- FRsAG - frsag.org

GreenSQL - Cherche retour d'expérience
by Felix Defrance 07 Sep '10

07 Sep '10

Bonjour à tous, Dans le cadre de la sécurisation de mes serveurs Mysql/Postgres, j'ai entendu parlé de l'outil GreenSQL. Après une brève consultation de père google,j'y ai constaté beaucoup de résultats ! Néanmoins, je voulais solliciter frsag pour l'occasion afin de mesurer l'efficacité des mailing listes auxquelles je m'initie. Je souhaiterai donc savoir si les admins/ingé que vous êtes, ont déjà eu à faire au géant vert et si certains ont même quelques documents sur le sujet, présentations, tests de prefs, étude complète même, soyons fous ! Sinon, des liens intéressant me suffirons ;) Je vous remercie tous d'avance. Félix.

1 0

Offre d'emploi CDI Sysadmin région PACA
by Mathieu Chouteau 06 Sep '10

06 Sep '10

Hello, Je me permets de faire passer l'offre d'emploi ci-dessous. Nous cherchons un Sysadmin pur et dur :) Offre d'Emploi CDI - Septembre 2010 Ingénieur Système et Réseau Linux H/F Votre mission sera d'assurer le bon fonctionnement de l'infrastructure d'hébergement et d'en gérer le développement : - Déploiement de serveurs (environnement 100% Linux et Open Source) - Haute-disponibilité (load-balancers, clusters, BGP, etc.) - Sécurisation des équipements et du réseau (APC, ATS, Firewalls, Routeurs, VPN...) - Monitoring (Cacti, Nagios, Munin...), - Optimisation du stockage (Filers, ZFS, ...) - Virtualisation - etc. Vous interviendrez dans un environnement de production constitué de plusieurs centaines de serveurs localisés dans un datacentre de Sophia Antipolis (06) et administrés depuis le siège social à proximité. Vous serez assisté par des techniciens dont vous serez le responsable hiérarchique direct. Vous participerez aux nombreux projets visant à optimiser l'infrastructure. Vous pendrez des décisions techniques en relation étroite avec la direction. Profil recherché : - Formation Bac + 5 en ingénierie informatique - Parfaite maîtrise de l'administration Linux (certifications LPIC, RedHat ou autre appréciées) Rémunérations & avantages : Selon profil & expérience Postuler : CV + lettre de motivation à rh(a)azura-networks.com Qui sommes nous ? Azura Networks est une PME de Sophia Antipolis (06) spécialisée dans l'hébergement internet depuis 2003. Nous sommes avant tout des passionnés de Linux et de la haute disponibilité. -- Mathieu

1 0

logs de connexions
by Sebastien WILLEMIJNS 05 Sep '10

05 Sep '10

Hello, Quelle est actuellement la durée légale de connexion des logs mail/web/sql en France ? --- Sébastien WILLEMIJNS

3 3

Plusieurs apaches derrière un NAT : comment les atteindre par un reverse proxy ?
by frsag＠webmail.fr 03 Sep '10

03 Sep '10

Bonjour, Voilà, @home, j'ai quelques "serveurs perso". Avec autant d'Apaches que j'aimerai atteindre depuis l'extérieur, via le dns en tapant : mamachine.mon.host.tld . J'ai beaucoup songé à Squid en reverse proxy, à la place d'un simple "mod reverse proxy" d'apache. Intérêt de se compliquer la vie ? 1/ La curiosité. 2/ Me dire que "si demain, ça évolue, Squid le fera". Effectivement, là encore j'ai la doc officielle de Squid, mais de ce que j'ai (mal ?) googlé, je trouve (peu ou) pas d'exemples de mise en place réussie. Administrateurs du coin, comment faites vous, ou feriez vous cela avec Squid ? De vieilles sources ? Merci,

