans le fichier "/etc/projid" :

echo prjtest:1 >> /etc/projid

• enregistrer le quota de projet auprès du système de fichier :

xfs_quota -x -c 'project -s prjtest' /home

• mettre en place la limite de quota (20m ici):

xfs_quota -x -c 'limit -p bhard=20m prjtest' /home

La mise en place des quotas peut être vérifier grâce à la commande : xfs_quota -x -c report /home 2>/dev/null

Source : ici

La création d'un partage Samba a déjà été évoqué précédemment.

Samba permet d'utiliser l'architecture Microsoft DFS permettant de regrouper des partages de différents serveurs sous un même partage appelé racine DFS.

Cela peut permettre de regrouper tous les liens des partages sous un seul partage réseau pour les utilisateurs ou encore de permettre une "double authentification" (la racine DFS ayant sa propre liste d'utilisateurs autorisés).

Par exemple, dans une entreprise ayant 3 partages (HR, Logistique, Compta) sur respectivement 3 serveurs de fichiers (srv1, srv2, srv3) sur 3 sites différents (172.18.10.251, 172.18.20.252, 172.18.30.253), il est alors possible de regrouper tous ses partages sous un seul partage sur un serveur. Les utilisateurs n'auront plus qu'à monter le lecteur réseau commun pour avoir accès ensuite aux différents partages. Il est également possible de mettre une racine DFS dans un racine DFS et ainsi de suite.

Il suffit pour cela d'abord modifier le fichier smb.conf :

#======================= Global Settings =======================

[global]

       host msdfs = yes

...

#======================= Share Definitions =======================

[nom_du_partage]

       msdfs root = yes
       path = /chemin/vers/le/dossier

Il faut ensuite aller dans le dossier de la racine DFS et faire un lien DFS :

# ln -s msdfs:adresse_serveur\\nom_partage_distant nom_local

Exemple de script permettant d'automatiser la création des liens DFS : symlink_DFS

Il se peut que vous rencontriez des erreurs lors de l'utilisation des DFS avec Samba 3.5.6, un passage à Samba 3.5.8 ou 3.5.9 peut résoudre vos problèmes.

Il existe un petit outil pour automiser ce job chiant,et en plus facile a installer et à configurer: http://www.shrubbery.net/rancid/

Voici quelques tutos où on retrouve toutes les infos utiles:
Tuto d'installation
Utilisation de SVN au lieu CVS

(sur Debian Squeeze 64 bits)

Installation de Asterisk

• apt-get install asterisk

Dans /etc/asterisk/manager.conf :

enabled = yes
webenabled = yes

[admin]
secret = adminpw
read = system,call,log,verbose,command,agent,user,config
write = system,call,log,verbose,command,agent,user,config

Et dans /etc/asterisk/http.conf :

enabled=yes
enablestatic=yes
bindaddr=0.0.0.0 (commenter le 127.0.0.1)

Puis en user normal :

• svn checkout http://svn.digium.com/svn/asterisk-gui/trunk asterisk-gui
• cd asterisk-gui
• ./configure
• make

En root :

• make install

Petit soucis : les fichiers sont copiés dans /var/lib/asterisk/ alors que l'installation d'Asterisk ous Debian va chercher dans /usr/share/asterisk/.

Heureusement, la solution est trouvable. (Source : http://androus.wordpress.com/2009/12/26/asterisk-gui-2-0-404-url-not-found-fedora/)

• cp -Rfv /var/lib/asterisk/* /usr/share/asterisk/
• mv /var/lib/asterisk /var/lib/asterisk_original
• ln -s /usr/share/asterisk /var/lib/asterisk

Penser à redonner les bons droits :

• chown -R asterisk:asterisk /usr/share/asterisk

/etc/init.d/asterisk restart et zou :

http://<ip_du_pbx>:8088/static/config/index.html

Petite présentation

J'ai enfin trouvé un client web qui me permette de prendre la main sur mes serveurs quand je n'ai pas de client SSH accessible ou que les ports (généralement le 22) sont bloqués. Son nom : Ajaxterm.
Le site de l'âme charitable qui nous le met à disposition : http://antony.lesuisse.org/software/ajaxterm/

Installation

L'installation sous Debian est très simple, Ajaxterm étant disponible dans les dépôts. On commence donc par un classique "apt-get install ajaxterm" pour installer Ajaxterm et les dépendances qui vont bien, en particulier Apache. Attention toutefois, ceci installe la version 0.7. La dernière version lors de l'écriture de ce billet est la 0.11.

