Guide pratique de mise en œuvre de XDMCP sous Linux

Installez votre OS Linux. Dans mon cas, j'ai installé Red Hat 7.3 (installation personnalisée). Si vous projetez d'utiliser SSH pour faire du transfert de port, il vous faudra installer le paquetage OpenSSH ou compiler SSH dans le kernel. De plus, RH 7.x est fourni avec un pare-feu installé par défaut (à moins que vous ne fassiez pas ce choix). Vous pourrez rencontrer des problèmes si vous n'ajoutez pas des règles à votre pare-feu ou si vous ne le neutralisez pas temporairement le temps de configurer XDMCP. Je ne détaillerai pas les règles du pare-feu dans la mesure où ce n'est pas l'objet de ce document. Je montrerai seulement comment le faire fonctionner, à charge pour vous de le régler finement.

Avec le noyau 2.2x, vous afficherez les règles de votre pare-feu en saisissant la commande ipchains -L. Pour le désactiver temporairement, utilisez la commande ipchains -F pour effacer les règles (pas de panique, elles seront restaurées en les rechargeant ou au redémarrage). Avec le noyau 2.4x, remplacez la commande ipchains par iptables. Un utilisateur m'a indiqué qu'en ajoutant cette règle, vous n'aurez pas besoin de désactiver votre pare-feu et que vous pourrez accéder au serveur X (vous pouvez le vérifier par vous-même).

ipchains -A input -p udp -i $extint --dport 177 -j ACCEPT

Vous devriez pouvoir utiliser la commande iptables de manière identique. (Vous trouverez des références à iptables dans les Ressources).

Pour plus de détails sur les pare-feu, rendez-vous sur la page du Guide pratique de masquage IP.

Il est aussi possible d'ajouter des règles pour qu'il accepte uniquement les adresses IP des stations de travail de confiance. Vous pouvez utiliser la commande iptables à votre gré. Je rappelle que sa description n'est pas l'objet de ce document. J'ai de la chance dans le sens où j'utilise le pare-feu de ma société.

Configuration du réseau. Vous pouvez utiliser les commandes ping, ftp et telnet pour tester le fonctionnement de votre réseau. Pour des raisons de sécurité, le démon de la commande telnet est désactivé sur RH 7.x et versions ultérieures. Pensez à l'activer si vous désirez l'utiliser pour effectuer vos tests. Vous pourrez toujours le désactiver (avec la commande ntsysv) lorsque vous en aurez terminé. Il est aussi bon de se souvenir que les règles du pare-feu sont actives. Ajoutez vos propres règles ou désactivez les temporairement (comme mentionné plus haut) pour permettre l'exécution de ces commandes.

Configuration de X

Ne configurez pas X avec une résolution plus haute que celle dont les utilisateurs distants pourront disposer. Testez le serveur X en saisissant soit startx soit telinit 5. Assurez-vous que X fonctionne correctement.

Créez les comptes indispensables (et les groupes associés) pour les utilisateurs devant accéder par le terminal X.

Dans un environnement grahique Linux, les polices utilisées sont soit celles du serveur X (xfs), soit celles dont le chemin est spécifié dans les fichiers de configuration XF86Config ou XF86Config-4. .Si vous prévoyez d'utiliser le serveur de polices xfs (cliquez ici pour voir les avantages de xfs), pour RH 6.2 et Mandrake 8.x et 9.0, modifiez le fichier /etc/rc.d/init.d/xfs et apportez-y les modifications suivantes. Changez tout ce qui suit (cela concerne le port du serveur de polices) :

daemon xfs -droppriv -daemon -port
          -1

en:

daemon xfs -droppriv -daemon -port
          7100

Dans la Mandrake 7.2, le port est déjà 7100. De plus, sur la RH 7.x, l'écoute sur un port TCP est à présent désactivée par défaut pour des raisons de sécurité ! Si vous désirez paramétrer le serveur de polices de X, suivez les étapes

Changez la ligne suivante du fichier /etc/rc.d/init.d/xfs :

daemon xfs -droppriv -daemon

en :

daemon xfs -droppriv -daemon -port 7100

Puis, dans /etc/X11/fs/config, mettez cette ligne en commentaires :

# Ne pas écouter sur les ports TCP (pour des raisons de sécurité)
#no-listen = tcp

Si vous changez ou ajoutez le port, utilisez cette commande pour redémarrer votre serveur de polices X (nécessite les droits de root) :

service xfs restart

Le port 7100 n'est pas obligatoire. Vous pouvez choisir un autre port, dans la mesure où vous aurez vérifié soigneusement que ce port n'occasionne pas de conflit. Il est de bon ton de consulter votre administrateur Linux avant de le faire, afin qu'il sache que le port est utilisé ! Les différentes distributions Linux peuvent placer xfs dans différents répertoires sous /etc/rc.d. Si c'est le cas, vous pouvez le rechercher.

Modifiez /etc/X11/xdm/xdm-config en effectuant les modifications suivantes : Par défaut dans la plupart des distributions Linux, cette ligne est active, ce qui fait qu'il n'écoute pas les connexions XDMCP. Ceci pour des raisons de sécurité. Pour Caldera et en utilisant kdm, le fichier est situé en /etc/X11/kdm. Trouvez cette ligne :

DisplayManager.requestPort: 0

et mettez la en commentaire comme ceci :

! DisplayManager.requestPort: 0

Rappelez vous que ceci n'affecte pas gdm. La configuration de gdm se trouve dans la section suivante.

