0 - en to fr-FR translation catalogue (428 entries)

en: Network Services: Postfix, Apache, NFS, Samba, Squid, LDAP, SIP, XMPP, TURN
fr-FR: Services réseau : Postfix, Apache, NFS, Samba, Squid, LDAP, SIP, XMPP, TURN

en: Network services are the programs that users interact with directly in their daily work. They are the tip of the information system iceberg, and this chapter focuses on them; the hidden parts they rely on are the infrastructure we already described. They usually require the encryption technology described in <xref linkend="sect.x509-cert" />.
fr-FR: Les services réseau sont les programmes interagissant directement avec les utilisateurs dans leur travail quotidien. C'est la partie émergée de l'iceberg « système d'information » présentée dans ce chapitre. La partie immergée, l'infrastructure sur laquelle ils s'appuient, reste en arrière-plan. Ils ont généralement besoin de la technique de chiffrement décrite dans <xref linkend="sect.x509-cert" />.

en: Mail Server
fr-FR: Serveur de messagerie électronique

en: The Falcot Corp administrators selected Postfix for the electronic mail server, due to its reliability and its ease of configuration. Indeed, its design enforces that each task is implemented in a process with the minimum set of required permissions, which is a great mitigation measure against security problems.
fr-FR: Les administrateurs de Falcot SA ont retenu Postfix comme serveur de courrier électronique en raison de sa simplicité de configuration et de sa fiabilité. En effet, sa conception réduit au maximum les droits de chacune de ses sous-tâches, ce qui limite l'impact de toute faille de sécurité.

en: <primary>email</primary><secondary>server</secondary>
fr-FR: <primary>email</primary><secondary>serveur</secondary>

en: <primary>server</primary><secondary>email</secondary>
fr-FR: <primary>serveur</primary><secondary>de messagerie</secondary>

en: <primary>server</primary><secondary>SMTP</secondary>
fr-FR: <primary>serveur</primary><secondary>SMTP</secondary>

en: <primary>mail server</primary>
fr-FR: <primary>serveur email</primary>

en: <emphasis>ALTERNATIVE</emphasis> The Exim4 server
fr-FR: <emphasis>ALTERNATIVE</emphasis> Le serveur Exim4

en: Debian uses Exim4 as the default email server (which is why the initial installation includes Exim4). The configuration is provided by a separate package, <emphasis role="pkg">exim4-config</emphasis>, and automatically customized based on the answers to a set of Debconf questions very similar to the questions asked by the <emphasis role="pkg">postfix</emphasis> package.
fr-FR: Debian emploie Exim4 comme serveur de messagerie par défaut (il est donc automatiquement installé pendant l'installation initiale). La configuration, fournie par le paquet <emphasis role="pkg">exim4-config</emphasis>, est automatiquement personnalisée grâce à un certain nombre de questions debconf très similaires à celles posées par <emphasis role="pkg">postfix</emphasis>.

en: The configuration can be either in one single file (<filename>/etc/exim4/exim4.conf.template</filename>) or split across a number of configuration snippets stored under <filename>/etc/exim4/conf.d/</filename>. In both cases, the files are used by <command>update-exim4.conf</command> as templates to generate <filename>/var/lib/exim4/config.autogenerated</filename>. The latter is the file used by Exim4. Thanks to this mechanism, values obtained through Exim's debconf configuration — which are stored in <filename>/etc/exim4/update-exim4.conf.conf</filename> — can be injected in Exim's configuration file, even when the administrator or another package has altered the default Exim configuration.
fr-FR: La configuration est, au choix, soit dans un seul gros fichier (<filename>/etc/exim4/exim4.conf.template</filename>), soit dans un certain nombre de fragments de fichiers répartis dans <filename>/etc/exim4/conf.d/</filename>. Dans les deux cas, les fichiers sont exploités par la commande <command>update-exim4.conf</command> comme modèles pour générer <filename>/var/lib/exim4/config.autogenerated</filename>, qui est le fichier utilisé par Exim4. Grâce à ce mécanisme, les valeurs obtenues par la configuration debconf de Exim (stockées dans <filename>/etc/exim4/update-exim4.conf.conf</filename>) peuvent être injectées dans le fichier de configuration d'Exim, et cela même si l'administrateur ou un autre paquet ont modifié la configuration Exim par défaut.

en: The Exim4 configuration file syntax has its peculiarities and its learning curve; however, once these peculiarities are understood, Exim4 is a very complete and powerful email server, as evidenced by the tens of pages of documentation. <ulink type="block" url="https://www.exim.org/docs.html" />
fr-FR: La syntaxe de configuration d'Exim4 est assez particulière et il faut un certain temps pour s'y accoutumer. Toutefois, une fois que ces particularités sont maîtrisées, il s'agit d'un serveur de messagerie très complet et très puissant. Il suffit de parcourir les dizaines de pages de documentation pour s'en rendre compte. <ulink type="block" url="https://www.exim.org/docs.html" />

en: Installing Postfix
fr-FR: Installation de Postfix

en: The <emphasis role="pkg">postfix</emphasis> package includes the main <acronym>SMTP</acronym> daemon. Other packages (such as <emphasis role="pkg">postfix-ldap</emphasis> and <emphasis role="pkg">postfix-pgsql</emphasis>) add extra functionality to Postfix, including access to mapping databases. You should only install them if you know that you need them.
fr-FR: Le paquet Debian <emphasis role="pkg">postfix</emphasis> contient le démon <acronym>SMTP</acronym> principal. Divers modules (comme <emphasis role="pkg">postfix-ldap</emphasis> ou <emphasis role="pkg">postfix-pgsql</emphasis>) offrent des fonctionnalités supplémentaires à Postfix (notamment en termes d'accès à des bases de données de correspondances). Ne les installez que si vous en avez déjà perçu le besoin.

en: <emphasis>BACK TO BASICS</emphasis> SMTP
fr-FR: <emphasis>B.A.-BA</emphasis> SMTP

en: <acronym>SMTP</acronym> (<emphasis>Simple Mail Transfer Protocol</emphasis>, RFC 5321) is the protocol used by mail servers to exchange and route emails.
fr-FR: <acronym>SMTP</acronym> (<emphasis>Simple Mail Transfer Protocol</emphasis>, RFC 5321) est le protocole employé par les serveurs de messagerie pour s'échanger et router les courriers électroniques.

en: Several Debconf questions are asked during the installation of the package. The answers allow generating a first version of the <filename>/etc/postfix/main.cf</filename> configuration file.
fr-FR: Au cours de l'installation du paquet, plusieurs questions sont posées par l'intermédiaire de <command>debconf</command>. Les réponses permettront de générer un premier fichier <filename>/etc/postfix/main.cf</filename>.

en: The first question deals with the type of setup. Only two of the proposed answers are relevant in case of an Internet-connected server, “Internet site” and “Internet with smarthost”. The former is appropriate for a server that receives incoming email and sends outgoing email directly to its recipients, and is therefore well-adapted to the Falcot Corp case. The latter is appropriate for a server receiving incoming email normally, but that sends outgoing email through an intermediate SMTP server — the “smarthost” — rather than directly to the recipient's server. This is mostly useful for individuals with a dynamic IP address, since many email servers reject messages coming straight from such an IP address. In this case, the smarthost will usually be the ISP's SMTP server, which is always configured to accept email coming from the ISP's customers and forward it appropriately. This setup (with a smarthost) is also relevant for servers that are not permanently connected to the internet, since it avoids having to manage a queue of undeliverable messages that need to be retried later.
fr-FR: La première question porte sur le type d'installation. Parmi les choix proposés, seuls deux sont pertinents dans le cadre d'un serveur connecté à Internet. Il s'agit de <guimenuitem>Site Internet</guimenuitem> et de <guimenuitem>Site Internet utilisant un smarthost</guimenuitem>. Le premier choix est adapté à un serveur qui reçoit et envoie le courrier directement à ses destinataires, mode retenu par les administrateurs de Falcot. Le second correspond à un serveur qui reçoit directement le courrier mais en envoie par le biais d'un serveur SMTP intermédiaire — désigné par le terme <foreignphrase>smarthost</foreignphrase> — plutôt que directement au serveur du destinataire. C'est surtout utile pour les particuliers disposant d'une adresse IP dynamique, parce que certains serveurs de messagerie refusent tout message provenant directement d'une telle adresse IP. Le <foreignphrase>smarthost</foreignphrase> sera ici le serveur SMTP du fournisseur d'accès à Internet (FAI), qui est toujours configuré pour transmettre le courrier provenant de ses clients. Cette solution est également intéressante pour toute machine qui n'est pas connectée en permanence, car cela lui évite de devoir gérer une file d'attente des messages non délivrables qu'il faudra réessayer d'expédier plus tard.

en: <emphasis>VOCABULARY</emphasis> ISP
fr-FR: <emphasis>VOCABULAIRE</emphasis> FAI

en: The second question deals with the full name of the machine, used to generate email addresses from a local user name; the full name of the machine ends up as the part after the at-sign (“@”). In the case of Falcot, the answer should be <literal>mail.falcot.com</literal>. This is the only question asked by default, but the configuration it leads to is not complete enough for the needs of Falcot, which is why the administrators run <command>dpkg-reconfigure postfix</command> so as to be able to customize more parameters.
fr-FR: La deuxième question porte sur le nom complet de la machine, employé pour générer une adresse de courrier électronique depuis un nom d'utilisateur local (c'est la partie suivant l'arobase « <literal>@</literal> »). Pour Falcot, la réponse est <literal>mail.falcot.com</literal>. C'est la seule question posée en standard, mais elle ne suffit pas pour avoir une configuration satisfaisante, les administrateurs exécutent donc <command>dpkg-reconfigure postfix</command> afin de pouvoir personnaliser plus de paramètres.

en: One of the extra questions asks for all the domain names related to this machine. The default list includes its full name as well as a few synonyms for <literal>localhost</literal>, but the main <literal>falcot.com</literal> domain needs to be added by hand. More generally, this question should usually be answered with all the domain names for which this machine should serve as an MX server; in other words, all the domain names for which the DNS says that this machine will accept email. This information ends up in the <literal>mydestination</literal> variable of the main Postfix configuration file — <filename>/etc/postfix/main.cf</filename>.
fr-FR: Parmi les questions supplémentaires, l'ordinateur demande de saisir tous les noms de domaines associés à cette machine. La liste proposée inclut le nom complet de la machine et des synonymes de <literal>localhost</literal>, mais pas le domaine principal <literal>falcot.com</literal>, qu'il faut ajouter manuellement. D'une manière générale, il convient habituellement de donner ici tous les noms de domaines pour lesquels cette machine fait office de serveur MX (c'est-à-dire tous ceux pour lesquels le DNS indique qu'elle est apte à accepter du courrier). Ces informations sont ensuite stockées dans la variable <literal>mydestination</literal> du fichier <filename>/etc/postfix/main.cf</filename> (principal fichier de configuration de Postfix).

en: <primary>server</primary><secondary>MX</secondary>
fr-FR: <primary>serveur</primary><secondary>MX</secondary>

en: <primary>MX</primary><secondary>server</secondary>
fr-FR: <primary>MX</primary><secondary>serveur</secondary>

en: Role of the DNS <emphasis>MX</emphasis> record while sending a mail
fr-FR: Rôle de l'enregistrement DNS <emphasis>MX</emphasis> dans un envoi de courrier électronique

en: <emphasis>EXTRA</emphasis> Querying the MX records
fr-FR: <emphasis>COMPLÉMENTS</emphasis> Interrogation des enregistrements MX

en: When the DNS does not have an MX record for a domain, the email server will try sending the messages to the host itself, by using the matching A record (or AAAA in IPv6).
fr-FR: Si le serveur DNS ne publie pas d'enregisrement MX pour un domaine, le serveur de messagerie tentera d'envoyer le courrier à la machine de même nom. Il emploiera donc l'enregistrement de type A correspondant (ou AAAA en IPv6).

en: In some cases, the installation can also ask what networks should be allowed to send email via the machine. In its default configuration, Postfix only accepts emails coming from the machine itself; the local network will usually be added. The Falcot Corp administrators added <literal>192.168.0.0/16</literal> to the default answer. If the question is not asked, the relevant variable in the configuration file is <literal>mynetworks</literal>, as seen in the example below.
fr-FR: Selon les cas, l'installation peut également demander d'indiquer les réseaux habilités à envoyer du courrier par l'intermédiaire de cette machine. Par défaut, Postfix est configuré pour n'accepter que des courriers électroniques issus de la machine elle-même ; il faut généralement ajouter le réseau local. Les administrateurs ont donc ajouté <literal>192.168.0.0/16</literal> à la réponse par défaut. Si la question n'est pas posée, il faut modifier le fichier de configuration et y changer la variable <literal>mynetworks</literal>, comme on le voit sur l'exemple plus loin.

en: <primary>email</primary><secondary>filtering</secondary>
fr-FR: <primary>courrier électronique</primary><secondary>filtrage</secondary>

en: <primary>filtering email</primary>
fr-FR: <primary>filtrage de courrier électronique</primary>

en: After this first step, the administrators got the following configuration file; it will be used as a starting point for adding some extra functionality in the next sections.
fr-FR: Après cette première étape, les administrateurs ont obtenu le fichier de configuration ci-dessous. Il va servir de base pour les sections suivantes, qui le modifieront pour activer certaines fonctionnalités.

en: Initial <filename>/etc/postfix/main.cf</filename> file
fr-FR: Fichier <filename>/etc/postfix/main.cf</filename> initial

en: <emphasis>SECURITY</emphasis> <emphasis>Snake oil</emphasis> SSL certificates
fr-FR: <emphasis>SÉCURITÉ</emphasis> Certificat SSL <foreignphrase>snake oil</foreignphrase>

en: Configuring Virtual Domains
fr-FR: Configuration de domaines virtuels

en: <primary>domain</primary><secondary>virtual</secondary>
fr-FR: <primary>domaine</primary><secondary>virtuel</secondary>

en: <emphasis>CAUTION</emphasis> Virtual domains and canonical domains
fr-FR: <emphasis>ATTENTION</emphasis> Domaines virtuels et domaines canoniques

en: None of the virtual domains must be referenced in the <literal>mydestination</literal> variable; this variable only contains the names of the “canonical” domains directly associated to the machine and its local users.
fr-FR: Aucun des domaines virtuels ne doit être indiqué dans la variable <literal>mydestination</literal>. Celle-ci contient uniquement les noms des domaines « canoniques », directement associés à la machine et à ses utilisateurs locaux.

en: Virtual Alias Domains
fr-FR: Domaine virtuel d'alias

en: <primary>alias</primary><secondary>virtual alias domain</secondary>
fr-FR: <primary>alias</primary><secondary>domaine virtuel d'alias</secondary>

en: A virtual alias domain only contains aliases, i.e. addresses that only forward emails to other addresses.
fr-FR: Un domaine virtuel d'alias ne contient que des alias, c'est-à-dire des adresses électroniques renvoyant le courrier vers d'autres adresses électroniques.

en: Such a domain is enabled by adding its name to the <literal>virtual_alias_domains</literal> variable, and referencing an address mapping file in the <literal>virtual_alias_maps</literal> variable.
fr-FR: Pour activer un tel domaine, il faut préciser son nom dans la variable <literal>virtual_alias_domains</literal> et indiquer le fichier stockant les correspondances d'adresses dans la variable <literal>virtual_alias_maps</literal>.

