Subversion Repositories ALCASAR

Rev

Rev 294 | Rev 302 | Go to most recent revision | Details | Compare with Previous | Last modification | View Log

Rev Author Line No. Line
1 root 1 
#!/bin/sh
57 franck 2 
#  $Id: alcasar.sh 297 2010-10-06 22:03:47Z richard $
1 root 3 
 
4 
# alcasar.sh
5 
# by Franck BOUIJOUX, Pascal LEVANT and Richard REY
6 
# This script is distributed under the Gnu General Public License (GPL)
7 
 
8 
# Install script for ALCASAR (a secured and authenticated Internet access control captive portal)
9 
# Script d'installation d'ALCASAR (Application Libre pour le Contrôle d'Accès Sécurisé et Authentifié au Réseau)
10 
 
11 
# ALCASAR is based on a stripped Mandriva (LSB) with the following open source softwares :
12 
# ALCASAR est architecturé autour d'une distribution Linux Mandriva minimaliste et les logiciels libres suivants :
297 richard 13 
# Coovachilli (a fork of chillispot), freeradius, mysql, apache, netfilter, squid, dansguardian, mondo, mindi, dialupadmin, awstat, ntpd, openssl, dnsmasq, havp, libclamav  and firewalleyes
1 root 14 
 
15 
# Options :
5 franck 16 
#       -install
17 
#       -uninstall
1 root 18 
 
19 
# Funtions :
29 richard 20 
#	testing		: Tests de connectivité et de téléchargement avant installation
1 root 21 
#	init		: Installation des RPM et des scripts
22 
#	network		: Paramètrage du réseau
23 
#	gestion		: Installation de l'interface de gestion
24 
#	AC		: Initialisation de l'autorité de certification. Création des certificats
25 
#	init_db		: Création de la base 'radius' sur le serveur MySql
26 
#	param_radius	: Configuration du serveur d'authentification FreeRadius
27 
#	param_web_radius: Configuration de l'interface de gestion de FreeRadius (dialupadmin)
28 
#	param_chilli	: Configuration du daemon 'coova-chilli' et de la page d'authentification
29 
#	param_squid	: Configuration du proxy squid en mode 'cache'
30 
#	param_dansguardian : Configuration de l'analyseur de contenu DansGuardian
159 franck 31 
#	antivirus	: Installation havp + clamav
1 root 32 
#	firewall	: Mise en place des règles du parefeu et de l'interface WEB FirewallEyes
33 
#	param_awstats	: Configuration de l'interface des statistiques de consultation WEB
297 richard 34 
#	dnsmasq		: Configuration du serveur de noms et du serveur dhcp de secours
1 root 35 
#	cron		: Mise en place des exports de logs (+ chiffrement)
36 
 
37 
 
95 franck 38 
VERSION=`cat VERSION`
219 jeremy 39 
MDV_NEEDED="2010.1"
1 root 40 
DATE=`date '+%d %B %Y - %Hh%M'`
41 
DATE_SHORT=`date '+%d/%m/%Y'`
42 
# ******* Files parameters - paramètres fichiers *********
43 
DIR_INSTALL=`pwd`				# répertoire d'installation
44 
DIR_GESTION="$DIR_INSTALL/gestion"		# répertoire d'installation contenant l'interface de gestion
45 
DIR_CONF="$DIR_INSTALL/conf"			# répertoire d'installation contenant les fichiers de configuration
46 
DIR_SCRIPTS="$DIR_INSTALL/scripts"		# répertoire d'installation contenant les scripts
47 
DIR_SAVE="/var/Save"				# répertoire de sauvegarde (ISO, backup, etc.)
48 
DIR_WEB="/var/www/html"				# répertoire du centre de gestion
49 
DIR_DEST_BIN="/usr/local/bin"			# répertoire des scripts
50 
DIR_DEST_SBIN="/usr/local/sbin"			# répertoire des scripts d'admin
51 
DIR_DEST_ETC="/usr/local/etc"			# répertoire des fichiers de conf
52 
FIC_PARAM="/root/ALCASAR-parameters.txt"	# fichier texte résumant les paramètres d'installation
53 
FIC_PASSWD="/root/ALCASAR-passwords.txt"	# fichier texte contenant les mots de passe et secrets partagés
54 
# ******* DBMS parameters - paramètres SGBD ********
55 
DB_RADIUS="radius"				# nom de la base de données utilisée par le serveur FreeRadius
56 
DB_USER="radius"				# nom de l'utilisateur de la base de données
57 
# ******* Network parameters - paramètres réseau *******
58 
DOMAIN="localdomain"				# domaine local
59 
EXTIF="eth0"					# ETH0 est l'interface connectée à Internet (Box FAI)
60 
INTIF="eth1"					# ETH1 est l'interface connectée au réseau local de consultation
61 
CUSTOM_PRIVATE_NETWORK_MASK="192.168.182.0/24"	# adresse du réseau de consultation proposée par défaut
62 
SQUID_PORT="3128"				# Port d'écoute du proxy Squid
63 
UAMPORT="3990"
64 
# ****** Paths - chemin des commandes *******
65 
SED="/bin/sed -i"
66 
# ****** Alcasar needed RPMS - paquetages nécessaires au fonctionnement d'Alcasar ******
297 richard 67 
PACKAGES="freeradius freeradius-mysql freeradius-ldap freeradius-web apache-mpm-prefork apache-mod_ssl apache-mod_php squid dansguardian postfix MySQL logwatch ntp awstats mondo cdrecord buffer vim-enhanced bind-utils wget arpscan ulogd openssh-server php-xml coova-chilli pam_ccreds rng-utils lsb-release dnsmasq clamav sudo cronie-anacron"
1 root 68 
# ****************** End of global parameters *********************
69 
 
70 
header_install ()
71 
{
72 
	clear
73 
	echo "-----------------------------------------------------------------------------"
74 
	echo "                     Installation d'ALCASAR V$VERSION"
75 
	echo "Application Libre pour le Contrôle d'Accès Sécurisé et Authentifié au Réseau"
76 
	echo "-----------------------------------------------------------------------------"
77 
} # End of header_install ()
78 
 
79 
##################################################################
29 richard 80 
##			Fonction TESTING			##
81 
## - Test de la connectivité Internet				##
82 
## - Test la mise à jour système				##
83 
## - Test l'installation des RPM additionnels			##
84 
##################################################################
85 
testing ()
86 
{
87 
	echo -n "Tests des paramètres réseau : "
88 
# On teste l'état du lien des interfaces réseau
89 
	for i in $EXTIF $INTIF
90 
	do
91 
		/sbin/ifconfig $i up
294 richard 92 
		/sbin/ip link set $i up
29 richard 93 
		sleep 2
94 
		if [ "`/usr/sbin/ethtool $i|grep Link|cut -d' ' -f3`" != "yes" ]
95 
			then
96 
			echo "Échec"
97 
			echo "Le lien réseau de la carte $i n'est pas actif."
98 
			echo "Réglez ce problème avant de poursuivre l'installation d'ALCASAR."
99 
			exit 0
100 
		fi
101 
	done
102 
# On teste la présence d'un routeur par défaut (Box FAI)
103 
	if [ `/sbin/route -n|grep -c ^0.0.0.0` -ne "1" ] ; then
104 
		echo "Échec"
105 
		echo "Vous n'avez pas configuré l'accès à Internet ou le câble réseau n'est pas sur la bonne carte."
106 
		echo "Réglez ce problème avant de poursuivre."
107 
		exit 0
108 
	fi
109 
# On traite le cas où l'interface configurée lors de l'installation est "eth1" au lieu de "eth0" (mystère sur certains BIOS et sur VirtualBox)
110 
	if [ `/sbin/route -n|grep ^0.0.0.0|grep -c eth1` -eq "1" ] ; then
111 
		echo "Échec. La configuration des cartes réseau va être corrigée."
112 
		/etc/init.d/network stop
113 
		mv -f /etc/sysconfig/network-scripts/ifcfg-eth1 /etc/sysconfig/network-scripts/ifcfg-eth0
114 
		$SED "s?eth1?eth0?g" /etc/sysconfig/network-scripts/ifcfg-eth0
115 
		/etc/init.d/network start
116 
		echo 0 > /proc/sys/net/ipv4/conf/all/log_martians
117 
		sleep 2
118 
		echo "Configuration corrigée"
119 
		sleep 2
120 
		echo "Vous pouvez relancer ce script (sh alcasar.sh -install)."
121 
		exit 0
122 
	fi
123 
# On teste la connectivité Internet
124 
	rm -rf /tmp/con_ok.html
125 
	/usr/bin/curl www.google.fr -# -o /tmp/con_ok.html
126 
	if [ ! -e /tmp/con_ok.html ]
127 
	then
128 
		echo "La tentative de connexion vers Internet a échoué (google.fr)."
129 
		echo "Vérifiez que la carte $EXTIF est bien connectée au routeur du FAI."
130 
		echo "Vérifiez la validité des adresses DNS."
131 
		exit 0
132 
	fi
133 
	echo "Tests de connectivité Internet corrects"
134 
	rm -rf /tmp/con_ok.html
135 
# On configure les dépots et on les teste
148 franck 136 
	echo "Configuration des dépôts de paquetages Internet (repository)"
29 richard 137 
	chmod u+x $DIR_SCRIPTS/alcasar-urpmi.sh
138 
	$DIR_SCRIPTS/alcasar-urpmi.sh >/dev/null
139 
	if [ "$?" != "0" ]
140 
	then
141 
		echo
148 franck 142 
		echo "Une erreur s'est produite lors de la synchronisation avec les dépôts Internet"
143 
		echo "Relancez l'installation ultérieurement."
139 richard 144 
	       echo "Si vous rencontrez de nouveau ce problème, changez de dépôt en modifiant le fichier 'scripts/alcasar-urpmi.sh'"
29 richard 145 
		exit 0
146 
	fi
73 franck 147 
# On teste la mise à jour du système
72 franck 148 
	echo "Récupération des paquetages de mise à jour. Veuillez patienter ..."
287 richard 149 
	urpmi --auto --auto-update --quiet --test --retry 2
29 richard 150 
	if [ "$?" != "0" ]
151 
	then
152 
		echo
148 franck 153 
		echo "Une erreur  a été détectée lors de la récupération des paquetages de mise à jour."
154 
		echo "Relancez l'installation ultérieurement."
139 richard 155 
	       echo "Si vous rencontrez de nouveau ce problème, changez de dépôt en modifiant le fichier 'scripts/alcasar-urpmi.sh'"
29 richard 156 
		exit 0
157 
	fi
73 franck 158 
# On teste l'installation des paquetages complémentaires
72 franck 159 
	echo "Récupération des paquetages complémentaires. Veuillez patienter ..."
29 richard 160 
	urpmi --auto $PACKAGES --quiet --test
161 
	if [ "$?" != "0" ]
162 
	then
163 
		echo
148 franck 164 
		echo "Une erreur a été détectée lors de la récupération des paquetages complémentaires."
165 
		echo "Relancez l'installation ultérieurement."
139 richard 166 
	       echo "Si vous rencontrez de nouveau ce problème, changez de dépôt en modifiant le fichier 'scripts/alcasar-urpmi.sh'"
29 richard 167 
		exit 0
168 
	fi
169 
} # end of testing
170 
 
