/usr/share/doc/HOWTO/fr-html/Samba-Authenticated-Gateway-HOWTO.html

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE html
  PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml"><head><title>Guide pratique de la réalisation d'une passerelle d'authentification avec Samba</title><link rel="stylesheet" type="text/css" href="style.css"/><meta name="generator" content="DocBook XSL Stylesheets V1.79.1"/><meta name="description" content="Ce document a pour but d'expliquer la construction d'une passerelle pare-feu, utilisant un contrôleur primaire de domaine Samba (PDC ou Primary Domain Controller) et un ensemble de règles pour authentifier les utilisateurs."/></head><body><div xml:lang="fr" class="article"><div class="titlepage"><div><div><h2 class="title"><a id="d0e1"/>
      Guide pratique de la réalisation d'une passerelle d'authentification avec
      Samba
  </h2></div><div><h3 class="subtitle"><em>
      Adaptation française du <span class="foreignphrase"><em class="foreignphrase">Samba 
      Authenticated Gateway HOWTO</em></span>
  </em></h3></div><div><div class="authorgroup"><div class="author"><h3 class="author"><span class="firstname">Ricardo Alexandre</span> <span class="surname">Mattar</span></h3><code class="email">&lt;<a class="email" href="mailto:ricardo POINT mattar CHEZ bol POINT com POINT br">ricardo POINT mattar CHEZ bol POINT com POINT br</a>&gt;</code></div></div></div><div><p class="othercredit"><span class="contrib">Adaptation française</span> : <span class="firstname">Guillaume</span> <span class="surname">Lelarge</span></p></div><div><p class="othercredit"><span class="contrib">Relecture de la version française</span> : <span class="firstname">François-Xavier</span> <span class="surname">Detournière</span></p></div><div><p class="othercredit"><span class="contrib">Préparation de la publication de la v.f.</span> : <span class="firstname">Jean-Philippe</span> <span class="surname">Guérard</span></p></div><div><p class="releaseinfo">Version : 1.3.fr.1.0</p></div><div><p class="copyright">Copyright © 2002-2003 Ricardo Alexandre Matar</p></div><div><p class="copyright">Copyright © 2003-2005 Guillaume Lelarge, François-Xavier Detournière, Jean-Philippe Guérard</p></div><div><p class="pubdate">17 février 2004</p></div><div><div class="revhistory"><table summary="Historique des versions"><tr><th align="left" valign="top" colspan="3"><strong>Historique des versions</strong></th></tr><tr><td align="left">Version 1.3.fr.1.0</td><td align="left">2005-02-17</td><td align="left">GL, JPG</td></tr><tr><td align="left" colspan="3">Mise à jour de la traduction française</td></tr><tr><td align="left">Version 1.3</td><td align="left">2005-01-06</td><td align="left">RAM</td></tr><tr><td align="left">Version 1.2.1.fr.1.0</td><td align="left">2004-11-06</td><td align="left">GL</td></tr><tr><td align="left" colspan="3">Mise à jour de la traduction française</td></tr><tr><td align="left">Version 1.2.1</td><td align="left">2004-10-22</td><td align="left">RAM</td></tr><tr><td align="left">Version 1.2.fr.1.0</td><td align="left">2004-06-04</td><td align="left">GL</td></tr><tr><td align="left">Version 1.2</td><td align="left">2004-05-21</td><td align="left">RAM</td></tr><tr><td align="left">Version 1.1.1.fr.1.0</td><td align="left">2003-07-15</td><td align="left">GL</td></tr><tr><td align="left">Version 1.1.1</td><td align="left">2003-07-14</td><td align="left">RAM</td></tr><tr><td align="left">Version 1.1.0.fr.1.0</td><td align="left">2003-05-08</td><td align="left">GL, FXD, JPG</td></tr><tr><td align="left">Version 1.1.0</td><td align="left">2002-05-03</td><td align="left">RAM</td></tr></table></div></div><div><div class="abstract"><p class="title"><strong>Résumé</strong></p><p>
      Ce document a pour but d'expliquer la construction d'une
      passerelle pare-feu, utilisant un contrôleur primaire de domaine
      <span class="application">Samba</span> (<acronym class="acronym">PDC</acronym> ou
      <span class="foreignphrase"><em class="foreignphrase">Primary Domain Controller</em></span>) et un
      ensemble de règles pour authentifier les utilisateurs.
    </p></div></div></div><hr/></div><div class="toc"><p><strong>Table des matières</strong></p><dl class="toc"><dt><span class="sect1"><a href="#d0e163">1. Introduction</a></span></dt><dd><dl><dt><span class="sect2"><a href="#d0e198">1.1. Aperçu</a></span></dt><dt><span class="sect2"><a href="#d0e224">1.2. Pour commencer en douceur</a></span></dt><dt><span class="sect2"><a href="#d0e232">1.3. Limitations de responsabilité</a></span></dt><dt><span class="sect2"><a href="#d0e244">1.4. Disclaimer</a></span></dt><dt><span class="sect2"><a href="#d0e256">1.5. Nouvelles versions</a></span></dt><dt><span class="sect2"><a href="#d0e274">1.6. Traductions</a></span></dt><dt><span class="sect2"><a href="#d0e289">1.7. Commentaires et corrections</a></span></dt><dt><span class="sect2"><a href="#d0e311">1.8. Droits d'utilisation et marques déposées</a></span></dt><dt><span class="sect2"><a href="#d0e327">1.9. Copyright and trademarks</a></span></dt><dt><span class="sect2"><a href="#d0e343">1.10. Remerciements</a></span></dt></dl></dd><dt><span class="sect1"><a href="#d0e363">2. Besoins</a></span></dt><dd><dl><dt><span class="sect2"><a href="#d0e366">2.1. Connaissances</a></span></dt><dt><span class="sect2"><a href="#d0e397">2.2. Logiciels</a></span></dt></dl></dd><dt><span class="sect1"><a href="#d0e417">3. Configuration de la machine Linux</a></span></dt><dd><dl><dt><span class="sect2"><a href="#d0e462">3.1. Configuration basique du système</a></span></dt><dt><span class="sect2"><a href="#d0e473">3.2. Hiérarchie des répertoires supplémentaires</a></span></dt><dt><span class="sect2"><a href="#d0e505">3.3. Configuration du pare-feu</a></span></dt><dt><span class="sect2"><a href="#d0e539">3.4. Configuration de <span class="application">Samba</span></a></span></dt></dl></dd><dt><span class="sect1"><a href="#d0e735">4. Autre solution</a></span></dt><dt><span class="sect1"><a href="#d0e747">5. Configuration de SSH</a></span></dt><dd><dl><dt><span class="sect2"><a href="#d0e769">5.1. Important</a></span></dt><dt><span class="sect2"><a href="#d0e779">5.2. Génération de paire de clés</a></span></dt><dt><span class="sect2"><a href="#d0e793">5.3. Script de connexion activé par SSH</a></span></dt></dl></dd><dt><span class="sect1"><a href="#d0e817">6. Configuration des stations Windows</a></span></dt><dd><dl><dt><span class="sect2"><a href="#d0e820">6.1. Introduction</a></span></dt><dt><span class="sect2"><a href="#d0e827">6.2. Protocoles réseau</a></span></dt><dt><span class="sect2"><a href="#d0e838">6.3. Configuration de DHCP</a></span></dt><dt><span class="sect2"><a href="#d0e849">6.4. Joindre le domaine de votre serveur Linux</a></span></dt><dt><span class="sect2"><a href="#d0e953">6.5. Éditeur de politiques</a></span></dt></dl></dd><dt><span class="sect1"><a href="#d0e976">7. Gestion des utilisateurs</a></span></dt><dd><dl><dt><span class="sect2"><a href="#d0e979">7.1. Ajouter des utilisateurs</a></span></dt><dt><span class="sect2"><a href="#d0e993">7.2. Gestion des mots de passe</a></span></dt><dt><span class="sect2"><a href="#d0e1005">7.3. Autoriser ou non l'accès aux utilisateurs</a></span></dt></dl></dd><dt><span class="sect1"><a href="#d0e1039">8. Gestion des groupes</a></span></dt><dd><dl><dt><span class="sect2"><a href="#d0e1042">8.1. Créer les groupes</a></span></dt><dt><span class="sect2"><a href="#d0e1052">8.2. Politique des groupes</a></span></dt></dl></dd><dt><span class="sect1"><a href="#d0e1071">9. Bibliographie</a></span></dt><dt><span class="appendix"><a href="#d0e1088">A. Adaptation française</a></span></dt><dd><dl><dt><span class="section"><a href="#d0e1091">1. Traduction</a></span></dt><dt><span class="section"><a href="#d0e1099">2. Relecture</a></span></dt><dt><span class="section"><a href="#d0e1107">3. Préparation de la publication</a></span></dt></dl></dd><dt><span class="appendix"><a href="#gfdl">B. GNU Free Documentation License</a></span></dt><dd><dl><dt><span class="section"><a href="#gfdl-0">1. PREAMBLE</a></span></dt><dt><span class="section"><a href="#gfdl-1">2. APPLICABILITY AND DEFINITIONS</a></span></dt><dt><span class="section"><a href="#gfdl-2">3. VERBATIM COPYING</a></span></dt><dt><span class="section"><a href="#gfdl-3">4. COPYING IN QUANTITY</a></span></dt><dt><span class="section"><a href="#gfdl-4">5. MODIFICATIONS</a></span></dt><dt><span class="section"><a href="#gfdl-5">6. COMBINING DOCUMENTS</a></span></dt><dt><span class="section"><a href="#gfdl-6">7. COLLECTIONS OF DOCUMENTS</a></span></dt><dt><span class="section"><a href="#gfdl-7">8. AGGREGATION WITH INDEPENDENT WORKS</a></span></dt><dt><span class="section"><a href="#gfdl-8">9. TRANSLATION</a></span></dt><dt><span class="section"><a href="#gfdl-9">10. TERMINATION</a></span></dt><dt><span class="section"><a href="#gfdl-10">11. FUTURE REVISIONS OF THIS LICENSE</a></span></dt><dt><span class="section"><a href="#gfdl-addendum">12. ADDENDUM: How to use this License for
  your documents</a></span></dt></dl></dd></dl></div><div class="sect1"><div class="titlepage"><div><div><h2 class="title"><a id="d0e163"/>1. Introduction</h2></div></div></div><p>Ce document a pour but de vous faire comprendre (ainsi qu'à moi) le
processus de construction d'un pare-feu ou d'une passerelle Linux, 
capable de modifier ses règles à la demande lorsque les utilisateurs se 
connectent ou se déconnectent de leurs postes de travail Windows.</p><p>Dans ce document, j'essaierai de montrer comment construire une 
passerelle pour faire du <acronym class="acronym">NAT</acronym> ou du MASQUERADE avec 
des stations Windows. Utilisez votre imagination pour le modifier et 
avoir tout type de gestion des réseau. Vous pouvez l'utiliser pour 
autoriser ou refuser l'accès depuis votre réseau à des services, 
des serveurs ou à des sous-réseaux complets.</p><p>Imaginez que vous devez construire une passerelle pour laisser les
stations Windows accéder à Internet et que vous avez besoin d'authentifier
chaque utilisateur avant de le laisser accéder aux réseaux externes. La première
solution à laquelle vous pensez est <span class="application">Squid</span>. C'est en
fait une bonne solution quand les accès <acronym class="acronym">HTTP</acronym> et
<acronym class="acronym">FTP</acronym> sont suffisants à vos utilisateurs. Mais lorsqu'arrive
le moment où vous devez les laisser accéder à d'autres services comme
<acronym class="acronym">POP</acronym>, <acronym class="acronym">SMTP</acronym>, <acronym class="acronym">SSH</acronym>, un
serveur de base de données ou tout autre chose, vous penserez immédiatement à
<acronym class="acronym">NAT</acronym> ou MASQUERADE. Mais qu'en est-il de l'authentification
de l'utilisateur ?</p><p>Donc, ceci est ma solution. Elle vous permet l'authentification de
l'utilisateur et un contrôle beaucoup plus fin de son accès aux réseaux
externes.</p><div class="sect2"><div class="titlepage"><div><div><h3 class="title"><a id="d0e198"/>1.1. Aperçu</h3></div></div></div><p>
Nous savons que <span class="application">Samba</span> peut agir en tant que
contrôleur de domaine, et donc qu'il peut authentifier les utilisateurs
de machines Windows. En tant que <acronym class="acronym">PDC</acronym>,
<span class="application">Samba</span> peut envoyer des scripts netlogon aux
stations de travail Windows. Nous pouvons utiliser ce script netlogon
pour forcer les stations Windows à monter un partage donné à partir de
notre <acronym class="acronym">PDC</acronym> Linux. Ce partage « forcé » doit
comporter les scripts preexec et postexec qui seront exécutés
respectivement à la connexion et à la déconnexion de l'utilisateur. Un
programme nommé <span class="command"><strong>smbstatus</strong></span> indique les partages en
cours d'utilisation, ainsi que le nom de l'utilisateur et l'adresse
<acronym class="acronym">IP</acronym> de sa station. Nous avons juste besoin de
récupérer cette information à partir de la sortie de
<span class="command"><strong>smbstatus</strong></span> pour mettre à jour nos règles de pare-feu.
