Sécurisation d’annuaires

1. Généralités sur le serveur de noms

Un serveur de noms (abrégé en DNS pour Domain Name Server) est un annuaire à structure arborescente inversée. La racine est généralement représentée en haut et déploie ses branches vers le bas. Son rôle est de faciliter l’accès aux systèmes disposant d’adresses IP et leur permettre, grâce à un mécanisme d’association, de récupérer le nom des serveurs. La racine est alors représentée par un ".", on trouve, en dessous, les domaines de haut niveau (aussi appelés top-level domains) : .fr, .com, .org, .eu... Le parcours s’effectue donc à l’envers depuis la racine, vers le bas (la machine ou le serveur référencé) :

De façon intégrée, le serveur de noms possède une configuration particulière pour les routeurs de courrier électronique (notée généralement MX), autorisant une résolution inverse de celle effectuée par les hôtes...

1. Architecture d’un annuaire LDAP

La structure des données gérées est alors appelée schéma. Elle est extensible en fonction des besoins de l’organisation y faisant appel et le modèle appliqué est fondé sur des standards assurant l’interopérabilité entre les différentes implémentations des différents supports OS. Dans le cadre de la sécurisation sous Debian, on s’intéresse surtout à l’implémentation de la version open source appelée OpenLDAP, apportant avec elle de nombreuses garanties de sécurité au travers des systèmes de chiffrement...

1. Service NIS

Lorsque l’on installe le package nis sur un serveur, l’administrateur doit renseigner le nom du domaine local, c’est-à-dire le nom du domaine qu’il souhaite donner à son annuaire central NIS. Après quoi, il faut renseigner la variable NISSERVER dans le fichier /etc/default/nis de façon à indiquer au service qu’il s’agit d’un nœud maître :

Ensuite, il faut également modifier le fichier /etc/yp.conf afin de renseigner l’adresse IP du serveur local :

Nous pouvons alors redémarrer le daemon du service NIS et nous assurer que les services RPC (Remote Procedure Call) sont bien utilisés :

# /etc/init.d/nis restart  
# rpcinfo -p
 

Il est alors possible de créer les "bases de données" distribuées par le service NIS, qui sont stockées par défaut dans le répertoire /var/yp. Pour ce faire...

1. Fonctionnalités du service DHCP

Lorsque l’on initialise un réseau local d’entreprise, on a généralement la fastidieuse tâche de compléter, pour chaque machine, les informations réseau :

Bien que le DHCP ne soit pas considéré totalement comme un annuaire, il en contient pourtant les éléments principaux : les baux de négociation et les fonctionnalités de réservation d’adresse. Si l’on ne dispose pas d’un serveur DHCP (Dynamic Host Configuration Protocol), il faut faire cela manuellement. Mais heureusement, un tel serveur permet d’effectuer les associations adresses (physique ou logique) avec les noms des différentes machines du réseau. Le serveur DHCP utilise le port UDP/67 et le client le port UDP/68 pour communiquer entre eux. Il existe plusieurs paquets susceptibles d’être interprétés au sein du protocole DHCP. Ils peuvent être émis indépendamment par le client ou le serveur selon les cas :

Il faut, pour cela, installer le package isc-dhcp-server et configurer ensuite le fichier /etc/dhcp/dhcpd.conf.

# apt-get install isc-dhcp-server
 

Après l’installation, le service ne démarrera pas, car il faut le configurer pour que les occurrences du domaine et le paramétrage des sous-réseaux soient cohérents. Nous devons donc configurer le fichier dhcpd.conf en indiquant le nom du domaine et les adresses des serveurs de noms :

option domain-name "mydmn.org";  
option domain-name-servers 192.168.1.251...

1. Introduction

Aujourd’hui, il existe une alternative plus évoluée encore que ce que l’on vient de voir, en termes d’annuaire intégré. Il s’agit de la solution SAMBA 4. À ce jour, Samba AD (autre nom de SAMBA 4) est livrée avec un certain nombre d’éléments favorisant l’intégration et la centralisation des annuaires au sein même d’un annuaire unique Active Directory d’entreprise :

Ce nouveau packaging permet la prise en charge des politiques de GPO ainsi que le support de configuration grâce au service RSAT, depuis n’importe quel client Windows. Comme nous l’avons souligné grâce à la compatibilité de SAMBA 3, nous pouvons facilement administrer le domaine ainsi déclaré, en ligne de commandes, via l’utilitaire samba-tool. Cette version SAMBA 4 s’apparente donc à un contrôleur de domaine.

2. Installation de la solution

La plupart des manipulations seront effectuées sous le compte root du super-utilisateur. Il faut configurer l’interface réseau avec une adresse IP statique. Dans l’exemple qui suit, on la positionnera à la valeur 192.168.1.250 et le serveur portera le nom de debian9. Nous commençons donc par éditer le fichier /etc/network/interfaces pour y placer les lignes ci-dessous :

address 192.168.1.250  
netmask 255.255.255.0  
network 192.168.1.0  
broadcast 192.168.1.255  
gateway 192.168.1.1
 

dns-nameservers 192.168.1.251 192.168.1.252  
dns-search mydmn.org
 

Nous pouvons compléter cette configuration en éditant le fichier /etc/hostname pour y placer la ligne suivante (il est possible d’ailleurs...