WebSVN – ALCASAR – Diff – /CHANGELOG



# $Id: CHANGELOG 2874 2020-10-31 13:54:28Z rexy $
 
********** ALCASAR CHANGELOG **********
-------------------- 3.5.1 --------------------
NEWS
	- Integration of the European “WIFI4EU” system (in the exploitation doc)
	- linux-Kernel 5.7.19; ipt-NETFLOW 2.5.1; gammu 1.42
 
 
ACC
	- Spanish translation (Thanks to Germán BOWERS)
CHANGES
	- Improve the voucher (tickets) display with a serif font
	- Local DNS resolution simplification
	- ALCASAR E2guardian html template when intercepted (due to blacklisted-URL or malware detected)
	- Retrieve letsencrypt configuration when updating
BUGS
	- Network IP addresses can now be set as exception
	- "sudo" RPM isn't automatically loaded
	- Several fail2ban fixes & simplifications
 
-------------------- 3.5.0 --------------------
NEWS
	- Mageia7.1 and Linux Kernel 5.6.14
	- Remove HAVP & Tinyproxy (replaced by E2guardian & clamd)
	- All user pages are now responsive. Thanks to Clément GELINEAU

    - Improve the process to import "official" and "Let's encrypt" certificates
CHANGES
	- German translations have been updated. Thanks to Sven RATH
	- Improve RPMs controls at the installation stage
	- Improve BL auto-update system
 
 
 
 
WEB
	- starbuck (ALCASAR subversion) has been updated (mageia7 + websvn 2.5.1)
 
-------------------- 3.4.0 --------------------
NEWS
	- Linux Kernel 4.14.131 - ipt_NETFLOW 2.4
	- Replace DNSmasq servers with Unbound servers
	- Add LDAPS (LDAP SSL) support.

	- Add LDAP filter.
	- responsive captive page (thx to Aurélien DUBOIS)
 
ACC
	- Add LDAP configuration assistant.
 
CHANGES
	- Do not perform LDAP query for authentication of trusted authorized equipment.
	- Improve script syntax
	- LDAP server is automatically added to the DHCP static IP reservation.
 
BUGS
	- Fix listening address for nfcapd (was 0.0.0.0 instead of 127.0.0.1)
	- Fix some typo
	- Fix priority of filter attributes at group creation.
	- Fix ignored filters assigned to the default group.

	- Fix LDAP users login without the "ldap" group created.
	- Fix bad certificates chain generation when using default certificates.
	- Fix the configuration application for LDAP.
	- Fix print info with multiple words in static IP reservation in ACC.
	- Fix IP filter in the imputability log report generator.
 
SECU
	- Merge bad username and bad password errors at user login.
 
-------------------- 3.3.3 --------------------
NEWS

	- Improve install on a server with more than 2 network card (add internal interface selector instead of choosing the first one).
	- Use a custom blacklist & whitelist description file instead of the default one
	- Updating blacklist & "TOR nodes" custom list
	- Updating the WebSVN server to V2.5-dev with Tom patches (https://github.com/websvnphp/websvn/commits/master)
	- New script to create the ISO file (mageiar) using docker. ISO file is now published on web site.
 
BUGS
	- Keep custom blacklists when upgrading from dansguardian to e2guardian
	- Automatically launch database migration scripts after import user database.
	- Improve firewall rules for whitelist users (anti-bypass)
 
-------------------- 3.3.2 --------------------
NEWS
	- Add Bing and Youtube in safesearch option for whitelist and blacklist
	- Linux Kernel 4.14.78
 
ACC
	- Allow "status page must stay open" user/group attribute to be unset in ACC.
	- Disconnect users after deleting it and members of a group at its creation and deletion.
 
BUGS
	- remove "SurfMap" (an addon for NFsen) due to changes of Google Maps terms of use (while waiting for a new graphic display)
	- Fix a bug when the username is "alcasar"
	- Fix blacklist pureip option
	- Call the right script from whitelist ACC configuration page when setting safesearch option
	- Fix resolution of Internet domain names that are subdomains of the imported certificate domain.
	- Fix user deletion in its filter ipset when its filter is changed (caused an impossible connection if the old filter was the whitelist).
 
