Another Home Page Blog - Tag - Linux

Utilisateurs virtuels sous CentOS 5 avec base de données MySQL

Nils — Fri, 20 Jun 2008 10:30:00 +0200

convert_to_centos5_fr.sh --url howtoforge.com

Depuis quelques temps j'essayais sans succès de faire des utilisateurs virtuels avec Vsftpd, mon logiciel de serveur ftp favori, sous CentOS 5. Alors oui, la db au format Berkeley, ça marche, mais je trouve ça casse-pieds à maintenir. Et puis pour changer le mot de passe, galère. J'avais vu qu'il était possible d'utiliser MySQL comme base pour les utilisateurs et leurs mots de passe. Je me met en quête d'un how-to pour CentOS, sans succès. J'adapte donc ce how-to de Howtoforge pour CentOS.

Commençons par l'installation des paquets qui vont bien. En supposant que vous ayez, comme moi, une CentOS 5 minimaliste mais à jour, ça se passe comme ceci :

root@tristram:~ # yum -y install vsftpd mysql-server

Ensuite, soit on ajoute à ses dépôts le dépôt extras en mode testing (et là je vous encourage à faire très attention, et de n'activer que les noms des paquets nécessaires), soit on installe "à la main" le paquet pam-mysql, qui permettra à vsftpd de dialoguer avec MySQL. Le RPM est disponible sur Pbone. Moi j'ai fait :

 root@tristram:~ # wget ftp://ftp.pbone.net/mirror/centos.karan.org/el5/extras/testing/i386/RPMS/pam_mysql-0.7-0.5.rc1.el5.kb.2.i386.rpm

puis :

root@tristram:~ # rpm -ivh pam_mysql-0.7-0.5.rc1.el5.kb.2.i386.rpm

Une fois les logiciels qui vont bien installés, on peut avoir envie de gérer MySQL via phpMyAdmin, pour celà je vous renvoie à un autre billet qui en parle.

Commençons par MySQL, pour respecter l'ordre originel du howto. Une fois celui-ci installé, on configure le mot de passe de root :

root@tristram:~ # service mysqld start

MySQL indique les commandes pour changer le mot de passe de root pour MySQL, en indiquant quel est le nom d'hôte MySQL de la machine (détail très important !)

root@tristram:~ # /usr/bin/mysqladmin -u root password 'changemoi'

root@tristram:~ # /usr/bin/mysqladmin -u root -h tristram.anotherhomepage.loc password 'changemoi'

(on voit donc que la machine servant à ce howto se nomme tristram.anotherhomepage.loc) Ensuite on se connecte à MySQL :

root@tristram:~ # mysql -u root -p

On crée la base de données et son utilisateur, vsftpd et mot de passe ftpdpass :

mysql> CREATE DATABASE vsftpd;
mysql> GRANT SELECT, INSERT, UPDATE, DELETE, CREATE, DROP ON vsftpd.* TO 'vsftpd'@'localhost' IDENTIFIED BY 'ftpdpass';
mysql> GRANT SELECT, INSERT, UPDATE, DELETE, CREATE, DROP ON vsftpd.* TO 'vsftpd'@'localhost.localdomain' IDENTIFIED BY 'ftpdpass';
mysql> FLUSH PRIVILEGES;

Ensuite on créé le schéma (on est toujours dans le shell de MySQL) :

mysql> USE vsftpd;
mysql> CREATE TABLE `accounts` (
`id` INT NOT NULL AUTO_INCREMENT PRIMARY KEY ,
`username` VARCHAR( 30 ) NOT NULL ,
`pass` VARCHAR( 50 ) NOT NULL ,
UNIQUE (
`username`
)
) ENGINE = MYISAM ;

Et on quitte MySQL :

mysql> quit;

On créée l'utilisateur virtuel pour accéder aux comptes ; sous CentOS 5, le groupe de l'utilisateur nobody est nobody, avec comme gid 99 (vu dans /etc/groups) :

root@tristram:~ # useradd --home /home/vsftpd --gid 99 -m --shell /sbin/nologin vsftpd

On note aussi que pour empêcher un compte d'avoir un shell, on met plutôt /sbin/nologin.

