Captaine's blog

apt-get install bridge-utils

apt-get install ebtables

 #!/bin/sh
 #
 # Script de démarrage qui lance l'interface réseau internet,
 # met en place un firewall basique et un partage de connexion et le pont pour l'IPv6 de Free
 #
 # Inspiré du script de Mjules_at_ifrance.com
 #

 # Interface connectée à  Internet 
 interface=eth1
 
 # Interface connectée au réseau local
 interfacelan=eth0
  
 start() {

 # Désactivation des interfaces réseau
 /sbin/ifdown $interface
 /sbin/ifdown $interfacelan
 
 
 # Création du bridge pour faire transiter les paquets IPv6
 brctl addbr br0

 # activation du bridge
 ifconfig br0 up

 # Ajout des interfaces au bridge
 brctl addif br0 eth1
 brctl addif br0 eth0 
 
 # Activation des interfaces réseau 
 /sbin/ifup $interface
 /sbin/ifup $interfacelan
 
 # Dans cette partie, on met en place le firewall
 #vidage des chaines
 iptables -F
 #destruction des chaines personnelles
 iptables -X
  
 #stratégies par défaut
 iptables -P INPUT DROP
 iptables -P FORWARD DROP
 iptables -P OUTPUT ACCEPT
  
 #init des tables NAT et MANGLE (pas forcément nécessaire)
 iptables -t nat -F
 iptables -t nat -X
 iptables -t nat -P PREROUTING ACCEPT
 iptables -t nat -P POSTROUTING ACCEPT
 iptables -t nat -P OUTPUT ACCEPT
  
 iptables -t mangle -F
 iptables -t mangle -X
 iptables -t mangle -P PREROUTING ACCEPT
 iptables -t mangle -P OUTPUT ACCEPT
  
  
 # Acceptation de toutes les connexions en local (un process avec l'autre)
 iptables -A INPUT -i lo -j ACCEPT
 iptables -A OUTPUT -o lo -j ACCEPT
 #iptables -A INPUT -i eth0 -j ACCEPT
 #iptables -A OUTPUT -o eth0 -j ACCEPT   
  
 #création d'une nouvelle règle
 iptables -N MAregle
  
 #définition de la règle : accepter les nouvelles connexions ne venant pas de l'interface internet
 # et accepter toutes les connexions établies et reliées (ex: une demande de page HTML provoque l'ouverture
 # d'une connexion reliée pour acheminer cette page vers l'ordinateur)
  
 iptables -A MAregle -m state --state NEW -i! $interface -j ACCEPT
 iptables -A MAregle -m state --state ESTABLISHED,RELATED -j ACCEPT
  
 #application de la règle au partage de connexion
 iptables -A INPUT -j MAregle
 iptables -A FORWARD -j MAregle
  
 # activation du forwarding dans le noyau   
 echo 1 >/proc/sys/net/ipv4/ip_forward

 # mise en place du partage de connexion sur le réseau local
 iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -o $interface -j MASQUERADE
 
 # Ouvertures de ports pour le routeur
 iptables -A INPUT -p TCP --dport ssh -i $interface -j ACCEPT
 iptables -A INPUT -p TCP --dport 80 -i $interface -j ACCEPT
 iptables -A INPUT -p TCP --dport 443 -i $interface -j ACCEPT 
 
 # Port-Forwarding pour adsl TV
 iptables -t nat -A PREROUTING -i eth1 -p udp --dport 31336 -j DNAT --to 192.168.0.3:31336
 iptables -A FORWARD -i eth1 -p udp --dport 31336 -d 192.168.0.3 -j ACCEPT
 
 # On n'autorise que l'IPv6 sur le bridge br0 (86DD Correspond à la valeur du champ type de protocole de couche 3 dans la trame Ethernet)
 ebtables -t broute -A BROUTING -p ! 86DD -j DROP
 
 }
  
 stop() {
         echo 0 >/proc/sys/net/ipv4/ip_forward
         ifconfig br0 down
         brctl delif br0 eth0
         brctl delif br0 eth1
         brctl delbr br0
         ifdown $interface
         iptables -F
         iptables -X
 }
  
 case "$1" in
  start)
         start
         ;;
  
 stop)
         stop
         ;;
 restart)
         stop && start
         ;;
 *)
         echo "Usage $0 {start|stop|restart}"
         exit 1
 esac
  
 exit 0

sudo update-rc.d scriptconfrouteur start 99 2 . stop 00 2 0 1 6 .

