Comment ajouter une route statique sur une distribution Linux Ubuntu

Pour ajouter une route statique au démarrage d'Ubuntu, voici le fichier à modifier.

Dans l'exemple on ajoute une route pour joindre le réseau 192.168.2.0/24 via l'équipement qui a pour adresse 192.168.1.253.

Ubuntu# vi /etc/netplan/01-network-manager-all.yaml

# Let NetworkManager manage all devices on this system

network:

  version: 2

  renderer: NetworkManager

  ethernets:

    enp3s0:

      dhcp4: true

      routes:

      - to: 192.168.2.0/24

        via: 192.168.1.253

On applique ensuite la configuration:

Ubuntu# netplan apply.

Et on vérifie avec la commande "ip route".

Ubuntu# ip route

default via 192.168.1.254 dev enp3s0 proto dhcp metric 100 

169.254.0.0/16 dev enp3s0 scope link metric 1000 

192.168.1.0/24 dev enp3s0 proto kernel scope link src 192.168.1.81 metric 100 

192.168.2.0/24 via 192.168.1.253 dev enp3s0 proto static metric 100 

Problème: le reverse proxy apache ne fonctionne pas

Un reverse proxy a été configuré mais ne fonctionne pas (erreur 503).

Les logs d'erreur du serveur apache indique:

[Wed Jul 02 16:44:56.310075 2015] [proxy_http:error] [pid 23725] [client 192.168.2.3:12916] AH01114: HTTP: failed to make connection to backend: 127.0.0.1
[Wed Jul 02 16:45:21.995132 2015] [proxy:error] [pid 23728] (13)Permission denied: AH00957: HTTP: attempt to connect to 127.0.0.1:5601 (127.0.0.1) failed
[Wed Jul 02 16:45:21.995176 2015] [proxy:error] [pid 23728] AH00959: ap_proxy_connect_backend disabling worker for (127.0.0.1) for 60s
[Wed Jul 02 16:45:21.995183 2015] [proxy_http:error] [pid 23728] [client 192.168.2.3:12917] AH01114: HTTP: failed to make connection to backend: 127.0.0.1

Diagnostique:

Le problème est causé par SELinux.

Résolution: 

Configuration de selinux avec la ligne suivante:

# /usr/sbin/setsebool -P httpd_can_network_connect 1

Documentation systemctl

Afficher l’état d’un service avec systemctl: 

[root@linux ~]# systemctl status snmpd.service
snmpd.service - Simple Network Management Protocol (SNMP) Daemon.
   Loaded: loaded (/usr/lib/systemd/system/snmpd.service; disabled)
   Active: active (running) since mar. 2014-10-28 10:24:00 CET; 2s ago
 Main PID: 15568 (snmpd)
   CGroup: /system.slice/snmpd.service
           15568 /usr/sbin/snmpd -LS0-6d -f

Arrêter et démarrer un service:

[root@linux ~]# systemctl stop snmpd.service

[root@linux ~]# systemctl start snmpd.service

[root@linux ~]# systemctl restart snmpd.service

Activer un service au démarrage de la machine avec systemctl:

[root@linux ~]# systemctl enable snmpd.service
ln -s '/usr/lib/systemd/system/snmpd.service' '/etc/systemd/system/multi-user.target.wants/snmpd.service'

Suppression de l’activation d’un service au démarrage de la machine

[root@linux ~]# systemctl disable snmpd.service
rm '/etc/systemd/system/multi-user.target.wants/snmpd.service'

Copier un répertoire vers un autre avec scp

On copie le répertoire user et ce qu’il contient dans le répertoire home de la machine 192.168.2.1.
Le -r permet de recopier toute l’arborescence (récursivité).

[root@linux home]# scp -r /home/user root@192.168.2.1:/home

Commande vérification serveur ntp sous linux

Pour vérifier que le serveur ntp fonctionne bien:

[root@Linux ~]# ntpq -p
     remote           refid      st t when poll reach   delay   offset  jitter
==============================================================================
*ntp.time.fr 192.168.2.6   3 u   36  128  377    0.189  -90.717  10.542
[root@Linux ~]#

Copie de répertoire avec tar

$ cd /source/repertoire/
$ tar cf - . | (cd /destination/repertoire/ ; tar xf -)

Gestion de firewalld en ligne de commande

Démarrer firewalld

#systemctl start firewalld

Vérifier l’activation de firewalld

[root@linux services]# systemctl status firewalld
firewalld.service - firewalld - dynamic firewall daemon
   Loaded: loaded (/usr/lib/systemd/system/firewalld.service; enabled)
   Active: active (running) since lun. 2014-10-20 12:24:39 CEST; 3h 53min ago
 Main PID: 627 (firewalld)
   CGroup: /system.slice/firewalld.service
           627 /usr/bin/python -Es /usr/sbin/firewalld --nofork --nopid

Vérification: est ce que la commande firewall-cmd est présente et fonctionne bien?