en: 
    virtual_alias_domains = falcotsbrand.com
    virtual_alias_maps = hash:/etc/postfix/virtual
fr-FR: 
    virtual_alias_domains = marqueafalcot.tm.fr
    virtual_alias_maps = hash:/etc/postfix/virtual

en: The <filename>/etc/postfix/virtual</filename> file describes a mapping with a rather straightforward syntax: each line contains two fields separated by whitespace; the first field is the alias name, the second field is a list of email addresses where it redirects. The special <literal>@domain.com</literal> syntax covers all remaining aliases in a domain.
fr-FR: Le fichier <filename>/etc/postfix/virtual</filename>, décrivant les correspondances, emploie un format relativement simple. Chaque ligne contient deux champs séparés par une série de blancs, dont le premier est le nom de l'alias et le second une liste d'adresses électroniques vers lesquelles il pointe. La syntaxe spéciale <literal>@domaine.fr</literal> englobe tous les alias restants d'un domaine.

en: Virtual Mailbox Domains
fr-FR: Domaine virtuel de boîtes aux lettres

en: <primary>mailbox, virtual domain</primary>
fr-FR: <primary>boîte aux lettres, domaine virtuel</primary>

en: <emphasis>CAUTION</emphasis> Combined virtual domain?
fr-FR: <emphasis>ATTENTION</emphasis> Domaine virtuel mixte ?

en: Postfix does not allow using the same domain in both <literal>virtual_alias_domains</literal> and <literal>virtual_mailbox_domains</literal>. However, every domain of <literal>virtual_mailbox_domains</literal> is implicitly included in <literal>virtual_alias_domains</literal>, which makes it possible to mix aliases and mailboxes within a virtual domain.
fr-FR: Il n'est pas permis d'indiquer le même domaine dans les variables <literal>virtual_alias_domains</literal> et <literal>virtual_mailbox_domains</literal>. En revanche, tout domaine de <literal>virtual_mailbox_domains</literal> est implicitement compris dans <literal>virtual_alias_domains</literal>. Il est donc possible de mélanger alias et boîtes aux lettres au sein d'un domaine virtuel.

en: Messages addressed to a virtual mailbox domain are stored in mailboxes not assigned to a local system user.
fr-FR: Les courriers destinés à un domaine virtuel de boîtes aux lettres sont stockés dans des boîtes aux lettres qui ne sont pas associées à un utilisateur local du système.

en: Enabling a virtual mailbox domain requires naming this domain in the <literal>virtual_mailbox_domains</literal> variable, and referencing a mailbox mapping file in <literal>virtual_mailbox_maps</literal>. The <literal>virtual_mailbox_base</literal> parameter contains the directory under which the mailboxes will be stored.
fr-FR: Pour activer un domaine virtuel de boîtes aux lettres, il faut l'écrire dans la variable <literal>virtual_mailbox_domains</literal> et préciser le fichier donnant les boîtes aux lettres avec la variable <literal>virtual_mailbox_maps</literal>. Le paramètre <literal>virtual_mailbox_base</literal> indique le répertoire sous lequel les différentes boîtes aux lettres seront stockées.

en: The <literal>virtual_uid_maps</literal> parameter (respectively <literal>virtual_gid_maps</literal>) references the file containing the mapping between the email address and the system user (respectively group) that “owns” the corresponding mailbox. To get all mailboxes owned by the same owner/group, the <literal>static:5000</literal> syntax assigns a fixed UID/GID (of value 5000 here).
fr-FR: Les paramètres <literal>virtual_uid_maps</literal> et <literal>virtual_gid_maps</literal> définissent des tables de correspondances entre l'adresse électronique, l'utilisateur et le groupe Unix propriétaire de la boîte aux lettres. Pour indiquer systématiquement le même propriétaire, la syntaxe <literal>static:5000</literal> dénote un UID/GID fixe.

en: Again, the syntax of the <filename>/etc/postfix/vmailbox</filename> file is quite straightforward: two fields separated with whitespace. The first field is an email address within one of the virtual domains, and the second field is the location of the associated mailbox (relative to the directory specified in <emphasis>virtual_mailbox_base</emphasis>). If the mailbox name ends with a slash (<literal>/</literal>), the emails will be stored in the <emphasis>maildir</emphasis> format; otherwise, the traditional <emphasis>mbox</emphasis> format will be used. The <emphasis>maildir</emphasis> format uses a whole directory to store a mailbox, each individual message being stored in a separate file. In the <emphasis>mbox</emphasis> format, on the other hand, the whole mailbox is stored in one file, and each line starting with “<literal>From </literal>” (<literal>From</literal> followed by a space) signals the start of a new message.
fr-FR: Le format du fichier <filename>/etc/postfix/vmailbox</filename> est de nouveau très simple : deux champs séparés par des blancs. Le premier indique une adresse électronique de l'un des domaines virtuels et le second l'emplacement relatif de la boîte aux lettres associée (par rapport au répertoire donné par <emphasis>virtual_mailbox_base</emphasis>). Si le nom de la boîte aux lettres se termine par une barre de division (<literal>/</literal>), cette boîte sera stockée au format <emphasis>maildir</emphasis> ; dans le cas contraire, c'est le traditionnel <emphasis>mbox</emphasis> qui sera retenu. Le format <emphasis>maildir</emphasis> emploie un répertoire complet pour représenter la boîte aux lettres et chaque message est stocké dans un fichier. A contrario, une boîte aux lettres au format <emphasis>mbox</emphasis> est stockée dans un seul fichier et chaque ligne débutant par <literal>From </literal> (<literal>From</literal> suivi d'une espace) marque le début d'un nouveau message électronique.

en: 
    # Jean's email is stored as maildir, with
    # one file per email in a dedicated directory
    jean@falcot.org falcot.org/jean/
    # Sophie's email is stored in a traditional "mbox" file,
    # with all mails concatenated into one single file
    sophie@falcot.org falcot.org/sophie
fr-FR: 
    # le courrier de jean est stocké au format maildir 
    # (1 fichier par courrier dans un répertoire privé)
    jean@falcot.org falcot.org/jean/
    # le courrier de sophie est stocké dans un fichier 
    # "mbox" traditionnel (tous les courriers concaténés
    # dans un fichier)
    sophie@falcot.org falcot.org/sophie

en: Restrictions for Receiving and Sending
fr-FR: Restrictions à la réception et à l'envoi

en: The growing number of unsolicited bulk emails (<emphasis>spam</emphasis>) requires being increasingly strict when deciding which emails a server should accept. This section presents some of the strategies included in Postfix.
fr-FR: Avec le nombre croissant de messages non sollicités <foreignphrase>(spams)</foreignphrase>, il est nécessaire d'être de plus en plus strict sur les messages que le serveur accepte. Cette section présente les différentes stratégies intégrées à Postfix.

en: <emphasis>CULTURE</emphasis> The spam problem
fr-FR: <emphasis>CULTURE</emphasis> Le problème du spam

en: All system administrators try to face this nuisance with spam filters, but of course spammers keep adjusting to try to work around these filters. Some even rent networks of machines compromised by a worm from various crime syndicates. Recent statistics estimate that up to 95% of all emails circulating on the Internet are spam!
fr-FR: Face à ces nuisances, tous les administrateurs informatiques essaient de mettre en place des filtres anti-spam, mais les spammeurs cherchent sans arrêt à les contourner. Certains n'hésitent pas à faire appel aux services de réseaux mafieux contrôlant de nombreuses machines compromises par un ver. Les dernières statistiques estiment que 95 % des courriers expédiés sont des spams !

en: IP-Based Access Restrictions
fr-FR: Restreindre l'accès en fonction de l'adresse IP

en: The <literal>smtpd_client_restrictions</literal> directive controls which machines are allowed to communicate with the email server.
fr-FR: La directive <literal>smtpd_client_restrictions</literal> contrôle les machines autorisées à communiquer avec le serveur de courrier électronique.

en: When a variable contains a list of rules, as in the example below, these rules are evaluated in order, from the first to the last. Each rule can accept the message, reject it, or leave the decision to a following rule. As a consequence, order matters, and simply switching two rules can lead to a widely different behavior.
fr-FR: Lorsqu'une variable contient une liste de règles comme dans l'exemple ci-dessous, il faut savoir que celles-ci sont évaluées dans l'ordre, de la première à la dernière. Chaque règle peut accepter le message, le refuser ou le laisser poursuivre son chemin à travers celles qui suivent. L'ordre a donc une importance et l'inversion de deux règles peut mettre en place un comportement très différent.

en: Restrictions Based on Client Address
fr-FR: Restrictions en fonction de l'adresse du client

en: The <literal>permit_mynetworks</literal> directive, used as the first rule, accepts all emails coming from a machine in the local network (as defined by the <literal>mynetworks</literal> configuration variable).
fr-FR: La directive <literal>permit_mynetworks</literal>, placée en tête de la liste des règles, accepte inconditionnellement toute machine du réseau local (tel que défini par la variable <literal>mynetworks</literal> dans la configuration).

en: <emphasis>TIP</emphasis> <emphasis>access</emphasis> tables
fr-FR: <emphasis>ASTUCE</emphasis> Tables <foreignphrase>access</foreignphrase>

en: The <filename>/etc/postfix/access_clientip</filename> table lists IP addresses and networks; <filename>/etc/postfix/access_helo</filename> lists domain names; <filename>/etc/postfix/access_sender</filename> contains sender email addresses. All these files need to be turned into hash-tables (a format optimized for fast access) after each change, with the <command>sudo postmap /etc/postfix/<replaceable>file</replaceable></command> command.
fr-FR: La table <filename>/etc/postfix/access_clientip</filename> donne la liste des adresses IP et réseau. La table <filename>/etc/postfix/access_helo</filename> fournit celle des noms de machines et de domaines. Enfin, la table <filename>/etc/postfix/access_sender</filename> précise les adresses électroniques. Après toute modification, chacun de ces fichiers doit être transformé en table de hachage, c'est-à-dire en une forme optimisée pour les accès rapides, par la commande <command>sudo postmap /etc/postfix/<replaceable>fichier</replaceable></command>.

en: <emphasis>TIP</emphasis> White list and RBLs
fr-FR: <emphasis>ASTUCE</emphasis> Liste blanche et RBL

en: Blacklists sometimes include a legitimate server that has been suffering an incident. In these situations, all emails coming from one of these servers would be rejected unless the server is listed in a whitelist defined by <filename>/etc/postfix/access_clientip</filename>.
fr-FR: Les listes noires recensent parfois un serveur légitime victime d'un incident. Tout courrier issu de ce serveur serait alors refusé à moins que vous ne l'ayez listé dans la liste blanche associée au fichier <filename>/etc/postfix/access_clientip</filename>.

en: Checking the Validity of the <literal>EHLO</literal> or <literal>HELO</literal> Commands
fr-FR: Vérifier la validité de la commande <literal>EHLO</literal> ou <literal>HELO</literal>

en: Restrictions on the name announced in <literal>EHLO</literal>
fr-FR: Restrictions sur le nom annoncé lors du <literal>EHLO</literal>

en: The first <literal>permit_mynetworks</literal> directive allows all machines on the local network to introduce themselves freely. This is important, because some email programs do not respect this part of the SMTP protocol adequately enough, and they can introduce themselves with nonsensical names.
fr-FR: La première directive <literal>permit_mynetworks</literal> autorise toutes les machines du réseau local à s'annoncer librement. C'est important car certains logiciels de courrier électronique respectent mal cette partie du protocole SMTP et peuvent donc annoncer des noms fantaisistes.

en: Using <literal>permit_mynetworks</literal> as the first rule has an interesting side effect: the following rules only apply to hosts outside the local network. This allows blacklisting all hosts that announce themselves as part of the <literal>falcot.com</literal> network, for instance by adding a <literal>falcot.com REJECT You are not in our network!</literal> line to the <filename>/etc/postfix/access_helo</filename> file.
fr-FR: L'emploi de <literal>permit_mynetworks</literal> au début a l'effet secondaire intéressant de n'appliquer les règles suivantes qu'à des machines extérieures au réseau local. Il est ainsi possible de mettre en liste noire tous ceux qui s'annoncent membres du réseau <literal>falcot.com</literal>... ce qui s'effectue en ajoutant la ligne <literal>falcot.com REJECT You're not in our network!</literal> au fichier <filename>/etc/postfix/access_helo</filename>.

en: <primary>email</primary><secondary>filtering on the sender</secondary>
fr-FR: <primary>courrier électronique</primary><secondary>filtrage sur l'expéditeur</secondary>

en: Every message has a sender, announced by the <literal>MAIL FROM</literal> command of the SMTP protocol; again, this information can be validated in several different ways.
fr-FR: Chaque message envoyé est associé à un expéditeur annoncé par la commande <literal>MAIL FROM</literal> du protocole SMTP, information qu'il est possible de vérifier de plusieurs manières.

en: Sender checks
fr-FR: Vérifications sur l'expéditeur

en: The <filename>/etc/postfix/access_sender</filename> table maps some special treatment to some senders. This usually means listing some senders into a white list or a black list.
fr-FR: La table <filename>/etc/postfix/access_sender</filename> associe des traitements particuliers à certains expéditeurs. En général, il s'agit simplement de les placer dans une liste blanche ou noire.

en: Finally, the <literal>reject_non_fqdn_sender</literal> rule rejects emails purporting to come from addresses without a fully-qualified domain name. In practice, this means rejecting emails coming from <literal>user@machine</literal>: the address must be announced as either <literal>user@machine.example.com</literal> or <literal>user@example.com</literal>.
fr-FR: Enfin, la règle <literal>reject_non_fqdn_sender</literal> refuse les messages en provenance d'adresses électroniques sans nom de domaine complètement qualifié. Concrètement, elle refusera un courrier provenant de <literal>utilisateur@machine</literal> : celui-ci doit s'annoncer comme <literal>utilisateur@machine.domaine.fr</literal> ou <literal>utilisateur@domaine.fr</literal>.

en: <primary>email</primary><secondary>filtering on the recipient</secondary>
fr-FR: <primary>courrier électronique</primary><secondary>filtrage sur le destinataire</secondary>

en: Each email has at least one recipient, announced with the <literal>RCPT TO</literal> command in the SMTP protocol. These addresses also warrant validation, even if that may be less relevant than the checks made on the sender address.
fr-FR: Chaque courrier compte un ou plusieurs destinataires, communiqués par l'intermédiaire de la commande <literal>RCPT TO</literal> du protocole SMTP. On pourra également vérifier ces informations, même si c'est moins intéressant que pour l'expéditeur.

en: Recipient checks
fr-FR: Vérifications sur le destinataire

en: <literal>reject_unauth_destination</literal> is the basic rule that requires outside messages to be addressed to us; messages sent to an address not served by this server are rejected. Without this rule, a server becomes an open relay that allows spammers to send unsolicited emails; this rule is therefore mandatory, and it will be best included near the beginning of the list, so that no other rules may authorize the message before its destination has been checked.
fr-FR: <literal>reject_unauth_destination</literal> est la règle de base imposant à tout courrier provenant de l'extérieur de nous être destiné ; dans le cas contraire, il faut refuser de relayer le message. Sans cette règle, votre serveur est un relais ouvert qui permet aux spammeurs d'envoyer des courriers non sollicités par son intermédiaire. Elle est donc indispensable et on la placera de préférence en début de liste pour qu'aucune autre règle ne risque d'autoriser le passage du courrier avant d'avoir éliminé les messages ne concernant pas ce serveur.

