Vous n'êtes pas identifié(e).
L'icône rouge permet de télécharger chaque page du wiki visitée au format
PDF et la grise au format ODT →
Ci-dessous, les différences entre deux révisions de la page.
Prochaine révision | Révision précédente Prochaine révision Les deux révisions suivantes | ||
doc:systeme:ctparental [07/09/2023 12:05] mazkagaz créée |
doc:systeme:ctparental [07/09/2023 13:06] mazkagaz [Accès distant à l'interface] |
||
---|---|---|---|
Ligne 21: | Ligne 21: | ||
Je me suis largement inspiré de ces tutos dont je vais donner les grandes étapes, en insistant sur les points qui ont été bloquant dans mon contexte, et en ajoutant des tips de paramétrage qui m'ont été utiles. | Je me suis largement inspiré de ces tutos dont je vais donner les grandes étapes, en insistant sur les points qui ont été bloquant dans mon contexte, et en ajoutant des tips de paramétrage qui m'ont été utiles. | ||
===== Prérequis ===== | ===== Prérequis ===== | ||
- | Il faut disposer de **deux comptes utilisateur** sur le poste de travail : je les nommerai **enfant** et **parent** dans ce tuto. | + | Il faut disposer de **deux comptes utilisateur** sur le poste de travail : un compte **enfant** sans les droits administrateur et un **parent** avec les droits administrateur. |
- | + | ||
- | Le compte enfant ne doit pas avoir les droits administrateur et les droits administrateur doivent être donnés au compte parent. | + | |
Si le poste de l'enfant est paramétré pour se connecter automatiquement à sa session au démarrage, il faut désactiver cette connexion automatique. | Si le poste de l'enfant est paramétré pour se connecter automatiquement à sa session au démarrage, il faut désactiver cette connexion automatique. | ||
Ligne 96: | Ligne 94: | ||
...Ou pas ! :-) | ...Ou pas ! :-) | ||
- | Si, comme moi, vous aviez ouvert certains ports sur le poste du petit pour des besoins spécifiques (au hasard un accès ssh pour des mises à jour automatique via ansible par exemple). Et bien du coup, non, ça n'est pas opérationnel car CTparental a pris la main sur nftables et votre port ssh, ben il est fermé, et sa configuration passe désormais par CTparental. | + | Si, comme moi, vous aviez une politique d'accès bien définie via nftables, et bien du coup, non, ça n'est pas opérationnel car CTparental a pris la main sur nftables et votre configuration passe désormais par lui. |
- | Alors pas de panique, de toute façon, vous avez un accès physique et un compte admin. | + | On édite le fichier ''/etc/CTparental/nftables.conf'', on ajoute ses règles et on exécute la commande suivante : |
- | + | <code root>CTparental -ipton</code> | |
- | On se connecte sur la session parent du poste contrôlé et on édite le fichier ""/etc/CTparental/nftables.conf"", on ajoute ses règles et c'est bon. | + | |
===== Accès distant à l'interface ===== | ===== Accès distant à l'interface ===== | ||
- | FIXME suite dans le prochain épisode | + | Partons de la situation suivante : vos enfants ont des PC identifiés sur le réseau local par un nom d'hôte et une ip connus. Lorsque vous réalisez un ping depuis n'importe quel poste sur le réseau local vers le nom d'hôte de l'un d'eux, celui-ci fonctionne et tape bien dans l'ip voulue. Vous pouvez faire cela en modifiant les fichiers ''/etc/hosts'' de tous vos postes ou directement sur votre routeur. Ça n'est pas obligatoire mais c'est pratique. |
+ | |||
+ | Éditer le fichier ''/etc/nginx/sites-enabled/ctparental.conf'' et ajouter/modifier les lignes contenant **IP_POSTE_ENFANT** ou **HOSTNAME_POSTE_ENFANT** dans mon exemple ci-dessous : | ||
+ | <code>server { | ||
+ | listen 127.0.0.11:80 ; | ||
+ | listen IP_POSTE_ENFANT:80 ; | ||
+ | listen [fd00::127:11]:80 ; | ||
+ | return 301 https://$host$request_uri; | ||
+ | } | ||
+ | |||
+ | |||
+ | server { | ||
+ | **# server_name admin.ct.local;** | ||
+ | ** server_name HOSTNAME_POSTE_ENFANT;** | ||
+ | # SSL configuration | ||
+ | # | ||
+ | #ssl on; | ||
+ | listen 127.0.0.11:443 ssl ; | ||
+ | listen IP_POSTE_ENFANT:443 ssl ; | ||
+ | listen [fd00::127:11]:443 ssl ; | ||
+ | ssl_certificate /etc/ssl/private/admin.ct.local.pem; | ||
+ | ssl_certificate_key /etc/ssl/private/admin.ct.local.pem; | ||
+ | root /var/www/CTadmin; | ||
+ | index index.html index.php; | ||
+ | |||
+ | location / { | ||
+ | # First attempt to serve request as file, then | ||
+ | # as directory, then fall back to displaying a 404. | ||
+ | try_files $uri $uri/ =404; | ||
+ | } | ||
+ | |||
+ | # pass PHP scripts to FastCGI server | ||
+ | # | ||
+ | location ~ \.php$ { | ||
+ | fastcgi_read_timeout 180; | ||
+ | include snippets/fastcgi-php.conf; | ||
+ | fastcgi_pass unix:/var/run/php/php-fpm.sock; | ||
+ | } | ||
+ | # deny access to .htaccess files, if Apache's document root | ||
+ | # concurs with nginx's one | ||
+ | # | ||
+ | location ~ /\.ht { | ||
+ | deny all; | ||
+ | } | ||
+ | } | ||
+ | |||
+ | server { | ||
+ | server_name duckduckgo.com ; | ||
+ | # SSL configuration | ||
+ | # | ||
+ | # ssl on; | ||
+ | listen 127.0.0.11:443 ssl ; | ||
+ | listen IP_POSTE_ENFANT:443 ssl ; | ||
+ | listen [fd00::127:11]:443 ssl ; | ||
+ | ssl_certificate /etc/ssl/private/duckduckgo.pem; | ||
+ | ssl_certificate_key /etc/ssl/private/duckduckgo.pem; | ||
+ | return 301 https://safe.duckduckgo.com$request_uri; | ||
+ | } | ||
+ | |||
+ | server { | ||
+ | server_name www.qwant.com ; | ||
+ | # SSL configuration | ||
+ | # | ||
+ | # ssl on; | ||
+ | listen 127.0.0.11:443 ssl ; | ||
+ | listen IP_POSTE_ENFANT:443 ssl ; | ||
+ | listen [fd00::127:11]:443 ssl ; | ||
+ | ssl_certificate /etc/ssl/private/qwant.pem; | ||
+ | ssl_certificate_key /etc/ssl/private/qwant.pem; | ||
+ | return 301 https://www.qwantjunior.com$request_uri; | ||
+ | } | ||
+ | |||
+ | |||
+ | </code> | ||
+ | |||
+ | Recharger le service nginx : | ||
+ | <code root>systemctl restart nginx.service</code> | ||
+ | |||
+ | |||
+ | Il ne vous reste plus qu'à rentrer l'adresse https://HOSTNAME_POSTE_ENFANT dans votre navigateur pour gérer sa connexion depuis votre poste de travail. |