171 
##################################################################
1 root 172 
##			Fonction INIT				##
173 
## - Création du fichier "/root/ALCASAR_parametres.txt"		##
174 
## - Installation et modification des scripts du portail	##
29 richard 175 
## - Mise à jour système					##
1 root 176 
## - Installation des paquetages complémentaires		##
177 
##################################################################
178 
init ()
179 
{
5 franck 180 
	if [ ! "$mode" = "update" ]
1 root 181 
	then
182 
		header_install
5 franck 183 
# On affecte le nom d'organisme
1 root 184 
		header_install
185 
		ORGANISME=!
214 richard 186 
		PTN='^[a-zA-Z0-9-]*$'
1 root 187 
		until [[ $(expr $ORGANISME : $PTN) -gt 0 ]]
188 
                do
189 
			echo -n "Entrez le nom de votre organisme : "
190 
                        read ORGANISME
191 
                        if [ "$ORGANISME" = "" ]
192 
                                then
193 
                                ORGANISME=!
194 
                        fi
195 
                done
5 franck 196 
	fi
29 richard 197 
# On mets à jour le système
198 
	urpmi --auto --auto-update
199 
# On installe les paquetages complémentaires
200 
	urpmi --auto $PACKAGES
293 franck 201 
# On empêche les mises à jour de coova-chilli et freeradius par le biais des dépôts
202 
	echo -n "/^coova/" >> /etc/urpmi/skip.list
203 
	echo -n "/^freeradius/" >> /etc/urpmi/skip.list
287 richard 204 
# On supprime les paquetages, les services et les utilisateurs inutiles
259 richard 205 
	for rm_rpm in avahi mandi shorewall libc-icap0 cyrus-sasl
5 franck 206 
	do
287 richard 207 
		/usr/sbin/urpme --auto $rm_rpm --auto-orphans
5 franck 208 
	done
235 richard 209 
	for svc in alsa sound dm atd dc_server
5 franck 210 
	do
211 
		/sbin/chkconfig --del $svc
212 
	done
287 richard 213 
	for rm_users in avahi avahi-autoipd icapd
214 
	do
288 richard 215 
		user=`cat /etc/passwd|grep $rm_users`
216 
		if [ "$user" == "$rm_users" ]
287 richard 217 
		then
288 richard 218 
			/usr/sbin/userdel -f $rm_users
287 richard 219 
		fi
220 
	done
80 richard 221 
# On installe les RPMs spécifiques à la version
222 
	fic=`cat /etc/product.id`
223 
	old="$IFS"
224 
	IFS=","
225 
	set $fic
226 
	for i in $*
227 
	do
228 
		if [ "`echo $i|grep arch|cut -d'=' -f1`" == "arch" ]
229 
		then
230 
			ARCH=`echo $i|cut -d"=" -f2`
231 
		fi
232 
	done
233 
	IFS="$old"
234 
	urpmi --no-verify --auto $DIR_CONF/rpms/$ARCH/*.rpm
29 richard 235 
# On vide le répertoire temporaire
236 
	urpmi --clean
1 root 237 
# On crée aléatoirement les mots de passe et les secrets partagés
238 
	rm -f $FIC_PASSWD
59 richard 239 
	grubpwd=`cat /dev/urandom | tr -dc [:alnum:] | head -c8`	# mot de passe de protection du menu Grub
240 
	echo -n "mot de passe de protection du menu de démarrage (GRUB) : " > $FIC_PASSWD
241 
	echo "$grubpwd" >> $FIC_PASSWD
242 
	md5_grubpwd=`/usr/bin/md5pass $grubpwd`
243 
	sed -i "/^password.*/d" /boot/grub/menu.lst
244 
	sed -i "1ipassword --md5 $md5_grubpwd" /boot/grub/menu.lst
1 root 245 
	mysqlpwd=`cat /dev/urandom | tr -dc [:alnum:] | head -c8`	# mot de passe de l'administrateur Mysqld
59 richard 246 
	echo -n "compte et mot de passe de l'administrateur Mysqld : " >> $FIC_PASSWD
1 root 247 
	echo "root / $mysqlpwd" >> $FIC_PASSWD
248 
	radiuspwd=`cat /dev/urandom | tr -dc [:alnum:] | head -c8`	# mot de passe de l'utilisateur Mysqld (utilisé par freeradius)
249 
	echo -n "compte et mot de passe de l'utilisateur Mysqld : " >> $FIC_PASSWD
250 
	echo "$DB_USER / $radiuspwd" >> $FIC_PASSWD
251 
	secretuam=`cat /dev/urandom | tr -dc [:alnum:] | head -c8`	# secret partagé entre intercept.php et coova-chilli
252 
	echo -n "secret partagé entre le script 'intercept.php' et coova-chilli : " >> $FIC_PASSWD
253 
	echo "$secretuam" >> $FIC_PASSWD
254 
	secretradius=`cat /dev/urandom | tr -dc [:alnum:] | head -c8`	# secret partagé entre coova-chilli et FreeRadius
255 
	echo -n "secret partagé entre coova-chilli et FreeRadius : " >> $FIC_PASSWD
256 
	echo "$secretradius" >> $FIC_PASSWD
257 
	chmod 640 $FIC_PASSWD
258 
# On installe et on modifie les scripts d'Alcasar
5 franck 259 
	cp -f $DIR_SCRIPTS/alcasar* $DIR_DEST_BIN/. ; chown root:root $DIR_DEST_BIN/alcasar* ; chmod 740 $DIR_DEST_BIN/alcasar*
260 
	cp -f $DIR_SCRIPTS/sbin/alcasar* $DIR_DEST_SBIN/. ; chown root:root $DIR_DEST_SBIN/alcasar* ; chmod 740 $DIR_DEST_SBIN/alcasar*
261 
	cp -f $DIR_SCRIPTS/etc/alcasar* $DIR_DEST_ETC/. ; chown root:apache $DIR_DEST_ETC/alcasar* ; chmod 660 $DIR_DEST_ETC/alcasar*
1 root 262 
	$SED "s?^radiussecret.*?radiussecret=\"$secretradius\"?g" $DIR_DEST_SBIN/alcasar-logout.sh
263 
	$SED "s?^DB_RADIUS=.*?DB_RADIUS=\"$DB_RADIUS\"?g" $DIR_DEST_SBIN/alcasar-mysql.sh
5 franck 264 
	$SED "s?^DB_USER=.*?DB_USER=\"$DB_USER\"?g" $DIR_DEST_SBIN/alcasar-mysql.sh $DIR_DEST_BIN/alcasar-conf.sh
265 
	$SED "s?^radiuspwd=.*?radiuspwd=\"$radiuspwd\"?g" $DIR_DEST_SBIN/alcasar-mysql.sh $DIR_DEST_BIN/alcasar-conf.sh
1 root 266 
# On génère le début du fichier récapitulatif
267 
	cat <<EOF > $FIC_PARAM
268 
########################################################
269 
##                                                    ##
270 
##   Fichier récapitulatif des paramètres d'ALCASAR   ##
271 
##                                                    ##
272 
########################################################
273 
 
274 
- Date d'installation : $DATE
275 
- Version istallée : $VERSION
276 
- Organisme : $ORGANISME
277 
EOF
278 
	chmod o-rwx $FIC_PARAM
279 
} # End of init ()
280 
 
281 
##################################################################
282 
##			Fonction network			##
283 
## - Définition du plan d'adressage du réseau de consultation	##
284 
##  (merci à Alexandre Trias pour le calcul de masque et RegEx) ##
285 
## - Nommage DNS du système (portail + nom d'organisme)		##
286 
## - Configuration de l'interface eth1 (réseau de consultation)	##
287 
## - Modification du fichier /etc/hosts				##
288 
## - Configuration du serveur de temps (NTP)			##
289 
## - Renseignement des fichiers hosts.allow et hosts.deny	##
290 
##################################################################
291 
network ()
292 
{
293 
	header_install
294 
	echo "Par défaut, le plan d'adressage du réseau de consultation est : $CUSTOM_PRIVATE_NETWORK_MASK"
295 
	response=0
296 
	PTN='^[oOnN]$'
297 
	until [[ $(expr $response : $PTN) -gt 0 ]]
298 
		do
299 
			echo -n "Voulez-vous utiliser ce plan d'adressage (recommandé) (O/n)? : "
300 
			read response
301 
		done
302 
	if [ "$response" = "n" ] || [ "$response" = "N" ]
303 
	then
304 
		CUSTOM_PRIVATE_NETWORK_MASK="0"
305 
		PTN='^\([01]\?[[:digit:]][[:digit:]]\?\|2[0-4][[:digit:]]\|25[0-5]\).\([01]\?[[:digit:]][[:digit:]]\?\|2[0-4][[:digit:]]\|25[0-5]\).\([01]\?[[:digit:]][[:digit:]]\?\|2[0-4][[:digit:]]\|25[0-5]\).\([01]\?[[:digit:]][[:digit:]]\?\|2[0-4][[:digit:]]\|25[0-5]\)/[012]\?[[:digit:]]$'
306 
		until [[ $(expr $CUSTOM_PRIVATE_NETWORK_MASK : $PTN) -gt 0 ]]
307 
			do
308 
				echo -n "Entrez un plan d'adressage au format CIDR (a.b.c.d/xx) : "
309 
				read CUSTOM_PRIVATE_NETWORK_MASK
310 
 
