Sécurité des Systèmes d'Information et de Communication

INSTALLATION

Table des matières

1.Introduction.........................................................................................................................................................2
2.Installation...........................................................................................................................................................3
2.1.Préalable matériel........................................................................................................................................3
2.2.Installation du système................................................................................................................................3
2.3.Installation d'ALCASAR.............................................................................................................................6
3.Désinstallation, réinstallation ou mise à jour d'ALCASAR................................................................................8
4.Préparer une installation « hors ligne »...............................................................................................................8
5.Fiche récapitulative des paramètres d'ALCASAR..............................................................................................8

Projet : ALCASAR Auteur : Rexy avec le support de l'« Alcasar team »

Objet : Installation Version : 2.8
Mots clés : portail captif, contrôle d'accès, imputabilité, traçabilité, authentification Date : décembre 2013

Document d'installation ALCASAR – 2.8 1 /8

 1. Introduction
Ce document décrit la procédure d'installation du portail ALCASAR. Il est complété par trois autres
documents : le document de présentation, le document d'exploitation et la documentation technique.
Si vous possédez déjà une version d'ALCASAR fonctionnelle et que vous désirez effectuer une mise à jour,
reportez-vous à la documentation d'exploitation (chapitre « mise à jour »).
ALCASAR peut être installé sur un ordinateur standard équipé de deux cartes réseau Ethernet. La première
(eth0) est connectée à l'équipement du Fournisseur d'Accès Internet (FAI). La deuxième (eth1) est connectée au
commutateur utilisé pour desservir le réseau des stations de consultation.
Par défaut, l'adresse IP de cette deuxième carte réseau est : 192.168.182.1/24. Cela permet de disposer d'un plan
d'adressage de classe C (254 équipements). Ce plan d'adressage est modifiable lors de l'installation. Pour tous
les équipements situés sur le réseau de consultation, ALCASAR est le serveur DNS, le serveur de temps et le
« routeur par défaut (default gateway) ». Ainsi, sur ce réseau, il ne doit y avoir aucun autre routeur.
ALCASAR peut aussi servir de serveur DHCP. Assurez-vous, dans ce cas, qu'il soit le seul.

Réseau de consultation
(@IP : 192.168.182.0/24)

Commutateur

Point d'accès CPL eth1 (@IP : 192.168.182.1) Point d'accès WIFI

ALCASAR

eth0 (@IP dans le même plan d'adressage que l'équipement du FAI)

Équipement/box du FAI
(routeur/modem DSL)

Internet
Exemple du plan d'adressage de classe C proposé par défaut (254 équipements)
• Adresse IP d'ALCASAR : 192.168.182.1/24
• Nombre maximum d'équipements sur le réseau de consultation : 253
• Paramètres réseau des équipements de consultation :
◦ adresses IP disponibles : de 192.168.182.2 à 192.168.182.254 (statiques ou dynamiques)
◦ masque de réseau : 255.255.255.0
◦ adresses des serveurs DNS et du routeur par défaut (default gateway) : 192.168.182.1 (adresse IP d'ALCASAR)
◦ suffixe DNS pour les équipements en adressage fixe : « localdomain »

Exemple d'un plan d'adressage de classe B (65534 équipements)

• Adresse IP d'ALCASAR : 172.16.0.1/16
• Nombre maximum d'équipements sur le réseau de consultation : 65531
• Paramètre des équipements de consultation :
◦ adresses IP disponibles : de 172.16.0.2 à 172.16.255.254 (statiques ou dynamiques)
◦ masque de réseau : 255.255.0.0
◦ adresses des serveurs DNS et du routeur par défaut (default gateway) : 172.16.0.1 (adresse IP d'ALCASAR)
◦ suffixe DNS pour les équipements en adressage fixe : « localdomain »

Bien que cela soit possible, il est déconseillé de définir un réseau de consultation en classe A (ex : 15.0.0.0/8). En effet, le serveur
DHCP interne d'ALCASAR devra alors réserver et gérer plus de 16 millions d'adresses IP. La gestion d'un tel volume d'adresses est
très gourmande en ressource système et mémoire.