CHANGES
	- Remove pureip option in whitelist ACC configuration page
 
-------------------- 3.3.1 --------------------
NEWS

	- Introduce "Alcasar-Reconnect-Timeout" RADIUS attribute (not yet available in ACC).
	- Add original "Max-All-Session" RADIUS attribute.
	- Update acme.sh (Let's Encrypt client) to v2.7.9.
	- Don't display "CERT" menu when HTTPS isn't enable for user's network flows
	- Add counter to "CoovaChilli-Max-Total-Octets" (maximum of data exchanged) RADIUS attribute (in order to prevent quota reset on the login).
 
ACC
	- Remove network check in ACC homepage.
	- Remove "Maximum of data downloaded/uploaded" filters.
 
CHANGES
	- Save SMS status and number in ALCASAR configuration file (persistent to updates).
	- Launch Gammu at startup when the SMS service is enabled and check Gammu status in alcasar-daemon.
	- Print a dedicated error message for each connection error.
 
BUGS
	- vnstat : bug when updating version.
	- Fix a bug in NfSen during its installation.
	- Fix a reload infinity loop in ACC auto-registration when the modem is unplugged.
	- Check that username is not empty when creating an ACC profile.
 
SECU
	- Use HTTPS repositories of Mageia.
 
-------------------- 3.3.0 --------------------
NEWS

NEWS
	- Works with Mageia6
	- Enable HTTPS support for the CoovaChilli JSON API (that allow HTTPS for status.php).
	- The disconnection of users without the status page open can be disabled by a user attribute.
	- ExFat USBKeys allowed
 
ACC
	- Print parsed log of MAC address spoofed instead of raw log lines.
	- Add a regex validation when add a local DNS host or a static IP address to avoid breaking the dnsmasq service.
	- Do not show user/group header menu after deleted it.
	- Disconnect an allowed MAC address after deleted it.
	- Reconnect an allowed MAC address after disconnecting it when updating RADIUS attributes.
 
CHANGES
	- Set watchdog interval to 10 minutes.
	- Set URL of BL/WL blocked page ressources to ALCASAR hostname instead of blocked domain to prevent cache issues & useless overload.
	- LDAP configuration is now saved in ALCASAR conf file
 
BUGS
	- Fix the open of status.php when the user has a redirection URL attribute defined (force redirection to intercept.php after login instead of WISPr-Redirection-URL attribute value).
	- IP address of active users are properly clean from "current_users.txt".
	- Fix allowed MAC address detection in ACC activity page.
	- Fix a bug when generating 50+ user tickets at once.

	- Fix detection of popups blocking in Safari.
	- Get number of open session from the whole history instead of just the last 3 sessions in the status page.
	- Remove disallowed characters of login when importing users from a text file.
	- Fix ticket generation of users with accented username.
	- Fix ALCASAR configuration file parsing in scripts (comments are correctly ignored).
 
SECU
	- Enhances passwords security generated during installation (length: 8 -> 16).
 
-------------------- 3.1.4 --------------------
NEWS
	- Add a link for back to the homepage when the user is disconnected in status.php.
 
ACC
	- Print group attributes if user attributes are not set in ACC user status.
 
CHANGES
	- Increase visibility of the status page warning about disconnection when close.
 
BUGS
	- Fix ACC user/group editor where attributes were not changed.
	- Fix PHP errors in ACC user/groupe attributes editor.
	- Fix traceability log due to an omission during the migration from ulog to nflog (alcasar-iptables-local-mac-filtered & alcasar-ip-blocked).
	  Fix all traceability NFLOG rules by specifying the nfgroup to 1 (since the default group of NFLOG is 0 instead of 1 for ULOG1).

	- Add Let's Encrypt integration.
	- Change the ALCASAR CA certificate extension to .crt (to be added more easily in Firefox).
	- Allow hostname different than "alcasar".
	- Check/remove conf file of removed NIC.
	- move udev rule for huawei GSM modem in "/lib/udev" ("/etc/udev" will be deprecated)
 
ACC
	- New network configuration UI (dynamic user-friendly diagram form).
	- Show/hide advanced attributes dynamically in user/group creation and edition.
	- Print parsed log of Fail2Ban instead of raw log lines.
	- New ACC menu (with JS instead of PHP reload).
	- Add option to allow unsecure login for user interception.
 
BUGS
	- Display info field for DHCP static equipment
	- Fix bug where the encrypted password is printed in a random column in the ACC user editor.
 
