[by bohman - CC-BY]

Introduction

Si vous souhaitez vous authentifier localement via SSH à votre serveur Debian depuis votre terminal Putty sous Windows, ce tutorial est fait pour vous. Je me suis intéressé à faire fonctionner cet accès sécurisé à distance dans un réseau local avec un PC hôte et une machine virtuelle mais vous pouvez l'adapter en fonction de votre environnement.

Ce tutorial comporte 4 étapes :

1. Configuration de VirtualBox
2. Configuration du Client PuTTY
3. Configuration du Serveur Debian
4. Test client/serveur SSH (l'heure de vérité !)

Configuration de VirtualBox (Windows)

Vous avez installé votre distribution GNU/Linux Debian dans une VM VirtualBox. Cependant, la communication SSH ne peut se faire en local nativement. Nous allons donc utiliser un fichier batch pour nous faciliter le travail.

Création du fichier batch

1. On crée un fichier texte "VirtualBox_ssh.txt"

2. On copie ensuite le code suivant : (merci Emmanuel)

set VM="Debian"

set HostPort=2222

set GuestPort=22

set NomMapping=ssh

set Device=pcnet

E:

cd E:\PROGRAMMES\Oracle\VirtualBox

REM Pour supprimer ce mapping il suffit de lancer chacune de ces trois commandes sans le dernier argument

REM Ne pas oublier de redémarrer l'OS hôte pour que ces modifs soient prises en compte

REM Config ssh port 2222 -> 22

VBoxManage setextradata %VM% "VBoxInternal/Devices/%Device%/0/LUN#0/Config/%NomMapping%/HostPort" %HostPort%

VBoxManage setextradata %VM% "VBoxInternal/Devices/%Device%/0/LUN#0/Config/%NomMapping%/GuestPort" %GuestPort%

VBoxManage setextradata %VM% "VBoxInternal/Devices/%Device%/0/LUN#0/Config/%NomMapping%/UDP" 0

REM Visualiser la conf

VBoxManage getextradata %VM% enumerate

pause

3. On modifie le contenu selon notre configuration :

• set VM="Debian" : mettre le nom de votre VM
• set Device=pcnet : il est possible que ce soit "e1000" et non "pcnet". Pour le savoir :
  • clic-droit sur votre VM, puis Afficher le journal...
  • recherchez MAC et récupérez la valeur de Devices en dessous : [/Devices/pcnet/... ] ou  [/Devices/e1000/... ]

• E: : mettre la racine correspondante à votre répertoire d'installation VirtualBox

• cd E:\PROGRAMMES\Oracle\VirtualBox : remplacer par le chemin adéquat

4. On renomme le fichier avec l'extension .bat puis on exécute le batch

• si tout va bien, vous devriez avoir le message suivant :

Rm : en cas de mauvaise manipulation, vous pouvez annuler vos modifications en supprimant les 3 arguments des lignes VBoxManage, à savoir "%HostPort%", "%GuestPort%" et "0" puis en ré-exécutant le batch.

Configuration du client PuTTY

Commençons par télécharger putty et puttygen sur le site officiel.

Génération des clés

1. on lance puttygen.exe
2. on choisit un type de clé : SSH-2-DSA (meilleure sécurité) en 1024 bits
3. on génère un couple de clés privée/publique : Generate
4. on renseigne une passphrase (optionnel mais conseillé) : Key passphrase
5. on enregistre la clé privée : Save private key en lui donnant un nom : "client_id_dsa"
6. on copie/colle la clé publique (Public key) dans un fichier texte : "client_id_dsa.pub"

Rm : la clé privée ne doit jamais être communiquée à une autre machine

Configuration de PuTTY

1. on lance putty.exe
2. on précise le nom du serveur ou l'adresse IP : localhost
3. on modifie le numéro de port du serveur (si besoin) : 2222
4. on donne un nom à notre profil : ssh debian
5. on modifie l'encodage des caractères dans Window/Translation : UTF-8 (gestion des accents)
6. dans Connection/SSH/Auth, on va chercher notre clé privée : client_id_dsa
7. on retourne sur Session et on clique sur Save pour sauvegarder notre profil

Configuration du Serveur Debian

Installation d'openssh-server

• on installe le paquet openssh-server : # aptitude install openssh-server
  • Note : cela créera automatiquement dans "/etc/ssh/" les clés DSA : ssh_host_dsa_key, ssh_host_dsa_key.pub et les clés RSA : ssh_host_rsa_key, ssh_host_rsa_key.pub
• sur notre compte user, on génère un couple clé privée / clé publique : $ ssh-keygen -t dsa
• on laisse la localisation par défaut : Entrée
• on choisit une passphrase et on valide

Ajout de la clé publique client au serveur

• sur notre compte user, on crée le fichier authorized_keys : $ touch ~/.ssh/authorized_keys
• on copie ensuite la clé publique du client dans le fichier authorized_keys : cat /mnt/partage/client_id_dsa.pub  >> ~/.ssh/authorized_keys
• on vérifie que le fichier authoriezd_keys contient la clé publique : cat ~/.ssh/authorized_keys (pas de retours à la ligne, sauf entre clés publiques différentes)

