Installation et mise à jour de ShorewallVersion française de Shorewall Installation and
UpgradeTomEastepGuyMarcenacAdaptation française2001-2006Thomas M. EastepGuy MarcenacPermission est accordée de copier, distribuer et/ou modifier ce
document selon les termes de la Licence de Documentation Libre GNU (GNU
Free Documentation License), version 1.2 ou toute version ultérieure
publiée par la Free Software Foundation ; sans section Invariables, sans
première de Couverture, et sans texte de quatrième de couverture. Une
copie de la présente Licence est incluse dans la section intitulée. Une
traduction française de la licence se trouve dans la section
Licence de
Documentation Libre GNU. Ce paragraphe est une
traduction française pour aider à votre compréhension. Seul le texte
original en anglais présenté ci-dessous fixe les conditions
d'utilisation de cette documentation.Permission is granted to copy, distribute and/or modify this
document under the terms of the GNU Free Documentation License, Version
1.2 or any later version published by the Free Software Foundation; with
no Invariant Sections, with no Front-Cover, and with no Back-Cover
Texts. A copy of the license is included in the section entitled
GNU Free Documentation
License.Notes du traducteur : Si vous
trouvez des erreurs ou si vous avez des améliorations à apporter à cette
traduction vous pouvez me
contacter.Cet article s'applique à Shorewall 3.0 et à
ses versions ultérieures. Si vous êtes en train d'installer ou de mettre à
jour vers une version antérieure à Shorewall 3.0.0, merci de vous référer
à la documentation de cette version.Avant de vous lancer dans l'installation, je vous encourage vivement
à lire et à imprimer une copie du guide pratique présenté dans Shorewall QuickStart et
décrivant la configuration la plus proche de la votre.Avant toute mise à jour, assurez-vous d'avoir passé en revue les problèmes de mise à jour.Les RPM Shorewall sont signés. Pour éviter d'avoir des
avertissements tels que le suivantwarning: shorewall-3.2.1-1.noarch.rpm: V3 DSA signature: NOKEY, key ID 6c562ac4téléchargez la clé GPG
Shorewall puis exécutez cette commande:rpm --import shorewall.gpg.keyInstallation avec un RPMPour installer Shorewall avec un RPM:Assurez-vous d'avoir le paquetage RPM
adéquat!On sait que le paquetage RPM standard de shorewall.net et des
miroirs fonctionne avec SUSE, Power PPC, Trustix et TurboLinux. Il existe un
paquetage fourni par Simon Matter construit pour RedHat/Fedora ainsi qu'un autre
paquetage de Jack Coates adapté pour Mandriva. Il sont tous
disponibles sur la page de
téléchargement.Si vous tentez d'installer le mauvais paquetage, il ne
fonctionnera probablement pas.Installer le RPMrpm -ivh <shorewall rpm>Certains utilisateurs ont l'habitude d'utiliser la commande
rpm -U pour installer et pour mettre à jour leurs
paquetages. Si vous utilisez cette commande pour installer le RPM
Shorewall vous devrez activer manuellement le lancement de Shorewall
au démarrage en utilisant chkconfig,
insserv ou l'utilitaire que vous utilisez pour
manipuler les liens symboliques pour init.Some SUSE users have encountered a
problem whereby rpm reports a conflict with kernel <= 2.2 even
though a 2.4 kernel is installed. If this happens, simply use the
--nodeps option to rpm.rpm -ivh --nodeps <shorewall rpm>Certains utilisateurs SUSE ont
rencontré un problème dans lequel le rpm signale un conflit avec un
noyau de version <= 2.2 alors qu'un noyau 2.4 est installé. Si
ceci se produit, utilisez simplement l'option rpm --nodeps.rpm -ivh --nodeps <shorewall rpm>Shorewall dépend du paquetage iproute. Malheureusement,
certaines distribution nomment ce paquetage iproute2 ce qui provoque
un échec de l'installation de Shorewall avec le diagnostic
suivant:error: failed dependencies:iproute is needed by shorewall-3.2.x-1Ce problème ne devrait pas survenir si vous utilisez le bon
paquetage RPM (voir 1., ci-dessus), mais il peut être contourné en
utilisant l'option --nodeps de rpm.rpm -ivh --nodeps <shorewall rpm>Éditez les fichiers de
configuration pour qu'ils correspondent à votre
configuration.VOUS NE POUVEZ PAS SIMPLEMENT INSTALLER LE RPM ET LANCER UNE
COMMANDE shorewall start. UN
MINIMUM DE CONFIGURATION EST NÉCESSAIRE AVANT QUE VOTRE FIREWALL NE
DÉMARRE. SI VOUS EXÉCUTEZ UNE COMMANDE
start ET QUE LE LANCEMENT DU
FIREWALL ÉCHOUE, VOTRE SYSTÈME N'ACCEPTERA PLUS AUCUN TRAFIC RÉSEAU.
