Administration de Systèmes UNIX

1. Historique
2. Présentation d'Unix
3. Rôles d’un administrateur?
4. Rappels
4.1. Premiers contacts avec UNIX
4.2. Sources de documentation : man, Google, FAQ, etc.
4.3. Commandes de manipulations de base des objets : ls, cat, more, rm, cp, mv,
mkdir, rmdir, cd, pwd, wc, diff, head, tail, cut, paste, sort, uniq, touch, ln
4.4. Editeurs de textes
4.5. Changement droit d’accès d’un objet
4.6. Recherche de fichiers : find
4.7. Commande Unix de gestion de place disque
4.8. Programmation en bourne Shell : sh, csh, ksh, bash
4.9. Démarrage système : /etc/initab
4.10. Gestion de volume et partitions disque
4.11. Administration des fichiers, systèmes de fichiers, gestion de périphériques
5. Gestion des groupes et des utilisateurs
6. Les techniques de sauvegarde et de restauration
7. Syslog
8. Chiffrement
9. Commandes Unix réseau de base
9.1. Authentification a un réseau
9.2. Impression : lpr, lpq, lprm
10. Identification et authentification
10.1. identification
10.2. authentification
11. réseau et routage
11.1. interface réseau
11.2. routage
12. Configuration d'un pare-feu
12.1. Introduction
12.2. Translation d’adresse NAT (Network Adress Translation)
13. Le protocole DHCP
Travaux Pratiques
- Configuration de NIS
- Configuration de NFS
- Configuration de DNS
- LDAP
- SAMBA
- SMTP
- Syslog
- Réseau et connectivite

1. Historique
- 1969/70 : version 1 par K. Thompson et D. Ritchie.
- 1972/73 : version 2.
 1980 : Berkley Software Distribution BSD 1.0 (association avec Sun et IBM)
o 1988 : évolution vers NEXTSTEP (S. Jobs) et 1999 MacOS X
o 1990-2010 : FreeBSD 9.x, OpenBSD et NetBSD 5.0
 1981 : System III qui évolue en System IV (Association avec HP
(HP/UX), IBM (Aix) et DEC (true64)).
 1988 : fusion des versions BSD et System V release 3.0 pour donner la
version System V release 4.0
- 1987 : Minix (Unix Like pédagogique).
- 1991 : V0 de Linux de L. Torvalds (basé en partie sur minix), V1 en 1994, V2
en 1996, V3 en 2011 et V4 en 2015. Apparition des distributions:
Slackware, Debian, RedHat (Suse, Fedora, CentOS).
- Actuellement: BSD (Free/Net/Open), System V release 4.0, Linux.

2. Présentation d'Unix
Rôles d'un système d'exploitation (OS ou operating System) :
- machine virtuelle qui cache la machine physique.
- gère les ressources matérielles (mémoire, périphériques, ...).
Unix :
- Multi-tâches et multi-utilisateurs.
- Unix : plusieurs familles d'OS : BSD, SYS V, Linux, ...

3. Rôles d’un administrateur?

- Gérer les comptes utilisateurs.
- Assister et éduquer les utilisateurs.
- Gérer les logiciels (installation, configuration, mise à jour).
- Gérer les matériels (panne, remplacement, ajout).
- Assurer la sécurité du système et des utilisateurs (sauvegardes fiables et régulières,
contrôle d’accès, utilisations abusives de ressources).
- Vérification de l’adéquation du matériel avec son utilisation (identifier les goulets
d’étranglement).
- maintenance de premier niveau (diagnostiquer une panne, appel de la maintenance
constructeur).
- gestion quotidienne (multiples tâches, petites ou grosses).