8 10

Apache > restriction de traffic
by Nicolas Steinmetz 01 Sep '10

01 Sep '10

Bonsoir, Au bureau, pour protéger des sites publics de l'aspiration des données de station par des applications codées parfois de façon assez étrange / bourrine, notre RSSI avait codé un script bash qui tourne au niveau des reverse proxys (sous Apache 2.2 + Mod_proxy). Si le client dépasse un certain seuil de consultations pour une heure donné, il est blacklisté jusqu'à ce que son traffic sur l'heure glissante redescende en dessous du fameux seuil. Comme nous allons prochainement utilisé les services d'un CDN, il nous faut modifier ce script et personne n'a envie ni le temps de le mantenir. Je me pose alors la question de repartir sur un module apache. Je me suis rappelé de mod_evasive [1] mais il n'a plus l'air maintenu. mod_security ne me semble pas adapté pour ce que je souhaite faire : autoriser la consultation d'une url dans la limite d'un seuil donné. Avez-vous des pistes à me conseiller ? Merci, Nicolas -- Nicolas Steinmetz http://www.steinmetz.fr - http://nicolas.steinmetz.fr/

7 10

Architecture trois tiers scalable
by Jerome Benoit 29 Aug '10

29 Aug '10

Salut, Je travaille actuellement à la conception d'une architecture en trois tiers qui devra être scalable. * Architecture logique simplifiée : ----------- | Clients | ----------- ---------- | | DNS RR | REST HTTP (GET, POST, XML dans le BODY) ---------- | ------------------------- | Cluster des services | ------------------------- | | ------------------ --------------- | NoSQL cluster | | DFS cluster | ------------------ --------------- |________________| NoSQL peut être Cassandra ou Hbase ou éventuellement mongodb ou couchdb. DFS (Distributed File System) comme PVFS2, XtreemFS, HDFS. * Architecture physique simplifiée : Ça n'aura échapper à personne c'est une architecture SOA distribuée comme on en trouve chez Google, Facebook, Amazon et compagnie :) 1) Routage des requêtes HTTP clients : Elle est effectuée par les serveurs DNS sur des critères comment la géolocalisation, la disponibilité, la charge des serveurs de services. Je suis preneur d'information et de retour d'expérience sur toute implémentation de ce type de serveur DNS (REST étant stateless, autant en profiter pour éviter de mettre en place du load balancing sur la couche de transport, c'est tellement mieux et plus simple sans :)) 2) Cluster de services : Leur boulot est de satisfaire les requêtes des clients via du REST HTTP, de les filtrer un peu également si besoin (authentification et ACL par HMAC-SHA1, HMAC-MD5, etc.), de faire du push en XML si besoin. C'est pas du distribué au sens strict du terme (mais c'est pas loin, disons que les données nécessaires à la reprise d'une session ne sont pas réparties intelligemment entre les nœuds mais juste copiées sur chaque nœuds et les calculs sont locaux à un nœud), leur localisation sera différente pour éviter les SPoF. Le framework JBoss est pré-senti. Cette brique fonctionnelle représente la brique métier et implémente la couche d'abstraction nécessaire à la manipulation des données pour les clients (lecture, écriture, modification, le tout en fonction des types de données). Elle implémente de fait le worflow. Le type des échanges avec le dernier tiers seront dépendants du choix des logiciels qui vont le composer (MapReduce ou pas ?) ... Il sera composé de serveur relativement costaud (~20000 MIPS) et du périphérique blocs rapides et redondés. 2 Ethernet 1000BaseT. 3) Cluster de données/stockage : Pourquoi donc est ce que il y a du DFS et du NoSQL ? J'en suis pas bien sur moi même mais il y a des chances que des limitation de taille dans la partie NoSQL ne permette pas s'insérer directement une vidéo HD de 15 Go. Et suivant le choix du logiciel qui fait du NoSQL, il lui faudra un accès à un FS. Le type de cluster ici est composé de machines d'entrée de gamme avec un unique périphérique de type bloc le plus rapide possible (SSD), de trois cartes réseaux 1000BaseT si possible multiqueue (communication entre nœuds par trunking éventuel, communication avec le tiers supérieur). Les réseaux des communications internes aux cluster par type de nœuds seront dans un VLAN différent si sur même site physique. Le paradigme de fonctionnement des DFS est sensiblement le même : des nœuds pour maintenir les métadonnées et la distribution des calculs nécessaires pour la phase "gather" vers les nœuds qui hébergent les blocs qui composent un fichier pour le "servir", idem (ou presque) pour les écritures. Vu du tiers supérieur, c'est un FS, vu des nœuds NoSQL aussi. Pour les NoSQL distribués, je suis preneur de retour d'expérience et de conseils, j'ai zéro expérience avec contrairement à certains DFS (Column Families, Key Value / Tuple Store, Document Store, etc.) ... Cette partie fait du vrai distribué au sens strict (tout est repartie entre les nœuds, calcul aussi sur un DFS ou un NoSQL distribué digne de ce nom), scalable à souhait. rockscluster est pré-senti pour son administration et sa mise en place (réalisation de rool spécifique nécessaire). Le cœur de réseau sera de l'Ethernet 1000BaseT, j'ai pas encore creusé la question en détail ... * Les principes architecturaux : Règles d'or pour la HA : -> Répartition sur au moins deux sites des nœuds par type, le NoSQL et le DFS devra être capable de le gérer. -> Redondance des DNS internes et externes sur plusieurs AS pour les externes, primaires et secondaires. -> Cœur de réseau Ethernet redondée pour les communications locales et inter-tiers sur même site physique. Règle d'or pour la scalabilité des tiers 2 et 3 : -> Totalement distribué : calcul, stockage, etc. -> L'ajout de nœuds étend la capacité de calcul, de stockage, etc (pour le tiers 2, je la viole légèrement). -> Cœur de réseau Ethernet qui garantie du PPS (je dois encore calculer combien) Les attentes en temps de réponse sont très bas pour des tests unitaires fait en local, de l'ordre d'une seconde pour une écriture de 2Mo, et moins en lecture. Merci d'avance pour vos réponses. a +. -- Jérôme Benoit aka fraggle La Météo du Net - http://grenouille.com OpenPGP Key ID : 9FE9161D Key fingerprint : 9CA4 0249 AF57 A35B 34B3 AC15 FAA0 CB50 9FE9 161D

