ZeroShell

Zeroshell est une distribution Linux Live CD visant à fournir les principaux services de réseau nécessite un réseau local:
Voici quelques caractéristiques principales de "ZeroShell":
· Kerberos 5 authentification ou avec des certificats X.509;
· LDAP, NIS et l'autorisation RADIUS;
· Autorité de certification X509 pour l'émission et la gestion de certificats électroniques;
· Unix et Windows Active Directory interopérabilité en utilisant LDAP et Kerberos 5 de authentification de domaine croix;
· Routeur avec des routes statiques et dynamiques (RIPv2 avec MD5 ou l'authentification en texte brut et les algorithmes de Split Horizon et empoisonné inverse);
· Pont 802.1d avec le protocole Spanning Tree Pour éviter les boucles, même en présence de chemins redondants;
· 802.1Q LAN virtuel (VLAN marqués);
· Pare-feu Stateful Packet Filter et Packet Inspection (SPI) avec des filtres applicables à la fois dans le routage et de pontage sur tous les types d'interfaces, y compris VPN et VLAN;
· NAT d'utiliser des adresses privées LAN de classe cachés sur le WAN avec des adresses publiques;
· TCP / UDP redirection de port (PAT) pour créer des serveurs virtuels. Cela signifie que cluster de serveurs réelle sera vu avec une seule adresse IP (l'adresse IP du serveur virtuel) et chaque demande sera distribué avec le Round Robin algorithme pour les serveurs réels;
· Serveur DNS multizone avec gestion automatique de la in-addr.arpa résolution inverse;
· Serveur DHCP sous-réseau multi avec la possibilité de fixer IP en fonction de l'adresse MAC du client;
· Host-to-LAN VPN avec L2TP / IPsec dans lequel L2TP (Layer 2 Tunneling Protocol) authentifié avec Kerberos de nom d'utilisateur et mot de passe est encapsulé dans IPsec avec IKE authentifié qui utilise les certificats X.509;
· Host-to-LAN VPN avec le protocole PPTP (Point to Point Tunneling Protocol), MPPE (Microsoft Point à Point Encryption) et le tunnel GRE
· Lan-to-LAN VPN avec encapsulation des datagrammes Ethernet dans SSL / TLS tunnel, avec le soutien de VLAN 802.1Q et configurable en liaison pour l'équilibrage de charge (augmentation de la fourchette) ou la tolérance aux pannes (augmentation de la fiabilité);
· Client PPPoE pour la connexion au WAN via ADSL, câble et DSL lignes (nécessite un modem adapté);
· Client Dynamic DNS utilisé pour atteindre facilement l'hôte sur WAN, même lorsque l'IP est dynamique;
· NTP (Network Time Protocol) du client et le serveur pour garder les horloges synchronisées d'accueil;
· Serveur RADIUS pour fournir une authentification sécurisée et la gestion automatique des clés WEP pour les réseaux 802.11b, 802.11g et 802.11a sans fil supportant le protocole 802.1x dans le EAP-TLS, EAP-TTLS et PEAP formulaire ou l'authentification moins sûre de la adresse MAC du client; WPA avec TKIP et WPA2 avec CCMP (Plainte 802.11i) sont aussi supportés; le serveur RADIUS peut également, selon le nom d'utilisateur, groupe ou adresse MAC du suppliant, permettre l'accès sur un VLAN 802.1Q prédéfini.