4. Rappels
4.1. Premiers contacts avec UNIX
- démarrage du système, on entre le login et mot de passe
- Changement de mot de passe : $ passwd
4.2. Sources de documentation : man, Google, FAQ, etc.
Il existe une documentation électronique accessible pendant le fonctionnement du
système : c’est l’aide en ligne ; et cette commande est man. (Ex : man chmod). On
peut aussi consulter Google ou FAQ.
4.3. Commandes de manipulations de base des objets : ls, cat, more, rm, cp,
mv, mkdir, rmdir, cd, pwd, wc, diff, head, tail, cut, paste, sort, uniq,
touch, ln
i. ls : permet de lister le contenu des dossiers ou répertoires (ex : $ ls
/home).
ii. cat : affiche le contenu d’un fichier texte sur l’écran (ex : $ cat [Link]).
iii. more : afficher le contenu d’un fichier texte d ‘une page d’écran par
page d’écran (ex : $ more [Link])
iv. rm : destruction d’un fichier (ex : $ rm [Link])
v. cp : duplication d’un fichier (ex : $ cp [Link] [Link])
vi. mv : déplacement et renommage d’un fichier ; renommer (ex : $ mv
[Link] [Link] OU ex : $ mv /home/film1 /home/film2) ; déplacer (ex :
$ mv [Link] /home)
vii. mkdir : création de répertoires (ex : $ mkdir –p rep1/rep2)
viii. rmdir : suppression de répertoires (ex : $ rmdir rep1)
ix. cd : changement du répertoire courant (ex : $cd /home)
x. pwd : affichage du répertoire courant (ex : $ pwd)
xi. wc : comptage de lignes dans un fichier (ex : $ wc [Link])
xii. diff : comparaison de deux fichiers (ex : $ diff [Link] [Link])
xiii. head : extraction des premiers lignes de fichiers (ex : $ head -2 [Link])
xiv. tail : extraction des dernières lignes de fichiers (ex : $ tail -2 [Link])
xv. cut : extraction de colonnes (ex : $ cut –c 1,7,27 [Link])
xvi. paste : collage de colonnes (ex : soit deux fichiers [Link], [Link]
contenant 1 colonne chaque fichier et si on veut coller ces deux
 colonnes on tape $ paste [Link], [Link])
xvii. sort : tri d’un fichier (ex : $ sort [Link])
xviii. uniq : élimination des lignes redondantes d’un fichier (ex : $ uniq
[Link])
xix. touch : création d’un fichier vide
xx. ln : associer un fichier a plusieurs noms
4.4. Editeurs de textes
$ vi fic.c OU $ nano fic.c OU $ emacs fic.c OU $ view fic.c, etc.
4.5. Changement droit d’accès d’un objet
Ex : $ chmod u-w, g+x, o+wx fichier
4.6. Recherche de fichiers : find
Ex : $ find . -name ’*.c’ -print
$ find . -type d -print
4.7. Commande Unix de gestion de place disque
$ df –k : indique le taux de remplissage des disques durs locaux de
l’ordinateur ainsi que des disques durs réseau qui stockent les fichiers.
$ du –k : calcul de la place disque occupée.
4.8. Programmation en bourne Shell : sh, csh, ksh, bash
Le Shell est un langage de programmation, interprété (non compilé) offrant
les structures de base de programmation de tout autre langage.
- Création fichier : $ nano [Link]
- Apres écriture de code, enregistrez avec CTRL+X, tapez Y puis entrez
- donnez le droit d’exécution au fichier : $ chmod U+X [Link]
- exécutez le fichier : $ ./[Link]
4.9. Démarrage système : /etc/initab

4.10. Gestion de volume et partitions disque

#mkfs
4.11. Administration des fichiers, systèmes de fichiers, gestion de
périphériques
#mount
Fichier de configuration : /etc/fstab
#fsck /dev/hda4: outil de contrôle d’un système de fichiers
5. Gestion des groupes et des utilisateurs
Les groupes d'utilisateurs
- Un "groupe" permet de répartir les utilisateurs en fonction de leurs activités et des
droits qui leurs sont accordés. Il est caractérisé par un nom et un numéro, le GID. La
définition des groupes se trouve dans le fichier /etc/group et sur un serveur dans
/etc/security/group
- Le fichier /etc/group : comporte une ligne par groupe d'utilisateurs =>
nom : renvoi : GID : invité => Ex : system : ! : 0 : dupont, root où system=nom ; !
= le renvoi qui indique au système que des informations supplémentaires se trouvent
dans le fichier /etc/security/ ; GID : numéro d'identification du groupe et invité :
liste des utilisateurs disposant des droits de ce groupe.
- Le fichier /etc/security/group : contient les attributs supplémentaires des
groupes d'utilisateurs =>
nom_du_groupe:
adms = (Liste d'utilisateurs ayant des droits de gestion sur ce groupe).
admin = true (groupe administratif (seul root peut le gérer).
False (groupe standard : root, les membres du groupe security où les
utilisateurs adms peuvent gérer ce groupe).
Ex : gp1:
adms = dupont
admin = false