Ntop est un utilitaire pour Unix et Windows. Il permet d’analyser en temps réel le trafic transitant par l'interface réseau que l'on choisit. Les informations récoltées sont visibles sur une page web de manière très ergonomique. On peut y retrouver par exemple les sites visités, les protocoles utilisés (il y en a beaucoup), la quantité de données transférées sur chaque protocoles.... Par contre il ne garde aucune trace des informations et il utilise le Round Robin pour supprimer au fur et à mesure les anciennes données. Il y a aussi des petits plugins pour ajouter des fonctionnalités, par exemple un affichage adapté à un navigateur mobile.

Pour l'installer :

sudo apt-get install ntop

Lancement du daemon NtopPour lancer Ntop, il faut saisir la commande suivante:

sudo ntop -w 3000 -W 3443

On lance Ntop et on lui demande de créer un serveur Web sur le port 3000 (HTTP) pour afficher les résultats.Si vous avez plusieurs interfaces réseaux sur votre machine, vous pouvez utiliser l’option ‘-i interface‘ pour fixer l’interface à surveiller par Ntop.Pour changer le port utilisé par Ntop pour afficher son interface web: ‘-w port HTTP‘ ou ‘-W port HTTPS‘.

Il suffit ensuite d'aller sur http://monIP-ou-domaine:3000 ou https://monIP-ou-domaine:3443. A ce moment là on obtient de magnifiques graphes et statistiques sur beaucoup de protocoles comme Http, FTP, DNS, eDonkey, WinMX, SSH...

De plus, dans l'interface de configuration, on peut configurer Ntop pour se lancer en tant que daemon au démarrage du système :

Un problème de cet utilitaire est qu'on ne peut pas l'utiliser directement sur le port 80 ou dans un Virtual Host d'Apache. Cependant, voici une solution. Commençons pas activer les modules Apache2 :

a2enmod proxy
a2enmod proxy_http

Ensuite, il faut modifier les fichiers de configuration d'Apache2 en rajoutant un VirtualHost :

<VirtualHost *:80>
    ServerAdmin adressemailadmin@domaine.fr
    ServerName ntop.domaine.fr
    ProxyRequests Off
    <Proxy *>
        Order deny,allow
        Allow from all
    </Proxy>
    ProxyPass / http://localhost:3000/
    ProxyPassReverse / http://localhost:3000/
    CustomLog /var/log/apache2/access.log combined
</VirtualHost>

Vous pouvez ensuite modifier votre VirtualHost pour sécuriser tout ça en activant HTTPS ou en mettant un mot de passe.

apt-get install proftpd-mysql openssl 

CREATE DATABASE `proftpd`;
USE proftpd;

-- 
-- Table structure for table `ftpgroup`
-- 
CREATE TABLE `ftpgroup` (
`groupname` varchar(16) NOT NULL default '',
`gid` smallint(6) NOT NULL default '5500',
`members` varchar(16) NOT NULL default '',
KEY `groupname` (`groupname`)
) TYPE=MyISAM COMMENT='Table des groupes ProFTPD';

-- 
-- Table structure for table `ftpuser`
-- 
CREATE TABLE IF NOT EXISTS `ftpuser` (
  `id` int(10) unsigned NOT NULL auto_increment,
  `userid` varchar(32) NOT NULL default '',
  `passwd` varchar(32) NOT NULL default '',
  `uid` smallint(6) NOT NULL default '5500',
  `gid` smallint(6) NOT NULL default '5500',
  `email` varchar(255) NOT NULL,
  `homedir` varchar(255) NOT NULL default '',
  `shell` varchar(16) NOT NULL default '/bin/false',
  `count` int(11) NOT NULL default '0',
  `accessed` datetime NOT NULL default '0000-00-00 00:00:00',
  `dl_bytes` bigint(20) NOT NULL,
  `dl_count` bigint(20) NOT NULL,
  `ul_bytes` bigint(20) NOT NULL,
  `ul_count` bigint(20) NOT NULL,
  `modified` datetime NOT NULL default '0000-00-00 00:00:00',
  `LoginAllowed` enum('true','false') NOT NULL default 'true',
  PRIMARY KEY  (`id`)
) ENGINE=MyISAM  COMMENT='Table des utlisateurs ProFTPD' ; 