311 
			done
312 
	fi
14 richard 313 
# Récupération de la config réseau côté "LAN de consultation"
1 root 314 
	HOSTNAME=alcasar-$ORGANISME
315 
	hostname $HOSTNAME
316 
	echo "- Nom du système : $HOSTNAME" >> $FIC_PARAM
317 
	PRIVATE_NETWORK=`/bin/ipcalc -n $CUSTOM_PRIVATE_NETWORK_MASK | cut -d"=" -f2`		# @ réseau de consultation (ex.: 192.168.182.0)
5 franck 318 
	private_prefix=`/bin/ipcalc -p $CUSTOM_PRIVATE_NETWORK_MASK |cut -d"=" -f2`		# prefixe du réseau (ex. 24)
1 root 319 
	PRIVATE_NETWORK_MASK=$PRIVATE_NETWORK/$private_prefix					# @ réseau + masque (x.0.0.0/8 ou x.y.0.0/16 ou x.y.z.0/24)
320 
	classe=$((private_prefix/8));								# classe de réseau (ex.: 2=classe B, 3=classe C)
321 
	PRIVATE_NETWORK_SHORT=`echo $PRIVATE_NETWORK | cut -d"." -f1-$classe`.			# @ compatible hosts.allow et hosts.deny (ex.: 192.168.182.)
322 
	PRIVATE_MASK=`/bin/ipcalc -m $PRIVATE_NETWORK_MASK | cut -d"=" -f2`			# masque réseau de consultation (ex.: 255.255.255.0)
323 
	PRIVATE_BROADCAST=`/bin/ipcalc -b $PRIVATE_NETWORK_MASK | cut -d"=" -f2`		# @ broadcast réseau de consultation (ex.: 192.168.182.255)
324 
	TMP_MASK=`echo $PRIVATE_NETWORK_MASK|cut -d"/" -f2`; HALF_MASK=`expr $TMP_MASK + 1`	# masque du 1/2 réseau de consultation (ex.: 25)
325 
	PRIVATE_STAT_IP=$PRIVATE_NETWORK/$HALF_MASK						# plage des adresses statiques (ex.: 192.168.182.0/25)
326 
	PRIVATE_STAT_MASK=`/bin/ipcalc -m $PRIVATE_STAT_IP/$HALF_MASK | cut -d"=" -f2`		# masque des adresses statiques (ex.: 255.255.255.128)
327 
	classe_sup=`expr $classe + 1`
328 
	classe_sup_sup=`expr $classe + 2`
329 
	private_network_ending=`echo $PRIVATE_NETWORK | cut -d"." -f$classe_sup`
330 
	private_broadcast_ending=`echo $PRIVATE_BROADCAST | cut -d"." -f$classe_sup`
331 
	private_plage=`expr $private_broadcast_ending - $private_network_ending + 1`
332 
	private_half_plage=`expr $private_plage / 2`
333 
	private_dyn=`expr $private_half_plage + $private_network_ending`
334 
	private_dyn_ip_network=`echo $PRIVATE_NETWORK | cut -d"." -f1-$classe`"."$private_dyn"."`echo $PRIVATE_NETWORK | cut -d"." -f$classe_sup_sup-5`
335 
	PRIVATE_DYN_IP=`echo $private_dyn_ip_network | cut -d"." -f1-4`/$HALF_MASK		# plage des adresses dynamiques (ex.: 192.168.182.128/25)
336 
	PRIVATE_DYN_MASK=`/bin/ipcalc -m $PRIVATE_DYN_IP/$HALF_MASK | cut -d"=" -f2`		# masque des adresses dynamiques (ex.: 255.255.255.128)
337 
	private_dyn_ip_network=`echo $PRIVATE_DYN_IP | cut -d"/" -f1`				# plage des adresses dynamiques sans le masque (ex.: 192.168.182.0)
338 
	private_dyn_ip_end=`echo $private_dyn_ip_network | cut -d"." -f4`			# dernier octet de la plage des adresses dynamiques (ex.: 128)
339 
	PRIVATE_DYN_FIRST_IP=`echo $private_dyn_ip_network | cut -d"." -f1-3`"."`expr $private_dyn_ip_end + 1`	# 1ère adresse de la plage dynamique (ex.: 192.168.182.129)
340 
	private_broadcast_end=`echo $PRIVATE_BROADCAST | cut -d"." -f4`
341 
	PRIVATE_DYN_LAST_IP=`echo $PRIVATE_BROADCAST | cut -d"." -f1-3`"."`expr $private_broadcast_end - 1`	# dernière adresse de la plage dynamique (ex.: 192.168.182.254)
14 richard 342 
	PRIVATE_IP=`echo $PRIVATE_NETWORK | cut -d"." -f1-3`"."`expr $private_network_end + 1`	# @ip du portail (côté réseau de consultation)
343 
# Récupération de la config réseau côté "Internet"
344 
	[ -e /etc/sysconfig/network-scripts/default-ifcfg-$EXTIF ] || cp /etc/sysconfig/network-scripts/ifcfg-$EXTIF /etc/sysconfig/network-scripts/default-ifcfg-$EXTIF
345 
	EXT_IP=`grep IPADDR /etc/sysconfig/network-scripts/default-ifcfg-$EXTIF|cut -d"=" -f2` 	# @ip du portail (côté Internet)
1 root 346 
	[ -e /etc/sysconfig/network.default ] || cp /etc/sysconfig/network /etc/sysconfig/network.default
14 richard 347 
	DNS1=`grep DNS1 /etc/sysconfig/network-scripts/default-ifcfg-$EXTIF|cut -d"=" -f2` 	# @ip 1er DNS
348 
	DNS2=`grep DNS2 /etc/sysconfig/network-scripts/default-ifcfg-$EXTIF|cut -d"=" -f2` 	# @ip 2ème DNS
70 franck 349 
	DNS1=${DNS1:=208.67.220.220}
350 
	DNS2=${DNS2:=208.67.222.222}
14 richard 351 
	EXT_NETMASK=`grep NETMASK /etc/sysconfig/network-scripts/default-ifcfg-$EXTIF|cut -d"=" -f2`
352 
	EXT_GATEWAY=`grep GATEWAY /etc/sysconfig/network-scripts/default-ifcfg-$EXTIF|cut -d"=" -f2`
353 
	echo "- Adresse IP 'côté Internet' ($EXTIF) : $EXT_IP / $EXT_NETMASK" >> $FIC_PARAM
354 
	echo "- Serveurs DNS renseignés : $DNS1 et $DNS2" >> $FIC_PARAM
355 
	echo "- Routeur de sortie : $EXT_GATEWAY" >> $FIC_PARAM
356 
# Configuration réseau
1 root 357 
	cat <<EOF > /etc/sysconfig/network
358 
NETWORKING=yes
359 
HOSTNAME="$HOSTNAME"
360 
FORWARD_IPV4=true
361 
EOF
362 
# Modif /etc/hosts
363 
	[ -e /etc/hosts.default ] || cp /etc/hosts /etc/hosts.default
364 
	cat <<EOF > /etc/hosts
365 
127.0.0.1	$HOSTNAME localhost.localdomain localhost
366 
$PRIVATE_IP	$HOSTNAME alcasar portail
367 
EOF
14 richard 368 
	echo "- Adresse IP 'côté réseau de consultation' ($INTIF) : $PRIVATE_IP / $PRIVATE_NETWORK_MASK" >> $FIC_PARAM
369 
	echo "    - plage d'adresses statiques : $PRIVATE_STAT_IP" >> $FIC_PARAM
370 
	echo "    - plage d'adresses dynamiques (via DHCP) : $PRIVATE_DYN_IP" >> $FIC_PARAM
371 
# Configuration de l'interface eth0 (Internet)
372 
	cat <<EOF > /etc/sysconfig/network-scripts/ifcfg-$EXTIF
373 
DEVICE=$EXTIF
374 
BOOTPROTO=static
375 
IPADDR=$EXT_IP
376 
NETMASK=$EXT_NETMASK
377 
GATEWAY=$EXT_GATEWAY
378 
DNS1=127.0.0.1
379 
ONBOOT=yes
380 
METRIC=10
381 
NOZEROCONF=yes
382 
MII_NOT_SUPPORTED=yes
383 
IPV6INIT=no
384 
IPV6TO4INIT=no
385 
ACCOUNTING=no
386 
USERCTL=no
387 
EOF
1 root 388 
# Configuration de l'interface eth1 (réseau de consultation)
389 
	cat <<EOF > /etc/sysconfig/network-scripts/ifcfg-$INTIF
390 
DEVICE=$INTIF
391 
BOOTPROTO=static
392 
IPADDR=$PRIVATE_IP
393 
NETMASK=$PRIVATE_MASK
394 
ONBOOT=yes
395 
METRIC=10
396 
NOZEROCONF=yes
397 
MII_NOT_SUPPORTED=yes
14 richard 398 
IPV6INIT=no
399 
IPV6TO4INIT=no
400 
ACCOUNTING=no
401 
USERCTL=no
1 root 402 
EOF
403 
# Configuration du serveur de temps
404 
	[ -e /etc/ntp.conf.default ] || cp /etc/ntp.conf /etc/ntp.conf.default
405 
	cat <<EOF > /etc/ntp.conf
406 
server 0.fr.pool.ntp.org
407 
server 1.fr.pool.ntp.org
408 
server 2.fr.pool.ntp.org
409 
restrict default nomodify notrap noquery
410 
restrict $PRIVATE_NETWORK mask $PRIVATE_MASK
411 
restrict 127.0.0.1
412 
driftfile /etc/ntp/drift
413 
logfile /var/log/ntp.log
414 
EOF
415 
	chown -R ntp:ntp /etc/ntp
416 
# Renseignement des fichiers hosts.allow et hosts.deny
417 
	[ -e /etc/hosts.allow.default ]  || cp /etc/hosts.allow /etc/hosts.allow.default
418 
	cat <<EOF > /etc/hosts.allow
419 
ALL: LOCAL, 127.0.0.1, localhost, $PRIVATE_IP
420 
sshd: $PRIVATE_NETWORK_SHORT
421 
ntpd: $PRIVATE_NETWORK_SHORT
422 
EOF
423 
	[ -e /etc/host.deny.default ]  || cp /etc/hosts.deny /etc/hosts.deny.default
424 
	cat <<EOF > /etc/hosts.deny
425 
ALL: ALL: spawn ( /bin/echo "service %d demandé par %c" | /bin/mail -s "Tentative d'accès au service %d par %c REFUSE !!!" security ) &
426 
EOF
427 
} # End of network ()
428 
 
429 
##################################################################
430 
##			Fonction gestion			##
431 
## - installation du centre de gestion				##
432 
## - configuration du serveur web (Apache)			##
433 
## - définition du 1er comptes de gestion 			##
434 
## - sécurisation des accès					##
435 
##################################################################
436 
gestion()
437 
{
438 
# Suppression des CGI et des pages WEB installés par défaut
439 
	rm -rf /var/www/cgi-bin/*
440 
	[ -d $DIR_WEB ] && rm -rf $DIR_WEB
441 
	mkdir $DIR_WEB
442 
# Copie et configuration des fichiers du centre de gestion
443 
	cp -rf $DIR_GESTION/* $DIR_WEB/
444 
	echo "$VERSION du $DATE" > $DIR_WEB/VERSION
445 
	$SED "s?99/99/9999?$DATE_SHORT?g" $DIR_WEB/menu.php
446 
	$SED "s?\$DB_RADIUS = .*?\$DB_RADIUS = \"$DB_RADIUS\"\;?g" $DIR_WEB/phpsysinfo/includes/xml/portail.php
447 
	$SED "s?\$DB_USER = .*?\$DB_USER = \"$DB_USER\"\;?g" $DIR_WEB/phpsysinfo/includes/xml/portail.php
448 
	$SED "s?\$radiuspwd = .*?\$radiuspwd = \"$radiuspwd\"\;?g" $DIR_WEB/phpsysinfo/includes/xml/portail.php
449 
	chmod 640 $DIR_WEB/phpsysinfo/includes/xml/portail.php
5 franck 450 
	chown -R apache:apache $DIR_WEB/*
1 root 451 
	for i in ISO base logs/firewall logs/httpd logs/squid ;
452 
	do
453 
		[ -d $DIR_SAVE/$i ] || mkdir -p $DIR_SAVE/$i
454 
	done
5 franck 455 
	chown -R root:apache $DIR_SAVE
71 richard 456 
# Configuration et sécurisation php
457 
	[ -e /etc/php.ini.default ] || cp /etc/php.ini /etc/php.ini.default
1 root 458 
	$SED "s?^upload_max_filesize.*?upload_max_filesize = 20M?g" /etc/php.ini
459 
	$SED "s?^post_max_size.*?post_max_size = 20M?g" /etc/php.ini
71 richard 460 
	$SED "s?^html_errors.*?html_errors = Off?g" /etc/php.ini
461 
	$SED "s?^expose_php.*?expose_php = Off?g" /etc/php.ini
462 
# Configuration et sécurisation Apache
1 root 463 
	[ -e /etc/httpd/conf/httpd.conf.default ] || cp /etc/httpd/conf/httpd.conf /etc/httpd/conf/httpd.conf.default
464 
	$SED "s?^#ServerName.*?ServerName $PRIVATE_IP?g" /etc/httpd/conf/httpd.conf
465 
	$SED "s?^Listen.*?#Listen 127.0.0.1:80?g" /etc/httpd/conf/httpd.conf
466 
	$SED "s?^ServerTokens.*?ServerTokens Prod?g" /etc/httpd/conf/httpd.conf
467 
	$SED "s?^ServerSignature.*?ServerSignature Off?g" /etc/httpd/conf/httpd.conf
468 
	$SED "s?^#ErrorDocument 404 /missing.html.*?ErrorDocument 404 /index.html?g" /etc/httpd/conf/httpd.conf
469 
	FIC_MOD_SSL=`find /etc/httpd/modules.d/ -type f -name *mod_ssl.conf`
470 
	$SED "s?^Listen.*?Listen $PRIVATE_IP:443?g" $FIC_MOD_SSL # On écoute en SSL que sur INTIF
471 
	$SED "s?background-color.*?background-color: #EFEFEF; }?g" /var/www/error/include/top.html
472 
	[ -e /var/www/error/include/bottom.html.default ] || mv /var/www/error/include/bottom.html /var/www/error/include/bottom.html.default
473 
	cat <<EOF > /var/www/error/include/bottom.html
474 
</body>
475 
</html>
476 
EOF
477 
	echo "- URL d'accès au centre de gestion : https://$PRIVATE_IP" >> $FIC_PARAM
478 
# Définition du premier compte lié au profil 'admin'
479 
	if [ "$mode" = "install" ]
480 
	then
481 
		header_install
482 
		echo "Pour administrer Alcasar via le centre de gestion WEB, trois profils de comptes ont été définis :"
483 
		echo " - le profil 'admin' capable de réaliser toutes les opérations"
484 
		echo " - le profil 'backup' lié uniquement aux fonctions d'archivage"
485 
		echo " - le profil 'manager' lié uniquement aux fonctions de gestion des usagers"
486 
		echo ""
487 
		echo "Définissez le premier compte du profil 'admin' :"
488 
		echo
489 
		echo -n "Nom : "
490 
		read admin_portail
491 
		echo "- Nom du premier compte lié au profil 'admin' : $admin_portail" >> $FIC_PARAM
492 
# Création du fichier de clés de ce compte dans le profil "admin"
493 
		[ -d $DIR_WEB/digest ] && rm -rf $DIR_WEB/digest
494 
		mkdir -p $DIR_WEB/digest
495 
		chmod 755 $DIR_WEB/digest
496 
		until [ -s $DIR_WEB/digest/key_admin ]
497 
			do
498 
				/usr/sbin/htdigest -c $DIR_WEB/digest/key_admin $HOSTNAME $admin_portail
499 
			done
500 
# Création des fichiers de clés des deux autres profils (backup + manager) contenant ce compte
501 
		$DIR_DEST_SBIN/alcasar-profil.sh -list
502 
	fi
109 richard 503 
# synchronisation horaire
504 
	ntpd -q -g &
1 root 505 
# Sécurisation du centre
506 
	rm -f /etc/httpd/conf/webapps.d/*
507 
	cat <<EOF > /etc/httpd/conf/webapps.d/alcasar.conf
508 
<Directory $DIR_WEB/digest>
509 
	AllowOverride none
510 
	Order deny,allow
511 
	Deny from all
512 
</Directory>
513 
<Directory $DIR_WEB/admin>
514 
	SSLRequireSSL
515 
	AllowOverride None
516 
	Order deny,allow
517 
	Deny from all
518 
	Allow from 127.0.0.1
519 
	Allow from $PRIVATE_NETWORK_MASK
520 
	require valid-user
521 
	AuthType digest
522 
	AuthName $HOSTNAME
523 
	BrowserMatch "MSIE" AuthDigestEnableQueryStringHack=On
524 
	AuthUserFile $DIR_WEB/digest/key_admin
525 
	ErrorDocument 404 https://$PRIVATE_IP/
526 
</Directory>
527 
<Directory $DIR_WEB/manager/htdocs>
528 
	SSLRequireSSL
529 
	AllowOverride None
530 
	Order deny,allow
531 
	Deny from all
532 
	Allow from 127.0.0.1
533 
	Allow from $PRIVATE_NETWORK_MASK
534 
	require valid-user
535 
	AuthType digest
536 
	AuthName $HOSTNAME
537 
	BrowserMatch "MSIE" AuthDigestEnableQueryStringHack=On
538 
	AuthUserFile $DIR_WEB/digest/key_manager
539 
	ErrorDocument 404 https://$PRIVATE_IP/
540 
</Directory>
541 
<Directory $DIR_WEB/manager/html>
542 
	SSLRequireSSL
543 
	AllowOverride None
544 
	Order deny,allow
545 
	Deny from all
546 
	Allow from 127.0.0.1
547 
	Allow from $PRIVATE_NETWORK_MASK
548 
	require valid-user
549 
	AuthType digest
550 
	AuthName $HOSTNAME
551 
	BrowserMatch "MSIE" AuthDigestEnableQueryStringHack=On
552 
	AuthUserFile $DIR_WEB/digest/key_manager
553 
	ErrorDocument 404 https://$PRIVATE_IP/
554 
</Directory>
555 
<Directory $DIR_WEB/backup>
556 
	SSLRequireSSL
557 
	AllowOverride None
558 
	Order deny,allow
559 
	Deny from all
560 
	Allow from 127.0.0.1
561 
	Allow from $PRIVATE_NETWORK_MASK
562 
	require valid-user
563 
	AuthType digest
564 
	AuthName $HOSTNAME
565 
	BrowserMatch "MSIE" AuthDigestEnableQueryStringHack=On
566 
	AuthUserFile $DIR_WEB/digest/key_backup
567 
	ErrorDocument 404 https://$PRIVATE_IP/
568 
</Directory>
569 
Alias /save/ "$DIR_SAVE/"
570 
<Directory $DIR_SAVE>
571 
	SSLRequireSSL
572 
	Options Indexes
573 
	Order deny,allow
574 
	Deny from all
575 
	Allow from 127.0.0.1
576 
	Allow from $PRIVATE_NETWORK_MASK
577 
	require valid-user
578 
	AuthType digest
579 
	AuthName $HOSTNAME
580 
	AuthUserFile $DIR_WEB/digest/key_backup
581 
	ErrorDocument 404 https://$PRIVATE_IP/
582 
	ReadmeName	/readmeSave.html
583 
</Directory>
584 
EOF
585 
} # End of gestion ()
586 
 