[root@linux services]# firewall-cmd --version
0.3.9
[root@linux services]# firewall-cmd --state
running

Interdire le passage de tous les paquets puis autoriser le passage des paquets

#firewall-cmd --panic-on

#firewall-cmd --panic-off

[root@linux services]# firewall-cmd --query-panic
no

Recharger le service

[root@linux services]# firewall-cmd --reload
success

Recharger le firewall avec interruption des connections actives.

[root@linux services]# firewall-cmd --complete-reload
success

Liste des zones actives

[root@linux services]# firewall-cmd --get-active-zones
public
  interfaces: ens384

Afficher la zone d’une interface :

[root@linux services]# firewall-cmd --get-zone-of-interface=ens384
public

Liste des caractéristiques de la zone:

[root@linux services]# firewall-cmd --zone=public --list-all
public (default, active)
  interfaces: ens384
  sources:
  services: dhcpv6-client ssh
  ports:
  masquerade: no
  forward-ports:
  icmp-blocks:
  rich rules:

Pour lister les services présent dans /usr/lib/firewalld/services

[root@linux services]# firewall-cmd --get-service
amanda-client bacula bacula-client dhcp dhcpv6 dhcpv6-client dns ftp
 high-availability http https imaps ipp ipp-client ipsec kerberos kpasswd
 ldap ldaps libvirt libvirt-tls mdns mountd ms-wbt mysql nfs ntp openvpn
 pmcd pmproxy pmwebapi pmwebapis pop3s postgresql proxy-dhcp radius
 rpc-bind samba samba-client smtp ssh telnet tftp tftp-client
 transmission-client vnc-server wbem-https

Firewalld : la théorie

Firewalld utilise les outils iptables pour communiquer avec Netfilter qui implémente le filtrage des paquets dans les distributions redhat/centos.

Une caractéristique de firewalld

Avec iptables, à chaque prise en compte de nouvelles règles, les sessions en cours étaient coupées. Dans le cas de firewalld, l’application de nouvelles règles ne coupent pas les sessions.

Outil pour configurer firewalld

Deux outils pour configurer firewalld:

• Outil graphique: firewall-config
• Outil en ligne de commande : firewalld-cmd

Configuration de firewalld

Il y a deux types de configuration : la configuration courante (runtime) et la configuration permanente (permanent). La configuration permanente est enregistrée dans les fichiers de configuration. Elle est utilisée au démarrage de la machine et au démarrage du service firewalld.

En cas de redémarrage du service ou de la machine, la configuration non permanente (runtime) est donc perdue.

Fichier de configuration

Les répertoires de configurations sont: /usr/lib/firewalld et /etc/firewalld.

Notion de zone

Firewalld utilise des zones pour gérer la sécurité. Chaque interface d’une machine fait partie d’une zone. Il est possible de mettre plusieurs interfaces au sein d’une même zone.

Pour simplifier la mise en production, des zones ont été prédéfinies: drop, block, public, external, dmz, work, home, internal, trusted.

Zone par défaut

La zone par défaut est la zone publique (public). Il est possible de changer la zone par défaut.

Notion de service

Des services sont également prédéfinies. Un service est l’association d’un protocole et d’un port. Par exemple, le service http et l’association du protocole tcp et du port 80.

La liste des services pré-définies est ici: /usr/lib/firewalld/services.

Il est possible d’ajouter des services en se basant sur les modèles proposés.

Configuration en ligne de commande

En fonction des règles souhaitées, différents options sont à notre disposition.

firewalld propose par exemple de passer des règles directement à iptables via une interface directe (direct interface). L’utilisation de cette option nécessite une bonne connaissance d’iptables pour ne pas ajouter de faille au pare-feu.

Enfin, il est possible de configurer firewalld directement dans les fichiers de configuration.

Ajout d'un certificat dans un keystore java

Le certificat à importer dans le magasin keystore java doit être au format pkcs12.

Convertir le fichier de certificat et la clé du format pem vers un fichier pkcs12

[root@linux conf]#  openssl pkcs12 -export -out cert.p12 -inkey /home/bob/certificat.key -in /home/bob/linux/certificat.pem

Enter Export Password:

Verifying - Enter Export Password:

[root@linux conf]#

Import dans le magasin keystore

Puis on importe le fichier pkcs12 dans le magasin keystore.js.

