Connexion OpenVPN

Dans ce billet nous allons voir comment passer outre ce problème de droits en utilisant le service OpenVPN qui est également installé par défaut.

Une fois l’installation par défaut d’OpenVPN effectuée dans une session administrateur, il faut commencer par utiliser l’outil subinacl disponible sur le site de Microsoft. Cet outil va nous permettre de donner à un utilisateur les droits de démarrer et de stopper le service OpenVPN. Plutôt que d’exécuter le .msi sur chaque machine je vous conseille après une première installation de copier le fichier C:\Program Files\Windows Ressource Kits\Tools\subinacl.exe sur une clé USB. Tapez ensuite la commande suivante :

K:\subinacl.exe /SERVICE "OpenVPNService" /GRANT=DOMAINE\UTILISATEUR=TO

en modifiant bien sûr DOMAINE\UTILISATEUR en fonction de vos besoins.

Vous obtenez alors la suite de messages suivants :

OpenVPNService : new ace for DOMAINE\UTILISATEUR
OpenVPNService : 1 change(s)
Elapsed Time: 00 00:00:00
Done:        1, Modified        1, Failed        0, Syntax errors        0
Last Done  : OpenVPNService

Il faut à présent modifier deux clés dans la base de registre pour modifier le comportement d’OpenVPN GUI afin que les actions Connect/Disconnect agissent sur le service OpenVPN au lieu de lancer ou quitter openvpn.exe :

HKEY_LOCAL_MACHINE\SOFTWARE\OpenVPN-GUI\allow_service = 1
HKEY_LOCAL_MACHINE\SOFTWARE\OpenVPN-GUI\service_only = 1

L’utilisateur défini avec l’outil subinacl peut à présent se connecter à la liaison VPN sans disposer des droits administrateur en double-cliquant sur l’icône OpenVPN GUI située dans sa barre de notification.

Gentoo 10.1

Dans cet article nous allons voir comment installer Gentoo en utilisant Microsoft Virtual PC 2007 (sous Windows XP dans mon cas, mais il existe une version plus récente sous Windows 7). De cette manière vous pourrez rapidement déployer des machines virtuelles Linux sur votre réseau, par exemple pour servir de machines de test pour l’équipe de développement.

En premier lieu il faut télécharger Microsoft Virtual PC 2007 en version Windows XP ou Windows 7 puis l’installer. L’installation elle-même se passe de commentaires. Attention, pendant l’installation votre connexion réseau sera coupée un bref instant afin d’installer un pilote permettant aux machines virtuelles de se connecter à Internet.

Téléchargez ensuite install-x86-minimal-yyyymmjj.iso en choisissant bien sûr le fichier le plus récent. Dans mon cas le fichier pesait 104 Mo.

Lancez ensuite Virtual PC 2007 et cliquez sur Nouveau puis Suivant. Sélectionnez ensuite Créer un ordinateur virtuel puis cliquez sur Suivant. Cliquez sur Parcourir et donnez un nom au fichier qui contiendra les paramètres de votre installation virtuelle, par exemple C:\Gentoo.vmc. Cliquez alors sur Enregistrer puis sur Suivant.

Choisissez Autre comme Système d’exploitation puis cliquer sur Suivant. Ne vous en faites pas, les paramètres de taille mémoire et de disque virtuel serons modifiables dans les étapes suivantes.

Choix du système d'exploitation

Choisissez ensuite une taille de RAM qui sera réservée à votre machine virtuelle. Le défaut est à 128 Mo mais j’ai préféré lui attribuer 256 Mo. Ce réglage est de toute manière modifiable facilement après installation.

Choix de la quantité de RAM attribuée à la machine virtuelle

Cliquez ensuite sur Suivant et choisissez Un nouveau disque dur virtuel, puis cliquez de nouveau sur Suivant. Indiquez alors un emplacement où stocker le fichier qui servira de disque dur virtuel à votre machine Linux, par exemple C:\GentooDV.vhd. Il vous reste ensuite à décider de la taille de ce disque virtuel. Cette taille dépendra bien sûr de l’utilisation que vous souhaitez faire de votre machine virtuelle. Si vous pensez installer une interface graphique, une suite bureautique, un navigateur Internet et quelques jeux, il vous faudra évidemment plus d’espace que si vous souhaitez installer un Linux intégralement en ligne de commande à utiliser pour du développement. Dans mon cas j’ai choisi de créer un disque de 5 Go.

Choix de la taille du disque virtuel

Cliquez ensuite sur Suivant et sur Terminer pour lancer la création de la machine virtuelle.