Rm : je pars du principe qu'un partage a déjà été créé entre VirtualBox et Windows (/mnt/partage/) et que la clé publique "client_id_dsa.pub" est à l'intérieur du dossier Windows partagé

Configuration d'openssh

• on édite le fichier en root : # vim  /etc/ssh/sshd_config
• on décommente/modifie les lignes pour avoir les valeurs suivantes :
  • l.5 : Port 22 (modifier au besoin le port d'écoute SSH du serveur)
  • l.26 : PermitRootLogin no (on n'interdit à root de se connecter)
  • l.28 : AllowUsers USER1 USER2 (autoriser des utilisateurs)
  • l.29 : RSAuthentication no (nous utilisons une clé DSA)
  • l.31 : AuthorizedKeysFile %h/.ssh/authorized_keys (vérifier les clés publiques)
  • l.50 : PasswordAuthentification no (désactiver l'authentification par mot de passe et donc le bruteforce)
• on recharge le fichier de configuration ssh : # /etc/init.d/ssh reload

Test client/serveur SSH (l'heure de vérité !)

En cas d'erreur

• Message "Error Network" dans Putty
  • la communication ne se fait pas entre votre host Windows et virtualBox, refaites scrupuleusement l'étape Configuration de VirtualBox (Windows)
• Message "no supported authentication methods available" dans Putty
  • vérifiez les droits sur le dossier user .ssh (et non le root) (700 ou drwx------) et sur les clés publiques ~/.ssh/id_dsa.pub et ~/.ssh/id_rsa.pub (644 ou -rw-r—r--)
• Vous avez supprimé les clés ssh_host_xxx par erreur
  • pas de panique ! Regénérez les clés avec dpkg-reconfigure openssh-server ou à la mano :
    • ssh-keygen -f "/etc/ssh/ssh_host_rsa_key" -N '' -t rsa
    • ssh-keygen -f "/etc/ssh/ssh_host_dsa_key" -N '' -t dsa
  • effacer le contenu du fichier $ ~/.ssh/known_hosts ou tapez vim +Nd +x /home/alice/.ssh/known_hosts (où N correspond au numéro de ligne affiché dans le message d'erreur suivant : Offending key in /home/admin/.ssh/known_hosts:24 (tentative de connexion ssh))
• Si vous n'y arrivez toujours pas
  • utilisez les commentaires ci-dessous !

[by El Fantasma - CC-BY-SA]

Une fois n'est pas coutume, j'ai voulu vous détailler la mise en plae d'un serveur DHCP et d'un relai DHCP sous une distribution GNU/Linux : Debian à travers un cas pratique. Des connaissances de base sur le réseau et sur le monde Linux sont nécessaires. Je vous conseille à ce propos le tutorial du Site du Zero : Reprenez le contrôle avec Linux !

Objectif

Le principe est donc de réaliser l’administration d’un serveur DHCP et d’un relai DHCP. Un serveur DHCP (Dynamic Host Configuration Protocol) permet d’allouer à des machines-client automatiquement une adresse IP. D’autres options peuvent être assignables d'ailleurs comme le masque, la passerelle ou le serveur DNS.

Principe du relai DHCP

Un routeur est présent pour relier le réseau A (où est situé le serveur DHCP) et le réseau B (où se trouve le client DHCP). Le client DHCP ne peut recevoir les trames du serveur car le routeur bloque les trames diffusées en broadcast.
Dans cette situation, trois solutions peuvent être envisageables :

• Mettre un serveur DHCP dans le second réseau
• Mettre le routeur en serveur DHCP
• Installer un agent de relai DHCP

La dernière solution est choisie ici : la mise en place d’un relai DHCP. Ce dernier permet en effet de rediriger les requêtes des machines-clientes en unicast à travers le routeur vers le serveur DHCP.

Matériel Utilisé

Voici les différents systèmes d’exploitation et matériel dont nous avons besoin :
un routeur, un serveur DHCP et un relai DHCP sous Debian

• un client DHCP sous Windows XP
• 2 hubs
• 5 câbles RJ45

Topologie

Voici la topologie utilisée durant ce projet :

Paramètres TCP/IP

Nous avons ainsi mis en place deux réseaux :

• Réseau A : 192.168.1.0 /24
• Réseau B : 172.16.10.0 /24

L’adressage IP du serveur DHCP est paramétré manuellement :

• Adresse IP : 192.168.1.2 /24
• Passerelle : 192.168.1.1

Le routeur possède les deux interfaces suivantes paramétrées manuellement :

• Eth0 : 192.168.1.1 /24
• Eth1 : 172.16.10.1 /24

Le relai DHCP possède l’adresse IP manuelle suivante :

• Eth0 : 172.16.10.2 / 24
• Passerelle : 172.16.10.3

Enfin, le client DHCP est paramétré en assignement d’adresse IP automatique.

