Reverse proxy ActiveSync pour Serveur Microsoft Exchange - Historique des versions

Cacheln : /* Robot d’analyse des logs */

2024-07-14T09:13:40Z

Robot d’analyse des logs

← Version précédente		Version du 14 juillet 2024 à 11:13
Ligne 694 :		Ligne 694 :

	exit 0		exit 0


	* '''Autoriser''' l’exécution du script :		* '''Autoriser''' l’exécution du script :

Cacheln : /* Configuration de Postfix */

2024-07-14T09:13:14Z

Configuration de Postfix

← Version précédente		Version du 14 juillet 2024 à 11:13
Ligne 615 :		Ligne 615 :

	{{ Box Console \| objet=root@SRVPROXY:~# service postfix restart }}		{{ Box Console \| objet=root@SRVPROXY:~# service postfix restart }}

			== Robot d’analyse des logs ==

			Le robot inspecte les journaux d’'''activité du service Apache2''' à la recherche des erreurs suivantes :
			* '''Error ''(20)'' :''' Tentative de connexion avec un '''certificat non valide'''.
			* '''Error ''(23)'' :''' Tentative de connexion avec un '''certificat révoqué'''.
			* '''Error ''(10)'' :''' Tentative de connexion avec un '''certificat expiré'''.
			* '''Erreur 403 :''' Tentative de connexion avec un terminal dont le DeviceID n’est pas autorisé.

			{\| class="wikitable"
			\|-
			! Emplacement(s) :
			\| '''/root/Scripts/Log''' – emplacement des scripts d’analyse.
			\|-
			! Fichier(s) :
			\| '''daily_extract.sh''' – robot d’analyse des logs d’Apache2.<br />'''activite.log''' – rapport d’activité journalier transmis par courriel.
			\|}

			* Création du '''répertoire d’extraction''' et de '''stockage''' des logs :

			{{ Box Console \| objet=root@SRVPROXY:~# mkdir /root/Scripts/Log }}

			* Créer le fichier '''/root/Scripts/Log/daily_extract.sh''' et y insérer les lignes suivantes :

			#!/bin/bash

			#########################################################################
			# PARAMETRES DU SCRIPTS
			# À adapter selon votre environnement
			#
			#########################################################################

			# Par défaut, le nom de machine du serveur proxy est SRVPROXY.
			# Si vous changez ce nom de machine, pensez à le changer dans
			# l'objet du mail (variable MAIL_OBJET).

			# Adresse mail où seront envoyés les rapports
			MAIL_DESTINATAIRE="administrateur@ncad.fr"

			# Objet du mail
			MAIL_OBJET="Rapport d'activité Apache2 pour SRVPROXY"

			#!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
			# Ne pas modifier ce qui suit après
			# FIN PARAMETRES DU SCRIPT
			#!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

			cd /root/Scripts/Log
			echo "%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%" > activite.log
			echo "% RAPPORT D'ACTIVITE " >> activite.log
			echo "% Proxy ActiveSync Microsoft Exchange " >> activite.log
			echo "%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%%" >> activite.log
			echo "" >> activite.log
			echo "> Rapport du $(date)" >> activite.log
			echo "" >> activite.log
			echo "Connexion de terminaux non autorisés" >> activite.log
			echo "========================================" >> activite.log
			echo "" >> activite.log
			cat "/var/log/apache2/other_vhosts_access.log.1" \| grep " 403 " >> activite.log
			echo "" >> activite.log
			echo "Certificat invalide" >> activite.log
			echo "========================================" >> activite.log
			echo "" >> activite.log
			cat "/var/log/apache2/other_vhosts_access.log" \| grep "Error (20)" >> activite.log
			echo "" >> activite.log
			echo "Certificat révoqué" >> activite.log
			echo "========================================" >> activite.log
			echo "" >> activite.log
			cat "/var/log/apache2/other_vhosts_access.log" \| grep "Error (23): certificate revoked" >> activite.log
			echo "" >> activite.log
			echo "Certificat expiré" >> activite.log
			echo "========================================" >> activite.log
			echo "" >> activite.log
			cat "/var/log/apache2/other_vhosts_access.log" \| grep "Error (10): certificate has expired" >> activite.log
			echo "" >> activite.log

			echo \| mutt -s "$MAIL_OBJET" -i /root/Scripts/Log/activite.log $MAIL_DESTINATAIRE

			exit 0


			* '''Autoriser''' l’exécution du script :

			{{ Box Console \| objet=root@SRVPROXY:~# chmod +x /root/Scripts/Log/daily_extract.sh }}

