Projet

Général

Profil

Tâche #12416

Amon - Scénario #16041: EAD Amon : gérer le décalage de +2h sur les restrictions horaires

Groupe de machine : rectriction horaire, heure UTC prise en compte

Ajouté par Vincent Febvre il y a plus de 8 ans. Mis à jour il y a plus de 7 ans.

Statut:
Fermé
Priorité:
Normal
Assigné à:
Début:
17/07/2015
Echéance:
% réalisé:

100%

Temps estimé:
3.00 h
Temps passé:
Restant à faire (heures):
0.0

Description

Test effectué sur un amon 2.4.1

Lorsqu'on définit des plages horaires d'ouverture pour un groupe de machine en sélectionnant "web selon horaire", les horaires ne sont pas gérées correctement.
L'heure prise en compte est l'heure UTC ce qui fait qu'il y a un décallage de 2 h. Si on veut par exemple que la restriction commence à 18h, il faut indiqué 16h dans les rectrictions horaires des groupes de machine.

L'ajout de l'option --kerneltz dans TIME_RULE du fichier /usr/share/pyshared/amon/ipset/iptables_generator.py permet de corriger ce décalage.

Toutefois le man indique "using --kerneltz is highly discouraged"

Le plus propre serait de calculer l'heure en fonction de l'UTC.
Attention à la gestion du changement d'heure.

Révisions associées

Révision 52d1a419 (diff)
Ajouté par Bruno Boiget il y a plus de 7 ans

Adaptation des plages horaires au format UTC (ipset)

  • vérification du décalage en fonction de la timezone (DST)
  • conversion des horaires et recalcul des nouvelles plages

ref #12416 @4h

Révision 9fd84767 (diff)
Ajouté par Bruno Boiget il y a plus de 7 ans

ajout du paramètre time_zone dans amon.cfg

ref #12416 @10m

Révision 04948b15 (diff)
Ajouté par Bruno Boiget il y a plus de 7 ans

ménage de fonction obsolète

ref #12416

Révision af91c819 (diff)
Ajouté par Lionel Morin il y a plus de 7 ans

Correction mauvais nom de variable (ref #12416 @1h)

Révision f280f53c (diff)
Ajouté par Lionel Morin il y a plus de 7 ans

Correction calcul jour_prev/jour_next (ref #12416 @1h)

Historique

#1 Mis à jour par Fabrice Barconnière il y a presque 8 ans

  • Tracker changé de Anomalie à Tâche
  • Description mis à jour (diff)
  • Temps estimé mis à 3.00 h
  • Tâche parente mis à #16041
  • Restant à faire (heures) mis à 3.0

#3 Mis à jour par Scrum Master il y a plus de 7 ans

  • Statut changé de Nouveau à En cours

#4 Mis à jour par Scrum Master il y a plus de 7 ans

  • Assigné à mis à Bruno Boiget

#5 Mis à jour par Bruno Boiget il y a plus de 7 ans

  • Restant à faire (heures) changé de 3.0 à 2.0

#6 Mis à jour par Bruno Boiget il y a plus de 7 ans

règles activées dans ead : accès au groupe "puet" de 01:00 à 23:00 du lundi au vendredi

  • application sur un horaire d'hiver
    root@amon:~# date 01291600
    vendredi 29 janvier 2016, 16:00:00 (UTC+0100)
    