Document d'installation ALCASAR – 2.8 2 /8

 2. Installation
L'installation du portail s'effectue en deux étapes. La première étape est l'installation d'un système Linux
minimaliste basé sur Mageia2. La deuxième étape permet d'installer et de configurer les différentes briques
logicielles constituant ALCASAR.

2.1. Préalable matériel

ALCASAR n'exige qu'un PC bureautique standard possédant 2 cartes réseau et un disque dur d'une capacité de
100Go au minimum afin d'être en mesure de stocker les fichiers journaux liés à la traçabilité des connexions.
Les architectures 32 bits et 64 bits sont supportées et automatiquement prises en compte. ALCASAR intègre
plusieurs systèmes optionnels de filtrage (protocoles réseau, adresses IP, URL, noms de domaines et antivirus
de flux WEB). Si vous décidez d'activer ces systèmes de filtrage, il est recommandé d'installer au moins 8 GO
de mémoire vive afin d'assurer une rapidité de traitement acceptable (ALCASAR aime la RAM ;-) ).

2.2. Installation du système

La procédure d'installation de ce système est la suivante (durée estimée : 6') :
• récupérez l'image ISO de Mageia2 en version double architecture (32 et 64 bits) : fichier « mageia2-
dual-CD.iso » (700MB). Cette image ISO est disponible sur le site d'ALCASAR ainsi que sur les sites
miroirs Mageia. Par exemple :
• http://www.mirrorservice.org/sites/mageia.org/pub/mageia/iso/2/
• http://distrib-coffee.ipsl.jussieu.fr/pub/linux/Mageia/iso/2/
• gravez cette image sur un CDROM ou créez une clé USB amorçable1
• modifiez les paramètres BIOS du PC afin de régler la date, l'heure et afin de permettre l'amorçage du PC
à partir d'un CD-ROM ou d'une clé USB. Supprimez la gestion des lecteurs de disquettes si votre
système n'en possède pas. À la fin de l'installation, modifiez une nouvelle fois les paramètres BIOS pour
limiter les possibilités d'amorçage du PC au seul disque dur ;
• insérez le CD-ROM ou la clé USB, redémarrez le PC et suivez les instructions suivantes :

Messages affichés à l'écran Commentaires Actions à réaliser

Après démarrage du PC, cette page

d'accueil est présentée.

Sélectionnez « Install Mageia 2 ».

* si le mode graphique n'apparaît pas, vous devez

configurer le BIOS du PC afin d'allouer plus de 2Mo
de la mémoire partagée pour la carte graphique.

Sélectionnez votre langue.

1 Deux solutions permettent de créer une clé USB amorçable (1 Go minimum formatée en FAT ou VFAT) :
• en mode graphique vous pouvez utiliser le logiciel « unetbootin ». Installez-le sous Linux via « urpmi » ou « apt-get ». Sous
windows, récupérez-le ici : « http://unetbootin.sourceforge.net/ ».
• en mode console sous Linux, insérez la clé et récupérez le nom du périphérique associé via la commande « fdisk -l » (une clé
USB est souvent associée au périphérique « /dev/sdb » ou « /dev/sdc »). Lancez la commande : « dd
if=<nom_de_l'image_iso> of=<nom_du_périphérique_usb> bs=8M ».

Document d'installation ALCASAR – 2.8 3 /8

 Messages affichés à l'écran Commentaires Actions à réaliser

Acceptez le contrat de licence.

Info : ce contrat explique que les logiciels installés

sont des logiciels libres.

Sélectionnez votre type de clavier.

Le partitionnement du disque dur sera

Sélectionnez « Partitionnement de disque
adapté au besoin d'ALCASAR (cf. étape
personnalisé ».
suivante).

Les 5 partitions suivantes doivent être Cliquez sur « Supprimer toutes les
créées : partitions ».
• / : 2 Go Cliquez ensuite à l'intérieur de la zone
• swap : gardez la taille proposée (ou 2 fois la grise du disque (sda) pour créer chaque
taille de la mémoire vive) nouvelle partition.
• /tmp : 2 Go
• /home : 2 Go
Info : à part le « swap », tous les Systèmes de Fichiers
• /var : le reste du disque dur (au moins 30 Go)
(SF) sont du type « Journalized FS : ext4 » (ext4 est
un système de fichiers journalisé pour Linux).

