Administrateur & Développeur système UNIX/Linux

Un certificat multi-domaines (à ne pas confondre avec un certificat wildcard) permet d’utiliser un certificat SSL pour différents noms de domaines et sous-domaines. Ceux-ci peuvent alors être hébergés sur un même serveur Web à adresse IP unique. Pour rappel, lors de l’établissement de la connexion sécurisée, le serveur Web envoie  le certificat SSL alors même que le client n’a pas encore envoyé sa requête. Les certificats au standard X509 ne présentant qu’un unique nom de domaine ou sous-domaines (cas d’un certificat wildcard) par le biais du champ CN (Common Name) : le serveur Web ne peut donc que se mapper  localement à un unique site Web.

Pourtant, une extension existe depuis quelques années (pour ma part je l’ai appris en 2005) et permet de déclarer dans le certificat plusieurs domaines. Celle-ci associe au certificat une liste de domaines : le champ SubjectAltName. Le serveur Web est alors capable de gérer plusieurs domaines, le certificat pouvant être mappé aux hôtes virtuels de cette liste. Seul bémol, la liste des domaines est présente en clair dans le certificat (il n’y aurait pas de magie).

Action ! Pour obtenir un certificat SSL gratuit multi-domaines signé par l’autorité CACert (http://www.cacert.org/) :

1. créez votre compte sur le site CACert en déclarant votre mailbox et votre nom de domaine
2. générez la demande de certificat (CSR) grâce à ce script : http://svn.cacert.org/CAcert/Software/CSRGenerator/csr .
3. copiez la demande sur le formulaire du site et enregistrez le certificat.
4. installez le certificat racine de CACert si votre navigateur ne l’intègre pas : http://www.cacert.org/index.php?id=3.

Exemple d’exécution du script pour mon domaine hbis.fr (notez bien que je répète le domaine pour l’extension) :

Private Key and Certificate Signing Request Generator
This script was designed to suit the request format needed by
the CAcert Certificate Authority. www.CAcert.org

Short Hostname (ie. imap big_srv www2): hbis
FQDN/CommonName (ie. www.example.com) : hbis.fr
Type SubjectAltNames for the certificate, one per line. Enter a blank line to finish
SubjectAltName: DNS:hbis.fr
SubjectAltName: DNS:www.hbis.fr
SubjectAltName: DNS:admin.hbis.fr
SubjectAltName: DNS:mail.hbis.fr
SubjectAltName: DNS:smtp.hbis.fr
SubjectAltName: DNS:
Running OpenSSL...
Generating a 2048 bit RSA private key
.......................+++
..........................+++
writing new private key to '/root/hbis_privatekey.pem'
-----
Copy the following Certificate Request and paste into CAcert website to obtain a Certificate.
When you receive your certificate, you 'should' name it something like hbis_server.pem

Plus d’informations sur le support de l’extension SubjectAltName par les navigateurs Web : http://wiki.cacert.org/wiki/VhostTaskForce.

Ce script vous sera utile dans le cas d’une désinstallation / réinstallation du serveur de base de données Firebird sous Mac OS X :

#!/bin/sh

SystemStarter stop 'Firebird Server'
dscl localhost -delete /Local/Default/Users/firebird
dscl localhost -delete /Local/Default/Groups/firebird

if [ -f "/Library/StartupItems/Firebird" ]; then
   rm -fr /Library/StartupItems/Firebird
fi

if [ -f "/Library/LaunchDaemons/org.firebird.gds.plist" ]; then
   launchctl unload /Library/LaunchDaemons/org.firebird.gds.plist
   rm /Library/LaunchDaemons/org.firebird.gds.plist
fi

rm -fr /Library/Frameworks/Firebird.framework
rm -fr /Library/Receipts/Firebird*.pkg

Voici un guide complet d’installation de la dernière version 3 de l’utilitaire rsync sous Mac OS X, incluant les patchs nécessaires à la gestion des flags du filesystem HFS+. Il est disponible à cet endroit : http://www.bombich.com/mactips/rsync.html

Le lancement du démon Rsync par xinetd (Mac OS X 10.4) est expliqué ici :

http://maxpowerindustries.com/docs/rsyncdaemon.html.

Dans le cas d’une version 10.5, il faut créer un script launchd :

http://voice.firefallpro.com/2006/03/backing-up-with-launchd-and-rsync-in.html.

Le package openssl contient un client telnet sécurisé, très utile pour tester les connexions aux serveurs HTTPS, SMTPS, IMAPS et j’en passe.

# openssl s_client -connect localhost:993

Cet outil permet également d’inspecter les certificats SSL.

Ah oui, la bonne nouvelle c’est qu’il est installé sur tous les systèmes Unix, Linux et Mac OS (OpenSSL oblige).

Un récapitulatif  de commandes utilisant awk et sed pour réaliser des traitements basiques sur les fichiers :

http://www.pement.org/awk/awk1line.txt
http://student.northpark.edu/pemente/sed/sed1line.txt

Argh faut installer le paquet manquant : xserver-xorg-input-kbd. C’est certes très bête mais fallait juste lire l’output de  startx !

Voice un liste d’outils indispensables pour un administrateur système soucieux de son serveur DNS et de ses domaines :

• http://www.intodns.com/ : semblable à un outil connu devenu payant …
• http://www.squish.net/dnscheck/ : outil qui teste la délégation.
• http://dnscheck.se/ : autre outil de test de délégation.
• http://demo.dnsdoctor.org/ : outil vérifiant une zone DNS tout en effectuant des tests de validité.
• http://www.zonecheck.fr/demo/ : idem que le précédent, mais en français.
• http://www.zonecut.net/dns/ : vérifie la délagation DNS tout en proposant un résultat graphique.

Il est parfois utile de mettre en cache des fichiers, telles que des sessions PHP ou des logs (ce qui évite le réveil du disque dur). Le système de fichiers tmpfs (temporaray file system) permet à juste titre de créer un cache RAM. Les données y sont stockées jusqu’au prochain démarrage du serveur. Si aucune taille disque n’est précisée, tmpfs se charge de mettre en swap les données, ce qui peut être problématique.

Exemple de création d’un cache limité à 64 Mo, monté dans /home/cache :

# mount -t tmpfs -o size=128M /dev/shm /home/cache/
shm on /home/cache type tmpfs (rw,size=64M)
# df -h
Filesystem            Size  Used Avail Use% Mounted on
/dev/shm               64M     0   64M   0% /home/cache

Les fichiers / répertoires à stocker peuvent ensuite être copiés.

Une collection de mémentos à garder sous la main.

Voici enfin des distributions toutes prêtes d’Eclipse pour le développement PHP. Fini le cyle :installation / test / désinstallation / réinstallation / test / résignement / désinstallation / goto :installation. Les distributions sont disponibles en plus pour toutes les plateformes. Le connecteur SVN doit comme toujours être installé manuellement.

Distribution all-in-one Eclipse PHP
Connecteur SVN pour Eclipse