Topic: 2 serveurs sous la même IP ?

[egareg]

Bonjour,

Petite présentation du problème :
- j'ai 1 serveur Free-EOS (mais SME, ce serait pareil) qui est configuré en serveur et passerelle. Il est donc accessible depuis le net.
- je viens de monter un second serveur (SME, qui à terme remplacera le premier) ; il est configuré en serveur uniquement.

J'aimerais avoir accès au second serveur depuis le net.

Config réseau :

== BOX == Free-EOS == switch == SME

Adresses ip Free-EOS : 192.168.1.2 pour l'interface externe (vers la box qui est en 192.168.1.1) et 192.168.2.1 pour l'interface interne
Adresse ip SME : 192.168.2.2 (1 seule carte réseau pour l'instant)

Dans la config Free-EOS, j'ai créé un hôte sme.mondomaine.com et je voudrais rediriger vers mon serveur SME.
Je pensais que c'était possible en le déclarant comme local et en donnant son adresse ip (ici 192.168.2.2). Mais pas possible d'y accéder... Depuis le net, j'arrive uniquement sur mon premier serveur Free-EOS.

Par contre, en me connectant en SSH sur le premier serveur, je peux me connecter ensuite sur le second. Mais le server-manager depuis la console, c'est pas très sexy ! 

Des idées ? Une erreur dans ma config ?

[Xavier.A]

Bonjour,

Alors d'abord ton premier serveur il va falloir en dire plus :

1) Derrière une Box, c'est à dire, en DMZ ou juste avec le minimum de ports ouverts?
2) ensuite tu veux ouvrir l'accès à quels services sur ta SME? HTTP, SMTP, XMPP, SIP...etc?

Sans trop en savoir sur ta configuration réelle tu as déjà plusieurs possibilité :
1) Le renvoi de port
2) Le proxy reverse pour permettre l'accès à un site web sur ta sme

Voilà...A+

[stephdl]

Salut les français :p.... bien content de vous voir là!
effectivement le parametrage va se passer sur le premier serveur et/ou sur la box qui est en premier....pas sur la sme.

[Xavier.A]

Salut

Oui on est toujours là ... mais c'est vrai qu'il fallait se décider à passer en mode acteur plutôt qu'observateur

C'est un "post" de février qui m'a bien fait réfléchir.

A+

[stephdl]

c'est cool de voir la linuxphere prosperer!

[egareg]

Me revoilà après un week-end bien occupé...

Pour plus de précision sur ma config, le premier serveur est en DMZ derrière la box.
Je souhaiterais ouvrir les services habituels SME : y héberger des sites accessibles depuis l'extérieur, y accéder en SSH et FTP...

Je souhaiterais, autant que possible, éviter la redirection de ports : cela m'obligerait à paramétrer des ports non standards pour les accès sur mon SME afin de les différencier du Free-EOS.

L'idée est bien de monter un serveur SME totalement opérationnel pour qu'il prenne la suite du Free-EOS. Pour cela, je dois basculer tous les sites et applis web que j'héberge sur Free-EOS. Je souhaite faire la bascule progressivement et donc que mes deux serveurs soient visibles de l'extérieur avec des ports standards.
Dès que le serveur SME est bon, je débranche le Free-EOS et le SME passe en passerelle + serveur.

Free-EOS étant dérivé de SME, le paramétrage sera quasiment identique.

Je vais regarder le proxy reverse. Merci pour la piste.

[stephdl]

Quel sont les services hébergé par free-os....car si ce sont que des mails, cela peut aller tres vite avec imapsync
Maintenant je crois qu'il te faut enlever la configuration serveur passerelle de ta free-os pour natter au plus juste les services accessibles de l’extérieur vers le serveur que tu décides d'utiliser.
Exemple les mail pour la sme et le web pour free-os.
en effet tu ne peux pas avoir une dmz (ce qui implique d'ouvrir tous les accès vers une ip) et natter d'autres port vers une autre ip.

Avec le matériel que j'ai en ma possession  ce n'est pas possible.

si tu fais cela tu seras en possibilité d'ouvrir tes services au monde extérieur des qu'ils seront passés sur SME8

[egareg]

Aïe... ma réponse est passée à la trappe...

Pour la refaire en plus court :
Services hébergés par Free-EOS : mail + applis web (PHP, MySQL). Les mails ne posent pas de problème car j'ai peu d'utilisateurs et je peux me permettre une soirée de coupure si je préviens à l'avance.
Les sites hébergés sont généralement sous DotClear pour les blogs (3 hébergés), CMSMS pour les sites (5 hébergés) plus 1 WebCalendar et 1 galerie photo et 2-3 applis persos (php + MySQL).

