Les quelques logiciels disponibles sont basés sur le moteur de ClamAV (« Clam AntiVirus »), principalement pour UNIX et très répandu dans le milieu professionnel.

Ses déclinaisons pour Windows sont Moon Secure AV, qui présente l’avantage d’une protection temps réel mais à qui il manque la remontée par email des alertes et qui s’est avéré être d’une lenteur incroyable lors d’une analyse. CS Antivirus, lui, ne m’a vraiment pas convaincu.

Le logiciel open source ClamWin

Reste alors ClamWin, un des rares logiciels antivirus libre pour Windows. Son interface claire offre un paramétrage fin : serveur de mise à jour & périodicité, choix des fichiers à analyser, gestion des fichiers infectés, configuration proxy, programmation des scans, alertes par mail…

Premier problème, il ne s’installe pas comme un service Windows et du coup les mises à jour des définitions de virus et les scans planifiés ne s’exécutent que lorsqu’une session est ouverte, une situation anormale pour un serveur.

Pour palier cela, il suffit de déposer dans le repertoire d’installation de ClamWin « Bin » le fichier freshclam.conf qui contient l’url vers le serveur des définitions antivirus puis de mettre en tâche planifiée un script bat qui va successivement mettre à jour les définitions de virus, initialiser un scan antivirus des unités souhaitées et envoyer un resumé par mail si détection.

Second problème, la configuration SMTP pour les notifications par mail est générée à la volée. Il faut donc l’inscrire en dur dans le système à l’aide du mailer en ligne de commande Blat. Copier les fichiers dans le repertoire d’installation de ClamWin par exemple puis créer un profil dans la base de registre à l’aide de ce script par exemple.

Troisième problème, il ne dispose pas nativement d’une protection temps-réel. Le contrôleur d’activité Winpooch lui apporte cette fonctionnalité car utilisé conjointement avec l’antivirus ClamWin, Winpooch monitore l’activité des programmes exécutés en temps réel. Une solution que je n’ai pas souhaité déployer pour l’instant.

Premier retour d’expérience, l’utilisation de ClamWin permet d’obtenir une protection active contre les virus et les autres menaces comme les logiciels espions (spyware) ou chevaux de Troie. Elle demande en contrepartie un investissement en temps au départ que j’espère pouvoir récupérer rapidement par le temps économisé à ne pas devoir gérer les licences -et leurs renouvellements- d’une solution propriétaire.

Liens :
- Package contenant tous les fichiers nécessaires à ClamWin
- Wikipedia EN : Liste des logiciels antivirus
- Script, Clamscan, Command line

N’hésitez pas à venir enrichir ce billet par votre expérience.

Une grosse colère, une bonne dose de patience et un peu de temps libre m’ont récemment permis de régler quelques soucis récurrents pour enfin pouvoir :

• Démarrer MediaTomb en même temps que le pc,
• Lire des fichiers MKV sur la PS3 (après conversion),
• Me faciliter l’accès aux données.

Pour commencer, installer MediaTomb puis éditer le fichier de configuration /etc/default/mediatomb et changer la ligne (à adapter à votre interface réseau) : INTERFACE="eth0"

Démarrage automatique

Sur ma distribution 9.04, le script /etc/init.d/mediatomb ne lance pas le logiciel automatiquement. Après quelques recherches, le problème vient du fait que le script de MediaTomb se lance en même temps celui des services réseaux.

J’ai cru comprendre que le processus INIT démarre tout ce qui se trouve dans /etc/rcS.d/ puis lance par défaut le runlevel 2. Or avec la version 9.04 Jaunty, le script /etc/init.d/networking se situe maintenant lui aussi dans /etc/rc2.d avec une priorité de 20.

Il me semblait pourtant que init avait été remplacé par upstart… si vous pouvez m’en dire plus, je suis preneur !

Des solutions existent ici et là mais j’ai finalement opté pour modifier la priorité de démarrage du script dans chaque runlevel.

sudo update-rc.d -f mediatomb remove
sudo update-rc.d mediatomb defaults 99

Les numéros les plus petits étant démarrés en premiers, le script de MediaTomb (priorité à 99) démarre après celui des services réseaux dont la priorité est à 20.

Lire des vidéos MKV

Par défaut la PS3 ne supporte pas le format Matroska Video. Il suffit donc de convertir ces fichiers au format TS ou M2TS, le format par défaut du Blu-ray (solution extraite de ce thread du forum Ubuntu-fr)

Pour que MediaTomb supporte les formats HD TS et M2TS, ajouter dans /etc/mediatomb/config.xml les lignes :
<map from="ts" to="video/mp2t"/>
<map from="m2ts" to="video/mpeg"/>

Pour convertir un MKV dans ces formats, nous allons utiliser le script H264ToBox, dont l’évolution peut être suivie sur ce thread.

