2.1. Installation du Serveur WAPT sur Debian et Ubuntu¶

2.1.1. Configuration du serveur¶

Permet l’installation fraîche sur une Debian Linux 10 Buster / 11 Bullseye / 12 Bookworm ou Ubuntu Focal LTS (physique ou virtuel).

Avertissement

Installez la version 64bit.
Installez le Serveur sans interface graphique.
Systemd doit être activé

Attention

La procédure de mise à jour est différente de l’installation. Pour une mise à jour, rendez-vous sur la documentation pour mettre à jour le Serveur WAPT.

2.1.1.1. Configuration des paramètres réseau¶

Les différents paramètres présentés ci-dessous ne sont pas spécifiques à WAPT, vous pouvez les adapter en fonction de votre environnement.

Modifiez les fichiers suivants afin d’obtenir une stratégie de nommage (FQDN) et d’adressage réseau appropriée.

Dans l’exemple suivant :

le nom FQDN est srvwapt.mydomain.lan ;
le nom court du Serveur WAPT est srvwapt ;
le suffixe DNS est mydomain.lan ;
l’adresse IP est 10.0.0.10/24 ;

2.1.1.2. Configuration du nom du Serveur WAPT¶

Indication

Le nom court du Serveur WAPT ne DOIT pas être supérieur à 15 caractères (la limite est due à la restriction du sAMAccountName dans Active Directory).

Le nom du Serveur WAPT DOIT être un FQDN, c’est-à-dire qu’il comporte à la fois le nom du serveur et le suffixe DNS.

Modifier le fichier /etc/hostname et écrire le nom FQDN du Serveur WAPT.

# /etc/hostname of the WAPT Server
srvwapt.mydomain.lan

Configurez le fichier /etc/hosts, assurez-vous de mettre à la fois le FQDN et le nom court du Serveur WAPT.

# /etc/hosts of the WAPT Server
127.0.0.1   localhost localhost.localdomain localhost4 localhost4.localdomain4
::1         localhost localhost.localdomain localhost6 localhost6.localdomain6
10.0.0.10   srvwapt.mydomain.lan srvwapt

Indication

Sur la ligne définissant l’adresse IP du serveur DNS, veillez à avoir l’IP du Serveur WAPT (et non pas 127.0.0.1), puis le FQDN, puis le nom court.
Ne changez pas la ligne avec localhost.

2.1.1.3. Configuration de l’adresse IP du Serveur WAPT¶

Configurez l’adresse IP du Serveur WAPT dans le /etc/network/interfaces.

# /etc/network/interfaces of the WAPT Server
auto eth0
iface eth0 inet static
  address 10.0.0.10
  netmask 255.255.255.0
  gateway 10.0.0.254

Appliquez la configuration réseau en redémarrant l’hôte avec un reboot.

reboot

Si cela n’a pas déjà été fait, créez l’entrée DNS pour le Serveur WAPT dans l’Active Directory ou le serveur DNS de l”Organisation.
Après le redémarrage, configurez la langue du système en anglais afin d’avoir des journaux non localisés pour faciliter la recherche des erreurs courantes.

apt install locales-all -y
localectl set-locale LANG=en_US.UTF-8
localectl status

Vérifier si la machine est correctement synchronisée avec le serveur NTP. Si elle n’est pas synchronisée, se référer à la documentation du système d’exploitation pour configurer timedatectl.

timedatectl status

Mettre à jour et à niveau le système d’exploitation et s’assurer que le paquet d’Autorités de Certification par défaut de Debian est installé.

apt update && apt upgrade
apt install ca-certificates -y

Redémarrez le Serveur WAPT.

reboot

Le serveur est maintenant prêt.

L’installation de la partie Serveur de WAPT se décompose en plusieurs étapes :

Configuration des dépôts.
Installation de paquets Linux supplémentaires.
Installation et provisionnement de la base de données PostgreSQL.
Post-configuration du Serveur WAPT.

Note

Les paquets du Serveur WAPT et le dépôt sont signés par Tranquil IT et il est nécessaire d’obtenir la clé publique gpg ci-dessous afin d’éviter les messages d’avertissement pendant l’installation.

2.1.2. Installer les paquets du Serveur WAPT¶

Mettre à jour la source APT, récupérer la clé .gpg de Tranquil IT, puis ajouter le dépôt de Tranquil IT.

apt install apt-transport-https lsb-release gnupg wget -y
wget -qO- https://wapt.tranquil.it/$(lsb_release -is)/tiswapt-pub.gpg | tee /usr/share/keyrings/tiswapt-pub.gpg > /dev/null
echo "deb [signed-by=/usr/share/keyrings/tiswapt-pub.gpg] https://wapt.tranquil.it/$(lsb_release -is)/wapt-2.6/ $(lsb_release -c -s) main" > /etc/apt/sources.list.d/wapt.list

Installer les paquets du Serveur WAPT.

export DEBIAN_FRONTEND=noninteractive
apt update
apt install tis-waptserver tis-waptsetup -y
unset DEBIAN_FRONTEND

2.1.3. Mode de configuration standard¶

Note

Pour le mode sécurisé CSPN, veuillez visiter cette documentation.