· Serveur Syslog pour recevoir et cataloguer les journaux système produites par les hôtes distants, y compris les systèmes Unix, routeurs, commutateurs, points d'accès WI-FI, imprimantes réseau et d'autres compatibles avec le protocole syslog;
· Arpwatch Monitor pour la surveillance des événements ARP sur le réseau local, comme la duplication des adresses IP, des tongs et autres défauts;
· Serveur RADIUS pour fournir une authentification sécurisée et la gestion automatique des clés de chiffrement aux réseaux 802.11b, 802.11g et 802.11a sans fil supportant le protocole 802.1x dans le EAP-TLS, EAP-TTLS et PEAP formulaire ou l'authentification moins sûre de la adresse MAC du client; WPA avec TKIP et WPA2 avec CCMP (Plainte 802.11i) sont aussi supportés; le serveur RADIUS peut également, selon le nom d'utilisateur, groupe ou adresse MAC du suppliant, permettre l'accès sur un VLAN 802.1Q prédéfinie;
· Portail captif pour soutenir la connexion sur les réseaux sans fil et filaires web. Zeroshell agit comme passerelle pour les réseaux sur lesquels le portail captif est actif et sur lequel les adresses IP (appartenant généralement aux sous-réseaux privés) sont dynamiquement assignée par le DHCP. Un client qui accède à ce réseau privé doivent se authentifier via un navigateur Web en utilisant Kerberos 5 nom d'utilisateur et mot de passe avant le pare-feu de la Zeroshell lui permet d'accéder au réseau local public. Les passerelles de Captive Portal sont souvent utilisés pour fournir un accès Internet authentifié dans les HotSpots en alternative au protocole d'authentification 802.1X trop compliqué à configurer pour les utilisateurs. Zeroshell implémente les fonctionnalités de portail captif de manière native, sans utiliser d'autres logiciels spécifiques comme NoCat ou Chillispot;
· QoS (Quality of Service) la gestion et le lissage du trafic pour contrôler le trafic sur un réseau encombré. Vous serez en mesure de garantir la bande passante minimale, limiter la bande passante max et affecter une priorité à une classe de trafic (utile dans les applications sensibles à la latence réseau comme VoIP). L'accord précédent peut être appliqué sur les interfaces Ethernet, VPN, des ponts et liaisons VPN. Il est possible de classer le trafic en utilisant la couche 7 filtres qui permettent de Deep Packet Inspection (DPI) qui peuvent être utiles à façonner les applications VoIP et P2P;
· Host-to-LAN VPN avec L2TP / IPsec dans lequel L2TP (Layer 2 Tunneling Protocol) authentifié avec Kerberos de nom d'utilisateur et mot de passe est encapsulé dans IPsec avec IKE authentifié qui utilise les certificats X.509;
· Lan-to-LAN VPN avec encapsulation des datagrammes Ethernet dans SSL / TLS tunnel, avec le soutien de VLAN 802.1Q et configurable en liaison pour l'équilibrage de charge (augmentation de la fourchette) ou la tolérance aux pannes (augmentation de la fiabilité);
Routeur avec des routes statiques et dynamiques (RIPv2 avec MD5 ou l'authentification en texte brut et Split Horizon et algorithmes empoisonné inverse);
pont 802.1d avec le protocole Spanning Tree Pour éviter les boucles, même en présence de chemins redondants;
· 802.1Q LAN virtuel (VLAN marqués);
· Pare-feu Stateful Packet Filter et Packet Inspection (SPI) avec des filtres applicables à la fois dans le routage et de pontage sur tous les types d'interfaces, y compris VPN et VLAN;
· Il est possible de rejeter ou de forme Partage de fichiers P2P trafic en utilisant IPP2P module iptables dans le pare-feu et QoS classificateur;
NAT d'utiliser des adresses privées LAN de classe cachés sur le WAN avec des adresses publiques;
· TCP / UDP redirection de port (PAT) pour créer des serveurs virtuels. Cela signifie que cluster de serveurs réelle sera vu avec une seule adresse IP (l'adresse IP du serveur virtuel) et chaque demande sera distribué avec le Round Robin algorithme pour les serveurs réels;
· Serveur DNS multizone avec gestion automatique de la in-addr.arpa résolution inverse;
· Serveur DHCP sous-réseau multi avec la possibilité de fixer IP en fonction de l'adresse MAC du client;
· Client PPPoE pour la connexion au WAN via ADSL, câble et DSL lignes (nécessite un modem adapté);
· Client Dynamic DNS utilisé pour atteindre facilement l'hôte sur WAN, même lorsque l'IP est dynamique;
· NTP (Network Time Protocol) du client et le serveur pour garder les horloges synchronisées d'accueil;
· Serveur Syslog pour recevoir et cataloguer les journaux système produites par les hôtes distants, y compris les systèmes Unix, routeurs, commutateurs, points d'accès WI-FI, imprimantes réseau et d'autres compatibles avec le protocole syslog;
· L'authentification Kerberos 5 KDC en utilisant une approche intégrée et transfrontalière-authentification entre domaines;
· LDAP, NIS et l'autorisation RADIUS;
· Autorité de certification X509 pour l'émission et la gestion de certificats électroniques;
· Unix et Windows Active Directory interopérabilité en utilisant LDAP et Kerberos 5 authentification de domaine croix.
