Contrôle à distance / Debian 12

Mémento 6.1 - Accès RDP, VNC, SSH

Il peut être utile de pouvoir contrôler à distance les VM et les conteneurs LXC du réseau, notamment depuis un PC situé sur le même LAN que le PC hôte de VirtualBox. Des protocoles tels RDP, VNC ou SSH permettent cela.

Etant sur le même LAN, les connexions distantes seront validées simplement par login et MDP.

1 - Accès distant RDP via le serveur de VirtualBox

Par défaut, le serveur Remote Desktop Protocol fourni par VirtualBox utilise le port TCP 3389.

1.1 - Configuration pour un accès sur srvlan

Panneau gauche de VirtualBox, sélectionnez la VM :
- - Menu de VirtualBox > Machine > Configuration...
-> Affichage > Bureau à distance
-> Cochez Activer le serveur
-> Port serveur > Affectez un numéro de port, Ex : 7002
-> OK

1.2 - Test de connexion

- - Depuis un PC distant sous Windows
Créez, sur celui-ci, les 3 routes statiques permanentes qui permettront de joindre les VM :

route add -p 192.168.2.0 mask 255.255.255.0 192.168.x.w

route add -p 192.168.3.0 mask 255.255.255.0 192.168.x.w

route add -p 192.168.4.0 mask 255.255.255.0 192.168.x.w 

192.168.x.w est l'IP de la carte réseau RED d'IPFire.
Le paramètre -p rend la route statique permanente.

Utilisez la Cde route print pour afficher la table de routage de Windows.

Menu Windows :
-> Accessoires Windows ou Outils Windows
-> Connexion Bureau à distance

Activez la connexion RDP comme montré ci-dessous :

Capture - Bureau à distance : IP PC hôte VM:port RDP srvlan
Bureau à distance : IP PC hôte VM:port RDP srvlan

- - Depuis un PC distant sous Linux
Créez les mêmes routes statiques comme ceci :

sudo ip route add 192.168.2.0/24 via 192.168.x.w proto static metric 100

sudo ip route add 192.168.3.0/24 via 192.168.x.w proto static metric 100

sudo ip route add 192.168.4.0/24 via 192.168.x.w proto static metric 100  

Pour rendre celles-ci permanentes, vous devez tenir compte du gestionnaire de réseau actif.

Si NetworkManager est utilisé, générez les routes statiques depuis son interface graphique et relancez le service réseau :

sudo systemctl restart NetworkManager

Si c'est le fichier réseau /etc/network/interfaces qui est utilisé, ajoutez les lignes suivantes en fin de fichier et relancez le service réseau :

up ip route add 192.168.2.0/24 via 192.168.x.w dev enp0s3
up ip route add 192.168.3.0/24 via 192.168.x.w dev enp0s3
up ip route add 192.168.4.0/24 via 192.168.x.w dev enp0s3
sudo systemctl restart networking

Adaptez en conséquence le nom de l'interface réseau.

Pour finir, vérifiez la prise en compte des routes :

ip route

Puis installez le client réseau Remmina disponible sur bien des distributions et lancez celui-ci.

Sélectionnez le RDP et entrez 192.168.x.y:7002 dans le champ de connexion rapide.

192.168.x.y = IP du PC hôte des VM (Voir la maquette).
7002 est le numéro de port RDP dédié à la VM srvlan.

Appuyez sur la touche Entrée pour lancer la connexion :

1.3 - Remarques

Vous devez, pour vous connecter sur les autres VM du réseau, affecter à chacune un numéro de port RDP différent, Ex : port 6017 pour la VM srvdmz.

Le serveur RDP de VirtualBox autorise des connexions directes sur les VM, pas besoin par exemple de traverser le pare-feu IPFire pour joindre srvlan.

Ceci permet notamment d'éviter un refus de connexion lié à des problèmes de configuration de table de routage ou de règle de pare-feu sur le réseau virtuel. Cela peut aider à dépanner.

