Add installation and configuration guides for Nutanix and Synology NAS, along with server preparation instructions for Linux and Windows environments.

2026-10-15 08:58:51 +02:00
parent 968130672a
commit 735c4b2d58
23 changed files with 721 additions and 0 deletions
@@ -0,0 +1,163 @@
+# Configuration des serveurs RPINT et RPEXT
+
+## 1. Prérequis
+
+- Suivre la procédure **Exporter et importer une VM depuis la plateforme de Production** pour importer la VM `RPINTx` ou `RPEXTx` dans l'environnement client.
+- Suivre la procédure **Préparation d'un serveur Linux**.
+- Disposer du DCSR et de l'accès à l'ancien serveur de production pour comparer les configurations.
+
+## 2. Vérifier les flux réseau
+
+Sur le pare-feu, vérifier les flux suivants et demander leur ouverture au service réseau s'ils sont absents :
+
+| Source | Destination | Protocole | Ports |
+| --- | --- | --- | --- |
+| `RPINTx/RPEXTx` | `AD1/AD2` | TCP et UDP | `53` / `123` |
+| `RPINTx/RPEXTx` | `SNMP` | UDP | `161` / `162` |
+| `TELEMW1/2` | `RPINTx/RPEXTx` | TCP | `22` / `9000` |
+
+Ouvrir également les flux requis par les backends et les accès HAProxy, conformément au DCSR.
+
+## 3. Configurer Keepalived
+
+### Rôle
+
+Keepalived gère l'adresse IP virtuelle utilisée pour assurer la redondance des services HAProxy.
+
+### Configuration
+
+1. Se connecter en SSH au serveur avec le compte `systel`, puis passer en `root`.
+2. Identifier l'interface réseau :
+
+```bash
+ip a
+```
+
+3. Ouvrir le fichier de configuration :
+
+```bash
+nano /etc/keepalived/keepalived.conf
+```
+
+4. Mettre à jour le nom de l'interface et l'adresse IP virtuelle conformément au DCSR. Configurer `virtual_router_id` et `priority` selon le tableau :
+
+| Serveur | `virtual_router_id` | `priority` |
+| --- | ---: | ---: |
+| `RPINT1` | `101` | `101` |
+| `RPINT2` | `101` | `100` |
+| `RPEXT1` | `102` | `101` |
+| `RPEXT2` | `102` | `100` |
+
+5. Enregistrer le fichier, puis redémarrer Keepalived :
+
+```bash
+service keepalived restart
+```
+
+6. Vérifier avec `ip a` que l'adresse IP virtuelle apparaît sur le serveur maître.
+
+## 4. Installer le certificat wildcard
+
+HAProxy utilise un certificat wildcard pour les connexions sécurisées (HTTPS, MQTT over WebSocket, etc.).
+
+1. Depuis l'infrastructure de production actuelle, récupérer le fichier `.pem` par SFTP. Il se trouve dans :
+
+```text
+/etc/ssl/private/sdisXX.fr/
+```
+
+2. Transférer le fichier dans `/tmp` sur la nouvelle VM.
+3. Déplacer le fichier vers le répertoire prévu :
+
+```bash
+mv /tmp/sdisXX.pem /etc/ssl/private/sdisXX.fr/sdisXX.pem
+```
+
+4. La procédure source indique la commande suivante pour modifier les permissions :
+
+```bash
+chmod 755 /etc/ssl/private/sdisXX.fr/sdisXX.pem
+```
+
+> **Sécurité :** un fichier PEM peut contenir une clé privée. Vérifier la permission requise par la politique locale et limiter sa lecture aux comptes et services nécessaires avant d'appliquer `chmod 755`.
+
+## 5. Configurer HAProxy
+
+### 5.1 Préparer le fichier de configuration
+
+Le modèle contient deux fichiers dans `/etc/haproxy/` :
+
+- `haproxy_EXT.cfg` pour RPEXT;
+- `haproxy_INT.cfg` pour RPINT.
+
+Selon le rôle de la VM, renommer le fichier correspondant en `haproxy.cfg`. L'autre fichier peut être supprimé avec la commande suivante en adaptant le nom :
+
+```bash
+rm /etc/haproxy/haproxy_XXX.cfg
+```
+
+Modifier le fichier avec `nano` ou le transférer par SFTP pour l'éditer avec Notepad++.
+
+### 5.2 Adapter la configuration au client
+
+Dans `haproxy.cfg` :
+
+1. Remplacer `sdisXX` par le numéro de département du client.
+2. Remplacer `.xx.` par le deuxième octet IP du client. Vérifier la valeur dans le DCSR.
+3. Comparer la configuration à celle de l'ancien serveur et reporter les paramètres propres au client nécessaires.
+4. Ajouter les résolutions DNS non génériques si elles sont utilisées. Vérifier qu'elles sont également déclarées sur le serveur DNS.
+5. Ajouter les ACL et backends spécifiques au client si nécessaire.
+6. Commenter les backends inutilisés d'après le DCSR (par exemple, ceux associés à GeoServer lorsque le client n'en dispose pas).
+7. Remplacer les identifiants par défaut de l'interface Web HAProxy par un mot de passe aléatoire de 20 caractères. Enregistrer le secret dans RDM; ne pas conserver `systel:systel`.
+
+## 6. Vérifier le fonctionnement de HAProxy
+
+### 6.1 Valider le fichier de configuration
+
+Avant de redémarrer le service, vérifier la configuration :
+
+```bash
+haproxy -c -f /etc/haproxy/haproxy.cfg
+```
+
+Si le contrôle est valide, ou ne signale que des avertissements sans impact, redémarrer HAProxy pour appliquer la configuration :
+
+```bash
+service haproxy restart
+```
+
+### 6.2 Consulter l'interface de supervision
+
+Dans un navigateur, ouvrir :
+
+```text
+http://IP_SERVEUR_RP:9000/
+```
+
+Utiliser le compte `systel` et récupérer le mot de passe dans RDM.
+
+Un backend affiché en rouge signale une anomalie. Selon le statut :
+
+- **L4OUT** : vérifier les règles de pare-feu, l'état du service cible et l'adresse IP/le port de destination.
+- **L7OUT** : vérifier le fonctionnement de l'application cible.
+
+## 7. Répliquer la configuration
+
+Depuis un serveur HAProxy secondaire, exécuter la commande suivante pour récupérer le certificat et la configuration du serveur principal :
+
+```bash
+haproxyupdate RPXXX1
+```
+
+Remplacer `RPXXX1` par le nom du serveur principal concerné.
+
+## 8. Sécuriser les comptes système
+
+Modifier les mots de passe des comptes `systel` et `root` :
+
+```bash
+passwd systel
+passwd root
+```
+
+Générer des mots de passe de 20 caractères comprenant des minuscules, des majuscules et des chiffres, puis les enregistrer dans RDM.