srvlan – VirtualBox / Debian

Mémento 1.1 - Serveur srvlan

Le serveur supportera le bureau Xfce4 facilitant ainsi la gestion de celui-ci pour les utilisateurs qui préfèrent une interface graphique plutôt que la ligne de commande pure.

Xfce4 est un environnement de bureau léger, qui consommera peu de ressources système (mémoire RAM, CPU).

Ce dernier, allégé de quelques applications préinstallées par défaut, contribuera au confort d'exploitation du serveur et facilitera notamment la réalisation de certains tests sur le réseau.

Par souci d'homogénéité, Xfce4 sera l'unique bureau graphique installé sur les VM du réseau.

1 - Construction de la VM depuis VirtualBox

L'utilisation de l'hyperviseur VirtualBox est considérée acquise.

A défaut, référez-vous aux mémentos suivants :
VirtualBox - Installation

VirtualBox - Mode d’accès réseau par pont

1.1 - Création et configuration de la VM

Le PC hôte doit être un PC 64 bits, courant de nos jours.

Téléchargez l'ISO debian-z.x.y-amd64-netinst.iso :
https://cdimage.debian.org/.../current/amd64/iso-cd/

- Démarrez ensuite l'application VirtualBox 7.2.x, puis :
- - Menu de VirtualBox (icône home) -> Machine -> Nouvelle...

Selon la version de l'hyperviseur, l'interface est en franglais.
-> Virtual machine name and operating system
-> VM Name : srvlan LAN
-> VM Folder : Sélectionnez un dossier où stocker vos VM
-> ISO Image : Sélectionnez l'ISO téléchargée ci-dessus
-> Décochez : Proceed with Unattended Installation (important)
-> OS : Linux -> OS Distribution : Debian
-> OS Version : Debian (64-bit)

-> Specify virtual hardware
-> Base Memory : 1024 MB
-> Number of CPUs : 2 CPU si possible

-> Specify virtual hard disk
-> Create a Virtual Hard Disk : Ajustez à 12 Go

-> Bouton Finish

La VM créée s'affiche dans le panneau gauche de VirtualBox.

- Sélectionnez maintenant la nouvelle VM, puis :
- - Clic droit -> Configuration...
- - - Onglet Général
-> Features -> Shared Clipboard -> Bidirectionnel

- - - Onglet System
-> Carte mère -> Boot Device Order -> Décochez Disquette
-> Processeur -> Cochez PAE/NX

Le PAE/NX permet d'étendre la gestion de la mémoire physique au-delà de 4 Go tout en activant la protection contre l'exécution de code malveillant en mémoire non exécutable.

- - - Onglet Affichage
-> Ecran -> Video Memory -> Ajustez à 128 MB

Facultatif, accès au dossier partagé par le PC hôte :
- - - Onglet Shared Folders
-> Cliquez sur l'icône + (Ajouter un dossier partagé)
-> Folder Path -> Sélectionnez Autre...
-> Accédez à votre dossier -> Ex : C:\Partage-Windows
-> Sélectionner un dossier ou Ouvrir -> OK -> OK

Les autres paramètres peuvent rester inchangés.

1.2 - Installation de la distribution Debian

Conseil pratique avant de démarrer :
Si le curseur de la souris disparaît lors d'un clic dans la fenêtre de la VM, celui-ci peut être récupéré par le PC hôte à l'aide de la touche CTRL située à droite de la barre d'espace du clavier.

- Sélectionnez la VM, puis :
-> Clic droit -> Démarrer
-> Start with GUI (La VM s'exécute)

Sélectionnez Graphical Install et appliquez ce qui suit :
- Language -> Français
- Pays (territoire ou région) -> France
- Disposition de clavier à utiliser -> Français
- Nom de machine -> srvlan
- Domaine -> Laissez le champ vide
- MDP du super utilisateur root -> Votre MDP pour root
- Confirmation du MDP -> Votre MDP pour root
- Nom complet du nouvel utilisateur -> Ex: srvlan
- Identifiant pour le compte utilisateur -> srvlan
- MDP pour le nouvel utilisateur -> Votre MDP pour srvlan
- Confirmation du MDP -> Votre MDP pour srvlan
- Méthode de partitionnement -> Assisté - utili... entier
- Disque à partitionner -> Celui proposé de 12 Go
- Schéma de partitionnement -> Tout ... seule partition
- Table des partitions -> Terminer le partitionnement ..
- Faut-il appliquer les changements ... disques ? -> Oui