Récupérer la dernière version du script sur ce site ainsi que TsMuxer sur le site SmartLabs.

Les copier dans un répertoire de votre PATH (classiquement /usr/local/bin) et rendre h264tobox exécutable :
sudo mv h264tobox /usr/local/bin/
sudo mv tsMuxeR /usr/local/bin/
sudo mv tsMuxerGUI /usr/local/bin/
sudo chmod +x /usr/local/bin/h264tobox

Ce script a encore quelques dépendances à satisfaire, listées sur la page des scripts utiles de la documentation Ubuntu-fr et installable en cliquant sur ce lien APT.

La conversion se fait à l’aide de l’une de ces commandes (h264tobox –help pour l’aide) :
h264tobox -i fichier.mkv
h264tobox -i fichier.mkv -o m2ts

Durée de l’opération sur mon vieux pc d’environs 7 minutes pour 4.3Go. N’hésitez pas tester avec ce sample.

Ce n’est pas une solution qui fonctionne toujours mais bon nombre de fichiers MKV sont maintenant lisibles sur la PS3 !

Personnalisation

MediaTomb retranscris sur la PS3 la même arborescence que celle de votre ordinateur. Pour éviter d’avoir à aller au fin fond de plusieurs répertoires, une solution consiste à créer des liens symboliques dans un nouveau répertoire créé à la racine, tout simplement !

Vous pouvez modifier le nom qui s’affiche dans le menu de la PS3 en éditant le fichier /etc/mediatomb/config.xml et en remplaçant la valeur entre les balises name pour obtenir par exemple :

<name>sidney_v</name>

Pour changer l’icône associé à MediaTomb sur la PS3 :
sudo cp monimage.png /usr/share/mediatomb/web/icons/mt-icon120.png

Extra : pour ajouter la gestion des MKV à la Freebox, ajouter la ligne suivante dans le fichier /etc/mediatomb/config.xml
<map from="mkv" to="video/x-matroska"/>

Prise en charge des caractères accentués

Lorsque MediaTomb démarre en tant que service, l’encodage des noms de répertoires/fichiers avec accent se retrouvent tronqués. Pour corriger cela, après les lignes :
</server>
<import hidden-files="no">
insérer :
<filesystem-charset>UTF-8</filesystem-charset>
<metadata-charset>UTF-8</metadata-charset>
<playlist-charset>UTF-8</playlist-charset>

Et pour ceux qui voudraient aller plus loin (je manque de temps), regardez du côté des rubriques transcoding et scripting de la documentation officielle…

Ces utilisateurs virtuels sont associés au compte unix local ftpuser et au groupe ftpgroup. Le problème est que cet utilisateur ftpuser n’a qu’un accès très limité à la racine /var/www du serveur web (lecture seule), qui est la propriété de l’utilisateur www-data.

Apparemment, plusieurs solutions +/- propres existent :

• changer le propriétaire avec chown ou les droits avec chmod
• exécuter Apache comme ftpuser:ftpgroup ou pure-FTPd comme www-data:www-data

2 méthodes un peu borderline d’un point de vue sécurité.

Une solution simple (trouvée sur ce forum anglais) consiste à associer à l’utilisateur virtuel le compte local www-data. Ça fonctionne mais sans autre manipulation, le serveur ftp renverra systématiquement une erreur 530.

Il est alors nécessaire de paramétrer pure-FTPd pour autoriser les connexions d’utilisateurs virtuels associés à des comptes inférieurs à l’UID 1000. Pour cela, éditer le fichier de configuration /etc/pure-ftpd/conf/MinUID.

sudo vim /etc/pure-ftpd/conf/MinUID

Remplacer la valeur 1000 par 33 (qui correspond à l’UID de l’utilisateur www-data) puis redémarrer ensuite le serveur ftp.

sidney_v@core:~$ sudo /etc/init.d/pure-ftpd restart
Restarting ftp server: Running: /usr/sbin/pure-ftpd -l pam -l puredb:/etc/pure-ftpd/pureftpd.pdb -A -O clf:/var/log/pure-ftpd/transfer.log -u 33 -E -B

Pour interdire l’accès des comptes unix au ftp, mettre à no la valeur des fichiers PAMAuthentication et UnixAuthentication situés dans /etc/pure-ftpd/conf.