Passons à Vsftpd. Sauvegardons la configuration par défaut et ajoutons la nôtre :

root@tristram:~ # cp -p /etc/vsftpd/vsftpd.conf /etc/vsftpd/vsftpd.conf_orig
root@tristram:~ # cat /dev/null > /etc/vsftpd/vsftpd.conf
root@tristram:~ # vi /etc/vsftpd/vsftpd.conf

Le fichier vsftpd.conf est le suivant ( les options sont expliquées en anglais sur le site de vsftpd) :

listen=YES
anonymous_enable=NO
local_enable=YES
write_enable=YES
local_umask=022
dirmessage_enable=YES
xferlog_enable=YES
connect_from_port_20=YES
nopriv_user=vsftpd
chroot_local_user=YES
secure_chroot_dir=/var/run/vsftpd
pam_service_name=vsftpd
guest_enable=YES
guest_username=vsftpd
local_root=/home/vsftpd/$USER
user_sub_token=$USER
virtual_use_local_privs=YES
user_config_dir=/etc/vsftpd/user_conf

Une première différence avec celui de Howtoforge, je n'ai pas mis l'option rsa_cert_file=/etc/ssl/certs/vsftpd.pem, je verrai ça pour un autre billet. Une autre différence est l'endroit où je stocke les configurations personnalisées par utilisateur : comme il y a un répertoire /etc/vsftpd, j'ai créé un sous-répertoire user_conf :

root@tristram:~ # mkdir /etc/vsftpd/user_conf

Cette possibilité est bien entendue totalement optionnelle.

Il nous faut maintenant configurer pam, qui va permettre à vsftpd d'aller chercher les utilisateurs dans la base mysql plutôt que dans les utilisateurs système, stockés dans /etc/passwd et /etc/shadow. Comme avec Vsftpd, on sauvegarde l'ancien et on en crée un tout neuf :

root@tristram:~ # cp -p /etc/pam.d/vsftpd /etc/pam.d/vsftpd_orig
root@tristram:~ # cat /dev/null > /etc/pam.d/vsftpd
root@tristram:~ # vi /etc/pam.d/vsftpd

Le contenu de ce fichier est le suivant :

auth required pam_mysql.so user=vsftpd passwd=ftpdpass host=localhost db=vsftpd table=accounts usercolumn=username passwdcolumn=pass crypt=3
account required pam_mysql.so user=vsftpd passwd=ftpdpass host=localhost db=vsftpd table=accounts usercolumn=username passwdcolumn=pass crypt=3

La différence avec la version howtoforge est que j'ai changé l'algorithme de hash du mot de passe. Au lieu d'utiliser la fonction PASSWORD(), je vais utiliser MD5(). Je reviendrai sur ce qui a motivé ce choix après. Pour le moment, relançons Vsftpd :

root@tristram:~ # service vsftpd restart

Et maintenant, créons notre premier utilisateur dans MySQL :

root@tristram:~ # mysql -u root -p

Nous sommes dans le shell MySQL :

mysql> USE vsftpd;
mysql> INSERT INTO accounts (username, pass) VALUES('testuser', MD5('secret'));
mysql> quit;

Le répertoire de l'utilisateur testuser est /home/vsftpd/testuser, mais Vsftpd ne peut pas le créer automatiquement pour nous, faisons-le à la main, en prenant soin qu'il appartient bien à vsftpd :

root@tristram:~ # mkdir /home/vsftpd/testuser
root@tristram:~ # chown vsftpd:nobody /home/vsftpd/testuser

Connectons-nous à notre serveur FTP en utilisant Filezilla sous Windows, Konqueror ou gFTP (ou bien en ligne de commande, ftp ou lftp) sous Linux/BSD, ou encore Cyberduck sous Mac OS X. Ca marche? Parfait

Maintenant le pourquoi du comment que j'ai mis 3 au lieu de 2 et MD5 au lieu de PASSWORD : tout simplement parce que ça ne fonctionne pas sous CentOS 5. L'explication vient du fichier README de pam-mysql, dispo là : /usr/share/doc/pam_mysql-0.7/README

The method to encrypt the user's password:

0 (or "plain") = No encryption. Passwords stored in plaintext. HIGHLY DISCOURAGED.