- Gestion des groupes d'utilisateurs :

Serveur UNIX Linux
# mkgroup ou au travers de l'outil #groupadd -g gid nom-de-groupe
d'administration dont dispose #groupmod -g gid -n nouveau-nom
l'équipement serveur UNIX (SMIT, SAM, nom-de-groupe
etc.) #groupdel nom-de-groupe
- Gestion des utilisateurs :
Serveur UNIX Linux
Commandes : Commandes :
 # mkuser (pour créer)
# chuser (pour modifier) # useradd nom-de-user
# rmuser (pour supprimer) #usermod nouveau-nom ancien-nom
# lsuser (pour lister) #userdel nom-de-user
Fichiers de configuration :
/etc/passwd, Fichiers de configuration :
/etc/security/passwd, /etc/passwd :
/etc/security/user, login_id : renvoi : UID : GID :
/etc/security/limits commentaire : répertoire : [processus]
/etc/shadow : contient le
renseignement de chaque utilisateur tels
que son nom, son mot de passe crypté,
dernière changement de mot de passe,
etc.
- Le fichier /etc/security/passwdOU /etc/shadow
root:
password = WAhvGaVs03D4U
lastupdate = 881588868
flags = NOCHECK (instructions sur le mot de passe non appliquées)
/ADMIN(seul l’administrateur peut le changer) /ADMCCHG (changement de mot de
passe a la prochaine connexion).
- Le fichier /etc/security/user
Paragraphe 1 : ensemble des valeurs par défaut.
Paragraphe 2 : spécifiques à chaque utilisateur ainsi que ces valeurs.
- Le fichier /etc/security/limits : permet de fixer les limites par défaut des tailles de
fichiers ou de l'espace mémoire utilisable par les différents utilisateurs.
Paragraphe 1 : ensemble des valeurs par défaut.
Paragraphe 2 : spécifiques à chaque utilisateur ainsi que ces valeurs.

6. Les techniques de sauvegarde et de restauration

- sauvegarde: c'est dupliquer et externaliser les données pour se protéger :
 des erreurs humaines
 des crashs matériel
 des erreurs logicielles
  des sinistres (incendie, inondation, ...)
 de la malveillance (vol, virus, ...)
- la durée de vie d'un jeu de sauvegarde est limitée dans le temps (quelques mois
au plus)
- Sauvegarde des données/du système
Exemple de sauvegarde et restauration d'arborescence sur support amovible
$ tar -cvf /dev/sda (sauvegarde)
$ tar -xvf /dev/sda (restauration)
Sauvegarde et restauration système de fichiers
Sauvegarde restauration
backup (serveur UNIX) Restauration système de fichier
$ backup -c -fdevice -level -u fs_name $ restore -fdevice -r
-c : précise que le média utilisé r indique la restauration complète d'un
-level : représente le niveau de système de fichiers
sauvegarde incrémental (0 à 9) i indique une restauration interactive
-u : permet d'enregistrer la date de (mutuellement exclusive avec l'option
sauvegarde dans le fichier -r)
/etc/dumpdates
-W : affiche les dates de la dernière
sauvegarde des systèmes de fichiers
contenus dans le fichier
/etc/dumpdates
fs_name : nom du système de fichiers à
sauvegarder.
dump (linux)
$ dump -fdevice fs_name
Restauration Fichier
$ restore -fdevice -xvd nom_fichier nom_rép
x (eXtract) indique la restauration de fichiers
v (verbose) sortie
d indique la restauration des répertoires et sous-répertoires
nom_fichier nom du fichier à restaurer
nom_rép nom du répertoire à restaurer
Sauvegarde D.D
 La commande "dd" permet de réaliser la sauvegarde et la restauration physique de
volumes (logiques, physiques), de partitions disques, de (gros) fichiers.