en: The <literal>reject_unlisted_recipient</literal> rule rejects messages sent to non-existing local users, which makes sense. Finally, the <literal>reject_non_fqdn_recipient</literal> rule rejects non-fully-qualified addresses; this makes it impossible to send an email to <literal>jean</literal> or <literal>jean@machine</literal>, and requires using the full address instead, such as <literal>jean@machine.falcot.com</literal> or <literal>jean@falcot.com</literal>.
fr-FR: La règle <literal>reject_unlisted_recipient</literal> refuse les messages à destination d'utilisateurs locaux inexistants (ce qui est logique). Enfin, la règle <literal>reject_non_fqdn_recipient</literal> refuse les adresses électroniques non qualifiées. Il est ainsi impossible d'écrire à <literal>jean</literal> ou à <literal>jean@machine</literal> ; il faut employer la forme complète de l'adresse : <literal>jean@machine.falcot.com</literal> ou <literal>jean@falcot.com</literal>.

en: Restrictions Associated with the <literal>DATA</literal> Command
fr-FR: Restrictions associées à la commande <literal>DATA</literal>

en: <primary>email</primary><secondary>filtering on SMTP commands</secondary>
fr-FR: <primary>courrier électronique</primary><secondary>filtrage sur les commandes SMTP</secondary>

en: The <literal>DATA</literal> command of SMTP is emitted before the contents of the message. It doesn't provide any information per se, apart from announcing what comes next. It can still be subjected to checks.
fr-FR: La commande <literal>DATA</literal> du protocole SMTP précède l'envoi des données contenues dans le message. Elle ne fournit aucune information en soi, mais prévient de ce qui va suivre. Il est pourtant possible de lui mettre en place des contrôles.

en: <literal>DATA</literal> checks
fr-FR: Restriction sur la commande <literal>DATA</literal>

en: The <literal>reject_unauth_pipelining</literal> directives causes the message to be rejected if the sending party sends a command before the reply to the previous command has been sent. This guards against a common optimization used by spammer robots, since they usually don't care a fig about replies and only focus on sending as many emails as possible in as short a time as possible.
fr-FR: La règle <literal>reject_unauth_pipelining</literal> refuse le message si le correspondant envoie une commande sans avoir attendu la réponse à la commande précédente. Les robots des spammeurs font régulièrement cela : pour travailler plus vite, ils se moquent des réponses et visent seulement à envoyer un maximum de courriers, dans le laps de temps le plus court.

en: Applying Restrictions
fr-FR: Application des restrictions

en: This means that even if the message is rejected due to an invalid <literal>EHLO</literal> command, Postfix knows the sender and the recipient when announcing the rejection. It can then log a more explicit message than it could if the transaction had been interrupted from the start. In addition, a number of SMTP clients do not expect failures on the early SMTP commands, and these clients will be less disturbed by this late rejection.
fr-FR: Ainsi, même si le message est refusé suite à une commande <literal>EHLO</literal> invalide, Postfix connaîtra l'émetteur et le destinataire lorsqu'il annoncera le refus. Il peut donc enregistrer un message de log plus explicite que s'il avait interrompu la connexion dès le début. De plus, beaucoup de clients SMTP ne s'attendent pas à subir un échec sur l'une des premières commandes du protocole SMTP et les clients mal programmés seront moins perturbés par ce refus tardif.

en: A final advantage to this choice is that the rules can accumulate information during the various stages of the SMTP exchange; this allows defining more fine-grained permissions, such as rejecting a non-local connection if it announces itself with a local sender.
fr-FR: Dernier avantage de ce choix : les règles peuvent associer les informations obtenues à différents stades de l'échange SMTP. On pourra ainsi refuser une connexion non locale si elle s'annonce avec un émetteur local.

en: Filtering Based on the Message Contents
fr-FR: Filtrer en fonction du contenu du message

en: <primary>email</primary><secondary>filtering on contents</secondary>
fr-FR: <primary>courrier électronique</primary><secondary>filtrage sur le contenu</secondary>

en: The validation and restriction system would not be complete without a way to apply checks to the message contents. Postfix differentiates the checks applying to the email headers from those applying to the email body.
fr-FR: Le système de vérification et de restriction ne serait pas complet sans moyen de réagir au contenu du message. Postfix distingue deux types de vérifications : sur les en-têtes du courrier et sur le corps du message.

en: Enabling content-based filters
fr-FR: Activation des filtres sur le contenu

en: Both files contain a list of regular expressions (commonly known as <emphasis>regexps</emphasis> or <emphasis>regexes</emphasis>) and associated actions to be triggered when the email headers (or body) match the expression.
fr-FR: Les deux fichiers contiennent une liste d'expressions rationnelles <foreignphrase>(regexp)</foreignphrase>. Chacune est associée à une action à exécuter si elle est satisfaite par les en-têtes ou le corps du message.

en: <emphasis>QUICK LOOK</emphasis> Regexp tables
fr-FR: <emphasis>DÉCOUVERTE</emphasis> Tables <foreignphrase>regexp</foreignphrase>

en: Example <filename>/etc/postfix/header_checks</filename> file
fr-FR: Exemple de fichier <filename>/etc/postfix/header_checks</filename>

en: <emphasis>BACK TO BASICS</emphasis> Regular expression
fr-FR: <emphasis>B.A.-BA</emphasis> Expression rationnelle

en: The precise syntax of these expressions varies across the tools using them, but the basic features are similar. <ulink type="block" url="https://en.wikipedia.org/wiki/Regular_expression" />
fr-FR: La syntaxe précise de ces expressions varie selon l'outil qui les emploie mais les fonctionnalités de base restent les mêmes. <ulink type="block" url="https://fr.wikipedia.org/wiki/Expression_rationnelle" />

en: The first one checks the header mentioning the email software; if <literal>GOTO Sarbacane</literal> (a bulk email software) is found, the message is rejected. The second expression controls the message subject; if it mentions a virus notification, we can decide not to reject the message but to discard it immediately instead.
fr-FR: La première vérifie l'en-tête indiquant le logiciel de courrier électronique envoyé : si elle trouve <literal>GOTO Sarbacane</literal> (un logiciel d'envoi en masse de courriers), elle refuse le message. La seconde expression contrôle le sujet du message : s'il indique une notification de virus sans intérêt, elle accepte le message mais le supprime immédiatement.

en: Using these filters is a double-edged sword, because it is easy to make the rules too generic and to lose legitimate emails as a consequence. In these cases, not only the messages will be lost, but their senders will get unwanted (and annoying) error messages.
fr-FR: L'emploi de ces filtres est à double tranchant, car il est facile de les faire trop génériques et de perdre des courriers légitimes. Dans ce cas, non seulement les messages seront perdus, mais leurs expéditeurs recevront des messages d'erreur inopportuns — souvent agaçants.

en: Setting Up <foreignphrase>greylisting</foreignphrase>
fr-FR: Mise en place du <foreignphrase>greylisting</foreignphrase>

en: <primary>greylisting</primary>
fr-FR: <primary><foreignphrase>greylisting</foreignphrase></primary>

en: Postfix doesn't provide greylisting natively, but there is a feature by which the decision to accept or reject a given message can be delegated to an external program. The <emphasis role="pkg">postgrey</emphasis> package contains just such a program, designed to interface with this access policy delegation service.
fr-FR: Postfix n'offre pas cette fonctionnalité de manière native, mais il permet d'externaliser la décision d'accepter ou rejeter un message donné. Le paquet <emphasis role="pkg">postgrey</emphasis> propose justement un logiciel prévu pour s'interfacer avec ce service de délégation des politiques d'accès.

en: Once <emphasis role="pkg">postgrey</emphasis> is installed, it runs as a daemon and listens on port 10023. Postfix can then be configured to use it, by adding the <literal>check_policy_service</literal> parameter as an extra restriction:
fr-FR: <emphasis role="pkg">postgrey</emphasis> installé, il se présente comme un démon en attente de connexions sur le port 10 023. Il suffit alors d'employer le paramètre <literal>check_policy_service</literal> comme restriction supplémentaire :

en: The main disadvantage of greylisting is that legitimate messages get delayed, which is not always acceptable. It also increases the burden on servers that send many legitimate emails.
fr-FR: Évidemment, le grand désavantage du greylisting est qu'il va retarder la réception des courriels légitimes et parfois ces délais sont inacceptables. Il inflige également un coût important aux serveurs qui envoient de nombreux courriers légitimes.

en: <emphasis>IN PRACTICE</emphasis> Shortcomings of greylisting
fr-FR: <emphasis>EN PRATIQUE</emphasis> Limites du greylisting

en: Theoretically, greylisting should only delay the first mail from a given sender to a given recipient, and the typical delay is in the order of minutes. Reality, however, can differ slightly. Some large ISPs use clusters of SMTP servers, and when a message is initially rejected, the server that retries the transmission may not be the same as the initial one. When that happens, the second server gets a temporary error message due to greylisting too, and so on; it may take several hours until transmission is attempted by a server that has already been involved, since SMTP servers usually increase the delay between retries at each failure.
fr-FR: En théorie, le greylisting ne retarde que le premier courriel d'un expéditeur donné pour un destinataire donné et le délai est de l'ordre de quelques minutes à quelques dizaines de minutes. Cependant, la réalité n'est pas toujours si simple. En effet, certains gros fournisseurs d'accès emploient plusieurs serveurs SMTP en grappe et après le premier refus, rien ne garantit que le même serveur effectue la deuxième tentative. Si ce n'est pas le cas, la deuxième tentative échouera à nouveau et, au lieu d'un délai de quelques minutes, on peut constater des délais de plusieurs heures (jusqu'à ce que l'on retombe sur un serveur qui avait déjà essayé) car à chaque nouvelle erreur, le serveur SMTP augmente le délai d'attente avant le prochain essai.

en: As a consequence, the incoming IP address may vary in time even for a single sender. But it goes further: even the sender address can change. For instance, many mailing-list servers encode extra information in the sender address so as to be able to handle error messages (known as <emphasis>bounces</emphasis>). Each new message sent to a mailing-list may then need to go through greylisting, which means it has to be stored (temporarily) on the sender's server. For very large mailing-lists (with tens of thousands of subscribers), this can soon become a problem.
fr-FR: Ainsi donc, l'adresse IP entrante pour un expéditeur donné n'est pas forcément fixe dans le temps. De même, l'adresse d'un expéditeur donné n'est pas forcément fixe non plus. De nombreux logiciels de listes de diffusion encodent des informations dans l'adresse de l'expéditeur afin de traiter de manière automatisée les retours d'erreurs <foreignphrase>(bounces)</foreignphrase>. Chaque nouveau message d'une liste de diffusion peut devoir repasser par le filtre du greylisting, ce qui implique à l'émetteur de le stocker. Pour les très grosses listes avec des dizaines de milliers d'abonnés, cela peut rapidement devenir problématique.

en: To mitigate these drawbacks, Postgrey manages a whitelist of such sites, and messages emanating from them are immediately accepted without going through greylisting. This list can easily be adapted to local needs, since it is stored in the <filename>/etc/postgrey/whitelist_clients</filename> file.
fr-FR: Pour ces raisons, Postgrey dispose d'une liste blanche de sites correspondant à ces caractéristiques. Pour ceux-là, il répond d'accepter le message immédiatement. Il est possible de la personnaliser en éditant le fichier <filename>/etc/postgrey/whitelist_clients</filename>.

en: <emphasis>GOING FURTHER</emphasis> Selective greylisting with <emphasis role="pkg">milter-greylist</emphasis>
fr-FR: <emphasis>POUR ALLER PLUS LOIN</emphasis> Greylisting sélectif avec <emphasis role="pkg">milter-greylist</emphasis>

en: The drawbacks of greylisting can be mitigated by only using greylisting on the subset of clients that are already considered as probable sources of spam (because they are listed in a DNS blacklist). This is not possible with <emphasis role="pkg">postgrey</emphasis> but <emphasis role="pkg">milter-greylist</emphasis> can be used in such a way.
fr-FR: Pour limiter les inconvénients du greylisting, il est possible de ne l'appliquer qu'à un sous-ensemble des clients qui sont déjà considérés comme des sources probables de spam parce qu'ils apparaissent dans une liste noire DNS. Ceci n'est pas possible avec <emphasis role="pkg">postgrey</emphasis> mais le paquet <emphasis role="pkg">milter-greylist</emphasis> permet de l'effectuer.

en: In that scenario, since DNS blacklists never triggers a definitive rejection, it becomes reasonable to use aggressive blacklists, including those listing all dynamic IP addresses from ISP clients (such as <literal>pbl.spamhaus.org</literal> or <literal>dul.dnsbl.sorbs.net</literal>).
fr-FR: Dans ce scénario, comme les listes noires DNS ne déclenchent aucun refus définitif, il est possible d'employer des listes noires DNS assez agressives et notamment celles qui listent toutes les adresses IP dynamiques des clients des fournisseurs d'accès, comme <literal>pbl.spamhaus.org</literal> ou <literal>dul.dnsbl.sorbs.net</literal>.

en: Customizing Filters Based On the Recipient
fr-FR: Personnalisation des filtres en fonction du destinataire

en: <xref linkend="sect.restrictions-for-receiving-and-sending" /> and <xref linkend="sect.setting-up-greylisting" /> reviewed many of the possible restrictions. They all have their use in limiting the amount of received spam, but they also all have their drawbacks. It is therefore more and more common to customize the set of filters depending on the recipient. At Falcot Corp, greylisting is interesting for most users, but it hinders the work of some users who need low latency in their emails (such as the technical support service). Similarly, the commercial service sometimes has problems receiving emails from some Asian providers who may be listed in blacklists; this service asked for a non-filtered address so as to be able to correspond.
fr-FR: La <xref linkend="sect.restrictions-for-receiving-and-sending" /> et la <xref linkend="sect.setting-up-greylisting" /> ont passé en revue un grand nombre de restrictions possibles. Ces dernières servent essentiellement à limiter le nombre de spams reçus, mais elles présentent toutes des petits inconvénients. C'est pourquoi il est de plus en plus fréquent de devoir personnaliser le filtrage effectué en fonction du destinataire. Chez Falcot, le greylisting s'avérera intéressant pour la plupart des utilisateurs sauf quelques personnes dont le travail dépend de la faible latence du courrier électronique (le service d'assistance technique, par exemple). De même, le service commercial rencontre parfois des difficultés pour recevoir les réponses de certains fournisseurs asiatiques car ils sont répertoriés dans des listes noires. Ils ont donc demandé une adresse e-mail non filtrée pour pouvoir correspondre malgré tout.

en: Postfix provides such a customization of filters with a “restriction class” concept. The classes are declared in the <literal>smtpd_restriction_classes</literal> parameter, and defined the same way as <literal>smtpd_recipient_restrictions</literal>. The <literal>check_recipient_access</literal> directive then defines a table mapping a given recipient to the appropriate set of restrictions.
fr-FR: Postfix gère cela grâce à un concept de « classes de restrictions ». On référence les classes dans la variable <literal>smtpd_restriction_classes</literal> et on les définit par simple affectation tout comme on définirait <literal>smtpd_recipient_restrictions</literal>. Ensuite la directive <literal>check_recipient_access</literal> permet d'employer une table de correspondances pour définir les restrictions à employer pour un destinataire donné.

en: Defining restriction classes in <filename>main.cf</filename>
fr-FR: Définir des classes de restriction dans <filename>main.cf</filename>

en: The <filename>/etc/postfix/recipient_access</filename> file
fr-FR: Fichier <filename>/etc/postfix/recipient_access</filename>

en: 
    # Unfiltered addresses
    postmaster@falcot.com  permissive
    support@falcot.com     permissive
    sales-asia@falcot.com  permissive
    
    # Aggressive filtering for some privileged users
    joe@falcot.com         aggressive
    
    # Special rule for the mailing-list manager
    sympa@falcot.com       reject_unverified_sender
    
    # Greylisting by default
    falcot.com             greylisting
fr-FR: 
    # Adresses sans filtrage
    postmaster@falcot.com  permissive
    support@falcot.com     permissive
    sales-asia@falcot.com  permissive
    