1 (or "Y") = Use crypt(3) function.

2 (or "mysql") = Use MySQL PASSWORD() function. It is possible that the encryption function used by PAM-MySQL is different from that of the MySQL server, as PAM-MySQL uses the function defined in MySQL's C-client API instead of using PASSWORD() SQL function in the query.

3 (or "md5") = Use plain hex MD5.

4 (or "sha1") = Use plain hex SHA1.

La fonction PASSWORD de MySQL et celle de pam-mysql ne renvoient donc pas le même hash de mot de passe. Dommage, hein? J'ai aussi essayé l'option 0, mais elle ne m'intéressait pas. Je n'ai pas encore essayé la fonction crypt ni la fonction sha1 pour vérifier si elles fonctionnent, mais il n'y a pas de raison

Il ne reste à présent qu'à créer une page php ou un script shell qui permette de créer, modifier et effacer les utilisateurs.

Nouveau jouet

Nils — Wed, 18 Jun 2008 19:46:00 +0200

Un nouveau gadget électronique vient alourdir mes poches

En témoigne l'habillage d'iPhone disponible pour ce blog (si ce n'est pas le thème affiché à la lecture de ce billet, allez regarder dans le menu déroulant permettant de choisir son thème), en ce moment je m'intéresse à l'Internet mobile. Dans un premier temps résolu à attendre l'arrivée du FreeRunner du projet OpenMoko, les dysfonctionnements de mon Sony Ericsson K610i ont vite commencé à ébranler cette patience. A tel point que je pensais même acheter un HTC Touch, oui, cette immondice tournant sous Windows Mobile ! J'ai finalement craqué pour autre chose : la tablette Internet Nokia N800. Je m'amuse comme un petit fou avec ce nouveau jouet embarquant une version de Debian compilée pour son processeur ARM. Couplée à 2 grosses SD-Card de 4Go chacune, je peux y stocker quelques films de vacances, podcasts, et musiques. J'en viendrais presque à laisser tomber mon fidèle iPod Photo, pourtant équipé de 20Go d'espace disque.

Doté d'une connectique USB, Bluetooth et Wifi, cet engin est un vrai bonheur. Enfin, quand je trouve un réseau Wifi, car je ne suis pas parvenu à faire fonctionner ensemble mon téléphone mobile et le N800. Alors, si quelqu'un me dit que c'est possible avec un OpenMoko, peut-être vais-je encore taper dans mes économies pour acheter le téléphone libre? En attendant, trouver un réseau Wifi ouvert dans Paris n'est pas mission impossible quand on est près à marcher 5min...

Installation de mod_gnutls sur CentOS 5

Nils — Sat, 24 May 2008 10:30:00 +0200

petit lien à garder sous le coude au cas où

Il y a quelques jours je voulais mettre plusieurs sites Internet en HTTPS, sur le même serveur dédié. Or, ceci n'est (presque) pas possible en utilisant mod_ssl avec Apache. Toutefois, ceci est rendu possible via l'utilisation de mod_gnutls. Pour ceux qui ont CentOS 5, voici un petit lien pour l'installer facilement. je crois que mod_gnutls est aussi disponible pour Mandriva. Sinon, il reste à compiler les sources

installation de phpmyadmin sur CentOS 5

Nils — Sun, 18 May 2008 10:30:00 +0200

yum install --enablerepo=extras,rpmforge httpd php phpmyadmin php-mbstring php-mcrypt