Attention

Pour que la post-configuration fonctionne correctement :

Le nom d’hôte du Serveur WAPT DOIT être correctement configuré. Pour le vérifier, utilisez la commande echo $(hostname) qui DOIT renvoyer l’adresse DNS qui sera utilisée par les Agents WAPT sur les ordinateurs clients.

Le résolveur DNS DOIT être correctement configuré.

Le Serveur WAPT DOIT pouvoir contacter un contrôleur de domaine en mode écriture pour l’enregistrement en mode Kerberos.

Le script de post-configuration réécrit la configuration de nginx. Un fichier de sauvegarde est créé lors de l’exécution de postconf dans le même répertoire.

Ce script de post-configuration DOIT être exécuté en tant que root.

Exécutez le script.

/opt/wapt/waptserver/scripts/postconf.sh

Cliquez sur Oui pour exécuter le script de post-configuration.

Do you want to launch post configuration tool?

            < yes >          < no >

Choisissez un mot de passe (si ce n’est pas déjà défini) pour le compte SuperAdmin du Serveur WAPT (longueur minimale de 10 caractères).

Please enter the wapt server password (min. 10 characters)

*****************

                < OK >          < Cancel >

Confirmez le mot de passe.

Please enter the server password again:

*****************

                < OK >          < Cancel >

Choisissez le mode d’authentification pour l’enregistrement initial des Agents WAPT :
- Le choix n°1 permet d’enregistrer les ordinateurs sans authentification. Le Serveur WAPT enregistre tous les ordinateurs qui demandent à être enregistrés.
- Le choix n°2 active l’enregistrement initial basé sur Kerberos (vous pourrez l’activer aussi plus tard).
- Le choix n°3 n’active pas le mécanisme d’authentification kerberos pour l’enregistrement initial des hôtes équipés de WAPT. Le Serveur WAPT exigera un login et un mot de passe pour chaque hôte s’enregistrant auprès de lui.

WaptAgent Authentication type?

--------------------------------------------------------------------------
(x) 1 Allow unauthenticated registration
( ) 2 Enable kerberos authentication required for machines registration.
        Registration will ask for password if kerberos not available
( ) 3 Disable kerberos but registration require strong authentication
--------------------------------------------------------------------------
                                        < OK >          < Cancel >

Ajouté dans la version 2.5: Si vous passez de WAPT 2.X à 2.5, vérifiez la configuration actuelle des Agents WAPT et plus particulièrement l’option verify_cert. Si, dans votre configuration actuelle, l’option verify_cert est réglée sur True ou sur un chemin d’accès au fichier (certificate pinning), choisissez l’option 1 ci-dessous. Si dans votre configuration actuelle verify_cert est défini à False, alors choisissez l’option #2 ci-dessous.

Choisissez comment le Serveur WAPT vérifiera les Agents WAPT.
- Choix n°1 : pour des raisons de simplicité et de sécurité, nous vous recommandons d’activer cette méthode d’authentification. Sans certificat, il n’est pas possible de télécharger les paquets WAPT et d’interroger certains points d’accès du Serveur WAPT. Cette méthode est recommandée si vous installez WAPT pour la première fois.
- Choix n°2 : si vous rencontrez des problèmes lors de la mise à jour OU si vous utilisez un reverse proxy, cette méthode est recommandée pour le temps de la mise à jour.

WaptAgent client certificate checking

----------------------------------------------------------------------------
(x) 1 Authenticate Agents using https client certificate (recommended)
( ) 2 Don't check https client certificate (legacy)
----------------------------------------------------------------------------
                                        < OK >          < Cancel >

Si vous souhaitez utiliser WAPT pour le déploiement de systèmes d’exploitation, sélectionnez Oui.
- Si vous avez choisi Yes pour activer le déploiement d’OS, la post-configuration vous demandera si vous souhaitez utiliser une authentification sécurisée pour déployer les images d’OS. Il vous demandera un utilisateur / mot de passe lorsque vous allez déployer des images d’OS en utilisant WADS.
- Si vous avez choisi No, Nginx n’activera pas les points d’extrémité de l’API WADS pour les Agents WAPT.

Do you want to activate os deployment?

        < Yes >        < No >

Would you like to activate secure authentication on wads?

