Atelier SysRes SE2a5 2023/2024 E11
Création de la VM Rio
Génération du fichier de configuration:
xen-create-image --hostname=rio --ip=172.26.145.113 --netmask=255.255.255.0 --gateway=172.26.145.254 --bridge=bridgeStudents --dir=/usr/local/xen --password=glopglop
Lancer la VM grâce au fichier de configuration crée :
xen create rio.cfg
xen console rio
Modification de l'interface eth0 dans /etc/network/interfaces :
auto eth0
iface eth0 inet static
address 172.26.145.113/24
gateway 172.26.145.254
Configuration de la connexion en ssh, nous nous rendons dans le dossier /etc/ssh/ et nous modifions le fichier sshd_config :
- Décommenter le PermitRootLogin et mettre yes
PermitRootLogin yes
- Redémarrer le ssh :
service ssh restart
Au niveau de capbreton, nous créons les deux partitions LVM :
lvcreate -L10G -n rio-home storage
lvcreate -L10G -n rio-var storage
Se rendre dans le dossier /etc/xen/ et modifier le fichier de configuration de la VM rio.cfg en ajoutant les lignes de configurations des partitions :
# Disk device(s).
#
root = '/dev/xvda2 ro'
disk = [
'file:/usr/local/xen/domains/HG/disk.img,xvda2,w',
'file:/usr/local/xen/domains/HG/swap.img,xvda1,w',
'phy:/dev/virtual/kiev-home,xvdb,w',
'phy:/dev/virtual/kiev-var,xvdc,w',
]
Problème rencontré : Message d'erreur en essayant de redémarrer la VM
Création des deux partitions LVM en virtual et non storage
lvcreate -L10G -n rio-home virtual
lvcreate -L10G -n rio-var virtual
Au niveau de la VM, nous vérifions, grâce à la commande lsblk, la présence des nouvelles partitions :
Montage des disques dans deux répertoires /home et /var :
mkdir /new_home
mkdir /new_var
mkfs /dev/xvdb
mkfs /dev/xvdc
mount /dev/xvdb /new_home
mount /dev/xvdc /new_var
cp -r /var/* /new_var/
Vérification de la nouvelle liste des LVM :
Nous nous rendons dans le dossier /etc/ pour modifier le ficher fstab :
Nous redémarrons la VM, puis nouvelle vérification de la liste des LVM : les partitions sont bien montées.
Création de la VM Mandataire padel
Génération du fichier de configuration:
xen-create-image --hostname=padel --ip=193.48.57.168 --netmask=255.255.255.240 --gateway=193.48.57.161 --bridge=SE2a5 --dir=/usr/local/xen --password=glopglop
Lancer la VM grâce au fichier de configuration crée :
xen create padel.cfg
xen console padel
Ajout de l'IPv6 : Nous nous rendons dans le dossier /etc/network pour modifier le fichier interfaces :
Lien entre les VMs de service et la VM mandataire
Tout d'abord, nous avons crée un bridge sur capbreton qui permet de relier la VM mandataire au réseau. Pour ce faire, nous modifions le fichier /etc/network/interfaces.d/TP_SE2a5 :
Par la suite, nous ajoutons le bridge dans chacun des fichiers de config de nos VMs dans /etc/xen/ en modifiant le vif :
'ip=192.168.162.3 , bridge=padel'] //Dans rio.cfg
'ip=192.168.162.2 , bridge=padel'] //Dans stockholm.cfg
'ip=192.168.162.1 , bridge=padel'] //Dans padel.cfg
- Création des interfaces réseaux eth1 sur nos VMs (services) dans /etc/network/interfaces :
auto eth1
iface eth1 inet static
address 192.168.162.3/24
gateway 192.168.162.1 //IP Mandataire
Pour la VM mandataire :
auto eth1
iface eth1 inet static
address 192.168.162.1
netmask 255.255.255.0
- Passage en IPv6 pour les machines de service :
auto eht0
iface eth0 inet6 auto
Test de ping entre les différentes VMs. - Création de la mascarade et utilisation de iptables-persistent pour conserver les règles en les sauvegardant dans /etc/iptables/rule.v4 :
iptables -t nat -A POSTROUTING -j MASQUERADE -s 192.168.162.0/24
apt install iptables-persistent
iptables-save
iptables-save > /etc/iptables/rules.v4
Nous avons réalisés un ping 8.8.8.8 pour vérifier que les VMs de service et la VM mandataire ont accès à internet. Au niveau de capbreton, nous avons testé de nous connecter en ssh en réalisant un jump :
ssh -J root@193.48.57.162 root@192.168.162.2
Au niveau de padel, nous avons autorisé les redirections IP dans /etc/sysctl.conf :
Nous avons ajouté de nouvelles règles de routage pour pouvoir se connecter aux VMs de service en ssh sur le port 2201 pour stockholm et sur le port 2202 pour rio :
iptables -A PREROUTING -t nat -i eth0 -p tcp -m tcp --dport 2201 -j DNAT --to-destination 192.168.162.2:22
iptables -A PREROUTING -t nat -i eth0 -p tcp -m tcp --dport 2202 -j DNAT --to-destination 192.168.162.3:22
Configuration DNS
Achat du nom de domaine rio71.lol (rio.lol non disponible) sur le site https://www.gandi.net/fr (Compte : pifou / pasglop).