5 14

apache mod_security : retours d'expérience
by frsag＠webmail.fr 28 Aug '10

28 Aug '10

Bonjour, Ici, existe il des gens qui utilisent mod_security ? Dans quel cas de figure, et pour filtrer quoi ? Avez vous des ressources "sympa" qu'on ne trouve pas par google ? J'aimerai trouver des informations utiles pour améliorer la sécurité face à un script php "mal codé", qui permettrai des injections sql ou des failles XSS, sans passer 3h à le configurer. Une proposition ? Merci d'avance,

3 3

Antivirus Multi-sites
by Tr4sK 27 Aug '10

27 Aug '10

Bonjour, Je profite de mon premier message pour me présenter à la liste. Alexandre, 24 ans, assistant responsable informatique. J'aurais besoins de conseil vis à vis d'un antivirus multi-sites. La structure actuel, 60 utilisateurs sous WinXP. 5 sites dont : - 25 à Paris - 25 à Soissons - 5 à Pierrelattes - 5 à St Astier Tout est relié via une connexion VPN Orange, en 2Mb/s Nos serveurs sont dans un local à Soissons. L'antivirus que nous utilisons est G-DATA. Mais depuis quelques temps, il nous plombe le réseau quotidiennement en effectuant les màj des postes client. On a alors décidé de mettre un poste qui répercutera les màj sur chaque site. Mais rien n'y fait. Les màj continue à faire planter le réseau. Quelqu'un à déjà eu ce genre de soucis ? Un conseil pour un autre antivirus ? Merci -- Tr4sK.