2 - Accès distant RDP sur srvlan via IPFire

Cela ne concerne pas les VM non graphiques telles IPFire, OpenvSwitch et les conteneurs LXC.

2.1 - Installation d'un serveur RDP sur srvlan

Installez le serveur RDP de nom xrdp :

[srvlan@srvlan:~$] sudo apt install xrdp
[srvlan@srvlan:~$] sudo adduser xrdp ssl-cert

Le serveur est lancé de suite et configuré pour démarrer automatiquement au boot de la VM.

Complément pour les curieux : Suivre les astuces facilitant l'exploitation du service xrdp.

2.2 - Ajout d'une règle de pare-feu pour le RDP

L'accès distant ne fonctionnera cette fois que si vous ajoutez une règle de pare-feu dans IPFire autorisant les demandes de connexion sur le port 3389.

Accédez à l'interface graphique d'IPFire depuis le navigateur Web de srvlan :
-> Pare-feu > Règles de pare-feu > Nouvelle règle

- Zone Source
-> Cochez Réseaux standards > Sélectionnez Tout

- Zone Destination
-> Cochez Réseaux standards > Sélectionnez Tout

- Zone Protocole
-> Sélectionnez TCP > Port de destination
-> Remplissez le champ vide avec le n° de port 3389

-> Cochez ACCEPTER

- Zone Paramètres additionnels
-> Remarque
-> Entrez Connexions RDP entrantes autorisées

-> Ajouter > Appliquer les changements

Important : Fermez ensuite votre session utilisateur srvlan, le serveur xrdp refusant par défaut d'afficher le bureau d'un utilisateur ayant une session déjà ouverte.

2.3 - Test de connexion

- - Depuis un PC distant sous Windows
Menu Windows :
-> Accessoires Windows ou Outils Windows
-> Connexion Bureau à distance

Entrez l'IP de srvlan 192.168.2.2 dans le champ Ordinateur et cliquez sur le bouton Connexion.

Une alerte Impossible de vérifier l'identité ... > Oui

Connexion établie, la fenêtre suivante s'affiche :

Capture - Fenêtre de connexion du serveur xrdp
Fenêtre de connexion du serveur xrdp

-> Session : Sélectionnez Xorg
-> username : Entrez srvlan
-> password : Entrez le MDP de srvlan > OK

- - Depuis un PC distant sous Linux
Utilisez de nouveau le logiciel Remmina :
-> Entrez l'IP de srvlan soit 192.168.2.2
-> Touche Entrée pour lancer la connexion

3 - Accès distant VNC sur srvlan via IPFire

Cela ne concerne pas les VM non graphiques telles IPFire, OpenvSwitch et les conteneurs LXC.

Par défaut, un serveur VNC (Virtual Network Computing) écoute sur le port TCP 5900+N° Ecran.

3.1 - Installation d'un serveur VNC sur srvlan

Installez le serveur tigervnc-standalone-server :

[srvlan@srvlan:~$] sudo apt install tigervnc-standalone-server
[srvlan@srvlan:~$] sudo apt install dbus-x11

Créez son MDP :

[srvlan@srvlan:~$] vncpasswd

Retour :

Password > Votre MDP VNC (Ex : vncMDPsrvlan)
Verify > Entrez de nouveau le MDP
Would you like to enter a view-only ... (y/n) ? > n
A view-only password is not used

Créez ensuite son fichier de configuration tigervnc.conf :

[srvlan@srvlan:~$] cd /home/srvlan
[srvlan@srvlan:~$] nano .vnc/tigervnc.conf

et entrez le contenu suivant :

# Configuration du serveur tigervncserver
$localhost="no";           # Connexion distante autorisée
$geometry="1360x768";                 # Taille de l'écran
$depth="24";                    # Profondeur des couleurs
$AlwaysShared = "yes";        # Connexions simultanées OK

Créez un fichier xstartup pour le démarrage sous Xfce4 :