Si cette méthode présente une faille ou peut être optimisée, n’hésitez pas à réagir !

Pour s’en convaincre, il suffit d’extraire la miniature d’une image en installant le paquet exif puis en exécutant la commande
exif -e monimage.jpeg

Si ce n’est pas gênant pour Gnome qui génère sa propre miniature, c’est vite plus compliqué pour les logiciels qui se servent de cette miniature EXIF, comme le serveur uPnP MediaTomb.

D’où l’idée d’un script Nautilus qui (re)génère le tag EXIF d’une photo ou d’un groupe de photos sans modifier ni supprimer les autres tags.

Le résultat est generate_exif_thumbnail_v1.0.sh

C’est vraiment de base et pour un besoin personnel, mais n’hésitez pas à apporter vos modifications ! Veillez à bien installer les dépendances, à savoir zenity et exiftran.

Pas de gros bugs à première vue, le code est inspiré d’un script de Taltan que j’utilise très fréquemment pour renommer mes photos.

Depuis 5 heure ce matin, Microsoft a en effet cessé d’authentifier les logiciels qui utilisent la version 15 de son protocole MSNP, dont notamment la bibliothèque Libpurple à qui Microsoft ne distribue donc plus de certificat valide.

La solution est simple et consiste à utiliser une version alternative du protocole MSN pour Libpurple. Il s’agit d’installer le paquet msn-pecan présent dans les dépots backports (universe) :

sudo aptitude install msn-pecan

Ensuite, modifier simplement votre compte MSN/Live dans Pidgin pour choisir le protocole WLM. Tout refonctionne, reste à savoir maintenant si ce choix inattendu de Microsoft est définitif ou non…

Mise à jour : Tandis que sur le Planet de Pidgin était publié ce billet sur un possible dysfonctionnement du logiciel, les développeurs d’Axium identifiaient sur leur blog le problème. Depuis, le serveur de Microsoft délivre bien à nouveau le bon certificat de sécurité quand Libpurple tente de récupérer la liste des contacts.

L’idée était de répartir le service entre 2 hyperviseurs installés sur deux serveurs identiques, à l’aide du logiciel Heartbeat pour surveiller l’état des deux serveurs et de DRBD pour garantir la disponibilité des données lors des bascules, grâce à son implémentation de raid1 sur ip.

C’est typiquement le genre de projet que je redoute toujours un peu à cause de la complexité à laquelle on se retrouve vite confronté (par « manque de connaissances et/ou compétences » bien souvent).

Mais quelques recherches sur internet m’ont rapidement conduit sur un excellent tutoriel du site Ubuntu Geek.

Plusieurs heures (pour ne pas dire week-end en toute franchise !) et pas mal d’aide en ligne auront été nécessaires pour finalement arriver à mes fins (autrement dit à un espace de stockage commun synchronisé avec drbd sur l’ensemble des noeuds).

L’application de ce petit tutoriel m’a fait prendre un peu de recul et je vous livre ici de manière un peu « brute » les enseignements tirés de la mise en oeuvre de ce tutoriel :

• Tout d’abord, l’existence de solutions libres viables et jugées robustes au travers des différents avis croisés sur internet, et dont la granularité s’adapte à des besoins de différentes tailles. Rien que vous ne sachiez pas déjà mais c’est important de le redire car ceci vaut autant pour la haute disponibilité que pour d’autres domaines.
• Malgré une installation relativement simple, les mécanismes mis en oeuvre peuvent vite devenir relativement complexe et coûteux en temps si l’on souhaite s’approprier le sujet, ce qui est la base avant toute mise en production ! Un investissement important est donc nécessaire et la rédaction de procédures est une étape indispensable pour poser des jalons et valider un ensemble d’actions. Il s’agit là plus d’une méthodologie de travail et qui ne se restreint pas au monde du logiciel libre d’ailleurs…
• Pour palier la complexité de certaines solutions, la documentation est généralement abondante sur internet bien que majoritairement rédigée dans la langue de Shakespeare dès que le sujet devient pointu. Les sources d’informations sont multiples et librement accessibles (forum, wiki, liste de diffusion etc.).
• Et de manière plus spécifique au projet, il convient de bien analyser le besoin en amont car une alternative plus judicieuse aurait été de gérer la redondance des services et des ressources au niveau des services eux-mêmes lorsqu’ils le permettent (dns primaire-secondaire, ldap maitre-esclave…).