			* Pour '''planifier''' l’exécution du script, éditer '''crontab''' :

			{{ Box Console \| objet=root@SRVPROXY:~# crontab -e }}

			* Puis, insérer la ligne suivante dans le fichier :

			0 0 * * * /root/Scripts/Log/daily_extract.sh > /dev/null

	[[Category:Microsoft Exchange]]		[[Category:Microsoft Exchange]]

Cacheln : /* Configuration supervision SNMP */

2024-07-14T08:51:51Z

Configuration supervision SNMP

← Version précédente		Version du 14 juillet 2024 à 10:51
Ligne 554 :		Ligne 554 :

	{{ Box Console \| objet=root@SRVPROXY:~# service snmpd restart }}		{{ Box Console \| objet=root@SRVPROXY:~# service snmpd restart }}

			== Configuration de Postfix ==

			Le service '''Postfix''' est un service de '''messagerie électronique'''. Il sera déployé ici pour permettre au '''Reverse Proxy''' d’envoyer des '''notifications''' par courriel.

			* Installation des paquets '''postfix''' et '''mutt''' :

			{{ Box Console \| objet=root@SRVPROXY:~# apt-get install postfix mutt }}

			* Lancement de l’utilitaire de configuration du paquet '''Postfix''' :

			{{ Box Console \| objet=root@SRVPROXY:~# dpkg-reconfigure postfix }}

			* Comme '''Configuration type du serveur de messagerie''', choisir l’option '''Site Internet''' puis tabuler sur '''OK''' et taper sur '''Entrée''' :<br />[[Image:POSTFIX_INSTALL_INTERNET_REVERSEPROXY_STEP1.png]]

			* Comme valeur pour '''Nom de courrier''', saisir le domaine '''mail.ncad.fr''' puis tabuler sur '''OK''' et taper sur '''Entrée''' :<br />[[Image:POSTFIX_INSTALL_INTERNET_REVERSEPROXY_STEP2.png]]

			* Comme '''Destinataire des courriels de “root” et “postmaster”''' indiquer l’adresse mail '''noc@ncad.fr''' puis tabuler sur '''OK''' et taper sur '''Entrée''' :<br />[[Image:POSTFIX_INSTALL_INTERNET_REVERSEPROXY_STEP3.png]]

			* Comme '''Autres destinations pour lesquelles le courrier sera accepté''' conserver les paramètres par défaut puis tabuler sur '''OK''' et taper sur '''Entrée''' :<br />[[Image:POSTFIX_INSTALL_INTERNET_REVERSEPROXY_STEP4.png]]

			* Pour la question '''Faut-il forcer des mises à jour synchronisées de la file d’attente des courriels''' sélectionner comme réponse '''Oui''' puis tabuler sur '''OK''' et taper sur '''Entrée''' :<br />[[Image:POSTFIX_INSTALL_INTERNET_REVERSEPROXY_STEP5.png]]

			* Comme liste des '''Réseaux internet''' conserver la valeur par défaut puis tabuler sur '''OK''' et taper sur '''Entrée''' :<br />[[Image:POSTFIX_INSTALL_INTERNET_REVERSEPROXY_STEP6.png]]

			* Comme '''Taille maximale des boîtes aux lettres''', conserver la valeur par défaut puis tabuler sur '''OK''' et taper sur '''Entrée''' :<br />[[Image:POSTFIX_INSTALL_INTERNET_REVERSEPROXY_STEP7.png]]

			* Comme '''Caractère d’extension des adresses locales''', conserver la valeur par défaut puis tabuler sur '''OK''' et taper sur '''Entrée''' :<br />[[Image:POSTFIX_INSTALL_INTERNET_REVERSEPROXY_STEP8.png]]

			* Parmi la liste des '''Protocoles internet à utiliser''', choisir la valeur '''ipv4''' puis tabuler sur '''OK''' et taper sur '''Entrée''' :<br />[[Image:POSTFIX_INSTALL_INTERNET_REVERSEPROXY_STEP9.png]]

			* Editer le fichier '''/etc/aliases''' puis après la ligne :

			postmaster: root

			:: Ajouter la ligne suivante :

			root: noc@ncad.fr

			* Editer le fichier '''/etc/postfix/main.cf''' puis ajouter à la fin :

			local_header_rewrite_clients = static :all
			recipient_canonical_maps = hash:/etc/postfix/recipient_canonical
			sender_canonical_maps = hash:/etc/postfix/sender_canonical