</p></div><div class="sect2"><div class="titlepage"><div><div><h3 class="title"><a id="d0e224"/>1.2. Pour commencer en douceur</h3></div></div></div><p>Si vous êtes impatient et que vous n'aimez pas lire, allez sur <a class="ulink" href="http://sourceforge.net/projects/smbgate/" target="_top">
http://sourceforge.net/projects/smbgate/</a>. Plus tard, vous pourrez
revenir ici pour continuer votre lecture.</p></div><div class="sect2"><div class="titlepage"><div><div><h3 class="title"><a id="d0e232"/>1.3. Limitations de responsabilité</h3></div></div></div><div class="important" style="margin-left: 0.5in; margin-right: 0.5in;"><table border="0" summary="Important"><tr><td rowspan="2" align="center" valign="top" width="25"><img alt="[Important]" src="images/important.png"/></td><th align="left">Important</th></tr><tr><td align="left" valign="top"><p>
Le texte ci-dessous est la version française de la mise en garde de ce 
document. Seule la version originale de cette mise en garde, présentée 
dans la section suivante, fait foi.
</p></td></tr></table></div><p>Aucune responsabilité sur le contenu de ce document ne sera acceptée.
Utilisez les concepts, exemples et autres contenus à vos risques et 
périls. Comme ceci est une nouvelle édition de ce document, il peut 
exister des erreurs et des inexactitudes qui peuvent bien sûr 
endommagées votre système. Faites attention et, bien que ceci est fort 
improbable, l'auteur n'en prend aucune responsabilité.</p><p>Tous les droits appartiennent à leur propriétaire respectif,
sauf cas spécifiquement indiqués. L'utilisation d'un terme dans ce 
document ne doit pas être vu comme affectant la validité d'une marque ou 
du service d'une marque.</p><p>Le fait de citer une marque ou un produit particulier ne doit pas 
être perçu comme une approbation.
</p></div><div class="sect2"><div class="titlepage"><div><div><h3 class="title"><a id="d0e244"/>1.4. Disclaimer</h3></div></div></div><div class="important" style="margin-left: 0.5in; margin-right: 0.5in;"><table border="0" summary="Important"><tr><td rowspan="2" align="center" valign="top" width="25"><img alt="[Important]" src="images/important.png"/></td><th align="left">Important</th></tr><tr><td align="left" valign="top"><p>
Le texte ci-dessous est la mise en garde de ce document. Ce texte fait 
foi.
</p></td></tr></table></div><p>
No liability for the contents of this document can be accepted. Use the 
concepts, examples and other content at your own risk. As this is a new 
edition of this document, there may be errors and inaccuracies, that may 
of course be damaging to your system. Proceed with caution, and although 
this is highly unlikely, the author(s) do not take any responsibility 
for that.
</p><p>
All copyrights are held by their respective owners, unless specifically 
noted otherwise. Use of a term in this document should not be regarded 
as affecting the validity of any trademark or service mark.
</p><p>
Naming of particular products or brands should not be seen as 
endorsements.
</p></div><div class="sect2"><div class="titlepage"><div><div><h3 class="title"><a id="d0e256"/>1.5. Nouvelles versions</h3></div></div></div><p>La dernière version originale de ce document est disponible sur <a class="ulink" href="http://ram.eti.br" target="_top">http://ram.eti.br</a> et sur <a class="ulink" href="http://www.tldp.org" target="_top">http://www.tldp.org</a>.</p><p>Il est possible de trouver les guides pratiques relatifs à ce 
document sur la page du projet de documentation Linux (LDP) sur <a class="ulink" href="http://tldp.org/" target="_top">http://tldp.org/</a>.</p><p>La dernière version française de ce document est disponible sur <a class="ulink" href="http://www.traduc.org/docs/howto/lecture/Samba-Authenticated-Gateway-HOWTO.html" target="_top">www.traduc.org</a>.
</p></div><div class="sect2"><div class="titlepage"><div><div><h3 class="title"><a id="d0e274"/>1.6. Traductions</h3></div></div></div><p>Une version portuguaise est disponible.</p><p>Une traduction française réalisée par Guillaume Lelarge est 
disponible sur <a class="ulink" href="http://www.traduc.org/docs/howto/lecture/Samba-Authenticated-Gateway-HOWTO.html" target="_top">www.traduc.org</a> 
(NdT : Si vous voulez participer aux traductions, n'hésitez pas. 
Votre aide sera la bienvenue !)
</p><p>Une traduction hongroise est disponible sur <a class="ulink" href="http://tldp.fsf.hu/HOWTO/Samba-Authenticated-Gateway-HOWTO-hu/Samba-Authenticated-Gateway-HOWTO-hu.html" target="_top">
http://tldp.fsf.hu</a>.</p></div><div class="sect2"><div class="titlepage"><div><div><h3 class="title"><a id="d0e289"/>1.7. Commentaires et corrections</h3></div></div></div><p>
J'ai écrit la version originale de ce document en anglais dans 
l'intérêt de la communauté Linux. Cependant, l'anglais n'est pas ma 
langue maternelle. Si vous parlez portugais, adressez-vous à moi dans 
cette langue.
</p><p>Vos contributions et critiques sont les bienvenues.</p><p>Si vous trouvez un bogue dans les scripts inclus, merci de me le 
dire.</p><p>Vous pouvez me joindre en portugais ou en anglais à l'adresse
<code class="email">&lt;<a class="email" href="mailto:ricardo CHEZ ram POINT eti POINT br">ricardo CHEZ ram POINT eti POINT br</a>&gt;</code> ainsi qu'à l'adresse
<code class="email">&lt;<a class="email" href="mailto:ricardo POINT mattar CHEZ bol POINT com POINT br">ricardo POINT mattar CHEZ bol POINT com POINT br</a>&gt;</code>.</p><p>
Les commentaires relatifs à la version française de ce 
document sont les bienvenus. N'hésitez pas à nous signaler les 
erreurs, coquilles ou à nous faire part de vos impressions sur ce 
document. Vous pouvez nous contacter à l'adresse <a class="ulink" href="mailto:commentaires CHEZ traduc POINT org?subject=Samba-Authenticated-Gateway-HOWTO" target="_top">commentaires CHEZ traduc.org</a>.
</p></div><div class="sect2"><div class="titlepage"><div><div><h3 class="title"><a id="d0e311"/>1.8. Droits d'utilisation et marques déposées</h3></div></div></div><div class="important" style="margin-left: 0.5in; margin-right: 0.5in;"><table border="0" summary="Important"><tr><td rowspan="2" align="center" valign="top" width="25"><img alt="[Important]" src="images/important.png"/></td><th align="left">Important</th></tr><tr><td align="left" valign="top"><p>
Le texte ci-dessous est la version française de la licence de ce 
document. Seule la version originale de cette licence, présentée dans la 
section suivante, fait foi.
</p></td></tr></table></div><p>Copyright © 2002-2003 Ricardo Alexandre Mattar</p><p>
Vous est autorisé de copier, distribuer ou modifier la version 
originale de ce document selon les termes de la licence de documentation 
libre GNU (GFDL), version 1.2 ou ultérieure, telle que publiée par la 
Free Software Foundation ; sans section inaltérable, ni texte de 
première de couverture, ni texte de quatrième de couverture. Une copie 
de cette licence est incluse dans la section intitulée « GNU Free 
Documentation License ».