587 
##########################################################################################
588 
##				Fonction AC()						##
589 
## - Création d'une Autorité de Certification et du certificat serveur pour apache 	##
590 
##########################################################################################
591 
AC ()
592 
{
593 
	$SED "s?ifcfg-eth.?ifcfg-$INTIF?g" $DIR_DEST_BIN/alcasar-CA.sh
594 
	$DIR_DEST_BIN/alcasar-CA.sh $mode
595 
	MOD_SSL=`find /etc/httpd/conf -type f -name *default_ssl*`
596 
	$SED "s?localhost.crt?alcasar.crt?g" $MOD_SSL
597 
	$SED "s?localhost.key?alcasar.key?g" $MOD_SSL
5 franck 598 
	chown -R root:apache /etc/pki
1 root 599 
	chmod -R 750 /etc/pki
600 
} # End AC ()
601 
 
602 
##########################################################################################
603 
##			Fonction init_db()						##
604 
## - Initialisation de la base Mysql							##
605 
## - Affectation du mot de passe de l'administrateur (root)				##
606 
## - Suppression des bases et des utilisateurs superflus				##
607 
## - Création de la base 'radius'							##
608 
## - Installation du schéma de cette base						##
609 
## - Import des tables de comptabilité (mtotacct, totacct) et info_usagers (userinfo)	##
610 
##       ces table proviennent de 'dialupadmin' (paquetage freeradius-web)		##
611 
##########################################################################################
612 
init_db ()
613 
{
614 
	mkdir -p /var/lib/mysql/.tmp
615 
	chown mysql:mysql /var/lib/mysql/.tmp
227 franck 616 
	[ -e /etc/my.cnf.rpmnew ] && mv /etc/my.cnf.rpmnew /etc/my.cnf		# prend en compte les migrations de MySQL
1 root 617 
	[ -e /etc/my.cnf.default ] || cp /etc/my.cnf /etc/my.cnf.default
618 
	$SED "s?^#bind-address.*?bind-address=127.0.0.1?g" /etc/my.cnf
619 
	/etc/init.d/mysqld start
620 
	sleep 4
621 
	mysqladmin -u root password $mysqlpwd
622 
	MYSQL="/usr/bin/mysql -uroot -p$mysqlpwd --exec"
623 
# On supprime les tables d'exemple
624 
	$MYSQL="DROP DATABASE IF EXISTS test;DROP DATABASE IF EXISTS tmp;CONNECT mysql;DELETE from user where user='';FLUSH PRIVILEGES;"
625 
	# On crée la base 'radius'
626 
	$MYSQL="CREATE DATABASE IF NOT EXISTS $DB_RADIUS;GRANT ALL ON $DB_RADIUS.* TO $DB_USER@localhost IDENTIFIED BY '$radiuspwd';FLUSH PRIVILEGES"
627 
	FICSQL_LIBFREERADIUS=`find /etc/raddb/sql/mysql -type f -name schema.sql`
628 
	mysql -u$DB_USER -p$radiuspwd $DB_RADIUS < $FICSQL_LIBFREERADIUS
629 
	$MYSQL="connect $DB_RADIUS;ALTER table radpostauth DROP column pass;"
630 
# Ajout des tables de comptabilité journalière et mensuelle (accounting)
631 
	DIRSQL_FREERADIUS=`find /usr/share/doc/freeradius-web* -type d -name mysql`
632 
	mysql -u$DB_USER -p$radiuspwd $DB_RADIUS < $DIRSQL_FREERADIUS/mtotacct.sql
633 
	mysql -u$DB_USER -p$radiuspwd $DB_RADIUS < $DIRSQL_FREERADIUS/totacct.sql
634 
# correction d'un bug sur la table 'userinfo' avant import
635 
	$SED "s?^  id int(10).*?  id int(10) NOT NULL auto_increment,?g" $DIRSQL_FREERADIUS/userinfo.sql
636 
	mysql -u$DB_USER -p$radiuspwd $DB_RADIUS < $DIRSQL_FREERADIUS/userinfo.sql
637 
# correction d'un bug sur la table 'badusers' avant import (elle reste inutilisée par Alcasar pour l'instant)
638 
	#$SED "s?^  id int(10).*?  id int(10) NOT NULL auto_increment,?g" $DIRSQL_FREERADIUS/badusers.sql
639 
	#mysql -u$DB_USER -p$radiuspwd $DB_RADIUS < $DIRSQL_FREERADIUS/badusers.sql
640 
} # End init_db ()
641 
 
642 
##########################################################################
643 
##			Fonction param_radius				##
644 
## - Paramètrage des fichiers de configuration FreeRadius		##
645 
## - Affectation du secret partagé entre coova-chilli et freeradius	##
646 
## - Modification de fichier de conf pour l'accès à Mysql		##
647 
##########################################################################
648 
param_radius ()
649 
{
650 
	cp -f $DIR_CONF/radiusd-db-vierge.sql /etc/raddb/
651 
	chown -R radius:radius /etc/raddb
652 
	[ -e /etc/raddb/radiusd.conf.default ] || cp /etc/raddb/radiusd.conf /etc/raddb/radiusd.conf.default
653 
# paramètrage radius.conf
654 
	$SED "s?^[\t ]*#[\t ]*user =.*?user = radius?g" /etc/raddb/radiusd.conf
655 
	$SED "s?^[\t ]*#[\t ]*group =.*?group = radius?g" /etc/raddb/radiusd.conf
656 
	$SED "s?^[\t ]*status_server =.*?status_server = no?g" /etc/raddb/radiusd.conf
657 
# suppression de la fonction proxy
658 
	$SED "s?^[\t ]*proxy_requests.*?proxy_requests = no?g" /etc/raddb/radiusd.conf
659 
	$SED "s?^[\t ]*\$INCLUDE proxy.conf.*?#\$INCLUDE proxy.conf?g" /etc/raddb/radiusd.conf
660 
# écoute sur loopback uniquement (à modifier plus tard pour l'EAP)
661 
	$SED "s?^[\t ]*ipaddr =.*?ipaddr = 127.0.0.1?g" /etc/raddb/radiusd.conf
662 
# prise en compte du module SQL et des compteurs SQL
663 
	$SED "s?^[\t ]*#[\t ]*\$INCLUDE sql.conf.*?\$INCLUDE sql.conf?g" /etc/raddb/radiusd.conf
664 
	$SED "s?^[\t ]*#[\t ]*\$INCLUDE sql/mysql/counter.conf?\$INCLUDE sql/mysql/counter.conf?g" /etc/raddb/radiusd.conf
665 
	$SED "s?^[\t ]*\$INCLUDE policy.conf?#\$INCLUDE policy.conf?g" /etc/raddb/radiusd.conf
666 
# purge du répertoire des serveurs virtuels et copie du fichier de configuration d'Alcasar
667 
	rm -f /etc/raddb/sites-enabled/*
668 
       	cp $DIR_CONF/alcasar-radius /etc/raddb/sites-available/alcasar
669 
	chown radius:apache /etc/raddb/sites-available/alcasar /etc/raddb/modules/ldap # droits rw pour apache (module ldap)
670 
	chmod 660 /etc/raddb/sites-available/alcasar /etc/raddb/modules/ldap
671 
	chgrp apache /etc/raddb /etc/raddb/sites-available /etc/raddb/modules
672 
	ln -s /etc/raddb/sites-available/alcasar /etc/raddb/sites-enabled/alcasar
673 
	# Inutile dans notre fonctionnement mais les liens sont recrés par un update de radius ... donc là forcé en tant que fichier
674 
	touch /etc/raddb/sites-enabled/{inner-tunnel,control-socket,default}
675 
# configuration du fichier client.conf (127.0.0.1 suffit mais on laisse le deuxième client pour la future gestion de l'EAP)
676 
	[ -e /etc/raddb/clients.conf.default ] || cp -f /etc/raddb/clients.conf /etc/raddb/clients.conf.default
677 
	cat << EOF > /etc/raddb/clients.conf
678 
client 127.0.0.1 {
679 
	secret = $secretradius
680 
	shortname = localhost
681 
}
682 
client $PRIVATE_NETWORK_MASK {
683 
	secret = $secretradius
684 
	shortname = localhost
685 
}
686 
EOF
687 
# modif sql.conf
688 
	[ -e /etc/raddb/sql.conf.default ] || cp /etc/raddb/sql.conf /etc/raddb/sql.conf.default
689 
	$SED "s?^[\t ]*login =.*?login = \"$DB_USER\"?g" /etc/raddb/sql.conf
690 
	$SED "s?^[\t ]*password =.*?password = \"$radiuspwd\"?g" /etc/raddb/sql.conf
691 
	$SED "s?^[\t ]*radius_db =.*?radius_db = \"$DB_RADIUS\"?g" /etc/raddb/sql.conf
692 
	$SED "s?^[\t ]*sqltrace =.*?sqltrace = no?g" /etc/raddb/sql.conf
693 
# modif dialup.conf
694 
	[ -e /etc/raddb/sql/mysql/dialup.conf.default ] || cp /etc/raddb/sql/mysql/dialup.conf /etc/raddb/sql/mysql/dialup.conf.default
695 
	cp -f $DIR_CONF/dialup.conf /etc/raddb/sql/mysql/dialup.conf
696 
} # End param_radius ()
697 
 