Configuration

Le serveur Ajaxterm est écrit en Python et écoute sur le port 8022 en local. Vous pouvez d'ores et déjà vérifier son fonctionnement en lançant un w3m (ou n'importe quel navigateur) à l'adresse http://localhost:8022/. Si besoin, le port peut être modifié dans /etc/default/ajaxterm.

Pour activer un accès depuis une autre machine, on peut ajouter un vhost à Apache qui se contentera de rediriger les requêtes vers Ajaxterm, par le biais du module mod_proxy. Évidemment, ce vhost devra être accessible en HTTPS si on veut conserver l'avantage du chiffrement SSL/TLS.

Cette fonctionnalité nécessite d'activer les modes mod_proxy, mod_proxy_http et mod_ssl :
a2enmod ssl
a2enmod proxy
a2enmod proxy_http

Génération d'un certificat auto-signé

Pour avoir un accès en SSL on peut utiliser un certificat existant ou générer un certificat auto-signé :
make-ssl-cert /usr/share/ssl-cert/ssleay.cnf /etc/ssl/ajaxterm.crt
Bien évidemment, ce certificat auto-signé lèvera une erreur dans le navigateur. Il est préférable de le signer avec un certificat racine approuvé par le navigateur.

Ajout d'un vhost Apache

On crée donc un /etc/apache2/sites-available/ajaxterm que l'on paramètre pour rediriger les requêtes de /ajaxterm/ vers le port 8022 :

<VirtualHost *:443>

ServerName localhost
SSLEngine On
SSLCertificateFile /etc/ssl/ajaxterm.crt
ProxyRequests Off

<Proxy *>
Order deny,allow
Allow from all
</Proxy>

ProxyPass /ajaxterm/ http://localhost:8022/
ProxyPassReverse /ajaxterm/ http://localhost:8022/

</VirtualHost>

Et on l'active :
a2ensite ajaxterm
Et là youpi ! En pointant un navigateur vers https://IP_du_serveur/ajaxterm/ on peut ouvrir une session SSH sur le serveur.

Augmentation du timeout de la session

Par défaut, votre session SSH se terminera après deux minutes d'inactivité. Je n'ai pas vraiment compris pourquoi mais ce temps peut être augmenté sans problème. Éditons le fichier /usr/share/ajaxterm/ajaxterm.py. À la ligne 395, on remplace modifie la valeur de INACTIVE_PROCESS_TIMEOUT pour le mettre par exemple à 300 secondes (5 minutes). Après un petit redémarrage d'Ajaxterm (/etc/init.d/ajaxterm restart) le nouveau timeout d'inactivité est pris en compte.

Conclusion

Les avantages :

• Passe les proxy.
• Simplicité d'installation ;

Les inconvénients :

• Pas de session SSH vers un autre serveur, uniquement en local ;
• Pas avec compatible IE7 (ok avec IE8) EDIT 11/03/2011 : en fait si, aujourd'hui ça fonctionne ;
• Reset de la connexion au bout de 2 minutes d'inactivité (modifiable) ;
• Nécessite un reverse proxy pour l'atteindre depuis une autre machine. Le paquet ajaxterm dépend d'Apache.

Zimbra est un groupware puissant qui a l'avantage d'avoir une version dite OSE qui est open source sous licence ZLT (Zimbra Licensing Terms).