Dans la Console Virtual PC vous pouvez à présent voir une entrée Gentoo. Cliquez sur Paramètres pour afficher l’ensemble des options liées à cette machine virtuelle. Rendez-vous dans la partie Réseau et vérifiez bien que votre carte réseau est indiquée dans le menu déroulant Carte 1 puis cliquez sur OK.

Paramètres réseau

Cliquez sur Démarrer pour commencer l’installation de Gentoo puis rendez-vous dans le menu CD de Virtual PC et cliquez sur Capturer l’image ISO… Sélectionnez l’ISO de Gentoo que vous avez téléchargé et cliquez sur Ouvrir. Rendez-vous enfin dans le menu Action et cliquez sur Réinitialiser pour rebooter votre machine virtuelle qui devrait alors démarrer sur l’image ISO de Gentoo. N’oubliez pas que pour faire sortir le curseur de la fenêtre Virtual PC vous devez appuyer sur la touche Alt Gr.

Si durant l’installation une boîte de dialogue vous invitant à installer les Compléments pour ordinateurs virtuels apparaît, cochez la case Ne plus afficher ce message puis OK.

Vous pouvez appuyer sur Entrée pour gagner quelques secondes ou laisser Gentoo démarrer automatiquement. Vous verrez alors les informations de boot défiler sur votre écran jusqu’à ce que vous atteignez l’étape de sélection du type de clavier. Taper 16 puis Entrée pour sélectionner un clavier français.

Choix du type de clavier

Une fois le boot terminé vous arrivez à une invite de commande livecd ~ #. C’est là que les chose sérieuses commencent !

Configuration du réseau

La première chose à faire est de vérifier si le réseau fonctionne. Pour cela tapez juste un ping google.com à l’invite de commande. Si votre réseau dispose d’un serveur DHCP cela devrait fonctionner. Faites un Ctrl+C pour quitter le ping.

Si cela ne fonctionne pas entrez la commande suivante qui lancera une interface de configuration du réseau :

net-setup eth0

Sélectionnez Yes puis appuyez sur Entrée. Choisissez ensuite My network is wireless si vous voulez que votre machine virtuelle se connecte au réseau grâce à une carte WiFi ou My network is wired si vous utilisez un réseau filaire et appuyez ensuite sur Entrée. Si votre réseau dispose d’un serveur DHCP, choisissez Use DHCP to auto-detect my network settings, si vous préférez choisir vous-même les différents paramètres sélectionnez Specify an IP address manually, puis appuyez sur Entrée. Je vais ici supposer que vous allez utiliser cette dernière option.

Indiquez l’adresse IP que vous souhaitez utiliser pour votre Gentoo, par exemple 192.168.1.1, appuyez sur Entrée, entrez 192.168.1.255 comme adresse de Broadcast (à adapter en fonction du sous-réseau que vous utilisez), appuyez de nouveau sur Entrée et entrez 255.255.255.0 comme masque de sous-réseau. Appuyez sur Entrée et indiquez l’adresse de votre routeur pour pouvoir accéder à Internet. Appuyez sur Entrée et indiquez l’adresse de votre serveur DNS (vous pouvez utiliser OpenDNS si vous n’êtes pas sur un réseau d’entreprise). Appuyez de nouveau sur Entrée puis sur OK pour sauter la configuration du suffixe de recherche DNS et terminer la configuration réseau.

Votre connexion est à présent configurée et vous pouvez vérifier sa configuration en tapant ifconfig eth0 à l’invite de commande.

Création et formatage des partitions

S’il y a bien une chose qui reste en mémoire lors de l’installation d’une distribution Linux c’est bien la création des différentes partitions. Au minimum il faudra créer une partition de swap et une partition Linux. C’est ce que nous allons faire ici mais rien ne vous empêche de choisir de créer une partition /boot, une /home, etc.

Pour commencer il faut repérer quel disque vous allez formater : selon toute probabilité il s’agit du disque /dev/hda. Pour le vérifier, entrez la commande suivante :

fdisk -l /dev/hda

Vous devriez alors voir quelque chose se rapprochant du résultat suivant :

Disk /dev/hda: 5242 MB, 5242503168 bytes
16 heads, 63 sectors/track, 10158 cylinders
Units = cylinders of 1008 * 512 = 516096 bytes
Disk identifier: 0×00000000

Disk /dev/hda doesn’t contain a valid partition table

On reconnaît ici le disque de 5 Go que nous avons créé pour la machine virtuelle. Ne vous en faites pas, il n’y a pas de risque de formater par erreur votre propre disque dur, il faut bien garder en tête que la machine virtuelle n’a pour le moment accès qu’à ses propres ressources.