698 
##########################################################################
699 
##			Fonction param_web_radius			##
700 
## - Import, modification et paramètrage de l'interface "dialupadmin"	##
701 
## - Création du lien vers la page de changement de mot de passe        ##
702 
##########################################################################
703 
param_web_radius ()
704 
{
705 
# copie de l'interface d'origine dans la structure Alcasar
706 
	[ -d /usr/share/freeradius-web ] && cp -rf /usr/share/freeradius-web/* $DIR_WEB/manager/
707 
# copie des fichiers modifiés et suppression des fichiers inutiles
708 
	cp -rf $DIR_GESTION/manager/* $DIR_WEB/manager/
709 
	rm -f $DIR_WEB/manager/index.html $DIR_WEB/manager/readme
710 
	rm -f $DIR_WEB/manager/htdocs/about.html $DIR_WEB/manager/htdocs/index.html $DIR_WEB/manager/htdocs/content.html
5 franck 711 
	chown -R apache:apache $DIR_WEB/manager/
1 root 712 
# Modification du fichier de configuration
713 
	[ -e /etc/freeradius-web/admin.conf.default ] || cp /etc/freeradius-web/admin.conf /etc/freeradius-web/admin.conf.default
5 franck 714 
	$SED "s?^general_domain:.*?general_domain: $ORGANISME.$DOMAIN?g" /etc/freeradius-web/admin.conf
1 root 715 
	$SED "s?^sql_username:.*?sql_username: $DB_USER?g" /etc/freeradius-web/admin.conf
716 
	$SED "s?^sql_password:.*?sql_password: $radiuspwd?g" /etc/freeradius-web/admin.conf
717 
	$SED "s?^sql_debug:.*?sql_debug: false?g" /etc/freeradius-web/admin.conf
718 
	$SED "s?^sql_usergroup_table: .*?sql_usergroup_table: radusergroup?g" /etc/freeradius-web/admin.conf
719 
	$SED "s?^sql_password_attribute:.*?sql_password_attribute: Crypt-Password?g" /etc/freeradius-web/admin.conf
720 
	$SED "s?^general_finger_type.*?# general_finger_type: snmp?g" /etc/freeradius-web/admin.conf
721 
	$SED "s?^general_stats_use_totacct.*?general_stats_use_totacct: yes?g" /etc/freeradius-web/admin.conf
131 richard 722 
	cat <<EOF > /etc/freeradius-web/naslist.conf
1 root 723 
nas1_name: alcasar.%{general_domain}
724 
nas1_model: Portail captif
725 
nas1_ip: $PRIVATE_IP
726 
nas1_port_num: 0
727 
nas1_community: public
728 
EOF
729 
# Modification des attributs visibles lors de la création d'un usager ou d'un groupe
730 
	[ -e /etc/freeradius-web/user_edit.attrs.default ] || mv /etc/freeradius-web/user_edit.attrs /etc/freeradius-web/user_edit.attrs.default
731 
	cp -f $DIR_CONF/user_edit.attrs /etc/freeradius-web/user_edit.attrs
114 richard 732 
# Ajout du mappage des attributs chillispot
733 
	[ -e /etc/freeradius-web/sql.attrmap.default ] || mv /etc/freeradius-web/sql.attrmap /etc/freeradius-web/sql.attrmap.default
734 
	cp -f $DIR_CONF/sql.attrmap /etc/freeradius-web/sql.attrmap
1 root 735 
# Modification des attributs visibles sur les pages des statistiques (suppression NAS_IP et NAS_port)
736 
	[ -e /etc/freeradius-web/sql.attrs.default ] || cp /etc/freeradius-web/sql.attrs /etc/freeradius-web/user_edit.attrs.default
737 
	$SED "s?^NASIPAddress.*?NASIPAddress\tNas IP Address\tno?g" /etc/freeradius-web/sql.attrs
738 
	$SED "s?^NASPortId.*?NASPortId\tNas Port\tno?g" /etc/freeradius-web/sql.attrs
5 franck 739 
	chown -R apache:apache /etc/freeradius-web
1 root 740 
# Ajout de l'alias vers la page de "changement de mot de passe usager"
741 
	cat <<EOF >> /etc/httpd/conf/webapps.d/alcasar.conf
742 
Alias /pass/ "$DIR_WEB/manager/pass/"
743 
<Directory $DIR_WEB/manager/pass>
744 
	SSLRequireSSL
745 
	AllowOverride None
746 
	Order deny,allow
747 
	Deny from all
748 
	Allow from 127.0.0.1
749 
	Allow from $PRIVATE_NETWORK_MASK
750 
	ErrorDocument 404 https://$PRIVATE_IP
751 
</Directory>
752 
EOF
753 
	echo "- URL pour le changement du mot de passe usager : https://$PRIVATE_IP/pass/" >> $FIC_PARAM
754 
} # End of param_web_radius ()
755 
 
756 
##########################################################################
757 
##			Fonction param_chilli				##
758 
## - Paramètrage du fichier de configuration de coova-chilli		##
759 
## - Paramètrage de la page d'authentification (intercept.php)		##
760 
##########################################################################
761 
param_chilli ()
762 
{
763 
# modification du générateur du fichier de conf
764 
	[ -e /etc/chilli/functions.default ] || cp /etc/chilli/functions /etc/chilli/functions.default
142 richard 765 
	# suppression du domaine "coova.org" dans la primitive uamallowed
14 richard 766 
	$SED "s?www.coova.org,??g" /etc/chilli/functions
142 richard 767 
	# suppression de la primitive "uamanydns"
1 root 768 
	$SED "s?uamanydns??g" /etc/chilli/functions
142 richard 769 
	# on fixe la socket de commande local (/var/run/chilli.sock)
112 richard 770 
	$SED "s?^CMDSOCK=.*?CMDSOCK=\$RUN_D/chilli.sock?g" /etc/chilli/functions
142 richard 771 
# modification du fichier d'initialisation
1 root 772 
	[ -e /etc/init.d/chilli.default ] || cp /etc/init.d/chilli /etc/init.d/chilli.default
235 richard 773 
	# configuration d'eth1 (utile pour dnsmasq))
142 richard 774 
	$SED "s?ifconfig.*?ifconfig \$HS_LANIF $PRIVATE_IP?g" /etc/init.d/chilli
775 
	# ajout de la fontion 'status' (utile pour la gestion du process)
776 
	$SED "/^[\t ]*stop)/i\    status)\n        status chilli\n        RETVAL=$?\n        ;;\n" /etc/init.d/chilli
235 richard 777 
	# insertion d'une tempo sur le 'restart' pour permettre à tun0 d'être libérée
778 
	$SED "/^[\t ]*\$0 start/i\        sleep 2" /etc/init.d/chilli
1 root 779 
# création du fichier de conf
780 
	cp /etc/chilli/defaults /etc/chilli/config
781 
	$SED "s?^# HS_WANIF=.*?HF_WANIF=$EXTIF?g" /etc/chilli/config
782 
	$SED "s?^HS_LANIF=.*?HS_LANIF=$INTIF?g" /etc/chilli/config
783 
	$SED "s?^HS_NETWORK=.*?HS_NETWORK=$PRIVATE_NETWORK?g" /etc/chilli/config
784 
	$SED "s?^HS_NETMASK=.*?HS_NETMASK=$PRIVATE_MASK?g" /etc/chilli/config
785 
	$SED "s?^HS_UAMLISTEN=.*?HS_UAMLISTEN=$PRIVATE_IP?g" /etc/chilli/config
786 
	$SED "s?^HS_UAMPORT=.*?HS_UAMPORT=$UAMPORT?g" /etc/chilli/config
787 
	$SED "s?^# HS_DYNIP=.*?HS_DYNIP=$PRIVATE_DYN_IP?g" /etc/chilli/config
788 
	$SED "s?^# HS_DYNIP_MASK=.*?HS_DYNIP_MASK=$PRIVATE_DYN_MASK?g" /etc/chilli/config
789 
	$SED "s?^# HS_STATIP=.*?HS_STATIP=$PRIVATE_STAT_IP?g" /etc/chilli/config
790 
	$SED "s?^# HS_STATIP_MASK.*?HS_STATIP_MASK=$PRIVATE_STAT_MASK?g" /etc/chilli/config
791 
	$SED "s?^# HS_DNS_DOMAIN=.*?HS_DNS_DOMAIN=$DOMAIN?g" /etc/chilli/config
5 franck 792 
	$SED "s?^HS_DNS1=.*?HS_DNS1=$PRIVATE_IP?g" /etc/chilli/config
793 
	$SED "s?^HS_DNS2=.*?HS_DNS2=$PRIVATE_IP?g" /etc/chilli/config
1 root 794 
	$SED "s?^HS_UAMSECRET=.*?HS_UAMSECRET=$secretuam?g" /etc/chilli/config
795 
	$SED "s?^HS_RADIUS=.*?HS_RADIUS=127.0.0.1?g" /etc/chilli/config
796 
	$SED "s?^HS_RADIUS2=.*?HS_RADIUS2=127.0.0.1?g" /etc/chilli/config
797 
	$SED "s?^HS_RADSECRET=.*?HS_RADSECRET=$secretradius?g" /etc/chilli/config
798 
	$SED "s?^HS_UAMALLOW=.*?# HS_UAMALLOW?g" /etc/chilli/config
799 
	$SED "s?^HS_UAMSERVER=.*?HS_UAMSERVER=$PRIVATE_IP?g" /etc/chilli/config
800 
	$SED "s?^HS_UAMFORMAT=.*?HS_UAMFORMAT=https://\$HS_UAMSERVER/intercept.php?g" /etc/chilli/config
801 
	$SED "s?^HS_UAMHOMEPAGE=.*?HS_UAMHOMEPAGE=?g" /etc/chilli/config
802 
	$SED "s?^HS_UAMSERVICE=.*?# HS_UAMSERVICE?g" /etc/chilli/config
803 
	$SED "s?^# HS_ANYIP=.*?HS_ANYIP=on?g" /etc/chilli/config
804 
	$SED "s?^# HS_DNSPARANOIA=.*?HS_DNSPARANOIA=on?g" /etc/chilli/config
805 
	$SED "s?^HS_LOC_NAME=.*?HS_LOC_NAME=\"$HOSTNAME\"?g" /etc/chilli/config
806 
	$SED "s?^HS_WWWDIR.*?# HS_WWWDIR?g" /etc/chilli/config
807 
	$SED "s?^HS_WWWBIN.*?# HS_WWWBIN?g" /etc/chilli/config
808 
	$SED "s?^HS_PROVIDER_LINK.*?HS_PROVIDER_LINK=https://\$HS_UAMSERVER/?g" /etc/chilli/config
809 
	echo "HS_COAPORT=3799" >> /etc/chilli/config
112 richard 810 
	echo "HS_ADMINTERVAL=0" >> /etc/chilli/config
1 root 811 
# création des fichiers de sites, d'urls et d'adresses MAC de confiance
812 
	echo -e "HS_UAMALLOW=\"\"" > /etc/chilli/alcasar-uamallowed
813 
	echo -e "HS_UAMDOMAINS=\"\"" > /etc/chilli/alcasar-uamdomain
814 
	$SED "s?^# HS_MACAUTHMODE=.*?HS_MACAUTHMODE=local?g" /etc/chilli/config
139 richard 815 
	echo -e "HS_MACALLOW=\"\"" > /etc/chilli/alcasar-macallowed
1 root 816 
	chown root:apache /etc/chilli/alcasar-*
817 
	chmod 660 /etc/chilli/alcasar-*
818 
	echo ". /etc/chilli/alcasar-uamallowed" >> /etc/chilli/config
819 
	echo ". /etc/chilli/alcasar-uamdomain" >> /etc/chilli/config
820 
	echo ". /etc/chilli/alcasar-macallowed" >> /etc/chilli/config
821 
	echo "- URL de deconnexion du portail : http://$PRIVATE_IP:$UAMPORT/logoff" >> $FIC_PARAM
822 
# Définition du secret partagé entre coova-chilli et la page d'authentification (intercept.php)
823 
	$SED "s?^\$uamsecret =.*?\$uamsecret = \"$secretuam\";?g" $DIR_WEB/intercept.php
824 
	$SED "s?^\$userpassword=1.*?\$userpassword=1;?g" $DIR_WEB/intercept.php
825 
	$SED "s?^\$organisme = .*?\$organisme = \"$ORGANISME\";?g" $DIR_WEB/intercept.php
826 
# Suppression des modifications "iptables" effectuées lors du lancement du daemon coova
827 
	$SED "s?^    iptables \$opt \$\*?#   iptables \$opt \$\*?g" /etc/chilli/up.sh
828 
}  # End of param_chilli ()
829 
 