Dans mon idée initiale, je souhaitais faire une install propre de chaque type de logiciel (DotClear, CMSMS, WebCalendar...) sur SME et tester le fonctionnement depuis internet. Une fois que tout était OK, basculer site par site, catégorie par catégorie de Free-EOS vers SME.
Cela veut donc dire garder les mêmes services disponibles sur les deux serveurs.

Si j'enlève la config serveur + passerelle sur Free-EOS, je dois la mettre en place sur SME et le résultat est le même je pense, non ?

Enlever la DMZ pour faire du NAT, cela m'oblige à utiliser des ports non standards sur l'un des serveurs (8080 au lieu de 80 par exemple) et je préférerais éviter de le faire.

J'ai trouvé cette doc sur le reverse proxy : http://www.schirrms.net/sme/SMEApacheReverseProxy.php?phpLang=fr#site_relay et je vais essayer de le mettre en place sur Free-EOS. Je vous tiens au courant car cela semble convenir à mon besoin.

[Xavier.A]

Salut,
J'ai un peu de temps alors je vais développer une réponse plus longue, si ça peut te servir à avancer

La doc de schirrms.net est encore valable et je m'en suis servie il y a longtemps maintenant pour relier un apache et un tomcat fonctionnant sur deux SME. On peut tout faire avec le proxy reverse (HTTP, HTTPS, AJP, CGI, WSGI, etc....)

Tu peux tout te farcir à la main si tu veux apprendre à maitriser le proxy reverse  sur SME mais il y a une contrib bien pratique de nos amis de firewall service :
   

• https://wikit.firewall-services.com/doku.php?id=tuto:ipasserelle:web:proxypass_avance

sinon il y a la doc du wiki :
 

•   http://wiki.contribs.org/SME_Server:Documentation:ProxyPass

La bonne méthode reste toujours de créer les template-custom quand on doit tout faire à la main ou quand il n'y a pas de contrib pour le faire
Je ne connais que de nom Free-EOS qui me semble une distribution (un fork de SME) relativement ancienne, je vais donc plutôt te proposer des exemples tirés de mes notes d'administration concernant SME8.

Un exemple avec la contrib de FWS si tu peux l'installer sur Free-EOS:
un vtiger tourne sur SME2 mais c'est SME1 qui est ta passerelle;

alors en SSH sur ta SME1 (en root ou en sudo ):

Code: [Select]

yum --enablerepo=fws install smeserver-webapps-common
puis

Code: [Select]

db domains set crm.$(db configuration get DomainName) domain Content Primary Description 'VtigerCRM' Nameservers internet ProxyPassTarget https://sme2.domain.tld/vtigercrm/ TemplatePath WebAppVirtualHost AllowHosts local RequireSSL yes
Le SSL entre SME1 et SME2 n'est pas forcément nécessaire c'est à toi de voir, en revanche je privilégie le "fqdn" plutôt que l'ip dans ce cas pour éviter les problèmes de certificats.
De plus le paramètre "AllowHosts" est important pour définir les droits d'accès à SME2 mais peut être omis si l'accès est autoriser à tous!

Code: [Select]

signal-event domain-create crm.$(db configuration get DomainName)
ou si c'est une modification

Code: [Select]

signal-event domain-modify crm.$(db configuration get DomainName)
et enfin pour voir le résultat

Code: [Select]

db domains show crm.$(db configuration get DomainName)

Code: [Select]

signal-event webapps-update
En général, je relance apache et je teste le résultat.

Code: [Select]

/etc/init.d/httpd reload
Tout n'est pas forcément documenté pour cette contrib sur le site FWS, il va falloir regarder dans /etc/e-smith/templates/etc/httpd/conf/httpd.conf/WebAppVirtualHost les options possibles dans les fragments de template :

Code: [Select]

ls -l /etc/e-smith/templates/etc/httpd/conf/httpd.conf/WebAppVirtualHost
ou faire une recherche sur le wiki avec le terme "LemonLDAP" car FWS a developpé cette contrib pour leur solution de SSO basé sur LemonLDAP::NG.
   