Finalement, tout n’est pas perdu puisque les objectifs de ce billet se révèlent être multiples, à commencer par remercier toutes les personnes qui d’une manière ou d’une autre contribuent à documenter ou faire avancer par leurs questions ou réponses un projet. Et puis pour signaler que finalement toute problématique semble avoir une réponse dans le logiciel libre, ce qui je dois bien l’avouer, m’arrange bien d’un point de vue « philosophique »…

Nous utiliserons pour cela le paquet sendxmpp qui, couplé au logiciel de monitoring Nagios, permettra de recevoir les notifications en temps réel sur une messagerie instantanée Jabber (dont Gmail fait parti, quoique discutable). Après quelques galères sur plusieurs solutions disponibles ici et là, voici une solution parmi d’autres mais qui a le mérite de fonctionner sur ma ubuntu-server LTS.

sendxmpp est un script Perl disponible dans le dépot universe qui permet de manière très simple d’envoyer des messages Jabber en ligne de commande.

Vous devez juste disposer d’une adresse Jabber (disponible gratuitement sur jabber.apinc.org) pour le logiciel Nagios et qui servira à envoyer les messages sur votre adresse.

Installer et configurer sendxmmp

sudo aptitude install sendxmpp

Il faut ensuite créer un fichier /etc/nagios/sendxmpprc et l’éditer pour y indiquer les paramètres de votre compte jabber ; exemple de contenu du fichier :

useraccount@jabber.org password

Il vous faudra changer les permissions de ce fichier pour que sendxmpp puisse l’utiliser.

sudo chmod 0600 sendxmpprcsudo chgrp www-data sendxmpprcsudo chown nagios sendxmpprc

Paramétrage de Nagios

Editer le fichier misccommands.cfg (situé dans /etc/nagios/ chez moi) et ajouter les 2 notifications suivantes :

# 'notify-by-jabber' personnal command definitiondefine command{  command_name notify-by-jabber  command_line /usr/bin/printf "%b" "** $NOTIFICATIONTYPE$ alert - $HOSTALIAS$/$SERVICEDESC$ is $SERVICESTATE$ **" | /usr/bin/sendxmpp $CONTACTEMAIL$ -f /etc/nagios/sendxmpprc  }

# 'host-notify-by-jabber' personnal command definitiondefine command{  command_name host-notify-by-jabber  command_line /usr/bin/printf "%b" "Host $HOSTSTATE$ alert for $HOSTNAME$!" | /usr/bin/sendxmpp $CONTACTEMAIL$ -f /etc/nagios/sendxmpprc  }

Ensuite, créer un nouveau contact dans le fichier contacts.cfg en précisant le mail jabber auquel seront envoyées les notifications :

define contact{        contact_name                    sidney_v-jabber        alias                           sidney_v        service_notification_period     24x7        host_notification_period        24x7        service_notification_options    w,u,c,r        host_notification_options       d,u,r        service_notification_commands   notify-by-jabber        host_notification_commands      host-notify-by-jabber        email                           useraccount-dest@jabber.fr        }

Il ne vous reste plus qu’à associer le contact à un groupe de contacts puis le contactgroup à un service ou un hôte et le tour est joué !

nota : si votre serveur Jabber ne supporte pas SASL (erreur ‘undefined value as a HASH reference’), la solution est sur ce site.

3 lettres magiques pour se déplacer en voiture mais qui d’une manière générale servent à la localisation. D’où l’idée de partager mes photos en ligne sur des sites comme loc.alize.us, panoramio, locr… mais aussi de les regarder chez moi en 3D avec Google Earth (les services cartographiques pourront même s’appuyer sur un shapefile ESRI)

Petit tour d’horizon de ce qu’il est possible de faire…

Le sentiment que j’ai pu craquer est compréhensible. Pourquoi veut-il placer ses photos sur des cartes ?

• Pour retracer un voyage en Irlande, une randonnée dans les Alpes, un roadtrip en Italie…
• Pour m’éviter de photographier le panneau à l’entrée d’une ville pour m’en rappeler le nom
• Pour l’aspect fun comparé à un partage de photos par albums web !

Sans oublier les ‘plus’ qu’offrent chaques sites :

• extraits Wikipedia sur la commune ou des lieux intéressants situés à proximité,
• photos d’autres utilisateurs prises au même endroit…
• galeries privées/publiques et bien d’autres !

J’avais initialement prévu de rediger un billet pour parvenir à cela sur mon site, mais la mise en page limitée d’un blog et le besoin de travail collaboratif (merci à Fred que j’ai embarqué sur ce sujet) nous ont obligé à trouver un autre vecteur de communication.