830 
##########################################################
831 
##			Fonction param_squid		##
832 
## - Paramètrage du proxy 'squid' en mode 'cache'	##
833 
## - Initialisation de la base de données  		##
834 
##########################################################
835 
param_squid ()
836 
{
837 
# paramètrage de Squid (connecté en série derrière Dansguardian)
838 
	[ -e /etc/squid/squid.conf.default  ] || cp /etc/squid/squid.conf /etc/squid/squid.conf.default
839 
# suppression des références 'localnet', 'icp', 'htcp' et 'always_direct'
840 
	$SED "/^acl localnet/d" /etc/squid/squid.conf
841 
	$SED "/^icp_access allow localnet/d" /etc/squid/squid.conf
842 
	$SED "/^icp_port 3130/d" /etc/squid/squid.conf
843 
	$SED "/^http_access allow localnet/d" /etc/squid/squid.conf
844 
	$SED "/^htcp_access allow localnet/d" /etc/squid/squid.conf
845 
	$SED "/^always_direct allow localnet/d" /etc/squid/squid.conf
846 
# mode 'proxy transparent local'
847 
	$SED "s?^http_port.*?http_port 127.0.0.1:$SQUID_PORT transparent?g" /etc/squid/squid.conf
848 
# compatibilité des logs avec awstats
849 
	$SED "s?^# emulate_httpd_log.*?emulate_httpd_log on?g" /etc/squid/squid.conf
850 
	$SED "s?^access_log.*?access_log /var/log/squid/access.log?g" /etc/squid/squid.conf
851 
# Initialisation du cache de Squid
852 
	/usr/sbin/squid -z
853 
}  # End of param_squid ()
854 
 
855 
##################################################################
856 
##		Fonction param_dansguardian			##
857 
## - Paramètrage du gestionnaire de contenu Dansguardian	##
858 
## - Copie de la blacklist de toulouse  			##
859 
##################################################################
860 
param_dansguardian ()
861 
{
862 
# modification du fichier d'initialisation (correction de la procédure d'arret)
863 
	[ -e /etc/init.d/dansguardian.default ] || cp /etc/init.d/dansguardian /etc/init.d/dansguardian.default
864 
	cp -f $DIR_CONF/dansguardian-init /etc/init.d/dansguardian
865 
	mkdir /var/dansguardian
866 
	chown dansguardian /var/dansguardian
867 
	[ -e /etc/dansguardian/dansguardian.conf.default ] || cp /etc/dansguardian/dansguardian.conf /etc/dansguardian/dansguardian.conf.default
868 
# par défaut, le filtrage WEB est désactivé
869 
	$SED "s/^reportinglevel =.*/reportinglevel = -1/g" /etc/dansguardian/dansguardian.conf
870 
# la page d'interception est en français
871 
	$SED "s?^language =.*?language = french?g" /etc/dansguardian/dansguardian.conf
872 
# on limite l'écoute de Dansguardian côté LAN
873 
	$SED "s?^filterip =.*?filterip = $PRIVATE_IP?g" /etc/dansguardian/dansguardian.conf
75 richard 874 
# on chaîne Dansguardian au proxy antivirus HAVP
80 richard 875 
	$SED "s?^proxyport.*?proxyport = 8090?g" /etc/dansguardian/dansguardian.conf
1 root 876 
# on remplace la page d'interception (template)
877 
	cp -f $DIR_CONF/template.html /usr/share/dansguardian/languages/ukenglish/
878 
	cp -f $DIR_CONF/template-fr.html /usr/share/dansguardian/languages/french/template.html
879 
# on ne loggue que les deny (pour le reste, on a squid)
880 
	$SED "s?^loglevel =.*?loglevel = 1?g" /etc/dansguardian/dansguardian.conf
881 
# on désactive par défaut le controle de contenu des pages html
882 
	$SED "s?^weightedphrasemode =.*?weightedphrasemode = 0?g" /etc/dansguardian/dansguardian.conf
883 
	cp /etc/dansguardian/lists/bannedphraselist /etc/dansguardian/lists/bannedphraselist.default
884 
	$SED "s?^[^#]?#&?g" /etc/dansguardian/lists/bannedphraselist # (on commente ce qui ne l'est pas)
885 
# on désactive par défaut le contrôle d'URL par expressions régulières
886 
	cp /etc/dansguardian/lists/bannedregexpurllist /etc/dansguardian/lists/bannedregexpurllist.default
887 
	$SED "s?^[^#]?#&?g" /etc/dansguardian/lists/bannedregexpurllist # (on commente ce qui ne l'est pas)
888 
# on désactive par défaut le contrôle de téléchargement de fichiers
889 
	[ -e /etc/dansguardian/dansguardianf1.conf.default ] || cp /etc/dansguardian/dansguardianf1.conf /etc/dansguardian/dansguardianf1.conf.default
890 
	$SED "s?^blockdownloads =.*?blockdownloads = off?g" /etc/dansguardian/dansguardianf1.conf
891 
	[ -e /etc/dansguardian/lists/bannedextensionlist.default ] || mv /etc/dansguardian/lists/bannedextensionlist /etc/dansguardian/lists/bannedextensionlist.default
892 
	[ -e /etc/dansguardian/lists/bannedmimetypelist.default ] || mv /etc/dansguardian/lists/bannedmimetypelist /etc/dansguardian/lists/bannedmimetypelist.default
893 
	touch /etc/dansguardian/lists/bannedextensionlist
894 
	touch /etc/dansguardian/lists/bannedmimetypelist
895 
# on vide la liste des @IP du Lan ne subissant pas le filtrage WEB
896 
	[ -e /etc/dansguardian/lists/exceptioniplist.default ] || mv /etc/dansguardian/lists/exceptioniplist /etc/dansguardian/lists/exceptioniplist.default
897 
	touch /etc/dansguardian/lists/exceptioniplist
898 
# on copie les fichiers de la BL de toulouse
899 
	[ -d /etc/dansguardian/lists/blacklists ] && mv /etc/dansguardian/lists/blacklists /etc/dansguardian/lists/blacklists.default
900 
	tar zxvf $DIR_CONF/blacklists.tar.gz --directory=/etc/dansguardian/lists/ 2>&1 >/dev/null
901 
	cp -f $DIR_CONF/VERSION-BL $DIR_WEB/
902 
	chown apache:apache $DIR_WEB/VERSION-BL
903 
# on crée la BL secondaire
904 
	mkdir /etc/dansguardian/lists/blacklists/ossi
905 
	touch /etc/dansguardian/lists/blacklists/ossi/domains
906 
	touch /etc/dansguardian/lists/blacklists/ossi/urls
907 
# On crée une WhiteList vide
908 
	[ -e /etc/dansguardian/lists/exceptionsitelist.default ] || mv /etc/dansguardian/lists/exceptionsitelist  /etc/dansguardian/lists/exceptionsitelist.default
909 
	[ -e /etc/dansguardian/lists/exceptionurllist.default ] || mv /etc/dansguardian/lists/exceptionurllist  /etc/dansguardian/lists/exceptionurllist.default
910 
	touch /etc/dansguardian/lists/exceptionsitelist
911 
	touch /etc/dansguardian/lists/exceptionurllist
912 
# on configure le filtrage de site
913 
	[ -e /etc/dansguardian/lists/bannedsitelist.default ] || cp /etc/dansguardian/lists/bannedsitelist /etc/dansguardian/lists/bannedsitelist.default
914 
	$SED "s?^[^#]?#&?g" /etc/dansguardian/lists/bannedsitelist # (on commente ce qui ne l'est pas)
915 
# on bloque les sites ne possédant pas de nom de domaine (ex: http://12.13.14.15)
916 
	$SED "s?^#\*ip?\*ip?g" /etc/dansguardian/lists/bannedsitelist
917 
# on bloque le ssl sur port 80
918 
	$SED "s?^#\*\*s?\*\*s?g" /etc/dansguardian/lists/bannedsitelist
919 
# on configure la BL de toulouse
920 
	cat $DIR_CONF/bannedsitelist >> /etc/dansguardian/lists/bannedsitelist
921 
[ -e /etc/dansguardian/lists/bannedurllist.default ] || cp /etc/dansguardian/lists/bannedurllist /etc/dansguardian/lists/bannedurllist.default
922 
	$SED "s?^[^#]?#&?g" /etc/dansguardian/lists/bannedurllist # (on commente ce qui ne l'est pas)
923 
	cat $DIR_CONF/bannedurllist >> /etc/dansguardian/lists/bannedurllist
5 franck 924 
	chown -R dansguardian:apache /etc/dansguardian/
1 root 925 
	chmod -R g+rw /etc/dansguardian
926 
} # End of param_dansguardian ()
927 
 
71 richard 928 
##################################################################
929 
##			Fonction antivirus			##
109 richard 930 
## - configuration havp + clamav				##
71 richard 931 
##################################################################
932 
antivirus ()
933 
{
288 richard 934 
# création de l'usager 'havp'
935 
	havp_exist=`grep havp /etc/passwd|wc -l`
936 
	if [ "$havp_exist" == "0" ]
937 
	then
938 
	      useradd havp
939 
	fi
71 richard 940 
# création de la partition de stockage temporaire (100Mo)
109 richard 941 
	dd if=/dev/zero of=/tmp/havp-disk bs=1024k count=30
942 
	mkfs.ext4 -qF /tmp/havp-disk
288 richard 943 
	mkdir -p /var/tmp/havp /var/log/havp
109 richard 944 
	echo "# Entry for havp tmp files scan partition" >> /etc/fstab
945 
	echo "/tmp/havp-disk /var/tmp/havp ext4 loop,mand,noatime,async" >> /etc/fstab
946 
	mount /var/tmp/havp
294 richard 947 
	chown -R havp /var/tmp/havp /var/log/havp /var/run/havp
109 richard 948 
# configuration d'HAVP
949 
	[ -e /etc/havp/havp.config.default ] || cp /etc/havp/havp.config /etc/havp/havp.config.default
950 
	$SED "/^REMOVETHISLINE/d" /etc/havp/havp.config
951 
	$SED "s?^# PARENTPROXY.*?PARENTPROXY 127.0.0.1?g" /etc/havp/havp.config
952 
	$SED "s?^# PARENTPORT.*?PARENTPORT 3128?g" /etc/havp/havp.config
953 
	$SED "s?^# PORT.*?PORT 8090?g" /etc/havp/havp.config
954 
	$SED "s?^# BIND_ADDRESS.*?BIND_ADDRESS 127.0.0.1?g" /etc/havp/havp.config
955 
	$SED "s?^ENABLECLAMLIB.*?ENABLECLAMLIB true?g" /etc/havp/havp.config
956 
# mise à jour de la base antivirale de clamav toutes les 2 heures
957 
	$SED "s?^Checks.*?Checks 12?g" /etc/freshclam.conf
958 
	$SED "s?^NotifyClamd.*?# NotifyClamd /etc/clamd.conf?g" /etc/freshclam.conf
71 richard 959 
}
960 
 
1 root 961 
##################################################################################
962 
##				Fonction firewall				##
963 
## - adaptation des scripts du parefeu						##
964 
## - mise en place des règles et sauvegarde pour un lancement automatique	##
965 
## - configuration Ulogd							##
966 
##################################################################################
967 
firewall ()
968 
{
969 
	$SED "s?^EXTIF=.*?EXTIF=\"$EXTIF\"?g" $DIR_DEST_BIN/alcasar-iptables.sh  $DIR_DEST_BIN/alcasar-iptables-bypass.sh
970 
	$SED "s?^INTIF=.*?INTIF=\"$INTIF\"?g" $DIR_DEST_BIN/alcasar-iptables.sh  $DIR_DEST_BIN/alcasar-iptables-bypass.sh
971 
	$SED "s?^PRIVATE_NETWORK_MASK=.*?PRIVATE_NETWORK_MASK=\"$PRIVATE_NETWORK_MASK\"?g" $DIR_DEST_BIN/alcasar-iptables.sh  $DIR_DEST_BIN/alcasar-iptables-bypass.sh
972 
	$SED "s?^PRIVATE_IP=.*?PRIVATE_IP=\"$PRIVATE_IP\"?g" $DIR_DEST_BIN/alcasar-iptables.sh $DIR_DEST_BIN/alcasar-iptables-bypass.sh
973 
	chmod o+r $DIR_DEST_BIN/alcasar-iptables.sh #lecture possible pour apache (interface php du filtrage réseau)
974 
	[ -d /var/log/firewall ] || mkdir -p /var/log/firewall
975 
	[ -e /var/log/firewall/firewall.log ] || touch /var/log/firewall/firewall.log
5 franck 976 
	chown -R root:apache /var/log/firewall
1 root 977 
	chmod 750 /var/log/firewall
978 
	chmod 640 /var/log/firewall/firewall.log
979 
 	$SED "s?^file=\"/var/log/ulogd.syslogemu\"?file=\"/var/log/firewall/firewall.log\"?g" /etc/ulogd.conf
980 
	sh $DIR_DEST_BIN/alcasar-iptables.sh
981 
}  # End of firewall ()
982 
 