Je voulais me monter un petit serveur MySQL et comme je suis une feignasse, j'aime utiliser phpMyAdmin. je me fais comme à mon habitude une installation minimaliste, incluant toutefois le dépôt RPMforge (dont on note la nouvelle url). J'installe donc mon bazar :

yum install httpd phpmyadmin

C'est bien la première fois que je reproche un truc à un paquet RPMforge, là ce que je reproche au paquet phpmyadmin, c'est de ne pas avoir en dépendance php, chose que je peux aussi reprocher au paquet php-mysql, ou alors j'ai pas tout compris. Allez, on installe PHP :

yum install php

D'autres trucs sont nécessaires pour phpmyadmin, php-mbstring (pas de problème, c'est dans le dépôt base), mais aussi php-mcrypt (et là, il faut activer le dépôt extras, que j'avais désactivé) :

yum install --enablerepo=extras php-mcrypt php-mbstring

Ensuite, on édite le fichier /usr/share/phpmyadmin/config.inc.php, plus exactement à la ligne 17 :

$cfg['blowfish_secret'] = ''; /* YOU MUST FILL IN THIS FOR COOKIE AUTH! */

Et on remplit la variable avec un truc bien débile :

$cfg['blowfish_secret'] = 'kikoolol'; /* YOU MUST FILL IN THIS FOR COOKIE AUTH! */

Si le serveur MySQL est sur la même machine, s'assurer qu'il est lancé et qu'on connait le mot de passe pour s'y connecter (par défaut, il n'y a pas de mot de passe pour root sur MySQL). Si le serveur est sur une autre machine, on modifie la ligne 31 :

$cfg['Servers'][$i]['host'] = 'localhost';

on remplace "localhost" par l'adresse IP ou le nom de la machine.

Mais ce n'est pas fini ! Il faut encore accéder à phpMyAdmin. Pour celà, on édite aussi le fichier /etc/httpd/conf.d/phpmyadmin.conf, la ligne 8 contient :

Allow from 127.0.0.1

On peut ajouter son adresse IP à la suite de la ligne, comme par exemple :

Allow from 127.0.0.1 192.168.1.2

ou alors, ouvrir son phpMyAdmin au monde entier, mais c'est mal !

Allow from all

On notera en fin de fichier les urls possibles pour accéder à notre logiciel, on peut même ajouter à la ligne suivante par exemple :

Alias /kikoolol/ /usr/share/phpmyadmin

On lance Apache :

service httpd start

Et éventuellement MySQL :

service mysqld start

Voilà, c'est fini, on peut accéder à phpMyAdmin grâce à l'adresse : http://nomduserveur/phpmyadmin, ou http://nomduserveur/phpMyAdmin ou http://nomduserveur/mysqladmin (voire même http://nomduserveur/kikoolol pour les comiques :))

Créer un miroir CentOS pour les updates

Nils — Sun, 23 Mar 2008 14:55:00 +0100

Et tu sync, et tu sync, et tu wget

Hier, j'ai commencé à me dire que ça serait sympa de rendre encore plus rapide mes installations de machines virtuelles CentOS 5. Donc, avant d'attaquer le trifouillage de mes kickstarts afin d'appliquer mes configurations de manière automatique, j'en suis venu à la conclusion qu'avoir le dépôt des mises à jour en local serait plus rapide que de devoir tout récupérer sur Internet.

