February 2022 - FRsAG

Réflexion sur référentiel identité unique dans environnement Linux, Windows et web
by DUVERGIER Claude 22 Jan '24

22 Jan '24

Bon(soi|jou)r la liste, Je pose ici mes réflexions sur un problème qui, j'espère, parlera à certains (qui l'auront résolu), pourra en aider d'autres (qui l'ont/l'auront un jour). TL;DR : Quels sont les services à utiliser pour pouvoir authentifier des utilisateurs lors d'accès à des dossiers partagés CIFS, des serveurs SSH Linux et des applications Web avec un référentiel unique/centralisé. CONTEXTE : J'ai actuellement l'infrastructure suivante : * Annuaire LDAP sous OpenLDAP : c'est le référentiel unique, il contient utilisateurs/machines (PosixAccount) et groupes (PosixGroup). * Application (web) maison pour alimenter l'annuaire en fonction des embauches/départs (pas de base de données SQL ou autre, tout est dans le LDAP). * Serveur OpenID pour certaines applications web : utilise le LDAP comme source. * Les utilisateurs ont des comptes locaux sur leur stations de travail Windows/Linux (aucune interaction avec le LDAP). Ainsi, les utilisateurs peuvent s'identifier sur : * des application Web qui gèrent nativement LDAP (eg. Moodle, GitLab, GLPI, etc.). * des applications Web sous Apache/Nginx (via mod_authnz_ldap ou nginx-ldap-auth). * des applications Web qui gèrent OpenID. * des serveurs Linux en SSH via nslcd, libnss-ldapd et libpam-ldapd. (Et avoir un carnet d'adresse des collègues dans leur client de messagerie) Chaque application est responsable de qui elle accepte (utilisateur et/ou groupe) et de ce qu'elle lui autorise de faire (l'annuaire LDAP ne contient pas de permissions). PROBLÈMES/LIMITES : Cela fonctionne (bien) depuis des années, mais ne réponds pas aux besoins suivants (arrivés plus tard) : * (Le plus important): le partage de fichiers via CIFS/Samba (car nécessite des attributs spécifiques dans le LDAP). * stocker *facilement* des données complexes dans OpenLDAP (eg. variantes d'avatars/photo, jours de présence sur x semaines) Bonus facultatif : gestion "domaine" des comptes utilisateurs des stations de travail pour qu'ils utilisent les même identifiants lors de l'ouverture de leur session, que je puisse les gérer de manière centralisée, et qu'ils soient même pré-authentifiés sur les serveurs de fichiers. ÉBAUCHE DE SOLUTION : Je pense donc qu'il est temps de tout reprendre à zéro et c'est là que je découvre (car je suis néophyte sur ces questions) : * FreeIPA qui créer un "AD-like" pour machines Linux. * Samba v4 qui intègre désormais son annuaire LDAP et se comporte comme un Active Directory. * D'autres dont j'avais déjà entendu parler sans jamais les utiliser : Kerberos et RADIUS/DIAMETER. J'envisage donc l'architecture suivante : * Application maison pour stocker (dans une base SQL quelconque) les utilisateurs/groupes (+ des infos spécifiques complexes) ET qui alimente l'annuaire avec seulement les infos pertinentes/standardisées (le schéma LDAP sera plus simple et une API REST pourra exposer les autres infos aux applications si besoin). * Serveur d'annuaire LDAP (OpenLDAP, 389DS, le 389DS de FreeIPA, le LDAP de Samba4 ?). * Serveur(s) de fichiers (TrueNAS, OpenMediaVault, etc.) : qui se connectent à l'annuaire LDAP (ou autre forme de confiance/délégation). Si je prends le bonus "domaine" : que me faudrait-il ? Samba4 seul suffirait pour les stations de travail Windows ET Ubuntu ou bien il faudrait Samba4+FreeIPA pour tout couvrir ? L'idée d'avoir un AD Samba4 qui tourne sur Internet ne me plait guère. Et comme les serveurs de fichiers seront de toutes façons dans le LAN, je pense plutôt installer Samba4 en LAN et mettre en place, juste pour les applications web, une copie (synchro à sens unique) vers un OpenLDAP ouvert sur Internet (sans les attributs samba/domaine). Je suis ouvert à : * toute correction si j'ai dit une énormité sans nom * et surtout à toute suggestion d'outil que je n'aurais pas trouvé qui m'aide dans ma quête. Merci

7 6

[TECH] Sonde température interrogeable en SNMP
by Fabien Sirjean 04 Oct '22

04 Oct '22

Salut la liste, Quel est votre modèle préféré de sonde de température IP interrogeable en SNMP ? Dans mon cahier des charges du monde idéal, il y aurait par exemple : * open hardware * SNMPv3 * pas lié à un provider cloud bling bling quelconque * si ça fait l'hygrométrie aussi c'est bien * 0U, alimenté en USB ou mieux en POE * pour ~ 40-50 balles (je rêve ?) Merci pour vos retours d'expérience :-) Belle fin de journée, Fabien

11 13

Re: [FRsAG] recherche solution relay smtp on premise
by elpablodelcasata＠netcourrier.com 18 Sep '22

