Projet Linux Celine-Foucaud Laurent-Urrutia PDF

Sommaire : Le contexte
- 0 -
Groupe Newstore Laurent URRUTIA Cline FOUCAUD

G r o u p e Ne w s t o r e
2014
Projet Linux - Samba en
haute disponibilit
Groupe Newstore
Laurent URRUTIA Cline FOUCAUD
Newstore
Samba en haute disponibilit
- 1 -
Auteur
Urrutia Laurent
Cline Foucaud
Version 3.0
Diffusion Restreinte Date 12/03/2014

Historique des versions
Version Date Auteur Commentaire
1.0 10/03/2014
Laurent Urrutia
Cline Foucaud
Cration document
Introduction
Contexte
Heartbeat

at 11/03/2014
Laurent Urrutia
Cline Foucaud

Installation Drdb
Installation Samba
3.0 12/03/2014
Laurent Urrutia
Cline Foucaud

Installation Client
Test client
Mise en forme du
document

- 2 -
Avant-propos

Ce document technique prsuppose un langage commun entre les rdacteurs et les
lecteurs :
Les lignes de commande tapes dans le shell sont indiques ainsi :
# yum -y update
# reboot

Les fichiers de configuration ainsi :
/chemin-du-fichier/Nom-du-fichier.extension
Commandes de configuration du fichier

- 3 -
Sommaire

Avant-propos ............................................................................................................................................................. - 2 -
Sommaire .................................................................................................................................................................... - 3 -
I. Introduction ...................................................................................................................................................... - 5 -
A. Le contexte ................................................................................................................................................. - 5 -
B. Version des logiciels utiliss ........................................................................................................... - 5 -
C. Architecture cible et plan dadressage ..................................................................................... - 5 -
1. Plan dadressage ................................................................................................................................. - 5 -
2. Plan .............................................................................................................................................................. - 7 -
II. Intgration de Heartbeat pour le cluster .................................................................................... - 8 -
A. Les deux serveurs : installation du systme dexploitation et du paramtrage du
rseau ....................................................................................................................................................................... - 8 -
B. Installation de Heartbeat ................................................................................................................ - 10 -
III. Installation de DRBD .......................................................................................................................... - 13 -
A. Configuration de DRBD pour le cluster ................................................................................ - 13 -
B. Commandes de dpannage .......................................................................................................... - 17 -
IV. Mise en place de Samba ............................................................................................................... - 18 -
A. Mise en place du contrleur de domaine .......................................................................... - 18 -
1. Cration du domaine .................................................................................................................... - 18 -
2. Gestion des DNS ............................................................................................................................. - 21 -
3. Configuration supplmentaire .................................................................................................. - 25 -
4. Lancement et vrification des services ............................................................................ - 28 -
B. Rplication du contrleur de domaine .................................................................................. - 29 -
1. Configuration de base ................................................................................................................. - 29 -
2. Intgration de Samba ................................................................................................................... - 31 -
3. Edition du rplicat .......................................................................................................................... - 33 -
V. Intgration dun client et test de fonctionnement ............................................................. - 34 -
A. Vrification des Services ................................................................................................................. - 35 -
1. DNS ........................................................................................................................................................... - 35 -
- 4 -
2. Active directory ................................................................................................................................. - 35 -
B. Cration dune GPO ........................................................................................................................... - 37 -
Webographie : ....................................................................................................................................................... - 41 -
Index ............................................................................................................................................................................ - 42 -

- 5 -
I. Introduction

A. Le contexte

Ce document a pour vocation de dcrire pas pas l'installation d'un systme Samba.
Samba est un logiciel dinteroprabilit entre le monde Linux et le monde Microsoft :
il permet l'implmentation du protocole SMB (Server Message Block) sous Unix/Linux.
Il sert partager des fichiers et des imprimantes avec les rseaux Microsoft.
Avec Samba 4, il est dsormais possible de crer un environnement Active
Directory mixte avec des machines de systmes dexploitation Windows et Linux. On
dispose ainsi dun ou plusieurs serveurs LDAP et dun centre de distribution de cls
Kerberos.
Larchitecture propose ici est une installation qui offre ce service en haute
disponibilit.

B. Version des logiciels utiliss

La mise en uvre de cette maquette sest effectue avec les versions logicielles
suivantes :
OS Centos : CentOS-6.5-x86_64-minimal
DRBD (Distributed Replicated Block Device) : 8.4.0-31.x86_64
Heartbeat 3.0.4-1.x86_64
Samba 4.1.5

C. Architecture cible et plan dadressage

1. Plan dadressage
Comme indiqu dans le schma ci-dessous, larchitecture cible est la suivante :
- Deux serveurs Centos 6 minimal,
o NSDC01CO adress en 192.168.220.128/24
- 6 -
o NSDC02CO adress en 192.168.220.130/24
- IP flottante permettant daccs aux partages : 192.168.220.129/24
- Deux clients Windows adresses en 192.168.220.131/24 et 192.168.220.132/24
Ces deux serveurs sont proposs en haute disponibilit grce la mise en place du
systme DRBD (Distributed Replicated Block Device en anglais) qui offre un espace de
stockage distribu et du systme Heartbeat qui propose de prendre le pouls des
services mis disposition afin de dterminer la disponibilit des programmes.

DRDB (source : http://www.drbd.org/users-guide-8.3/)

- 7 -
2. Plan

NSDC01CO
192.168.220.128
INTERFACE DE GESTION
172.10.1.2
NSDCO2CO
192.220.130
INTERFACE DE GESTION
172.10.1.3
HEARTBEAT
IP FLOTTANTE 192.168.220.129

Plan d'architecture

- 8 -
II. Intgration de Heartbeat pour le cluster

Nous allons installer Heartbeat qui aura la charge de la gestion du Fail-Over et de la
bascule des adresses IP via des mcanismes ARP avancs.