    # Filtrage agressif pour quelques privilégiés
    joe@falcot.com         aggressive
    
    # Règle spéciale pour le robot de gestion de listes
    sympa@falcot.com       reject_unverified_sender
    
    # Par défaut, le greylisting
    falcot.com             greylisting

en: The task of interfacing between antivirus and the email server goes to <command>clamav-milter</command>. A <emphasis>milter</emphasis> (short for <emphasis>mail filter</emphasis>) is a filtering program specially designed to interface with email servers. A milter uses a standard application programming interface (API) that provides much better performance than filters external to the email servers. Milters were initially introduced by <emphasis>Sendmail</emphasis>, but <emphasis>Postfix</emphasis> soon followed suit.
fr-FR: Pour interfacer cet antivirus au serveur de messagerie, on emploiera le logiciel <command>clamav-milter</command>. Un <emphasis>milter</emphasis> (terme dérivé de l'expression <foreignphrase>mail filter</foreignphrase>) est un logiciel de filtrage de courriers spécialement conçu pour s'interfacer avec les serveurs de courrier électronique. Les <emphasis>milters</emphasis> exploitent une interface de programmation (API) dédiée qui assure de bien meilleures performances comparé aux filtres gérés en dehors des serveurs de courrier. <emphasis>Sendmail</emphasis> a été le premier à introduire cette technologie mais <emphasis>Postfix</emphasis> lui a emboîté le pas.

en: <emphasis>QUICK LOOK</emphasis> A milter for Spamassassin
fr-FR: <emphasis>DÉCOUVERTE</emphasis> Un milter pour Spamassassin

en: The <emphasis role="pkg">spamass-milter</emphasis> package provides a milter based on <emphasis>SpamAssassin</emphasis>, the famous unsolicited email detector. It can be used to flag messages as probable spams (by adding an extra header) and/or to reject the messages altogether if their “spamminess” score goes beyond a given threshold.
fr-FR: Le paquet <emphasis role="pkg">spamass-milter</emphasis> contient un filtre basé sur le célèbre logiciel de détection de courriels non sollicités <emphasis>SpamAssassin</emphasis>. Il peut être employé pour marquer les messages comme des spams probables (en ajoutant un en-tête supplémentaire) et/ou pour les rejeter si le score du message dépasse une certaine limite.

en: Once the <emphasis role="pkg">clamav-milter</emphasis> package is installed, the milter should be reconfigured to run on a TCP port rather than on the default named socket. This can be achieved with <command>dpkg-reconfigure clamav-milter</command>. When prompted for the “Communication interface with Sendmail”, answer “<literal>inet:10002@127.0.0.1</literal>”.
fr-FR: Une fois le paquet <emphasis role="pkg">clamav-milter</emphasis> installé, le milter devrait être reconfiguré pour utiliser un port TCP plutôt que la socket nommée proposée par défaut. Lors de l'exécution de <command>dpkg-reconfigure clamav-milter</command>, il s'agit de répondre <literal>inet:10002@127.0.0.1</literal> à la question portant sur l'interface de communication avec Sendmail.

en: <emphasis>NOTE</emphasis> Real TCP port vs named socket
fr-FR: <emphasis>NOTE</emphasis> Vrai port TCP ou socket nommée ?

en: The reason why we use a real TCP port rather than the named socket is that the postfix daemons often run chrooted and do not have access to the directory hosting the named socket. You could also decide to keep using a named socket and pick a location within the chroot (<filename>/var/spool/postfix/</filename>).
fr-FR: La raison pour laquelle nous utilisons un vrai port TCP plutôt qu'une socket nommée est que le démon Postfix est souvent enfermé dans un <foreignphrase>chroot</foreignphrase> et n'a pas accès au répertoire dans lequel la socket est créée. Il serait toutefois possible de conserver l'utilisation de la socket, en modifiant son emplacement pour qu'elle soit dans le <foreignphrase>chroot</foreignphrase> (donc sous <filename>/var/spool/postfix/</filename>).

en: The standard ClamAV configuration fits most situations, but some important parameters can still be customized with <command>dpkg-reconfigure clamav-base</command>.
fr-FR: La configuration standard de <command>clamav</command> convient dans la majorité des situations mais <command>dpkg-reconfigure clamav-base</command> permet de personnaliser les paramètres les plus importants.

en: The last step involves telling Postfix to use the recently-configured filter. This is a simple matter of adding the following directive to <filename>/etc/postfix/main.cf</filename>:
fr-FR: La dernière étape consiste à demander à Postfix d'utiliser le logiciel de filtrage que l'on vient de configurer. Cela se fait simplement en ajoutant une directive dans <filename>/etc/postfix/main.cf</filename> :

en: If the antivirus causes problems, this line can be commented out, and <command>systemctl reload postfix</command> should be run so that this change is taken into account.
fr-FR: En cas de problèmes avec l'antivirus, il suffira de commenter cette ligne et d'exécuter la commande <command>systemctl reload postfix</command> pour faire prendre en compte cette modification.

en: <emphasis>IN PRACTICE</emphasis> Testing the antivirus
fr-FR: <emphasis>EN PRATIQUE</emphasis> Tester l'antivirus

en: This file is not a true virus, but a test file that all antivirus software on the market diagnose as a virus to allow checking installations.
fr-FR: Il ne s'agit pas d'un vrai virus mais d'un fichier reconnu comme tel par tous les antivirus du marché afin que chacun puisse facilement vérifier que l'installation fonctionne comme prévu.

en: All messages handled by Postfix now go through the antivirus filter.
fr-FR: Les messages traités par Postfix passent désormais systématiquement par un détecteur-filtre antivirus.

en: Authenticated SMTP
fr-FR: SMTP authentifié

en: Being able to send emails requires an SMTP server to be reachable; it also requires said SMTP server to send emails through it. For roaming users, this may need regularly changing the configuration of the SMTP client, since Falcot's SMTP server rejects messages coming from IP addresses apparently not belonging to the company. Two solutions exist: either the roaming user installs an SMTP server on their computer, or they still use the company server with some means of authenticating as an employee. The former solution is not recommended since the computer won't be permanently connected, and it won't be able to retry sending messages in case of problems; we will focus on the latter solution.
fr-FR: Pour être capable d'envoyer des courriers électroniques, il faut pouvoir accéder à un serveur SMTP et il faut que ce dernier vous y autorise. Lorsqu'on est itinérant, cela nécessite de changer régulièrement de serveur SMTP puisque celui de Falcot ne va pas accepter de relayer des messages de la part d'une adresse IP apparemment extérieure à l'entreprise. Il y a deux solutions : soit l'itinérant installe son propre serveur de courrier sur son ordinateur, soit il continue d'utiliser le serveur SMTP de l'entreprise mais il s'authentifie au préalable comme étant un employé de la société. La première solution n'est pas conseillée car l'ordinateur n'est pas connecté en permanence et il ne peut donc pas essayer régulièrement de réémettre en cas de problème. Nous allons donc voir comment mettre en place la seconde.

en: SMTP authentication in Postfix relies on SASL (<emphasis>Simple Authentication and Security Layer</emphasis>). It requires installing the <emphasis role="pkg">libsasl2-modules</emphasis> and <emphasis role="pkg">sasl2-bin</emphasis> packages, then registering a password in the SASL database for each user that needs authenticating on the SMTP server. This is done with the <command>saslpasswd2</command> command, which takes several parameters. The <literal>-u</literal> option defines the authentication domain, which must match the <literal>smtpd_sasl_local_domain</literal> parameter in the Postfix configuration. The <literal>-c</literal> option allows creating a user, and <literal>-f</literal> allows specifying the file to use if the SASL database needs to be stored at a different location than the default (<filename>/etc/sasldb2</filename>).
fr-FR: L'authentification SMTP de Postfix s'appuie sur SASL <foreignphrase>(Simple Authentication and Security Layer)</foreignphrase>. Il faut installer les paquets <emphasis role="pkg">libsasl2-modules</emphasis> et <emphasis role="pkg">sasl2-bin</emphasis>, puis il convient d'enregistrer un mot de passe dans la base SASL pour chaque utilisateur qui doit pouvoir s'authentifier sur le serveur SMTP. On utilise pour cela la commande <command>saslpasswd2</command>. L'option <literal>-u</literal> précise le domaine d'authentification, il doit correspondre au paramètre <literal>smtpd_sasl_local_domain</literal> de Postfix. L'option <literal>-c</literal> sert à créer un utilisateur et l'option <literal>-f</literal> permet de modifier une base SASL située ailleurs qu'à son emplacement standard (<filename>/etc/sasldb2</filename>).

en: 
    <computeroutput># </computeroutput><userinput>saslpasswd2 -u `postconf -h myhostname` -f /var/spool/postfix/etc/sasldb2 -c jean</userinput>
    <computeroutput>[... type jean's password twice ...]</computeroutput>
fr-FR: 
    <computeroutput># </computeroutput><userinput>saslpasswd2 -h `postconf -h myhostname` -f /var/spool/postfix/etc/sasldb2 -c jean</userinput>
    <computeroutput>[... saisir deux fois le mot de passe de jean ...]</computeroutput>

en: Note that the SASL database was created in Postfix's directory. In order to ensure consistency, we also turn <filename>/etc/sasldb2</filename> into a symbolic link pointing at the database used by Postfix, with the <command>ln -sf /var/spool/postfix/etc/sasldb2 /etc/sasldb2</command> command.
fr-FR: Notons au passage que l'on a créé la base de données SASL dans le répertoire de Postfix. Par souci de cohérence, on va faire pointer <filename>/etc/sasldb2</filename> vers la base employée par Postfix. Cela s'effectue avec la commande <command>ln -sf /var/spool/postfix/etc/sasldb2 /etc/sasldb2</command>.

en: Now we need to configure Postfix to use SASL. First the <literal>postfix</literal> user needs to be added to the <literal>sasl</literal> group, so that it can access the SASL account database. A few new parameters are also needed to enable SASL, and the <literal>smtpd_recipient_restrictions</literal> parameter needs to be configured to allow SASL-authenticated clients to send emails freely.
fr-FR: Reste maintenant à configurer Postfix pour faire usage de SASL. En premier lieu, il faut ajouter l'utilisateur <literal>postfix</literal> dans le groupe <literal>sasl</literal> afin qu'il puisse accéder à la base de données des comptes SASL. Ensuite, il faut ajouter quelques paramètres pour activer SASL, puis modifier le paramètre <literal>smtpd_recipient_restrictions</literal> pour autoriser les clients authentifiés par SASL à envoyer des courriels à tous les destinataires.

en: Enabling SASL in <filename>/etc/postfix/main.cf</filename>
fr-FR: Modification de <filename>/etc/postfix/main.cf</filename> pour activer SASL

en: <emphasis>EXTRA</emphasis> Authenticated SMTP client
fr-FR: <emphasis>COMPLÉMENTS</emphasis> Client SMTP authentifié

en: Most email clients are able to authenticate to an SMTP server before sending outgoing messages, and using that feature is a simple matter of configuring the appropriate parameters. If the client in use does not provide that feature, the workaround is to use a local Postfix server and configure it to relay email via the remote SMTP server. In this case, the local Postfix itself will be the client that authenticates with SASL. Here are the required parameters:
fr-FR: La plupart des logiciels de messagerie électronique savent désormais s'authentifier auprès d'un serveur SMTP pour expédier le courrier sortant. Il suffit de configurer les paramètres correspondants. Si ce n'est pas le cas, il est possible d'employer un serveur Postfix local et de le configurer pour relayer le courrier vers le serveur SMTP distant. Dans ce cas, Postfix sera le client dans l'authentification SASL. Voici les paramètres nécessaires :

en: The <filename>/etc/postfix/sasl_passwd</filename> file needs to contain the username and password to use for authenticating on the <literal>mail.falcot.com</literal> server. Here is an example:
fr-FR: Le fichier <filename>/etc/postfix/sasl_passwd</filename> doit contenir le nom d'utilisateur et le mot de passe à employer pour s'authentifier sur le serveur smtp.falcot.com. Voici un exemple :

en: As for all Postfix maps, this file must be turned into <filename>/etc/postfix/sasl_passwd.db</filename> with the <command>postmap</command> command.
fr-FR: Comme pour toutes les tables de correspondance Postfix, il faut penser à employer <command>postmap</command> pour régénérer <filename>/etc/postfix/sasl_passwd.db</filename>.

en: Web Server (HTTP)
fr-FR: Serveur web (HTTP)

en: <primary>server</primary><secondary>web</secondary>
fr-FR: <primary>serveur</primary><secondary>web</secondary>

en: <primary>web server</primary><seealso>Apache</seealso>
fr-FR: <primary>serveur web</primary><seealso>Apache</seealso>

en: <primary>server</primary><secondary>HTTP</secondary>
fr-FR: <primary>serveur</primary><secondary>HTTP</secondary>

en: <emphasis>ALTERNATIVE</emphasis> Other web servers
fr-FR: <emphasis>ALTERNATIVE</emphasis> Autres serveurs web

en: Installing Apache
fr-FR: Installation d'Apache

en: The MPM in use affects significantly the way Apache will handle concurrent requests. With the <emphasis>worker</emphasis> MPM, it uses <emphasis>threads</emphasis> (lightweight processes), whereas with the <emphasis>prefork</emphasis> MPM it uses a pool of processes created in advance. With the <emphasis>event</emphasis> MPM it also uses threads, but the inactive connections (notably those kept open by the HTTP <emphasis>keep-alive</emphasis> feature) are handed back to a dedicated management thread.
fr-FR: Le module MPM employé définit la manière dont Apache traite les requêtes entrantes. Avec le MPM <foreignphrase>worker</foreignphrase> il utilise des <foreignphrase>threads</foreignphrase> (processus légers), alors qu'avec le MPM <foreignphrase>prefork</foreignphrase> il utilise un ensemble de processus créés par avance. Avec le MPM <foreignphrase>event</foreignphrase> il utilise également des <foreignphrase>threads</foreignphrase>, mais les connexions inactives (notamment celle gardées ouvertes par la fonctionnalité <emphasis>keep-alive</emphasis> du protocole HTTP) sont rendues à un <foreignphrase>thread</foreignphrase> dédié à leur gestion.

en: <emphasis>SECURITY</emphasis> Execution under the <literal>www-data</literal> user
fr-FR: <emphasis>SÉCURITÉ</emphasis> Exécution sous l'utilisateur <literal>www-data</literal>

en: Using the <emphasis>suexec</emphasis> modules, provided by <emphasis role="pkg">apache2-suexec-*</emphasis> packages, allows bypassing this rule so that some CGI scripts are executed under the identity of another user. This is configured with a <literal>SuexecUserGroup <replaceable>user</replaceable><replaceable>group</replaceable></literal> directive in the Apache configuration.
fr-FR: L'usage du module <emphasis>suexec</emphasis>, fourni par les paquets <emphasis role="pkg">apache2-suexec-*</emphasis>, permet de changer cette règle afin que certains CGI soient exécutés avec les droits d'un autre utilisateur. Cela se paramètre avec la directive <literal>SuexecUserGroup <replaceable>utilisateur</replaceable> <replaceable>groupe</replaceable></literal> dans la configuration de Apache.

