Guide pratique de la réalisation d'une passerelle d'authentification avec Samba

Nous savons que Samba peut agir en tant que contrôleur de domaine, et donc qu'il peut authentifier les utilisateurs de machines Windows. En tant que PDC, Samba peut envoyer des scripts netlogon aux stations de travail Windows. Nous pouvons utiliser ce script netlogon pour forcer les stations Windows à monter un partage donné à partir de notre PDC Linux. Ce partage « forcé » doit comporter les scripts preexec et postexec qui seront exécutés respectivement à la connexion et à la déconnexion de l'utilisateur. Un programme nommé smbstatus indique les partages en cours d'utilisation, ainsi que le nom de l'utilisateur et l'adresse IP de sa station. Nous avons juste besoin de récupérer cette information à partir de la sortie de smbstatus pour mettre à jour nos règles de pare-feu.

Si vous êtes impatient et que vous n'aimez pas lire, allez sur http://sourceforge.net/projects/smbgate/. Plus tard, vous pourrez revenir ici pour continuer votre lecture.

	Important
	Le texte ci-dessous est la version française de la mise en garde de ce document. Seule la version originale de cette mise en garde, présentée dans la section suivante, fait foi.

Aucune responsabilité sur le contenu de ce document ne sera acceptée. Utilisez les concepts, exemples et autres contenus à vos risques et périls. Comme ceci est une nouvelle édition de ce document, il peut exister des erreurs et des inexactitudes qui peuvent bien sûr endommagées votre système. Faites attention et, bien que ceci est fort improbable, l'auteur n'en prend aucune responsabilité.

Tous les droits appartiennent à leur propriétaire respectif, sauf cas spécifiquement indiqués. L'utilisation d'un terme dans ce document ne doit pas être vu comme affectant la validité d'une marque ou du service d'une marque.

Le fait de citer une marque ou un produit particulier ne doit pas être perçu comme une approbation.

	Important
	Le texte ci-dessous est la mise en garde de ce document. Ce texte fait foi.

No liability for the contents of this document can be accepted. Use the concepts, examples and other content at your own risk. As this is a new edition of this document, there may be errors and inaccuracies, that may of course be damaging to your system. Proceed with caution, and although this is highly unlikely, the author(s) do not take any responsibility for that.

All copyrights are held by their respective owners, unless specifically noted otherwise. Use of a term in this document should not be regarded as affecting the validity of any trademark or service mark.

Naming of particular products or brands should not be seen as endorsements.

La dernière version originale de ce document est disponible sur http://ram.eti.br et sur http://www.tldp.org.

Il est possible de trouver les guides pratiques relatifs à ce document sur la page du projet de documentation Linux (LDP) sur http://tldp.org/.

La dernière version française de ce document est disponible sur www.traduc.org.

Une version portuguaise est disponible.

Une traduction française réalisée par Guillaume Lelarge est disponible sur www.traduc.org (NdT : Si vous voulez participer aux traductions, n'hésitez pas. Votre aide sera la bienvenue !)

Une traduction hongroise est disponible sur http://tldp.fsf.hu.

J'ai écrit la version originale de ce document en anglais dans l'intérêt de la communauté Linux. Cependant, l'anglais n'est pas ma langue maternelle. Si vous parlez portugais, adressez-vous à moi dans cette langue.

Vos contributions et critiques sont les bienvenues.

Si vous trouvez un bogue dans les scripts inclus, merci de me le dire.

Vous pouvez me joindre en portugais ou en anglais à l'adresse <ricardo CHEZ ram POINT eti POINT br> ainsi qu'à l'adresse <ricardo POINT mattar CHEZ bol POINT com POINT br>.

Les commentaires relatifs à la version française de ce document sont les bienvenus. N'hésitez pas à nous signaler les erreurs, coquilles ou à nous faire part de vos impressions sur ce document. Vous pouvez nous contacter à l'adresse commentaires CHEZ traduc.org.

	Important
	Le texte ci-dessous est la version française de la licence de ce document. Seule la version originale de cette licence, présentée dans la section suivante, fait foi.

Copyright © 2002-2003 Ricardo Alexandre Mattar

Vous est autorisé de copier, distribuer ou modifier la version originale de ce document selon les termes de la licence de documentation libre GNU (GFDL), version 1.2 ou ultérieure, telle que publiée par la Free Software Foundation ; sans section inaltérable, ni texte de première de couverture, ni texte de quatrième de couverture. Une copie de cette licence est incluse dans la section intitulée « GNU Free Documentation License ».