• https://wikit.firewall-services.com/doku.php?id=tuto:webapps:llng:start
• http://wiki.contribs.org/index.php?title=Special%3ASearch&profile=default&search=LemonLDAP&fulltext=Search

Maintenant un deuxième exemple pour le fun puisque tu fais tourner du dotclear pour les blogs.
Le proxy reverse ça peut aussi servir sur le même serveur pour notamment sécuriser à moindre cout une installation multi-blogs de dotclear :
Sur ta future SME1, tu a installé dans /opt ou dans /home/httpd/html/blogs un dotclear en suivant la documentation officielle, tu as donc
   

• /home/httpd/html/blogs/blog1
• /home/httpd/html/blogs/blog2
• /home/httpd/html/blogs/dotclear

Tu vas créer trois domaines mais seulement les deux premiers seront accessibles de l'extérieur alors que dotclear.domain.tld ne sera accessible qu'en local
Il te faut avant tout avoir créer les template-custom pour permettre à apache d'accèder aux dossiers avec les bons droits sur les fichiers (voir la doc sur le wiki) sans les relier à des alias !

Code: [Select]

mkdir -p /etc/e-smith/templates-custom/etc/httpd/conf/httpd.conf

Code: [Select]

cd /etc/e-smith/templates-custom/etc/httpd/conf/httpd.conf

Code: [Select]

nano 90e-smithAccess20dotclear_blogtu y colles par exemple mais tu peux y mettre ce qui te convient mais pas d'alias :

Code: [Select]

# ------------------------------------------------
# Blogs avec Dotclear
# ------------------------------------------------
<Directory /home/httpd/html/blogs>
Options  FollowSymLinks
AddType application/x-httpd-php .php .php3 .phtml
AddType application/x-httpd-php-source .phps
AllowOverride All
order deny,allow
deny from all
allow from all
php_flag  magic_quotes_gpc  off
php_flag  magic_quotes_runtime off
php_admin_value eaccelerator.enable 1
php_admin_value open_basedir /home/httpd/html/blogs:/home/httpd/tmp
</Directory>
# ------------------------------------------------
# Fin des Blogs
# ------------------------------------------------

puis tu crées les domaines pour les blogs:

Code: [Select]

db domains set blog1.$(db configuration get DomainName) domain Content Primary Description 'Blog1' Nameservers internet DocumentRoot /home/httpd/html/blogs/blog1 TemplatePath WebAppVirtualHost
signal-event domain-create blog1.$(db configuration get DomainName)
signal-event webapps-update
db domains show blog1.$(db configuration get DomainName)
Tu le fais autant de fois que nécessaire puis tu crées le domaine pour l'administration des blogs :

Code: [Select]

db domains set dotclear.$(db configuration get DomainName) domain Content Primary Description 'Admin Blogs' Nameservers internet DocumentRoot /home/httpd/html/blogs/dotclear/admin TemplatePath WebAppVirtualHost AllowHosts local RequireSSL yes
signal-event domain-create dotclear.$(db configuration get DomainName)
signal-event webapps-update
db domains show dotclear.$(db configuration get DomainName)
Pour finir d'optimiser ton installation de dotclear, il te faut créer des liens symboliques pour tous tes blogs :

Code: [Select]

ln -s /home/httpd/html/blogs/blog1/themes /home/httpd/html/blogs/dotclear/themes
ln -s /home/httpd/html/blogs/blog1/public /home/httpd/html/blogs/dotclear/public
maintenant les blogs vont tous pouvoir utiliser les mêmes thèmes, les mêmes plug-ins...etc et tu vas gagner en espace disque

Pour aujourd'hui je crois que ça va suffir, mais si tu as besoin d'exemple de template-custom fait main alors fais nous signe.

Je n'ai pas traité des problèmes de sécurité liés au proxy reverse parce que ne sachant pas ton niveau de connaissance je suppose que tu sais sécuriser, superviser, sauvegarder et auditer un serveur linux.

Enfin, une opinion en toute humilité :
sur le forum d'ixus (http://forums.ixus.net/viewtopic.php?f=19&t=32603) il a été présenté différentes manières de placer une SME derriere une box. Pour avoir essayer toutes les configurations, il me semble préférable de ne pas mettre une SME en DMZ, non pas qu'elle ne puisse pas tenir son rang mais vu le cycle de développement (ce n'est pas une critique contre les dev) fatalement la SME a tendance à présenter des failles.
Quelques exemples :

• Les kernel stables en sont à la version 3.9.x (https://www.kernel.org/), les versions 3.0.x sont parfaitement fonctionnels sur el5(il faut patcher un peu SME8, voir le site ELrepo)
• Iptables en est à la version 1.4.18 (http://netfilter.org/), cette version est tout à fait fonctionnelle sur SME8 après compilation et correction du script "masq" qui présente quelques erreurs de conception
  
• xtables-addons 1.47.1 nécessite une version récente du kernel et d'iptables pour permettre d'exploiter tarpit ou bien même geoip