[srvlan@srvlan:~$] nano .vnc/xstartup

et entrez le contenu suivant :

#!/bin/sh
unset SESSION_MANAGER
unset DBUS_SESSION_BUS_ADDRESS
exec /bin/sh /etc/xdg/xfce4/xinitrc

Déclarez le fichier comme étant exécutable :

[srvlan@srvlan:~$] chmod +x .vnc/xstartup

Pour terminer, modifiez le fichier vncserver.users :

[srvlan@srvlan:~$] sudo nano /etc/tigervnc/vncserver.users

en ajoutant les lignes suivantes à la fin de celui-ci :

# Utilisateur srvlan désigné pour l'écran 1
:1=srvlan

3.2 - Lancement automatique du serveur VNC

Pour cela, créez le service tigervncserver@.service :

[srvlan@srvlan:~$] cd /lib/systemd/system
[srvlan@srvlan:~$] sudo cp tigervncserver@.service \
/etc/systemd/system

Le caractère \ indique d'écrire la Cde sur une seule ligne.

Configurez son démarrage automatique pour l'écran 1 :

[srvlan@srvlan:~$] sudo systemctl start tigervncserver@:1
[srvlan@srvlan:~$] sudo systemctl enable tigervncserver@:1

Pour finir, redémarrez srvlan :

[srvlan@srvlan:~$] sudo reboot

et vérifiez le lancement automatique du serveur VNC :

[srvlan@srvlan:~$] vncserver -list  

Pour info, le serveur peut être arrêté comme suit :

[srvlan@srvlan:~$] vncserver -kill :1  

3.3 - Ajout d'une règle de pare-feu pour le VNC

Accédez à l'interface graphique d'IPFire depuis le navigateur Web de srvlan :
-> Pare-feu > Règles de pare-feu > Nouvelle règle

- Zone Source
-> Cochez Réseaux standards > Sélectionnez Tout

- Zone Destination
-> Cochez Réseaux standards > Sélectionnez Tout

- Zone Protocole
-> Sélectionnez TCP > Port de destination
-> Remplissez le champ vide avec le n° de port 5901

-> Cochez ACCEPTER

- Zone Paramètres additionnels
-> Remarque
-> Entrez Connexions VNC entrantes autorisées

-> Ajouter > Appliquer les changements

3.4 - Test de connexion

- - Depuis un PC distant sous Windows
Téléchargez le client VNC Viewer de RealVNC.

Effectuez son installation et démarrez le logiciel.

Configurez ensuite une connexion pour joindre srvlan :
- Menu Fichier
-> Nouvelle connexion...

- Une fenêtre Propriétés s'ouvre.
-> Onglet Général
Paramétrez VNC Viewer comme ci-dessous :

-> Onglet Options
Paramétrez VNC Viewer comme ci-dessous :

Résultat, VNC Viewer montre la nouvelle connexion :

Test de connexion :
-> Double-cliquez sur l'icône srvlan

Une fenêtre Chiffrement s'ouvre :
-> Cochez Ne plus afficher cet avertissement
-> Continuer

Une fenêtre Authentification s'ouvre :
-> Entrez votre MDP VNC pour srvlan > OK

Connexion établie, la fenêtre suivante s'affiche :

- - Depuis un PC distant sous Linux
a) Téléchargez le client VNC Viewer de votre version Linux.
Effectuez son installation et démarrez le logiciel.
Procédez ensuite comme sous Windows.

b) Remmina peut également exploiter le protocole VNC.
Cliquez sur l'icône + (profil) située en haut à gauche.

Une fenêtre Profil de connexion à distance s'ouvre.
Configurez la connexion VNC comme ci-dessous :

Le MDP de l'utilisateur = Votre MDP VNC (§ 3.1)

4 - Accès distant SSH sur srvsec (IPFire)

Par défaut, un serveur SSH (Secure SHell) écoute sur le port TCP 22.