Copyright © 2003-2005 Guillaume Lelarge, François-Xavier Detournière et Jean-Philippe Guérard pour la version française

La version française de document a été réalisée par Guillaume Lelarge, François-Xavier Detournière et Jean-Philippe Guérard . La version française de ce guide pratique est publiée en accord avec les termes de la licence de documentation libre GNU (GFDL) sans section invariante, sans texte de première de couverture ni texte de quatrième de couverture. Une copie de la licence est disponible sur http://www.gnu.org/copyleft/fdl.html.

	Important
	Le texte ci-dessous est la licence de ce document. Ce texte fait foi. Il est composé de la licence en anglais du document orignal, suivi de la licence en français de sa traduction.

Copyright © 2002-2003 Ricardo Alexandre Mattar

Permission is granted to copy, distribute and/or modify this document under the terms of the GNU Free Documentation License, Version 1.2 or any later version published by the Free Software Foundation; with no Invariant Sections, no Front-Cover Texts, and no Back-Cover Texts. A copy of the license is included in the section entitled "GNU Free Documentation License".

Copyright © 2003-2005 Guillaume Lelarge, François-Xavier Detournière et Jean-Philippe Guérard pour la version française

La version française de document a été réalisée par Guillaume Lelarge, François-Xavier Detournière et Jean-Philippe Guérard . La version française de ce guide pratique est publiée en accord avec les termes de la licence de documentation libre GNU (GFDL) sans section invariante, sans texte de première de couverture ni texte de quatrième de couverture. Une copie de la licence est disponible sur http://www.gnu.org/copyleft/fdl.html.

Merci à Carlos Alberto Reis Ribeiro pour m'avoir présenté Linux.

Merci à Cesar Bremer Pinheiro pour m'avoir motivé lors de l'écriture de ce document.

Merci à Guillaume Lelarge pour son aide (continue) sur les différentes versions.

Merci à Erik Esplund pour d'autres corrections d'anglais.

Merci à Albert Teixidó pour les améliorations sur le code.

Merci à Felipe Cordeiro Caetano pour son aide sur le site de tests principal.

Merci à la société de communications sécurisées RASEAC pour sponsoriser mon travail.

Ce document a pour cible les administrateurs système.

Vous devez avoir une bonne connaissance de (ou au moins savoir ce qu'ils sont) :

Vous devez avoir installé sur votre système :

Généralement, toute configuration de base à partir des distributions Linux connues conviendra pour l'exemple de passerelle. Vérifiez simplement que vous disposez de Samba et d'iptables.

Une hiérarchie de répertoires supplémentaires sera nécessaire pour accomplir l'exemple de ce guide pratique :

Il est très improbable que le noyau de votre distribution n'ait pas été compilé avec iptables et que les outils utilisateur ne soient pas non plus installés. Néanmoins, si vous ne les avez pas, référez-vous à http://www.netfilter.org/ ou http://www.iptables.org/ pour récupérer le logiciel et la documentation.

Vous aurez besoin d'une configuration basique du pare-feu pour que la passerelle fonctionne. Jetez un œil sur le tutoriel iptables disponible sur netfilter.org. Cette lecture est très intéressante. Néanmoins, si vous n'avez pas de temps pour cela, le code suivant est très basique mais il peut convenir à vos besoins :

#!/bin/sh
IPTABLES=/usr/sbin/iptables
/sbin/depmod -a
/sbin/insmod ip_tables
/sbin/insmod ip_conntrack
/sbin/insmod ip_conntrack_ftp
/sbin/insmod ip_conntrack_irc
/sbin/insmod iptable_nat
/sbin/insmod ip_nat_ftp
echo "1" > /proc/sys/net/ipv4/ip_forward
echo "1" > /proc/sys/net/ipv4/ip_dynaddr
$IPTABLES -P INPUT ACCEPT
$IPTABLES -F INPUT
$IPTABLES -P OUTPUT ACCEPT
$IPTABLES -F OUTPUT
$IPTABLES -P FORWARD ACCEPT
$IPTABLES -F FORWARD
$IPTABLES -t nat -F

Vous remarquerez que ce code ne fait que charger les modules du noyau en relation avec NAT et le pare-feu, et mettre en place la transmission des paquets. Vous pouvez (et devriez) placer toutes les règles pour donner à votre passerelle un comportement standard, mais toute la magie sera réalisée par des scripts appelés par le démon samba.

S'il-vous-plait, rappelez-vous que ce code n'apporte pas la moindre sécurité ! N'utilisez pas cet exemple sur des machines de production. Cet exemple a seulement pour but d'informer. Vous devez ajouter une configuration de pare-feu convenant à votre système.

Vous êtes prévenus !