Vous pouvez également essayer cette commande :

fdisk -l /dev/hdc

Vous obtiendrez alors le résultat suivant :

Note: sector size is 2048 (not 512)

Disk /dev/hdc: 109 MB, 109531136 bytes
255 heads, 63 sectors/track, 3 cylinders
Units = cylinders of 16065 * 2048 = 32901120 bytes
Disk identifier: 0×00000000

Disk /dev/hdc doesn’t contain a valid partition table

On reconnait ici le fichier ISO de Gentoo.

Passons à présent au formatage du disque hda. Nous allons d’abord créer une partition de données de 4.5 Go puis une partition de swap de 512 Mo. La règle généralement suivie est de créer une partition de swap deux fois plus grande que la RAM de la machine (ici 256 Mo).

A l’invite de commande, tapez fdisk /dev/hda. Tapez ensuite n pour créer une nouvelle partition, p pour choisir une partition primaire et 1 comme numéro de partition. Entrez ensuite 1 comme First cylinder, +4500 MB comme Last cylinder puis appuyez sur Entrée. Tapez ensuite a puis 1 pour rendre la partition bootable.

Pour créer la partition de swap, tapez n, p, 2 et appuyez sur Entrée deux fois pour utiliser les valeurs par défaut pour les cylindres : la partie non utilisée du disque sera alors réservée. Tapez ensuite t, 2, 82 pour changer le type de la partition 2 en partition de swap.

Tapez ensuite p, la liste des partitions s’affichera alors :

Device           Boot    Start        End             Blocks    Id    System
/dev/hda1         *              1     8700     4394848+   83   Linux
/dev/hda2                8721    10158       724752      82    Linux swap / Solaris

Il faut enfin enregistrer cette table de partitions, pour cela tapez w.

Reste à présent  à formater les partitions que nous venons de créer. Pour cela tapez les commandes suivantes :

mke2fs -j /dev/hda1
mkswap /dev/hda2 && swapon /dev/hda2

Ces commandes ont pour effet de formater la partition hda1 en ext2 et d’activer la partition de swap.

Il n’y a plus qu’à monter la partition de données et à s’y placer pour la suite des festivités :

mount /dev/hda1 /mnt/gentoo
cd /mnt/gentoo

Le disque est à présent partitionné, formaté et prêt à être utilisé.

Téléchargement des fichiers d’installation

Jusqu’à présent nous n’avons fait que booter sur un Live CD minimaliste et préparer le disque, il nous faut à présent télécharger les fichiers d’installation. Gentoo propose un environnement de base précompilé appelé stage3 qu’il nous faut télécharger. Pour cela tapez la commande suivante qui choisira un miroir automatiquement :

wget ftp://distfiles.gentoo.org/pub/gentoo/releases/x86/current-stage3/stage3-i686-*.tar.bz2

Dans mon cas le fichier faisait 180 Mo.

Une fois le téléchargement terminé dans /mnt/gentoo, lancez la commande suivante pour décompresser le fichier et ainsi créer l’arborescence et le système de base de votre installation Gentoo :

tar xjpf stage3-i686-20091110.tar.bz2

Cela peut prendre un peu de temps. Une fois la décompression terminée, vérifiez que vous obtenez bien une arborescence Linux classique (/bin, /boot, /dev, /etc…) en faisant un ls. Si tout va bien vous pouvez alors supprimer le fichier stage3 :

rm stage3-i686-20091110.tar.bz2

Gentoo utilise un gestionnaire de logiciels nommé Portage qu’il nous faut également télécharger. Entrez donc les commandes suivantes :

cd /mnt/gentoo/usr
wget http://distfiles.gentoo.org/snapshots/portage-latest.tar.bz2

Une fois le téléchargement terminé entrez la commande suivante pour décompresser et installer Portage :

tar xjf portage-latest.tar.bz2

Vous pouvez ensuite supprimer le fichier de Portage :

rm portage-latest.tar.bz2

Changement de racine

Notre système est à présent pratiquement prêt à être utilisé, bien qu’étant très basique. La dernière étape avant de passer à la configuration proprement dite consiste à basculer du système du Live CD vers le système que nous venons d’installer. Pour cela exécutez les commandes suivantes :

mount -t proc proc /mnt/gentoo/proc
mount -o bind /dev /mnt/gentoo/dev
cp -L /etc/resolv.conf /mnt/gentoo/etc
chroot /mnt/gentoo /bin/bash
env-update && source /etc/profile