L'installation commence :
- Faut-il analyser d'autres supports ... ? -> Non
- Pays du miroir de l'archive Debian -> France
- Miroir de l'archive Debian -> deb.debian.org
- Mandataire HTTP (lais...) -> Laissez vide

L'installation continue :
- Souhaitez-vous participer à l'étude statistique ... -> Non
- Logiciels à installer
-> Décochez environnement de bureau Debian
-> Décochez ... GNOME
-> Cochez ... Xfce
-> Décochez serveur SSH
-> Cochez utilitaires usuels du système

L'installation se termine :
- Installer ... de démarrage GRUB sur le disque ... -> Oui
- Périphérique ... programme de démarrage -> /dev/sda
- Installation terminée -> Continuer (sans retrait du CD)

Le système reboot et une fenêtre de connexion s'ouvre :

-> Premier champ -> Entrez l'utilisateur srvlan
-> Second champ -> Entrez Votre MDP pour srvlan
-> Bouton Se connecter

Le bureau Xfce s'ouvre :

Ouvrez le terminal de Cdes en cliquant sur son icône située en bas à l'intérieur du dock.

Autorisez ensuite l'usage de la Cde sudo à l'utilisateur srvlan :

[srvlan@srvlan] su root
Mot de passe : Votre MDP pour root

[root@srvlan] sudo usermod -aG sudo srvlan
[root@srvlan] exit

et redémarrez le serveur comme ceci :
- - Menu Applications de Xfce situé en haut à gauche
-> Déconnexion (Une fenêtre s'ouvre)
-> Bouton Redémarrer

Reconnectez-vous ensuite en tant qu'utilisateur srvlan et rouvrez le terminal de Cdes.

2 - Installation des utilitaires de VirtualBox

Ils permettront entre autres le copier/coller et l'accès au dossier partagé par le PC hôte.

Notez la version courante du noyau Linux :

[srvlan@srvlan] uname -r

Exemple de retour :

6.12.57+deb13-amd64

Installez ensuite les 2 paquets Linux suivants :

[srvlan@srvlan] sudo apt install dkms build-essential

et vérifiez l'installation du paquet linux-headers dépendant de la version courante du noyau Linux :

[srvlan@srvlan] sudo apt list *linux-headers-6.12.57*

Si non installé, exécutez la Cde suivante :

[srvlan@srvlan] sudo apt install linux-headers-6.12.57+deb13-amd64

Accédez au menu VirtualBox situé sur la fenêtre de la VM :
-> Périphériques -> Insérer l'image CD des Additions invité...

Puis, montez l'image CD, installez les utilitaires et rebootez :

[srvlan@srvlan] sudo mount /dev/cdrom /media/cdrom
[srvlan@srvlan] cd /media/cdrom
[srvlan@srvlan] sudo ./VBoxLinuxAdditions.run
[srvlan@srvlan] sudo reboot

Une fois fini, reconnectez-vous, la fenêtre de la VM peut à présent être redimensionnée avec la souris. Sa nouvelle taille sera enregistrée au sein de srvlan.

Le pratique copier/coller entre le PC hôte et srvlan doit maintenant fonctionner dans les 2 sens.

Sans fermer la VM, retirez l'image CD du lecteur virtuel :
- - Menu de VirtualBox -> Machine -> Configuration...
- - - Onglet Stockage
-> Zone Périphériques -> Sélectionnez VBoxGuest...
-> Zone Attributs -> Cliquez sur l'icône CD
-> Remove Disk From Virtual Drive -> OK

3 - Suppression d'applications préinstallées, etc...