4.1 - Activation du serveur SSH (port 222)

Accédez à l'interface graphique d'IPFire depuis le navigateur Web de srvlan :
-> Système > Accès SSH

Une fenêtre Accès distant s'ouvre :
-> Cochez Accès SSH
-> Décochez Définir le port SSH à 22
-> Bouton Sauvegarder

4.2 - Ajout d'une règle de pare-feu pour le SSH

Accédez à l'interface graphique d'IPFire depuis le navigateur Web de srvlan :
-> Pare-feu > Règles de pare-feu > Nouvelle règle

- Zone Source
-> Cochez Réseaux standards > Sélectionnez Tout

- Zone Destination
-> Cochez Réseaux standards > Sélectionnez Tout

- Zone Protocole
-> Sélectionnez TCP > Port de destination
-> Remplissez le champ vide avec le n° de port 222

-> Cochez ACCEPTER

- Zone Paramètres additionnels
-> Remarque
-> Entrez Connexions SSH entrantes autorisées

-> Ajouter > Appliquer les changements

4.3 - Test de connexion

- - Depuis un PC distant sous Windows
Téléchargez le client SSH Putty et installez celui-ci.

Ensuite, démarrez et configurez Putty comme suit :

La VM srvsec étant de confiance, acceptez l'alerte de sécurité et lancez une seconde connexion.

Résultat :

Capture - Putty : Connexion SSH établie sur IPFire
Putty : Connexion SSH établie sur IPFire

Il n'y aura pas d'alerte de sécurité lors des connexions suivantes, utilisez la Cde exit pour quitter.

- - Depuis un PC distant sous Linux
a) Installez le paquet putty fourni par votre distribution.
Procédez ensuite comme sous Windows.

b) Remmina peut également exploiter le protocole SSH.
Cliquez sur l'icône + (profil) située en haut à gauche.

Une fenêtre Profil de connexion à distance s'ouvre.
Configurez la connexion SSH comme ci-dessous :

5 - Accès distant SSH sur ovs (OpenvSwitch)

5.1 - Installation d'un serveur SSH sur ovs

Installez le serveur OpenSSH :

[switch@ovs:~$] sudo apt install openssh-server

et contrôlez l'activation du démon SSH :

[switch@ovs:~$] sudo systemctl status sshd

Le résultat de la Cde doit montrer active (running).

Editez ensuite le fichier de configuration sshd_config :

[switch@ovs:~$] sudo nano /etc/ssh/sshd_config

et remplacez la ligne #Port 22 par Port 222.

Redémarrez le serveur pour traiter la modification :

[switch@ovs:~$] sudo systemctl restart sshd

5.2 - Test de connexion

Effectuez une connexion à l'aide de Putty :

Résultat :

6 - Accès distant SSH sur les conteneurs LXC

6.1 - Paramétrage de ctn1 et test de connexion

Installez depuis l'hôte ovs un serveur SSH sur ctn1 :

[switch@ovs:~$] sudo podman exec -it ctn1 bash

[root@..:~#] apt update && apt upgrade
[root@..:~#] apt install openssh-server

Editez ensuite son fichier de configuration sshd_config :

[root@..:~#] apt install nano
[root@..:~#] nano /etc/ssh/sshd_config

et modifiez les 2 lignes suivantes comme ci-dessous :
#Port 22 > Port 222
#PermitRootLogin prohib...word > PermitRootLogin yes

Redémarrez le serveur SSH pour traiter la configuration :

[root@..:~#] /etc/init.d/ssh start
[root@..:~#] /etc/init.d/ssh status     # normal = sshd is running

Attribuez un MDP à l'utilisateur root du conteneur :

[root@..:~#] passwd

Editez le fichier .bashrc de l'utilisateur root :

[root@..:~#] nano /root/.bashrc

et entrez le contenu suivant en fin de fichier :

# Lancement automatique du serveur ssh
/etc/init.d/ssh start

Ensuite, déconnectez-vous du conteneur :

[root@...:~#] exit

[switch@ovs:~$] 

et listez les images Podman utilisées en mode rootfull :