en: Another possibility is to use a dedicated MPM, such as the one provided by <emphasis role="pkg">libapache2-mpm-itk</emphasis>. This particular one has a slightly different behavior: it allows “isolating” virtual hosts (actually, sets of pages) so that they each run as a different user. A vulnerability in one website therefore cannot compromise files belonging to the owner of another website.
fr-FR: Il est également possible d'utiliser un MPM dédié, comme celui fourni par <emphasis role="pkg">libapache2-mpm-itk</emphasis>. Celui-ci a un fonctionnement différent, en ce qu'il permet d'« isoler » les hôtes virtuels (en réalité des ensembles de pages) de manière à ce qu'ils tournent chacun sous un utilisateur différent. Ainsi, une faille dans un site web dynamique ne compromettra pas les fichiers appartenant à l'utilisateur d'un autre site web.

en: <emphasis>QUICK LOOK</emphasis> List of modules
fr-FR: <emphasis>DÉCOUVERTE</emphasis> Liste des modules

en: Apache is a modular server, and many features are implemented by external modules that the main program loads during its initialization. The default configuration only enables the most common modules, but enabling new modules is a simple matter of running <command>a2enmod <replaceable>module</replaceable></command>; to disable a module, the command is <command>a2dismod <replaceable>module</replaceable></command>. These programs actually only create (or delete) symbolic links in <filename>/etc/apache2/mods-enabled/</filename>, pointing at the actual files (stored in <filename>/etc/apache2/mods-available/</filename>).
fr-FR: Apache est un serveur modulaire et la plupart des fonctionnalités sont implémentées dans des modules externes que le programme charge pendant son initialisation. La configuration par défaut n'active que les modules les plus courants et les plus utiles. Mais la commande <command>a2enmod <replaceable>module</replaceable></command> permet d'activer un nouveau module tandis que <command>a2dismod <replaceable>module</replaceable></command> le désactive. Ces deux programmes ne font rien d'autre que créer ou supprimer des liens symboliques dans <filename>/etc/apache2/mods-enabled/</filename> pointant vers des fichiers de <filename>/etc/apache2/mods-available/</filename>.

en: <emphasis>IN PRACTICE</emphasis> Checking the configuration
fr-FR: <emphasis>EN PRATIQUE</emphasis> Vérifier la configuration

en: With its default configuration, the web server listens on port 80 (as configured in <filename>/etc/apache2/ports.conf</filename>), and serves pages from the <filename>/var/www/html/</filename> directory (as configured in <filename>/etc/apache2/sites-enabled/000-default.conf</filename>).
fr-FR: Par défaut, le serveur web écoute sur le port 80 (configuré dans <filename>/etc/apache2/ports.conf</filename>) et renvoie les pages web depuis le répertoire <filename>/var/www/html/</filename> (configuré dans <filename>/etc/apache2/sites-enabled/000-default.conf</filename>).

en: Apache 2.4 includes the SSL module (<literal>mod_ssl</literal>) required for secure HTTP (HTTPS) out of the box. It just needs to be enabled with <command>a2enmod ssl</command>, then the required directives have to be added to the configuration files. A configuration example is provided in <filename>/etc/apache2/sites-available/default-ssl.conf</filename>. <ulink type="block" url="https://httpd.apache.org/docs/2.4/mod/mod_ssl.html" />
fr-FR: Apache 2.4 intègre en standard le module SSL (<literal>mod_ssl</literal>) nécessaire au HTTP sécurisé (HTTPS). Il faut juste l'activer avec <command>a2enmod ssl</command> puis placer les directives nécessaires dans la configuration. Un exemple est fourni dans <filename>/etc/apache2/sites-available/default-ssl.conf</filename>. <ulink type="block" url="https://httpd.apache.org/docs/2.4/mod/mod_ssl.html" />

en: <primary><emphasis>Perfect Forward Secrecy</emphasis></primary>
fr-FR: <primary>confidentialité persistante (<foreignphrase>Perfect Forward Secrecy</foreignphrase>)</primary>

en: Configuring Virtual Hosts
fr-FR: Configuration d'hôtes virtuels

en: A virtual host is an extra identity for the web server.
fr-FR: Un hôte virtuel est une identité (supplémentaire) assumée par le serveur web.

en: <primary>virtual host</primary>
fr-FR: <primary>hôte virtuel</primary>

en: Apache considers two different kinds of virtual hosts: those that are based on the IP address (or the port), and those that rely on the domain name of the web server. The first method requires allocating a different IP address (or port) for each site, whereas the second one can work on a single IP address (and port), and the sites are differentiated by the hostname sent by the HTTP client (which only works in version 1.1 of the HTTP protocol — fortunately that version is old enough that all clients use it already).
fr-FR: Apache distingue deux types d'hôtes virtuels : ceux qui se basent sur l'adresse IP (ou le port) et ceux qui reposent sur le nom DNS du serveur web. La première méthode nécessite une adresse IP différente pour chaque site tandis que la seconde n'emploie qu'une adresse IP et différencie les sites par le nom d'hôte communiqué par le client HTTP (ce qui ne fonctionne qu'avec la version 1.1 du protocole HTTP, heureusement déjà employée par tous les navigateurs web).

en: The (increasing) scarcity of IPv4 addresses usually favors the second method; however, it is made more complex if the virtual hosts need to provide HTTPS too, since the SSL protocol hasn't always provided for name-based virtual hosting; the SNI extension (<emphasis>Server Name Indication</emphasis>) that allows such a combination is not handled by all browsers. When several HTTPS sites need to run on the same server, they will usually be differentiated either by running on a different port or on a different IP address (IPv6 can help there).
fr-FR: La rareté (de plus en plus pressante) des adresses IPv4 fait en général privilégier cette deuxième méthode. Elle est cependant complexifiée si chacun des hôtes virtuels a besoin de HTTPS : le protocole SSL n'a pas toujours permis ce fonctionnement et l'extension SNI <foreignphrase>(Server Name Indication)</foreignphrase> qui le rend possible n'est pas connue de tous les navigateurs. Si plusieurs sites HTTPS doivent fonctionner sur un même serveur, on préférera donc les différencier soit par leur port, soit par leur adresse IP (en utilisant éventuellement IPv6).

en: The default configuration for Apache 2 enables name-based virtual hosts. In addition, a default virtual host is defined in the <literal>/etc/apache2/sites-enabled/000-default.conf</literal> file; this virtual host will be used if no host matching the request sent by the client is found.
fr-FR: La configuration par défaut d'Apache 2 exploite les hôtes virtuels basés sur le nom. De plus, un hôte virtuel par défaut a été défini dans le fichier <literal>/etc/apache2/sites-enabled/000-default.conf</literal>. Cet hôte virtuel sera employé si aucun autre hôte virtuel ne correspond à la requête du client.

en: <emphasis>CAUTION</emphasis> First virtual host
fr-FR: <emphasis>ATTENTION</emphasis> Premier hôte virtuel

en: Requests concerning unknown virtual hosts will always be served by the first defined virtual host, which is why we defined <literal>www.falcot.com</literal> first here.
fr-FR: Le premier hôte virtuel défini répondra systématiquement aux requêtes concernant des hôtes virtuels inconnus. C'est pourquoi nous avons d'abord défini ici <literal>www.falcot.com</literal>.

en: <emphasis>QUICK LOOK</emphasis> Apache supports SNI
fr-FR: <emphasis>DÉCOUVERTE</emphasis> Apache prend en charge SNI

en: The Apache server supports an SSL protocol extension called <emphasis>Server Name Indication</emphasis> (SNI). This extension allows the browser to send the hostname of the web server during the establishment of the SSL connection, much earlier than the HTTP request itself, which was previously used to identify the requested virtual host among those hosted on the same server (with the same IP address and port). This allows Apache to select the most appropriate SSL certificate for the transaction to proceed.
fr-FR: Apache prend en charge une extension du protocole SSL appelée <foreignphrase>Server Name Indication</foreignphrase> (SNI). Elle permet au navigateur web d'envoyer le nom d'hôte du serveur web dès l'établissement de la connexion SSL, donc bien avant l'envoi de la requête HTTP qui sert habituellement à identifier le bon site web parmi tous les hôtes virtuels hébergés sur le même serveur (et la même adresse IP). Ainsi, Apache peut sélectionner le certificat SSL adéquat pour la communication.

en: Before SNI, Apache would always use the certificate defined in the default virtual host. Clients trying to access another virtual host would then display warnings, since the certificate they received didn't match the website they were trying to access. Fortunately, most browsers now work with SNI; this includes Microsoft Internet Explorer starting with version 7.0 (starting on Vista), Mozilla Firefox starting with version 2.0, Apple Safari since version 3.2.1, and all versions of Google Chrome.
fr-FR: Avant l'introduction de SNI, Apache employait systématiquement le certificat de l'hôte virtuel par défaut. Lorsque le certificat ne correspondait pas au site web demandé, les navigateurs affichaient donc des avertissements. Notons que ce comportement persiste lorsque l'utilisateur dispose d'un navigateur n'acceptant pas SNI. Fort heureusement la plupart des navigateurs l'exploitent désormais ; c'est le cas de Microsoft Internet Explorer depuis sa version 7.0 (sur Vista seulement, pas XP), de Mozilla Firefox depuis sa version 2.0, de Apple Safari depuis sa version 3.2.1 et de toutes les versions de Google Chrome.

en: The Apache package provided in Debian is built with support for SNI; no particular configuration is therefore needed.
fr-FR: Le paquet Apache fournit par Debian est compilé avec le support SNI. Aucune configuration particulière n'est donc nécessaire.

en: Each extra virtual host is then described by a file stored in <filename>/etc/apache2/sites-available/</filename>. Setting up a website for the <literal>falcot.org</literal> domain is therefore a simple matter of creating the following file, then enabling the virtual host with <command>a2ensite www.falcot.org</command>.
fr-FR: Chaque hôte virtuel supplémentaire est ensuite décrit par un fichier placé dans le répertoire <filename>/etc/apache2/sites-available/</filename>. Ainsi, la mise en place du domaine <literal>falcot.org</literal> se résume à créer le fichier ci-dessous, puis à l'activer avec <command>a2ensite www.falcot.org</command>.

en: The <filename>/etc/apache2/sites-available/www.falcot.org.conf</filename> file
fr-FR: Fichier <filename>/etc/apache2/sites-available/www.falcot.org.conf</filename>

en: The Apache server, as configured so far, uses the same log files for all virtual hosts (although this could be changed by adding <literal>CustomLog</literal> directives in the definitions of the virtual hosts). It therefore makes good sense to customize the format of this log file to have it include the name of the virtual host. This can be done by creating a <filename>/etc/apache2/conf-available/customlog.conf</filename> file that defines a new format for all log files (with the <literal>LogFormat</literal> directive) and by enabling it with <command>a2enconf customlog</command>. The <literal>CustomLog</literal> line must also be removed (or commented out) from the <filename>/etc/apache2/sites-available/000-default.conf</filename> file.
fr-FR: Le serveur Apache est ici configuré pour n'utiliser qu'un seul fichier de log pour tous les hôtes virtuels (ce qu'on pourrait changer en intégrant des directives <literal>CustomLog</literal> dans les définitions des hôtes virtuels). Il est donc nécessaire de personnaliser le format de ce fichier pour y intégrer le nom de l'hôte virtuel. Pour cela, on ajoutera un fichier <filename>/etc/apache2/conf-available/customlog.conf</filename> définissant un nouveau format (directive <literal>LogFormat</literal>) et on l'activera avec <command>a2enconf customlog</command>. Il faut également supprimer (ou passer en commentaire) la ligne <literal>CustomLog</literal> du fichier <filename>/etc/apache2/sites-available/000-default.conf</filename>.

en: The <filename>/etc/apache2/conf-available/customlog.conf</filename> file
fr-FR: Fichier <filename>/etc/apache2/conf-available/customlog.conf</filename>

en: 
    # New log format including (virtual) host name
    LogFormat "%v %h %l %u %t \"%r\" %&gt;s %b \"%{Referer}i\" \"%{User-Agent}i\"" vhost
    
    # Now let's use this "vhost" format by default
    CustomLog /var/log/apache2/access.log vhost
fr-FR: 
    # Nouveau format de log avec nom de l'hôte virtuel (vhost)
    LogFormat "%v %h %l %u %t \"%r\" %&gt;s %b \"%{Referer}i\" \"%{User-Agent}i\"" vhost
    
    # On emploie le format vhost en standard
    CustomLog /var/log/apache2/access.log vhost

en: Common Directives
fr-FR: Directives courantes

en: This section briefly reviews some of the commonly-used Apache configuration directives.
fr-FR: Cette section passe brièvement en revue quelques-unes des directives de configuration d'Apache les plus usitées.

en: <primary>directives, Apache</primary>
fr-FR: <primary>directives Apache</primary>

en: The main configuration file usually includes several <literal>Directory</literal> blocks; they allow specifying different behaviors for the server depending on the location of the file being served. Such a block commonly includes <literal>Options</literal> and <literal>AllowOverride</literal> directives.
fr-FR: Le fichier de configuration principal contient habituellement plusieurs blocs <literal>Directory</literal> destinés à paramétrer le comportement du serveur en fonction de l'emplacement du fichier servi. À l'intérieur de ce bloc, on trouve généralement les directives <literal>Options</literal> et <literal>AllowOverride</literal>.

en: Directory block
fr-FR: Bloc Directory

en: The <literal>DirectoryIndex</literal> directive contains a list of files to try when the client request matches a directory. The first existing file in the list is used and sent as a response.
fr-FR: La directive <literal>DirectoryIndex</literal> précise la liste des fichiers à essayer pour répondre à une requête sur un répertoire. Le premier fichier existant est appelé pour générer la réponse.

en: The <literal>Options</literal> directive is followed by a list of options to enable. The <literal>None</literal> value disables all options; correspondingly, <literal>All</literal> enables them all except <literal>MultiViews</literal>. Available options include:
fr-FR: La directive <literal>Options</literal> est suivie d'une liste d'options à activer. <literal>None</literal> désactive toutes les options. Inversement, <literal>All</literal> les active toutes sauf <literal>MultiViews</literal>. Voici les options existantes :

en: <literal>ExecCGI</literal> indicates that CGI scripts can be executed.
fr-FR: <literal>ExecCGI</literal> indique qu'il est possible d'exécuter des scripts CGI.

en: <literal>FollowSymlinks</literal> tells the server that symbolic links can be followed, and that the response should contain the contents of the target of such links.
fr-FR: <literal>FollowSymlinks</literal> indique au serveur qu'il doit suivre les liens symboliques et donc effectuer la requête sur le fichier réel qui en est la cible.

en: <literal>Includes</literal> enables <emphasis>Server Side Includes</emphasis> (<emphasis>SSI</emphasis> for short). These are directives embedded in HTML pages and executed on the fly for each request.
fr-FR: <literal>Includes</literal> active les inclusions côté serveur (<foreignphrase>Server Side Includes</foreignphrase>, ou SSI). Il s'agit de directives directement intégrées dans les pages HTML et exécutées à la volée à chaque requête.

en: <literal>MultiViews</literal> enables content negotiation; this can be used by the server to return a web page matching the preferred language as configured in the browser.
fr-FR: <literal>MultiViews</literal> active la négociation de contenu, ce qui permet notamment au serveur de renvoyer la page web correspondant à la langue annoncée par le navigateur web.

en: <emphasis>BACK TO BASICS</emphasis> <filename>.htaccess</filename> file
fr-FR: <emphasis>B.A.-BA</emphasis> Fichier <filename>.htaccess</filename>

en: The <filename>.htaccess</filename> file contains Apache configuration directives enforced each time a request concerns an element of the directory where it is stored. The scope of these directives also recurses to all the subdirectories within.
fr-FR: Le fichier <filename>.htaccess</filename> contient des directives de configuration d'Apache, prises en compte à chaque fois qu'une requête concerne un élément du répertoire où il est stocké. Sa portée embrasse également les fichiers de toute l'arborescence qui en est issue.