A. Les deux serveurs : installation du systme dexploitation et du
paramtrage du rseau

Dsactivation dIPv6
[root@NSDC01CO ~]# lsmod | grep ipv6
[root@NSDC01CO ~]# vi /etc/modprobe.conf
[root@NSDC01CO ~]# install ipv6 /bin/true

Activation de linterface eth0 et eth1 en IP fixe :
/etc/sysconfig/network-scripts/ifcfg-eth0
DEVICE="eth0"
HWADDR="00:0C:29:F9:02:AD"
ONBOOT="yes"
NM_CONTROLLED="yes"
BOOTPROTO="static"
TYPE="Ethernet"
UUID="feaf0efd-67ad-435a-823a-a261973ab17a"
DOMAIN=NSDC01CO.newstore.local
IPV6INIT=no
NETMASK=255.255.255.0
IPADDR=192.168.220.128
GATEWAY=192.168.220.128
DNS1=192.168.220.128
DNS2=192.168.220.130

DEVICE="eth1"
- 9 -
HWADDR="00:0C:29:F9:02:B7"
ONBOOT="yes"
NM_CONTROLLED="yes"
BOOTPROTO="static"
TYPE="Ethernet"
IPADDR="172.10.1.2"
NETMASK="255.255.255.0"

Mise jour des dpts
[root@NSDC01CO ~]# yum update -y

Installation des packages ncessaires
Ssh, le scanner de rseau (port) nmap et le serveur de temps ntp, le programme de
tlchargement Wget :
[root@NSDC01CO ~]# yum -y install openssh-server openssh-clients nmap ntp wget

Le serveur DNS (Bind), le jeu de compilateur GCC, le script de prise en charge de la
bibliothque gnrique : libtool (et ses dpendances) et autres outils de
dveloppement :
[root@NSDC01CO ~]# yum install -y bind bind-libs bind-utils bind-sdb make gcc rpm-build libtool
autoconf openssl-devel libacl-devel libblkid-devel gnutls-devel readlin e-devel python-devel gdb
pkgconfig gtkhtml2 policycoreutils-python libsemanage-python setools-libs-python setools-libs

Le protocole Kerberos
[root@NSDC01CO ~]# yum install y krb5-libs krb5-workstation

Dsactivation du selinux
[root@NSDC01CO ~]# sed -i 's/SELINUX=enforcing/SELINUX=disabled/g' /etc/selinux/config

Inscription au dmarrage de ssh + lancement du service
Inscription au dmarrage du service ssh
[root@NSDC01CO ~]# chkconfig sshd on
- 10 -
[root@NSDC01CO ~]# service sshd start

Vrification netstat du port 22
[root@NSDC01CO ~]# netstat -tulpn | grep :22
tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN 1061/sshd
tcp 0 0 :::22

B. Installation de Heartbeat

Installation du package
On procde lInstallation du package sur les deux serveurs :
[root@NSDC01CO ~]# yum install heartbeat

Puis, relevez les noms de serveur via la commande ci-dessous :
[root@NSDC01CO ~]#uname n

Prparation des fichiers de configuration
Il sagit de crer les fichiers sur les deux serveurs de trois fichiers de configuration
suivants du service dans le dossier /etc/ha.d,

/etc/ha.d/ha.cf
bcast eth1
udpport 694
debugfile /var/log/ha-debug.log
logfile /var/log/ha-log.log
logfacility local0
keepalive 2
deadtime 10
warntime 6
initdead 60
auto_failback off
- 11 -
node nsdc01co.newstore.local
node nsdc02co
respawn hacluster /usr/lib64/heartbeat/ipfail
debug 1

/etc/services
heartbeat 694/udp # gestion heartbeat

/etc/ha.d/haresources
nsdc01co.newstore.local IPaddr::192.168.220.129/24/eth0:0

/etc/ha.d/authkeys sur les deux
auth 1
1 crc
3 md5 123456

Vrifier les droits sur le fichier, dmarrer le service et vrifier la prsence de lIP
flottante :
Modifier les droits sur le fichier authkeys
[root@NSDC01CO ~]#chmod 0600 /etc/ha.d/authkeys

Dmarrer les services Heartbeat
[root@NSDC01CO ~]#service heartbeat start

Verification de l'ip flottante
[root@NSDC01CO ~]#Ifconfig
eth0 Link encap:Ethernet HWaddr 00:0C:29:F9:02:AD
inet adr:192.168.220.128 Bcast:192.168.220.255 Masque:255.255.255.0
adr inet6: fe80::20c:29ff:fef9:2ad/64 Scope:Lien
- 12 -
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:4081 errors:0 dropped:0 overruns:0 frame:0
TX packets:5204 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 lg file transmission:1000
RX bytes:999026 (975.6 KiB) TX bytes:1269721 (1.2 MiB)

eth0:0 Link encap:Ethernet HWaddr 00:0C:29:F9:02:AD

eth1 Link encap:Ethernet HWaddr 00:0C:29:F9:02:B7
adr inet6: fe80::20c:29ff:fef9:2b7/64 Scope:Lien
RX bytes:1842471 (1.7 MiB) TX bytes:11734407 (11.1 MiB)

lo Link encap:Boucle locale
inet adr:127.0.0.1 Masque:255.0.0.0
adr inet6: ::1/128 Scope:Hte
UP LOOPBACK RUNNING MTU:16436 Metric:1
- 13 -
RX bytes:503644 (491.8 KiB)
TX bytes:503644 (491.8 KiB)

Sur le deuxime serveur l'adresse eth0:0 peut apparaitre aprs une extinction, une
erreur ou un redmarrage du premier serveur.

III. Installation de DRBD

A. Configuration de DRBD pour le cluster

Drbd nous permet de monter un disque virtuel sur un point de montage dfini. Le but
tant via le service Heartbeat que les documents partags sur ce point de
montage ne soient monts que sur le serveur qui a la priorit du cluster. Ainsi ce
partage sera toujours disponible via ladresse \\192.168.220.129\ ou via
\\Newstore.local\ .