18 Sep '22

Vadesecure > c'est super cher super efficace (trop ?) Promox, j'ai vu et je me pose la question sur les performances antispam, est ce vraiment efficace ? des retex ? PineApp > une idée de la tarification ? Tobi De : Maxime DERCHE <maxime(a)mouet-mouet.net> À : frsag(a)frsag.org Sujet : Re: [FRsAG] recherche solution relay smtp on premise Date : 11/01/2022 14:37:17 Europe/Paris Bonjour, Le 11/01/2022 à 11:28, elpablodelcasata(a)netcourrier.com a écrit : > > Bonjour, > > Je suis à la recherche d'une solution de relay SMTP antispam / antivirus performant. > Avec du support et un antispam performant. > Pas besoin de portail utilisateur pour débloquer les emails. > Facilité d'exploitation pour les sysadmin. > C'est pour héberger sur mon infra (vmware), on a environ 2000 boites. > > Il faut que se soit fiable. > Je n'ai pas envie de dépenser une fortune donc pas de solution qui fait payer au mail > protégé si possible. <https://www.vadesecure.com/> ? Société basée à Hem, banlieue Lilloise. Apparemment (<https://fr.wikipedia.org/wiki/Vade_Secure>) il y aurait de l'activité aux USA donc exposition au Patriot Act, à vérifier. J'y ai brièvement bossé il y a quinze ans, mais j'ai pas du tout suivi depuis donc je n'ai pas d'avis sur le produit et je ne connais pas leur politique tarifaire, mais j'en entends régulièrement du bien localement. Bien cordialement, -- Maxime DERCHE OpenPGP public key ID : 0xAE5264B5 OpenPGP public key fingerprint : 7221 4C4F D57C 456F 8E40 3257 47F7 29A6 AE52 64B5 <https://www.mouet-mouet.net/maxime/blog/> _______________________________________________ Liste de diffusion du FRsAG http://www.frsag.org/

8 13

Quel PDU manageable choisir ?
by open doc 05 Mar '22

05 Mar '22

Bonjour, nous avons comme projet de déplacer notre infrastructure dans un datacenter (equinix). Nous avons en arrivé électrique 4x16A avec des prise P17. Nous aimerions avoir des PDU manageable. Il en faudra 4 potentiellement. J'aimerais avoir votre retour d'expérience sur ce besoin et quels équipements me conseillez vous ? Par avance Merci. Alexandre.

10 12

serveur SME KOOZALI
by Jean-Pierre Odion 27 Feb '22

27 Feb '22

Bonjour, Nouveau sur cette liste, je cherche à connaître des SSII qui gèrent ce serveur, le dernier fil remontant à une dizaine d'années ! Bonne fin de semaine

4 5

upgrade cluster mariadb/galera debian 10 -> debian 11
by BASSAGET Cédric 25 Feb '22