</p><p>Copyright © 2003-2005 Guillaume Lelarge, François-Xavier 
Detournière et Jean-Philippe Guérard pour la version française</p><p>
La version française de document a été réalisée par Guillaume 
Lelarge, François-Xavier Detournière et Jean-Philippe Guérard . La 
version française de ce guide pratique est publiée en accord avec les 
termes de la licence de documentation libre GNU (GFDL) sans section 
invariante, sans texte de première de couverture ni texte de quatrième 
de couverture. Une copie de la licence est disponible sur <a class="ulink" href="http://www.gnu.org/copyleft/fdl.html" target="_top">http://www.gnu.org/copyleft/fdl.html</a>.
</p></div><div class="sect2"><div class="titlepage"><div><div><h3 class="title"><a id="d0e327"/>1.9. Copyright and trademarks</h3></div></div></div><div class="important" style="margin-left: 0.5in; margin-right: 0.5in;"><table border="0" summary="Important"><tr><td rowspan="2" align="center" valign="top" width="25"><img alt="[Important]" src="images/important.png"/></td><th align="left">Important</th></tr><tr><td align="left" valign="top"><p>
Le texte ci-dessous est la licence de ce document. Ce texte fait foi. Il 
est composé de la licence en anglais du document orignal, suivi de la 
licence en français de sa traduction.
</p></td></tr></table></div><p>
Copyright © 2002-2003 Ricardo Alexandre Mattar
</p><p>
Permission is granted to copy, distribute and/or modify this document 
under the terms of the GNU Free Documentation License, Version 1.2 or 
any later version published by the Free Software Foundation; with no 
Invariant Sections, no Front-Cover Texts, and no Back-Cover Texts. A 
copy of the license is included in the section entitled "GNU Free 
Documentation License".
</p><p>Copyright © 2003-2005 Guillaume Lelarge, François-Xavier 
Detournière et Jean-Philippe Guérard pour la version française</p><p>
La version française de document a été réalisée par Guillaume 
Lelarge, François-Xavier Detournière et Jean-Philippe Guérard . La 
version française de ce guide pratique est publiée en accord avec les 
termes de la licence de documentation libre GNU (GFDL) sans section 
invariante, sans texte de première de couverture ni texte de quatrième 
de couverture. Une copie de la licence est disponible sur <a class="ulink" href="http://www.gnu.org/copyleft/fdl.html" target="_top">http://www.gnu.org/copyleft/fdl.html</a>.
</p></div><div class="sect2"><div class="titlepage"><div><div><h3 class="title"><a id="d0e343"/>1.10. Remerciements</h3></div></div></div><p>Merci à Carlos Alberto Reis Ribeiro pour m'avoir présenté Linux.</p><p>Merci à Cesar Bremer Pinheiro pour m'avoir motivé lors de l'écriture de ce
document.</p><p>Merci à Guillaume Lelarge pour son aide (continue) sur les différentes
versions.</p><p>Merci à Erik Esplund pour d'autres corrections d'anglais.</p><p>Merci à Albert Teixidó pour les améliorations sur le code.</p><p>Merci à Felipe Cordeiro Caetano pour son aide sur le site de tests
principal.</p><p>Merci à la société de communications sécurisées <a class="ulink" href="http://www.raseac.com.br" target="_top">RASEAC</a> pour sponsoriser mon travail.
</p></div></div><div class="sect1"><div class="titlepage"><div><div><h2 class="title"><a id="d0e363"/>2. Besoins</h2></div></div></div><div class="sect2"><div class="titlepage"><div><div><h3 class="title"><a id="d0e366"/>2.1. Connaissances</h3></div></div></div><p>Ce document a pour cible les administrateurs système.</p><p>Vous devez avoir une bonne connaissance de (ou au moins savoir ce qu'ils
sont) :
</p><div class="itemizedlist"><ul class="itemizedlist" type="disc"><li class="listitem"><p>TCP/IP ;</p></li><li class="listitem"><p><span class="application">Netfilter</span> ;</p></li><li class="listitem"><p>Un langage de script (<span class="application">bash</span> ?)
     ;</p></li><li class="listitem"><p>Les réseaux et les contrôleurs de domaine
    <span class="application">Samba</span> et Windows.</p></li></ul></div><p>
</p><p>Heureusement, Internet contient énormément d'informations sur ces
sujets.</p></div><div class="sect2"><div class="titlepage"><div><div><h3 class="title"><a id="d0e397"/>2.2. Logiciels</h3></div></div></div><p>Vous devez avoir installé sur votre système :
</p><div class="itemizedlist"><ul class="itemizedlist" type="disc"><li class="listitem"><p><span class="application">Samba</span> ;</p></li><li class="listitem"><p><span class="application">Iptables</span> ;</p></li><li class="listitem"><p>Un langage de script.</p></li></ul></div><p>
</p></div></div><div class="sect1"><div class="titlepage"><div><div><h2 class="title"><a id="d0e417"/>3. Configuration de la machine Linux</h2></div></div></div><p>Ce guide pratique suppose que vous avez un noyau de la série 2.4 car il
utilise <span class="command"><strong>iptables</strong></span>. En dehors de ceci, il n'existe aucune autre
raison pour laquelle il ne pourrait pas être utilisé avec une machine disposant
d'un noyau 2.2 après avoir adapté les scripts à <span class="command"><strong>ipchains</strong></span>.
</p><p>Bien sûr, vous avez besoin d'installer les outils utilisateur
d'<span class="application">iptables</span>, un serveur <acronym class="acronym">HTTP</acronym>
<span class="application">apache</span> si vous voulez utiliser un outil
<acronym class="acronym">CGI</acronym> pour changer les mots de passe, et
<span class="application">samba</span>. Et vous aurez besoin d'un noyau compilé avec
les modules <span class="application">iptables</span>.</p><p>Vous pouvez utiliser <acronym class="acronym">DHCP</acronym>. Si c'est le cas, il est
assez simple de le configurer. Rappelez-vous de configurer le serveur
<acronym class="acronym">DHCP</acronym> pour qu'il donne l'adresse <acronym class="acronym">IP</acronym> du
serveur de noms ainsi que l'adresse <acronym class="acronym">IP</acronym> de la passerelle. Les
machines Windows feront bon usage de cette information.</p><div class="sect2"><div class="titlepage"><div><div><h3 class="title"><a id="d0e462"/>3.1. Configuration basique du système</h3></div></div></div><p>Généralement, toute configuration de base à partir des distributions Linux
connues conviendra pour l'exemple de passerelle. Vérifiez simplement que
vous disposez de <span class="application">Samba</span> et
d'<span class="command"><strong>iptables</strong></span>.</p></div><div class="sect2"><div class="titlepage"><div><div><h3 class="title"><a id="d0e473"/>3.2. Hiérarchie des répertoires supplémentaires</h3></div></div></div><p>Une hiérarchie de répertoires supplémentaires sera nécessaire pour
accomplir l'exemple de ce guide pratique :
</p><div class="itemizedlist"><ul class="itemizedlist" type="disc"><li class="listitem"><p><code class="filename">/var/run/smbgate/</code> :
    Ceci est fait pour conserver trace des utilisateurs et des adresses
    <acronym class="acronym">IP</acronym> ;</p></li><li class="listitem"><p><code class="filename">/etc/smbgate/users/</code> :
    C'est ici que je place les scripts spécifiques aux utilisateurs ;
    </p></li><li class="listitem"><p><code class="filename">/home/samba/netlogon/</code> :
    Répertoire du partage netlogon ;</p></li><li class="listitem"><p><code class="filename">/home/samba/samba/</code> :
    Répertoire du partage de trace.</p></li></ul></div><p>
</p><p>Ces répertoires sont nécessaires pour certains des scripts et démons de
cet exemple.</p></div><div class="sect2"><div class="titlepage"><div><div><h3 class="title"><a id="d0e505"/>3.3. Configuration du pare-feu</h3></div></div></div><p>Il est très improbable que le noyau de votre distribution n'ait pas été
compilé avec <span class="application">iptables</span> et que les outils utilisateur
ne soient pas non plus installés. Néanmoins, si vous ne les avez pas,
référez-vous à <a class="ulink" href="http://www.netfilter.org/" target="_top">http://www.netfilter.org/</a> ou <a class="ulink" href="http://www.iptables.org/" target="_top">http://www.iptables.org/</a> pour récupérer le logiciel et la documentation.
</p><p>Vous aurez besoin d'une configuration basique du pare-feu pour que la
passerelle fonctionne. Jetez un œil sur le tutoriel
<span class="application">iptables</span> disponible sur <a class="ulink" href="http://www.netfilter.org/documentation/tutorials/blueflux/iptables-tutorial.html" target="_top">netfilter.org</a>. 
Cette lecture est très intéressante. Néanmoins, si vous n'avez pas de 
temps pour cela, le code suivant est très basique mais il peut convenir 
à vos besoins :
</p><pre class="screen">#!/bin/sh
IPTABLES=/usr/sbin/iptables
/sbin/depmod -a
/sbin/insmod ip_tables
/sbin/insmod ip_conntrack
/sbin/insmod ip_conntrack_ftp
/sbin/insmod ip_conntrack_irc
/sbin/insmod iptable_nat
/sbin/insmod ip_nat_ftp
echo "1" &gt; /proc/sys/net/ipv4/ip_forward
echo "1" &gt; /proc/sys/net/ipv4/ip_dynaddr
$IPTABLES -P INPUT ACCEPT
$IPTABLES -F INPUT
$IPTABLES -P OUTPUT ACCEPT
$IPTABLES -F OUTPUT
$IPTABLES -P FORWARD ACCEPT
$IPTABLES -F FORWARD
$IPTABLES -t nat -F
</pre><p>Vous remarquerez que ce code ne fait que charger les modules du noyau
en relation avec <acronym class="acronym">NAT</acronym> et le pare-feu, et mettre en place la
transmission des paquets. Vous pouvez (et devriez) placer toutes les règles pour
donner à votre passerelle un comportement standard, mais toute la magie sera
réalisée par des scripts appelés par le démon <span class="application">samba</span>.