en: Most of the directives that can occur in a <literal>Directory</literal> block are also legal in a <filename>.htaccess</filename> file.
fr-FR: La plupart des directives qu'on peut placer dans un bloc <literal>Directory</literal> peut également se trouver dans un fichier <filename>.htaccess</filename>.

en: The <literal>AllowOverride</literal> directive lists all the options that can be enabled or disabled by way of a <filename>.htaccess</filename> file. A common use of this option is to restrict <literal>ExecCGI</literal>, so that the administrator chooses which users are allowed to run programs under the web server's identity (the <literal>www-data</literal> user).
fr-FR: La directive <literal>AllowOverride</literal> donne toutes les options qu'on peut activer ou désactiver par l'intermédiaire d'un fichier <filename>.htaccess</filename>. Il est souvent important de contrôler l'option <literal>ExecCGI</literal> pour rester maître des utilisateurs autorisés à exécuter un programme au sein du serveur web (sous l'identifiant <literal>www-data</literal>).

en: Requiring Authentication
fr-FR: Requérir une authentification

en: <primary>web authentication</primary>
fr-FR: <primary>authentification web</primary>

en: <filename>.htaccess</filename> file requiring authentication
fr-FR: Fichier <filename>.htaccess</filename> requérant une authentification

en: 
    Require valid-user
    AuthName "Private directory"
    AuthType Basic
    AuthUserFile /etc/apache2/authfiles/htpasswd-private
fr-FR: 
    Require valid-user
    AuthName "Répertoire privé"
    AuthType Basic
    AuthUserFile /etc/apache2/authfiles/htpasswd-prive

en: <emphasis>SECURITY</emphasis> No security
fr-FR: <emphasis>SÉCURITÉ</emphasis> Aucune sécurité

en: The authentication system used in the above example (<literal>Basic</literal>) has minimal security as the password is sent in clear text (it is only encoded as <emphasis>base64</emphasis>, which is a simple encoding rather than an encryption method). It should also be noted that the documents “protected” by this mechanism also go over the network in the clear. If security is important, the whole HTTP connection should be encrypted with SSL.
fr-FR: Ce système d'authentification (<literal>Basic</literal>) a une sécurité très faible puisque les mots de passe circulent sans protection (ils sont uniquement codés en <emphasis>base64</emphasis> — un simple encodage et non pas un procédé de chiffrement). Il faut noter que les documents protégés par ce mécanisme circulent également de manière non chiffrée. Si la sécurité vous importe, faites appel à SSL pour chiffrer toute la connexion HTTP.

en: The <filename>/etc/apache2/authfiles/htpasswd-private</filename> file contains a list of users and passwords; it is commonly manipulated with the <command>htpasswd</command> command. For example, the following command is used to add a user or change their password:
fr-FR: Le fichier <filename>/etc/apache2/authfiles/htpasswd-prive</filename> contient la liste des utilisateurs et leurs mots de passe ; on le manipule avec la commande <command>htpasswd</command>. Pour ajouter un utilisateur ou changer un mot de passe, on exécutera la commande suivante :

en: 
    <computeroutput># </computeroutput><userinput>htpasswd /etc/apache2/authfiles/htpasswd-private <replaceable>user</replaceable>
    </userinput><computeroutput>New password:
    Re-type new password:
    Adding password for user <replaceable>user</replaceable>
    </computeroutput>
fr-FR: 
    <computeroutput># </computeroutput><userinput>htpasswd /etc/apache2/authfiles/htpasswd-prive <replaceable>utilisateur</replaceable>
    </userinput><computeroutput>New password:
    Re-type new password:
    Adding password for user <replaceable>utilisateur</replaceable>
    </computeroutput>

en: Restricting Access
fr-FR: Restrictions d'accès

en: <primary>web access restriction</primary>
fr-FR: <primary>restriction d'accès web</primary>

en: The <literal>Require</literal> directive controls access restrictions for a directory (and its subdirectories, recursively). <ulink type="block" url="https://httpd.apache.org/docs/2.4/howto/access.html" />
fr-FR: La directive <literal>Require</literal> contrôle les restrictions d'accès à un répertoire (et ses sous-répertoires). <ulink type="block" url="https://httpd.apache.org/docs/2.4/howto/access.html" />

en: It can be used to restrict access based on many criteria; we will stop at describing access restriction based on the IP address of the client, but it can be made much more powerful than that, especially when several <literal>Require</literal> directives are combined within a <literal>RequireAll</literal> block.
fr-FR: Cette directive peut être utilisée pour restreindre les accès suivant de nombreux critères. Les restrictions d'accès basées sur les adresses IP du client sont décrites plus loin mais cette directive est bien plus puissante, tout particulièrement lorsque plusieurs directives <literal>Require</literal> sont combinées dans un bloc <literal>RequireAll</literal>.

en: Only allow from the local network
fr-FR: Uniquement autoriser le réseau local

en: <emphasis>ALTERNATIVE</emphasis> Old syntax
fr-FR: <emphasis>ALTERNATIVE</emphasis> Ancienne syntaxe

en: The <literal>Allow from</literal> and <literal>Deny from</literal> directives control access restrictions for a directory (and its subdirectories, recursively).
fr-FR: Les directives <literal>Allow from</literal> et <literal>Deny from</literal> contrôlent les restrictions d'accès à un répertoire (et ses sous-répertoires).

en: The <literal>Order</literal> directive tells the server of the order in which the <literal>Allow from</literal> and <literal>Deny from</literal> directives are applied; the last one that matches takes precedence. In concrete terms, <literal>Order deny,allow</literal> allows access if no <literal>Deny from</literal> applies, or if an <literal>Allow from</literal> directive does. Conversely, <literal>Order allow,deny</literal> rejects access if no <literal>Allow from</literal> directive matches (or if a <literal>Deny from</literal> directive applies).
fr-FR: La directive <literal>Order</literal> indique dans quel ordre évaluer les directives <literal>Allow from</literal> et <literal>Deny from</literal> (et la dernière qui s'applique est retenue). Concrètement, <literal>Order deny,allow</literal> autorise l'accès si aucune des règles <literal>Deny from</literal> ne s'applique ou si une des règles <literal>Allow from</literal> s'applique. Inversement, <literal>Order allow,deny</literal> refuse l'accès si aucune directive <literal>Allow from</literal> ne l'autorise (ou si une directive <literal>Deny from</literal> s'applique).

en: The <literal>Allow from</literal> and <literal>Deny from</literal> directives can be followed by an IP address, a network (such as <literal>192.168.0.0/255.255.255.0</literal>, <literal>192.168.0.0/24</literal> or even <literal>192.168.0</literal>), a hostname or a domain name, or the <literal>all</literal> keyword, designating everyone.
fr-FR: Les directives <literal>Allow from</literal> et <literal>Deny from</literal> peuvent être suivies d'une adresse IP, d'un réseau (exemples : <literal>192.168.0.0/255.255.255.0</literal>, <literal>192.168.0.0/24</literal> et même <literal>192.168.0</literal>), d'un nom de machine ou de domaine, ou du mot-clé <literal>all</literal> désignant tout le monde.

en: For instance, to reject connections by default but allow them from the local network, you could use this:
fr-FR: Par exemple, pour interdire les connexions par défaut mais les autoriser depuis le réseau local, il est possible d'utiliser :

en: Log Analyzers
fr-FR: Analyseur de logs

en: A log analyzer is frequently installed on a web server; since the former provides the administrators with a precise idea of the usage patterns of the latter.
fr-FR: L'analyseur de logs est un compagnon fréquent du serveur web puisqu'il permet aux administrateurs d'avoir une idée plus précise de l'usage fait de ce service.

en: The Falcot Corp administrators selected <emphasis>AWStats</emphasis> (<emphasis>Advanced Web Statistics</emphasis>) to analyze their Apache log files.
fr-FR: Les administrateurs de Falcot SA ont retenu <emphasis>AWStats</emphasis> (<foreignphrase>Advanced Web Statistics</foreignphrase>, ou statistiques web avancées) pour analyser les fichiers de logs d'Apache.

en: <primary>web logs analyzer</primary>
fr-FR: <primary>analyseur de logs web</primary>

en: The first configuration step is the customization of the <filename>/etc/awstats/awstats.conf</filename> file. The Falcot administrators keep it unchanged apart from the following parameters:
fr-FR: La première étape de la configuration consiste à créer le fichier <filename>/etc/awstats/awstats.conf</filename>.  Les administrateurs de Falcot n'ont modifié que les différents paramètres donnés ci-dessous :

en: All these parameters are documented by comments in the template file. In particular, the <varname>LogFile</varname> and <varname>LogFormat</varname> parameters describe the location and format of the log file and the information it contains; <varname>SiteDomain</varname> and <varname>HostAliases</varname> list the various names under which the main web site is known.
fr-FR: Tous ces paramètres sont documentés par commentaires dans le fichier modèle. <varname>LogFile</varname> et <varname>LogFormat</varname> indiquent l'emplacement du fichier de log et les informations qu'il contient. Les paramètres <varname>SiteDomain</varname> et <varname>HostAliases</varname> indiquent les différents noms associés au site web principal.

en: For high traffic sites, <varname>DNSLookup</varname> should usually not be set to <literal>1</literal>; for smaller sites, such as the Falcot one described above, this setting allows getting more readable reports that include full machine names instead of raw IP addresses.
fr-FR: Pour les sites à fort trafic, il est déconseillé de positionner <varname>DNSLookup</varname> à <literal>1</literal> comme dans l'exemple précédent. En revanche, pour les petits sites, ce réglage permet d'avoir des rapports plus lisibles qui emploient les noms complets des machines plutôt que leurs adresses IP.

en: <emphasis>SECURITY</emphasis> Access to statistics
fr-FR: <emphasis>SÉCURITÉ</emphasis> Accès aux statistiques

en: AWStats makes its statistics available on the website with no restrictions by default, but restrictions can be set up so that only a few (probably internal) IP addresses can access them; the list of allowed IP addresses needs to be defined in the <varname>AllowAccessFromWebToFollowingIPAddresses</varname> parameter
fr-FR: Les statistiques d'AWStats sont disponibles sur le site web sans restrictions. On pourra le protéger de manière à ce que seules quelques adresses IP (internes probablement) puissent y accéder. Cela s'effectue en donnant la liste des adresses IP autorisées dans le paramètre <varname>AllowAccessFromWebToFollowingIPAddresses</varname>

en: AWStats will also be enabled for other virtual hosts; each virtual host needs its own configuration file, such as <filename>/etc/awstats/awstats.www.falcot.org.conf</filename>.
fr-FR: On activera AWStats pour d'autres hôtes virtuels, en créant un fichier spécifique par hôte, par exemple <filename>/etc/awstats/awstats.www.falcot.org.conf</filename>.

en: AWStats configuration file for a virtual host
fr-FR: Fichier de configuration AWStats pour un hôte virtuel

en: After a few minutes (and once the script has been run a few times), the results are available online: <ulink type="block" url="http://www.falcot.com/cgi-bin/awstats.pl" /><ulink type="block" url="http://www.falcot.org/cgi-bin/awstats.pl" />
fr-FR: Après quelques minutes (et les premières exécutions du script), le résultat est accessible en ligne : <ulink type="block" url="http://www.falcot.com/cgi-bin/awstats.pl" /> <ulink type="block" url="http://www.falcot.org/cgi-bin/awstats.pl" />

en: <emphasis>CAUTION</emphasis> Log file rotation
fr-FR: <emphasis>ATTENTION</emphasis> Rotation de logs

en: FTP File Server
fr-FR: Serveur de fichiers FTP

en: <primary>File Transfer Protocol</primary>
fr-FR: <primary><foreignphrase>File Transfer Protocol</foreignphrase></primary>

en: <primary>server</primary><secondary>file</secondary>
fr-FR: <primary>serveur</primary><secondary>de fichiers</secondary>

en: <primary>server</primary><secondary>FTP</secondary>
fr-FR: <primary>serveur</primary><secondary>FTP</secondary>

en: FTP (<emphasis>File Transfer Protocol</emphasis>) is one of the first protocols of the Internet (RFC 959 was issued in 1985!). It was used to distribute files before the Web was even born (the HTTP protocol was created in 1990, and formally defined in its 1.0 version by RFC 1945, issued in 1996).
fr-FR: Le protocole de transfert de fichiers FTP (<foreignphrase>File Transfer Protocol</foreignphrase>) est un des premiers protocoles d'Internet (la RFC 959 date de 1985 !). Il a servi à diffuser des fichiers avant même l'invention du Web (la RFC 1945 décrivant le protocole HTTP/1.0 date de 1996 mais ce dernier existait depuis 1990).

en: Other FTP servers are mainly used to distribute files for public downloading; Debian packages are a good example. The contents of these servers is fetched from other, geographically remote, servers; it is then made available to less distant users. This means that client authentication is not required; as a consequence, this operating mode is known as “anonymous FTP”. To be perfectly correct, the clients do authenticate with the <literal>anonymous</literal> username; the password is often, by convention, the user's email address, but the server ignores it.
fr-FR: D'autres serveurs FTP servent essentiellement à diffuser des fichiers que les gens souhaitent télécharger. C'est le cas, par exemple, avec les paquets Debian. Le contenu de ces serveurs FTP est récupéré depuis divers autres serveurs géographiquement éloignés et mis à disposition des utilisateurs locaux. Dans ce cas, l'authentification du client n'est pas nécessaire ; on parle de FTP anonyme et l'accès est en lecture seule. En réalité, le client s'authentifie avec le nom d'utilisateur <literal>anonymous</literal> et un mot de passe quelconque (qui est souvent, par convention, l'adresse électronique de l'usager).

en: Installing the package creates an <literal>ftp</literal> system user. This account is always used for anonymous FTP connections, and its home directory (<filename>/srv/ftp/</filename>) is the root of the tree made available to users connecting to this service. The default configuration (in <filename>/etc/vsftpd.conf</filename>) requires some changes to cater to the simple need of making big files available for public downloads: anonymous access needs to be enabled (<literal>anonymous_enable=YES</literal>) and read-only access of local users needs to be disabled (<literal>local_enable=NO</literal>). The latter is particularly important since the FTP protocol doesn't use any form of encryption and the user password could be intercepted over the wire.
fr-FR: L'installation du paquet entraîne la création d'un utilisateur système <literal>ftp</literal>. Ce compte est systématiquement employé pour gérer les connexions FTP anonymes et son répertoire personnel (<filename>/srv/ftp/</filename>) est la racine de l'arborescence mise à disposition des utilisateurs se connectant sur le service. La configuration par défaut (telle que détaillée dans <filename>/etc/vsftpd.conf</filename>) nécessite quelques modifications pour répondre au simple besoin de mise à disposition publique de gros fichiers : l'accès anonyme doit être activé (<literal>anonymous=YES</literal>) et l'accès (en lecture seule) des utilisateurs locaux doit être désactivé (<literal>local_enable=NO</literal>). Ce dernier point est particulièrement important car le protocole FTP n'utilise pas de chiffrement et le mot de passe de l'utilisateur pourrait être intercepté à la volée.

en: NFS File Server
fr-FR: Serveur de fichiers NFS

en: <primary>server</primary><secondary>NFS</secondary>
fr-FR: <primary>serveur</primary><secondary>NFS</secondary>

en: NFS (<emphasis>Network File System</emphasis>) is a protocol allowing remote access to a filesystem through the network. All Unix systems can work with this protocol.
fr-FR: NFS <foreignphrase>(Network File System)</foreignphrase> est un protocole qui permet d'accéder à un système de fichiers à distance par le réseau, pris en charge par tous les systèmes Unix.