Installation du package drbd sur le repository elrepo.org
[root@NSDC01CO ~]#rpm -ivh http://elrepo.org/elrepo-release-6-5.el6.elrepo.noarch.rpm
[root@NSDC01CO ~]#yum install -y kmod-drbd83 drbd83-utils

Charger le module dans le noyau ce centos manuellement
[root@NSDC01CO ~]#modprobe drbd

Sauvegarde du fichier de conf drbd
[root@NSDC01CO ~]#mv /etc/drbd.conf drbd.conf.sample

Relever les noms de serveur via
[root@NSDC01CO ~]#uname -n
- 14 -

On indique via le fichier Drbd.conf que lon monte une seule ressource unique pour
les deux serveurs. Cette ressource apparaitra comme une partition part entire
drbd0 . Nous utiliserons pour ce faire le disque sdb du serveur nsdc01co et
sda du serveur nsdc02co .

/etc/drbd.conf sur les deux nuds du cluster
global {
usage-count yes;
}
common {
protocol C;
syncer {
rate 9M;
}
}
resource r0{
on NSDC01CO.newstore.local {
device /dev/drbd0;
disk /dev/sdb;
address 192.168.220.128:7789;
meta-disk internal;
}
on NSDC02CO {
device /dev/drbd0;
disk /dev/sda;
address 192.168.220.130:7789;
meta-disk internal ;
}
}

Lister les disques disponibles
[root@NSDC01CO ~]#Fdisk -l

- 15 -
Mettre zro le filesystem et le mbr. (Permet de sassurer que le disque est vierge)
[root@NSDC01CO ~]#dd if=/dev/zero bs=1M count=1 of=/dev/sdb (Prend du temps)

Avant de lancer la cration, redmarrer le serveur (Sinon la synchronisation des deux
serveurs posera problme).

Crer la ressource r0
[root@NSDC01CO ~]#drbdadm create-md r0

Attacher le disque r0
[root@NSDC01CO ~]#drbdadm up r0

Vrifier par le fichier /proc/drbd l'initialisation
[root@NSDC01CO ~]#cat /proc/drbd
GIT-hash: bb447522fc9a87d0069b7e14f0234911ebdab0f7 build by phil@fat-tyre, 2014-28-02
16:40:33
0: cs:Connected st:Secondary/Secondary ds:Inconsistent/Inconsistent C r---
ns:0 nr:0 dw:0 dr:0 al:0 bm:0 lo:0 pe:0 ua:0 ap:0 resync: used:0/61 hits:0 misses:0 starving:0 dirty:0
changed:0 act_log: used:0/127 hits:0 misses:0 starving:0 dirty:0 changed:0

Refaire toutes ces tapes sur le deuxime nud du cluster

Lancement de la synchro des deux disques uniquement sur le nud principal
[root@NSDC01CO ~]#drdbadm -- --overwrite-data-of-peer primary r0

Vrifier la synchronisation (Nous lanons ci-dessous plusieurs fois la commande pour
vrifier ltat davancement de la synchronisation).
- 16 -
version: 8.0.14 (api:86/proto:86) GIT-hash: bb447522fc9a87d0069b7e14f0234911ebdab0f7 build by
phil@fat-tyre, 2014-28-02 17:15:47 0: cs:SyncSource st:Primary/Secondary ds:UpToDate/Inconsistent
C r--- ns:31808 nr:0 dw:0 dr:31808 al:0 bm:1 lo:0 pe:0 ua:0 ap:0 [>....................] sync'ed: 0.1%
(52774/52805)M finish: 42:53:23 speed: 340 (320) K/sec resync: used:0/61 hits:1986 misses:2
starving:0 dirty:0 changed:2 act_log: used:0/127 hits:0 misses:0 starving:0 dirty:0 changed:0

version: 8.0.14 (api:86/proto:86) GIT-hash: bb447522fc9a87d0069b7e14f0234911ebdab0f7 build by
phil@fat-tyre, 2014-28-02 17:26:56 0: cs:SyncSource st:Primary/Secondary ds:UpToDate/Inconsistent
C r--- ns:31808 nr:0 dw:0 dr:31808 al:0 bm:1 lo:0 pe:0 ua:0 ap:0 [..........>..........] sync'ed: 49.4%
(52774/52805)M finish: 42:53:23 speed: 340 (320) K/sec resync: used:0/61 hits:1986 misses:2
starving:0 dirty:0 changed:2 act_log: used:0/127 hits:0 misses:0 starving:0 dirty:0 changed:0

version: 8.3.16 (api:88/proto:86-97)
GIT-hash: bb447522fc9a87d0069b7e14f0234911ebdab0f7 build by phil@Build64R6, 2014-28-02
17:45:15
0: cs:Connected ro:Secondary/Primary ds:UpToDate/UpToDate C r-----
ns:4 nr:68 dw:76 dr:693 al:1 bm:2 lo:0 pe:0 ua:0 ap:0 ep:1 wo:f oos:0

Revenir la configuration courante :
[root@NSDC01CO ~]#drdbadm adjust r0

Toujours sur le premier nud de cluster formater la partition :
[root@NSDC01CO ~]#mkfs.ext3 /dev/drdb0

Crer un dossier qui servira de point de montage au disque (ici /u01) :
[root@NSDC01CO ~]#mkdir /u01

- 17 -
Edition de haresources pour que heartbeat initialise lui-mme le disque. Si drbd se
lance au dmarrage du serveur et non pas avec heartbeat, nous risquons de tomber
sur ltat split brain chaque dmarrage, cet tat est dfini ci-dessous.