À la fin de cette opération, et en fonction - Créez la partition racine (/). Choisissez sa

de la taille de votre disque dur, le taille (2 Go) ainsi que son système de
partitionnement devrait ressembler à cela : fichier (ext4). Recommencez cette étape
pour toutes les autres partitions.
- Une fois le partitionnement effectué,
cliquez sur « Terminer ».

Pour ALCASAR, l'installation ne nécessite

Sélectionnez « Aucun »
pas d'autre média.

Choisissez uniquement le groupe de

paquetages « LSB » (Linux Standard
Base). Désélectionnez tous les autres
Sélection des groupes de paquetagesà groupes puis cliquez sur « Suivant ».
installer : ALCASAR ne nécessite qu'une La copie des paquetages sur le disque dur
installation très minimaliste du système. est alors lancée. Durée estimée : 4'

Info : sous Linux, un paquetage est un fichier archive

contenant tout les constituants d'un logiciel (binaires,
fichiers d'aide, fichiers de configuration, etc.).

Document d'installation ALCASAR – 2.8 4 /8

 Messages affichés à l'écran Commentaires Actions à réaliser

Affectez le mot de passe au compte

« root » puis créez le compte « sysadmin »
et affectez-lui un mot de passe.

Cliquez sur « Configurer » de la rubrique

Configuration de l'accès à Internet « Réseau-ethernet » du groupe « Réseau et
Internet ».

Sélectionnez le type de connexion à

Internet.
Dans le cas d'une « box » de FAI,
choisissez « Filaire (Ethernet) ».

Info : Aucun test n'a été effectué concernant les accès

à Internet par d'autres moyens de connexion.

On ne configure pour l'instant que

l'interface connectée à la « box » du FAI. Sélectionnez l'interface identifiée « eth0 ».
La deuxième interface qui est connectée au
réseau de consultation sera paramétrée plus
Info : si les interfaces ne sont pas identifiées (eth0,
tard, lors de l'installation d'ALCASAR. eth1, etc.), sélectionnez la première interface.

Sélectionnez « configuration manuelle ».

Info : il est déconseillé de configurer cette interface

en mode dynamique (bootp/DHCP) car l'équipement
n'a pas vocation à être nomade.

Entrez les paramètres de cette interface.

Exemple :
• Adresse IP : cette adresse doit être dans le
même sous-réseau que l'adresse du routeur DSL * Inscrivez les adresses des serveurs de DNS fournies
du FAI (box). par votre FAI. Vous pouvez bien sûr utiliser d'autres
• Masque : 255.255.255.0 serveurs DNS. Exemple :
• Passerelle : c'est l'adresse de la box (en général • projet libre « OpenNIC » (voir le site WEB
192.168.1.1 pour une « livebox » et pour les adresse les plus proches de chez vous
192.168.0.254 pour une « freebox ») • projet « OpenDNS » (DNS1=208.67.222.222,
• DNS 1 et DNS 2 :* DNS2=208.67.220.220)
• « nom d'hôte » : laissez ce champ vide • Serveurs publics de google (DNS1=8.8.8.8,
DNS2=8.8.4.4).

Sélectionnez uniquement « Lancer la

connexion au démarrage ».

Il n'est pas nécessaire de lancer cette

Sélectionnez « Non »
connexion à ce stade

Document d'installation ALCASAR – 2.8 5 /8

 Messages affichés à l'écran Commentaires Actions à réaliser

Cliquez sur « Terminer ».

Cliquez sur « Suivant ».

Les mises à jour de sécurité seront gérées Sélectionnez « Non » et cliquez sur
pendant l'installation d'ALCASAR. « Suivant ».

Cliquez sur « Redémarrage ».

Retirez le CDROM ou la clé USB.
L'installation est terminée
Reconfigurez le BIOS afin de limiter les
possibilités d'amorçage au seul disque dur.