			* Editer le fichier '''/etc/postfix/recipient_canonical''' puis ajouter à la fin :

			root noc@ncad.fr

			* Editer le fichier '''/etc/postfix/sender_canonical''' puis ajouter à la fin :

			root SRVPROXY@mail.ncad.fr

			* Procéder à la '''mise à jour''' des tables de correspondances de '''Postfix''' à partir des fichiers de configuration renseignés :

			{{ Box Console \| objet=root@SRVPROXY:~# postmap /etc/postfix/sender_canonical<br />
			root@SRVPROXY:~# postmap /etc/postfix/recipient_canonical }}

			* '''Redémarrer''' le service '''Postfix''' pour l’application des paramètres :

			{{ Box Console \| objet=root@SRVPROXY:~# service postfix restart }}

	[[Category:Microsoft Exchange]]		[[Category:Microsoft Exchange]]

Cacheln : /* Désactivation de IPv6 */

2024-07-14T08:36:19Z

Désactivation de IPv6

← Version précédente		Version du 14 juillet 2024 à 10:36
Ligne 489 :		Ligne 489 :

	{{ Box Console \| objet=root@SRVPROXY:~# reboot }}		{{ Box Console \| objet=root@SRVPROXY:~# reboot }}

			== Configuration réseau ==

			{{ Box Information \| objet=Jusqu'à présent, l'équipement est configuré sur le réseau locale ''(192.168.1.0/24)''. Pour son déploiement définif, il faut lui paramétrer une adresse IP publique. }}

			* Editer le fichier de configuration '''/etc/network/interfaces''' puis '''ajouter/adapter''' les éléments suivants :

			iface enXXXX inet static
			address <IP_PUBLIQUE_IPV4>
			gateway <GW_PUBLIQUE_IPV4>

			Ces éléments correspondent à la configuration de l’'''adressage publique''' de l’équipement lorsqu’il est déployé en '''environnement de production'''.

			* Editer le fichier de configuration '''/etc/network/interfaces''' puis '''ajouter/adapter''' les éléments suivants :

			auto enXXXX:1
			iface enpXXXX:1 inet static
			address 192.168.1.10/24

			Ces éléments correspondent à la configuration de l’'''adressage privée''' de l’équipement lorsqu’il est déployé en '''environnement de test''' sur le réseau d’administration.

			* Remplacer la configuration du fichier '''/etc/resolv.conf''' par :

			search ncad.fr
			nameserver 8.8.8.8

			* Pour appliquer la configuration, il est nécessaire de '''redémarrer''' le service réseau.

			{{ Box Console \| objet=root@SRVPROXY:~# /etc/init.d/networking restart }}

			== Configuration supervision SNMP ==

			* Installation du paquet '''snmpd'''.

			{{ Box Console \| objet=root@SRVPROXY:~# apt-get install snmpd }}

			* Depuis le fichier de configuration '''/etc/snmp/snmpd.conf''', rechercher la ligne :

			sysLocation
			sysContact

			* Puis, remplacer son contenu par :

			sysLocation PARIS,DC5
			sysContact webmaster@domaine.tld

			* Rechercher la ligne :

			agentaddress 127.0.0.1,[::1]

			* Puis, remplacer son contenu par :

			agentaddress <IP_PUBLIQUE_IPV4>

			* Rechercher la ligne :

			rocommunity public default –V systemonly

			* Puis, remplacer son contenu par :

			rocommunity public default

			* Redémarrer le service '''snmp''' pour appliquer les changements.

			{{ Box Console \| objet=root@SRVPROXY:~# service snmpd restart }}

	[[Category:Microsoft Exchange]]		[[Category:Microsoft Exchange]]

Cacheln : /* Configuration ip6tables sur la couche IPv6 */

2024-07-14T08:28:55Z

Configuration ip6tables sur la couche IPv6

← Version précédente		Version du 14 juillet 2024 à 10:28
Ligne 479 :		Ligne 479 :

	{{ Box Console \| objet=root@SRVPROXY:~# dpkg-reconfigure iptables-persistent }}		{{ Box Console \| objet=root@SRVPROXY:~# dpkg-reconfigure iptables-persistent }}

			== Désactivation de IPv6 ==

			* Editer le fichier '''/etc/sysctl.conf''' puis ajouter la ligne suivante à la fin :

			net.ipv6.conf.all.disable_ipv6 = 1

			* Un '''redémarrage''' de l’équipement est nécessaire :

			{{ Box Console \| objet=root@SRVPROXY:~# reboot }}

	[[Category:Microsoft Exchange]]		[[Category:Microsoft Exchange]]

Cacheln : /* Matrice des flux autorisés */

2024-07-14T08:27:27Z

Matrice des flux autorisés

@@ Ligne 447 : / Ligne 447 : @@
 | * || tcp || 443 || Accès ActiveSync.
 |}
 [[Category:Microsoft Exchange]]