en: <primary>filesystem</primary><secondary>network</secondary>
fr-FR: <primary>système</primary><secondary>de fichiers réseau</secondary>

en: <primary>file</primary><secondary>server</secondary>
fr-FR: <primary>fichiers</primary><secondary>serveur de</secondary>

en: NFS is a very useful tool but, historically, it has suffered from many limitations, most of which have been addressed with version 4 of the protocol. The downside is that the latest version of NFS is harder to configure when you want to make use of basic security features such as authentication and encryption since it relies on Kerberos for those parts. And without those, the NFS protocol must be restricted to a trusted local network since data goes over the network unencrypted (a <emphasis>sniffer</emphasis> can intercept it) and access rights are granted based on the client's IP address (which can be spoofed).
fr-FR: NFS est un outil très utile. S'il avait de nombreuses limitations auparavant, elles ont pour la plupart disparu avec la version 4 du protocole. L'inconvénient est que la dernière version de NFS est désormais plus difficile à configurer dès que l'on veut utiliser des fonctions de sécurité de base telles que l'authentification et le chiffrement, puisqu'il repose sur Kerberos pour ces fonctionnalités. Et sans ces deux dernières, l'utilisation du protocole NFS doit se limiter à un réseau local de confiance car les données qui circulent sur le réseau ne sont pas chiffrées (un <emphasis><foreignphrase>sniffer</foreignphrase></emphasis> peut les intercepter) et les droits d'accès sont accordés en fonction de l'adresse IP du client (qui peut être usurpée).

en: <emphasis>DOCUMENTATION</emphasis> NFS HOWTO
fr-FR: <emphasis>DOCUMENTATION</emphasis> NFS howto

en: Good documentation to deploy NFSv4 is rather scarce. Here are some pointers with content of varying quality but that should at least give some hints on what should be done. <ulink type="block" url="https://help.ubuntu.com/community/NFSv4Howto" /> <ulink type="block" url="https://wiki.linux-nfs.org/wiki/index.php/Nfsv4_configuration" />
fr-FR: Trouver de la bonne documentation sur NFSv4 est assez difficile. Voici quelques liens vers des explications de qualité variable mais qui donnent au moins quelques indications (en anglais) sur ce qu'il convient de faire. <ulink type="block" url="https://help.ubuntu.com/community/NFSv4Howto" /> <ulink type="block" url="https://wiki.linux-nfs.org/wiki/index.php/Nfsv4_configuration" />

en: Securing NFS
fr-FR: Sécuriser NFS (au mieux)

en: <primary>NFS</primary><secondary>security</secondary>
fr-FR: <primary>NFS</primary><secondary>sécurité</secondary>

en: If you don't use the Kerberos-based security features, it is vital to ensure that only the machines allowed to use NFS can connect to the various required RPC servers, because the basic protocol trusts the data received from the network. The firewall must also block <emphasis>IP spoofing</emphasis> so as to prevent an outside machine from acting as an inside one, and access to the appropriate ports must be restricted to the machines meant to access the NFS shares.
fr-FR: Si les fonctionnalités de sécurité de Kerberos ne sont pas utilisées, il faut s'assurer que seules les machines autorisées à l'employer peuvent se connecter aux différents serveurs RPC qui lui permettent de fonctionner, car le protocole de base considère les données reçues du réseau comme des données sûres. Le pare-feu doit donc interdire l'usurpation d'adresse IP <foreignphrase>(IP spoofing)</foreignphrase> pour qu'une machine extérieure ne puisse pas se faire passer pour une machine intérieure, et les différents ports employés doivent être restreints aux machines devant accéder aux partages NFS.

en: <emphasis>BACK TO BASICS</emphasis> RPC
fr-FR: <emphasis>B.A.-BA</emphasis> RPC

en: RPC (<emphasis>Remote Procedure Call</emphasis>) is a Unix standard for remote services. NFS is one such service.
fr-FR: RPC (<foreignphrase>Remote Procedure Call</foreignphrase>, ou appel de procédure distante) est un standard Unix pour des services distants. NFS est un service RPC.

en: RPC services register to a directory known as the <emphasis>portmapper</emphasis>. A client wishing to perform an NFS query first addresses the <emphasis>portmapper</emphasis> (on port 111, either TCP or UDP), and asks for the NFS server; the reply usually mentions port 2049 (the default for NFS). Not all RPC services necessarily use a fixed port.
fr-FR: Les services RPC s'enregistrent dans un annuaire, le <foreignphrase>portmapper</foreignphrase>. Un client désireux d'effectuer une requête NFS s'adresse au <foreignphrase>portmapper</foreignphrase> (port 111 en TCP ou UDP) et lui demande où se trouve le serveur NFS. On lui répond généralement en indiquant le port 2049 (port par défaut pour NFS). Tous les services RPC ne disposent pas nécessairement d'un port fixe.

en: Older versions of the protocol required other RPC services which used dynamically assigned ports. Fortunately, with NFS version 4, only port 2049 (for NFS) and 111 (for the portmapper) are needed and they are thus easy to firewall.
fr-FR: Les anciennes versions du protocole nécessitaient d'autres services RPC qui utilisaient des ports assignés dynamiquement. Heureusement, avec la version 4 de NFS, seul le port 2049 (pour NFS) et 111 (pour l'annuaire, le <foreignphrase>portmapper</foreignphrase>) sont nécessaires et ils sont donc faciles à filtrer avec le pare-feu.

en: NFS Server
fr-FR: Serveur NFS

en: <primary>NFS</primary><secondary>server</secondary>
fr-FR: <primary>NFS</primary><secondary>serveur</secondary>

en: The NFS server is part of the Linux kernel; in kernels provided by Debian it is built as a kernel module. If the NFS server is to be run automatically on boot, the <emphasis role="pkg">nfs-kernel-server</emphasis> package should be installed; it contains the relevant start-up scripts.
fr-FR: Le serveur NFS est intégré au noyau Linux ; Debian le compile dans ses noyaux sous forme de module. Pour l'activer automatiquement à chaque démarrage, il faut installer le paquet <emphasis role="pkg">nfs-kernel-server</emphasis>, qui contient les scripts d'initialisation adéquats.

en: 
    /directory/to/share machine1(option1,option2,...) machine2(...) ...
fr-FR: 
    /repertoire/a/partager machine1(option1,option2,...) machine2(...) ...

en: Note that with NFSv4, all exported directories must be part of a single hierarchy and that the root directory of that hierarchy must be exported and identified with the option <literal>fsid=0</literal> or <literal>fsid=root</literal>.
fr-FR: Il est important de remarquer qu'avec NFSv4, tous les répertoires exportés doivent faire partie d'une seule et même arborescence, et que le répertoire racine de cette arborescence doit être exporté et identifié avec l'option <literal>fsid=0</literal> ou <literal>fsid=root</literal>.

en: Each machine can be identified either by its DNS name or its IP address. Whole sets of machines can also be specified using either a syntax such as <literal>*.falcot.com</literal> or an IP address range such as <literal>192.168.0.0/255.255.255.0</literal> or <literal>192.168.0.0/24</literal>.
fr-FR: Chaque machine est identifiée par son nom DNS ou son adresse IP. Il est aussi possible de spécifier un ensemble de machines en employant la syntaxe <literal>*.falcot.com</literal> ou en décrivant une plage complète d'adresses IP (exemples : <literal>192.168.0.0/255.255.255.0</literal>, <literal>192.168.0.0/24</literal>).

en: Directories are made available as read-only by default (or with the <literal>ro</literal> option). The <literal>rw</literal> option allows read-write access. NFS clients typically connect from a port restricted to root (in other words, below 1024); this restriction can be lifted by the <literal>insecure</literal> option (the <literal>secure</literal> option is implicit, but it can be made explicit if needed for clarity).
fr-FR: Par défaut, un partage n'est accessible qu'en lecture seule (option <literal>ro</literal> comme <foreignphrase>read only</foreignphrase>). L'option <literal>rw</literal> (comme <foreignphrase>read-write</foreignphrase>) donne un accès en lecture/écriture. Les clients NFS doivent se connecter depuis un port réservé à root (c'est-à-dire inférieur à 1 024) à moins que l'option <literal>insecure</literal> (« pas sûr ») n'ait été employée (l'option <literal>secure</literal> — « sûr » — est implicite en l'absence de <literal>insecure</literal>, mais on peut quand même la mentionner).

en: By default, the server only answers an NFS query when the current disk operation is complete (<literal>sync</literal> option); this can be disabled with the <literal>async</literal> option. Asynchronous writes increase performance a bit, but they decrease reliability since there is a data loss risk in case of the server crashing between the acknowledgment of the write and the actual write on disk. Since the default value changed recently (as compared to the historical value of NFS), an explicit setting is recommended.
fr-FR: Le serveur ne répond à une requête NFS que lorsque l'opération sur disque a été complétée (option <literal>sync</literal>). L'option <literal>async</literal> (asynchrone) désactive cette fonctionnalité et améliore quelque peu les performances, au détriment de la fiabilité puisqu'il subsiste alors un risque de perte de données en cas de <foreignphrase>crash</foreignphrase> du serveur (des données acquittées par le serveur NFS n'auront pas été sauvegardées sur le disque avant le <foreignphrase>crash</foreignphrase>). La valeur par défaut de cette option ayant changé récemment (par rapport à l'historique de NFS), il est recommandé de toujours mentionner explicitement l'option souhaitée.

en: With NFSv4, you can add a <literal>sec</literal> option to indicate the security level that you want: <literal>sec=sys</literal> is the default with no special security features, <literal>sec=krb5</literal> enables authentication only, <literal>sec=krb5i</literal> adds integrity protection, and <literal>sec=krb5p</literal> is the most complete level which includes privacy protection (with data encryption). For this to work you need a working Kerberos setup (that service is not covered by this book).
fr-FR: Avec NFSv4, il est possible d'ajouter une option <literal>sec</literal> pour préciser le niveau de sécurité souhaité : <literal>sec=sys</literal> est la valeur par défaut sans aucune sécurité particulière, <literal>sec=krb5</literal> active uniquement l'authentification, <literal>sec=krb5i</literal> y ajoute une protection d'intégrité, et <literal>sec=krb5p</literal> est le plus haut niveau qui inclut la protection de la confidentialité (avec le chiffrement des données). Pour que cela puisse marcher, une installation fonctionnelle de Kerberos est nécessaire (ce service n'est pas traité par ce livre).

en: Other options are available; they are documented in the <citerefentry><refentrytitle>exports</refentrytitle> <manvolnum>5</manvolnum></citerefentry> manual page.
fr-FR: D'autres options existent encore, que vous découvrirez dans la page de manuel <citerefentry><refentrytitle>exports</refentrytitle><manvolnum>5</manvolnum></citerefentry>.

en: <emphasis>CAUTION</emphasis> First installation
fr-FR: <emphasis>ATTENTION</emphasis> Première installation

en: NFS Client
fr-FR: Client NFS

en: Manually mounting with the <command>mount</command> command
fr-FR: Montage manuel avec la commande <command>mount</command>

en: 
    <computeroutput># </computeroutput><userinput>mount -t nfs4 -o rw,nosuid arrakis.internal.falcot.com:/shared /srv/shared</userinput>
fr-FR: 
    <computeroutput># </computeroutput><userinput>mount -t nfs4 -o rw,nosuid arrakis.interne.falcot.com:/partage /srv/partage</userinput>

en: NFS entry in the <filename>/etc/fstab</filename> file
fr-FR: Entrée NFS dans le fichier <filename>/etc/fstab</filename>

en: 
    arrakis.internal.falcot.com:/shared /srv/shared nfs4 rw,nosuid 0 0
fr-FR: 
    arrakis.interne.falcot.com:/partage /srv/partage nfs4 rw,nosuid 0 0

en: The entry described above mounts, at system startup, the NFS directory <filename>/shared/</filename> from the <literal>arrakis</literal> server into the local <filename>/srv/shared/</filename> directory. Read-write access is requested (hence the <literal>rw</literal> parameter). The <literal>nosuid</literal> option is a protection measure that wipes any <literal>setuid</literal> or <literal>setgid</literal> bit from programs stored on the share. If the NFS share is only meant to store documents, another recommended option is <literal>noexec</literal>, which prevents executing programs stored on the share. Note that on the server, the <filename>shared</filename> directory is below the NFSv4 root export (for example <filename>/export/shared</filename>), it is not a top-level directory.
fr-FR: L'entrée ci-dessus monte automatiquement à chaque démarrage le répertoire NFS <filename>/partage/</filename> présent sur le serveur <literal>arrakis</literal> dans le répertoire local <filename>/srv/partage/</filename>. L'accès demandé est en lecture/écriture (paramètre <literal>rw</literal>). L'option <literal>nosuid</literal> est une mesure de protection qui supprime tout bit <literal>setuid</literal> ou <literal>setgid</literal> présent sur les programmes contenus dans le partage NFS. Si le répertoire NFS est dédié au stockage de documents, il est recommandé d'employer de plus l'option <literal>noexec</literal> qui empêche l'exécution de programmes par NFS. Il est important de noter que sur le serveur, le répertoire <filename>partage</filename> est situé sous l'export de la racine NFSv4 (par exemple <filename>/export/partage</filename>), ce n'est pas un répertoire de premier niveau de l'arborescence.

en: The <citerefentry><refentrytitle>nfs</refentrytitle> <manvolnum>5</manvolnum></citerefentry> manual page describes all the options in some detail.
fr-FR: La page de manuel <citerefentry><refentrytitle>nfs</refentrytitle><manvolnum>5</manvolnum></citerefentry> détaille toutes les options possibles.

en: Setting Up Windows Shares with Samba
fr-FR: Partage Windows avec Samba

en: <primary>Windows share</primary>
fr-FR: <primary>partage Windows</primary>

en: <primary>server</primary><secondary>SMB</secondary>
fr-FR: <primary>serveur</primary><secondary>SMB</secondary>

en: <primary>server</primary><secondary>CIFS</secondary>
fr-FR: <primary>serveur</primary><secondary>CIFS</secondary>

en: Samba is a suite of tools handling the SMB protocol (also known as “CIFS”) on Linux. This protocol is used by Windows for network shares and shared printers.
fr-FR: Samba est une suite d'outils qui permettent de gérer le protocole SMB (aussi appelé « CIFS ») sous Linux.  Ce dernier est employé par Windows pour accéder aux partages réseau et aux imprimantes partagées.

en: Samba can also act as a Windows domain controller. This is an outstanding tool for ensuring seamless integration of Linux servers and the office desktop machines still running Windows.
fr-FR: Samba sait également jouer le rôle de contrôleur de domaine Windows. C'est un outil extraordinaire pour assurer une cohabitation parfaite entre les serveurs sous Linux et les machines de bureautique encore sous Windows.

en: Samba Server
fr-FR: Samba en serveur

en: <primary>server</primary><secondary>Samba</secondary>
fr-FR: <primary>serveur</primary><secondary>Samba</secondary>

en: <primary>Samba</primary><secondary>server</secondary>
fr-FR: <primary>Samba</primary><secondary>serveur</secondary>

en: The <emphasis role="pkg">samba</emphasis> package contains the main two servers of Samba 4, <command>smbd</command> and <command>nmbd</command>.
fr-FR: Le paquet Debian <emphasis role="pkg">samba</emphasis> contient les deux principaux serveurs de Samba 4 (<command>smbd</command> et <command>nmbd</command>).