/etc/ha.d/haresources sur les deux noeuds
nsdc01co.newstore.local IPaddr::192.168.220.129/24/eth0:0 drbddisk::r0
Filesystem::/dev/drbd0::/u01::ext3 sernet-Samba-ad

Redmarrer ensuite les deux serveurs
[root@NSDC01CO ~]#df -h
Filesystem Size Used Avail Use% Mounted on
/dev/mapper/vg_dhcppc12-lv_root 19G 1,6G 16G 9% /
tmpfs 246M 0 246M 0% /dev/shm
/dev/sda1 485M 55M 405M 12% /boot
/dev/drbd0 7,9G 147M 7,4G 2% /u01

B. Commandes de dpannage

Ci-dessous, quelques commandes afin de sassurer le fonctionnement de drbd aprs
une erreur ventuelle du cluster.

Pour grer le split-brain : situation qui lance les deux disques en mme temps d
un heartbeat qui ne reconnait plus le maitre :
Ci-dessous drbd en secondaire (secondary r0)
[root@NSDC01CO ~]#drbdadm secondary r0
[root@NSDC01CO ~]#drbdadm -- --discard-my-data connect r0

Sur l'autre du coup en prioritaire
[root@NSDC01CO ~]#drbdadm connect r0

- 18 -
IV. Mise en place de Samba

A. Mise en place du contrleur de domaine
1. Cration du domaine
Pour mettre en place lActive Directory sous Samba nous utiliserons les packages
de Sernet. Au pralable il faut crer un compte sur le site de lentreprise. Ce compte
va nous permettre dobtenir un nom dutilisateur ainsi quun mot de passe unique
crypt, ces informations nous permettent de nous connecter au dpt Sernet ci-
dessous pour rcuprer les packages dinstallation.

Cration d'un compte sur le site https://portal.enterprisesamba.com/
Rcupration de accesskey ici encadr en bleue

Validation des cls

Edition des repository plus rcupration des packages via rpm
[root@NSDC01CO ~]# cd /etc/yum.repos.d/
- 19 -
[root@NSDC01CO ~]#wget
https://nomducompte:mdpcrypter@download.sernet.de/packages/Samba/4.1/centos/6/sernet-
Samba-4.1.repo
[root@NSDC01CO ~]#cd
[root@NSDC01CO ~]#wget http://ftp.sernet.de/pub/sernet-build-key-1.1-4.noarch.rpm
[root@NSDC01CO ~]#rpm -i sernet-build-key-1.1-4.noarch.rpm

Installation des packages
[root@NSDC01CO ~]#yum install -y sernet-Samba sernet-Samba-ad sernet-Samba-client

Une fois Samba install, nous lanons la cration du domaine.
[root@NSDC01CO ~]# Samba-tool domain provision --use-rfc2307 --interactive --function-
level=2008_R2 --interactive --use-ntvfs

Realm [NEWSTORE.LOCAL]: newstore.local
Domain [Newstore]: newstore
Server Role (dc, member, standalone) [dc]: dc
DNS backend (SAMBA_INTERNAL, BIND9_FLATFILE, BIND9_DLZ, NONE) [SAMBA_INTERNAL]:
BIND9_DLZ
Administrator password:
Retype password:
Looking up IPv4 addresses
Looking up IPv6 addresses
No IPv6 address will be assigned
Setting up share.ldb
Setting up secrets.ldb
Setting up the registry
- 20 -
Setting up the privileges database
Setting up idmap db
Setting up SAM db
Setting up sam.ldb partitions and settings
Setting up sam.ldb rootDSE
Pre-loading the Samba 4 and AD schema
Adding DomainDN: DC=newstore,DC=local
Adding configuration container
Setting up sam.ldb schema
Setting up sam.ldb configuration data
Setting up display specifiers
Modifying display specifiers
Adding users container
Modifying users container
Adding computers container
Modifying computers container
Setting up sam.ldb data
Setting up well known security principals
Setting up sam.ldb users and groups
Setting up self join
Adding DNS accounts
Creating CN=MicrosoftDNS,CN=System,DC=newstore,DC=local
Creating DomainDnsZones and ForestDnsZones partitions
Populating DomainDnsZones and ForestDnsZones partitions
See /var/lib/Samba/private/named.conf for an example configuration include file for BIND
and /var/lib/Samba/private/named.txt for further documentation required for secure DNS updates
- 21 -
Setting up sam.ldb rootDSE marking as synchronized
Fixing provision GUIDs
A Kerberos configuration suitable for Samba 4 has been generated at
/var/lib/Samba/private/krb5.conf
Setting up fake yp server settings
Once the above files are installed, your Samba4 server will be ready to use
Server Role: active directory domain controller
Hostname: NSDC01CO
NetBIOS Domain: NEWSTORE
DNS Domain: newstore.local
DOMAIN SID: S-1-5-21-1901998396-3635385806-2983142877

2. Gestion des DNS

Le domaine cr, nous configurons pour commencer le service DNS du domaine.
Edition du fichier named.conf qui nous permet de spcifier sur quel port notre DNS
va couter. Nous ne prenons pas en charge lipv6 (Options linsten-on-ipv6) et allow
query nous permet de limiter laffectation sur le rseau 192.168.220.0/24 uniquement.