Cacheln : /* Filtrage par le Device ID */

2024-07-14T08:20:27Z

Filtrage par le Device ID

← Version précédente		Version du 14 juillet 2024 à 10:20
Ligne 421 :		Ligne 421 :

	* En cas d’erreur, vérifier les logs enregistrés dans '''/var/log/syslog''' ainsi que ceux d’'''Apache2''' situés dans '''/var/log/apache2/'''.		* En cas d’erreur, vérifier les logs enregistrés dans '''/var/log/syslog''' ainsi que ceux d’'''Apache2''' situés dans '''/var/log/apache2/'''.

			== Paramétrage du pare-feu ==

			=== Matrice des flux autorisés ===

			Par défaut, les flux non listés ci-dessous ne sont pas autorisés sur l’équipement.

			{\| class="wikitable" style="margin:auto"
			\|+ Matrice de flux
			\|-
			! Source !! Protocole(s) !! Port(s) !! Description
			\|-
			\| 192.168.1.0/24 \|\| tcp \|\| 22 \|\| Accès SSH, SFTP depuis le LAN.
			\|-
			\| <IP_PUBLIQUE_IPV4> \|\| tcp \|\| 22 \|\| Accès SSH, SFTP depuis le WAN.
			\|-
			\| 192.168.1.0/24 \|\| udp \|\| 161,162 \|\| Supervision SNMP depuis le LAN.
			\|-
			\| <IP_PUBLIQUE_IPV4> \|\| udp \|\| 161,162 \|\| Supervision SNMP depuis le WAN.
			\|-
			\| 192.168.1.0/24 \|\| icmp \|\| — \|\| Requête ping depuis le LAN.
			\|-
			\| <IP_PUBLIQUE_IPV4> \|\| icmp \|\| — \|\| Requête ping depuis le WAN.
			\|-
			\| * \|\| tcp \|\| 443 \|\| Accès ActiveSync.
			\|}

	[[Category:Microsoft Exchange]]		[[Category:Microsoft Exchange]]

Cacheln : /* Authentification par certificat */

2024-07-14T08:15:10Z

Authentification par certificat

@@ Ligne 369 : / Ligne 369 : @@
 * En cas d’erreur, vérifier les logs enregistrés dans '''/var/log/syslog''' ainsi que ceux d’Apache2 situés dans '''/var/log/apache2/'''.
 ** Vérifier l’existance du fichier '''/etc/ssl/private/crl.pem'''. Si ce dernier n’a pas été généré, reportez vous au chapitre [[:Reverse_proxy_ActiveSync_pour_Serveur_Microsoft_Exchange#Intégration_de_l’AC_au_système_d’exploitation | Intégration de l’AC au système d’exploitation]] section [[:Reverse_proxy_ActiveSync_pour_Serveur_Microsoft_Exchange#Révocation_d’un_certificat | Révocation Certificat ]].
 [[Category:Microsoft Exchange]]

Cacheln : /* Authentification par certificat */

2024-07-14T08:10:22Z

Authentification par certificat

← Version précédente		Version du 14 juillet 2024 à 10:10
Ligne 362 :		Ligne 362 :
	</Location>		</Location>
	</VirtualHost>		</VirtualHost>


	* Pour appliquer les paramètres, '''redémarrer''' le service.		* Pour appliquer les paramètres, '''redémarrer''' le service.
Ligne 369 :		Ligne 368 :

	* En cas d’erreur, vérifier les logs enregistrés dans '''/var/log/syslog''' ainsi que ceux d’Apache2 situés dans '''/var/log/apache2/'''.		* En cas d’erreur, vérifier les logs enregistrés dans '''/var/log/syslog''' ainsi que ceux d’Apache2 situés dans '''/var/log/apache2/'''.
	** Vérifier l’existance du fichier '''/etc/ssl/private/crl.pem'''. Si ce dernier n’a pas été généré, reportez vous au chapitre ~~VII~~ Intégration de l’AC au système d’exploitation section Révocation Certificat ~~paragraphe 2~~.		** Vérifier l’existance du fichier '''/etc/ssl/private/crl.pem'''. Si ce dernier n’a pas été généré, reportez vous au chapitre [[:Reverse_proxy_ActiveSync_pour_Serveur_Microsoft_Exchange#Intégration_de_l’AC_au_système_d’exploitation \| Intégration de l’AC au système d’exploitation]] section [[:Reverse_proxy_ActiveSync_pour_Serveur_Microsoft_Exchange#Révocation_d’un_certificat \| Révocation Certificat ]].