</p><p>S'il-vous-plait, rappelez-vous que ce code n'apporte pas la moindre
sécurité ! N'utilisez pas cet exemple sur des machines de production. Cet exemple
a seulement pour but d'informer. Vous devez ajouter une configuration de
pare-feu convenant à votre système.</p><p>Vous êtes prévenus !</p></div><div class="sect2"><div class="titlepage"><div><div><h3 class="title"><a id="d0e539"/>3.4. Configuration de <span class="application">Samba</span></h3></div></div></div><p>Vérifiez que <span class="application">Samba</span> est installé. Si votre
distribution ne vient pas avec <span class="application">Samba</span> préparé, alors
référez-vous à <a class="ulink" href="http://www.samba.org" target="_top">http://www.samba.org</a> pour obtenir le paquetage et
la documentation sur son installation. Regardez sur leur site web et apprenez.
Le site est rempli de documentations et peut-être que votre distribution Linux
dispose elle-aussi de documentation sur <span class="application">Samba</span>.</p><p>Nous aurons besoin de configurer <span class="application">Samba</span> 
comme contrôleur principal de domaine. Je donnerais un fichier de 
configuration en exemple, mais vous devriez lire la <a class="ulink" href="http://samba.epfl.ch/samba/docs/man/Samba-HOWTO-Collection.html" target="_top">collection
de guides pratiques sur Samba</a> et tout apprendre sur les 
<acronym class="acronym">PDC</acronym>.
</p><div class="sect3"><div class="titlepage"><div><div><h4 class="title"><a id="d0e568"/>3.4.1. Configuration basique de <span class="application">Samba</span></h4></div></div></div><p>Comme je n'ai pas l'intention de réécrire la documentation de
<span class="application">Samba</span>, voici un simple fichier
<code class="filename">smb.conf</code> :</p><pre class="screen"># Global parameters
[global]
workgroup = DOMAIN
netbios name = LINUX
server string = Linux <acronym class="acronym">PDC</acronym>
encrypt passwords = Yes
map to guest = Bad Password
passwd program = /usr/bin/passwd
unix password sync = Yes
max log size = 50
time server = Yes
socket options = TCP_NODELAY SO_RCVBUF=8192 SO_SNDBUF=8192
add user script = /usr/sbin/useradd -d /dev/null -g 100 -s /bin/false -M %u
logon script = %a.bat
domain logons = Yes
os level = 64
lm announce = True
preferred master = True
domain master = True
dns proxy = No
printing = lprng
[homes]
comment = Home Directories
path = /home/%u
read only = No
[printers]
comment = All Printers
path = /var/spool/samba
printable = Yes
browseable = No
available = No
[netlogon]
comment = NetLogon ShARE
path = /home/samba/netlogon
guest account =
[samba]
comment = login tracking share
path = /home/samba/samba
browseable = No
root preexec = /usr/local/bin/netlogon.sh %u  %I
root postexec = /usr/local/bin/netlogoff.sh %u
</pre><p>Vous devrez faire avec ou lire la documentation de
<span class="application">Samba</span> si vous voulez réellement contrôler votre
serveur et votre réseau.</p></div><div class="sect3"><div class="titlepage"><div><div><h4 class="title"><a id="d0e591"/>3.4.2. Le script logon</h4></div></div></div><p>Utiliser <span class="quote">« <span class="quote">logon script = %a.bat</span> »</span> fait que samba
évalue le système d'exploitation invité et appelle le script de connexion
approprié. Si vous préférez un script statique, modifiez seulement cette ligne
par <span class="quote">« <span class="quote">logon script = netlogon.bat</span> »</span>. En fait, vous pouvez tout faire
ici, y compris générer un script lors de la connexion.</p></div><div class="sect3"><div class="titlepage"><div><div><h4 class="title"><a id="d0e602"/>3.4.3. Partages netlogon et shares</h4></div></div></div><p>Le partage netlogon est l'endroit où les stations Windows vont télécharger
le script de connexion (logon). Nous avons besoin de ce partage pour y placer
un script de connexion qui dira à la station de monter un partage que nous
utiliserons pour tracer l'adresse <acronym class="acronym">IP</acronym> de l'utilisateur.</p><p>Comme vous le voyez, il doit y avoir une ligne comme ci-dessous dans
votre fichier <code class="filename">smb.conf</code>.</p><pre class="screen">logon script = netlogon.bat</pre><p>Cette ligne indiquera au client Windows de télécharger et exécuter le
script nommé <code class="filename">netlogon.bat</code>. Ce script doit être placé dans
le partage netlogon. Donc, nous aurons aussi besoin d'un script
<code class="filename">netlogon.bat</code> pour vos stations Windows. Vous pouvez
utiliser l'exemple suivant et créer un fichier nommé
<code class="filename">NETLOGON.BAT</code> et placé dans le partage netlogon, dans ce cas
dans <code class="filename">/home/samba/netlogon/NETLOGON.BAT</code>.</p><pre class="screen">REM NETLOGON.BAT
net use z: \\linux\samba /yes</pre><p>Ce script indiquera aux stations Windows de monter le partage spécifié, et
donc nous serons capable de garder la trace de l'utilisateur et de la station
au travers de la sortie du programme <span class="command"><strong>smbstatus</strong></span>.</p><p>Assez simple ! Mais pas suffisant…</p><p>Comme vous pouvez le voir, nous aurons aussi besoin d'un partage de traces
que j'ai nommé samba dans cet exemple. Vous pouvez voir dans le fichier
<code class="filename">smb.conf</code> la configuration du partage de traces :</p><pre class="screen">[samba]
comment = login tracking share
path = /home/samba/samba
browseable = No
root preexec = /usr/local/bin/netlogon.sh %u  %I
root postexec = /usr/local/bin/netlogoff.sh %u</pre><p>Comme vous pouvez le deviner, ou le savoir si vous avez lu la
documentation de <span class="application">Samba</span>, les lignes 
« root preexec » et « root postexec » indiquent à 
<span class="application">Samba</span> de lancer les scripts indiqués 
lorsqu'un utilisateur monte ou démonte le partage. Dans ce cas, nous 
passons le nom de l'utilisateur comme paramètre au script. Notez le 
%u à la fin des lignes. Ces scripts vont appeler un script ou un
programme pour modifier les règles de filtrage de paquets de notre passerelle.
</p><p>Notez que le script <code class="filename">netlogon.sh</code> doit vérifier si la
station en question a déjà monté le partage des traces.</p><p>Jetez un œil sur les scripts <code class="filename">netlogon.sh</code> et
<code class="filename">netlogoff.sh</code> :</p><pre class="screen">#!/bin/sh
#
# netlogon.sh
#
# usage:
# netlogon.sh &lt;nom_utilisateur&gt;
#
if [ -f /var/run/smbgate/$1 ] ; then
    exit 0
fi
echo $2 &gt; /var/run/smbgate/$1
IPTABLES='/usr/sbin/iptables'
EXTIF='eth0'
COMMAND='-A'
ADDRESS=`cat /var/run/smbgate/$1`
GROUP=`groups $1 | gawk '// { print $3 }'`
if [ -f /etc/smbgate/users/$1 ] ; then
    /etc/smbgate/users/$1 $COMMAND $ADDRESS $EXTIF
else     
    if [ -f /etc/smbgate/groups/$GROUP ] ; then
        /etc/smbgate/groups/$GROUP $COMMAND $ADDRESS $EXTIF
    else
        /etc/smbgate/users/default.sh $COMMAND $ADDRESS $EXTIF
    fi
fi</pre><p>
Ce script (<code class="filename">netlogon.sh</code>) a pour but d'être exécuté
lors de la connexion de l'utilisateur et de sélectionner les scripts à
exécuter suivant le nom de l'utilisateur et le groupe auquel celui-ci
appartient. L'adresse IP de l'utilisateur sera enregistré dans un
fichier sous <code class="filename">/var/run/smbgate</code>
pour en conserver la trace. Le fichier prendra le nom de l'utilisateur
et servira de nouveau lorsque celui-ci se déconnectera. L'adresse IP
sera passée en argument à un script avec le nom de l'utilisateur qui
mettra à jour les règles du pare-feu.
</p><p>Notez que ce script commence par chercher un script utilisateur, puis, si
il n'en trouve pas, il cherche un script groupe et, finalement, si il n'en
trouve pas non plus, il utilise le script <code class="filename">default.sh</code>. Vous
pouvez modifier cette logique et ce comportement si vous le souhaitez ou en avez
besoin. Rappelez-vous simplement de modifier les autres de manières
concordantes.</p><p>Il y a des chances pour que l'utilisateur appartienne à plus d'un des
scripts et que ces scripts échouent. Je n'ai pas le temps d'écrire un
meilleur code.</p><pre class="screen">#!/bin/sh
#
# netlogoff.sh
#
# usage:
# netlogoff.sh &lt;username&gt;
#
IPTABLES='/usr/sbin/iptables'
EXTIF='ppp0'
COMMAND='-D'
TRACKSHARE="samba"
ADDRESS=`cat /var/run/smbgate/$1`
GROUP=`groups $1 | gawk '// { print $3 }'`
NM=`smbstatus -u $1 | grep $TRACKSHARE | wc -l`
if [ $NM -gt 0 ]; then
    exit
fi
if [ -f /etc/smbgate/users/$1 ] ; then
    /etc/smbgate/users/$1 $COMMAND $ADDRESS $EXTIF
else
    if [ -f /etc/smbgate/groups/$GROUP ] ; then
        /etc/smbgate/groups/$GROUP $COMMAND $ADDRESS
$EXTIF
    else
        /etc/smbgate/users/default.sh $COMMAND $ADDRESS
$EXTIF
    fi
fi
rm -f /var/run/smbgate/$1</pre><p>Ce script (<code class="filename">netlogoff.sh</code>) a pour but d'être exécuté
lors de la déconnexion de l'utilisateur. Il récupérera l'adresse à partir du
fichier <code class="filename">/var/run/smbgate/user</code>, adresse qui sera passée en
argument pour le script <code class="filename">/etc/smbgate/users/user</code>. Ce dernier
mettra à jour le pare-feu dans l'état désiré lorsque l'utilisateur ne sera plus
connecté.</p><p>Certaines versions de Windows, telles que Windows 2000, montent le
répertoire partagé plus d'une fois lors de la connexion. Ceci peut apporter des
problèmes avec les scripts <code class="filename">netlogon.sh</code> et
<code class="filename">netlogoff.sh</code> en les exécutant plus d'une fois. Donc, vous
pouvez utiliser un script de vérification de déconnexion lancé par le
<span class="command"><strong>cron</strong></span> au lieu d'un script <code class="filename">netlogoff.sh</code>
lancé par <span class="application">Samba</span>. En voici un exemple :</p><pre class="screen">#!/bin/sh
# checklogout.sh
#
# usage:
# doit être lancé par cron (par exemple toutes les dix minutes)
#

TRACKDIR="/var/run/smbgate"
DIRLENGTH=${#TRACKDIR}
TRACKSHARE="samba"
EXTIF='eth0'
COMMAND='-D'
if [ -d $TRACKDIR ]; then
  for n in $TRACKDIR/*; do
    [ -d $n ] &amp;&amp; continue;
      if [ -f $n ] ; then 
        IPADDRESS=`cat $n`
        USERNAME=${n:$DIRLENGTH+1}
        NMS=`smbstatus -u $USERNAME | grep $TRACKSHARE | \
          grep $IPADDRESS | grep -v grep | wc -l`
        if [ $NMS == 0 ] ; then
          rm -f $n
        GROUP=`groups $USERNAME | gawk '// { print $3 }'`
        if [ -f /etc/smbgate/users/$USERNAME ] ; then
          /etc/smbgate/users/$USERNAME $COMMAND $IPADDRESS $EXTIF
        else
          if [ -f /etc/smbgate/groups/$GROUP ] ; then
            /etc/smbgate/groups/$GROUP $COMMAND $IPADDRESS $EXTIF
          else
            /etc/smbgate/users/default.sh $COMMAND $IPADDRESS $EXTIF
          fi
        fi
      fi
    else
      exit 0
    fi
  done
fi</pre><p>Dans ce cas, vous devez supprimer la clause postexec de la déclaration du
partage dans <code class="filename">smb.conf</code> :</p><pre class="screen">root postexec = /usr/local/bin/netlogoff.sh %u</pre><p>La suite est un script standard
<code class="filename">/etc/smbgate/users/user</code>. Ce script modifiera réellement les
règles du pare-feu.</p><pre class="screen">#!/bin/sh
#
COMMAND=$1
ADDRESS=$2
EXTIF=$3
IPTABLES='/usr/sbin/iptables'
$IPTABLES $COMMAND POSTROUTING -t nat -s $ADDRESS -o $EXTIF -j MASQUERADE
</pre><p>Nous devons aussi avoir un script default.sh sur /etc/smbgate/users/ pour
donner à la passerelle un comportement par défaut.