GRANT USAGE ON proftpd.localhost TO proftpd@'localhost'
IDENTIFIED BY password WITH GRANT OPTION;

openssl req -new -x509 -days 365 -nodes -out /etc/proftpd/ssl/proftpd.cert.pem -keyout /etc/proftpd/ssl/proftpd.key.pem

#
# /etc/proftpd/proftpd.conf -- This is a basic ProFTPD configuration file.

# To really apply changes reload proftpd after modifications.

# 


# Includes DSO modules
Include /etc/proftpd/modules.conf


# Set off to disable IPv6 support which is annoying on IPv4 only boxes.

UseIPv6				on


ServerName "Mon serveur FTP"

ServerType standalone

ServerIdent on "Bienvenue sur mon ftp. Veuillez-vous identifiez"

DeferWelcome on


MultilineRFC2228		on

DefaultServer			on

ShowSymlinks			on


TimeoutNoTransfer		600

TimeoutStalled		600

TimeoutIdle			1200


DisplayLogin                    welcome.msg

DisplayFirstChdir               .message

ListOptions                	"-l"


DenyFilter			\*.*/


# Use this to jail all users in their homes 

 DefaultRoot			~


 # Users require a valid shell listed in /etc/shells to login.

 # Use this directive to release that constrain.

 RequireValidShell		off


 # Port 21 is the standard FTP port.

 Port				21


 # In some cases you have to specify passive ports range to by-pass

 # firewall limitations. Ephemeral ports can be used for that, but

 # feel free to use a more narrow range.

 PassivePorts                  19200 19250


 # If your host was NATted, this option is useful in order to

 # allow passive tranfers to work. You have to use your public

 # address and opening the passive ports used on your firewall as well. 

 MasqueradeAddress mon.domaine.fr



 # To prevent DoS attacks, set the maximum number of child processes

 # to 30.  If you need to allow more than 30 concurrent connections

 # at once, simply increase this value.  Note that this ONLY works

 # in standalone mode, in inetd mode you should use an inetd server

 # that allows you to limit maximum number of processes per service

 # (such as xinetd)
MaxInstances			30


 # Set the user and group that the server normally runs at.

 User				proftpd

 Group				nogroup


 # Umask 022 is a good standard umask to prevent new files and dirs

 # (second parm) from being group and world writable.

 Umask				022  022

 # Normally, we want files to be overwriteable.

 AllowOverwrite			on


 # Uncomment this if you are using NIS or LDAP to retrieve passwords:

 # PersistentPasswd		off


 # Be warned: use of this directive impacts CPU average load!

 # Uncomment this if you like to see progress and transfer rate with ftpwho

 # in downloads. That is not needed for uploads rates.

 #

 # UseSendFile			off


 # Choose a SQL backend among MySQL or PostgreSQL.

 # Both modules are loaded in default configuration, so you have to specify the backend 

 # or comment out the unused module in /etc/proftpd/modules.conf.

 # Use 'mysql' or 'postgres' as possible values.
#

 <ifmodule mod_sql.c>

 SQLBackend			mysql

 </ifmodule>


 TransferLog /var/log/proftpd/xferlog

 SystemLog   /var/log/proftpd/proftpd.log


 #Mise en place du mode TLS

 <ifmodule mod_tls.c>

 TLSEngine                  on

 TLSLog                     /var/log/proftpd/tls.log

 TLSProtocol                SSLv23

 TLSOptions                 NoCertRequest

 TLSRSACertificateFile      /etc/proftpd/ssl/proftpd.cert.pem

 TLSRSACertificateKeyFile   /etc/proftpd/ssl/proftpd.key.pem

 TLSVerifyClient            off


 #TLS non obligatoire (pour les clients qui ne sont pas compatibles)