On dclare la cl publique rcuprer dans le packages via loption tkey gpassi
keytab . Reste dclarer deux zones :
Named.ca -> par dfaut
0.0.127-in-addr.arpa -> Fichier crer
Pour conclure on prcise linclude du named.conf rcupr avec le package
sernet-Samba
[root@NSDC01CO ~]#vi /etc/named.conf

/etc/named.conf
//
- 22 -
// named.conf
//
// Provided by Red Hat bind package to configure the ISC BIND named(8) DNS
// server as a caching only nameserver (as a localhost DNS resolver only).
//
// See /usr/share/doc/bind*/sample/ for example named configuration files.
//

options {
listen-on port 53 { 192.168.220.128; };
Forwarders {192.168.220.128;};
listen-on-v6 port 53 { ::1; };
directory "/var/named";
dump-file "/var/named/data/cache_dump.db";
statistics-file "/var/named/data/named_stats.txt";
memstatistics-file "/var/named/data/named_mem_stats.txt";
allow-query { 192.168.220.0/24;};
recursion yes;

dnssec-enable yes;
dnssec-validation yes;
dnssec-lookaside auto;

/* Path to ISC DLV key */
bindkeys-file "/etc/named.iscdlv.key";

managed-keys-directory "/var/named/dynamic";

tkey-gssapi-keytab "/var/lib/Samba/private/dns.keytab";
};

logging {
channel default_debug {
file "data/named.run";
severity dynamic;
};
};

zone "." IN {
type hint;
file "named.ca";
- 23 -
};

zone "0.0.127.in-addr.arpa" IN {
type master;
file "named.localhost";
};

include "/etc/named.rfc1912.zones";
include "/etc/named.root.key";
include "/var/lib/Samba/private/named.conf";

Edition du named (loption -4) permet de limiter la zone uniquement de lipv4 :
/etc/sysconfig/named
OPTIONS="-4"

Fichier named.ca par dfaut aucune modification na t apporte ce fichier
/var/named/Named.ca
; <<>> DiG 9.5.0b2 <<>> +bufsize=1200 +norec NS . @a.root-servers.net
;; global options: printcmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 34420
;; flags: qr aa; QUERY: 1, ANSWER: 13, AUTHORITY: 0, ADDITIONAL: 20

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;. IN NS

;; ANSWER SECTION:
. 518400 IN NS M.ROOT-SERVERS.NET.
. 518400 IN NS A.ROOT-SERVERS.NET.
. 518400 IN NS B.ROOT-SERVERS.NET.
. 518400 IN NS C.ROOT-SERVERS.NET.
. 518400 IN NS D.ROOT-SERVERS.NET.
. 518400 IN NS E.ROOT-SERVERS.NET.
. 518400 IN NS F.ROOT-SERVERS.NET.
- 24 -
. 518400 IN NS G.ROOT-SERVERS.NET.
. 518400 IN NS H.ROOT-SERVERS.NET.
. 518400 IN NS I.ROOT-SERVERS.NET.
. 518400 IN NS J.ROOT-SERVERS.NET.
. 518400 IN NS K.ROOT-SERVERS.NET.
. 518400 IN NS L.ROOT-SERVERS.NET.

;; ADDITIONAL SECTION:
A.ROOT-SERVERS.NET. 3600000 IN A 198.41.0.4
A.ROOT-SERVERS.NET. 3600000 IN AAAA 2001:503:ba3e::2:30
B.ROOT-SERVERS.NET. 3600000 IN A 192.228.79.201
C.ROOT-SERVERS.NET. 3600000 IN A 192.33.4.12
D.ROOT-SERVERS.NET. 3600000 IN A 128.8.10.90
E.ROOT-SERVERS.NET. 3600000 IN A 192.203.230.10
F.ROOT-SERVERS.NET. 3600000 IN A 192.5.5.241
F.ROOT-SERVERS.NET. 3600000 IN AAAA 2001:500:2f::f
G.ROOT-SERVERS.NET. 3600000 IN A 192.112.36.4
H.ROOT-SERVERS.NET. 3600000 IN A 128.63.2.53
H.ROOT-SERVERS.NET. 3600000 IN AAAA 2001:500:1::803f:235
I.ROOT-SERVERS.NET. 3600000 IN A 192.36.148.17
J.ROOT-SERVERS.NET. 3600000 IN A 192.58.128.30
J.ROOT-SERVERS.NET. 3600000 IN AAAA 2001:503:c27::2:30
K.ROOT-SERVERS.NET. 3600000 IN A 193.0.14.129
K.ROOT-SERVERS.NET. 3600000 IN AAAA 2001:7fd::1
L.ROOT-SERVERS.NET. 3600000 IN A 199.7.83.42
M.ROOT-SERVERS.NET. 3600000 IN A 202.12.27.33
M.ROOT-SERVERS.NET. 3600000 IN AAAA 2001:dc3::35

;; Query time: 147 msec
;; SERVER: 198.41.0.4#53(198.41.0.4)
;; WHEN: Mon Feb 18 13:29:18 2008
;; MSG SIZE rcvd: 615

Cration du named.localhost pour la zone 0.0.127.in-addr.arpa
/var/named/Named.localhost
$TTL 1D
@ IN SOA @ rname.invalid. (
0 ; serial
1D ; refresh
- 25 -
1H ; retry
1W ; expire
3H ) ; minimum
NS @
A 127.0.0.1
AAAA ::1

Modification du fichier host
/etc/HOST
127.0.0.1 localhost localhost.localdomain localhost4 localhost4.localdomain4
::1 localhost localhost.localdomain localhost6 localhost6.localdomain6
192.168.220.128 NSDC01CO.newstore.local

Modification du fichier resolv.conf
/etc/resolv.conf
; generated by /sbin/dhclient-script
nameserver 192.168.220.128
Domain newstore.local
NSDC01CO.Newstore.local

Modifier les permissions pour
[root@NSDC01CO ~]#chgrp named /var/lib/Samba/private/named.conf
[root@NSDC01CO ~]#chgrp named /var/lib/Samba/private
[root@NSDC01CO ~]#chown named:named /var/lib/Samba/private/dns
[root@NSDC01CO ~]#chown named:named /var/lib/Samba/private/dns.keytab
[root@NSDC01CO ~]#chmod 775 /var/lib/Samba/private/dns

3. Configuration supplmentaire

- 26 -
Nous avions pralablement dsactiv le SElinux pour pouvoir utiliser Kerberos, qui est
la mthode dauthentification utilise par dfaut avec lActive Directory de
Microsoft.