Pour vous, nous avons finalement préféré rédiger un tutoriel sur la documentation Ubuntu-fr de manière à ce que les informations soient facilement accessible et modifiable par l’ensemble de la communauté.

Le résultat est disponible sur cette page de la documentation.

Après un petit rappel sur les metadonnées et les équipements nécessaires (APN avec GPS, système GPS indépendant, ou rien du tout !), nous ferons le tour d’une série de logiciels intégrés dans les dépots de Feisty Fawn (exiv2, digikam et les kipi-plugins) ou non (GPicSync, picasa2) pour manipuler les coordonnées GPS associées à une image.

On retiendra que la géolocalisation (phénomène récent pour le grand public) est déjà accessible à tous très facilement via les outils graphiques que propose Ubuntu. Maintenant à quand l’utilisation d’un fond de carte libre comme Open Street Map ?

Bonne lecture !

L’intérêt d’un serveur syslog est donc de permettre une centralisation de ces journaux d’événements, permettant de repérer plus rapidement et efficacement les défaillances de machines présentes sur un réseau.

Avant même d’aller plus loin, je vous invite à lire l’excellent article « Syslog, maîtrisez l’historique » de Vincent Renardias, paru dans le numéro 19 de Linux Magazine. C’est une excellente base et une approche simple de la journalisation sous Linux.

Ce billet est la traduction de l’aide du logiciel légèrement adaptée pour Ubuntu, et qui détaille les points qui me semblaient passés trop rapidement.

Qu’est-ce que Syslog-NG ?

Nous nous intéresserons ici à syslog-ng, un remplaçant de syslog. Il permet notamment de dissocier les logs entrants sur d’autres critères que le ‘facility’ comme par exemple : le nom ou l’adresse IP de la machine qui émet le log.

Son installation n’est pas très complexe, mais nécessite un peu de rigeur.

La procédure d’installation est maintenant intégrée et à jour dans la documentation du wiki Ubuntu-fr, disponible ici !

Et voilà le résultat

Si vous souhaitez aller plus loin, quelques liens utiles :
syslog-ng v2.0 reference manual
syslog-Ng FAQ
rotation des fichiers journaux de syslog-ng
sécuriser le pwd de syslogfeeder dans syslog2mysql

Le plus souvent, ces 2 processus se font via un serveur TFTP. J’ai donc été amené à en choisir un et l’installer sur une Ubuntu Dapper LTS…

Présentation rapide du protocole TFTP

TFTP (pour Trivial File Transfert Protocol) est un protocole simplifié de transfert de fichiers. Il fonctionne en UDP sur le port 69, au contraire du FTP qui utilise lui TCP. L’utilisation d’UDP, protocole « non fiable », implique que le client et le serveur doivent gérer eux-mêmes une éventuelle perte de paquets.

Les principales simplifications visibles du TFTP par rapport au FTP est qu’il ne gère pas le listage de fichiers, et ne dispose pas de mécanismes d’authentification, ni de chiffrement. Il faut connaître à l’avance le nom du fichier que l’on veut récupérer. De même, aucune notion de droits de lecture/écriture n’est disponible en standard.

On utilise le protocole TFTP notamment pour la mise à jour des firmwares sur les équipements réseaux, la sauvegarde de la configuration de ces équipements réseau, mais aussi pour amorcer des stations de travail sans disque dur (j’en profite pour vous glisser un lien très intéressant : Thinstation ).

Quels sont les serveurs disponibles pour notre distribution ?

Une simple commande renvoi bon nombre de serveurs disponibles dans les dépots :

sudo aptitude search tftp

Un accès sur le site Ubuntu Packages nous en apprendra plus :

atftpd : advanced TFTP serverMulti-threaded TFTP server implementing all options (option extension and multicast) as specified in RFC1350, RFC2090, RFC2347, RFC2348 and RFC2349. Atftpd also supports multicast protocol known as mtftp, defined in the PXE specification. The server supports being started from inetd(8) as well as in daemon mode using init scripts.

tftpd : Trivial file transfer protocol serverTftpd is a server which supports the Internet Trivial File Transfer Protocol (RFC 783). The TFTP server operates at the port indicated in the `tftp' service description; see services(5). The server is normally started by inetd(8).

tftpd-hpa : HPA's tftp serverThis is a tftp server derived from OpenBSD tftp with some extra options added. It is useful if you want to use the PXE protocol which has some non-standard requirements for tftp.

Mes besoins m’ont amené à choisir le plus simple d’entres-eux : tftpd

A noter : la procédure d’installation est maintenant intégrée et à jour dans la documentation du wiki Ubuntu-fr, disponible ici !