</p><pre class="screen">#!/bin/sh
#
# default.sh
COMMAND=$1
ADDRESS=$2
EXTIF=$3
IPTABLES='/usr/sbin/iptables'
#$IPTABLES $COMMAND POSTROUTING -t nat -s $ADDRESS -o $EXTIF -j MASQUERADE
exit 0</pre></div></div></div><div class="sect1"><div class="titlepage"><div><div><h2 class="title"><a id="d0e735"/>4. Autre solution</h2></div></div></div><p>Le schéma complet de montage d'un partage de traces et de scripts
déclenchés pour mettre à jour le pare-feu, et l'attente d'un nouveau
déclenchement au démontage pour réinitialiser la règle du pare-feu pourraient
trop porter à confusion, voire ne pas fonctionner. Cela pourrait même devenir
obsolète lorsque le projet Samba apportera de nouvelles fonctionnalités.</p><p>La dernière version de Samba dispose de la capacité de lister les
utilisateurs connectés. J'ai utilisé cette fonctionnalité dans un script pour
tracer les utilisateurs et mettre à jour le pare-feu à leur (dé)connexion. Ce
script ne requiert pas tout le travail décrit dans ce texte. En fait, il est
très facile à utiliser.</p><p>Vous pouvez télécharger le code à partir du site du projet sur <a class="ulink" href="http://sourceforge.net/projects/smbgate/" target="_top">
http://sourceforge.net/projects/smbgate/</a>.</p></div><div class="sect1"><div class="titlepage"><div><div><h2 class="title"><a id="d0e747"/>5. Configuration de SSH</h2></div></div></div><p>Vous pouvez vouloir utiliser votre <acronym class="acronym">PDC</acronym> sur une machine
et avoir une autre machine réalisant la fonction de passerelle. Dans ce cas,
vous devez configurer votre passerelle de façon à ce qu'elle accepte les
connexions authentifiées avec <acronym class="acronym">RSA</acronym> sans mots de passe du
<acronym class="acronym">PDC</acronym>.</p><p>Jetez un œil sur le site <a class="ulink" href="http://www.openssh.org/manual.html" target="_top">www.openssh.org</a> pour une
information sur une configuration propre pour votre serveur et votre client
<acronym class="acronym">SSH</acronym>.</p><div class="sect2"><div class="titlepage"><div><div><h3 class="title"><a id="d0e769"/>5.1. Important</h3></div></div></div><p>Vous devez lire la documentation ssh et vous assurez que vous comprenez
pleinement ce que vous faites en configurant <acronym class="acronym">RSA</acronym> ou tout
autre mécanisme de cryptographie pour l'authentification.</p><p>Si la sécurité n'est pas un problème, utilisez simplement mon exemple et
continuez.</p></div><div class="sect2"><div class="titlepage"><div><div><h3 class="title"><a id="d0e779"/>5.2. Génération de paire de clés</h3></div></div></div><p>Pour créer une paire de clés, lancez les commandes suivantes sur la machine
correspondant au <acronym class="acronym">PDC</acronym> :</p><pre class="screen">pdc:˜# ssh-keygen -t rsa</pre><p>Répondez aux questions et copiez la clé publique résultante sur la
passerelle. Habituellement, la clé publique va dans ˜.ssh/id_rsa.pub.
</p><pre class="screen">pdc:˜# cd .ssh
pdc:˜# scp id_rsa.pub root@gateway:/root/.ssh/authorized_keys2</pre></div><div class="sect2"><div class="titlepage"><div><div><h3 class="title"><a id="d0e793"/>5.3. Script de connexion activé par SSH</h3></div></div></div><p>Ce qui suit est un script standard
<code class="filename">/etc/smbgate/users/user</code> modifié pour utiliser
l'authentification cryptée par <acronym class="acronym">SSH</acronym>.</p><pre class="screen">#!/bin/sh
#
COMMAND=$1
ADDRESS=$2
EXTIF=$3
IPTABLES='/sbin/iptables'
ssh root@gateway $IPTABLES $COMMAND POSTROUTING -t nat -s $ADDRESS -o $EXTIF -j MASQUERADE</pre><p>Notez que le binaire <span class="command"><strong>iptables</strong></span> est appelé via
<acronym class="acronym">SSH</acronym> par la passerelle. De nouveau, assurez-vous d'avoir lu
la documentation du serveur <acronym class="acronym">SSH</acronym>.</p></div></div><div class="sect1"><div class="titlepage"><div><div><h2 class="title"><a id="d0e817"/>6. Configuration des stations Windows</h2></div></div></div><div class="sect2"><div class="titlepage"><div><div><h3 class="title"><a id="d0e820"/>6.1. Introduction</h3></div></div></div><p>Nous allons configurer le réseau, la gestion des utilisateurs et les
politiques pour les stations Windows.</p><p>Je ne parcourrai pas toutes ces étapes en nommant chaque boîte de
dialogue. Je présumerai que si vous pouvez lire et comprendre ce document, vous
pouvez trouver votre chemin dans ce bazar.</p></div><div class="sect2"><div class="titlepage"><div><div><h3 class="title"><a id="d0e827"/>6.2. Protocoles réseau</h3></div></div></div><p>Tout d'abord, sauf si vous en avez réellement besoin, supprimez tous les
protocoles réseau sauf <acronym class="acronym">TCP/IP</acronym>. Même sans leur propre
protocole, les machines Windows aiment diffuser à tous les nœuds
(broadcast), et ceci ne plaît à personne. De toute façon, avec
<acronym class="acronym">TCP/IP</acronym>, qui a besoin d'autre chose ?</p></div><div class="sect2"><div class="titlepage"><div><div><h3 class="title"><a id="d0e838"/>6.3. Configuration de DHCP</h3></div></div></div><p>Si vous configurez votre serveur <acronym class="acronym">DHCP</acronym> sur votre machine
Linux, rappelez-vous que les stations Windows peuvent obtenir les adresses des
serveurs de noms et de la passerelle en plus de leur propre adresse
<acronym class="acronym">IP</acronym>. Donc, vous n'avez pas besoin de configurer toutes ces
informations sur chaque station.</p></div><div class="sect2"><div class="titlepage"><div><div><h3 class="title"><a id="d0e849"/>6.4. Joindre le domaine de votre serveur Linux</h3></div></div></div><p>Configurez les stations Windows pour qu'elles se connectent sur le domaine
et donnez le nom du domaine de votre serveur Linux. Ceci est essentiel pour le
fonctionnement de la passerelle.</p><p>Vous devez savoir que pour faire joindre certaines versions de Windows à
un contrôleur de domaine <span class="application">Samba</span>, vous devez créer des
comptes sur le <acronym class="acronym">PDC</acronym> Linux. Regardez dans la documentation
<span class="application">Samba</span> pour comprendre comment configurer votre
<acronym class="acronym">PDC</acronym> pour la  version spécifique de Windows que vous avez.