Copie du fichier original de Kerberos, puis copie du fichier de config Kerberos de
sernet dans /etc. (Nous utiliserons celui-ci par dfaut)
[root@NSDC01CO ~]# mv /etc/krb5.conf /etc/krb5.conf.original
[root@NSDC01CO ~]# cp /var/lib/Samba/private/krb5.conf /etc/krb5.conf

/etc/krb5.conf
[libdefaults]
default_realm = newstore.local
dns_lookup_realm = false
dns_lookup_kdc = true

Cration du serveur de temps. Le serveur nsdc02co et les clients se connecteront
sur le serveur principal pour mettre jour lhorodatage. Sans cette synchro, lActive
Directory ne rpondra pas correctement, lors de lintgration dun client au domaine
par exemple.
/etc/NTP.conf
driftfile /etc/ntp.drift
restrict 127.0.0.1
restrict 192.168.220.0 mask 255.255.255.0 nomodify notrap
restrict 172.10.1.0 mask 255.255.255.0 nomodify notrap
server 127.127.1.0 # local clock
fudge 127.127.1.0 stratum 4
broadcastdelay 0.008

Dclaration du dmarrage de Samba comme tant un Active Directory principal :
/etc/default/sernet-Samba-ad
# SAMBA_START_MODE defines how Samba should be started. Valid options are one of
# "none" to not enable it at all,
- 27 -
# "classic" to use the classic smbd/nmbd/winbind daemons
# "ad" to use the Active Directory server (which starts the smbd on its own)
# (Be aware that you also need to enable the services/init scripts that
# automatically start up the desired daemons.)
SAMBA_START_MODE="ad"

Mise jour du pare-feu. Ce fichier ci-dessous rsume toute la configuration ncessaire
la maquette, il comprend galement les ouvertures de port pour heartbeat et drbd.

/etc/sysconfig/IPTABLES
# Generated by iptables-save v1.4.7 on Wed Feb 26 11:47:48 2014
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [1081:778839]
-A INPUT -p udp -m udp --dport 53 -m comment --comment "DNS" -j ACCEPT
-A INPUT -p tcp -m tcp --dport 53 -m comment --comment "DNS" -j ACCEPT
-A INPUT -p udp -m udp --dport 123 -m comment --comment "NTP" -j ACCEPT
-A INPUT -p udp -m udp --dport 135 -m comment --comment "RPC UDP" -j ACCEPT
-A INPUT -p tcp -m tcp --dport 135 -m comment --comment "RPC UDP" -j ACCEPT
-A INPUT -p udp -m udp --dport 138 -m comment --comment "NetBIOS Netlogon and Browsing"
-j ACCEPT
-A INPUT -p udp -m udp --dport 389 -m comment --comment "LDAP UDP" -j ACCEPT
-A INPUT -p udp -m udp --dport 1024 -m comment --comment "kdm" -j ACCEPT
-A INPUT -p tcp -m tcp --dport 1024 -m comment --comment "kdm" -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 88 -m comment --comment "Kerberos" -j
ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 464 -m comment --comment "Kerberos
Password Management" -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 139 -m comment --comment "NetBIOS
Session" -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 445 -m comment --comment "SMB CIFS" -j
ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 389 -m comment --comment "LDAP TCP" -j
ACCEPT
- 28 -
-A INPUT -p tcp -m state --state NEW -m tcp --dport 636 -m comment --comment "LDAP SSL" -j
ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 3268 -m comment --comment "LDAP Global
Catalog" -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 3269 -m comment --comment "LDAP Global
Catalog SSL" -j ACCEPT
-A INPUT -p tcp -m tcp --dport 7789 -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT

Affectation des ports via le fichier services. L galement la configuration ci-dessous
englobe tous les ports de la maquette
/etc/services
EPMAP 135/upd
EPMAP 135/tcp # RPC UDP
kdm 1024/udp
kdm 1024/tcp

4. Lancement et vrification des services

Vrifier les synchro ntp
[root@NSDC01CO ~]#Ntpq -p

Dmarrer les services
[root@NSDC01CO ~]#service named restart
[root@NSDC01CO ~]#service sernet-Samba-ad restart
[root@NSDC01CO ~]#service iptables restart
[root@NSDC01CO ~]#service ntp restart
- 29 -

Tester les dns
[root@NSDC01CO ~]#host -t A NSDC01CO.newstore.local
[root@NSDC01CO ~]#host -t srv _ldap._tcp.NSDC01CO.newstore.local
[root@NSDC01CO ~]#host -t srv _Kerberos._tcp.NSDC01CO.newstore.local
[root@NSDC01CO ~]#Nslookup 192.168.220.128
[root@NSDC01CO ~]#Nslookup 192.168.220.130
[root@NSDC01CO ~]#Nslookup nsdc01co.newstore.local
[root@NSDC01CO ~]#Nslookup nsdc02co.newstore.local

Vrifier les logs
[root@NSDC01CO ~]#tail -f /var/log/messages | grep named
[root@NSDC01CO ~]#tail -f /var/log/Samba/log.Sambatail
[root@NSDC01CO ~]#rndc-confgen -a -r /dev/urandom

Activer les services au dmarrage
[root@NSDC01CO ~]#chkconfig --levels 235 named on
[root@NSDC01CO ~]#chkconfig --levels 235 sernet-Samba-ad on
[root@NSDC01CO ~]#chkconfig ntpd on

B. Rplication du contrleur de domaine

1. Configuration de base

Fichier de configuration du deuxime contrleur de domaine
DEVICE="eth0"
- 30 -
HWADDR="00:0C:29:00:5A:AD"
ONBOOT="yes"
NM_CONTROLLED="yes"
BOOTPROTO="static"
TYPE="Ethernet"
UUID="feaf0efd-67ad-435a-823a-a261973ab17a"
DOMAIN=NSDC02CO.newstore.local
IPV6INIT=no
NETMASK=255.255.255.0
IPADDR=192.168.220.130
GATEWAY=192.168.220.128
DNS1=192.168.220.128
DNS2=192.168.220.130

