jul is a nolife - Systèmes et Réseaux

Un hosts.deny pour apache 2

jul — Mon, 28 Jan 2008 17:12:00 +0100

Pour bloquer l'accès à un site web pour une adresse spécifique, j'ai d'abord tout simplement pensé à /etc/hosts.deny, mais pour aller plus loin j'avais besoins d'une solution plus fine. Après quelques recherches j'ai donc trouvé un moyen de le faire efficacement grâce au mod_rewrite d'apache.

On rajoute déjà les règles dans le fichier de son vhost :


RewriteEngine On

RewriteMap hosts-deny txt:/etc/apache2/hosts.deny
RewriteCond ${hosts-deny:%{REMOTE_HOST}|NOT-FOUND} !=NOT-FOUND [OR]
RewriteCond ${hosts-deny:%{REMOTE_ADDR}|NOT-FOUND} !=NOT-FOUND
RewriteRule ^/.* - [F]

Cette règle lit dans le fichier /etc/apache2/hosts.deny afin de lister les adresses ip ou domaines à bloquer :


uneip -
unnomdedomaine -

Il ne manque plus qu'a redémarrer apache :


/etc/init.d/apache2 restart

Les visiteurs étant listés dans /etc/apache2/hosts.deny se verront ainsi renvoyer vers une page "Forbiden". On peut bien sur imaginer une redirection vers une page personnalisée genre (banni.html) :


<html>
<head>
<title>Vous avez été banni</title>
</head>
<h1>Vous n'êtes plus le bienvenu ici</h1>
</html>

On change simplement la ligne :


RewriteRule ^/.* - [F]

Par :


RewriteRule ^/.* /banni.html [L]

Source: http://httpd.apache.org/docs/2.0/mi...

Transformer un Iomega high-speed ethernet en véritable NAS

jul — Mon, 13 Nov 2006 01:35:00 +0100

J'ai acheté, il y a quelques temps déjà, un disque réseau Iomega bas de gamme. Plutôt pratique à première vue, il permet de charger son disque à travers samba ainsi que de modifier quelques options avec une interface de gestion html.

Vu le prix de celui-ci, rien de bien extraordinaire. Pourtant un certain nombre de limitations m'empêchaient de profiter pleinement de l'engin. Tout d'abord, pas de partage nfs, le partage samba c'est bien quand on a windows, mais sinon, pas de permissions. En plus aucun droit d'accès au disque: on y accède directement avec tous les droits de lecture/écriture sans mot de passe. Enfin Iomega ne supporte déjà plus ce disque (il n'est d'ailleurs même plus sur leur site) donc pas de nouveau firmware à esperer.

En cherchant un peu sur internet, j'ai découvert qu'en fait, la machine tournerait sous linux. En poursuivant mes recherches (démontage de l'appareil à l'appui), je découvre qu'en fait le système embarqué est bien un linux et qu'il s'agit d'une carte Axis Etrax 100LX. Avec un CPU RISC 32bits à 100Mhz, 32 Mo de RAM et surtout un environnement de cross-compilation et un tas d'outils linux disponibles en téléchargement sur le site d'Axis!

Problème: le truc de Iomega est totalement fermé. Pas d'accès autre que samba et l'interface de gestion, et aucun autre signe de configuration possible du linux à l'interieur. Un serveur ftp semble tourner dessus mais impossible de s'y connecter car je ne dispose pas du mot de passe vu que Iomega semblerait garder ce ftp uniquement au cas ou ils voudraient permettre une mise à jour du firmware. En conclusion, j'ai acheté un système sur lequel je n'ai pas les droits d'accès !l

Après avoir tourné le problème dans tous les sens, j'ai finalement trouvé une solution d'une effrayante simplicité.
Sachant qu'il s'agit d'un linux qui fait tourner samba, je sais que samba suit les liens symboliques unix pour les présenter en dur une fois le disque monté : il me suffit donc de créer un lien symbolique vers / depuis le répertoire que je peux voir dans samba!
Pour cela il faut démonter le disque et le remonter dans un PC (PATA), monter la bonne partition, ajouter le lien puis tout remettre comme avant (j'imagine que le fait de démonter le disque enlève la garantie, mais bon osef).

Une fois le disque enlevé de sa boite, on le met dans un PC. Imaginons qu'on le monte en esclave, alors on le verra apparaître en hdb dans linux. On découvre qu'il y a deux partition. A prioris /dev/hdb1 est une petite partition de 6Mo ou le firmware se colle au démarrage. /dev/hdb2 contient nos données: c'est là où l'on mettra notre lien.