7. Gestion des journaux : Syslog

- syslogd: daemon chargé de gérer les journaux d'une machine, se trouve
généralement dans /var/log/*.log
- peut gérer les journaux d'hôtes distants
- outils de gestion des journaux : logrotate, newsyslog, ...: compresser, déplacer,
effacer, ...
- analyse des journaux :
 pour détecter un problème et/ou en déterminer les causes après coup
 pour alerter d'un problème en cours
- Deux types d'outils de détection:
 logcheck, logsurfer, swatch, sec, ...
 via un ids: système de détection d'intrusion
- Fichier de configuration : [Link]
Surveillance du système
- Sar est dans le package sysstat
- A l’aide d’un outil de surveillance : nagios, zabbix, pfsense, etc.

8. Gestion de sécurité : chiffrement

8.1. définitions
Services offerts par le chiffrement:
- confidentialité
- intégrité: chiffrer une empreinte du message
- signature numérique
- authentification (ex.: ssh qui authentifie les machines)
- kerberos: authentification centralisée unique
- non répudiation: prouver qui a créé un message: utilisation de tiers de confiance,
chiffrement à clef publique.
8.2. Chiffrement: robustesse
- cryptanalyse: analyser une information chiffrée pour la déchiffrée (dont des
méthodes en force brute, ...)
- algo public
- la sécurité repose sur:
 la non divulgation de la clef
 la robustesse de l'algorithme
 la taille de la clef (gare aux comparaisons entre algo différents)
 l'utilisation de clefs différentes pour chiffrer des messages différents
limite la quantité d'information à la disposition de l'attaquant
8.3. Chiffrement: taille des clefs
- temps dépend du nombre de clefs possibles et donc de la taille de la clef:
 10 bits : 1024 clefs possibles
 la clef: 1 bit de plus = 2 fois plus de temps => 56 bits: 2^56
8.4. algorithme de chiffrement
- chiffrement symétrique/asymétrique
 symétrique: les algo classiques sont rapides
 la même clef sert au chiffrement et au déchiffrement
 asymétrique: les algo classiques sont lents
 couple de clef publique/clef privée
 clef publique: peut être connue de tous
 clef privée: tenue cachées
 ce qui est chiffré avec l'une ne peut être déchiffré qu'avec
l'autre
 Algorithmes de chiffrement symétrique:
 DES (1976): standard américain (1977), clef de 56 bits sur
des blocs de 64 bits.
 triple DES (1978): variante via une triple application de DES
permettant d'avoir des clefs entre 128 et 192 bits sur des
blocs de 64 bits.
 RC2, RC4, RC5 (1994) et RC6
 IDEA (1992): clef 128 bits sur des blocs de 64 bits.
 blowfish: clef 32 à 448 bits sur des blocs de 64 bits.
Algo très analysé, considéré comme solide, utilisation libre
 AES (1998): clefs 128, 192 ou 256 bits sur blocs de 128 bits.
standard américain. utilisation libre.
 algorithmes asymétriques:
  RSA s'appuyant sur la factorisation de nombres premiers
 Diffie-Hellman et El Gamal s'appuyant sur le calcul des
logarithmiques discrets
 des algorithmes nouveaux s'appuyant sur les courbes
elliptiques
8.5. durée de vie des clefs
- dépend de sa taille
- dépend de son taux d'utilisation

- dépend du contexte d'utilisation

- hiérarchie de clef (clef maîtresse, clef de session par ex.)
- une utilisation intensive du chiffrement nécessite la mise en place d'une IGC
(infrastructure de gestion de clef ou PKI – Public Key Infrastructure en anglais)
8.6. hachage/ empreinte
- principe :
 deux empreintes différentes correspondent forcément à deux textes différents
 la probabilité d'avoir deux empreintes identiques est très faible
8.7. hachage: applications
– authentification des utilisateurs:
 on stocke la version hachée du mot de passe
 permet d'éviter que deux personnes qui ont le même mot de passe aient la
même empreinte
– vérification de l'intégrité de fichiers
8.8. Hachage: algo classiques
- MD4 (mdp windows NT & Co)
- MD5 (mdp unix): empreinte de 128 bits, considéré comme faible (collisions)
- sha-1: empreintes de 160 bits (solidité mise en doute actuellement)
- sha-2: empreintes de 256, 384 ou 512 bits au choix