SECU
	- Rename Fail2Ban rule "alcasar_acc-htdigest" to "alcasar_acc" (iptables does not support long name).
	- Remove '/usr/bin/openssl' sudo privilege for 'apache' user.
	- Escape exec() parameters in ACC to prevent RCE attacks.
	- Update NfSen to 1.3.8 (Fix a security vulnerability).

-------------------- 3.1.2 --------------------
NEWS
	- An update can be fully performed via SSH
	- Linux Kernel (4.4.68)
	- Activate coova HTTPS interception (remove our DNS blackhole rules)
 
ACC
	- download/upload inversion (logical traffic display)
	- internationalization & HTML improving
	- Add info field in IP static page
 
BUGS
	- doesn't download unused kernel on update process
	- rollback to nfsen 1.3.7 (incompatibility with surfmap)
	- Fix importation of official certificate during the loading of ALCASAR configuration files backup.
 
SECU
	- Fix Fail2Ban broken rules (alcasar_mod-evasive,alcasar_acc-htdigest,alcasar_change-pwd) and add SSL compatibility for alcasar_mod-evasive rule.
	- Improve ACC log
 
-----------------------3.1.1----------------

- Intégration des blacklists de dansguardian et formatage pour dnsmasq
- Intégration de la migration du système de la Mandriva
- Intégration de dnsmasq en lieu et place de named et dhcpd ( en mode normal) en bypass dhcpd et toujours présent ...
- Prise en charge du fichier alcasar-iptables-local.sh dans l'update
 
----------------------- 1.9 ---------------------
- Adaptation de DHCPD dans les scripts de demarrage
- Mise en place du DHCPD local en lieu et place de DHCP Chilli : "alcasar.sh"
- Ajout de la gestion des quotas sur les usagers et groupe d'usagers.
- Interdiction de créer des usagers ou groupes avec un nom vide ou contenant des espaces
- création RPM 32b et 64b d'havp. Adaptation des scripts.

- "alcasar.sh" : augmentation de la taille des fichiers en "upload" par php (pour l'import de la base usager)
- le service sshd n'est plus lancé automatiquement au démarrage (activable via l'interface de gestion)
- "alcasar-iptables-filter.sh : a voir avec richard pour les conntrack modules pour ftp ...
- "menu.php, filtering.php, activity.php" : prise en compte des @mac autorisée dans la fenêtre "activité" (+ corrections)
 
----------------------- 1.8 ---------------------
- "alcasar-bypass.sh" : amélioration du script
- création des 2 scripts d'initialisation des daemons "chilli" et "dansguardian"
- "alcasar.sh" et "alcasar-uninstall.sh" : création de la fonction "dansguardian"
- "alcasar.sh" : intégration du RPM "coova-chilli" réalisé par Mandriva.
- mise à jour des docs

- "alcasar.sh" : prise en compte de la tabulation avant et derrière le # dans radiusd.conf
- "alcasar-mondo.sh" : suppression du paramètre -F qui crash sur la Mandriva 2009.1
- "alcasar-bl.sh" : mise à jour des liens internes liés au téléchargement de la BL Toulouse
- "phpsysinfo" : activation de la barre de charge (load-bar) dans la page d'accueil
- correction bug : affichage des exceptions (bl.php) et sauvegarde du fichier "/etc/dansguardian/exceptioniplist" en cas de mise à jour
 
 
- modif du système de comptage des usagers en ligne de la page d'accueil (chilli_query au lieu de radwho)
- amélioration de la fonction de mise à jour
- définition aléatoire des mots de passe inter-processus (alcasar.sh)
- réécriture des règles iptables pour prévenir l'impossibilité future de filtrer sur la table NAT (alcasat-iptables.sh)
- possibilité de garder l'ancien certificat serveur lors de la mise à jour

- affichage du nom d'organisme sur la page d'interception
- correction de bug dans "alcasar.sh" : appel de 'htdigest' par son chemin complet, amélioration des calculs pour les réseaux de classe A et B, procédure de mise à jour (option -update)
- correction du fichier "dhcpd.conf" (ajout de l'entrée "ddns-update-style interim")
- correction et agrégation des 2 scripts "alcasar-bypass-on / off"
 
----------------------- 1.7 ---------------------
- intégration du module de filtrage applicatif
- traitement des vpn https "ultrasurf" (contournement du filtrage d'URL)
- mise en conformité de l'interface des sites de confiances ("uamallow" et "uamdomain")
- mise à jour de la doc
- module graphique de visualisation de l'activité du réseau de consultation (équipements et usagers)

