Dernièrement, j’ai dû installer Kerio Connect sur un serveur Yosemite. Le serveur de courriels d’OS X a beaucoup progressé (notamment son webmail, mais était-ce difficile venant d’où il venait ?), mais Kerio Connect offre des services intégrés qui font toujours fureur auprès de certains clients, et je me permettrai de dire à juste cause. D’autant qu’à présent, il y a un serveur CalDAV et CardDAV qui fonctionne pleinement. Kerio Connect est aussi une formidable alternative à Exchange, mais ça on le sait depuis fort longtemps. Last but not least, Kerio Connect a maintenant un système de clusterisation (la seule chose qui pouvait faire pencher la balance du côté d’OS X Server) appelé Kerio Connect Multi-Server (je passe ici sur Kerio Connect Cloud, mais tous les renseignements sont sur le site de Kerio). Bref Kerio Connect comme tous les produits Kerio s’intègre à merveille avec OS X (le connecteur OpenDirectory a toujours très bien fonctionné) jusqu’à devenir plus intégré que certains services Mac.

Surprise lors de l’installation sur un nouveau Mac mini Yosemite. Impossible d’installer le logiciel. À chaque fois le même message d’erreur concernant l’environnement Java runtime. À chaque fois, OS X propose d’ouvrir la page du site d’Oracle pour télécharger Java mais après chaque installation, le même message d’erreur reproduit à l’identique comme si aucune installation n’avait été faite. Un casse-tête. Puis une idée. Ouvrir le terminal, et taper java. Immédiatement Safari ouvre une page sur le site d’Oracle. Une page qui se révèle magique. Sur cette page, on choisira la version JDK de Java SE 8u31 (à la date de l’écriture de cet article, mais la dernière version est proposée en haut de la page). Et là, on découvre une version pour Mac OS X x64 qui pèse plus de 200 Mb, loin des 50 Mb de la version proposée par OS X… Dès lors l’installation se déroulera sans problème.

Pour augmenter le nombre total de connexion IMAP disponibles :

• Ouvrez la page d’administration de Kerio Connect
• Cliquez sur Configurations si la rubrique n’est pas ouverte.
• Cliquez sur Services.
• Depuis la page Services, double-cliquez sur IMAP
• Dans la fenêtre IMAP, cliquez sur l’onglet Accès
• Augmentez le nombre de connexions simultanées
• Cliquez OK et redamarrez le service IMAP.

Maintenant disons que toutes les connexions IMAP arrivent depuis ce que le serveur voit comme une seule IP (cela arrive avec certains routeurs). Et bien il y a aussi un réglage qui n’apparait pas dans l’interface Web qui limite le nombre de connexions depuis une adresse IP donnée, vous pourrez augmenter celle-là aussi. Il faudra aller dans le fichier mailserver.cfg situé dans /usr/lcoal/kerio/mailserver. Là, cherchez dans la table service-imap, la ligne MaxConnectionsIP. Changez la pour 300 et sauvegardez. Redémarrez à nouveau le service IMAP. Bonne chance !

Cet article a paru sur Krypted de 318, le 4 avril 2013.

http://store.nausicamedia.com

Certains produits ne sont plus là (CalDigit par exemple) et nous ne vendons plus ces produits donc inutile de nous les demander. Seuls les produits en ligne sont en vente à NausicaMedia.

Pour commencer, il faut créer le CSR (Certificate Signing Request). Vous pouvez le faire sur l’Astaro/Sophos directement si vous le voulez. Loguez-vous en loginuser, c’est suffisant. Et vous pouvez le faire sur votre Mac aussi évidemment, de toute façon il faudra SCP le fichier entre l’Astaro et le Mac ou l’inverse. La commande pour générer le CSR est :

openssl req –config ./openssl.config –new –newkey rsa:2048 –out server.key

Ensuite, il vous demande les informations habituelles (Organization, City, etc.). Attention le Common name doit être le domaine pour lequel vous demandez le certificat.

Ensuite vous devrez aller sur le site d’une autorité de certificat (GoDaddy étant de loin les plus sexy si vos critères sont purement esthétiques), là vous soumettrez votre CSR (attention comme toujours aux espaces non voulus dans les certificats). L’autorité de certificat, vous donnera ensuite un certificat et un ou deux certificats intermédiaires, c’est de mise maintenant afin d’accroitre la sécurité. Enfin, vous ferez de ces différents fichiers un fichier pkcs#12, le format est primordial pour l’Astaro.

openssl pkcs12 -export -out /Users/me/certificate/certificate.pfx -inkey /Users/me/certificate/server.key -in /Users/me/certificate/monnom.de.domaine.crt -certfile /Users/me/certificate/bundle.crt

Dans cet exemple, vous noterez que les certificats intermédiaires sont à la fin de la commande. Le CSR et le certificat correspondant au nom de domaine en premier.

Normalement, OpenSSL vous demande le mot de passe que vous avez choisi pour le certificat. Il ne vous reste plus qu’à copier le CSR sur l’Astaro si vous l’avez créé sur votre Mac, par exemple en suivant la commande précédente :

scp -r -p /Users/me/certificate/server.key loginuser@192.168.x.x:/home/login

On vous demande le mot de passe, et hop, le fichier CSR (en l’occurrence ici un .key) est copié sur l’Astaro.