SI CELA SE PRODUIT, EXÉCUTEZ LA COMMANDE shorewall
clear POUR RÉTABLIR LA CONNECTIVITÉ RÉSEAU.Activez le démarrage de shorewall en éditant le fichier
/etc/shorewall/shorewall.conf et mettez
STARTUP_ENABLED à Yes).Lancez le firewall avecshorewall startInstaller avec le fichier tarballPour installer Shorewall avec le tarball et le script
d'installation:Décompressez le tarball (tar -zxf shorewall-x.y.z.tgz).Allez dans le répertoire shorewall (la version est codée dans le
nom de répertoire comme par exemple dans
shorewall-3.2.1).Tapez:./install.shÉditez les fichiers de
configuration pour qu'ils correspondent à votre
configuration.Activez le démarrage de shorewall en éditant le fichier
/etc/shorewall/shorewall.conf et en y mettant
STARTUP_ENABLED=Yes.Lancez le firewall avecshorewall startSi le script d'installation n'a pas réussi à configurer
Shorewall pour qu'il soit lancé automatiquement au démarrage du
système, allez voir ces
instructions.Installer avec le .lrpPour installer ma version de Shorewall sur une nouvelle disquette de
Bering, remplacez simplement sur l'image le fichier
shorewall.lrp par celui que vous avez
téléchargé. Par exemple, si vous téléchargez
shorewall-lrp-2.2.0.tgz vous le renommerez
shorewall.lrp puis vous remplacerez le fichier
portant ce nom sur votre disque Bering par ce nouveau fichier. Configurez
ensuite Shorewall comme cela est décrit dans la documentation Bering (ou
Bering uClibc).Installer avec le .debAprès avoir installé le paquetage .deb, avant de commencer à
configurer Shorewall, vous devriez prendre connaissance de ce conseil de
Lorenzo Martignoni, le mainteneur Debian de Shorewall:Pour plus d'information quant à l'utilisation de Shorewall
sur un système Debian vous devriez aller voir le fichier
/usr/share/doc/shorewall/README.Debian distribué avec le paquetage
Debian de Shorewall.Le façon la plus simple d'installer Shorewall sur Debian est
d'utiliser apt-get:apt-get install shorewallPour être certain d'installer la dernière version de Shorewall, vous
devriez modifier votre fichier
/etc/apt/preferencesPackage: shorewall
Pin: release o=Debian,a=testing
Pin-Priority: 700
Package: shorewall-doc
Pin: release o=Debian,a=testing
Pin-Priority: 700Puis
exécutez# apt-get update
# apt-get install shorewallLorsque vous avez fini de configurer
Shorewall, vous pouvez activer son lancement au démarrage du système en
positionnant startup=1 dans le fichier
/etc/default/shorewall.Observations générales sur les mises à jour de ShorewallLa plupart des problèmes de mise à jour ont pour cause:L'utilisateur n'a pas lu et suivi les considération de migration
présentées dans les notes de mise à jour (release
notes) (ces notes sont aussi reproduites dans le document
Shorewall Upgrade
Issues).L'utilisateur a mal géré son fichier
/etc/shorewall/shorewall.conf durant la mise à
niveau. Shorewall est conçu pour permettre à son comportement par
défaut d'évoluer dans le temps. Pour que ce la soit possible, il est
supposé de conception que vous ne remplacerez
pas votre fichier shorewall.conf lors des mises à jour. Il
est donc recommandé de modifier votre fichier
/etc/shorewall/shorewall.conf après la première
installation de shorewall de façon à empêcher votre gestionnaire de
paquets de l'écraser lors de mises à jour ultérieures (même pour
l'ajout de STARTUP_ENABLED, une telle modification est garantie
puisque vous devez changer son paramètrage manuellement). Si vous vous
sentez vraiment tenu d'avoir les derniers commentaires et options dans