Mes SME8 en production ne sont plus que des lointaines parentes de la SME8 livré sur l'ISO. Même si SME9 est sur la bonne voie, la distribution aura toujours du retard sur la correction de quelques failles de sécurité ou l'implémentation de nouvelles fonctionnalités. On peut tout faire avec SME mais il faut rester prudent et je pense qu'il vaut mieux, quand on peut, disposer d'une passerelle SME "private gateway"sur une IP et d'un serveur d'hébergement web sur une autre ip. Donc si tu peux, gardes tes deux serveurs

   

• places en un, en 192.168.1.2  pour servir de private gateway vers ton lan
• places l'autre, en 192.168.1.3 pour servir de server only vers lequel tu rediriges les ports de la box pour les services (80, 443, 25, SSH mais pas 22, etc...)
• un fail2ban bien paramétré avec les regex qui vont bien pour SSH, HTTP et SMTP
• voire un portsentry 1.2beta pour ralentir les scan de port
• xt_geoip pour limiter les accès à tes serveurs en fonction de l'origine de l'IP
• tarpit pour ralentir les pénibles
• enfin du cache (Memcached) et un optimiseur php (eAccelerator)

Cette manière de faire est plus contraignante mais assure selon moi une meilleure sécurité, la possibilité de mieux répartir la charge et surtout d'éteindre la passerelle pendant les vacances
A+

Xavier

[egareg]

Ouah ! Ca c'est de la réponse !! Il va falloir que je digère tout ça et que je comprenne le fonctionnement avant de m'attaquer à la console.

Effectivement, le reverse proxy correspond à mes besoins. A partir de la doc de schirrms.net, j'ai pu rendre accessible mes ibays pour les sites de test. Il n'y a que l'accès au server-manager qui me pose problème, mais c'est un moindre mal.

La configuration actuelle n'est pas censée perdurer. Mon serveur Free-EOS devient vieux et instable et je ne pense pas l'utiliser comme deuxième serveur (ou peut-être comme serveur de test uniquement, accessible de l'intranet seulement).
Comme Free-EOS est basé sur SME v5 ou v6, je préfère ne pas lui rajouter de contribs : en rajoutant des templates-custom à la main, je sais ce que je fais et je peux revenir rapidement en arrière.

Par contre, l'astuce de mutualiser l'install des blogs me plaît pas mal. Je vais essayer de mettre ça en place (peut-être en ouvrant un autre post).

[Xavier.A]

La configuration du server-manager est spéciale, le manager de la SME n'est pas accessible sur le port 80 il beneficie d'un proxy reverse en local !
Sur ta SME, tapes dans la console

Code: [Select]

cat /etc/httpd/conf/httpd.conf | grep server-manager
tu obtiens :

Code: [Select]

    RewriteRule ^/server-manager(/.*|$)    https://%{HTTP_HOST}/server-manager$1 [L,R]
    <Location /server-manager>
    ProxyPass /server-manager http://127.0.0.1:980/server-manager
    ProxyPassReverse /server-manager http://127.0.0.1:980/server-manager
    <Location /server-manager>
<Location /server-manager/cgi-bin/backup>
là tu découvres que le manager est en fait accessible sur le port 980 mais son URL est redirigé en SSL et donc accessible seulement  sur le port 443

Maintenant je me demande pourquoi tu veux joindre le server-manager à travers ton Free-EOS au risque de créer une faille de sécurité majeure 
Un attaquant pourrait prendre le contrôle complet de ton serveur grâce à l'accès au server-manager !
La seule solution valable c'est soit openvpn mais je ne sais pas si Free-EOS le permet ou alors passer par SSH pour atteindre le server-manager à travers ton Free-EOS :

Tu vas devoir créer un tunnel SSH vers le port HTTPS de ta SME8:

Code: [Select]

ssh -L port_local:ip_distant:port_distant user@ip_distant -p port_ssh
donc :

Code: [Select]

ssh -L 9443:192.168.2.2:443 toto@192.168.2.2 -p 922 ou

Code: [Select]

ssh -L 9443:192.168.1.2:443 toto@192.168.1.2 -p 922 ou

Code: [Select]

ssh -L 9443:ip_box:443 toto@ip_box -p 922
explication :

• 9443 : le port local qui va te permettre de joindre ton serveur dans le navigateur
• 192.168.2.2: l'IP de ton serveur SME8 ou l'ip de ton Free-EOS ou bien ton IP publique
• 443: le port HTTPS du serveur SM8
• toto: ton user distant (surtout pas root)
• 922: le port SSH de ton serveur SME8 qui doit être joignable à travers ton Free-EOS en DMZ

et dans ton navigateur WEB tu vas sur la page https://localhost:9443/server-manager

Si la connexion est trop lente tu peux activer la compression avec l'option -C de SSH :

Code: [Select]

ssh -C -L 9443:192.168.2.2:443 toto@192.168.2.2 -p 922
Dis moi si ça marche et surtout l'adresse doit toujours être https://localhost:9443/pages_du_serveur .