Configuration du serveur DHCP

Adressage IP du serveur DHCP

Commençons par configurer manuellement l’IP du serveur DHCP :

vim /etc/network/interfaces

# Interfaces reseaux du serveur DHCP

# Boucle locale
auto lo
iface lo inet loopback

# Interface primaire (eth0)
auto eth0
iface eth0 inet static
address 192.168.1.2
netmask 255.255.255.0
gateway 192.168.1.1

La commande « ifdown eth0 && ifup eth0 » permet de relancer l’interface réseau eth0.

Configuration du serveur DHCP

Il faut tout d’abord installer le paquet dhcp3 avec la commande suivante :

Apt-get install dhcp3-server

Ensuite, nous devons configurer le serveur. Nous utiliserons vim pour éditer le fichier de configuration DHCP :

Vim /etc/dhcp3/dhcpd.conf

#########################
# Configuration du DHCP #
#########################

#DNS
ddns-update-style none;
option domain-name "dhcp.lan";
option domain-name-servers 192.168.1.2;

#Bail DHCP
default-lease-time 3600;
max-lease-time 7200;

#log DHCP
log-facility local7;

#Etendue 1
subnet 192.168.1.0 netmask 255.255.255.0 {
range 192.168.1.10 192.168.1.15;
option routers 192.168.1.1;
allow-unknown-clients;
}

#Etendue 2
subnet 172.16.10.0 netmask 255.255.255.0 {
range 172.16.10.10 172.16.10.15;
option routers 172.16.10.1;
allow-unknown-clients;
}

Les baux sont de longue durée car nos aurons des postes fixes dans l’entreprise.

Notre serveur DHCP configuré, nous pouvons maintenant démarrer le serveur grâce à la commande suivante :

/etc/init.d/dhcp3-server start

Fonctionnement du serveur DHCP

Voici les trames échangées entre un server DHCP et un client DHCP pour l’assignation d’une adresse IP :

1) Le client DHCP envoie une requête DHCP DISCOVER (demande d’adresse IP) en Broadcast (255.255.255.255).
2) Le serveur DHCP propose une adresse IP via la requête DHCP OFFER
3) Le client répond avec la requête DHCP REQUEST qu’il a bien récupéré l’adresse IP pour que tout le réseau en soit informé (si présence d’autres serveurs DHCP)
4) Le serveur accuse réception avec la requête DHCP ACK

Configuration du relai DHCP

Adressage IP du relai DHCP

Comme pour le serveur DHCP, il faut tout d’abord éditer le fichier d’interfaces réseaux :

vim /etc/network/interfaces

# Interfaces reseaux du relai DHCP

# Boucle locale
auto lo
iface lo inet loopback

# Interface primaire (eth1)
auto eth1
iface eth1 inet static
address 172.16.10.2
netmask 255.255.255.0
gateway 172.16.10.1

Nous pouvons ensuite relancer les interfaces réseaux puis ensuite installer  le relai DHCP via le paquet dhcp3-relay.

Configuration du relai DHCP

Editons le fichier de configuration du relai DHCP en précisant l’adresse du serveur DHCP et l’interface réseau utilisée :

Vim /etc/default/dhcp3-relay

# Adresse du serveur DHCP
SERVERS="192.168.1.2"

# Interface utilisée par le relai DHCP
INTERFACES="eth1"

Rm : la casse doit être respectée !

Nous pouvons désormais démarrer le relai-DHCP avec la commande suivante :

/etc/init.d/dhcp3-relay start

Fonctionnement du relai DHCP

Le schéma suivant permet de comprendre l’intérêt du relai en terme de diffusion :

Configuration du routeur

Adressage IP du routeur

Configurons les deux interfaces réseaux du routeur :

vim /etc/network/interfaces

# Interfaces reseaux du routeur

#  Interface primaire (eth1)
auto eth1
iface eth1 inet static
address 192.168.1.1
netmask 255.255.255.0
gateway 192.168.1.1

# Interface secondaire (eth2)
auto eth2
iface eth2 inet static
address 172.16.10.1
netmask 255.255.255.0
gateway 172.16.10.1

Relançons ensuite les deux interfaces.

Configuration du routeur

Maintenant que notre routeur est configuré, il ne reste plus qu’à activer la redirection des paquets. Pour cela, éditons le fichier de configuration sysctl et décommentons la ligne permettant de rediriger les paquets en Ipv4 :

Vim /etc/sysctl.conf

net.ipv4.conf.default.forwarding=1

Nous pouvons visualiser la table de routage avec la commande « route –n ».

Table de routage IP du noyau :

Destination     Passerelle      Genmask        Indic  Metric    Ref   Use   Iface
192.168.1.0     0.0.0.0        255.255.255.0    U         0      0     0     eth1
172.16.10.0     0.0.0.0        255.255.255.0    U         0      0     0     eth2
0.0.0.0            172.16.10.1    0.0.0.0          UG        0      0     0     eth2
0.0.0.0         192.168.1.1    0.0.0.0          UG        0      0     0     eth1

Test sur le serveur DHCP

Notre client Windows XP est configuré en DHCP. La commande IPCONFIG lui attribue bien une IP via le relai DHCP :

Rien de bien compliqué en somme. La console peut faire peur mais une fois cet a priori dépassé, on remarque que l'administration est assez simple à mettre en œuvre et est même accessible pour les inconditionnels de Windows Server 2003 !