    root@amon:/usr/share/eole# service bastion restart
     * Réinitialisation du pare-feu                                                                                                                                                                                                               * Activation du mode forteresse sur eth0                                                                                                                                                                                                     * Activation du mode forteresse sur eth1                                                                                                                                                                                                     * Activation du mode forteresse sur eth2                                                                                                                                                                                                     * Activation du mode forteresse sur eth3                                                                                                                                                                                             [ OK ] 
     * Regénération des règles de pare-feu (modèle "4zones")                                                                                                                                                                              [ OK ]
     * Mise en cache des règles de pare-feu                                                                                                                                                                                               [ OK ] 
     * Restauration des règles de pare-feu en cache                                                                                                                                                                                       [ OK ] 
    Réseau Virtuel Privé Non Configuré
    root@amon:/usr/share/eole# iptables-save | grep puet
    -A INPUT -i eth1 -p tcp -m set --match-set puet src,dst -m time --weekdays Sun --datestop 2038-01-19T03:14:07 -j REJECT --reject-with icmp-port-unreachable
    -A INPUT -i eth1 -p tcp -m set --match-set puet src,dst -m time --weekdays Sat --datestop 2038-01-19T03:14:07 -j REJECT --reject-with icmp-port-unreachable
    -A INPUT -i eth1 -p tcp -m set --match-set puet src,dst -m time --timestart 22:00:00 --timestop 23:59:59 --weekdays Fri --datestop 2038-01-19T03:14:07 -j REJECT --reject-with icmp-port-unreachable
    -A INPUT -i eth1 -p tcp -m set --match-set puet src,dst -m time --timestart 22:00:00 --timestop 23:59:59 --weekdays Thu --datestop 2038-01-19T03:14:07 -j REJECT --reject-with icmp-port-unreachable
    -A INPUT -i eth1 -p tcp -m set --match-set puet src,dst -m time --timestart 22:00:00 --timestop 23:59:59 --weekdays Wed --datestop 2038-01-19T03:14:07 -j REJECT --reject-with icmp-port-unreachable
    -A INPUT -i eth1 -p tcp -m set --match-set puet src,dst -m time --timestart 22:00:00 --timestop 23:59:59 --weekdays Tue --datestop 2038-01-19T03:14:07 -j REJECT --reject-with icmp-port-unreachable
    -A INPUT -i eth1 -p tcp -m set --match-set puet src,dst -m time --timestart 22:00:00 --timestop 23:59:59 --weekdays Mon --datestop 2038-01-19T03:14:07 -j REJECT --reject-with icmp-port-unreachable
    -A FORWARD -i eth1 -o eth0 -p tcp -m multiport --dports 80,443,3128,8080 -m set --match-set puet src -m time --weekdays Sun --datestop 2038-01-19T03:14:07 -j REJECT --reject-with icmp-port-unreachable
    -A FORWARD -i eth1 -o eth0 -p tcp -m multiport --dports 80,443,3128,8080 -m set --match-set puet src -m time --weekdays Sat --datestop 2038-01-19T03:14:07 -j REJECT --reject-with icmp-port-unreachable
    -A FORWARD -i eth1 -o eth0 -p tcp -m multiport --dports 80,443,3128,8080 -m set --match-set puet src -m time --timestart 22:00:00 --timestop 23:59:59 --weekdays Fri --datestop 2038-01-19T03:14:07 -j REJECT --reject-with icmp-port-unreachable
    -A FORWARD -i eth1 -o eth0 -p tcp -m multiport --dports 80,443,3128,8080 -m set --match-set puet src -m time --timestart 22:00:00 --timestop 23:59:59 --weekdays Thu --datestop 2038-01-19T03:14:07 -j REJECT --reject-with icmp-port-unreachable
    -A FORWARD -i eth1 -o eth0 -p tcp -m multiport --dports 80,443,3128,8080 -m set --match-set puet src -m time --timestart 22:00:00 --timestop 23:59:59 --weekdays Wed --datestop 2038-01-19T03:14:07 -j REJECT --reject-with icmp-port-unreachable
    -A FORWARD -i eth1 -o eth0 -p tcp -m multiport --dports 80,443,3128,8080 -m set --match-set puet src -m time --timestart 22:00:00 --timestop 23:59:59 --weekdays Tue --datestop 2038-01-19T03:14:07 -j REJECT --reject-with icmp-port-unreachable
    -A FORWARD -i eth1 -o eth0 -p tcp -m multiport --dports 80,443,3128,8080 -m set --match-set puet src -m time --timestart 22:00:00 --timestop 23:59:59 --weekdays Mon --datestop 2038-01-19T03:14:07 -j REJECT --reject-with icmp-port-unreachable
    