Configuration de quelques paramètres

Notre système est installé, il nous faut maintenant nous occuper de quelques détails de configuration. Nous allons d’abord régler notre fuseau horaire. Pour cela il va vous falloir trouver votre fuseau horaire au moyen de la commande suivante :

ls /usr/share/zoneinfo

Vous pouvez ensuite trouver votre ville ou la ville la plus proche en faisant une série de ls sur les répertoires, par exemple :

ls /usr/share/zoneinfo/Europe

nous permet de voir que Paris est située dans ce répertoire. Pour appliquer le fuseau horaire il faut entrer la commande :

cp /usr/share/zoneinfo/Europe/Paris /etc/localtime

Vous pouvez ensuite vérifier la date avec la commande date. Vous pouvez régler l’heure manuellement au moyen de la commande suivante au format MMJJhhmmYYYY :

date 111217592009

Pour attribuer un nom à votre machine, par exemple lindev.domaine.local, exécutez les commandes suivantes :

cd /etc
echo "127.0.0.1 lindev.domaine.local lindev localhost" > hosts
sed -i -e 's/HOSTNAME.*/HOSTNAME="lindev"/' conf.d/hostname
hostname lindev

Compilation du noyau

Voilà un autre classique de Linux ! Rassurez-vous c’est très simple avec les outils intégrés à Gentoo. Une simple commande vérifiera les dépendances et téléchargera les fichiers nécessaires à la compilation du noyau :

emerge gentoo-sources

Tapez ensuite les commandes suivantes pour configurer les options de votre noyau :

cd /usr/src/linux
make menuconfig

Vous pouvez vous promener un peu dans les différentes options pour découvrir la richesse des possibilités offertes par le noyau Linux. Dans le doute ne touchez à rien, à part dans la section Device Drivers > Network Device SupportEthernet (10 or 100Mbit) > où je vous recommande de cocher « Tulip » family network device support. Entrez ensuite dans cette section et cochez DECchip Tulip (dc2114x) PCI support de manière à ce qu’un M apparaisse. Revenez à la racine de Device Drivers, puis allez dans  Graphics support > Support for frame buffer devices et cochez (avec une étoile) VESA VGA graphics support. Cette option permettra plus tard de modifier la résolution de la console. Sélectionnez Exit jusqu’à arriver au dialogue de sortie puis Yes pour enregistrer la configuration. Vous pouvez à présent terminer la compilation du noyau :

make -j2
make modules_install
cp arch/i386/boot/bzImage /boot/kernel

Edition de la table de partitions

Il faut à présent éditer la table de partitions de notre installation Gentoo pour lui indiquer où trouver la partition de données et celle de swap :

cd /etc
nano -w fstab

Editez ensuite les lignes décrivant les partitions de cette manière :

/dev/sda1        /                              ext2     noatime         0 1
/dev/sda2        none                      swap    sw                    0 0
/dev/cdrom    /mnt/cdrom     auto     noauto,ro      0 0

Appuyez ensuite sur Ctrl+X, Y, puis Entrée pour quitter et enregistrer. Notez bien qu’il faut entrer sda1 et sda2 au lieu de hda1 et hda2.

Configurations diverses et variées

Nous allons à présent configurer le réseau de notre Gentoo :

cd conf.d
echo 'config_eth0=( "192.168.1.1 netmask 255.255.255.0" )' >> net
echo 'routes_eth0=( "default via 192.168.1.253" )' >> net
rc-update add net.eth0 default

Pensez à remplacer l’IP en première ligne par l’adresse IP que vous souhaitez attribuer à votre machine virtuelle, la deuxième ligne étant la passerelle à utiliser pour se connecter à Internet. Une fois connecté à Internet vous pouvez modifier cette ligne pour utiliser un serveur DHCP (n’oubliez pas d’installer un client DHCP grâce à la commande emerge dhcpcd) :

echo 'config_eth0=( "dhcp" )' >> net

Attribuez maintenant un mot de passe à l’utilisateur root en tapant la commande passwd.

Nous avions édité le fuseau horaire du Live CD au début de cette installation, il faut faire de même avec notre nouveau Gentoo :

nano -w /etc/conf.d/clock

et entrez TIMEZONE= »Europe/Paris » à la place de #TIMEZONE= »Factory » (pensez à retirer le #).

Profitons-en également pour modifier le clavier par défaut :

nano - w /etc/conf.d/keymaps

et remplacez KEYMAP= »us » par KEYMAP= »fr ». Vous pouvez voir la liste des claviers disponibles en faisant un ls /usr/share/keymaps/i386.

On va également installer un système de logs et de planification et les ajouter aux programmes se lançant au démarrage :

emerge syslog-ng vixie-cron
rc-update add syslog-ng default
rc-update add vixie-cron default

Installation du Bootloader

Encore une opération classique des installations Linux. LILO était le bootloader par défaut il y a quelques années, nous allons plutôt installer grub :

emerge grub
nano -w /boot/grub/grub.conf

Modifiez les lignes présentes par défaut par les suivantes :

default 0
timeout 10
splashimage=(hd0,0)/boot/grub/spash.xpm.gz

title Gentoo Virtuel
root (hd0,0)
kernel /boot/kernel root=/dev/sda1 video=vesafb:ywrap,mtrr vga=0×317

Attention au /dev/sda1, grub repère les disques de manière différente de fdisk. Si vous rentrez /dev/hda1 vous obtiendrez une erreur au démarrage et vous ne pourrez pas charger Gentoo. Notez également les options video permettant au prochain boot de démarrer avec une console en 1024×768.