En plus de faire du mail, il fait aussi calendrier (Caldav), gestion de contact (CardDav), gestion de tache et Porte document. Propose un interface web, le support des protocoles IMAP(S), SMTP(S), POP(S) et est extensible par des plugins. Zimbra propose gratuitement Zimbra Descktop, qui est un client lourd de messagerie qui support toutes les fonctionnalités de Zimbra et est disponible sur Windows, Linux et MAC.

En claire ça fais beaucoup de chose, c'est sur des protocoles standards, c'est gratuit et ça poutre ;p

Nous allons faire cette installe sur une vm Debian 5 fraîchement installé. Les precos pour un serveur de test sont 1Gb de ram, 5Gb de disque. Pour de la prod, le mini est 2Gb de ram et 10Gb de disque.

• Petite precision : Je fais tourner ça sur un atom, donc je suis obligé de prendre un version 32Bit, mais si vous le pouvez prenez la 64bit. Qui plus est je prend une version Beta, car je la trouve stable et plus légère que la version stable. Faite vos choix

1) récupération de Zimbra OSE

# wget http://files2.zimbra.com/downloads/7.0.0_BETA3/zcs-7.0.0_BETA3_2996.DEBIAN5.20101209114956.tgz

2) préparation du serveur : DNS

Il vous faut un DNS qui tien la route pour que cela fonctionne. J'ai passé un certain temps sur les conf en testant de passer par les dns d'un provider, mais sans succès. Je suis donc parti sur un DNS local directement sur le serveur ou l'on installe Zimbra. Ceci dis, si vous avez un DNS dans votre réseaux local, configurez le pour que ça tourne (Je suppose que vous n'avez pas besoin de moi, pour éditer une zone DNS :p )

Sinon regardez ce billet : DNS

3) installation

# tar xvzf zcs-7.0.0_BETA3_2996.DEBIAN5.20101209114956.tgz

# cd zcs-7.0.0_BETA3_2996.DEBIAN5.20101209114956

# ./install.sh

A partir de là, suivez les instructions données pas Zimbra.

Acceptez la licence.

Généralement il manque des paquets, quitez l'installeur de Zimbra et installez les:
# aptitude install sudo libidn11 libpcre3 libgmp3c2 libexpat1 sysstat sqlite3%%

• Les paquets ci dessus sont valable dans le cas de Zimbra 7beta3 sur une Debian 5, adaptez les en fonction de ce qui est demandé par l'installeur.
  

Pour une installation simple, laissez le choix des modules par défaut, et acceptez. Zimbra va alors copier ces paquets sur le serveur puis lancer la configuration. La première chose qu'il vous demande concerne le domaine. Par défaut, il prend le nom de la machine comme nom de domaine il faut le changer:
DNS ERROR resolving MX for monserveur.domaine.loc
It is suggested that the domain name have an MX record configured in DNS
Change domain name? [Yes] Yes
Create Domain: [mta.reseau.loc] domaine.loc

Si votre DNS est bien configuré, il valide et passe a la suite, si ce n'est pas le cas, revoyez la config DNS et recommencez.

La seconde chose à faire est de changer le mot de passe par défaut de l'interface d'admin, entrez les commandes suivantes avec appui sur <entrer> entre chanque : 3 ,4
il vous demande alors de changer le mot de passe :
Password for admin@domain.loc (min 6 characters): [mot_de_passe_aléatoire] Mon nouveau mot de passe

Validez et enregistrez la configuration avec la séquence : r, a.
Répondez yes pour enregistrer la configuration
validez le fichier de configuration
et enfin lancer l'installation en répondant yes

L'installation va se lancer, vous n'avez rien a faire jusqu’à ce qu'il vous demande si vous voullez ou non notifier votre installation a Zimbra, une fois de plus, libre a vous (moi je ne le fais pas).

L'installation se poursuit et se fini. Il vous indique ou il enregistre votre fichier de conf et vous demande de presser entrer pour conclure l'installation. Je vous conseil de rebooter une fois avant de commencer à utiliser Zimbra.