- correction bug freeradius-web/lib/sql/drivers/mysql/functions.php (merci M.G.)
- adaptation cron de chilli à notre logique (/etc.cron.d au lieu de /var/spool/cron/root)
- suppression des mails pour les cron journaliers (awstat, chilli, etc.)
- modification radius (écriture dans sradutmp et radutmp) --> récupération de la fonction "radwho"
- relooking type Alcasar de "accounting.php" et suppression d'affichage des champs "NAS*"
 
 
- recodage UTF8 alcasar.sh, alcasar-iptables, etc.
- modif alcasar-iptables (le "/etc/init.d/iptable save" est réalisé ici) et alcasar-iptables-filter (ancien alcasar-iptables-local) en vue d'intégrer le filtrage applicatif.
- agrégat uam.php + uam2.php (suppression uamallow.php et alcasar-uamallow.sh)
- sécurisation /etc/pki
- modification et intégration du fichier de conf "radiusd.conf" + conforme

- intégration coova "+ conforme" (modif du fichier de conf par défaut)
- suppression des modifs iptables effectuées par coova (/etc/chilli/up.sh)
- ajout du contrôle des flux DNS (pour éviter les tunnels DNS)
- remplacement de la page d'interception de dansguardian
- intégration du module LDAP dans /etc/raddb et alcasar.sh
 
 
- Correction bugs dans "alcasar-log-export"
- Suppression des broadcast sur EXTIF
- Suppressions des envois de mail pour cron (générait une erreur en absence de MTA)
- correction config awstat et intégration graphique
- intégration Squid "+ conforme" (modif du fichier de conf par défaut)

- intégration du plugin ldap : les scripts php ne sont pas retenus (mais conservés).
- implémentation et adaptation pour authentification seule (pas de récupération des attributs Radius dans ldap )
- ajout de la commande service dans sudoers ; pourra ètre utile pour insérer l'état des services utiles (status et restart) dans phpsysinfo
- ajout des fichiers modifiés ldap.attrmap et ldap (sera modifié par le script plus tard :-) issus de freeradius-ldap
- modification du fichier d'installation alcasar.sh pour rajouter une option -ldap indépendante de l'install/update et uninstall
 
 
- correction de code php afin de supprimer les warnings dans /var/log/http/ssl_error
- correction de quelques coquilles
- intégration de la gestion des sessions simultanées
- correction bug dans la page d'info usager - rubrique "password-check" (freeradius-web/lib/sql/password_check.php)
- intégration du travail de P.Romero (générateur de mots de passe aléatoires dans htdocs/user_new.php et htdocs/user_edit.php)

- ajout des RegEx de saisie d'adresse IP (alcasar.sh)
- création du script de gestion des profils "alcasar-profil.sh", adaptation d'alcasar.sh
- correction bug sauvegarde.php : répertoire "/var/Save/log/proxy" au lieu de "/var/Save/log/squid",
- correction d'un bug dans le fichier de conf d'awstat
- ajout de la possibilité de changer le plan d'addressage à l'install, correction bugs date d'installation + install via archive RPM
 
 
- intégration page uamallowed, modification du menu, lien symbolique /etc/radius/radutmp sur /etc/radius/sradutmp (pour radwho --> à revoir), vérif mdp chiffré dans mysql --> ok.
- modif archive RPMS, iptables, squid.conf (pour ce dernier, on devrait pouvoir partir du fichier de conf de base)
- suppression des paquetage avahi, mandi, shorewall, drakxtool-curses et les orphelins créés (à la fin de l'install)
- création de l'archive rpm optionnel "alcasar-rpms.tar.gz" (nécessaire quand on a pas Internet (dans le train par exemple ;-)  ))
- déplacement de /etc/chilli/defaults en /etc/chilli/defaults.old pour éviter les uamallowed insérés automatiquement par coova

- correction de bugs (alcasar-iptables.sh + alcasar.sh)
- généralisation de l'utilisation des variables "intif" et "extif" dans le script d'install
- prise en compte des nouvelles structure des RPM repository (alcasar-urpmi.sh)
- adaptation du script d'install en mandriva 2009
- intégration native de coova-chilli
 
