Préparation à l’examen 201 pour la certification LPIC-2 (selon objectifs mis à jour en août 2012)

Chapitre 5. Configuration réseau

Objectifs Configuration élémentaire d'un réseau :

- Configurer des interfaces réseaux afin de se connecter à un réseau local,
filaire ou sans fil, et à un réseau étendu ;
- Communiquer entre les différents sous-réseaux d'un même réseau y compris
les réseaux IPv4 et IPv6.
Configuration avancée d'un réseau et dépannage :
- Configurer un hôte multiréseau ;
- Configurer un client VPN ;
- Résolution des problèmes de communication.
Dépannage des problèmes réseaux :
- Identifier et corriger les problèmes réseaux les plus fréquents ;
- Reconnaître les emplacements des fichiers de configuration.
Notification des utilisateurs :
- Notifier aux utilisateurs les problèmes relatifs au système.
Points - Utilitaires de configuration et de manipulation des interfaces Ethernet.
importants - Configuration des réseaux sans fil.
- Utilitaires de manipulation des tables de routage.
- Utilitaires d'analyse de l'état des interfaces réseaux.
- Utilitaires de suivi et d'analyse du trafic TCP/IP
- OpenVPN.
- Localisation et contenu des fichiers de contrôle d'accès.
- Utilitaires de détection et d'affichage de l'état d'un réseau.
- Utilitaires de récupération d'information sur la configuration réseau.
- Méthodes d’information sur les périphériques détectés et utilisés.
- Fichiers et scripts d'initialisation du système.
- Automatisation de la communication avec les utilisateurs à travers les
messages de connexion.
- Notification aux utilisateurs des opérations de maintenance du système.
Mots clés - ifconfig, ip, arp, iwconfig, hostname, route, openvpn, ping, traceroute, dig,
netstat, tcpdump, lsof, nc, nmap, wireshark, dmesg, host, wall, shutdown.
- /etc/network || /etc/sysconfig/network-scripts/, /etc/hostname |

Ouvrage sous contrat Creative Commons BY-NC-SA – p. 89

 Préparation à l’examen 201 pour la certification LPIC-2 (selon objectifs mis à jour en août 2012)

/etc/HOSTNAME, /etc/[Link], /etc/hosts, /var/log/syslog,

/var/log/messages, /etc/openvpn/*, /etc/[Link], /etc/[Link],
/etc/issue, /etc/[Link], /etc/motd.

La connexion d'un hôte à un réseau IP nécessite des opérations d'installation et de

configuration. Les étapes de la mise en réseau sont :
– installation d'une interface réseau : cette étape consiste à installer une (ou plusieurs)
carte réseau et à paramétrer l'interface réseau correspondante. Elle suit la procédure
générale d'installation d'un périphérique. Lors de l'installation du système Linux, les
cartes réseaux sont automatiquement détectées et configurées ;
– configuration IP : cette étape traite la configuration de niveau réseau ;
– test de la configuration : cette étape consiste à tester la configuration précédemment
effectuée et à utiliser les utilitaires de diagnostic en cas de problèmes réseaux.

1. Interface réseau
1.1. Détection des interfaces réseaux
Les interfaces réseaux sont identifiées par des noms de la forme type-numéro où type
spécifie le type de l'interface réseau et numéro est l'ordre de l'interface. Les types
d'interface sont « eth » pour les interface Ethernet, « wlan » pour les interfaces Wi-Fi,
« ppp » pour les interfaces point à point, etc. Par exemple eth0 est la première interface
Ethernet, eth1 est la deuxième, etc.
La commande lshw permet d'identifier les interfaces réseaux. Elle affiche pour chaque
interface l'information sur le bus, le détail du pilote et les fonctionnalités supportées.
EXEMPLE
La commande lshw de cet exemple détecte deux interfaces réseaux connectées sur le bus
PCI. La première est une interface de type Ethernet, nommée « eth0 » et gérée par le
pilote « e1000e ». La deuxième est une interface de type Wi-Fi, nommée « wlan0 » et
gérée par le pilote « iwl3945 ».

# lshw -class network

*-network
description: Ethernet interface
product: 82562GT 10/100 Network Connection
vendor: Intel Corporation
physical id: 19
bus info: pci@0000:00:19.0
logical name: eth0
version: 03
serial: 00:1a:4b:90:df:b0

Ouvrage sous contrat Creative Commons BY-NC-SA – p. 90

 Préparation à l’examen 201 pour la certification LPIC-2 (selon objectifs mis à jour en août 2012)

size: 100MB/s
capacity: 100MB/s
width: 32 bits
clock: 33MHz
capabilities: pm msi bus_master cap_list ethernet physical tp 10bt
10bt-fd 100bt 100bt-fd autonegotiation
configuration: autonegotiation=on broadcast=yes driver=e1000e
driverversion=1.0.2-k2 duplex=full firmware=1.1-2 ip=[Link] latency=0
link=yes multicast=yes port=twisted pair speed=100MB/s
resources: irq:28 memory:dc500000-dc51ffff memory:dc520000-dc520fff
ioport:5000(size=32)

*-network
description: Wireless interface
product: PRO/Wireless 3945ABG [Golan] Network Connection
vendor: Intel Corporation
physical id: 0
bus info: pci@0000:10:00.0
logical name: wlan0
version: 02
serial: 00:1c:bf:76:e9:2b
width: 32 bits
clock: 33MHz
capabilities: pm msi pciexpress bus_master cap_list ethernet
physical wireless
configuration: broadcast=yes driver=iwl3945 latency=0 multicast=yes
wireless=IEEE 802.11abg
resources: irq:30 memory:dc000000-dc000fff

1.2. Pilotes et noms des interfaces réseaux

Pour les noyaux Linux modulaires, les pilotes des interfaces réseaux se présentent sous la
forme de modules noyau. Lors de démarrage du système, le noyau charge ces modules et
attribue un nom à chaque interface. Avec les systèmes antérieurs à udev le nom d'une
interface est attribué comme un alias au nom du pilote dans le fichier /etc/[Link].
EXEMPLE
D'après le fichier /etc/[Link] suivant, le nom « eth0 » est attribué à l'interface
réseau gérée par le pilote « e1000e » et le nom « wlan0 » à celle gérée par le pilote
« iwl3945 ».

# cat /etc/[Link]
alias eth0 e1000e
alias wlan0 iwl3945

Ouvrage sous contrat Creative Commons BY-NC-SA – p. 91

 Préparation à l’examen 201 pour la certification LPIC-2 (selon objectifs mis à jour en août 2012)

Pour les systèmes se basant sur le gestionnaire de périphériques udev, le nom d'une
interface est fixé par le paramètre NAME de l'interface ayant l'adresse MAC correspondante
dans le fichier des règles udev.
EXEMPLE
Le fichier des règles udev suivant attribue le nom « eth0 » à l'interface réseau d'adresse
MAC « 00:1a:4b:90:df:b0 » et le nom « wlan0 » à l'interface réseau d'adresse MAC «
00:1c:bf:76:e9:2b ».

# cat /etc/udev/rules.d/[Link]
# This file maintains persistent names for network interfaces.
# PCI device 0x8086:0x10c4 (e1000e)
SUBSYSTEM=="net", ACTION=="add", DRIVERS=="?*",
ATTR{address}=="00:1a:4b:90:df:b0", ATTR{dev_id}=="0x0",
ATTR{type}=="1", KERNEL=="eth*", NAME="eth0"

# PCI device 0x8086:0x4222 (iwl3945)

SUBSYSTEM=="net", ACTION=="add", DRIVERS=="?*",
ATTR{address}=="00:1c:bf:76:e9:2b", ATTR{dev_id}=="0x0",
ATTR{type}=="1", KERNEL=="wlan*", NAME="wlan0"

1.3. Paramétrage des interfaces Ethernet

L'utilitaire ethtool affiche et modifie les paramètres des interfaces Ethernet tels que auto-
negotiation, port speed, duplex mode et Wake-on-LAN.
EXEMPLE
La ligne de commande suivante change le mode de fonctionnement de l'interface « eth0 »
à « full duplex », fixe le débit à 100 Mb/s, active la négociation automatique et active le
démarrage de l'hôte à la réception du paquet magique (wol g : Wake-on-LAN = Wake on
Magic Packet).