# mount /dev/hdb2 /tmp
# cd /tmp
# ln -s / Root
# umount /tmp

Voila, ça c'est fait. On remonte le tout comme avant: on a maintenant accès à l'arborescence du système dans Root lorsque l'on monte le disque réseau avec samba.
Tout cela est bien beau, mais on ne peut pas faire grand chose de plus pour l'instant. Le top serait d'avoir un ssh ou un telnet pour pouvoir éxécuter à souhait des trucs dessus (je vous laisse imaginer).

Il faut savoir que le système en lui même est en lecture seulement. Seul le répertoire /etc est en lecture/écriture. C'est déjà pas mal! On va pouvoir installer un ssh et un nfs qui se lancent au démarrage. N'oublions pas que nous avons tout l'environement de cross-compilation à disposition !

La première étape consisterait en un remplacement du /etc/passwd, avec un mot de passe root que l'on connait. Ainsi on pourait déjà accéder au ftp.

Pour le reste, bon courage. :)

Déploiement de ruby on rails avec apache 2.0 et mongrel

jul — Wed, 04 Oct 2006 09:59:00 +0200

Le principal problème de Ruby on Rails, actuellement, est son déploiement dans un environnement de production. Il existe pourtant un certain nombre de possibilités plus ou moins simples.

La solution que j’ai retenu est d’utiliser la capacité de clustering de mongrel avec la version 2.0 de apache . Les développeurs de mongrel conseillent l’utilisation d'apache 2.2 et de son mod_load_balancer. Néammoins, apache 2.0 reste la version la plus simple à utiliser, car maintenue par les principales distributions (Debian en tête).

En imaginant que nous avons déjà un environnement rails en place, nous allons commencer par installer mongrel:


$ sudo gem install mongrel

Une fois mongrel installé, configurons le pour une application donnée :


$ sudo mongrel_rails cluster::configure -e production \ 
-p 8000 -N 3 -c /repertoire/de/notre/application \ 
-a 127.0.0.1 --user www-data --group www-data

Petite explication, nous configurons mongrel en cluster de trois processus (-N 3) commençant au port 8000 (-p 8000), ce qui nous lancera trois processus (8000,8001 et 8002). A noter également que notre répertoire devra posséder les permissions www-data. Nous pouvons à présent lancer le cluster:


$ sudo mongrel_rails cluster::start

Il faut maintenant configurer apache pour qu’il gère de manière transparente ce cluster. Pour cela, nous allons utiliser le module mod_proxy de la version 2.0. Voici le code pour un hôte virtuel (/etc/apache2/site-availables/monsite.fr dans Debian):


<VirtualHost *>
    ServerName www.monsite.fr
    ServerAdmin admin@monsite.fr
    DocumentRoot /repertoire/de/notre/application/public

    <Proxy *>
        Order deny,allow
        Allow from all
    </Proxy>

    ProxyRequests Off
    ProxyPassReverse / http://localhost:8000/
    ProxyPassReverse / http://localhost:8001/
    ProxyPassReverse / http://localhost:8002/
    ProxyPreserveHost On
    RewriteEngine On
    RewriteMap  servers rnd:/etc/apache2/map.txt
    RewriteRule ^/(images|stylesheets|javascripts)/?(.*) $0 [L]
    RewriteRule ^/(.*)$ http://localhost:${servers:ports}/$1 [P,L]

    <Directory /repertoire/de/notre/application/public/>
        Options +FollowSymLinks
        Order allow,deny
        allow from all
    </Directory>

    ErrorLog /var/log/apache2/monsite_error.log
    LogLevel warn
    CustomLog /var/log/apache2/monsite_access.log combined
    ServerSignature On
</VirtualHost>

N’oubliez pas d’activer le module apache et le nouveau site.


$ sudo a2enmod proxy
$ sudo a2ensite monsite.fr

Il ne reste plus qu’à relancer apache! Les connexions vers www.monsite.fr seront ainsi redirigées automatiquement vers le cluster le plus approprié.

Cette technique nous permet d’avoir une application rails supportant une charge plus importante en multipliant les clusters.

Voir également (en anglais): la doc de mongrel et ce blog.

Passer une commande en tâche de fond

jul — Mon, 24 Jul 2006 15:33:00 +0200

Quel désespoir de voir la commande qu’on a lancé à midi ne pas être terminée au moment de quitter le travail… Heureusement unix est la pour nous éviter de faire des heures sup’!