votre fichier shorewall.conf, vous devrez
procéder très prudemment. Vous devrez déterminer quelles nouvelles
options ont été introduites. Vous devrez réinitialiser la valeur de
ces nouvelles options (par exemple OPTION=""), sinon, vous obtiendrez
un comportement différent de celui auquel vous vous attendez.Mise à jour avec un RPMSi le RPM Shorewall est déjà installé et que vous mettez à jour vers
une nouvelle version:Assurez-vous d'avoir le bon paquetage
RPM!On sait que le paquetage RPM standard de shorewall.net et des
miroirs fonctionne avec SUSE, Power PPC, Trustix et TurboLinux. Il existe un
paquetage fourni par Simon Matter construit pour RedHat/Fedora ainsi qu'un autre
paquetage de Jack Coates adapté pour Mandriva. Il sont tous
disponibles sur la page de
téléchargement.Si vous tentez d'installer le mauvais paquetage, il ne
fonctionnera probablement pas.Procédez à la mise à jourrpm -Uvh <shorewall rpm file>Certains utilisateur de SUSE ont rencontré un problème dans
lequel rpm signale un conflit avec un noyau de version <= 2.2
alors qu'un noyau 2.4 est installé. Si ceci vous arrive, vous pouvez
simplement utiliser l'option --nodeps de rpm.rpm -Uvh --nodeps <shorewall rpm>Shorewall dépend du paquetage iproute. Malheureusement,
certaines distributions nomment ce paquetage iproute2 ce qui
provoquera un échec de la mise à jour avec le diagnostic
suivant:error: failed dependencies:iproute is needed by shorewall-3.2.1-1Ceci peut être contourné en utilisant l'option --nodeps de
rpm.rpm -Uvh --nodeps <shorewall rpm>Contrôlez si il existe des incompatibilités entre votre
configuration et votre nouvelle version de Shorewall et corrigez quand
cela est nécessaire.shorewall checkRedémarrez le firewall.shorewall restartMise à niveau avec le tarballSi Shorewall est déjà installé et que vous procédez à une mise à
jour de version avec le tarball:Décompressez le fichier.tar -zxf shorewall-x.y.z.tgzAllez dans le répertoire Shorewall (la version est codée dans le
nom du répertoire comme dans shorewall-3.2.1-1).Tapez:./install.shContrôlez si il existe des incompatibilités entre votre
configuration et votre nouvelle version de Shorewall et corrigez quand
cela est nécessaire.shorewall checkDémarrez le firewall avecshorewall startSi le script d'installation n'a pas réussi à configurer
Shorewall pour un démarrage automatique au boot du système,
reportez-vous à ces
instructions.Mettre à jour avec le .lrpCeci est une contribution de Charles Steinkuehler postée sur la
liste de diffusion Leaf:
c'est *TRÈS* simple... mettez un nouveau CD et redémarrez le
système :-) En réalité, je ne plaisante que très peu... c'est exactement
de cette manière que je mets à jour mes firewall de production. La
fonction de sauvegarde partielle que j'ai ajoutée à Dachstein permet de
stocker séparément les données de configuration et le reste du
paquetage.Une fois les données de configuration séparées du reste du
paquetage, il devient facile de procéder à la mise à jour du paquetage
en conservant votre configuration courante (dans mon cas, il me suffit
d'insérer un nouveau CD et de rebooter).L'idée générale est d'utiliser un backup partiel pour sauvegarder
votre configuration, de remplacer le paquetage, puis de restaurer vos
anciens fichiers de configuration. Les instructions pas-à-pas données
ci-après proposent une manière d'y parvenir (on suppose l'utilisation
d'un système LEAF conventionnel sur une seule disquette):Faites une copie de sauvegarde de votre disquette firewall
('NEW'). C'est sur cette disquette que vous allez ajouter le(s)