La création du magasin et l’import s’effectue avec la commande suivante:

[root@linux conf]# keytool -importkeystore -deststorepass "password"  -destkeystore cert.keystore -srckeystore cert.p12 -srcstoretype PKCS12 -srcstorepass "password"

L'entrée de l'alias 1 a été importée.

Commande d'import exécutée : 1 entrées importées, échec ou annulation de 0 entrées

[root@linux conf]#

Changement du mot de passe du magasin keystore

[root@linux conf]# keytool -storepasswd -keystore repkeystore

Entrez le mot de passe du fichier de clés :

Nouveau keystore password :

Indiquez encore le nouveau keystore password :

[root@linux conf]#

Syntaxe lien symbolique sous linux

# ln -s /repertoire/destination/ nom_du_lien

Par exemple:

 # ln -s /opt/mysql/ mysql

Vérification:

 # ll | grep mysql
lrwxrwxrwx. 1 root    root      11 26 mars  10:10 mysql -> /opt/mysql/

Linux LVM2: Ajout d'un disque

Liste des commandes pour ajouter un nouveau disque

On repère le nouveau disque: 

[root@linux ~]# fdisk -l

Puis création des volumes:

[root@linux ~]# fdisk /dev/sdb
 Commande (m pour l'aide): n
p

Numéro de partition (1-4): 1

Premier cylindre (1-19581, par défaut 1):

Utilisation de la valeur par défaut 1

Dernier cylindre, +cylindres or +taille{K,M,G} (1-19581, par défaut 19581):

Utilisation de la valeur par défaut 19581

Commande (m pour l'aide): t

 Code Hexa (taper L pour lister les codes): 8e

Type système de partition modifié de 1 à  8e (Linux LVM)

Commande (m pour l'aide): w

On affiche la table des partitions 

 [root@linux ~]# fdisk -l

Et on crée les volumes logiques

[root@linux ~]# pvcreate /dev/sdb1

[root@linux ~]# vgcreate new-vg /dev/sdb1

 [root@linux ~]# lvcreate -l 100%FREE --name new-lv new-vg

Puis, on formate:

[root@linux ~]# mkfs.ext4 /dev/new-vg/new-lv

On monte la partition

[root@linux ~]# mount /dev/new-vg/new-lv /data

Activer / désactiver le routage sous linux

Non permanent:

sysctl -w net.ipv4.ip_forward=1

echo 1 > /proc/sys.net/ipv4/ip_forward




Pour vérifier

sysctl net.ipv4.ip_forward

ou

cat /proc/sys/net/ipv4/ip_forward



Pour activer le routage de façon permanente

$ vi /etc/sysctl.conf

# Uncomment the next line to enable packet forwarding for IPv4
#net.ipv4.ip_forward=1

Pour activer les modifications:

sysctl -p /etc/syctl.conf

Supprimer les anciens kernel sous Centos - RHEL

On vérifie les noyeaux installés:

[root@Centos ~]# rpm -q kernel
kernel-2.6.32-279.el6.x86_64
kernel-2.6.32-358.18.1.el6.x86_64
kernel-2.6.32-358.23.2.el6.x86_64
kernel-2.6.32-431.el6.x86_64
kernel-2.6.32-431.1.2.0.1.el6.x86_64
[root@Centos ~]#

On vérifie que le paquet yum-utils est installé, sinon on l’installe (yum install yum-utils).

[root@Centos ~]# rpm -qa yum-utils
yum-utils-1.1.30-14.el6.noarch
[root@Centos ~]#

On lance la commande pour supprimer les anciens noyeaux (le --count 2 signifie que l’on garde 2 noyeaux).

[root@Centos ~]# package-cleanup --oldkernels --count 2

Et on vérifie qu’il ne nous reste que 2 noyeaux:

[root@Centos ~]# rpm -q kernel
kernel-2.6.32-431.el6.x86_64
kernel-2.6.32-431.1.2.0.1.el6.x86_64
[root@Centos ~]#

Renommer un serveur Centos - Redhat

Renommer définitivement un serveur Redhat ou Centos On ouvre le fichier /etc/sysconfig/network, puis on modifie l’entrée HOSTNAME.

[root@Centos ~]# vi /etc/sysconfig/network


NETWORKING=yes
HOSTNAME=RHEL.mondomaine.fr
GATEWAY=192.168.100.1
NETWORKING_IPV6=yes

Puis on redémarre le serveur.