· Les fonctionnalités suivantes seront disponibles dans un proche avenir et inclus dans la version 1.0.0:
Web serveur proxy d'avoir un cache Web centralisée qui est capable de bloquer les pages Web contenant des virus. Cette fonctionnalité est implémentée en utilisant l'antivirus ClamAV et Squid serveur proxy. Le serveur proxy peut être configuré pour fonctionner en mode proxy transparent, dans lequel, vous ne avez pas besoin de configurer les navigateurs de l'utiliser, mais les requêtes http sera automatiquement redirigé vers le proxy.
Arpwatch moniteur pour la surveillance des événements ARP sur le réseau local, comme la duplication des adresses IP, des tongs et autres défauts;
Host-to-LAN VPN avec le protocole PPTP (Point to Point Tunneling Protocol), MPPE (Microsoft Point à Point Encryption) et le tunnel GRE;
Les fonctions suivantes seront disponibles dans les prochaines versions plus récentes que 1.0.0:
mode HostAP pour les cartes réseau sans fil utilisant Intersil Prism2 / 2,5 / 3 chipsets. En d'autres termes, une boîte Zeroshell avec une de ces cartes WiFi pourrait devenir un IEEE 802.11b / g Point d'accès fournissant une authentification fiable et dynamique l'échange de clés WEP par des protocoles 802.1X et WPA. Bien sûr, l'authentification se effectue via EAP-TLS et PEAP sur le serveur RADIUS intégré;
Serveur IMAP v4 pour gérer les boîtes aux lettres avec l'authentification fournie par le serveur Kerberos intégré 5;
serveur SMTP pour recevoir, envoyer et mails de route en fonction de routage SMTP carte stockée sur le serveur LDAP intégré. Les mails entrants et sortantes sont du spam et de virus contrôlés par l'antispam et antivirus mis à jour automatique des filtres à partir d'Internet. En outre, le client DNS dynamique soutenue, qui met à jour automatiquement enregistrement DNS MX, permet d'avoir un serveur de courrier pour un domaine aussi si l'adresse IP WAN ne est pas affectée statiquement.
L'authentification par carte à puce utilisant le protocole Kerberos PKINIT qui combine cinq diplômes et les certificats X.509. Malheureusement, contrairement aux autres caractéristiques, il ne est pas possible de soutenir l'authentification par carte à puce en peu de temps, car MIT Kerberos v5 ne implémente pas le protocole PKINIT.
Zeroshell est une distribution Live CD, ce qui signifie qu'il ne est pas nécessaire de l'installer sur le disque dur car il peut fonctionner directement à partir du CD-ROM sur lequel il est distribué. De toute évidence, la base de données, contenant toutes les données et paramètres, peut être stocké sur ATA, SATA, SCSI et les disques USB. Les corrections de bugs de sécurité peuvent être téléchargées à partir du système de mise à jour automatique via Internet et installés dans la base de données. Ces correctifs seront automatiquement supprimés de la base de données des versions ultérieures du Zeroshell Live CD contenant déjà les mises à jour.
Il est également disponible une image Compact Flash 512 Mo utile si vous devez démarrer votre boîte de cet appareil à la place du CD-ROM par exemple dans les systèmes embarqués pour les appareils du réseau. L'image Compact Flash a 400 Mo disponibles pour stocker la configuration et les données.