paquetage(s) à jour.Formattez une disquette que vous utiliserez comme emplacement
temporaire pour vos fichiers de configuration ('XFER'). Cette
disquette devrait avoir le même format que votre disquette firewall
(une autre copie de sauvegarde de votre disquette firewall ferait
très bien l'affaire).Assurez-vous de disposer d'une copie fonctionnelle de votre
firewall existant ('OLD') dans un endroit sûr, et que vous
N'UTILISEREZ PAS PENDANT ce processus. De cette façon, si quoi que
ce soit se passait mal, vous pourriez simplement rebooter avec cette
disquette OLD pour revenir à une configuration fonctionnelle.Retirez la disquette firewall courante et remplacez-la par la
disquette XFER.Utilisez le menu de sauvegarde de lrcfg
pour réaliser un backup partiel du(des) paquetage(s) que vous voulez
mettre à jour en vous assurant de sauvegarder les fichiers sur la
disquette XFER. Dans le menu de sauvegarde:t e <enter> p <enter>
b <package1> <enter>
b <package2> <enter>
...Téléchargez et copiez le(s) paquetage(s) que vous voulez
mettre à jour sur la disquette NEWRebootez votre firewall en utilisant la disquette NEW... à ce
point du processus, les paquetages que vous mettez à jour sont avec
leur configuration par défaut.Montez la disquette XFER (mount -t msdos /dev/fd0u1680
/mnt)Allez dans le répertoire racine (cd /)Extrayez manuellement les données de configuration de chaque
paquetage que vous avez mis à jour:tar -xzvf /mnt/package1.lrp
tar -xzvf /mnt/package2.lrp
...Démontez (umount /mnt) puis retirez la disquette XFEREn utilisant lrcfg, faites une sauvegarde
COMPLÈTE de vos paquetages mis à jour.Rebootez et vérifiez que le firewall fonctionne comme prévu.
Il peut être nécessaire d'ajuster certains fichiers de configuration
pour qu'ils fonctionnent convenablement avec les nouveaux
binaires.On peut utiliser le nouveau fichier de paquetage
<paquetage>.local pour fixer précisément quels fichiers du
backup partiel seront inclus ou pas (pour plus détails se reporter au
Dachstein-CD README). Si ce fichier n'existe pas, le script de backup
suppose que tous les fichiers de <paquetage>.list qui résident
dans /etc ou dans /var/lib/lrpkg font partie de la
configuration et sont utilisés pour créer le backup partiel. Si
Shorewall installe quoi que ce soit dans /etc qui ne soit pas un fichier de
configuration modifié par l'utilisateur, un fichier
shorewall.local approprié devrait être créé avant
de faire le backup partiel [Remarque de
l'éditeur: Shorewall ne place dans
/etc/ que des fichiers modifiables par
l'utilisateur].Il est évidemment possible de réaliser tout cela 'sur-place',
sans utiliser plusieurs disquettes, et même sans faire de backup
partiel (c.a.d. copier les fichiers de configuration courants dans
/tmp, extraire manuellement le nouveau paquetage
sur le firewall en cours d'exécution, copier et fusionner les données
de configuration depuis /tmp et du backup... ou
autre), mais quiconque est capable de cette gymnastique en ligne de
commande le fait sans doute déjà, sans avoir besoin d'instructions
détaillées! :-)
Pour des informations concernant d'autres outils de mise à jour
LEAF/Bering, consultez cet
article de Alex Rhomberg.Configurer ShorewallVous devrez éditer certains voire la totalité des fichiers de
configuration pour obtenir la configuration que vous souhaitez. Dans la
plupart des cas, les guides de
démarrage rapide shorewall contiennent toute l'information dont
vous aurez besoin.Désinstaller / Revenir à la version antérieureVoir Fallback and
Uninstall.