9. Base des commandes Unix pour les réseaux

9.1. Authentification a un réseau
L’authentification permet d’identifier les utilisateurs et identifier correctement les
utilisateurs est un des défis de l'administrateur. Sous Unix, un utilisateur est
identifié par : un nom, un mot de passe, un identifiant numérique (UID), un
 identifiant de groupe (GID), un répertoire personnel (home directory), shell par
défaut.
Le nom et le mot de passe servent au mécanisme d'authentification (login). L'UID et
le GID servent à la manipulation de fichiers. Le répertoire personnel et le shell par
défaut donnent des informations nécessaires à la phase d'authentification.
Principe de fonctionnement :
Les informations d'authentification sont stockées dans les fichiers :
- '/etc/passwd' : contient les informations de nom d'utilisateur, de shell par
défaut, du répertoire personnel, UID et GID.
Exemple : foo:x:1001:1001:,,,:/home/foo:/bin/bash(nom d'utilisateur, shadow
passwd, UID, GID, home directory, shell)
- '/etc/shadow' (admin): contient les mots de passe crypté des utilisateurs.
- A partir d'un certain nombre d'utilisateurs, on met en place un système
centralisé d'authentification.

9.2. Impression : lpr, lpq, lprm

Une impression nécessite de connaitre le nom de l’imprimante et d’avoir un fichier
au bon format à imprimer.
- Pour imprimer : $lpr -Pimprimante fichiers
- Pour consulter la queue d’impression : $lpq –Pimprimante
- Pour retirer un fichier de la queue d’impression, $ lprm -Pimprimante
numéro-dans-la-queue-renvoyé-par-lpq

10. Identification et authentification

10.1. identification: définir l'identité de l'utilisateur
10.2. authentification: permet de vérifier l'identité fournie (authentification simple
vs authentification forte)
 via un élément que l'utilisateur connait (mot de passe, ...)
 via un élément que l'utilisateur possède (carte à puce, certificat, ...)
 via biométrie
Authentification unique (SSO: Single Sign On)
- l'utilisateur s'authentifie une fois
- il a accès à toutes les ressources du réseau
 Authentification de base sous unix
- login/mot de passe stocké dans /etc/passwd ou /etc/shadow
- emprunte où calcul l’emprunte de mot de passe qu’il fournit a l’emprunte stockée
- Algorithme : des, md5, blowfish
- PAM : pluggable authentification modules où on peut faire supporter à de nombreux
Unix des systèmes d'authentifications variés (carte à puce, mot de passe jetables,
annuaire LDAP, ...)
SSH
- Un protocole, une commande et un ensemble d'outils dont il existe diverses versions
de diverses origines
- Permet de relier des machines sûres et non compromises à travers un réseau non sûr
- l'ensemble des échanges est chiffré
- les machines sont authentifiées (en utilisant pam, one time password)
- Etape : i) authentification des machines souvent un clef publique et privée ; ii)
chiffrement de session ; iii) authentification des utilisateurs ; iv) tunneling ; v) boîte
à outil ssh
- Agents d’authentification :
 ssh-agent : mémorise les clefs en mémoire vive pour éviter à l'utilisateur de
taper une clef à chaque utilisation
 ssh-add: commande utilisateur pour ajouter une clef en mémoire

11. réseau et routage

- réseau tcp/ip
- configuration : adresse IP, routage, services réseau utilisés par la machine, services
réseaux fournis par la machine
11.1. Interface réseau
- une adresse ip peut-être affectée à chaque interface réseau
- nom des interfaces réseau : eth0, eth1
- il faut que le pilote de la carte et les pilotes des protocoles réseau utilisés soient
déjà installés.
Configuration d'une interface réseau: ifconfig
- Commande ifconfig avec les options : up/down ; adresse ip, masque, mtu, ... ;
media (10/100/..., half/full duplex), adresse ethernet, ...
 - Ex : # ifconfig –a : affiche toutes les interfaces
# ifconfig eth0 [Link] netmask 255.255.255.0150 up: configure et active
eth0
Configuration d'une interface réseau via des scripts/fichiers de
configuration : /etc/network/interfaces

Etat d'une interface réseau :