  • application sur un horaire d'été
    root@amon:/usr/share/eole# date 06291600
    mercredi 29 juin 2016, 16:00:00 (UTC+0200)
    root@amon:/usr/share/eole# service bastion restart
     * Réinitialisation du pare-feu                                                                                                                                                                                                               * Activation du mode forteresse sur eth0                                                                                                                                                                                                     * Activation du mode forteresse sur eth1                                                                                                                                                                                                     * Activation du mode forteresse sur eth2                                                                                                                                                                                                     * Activation du mode forteresse sur eth3                                                                                                                                                                                             [ OK ] 
     * Regénération des règles de pare-feu (modèle "4zones")                                                                                                                                                                              [ OK ]
     * Mise en cache des règles de pare-feu                                                                                                                                                                                               [ OK ] 
     * Restauration des règles de pare-feu en cache                                                                                                                                                                                       [ OK ] 
    Réseau Virtuel Privé Non Configuré
    root@amon:/usr/share/eole# iptables-save | grep puet
    -A INPUT -i eth1 -p tcp -m set --match-set puet src,dst -m time --timestart 00:00:00 --timestop 23:00:00 --weekdays Sun --datestop 2038-01-19T03:14:07 -j REJECT --reject-with icmp-port-unreachable
    -A INPUT -i eth1 -p tcp -m set --match-set puet src,dst -m time --weekdays Sat --datestop 2038-01-19T03:14:07 -j REJECT --reject-with icmp-port-unreachable
    -A INPUT -i eth1 -p tcp -m set --match-set puet src,dst -m time --timestart 21:00:00 --timestop 23:59:59 --weekdays Fri --datestop 2038-01-19T03:14:07 -j REJECT --reject-with icmp-port-unreachable
    -A INPUT -i eth1 -p tcp -m set --match-set puet src,dst -m time --timestart 21:00:00 --timestop 23:00:00 --weekdays Thu --datestop 2038-01-19T03:14:07 -j REJECT --reject-with icmp-port-unreachable
    -A INPUT -i eth1 -p tcp -m set --match-set puet src,dst -m time --timestart 21:00:00 --timestop 23:00:00 --weekdays Wed --datestop 2038-01-19T03:14:07 -j REJECT --reject-with icmp-port-unreachable
    -A INPUT -i eth1 -p tcp -m set --match-set puet src,dst -m time --timestart 21:00:00 --timestop 23:00:00 --weekdays Tue --datestop 2038-01-19T03:14:07 -j REJECT --reject-with icmp-port-unreachable
    -A INPUT -i eth1 -p tcp -m set --match-set puet src,dst -m time --timestart 21:00:00 --timestop 23:00:00 --weekdays Mon --datestop 2038-01-19T03:14:07 -j REJECT --reject-with icmp-port-unreachable
    -A FORWARD -i eth1 -o eth0 -p tcp -m multiport --dports 80,443,3128,8080 -m set --match-set puet src -m time --timestart 00:00:00 --timestop 23:00:00 --weekdays Sun --datestop 2038-01-19T03:14:07 -j REJECT --reject-with icmp-port-unreachable
    -A FORWARD -i eth1 -o eth0 -p tcp -m multiport --dports 80,443,3128,8080 -m set --match-set puet src -m time --weekdays Sat --datestop 2038-01-19T03:14:07 -j REJECT --reject-with icmp-port-unreachable
    -A FORWARD -i eth1 -o eth0 -p tcp -m multiport --dports 80,443,3128,8080 -m set --match-set puet src -m time --timestart 21:00:00 --timestop 23:59:59 --weekdays Fri --datestop 2038-01-19T03:14:07 -j REJECT --reject-with icmp-port-unreachable
    -A FORWARD -i eth1 -o eth0 -p tcp -m multiport --dports 80,443,3128,8080 -m set --match-set puet src -m time --timestart 21:00:00 --timestop 23:00:00 --weekdays Thu --datestop 2038-01-19T03:14:07 -j REJECT --reject-with icmp-port-unreachable
    -A FORWARD -i eth1 -o eth0 -p tcp -m multiport --dports 80,443,3128,8080 -m set --match-set puet src -m time --timestart 21:00:00 --timestop 23:00:00 --weekdays Wed --datestop 2038-01-19T03:14:07 -j REJECT --reject-with icmp-port-unreachable
    -A FORWARD -i eth1 -o eth0 -p tcp -m multiport --dports 80,443,3128,8080 -m set --match-set puet src -m time --timestart 21:00:00 --timestop 23:00:00 --weekdays Tue --datestop 2038-01-19T03:14:07 -j REJECT --reject-with icmp-port-unreachable
    -A FORWARD -i eth1 -o eth0 -p tcp -m multiport --dports 80,443,3128,8080 -m set --match-set puet src -m time --timestart 21:00:00 --timestop 23:00:00 --weekdays Mon --datestop 2038-01-19T03:14:07 -j REJECT --reject-with icmp-port-unreachable
    

#7 Mis à jour par Bruno Boiget il y a plus de 7 ans

  • % réalisé changé de 0 à 100
  • Restant à faire (heures) changé de 2.0 à 0.5

#8 Mis à jour par Scrum Master il y a plus de 7 ans

  • Statut changé de En cours à Résolu

#9 Mis à jour par Lionel Morin il y a plus de 7 ans

  • Restant à faire (heures) changé de 0.5 à 0.0

#10 Mis à jour par Lionel Morin il y a plus de 7 ans

  • Statut changé de Résolu à Fermé

Formats disponibles : Atom PDF