Et maintenant, rebootez ! Si tout se passe bien vous disposez maintenant d’une installation virtuelle de Gentoo parfaitement fonctionnelle.

Quelques configurations supplémentaires

Nous allons indiquer au système quels miroirs utiliser automatiquement :

emerge mirrorselect
mirrorselect -i -o >> /etc/make.conf

Sélectionnez ensuite les différents miroirs de téléchargement qui vous intéressent puis sélectionnez OK. Entre ensuite la commande suivante :

mirrorselect -i -r -o >> /etc/make.conf

Sélectionnez les miroirs de téléchargement RSYNC qui vous intéressent puis sélectionnez OK.

Entrez ensuite la commande suivante pour indiquer au compilateur le nombre de processeurs/cores et ajoutez-y 1 (par exemple pour un Core 2 Duo, entrez 3) :

echo 'MAKEOPTS="-j3"' >> /etc/make.conf

Editez ensuite le fichier /etc/locale.gen pour indiquer au compilateur quelles locales utiliser :

cd /etc
nano -w /locale.gen

Par exemple vous pouvez décommenter en_US ISO-8859-1 et fr_FR ISO-8859-1. Exécuter ensuite la commande suivante pour regénérer ces locales :

locale-gen

Editez ensuite le fichier make.conf pour ajouter les optimisations spécifiques à votre plateforme :

nano -w make.conf

Vous pouvez trouver les informations relatives à vos optimisations sur cette page. Par exemple pour un Core 2 Duo en 32 bits :

CHOST= »i686-pc-linux-gnu »
CFLAGS= »-march=core2 -O2 -pipe -fomit-frame-pointer »
CXXFLAGS= »${CFLAGS} »

Ajoutez également la ligne suivante, puis sauvegardez le fichier :

FEATURES= »ccache »

et téléchargez/compilez/installez ccache :

emerge ccache

Nous allons nous arrêter à ce stade, à vous d’installer et de configurer vos applications à présent !

Windows Live Messenger 2009

Nous allons voir comment installer automatiquement WLM 2009 au moyen d’un simple batch qui pourra être utilisé par exemple avec Microsoft Deployment Toolkit 2010.

Tout d’abord il faut télécharger le fameux logiciel de téléchargement et d’installation de WLM 2009 en cliquant sur le bouton Télécharger Messenger 2009 pour la première fois disponible sur cette page.

Ensuite on ne peut pas y couper, il faut installer le client sur une machine de test, en ne sélectionnant que Windows Messenger (en fait en déselectionnant tous les autres programmes proposés). Bon courage, c’est assez désespérant de voir le nombre de dépendances téléchargées avant de voir apparaître le téléchargement de Messenger lui-même.

Une fois l’installation terminée, rendez-vous dans C:\Program Files\Fichiers communs\Windows Live\.cache\ après avoir activé l’affichage des fichiers cachés au besoin. Vous y trouverez une série de répertoires nommés par exemple \11cfcd031ca5ece ou encore \164f60971ca5ece. Le but à présent est de parcourir ces répertoires et d’y récupérer les fichiers Contacts.msi, crt.msi, dw20shared.msi, Messenger.msi et SegoeFont.msi. Copiez ces fichiers dans un répertoire, par exemple C:\WLM2009 puis créez un fichier setup.bat contenant les lignes suivantes :

msiexec /I dw20shared.msi /q
msiexec /I crt.msi /q
msiexec /I Contacts.msi /q
msiexec /I SegoeFont.msi /q
msiexec /I Messenger.msi ARPSYSTEMCOMPONENT="" /q

Notez que si vous êtes sous Windows Vista ou 7 vous n’aurez pas besoin de la ligne msiexec /I SegoeFont.msi /q.

Il ne vous reste plus qu’à lancer setup.bat pour installer Windows Live Messenger 2009. Bien sûr, ne fermez pas la fenêtre DOS avant qu’elle ne disparaisse d’elle-même.

La première vidéo présente les nouvelles fonctionnalités de VPN Reconnect (reconnexion automatique du VPN après une coupure), Direct Access (une sorte de VPN transparente pour l’utilisateur) et les fonctions de recherche de Windows 7 (en local ou sur le web directement depuis l’explorateur).