# ethtool -s eth0 speed 100 duplex full autoneg on wol g

# ethtool eth0
Settings for eth0:
Supported ports: [ TP ]
Supported link modes: 10baseT/Half 10baseT/Full
100baseT/Half 100baseT/Full
Supports auto-negotiation: Yes
Advertised link modes: 100baseT/Full
Advertised pause frame use: No
Advertised auto-negotiation: Yes
Link partner advertised link modes: Not reported
Link partner advertised pause frame use: No

Ouvrage sous contrat Creative Commons BY-NC-SA – p. 92

 Préparation à l’examen 201 pour la certification LPIC-2 (selon objectifs mis à jour en août 2012)

Link partner advertised auto-negotiation: No

Speed: 100Mb/s
Duplex: Full
Port: Twisted Pair
PHYAD: 1
Transceiver: internal
Auto-negotiation: on
MDI-X: off
Supports Wake-on: pumbag
Wake-on: g
Current message level: 0x00000001 (1)
Link detected: yes

Les changements des paramètres des interfaces Ethernet par la commande ethtool sont
temporaires et seront perdus au prochain redémarrage du système. Afin de les rendre
permanents, il faut spécifier ces paramètres dans le fichier de configuration de l'interface.
Pour les distributions Debian et dérivées, la commande ethtool est spécifiée dans
l'instruction pre-up du fichier de configuration /etc/network/interfaces et pour les
distributions Red Hat et dérivées les paramètres sont attribués à la variable ETHTOOL_OPTS
dans le fichier de configuration de l'interface correspondante (/etc/sysconfig/network-
scripts/ifcfg-eth0 pour l'interface eth0).
EXEMPLE
Cet exemple illustre le paramétrage permanent de l'interface « eth0 » de l'exemple
précédent pour les deux types de distributions.
Pour les distributions Debian et dérivées :

Debian-like# cat /etc/network/interfaces

auto eth0
...
pre-up /usr/sbin/ethtool -s eth0 speed 100 duplex full autoneg off wol g

et pour les distributions Red Hat et dérivées :

RedHat-like# cat /etc/sysconfig/network-scripts/ifcfg-eth0

...
ETHTOOL_OPTS="speed 100 duplex full autoneg off wol g "

1.4. Paramétrage des interfaces sans fil

1.4.1. Généralités
La norme la plus utilisée pour les réseaux sans fil est la norme IEEE 802.11 connue, aussi,
sous le nom de Wi-Fi. Avant d'aborder les commandes de paramétrage des interfaces

Ouvrage sous contrat Creative Commons BY-NC-SA – p. 93

 Préparation à l’examen 201 pour la certification LPIC-2 (selon objectifs mis à jour en août 2012)

sans fil, il est nécessaire de rappeler les termes fréquents dans ce contexte tels que :
« point d'accès », « service set id » et « clé de cryptage ».
Point d'accès
Un point d'accès (AP : Access Point) est un équipement jouant le rôle de concentrateur ou
commutateur pour les communications sans fil. En général, un réseau local sans fil
(WLAN : Wireless LAN) est construit par des hôtes équipés d'interfaces sans fil et
interconnectés entre eux par un point d'accès formant ainsi un réseau local sans fil. Ce
mode de mise en réseau est nommé mode infrastructure.
Il est possible que les hôtes communiquent entre eux sans utiliser de point d’accès. Dans
ce cas de figure le mode de mise en réseau est nommé « Ad-Hoc ».
Identifiant réseau
Les réseaux sans fil 802.11 a/b partagent la même plage de fréquence permettant ainsi
l'écoute du trafic des réseaux voisins. Pour ignorer le trafic inutile, un identifiant réseau
(ESSID : Extended Service Set ID) est défini. L'identifiant réseau doit être fixé dans la
configuration des interfaces réseaux des hôtes ainsi qu'au niveau du point d'accès.
Cryptage
Pour éviter l'écoute du trafic non autorisé, les données transmises dans un réseau sans fil
sont cryptées. Le même mécanismes de cryptage doit être utilisé par toutes les entités
communicantes (hôtes et point d'accès).
Le mécanisme de cryptage le plus utilisé est WEP (Wired Equivalent Privacy). Mais une
faille de sécurité a été découverte et des utilitaires tels que « WEP Crack » et « aircrack-
ng » sont disponibles et permettent de déchiffrer le cryptage WEP en quelques minutes.
Pour remédier à la défaillance du cryptage WEP, le mécanisme de cryptage WPA (Wi-Fi
Protected Access) a été défini. Ce mécanisme propose deux modes :
– le « mode personnel » ou PSK (Pre Shared Key) qui utilise une clé de cryptage
configurée manuellement et
– le « mode entreprise » qui combine, en général, un mécanisme de cryptage et un
mécanisme d'authentification.

1.4.2. Paquetage wireless-tools

Le paquetage wireless-tools contient les commandes de gestion des interfaces sans fil
au niveau liaison de données qui sont iwconfig, iwlist, iwevent, iwgetid, iwpriv et iwspy.
Les commandes iwconfig et iwlist sont les deux commandes les plus pertinentes de ce
paquetage.

1.4.3. Commande iwconfig

La commande iwconfig est l'outil principal de paramétrage d'une interface sans fil. Elle
permet de changer tous les éléments d'une configuration tels que le ESSID, le canal, la
fréquence et les clés.

Ouvrage sous contrat Creative Commons BY-NC-SA – p. 94

 Préparation à l’examen 201 pour la certification LPIC-2 (selon objectifs mis à jour en août 2012)

SYNTAXE
La commande iwconfig, exécutée sans paramètre, affiche les paramètres des interfaces
sans fil ainsi que des statistiques sur la liaison. La syntaxe pour modifier un paramètre est
la suivante :

iwconfig interface paramètre valeur

Les paramètres les plus utilisés sont :

essid : spécifie l'identifiant du réseau ;

mode : spécifie le mode de fonctionnement de l'interface qui dépend de la topologie du
réseau. La valeur Managed désigne le mode infrastructure, la valeur Ad-Hoc désigne le
mode Ad-Hoc, etc. ;

ap : force la carte à s'associer à un point d'accès donné ;

key/enc : spécifie la clé de cryptage.
EXEMPLES
Dans le premier exemple, la commande iwconfig, exécutée sans paramètre, affiche les
valeurs des paramètres des interfaces sans fil.

$ iwconfig
lo no wireless extensions.
eth0 no wireless extensions.
wlan0 IEEE 802.11abg ESSID:"Hedi-HOME"
Mode:Managed Frequency:2.412 GHz Access Point: 00:90:D0:E0:6B:5A
Bit Rate=54 Mb/s Tx-Power=15 dBm
Retry long limit:7 RTS thr:off Fragment thr:off
Power Management:off
Link Quality=42/70 Signal level=-68 dBm
Rx invalid nwid:0 Rx invalid crypt:0 Rx invalid frag:0
Tx excessive retries:0 Invalid misc:0 Missed beacon:0

Le deuxième exemple configure l'interface « wlan0 » afin de joindre le réseau sans fil en
mode infrastructure (managed) d'identifiant « Hedi-Work » avec la clé de cryptage WEP
« 1234567890 ».

# iwconfig wlan0 mode Managed

# iwconfig wlan0 essid Hedi-Work
# iwconfig wlan0 key 1234567890

Pour que cette configuration soit permanente, ces paramètres doivent être spécifiés et
enregistrés dans les fichiers de configuration correspondants. Si la distribution est de type
Debian ou dérivées, le fichier /etc/network/interfaces doit contenir ce qui suit :

auto wlan0

Ouvrage sous contrat Creative Commons BY-NC-SA – p. 95

 Préparation à l’examen 201 pour la certification LPIC-2 (selon objectifs mis à jour en août 2012)

...
wireless-mode Managed
wireless-essid Hedi-Work
wireless-key 1234567890

Si la distribution est de type Red Hat ou dérivées le fichier /etc/sysconfig/network-

scripts/ifcfg-wlan0 doit contenir ce qui suit :

...
TYPE=Wireless
MODE=Managed
ESSID=Hedi-Work
KEY=1234567890

1.4.4. Commande iwlist

La commande iwlist liste les canaux, les fréquences, les débits et d'autres informations
disponibles pour une interface sans fil.
SYNTAXE
La syntaxe de la commande iwlist est :

iwlist [interface] type

Si l'interface n'est pas spécifiée alors les informations disponibles pour toutes les
interfaces sans fil sont listées.
Le type correspond au type d'information à lister. Les valeurs possibles sont :
– scan ou scanning : affiche les paramètres des points d'accès et des cellules Ad-Hoc à
la portée de l'interface ;
– freq, frequency ou channel : liste les fréquences et le nombre des canaux disponibles
au niveau de l'interface ;
– rate, bit ou bitrate : liste les débits supportés par l'interface ;
– keys, enc ou encryption : affiche les tailles des clés de cryptage supportées et liste
toutes les clés installées dans l'interface ;
– etc.
EXEMPLE
La commande iwlist suivante détecte un seul point d'accès à la portée de l'interface
« wlan0 ». Elle liste toutes les informations de ce point d'accès telles que l'adresse MAC,
l'identifiant réseau, le mode, etc.