 
- Suppression de l'enregistrement du mot de passe dans la table "radpostauth"
- intégration dans alcasar.sh à l'installation-update
- intégration structure ossi-bl et ossi-wl dans squidGard.conf et alcasar.sh --> reste dans script web
- intégration de coova-chilli en substitution à chillispot ;  reste à intégrer dans alcasar.sh à l'installation-update
- modif import_user.php :
- remontée de import_user.php à la racine du centre de gestion ; modification dans les différentes interfaces dont les menus
- sortie sur un fichier unique  ; reste à récupérer par le biais de l'interface
- modif chilli.conf : interval=0 (évite le relancement de chilli toute les heures)
 
----------------------- 1.6 ---------------------
- Durcissement du parefeu (fermeture de ports) et adaptation des règles à l'interface "firewalleyes"
- Simplification de la structure des fichiers de sauvegardes (/var/Save)
- Mise à jour du fichier de configuration squidGuard (intégration de tous les domaines de la BL de Toulouse)
- Séparation des RPM additionnels de l'archive du portail
- Réécriture du script de génération des certificats de l'A.C et du serveur WEB

	- Disparition des statistiques de consultation web après une mise à jour
	- Deconnexion d'un usager à partir de l'interface de gestion
	- possibilité de créer des groupes vides (en fait avec un usager virtuel portant le même nom que le groupe).
- Création des scripts alcasar-bl.sh (activation/désactivation/mise à jour du filtrage), alcasar-logout.sh (déconnexion des usagers) et alcasar-mysql (import usagers via txt et sql + raz de la base).
 
----------------------- 1.5 ---------------------
- prise en compte du nom de baptême du portail : ALCASAR
- intégration d'un script PHP permettant de personnaliser le logo
- intégration du contournement du bug 'MSIE' pour les pages gestion.
- Intégration de l'interface PHP d'informations système ( phpsysinfo) et ajout d'un module Alcasar (nbr.usagers, version d'installation, version de la blacklist, @IP publique).
- Réécriture des scripts d'install et de désinstall (alcasar-uninstall.sh)

- Intégration d'une interface PHP de lecture des log du parefeu ( firewallEyes )
- Implémentation du certificat gnupg pour le chiffrement éventuel des logs
- Modification mineure du script de génération à chaud d'image système (alcasar-mondo.sh)
- Modification des pages de dialupadmin ( francisation, simplification, etc.)
- Intégration dans le fichier archive des rpms supplémentaires et de la blacklist (évite leur téléchargement par internet)
 
----------------------- 1.4 ---------------------
- Réécriture du script de mise à jour de la blacklist squidGuard
- Uniformisation du script d'install
- Correction du script de désinstallation (alcasar-uninstall.sh) et de sauvegarde de la base radius (alcasar-mysql.sh)
- Mise en place d'une page WEB d'accueil pour la gestion du portail
- Suppression des cgi-bin installés par défaut
 
----------------------- 1.3 ---------------------
- Création d'une structure 'OSSI' dans la blacklist SquidGuard
- Modification de la page d'interception SquidGuard.
- Anonymisation de la structure LAN dans les trames traitées par Squid (forward_for off dans squid.conf).
- Correction de la fonction 'bypass'.
- Mise en place de la possibilité de chiffrer les logs (par gnupg).
- Correction du mot de passe dans le script d'export lorsqu'il est changé à l'install.
- Correction de la structure d'archivage et prise en compte du contenu des fichiers à sauvegarder.
- Mise en place du cron de sauvegarde des configurations.
 
----------------------- 1.2 ---------------------
- Consolidation de la fonction de désinstallation (création systématique de fichiers '.default' lors de modification)
- Configuration des services lancés au démarrage (chkconfig).
- Françisation du CGI "hotspotlogin" (codage des accents).
- Possibilité de lancer le script sans argument (-all par défaut).
- Suppression des "Logs Martians".
 
----------------------- 1.1 ---------------------
- Consolidation de la variable FIC_PARAM.
- Suppression de la déclaration des DNS dans le fichier de conf de chilli (on s'appuie sur les DNS locaux définis dans "/etc/resolv.conf").
- Modification de la page d'authentification (plus générique).
- Réorganisation de la structure de l'archive d'install.
- Modification des directives de chiffrement d'apache (SSLRequireSSL).
 
----------------------- 1.0 ---------------------
- Version initiale que l'on trouve déjà excellente ;-)
Subversion Repositories ALCASAR

(root)/CHANGELOG @ 2875 – Rev 2868 → 2874
