Système

DNS, annuaire et fichiers centralisés sur Proxmox

Un utilisateur se connecte sur n'importe quelle machine du réseau et retrouve le même compte et les mêmes fichiers : DNS Bind9 / Unbound, comptes NIS, dossiers personnels NFS.

Problème

Sur un parc de machines, créer les comptes et copier les fichiers machine par machine ne tient pas. Le TP consiste à centraliser trois services : la résolution de noms (DNS), l'identité des utilisateurs (NIS) et leurs fichiers (NFS).

Le DNS dit où est une machine, NIS dit qui est l'utilisateur, NFS dit où sont ses fichiers.

Architecture

              Réseau extérieur
                     |
              Proxmox  (routage + NAT)
                     |
             vmbr1  192.168.50.0/24
     +---------+-----+-----+-----------+
   CT100      CT101      CT102        CT103
   Bind9      Unbound    client       NIS + NFS
   .10        .11        .20          .30
   autoritaire résolveur  tests        comptes + /home

Mise en œuvre

DNS : autoritaire et résolveur

Bind9 possède la zone privée et répond lui-même. Unbound reçoit les questions des clients : il transmet la zone privée à Bind9 et résout Internet pour le reste, avec un cache.

# Unbound : transmettre la zone privée à Bind9
forward-zone:
    name: "sio.tp."
    forward-addr: 192.168.50.10

La réponse provient bien du serveur autoritaire : le drapeau aa apparaît dans la sortie de dig.

Comptes et fichiers partagés

CT103 sert les comptes en NIS et exporte /home en NFS. Les trois autres conteneurs interrogent NIS via NSS (passwd: files nis) et montent /home au démarrage.

# Sur un client : le compte n'existe pas localement…
grep chahine /etc/passwd     # rien
getent passwd chahine        # trouvé, fourni par NIS
findmnt /home                # 192.168.50.30:/home

Un fichier créé depuis CT100 apparaît dans le même dossier depuis CT101 et CT102.

Difficultés rencontrées

Symptôme	Cause et solution
Montage NFS refusé dans un LXC (`Operation not permitted`)	Conteneurs concernés passés en privilégié, fonction `mount=nfs` activée.
Root refusé sur `/home`	Comportement normal de `root_squash`, conservé volontairement.
Erreurs IPv6 dans `dig`	Pas de connectivité IPv6 sur le laboratoire ; sans effet sur la zone privée.

Limites et pistes d'amélioration

NIS est ancien et n'est pas chiffré : il sert ici à comprendre la centralisation des identités. En production, on utiliserait un annuaire LDAP ou Active Directory.
Les conteneurs privilégiés nécessaires à NFS réduisent l'isolation : acceptable en laboratoire, pas en production.

Compétences du référentiel mobilisées

Installer, tester et déployer une solution d'infrastructure
Exploiter des services réseau
Documenter une solution technique