Le nom Zeroshell souligne le fait que, bien que ce est un système Linux (traditionnellement administrable depuis un shell), toutes les opérations d'administration peuvent être effectuées via l'interface Web: en effet, après avoir attribué une adresse IP via un VGA ou terminal série, il suffit de connecter à l'adresse affectée au moyen d'un navigateur à configurer tout. Zeroshell été testé avec succès pour fonctionner avec Firefox 1.0.6+, Internet Explorer 6+, Netscape 7.2+ e Mozilla 1.7.3+.
Bâtiment Zeroshell
Zeroshell ne est pas basée sur une distribution déjà existant comme par exemple Knoppix est basée sur Debian. L'auteur a compilé l'ensemble de logiciels dont la distribution est composé à partir du code source dans les paquets de tar.gz ou tar.bz2. Le gcc de compilateur et les glibcs ​​GNU ont été compilées trop et ont eu la phase dite de bootstrap dans lequel ils se sont recompilés plusieurs fois. Cela a été nécessaire pour optimiser le compilateur et d'éliminer tous les dépendance des glibcs ​​du système à partir de laquelle la première compilation a eu lieu. Certains des scripts d'initialisation, ainsi que les lignes directrices suivies par l'auteur sont ceux de Linux From Scratch.
Liste des composants Open Source
· Linux pour Linux Kernel;
· Apache httpd pour l'administration interface web krb5 MIT Kerberos 5 serveur d'authentification;
· OpenLDAP pour le serveur LDAP;
· Ypserv pour NIS Server (YP);
· Openssl pour SSL TLS Tunnel / CA et de la gestion;
· Freeradius pour le serveur RADIUS + EAP-TLS et PEAP (802.1x);
· Pare-feu iptables pour Packet Filter et Stateful Packet Inspection (SPI), NAT et redirection de port (PAT);
· OpenVPN pour Ethernet VPN LAN-to-LAN avec prise en charge VLAN 802.1Q;
· Bind pour serveur DNS;
· Stig Venaas'LDAP SD à utiliser backend LDAP pour bind DNS à l'aide dnsZone schéma DHCP pour le serveur DHCP;
· IPP2P module iptables pour la classification peer-to-peer de partage de fichiers;
· Rp-pppoe pour Client PPPoE pour la connexion ADSL;
· Vconfig VLAN 802.1Q de Tagged;
· Bridge-utils pour Combler 802.1d avec STP;
· Ppp pour les connexions point à point IP utilisées pour le PPPoE et le protocole PPTP;
· Quagga pour la version de protocole RIP 2 utilisé pour la gestion de routage dynamique;
· NTP pour le client et le serveur NTP pour la synchronisation d'horloge du système;
· Sysklogd pour le serveur Syslog pour l'acquisition et le catalogage des journaux locaux et distants via le protocole syslog;
· Arpwatch pour la surveillance des événements tels que ARP duplication d'adresses IP, des tongs et autres défauts;
· Libpcap pour les bibliothèques de capture de paquets utilisés par arpwatch;
· Lzo pour la compression en temps réel dans le LAN-to-LAN VPN;
· Wget pour garantir la mise à jour automatique avec les patchs trouvés sur http://www.zeroshell.net/updates;
· Pciutils pour la reconnaissance de la marque et le modèle des cartes Ethernet sur bus PCI;
· Ethtool pour la reconnaissance de l'état de la liaison physique sur des connexions Ethernet;
· E2fsprogs pour la gestion des systèmes de fichiers ext2 et ext3;
· Reiserfsprogs pour la gestion des systèmes de fichiers ReiserFS de;
· Dosfstools pour la gestion des systèmes de fichiers FAT et FAT32 (DOS et Windows);
· Séparé pour la gestion de partition. En particulier partprobe permet de visualiser de nouvelles partitions sans redémarrer;
· Udev pour la gestion automatique de devfs pour hotplugs de disques USB;
· Sudo pour augmenter la sécurité en exécutant Apache comme un processus non privilégié et l'augmentation de privilèges seulement si strictement nécessaire;
· Linux-PAM pour PAM (Pluggable Authentication Modules).