# iwlist wlan0 scan

wlan0 Scan completed :

Ouvrage sous contrat Creative Commons BY-NC-SA – p. 96

 Préparation à l’examen 201 pour la certification LPIC-2 (selon objectifs mis à jour en août 2012)

Cell 01 - Address: 00:90:D0:E0:6B:5A

Channel:1
Frequency:2.412 GHz (Channel 1)
Quality=43/70 Signal level=-67 dBm
Encryption key:on
ESSID:"Hedi-Home"
Bit Rates:1 Mb/s; 2 Mb/s; 5.5 Mb/s; 11 Mb/s; 18 Mb/s
24 Mb/s; 36 Mb/s; 54 Mb/s
Bit Rates:6 Mb/s; 9 Mb/s; 12 Mb/s; 48 Mb/s
Mode:Master
...
#

1.5. Paramétrage des interfaces point-à-point

Le protocole PPP est utilisé pour établir des liens internet au dessus d'une connexion RTC
par modem, connexion DSL, etc.
Le démon pppd fonctionne avec le pilote ppp du noyau pour établir et maintenir une liaison
ppp avec un hôte nommé « peer » et pour négocier les adresses IP pour chaque extrémité
du lien. Il peut aussi gérer la procédure d'authentification avec l’hôte peer.
Les principaux fichiers de configuration du démon pppd sont :
– /etc/ppp/options : contient les paramètres généraux d'exécution de pppd,
– /etc/ppp/pap-secret : contient les données d'authentification du protocole PAP (risque
de sécurité) et
– /etc/ppp/chap-secret : contient les données d'authentification du protocole CHAP (plus
sécurisé).
Pour simplifier le paramétrage d'une interface ppp, des utilitaires de génération de fichiers
de configuration sont utilisés : utilitaires pppconfig et wvdialconf pour les connexions PPP
et pppoeconf pour les liaisons PPPoE (PPP over Ethernet).
Les fichiers de configuration de ces utilitaires sont :
– /etc/ppp/peers/<fournisseur-accès-Internet> : fichier de configuration spécifique à
<fournisseur-accès-Internet> créé par pppconfig pour le démon pppd;
– /etc/chatscripts/<fournisseur-accès-Internet> : fichier de configuration spécifique à
<fournisseur-accès-Internet> créé par pppconfig pour le protocole chat ;
– /etc/ppp/peers/wvdial : fichier de configuration spécifique à wvdial créé par wvdialconf
pour le démon pppd ;
– /etc/[Link] : fichier de configuration créé par wvdialconf ;
– /etc/ppp/peers/<fournisseur-accès-adsl> : fichier de configuration spécifique à PPPoE
créé par pppoeconf pour le démon pppd

Ouvrage sous contrat Creative Commons BY-NC-SA – p. 97

 Préparation à l’examen 201 pour la certification LPIC-2 (selon objectifs mis à jour en août 2012)

PROCEDURE
Cette procédure crée une configuration pour une connexion RTC nommée FAI en utilisant
l'utilitaire pppconfig qui génère les fichiers de paramétrage de la liaison PPP
correspondante. Ensuite elle démarre le démon pppd avec cette configuration.
– Lancement de l'utilitaire pppconfig et paramétrage de la connexion :

# pppconfig
"Utilitaire de configuration de PPP pour GNU/Linux"

Menu principal

Cet outil est destiné à la configuration de PPP. Il n'ouvrira

aucune connexion chez votre fournisseur d'accès (FAI) mais
configure simplement PPP pour que vous puissiez ensuite établir
la connexion. Plusieurs informations vous seront demandées :
identifiant, mot de passe et numéro de téléphone de votre FAI.
Ces informations sont fournies par votre FAI. Si celui-ci utilise
PAP ou CHAP, elles seront suffisantes. ...

Create Créer une connexion

Change Modifier une connexion
Delete Supprimer une connexion
Quit Sortir de ce programme

<Ok>

– Validation et sauvegarde des paramètres :

"Réglages pour FAI"

Veuillez choisir le réglage à modifier. Choisissez « Annuler » pour

revenir au menu principal

Number 21673123456 Numéro de téléphone

User hedi Identifiant chez le FAI
Password magroun Mot de passe chez le FAI
Speed 115200 Vitesse du port
Com /dev/ttyS1 Port de communication du modem
Method CHAP Méthode d'authentification

Advanced Options avancées

Finished Sauvegarder la configuration et revenir au menu principal

Ouvrage sous contrat Creative Commons BY-NC-SA – p. 98

 Préparation à l’examen 201 pour la certification LPIC-2 (selon objectifs mis à jour en août 2012)

Previous Retour au menu précédent

Quit Sortir de ce programme

<Ok> <Annuler>

– Visualisation du fichier de configuration /etc/ppp/peers/FAI généré par l'utilitaire

pppconfig :

# cat /etc/ppp/peers/FAI
### This optionfile was generated by pppconfig 2.3.18.
hide-password
noauth
connect "/usr/sbin/chat -v -f /etc/chatscripts/FAI"
debug
/dev/ttyS1
115200
defaultroute
noipdefault
user "hedi"
remotename FAI
ipparam FAI

– Visualisation du fichier de configuration /etc/chatscripts/FAI généré par l'utilitaire

pppconfig :

# cat /etc/chatscripts/FAI
### This chatfile was generated by pppconfig 2.3.18.
### Please do not delete any of the comments. Pppconfig needs them.
#
# ispauth chat
# abortstring
ABORT BUSY ABORT 'NO CARRIER' ABORT VOICE ABORT 'NO DIALTONE' ABORT 'NO
DIAL TONE' ABORT 'NO ANSWER' ABORT DELAYED
# modeminit
'' ATZ
# ispnumber
OK-AT-OK "ATDT21673123456"
# ispconnect
CONNECT ''
# prelogin

# ispname
ogin: "hedi"
# isppassword

Ouvrage sous contrat Creative Commons BY-NC-SA – p. 99

 Préparation à l’examen 201 pour la certification LPIC-2 (selon objectifs mis à jour en août 2012)

ssword: "\qhedi mot de passe"

# postlogin
'' \d\c
# end of pppconfig stuff

– Lancement du démon pppd avec la configuration FAI :

# pppd call FAI

2. Configuration IP
La configuration réseau consiste à :

attribuer, pour chaque interface réseau, une adresse IP et un masque de sous-réseau ;

définir la passerelle par défaut ;

configurer le service de résolution de noms d'hôtes.

2.1. Commandes de configuration IP

Le paquetage net-tools inclut les utilitaires de contrôle du sous-système réseau : arp,
ifconfig, route, netstat, etc. Les commandes de configuration réseau ifconfig et route
de ce paquetage n'exploitent pas les nouvelles fonctionnalités avancées du noyau Linux.
C'est dans ce cadre que le paquetage iproute (nommé aussi iproute2) a été développé.
Les commandes ip et tc sont les commandes les plus importantes de ce paquetage. La
plupart des distributions Linux installent, par défaut, ces deux paquetages.

2.1.1 Attribution d'adresse IP

Les commandes ifconfig et ip (avec le paramètre addr) sont utilisées pour la configuration
des interfaces réseaux.
SYNTAXES
Les syntaxes usuelles des commandes ifconfig et ip pour l'attribution d'adresse IPv4 à
une interface réseau sont :

ifconfig interface adresse-IPv4 \

[netmask masque] [broadcast adresse-diffusion]
ip addr action adresse_IPv4/masque [broadcast adresse-diffusion] \
dev interface

et celles pour l'attribution d'adresse IPv6 sont :

ifconfig interface inet6 action adresse-IPv6/masque

ip -6 addr action adresse_IPv6/masque dev interface

Ouvrage sous contrat Creative Commons BY-NC-SA – p. 100

 Préparation à l’examen 201 pour la certification LPIC-2 (selon objectifs mis à jour en août 2012)

avec :
– interface : désigne l'interface réseau à configurer ;
– adresse-IPv4 : correspond à l'adresse IP version 4 à attribuer ;
– adresse-IPv6 : correspond à l'adresse IP version 6 à attribuer ;
– masque : représente le masque de sous réseau ;
– adresse-diffusion : représente l'adresse de diffusion correspondante ;
– action : représente l'action à effectuer telle que add ou del.
EXEMPLES
Les lignes de commandes suivantes sont toutes équivalentes et elles configurent
l'interface « eth0 » avec l'adresse IP « [Link] », le masque « [Link] » (le
masque par défaut des adresses IP de classe C) et l'adresse de diffusion
« [Link] ».

# ifconfig eth0 [Link] netmask [Link] broadcast [Link]

# ifconfig eth0 [Link]
# ip addr add [Link]/24 broadcast [Link] dev eth0
# ip addr add [Link]/24 dev eth0

Le deuxième exemple configure l'interface « eth1 » avec l'adresse « [Link] » et un

masque de sous-réseau égal à « [Link] » (ou « /25 » en notation décimale).
Toutes les commandes sont équivalentes.

# ifconfig eth1 [Link] netmask [Link] \

broadcast [Link]
# ifconfig eth1 [Link] netmask [Link]
# ip addr add [Link]/25 broadcast [Link] dev eth1

Le troisième exemple configure l'interface « eth0 » avec l'adresse IPv6 « 2011:ABCD::1 »

et le masque « /64 ». Les deux commandes sont équivalentes.

# ifconfig eth0 inet6 add 2011:ABCD::1/64

# ip -6 addr add 2011:ABCD::1/64 dev eth0

NOTE
Dans certaines circonstances, il est nécessaire d'attribuer plusieurs adresses IP à un
même hôte. Ceci est possible en utilisant la notion d'alias IP qui consiste à attribuer des
adresses IP à des instances d'une interface réseau. Par exemple l'interface « eth0 »
désigne l'interface Ethernet principale, « eth0:0 » est un alias de celle-ci, « eth0:1 » est un
autre alias, etc. La configuration d'une interface de type alias est effectuée de la même
manière que celle de l'interface principale.