2.3. Installation d'ALCASAR

ALCASAR est constitué d'une archive compressée (alcasar-x.y.tar.gz) et de paquetages additionnels qui seront
automatiquement téléchargés sur Internet.
Récupérez la dernière version de l'archive compressée sur le site Internet d'ALCASAR et copiez-la sur une clé
USB. Suivez la procédure suivante (durée estimée :5').
Messages affichés à l'écran Commentaires Actions à réaliser

Connectez-vous en tant que « root ».

Déconnectez les câbles des deux cartes watch ethtool eth0

réseau et affichez l'état de la première Info : la dernière ligne affichée présente l'état du lien
carte (eth0). sur la carte (Link detected <yes/no>)

Attendez quelques secondes que le lien

soit monté. Dans le cas contraire,
Connectez le câble allant à l'équipement connectez le câble sur l'autre carte. Dès
du FAI sur la première carte. que le lien est monté, stoppez la
commande à l'aide de la séquence de
touches : <Ctrl> + c
watch ethtool eth1
Effectuez la même opération avec la Info : côté réseau de consultation, connectez un
deuxième carte (eth1) et le câble équipement actif de réseau (commutateur Ethernet,
provenant du réseau de consultation. CPL, AP WIFI, etc.) afin d'être assuré de la
permanence du lien même si les stations sont éteintes.

Document d'installation ALCASAR – 2.8 6 /8

 Messages affichés à l'écran Commentaires Actions à réaliser
fdisk -l
Insérez la clé USB
Info1 : pour les PC à la norme PATA (ancienne
Affichez les informations relatives aux génération) la clé sera nommée hd(a-b-c-...)(1-2-3-...).
supports de masse afin de récupérer le Pour les PC à la norme SATA, elle prendra le nom
sd(a-b-c-...)(1-2-3-...).
nom du périphérique associé à votre clé.
Dans l'exemple joint, « /dev/sdb1 » Info2 : vous pouvez aussi afficher le journal système
correspond à une clé de 1Go. avant d'insérer la clé pour récupérer ce nom (tailf
/var/log/messages)

• Créez un répertoire permettant

d'accueillir la clé USB. mkdir -p /media/usb
• « Montez » le périphérique mount /dev/sdb1 /media/usb/
représentant la clé USB sur ce cp /media/usb/alcasar-* /root/
répertoire. umount /media/usb
• Copiez l'archive d'ALCASAR dans sha256sum alcasar-x.y.tar.gz
le répertoire /root.
Info : remplacez « sdb1 » par le nom du périphérique
• Démontez la clé USB. récupéré à l'étape précédente (sdc1, hda1, etc.).
• Retirez-la.
• Calculez l'empreinte numérique Info2 : si l'empreinte numérique ne correspond pas,
'SHA256' de cette archive et téléchargez à nouveau l'archive sur le site WEB. En
cas de nouveau problème, prévenez l'équipe de
comparez-la avec celle du site WEB. développement via le forum.

• Décompressez et extrayez cette

archive. tar -xvf alcasar-x.y.tar.gz
• Positionnez-vous dans le répertoire cd alcasar-x.y
d'ALCASAR et lancez le script sh alcasar.sh -i
d'installation.

Utilisez la barre d'espace pour faire

ALCASAR est développé sous licence
défiler le texte de la licence.
GPL V3.
À la fin tapez “Entrée”

Les tests de paramètres réseau sont Info : dans certains cas, le script modifie la
configuration des cartes réseau. Il est alors nécessaire
réalisés. de relancer ce script.

L'installation d'une centaine de logiciels

(paquetages) est effectuée à partir
d'Internet. Durée :2'

Entrez le nom de votre organisme (sans Exemple : rasacla

Info : ce nom est obligatoire. les seuls caractères
espace) acceptés sont : [a-z][A-Z][0-9][-]

Tapez « O » ou « N »
Vous pouvez changer l'adresse IP
d'ALCASAR et le plan d'adressage par Info : si vous tapez « n », le script vous demandera
défaut du réseau de consultation l'adresse IP d'ALCASAR et le masque de réseau au
format CIDR (ex : 172.16.0.1/16).