        < Yes >        < No >

Toujours en ce qui concerne la fonction WADS, si vous avez répondu Yes aux 2 dernières questions, vous aurez une dernière question :

Would you like to mention subnet ip exempt from wads authentication

        < Yes >        < No >

Si vous répondez Yes à cette question, vous devrez donner un sous-réseau IP en format liste : 192.168.0.0/24,192.168.1.0/24.

Choisissez si vous voulez utiliser WAPT WUA pour Windows Update.

Do you want to activate WUA?

        < Yes >        < No >

Si vous choisissez Yes, Nginx activera les points de terminaison de l’API WUA pour les Agents WAPT.

Sélectionnez Oui pour configurer Nginx.

Do you want to configure nginx?

        < Yes >        < No >

Indiquez le FQDN du Serveur WAPT.

FQDN for the WAPT Server (eg. wapt.example.com)

---------------------------------------------
wapt.mydomain.lan
---------------------------------------------

            < OK >          < Cancel >

Sélectionner OK et un certificat auto-signé sera généré, cette étape peut prendre un certain temps.

Generating DH parameters, 2048 bit long safe prime, generator 2 This is going to take a long time
.......................................+...............................+...

Nginx est maintenant configuré, sélectionnez OK pour redémarrer Nginx :

The Nginx config is done.
We need to restart Nginx?

              < OK >

Sélectionnez OK pour démarrer le Serveur WAPT.

Press OK to start waptserver and wapttasks daemons

             < OK >

Le post-configuration est maintenant terminé.

Postconfiguration completed.
Please connect to https://wapt.mydomain.lan/ to access the WAPT Server.

                                  < OK >

Ajouté dans la version 2.5: L’accès à l’interface web de WAPT est désormais protégé par un mot de passe.

Enfin, le postconf affiche quelques informations sur le certificat SSL du Serveur WAPT et l’URL pour télécharger WaptSetup et l’installer sur l’ordinateur de l’Administrateur WAPT.

Liste des options du script de post-configuration¶
Options	Description
`-c` or `--config`	Spécifie le chemin du fichier de configuration (par défaut : `/opt/wapt/conf/waptserver.ini`).
`-s` or `--force-https`	Configure Nginx pour que le port 80 soit redirigé en permanence vers 443
`-q` or `--quiet`	Exécute la post-configuration en mode silencieux.
`-n` or `--nginx`	Exécute la configuration de nginx si la post-configuration est en mode silencieux.
`--dhparam-key-size=NUMBER`	Définit la taille de la clé dhparam (par défaut : 2048).
`-p` or `--admin-password`	Définit le mot de passe de l’administrateur du Serveur WAPT si la post-configuration est effectuée en mode silencieux.
`--server-names=SERVER_NAMES`	Définit le nom et l’adresse IP du Serveur WAPT pour les CN et SubjectAltNames des certificats. Le séparateur est une virgule (par défaut : fqdn et adresse IP).
`--cspn-toe`	Defines settings for CSPN TOE mode (default: False). This enable more strict security default values, and disable all the features that are not included in the TOE of the CSPN certification

2.1.4. CSPN mode post-configuration¶

Avertissement

CSPN (First Level Security Certification by ANSSI) mode does not include WAPTWUA, WADS, Secondary Repos or Peercache. These features are not part of the Target Of Evaluation (TOE).

Attention

Pour que la post-configuration fonctionne correctement :

Le nom d’hôte du Serveur WAPT DOIT être correctement configuré. Pour le vérifier, utilisez la commande echo $(hostname) qui DOIT renvoyer l’adresse DNS qui sera utilisée par les Agents WAPT sur les ordinateurs clients.

Le résolveur DNS DOIT être correctement configuré.

Le Serveur WAPT DOIT pouvoir contacter un contrôleur de domaine en mode écriture.

Le script de post-configuration réécrit la configuration de nginx. Un fichier de sauvegarde est créé lors de l’exécution de postconf dans le même répertoire.

Ce script de post-configuration DOIT être exécuté en tant que root.

In CSPN mode, the WAPT Server installation activates more security features and is less tolerant with misconfigurations.

Dans ce mode :

Administrator password length is 20 characters and password complexity is enforced.

Administrator and user certificate password length is 20 characters and password complexity is enforced.

L’enregistrement et l’authentification Kerberos sont obligatoires.

L’authentification par certificat client est obligatoire.

La vérification du certificat SSL est obligatoire.

Divers paramètres de rétrocompatibilité sont désactivés.

Functionalities excluded from the CSPN TOE (namely secondary repositories, peercache, WADS and WAPT WUA) are disabled.