Ouvrage sous contrat Creative Commons BY-NC-SA – p. 101

 Préparation à l’examen 201 pour la certification LPIC-2 (selon objectifs mis à jour en août 2012)

2.1.2. Passerelle par défaut

Les commandes route et ip (avec le paramètre route) permettent de gérer la table de
routage d'un hôte et en particulier de fixer sa passerelle par défaut.
SYNTAXE
Les syntaxes usuelles des commandes route et ip pour la gestion de la table de routage
d'un hôte sont :

route action type destination [netmask masque] gw passerelle \

dev interface
ip route action destination[/masque] via passerelle dev interface

avec :
– action : représente l'action à effectuer telle que add ou del pour l'ajout ou la
suppression d'une route ;
– type : correspond à -net si la destination est un réseau et -host si la destination est un
hôte ;
– destination : correspond à l'adresse de la destination. La valeur default correspond à la
route par défaut ;
– masque : correspond au masque de sous réseau de la destination ;
– interface : correspond à l'interface de sortie des paquets envoyés vers la destination.
NOTES
– L'exécution de la commande route sans paramètre permet d'afficher la table de routage
et l'option -n affiche les adresses numériques plutôt que des noms de domaines.
– Les routes vers les réseaux adjacents (réseaux auxquels sont connectés les interfaces
de l’hôte) sont ajoutées automatiquement.
EXEMPLE
Les lignes de commande suivantes sont équivalentes et permettent de fixer à
« [Link] » l'adresse de la passerelle par défaut, qui est joignable via l'interface
« eth0 ».

# route add -net default gw [Link] dev eth0

# ip route add default via [Link] dev eth0

La séquence suivante affiche la table de routage avec les deux commandes route et ip
route.

# route -n
Table de routage IP du noyau
Destination Passerelle Genmask Indic Metric Ref Use Iface
[Link] [Link] [Link] U 1 0 0 eth0

Ouvrage sous contrat Creative Commons BY-NC-SA – p. 102

 Préparation à l’examen 201 pour la certification LPIC-2 (selon objectifs mis à jour en août 2012)

[Link] [Link] [Link] UG 0 0 0 eth0

# ip route
[Link]/16 dev eth0 proto kernel scope link src [Link] metric 1
default via [Link] dev eth0

2.2. Fichiers de configuration réseau

Les commandes ifconfig, ip et route manipulent les paramètres réseau du noyau. Ceci
implique que la configuration réseau, fixée par ces commandes, n'est valable que pour la
session système en cours. Pour avoir une configuration réseau permanente, les
paramètres réseaux doivent être sauvegardés dans des fichiers de configuration dont les
noms, les emplacements et les formats diffèrent selon les distributions.

2.2.1. Cas des distributions Debian et dérivées

Les distributions Debian et dérivées utilisent le fichier /etc/network/interfaces pour la
configuration permanente des interfaces réseaux. Ce fichier se compose de zéro ou
plusieurs entrées iface, mapping, auto et allow- :
– auto (ou allow-auto) : active une interface lors du démarrage du système ;
– allow-hotplug : active une interface lorsque le noyau détecte un événement depuis
celle ci ;
– mapping : détermine le nom d'interface logique pour une interface physique ;
– iface : permet de fixer les paramètres de configuration IP d'une interface.
Le format de l'entrée iface est :

iface interface famille méthode

paramètre1 valeur1
paramètre2 valeur2
...

avec :

interface : spécifie le nom de l'interface à configurer ;

famille : spécifie la famille d'adresses utilisée. Les valeurs fréquentes sont inet pour la
famille d'adresses IPv4 et inet6 pour la famille d'adresses IPv6 ;

méthode : spécifie la méthode utilisée pour l'attribution d'adresses. Les méthodes les plus
utilisées sont :

lo : c'est la méthode d'attribution d'adresses de boucle locale. Elle n'admet pas de
paramètres ;

dhcp : c'est la méthode d'attribution d'adresses par le service DHCP. Elle admet
des paramètres tels que hwaddress, leasetime, etc. En général, la méthode dhcp est
utilisée sans paramètres ;

Ouvrage sous contrat Creative Commons BY-NC-SA – p. 103

 Préparation à l’examen 201 pour la certification LPIC-2 (selon objectifs mis à jour en août 2012)

static : c'est la méthode pour attribuer des adresses manuellement. Les

paramètres les plus fréquents sont :

address : spécifie l'adresse IP à affecter ;

netmask : spécifie le masque de sous réseau ;

broadcast : spécifie l'adresse de diffusion ;

gateway : spécifie l'adresse de la passerelle par défaut.
EXEMPLE
Le fichier /etc/network/interfaces suivant illustre la configuration réseau d'un hôte ayant
deux interfaces Ethernet : « eth0 » configurée statiquement et « eth1 » configurée
dynamiquement par le le service DHCP. Il illustre aussi les lignes correspondantes à
l'interface de boucle locale (loopback) « lo ».

# cat /etc/network/interfaces
### The loopback network interface
auto lo
iface lo inet loopback

### The first network interface eth0

auto eth0
iface eth0 inet static
address [Link]
netmask [Link]
gateway [Link]

### The second network interface eth1

auto eth1
iface eth1 inet dhcp

NOTE
À chaque modification du fichier de configuration des interfaces, le script de contrôle du
service réseau est relancé pour recharger les paramètres dans le noyau. Les lignes de
commandes suivantes sont équivalentes et assurent le redémarrage du service réseau :

# /etc/init.d/networking restart
# invoke-rc.d networking restart

2.2.2. Cas des distributions Red Hat et dérivées

Pour une configuration réseau permanente, Les distributions Red Hat et dérivées utilisent
un fichier de configuration pour chaque interface. Ce fichier a pour nom ifcfg-interface et
se situe sous le répertoire /etc/sysconfig/network-scripts/. Par exemple, le fichier
/etc/sysconfig/network-scripts/ifcfg-eth0 est le fichier de configuration de l'interface

Ouvrage sous contrat Creative Commons BY-NC-SA – p. 104

 Préparation à l’examen 201 pour la certification LPIC-2 (selon objectifs mis à jour en août 2012)

« eth0 ».
Chaque ligne des fichiers de configuration est sous la forme : « paramètre=valeur ». Il
existe des paramètres communs à tout type d'interface (Ethernet, PPP, etc.) et d'autres
spécifiques à un type donné. Ce qui suit est la description des paramètres fréquents dans
le cas de la configuration d'une interface Ethernet :
– DEVICE : correspond au nom de l'interface réseau ;
– BOOTPROTO : correspond au protocole utilisé pour la configuration de l'interface. Les
valeurs possibles sont :
– none : indique qu’aucun protocole ne devrait être utilisé,
– bootp : indique que le protocole BOOTP devrait être utilisé et
– dhcp : indique que le protocole DHCP devrait être utilisé ;
– ONBOOT : correspond à l'état de l'interface indiquant si celle-ci devrait être activée ou non
lors du démarrage du système. Les valeurs possibles sont yes ou no ;
– IPADDR : correspond à l'adresse IP de l'interface ;
– NETMASK : correspond au masque du sous réseau ;
– BROADCAST : correspond à l'adresse de diffusion. Cette directive a été abandonnée car la
valeur est calculée automatiquement avec ifcalc ;
– GATEWAY : correspond à l'adresse IP de la passerelle réseau ;
– USERCTL : correspond à la possibilité de contrôler l'interface par les utilisateurs autres
que l'utilisateur root. Les valeurs possibles sont yes et no.
EXEMPLES
Le premier exemple illustre une configuration statique de l'interface « eth0 ».

# cat /etc/sysconfig/network-scripts/ifcfg-eth0
DEVICE=eth0
BOOTPROTO=none
ONBOOT=yes
IPADDR=[Link]
NETMASK=[Link]
BROADCAST=[Link]
USERCTL=no

Le deuxième exemple illustre une configuration dynamique de l'interface « eth1 ».

# cat /etc/sysconfig/network-scripts/ifcfg-eth1
DEVICE=eth1
BOOTPROTO=dhcp
ONBOOT=yes

Ouvrage sous contrat Creative Commons BY-NC-SA – p. 105

 Préparation à l’examen 201 pour la certification LPIC-2 (selon objectifs mis à jour en août 2012)

NOTE
À chaque modification des fichiers de configuration des interfaces, le script de contrôle du
service réseau est relancé pour recharger les paramètres dans le noyau. Les lignes de
commandes suivantes sont équivalentes et assurent le redémarrage du service réseau :

# /etc/rc.d/init.d/network restart
# service network restart

2.3. Résolution de noms d'hôtes

Les deux méthodes les plus utilisées pour la résolution des noms d'hôtes sont la méthode
files et la méthode dns.
La méthode files utilise le fichier /etc/hosts pour associer les adresses IP avec les noms
d'hôtes. Chaque ligne de ce fichier correspond à une seule adresse IP et elle respecte le
format suivant :

Adresse_IP nom_canonique [alias ...]

Cette première méthode n'est plus exploitée que dans le cas d'un réseau de quelques
hôtes et le fichier /etc/hosts est réduit, en général, au contenu suivant :

[Link] [Link] localhost

[Link] nom_hôte.nom_domaine nom_hôte

où nom_hôte correspond au nom de l’hôte défini dans le fichier /etc/hostname et

nom_domaine est le nom du domaine pleinement qualifié (FQDN : Fully qualified domain
name) de ce dernier.
La deuxième méthode consiste à demander au client DNS (resolver) de résoudre le nom
d'hôte par l'envoi de requêtes aux serveur DNS précisés dans le fichier de configuration
/etc/[Link]. Le format général de ce fichier est comme suit :

domain domaine_local
search domaines_de_recherche
nameserver serveur_DNS

avec :

domain : spécifie le domaine de l’hôte ;

search : spécifie la liste des domaines de recherche ;

nameserver : spécifie l'adresse IP d'un serveur DNS.
NOTES

Les directives domain et search sont utilisées pour former les noms complets (FQDN)
dans le cas où des noms raccourcis sont recherchés.