983 
##################################################################################
984 
##				Fonction param_awstats				##
985 
## - configuration de l'interface des logs de consultation WEB (AWSTAT)		##
986 
##################################################################################
987 
param_awstats()
988 
{
989 
	ln -s /var/www/awstats $DIR_WEB/awstats
990 
	cp /etc/awstats/awstats.conf /etc/awstats/awstats.conf.default
991 
	$SED "s?^LogFile=.*?LogFile=\"/var/log/squid/access.log\"?g" /etc/awstats/awstats.conf
992 
	$SED "s?^LogFormat=.*?LogFormat=4?g" /etc/awstats/awstats.conf
993 
	$SED "s?^SiteDomain=.*?SiteDomain=\"$HOSTNAME\"?g" /etc/awstats/awstats.conf
994 
	$SED "s?^HostAliases=.*?HostAliases=\"$PRIVATE_IP\"?g" /etc/awstats/awstats.conf
995 
	$SED "s?^DNSLookup=.*?DNSLookup=0?g" /etc/awstats/awstats.conf
996 
	$SED "s?^DirData=.*?DirData=\"/var/lib/awstats\"?g" /etc/awstats/awstats.conf	# corrige le fichier de config awstats natif ...
997 
	$SED "s?^StyleSheet=.*?StyleSheet=\"/css/style.css\"?g" /etc/awstats/awstats.conf
998 
	$SED "s?^BuildReportFormat=.*?BuildReportFormat=xhtml?g" /etc/awstats/awstats.conf
59 richard 999 
	$SED "s?^UseFramesWhenCGI=.*?UseFramesWhenCGI=0?g" /etc/awstats/awstats.conf
1 root 1000 
	cat <<EOF >> /etc/httpd/conf/webapps.d/alcasar.conf
1001 
<Directory $DIR_WEB/awstats>
1002 
	SSLRequireSSL
1003 
	Options ExecCGI
1004 
	AddHandler cgi-script .pl
1005 
	DirectoryIndex awstats.pl
1006 
	Order deny,allow
1007 
	Deny from all
1008 
	Allow from 127.0.0.1
1009 
	Allow from $PRIVATE_NETWORK_MASK
1010 
	require valid-user
1011 
	AuthType digest
1012 
	AuthName $HOSTNAME
1013 
	BrowserMatch "MSIE" AuthDigestEnableQueryStringHack=On
1014 
	AuthUserFile $DIR_WEB/digest/key_admin
1015 
	ErrorDocument 404 https://$PRIVATE_IP/
1016 
</Directory>
1017 
SetEnv PERL5LIB /usr/share/awstats/lib:/usr/share/awstats/plugins
1018 
EOF
1019 
} # End of param_awstats ()
1020 
 
1021 
##########################################################
235 richard 1022 
##		Fonction param_dnsmasq			##
1 root 1023 
##########################################################
219 jeremy 1024 
param_dnsmasq ()
1025 
{
1026 
	[ -d /etc/dnsmasq.d ] || mkdir /etc/dnsmasq.d
1027 
	[ -d /var/log/dnsmasq ] || mkdir /var/log/dnsmasq
288 richard 1028 
	[ -e /etc/dnsmasq.conf ] && cp /etc/dnsmasq.conf /etc/dnsmasq.conf.default
259 richard 1029 
	$SED "s?^[^#]?#&?g" /etc/dnsmasq.conf 					# (on commente ce qui ne l'est pas)
1030 
	$SED "s?^#conf-dir=.*?conf-dir=/etc/dnsmasq.d?g" /etc/dnsmasq.conf	# les fichiers de config se trouvent dans /etc/dnsmasq.d/*
1031 
	$SED "s?^DHCP_LEASE=.*?DHCP_LEASE=/var/log/dnsmasq/lease.log?g" /etc/sysconfig/dnsmasq # fichier contenant les baux
1032 
# on crée le fichier de conf spécifique pour Alcasar
1033 
	cat << EOF > /etc/dnsmasq.d/alcasar-dnsmasq.conf
1034 
# Inclusion de la blacklist <domains> de Toulouse dans la configuration
1035 
conf-dir=/usr/local/etc/alcasar-dnsfilter-enabled
1036 
 
1037 
listen-address=$PRIVATE_IP
1038 
listen-address=127.0.0.1
286 richard 1039 
no-dhcp-interface=$INTIF
259 richard 1040 
bind-interfaces
1041 
 
1042 
cache-size=256
1043 
domain=$DOMAIN
1044 
domain-needed
1045 
expand-hosts
1046 
bogus-priv
1047 
filterwin2k
1048 
server=$DNS1
1049 
server=$DNS2
1050 
 
1051 
dhcp-range=$ORGANISME,$PRIVATE_DYN_FIRST_IP,$PRIVATE_DYN_LAST_IP,$PRIVATE_MASK,12h
1052 
#dhcp-option=3,1.2.3.4
1053 
#dhcp-option=option:router,1.2.3.4
1054 
#dhcp-option=42,0.0.0.0
1055 
#dhcp-option=option:ntp-server,192.168.0.4,10.10.0.5
1056 
 
291 franck 1057 
# Exemple de configuration statique : <@MAC>,<name>,<@IP>,<MASK>,<ttl bail>
259 richard 1058 
#dhcp-host=11:22:33:44:55:66,ssic-test,192.168.10.20,255.255.255.0,45m
1059 
EOF
249 franck 1060 
	mkdir /usr/local/etc/{alcasar-dnsfilter-available,alcasar-dnsfilter-enabled}
1061 
	chown -R 770 /usr/local/etc/{alcasar-dnsfilter-available,alcasar-dnsfilter-enabled}
1062 
	chown -R root:apache /usr/local/etc/{alcasar-dnsfilter-available,alcasar-dnsfilter-enabled}
1063 
	/usr/local/bin/alcasar-dnsfilter-import.sh
1064 
	/usr/local/bin/alcasar-dnsfilter-activate.sh
254 franck 1065 
} # End dnsmasq
219 jeremy 1066 
 
1 root 1067 
##########################################################
1068 
##		Fonction cron				##
1069 
## - Mise en place des différents fichiers de cron	##
1070 
##########################################################
1071 
cron ()
1072 
{
1073 
# Modif du fichier 'crontab' pour passer les cron à minuit au lieu de 04h00
1074 
	[ -e /etc/crontab.default ] || cp /etc/crontab /etc/crontab.default
1075 
	cat <<EOF > /etc/crontab
1076 
SHELL=/bin/bash
1077 
PATH=/sbin:/bin:/usr/sbin:/usr/bin
1078 
MAILTO=root
1079 
HOME=/
1080 
 
1081 
# run-parts
1082 
01 * * * * root nice -n 19 run-parts --report /etc/cron.hourly
1083 
02 0 * * * root nice -n 19 run-parts --report /etc/cron.daily
1084 
22 0 * * 0 root nice -n 19 run-parts --report /etc/cron.weekly
1085 
42 0 1 * * root nice -n 19 run-parts --report /etc/cron.monthly
1086 
EOF
1087 
	[ -e /etc/anacrontab.default ] || cp /etc/anacrontab /etc/anacrontab.default
1088 
	cat <<EOF >> /etc/anacrontab
1089 
7       10      cron.logExport          nice /etc/cron.d/export_log
1090 
7       15      cron.logClean           nice /etc/cron.d/clean_log
168 franck 1091 
7	20	cron.importClean	nice /etc/cron.d/clean_import
1 root 1092 
EOF
1093 
# suppression des fichiers de logs de plus d'un an (tous les lundi à 4h30)
1094 
	cat <<EOF > /etc/cron.d/clean_log
1095 
30 4 * * 1 root $DIR_DEST_BIN/alcasar-log-clean.sh
1096 
EOF
1097 
# export de la base des usagers (tous les lundi à 4h45)
1098 
	cat <<EOF > /etc/cron.d/mysql
1099 
45 4 * * 1 root $DIR_DEST_SBIN/alcasar-mysql.sh -dump
1100 
EOF
1101 
# export des log squid, firewall et apache (tous les lundi à 5h00)
1102 
	cat <<EOF > /etc/cron.d/export_log
1103 
#!/bin/sh
1104 
00 5 * * 1 root $DIR_DEST_BIN/alcasar-log-export.sh
1105 
EOF
1106 
# mise à jour des stats de consultation WEB toutes les 30'  ## existe en double pour le daily sans l'@IP
1107 
# sans mèl ( > /dev/null 2>&1)
1108 
	cat << EOF > /etc/cron.d/awstats
1109 
*/30 * * * * root /var/www/awstats/awstats.pl -config=localhost -update >/dev/null 2>&1
1110 
EOF
219 jeremy 1111 
# suppression des fichiers de mots de passe lors d'imports massifs par fichier de plus de 24h
168 franck 1112 
	cat << EOF > /etc/cron.d/clean_import
1113 
30 * * * *  root /usr/local/bin/alcasar-import-clean.sh
1114 
EOF
1 root 1115 
# mise à jour des stats de connexion (accounting). Scripts provenant de "dialupadmin" (rpm freeradius-web) (cf. wiki.freeradius.org/Dialup_admin).
1116 
# on écrase le crontab d'origine installé par le RPM "freeradius-web" (bug remonté à qa.mandriva.com : 46739).
1117 
# 'tot_stats' (tout les jours à 01h01) : aggrégat des connexions journalières par usager (renseigne la table 'totacct')
1118 
# 'monthly_tot_stat' (tous les jours à 01h05) : aggrégat des connexions mensuelles par usager (renseigne la table 'mtotacct')
1119 
# 'truncate_raddact' (tous les 1er du mois à 01h10) : supprime les entrées journalisées plus vieilles que '$back_days' jours (défini ci-après)
1120 
# 'clean_radacct' (tous les 1er du mois à 01h15) : ferme les session ouvertes de plus de '$back_days' jours (défini ci-après)
1121 
	$SED "s?^\$back_days.*?\$back_days = 365;?g" /usr/bin/truncate_radacct
1122 
	$SED "s?^\$back_days.*?\$back_days = 30;?g" /usr/bin/clean_radacct
1123 
	rm -f /etc/cron.daily/freeradius-web
1124 
	rm -f /etc/cron.monthly/freeradius-web
1125 
	cat << EOF > /etc/cron.d/freeradius-web
1126 
1 1 * * * root /usr/bin/tot_stats > /dev/null 2>&1
1127 
5 1 * * * root /usr/bin/monthly_tot_stats > /dev/null 2>&1
1128 
10 1 1 * * root /usr/bin/truncate_radacct > /dev/null 2>&1
1129 
15 1 1 * * root /usr/bin/clean_radacct > /dev/null 2>&1
1130 
EOF
1131 
# activation du "chien de garde" (watchdog) toutes les 3' afin de déconnecter les usagers authentifiés dont la station est usurpée ou ne répond plus
1132 
	cat << EOF > /etc/cron.d/watchdog
1133 
*/3 * * * * root $DIR_DEST_BIN/alcasar-watchdog.sh > /dev/null 2>&1
1134 
EOF
1135 
} # End cron
1136 
 
1137 
##################################################################
1138 
##			Fonction post_install			##
1139 
## - Modification des bannières (locales et ssh) et des prompts ##
1140 
## - Installation de la structure de chiffrement pour root	##
1141 
## - Mise en place du sudoers et de la sécurité sur les fichiers##
1142 
## - Mise en place du la rotation des logs			##
5 franck 1143 
## - Configuration dans le cas d'une mise à jour		##
1 root 1144 
##################################################################
1145 
post_install()
1146 
{
1147 
# adaptation du script "chien de garde" (watchdog)
1148 
	$SED "s?^PRIVATE_IP=.*?PRIVATE_IP=\"$PRIVATE_IP\"?g" $DIR_DEST_BIN/alcasar-watchdog.sh
1149 
# création de la bannière locale
1150 
	[ -e /etc/mandriva-release.default ]  || cp /etc/mandriva-release /etc/mandriva-release.default
1151 
cat <<EOF > /etc/mandriva-release
1152 
 Bienvenue sur $HOSTNAME
1153 
 