</p><div class="sect3"><div class="titlepage"><div><div><h4 class="title"><a id="d0e868"/>6.4.1. Windows for workgroups</h4></div></div></div><p>Cette version semble ne pas avoir besoin d'une configuration particulière
pour joindre le domaine PDC Linux.</p><p>Le script netlogon devrait être nommé <span class="quote">« <span class="quote">WfWg.bat</span> »</span> de façon à ce
que le bon script soit choisi lorsque %a est traduit.</p><p>Exemple :</p><pre class="screen">REM WFWG.BAT
net use z: \\linux\samba /yes</pre></div><div class="sect3"><div class="titlepage"><div><div><h4 class="title"><a id="d0e882"/>6.4.2. Windows 95/98/ME</h4></div></div></div><p>Cette version semble ne pas avoir besoin d'une configuration particulière
pour joindre le domaine PDC Linux.</p><p>Le script netlogon devrait être nommé <span class="quote">« <span class="quote">Win95.bat</span> »</span> de façon à ce
que le bon script soit choisi lorsque %a est traduit.</p><p>Exemple :</p><pre class="screen">REM WIN95.BAT
net use z: \\linux\samba /yes</pre></div><div class="sect3"><div class="titlepage"><div><div><h4 class="title"><a id="d0e896"/>6.4.3. Windows NT</h4></div></div></div><p>Cette version requiert des comptes machine sur le serveur Linux. Vérifiez
la documentation de SAMBA.</p><p>Le script netlogon devrait être nommé <span class="quote">« <span class="quote">WinNT.bat</span> »</span> de façon à ce
que le bon script soit choisi lorsque %a est traduit.</p><p>Exemple :</p><pre class="screen">REM WINNT.BAT
net use z: \\linux\samba /yes /persistent:no</pre></div><div class="sect3"><div class="titlepage"><div><div><h4 class="title"><a id="d0e910"/>6.4.4. Windows 2000</h4></div></div></div><p>Cette version requiert des comptes machine sur le serveur Linux. De
nouveau, vérifiez la documentation de SAMBA.</p><p>Le script netlogon devrait être nommé <span class="quote">« <span class="quote">Win2K.bat</span> »</span> de façon à ce
que le bon script soit choisi lorsque %a est traduit.</p><p>Exemple :</p><pre class="screen">REM WIN2K.BAT
net use z: \\linux\samba /yes /persistent:no</pre></div><div class="sect3"><div class="titlepage"><div><div><h4 class="title"><a id="d0e924"/>6.4.5. Windows XP</h4></div></div></div><p>Cette version a besoin d'un compte machine sur Linux ainsi que d'une
petite modification dans la base de registres.</p><p>Cherchez la clef :</p><pre class="programlisting">HKEY_LOCAL_MACHINE\
  SYSTEM\
    CurrentControlSet\
      Services\
        Netlogon\
          Parameters\
            RequireSignOrSeal</pre><p>La valeur par défaut est 1. Mettez-la à 0 et vous n'aurez plus de plaintes pour
joindre le domaine.</p><p>Si vous avez plusieurs stations de travail à configurer, créez un fichier
nommé <code class="filename">quelquechose.reg</code> contenant ceci :</p><pre class="screen">Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters]
"requiresignorseal"=dword:00000000</pre><p>Vous pourrez ainsi modifier les bases erronées.</p><p>Cette version a aussi besoin d'un ajustement sur le script de connexion.
Quelque fois, il insiste pour rendre les montages permanents. Le script netlogon
devrait être nommé <span class="quote">« <span class="quote">WinXP.bat</span> »</span> de façon à ce
que le bon script soit choisi lorsque %a est traduit.</p><p>Exemple :</p><pre class="screen">REM WINXP.BAT
net use z: \\linux\samba /yes /persistent:no</pre></div></div><div class="sect2"><div class="titlepage"><div><div><h3 class="title"><a id="d0e953"/>6.5. Éditeur de politiques</h3></div></div></div><p>
Il existe un utilitaire nommé « <span class="foreignphrase"><em class="foreignphrase">policy
editor</em></span> » inclus sur le CD de Windows. Le nom du fichier
est <code class="filename">poledit.exe</code>. Cet outil, comme le nom le suggère,
permet de créer un fichier de politique pour l'utilisateur et le système.
</p><p>Malheureusement, cet outil ne génère pas un fichier de configuration
texte, donc je ne peux pas placer un exemple ici.</p><p>Utilisez l'éditeur de politiques pour créer une politique pour vos
stations et utilisateurs. Vous devez désactiver le cache local des mots de passe
et le cache de domaine pour avoir un peu de sécurité. Sauvegardez le fichier de
politiques en tant que config.pol et placez-le dans le partage netlogon sur
votre serveur Linux. De cette façon, vos stations Windows vont télécharger et
utiliser le fichier <code class="filename">config.pol</code> pour configurer leur
politique. Bien sûr, cette tâche doit être faite sur une machine Windows.</p><p>

Si vous n'utilisez pas un fichier <code class="filename">config.pol</code>, vos 
stations Windows vous ennuieront à vous demander un mot de passe Windows 
et vous deviendrez dingue en essayant de synchroniser et gérer les mots 
de passe de Windows et du domaine. Il semble que le système 
d'exploitation ne sache pas qu'il a rejoint un domaine. Vous devez lui 
dire et lui taper sur la tête de façon à ce qu'il vous croie.

</p></div></div><div class="sect1"><div class="titlepage"><div><div><h2 class="title"><a id="d0e976"/>7. Gestion des utilisateurs</h2></div></div></div><div class="sect2"><div class="titlepage"><div><div><h3 class="title"><a id="d0e979"/>7.1. Ajouter des utilisateurs</h3></div></div></div><p>Ajouter un utilisateur Linux par les moyens habituels et configurer un mot
de passe <span class="application">Samba</span> en utilisant
<span class="command"><strong>smbpasswd</strong></span> devrait fonctionner. Si vous avez des doutes,
référez-vous à la documentation <span class="application">Samba</span>. Ce n'est pas
un problème difficile.</p></div><div class="sect2"><div class="titlepage"><div><div><h3 class="title"><a id="d0e993"/>7.2. Gestion des mots de passe</h3></div></div></div><p>C'est à mon avis un thème majeur car je n'ai pas encore compris comment
gérer les utilisateurs et leurs mots de passe à partir d'une station Windows
sans utiliser une interface web. Je n'ai pas trouvé et ne sais pas comment
construire des outils intégrés pour résoudre ce problème. Donc, j'utilise un
programme <acronym class="acronym">CGI</acronym> pour le faire.</p><p>Essayez le paquetage disponible sur <a class="ulink" href="http://changepassword.sourceforge.net" target="_top">http://changepassword.sourceforge.net</a>. Il semble être un bon choix.
</p></div><div class="sect2"><div class="titlepage"><div><div><h3 class="title"><a id="d0e1005"/>7.3. Autoriser ou non l'accès aux utilisateurs</h3></div></div></div><p>Comme vous pouvez le voir dans la section précédente de ce guide pratique,
le démon <span class="application">Samba</span> sera appelé par un script
<code class="filename">netlogon.sh</code> à chaque fois que le partage des traces sera
monté. Ce script <code class="filename">netlogon.sh</code> appellera un script avec le
nom de l'utilisateur, donnant ainsi l'adresse IP de la station de travail en
question en paramètre. Ce script utilisateur appliquera les règles souhaitées.
</p><p>Par exemple, si vous voulez donner à l'utilisateur un accès complet à
internet :</p><pre class="screen">#!/bin/sh
#
COMMAND=$1
ADDRESS=$2
EXTIF=$3
IPTABLES='/usr/sbin/iptables'
$IPTABLES $COMMAND POSTROUTING -t nat -s $ADDRESS -o $EXTIF -j MASQUERADE</pre><p>Si vous ne voulez pas modifier quoi que ce soit pour un utilisateur
particulier, créez-lui simplement un script vide :</p><pre class="screen">#/bin/sh
#
exit 0</pre><p>Vous pouvez aussi ne pas créer de scripts pour les utilisateurs les moins
privilégiés, en les laissant avec le script <code class="filename">default.sh</code>, qui
sera aussi vide que le précédent, ou donnez un accès limité de cette façon :
</p><pre class="screen">#!/bin/sh
#
COMMAND=$1
ADDRESS=$2
EXTIF=$3
EXTIFADDRESS=$4
IPTABLES='/usr/sbin/iptables'
$IPTABLES $COMMAND POSTROUTING -t nat -s $ADDRESS -o $EXTIF --dport 25 -j SNAT \
    --to-source $EXTIFADDRESS
$IPTABLES $COMMAND POSTROUTING -t nat -s $ADDRESS -o $EXTIF --dport 110 -j SNAT \
    --to-source $EXTIFADDRESS</pre><p>Rappelez-vous que ce script nécessite la modification de tous les
scripts précédents pour inclure le paramètre supplémentaire. Et rappelez-vous
que vous n'irez nulle part avec ce guide pratique si vous ne comprenez pas
<span class="application">iptables</span>.</p></div></div><div class="sect1"><div class="titlepage"><div><div><h2 class="title"><a id="d0e1039"/>8. Gestion des groupes</h2></div></div></div><div class="sect2"><div class="titlepage"><div><div><h3 class="title"><a id="d0e1042"/>8.1. Créer les groupes</h3></div></div></div><p>Créez seulement les groupes d'utilisateurs sur le <acronym class="acronym">PDC</acronym>
Linux et ajoutez les utilisateurs aux groupes. C'est tout.</p><p>Rappelez-vous que les scripts d'exemple dans ce guide pratique vont
probablement échouer si vos utilisateurs appartiennent à plus d'un groupe. Si
vous avez besoin de plus d'un groupe, n'oubliez pas d'ajuster les scripts.
</p></div><div class="sect2"><div class="titlepage"><div><div><h3 class="title"><a id="d0e1052"/>8.2. Politique des groupes</h3></div></div></div><p>Vous aurez besoin de définir les scripts spécifiques aux groupes et de les
placer dans le répertoire <code class="filename">/etc/smbgate/groups/</code>. Rappelez-vous que le script
doit être nommé comme le groupe, au moins si vous voulez suivre les exemples de
ce guide pratique.</p><p>Le schéma par défaut de ce guide pratique est de vérifier le script
utilisateur, puis le script du groupe et enfin le script par défaut. Si vous
voulez modifier ce comportement, rappelez-vous qu'il est nécessaire d'adapter
les scripts <code class="filename">netlogon.sh</code>, <code class="filename">netlogoff.sh</code>
(ou <code class="filename">checklogout.sh</code>). Tout le travail se fait dans ces
fichiers.</p></div></div><div class="sect1"><div class="titlepage"><div><div><h2 class="title"><a id="d0e1071"/>9. Bibliographie</h2></div></div></div><div class="itemizedlist"><ul class="itemizedlist" type="disc"><li class="listitem"><p><a class="ulink" href="http://www.netfilter.org/documentation/tutorials/blueflux/iptables-tutorial.html" target="_top">Tutoriel 
    iptables (netfilter.org)</a> par Oskar Andreasson</p></li><li class="listitem"><p><a class="ulink" href="http://samba.epfl.ch/samba/docs/man/Samba-HOWTO-Collection.html" target="_top">Collection
    de guides pratiques sur Samba</a> par l'équipe de 
    <span class="application">Samba</span></p></li></ul></div></div><div class="appendix"><h2 class="title"><a id="d0e1088"/>A. Adaptation française</h2><div class="section"><div class="titlepage"><div><div><h2 class="title"><a id="d0e1091"/>1. Traduction</h2></div></div></div><p>La traduction française de ce document a été réalisée par <a class="ulink" href="mailto:gleu CHEZ wanadoo POINT fr" target="_top">Guillaume 
Lelarge</a>.</p></div><div class="section"><div class="titlepage"><div><div><h2 class="title"><a id="d0e1099"/>2. Relecture</h2></div></div></div><p>La relecture de ce document a été réalisée par <a class="ulink" href="mailto:francois TIRET xavier POINT detourniere CHEZ wanadoo POINT fr" target="_top">Francois-Xavier
Detournière</a>.</p></div><div class="section"><div class="titlepage"><div><div><h2 class="title"><a id="d0e1107"/>3. Préparation de la publication</h2></div></div></div><p>
La publication de ce document a été préparée par Jean-Philippe Guérard 

<code class="email">&lt;<a class="email" href="mailto:fevrier CHEZ tigreraye POINT org">fevrier CHEZ tigreraye POINT org</a>&gt;</code> :

</p><div class="itemizedlist"><ul class="itemizedlist" type="disc"><li class="listitem"><p>
transformation des adresses électroniques pour éviter les faucheurs 
d'adresses ;
</p></li><li class="listitem"><p>
transformation des oe appropriés (dans œil, œuvre, etc.) en 
« &amp;oelig; » ;
</p></li><li class="listitem"><p>
intégration de la partie copyright et disclaimer en v.o. en plus de la 
v.f. conformément à la licence ;
</p></li><li class="listitem"><p>
ajout de blancs insécables (&amp;nbsp;) devant les ponctuations 
doubles ;
</p></li><li class="listitem"><p>
transformations des guillemets en guillemets français "«&amp;nbsp;" et 
"&amp;nbsp;»" ;
</p></li><li class="listitem"><p>
correction du lien vers la « collection des howto samba ».