6 8

DNAME records
by Greg 26 Aug '10

26 Aug '10

Bonjour, j'ai la problématique suivante: plus de 10000 zones ayant toute la même config (A, MX, CNAMES...). Jusqu'à présent il n'y avait qu'une seule entrée A. Mais je commence à mettre en place de la répartition DNS RR multi-sites, donc 3 entrées A pour @ et www. Mon soucis sera le jour ou je voudrais changer la répartition, il faudra que je mette à jour toutes ces zones. Je pourrais faire un script générant les zones, ou utiliser des $INCLUDE, mais je cherchais une méthode plus propre/élégante : @ IN CNAME vip.domaine.fr. mais ce n'est pas RFC compliant pour moultes raisons. Je suis donc tomber sur le type d'enregistrement DNAME qui pourrait répondre à mon problème : 1 domaine "référent" avec la config des CNAMES et des multiples A les autres domaines n'ont qu'un enregistrement NS et un DNAME sur ce domaine référent : @ IN DNAME domaine.fr. J'ai fais quelques tests: ça fonctionne. Mais comme je ne connais pas ce type de record (et wikipedia FR non plus) j'aimerais avoir votre avis: est-ce que ça se fait pour ce type d'utilisation ? L'avez vous pratiqué ? Est-ce qu'un IE5 sous Windows 98 sera capable de résoudre ce type d'enregistrement ? Pour info ça donne ça avec dig : ; <<>> DiG 9.4.2-P2.1 <<>> toto.mon_domaine.ch ;; global options: printcmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 39365 ;; flags: qr rd ra; QUERY: 1, ANSWER: 5, AUTHORITY: 2, ADDITIONAL: 0 ;; QUESTION SECTION: ;toto.mon_domaine.ch. IN A ;; ANSWER SECTION: mon_domaine.ch. 600 IN DNAME mon_domaine.fr. toto.mon_domaine.ch. 600 IN CNAME toto.mon_domaine.fr. toto.mon_domaine.fr. 600 IN CNAME www.mon_domaine.fr. www.mon_domaine.fr. 600 IN CNAME vip.mon_domaine.com. vip.mon_domaine.com. 590 IN A 1.1.1.1 (j'ai pas encore configuré avec les deux enregistrements A) -- Greg

3 3

LTSP : Retours d'expérience
by frsag＠webmail.fr 25 Aug '10

25 Aug '10

Bonjour, Je possède actuellement quelques serveurs ( 4 pour tout dire), un peu vieillissant, ayant quelques Go de RAM, des disques SCSI et double processeurs 3Ghz monocoeur. Ces serveurs utilisent une solution commerciale de clients léger sous Windows, qui ne me donne pas du tout satisfaction. Je pense donc me mettre à LTSP. Qui à un retour d'expérience dessus ? Positif ou négatif ? Question sûrement stupide : un Debian de base (ou au pire un Ubuntu Server), gère correctement, et nativement de manière intelligente, la présence de deux processeurs sur une carte mère ? Autre chose à conseiller ou à tester, concurrent de LTSP ? Sous quelle configuration, faites vous tourner LTSP ? Pour combien d'utilisateurs / type applications ? PlayOnLinux + LTSP, ça marche bien chez vous ? Intégré à un environnement Windows Server 2003, avec Active Directory (DHCP et DNS déjà existants), comment gérez vous ça ? (je me doute comment ça se passe, mais je suis curieux d'entendre vos recettes) Certaines pages ou documentations non officielles à me faire lire avant de commencer ? Mon but à l'heure actuelle est simple : ouvrir un navigateur web, n'autorisant un seul domaine. A part un Firefox, vous mettriez quoi d'autre ? Quelques idées sur un similaire consommant moins de ressources ? Merci pour toute idée,

5 4