Ouvrage sous contrat Creative Commons BY-NC-SA – p. 106

 Préparation à l’examen 201 pour la certification LPIC-2 (selon objectifs mis à jour en août 2012)

La directive nameserver peut être utilisée plusieurs fois pour préciser le serveur DNS
secondaire, tertiaire, etc.
Le service NSS (Name Service Switch) détermine l'ordre d'application des méthodes de
résolution des noms d'hôtes. Ceci est spécifié par l'entrée hosts de son fichier de
configuration /etc/[Link].
EXEMPLE
La configuration suivante précise que la méthode files est appelée en premier pour
résoudre un nom d'hôte. S'il est trouvé dans le fichier /etc/hosts, elle retourne l'adresse
IP correspondante. Sinon la méthode dns est appelée.

$ grep hosts /etc/[Link]

hosts: files dns

3. Configurations IP avancées
3.1. Configuration multiréseau
Un hôte multiréseau (multihomed host) est un hôte équipé de plusieurs interfaces réseaux
connectées chacune à un réseau différent. Cette configuration est utilisée dans le cas où
un hôte Linux joue le rôle d'un routeur, d'une passerelle réseau ou d'un pare-feu.
Par défaut, la fonction de routage du noyau Linux est désactivée. C'est à dire que les
paquets IP reçus dont l'adresse IP de destination correspond à un autre hôte sont rejetés.
Dans le cas d'un hôte multiréseau, la fonction de routage doit être activée. Ceci est assuré
par l'affectation de la valeur 1 au contenu du fichier /proc/sys/net/ipv4/ip_forward qui
peut s'effectuer comme suit :

# echo "1" > /proc/sys/net/ipv4/ip_forward

ou

# sysctl -w net.ipv4.ip_forward=1

Le fichier /proc/sys/net/ipv4/ip_forward correspond au paramètre « fonction de routage »

de la session en cours du système. Les deux valeurs possibles sont :
– 0 : fonction de routage désactivée et
– 1 : fonction de routage activée.
Pour rendre l'activation de la fonction de routage permanente (même en cas de
redémarrage du système), le paramètre net.ipv4.ip_forward du fichier de configuration
/etc/[Link] doit être fixé manuellement à 1. La vérification de l'activation permanente
de la fonction de routage peut être effectuée comme suit :

Ouvrage sous contrat Creative Commons BY-NC-SA – p. 107

 Préparation à l’examen 201 pour la certification LPIC-2 (selon objectifs mis à jour en août 2012)

# grep ip_forward /etc/[Link]

net.ipv4.ip_forward=1

EXEMPLE
L'exemple suivant configure (pour la session du système en cours) un hôte multiréseau
connecté à un premier réseau local contenant les hôtes de type poste de travail et à un
deuxième réseau contenant les hôtes de type serveurs ainsi que le routeur assurant la
connexion vers Internet. Il est connecté au premier réseau d'adresse IP « [Link]/16 »
à travers « eth0 » d'adresse « [Link] » et au deuxième réseau d'adresse IP
« [Link]/24 » à travers « eth1 » d'adresse « [Link] ». Le routeur assurant la
connexion vers Internet et jouant le rôle de passerelle par défaut de l’hôte multiréseau est
d'adresse « [Link] ».

# ifconfig eth0 [Link] netmask [Link]

# ifconfig eth1 [Link] netmask [Link]
# route add -net default gw [Link] dev eth1
# route -n
Table de routage IP du noyau
Destination Passerelle Genmask Indic Metric Ref Use Iface
[Link] [Link] [Link] U 0 0 0 eth0
[Link] [Link] [Link] U 0 0 0 eth1
[Link] [Link] [Link] UG 0 0 0 eth1
# sysctl -w net.ipv4.ip_forward=1

3.2. OpenVPN
Un VPN (Virtual Private Network) est un réseau privé virtuel. Il est constitué d'un ensemble
de réseaux locaux interconnectés par un réseau public à travers des canaux sécurisés
appelés tunnels VPN. Les protocoles IPSec, L2TP, OpenVPN et PPP+SSH sont des
exemples de protocoles pour la mise en place de VPN.
OpenVPN permet d'établir des tunnels de niveau applicatif en se basant sur le protocole
TCP ou UDP. Le chiffrement est assuré par SSL/TLS (Secure Sockets Layer / Transport
Layer Security) et l'authentification est réalisée par une clé secrète, un certificat x509 ou
un couple (nom, mot de passe).
OpenVPN est aussi le nom du logiciel libre qui implémente le protocole OpenVPN. Il
fonctionne selon le modèle client/serveur.
PROCEDURE
La procédure suivante permet de mettre en place un tunnel VPN entre deux hôtes :
« poste1 » (d'adresse « [Link] ») et « poste2 » (d'adresse « [Link] ») avec
OpenVPN. L’hôte « poste1 » joue le rôle de serveur et « poste2 » celui de client.

Ouvrage sous contrat Creative Commons BY-NC-SA – p. 108

 Préparation à l’examen 201 pour la certification LPIC-2 (selon objectifs mis à jour en août 2012)

– Installation de openvpn sur les deux hôtes :

poste[12] # apt-get install openvpn

– Génération et partage d'une clé secrète :

poste1 # openvpn --genkey --secret /etc/openvpn/[Link]

poste1 # scp /etc/openvpn/[Link] poste2:/etc/openvpn/
...
[Link]
100% 636 0.6KB/s 00:00

– Configuration de la liaison sur « poste1 » (serveur). Le paramètre ifconfig est suivi de

l'adresse IP associée à la carte virtuelle locale « tun0 » suivie de l'adresse IP de la
carte distante :

poste1 # nano /etc/openvpn/[Link]

dev tun
ifconfig [Link] [Link]
secret /etc/openvpn/[Link]

– Configuration de la liaison sur « poste2 » (client) :

poste2 # nano /etc/openvpn/[Link]

remote poste1
dev tun
ifconfig [Link] [Link]
secret /etc/openvpn/[Link]

– Activation de la liaison sur « poste1 » (serveur) :

poste1 # openvpn --config /etc/openvpn/[Link] --verb 1

... OpenVPN 2.1.0 i486-pc-linux-gnu [SSL] ...
... IMPORTANT: OpenVPN's default port number is now 1194, ...
... /usr/sbin/openvpn-vulnkey -q /etc/openvpn/[Link] ...
... TUN/TAP device tun0 opened
... /sbin/ifconfig tun0 [Link] pointopoint [Link] mtu 1500
... UDPv4 link local (bound): [undef]
... UDPv4 link remote: [undef]

– Activation de la liaison sur « poste2 » (client) :

poste2 # openvpn --config /etc/openvpn/[Link] --verb 1

... OpenVPN 2.1.0 i486-pc-linux-gnu [SSL] ...
... IMPORTANT: OpenVPN's default port number is now 1194, ...
... /usr/sbin/openvpn-vulnkey -q /etc/openvpn/[Link] ...

Ouvrage sous contrat Creative Commons BY-NC-SA – p. 109

 Préparation à l’examen 201 pour la certification LPIC-2 (selon objectifs mis à jour en août 2012)

... TUN/TAP device tun0 opened

... /sbin/ifconfig tun0 [Link] pointopoint [Link] mtu 1500
... UDPv4 link local (bound): [undef]
... UDPv4 link remote: [AF_INET][Link]:1194
---> après quellesque secondes :
... Peer Connection Initiated with [AF_INET][Link]:1194
... Initialization Sequence Completed

– Vérification des interfaces et des routes :

poste2 # ifconfig tun0

tun0 Link encap:UNSPEC HWaddr 00-00-00-00-00-00-00-00-00-00-00-00-00-
00-00-00
inet adr:[Link] P-t-P:[Link] Masque:[Link]
UP POINTOPOINT RUNNING NOARP MULTICAST MTU:1500 Metric:1
...
poste2 # route -n
Table de routage IP du noyau
Destination Passerelle Genmask Indic Metric Ref Use Iface
[Link] [Link] [Link] UH 0 0 0 tun0
...

poste1 # ifconfig tun0

tun0 Link encap:UNSPEC HWaddr 00-00-00-00-00-00-00-00-00-00-00-00-00-
00-00-00
inet adr:[Link] P-t-P:[Link] Masque:[Link]
UP POINTOPOINT RUNNING NOARP MULTICAST MTU:1500 Metric:1
...
poste1 # route -n
Table de routage IP du noyau
Destination Passerelle Genmask Indic Metric Ref Use Iface
[Link] [Link] [Link] UH 0 0 0 tun0
...

– Test de la liaison :

poste2 # ping [Link]

PING [Link] ([Link]) 56(84) bytes of data.
64 bytes from [Link]: icmp_seq=1 ttl=64 time=4.84 ms
64 bytes from [Link]: icmp_seq=2 ttl=64 time=0.000 ms
...