GlueRecords : DNS Principal (VM de service) en IPv6 et DNS Secondaire (VM mandataire) en IPv4 + External nameservers : Nameserver 1 : ns1.rio71.lol | Nameserver 2 : ns6.gandi.net
PS : Télécharger bind9 & apache2 sur les VMs (Attention : apt update avant apt install bind9 et apache2)
Configurer la zone de DNS en local dans nos VMs (/etc/bind/named.conf.local) :
<= Configuration DNS Slave sur la VM mandataire
Configuration DNS Master sur la VM de service =>
Permettre l'écoute des IPv4 et IPv6 sur la VM mandataire dans /etc/bind/named.conf.options
listen-on-v6 { any; }
listen-on { any; };
allow-recursion {127.0.0.1; };
Pour les VMs de service :
listen-on-v6 { any; }
Dans le même dossier, copie de la configuration local sur la configuration db.rio71.lol et modifications :
Vérifier qu'il n'y a aucune erreur de configuration du DNS des différents fichiers grâce à la commande named-checkconf.
Redémarrer le service DNS : service bind9 restart
PS : Penser à installer dnsutils (apt install dnsutils)
Vérifier la présence du DNS sur la machine en utilisant : dig @localhost rio71.lol
Configuration Apache2
Tout d'abord, installer openssl (apt install openssl)pour pouvoir générer une CSR (Certificate Signing Request) dans /etc/ssl .
openssl req -nodes -newkey rsa:2048 -sha256 -keyout rio71.lol.key -out rio71.lol.csr -utf8
Remplir le formulaire demandé (email...) mais faire attention Common Name : rio71.lol
Placer la clé privée dans le bon dossier /etc/ssl/private et modifier les droits d'accès (juste en lecture) : chmod 440 stockholm.lol.key
Au niveau de Gandi, acheter un nouveau certificat SSL et renseigner la clé. (Attente de vérification)
Une fois vérifié, télécharger le certificat pour le déplacer par la suite de la machine physique (salle TP) à la VM mandataire, puis de cette dernière vers la VM de service :
/*Physique vers mandataire*/
~/Téléchargements$ scp -r -p rio71.lol.crt root@193.48.57.168:/etc/transfer/
/*Mandataire vers service*/
root@padel:/etc/transfer scp -r -p rio71.lol.crt root@192.168.162.3:/etc/ssl/certs
Activer le mode SSL sur apache2 : a2enmod ssl
Création du nouveau fichier de config (pour configurer apache2 sur le port 443) dans /etc/apache2/sites-available/vhosts-https.conf :
(Modification pour avoir les bons chemins pour les certificats)
Lancer le fichier de configuration : a2ensite vhosts-https.conf
Puis relancer apache2 : service apache2 restart
DNSSEC
Passage sur chimaera pour pouvoir réaliser toutes les mises à jour des packages :
Ensuite, nous pouvons : apt update && apt upgrade -y
Modification du fichier local /etc/bind/named.conf.local :
PS : Erreur des temps d'attente sur le fichier db.rio71.lol => passage à 3600
Après un service named restart, les clefs sont bien générées automatiquement dans le dossier keys.
De retour sur Gandi, pour renseigner la clef DNSSEC. (Gandi keys were automatically set because you are using Gandi 's LiveDNS nameservers)
Le DNS n'était pas bien configuré, après résolutions des problèmes, nous avons ajouté le External NameServer (Principal : ns1.rio71.lol | Secondaire : ns6.gandi.net).