La deuxième vidéo présente les améliorations liées à BitLocker (chiffrage de clés USB par exemple) et à AppLocker (permet d’empêcher l’installation de programmes non autorisés par numéro de version, nom ou éditeur à partir de la signature numérique inclue dans le fichier).

Enfin la troisième montre les nouveautés liées à la virtualisation (attachement de disque virtuel, boot sur un disque virtuel, mode de compatibilité Windows XP) ou la fonctionnalité Branch Cache (permet à un PC dans une agence de ne pas retélécharger un fichier depuis l’agence centrale si un autre PC l’a déjà fait récemment). Un outil de capture des actions d’un utilisateur amenant à un bug est également montré.

Source

Options d'enregistrement d'Excel 2007

La première chose à faire est de télécharger les modèles d’administration pour Office 2007. Exécutez ensuite le fichier, par exemple sur le contrôleur de domaine sur lequel vous gérez les polices de groupe.

Allez ensuite dans Démarrer > Outils d’administration > Group Policy Management et déployez l’arborescence jusqu’à Forest > Domains > Votre Domaine > Group Policy Objects.

Faites ensuite un clic droit dessus, cliquez sur New, choisissez un nom (par exemple Office 2007) et cliquez sur OK.

Faites à présent un clic droit sur Office 2007 (à droite) et cliquez sur Edit. L’éditeur d’objets de stratégie de groupe s’ouvre alors. Rendez-vous dans Configuration utilisateur > Modèles d’administration, faites un clic droit et choisissez Ajout/Suppression de modèles. Cliquez ensuite sur Ajouter puis indiquez le fichier \ADM\fr-fr\excel12.adm (pour Windows XP) ou \ADMX\fr-fr\excel12.adml (pour Window Vista) situé dans le répertoire dans lequel vous avez décompressé les modèles d’administration et  cliquez sur Ouvrir puis Fermer.

Allez ensuite dans Configuration utilisateur > Microsoft Excel 2007 > Options Excel > Enregistrer et faites un double clic sur Enregistrer les fichiers Excel sous. Passez l’état à Activé et choisissez Classeur Excel 97-2003 (*.xls) dans la liste déroulante Enregistrer les fichiers Excel sous.

Il ne vous reste plus qu’à lier cette stratégie de groupe à une UO d’Active Directory, par exemple en faisant un glisser/déplacer la stratégie Office 2007 sur une UO Commerciaux dans la console Group Policy Management. Lors de la prochaine mise à jour des startégies de groupe des utilisateurs situés dans cette UO (cela peut prendre quelques heures selon votre configuration) le format d’enregistrement par défaut d’Excel 2007 sera le .xls.

Comme vous pouvez le constater en fouillant un peu, il existe d’autre options intéressantes pour Excel 2007, et des modèles d’administration sont également disponibles pour les autres éléments du pack Office comme Word, Outlook ou Access.

Type de l’événement :    Erreur
Source de l’événement :    Service Control Manager
Catégorie de l’événement :    Aucun
ID de l’événement :    7034
Date :        20/10/2009
Heure :        18:52:40
Utilisateur :    N/A
Ordinateur :    SERVERSQL
Description :
Le service Service SNMP s’est terminé de façon inattendue pour la 1ème fois.

Finalement j’ai découvert que le problème venait d’une extension du service SNMP installée par ma carte contrôleur RAID Adaptec. Pour désactiver cette extension il suffit de lancer regedit, de se rendre dans HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SNMP\Parameters\ExtensionAgents et de supprimer la valeur aussnmp contenant la donnée SOFTWARE\Adaptec\RAIDController\AAC\CurrentVersion.

Cette donnée est semble-t-il recréée à chaque redémarrage de la machine, il faudra donc soit penser à supprimer la valeur manuellement, soit plus simplement créer un script de démarrage permettant de supprimer cette valeur automatiquement.

@echo off
:Variables

set destination=\\BACKUP_SERVER\DC$
set username=Administrateur
set server=%computername%

:CalculDate

for /F "tokens=1-3 delims=/ " %%i in ('date /t') do (
set Year=%%k
set Month=%%j
set Day=%%i
)

:Backup
ntbackup.exe backup systemstate /v:no /j "%server%-Backup" /l:s /f "%destination%\%server%-Backup-%Year%-%Month%-%Day%-SYSTEMSTATE.bkf"

goto eof

:eof

Le principe est simple : les variables sont définies au début du script (répertoire où sera enregistré le fichier (partagé sur le réseau par exemple) et login à utiliser pour accéder à ce répertoire), on calcule ensuite la date que l’on pourra ajouter au nom du fichier et on lance enfin ntbackup avec quelques options. Vous pourrez  d’ailleurs modifier le /v:no en /v:yes pour vérifier le backup une fois qu’il est terminé afin d’être certain qu’il n’est pas corrompu : c’est toujours triste d’avoir un backup inutilisable…