Ouvrage sous contrat Creative Commons BY-NC-SA – p. 110

 Préparation à l’examen 201 pour la certification LPIC-2 (selon objectifs mis à jour en août 2012)

4. Diagnostic réseau
On est souvent confronté à des problèmes réseaux tels que le ralentissement du trafic, la
déconnexion d'un hôte ou d'un réseau, la non disponibilité d'un service réseau, etc. Pour
identifier ces problèmes, les opérations de diagnostic suivantes peuvent être effectuées :
– l'utilisation des commandes de paramétrage des interfaces et de configuration réseau
précédemment traitées ;
– la vérification des fichiers de configuration ;
– le suivi et l'analyse des journaux (les fichiers log) ;
– l'utilisation d'outils dédiés aux tests et aux diagnostics réseau dont les plus utilisés
seront traités dans cette section.

4.1. Test de la connectivité réseau avec ping

La commande ping est l'utilitaire de base pour tester la connectivité réseau entre deux
hôtes. Elle se base sur les messages « echo-request » et « echo-reply » du protocole
ICMP. Si les résultats de la commande ping comporte une réponse positive, alors l’hôte
local et l’hôte distant sont correctement configurés ainsi que le chemin réseau entre les
deux. Dans le cas où toutes les réponses sont négatives, les déductions suivantes sont
possibles :
– la configuration de l'hôte local ou/et de l'hôte distant n'est pas correcte ;
– l’hôte distant est non disponible (éteint par exemple) ;
– il existe une erreur dans la configuration de l'un des routeurs du chemin réseau entre
les deux hôtes ;
– l’hôte distant est configuré afin de ne pas répondre aux requêtes ping pour des raisons
de sécurité ;
– un routeur ou un pare-feu intermédiaire bloque le trafic ICMP.
En plus du test de connectivité, la commande ping affiche des informations utiles sur l'état
du réseau telles que le taux de perte, le temps de transit, etc.
Par défaut, la commande ping de Linux envoie une demande en continu, toutes les
secondes, jusqu'à son interruption avec la combinaison de touches ctrl C.
SYNTAXE

ping [option …] hôte

OPTIONS
Les options les plus utilisées sont :

-b : autorise l'utilisation d'adresses de diffusion ;

-c nb : envoie seulement nb paquets ;

Ouvrage sous contrat Creative Commons BY-NC-SA – p. 111

 Préparation à l’examen 201 pour la certification LPIC-2 (selon objectifs mis à jour en août 2012)

-i intervalle : spécifie le délai d'attente entre les envois des paquets. Par défaut il est
fixé à une seconde ;

-f : fonctionne en mode flood. Si le délai d'attente entre les paquets n'est pas spécifié,
les paquets sont envoyés aussi rapidement que possible (délai d'attente = 0). Ce mode
est réservé à l'utilisateur root ;

-q : mode silencieux. Seules les lignes résumés au début et à la fin de l'exécution de la
commande sont affichées ;

-s taille : spécifie, en octets, la taille des données à envoyer. Par défaut c'est 56 octets
;

-t ttl : spécifie la valeur TTL du paquet IP ;

-w délai : spécifie, en secondes, le délai de fonctionnement de la commande ping
indépendamment du nombre de paquets envoyés ou reçus.
EXEMPLES
Le premier exemple teste la connectivité d'un hôte non présent dans le réseau. Dans cet
exemple, la commande ping envoie des messages en continu jusqu'à la réception de la
combinaison de touches Ctrl C.

$ ping [Link]
PING [Link] ([Link]) 56(84) bytes of data.
From [Link] icmp_seq=1 Destination Host Unreachable
From [Link] icmp_seq=2 Destination Host Unreachable
From [Link] icmp_seq=3 Destination Host Unreachable
^C
--- [Link] ping statistics ---
5 packets transmitted, 0 received, +3 errors, 100% packet loss, ...

Le deuxième exemple teste la connectivité de la passerelle. C'est le premier test à faire si

la connexion vers l'extérieur ne peut pas s'établir. Dans cet exemple deux messages
seulement sont envoyés.

$ ping -c 2 [Link]
PING [Link] ([Link]) 56(84) bytes of data.
64 bytes from [Link]: icmp_seq=1 ttl=64 time=0.565 ms
64 bytes from [Link]: icmp_seq=2 ttl=64 time=0.539 ms

--- [Link] ping statistics ---

2 packets transmitted, 2 received, 0% packet loss, time 999ms
rtt min/avg/max/mdev = 0.539/0.552/0.565/0.013 ms

Le troisième exemple teste la connectivité de l’hôte distant « [Link] ». Dans ce cas,

les statistiques sont plus significatives. La commande ping est lancée en mode silencieux
et sa durée d’exécution est limitée à 5 secondes.

Ouvrage sous contrat Creative Commons BY-NC-SA – p. 112

 Préparation à l’examen 201 pour la certification LPIC-2 (selon objectifs mis à jour en août 2012)

$ ping -w 5 -q [Link]
PING [Link] ([Link]) 56(84) bytes of data.

--- [Link] ping statistics ---

5 packets transmitted, 5 received, 0% packet loss, time 4006ms
rtt min/avg/max/mdev = 139.675/152.673/189.220/18.675 ms

4.2. Test de la résolution de noms avec nslookup et dig

Les commandes nslookup et dig sont utilisées pour diagnostiquer la résolution de noms
avec la méthode DNS. Leur utilisation est détaillée dans le chapitre 7 « Service DNS ».
EXEMPLE
La commande dig suivante interroge le serveur DNS « [Link] » (serveur DNS
défini dans le fichier /etc/[Link]) pour la résolution du nom de domaine
« [Link] ».

$ cat /etc/[Link]
nameserver [Link]
$ dig [Link]
...
;; ANSWER SECTION:
[Link]. 83431 IN A [Link]
;; AUTHORITY SECTION:
[Link]. 83431 IN NS [Link].
[Link]. 83431 IN NS [Link].
...
;; Query time: 22 msec
;; SERVER: [Link]#53([Link])
...

4.3. Test du chemin réseau avec traceroute

La commande traceroute affiche le chemin réseau emprunté pour atteindre un hôte
distant. Elle envoie des paquets avec des durées de vie (TTL : Time To Live)
incrémentales et exploite les messages ICMP « time exceeded » générés par les routeurs
lorsque la valeur TTL du paquet IP devient égale à 0. La valeur TTL d'un paquet est
décrémentée à chaque routeur traversé.
La liste des routeurs intermédiaires est affichée avec les temps d'aller-retour qui peuvent
donner une idée de la fluidité du trafic dans les différentes portions du chemin.
Les cas où la commande traceroute échoue et n’atteint pas la destination peuvent être
dus à l’une des raisons suivantes :

Ouvrage sous contrat Creative Commons BY-NC-SA – p. 113

 Préparation à l’examen 201 pour la certification LPIC-2 (selon objectifs mis à jour en août 2012)

– les paquets traceroute sont bloqués ou rejetés par l'un des routeurs intermédiaires ;
– l’hôte distant n'est pas présent dans le réseau ;
– le réseau où réside l’hôte distant n'est pas joignable à cause d'une erreur dans les
tables de routage de l'ensemble des routeurs.
EXEMPLE
L'exemple suivant trace la route vers l’hôte « [Link] ». Le caractère « * »
indique qu'aucune réponse n'est reçue pendant 5 secondes (c'est la valeur par défaut du
temps d'attente). Le premier nœud du chemin est toujours la passerelle par défaut de
l’hôte source.

$ traceroute -n [Link]
traceroute to [Link] ([Link]), 30 hops max, 60 byte packets
1 [Link] 1.139 ms 1.093 ms 1.062 ms
2 ***
3 ***
4 ***
5 ***
6 * [Link] 21.172 ms 25.331 ms
7 * [Link] 24.322 ms 40.963 ms
8 [Link] 23.310 ms 25.252 ms 22.648 ms
9 [Link] 24.879 ms 21.768 ms 26.217 ms
10 * [Link] 24.602 ms 21.560 ms
11 [Link] 51.802 ms 49.963 ms 48.962 ms
12 [Link] 50.471 ms 47.080 ms 50.038 ms
13 [Link] 53.090 ms [Link] 49.857 ms [Link] 54.086 ms
14 [Link] 60.386 ms 58.346 ms 58.372 ms
15 [Link] 59.318 ms 65.849 ms [Link] 66.354 ms
16 [Link] 60.772 ms [Link] 69.770 ms 71.274 ms
17 [Link] 58.484 ms 60.837 ms 59.805 ms
$

4.4. Test de la connectivité applicative avec telnet

La commande telnet peut être utilisée pour tester la connectivité réseau d'une application
serveur. Par défaut elle se connecte sur le port TCP / 23 (port de l'application serveur
telnet), mais il est possible de spécifier un autre port pour interroger une autre application
réseau selon la syntaxe suivante :

telnet hôte port

où hôte est le nom ou l'adresse IP de l’hôte distant et port le numéro de port sur lequel
l'application serveur écoute les demandes de connexion.