4) Accès au service (pas un brouteur internet) :

Interface d’administration :

adresse : https://ip_du_serveur:7071 (valider le certif)
User : admin
MdP : celui que vous avez saisi lors de l'installations

Interface utilisateur :

adresse : http://ip_du_serveur
User : email, nom de compte, ou alias (avec ou sans le @domain.loc)
MdP : celui définit par l'utilisateur

Le but de ce billet est de créer une passerelle qui sort directement sur le réseau Tor.
A quoi cela peut bien servir ? Par exemple en changeant la route par défaut d'un client lui permettre d'être anonyme sur la toile (attention aux données sensibles qui transitent dans le réseau Tor tout de même), ou encore fournir une passerelle, potentiellement ouverte, vers internet sans être reconnu comme IP source des paquets sortants.

Tor est un réseau d'ordinateurs (volontairement) zombies qui permet de faire du multi-proxy.

Installer Tor

La première étape est l'installation de Tor sur un serveur:
# apt-get install tor
... et ben voilà, première étape terminée ;)
| Comme toujours, il est possible d'installer Tor à partir de ses sources afin d'avoir la dernière version:
$ wget http://www.torproject.org/dist/tor-0.2.1.28.tar.gz
$ tar xzf tor-0.2.1.28.tar.gz && rm tor-0.2.1.28.tar.gz
$ cd tor-0.2.1.28
$ ./configure
$ make
$ su -c 'make install'

|| Requirements:
# apt-get install build-essential
# apt-get install libevent-dev
# apt-get install libssl-dev

Configuration de Tor

(Rappel: on ne souhaite pas dans ce billet configurer Tor comme relais, mais simplement comme point d'entrée dans le réseau Tor)

Emplacement: /etc/tor/torrc ou /urs/local/etc/tor/torrc

RunAsDaemon 1
# Port et adresse d'écoute du démon Tor(relai)
# ORPort 9001
# ORListenAddress 127.0.0.1
# Port et adresse d'écoute pour les requêtes DNS
DNSPort 53
# Port et adresse d'écoute pour Tor en mode proxy transparent
TransPort 8118
TransListenAddress 0.0.0.0

A présent, vous pouvez lancer Tor:
# invoke-rc.d tor start
ou
# tor

Configuration IP forward

Configuration netfilter/iptables

Afin de concentrer tout le trafic entrant vers le proxy transparent local, on configure quelques règles iptables simples:
iptables -F -t nat
iptables -F
iptables -X
## Règles locales
iptables -t nat -A OUTPUT -p tcp -j REDIRECT --to-ports 8118
iptables -t nat -A OUTPUT -p udp -m udp --dport 53 -j REDIRECT --to-ports 53
## Règles extérieures
iptables -t nat -A PREROUTING -p tcp -j REDIRECT --to-ports 8118
iptables -t nat -A PREROUTING -p udp -m udp --dport 53 -j REDIRECT --to-ports 53

Vous pouvez tester si le proxy fonctionne en local simplement en vous rendant sur www.whatismyip.org (et vérifier que ce n'est pas votre IP) ou:
$ GET whatismyip.org
ou
$ w3m whatismyip.org
Le même test est réalisable à partir d'un client extérieur après lui avoir modifié sa route par défaut.

Configuration annexe

Si vous voulez que l'ensemble du trafic d'un hôte passe systématiquement dans le réseau Tor, il suffit de configurer le serveur DHCP en rajoutant une entrée host. Par exemple pour dhcpd, on peut rajouter l'entrée suivante dans le fichier /etc/dhcp3/dhcpd.conf

host monHote{
fixed-address A.B.C.D;
hardware ethernet XX:XX:XX:XX:XX:XX;
option routers {adresse IP du serveur Tor}
}

Mise à jour: Commande socat:

John The Ripper fait parti des meilleurs crackers de mot de passe, de part sa puissance et sa connaissance de nombreux algorithmes. Cependant, sa version officielle ne permet pas son exécution sur plusieurs core. Heureusement, une implémentation de JTR utilisant OpenMPI existe pour palier à ce problème.