Donc, il me faut me synchroniser avec un miroir. Comme je suis chez Free, j'ai voulu utiliser leur miroir. Oui mais, ce n'est qu'un miroir FTP. Et la plupart des scripts de synchronisation de miroir utilisent rsync. Je me suis donc rabattu sur le miroir de l'IPSL Jussieu qui possède un mirroir http, ftp et rsync. Génial ! Quelques instants plus tard, j'adapte ce script qui donne ceci :

#!/bin/bash

#################################################################################
#                                                                               #
# CentOS mirror syncer                                                          #
# Comes from :                                                                  #
#                                                                               #
# http://lists.centos.org/pipermail/centos-mirror/2005-April/000936.html        #
# http://wiki.monserveurperso.com/wakka.php?wiki=MirroringFTP                   #
# man wget                                                                      #
#                                                                               #
#################################################################################

RSYNC=`which rsync`
RSYNC_OPTS="-aHv --delete --bwlimit=512 "
CHOWN=`which chown`
CHMOD=`which chmod`
MIRROR="rsync://distrib-coffee.ipsl.jussieu.fr/pub/linux/centos/5/updates/i386/"
LOCAL="/home/ftp/mirrors/centos/5/updates/i386/"
PIDFILE="/var/run/centosmirror.pid"

# Don't run it twice...

if [ -f "$PIDFILE" ]; then
   RUNPID=`cat $PIDFILE`
   if ps -p $RUNPID; then
      echo "CentOS Mirror is already running..."
      exit 1
   else
      echo "CentOS Mirror pid found but process dead, cleaning up"
      rm -f $PIDFILE
   fi
else
   echo "No CentOS Mirror Process Detected"
fi
echo $$ > $PIDFILE

echo -n "CentOS Mirror Started at "
date

# Download, set up rights
$RSYNC $RSYNC_OPTS $MIRROR $LOCAL
$CHOWN -R apache:apache $LOCAL
$CHMOD -R 755 $LOCAL

echo -n "CentOS Mirror Ended at "
date
rm -f $PIDFILE

Ca, c'était la version rsync. Et si on est derrière un proxy, et qu'on ne peut pas faire du rsync? Pour le moment je me suis concentré sur ftp, mais ce script devrait tourner pour http :

#!/bin/bash

#################################################################################
#                                                                               #
# CentOS mirror syncer                                                          #
# Comes from :                                                                  #
#                                                                               #
# http://lists.centos.org/pipermail/centos-mirror/2005-April/000936.html        #
# http://wiki.monserveurperso.com/wakka.php?wiki=MirroringFTP                   #
# man wget                                                                      #
#                                                                               #
#################################################################################

# Variables

WGET=`which wget`
WGET_OPTS="-m --limit-rate=512k -nH --cut-dir 5"
CHOWN=`which chown`
CHMOD=`which chmod`
MIRROR="ftp://ftp.free.fr/mirrors/ftp.centos.org/5/updates/i386/*"
LOCAL="/home/ftp/mirrors/centos/5/updates/i386/"
PIDFILE="/var/run/centosmirror.pid"

# Don't run it twice...

if [ -f "$PIDFILE" ]; then
   RUNPID=`cat $PIDFILE`
   if ps -p $RUNPID; then
      echo "CentOS Mirror is already running..."
      exit 1
   else
      echo "CentOS Mirror pid found but process dead, cleaning up"
      rm -f $PIDFILE
   fi
else
   echo "No CentOS Mirror Process Detected"
fi
echo $$ > $PIDFILE

# wget + ftp = .listing files
find $LOCAL -name ".listing" -delete

echo -n "CentOS Mirror Started at "
date

# Download, set up rights
$WGET $WGET_OPTS $MIRROR -P $LOCAL
$CHOWN -R apache:apache $LOCAL
$CHMOD -R 755 $LOCAL

echo -n "CentOS Mirror Ended at "
date
rm -f $PIDFILE
find $LOCAL -name ".listing" -delete

On remarquera que c'est grosso modo la même chose, la version wget générant des fichiers .listing pour le téléchargement récursif, je les efface avant et après coup, au cas où. Comme mon miroir est aussi dispo en http, je rend le tout accessible pour l'utilisateur apache. Ce dernier script reste cependant à améliorer, car contrairement à rsync, il n'efface pas les fichiers présents en local mais disparus du miroir distant.