 TLSRequired                off

 </ifmodule>


 <ifmodule mod_quota.c>

 QuotaEngine on

 </ifmodule>


 <ifmodule mod_ratio.c>

 Ratios on

 </ifmodule>



 # Delay engine reduces impact of the so-called Timing Attack described in

 # http://security.lss.hr/index.php?page=details&ID=LSS-2004-10-02

 # It is on by default. 

 <ifmodule mod_delay.c> 

 DelayEngine on

 </ifmodule>


 <ifmodule mod_ctrls.c>

 ControlsEngine        on

 ControlsMaxClients    2

 ControlsLog           /var/log/proftpd/controls.log

 ControlsInterval      5
ControlsSocket        /var/run/proftpd/proftpd.sock

 </ifmodule>


 <ifmodule mod_ctrls_admin.c>

 AdminControlsEngine on

 </ifmodule>




 # Mod MySQL
# =========

 # Les mots de passe sont cryptés dans la base avec la fct ENCRYPT (MySQL)

 SQLAuthTypes Crypt

 SQLAuthenticate users* groups*


 # Modifiez cette ligne selon l'utilisateur et le mot de passe définis plus haut

 SQLConnectInfo nom_de_la_base@localhost utilisateur mot_de_passe


 # On donne à ProFTPD le nom des colonnes de la table usertable

 SQLUserInfo ftpuser userid passwd uid gid homedir shell

 SQLUserWhereClause "LoginAllowed = 'true'"


 # On donne à ProFTPD le nom des colonnes de la table "grouptable"

 SQLGroupInfo ftpgroup groupname gid members


 # Crée le répertoire home de l'utilisateur si il n'existe pas

 CreateHome on


 # Met jour les compteurs chaque connection d'un utilisateur

 SQLLog PASS updatecount

 SQLNamedQuery updatecount UPDATE "count=count+1, accessed=now() WHERE userid='%u'" ftpuser


 #Met jour les compteurs chaque upload ou download d'un utilisateur

 SQLLog STOR,DELE modified

 SQLNamedQuery modified UPDATE "modified=now() WHERE userid='%u'" ftpuser


 # Met à jour le nombre de bytes downloadés

 SQLLog RETR                     dlbytescount

 SQLNamedQuery                   dlbytescount UPDATE "dl_bytes=dl_bytes+%b WHERE userid='%u'" ftpuser


 #Met à jour le nombre de téléchargements

 SQLLog RETR                     dlcount

 SQLNamedQuery                   dlcount UPDATE "dl_count=dl_count+1 WHERE userid='%u'" ftpuser


 #Met à jour le nombre de bytes uploadés

 SQLLog STOR                     ulbytescount

 SQLNamedQuery                   ulbytescount UPDATE "ul_bytes=ul_bytes+%b WHERE userid='%u'" ftpuser


 #Met à jour le nombre d'uploads

 SQLLog STOR                     ulcount

 SQLNamedQuery                   ulcount UPDATE "ul_count=ul_count+1 WHERE userid='%u'" ftpuser


 # On désactive le login root

 RootLogin off



 # Gestion des logs
# ================

 # Enregistre les reques SQL dans /var/log/proftpd/mysql.log

 SQLLogFile /var/log/proftpd/mysql.log

 # Enregistre les authentifications

 LogFormat auth "%v [%P] %h %t \"%r\" %s"

 ExtendedLog /var/log/proftpd/auth.log AUTH auth

 # Enregistre les acc aux fichiers

 LogFormat write "%h %l %u %t \"%r\" %s %b"

 ExtendedLog /var/log/proftpd/access.log WRITE,READ write


 # Recupere le nom partir de l'ip de la machine de l'utilisateur ( resolution DNS )

 IdentLookups on

/etc/init.d/proftpd restart

INSERT INTO `ftpuser` ( `id`, `userid`, `passwd`, `uid`, `gid`, `homedir`, `shell`, `count`, `accessed` , `modified`, `LoginAllowed`, `email` ) VALUES ('', 'test', ENCRYPT('pwd'), '5500', '5500', '/home/ftp/test', '/bin/false', '', '', '', 'true', 'test@domaine.tld' );

curl --ftp-ssl-reqd -k -u utilisateur:mot_de_passe -T nom_fichier ftp://mon.domaine.tld/path/