Il ne vous reste plus ensuite qu’à programmer l’exécution de la tache, par exemple chaque jour à minuit. Pour cela, allez dans Démarrer > Panneau de Configuration > Tâches planifiées > Création d’une tâche planifiée. Cliquez sur Suivant puis sur Parcourir et indiquez le chemin C:\scripts\backup.bat. Donnez ensuite un nom à cette tâche comme Backup Active Directory, sélectionnez Quotidiennement, cliquez sur Suivant deux fois, entrez un compte autorisé à exécuter backup.bat et cliquez sur Suivant. Sélectionner la case permettant d’ouvrir ensuite les propriétés de la tâche puis sur Terminer.

Dans l’onglet Planification, sélectionnez Toutes les semaines, entrez 00:00 comme heure et cliquez sur chacun des jours pour lesquels vous souhaitez créer un backup. Sauvez ensuite la tâche.

De cette façon vous aurez chaque jour à minuit une sauvegarde complète de votre Active Directory.

Le principe d’Ophcrack est simple : l’algorithme de hash des mots de passe utilisé par Windows XP étant connu, il suffit de calculer l’ensemble des hashs possibles pour des combinaisons de lettres et de chiffres et de comparer la valeur du hash du mot de passe de l’utilisateur à la base ainsi calculée pour finalement aboutir au mot de passe en clair. Simple et efficace. La table de hashs (rainbow table) utilisée dans le Live CD contient toutes les combinaisons de lettres en minuscules et majuscules ainsi que les chiffres jusqu’à 14 caractères avec un taux de décryptage de 99.9% pour une taille de 380 Mo. Il est également possible d’acheter une table de 7.5 Go contenant en plus les caractères ! »#$%&’()*+,-./:;<=>?@[\]^_`{|}~ et l’espace.

Boot Ophcrack

Une fois le Live CD téléchargé et gravé, il suffit de booter sur le CD et de laisser le système se charger. L’ensemble de l’opération est en fait automatique : au lancement de l’interface graphique la fenêtre d’Ophcrack se lance, énumère les comptes locaux visibles sur la machine et lance une attaque de type brute force tout en commençant à charger la fameuse rainbow table. Notez que le mot de passe Windows crypté est séparé en deux blocs de 7 caractères. La grande majorité des mots de passe faisant 8 caractères, l’attaque de type brute force permet de rapidement décrypter le deuxième bloc qui ne contient qu’un seul caractère. Dans la capture suivante on voit que Ophcrack a déjà trouvé le caractère du deuxième bloc alors qu’il n’a pas encore fini de charger la table de décryptage.

Attaque brute force terminée

Une fois l’attaque brute force terminée (comptez 2-3 minutes), la table de décryptage devrait pratiquement être chargée. Une fois ce chargement effectué, le décryptage peut aller très vite : mon mot de passe administrateur a été décrypté en à peu près 4 minutes à partir du lancement d’Ophcrack.

Mot de passe décrypté !

Dans mon cas je n’avais qu’un seul utilisateur (Administrateur) sur la machine de test, mais Ophcrack décryptera les mots de passe de tous les utilisateurs locaux de la machine. Notez qu’après avoir parcouru l’ensemble de la table de décryptage Ophcrack n’a pas trouvé les mots de passe des utilisateurs système (ASPNET, etc), sans doute parce que ces mots de passe utilisent des caractères spéciaux.

Il est également possible lors de l’installation d’une machine de la mettre à jour automatiquement en utilisant Microsoft Update ou, de manière plus souple et efficace, un serveur WSUS local.

Dans cet article nous allons voir comment paramétrer Microsoft Deployment pour qu’il utilise WSUS lors du déploiement d’une machine dans un domaine et comment ajouter la machine en cours de déploiement à une UO Active Directory autorisée à se connecter à WSUS et à recevoir des mises à jour.