Vérifiez que Samba est installé. Si votre distribution ne vient pas avec Samba préparé, alors référez-vous à http://www.samba.org pour obtenir le paquetage et la documentation sur son installation. Regardez sur leur site web et apprenez. Le site est rempli de documentations et peut-être que votre distribution Linux dispose elle-aussi de documentation sur Samba.

Nous aurons besoin de configurer Samba comme contrôleur principal de domaine. Je donnerais un fichier de configuration en exemple, mais vous devriez lire la collection de guides pratiques sur Samba et tout apprendre sur les PDC.

# Global parameters
[global]
workgroup = DOMAIN
netbios name = LINUX
server string = Linux PDC
encrypt passwords = Yes
map to guest = Bad Password
passwd program = /usr/bin/passwd
unix password sync = Yes
max log size = 50
time server = Yes
socket options = TCP_NODELAY SO_RCVBUF=8192 SO_SNDBUF=8192
add user script = /usr/sbin/useradd -d /dev/null -g 100 -s /bin/false -M %u
logon script = %a.bat
domain logons = Yes
os level = 64
lm announce = True
preferred master = True
domain master = True
dns proxy = No
printing = lprng
[homes]
comment = Home Directories
path = /home/%u
read only = No
[printers]
comment = All Printers
path = /var/spool/samba
printable = Yes
browseable = No
available = No
[netlogon]
comment = NetLogon ShARE
path = /home/samba/netlogon
guest account =
[samba]
comment = login tracking share
path = /home/samba/samba
browseable = No
root preexec = /usr/local/bin/netlogon.sh %u  %I
root postexec = /usr/local/bin/netlogoff.sh %u

logon script = netlogon.bat

REM NETLOGON.BAT
net use z: \\linux\samba /yes

[samba]
comment = login tracking share
path = /home/samba/samba
browseable = No
root preexec = /usr/local/bin/netlogon.sh %u  %I
root postexec = /usr/local/bin/netlogoff.sh %u

#!/bin/sh
#
# netlogon.sh
#
# usage:
# netlogon.sh <nom_utilisateur>
#
if [ -f /var/run/smbgate/$1 ] ; then
    exit 0
fi
echo $2 > /var/run/smbgate/$1
IPTABLES='/usr/sbin/iptables'
EXTIF='eth0'
COMMAND='-A'
ADDRESS=`cat /var/run/smbgate/$1`
GROUP=`groups $1 | gawk '// { print $3 }'`
if [ -f /etc/smbgate/users/$1 ] ; then
    /etc/smbgate/users/$1 $COMMAND $ADDRESS $EXTIF
else     
    if [ -f /etc/smbgate/groups/$GROUP ] ; then
        /etc/smbgate/groups/$GROUP $COMMAND $ADDRESS $EXTIF
    else
        /etc/smbgate/users/default.sh $COMMAND $ADDRESS $EXTIF
    fi
fi

#!/bin/sh
#
# netlogoff.sh
#
# usage:
# netlogoff.sh <username>
#
IPTABLES='/usr/sbin/iptables'
EXTIF='ppp0'
COMMAND='-D'
TRACKSHARE="samba"
ADDRESS=`cat /var/run/smbgate/$1`
GROUP=`groups $1 | gawk '// { print $3 }'`
NM=`smbstatus -u $1 | grep $TRACKSHARE | wc -l`
if [ $NM -gt 0 ]; then
    exit
fi
if [ -f /etc/smbgate/users/$1 ] ; then
    /etc/smbgate/users/$1 $COMMAND $ADDRESS $EXTIF
else
    if [ -f /etc/smbgate/groups/$GROUP ] ; then
        /etc/smbgate/groups/$GROUP $COMMAND $ADDRESS
$EXTIF
    else
        /etc/smbgate/users/default.sh $COMMAND $ADDRESS
$EXTIF
    fi
fi
rm -f /var/run/smbgate/$1

#!/bin/sh
# checklogout.sh
#
# usage:
# doit être lancé par cron (par exemple toutes les dix minutes)
#