[switch@ovs:~$] sudo podman images

Retour :

switch@ovs:~$ sudo podman images
REPOSITORY                      TAG         
localhost/uptime-kuma           2           ...
localhost/debian                1           ...
docker.io/louislam/uptime-kuma  1           ...
docker.io/library/debian        latest      ...
switch@ovs:~$

Créez une nouvelle image de ctn1 incluant le SSH :

sudo podman commit ctn1 debian:2       # Création image tag 2

et recréez ctn1 depuis celle-ci :

sudo systemctl stop container-ctn1         # Suppression de ctn1
sudo podman ps                          # Vérification de la suppression

sudo podman run -dit --net ns:/var/run/netns/nsctn1 --name ctn1 debian:2         # Création ctn1 depuis image tag 2

cd /etc/systemd/system

sudo podman generate systemd --new --files --name ctn1
cat container-ctn1.service                         # Lecture par curiosité

sudo systemctl daemon-reload
sudo systemctl start container-ctn1
sudo systemctl status container-ctn1

Redémarrez la VM ovs :

sudo reboot

et connectez-vous depuis Putty en procédant comme pour la VM ovs mais avec l'IP 192.168.3.6.

6.2 - Accès sur les conteneurs ctn2 et ctn3

Les 2 conteneurs basés sur Debian supportent l'outil de surveillance réseau Uptime Kuma dont la configuration s'effectue directement depuis son interface Web.

Pour interagir avec Debian, utilisez l'accès SSH de la VM ovs et exploitez les 2 Cdes suivantes :

[switch@ovs:~$] sudo podman exec -it ctn2 bash

[switch@ovs:~$] podman exec -it ctn3 bash

7 - Accès distant VNC au travers d'un tunnel SSH

De base, une connexion VNC n'est pas sécurisée mais il est possible de faire transiter celle-ci à l'intérieur d'un tunnel SSH pour régler ce problème.

Ceci implique de configurer le serveur SSH d'IPFire afin qu'il accepte le transfert de ports TCP.

Accédez à l'interface graphique d'IPFire depuis le navigateur Web de srvlan :
-> Système > Accès SSH

Une fenêtre Accès distant s'ouvre :
-> Cochez Autoriser le transfert TCP
-> Bouton Sauvegarder

7.1 - Accès VNC/SSH sur srvlan depuis Windows

Configurez un tunnel SSH avec Putty en respectant la chronologie des 2 captures suivantes :

Puis lancez, depuis le client VNC Viewer de RealVNC, une connexion VNC locale (127.0.0.1) :

Capture - RealVNC : Demande d'une connexion VNC locale
RealVNC : Demande d'une connexion VNC locale

La demande locale d'accès au port TCP 5901 utilisé par le protocole VNC sera automatiquement envoyée à l'intérieur du tunnel SSH vers le serveur SSH d'IPFire qui transfèrera celle-ci vers le serveur VNC de srvlan.

Pensez à fermer, une fois votre communication VNC terminée, la connexion SSH de Putty.

7.2 - Accès VNC/SSH sur srvlan depuis Linux

Le plus simple est d'utiliser de nouveau Remmina.
Cliquez sur l'icône + (profil) située en haut à gauche.

Une fenêtre Profil de connexion à distance s'ouvre.
Configurez la connexion VNC comme ci-dessous :

La connexion SSH sera cette fois fermée automatiquement en fin de communication VNC.

8 - Bilan

Les VM et conteneurs LXC sont joignables à distance.

La sécurité des accès reste néanmoins perfectible :
- En ne travaillant pas avec des n° de port par défaut.
- En réglant plus finement les sources dans IPFire.
- En utilisant les clés publiques et privées de SSH.
- Etc...

Image - Rédacteur satisfait


Terminé pour l'instant !
Le mémento 7.1 vous attend
pour l'installation d'un serveur
DNS statique sur srvlan.

Laisser un commentaire