</p></li></ul></div></div></div><div class="appendix"><h2 class="title"><a id="gfdl"/>B. GNU Free Documentation License</h2><div class="blockquote"><a id="fsf-copyright"/><blockquote class="blockquote"><p>Copyright (C) 2000,2001,2002  Free Software Foundation, Inc.
59 Temple Place, Suite 330, Boston, MA  02111-1307  USA
Everyone is permitted to copy and distribute verbatim copies
of this license document, but changing it is not allowed.</p></blockquote></div><div class="section"><div class="titlepage"><div><div><h2 class="title"><a id="gfdl-0"/>1. PREAMBLE</h2></div></div></div><p>The purpose of this License is to make a manual, textbook, or
other functional and useful document "free" in the sense of freedom: to
assure everyone the effective freedom to copy and redistribute it, with
or without modifying it, either commercially or noncommercially.
Secondarily, this License preserves for the author and publisher a way
to get credit for their work, while not being considered responsible for
modifications made by others.</p><p>This License is a kind of "copyleft", which means that derivative
works of the document must themselves be free in the same sense.  It
complements the GNU General Public License, which is a copyleft license
designed for free software.</p><p>We have designed this License in order to use it for manuals for
free software, because free software needs free documentation: a free
program should come with manuals providing the same freedoms that the
software does.  But this License is not limited to software manuals; it
can be used for any textual work, regardless of subject matter or
whether it is published as a printed book.  We recommend this License
principally for works whose purpose is instruction or reference.</p></div><div class="section"><div class="titlepage"><div><div><h2 class="title"><a id="gfdl-1"/>2. APPLICABILITY AND DEFINITIONS</h2></div></div></div><p><a id="gfdl-doc"/>This License applies to any manual or other work, in
any medium, that contains a notice placed by the copyright holder saying
it can be distributed under the terms of this License.  Such a notice
grants a world-wide, royalty-free license, unlimited in duration, to use
that work under the conditions stated herein.  The "Document", below,
refers to any such manual or work.  Any member of the public is a
licensee, and is addressed as "you".  You accept the license if you
copy, modify or distribute the work in a way requiring permission under
copyright law.</p><p><a id="gfdl-mod-ver"/>A "Modified Version" of the Document means any
work containing the Document or a portion of it, either copied verbatim,
or with modifications and/or translated into another language.</p><p><a id="gfdl-secnd-sect"/>A "Secondary Section" is a named appendix or
a front-matter section of the Document that deals exclusively with the
relationship of the publishers or authors of the Document to the
Document's overall subject (or to related matters) and contains nothing
that could fall directly within that overall subject.  (Thus, if the
Document is in part a textbook of mathematics, a Secondary Section may
not explain any mathematics.)  The relationship could be a matter of
historical connection with the subject or with related matters, or of
legal, commercial, philosophical, ethical or political position
regarding them.</p><p><a id="gfdl-inv-sect"/>The "Invariant Sections" are certain Secondary
Sections whose titles are designated, as being those of Invariant
Sections, in the notice that says that the Document is released under
this License.  If a section does not fit the above definition of
Secondary then it is not allowed to be designated as Invariant.  The
Document may contain zero Invariant Sections.  If the Document does not
identify any Invariant Sections then there are none.</p><p><a id="gfdl-cov-text"/>The "Cover Texts" are certain short passages of
text that are listed, as Front-Cover Texts or Back-Cover Texts, in the
notice that says that the Document is released under this License.  A
Front-Cover Text may be at most 5 words, and a Back-Cover Text may be at
most 25 words.</p><p><a id="gfdl-transparent"/>A "Transparent" copy of the Document means a
machine-readable copy, represented in a format whose specification is
available to the general public, that is suitable for revising the
document straightforwardly with generic text editors or (for images
composed of pixels) generic paint programs or (for drawings) some widely
available drawing editor, and that is suitable for input to text
formatters or for automatic translation to a variety of formats suitable
for input to text formatters.  A copy made in an otherwise Transparent
file format whose markup, or absence of markup, has been arranged to
thwart or discourage subsequent modification by readers is not
Transparent.  An image format is not Transparent if used for any
substantial amount of text.  A copy that is not "Transparent" is called
"Opaque".</p><p>Examples of suitable formats for Transparent copies include plain
ASCII without markup, Texinfo input format, LaTeX input format, SGML or
XML using a publicly available DTD, and standard-conforming simple HTML,
PostScript or PDF designed for human modification.  Examples of
transparent image formats include PNG, XCF and JPG.  Opaque formats
include proprietary formats that can be read and edited only by
proprietary word processors, SGML or XML for which the DTD and/or
processing tools are not generally available, and the machine-generated
HTML, PostScript or PDF produced by some word processors for output
purposes only.</p><p><a id="gfdl-title-page"/>The "Title Page" means, for a printed book,
the title page itself, plus such following pages as are needed to hold,
legibly, the material this License requires to appear in the title page.
For works in formats which do not have any title page as such, "Title
Page" means the text near the most prominent appearance of the work's
title, preceding the beginning of the body of the text.</p><p><a id="gfdl-entitled"/>A section "Entitled XYZ" means a named subunit
of the Document whose title either is precisely XYZ or contains XYZ in
parentheses following text that translates XYZ in another language.
(Here XYZ stands for a specific section name mentioned below, such as
"Acknowledgements", "Dedications", "Endorsements", or "History".)  To
"Preserve the Title" of such a section when you modify the Document
means that it remains a section "Entitled XYZ" according to this
definition.</p><p>The Document may include Warranty Disclaimers next to the notice
which states that this License applies to the Document.  These Warranty
Disclaimers are considered to be included by reference in this License,
but only as regards disclaiming warranties: any other implication that
these Warranty Disclaimers may have is void and has no effect on the
meaning of this License.</p></div><div class="section"><div class="titlepage"><div><div><h2 class="title"><a id="gfdl-2"/>3. VERBATIM COPYING</h2></div></div></div><p>You may copy and distribute the Document in any medium, either
commercially or noncommercially, provided that this License, the
copyright notices, and the license notice saying this License applies to
the Document are reproduced in all copies, and that you add no other
conditions whatsoever to those of this License.  You may not use
technical measures to obstruct or control the reading or further copying
of the copies you make or distribute.  However, you may accept
compensation in exchange for copies.  If you distribute a large enough
number of copies you must also follow the conditions in section 3.
</p><p>You may also lend copies, under the same conditions stated above,
and you may publicly display copies.</p></div><div class="section"><div class="titlepage"><div><div><h2 class="title"><a id="gfdl-3"/>4. COPYING IN QUANTITY</h2></div></div></div><p>If you publish printed copies (or copies in media that commonly
have printed covers) of the Document, numbering more than 100, and the
Document's license notice requires Cover Texts, you must enclose the
copies in covers that carry, clearly and legibly, all these Cover Texts:
Front-Cover Texts on the front cover, and Back-Cover Texts on the back
cover.  Both covers must also clearly and legibly identify you as the
publisher of these copies.  The front cover must present the full title
with all words of the title equally prominent and visible.  You may add
other material on the covers in addition.  Copying with changes limited
to the covers, as long as they preserve the title of the Document and
satisfy these conditions, can be treated as verbatim copying in other
respects.</p><p>If the required texts for either cover are too voluminous to fit
legibly, you should put the first ones listed (as many as fit
reasonably) on the actual cover, and continue the rest onto adjacent
pages.</p><p>If you publish or distribute Opaque copies of the Document
numbering more than 100, you must either include a machine-readable
Transparent copy along with each Opaque copy, or state in or with each
Opaque copy a computer-network location from which the general
network-using public has access to download using public-standard
network protocols a complete Transparent copy of the Document, free of
added material.  If you use the latter option, you must take reasonably
prudent steps, when you begin distribution of Opaque copies in quantity,
to ensure that this Transparent copy will remain thus accessible at the
stated location until at least one year after the last time you
distribute an Opaque copy (directly or through your agents or retailers)
of that edition to the public.</p><p>It is requested, but not required, that you contact the authors of
the Document well before redistributing any large number of copies, to
give them a chance to provide you with an updated version of the
Document.</p></div><div class="section"><div class="titlepage"><div><div><h2 class="title"><a id="gfdl-4"/>5. MODIFICATIONS</h2></div></div></div><p>You may copy and distribute a Modified Version of the Document
under the conditions of sections 2 and 3 above, provided that you
release the Modified Version under precisely this License, with the
Modified Version filling the role of the Document, thus licensing
distribution and modification of the Modified Version to whoever
possesses a copy of it.  In addition, you must do these things in the
Modified Version:</p><div class="orderedlist"><a id="gfdl-modif-cond"/><ol class="orderedlist" type="A"><li class="listitem">Use in the Title Page (and on the covers, if any) a
  title distinct from that of the Document, and from those of previous
  versions (which should, if there were any, be listed in the History
  section of the Document).  You may use the same title as a previous
  version if the original publisher of that version gives permission.