La première chose à faire est de modifier le fichier CustomSettings.ini situé dans le répertoire Control de votre point de distribution (par exemple E:\Distribution\Control). Voici le contenu de mon fichier :

[Settings]

Properties=MyCustomProperty

Priority=ByDesktopType, ByLaptopType, Default

[ByDesktopType]
Subsection=Desktop-%IsDesktop%

[ByLaptopType]
Subsection=Laptop-%IsLaptop%

[Desktop-True]
MachineObjectOU= OU=Deploiement, OU=Paris, OU=France, OU=General, dc=corp, dc=local
ComputerName=D-#CleanMac(« %MacAddress% »)#
UserExit=UserExit.vbs

[Laptop-True]
MachineObjectOU= OU=Deploiement, OU=Paris, OU=France, OU=General, dc=corp, dc=local
ComputerName=L-#CleanMac(« %MacAddress% »)#
UserExit=UserExit.vbs

WSUSServer=http://WSUSSRV:8530

[Default]
OSInstall=Y

SkipBDDWelcome=YES
KeyboardLocale=fr-FR
TimeZone=105
SkipTimeZone=YES
UserDataLocation=NETWORK
SkipAppsOnUpgrade=NO
SkipCapture=NO
SkipAdminPassword=YES
SkipProductKey=YES
SkipUserData=YES
SkipSummary=YES
SkipComputerName=YES
_SMSTSOrgName=Entreprise – Déploiement de machines

Quelques commentaires sur mon fichier :

• Je nomme automatiquement les machines déployées avec un préfixe D- ou L- selon qu’il s’agit d’un PC fixe (Desktop) ou portable (Laptop) et en utilisant ensuite l’adresse MAC.
• La propriété MachineObjectOU indique dans quelle UO d’Active Directory la machine doit être placée lors du déploiement. Dans mon cas je place les machines dans une UO nommée Deploiement. Nous verrons plus loin comment associer cette UO à un groupe WSUS grâce à une police de groupe.
• La propriété WSUSServer indique l’URL du serveur WSUS ainsi que son port associé.
• La propriété _SMSTSOrgName remplace le texte IT Organization dans la fenêtre de déploiement par le nom de votre entreprise par exemple. Cosmétique mais ça ne coûte pas grand chose…

Il faut donc d’une part indiquer l’adresse de votre serveur WSUS et d’autre part choisir une UO de votre Active Directory réservée au déploiement si vous utilisez des groupes WSUS assignés par police de groupe.

Une fois ces modifications enregistrées il vous faudra aller dans Démarrer > Tous les programmes > Microsoft Deployment Toolkit > Deployment Workbench, puis dans Deploy > Deployment Points. Faites alors un clic droit sur votre point de déploiement et sélectionnez Update pour reconstruire votre image de démarrage.

Une fois cette reconstruction terminée, allez dans Task Sequences, faites un clic droit sur la séquence qui vous intéresse et cliquez sur Propriétés. Dans l’onglet Task Sequence, allez dans le dossier State Restore, cliquez sur Windows Update (Pre-Application Installation), allez dans l’onglet Options et décochez la case Disable this step. Faites de même pour Windows Update (Post-Application Installation).

Allez ensuite dans Démarrer > Outils d’administration > Services de déploiement Windows, puis dans Serveurs > Nom du serveur > Images de démarrage, faites un clic droit sur l’image de démarrage que vous utilisez pour déployer vos machines et sélectionnez Remplacer l’image. Indiquez le chemin de l’image que vous venez de créer, cliquez sur Suivant quatre fois (vous pouvez donner un nom plus clair à votre image en passant) puis sur Terminer.

Sur un contrôleur de domaine disposant de la Console de gestion des stratégies de groupe, cliquez sur  > Outils d’administration > Group Policy Management, puis déployez l’arborescence jusqu’à Forest > Domain > NOM_DE_VOTRE_DOMAINE > Group Policy Objects, faites un clic droit puis cliquez sur New. Donnez le nom WSUS – Deployment à ce GPO, puis faites un clic droit dessus et cliquez sur Edit. Allez ensuite à la section permettant de gérer WSUS et qui se situe dans Configuration ordinateur > Modèles d’administration > Composants Windows > Windows Update. Modifiez la propriété suivante :

• Autoriser le ciblage côté client : Activé
  • Nom de groupe cible pour cet ordinateur : Deploiement

Dans la console de gestion des polices de groupe, faites un clic droit sur l’UO Deploiement et sélectionnez Link an existing GPO. Choisissez la GPO WSUS – Deploiement que vous venez de créer et cliquez sur OK.

Dans WSUS, faites un clic droit sur Ordinateurs > Tous les ordinateurs, cliquez sur Ajouter un groupe d’ordinateurs et créez le groupe Déploiement. Le nom du groupe doit être identique à celui que vous avez utilisé dans la police de groupe. Il ne vous reste plus qu’à autoriser l’ensemble des mises à jour que vous souhaitez utiliser pour ce groupe.

Pour résumer : lors d’un déploiement dans votre domaine, Microsoft Deployment créera un compte ordinateur dans Active Directory et le placera dans l’UO Deploiement. Au démarrage de l’ordinateur, la police de groupe associera l’ordinateur au groupe WSUS Déploiement et lors des phases d’installation pré et post-applications il se connectera à votre serveur WSUS local plutôt que de passer par Internet et Microsoft Update.