Il ne vous reste plus qu’à vous loguer sur l’interface WebAdmin et dans /Remote Access/Certificate Management/Certificate Authority vous allez importer le certificat signé. Un redémarrage de l’UTM est préférable.

Ensuite vous pourrez sélectionner votre certificat pour le Mail Security ou pour le Web Application Security ou pour d’autres services encore.

Voici une présentation de NausicaMedia.

Deux événements allaient bouleverser la donne. L’ouverture des Apple Stores en France et le lancement des Mac Mini Server. Le premier événement affichait Apple en grandeur nature et avec profusion de savoir-faire et de connaissance. les APR auraient du mal à s’en remettre. Et les petites entreprises (petites PME et TPE) affluaient dans ces endroits pour trouver chaussure à leur pied. Le MacMini Server apportait la dernière pierre à cette stratégie. Apple aime les TPE et les petites PME car elles n’ont rien à voir avec l’entreprise ; elles sont plus proches de l’utilisateur final. Dès lors Apple a besoin d’un annuaire de consultants certifiés et donc vraiment qualifiés. Est-ce qu’il s’agit là d’un coup fatal porté aux APR ?

Ne boudons pas notre plaisir, l’Apple Consultants Network existe et NausicaMedia en fait partie.

Ajourd’hui, j’ai appris que le Apple Consultants Network est lancé en Europe. C’est fantastique. Non, je ne plaisante pas. J’attends ce moment depuis… Je ne peux me rappeler…

Bon, bref, les Apple Consultants Network semblent exister… Tout vient à point à qui sait attendre…

À la MacSysAdmin 2010, nous sommes deux français, Guillaume Gete et moi-même. Je viens de m’en rendre compte. C’est un grand progrès. Ce rendez vous des administrateurs système est un rendez vous unique en Europe. Il a lieu chaque année depuis cinq ans. C’est insensé qu’il y ait si peu de sysadmin français ici. On y apprend notamment que Karl Kuehn arrête le développement de InstaDMG… Ce n’est même pas annoncé sur AFP548 pour le moment. Il m’a dit ce soir qu’il attendait ce meeting pour le rendre officiel.

Même si je ne rendrais pas compte par des photos compromettantes de ce qu’un sysadmin est capable dès lors qu’il entend une imitation d’Elvis ou des Bee Gees, je vous laisse imaginer l’ambiance à Göteborg.

Web Application Security

L’option Web Application Security est un proxy reverse qui fonctionne en amont de l’IDS. Il permet de faire du round robin en interne sur de multiples webservers. Le sitemap.xml sera importable bientôt… Il donne aussi la possibilité à un utilisateur de passer outre un site bloqué (logs : websecurity/blockedusage).

L’option Email Security adopte le user sender blacklist (en complément du user sender whitelist).

Le VPN se dote d’un Wan Link failover et OpenVPN est localisé.

La version 8 est certifiée IPv6 ce qui permettra de passer son MTU de 1280 paquets à 4 Go… A noter qu’il y a une version de Google en IPv6.

Enfin le RBL (Real Blacklist List) est aussi assuré par CommTouch maintenant (en plus de l’anti-spam ; le meilleur anti-spam, c’est moi qui le dis… Et mes clients).

RED

Astaro propose aussi un boitier RED, petit boitier qui prend sa configuration depuis un ASG. Relié à l’ASG principal par un VPN propriétaire d’Astaro, il rajoute littéralement une interface réseau à distance à une appliance Astaro. L’accès au port 3400 est nécessaire afin qu’il accède à un serveur qui va le provisionner (en configuration, bien sûr). Très simple à utiliser, disponible à 300 euros, ce produit est certainement voué à un grand succès.

Astaro Wireless Security

Deux bornes WiFi, l’AP 10 et l’AP30 faites par Astaro avec le savoir-faire réseau d’Astaro…

et Astaro Mail Archiving qui est un système crypté d’archivage de courriers électroniques… L’Astaro Command Center aussi qui permet maintenant un vrai monitoring des parcs d’Astaro distant.

Tous les prix des différentes configuration sur la boutique dès que je rentre de Suède.

La fonction sauvegarde dans Kerio MailServer est très facile à mettre en place et je ne vais pas m’attarder sur ce point, mais plutôt sur la phase la plus importante de la sauvegarde, le point essentiel qui fait qu’une stratégie de sauvegarde est bonne ou pas : la capacité à restaurer cette sauvegarde facilement et rapidement. Il faut utiliser la commande kmsrecover.

En tant que root, il vous faudra taper le chemin vers KMS : /usr/local/kerio/mailserver

Puis vous taperez la commande kmsrecover suivie du chemin de votre sauvegarde : ./kmsrecover /usr/local/kerio/mailserver/store/backup

Evidemment il s’agit ici du chemin par défaut de sauvegarde de Kerio MailServer, si vous avez gardé ce chemin par défaut changez là, installez un disque en RAID 1 et sauvegardez dessus (prenez en un autre pour l’archivage).

KMS vous demandera confirmation pour son utilisation et avant… L’intérêt de jouer sur les sauvegardes complètes ou incrémentales peut vous faire gagner beaucoup de temps. Et si vous cherchez un modèle de disques pour faire vos sauvegardes, un Ezquest ou un SansDigital MS2UB, se révélera idéal !