Si vous avez eu une journée de merde, ce site est pour vous : lien

PS : Ce tuto se base sur un PC routeur Ubuntu avec ce script lancé. Cela implique que j'ai un bridge br0 où il n'y a que IPv6 d'autorisé à transiter. L'interface tap0 du VPN va être ajoutée à ce bridge ce qui veut dire que IPv4 sera bloqué à travers le VPN. Mon but est de permettre à un réseau ne pouvant pas avoir IPv6 de l'obtenir à travers ce VPN.

Pour commencer il faut installer avec ce tuto OpenVPN sur le serveur et le client en mode bridge avec la directive dev tap0

Il faut ensuite installer bridge-utils puis créer l'interface tap0 avec le script suivant du coté serveur :

#!/bin/bash

#################################
# Set up Ethernet bridge on Linux
# Requires: bridge-utils
#################################

# Define Bridge Interface
br="br0"

# Define list of TAP interfaces to be bridged,
# for example tap="tap0 tap1 tap2".
tap="tap0"

# Define physical ethernet interface to be bridged
# with TAP interface(s) above.
eth="eth0" #Wan vers Freebox en IPv6
eth1="eth1" #Lan 

for t in $tap; do
    openvpn --mktun dev $t
done

brctl addbr $br
brctl addif $br $eth
brctl addif $br $eth1

for t in $tap; do
    brctl addif $br $t
done

Puis du côté client :

#!/bin/bash

#################################
# Set up Ethernet bridge on Linux
# Requires: bridge-utils
#################################

#Lancement d'OpenVPN
openvpn /etc/openvpn/client.conf

# Define Bridge Interface
br="br0"

# Define list of TAP interfaces to be bridged,
# for example tap="tap0 tap1 tap2".
tap="tap0"

# Define physical ethernet interface to be bridged
# with TAP interface(s) above.
eth="eth0" #Lan

brctl addbr $br
brctl addif $br $eth

for t in $tap; do
    brctl addif $br $t
done

Dans /etc/apache2/apache2.conf :

UserDir ./
UserDir disabled
UserDir enabled nomUser

Il faut aussi créer les liens symbolique pour le module UserDir d'Apache 2:

a2enmod userdir

Prise en main depuis une machine sous Linux:

Ouvrez deux sessions de terminal :

- 1er terminal (à laisser ouvert le temps de la session VNC) :

ssh -L 5901:localhost:5900 -C <user>@<machine_a_contrôler_ip_ou_nom_domaine>

- 2ème terminal:

vncviewer localhost:1

Remarque : on peut aussi passer par les interfaces graphiques déjà disponibles (Terminal Server Client pour Gnome, Krdc pou KDE), ce qui évite d'ouvrir le deuxième terminal...

Prise en main depuis une machine sous Windows:

Une solution simple et efficace existe sous Windows afin de prendre en main une machine Ubuntu, le tout via un tunnel SSH.

Les manipulations sont les mêmes pour la machine à contrôler, les changements interviennent seulement sur la machine qui contrôle (dans mon cas sous Windows XP).

- télécharger le logiciel PUTTY permettant l'accès à la console en ssh ici: http://www.chiark.greenend.org.uk/~sgtatham/putty/

Démarrez Putty, entrez l'adresse sur laquelle vous voulez vous connectez (ip publique ou nom de domaine, pour en ouvrir un gratuit voyez par ici :http://doc.ubuntu-fr.org/serveur/dns_dynamique)

Choisissez SSH en 'Connection Type'. Sur la gauche de l'écran rendez vous dans l'onglet 'SSH', puis 'Tunnel': en 'source port', ajoutez 5900 en 'destination', ajouter 127.0.0.1:5900

cochez éventuellement sous SSH 'Enable Compression'

Sauvegarder votre profil.

- télécharger vncviewer ici: http://www.realvnc.com Connectez vous sur le port 127.0.0.1, vous voilà connecté sur votre machine Ubuntu en ssh, sécurisé donc!

sudo aticonfig --overlay-type=Xv