Ouvrage sous contrat Creative Commons BY-NC-SA – p. 114

 Préparation à l’examen 201 pour la certification LPIC-2 (selon objectifs mis à jour en août 2012)

Pour isoler ou localiser le problème de connectivité d'une application réseau, la démarche

suivante peut être appliquée :
– tester la connectivité à partir de l’hôte local en utilisant l'adresse de l'interface de boucle
locale puis l'adresse de l'interface physique. Ceci permet d'éliminer l'influence du pare-
feu protégeant l’hôte lui-même ;
– Vérifier les règles de filtrage Netfilter avec la commande iptables -L et les listes de
contrôle d'accès (ACL : Access Control List) des fichiers /etc/[Link] et
/etc/[Link] si l'exécution de l'application utilise la technique TCP Wrapper.
– tester la connectivité à partir d'un hôte appartenant au même réseau que l’hôte en
question. Ceci permet d'éliminer l'influence du pare-feu protégeant le réseau ;
– tester la connectivité à partir d'un hôte distant n'appartenant pas au même réseau que
l’hôte hébergeant l'application.
EXEMPLES
Le premier exemple illustre une connexion réussie avec un serveur web (port 80)
s'exécutant sur l’hôte d'adresse IP « [Link] ». L'interruption de la connexion est
effectuée par la combinaison de touches ctrl ].

$ telnet [Link] 80
Trying [Link]...
Connected to [Link].
Escape character is '^]'.
^]

telnet> quit
Connection closed.
$

Le deuxième exemple illustre une connexion refusée (connection refused) dont la cause
peut être :
– l'application n'est pas démarrée ou
– un pare-feu bloque et rejette la connexion.

$ telnet [Link] 80
Trying [Link]...
telnet: Unable to connect to remote host: Connection refused
$

Le troisième exemple illustre une connexion qui ne peut s'établir suite au dépassement du
délai d'attente (connection timed out). La cause peut être :
– l’hôte n'est pas présent dans le réseau ;
– un pare-feu bloque et ne rejette pas la connexion.

Ouvrage sous contrat Creative Commons BY-NC-SA – p. 115

 Préparation à l’examen 201 pour la certification LPIC-2 (selon objectifs mis à jour en août 2012)

$ telnet [Link] 80
Trying [Link]...
telnet: Unable to connect to remote host: Connection timed out
$

4.5. Test de la connectivité applicative avec nc

La commande nc permet d'ouvrir des connexions TCP, d'envoyer des datagrammes UDP,
d'écouter (en tant que serveur) sur des ports TCP ou UDP et de scanner les ports réseaux.
Elle est très utile pour établir des connexions réseaux en mode client/serveur pour des fins
de diagnostic réseau.
SYNTAXE
La syntaxe générale de la commande nc est la suivante :

nc [option ...] [hôte] [port]

OPTIONS
Les options les plus usuelles de la commande nc sont :
– -l : spécifie que la commande nc doit écouter les connexions entrantes au lieu
d'initialiser une connexion vers un hôte distant ;
– -p : spécifie le port source à utiliser ;
– -u : utilise le protocole UDP à la place du protocole TCP (par défaut) ;
– -z : spécifie que nc doit scanner les ports en état d'écoute.
EXEMPLE
La commande nc suivante établit une connexion réseau avec le serveur Web de l’hôte
« monServeur », avec 1234 comme port source. Dans la séquence, le serveur Web
répond au message GET par l'envoi de la page Web par défaut contenant des informations
utiles.

$ nc -p 1234 monServeur 80
GET <--- à saisir
<!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN">
<html><head> ...</head><body> ...
<address>Apache/2.2.9 (Debian) PHP/5.2.6-1+lenny13 with Suhosin-Patch
mod_scgi/1.12 mod_ssl/2.2.9 OpenSSL/0.9.8g mod_wsgi/2.5 Python/2.5.2 Server
at monServeur Port 80</address>
</body></html>
$

Ouvrage sous contrat Creative Commons BY-NC-SA – p. 116

 Préparation à l’examen 201 pour la certification LPIC-2 (selon objectifs mis à jour en août 2012)

4.6. Diagnostic réseau avec netstat

La commande netstat est un utilitaire très utilisé dans les diagnostics réseaux. Elle fournit
des informations sur les connexions réseaux, les tables de routage et un certain nombre
de statistiques de l’hôte sur lequel elle s'exécute. Parmi les utilisations fréquentes de la
commande netstat :
– la détermination des services réseaux actifs et
– la liste de toutes les connexions réseaux disponibles.
SYNTAXE
La syntaxe de la commande netstat est :
netstat [option ...]
OPTIONS
Sans option, la commande netstat liste les sockets (fichiers réseaux) ouvertes.
Les options les plus utiles sont :
– -a : affiche toutes les sockets, y compris les sockets en état d'écoute ;
– -l : affiche seulement les sockets en état d'écoute ;
– -t : se limite aux connexions TCP ;
– -u : se limite aux connexions UDP ;
– -i : affiche des statistiques par interface ;
– -s : affiche des statistiques par protocole ;
– -p : affiche le PID et le nom des processus des sockets listées. Cette option est utilisée
avec le privilège root ;
– -r : affiche la table de routage ;
– -n : affiche les adresses en format numérique au lieu d'essayer de déterminer le nom
symbolique d'hôte, de port ou d'utilisateur.
EXEMPLES
Le premier exemple liste les sockets TCP en état d'écoute ainsi que les programmes
associés.

# netstat -ltp
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Add. Foreign Add. State PID/Program name
tcp 0 0 localhost:mysql *:* LISTEN 939/mysqld
tcp 0 0 *:www *:* LISTEN 9439/apache2
tcp 0 0 *:ssh *:* LISTEN 906/sshd
tcp 0 0 *:https *:* LISTEN 9439/apache2
...

Ouvrage sous contrat Creative Commons BY-NC-SA – p. 117

 Préparation à l’examen 201 pour la certification LPIC-2 (selon objectifs mis à jour en août 2012)

Le deuxième exemple permet de calculer le nombre de connexions en état ESTABLISHED ou

TIME_WAIT.

# netstat -at | egrep 'ESTABLISHED|TIME_WAIT' | wc -l

13

4.7. Diagnostic réseau avec lsof

La commande lsof liste des informations à propos des fichiers ouverts par les processus.
Parmi ces fichiers on trouve les fichiers réseaux (sockets) tels que les fichiers réseaux
Internet, les fichiers NFS et les fichiers réseaux du domaine UNIX. L'option -i limite la liste
aux sockets Internet.
SYNTAXE
La syntaxe générale pour lister les sockets Internet est la suivante :

lsof -i [46][protocole][@hôte][:port]

avec :
– 46 : spécifie la version du protocole IP: 4 pour IPv4 et 6 pour IPv6 ;
– protocole: désigne le nom du protocole TCP ou UDP ;
– hôte : spécifie l'adresse IP ou le nom d'un hôte ;
– port : spécifie le nom, le numéro ou une liste de ports.
EXEMPLE
La commande suivante liste les sockets Internet en se limitant aux connexions TCP
utilisant un port de numéro compris entre 1 et 1024.

# lsof -i TCP:1-1024
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
sshd 906 root 3u IPv4 4024 0t0 TCP *:ssh (LISTEN)
sshd 906 root 4u IPv6 4026 0t0 TCP *:ssh (LISTEN)
master 1083 root 12u IPv4 4707 0t0 TCP localhost:smtp (LISTEN)
sshd 3292 root 3r IPv4 778665 0t0 TCP [Link]:ssh-
>[Link]:42791 (ESTABLISHED)
apache2 3400 root 3u IPv4 616612 0t0 TCP *:www (LISTEN)
apache2 3400 root 4u IPv4 616614 0t0 TCP *:https (LISTEN)
apache2 9439 www-data 3u IPv4 616612 0t0 TCP *:www (LISTEN)
apache2 9439 www-data 4u IPv4 616614 0t0 TCP *:https (LISTEN)
...
#

Ouvrage sous contrat Creative Commons BY-NC-SA – p. 118

 Préparation à l’examen 201 pour la certification LPIC-2 (selon objectifs mis à jour en août 2012)

4.8. Scanner de ports nmap

La commande nmap est un utilitaire de type scanner de ports réseaux. Elle permet de
chercher les ports en état d'écoute, de déterminer les services hébergés et de collecter
des informations sur le système d'exploitation d'un hôte distant. Ce type d'utilitaire est
utilisé, principalement, pour détecter les vulnérabilités dans un réseau telles que
l'exécution de services non autorisés.
SYNTAXE
La syntaxe de la commande nmap est :

nmap [option ...] [cible]

où cible est l’hôte, le réseau ou l'ensemble des hôtes à scanner.

OPTIONS
Ci-dessus quelques options utilisées pour scanner les hôtes présents et les ports ouverts.

-sP : scanne les hôtes présents dans le réseau ;

-sS, -sT, -sA, -sW, ou -sM : scanne les ports TCP en état d'écoute de différentes
méthodes ;

-sU : scanne les ports UDP en état d'écoute ;

-p port : spécifie le port ou la plage des ports à scanner ;
EXEMPLES
Dans le premier exemple, la commande nmap scanne les hôtes présents dans le réseau
d'adresse IP « [Link]/24 ».

$ nmap -sP [Link]/24

Starting Nmap 5.00 ( [Link] ) at 2011-11-17 11:02 CET
Host [Link] is up (0.0022s latency).
Host [Link] is up (0.0020s latency).
Host [Link] is up (0.0020s latency).
Host [Link] is up (0.0010s latency).
Host [Link] is up (0.00016s latency).
Host [Link] is up (0.0015s latency).
Host [Link] is up (0.0011s latency).
Nmap done: 256 IP addresses (7 hosts up) scanned in 2.56 seconds

Dans le deuxième exemple, la commande nmap scanne les ports de l’hôte local et
détermine les services actifs.