Dans le fichier /etc/X11/xdm/Xaccess modifiez ce qui suit. (cela permet à tous les hôtes de se connecter). Pour Caldera, et en utilisant kdm, le fichier est situé en /etc/X11/kdm. Changez les droits d'accès en 644 (chmod 644) :

#* # any host can get a login window

en :

* # any host can get a login window

La configuration ci-dessus est en mode Diffusion (Broadcast), qui permet d'établir la liste de tous les serveurs X écoutant les demandes de prise en charge de connexion X et en mesure de l'effectuer. Si vous désirez n'autoriser que certaines connexions, utilisez la section CHOOSER du même fichier. Vous trouverez un exemple dans les Ressources.

J'utilise gdm par défaut ainsi que l'invite de connexion gdm pour permuter KDE et GNOME. Pour gdm, éditez le fichier /etc/X11/gdm/gdm.conf. Ce qui suit active XDMCP, en le faisant écouter les requêtes. Pour kdm (si vous avez choisi KDE comme gestionnaire d'affichage lors de l'installation), éditez le fichier /usr/share/config/kdm/kdmrc pour Mandrake et /etc/kde/kdm/kdmrc pour Red Hat ou /opt/kde2/share/config/kdm/kdmrc pour Slackware version (KDE2). Modifiez cette ligne :

[xdmcp]
# false peut être remplacé par 0 dans certaines distributions
Enable=false

en :

# true peut être remplacé par 1 dans certaines distributions
Enable=true

Assurez-vous que Port=177 est présent à la fin de ce bloc.

À présent, éditez le fichier /etc/inittab et modifiez la ligne suivante :

id:3:initdefault:

en:

id:5:initdefault:

Dans la Slackware, le mode graphique (X11) est 4 et non 5.

Ceci fait passer la connexion du mode ligne de commande en mode graphique. Vous pouvez utiliser la commande telinit pour effectuer un test avant de modifier cette ligne. Utilisez soit telinit 3 pour passer au niveau 3, ou telinit 5 pour passer au niveau 5 en mode graphique (vous pouvez essayer cette commande sur la deuxième machine reliée par telnet à votre serveur).

Assurez-vous que les attributs de sécurité du fichier /etc/X11/xdm/Xservers sont fixés à 444 (chmod 444).

Localisez /etc/X11/xdm/Xsetup_0 et exécutez chmod 755 sur ce fichier.

Éditez le fichier XF86Config (si vous utilisez Xfree86 4.x, le fichier se nomme XF86Config-4) situé en /etc/X11 et modifiez la ligne :

FontPath "unix/:-1"

en :

FontPath "unix/:7100"

Si vous décidez d'utiliser un port différent du traditionnel port 7100, assurez-vous de le modifier à la fois dans le fichier /etc/rc.d/init.d/xfs et ici !

Afin de vous économiser du temps et de l'énergie, je vous recommande d'ajouter le chemin des polices (FontPath) dans les fichiers de configuration XF86Config et XF86Config-4. Si vous n'êtes pas certain de la disponibilité des polices, vous pouvez utiliser cette commande pour le vérifier (avec les droits de root) :

chkfontpath --list

Les polices suivantes constituent quelques exemples de référence. Assurez-vous de disposer de ces polices avant d'éditer ces chemins.

FontPath "/usr/X11R6/lib/X11/fonts/75dpi/"
FontPath "/usr/X11R6/lib/X11/fonts/misc/"
FontPath "/usr/X11R6/lib/X11/fonts/CID/"
FontPath "/usr/X11R6/lib/X11/fonts/Speedo/"
FontPath "/usr/X11R6/lib/X11/fonts/100dpi/"
FontPath "/usr/X11R6/lib/X11/fonts/Type1/"

(Il n'est pas nécessaire d'effectuer cette modification. Vous pouvez laisser les paramètres par défaut, cependant je préfère ce réglage. En cas de doute, laissez-les tels quels). Modifiez cette ligne à la fin du fichier /etc/inittab :

x:5:respawn:/usr/bin/gdm

Si vous décidez de ne pas modifier cette ligne, tant mieux ! Ce n'est pas une étape nécessaire, mais une préférence personnelle !

(Re)lancez X (situé dans le niveau d'exécution n°5). Si vous ne savez pas trop comment le faire, redémarrez simplement votre système (ce n'est cependant pas nécessaire si vous savez comment le redémarrer en ligne de commande. C'est toute la beauté de Linux, comparée à Windows).

Si vous n'avez pas procédé à la modification des règles de votre pare-feu, il vous faut le désactiver temporairement par le commande iptables -F (ou ipchains -F).

Vérifiez que l'invite de connexion apparaît. Vérifiez que la résolution d'affichage et que la souris fonctionnent. Connectez-vous depuis la console pour voir si l'accès en local est possible. Si oui, ne vous déconnectez pas.

Paramétrez Exceed (ou tout autre logiciel de client graphique (X)) pour soit appeler cette machine (par son adresse IP ou son nom DSN totalement qualifié), soit pour utiliser le paramètre de diffusion de XDMCP (XDMCP-Broadcast) et essayez de vous connecter au serveur X. Vous devriez voir apparaître l'écran de la session X et l'invite de connexion.