Disons que la commande est lancée depuis un terminal X par un shell ouvert en ssh :

julbouln@lesitedistant:~$ commande

On commence par susprendre la tâche avec un CTRL+Z :

[1]+  Stopped      commande
julbouln@lesitedistant:~$

On passe celui-ci en tâche de fond :

julbouln@lesitedistant:~$ bg

Le problème à présent est que la commande est toujours associée au terminal, donc si on quitte le shell, la commande se termine. Heureusement il existe une commande pour la détacher du terminal :

julbouln@lesitedistant:~$ disown

Et voila! On peut à présent quitter en laissant la commande se terminer tranquillement.

Ajouter un script au démarrage de la Debian

jul — Wed, 14 Jun 2006 10:09:00 +0200

Il peut être pratique de rajouter un script personnalisé au démarrage. Pour ce faire, la Debian propose un outil de haut niveau pour faciliter la tâche : update-rc.d.

Tout d’abord, il vous faut créer un script que vous placerez dans /etc/init.d.
MAJ: Il existe un fichier /etc/init.d/skeleton qui peut servir de modèle (merci tito).
Appelons le /etc/init.d/monscript par exemple :


#!/bin/sh
case "$1" in
  start|"") 
        # au démarrage
        ;;
  stop)   
        # à l'arret
        ;;
  *)
        echo "Usage: monscript [start|stop]" >&2
        exit 3
        ;;
esac

Notez le case ”$1” qui recupère le premier argument de la commande. Si l’argument est start ou qu’il n’y en a pas, alors on exécute ce qu’il y a au niveau de # au démarrage. Si l’argument est stop, ce qu’il y a au niveau de # à l’arret

Rajoutez lui le mode exécutable :


# chmod +x /etc/init.d/monscript

Vous pouvez à présent tester votre script directement depuis la console :


# /etc/init.d/monscript stop
# /etc/init.d/monscript start

Ensuite, afin qu’il se lance automatiquement au démarrage, il faut le rajouter aux runlevels. Pour cela, utilisez simplement la commande update-rc.d :


# update-rc.d monscript defaults 99

update-rc.d possède un certain nombre d’options, nous utilisons les plus simples dans cet exemple :

monscript correspond au fichier bash /etc/init.d/monscript que nous venons de créer
defaults permet de couvrir tous les runlevels
99 est le niveau de priorité. 99 étant le plus faible et 1 le plus élevé. Le niveau de priorité correspondant à l’ordre lors du démarrage, les plus faibles étant exécutés en dernier.

Vous n’avez plus qu’à redémarrer pour essayer le tout!

Installer Windows après une Debian

jul — Sun, 30 Apr 2006 08:37:00 +0200

Il arrive parfois que l’on veuille installer un Windows sur une machine où Linux est déjà installé. Le problème est que Windows efface le chargeur multi-os pour se mettre à la place.

Heureusement il existe une technique rapide et simple pour réinstaller le chargeur.

Prenons un exemple, vous avez un disque partionné comme suit:

/dev/hda1 : ext3 monté en / contenant Linux
/dev/hda2 : swap
/dev/hda3 : ext3 monté en /home
/dev/hda4 : ntfs ou vfat contenant Windows

Après avoir installé Windows, le système sur /dev/hda4 est chargé automatiquement au démarrage. Pour y remédier, il suffit d’utiliser le cd d’installation de Debian (un cd netinstall suffit).

Mettez le dans le lecteur et faites comme si vous alliez installer la Debian. Vous pouvez sélectionner les options de configuration pour votre clavier. Ensuite, basculez dans la deuxième console (ALT-F2) et tappez entrée pour avoir un prompt.

A présent, il vous faut charger votre partition Linux:

mount -t ext3 /dev/hda1 /tmp

Dans l’installeur Sarge, il semble que les fichiers de disque n’ont pas le même shéma, si vous ne trouvez pas de /dev/hda1, utilisez /dev/ide/host0/bus0/target0/lun0/part1 à la place.

Pour utiliser les commandes de votre propre système :

chroot /tmp

Réinstallez le chargeur multi-os :

grub-install /dev/hda

Et voila, vous devriez avoir un message indiquant que tout c’est bien passé ! Quittez votre système :

exit

Démontez le disque :

umount /tmp

Et redémarrez :

reboot

Au redémarrage, vous allez avoir le même écran de démarrage qu’avant avoir installé Windows. Démarrez votre Linux, vous pouvez rajouter l’entrée Windows à la main dans /boot/grub/menu.lst :

title       Windows NT/2000/XP
root        (hd0,3)
makeactive
chainloader +1

ou lancer un dpkg-reconfigure grub, ce qui devrait détecter et intégrer directement le nouveau système.