- #ifconfig nomInterface
- #netstat –i
Test de connectivité :
- ping: envoie un paquet icmp echo request et attend un paquet icmp echo
response
- nmap, hping permet de faire de même via tcp ou udp en choisissant le port source
(pour éviter certains filtres)
11.2. Routage
- le routage permet à deux machines non directement reliées de communiquer
via des machines intermédiaires appelés routeurs.
- Type :
 routage statique : via la commande route ou fichier de configuration
(/etc/network/interfaces) ; activation : /etc/network/options OU
etc/[Link]
 routage dynamique
- machine routeur qui accepte les paquets destinés à d'autres hôtes et le
routage ip doit être activé
- #netstat -r: affiche la table de routage
- Netstat : permet d’obtenir des informations sur la configuration/les logiciels
 réseau d'un ordinateur.
Ex :
#netstat –n : désactive la résolution des adresses numériques (dns, ports, ...)
#netstat -a: surveillance de l'état des connexion
#netstat -i : stat. trafic des interfaces réseau
#netstat -r: table de routage
#netstat -s: stat. par protocole tcp/ip

12. Configuration d'un pare-feu

12.3. Introduction
Application qui filtre les connexions entrantes et sortantes d'une machine c’est à dire
une machine qui protège une partie du réseau du reste du monde.

Types de pare-feu :
● Filtre des paquets : le pare-feu analyse les paquets IP. On peut filtrer suivant les
adresses de sources et de destinations ; sur le protocole transport utilisé (TCP, UDP,
ou ICNP) ; sur les numéros de ports.
● Mémoire d'état : Ajoute au précédent le fait que le pare-feu conserve la mémoire
des connexions établies.
 ● Pare-feu applicatif : filtrage sur la couche application.
12.4. Pare-feu sous Unix- GNU Linux
Le logiciel de filtrage est intégré au noyau Linux, il se nomme Netfilter ; pour
l’administrer, on utilise la commande iptables
Syntaxe : iptables -P <chaîne> <cible>
Ex : # iptables -P INPUT DROP => on autorise 'ACCEPT' ou rejette 'DROP' les
paquets que ne correspondent à aucune règle. Par défaut on rejette les paquets
entrants.

Si la machine [Link] A veut se connecter au serveur [Link]:80 S.

A va d'abord initier une connexion avec la passerelle P. Le port source de A serait 4325 et le
port de destination 80. A va dire à P qu'elle veut se connecter à S. P va donc initier une
connexion avec S via son adresse publique. Ici P va choisir un port quelconque (53667).
Quand S va répondre, il répond à P sur le port 53667. P sachant que ce port particulier
appartient à sa table NAT, il retransmet l'information à A.
12.5. Translation d’adresse NAT (Network Adress Translation)
Le principe de la translation d'adresses est de permettre la correspondance entre plusieurs
machines adressées en interne avec 1 ou plusieurs adresses publiques. Il existe le NAT
statique et le NAT dynamique.
NAT sous Netfilter
Sous Netfilter on a la table 'nat' qui est là pour tout ce qui concerne la translation d'adresse.
Elle rajoute deux chaînes à Netfilter :
  PREROUTING : qui traite les paquets avant qu'ils ne soient routés.
 POSTROUTING : qui traite les paquets après qu'ils ne soient routés
Ex1: #iptables -t nat -A POSTROUTING -s [Link]/24 -o eth1 -j MASQUERADE
 -s [Link]/24 indique le sous réseau privé
 o eth1 indique l'interface de sortie
 -j MASQUERADE est la cible spéciale pour la nat
Ex2 : #iptables -t nat -A PREROUTING -p tcp –dport 80 -j DNAT –to-destination [Link]
Grâce à la chaîne PREROUTING rediriger des ports "publique" vers des machines du réseau
privé.

13. Le protocole DHCP (Dynamic Host Configuration Protocol)

Quand une machine se connecte au réseau, elle va faire une requête DHCP. Cette machine n’a
pas d'adresse IP et elle ne connaît rien du réseau y compris l'adresse du serveur DHCP. La
machine envoie une requête sur le réseau (en UDP et en mode Broadcast) avec comme
adresse IP : [Link]. La requête contient entre autre l'adresse MAC de la machine. Le serveur
DHCP va intercepter la requête. Il va regarder si son pool d'adresses contient encore des
adresses disponibles et il va renvoyer une réponse DHCP avec une adresse IP disponible plus
l'adresse MAC de la machine. Sous GNU/Linux, il y a un service ‘dhcp’.