	[[Category:Microsoft Exchange]]		[[Category:Microsoft Exchange]]

Cacheln : /* Création du vhost ActiveSync.ncad.fr */

2024-07-14T08:08:02Z

Création du vhost ActiveSync.ncad.fr

← Version précédente		Version du 14 juillet 2024 à 10:08
Ligne 318 :		Ligne 318 :

	* En cas d’erreur, vérifier les logs enregistrés dans '''/var/log/syslog''' ainsi que ceux d’'''Apache2''' situés dans '''/var/log/apache2/'''.		* En cas d’erreur, vérifier les logs enregistrés dans '''/var/log/syslog''' ainsi que ceux d’'''Apache2''' situés dans '''/var/log/apache2/'''.

			=== Authentification par certificat ===

			* Copie du '''certificat de l’AC''' dans le répertoire d’exploitation '''/etc/ssl/certs''' :

			{{ Box Console \| objet=root@SRVPROXY:~# cp /home/SRVPROXY/easy-rsa/pki/ca.crt /etc/ssl/certs }}

			* Modifier la configuration du fichier '''/etc/apache2/sites-available/activesync.ncad.fr.conf''' et y ajouter les éléments en <span style="color:red">rouge</span> :

			ProxyRequests Off
			RewriteEngine on
			SSLProxyEngine on
			SSLProxyVerify none
			SSLProxyCheckPeerCN off
			SSLProxyCheckPeerName off
			SSLProxyCheckPeerExpire off

			<VirtualHost *:443>
			ServerAdmin noc@ncad.fr
			ServerName mail.ncad.fr
			Redirect "/" "http://www.wiki.ncad"
			ProxyPreserveHost On
			ProxyVia Full
			RequestHeader edit Transfer-Encoding Chunked chunked early
			RequestHeader unset Accept-Encoding
			CheckSpelling On
			TimeOut 1800

			SSLCertificateFile /etc/ssl/private/activesync.ncad.fr.crt
			SSLCertificateKeyFile /etc/ssl/private/activesync.ncad.fr.key
			<span style="color:red">SSLCACertificateFile /etc/ssl/certs/ca.crt

			SSLOptions +StdEnvVars
			SSLVerifyClient require
			SSLVerifyDepth 10
			SSLCARevocationFile /etc/ssl/private/crl.pem
			SSLCARevocationCheck chain</span>

			<Location /Microsoft-Server-ActiveSync>
			ProxyPass https://firewall.ncad.fr:44300/Microsoft-Server-ActiveSync
			ProxyPassReverse https://firewall.ncad.fr:44300/Microsoft-Server-ActiveSync
			SSLRequireSSL
			</Location>
			</VirtualHost>


			* Pour appliquer les paramètres, '''redémarrer''' le service.

			{{ Box Console \| objet=root@SRVPROXY:~# service apache2 restart }}

			* En cas d’erreur, vérifier les logs enregistrés dans '''/var/log/syslog''' ainsi que ceux d’Apache2 situés dans '''/var/log/apache2/'''.
			** Vérifier l’existance du fichier '''/etc/ssl/private/crl.pem'''. Si ce dernier n’a pas été généré, reportez vous au chapitre VII Intégration de l’AC au système d’exploitation section Révocation Certificat paragraphe 2.

	[[Category:Microsoft Exchange]]		[[Category:Microsoft Exchange]]

Reverse proxy ActiveSync pour Serveur Microsoft Exchange - Historique des versions

Cacheln : /* Robot d’analyse des logs */

Cacheln : /* Configuration de Postfix */

Cacheln : /* Configuration supervision SNMP */

Cacheln : /* Désactivation de IPv6 */

Cacheln : /* Configuration ip6tables sur la couche IPv6 */

Cacheln : /* Matrice des flux autorisés */

Cacheln : /* Filtrage par le Device ID */

Cacheln : /* Authentification par certificat */

Cacheln : /* Authentification par certificat */

Cacheln : /* Création du vhost ActiveSync.ncad.fr */

Cacheln : /* Robot d’analyse des logs */

Cacheln : /* Configuration de Postfix */

Cacheln : /* Configuration supervision SNMP */

Cacheln : /* Désactivation de IPv6 */

Cacheln : /* Configuration ip6tables sur la couche IPv6 */

Cacheln : /* Matrice des flux autorisés */

Cacheln : /* Filtrage par le Device ID */

Cacheln : /* Authentification par certificat */

Cacheln : /* Authentification par certificat */

Cacheln : /* Création du vhost ActiveSync.ncad.fr */