DEVICE="eth1"
HWADDR="00:0C:29:00:5A:B7"
ONBOOT="yes"
NM_CONTROLLED="yes"
BOOTPROTO="static"
TYPE="Ethernet"
IPADDR="172.10.1.3"
NETMASK="255.255.255.0"

Synchro ntp du serveur + tche au dmarrage
[root@NSDC02CO ~]#ntpdate -dv nsdc01co.newstore.local
[root@NSDC02CO ~]#/etc/rc.d/rc.local /usr/sbin/ntpdate nsdc01co.newstore.local

Copies des fichiers de configuration de nsdc01co vers le deuxime contrleur
[root@NSDC02CO ~]# scp 192.168.220.128:/etc/krb5.conf /etc
[root@NSDC02CO ~]# scp 192.168.220.128:/etc/resolv.conf /etc
[root@NSDC02CO ~]# scp 192.168.220.128:/etc/sysconfig/iptables /etc/sysconfig
[root@NSDC02CO ~]# scp 192.168.220.128:/etc/yum.repos.d/sernet-Samba-4.1.repo
/etc/yum.repos.d/
- 31 -

Pour configurer la synchronisation de lheure de vos serveurs Windows sur un serveur
NTP de votre choix, voici les commandes excuter :
net stop w32time
w32tm /config /syncfromflags:manual /manualpeerlist:"ntp.oma.be"
w32tm /config /reliable:yes
net start w32time

Vous pouvez vrifier le statut via la commande
w32tm /query /status

2. Intgration de Samba

[root@NSDC02CO ~]#cd
[root@NSDC02CO ~]#wget http://ftp.sernet.de/pub/sernet-build-key-1.1-4.noarch.rpm
[root@NSDC02CO ~]#rpm -i sernet-build-key-1.1-4.noarch.rpm

Installation des packages
[root@NSDC02CO ~]#yum install -y sernet-Samba sernet-Samba-ad sernet-Samba-client

Vrification de Kerberos
[root@NSDC02CO ~]#kinit administrator

Intgration du serveur comme serveur secondaire
[root@NSDC02CO ~]#Samba-tool domain join newstore.local DC -Uadministrator --
realm=newstore.local
Finding a writeable DC for domain 'newstore.local'
Found DC nsdc01co.newstore.local
- 32 -
Password for [WORKGROUP\administrator]:
workgroup is NEWSTORE
realm is newstore.local
checking sAMAccountName
Adding CN=NSDC02CO,OU=Domain Controllers,DC=newstore,DC=local
Adding CN=NSDC02CO,CN=Servers,CN=Default-First-Site-
Name,CN=Sites,CN=Configuration,DC=newstore,DC=local
Adding CN=NTDS Settings,CN=NSDC02CO,CN=Servers,CN=Default-First-Site-
Name,CN=Sites,CN=Configuration,DC=newstore,DC=local
Adding SPNs to CN=NSDC02CO,OU=Domain Controllers,DC=newstore,DC=local
Setting account password for NSDC02CO$
Enabling account
Calling bare provision
More than one IPv4 address found. Using 172.10.1.3
No IPv6 address will be assigned
Provision OK for domain DN DC=newstore,DC=local
Starting replication
Schema-DN[CN=Schema,CN=Configuration,DC=newstore,DC=local] objects[402/1550]
linked_values[0/0]
linked_values[0/0]
linked_values[0/0]
linked_values[0/0]
Analyze and apply schema objects
Partition[CN=Configuration,DC=newstore,DC=local] objects[402/1630] linked_values[0/0]
- 33 -
Replicating critical objects from the base DN of the domain
Partition[DC=newstore,DC=local] objects[98/98] linked_values[23/0]
Partition[DC=newstore,DC=local] objects[379/281] linked_values[23/0]
Done with always replicated NC (base, config, schema)
Replicating DC=DomainDnsZones,DC=newstore,DC=local
Partition[DC=DomainDnsZones,DC=newstore,DC=local] objects[40/40] linked_values[0/0]
Replicating DC=ForestDnsZones,DC=newstore,DC=local
Partition[DC=ForestDnsZones,DC=newstore,DC=local] objects[18/18] linked_values[0/0]
Partition[DC=ForestDnsZones,DC=newstore,DC=local] objects[36/18] linked_values[0/0]
Committing SAM database
Sending DsReplicateUpdateRefs for all the replicated partitions
Setting isSynchronized and dsServiceName
Setting up secrets database
Joined domain NEWSTORE (SID S-1-5-21-1901998396-3635385806-2983142877) as a DC

3. Edition du rplicat

/etc/default/sernet-Samba-ad
# SAMBA_START_MODE defines how Samba should be started. Valid options are one of
# "none" to not enable it at all,
# "classic" to use the classic smbd/nmbd/winbind daemons
# "ad" to use the Active Directory server (which starts the smbd on its own)
# (Be aware that you also need to enable the services/init scripts that
# automatically start up the desired daemons.)
SAMBA_START_MODE="ad"

- 34 -
/etc/Samba/smb.conf
# Global parameters
[global]
workgroup = NEWSTORE
realm = newstore.local
netbios name = nsdc02co
server role = active directory domain controller
server services = rpc, nbt, wrepl, ldap, cldap, kdc, drepl, winbind, ntp_signd, kcc, dnsupdate,
smb
dcerpc endpoint servers = epmapper, wkssvc, rpcecho, samr, netlogon, lsarpc, spoolss, drsuapi,
dssetup, unixinfo, browser, eventlog6, backupkey, dnsserver, winreg, srvsvc
idmap_ldb:use rfc2307 = yes

[netlogon]
path = /var/lib/Samba/sysvol/example.local/scripts
read only = No

[sysvol]
path = /var/lib/Samba/sysvol
read only = No

V. Intgration dun client et test de fonctionnement

Pour tester les fonctionnalits de Samba, nous avons install deux clients Windows
(Version 7 et 8). Nayant constat aucune diffrence drastique dans la configuration
les screenshots et les exemples sont tirs uniquement de la version Windows 8.
Aprs intgration du client au domaine, il reste installer Les outils dadministration
de serveur distant pour Windows 8 (http://www.microsoft.com/fr-
fr/download/details.aspx?id=28972) ces derniers nous permettrons de contrler
distance le service de lActive Directory.