</li><li class="listitem">List on the Title Page, as authors, one or more
  persons or entities responsible for authorship of the modifications in
  the Modified Version, together with at least five of the principal
  authors of the Document (all of its principal authors, if it has fewer
  than five), unless they release you from this requirement.
</li><li class="listitem">State on the Title page the name of the publisher of
  the Modified Version, as the publisher.</li><li class="listitem">Preserve all the copyright notices of the Document.
</li><li class="listitem">Add an appropriate copyright notice for your
  modifications adjacent to the other copyright notices.
</li><li class="listitem">Include, immediately after the copyright notices, a
  license notice giving the public permission to use the Modified
  Version under the terms of this License, in the form shown in the
  <a class="link" href="#gfdl-addendum" title="12. ADDENDUM: How to use this License for your documents">Addendum</a> below.
</li><li class="listitem">Preserve in that license notice the full lists of
  Invariant Sections and required Cover Texts given in the Document's
  license notice.</li><li class="listitem">Include an unaltered copy of this License.
</li><li class="listitem">Preserve the section Entitled "History", Preserve its
  Title, and add to it an item stating at least the title, year, new
  authors, and publisher of the Modified Version as given on the Title
  Page.  If there is no section Entitled "History" in the Document,
  create one stating the title, year, authors, and publisher of the
  Document as given on its Title Page, then add an item describing the
  Modified Version as stated in the previous sentence.
</li><li class="listitem">Preserve the network location, if any, given in the
  Document for public access to a Transparent copy of the Document, and
  likewise the network locations given in the Document for previous
  versions it was based on.  These may be placed in the "History"
  section.  You may omit a network location for a work that was
  published at least four years before the Document itself, or if the
  original publisher of the version it refers to gives permission.
</li><li class="listitem">For any section Entitled "Acknowledgements" or
  "Dedications", Preserve the Title of the section, and preserve in the
  section all the substance and tone of each of the contributor
  acknowledgements and/or dedications given therein.
</li><li class="listitem">Preserve all the Invariant Sections of the Document,
  unaltered in their text and in their titles.  Section numbers or the
  equivalent are not considered part of the section titles.
</li><li class="listitem">Delete any section Entitled "Endorsements".
  Such a section may not be included in the Modified Version.
</li><li class="listitem">Do not retitle any existing section to be Entitled
  "Endorsements" or to conflict in title with any Invariant Section.
</li><li class="listitem">Preserve any Warranty Disclaimers.
</li></ol></div><p>If the Modified Version includes new front-matter sections or
appendices that qualify as Secondary Sections and contain no material
copied from the Document, you may at your option designate some or all
of these sections as invariant.  To do this, add their titles to the
list of Invariant Sections in the Modified Version's license notice.
These titles must be distinct from any other section titles.</p><p>You may add a section Entitled "Endorsements", provided it
contains nothing but endorsements of your Modified Version by various
parties--for example, statements of peer review or that the text has
been approved by an organization as the authoritative definition of a
standard.</p><p>You may add a passage of up to five words as a Front-Cover Text,
and a passage of up to 25 words as a Back-Cover Text, to the end of the
list of Cover Texts in the Modified Version.  Only one passage of
Front-Cover Text and one of Back-Cover Text may be added by (or through
arrangements made by) any one entity.  If the Document already includes
a cover text for the same cover, previously added by you or by
arrangement made by the same entity you are acting on behalf of, you may
not add another; but you may replace the old one, on explicit permission
from the previous publisher that added the old one.</p><p>The author(s) and publisher(s) of the Document do not by this
License give permission to use their names for publicity for or to
assert or imply endorsement of any Modified Version.</p></div><div class="section"><div class="titlepage"><div><div><h2 class="title"><a id="gfdl-5"/>6. COMBINING DOCUMENTS</h2></div></div></div><p>You may combine the Document with other documents released under
this License, under the terms defined in <a class="link" href="#gfdl-4" title="5. MODIFICATIONS">section
4</a> above for modified versions, provided that you include in the
combination all of the Invariant Sections of all of the original
documents, unmodified, and list them all as Invariant Sections of your
combined work in its license notice, and that you preserve all their
Warranty Disclaimers.</p><p>The combined work need only contain one copy of this License, and
multiple identical Invariant Sections may be replaced with a single
copy.  If there are multiple Invariant Sections with the same name but
different contents, make the title of each such section unique by adding
at the end of it, in parentheses, the name of the original author or
publisher of that section if known, or else a unique number.  Make the
same adjustment to the section titles in the list of Invariant Sections
in the license notice of the combined work.</p><p>In the combination, you must combine any sections Entitled
"History" in the various original documents, forming one section
Entitled "History"; likewise combine any sections Entitled
"Acknowledgements", and any sections Entitled "Dedications".  You must
delete all sections Entitled "Endorsements".</p></div><div class="section"><div class="titlepage"><div><div><h2 class="title"><a id="gfdl-6"/>7. COLLECTIONS OF DOCUMENTS</h2></div></div></div><p>You may make a collection consisting of the Document and other
documents released under this License, and replace the individual copies
of this License in the various documents with a single copy that is
included in the collection, provided that you follow the rules of this
License for verbatim copying of each of the documents in all other
respects.</p><p>You may extract a single document from such a collection, and
distribute it individually under this License, provided you insert a
copy of this License into the extracted document, and follow this
License in all other respects regarding verbatim copying of that
document.</p></div><div class="section"><div class="titlepage"><div><div><h2 class="title"><a id="gfdl-7"/>8. AGGREGATION WITH INDEPENDENT WORKS</h2></div></div></div><p>A compilation of the Document or its derivatives with other
separate and independent documents or works, in or on a volume of a
storage or distribution medium, is called an "aggregate" if the
copyright resulting from the compilation is not used to limit the legal
rights of the compilation's users beyond what the individual works
permit.  When the Document is included in an aggregate, this License does
not apply to the other works in the aggregate which are not themselves
derivative works of the Document.</p><p>If the Cover Text requirement of section 3 is applicable to these
copies of the Document, then if the Document is less than one half of
the entire aggregate, the Document's Cover Texts may be placed on covers
that bracket the Document within the aggregate, or the electronic
equivalent of covers if the Document is in electronic form.  Otherwise
they must appear on printed covers that bracket the whole
aggregate.</p></div><div class="section"><div class="titlepage"><div><div><h2 class="title"><a id="gfdl-8"/>9. TRANSLATION</h2></div></div></div><p>Translation is considered a kind of modification, so you may
distribute translations of the Document under the terms of section 4.
Replacing Invariant Sections with translations requires special
permission from their copyright holders, but you may include
translations of some or all Invariant Sections in addition to the
original versions of these Invariant Sections.  You may include a
translation of this License, and all the license notices in the
Document, and any Warranty Disclaimers, provided that you also include
the original English version of this License and the original versions
of those notices and disclaimers.  In case of a disagreement between the
translation and the original version of this License or a notice or
disclaimer, the original version will prevail.</p><p>If a section in the Document is Entitled "Acknowledgements",
"Dedications", or "History", the requirement (section 4) to Preserve its
Title (section 1) will typically require changing the actual
title.</p></div><div class="section"><div class="titlepage"><div><div><h2 class="title"><a id="gfdl-9"/>10. TERMINATION</h2></div></div></div><p>You may not copy, modify, sublicense, or distribute the Document
except as expressly provided for under this License.  Any other attempt
to copy, modify, sublicense or distribute the Document is void, and will
automatically terminate your rights under this License.  However,
parties who have received copies, or rights, from you under this License
will not have their licenses terminated so long as such parties remain
in full compliance.</p></div><div class="section"><div class="titlepage"><div><div><h2 class="title"><a id="gfdl-10"/>11. FUTURE REVISIONS OF THIS LICENSE</h2></div></div></div><p>The Free Software Foundation may publish new, revised versions of
the GNU Free Documentation License from time to time.  Such new versions
will be similar in spirit to the present version, but may differ in
detail to address new problems or concerns.  See
http://www.gnu.org/copyleft/.</p><p>Each version of the License is given a distinguishing version
number.  If the Document specifies that a particular numbered version of
this License "or any later version" applies to it, you have the option
of following the terms and conditions either of that specified version
or of any later version that has been published (not as a draft) by the
Free Software Foundation.  If the Document does not specify a version
number of this License, you may choose any version ever published (not
as a draft) by the Free Software Foundation.</p></div><div class="section"><div class="titlepage"><div><div><h2 class="title"><a id="gfdl-addendum"/>12. ADDENDUM: How to use this License for
  your documents</h2></div></div></div><p>To use this License in a document you have written, include a copy
of the License in the document and put the following copyright and
license notices just after the title page:</p><div class="blockquote"><a id="copyright-sample"/><blockquote class="blockquote"><p>
    Copyright (c)  YEAR  YOUR NAME.
    Permission is granted to copy, distribute and/or modify this document
    under the terms of the GNU Free Documentation License, Version 1.2
    or any later version published by the Free Software Foundation;
    with no Invariant Sections, no Front-Cover Texts, and no Back-Cover Texts.
    A copy of the license is included in the section entitled "GNU
    Free Documentation License".
</p></blockquote></div><p>If you have Invariant Sections, Front-Cover Texts and Back-Cover
Texts, replace the "with...Texts." line with this:</p><div class="blockquote"><a id="inv-cover-sample"/><blockquote class="blockquote"><p>
    with the Invariant Sections being LIST THEIR TITLES, with the
    Front-Cover Texts being LIST, and with the Back-Cover Texts being LIST.
</p></blockquote></div><p>If you have Invariant Sections without Cover Texts, or some other
combination of the three, merge those two alternatives to suit the
situation.</p><p>If your document contains nontrivial examples of program code, we
recommend releasing these examples in parallel under your choice of free
software license, such as the GNU General Public License, to permit
their use in free software.</p></div></div></div></body></html>
doc-linux-fr-html 2013.01-3 / usr / share / doc / HOWTO / fr-html / Samba-Authenticated-Gateway-HOWTO.html