Configuration du partage de fichier avec Samba

• le paquet samba doit être installé

# sudo aptitude install samba

• toutes les configurations se font dans le fichier smb.conf (en faire une copie de sauvegarde au préalable)

1) Accès libre

Dans ce cas, le partage est accessible à toutes personnes connaissant le chemin. La particularité est que les accès se feront avec l'identité d'un utilisateur défini et ayant les droits sur le partage. Il est possible d'utiliser un utilisateur de la machine ou un utilisateur de crée spécialement (cf : 2.a )

a) Configuration

#======================= Global Settings =======================

[global]

       server string = %h server (Samba, Ubuntu)
       security = SHARE
       syslog = 0
       dns proxy = No
       guest account = utilisateur_par_defaut (ex: root, toto, sambauser ...)
       socket options = TCP_NODELAY SO_RCVBUF=8192 SO_SNDBUF=8192

#======================= Share Definitions =======================

[nom_du_partage]

       comment = commentaire sur le partage
       path =  chemin_du_partage
       public = yes
       guest ok = yes
       read only = no
       create mask = droit_en_création (ex: 0660)
       directory mask = droit_sur_le_répertoire (ex: 0770)

2) Accès Contrôlés

a) Les utilisateurs

Pour un peu plus de sécurité, nous pouvons demander à ce que toutes personnes voulant se connecter au partage soit identifié. Pour cela il y a deux possibilités:

• Un utilisateur Samba (qui à juste le droit d'accès au(x) partage(s) )
  

Création de l'utilisateur :

sudo useradd -s /bin/false -d /dev/null -g guest nom_utilisateur

-s /bin/false interdit l’utilisation d'un Shell, -d /dev/null redirige le home vers le néant intersidéral et -g guest le groupe qui accueil les utilisateurs invités (à créer au besoin)

• Etre un utilisateur du système (qui a le droit de se connecter sur la machine pour avoir un Shell)

Pas besoin de le crée, il exite déjà :)

• Dans les deux cas il faut définir un mot de passe spécifique à Samba pour les utilisateurs :
  

sudo smbpasswd -a nom_utilisateur

b) Configuration

#======================= Global Settings =======================

[global]

  workgroup = WORKGROUP
  server string = %h server (Samba)
  dns proxy = no

#### Debugging/Accounting ####

  log file = /var/log/samba/log.%m
  max log size = 1000
  syslog = 0
  panic action = /usr/share/samba/panic-action %d

####### Authentication #######

  encrypt passwords = true
  passdb backend = tdbsam
  obey pam restrictions = yes
  unix password sync = yes
  passwd program = /usr/bin/passwd %u
  passwd chat = *Enter\snew\s*\spassword:* %n\n *Retype\snew\s*\spassword:* %n\n *password\supdated\ssuccessfully* .
  pam password change = yes
  map to guest = bad user

########## Domains ###########

  usershare allow guests = yes

#======================= Share Definitions =======================

[nom_du_partage]

       comment = commentaire sur le partage
       path = chemin_du_partage
       create mask = droit_en_creation (ex: 0660)
       directory mask = droit_sur_le_repertoire (ex: 0770)
       read only = No
       security = share

3) Montage en lecteur windows

Pour monter automatiquement le partage dans windows, il est possible d'ajouter dans le dossier "Démarrage" du menu démarer un batch comprenant la ligne suivant :
net use z: \\chemin_du_partage /user:login mot_de_passe

Si vous aussi vous voulez écouter une webradio dans votre entreprise sur votre lecteur favoris (et non un webplayer pourrave), il est possible d'ajouter un proxy dans VLC.

• Sous Windows (testé et approuvé):

1. Click droit sur l'icône "VLC media player"
2. Propriétés
3. Rajouter dans la cible (en dehors des " ")

     --http-proxy=my.proxy.com:8080

• Sous Linux (à tester):

vlc --http-proxy=monproxyenmousse:1337

Après, il faut aussi une webradio fairplay qui diffuse sur un port non bloqué