Supprimez LibreOffice non utile sur srvlan :

[srvlan@srvlan] sudo apt autoremove --purge \
libreoffice-writer libreoffice-impress \
libreoffice-calc libreoffice-math \
libreoffice-draw libreoffice-base-core \
libreoffice-core libreoffice-common

Si le dossier /etc/libreoffice reste présent :

[srvlan@srvlan:~$] sudo rm -r /etc/libreoffice

Supprimez ces applications multimédia :

[srvlan@srvlan] sudo apt autoremove --purge \
exfalso quodlibet

et mettez si nécessaire le navigateur Firefox en français :

[srvlan@srvlan] sudo apt install firefox-esr-l10n-fr

La configuration de base est presque terminée :

La consommation mémoire est d'environ 500 Mo.

Pour un même fond d'écran sur la fenêtre de login Lightdm et le bureau Xfce, procédez ainsi :

[srvlan@srvlan] cd /chemin-image/fond.jpg   # Votre fond d'écran
[srvlan@srvlan] sudo cp fond.jpg /usr/share/backgrounds/
[srvlan@srvlan] cd /etc/lightdm
[srvlan@srvlan] sudo nano lightdm-gtk-greeter.conf

Remplacez la ligne #background= par celle-ci :

background=/usr/share/backgrounds/fond.jpg

4 - Montage du dossier partagé par le PC hôte

Créez le dossier qui permettra d'afficher le contenu partagé par le PC hôte :

[srvlan@srvlan] mkdir /home/srvlan/Partage

Créez ensuite le fichier de service home-srvlan-Partage.mount :

[srvlan@srvlan] cd /etc/systemd/system
[srvlan@srvlan] sudo touch home-srvlan-Partage.mount

Editez celui-ci :

[srvlan@srvlan] sudo nano home-srvlan-Partage.mount

et entrez le contenu suivant :

[Unit]
Description = Montage dossier partagé fourni par VirtualBox

[Mount]
What = Entrez le nom du dossier partagé par le PC hôte
Where = /home/srvlan/Partage
Type = vboxsf
Options=rw,uid=srvlan,gid=srvlan

[Install]
WantedBy = multi-user.target

Exemple pour What : What=Partage-win11

Intégrez le service dans la configuration de Systemd :

[srvlan@srvlan] sudo systemctl daemon-reload

et démarrez celui-ci :

[srvlan@srvlan] sudo systemctl start home-srvlan-Partage.mount

Vérifiez ensuite son statut :

[srvlan@srvlan] sudo systemctl status home-srvlan-Partage.mount

Touche q pour quitter le résultat affiché.

Si statut = active, autorisez le service au boot de la VM :

[srvlan@srvlan] sudo systemctl enable home-srvlan-Partage.mount

Un lien symbolique vers le service est créé.

Ouvrez enfin le gestionnaire de fichiers thunar et observez le contenu de /home/srvlan/Partage.

5 - Configuration du réseau

Avant, vérifiez l'IP courante avec la Cde ip address :

[srvlan@srvlan] ip address

Résultat, IP 10.0.2.15, IP fournie par VirtualBox :

1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host noprefixroute 
       valid_lft forever preferred_lft forever
2: enp0s3: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    link/ether 08:00:27:db:15:ed brd ff:ff:ff:ff:ff:ff
    altname enx080027db15ed
    inet 10.0.2.15/24 brd 10.0.2.255 scope global dynamic noprefixroute enp0s3
       valid_lft 54591sec preferred_lft 54591sec
    inet6 fd17:625c:f037:2:2e42:ebb:136:e26d/64 scope global temporary dynamic 
       valid_lft 86015sec preferred_lft 14015sec
    inet6 fd17:625c:f037:2:a00:27ff:fedb:15ed/64 scope global dynamic mngtmpaddr noprefixroute 
       valid_lft 86015sec preferred_lft 14015sec
    inet6 fe80::a00:27ff:fedb:15ed/64 scope link noprefixroute 
       valid_lft forever preferred_lft forever

Puis installez les 2 paquets suivants :

[srvlan@srvlan] sudo apt install netfilter-persistent

[srvlan@srvlan] sudo apt install iptables-persistent

Une fenêtre Config... iptables-persistent s'ouvre :
-> Faut-il enregistrer les règles IPv4 actuelles ? -> Oui
-> Faut-il enregistrer les règles IPv6 actuelles ? -> Oui

2 fichiers rules.v4/v6 ont été créés dans /etc/iptables/.