/!\ Blindes ton serveur SSH ( pas de connexion root possible, pas de connexion par mot de passe mais seulement avec certificat, changes le port SSH, ne permets que l'accès local)!

Je viens tardivement de me rendre compte que je pré-suppose que tu réalises toutes tes tâches d'administration sous linux, si ce n'est pas le cas alors tu dois pouvoir utiliser Putty sous MS Windows mais là je n'ai pas testé la solution 

A+
Xavier

PS: pour tes futures posts, fais toujours un copier de ton post dans le navigateur [ctrl]+[a] puis [ctrl]+[c] et coller [ctrl]+[v] dans un éditeur pour conserver temporairement ton post en cas de plantage du forum 

[egareg]

L'accès au server-manager m'est utile pour paramétrer SME et continuer ma migration quand je suis en vacances dans la famille ou la belle-famille, par exemple.
Ce n'est donc pas le point le plus important et SME est plus convivial que Free-EOS à ce niveau (server-manager dans la console).

Juste pour le fun, je vais tenter ta manip de créer un tunnel SSH et je le ferai sous W$ pour tester avec Putty (j'utilise indépendamment W$ ou linux pour l'administration des serveurs, ça dépend du PC que j'ai sous la main).

[stephdl]

La seule solution valable c'est soit openvpn mais je ne sais pas si Free-EOS le permet ou alors passer par SSH pour atteindre le server-manager à travers ton Free-EOS :

Tu vas devoir créer un tunnel SSH vers le port HTTPS de ta SME8:

Code: [Select]

ssh -L port_local:ip_distant:port_distant user@ip_distant -p port_ssh
donc :

Code: [Select]

ssh -L 9443:192.168.2.2:443 toto@192.168.2.2 -p 922 ou

Code: [Select]

ssh -L 9443:192.168.1.2:443 toto@192.168.1.2 -p 922 ou

Code: [Select]

ssh -L 9443:ip_box:443 toto@ip_box -p 922
explication :

• 9443 : le port local qui va te permettre de joindre ton serveur dans le navigateur
• 192.168.2.2: l'IP de ton serveur SME8 ou l'ip de ton Free-EOS ou bien ton IP publique
• 443: le port HTTPS du serveur SM8
• toto: ton user distant (surtout pas root)
• 922: le port SSH de ton serveur SME8 qui doit être joignable à travers ton Free-EOS en DMZ

et dans ton navigateur WEB tu vas sur la page https://localhost:9443/server-manager

Si la connexion est trop lente tu peux activer la compression avec l'option -C de SSH :

Code: [Select]

ssh -C -L 9443:192.168.2.2:443 toto@192.168.2.2 -p 922

ClapClap
direct le wiki...merci bien pour cette astuce que je connaissais pour administrer avec des ports 443 standard mais pas là....

voila ce que j'avais écris  http://wiki.contribs.org/Useful_Commands#Access_to_the_server-manager_through_SSH
et moi je me sert de cela

Do this in a root terminal of your Linux computer outside of your network

ssh -L 443:localhost:443 root@your-static-external-network-IP-or-host.dyndsn.org

host.dyndsn.org could be a free service as dyndns.org or noip.com

Keep the terminal open, Then you need to use this specific URL in your WEB Browser to go to the server-manager

https://localhost/server-manager

du coup je suis curieux qu'entre le port local et le port distant tu utilises l'ip distante et non localhost...tu peux confirmer que cela marche comme cela je le mettrai dans le wiki pour la posterité.
ssh -L 9443:192.168.2.2:443 toto@192.168.2.2 -p 922

Remarque si tu souhaites le mettre toi même feel free

[stephdl]

et ne pas oublier de le rajouter là
http://wiki.contribs.org/SME_Server:Documentation:FAQ:Section01#Server-Manager

en fait la page useful-command je m'en sert pour marquer toutes les commandes que je découvre au fur et à mesure de mes pérégrination...bien que je ne sois pas l'auteur originel

[Xavier.A]

Salut stephdl,

Pour le wiki, je te laisse faire sinon ça marche avec tous types de ports mais il faut tester et re-tester.

En fait le soucis d'utiliser en local le 443 c'est qu'il faut les droits root locaux pour utiliser les ports privilégiés (ports < 1024) mais ta solution reste valable si le user local est root (/!\ attention aux problèmes de sécurité)

Xavier