- Entrez l'identifiant et le mot de passe Info : Ce compte sert à administrer ALCASAR au

moyen de l'interface graphique située à l'URL
d'un premier compte d'administration http://alcasar. Ce n'est pas un compte usager
d'ALCASAR. permettant de se connecter à Internet.

Une fois le système relancé, démarrez un

L'installation est terminée. équipement de consultation et connectez-
Le système va être relancé afin de vous sur l'interface de gestion du portail
synchroniser l'ensemble des constituants afin de créer vos premiers usagers
d'ALCASAR. (« http://alcasar »). Lisez attentivement la
documentation d'exploitation (« alcasar-
exploitation-fr.pdf »).

Document d'installation ALCASAR – 2.8 7 /8

 3. Désinstallation, réinstallation ou mise à jour d'ALCASAR
Vous pouvez désinstaller le portail avec la commande « sh alcasar.sh --uninstall ». Vous vous retrouvez alors
comme si vous veniez d'installer uniquement le système d'exploitation.
En relançant l'installation ou en lançant l'installation d'une nouvelle version sur un ALCASAR actif (cf .§2), le
script vous demandera si vous voulez effectuer une mise à jour.

4. Préparer une installation « hors ligne »

La procédure suivante permet d'installer ALCASAR en mode « hors ligne ». Cela peut être utile quand on
prévoit d'installer des machines ALCASAR dans une zone où l'accès Internet n'est pas encore disponible ou que
cet accès sera de débit très faible. Dans ce cas, il faut pouvoir générer à l'avance un fichier archive contenant la
totalité des paquetages (RPMS). Ce fichier sera exploité en lieu et place du téléchargement Internet. La
procédure est la suivante :
• préparation de l'archive des RPM : sur une machine vierge connectée à Internet, installez le système Linux
Mageia comme indiqué au §2.2 puis récupérez et décompressez l'archive d'ALCASAR. Déplacez-vous dans
le répertoire des scripts « cd alcasar-x.y/scripts/sbin » et lancez le script « ./alcasar-rpm-download.sh ». Ce script va
générer l'archive des RPM correspondant à l'architecture de la machine (32 ou 64 bits). Récupérez cette
archive sur clé USB.
• Installation hors ligne : après avoir installé le système, récupérez votre archive de RPM. Décompressez-la et
positionnez-vous dedans. Installez la totalité des RPM (urpmi –no-verify-rpm *). Procédez ensuite à
l'installation d'ALCASAR comme indiqué au §2.3.

5. Fiche récapitulative des paramètres d'ALCASAR

Le fichier « /root/ALCASAR-passwords.txt » contient les mots de passe exploités en interne par les différents
modules d'ALCASAR. Il contient notamment le mot de passe de protection du chargeur système (bootloader
« GRUB »). Il peut être consulté via la commande (cat /root/ALCASAR-passwords.txt).
Nom d'organisme :
Page d'authentification des usagers Cette page est présentée quand un navigateur tente de joindre un
site Internet.
Page d'accueil du portail permettant : http://alcasar
- l'accès au centre de gestion graphique ;
- la déconnexion d'un usager authentifié ;
- le changement du mot de passe usager ; Info : les possibilités du centre de gestion sont décrites dans le document « alcasar-
exploitation ».
- l'installation du certificat de l'Autorité de
Certification (A.C.) dans les navigateurs.
Comptes Linux root mot de passe : .......................
sysadmin mot de passe : .......................
1er compte d'administration graphique d'ALCASAR .................... mot de passe : …...................
Paramètres réseau
@IP de l'équipement FAI (routeur) ____.____.____.____
• @IP des serveurs DNS • DNS1 :____.____.____.____ DNS2 :____.____.____.____
• @IP d'ALCASAR (côté WAN/Internet) : • ____.____.____.____/___
• @IP d'ALCASAR (côté réseau de consultation) : • ____.____.____.____/___

Document d'installation ALCASAR – 2.8 8 /8