La connexion de la Console WAPT avec le serveur est limitée aux méthodes kerb et admin (le mode admin peut être désactivé après la configuration initiale).

La durée de vie maximale des cookies de session est de 12 heures.

Default lifetime for certificates signed by WAPT is 3 years.

Exécutez le script avec l’option --cspn-toe.

/opt/wapt/waptserver/scripts/postconf.sh --cspn-toe

Cliquez sur Oui pour exécuter le script de post-configuration.

do you want to launch post configuration tool?

            < yes >          < no >

Choose a password (if not defined) for the SuperAdmin account of the WAPT Server. The minimum length is 20 characters with at least 1 upper case characters, 1 lower case characters and 1 punctuation mark.

Please enter the wapt server password (min. 20 characters, punctuation, upper and lower case):

*****************

                < OK >          < Cancel >

Confirmez le mot de passe.

Please enter the server password again:

*****************

                < OK >          < Cancel >

Sélectionnez Oui pour configurer Nginx.

Do you want to configure nginx?

        < Yes >        < No >

Indiquez le FQDN du Serveur WAPT.

FQDN for the WAPT Server (eg. wapt.example.com)

---------------------------------------------
wapt.mydomain.lan
---------------------------------------------

            < OK >          < Cancel >

Entrez le nom du royaume Kerberos.

Enter Kerberos REALM

-------------------------------------------
MYDOMAIN.LAN
-------------------------------------------

            < OK >          < Cancel >

Saisir un nom de contrôleur de domaine valide.

Enter a Domain Controller name in write mode

-------------------------------------------
dc1
-------------------------------------------

            < OK >          < Cancel >

Saisir un nom d’utilisateur disposant de droits d’écriture sur l’Active Directory.

Enter a username with administrator privileges

-------------------------------------------
administrator
-------------------------------------------

            < OK >          < Cancel >

Saisir le mot de passe de l’utilisateur.

Enter administrator password

-------------------------------------------
*****************************
-------------------------------------------

            < OK >          < Cancel >

Si les informations d’identification sont correctes, le keytab est généré dans /etc/nginx/http-krb5.keytab. Les ACL corrects y sont définis. Sinon, vous devez lire la documentation.
Redémarrer Nginx.

The Nginx config is done.
We need to restart Nginx?

              < OK >

La dernière étape consiste à démarrer waptserver et wapttasks.

Press OK to start
waptserver and wapttasks
daemons

              < OK >

Le post-configuration est maintenant terminé.

Postconfiguration completed.

                                  < OK >

But in CSPN TOE mode, TOTP is required on admin account.

Use your second device (smartphone,YubiKey, etc.) and get the code who will appear in the picture. Put the code in the dedicated field.

Note

If you are having problems with your kerberos system. Check the owner and the right on, the keytab file ( http-krb5.keytab ).

chown root:nginx /etc/nginx/http-krb5.keytab
chmod 640 /etc/nginx/http-krb5.keytab

Liste des options du script de post-configuration¶
Options	Description
`--force-https` or `-s`	Configure Nginx pour que le port 80 soit redirigé en permanence vers 443.
`--cspn-toe`	Définit les paramètres du mode CSPN TOE (défaut : False).
`--server-names=SERVER_NAMES`	Définit le nom du serveur et l’adresse IP pour les certificats CN et altdnsnames. Le séparateur est une virgule (défaut : None).

Avertissement

In CSPN mode, WADS and WUA will not appear in the WAPT console. However, the Peer Cache and Secondary Repositories features can be enabled, though they should not be activated because it is not assessed in the CSPN target.

Enabling Peer Cache in the WAPT console :

By edit a new agent configuration :

Go to Tools ‣ Edit agent dynamic configurations. Check the option Use Peer Cache.

By use a WAPT configuration package :

Create a package in WAPT Packages → Make package template from setup file → Host agent dynamic configuration. Check the option Use Peer Cache.

Enabling Secondary Repositories in the WAPT console :

For the agent :

By edit a new agent configuration :

Go to Tools ‣ Edit agent dynamic configurations. Check Use repository rules.

By use a WAPT configuration package :

Create a package in WAPT Packages → Make package template from setup file → Host agent dynamic configuration. Check the option Use repository rules.

For Configuring an agent as a secondary repository :

By edit a new agent configuration :

Go to Tools ‣ Edit agent dynamic configurations. Go to the Repo-sync tab and check Synchronize packages and system updates on the agent.

By use a WAPT configuration package :

Create a package in WAPT Packages → Make package template from setup file → Host agent dynamic configuration. Go to the Repo-sync tab and check Synchronize packages and system updates on the agent

Le Serveur WAPT est maintenant prêt. Vous pouvez consulter la documentation sur l’installation de la Console WAPT.