25 Feb '22

Bonjour, Nous avons un cluster de 3 machines debian 10 / mariadb 10.3 / galera3 J'ai voulu upgrader un des noeuds du cluster en debian 11, et par conséquent mariadb 10.5 et alera 4. Les docs mariadb (https://mariadb.com/kb/en/upgrading-galera-cluster/) ne parlent pas d'upgrade vers 10.5, mais uniquement 10.3 -> 10.4. ma principale inquiétude était le passage de galera3 a galera4, mais la donc est plutot rassurante là dessus : "Galera 3 and Galera 4 should be compatible for the purposes of a rolling upgrade, as long as you are using Galera 26.4.2 or later" ce qui est le cas en debian 11 ( galera 26.4.44) debian ne fournissant pas de paquets mariadb 10.4, je me suis dit que ça se pourrait marcher, de 10.3 a 10.5 Sauf que non. les 2 nodes restants voient bien le wsrep_cluster_size à 3, par contre le node upgradé est dans les choux. j'ai des "lock wait timeout" dans tous les sens, par exemple MariaDB [(none)]> SHOW GLOBAL STATUS LIKE '%wsrep%'; ERROR 1205 (HY000): Lock wait timeout exceeded; try restarting transaction les journaux systemd disent : Feb 24 11:02:03 c7000-pa2-mysqlcluster2 systemd[1]: Starting MariaDB 10.5.15 database server... Feb 24 11:02:04 c7000-pa2-mysqlcluster2 sh[52249]: WSREP: Recovered position 8a9a12bd-6240-11eb-803b-a210a81100fb:8208686 Feb 24 11:02:04 c7000-pa2-mysqlcluster2 mariadbd[52379]: 2022-02-24 11:02:04 0 [Note] /usr/sbin/mariadbd (mysqld 10.5.15-MariaDB-1:10.5.15+maria~bullseye-log) starting as process 52379 ... Feb 24 11:02:05 c7000-pa2-mysqlcluster2 rsyncd[52504]: rsyncd version 3.2.3 starting, listening on port 4444 Feb 24 11:02:05 c7000-pa2-mysqlcluster2 rsyncd[52516]: connect from c7000-pa2-mysqlcluster1 (192.168.155.35) Feb 24 11:02:05 c7000-pa2-mysqlcluster2 rsyncd[52516]: rsync allowed access on module rsync_sst from c7000-pa2-mysqlcluster1 (192.168.155.35) Feb 24 11:02:05 c7000-pa2-mysqlcluster2 rsyncd[52516]: rsync to rsync_sst/ from c7000-pa2-mysqlcluster1 (192.168.155.35) Feb 24 11:02:05 c7000-pa2-mysqlcluster2 rsyncd[52516]: receiving file list Feb 24 11:02:05 c7000-pa2-mysqlcluster2 rsyncd[52516]: sent 48 bytes received 199 bytes total size 47 Feb 24 11:02:07 c7000-pa2-mysqlcluster2 rsyncd[52504]: sent 0 bytes received 0 bytes total size 0 Feb 24 11:02:07 c7000-pa2-mysqlcluster2 systemd[1]: Started MariaDB 10.5.15 database server. Feb 24 11:02:07 c7000-pa2-mysqlcluster2 debian-start[52656]: ERROR 1047 (08S01) at line 1: WSREP has not yet prepared node for application use et le error.log mysql, se remplit de messages du genre (j'ai activé le debug wsrep) : 2022-02-24 11:11:33 1417 [Note] WSREP: wsrep_commit_empty(1417) 2022-02-24 11:11:33 1417 [Note] WSREP: wsrep_after_statement for 1417 client_state exec client_mode local trans_state aborted 2022-02-24 11:11:33 1417 [Note] WSREP: wsrep_after_statement for 1417 client_state exec client_mode local trans_state aborted 2022-02-24 11:11:33 1417 [Note] WSREP: dispatch_command leave thd: 1417 thd_ptr: 0x7f4188000c58 client_mode: local client_state: result trx_state: aborted next_trx_id: 3289 trx_id: -1 seqno: -1 is_streaming: 0 fragments: 0 sql_errno: 1205 message: Lock wait timeout exceeded; try restarting transaction command: 0 query: SELECT (SELECT VARIABLE_VALUE FROM INFORMATION_SCHEMA.GLOBAL_STATUS WHER 2022-02-24 11:11:33 1417 [Note] WSREP: assigned new next trx id: 3480 Si quelqu'un a une piste, ou a déjà expérimenté ce genre de problèmes... je prends ! Merci Cédric

4 3

[JOBS] SEQENS recherche un ingénieur infra IT/OT
by Stéphane Diacquenod 23 Feb '22

23 Feb '22

Bonjour, SEQENS, industriel spécialisé en principes actifs pharmaceutiques, cherche un ingénieur infrastructure pour renforcer ses équipes et soutenir ses projets pharmaceutiques en France. Au sein de l'équipe "Infrastructure et Cybersécurité", ce nouveau membre participera à la conception et gestion des systèmes IT et industriels. Le poste est situé à Écully (69) avec des déplacements à prévoir sur nos sites en France et à l'étranger. N'hésitez pas à revenir vers moi si vous voulez des infos ! L'annonce complète : https://jobs.seqens.com/job/job-ingenieur-systeme-it-ot-h-f_292.aspx Cordialement, Stéphane Diacquenod

1 0

Bizarrerie résolution par AD
by David Ponzone 23 Feb '22

23 Feb '22

Je viens de constater un comportement bizarre sur un serveur AD. Quand on ajoute un DNS forwarder, il valide que l’IP en question résout bien les requêtes. Ok. Mais le mécanisme utilisé semble rejeter un résolveur DNS standard (comme le relais DNS d’un routeur) si son IP est dans le même LAN que lui. Ou alors ce mécanisme n’aime pas ce que répond un Mikrotik. Si je fais mentir le routeur pour répondre à la place d’un DNS Orange qui était déjà configuré comme forwarder, ça marche très bien. Bizarrerie de la méthode de validation dans le cas d’une IP LAN ou bizarrerie de la méthode de validation qui n’aime pas Mikrotik ? Merci

1 0

ApéroRéseau ce mercredi 23 février à Nantes
by Antoine Nivard 23 Feb '22

23 Feb '22

Bonjour à tous, Nous vous proposons un apéro Réseau le mercredi 23 février à partir de 18h30 au Berlin1989 de Saint-Herblain. 9, Rue des Piliers de la Chauvinière 443800 St-Herblain https://st-herblain.berlin1989.fr/ --- Cordialement, Antoine Nivard Président & Business Developper de https://Ouest.Network - Vous rapprocher ! https://www.linkedin.com/company/ouestnetwork/ Tél: 06 52 57 79 69 - antoine.nivard(a)ouest.network

1 0

Recherche Synology RXAS17SAS
by Kevin 16 Feb '22

16 Feb '22

Bonjour, Je suis à la recherche de 2 baies RX1217SAS ( https://www.synology.com/fr-fr/products/RX1217sas ) mais j'ai l'impression qu'elles sont déjà trop vieilles et que la commercialisation est arrêtée. C'est pour rajouter 2 baies à un RS18017XS+ (qui a déjà 1 baie d'extension). Est-ce que quelqu'un a des pistes svp ? Merci -- Kevin Labécot

1 1