- 35 -

A. Vrification des Services

1. DNS

Une fois ladmin pack install, nous allons directement grer les DNS. Il reste une
zone inverse intgrer, et vrifier galement que toutes les entres sont correctes.

A effectuer :
Cration de la zone inverse : 220.168.192.in-addr.arpa
Cration des enregistrements hte A nsdc01co et nsdc02co sur ladresse
192.168.220.129

2. Active directory

Pour vrifier que lActive Directory rpond bien nous pouvons lancer loutil utilisateur
et ordinateur active directory .
- 36 -

Premier constat lunit dorganisation Domain Controller doit contenir le deux
serveurs NSDC01CO et NSDC02CO

Lunit dorganisation Computers doit galement comporter les ordinateurs clients en
loccurrence au minima lordinateur sous Windows 8.

Pour aller plus loin sur les tests de lActive Directory, on peut vrifier que la rplication
entre les deux DC fonctionnement correctement. Un test simple consiste crer une
OU sur un contrleur puis de couper celui-ci pour vrifier le rplicat sur ce dernier.

Si ces derniers ne se rpliquent pas, le service Site et services Active Directory
permet de rpliquer les donnes manuellement sur lun ou lautre contrleur.

- 37 -

Par ailleurs via la commande suivante, nous pouvons vrifier la synchronisation des
rles FSMO de lActive Directory ou Maitres dopration :
[root@NSDC02CO ~]#Samba-tool fsmo show

Pour transfrer les rles dun contrleur lautre
[root@NSDC01CO ~]# Samba-tool fsmo seize role=ALL

B. Cration dune GPO

Pour tester lenvironnement complet de travail, nous allons dployer des
personnalisations de profils par GPO. Ici ces options sont dploys sur la GPO
Domain Policy mais dans un environnement de production il videment prfrable
de dployer ces options via des GPO spcifiques.

Pour forcer les stratgies redescendre directement sur le poste, nous lanons aprs
chaque dploiement la commande Gupdate /force suivie ensuite dun redmarrage
ou ventuellement de la fermeture de session de lutilisateur concern.

Via loutil Gestion des stratgies de groupe nous configurons nos gpo.
- 38 -
Ci-dessous un mappage de lecteur rseau sur le partage \\192.168.220.129\Commun
Nous utilisons ici lip flottante afin que le lecteur soit toujours disponible mme en
cas de panne dun serveur, la rplication des donnes tant assur par DRDB.

Ci-dessous nous constatons que le lecteur rseau et correctement mont dans
lexplorateur du client (Encadrer en bleu). Le deuxime explorateur montrait les
documents disponibles sur le partage du lecteur Z : (Encadrer en rouge)

- 39 -
Ci-dessous une deuxime stratgie qui consiste dlocaliser les documents de
lutilisateur sur le serveur. Afin que larborescence soit facile maintenir pour
ladministrateur sous le partage \\192.168.220.129\Users un dossier sera cr pour
chaque utilisateur.

Aprs dploiement de la stratgie, on valide le dploiement.

- 40 -

- 41 -
Webographie :

Sur DRBD :
http://www.drbd.org/
http://www.silverlake.fr/index.php?post/2011/05/25/Cluster-%C3%A0-deux-noeuds-
%C3%A0-basculement-Seconde-partie
http://www.silverlake.fr/index.php?post/2011/05/28/Test-avec-SAMBA

Sur Heartbeat :
http://www.linux-ha.org/wiki/Heartbeat
http://www.silverlake.fr/index.php?post/2011/05/25/Cluster-%C3%A0-deux-noeuds-
%C3%A0-basculement

Sur Samba :
https://www.Samba.org/
http://folgaizer.wordpress.com/2013/12/12/Samba4-on-centos-6-4/
http://folgaizer.wordpress.com/2013/12/19/add-additional-domain-controller-with-
Samba4/
http://opentodo.net/2013/01/Samba4-as-ad-domain-controller-on-centos-6/

- 42 -

Index

ARP
(Address Resolution Protocol), - 7 -

Centos
Centos est une distribution
GNU/Linux principalement destine
aux serveurs linux, - 5 -

cluster
En rseau et systme, un cluster est
une grappe de serveurs (ou ferme
de calcul ) constitue de deux
serveurs au minimum (appels aussi
nuds) et partageant une baie de
disques commune, - 12 -

Failover
Failover est la capacit d'un
quipement basculer
automatiquement vers un rseau
alternatif ou en veille., - 7 -
GCC
Ensemble de compilateurs crs par
le projet GNU. GCC est un logiciel
libre capable de compiler divers
langages de programmation, - 8 -

Kerberos
Kerberos est un protocole
d'authentification rseau qui repose
sur un mcanisme de cls secrtes,
- 8 -

LDAP
LDAP est le protocole d'annuaire sur
TCP/IP., - 4 -

Ssh
Secure Shell (SSH) est la fois un
programme informatique et un
protocole de communication
scuris, - 8 -

Projet Linux Celine-Foucaud Laurent-Urrutia PDF

Uploaded by

Document Information

Original Title

Copyright

Available Formats

Share this document

Share or Embed Document

Sharing Options

Did you find this document useful?

Is this content inappropriate?

Copyright:

Available Formats

Projet Linux Celine-Foucaud Laurent-Urrutia PDF

Uploaded by

Copyright:

Available Formats

Sommaire : Le contexte

You might also like