Netfilter-persistent et iptables-persistent permettront de sauvegarder et restaurer automatiquement les règles de filtrage réseau (iptables) au démarrage du système. Ils assureront la persistance des règles de pare-feu entre les redémarrages.

La VM srvlan étant prévue en zone LAN, il faut changer le mode d'accès réseau de sa carte réseau enp0s3.

Pour cela, sélectionnez la VM srvlan dans VirtualBox :
- - Menu de VirtualBox -> Machine -> Configuration...
- - - Onglet Réseau
-> Adapter 1 -> Attached to -> Réseau interne
-> OK

5.1 - Adressage IP fixe carte enp0s3

Configurez à présent une IP fixe sur la carte enp0s3 :
- - Bureau Xfce, barre du haut
-> Clic droit sur l'icône Réseau située à droite
-> Sélectionnez Modifier les connexions...

Une fenêtre Connexions réseau s'ouvre :
-> Sélectionnez la connexion Wired connection 1
-> Cliquez sur l'icône roue dentée de la fenêtre

Une fenêtre Modification de ... s'ouvre :
-> Nom de la connexion -> Entrez Connexion carte 1

- - - Onglet Ethernet
-> Périphérique -> Sélectionnez enp0s3

- - - Onglet Paramètres IPv4
-> Méthode -> Sélectionnez Manuel -> Bouton Ajouter
-> Champ Adresse : Entrez 192.168.2.2
-> Champ Masque de réseau : Entrez 255.255.255.0
-> Champ Passerelle : Entrez 192.168.2.1
-> Serveurs DNS : Entrez l'IP locale de votre Box Internet
-> Bouton Enregistrer

Fermez ensuite la fenêtre Connexions réseau.

Pour finir, stoppez la VM srvlan :
- - Menu Applications de Xfce situé en haut à gauche
-> Déconnexion -> Une fenêtre s'ouvre
-> Bouton Eteindre

5.2 - Création et adressage IP fixe carte enp0s8

Le raccordement de la VM srvlan nécessite de créer une seconde carte réseau sur celle-ci.

Pour cela, sélectionnez la VM srvlan dans VirtualBox :
- - Menu de VirtualBox -> Machine -> Configuration...
- - - Onglet Réseau
-> Adapter 2 -> Cochez Activer l'interface réseau
-> Attached to -> Sélectionnez Réseau interne
-> OK

Redémarrez la VM srvlan.

Configurez également une IP fixe sur cette carte réseau :
- - Bureau Xfce, barre du haut
-> Clic droit sur l'icône Réseau située à droite
-> Sélectionnez Modifier les connexions...

Une fenêtre Connexions réseau s'ouvre :
-> Sélectionnez la nouvelle connexion affichée
-> Cliquez sur l'icône roue dentée de la fenêtre

Une fenêtre Modification de ... s'ouvre :
-> Nom de la connexion -> Entrez Connexion carte 2

- - - Onglet Ethernet
-> Périphérique -> Sélectionnez enp0s8

- - - Onglet Paramètres IPv4
-> Méthode -> Sélectionnez Manuel -> Bouton Ajouter
-> Champ Adresse : Entrez 192.168.3.1
-> Champ Masque de réseau : Entrez 255.255.255.0
-> Bouton Enregistrer

Fermez ensuite la fenêtre Connexions réseau.

Redémarrez srvlan et vérifiez la configuration réseau :

[srvlan@srvlan] ip address
[srvlan@srvlan] nmcli

Retour de la Cde nmcli de NetworkManager :

enp0s3: connecté à Connexion carte 1
        "Intel 82540EM"
        ethernet (e1000), 08:00:27:DB:15:ED, hw, mtu 1500
        ip4 par défaut
        inet4 192.168.2.2/24
        route4 default via 192.168.2.1 metric 100
        route4 192.168.2.0/24 metric 100
        inet6 fe80::796f:9640:9cfd:7703/64
        route6 fe80::/64 metric 1024

enp0s8: connecté à Connexion carte 2
        "Intel 82540EM"
        ethernet (e1000), 08:00:27:0B:2F:89, hw, mtu 1500
        inet4 192.168.3.1/24
        route4 192.168.3.0/24 metric 101
        inet6 fe80::f3:16b3:fdad:a30c/64
        route6 fe80::/64 metric 1024

lo: connecté (en externe) à lo
        "lo"
        loopback (unknown), 00:00:00:00:00:00, sw, mtu 65536
        inet4 127.0.0.1/8
        inet6 ::1/128

DNS configuration:
        servers: 192.168.x.y
        interface: enp0s3

Les fichiers configurés avec NetworkManager sont ici :
/etc/NetworkManager/system-connections/

Nota : La VM srvlan n'accède plus à Internet, la VM suivante permettra de retrouver cet accès.