Modifier le nom d'une interface réseau sous linux

Tester avec Centos - RHEL. Il peut arriver que nous souhaitons renommer une interface réseau sous linux ou bien que l’adresse mac de notre carte réseau ait été modifiée. Ces modifications s’effectuent dans le fichier /etc/udev/rules.d/70-persistent-net.rules Apercu du fichier:

vi /etc/udev/rules.d/70-persistent-net.rules

# This file was automatically generated by the /lib/udev/write_net_rules
# program, run by the persistent-net-generator.rules rules file.
#
# You can modify it, as long as you keep each rule on a single
# line, and change only the value of the NAME= key.

# PCI device 0x13e8:0x123d (Rln2)
SUBSYSTEM=="net", ACTION=="add", DRIVERS=="?*", ATTR{address}=="00:1f:10:b9:5c:55", ATTR{type}=="1", KERNEL=="eth*", NAME="eth1"
~

On peut ici renommer l’interface eth1 en eth0. En cas de modification d’adresse mac, on pourra supprimer le fichier puis redémarrer la machine. Ne pas oublier d’aller dans les fichiers de configuration des interfaces pour modifier le champ HWADDR si il existe.

Désactiver SElinux sous Centos / RHEL

Activer ou désactiver selinux. Aller dans le fichier /etc/selinux/config puis mettre l’entrée SELINUX à disabled

# vi /etc/selinux/config

# This file controls the state of SELinux on the system.
# SELINUX= can take one of these three values:
#     enforcing - SELinux security policy is enforced.
#     permissive - SELinux prints warnings instead of enforcing.
#     disabled - No SELinux policy is loaded.
SELINUX=enforcing
# SELINUXTYPE= can take one of these two values:
#     targeted - Targeted processes are protected,
#     mls - Multi Level Security protection.
SELINUXTYPE=targeted

Fichier après la modification

# This file controls the state of SELinux on the system.
# SELINUX= can take one of these three values:
#     enforcing - SELinux security policy is enforced.
#     permissive - SELinux prints warnings instead of enforcing.
#     disabled - No SELinux policy is loaded.
SELINUX=disabled
# SELINUXTYPE= can take one of these two values:
#     targeted - Targeted processes are protected,
#     mls - Multi Level Security protection.
SELINUXTYPE=targeted

On redémarre ensuite la machine.

Linux: afficher la taille des fichiers et des répertoires

Pour afficher la taille des fichiers et des répertoires, on peut utiliser la commande du:

linux# du -hs *
9,1M bin
130M boot
4,0K cdrom
4,0K dev
69M etc
...

openssl: afficher une clé privé

# openssl rsa -noout -text -in lacle.key

Linux - Afficher les ports tcp et udp

Commande pour afficher les ports tcp et udp sous Linux.


[port@linux ~]# netstat -antu
Connexions Internet actives (serveurs et établies)
Proto Recv-Q Send-Q Local Address               Foreign Address             State
tcp        0      0 0.0.0.0:3306                0.0.0.0:*                   LISTEN
tcp        0      0 0.0.0.0:22                  0.0.0.0:*                   LISTEN
tcp        0      0 127.0.0.1:631               0.0.0.0:*                   LISTEN
tcp        0      0 127.0.0.1:25                0.0.0.0:*                   LISTEN
tcp        0      0 192.168.1.10:22           192.168.1.6:3820           ESTABLISHED
tcp        0      0 :::22                       :::*                        LISTEN
tcp        0      0 ::1:631                     :::*                        LISTEN
tcp        0      0 ::1:25                      :::*                        LISTEN
udp        0      0 0.0.0.0:2500                0.0.0.0:*
udp        0      0 127.0.0.1:18120             0.0.0.0:*
udp        0      0 0.0.0.0:631                 0.0.0.0:*
[port@linux ~]#

Gestion des priorités des dépôts avec yum

Lorsque l’on installe des dépôts non officiel, il peut être intéressant de gérer des priorités entre les dépôts. Ainsi, les paquets se mettent à jour à partir d’un seul dépôt, ce qui évitera des conflits de version entraînant une instabilité du système.

Chaque dépôt se voit attribuer une priorité (de 1 à 99). Le dépôt qui le nombre le plus bas est prioritaire sur les autres.

Installation:

Pour gérer les priorités avec l’utilisataire yum, nous devons installer un plugin qui a pour nom sous centos/redhat 5 yum-priorities (yum-plugin-priorities avec centos 6)..