TRACKDIR="/var/run/smbgate"
DIRLENGTH=${#TRACKDIR}
TRACKSHARE="samba"
EXTIF='eth0'
COMMAND='-D'
if [ -d $TRACKDIR ]; then
  for n in $TRACKDIR/*; do
    [ -d $n ] && continue;
      if [ -f $n ] ; then 
        IPADDRESS=`cat $n`
        USERNAME=${n:$DIRLENGTH+1}
        NMS=`smbstatus -u $USERNAME | grep $TRACKSHARE | \
          grep $IPADDRESS | grep -v grep | wc -l`
        if [ $NMS == 0 ] ; then
          rm -f $n
        GROUP=`groups $USERNAME | gawk '// { print $3 }'`
        if [ -f /etc/smbgate/users/$USERNAME ] ; then
          /etc/smbgate/users/$USERNAME $COMMAND $IPADDRESS $EXTIF
        else
          if [ -f /etc/smbgate/groups/$GROUP ] ; then
            /etc/smbgate/groups/$GROUP $COMMAND $IPADDRESS $EXTIF
          else
            /etc/smbgate/users/default.sh $COMMAND $IPADDRESS $EXTIF
          fi
        fi
      fi
    else
      exit 0
    fi
  done
fi

root postexec = /usr/local/bin/netlogoff.sh %u

#!/bin/sh
#
COMMAND=$1
ADDRESS=$2
EXTIF=$3
IPTABLES='/usr/sbin/iptables'
$IPTABLES $COMMAND POSTROUTING -t nat -s $ADDRESS -o $EXTIF -j MASQUERADE

#!/bin/sh
#
# default.sh
COMMAND=$1
ADDRESS=$2
EXTIF=$3
IPTABLES='/usr/sbin/iptables'
#$IPTABLES $COMMAND POSTROUTING -t nat -s $ADDRESS -o $EXTIF -j MASQUERADE
exit 0

Vous devez lire la documentation ssh et vous assurez que vous comprenez pleinement ce que vous faites en configurant RSA ou tout autre mécanisme de cryptographie pour l'authentification.

Si la sécurité n'est pas un problème, utilisez simplement mon exemple et continuez.

Pour créer une paire de clés, lancez les commandes suivantes sur la machine correspondant au PDC :

pdc:˜# ssh-keygen -t rsa

Répondez aux questions et copiez la clé publique résultante sur la passerelle. Habituellement, la clé publique va dans ˜.ssh/id_rsa.pub.

pdc:˜# cd .ssh
pdc:˜# scp id_rsa.pub root@gateway:/root/.ssh/authorized_keys2

Ce qui suit est un script standard /etc/smbgate/users/user modifié pour utiliser l'authentification cryptée par SSH.

#!/bin/sh
#
COMMAND=$1
ADDRESS=$2
EXTIF=$3
IPTABLES='/sbin/iptables'
ssh root@gateway $IPTABLES $COMMAND POSTROUTING -t nat -s $ADDRESS -o $EXTIF -j MASQUERADE

Notez que le binaire iptables est appelé via SSH par la passerelle. De nouveau, assurez-vous d'avoir lu la documentation du serveur SSH.

Nous allons configurer le réseau, la gestion des utilisateurs et les politiques pour les stations Windows.

Je ne parcourrai pas toutes ces étapes en nommant chaque boîte de dialogue. Je présumerai que si vous pouvez lire et comprendre ce document, vous pouvez trouver votre chemin dans ce bazar.

Tout d'abord, sauf si vous en avez réellement besoin, supprimez tous les protocoles réseau sauf TCP/IP. Même sans leur propre protocole, les machines Windows aiment diffuser à tous les nœuds (broadcast), et ceci ne plaît à personne. De toute façon, avec TCP/IP, qui a besoin d'autre chose ?

Si vous configurez votre serveur DHCP sur votre machine Linux, rappelez-vous que les stations Windows peuvent obtenir les adresses des serveurs de noms et de la passerelle en plus de leur propre adresse IP. Donc, vous n'avez pas besoin de configurer toutes ces informations sur chaque station.

Configurez les stations Windows pour qu'elles se connectent sur le domaine et donnez le nom du domaine de votre serveur Linux. Ceci est essentiel pour le fonctionnement de la passerelle.

Vous devez savoir que pour faire joindre certaines versions de Windows à un contrôleur de domaine Samba, vous devez créer des comptes sur le PDC Linux. Regardez dans la documentation Samba pour comprendre comment configurer votre PDC pour la version spécifique de Windows que vous avez.

REM WFWG.BAT
net use z: \\linux\samba /yes

REM WIN95.BAT
net use z: \\linux\samba /yes

REM WINNT.BAT
net use z: \\linux\samba /yes /persistent:no

REM WIN2K.BAT
net use z: \\linux\samba /yes /persistent:no

HKEY_LOCAL_MACHINE\
  SYSTEM\
    CurrentControlSet\
      Services\
        Netlogon\
          Parameters\
            RequireSignOrSeal

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters]
"requiresignorseal"=dword:00000000

REM WINXP.BAT
net use z: \\linux\samba /yes /persistent:no

Il existe un utilitaire nommé « policy editor » inclus sur le CD de Windows. Le nom du fichier est poledit.exe. Cet outil, comme le nom le suggère, permet de créer un fichier de politique pour l'utilisateur et le système.