5.3 - Routage interne au serveur

L'activation du routage avec la Cde ip_forward permettra, selon les règles définies dans la table de routage du serveur, le renvoi de paquets de données arrivés par une interface réseau vers une autre interface réseau.

Debian 12, pour l'activer, éditez le fichier sysctl.conf :

[srvlan@srvlan] sudo nano /etc/sysctl.conf

et retirez le # de la ligne #net.ipv4.ip_forward=1.

Debian 13, pour l'activer, procédez ainsi :

[srvlan@srvlan] cd /etc/sysctl.d
[srvlan@srvlan] sudo nano 99-ipforward.conf

Le service systemd-sysctl appliquera les paramètres réseau définis dans les fichiers du dossier sysctl.d.

Entrez le contenu suivant :

net.ipv4.ip_forward = 1

Rechargez la configuration et vérifiez le résultat :

[srvlan@srvlan] sudo sysctl --system
[srvlan@srvlan] sudo sysctl net.ipv4.ip_forward

Relancez ensuite le service réseau :

[srvlan@srvlan] sudo systemctl restart NetworkManager

5.4 - Translation d'adresses NAT

-- Définition de WIKIBOOKS --
Objectif du NAT (Network Address Translation) :
Faire que les PC d'un réseau interne n'apparaissent que sous l'identifiant d'une seule IP pour les réseaux externes (c'est un masquage ou IP Masquerading).

Votre box Internet (passerelle) fait du NAT entre votre réseau privé et le réseau Internet et de ce fait votre fournisseur d'accès (FAI) ne vous donne qu'une seule IP alors que vous pouvez très bien avoir plusieurs PC connectés à Internet à partir de votre réseau local.

Le NAT répond principalement au manque d'adresses IP dans le plan d'adressage IPv4 pour l'accès à Internet.

Il permet également de s'affranchir de la gestion des tables de routage et fonctionne avec le service iptables installé par défaut avec Debian.

Vérifiez l'état courant de la table NAT ou IP Masquerading :

[srvlan@srvlan] sudo iptables -L -t nat

Résultat, NAT inactif, pas de target MASQUERADE :

srvlan@srvlan:~$ sudo iptables -L -t nat
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         

Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination
srvlan@srvlan:~$

Activez celui-ci en utilisant une règle iptables :

[srvlan@srvlan] sudo iptables -t nat -A POSTROUTING -o enp0s3 -j MASQUERADE

et affichez de nouveau le contenu de la table NAT :

[srvlan@srvlan] sudo iptables -L -t nat

Résultat, le NAT est actif :

srvlan@srvlan:~$ sudo iptables -L -t nat
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         

Chain INPUT (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination         
MASQUERADE  all  --  anywhere             anywhere
srvlan@srvlan:~$  

Effectuez une sauvegarde de la règle iptables :

[srvlan@srvlan] su root
[root@srvlan] sudo iptables-save > /etc/iptables/rules.v4
[root@srvlan] exit

et déclarez celle-ci persistente :

[srvlan@srvlan] sudo systemctl enable netfilter-persistent
[srvlan@srvlan] sudo systemctl restart netfilter-persistent

Elle sera ainsi activée à chaque boot du système Debian.

Par curiosité, listez la table de routage avec la Cde ip r :

default via 192.168.2.1 dev enp0s3 proto static metric 100 
192.168.2.0/24 dev enp0s3 proto kernel scope link src 192.168.2.2 metric 100 
192.168.3.0/24 dev enp0s8 proto kernel scope link src 192.168.3.1 metric 101

Bravo !
Le serveur srvlan est prêt.
Le mémento 2.1 vous attend pour
l'ajout du serveur srvsec(IPFire).