1154 
EOF
1155 
# création de la bannière SSH
1156 
	cp /etc/mandriva-release /etc/ssh/alcasar-banner-ssh
5 franck 1157 
	chmod 644 /etc/ssh/alcasar-banner-ssh ; chown root:root /etc/ssh/alcasar-banner-ssh
1 root 1158 
	[ -e /etc/ssh/sshd_config.default ] || cp /etc/ssh/sshd_config /etc/ssh/sshd_config.default
1159 
	$SED "s?^Banner.*?Banner /etc/ssh/alcasar-banner-ssh?g" /etc/ssh/sshd_config
1160 
	$SED "s?^#Banner.*?Banner /etc/ssh/alcasar-banner-ssh?g" /etc/ssh/sshd_config
1161 
# sshd écoute côté LAN
1162 
	$SED "s?^#ListenAddress 0\.0\.0\.0?ListenAddress $PRIVATE_IP?g" /etc/ssh/sshd_config
1163 
# sshd n'est pas lancé automatiquement au démarrage
1164 
	/sbin/chkconfig --del sshd
1165 
# Coloration des prompts
1166 
	[ -e /etc/bashrc.default ]  || cp /etc/bashrc /etc/bashrc.default
5 franck 1167 
	cp -f $DIR_CONF/bashrc /etc/. ; chmod 644 /etc/bashrc ; chown root:root /etc/bashrc
1 root 1168 
# Droits d'exécution pour utilisateur apache et sysadmin
1169 
	[ -e /etc/sudoers.default ]  || cp /etc/sudoers /etc/sudoers.default
5 franck 1170 
	cp -f $DIR_CONF/sudoers /etc/. ; chmod 440 /etc/sudoers ; chown root:root /etc/sudoers
1 root 1171 
	$SED "s?^Host_Alias.*?Host_Alias	LAN_ORG=$PRIVATE_NETWORK_MASK,localhost		#réseau de l'organisme?g" /etc/sudoers
132 franck 1172 
# prise en compte de la rotation des logs sur 1 an (concerne mysql, httpd, dansguardian, squid, radiusd, ulogd)
1 root 1173 
	cp -f $DIR_CONF/logrotate.d/* /etc/logrotate.d/
1174 
	chmod 644 /etc/logrotate.d/*
1175 
# processus lancés par défaut au démarrage
110 richard 1176 
	$SED "s?^# Default-Start.*?# Default-Start: 3 4 5?g" /etc/init.d/mysqld
132 franck 1177 
	$SED "s?^# Default-Stop.*?# Default-Stop: 0 1 2?g" /etc/init.d/mysqld  	# pour éviter les alertes de dépendance de services (netfs)
219 jeremy 1178 
	$SED "s?^# chkconfig:.*?# chkconfig: 23 61 40?g" /etc/init.d/dnsmasq  	# pour démarrer dnsmasq avec eth1 up avant chilli - utile ??
1179 
	for i in netfs ntpd iptables ulogd dnsmasq squid chilli httpd radiusd mysqld dansguardian havp freshclam
1 root 1180 
	do
1181 
		/sbin/chkconfig --add $i
1182 
	done
235 richard 1183 
# On affecte le niveau de sécurité "fileserver" (c'est pas mal) ...
1184 
	$SED "s?BASE_LEVEL=.*?BASE_LEVEL=fileserver?g" /etc/security/msec/security.conf
132 franck 1185 
# On supprime la vérification périodique du mode promiscious des interfaces réseaux ( nombreuses alertes sur eth1 dû à Tun0 de coova-chilli )
235 richard 1186 
	$SED "s?CHECK_PROMISC=.*?CHECK_PROMISC=no?g" /etc/security/msec/level.fileserver
1187 
# On supprime les log_martians
1188 
	$SED "s?^ENABLE_LOG_STRANGE_PACKETS=.*?ENABLE_LOG_STRANGE_PACKETS=no?g" /etc/security/msec/level.fileserver
1 root 1189 
# On mets en place la sécurité sur les fichiers
1190 
# des modif par rapport à radius update
1191 
	cat <<EOF > /etc/security/msec/perm.local
1192 
/var/log/firewall/			root.apache	750
1193 
/var/log/firewall/*			root.apache	640
1194 
/etc/security/msec/perm.local		root.root	640
1195 
/etc/security/msec/level.local		root.root	640
1196 
/etc/freeradius-web			root.apache	750
1197 
/etc/freeradius-web/admin.conf		root.apache	640
1198 
/etc/freeradius-web/config.php		root.apache	640
1199 
/etc/raddb/dictionnary			root.radius	640
1200 
/etc/raddb/ldap.attrmap			root.radius	640
1201 
/etc/raddb/hints			root.radius	640
1202 
/etc/raddb/huntgroups			root.radius	640
1203 
/etc/raddb/attrs.access_reject		root.radius	640
1204 
/etc/raddb/attrs.accounting_response	root.radius	640
1205 
/etc/raddb/acct_users			root.radius	640
1206 
/etc/raddb/preproxy_users		root.radius	640
1207 
/etc/raddb/modules/ldap			radius.apache	660
1208 
/etc/raddb/sites-available/alcasar	radius.apache	660
1209 
/etc/pki/*				root.apache	750
1210 
EOF
1211 
	/usr/sbin/msec
59 richard 1212 
# modification /etc/inittab
1213 
	[ -e /etc/inittab.default ] || cp /etc/inittab /etc/inittab.default
60 richard 1214 
# On ne garde que 3 terminaux
59 richard 1215 
	$SED "s?^4.*?#&?g" /etc/inittab
1216 
	$SED "s?^5.*?#&?g" /etc/inittab
1217 
	$SED "s?^6.*?#&?g" /etc/inittab
139 richard 1218 
# dans le cas d'une mise à jour, on charge la conf d'une version précédente
5 franck 1219 
if [ "$mode" = "update" ]
1220 
then
1221 
	$DIR_DEST_BIN/alcasar-conf.sh -load
1222 
fi
1 root 1223 
	cd $DIR_INSTALL
5 franck 1224 
	echo ""
1 root 1225 
	echo "#############################################################################"
1226 
	echo "#                        Fin d'installation d'ALCASAR                       #"
1227 
	echo "#                                                                           #"
1228 
	echo "#         Application Libre pour le Contrôle Authentifié et Sécurisé        #"
1229 
	echo "#                     des Accès au Réseau ( ALCASAR )                       #"
1230 
	echo "#                                                                           #"
1231 
	echo "#############################################################################"
1232 
	echo
1233 
	echo "- ALCASAR sera fonctionnel après redémarrage du système"
1234 
	echo
1235 
	echo "- Lisez attentivement la documentation d'exploitation"
1236 
	echo
1237 
	echo "- L'interface de gestion est consultable à partir de n'importe quel poste"
1238 
	echo "	situé sur le réseau de consultation à l'URL https://$PRIVATE_IP "
235 richard 1239 
	echo "					 ou à l'URL https://alcasar "
1 root 1240 
	echo
1241 
	echo "                   Appuyez sur 'Entrée' pour continuer"
1242 
	read a
1243 
	clear
1244 
	reboot
1245 
} # End post_install ()
1246 
 
1247 
#################################
1248 
#  Boucle principale du script  #
1249 
#################################
291 franck 1250 
usage="Usage: alcasar.sh {-i or --install} | {-u or --uninstall}"
1 root 1251 
nb_args=$#
1252 
args=$1
1253 
if [ $nb_args -eq 0 ]
1254 
then
1255 
	nb_args=1
1256 
	args="-h"
1257 
fi
1258 
case $args in
1259 
	-\? | -h* | --h*)
1260 
		echo "$usage"
1261 
		exit 0
1262 
		;;
291 franck 1263 
	-i | --install)
5 franck 1264 
		header_install
29 richard 1265 
		testing
5 franck 1266 
# On teste la présence d'une version déjà installée
29 richard 1267 
		header_install
5 franck 1268 
		if [ -e $DIR_WEB/VERSION ]
1 root 1269 
		then
5 franck 1270 
			echo -n "La version "; echo -n `cat $DIR_WEB/VERSION`; echo " d'ALCASAR est déjà installée";
1271 
			response=0
1272 
			PTN='^[oOnN]$'
1273 
			until [[ $(expr $response : $PTN) -gt 0 ]]
1274 
			do
1275 
				echo -n "Voulez-vous effectuer une mise à jour (O/n)? ";
1276 
				read response
1277 
			done
1278 
			if [ "$response" = "o" ] || [ "$response" = "O" ]
1279 
			then
1280 
# On crée le fichier de conf de la version actuelle
1281 
				chmod u+x $DIR_SCRIPTS/alcasar-conf.sh
1282 
				$DIR_SCRIPTS/alcasar-conf.sh -create
1283 
			fi
1284 
# On désinstalle la version actuelle
65 richard 1285 
		$DIR_SCRIPTS/sbin/alcasar-uninstall.sh
1 root 1286 
		fi
29 richard 1287 
# On teste la version du système
1288 
		fic=`cat /etc/product.id`
1289 
		old="$IFS"
1290 
		IFS=","
1291 
		set $fic
1292 
		for i in $*
1293 
		do
1294 
			if [ "`echo $i|grep version|cut -d'=' -f1`" == "version" ]
1295 
			then
1296 
				version=`echo $i|cut -d"=" -f2`
1297 
			fi
1298 
		done
1299 
		IFS="$old"
1300 
		if [ ! "$version" = "$MDV_NEEDED" ]
1301 
		then
297 richard 1302 
			echo "La version actuelle de Linux Mandriva va être mise à jour en ($MDV_NEEDED). En cas de problème, suivez la procédure manuelle (cf. doc exploitation)"
1303 
			sleep 5
1304 
			DIR_SCRIPT/sbin/alcasar-dist-upgrade.sh
29 richard 1305 
		fi
5 franck 1306 
		if [ -e /tmp/alcasar-conf.tar.gz ]
1 root 1307 
		then
14 richard 1308 
		echo "#### Installation avec mise à jour ####"
5 franck 1309 
# On récupère le nom d'organisme à partir de fichier de conf
1310 
			tar -xvf /tmp/alcasar-conf.tar.gz conf/hostname
1311 
			ORGANISME=`cat $DIR_CONF/hostname|cut -b 9-`
1312 
			hostname `cat $DIR_CONF/hostname`
1313 
			mode="update"
1314 
		else
1315 
			mode="install"
1 root 1316 
		fi
220 jeremy 1317 
		for func in init network gestion AC init_db param_radius param_web_radius param_chilli param_squid param_dansguardian antivirus firewall param_awstats param_dnsmasq cron post_install
1318 
 
5 franck 1319 
		do
1320 
			$func
93 richard 1321 
# echo "*** 'debug' : end of function $func ***"; read a
14 richard 1322 
		done
5 franck 1323 
		;;
291 franck 1324 
	-u | --uninstall)
5 franck 1325 
		if [ ! -e $DIR_DEST_SBIN/alcasar-uninstall.sh ]
1 root 1326 
		then
5 franck 1327 
			echo "Aucune version d'ALCASAR n'a été trouvée.";
1 root 1328 
			exit 0
1329 
		fi
5 franck 1330 
		response=0
1331 
		PTN='^[oOnN]$'
1332 
		until [[ $(expr $response : $PTN) -gt 0 ]]
1333 
		do
1334 
			echo -n "Voulez-vous créer le fichier de conf de la version actuelle (0/n)? "
1335 
			read response
1336 
		done
1337 
		if [ "$reponse" = "o" ] || [ "$reponse" = "O" ]
1 root 1338 
		then
5 franck 1339 
			$DIR_SCRIPT/alcasar-conf.sh -create
1 root 1340 
		fi
5 franck 1341 
# On désinstalle la version actuelle
65 richard 1342 
		$DIR_SCRIPTS/sbin/alcasar-uninstall.sh
1 root 1343 
		;;
1344 
	*)
1345 
		echo "Argument inconnu :$1";
1346 
		echo "$usage"
1347 
		exit 1
1348 
		;;
1349 
esac
10 franck 1350 
# end of script