$ nmap -p 1-1024 -sT [Link]

...
Interesting ports on localhost ([Link]):

Ouvrage sous contrat Creative Commons BY-NC-SA – p. 119

 Préparation à l’examen 201 pour la certification LPIC-2 (selon objectifs mis à jour en août 2012)

Not shown: 1017 closed ports

PORT STATE SERVICE
21/tcp open ftp
22/tcp open ssh
25/tcp open smtp
80/tcp open http
110/tcp open pop3
143/tcp open imap
389/tcp open ldap
Nmap done: 1 IP address (1 host up) scanned in 0.11 seconds

4.9. Analyse du trafic avec tcpdump

La commande tcpdump est l'un des utilitaires les plus utilisés pour la capture et l'analyse
des paquets réseaux. Elle permet d'afficher le trafic réseau sur la sortie standard ou de
l'enregistrer dans un fichier, sous une forme binaire, pour une analyse ultérieure. Elle
utilise, comme la majorité des analyseurs sous Linux, la librairie libpacap.
SYNTAXE
La syntaxe générale de la commande tcpdump est la suivante :

tcpdump [option …] [expression]

EXPRESSION
Les expressions de tcpdump sont utilisées pour filtrer le trafic à analyser. Par défaut (sans
expression) tout le trafic est analysé. La syntaxe des expressions est celle de pcap-filter
qui consiste en une ou plusieurs primitives. Chaque primitive est composée d'un identifiant
(nom ou numéro) précédé par un ou plusieurs qualificateurs. Il existe trois sortes de
qualificateurs :
– type : spécifie le type d'identifiant. Les valeurs possibles sont host (valeur par défaut),
net et port ;
– dir : spécifie la direction du paquet. Parmi les valeurs possibles : src, dst, src or dst
(valeur par défaut) et src and dst ;
– proto : spécifie le protocole à traiter. Parmi les valeurs possibles : ether, wlan, ip, ip6,
arp, rarp, tcp et udp. La valeur par défaut correspond à tous les protocoles compatibles
avec le type.
Des expressions complexes peuvent être construites en utilisant les opérateurs logiques
not (ou « ! »), and (ou « && ») et or (ou « || ») ainsi que les parenthèses.
Une expression peut être une comparaison (utilisation des opérateurs : <, >, <=, >=, = et !=)
entre des expressions arithmétiques utilisant les opérateurs binaires : +, -, *, /, &, |, << et
>>.

Ouvrage sous contrat Creative Commons BY-NC-SA – p. 120

 Préparation à l’examen 201 pour la certification LPIC-2 (selon objectifs mis à jour en août 2012)

OPTIONS
Les options les plus utilisées sont :
– -i interface : spécifie l'interface de capture ;
– -w fichier : enregistre les données de la capture dans un fichier ;
– -r fichier : analyse les données à partir d'un fichier ;
– -n : ne convertit pas les adresses en nom ;
– -c nb : capture nb paquets et s'arrête ;
– -p : ne met pas l'interface réseau dans le mode « promiscuous » où l'interface
récupère toutes les trames même celles qui ne lui sont pas destinées ;
– -t : n'affiche pas l'horodatage au début de chaque ligne.
EXEMPLES
Dans le premier exemple, la commande tcpdump intercepte les trames à partir de l'interface
« eth0 » et filtre les paquets à afficher pour ne laisser que ceux dont le port source ou
destination est 53. La commande se limite à analyser deux paquets.

# tcpdump -i eth0 -t -n -c2 port 53

tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes
IP [Link].44396 > [Link].53: 28303+ A? [Link]. (29)
IP [Link].53 > [Link].44396: 28303 1/0/0 A [Link]
(45)
2 packets captured
2 packets received by filter
0 packets dropped by kernel
#

Dans le deuxième exemple, la commande tcpdump enregistre les paquets capturés dans le
fichier [Link] puis visualise ce fichier binaire sur l'écran.

# tcpdump -w [Link] host [Link] and \( port 80 or port 443 \)

tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 96
bytes
^C
2999 packets captured
3005 packets received by filter
0 packets dropped by kernel

# tcpdump -r [Link]
17:26:54.337581 IP [Link].39499 > [Link]: Flags [S],
seq 2913060691, win 5840, options [mss 1460,sackOK,TS val 4509747 ecr

Ouvrage sous contrat Creative Commons BY-NC-SA – p. 121

 Préparation à l’examen 201 pour la certification LPIC-2 (selon objectifs mis à jour en août 2012)

0,nop,wscale 6], length 0

...

4.10. Analyse du trafic avec wireshark

Wireshark est un analyseur de protocole réseau avec une interface graphique. Il permet
d'afficher les données à partir du trafic réseau ou à partir des données précédemment
sauvegardées dans un fichier. Wireshark utilise la même syntaxe des expressions filtres
que la commande tcpdump et peut lire ou importer le format de la même commande ainsi
que plusieurs autres formats.
NOTE
La commande tshark est la version textuelle de Wireshark conçue pour la capture et
l'affichage des paquets lorsqu'une interface utilisateur graphique n'est pas nécessaire ou
n'est pas disponible. Elle supporte les mêmes options que wireshark.

5. Notification des utilisateurs

Cette section traite de la notification des utilisateurs à propos des interventions de
maintenance et des pannes systèmes à travers les messages de connexion et les
commandes de notification.
Les messages de connexion sont un moyen de notification pour les utilisateurs et ne sont
visibles qu'avec les sessions textuelles. Ces messages sont enregistrés dans les trois
fichiers suivants :
– /etc/issue pour les messages des connexions locales ;
– /etc/[Link] pour les messages des connexions distantes ;
– /etc/motd pour les messages du jour (motd : message of th day).
Le contenu des fichiers /etc/issue ou /etc/[Link] est affiché avant l'invite de
connexion, celui du fichier /etc/motd est affiché après la connexion et avant le lancement
du shell.
Les fichiers /etc/issue et /etc/[Link] supportent les séquences de contrôle des
commandes de type getty telles que « \n » pour le nom de l'hôte, « \l » pour le terminal
de connexion, etc.
EXEMPLE
L'exemple suivant illustre l'exploitation des fichiers /etc/issue et /etc/motd pour l'affichage
des messages de notification.

Debian Squeeze 6.0.2 Serveur1 tty1

Serveur1 login : hedi

Ouvrage sous contrat Creative Commons BY-NC-SA – p. 122

 Préparation à l’examen 201 pour la certification LPIC-2 (selon objectifs mis à jour en août 2012)

password :

A NOTER!
Tous les systèmes seront arrêtés ce weekend pour des opérations de
maintenance.
Sauvegardez vos travaux!

$ cat /etc/issue
Debian Squeeze 6.0.2 \n \l

$ cat /etc/motd

A NOTER!
Tous les systèmes seront arrêtés ce weekend pour des opérations de
maintenance.
Sauvegardez vos travaux!
$

NOTE
Il existe d'autres commandes de notification des utilisateurs telles que wall et shutdown. La
commande wall (write all) permet à l'utilisateur root d'afficher les données du fichier donné
comme paramètre ou de l'entrée standard sur tous les terminaux des utilisateurs
connectés. La commande shutdown notifie les utilisateurs connectés lors de l'arrêt du
système.

6. Exercices
1. Quelles sont les trois commandes utilisées pour déterminer les ports TCP
ouverts de l’hôte local ?

A. lsof

B. netstat

C. nmap

D. tcpdump

E. tcpd

2. Un hôte d'adresse IP [Link] vient d'être connecté au réseau dont la

connexion vers Internet est assurée par un routeur ayant [Link] comme
adresse IP. Quelle est la commande permettant au nouvel hôte de se
connecter à Internet ?

Ouvrage sous contrat Creative Commons BY-NC-SA – p. 123

Préparation à l’examen 201 pour la certification LPIC-2 (selon objectifs mis à jour en août 2012)

A. route add -net [Link] netmask [Link] gw [Link]

B. route add -net [Link] netmask [Link] gw [Link]

C. route add -net [Link] netmask [Link] gw [Link]

D. route add -host [Link] netmask [Link] gw [Link]

E. route add [Link] gw [Link]

3. Quels sont les fichiers en relation avec la résolution des noms ? Trois
propositions sont correctes.

A. /etc/hosts

B. /etc/[Link]

C. /etc/[Link]

D. /etc/[Link]

E. /etc/[Link]

F. /etc/[Link]

4. Quelles sont les deux commandes qui ont généré le trafic capturé par la
commande tcpdump suivante ?
# tcpdump -nli eth0
...
... IP [Link] > [Link]: ICMP echo request, id 24091, ...
... IP [Link] > [Link]: ICMP echo reply, id 24091, ...
...
... IP [Link].40978 > [Link].53: 26331+ A? [Link]. ...
... IP [Link].53 > [Link].40978: 26331 1/2/0 A [Link]...
...
#

A. traceroute [Link]

B. traceroute [Link]

C. ping [Link]

D. ping [Link]

E. nslookup [Link]

F. nslookup [Link]

G. nslookup [Link]

H. nslookup [Link]

Ouvrage sous contrat Creative Commons BY-NC-SA – p. 124