Malheureusement, cet outil ne génère pas un fichier de configuration texte, donc je ne peux pas placer un exemple ici.

Utilisez l'éditeur de politiques pour créer une politique pour vos stations et utilisateurs. Vous devez désactiver le cache local des mots de passe et le cache de domaine pour avoir un peu de sécurité. Sauvegardez le fichier de politiques en tant que config.pol et placez-le dans le partage netlogon sur votre serveur Linux. De cette façon, vos stations Windows vont télécharger et utiliser le fichier config.pol pour configurer leur politique. Bien sûr, cette tâche doit être faite sur une machine Windows.

Si vous n'utilisez pas un fichier config.pol, vos stations Windows vous ennuieront à vous demander un mot de passe Windows et vous deviendrez dingue en essayant de synchroniser et gérer les mots de passe de Windows et du domaine. Il semble que le système d'exploitation ne sache pas qu'il a rejoint un domaine. Vous devez lui dire et lui taper sur la tête de façon à ce qu'il vous croie.

Ajouter un utilisateur Linux par les moyens habituels et configurer un mot de passe Samba en utilisant smbpasswd devrait fonctionner. Si vous avez des doutes, référez-vous à la documentation Samba. Ce n'est pas un problème difficile.

C'est à mon avis un thème majeur car je n'ai pas encore compris comment gérer les utilisateurs et leurs mots de passe à partir d'une station Windows sans utiliser une interface web. Je n'ai pas trouvé et ne sais pas comment construire des outils intégrés pour résoudre ce problème. Donc, j'utilise un programme CGI pour le faire.

Essayez le paquetage disponible sur http://changepassword.sourceforge.net. Il semble être un bon choix.

Comme vous pouvez le voir dans la section précédente de ce guide pratique, le démon Samba sera appelé par un script netlogon.sh à chaque fois que le partage des traces sera monté. Ce script netlogon.sh appellera un script avec le nom de l'utilisateur, donnant ainsi l'adresse IP de la station de travail en question en paramètre. Ce script utilisateur appliquera les règles souhaitées.

Par exemple, si vous voulez donner à l'utilisateur un accès complet à internet :

#!/bin/sh
#
COMMAND=$1
ADDRESS=$2
EXTIF=$3
IPTABLES='/usr/sbin/iptables'
$IPTABLES $COMMAND POSTROUTING -t nat -s $ADDRESS -o $EXTIF -j MASQUERADE

Si vous ne voulez pas modifier quoi que ce soit pour un utilisateur particulier, créez-lui simplement un script vide :

#/bin/sh
#
exit 0

Vous pouvez aussi ne pas créer de scripts pour les utilisateurs les moins privilégiés, en les laissant avec le script default.sh, qui sera aussi vide que le précédent, ou donnez un accès limité de cette façon :

#!/bin/sh
#
COMMAND=$1
ADDRESS=$2
EXTIF=$3
EXTIFADDRESS=$4
IPTABLES='/usr/sbin/iptables'
$IPTABLES $COMMAND POSTROUTING -t nat -s $ADDRESS -o $EXTIF --dport 25 -j SNAT \
    --to-source $EXTIFADDRESS
$IPTABLES $COMMAND POSTROUTING -t nat -s $ADDRESS -o $EXTIF --dport 110 -j SNAT \
    --to-source $EXTIFADDRESS

Rappelez-vous que ce script nécessite la modification de tous les scripts précédents pour inclure le paramètre supplémentaire. Et rappelez-vous que vous n'irez nulle part avec ce guide pratique si vous ne comprenez pas iptables.

Créez seulement les groupes d'utilisateurs sur le PDC Linux et ajoutez les utilisateurs aux groupes. C'est tout.

Rappelez-vous que les scripts d'exemple dans ce guide pratique vont probablement échouer si vos utilisateurs appartiennent à plus d'un groupe. Si vous avez besoin de plus d'un groupe, n'oubliez pas d'ajuster les scripts.

Vous aurez besoin de définir les scripts spécifiques aux groupes et de les placer dans le répertoire /etc/smbgate/groups/. Rappelez-vous que le script doit être nommé comme le groupe, au moins si vous voulez suivre les exemples de ce guide pratique.

Le schéma par défaut de ce guide pratique est de vérifier le script utilisateur, puis le script du groupe et enfin le script par défaut. Si vous voulez modifier ce comportement, rappelez-vous qu'il est nécessaire d'adapter les scripts netlogon.sh, netlogoff.sh (ou checklogout.sh). Tout le travail se fait dans ces fichiers.