en: <primary><command>smbd</command></primary>
fr-FR: <primary><emphasis>smbd</emphasis></primary>

en: <primary><command>nmbd</command></primary>
fr-FR: <primary><emphasis>nmbd</emphasis></primary>

en: <emphasis>DOCUMENTATION</emphasis> Going further
fr-FR: <emphasis>DOCUMENTATION</emphasis> Pour aller plus loin

en: <primary>domain controller</primary>
fr-FR: <primary>contrôleur de domaine</primary>

en: <primary>Windows domain</primary>
fr-FR: <primary>domaine Windows</primary>

en: <emphasis>TOOL</emphasis> Authenticating with a Windows Server
fr-FR: <emphasis>OUTIL</emphasis> Authentifier à l'aide d'un serveur Windows

en: Winbind gives system administrators the option of using a Windows server as an authentication server. Winbind also integrates cleanly with PAM and NSS. This allows setting up Linux machines where all users of a Windows domain automatically get an account.
fr-FR: Winbind permet d'utiliser un serveur Windows comme serveur d'authentification et s'intègre à PAM et à NSS. Il est ainsi possible de mettre en place des machines Linux où tous les utilisateurs d'un domaine Windows disposeront automatiquement d'un compte.

en: Configuring with <command>debconf</command>
fr-FR: Configuration avec <command>debconf</command>

en: Configuring Manually
fr-FR: Configuration manuelle

en: Changes to <filename>smb.conf</filename>
fr-FR: Modifications à <filename>smb.conf</filename>

en: The requirements at Falcot require other options to be modified in the <filename>/etc/samba/smb.conf</filename> configuration file. The following excerpts summarize the changes that were effected in the <literal>[global]</literal> section.
fr-FR: Pour adapter le serveur aux besoins de Falcot, il faut modifier d'autres options dans le fichier de configuration de Samba, <filename>/etc/samba/smb.conf</filename>. Les extraits ci-dessous résument les changements effectués au sein de la section <literal>[global]</literal>.

en: This is the default value for this parameter; however, since it is central to the Samba configuration, filling it explicitly is recommended. Each user must authenticate before accessing any share.
fr-FR: C'est la valeur par défaut de ce paramètre. Comme il est central à la configuration de Samba, il est toutefois raisonnable de le renseigner de manière explicite. Chaque utilisateur doit s'authentifier avant de pouvoir accéder au moindre partage.

en: Adding Users
fr-FR: Ajout des utilisateurs

en: Each Samba user needs an account on the server; the Unix accounts must be created first, then the user needs to be registered in Samba's database. The Unix step is done quite normally (using <command>adduser</command> for instance).
fr-FR: Chaque utilisateur de Samba ayant besoin d'un compte sur le serveur, il faut créer les comptes Unix puis enregistrer chaque utilisateur dans la base de données de Samba. La création des comptes Unix se réalise tout à fait normalement (avec la commande <command>adduser</command> par exemple).

en: Adding an existing user to the Samba database is a matter of running the <command>smbpasswd -a <replaceable>user</replaceable></command> command; this command asks for the password interactively.
fr-FR: L'ajout d'un utilisateur existant dans la base de données de Samba s'effectue par la commande <command>smbpasswd -a <replaceable>utilisateur</replaceable></command>, qui demande le mot de passe interactivement.

en: A user can be deleted with the <command>smbpasswd -x <replaceable>user</replaceable></command> command. A Samba account can also be temporarily disabled (with <command>smbpasswd -d <replaceable>user</replaceable></command>) and re-enabled later (with <command>smbpasswd -e <replaceable>user</replaceable></command>).
fr-FR: On supprime un utilisateur avec la commande <command>smbpasswd -x <replaceable>utilisateur</replaceable></command>. Un compte Samba peut n'être que gelé quelque temps avec la commande <command>smbpasswd -d <replaceable>utilisateur</replaceable></command>, puis réactivé avec <command>smbpasswd -e <replaceable>utilisateur</replaceable></command>.

en: Samba Client
fr-FR: Samba en client

en: The client features in Samba allow a Linux machine to access Windows shares and shared printers. The required programs are available in the <emphasis role="pkg">cifs-utils</emphasis> and <emphasis role="pkg">smbclient</emphasis> packages.
fr-FR: Les fonctionnalités clientes de Samba donnent à une machine Linux l'accès à des partages Windows et à des imprimantes partagées. Les paquets Debian <emphasis role="pkg">cifs-utils</emphasis> et <emphasis role="pkg">smbclient</emphasis> regroupent les programmes clients nécessaires.

en: The <command>smbclient</command> Program
fr-FR: Le programme <command>smbclient</command>

en: The <command>smbclient</command> program queries SMB servers. It accepts a <literal>-U <replaceable>user</replaceable></literal> option, for connecting to the server under a specific identity. <command>smbclient //<replaceable>server</replaceable>/<replaceable>share</replaceable></command> accesses the share in an interactive way similar to the command-line FTP client. <command>smbclient -L <replaceable>server</replaceable></command> lists all available (and visible) shares on a server.
fr-FR: Le programme <command>smbclient</command> interroge tous les serveurs SMB. Il accepte l'option <literal>-U <replaceable>utilisateur</replaceable></literal> pour se connecter au serveur sous une autre identité. <command>smbclient //<replaceable>serveur</replaceable>/<replaceable>partage</replaceable></command> accède au partage de manière interactive (comme le client FTP en ligne de commande). <command>smbclient -L <replaceable>serveur</replaceable></command> donne la liste des partages disponibles (et visibles).

en: Mounting Windows Shares
fr-FR: Monter un partage Windows

en: The <command>mount</command> command allows mounting a Windows share into the Linux filesystem hierarchy (with the help of <command>mount.cifs</command> provided by <emphasis role="pkg">cifs-utils</emphasis>).
fr-FR: La commande <command>mount</command> permet de monter un partage Windows dans l'arborescence du système Linux (avec l'aide de <command>mount.cifs</command> fourni par <emphasis role="pkg">cifs-utils</emphasis>).

en: Mounting a Windows share
fr-FR: Montage d'un partage Windows

en: The <filename>/etc/smb-credentials</filename> file (which must not be readable by users) has the following format:
fr-FR: Le fichier <filename>/etc/smb-credentials</filename> ne sera pas lisible par les utilisateurs et respectera le format suivant :

en: 
    username = <replaceable>user</replaceable>
    password = <replaceable>password</replaceable>
fr-FR: 
    username = <replaceable>utilisateur</replaceable>
    password = <replaceable>mot_de_passe</replaceable>

en: Other options can be specified on the command-line; their full list is available in the <citerefentry><refentrytitle>mount.cifs</refentrytitle> <manvolnum>1</manvolnum></citerefentry> manual page. Two options in particular can be interesting: <literal>uid</literal> and <literal>gid</literal> allow forcing the owner and group of files available on the mount, so as not to restrict access to root.
fr-FR: On peut préciser d'autres options sur la ligne de commande, que la page de manuel <citerefentry><refentrytitle>mount.cifs</refentrytitle><manvolnum>1</manvolnum></citerefentry> détaille. Deux options intéressantes permettent de forcer l'utilisateur (<literal>uid</literal>) et le groupe (<literal>gid</literal>) propriétaire des fichiers accessibles sur le montage afin de ne pas restreindre l'accès à root.

en: A mount of a Windows share can also be configured in <filename>/etc/fstab</filename>:
fr-FR: Il est aussi possible de configurer le montage d'un partage Windows dans <filename>/etc/fstab</filename> :

en: 
    //<replaceable>server</replaceable>/shared /shared cifs credentials=/etc/smb-credentials
fr-FR: 
    //<replaceable>serveur</replaceable>/shared /shared cifs credentials=/etc/smb-credentials

en: Printing on a Shared Printer
fr-FR: Imprimer sur une imprimante partagée

en: CUPS is an elegant solution for printing from a Linux workstation to a printer shared by a Windows machine. When the <emphasis role="pkg">smbclient</emphasis> is installed, CUPS allows installing Windows shared printers automatically.
fr-FR: Cups est une solution élégante pour imprimer sur une imprimante partagée par une machine Windows depuis un poste Linux. Si le paquet <emphasis role="pkg">smbclient</emphasis> est installé, Cups offre la possibilité d'installer automatiquement une imprimante partagée par un poste Windows.

en: <primary>printing</primary><secondary>network</secondary>
fr-FR: <primary>impression</primary><secondary>réseau</secondary>

en: Here are the required steps:
fr-FR: Voici les étapes à suivre :

en: Enter the CUPS configuration interface: <literal>http://localhost:631/admin</literal>
fr-FR: Entrer dans l'interface de configuration de CUPS : <literal>http://localhost:631/admin</literal>

en: Click on “Add Printer”.
fr-FR: Cliquer sur « Ajouter une imprimante ».

en: Choose the printer device, pick “Windows Printer via SAMBA”.
fr-FR: Choisir le périphérique de l'imprimante : <guimenuitem>Windows Printer via SAMBA</guimenuitem>.

en: Enter the connection URI for the network printer. It should look like the following:
fr-FR: L'URI décrivant l'imprimante doit avoir la forme suivante :

en: <literal>smb://<replaceable>user</replaceable>:<replaceable>password</replaceable>@<replaceable>server</replaceable>/<replaceable>printer</replaceable></literal>.
fr-FR: <literal>smb://<replaceable>utilisateur</replaceable>:<replaceable>motdepasse</replaceable>@<replaceable>serveur</replaceable>/<replaceable>imprimante</replaceable></literal>.

en: Enter the name that will uniquely identify this printer. Then enter the description and location of the printer. Those are the strings that will be shown to end users to help them identify the printers.
fr-FR: Saisir le nom qui identifiera cette imprimante de manière unique, puis une description pour cette imprimante et sa localisation.  Ces informations seront utiles aux utilisateurs, et leur permettront d'identifier les imprimantes.

en: Indicate the manufacturer/model of the printer, or directly provide a working printer description file (PPD).
fr-FR: Indiquer les noms du fabricant et du modèle de l'imprimante, ou fournir directement un fichier de description d'imprimante (PPD).

en: Voilà, the printer is operational!
fr-FR: Et voilà, l'imprimante est fonctionnelle !

en: HTTP/FTP Proxy
fr-FR: Mandataire HTTP/FTP

en: An HTTP/FTP proxy acts as an intermediary for HTTP and/or FTP connections. Its role is twofold:
fr-FR: Un mandataire HTTP/FTP (ou proxy) est un intermédiaire pour les connexions HTTP et/ou FTP. Son rôle est double :

en: Caching: recently downloaded documents are copied locally, which avoids multiple downloads.
fr-FR: Celui de serveur cache : il garde une copie des documents téléchargés pour éviter de les rapatrier plusieurs fois.

en: Filtering server: if use of the proxy is mandated (and outgoing connections are blocked unless they go through the proxy), then the proxy can determine whether or not the request is to be granted.
fr-FR: Celui de serveur filtrant s'il est obligatoire et que les connexions sortantes sont par ailleurs bloquées. En tant qu'intermédiaire inévitable, il a en effet la liberté d'effectuer ou non la requête demandée.

en: <primary>HTTP/FTP proxy</primary>
fr-FR: <primary>mandataire HTTP/FTP</primary>

en: Falcot Corp selected Squid as their proxy server.
fr-FR: Le serveur mandataire employé par Falcot SA est Squid.

en: Installing
fr-FR: Installation

en: Prior to installing, care should be taken to check that the system can identify its own complete name: the <command>hostname -f</command> must return a fully-qualified name (including a domain). If it does not, then the <filename>/etc/hosts</filename> file should be edited to contain the full name of the system (for instance, <literal>arrakis.falcot.com</literal>). The official computer name should be validated with the network administrator in order to avoid potential name conflicts.
fr-FR: Préalablement à l'installation, il faut vérifier que le système est capable d'identifier son nom complet. La commande <command>hostname -f</command> doit renvoyer un nom long (incluant un nom de domaine). Si ce n'est pas le cas, il faut modifier <filename>/etc/hosts</filename> pour documenter le nom complet du système (exemple : <literal>arrakis.falcot.com</literal>). N'hésitez pas à faire valider le nom officiel de l'ordinateur avec votre administrateur réseau afin de ne pas créer de conflits inutiles.

en: Configuring a Cache
fr-FR: Configuration d'un cache

en: Configuring a Filter
fr-FR: Configuration d'un filtre

en: The working database must be regenerated with <command>update-squidguard</command> after each change of the <command>squidGuard</command> configuration file (or one of the lists of domains or URLs it mentions). The configuration file syntax is documented on the following website: <ulink type="block" url="http://www.squidguard.org/Doc/configure.html" />
fr-FR: Après chaque modification du fichier de configuration de <command>squidGuard</command> ou de l'une des listes de domaines ou d'URL qu'il mentionne, il est nécessaire de régénérer la base de données de travail. Cela s'effectue en exécutant la commande <command>update-squidguard</command>. Le format du fichier de configuration est documenté sur le site web suivant : <ulink type="block" url="http://www.squidguard.org/Doc/configure.html" />

en: LDAP Directory
fr-FR: Annuaire LDAP

en: <primary>directory, LDAP</primary>
fr-FR: <primary>annuaire LDAP</primary>

en: OpenLDAP is an implementation of the LDAP protocol; in other words, it is a special-purpose database designed for storing directories. In the most common use case, using an LDAP server allows centralizing management of user accounts and the related permissions. Moreover, an LDAP database is easily replicated, which allows setting up multiple synchronized LDAP servers. When the network and the user base grows quickly, the load can then be balanced across several servers.
fr-FR: OpenLDAP implémente le protocole LDAP ; ce n'est qu'une base de données adaptée pour gérer des annuaires. Son intérêt est multiple : l'emploi d'un serveur LDAP aide à centraliser la gestion des comptes des utilisateurs et des droits associés. De plus, la base de données LDAP est facile à dupliquer, ce qui permet de mettre en place plusieurs serveurs synchronisés. En cas de croissance rapide du réseau, il sera aisé de monter en puissance en répartissant la charge sur plusieurs serveurs.

en: LDAP data is structured and hierarchical. The structure is defined by “schemas” which describe the kind of objects that the database can store, with a list of all their possible attributes. The syntax used to refer to a particular object in the database is based on this structure, which explains its complexity.
fr-FR: Les données LDAP sont structurées et hiérarchisées. Les « schémas » définissent les objets que la base peut stocker avec la liste de tous les attributs possibles. La syntaxe qui permet de désigner un objet de la base traduit cette structure, même si elle n'est pas facile à maîtriser.

en: The <emphasis role="pkg">slapd</emphasis> package contains the OpenLDAP server. The <emphasis role="pkg">ldap-utils</emphasis> package includes command-line tools for interacting with LDAP servers.
fr-FR: Le paquet <emphasis role="pkg">slapd</emphasis> contient le serveur OpenLDAP. Le paquet <emphasis role="pkg">ldap-utils</emphasis> renferme des utilitaires en ligne de commande pour interagir avec les serveurs LDAP.

en: Omit OpenLDAP server configuration? No, of course, we want to configure this service.
fr-FR: Faut-il ignorer la configuration de <command>slapd</command> ? Non, bien sûr, nous allons configurer ce service.

en: DNS domain name: “<literal>falcot.com</literal>”.
fr-FR: Quel est le nom de domaine ? « <literal>falcot.com</literal> ».

en: Organization name: “Falcot Corp”.
fr-FR: Quel est le nom de l'organisation ? « Falcot SA ».

en: An administrative passwords needs to be typed in.
fr-FR: Il faut saisir un mot de passe administrateur pour la base de données.

en: Database backend to use: “MDB”.
fr-FR: Quel est le module de base de données à utiliser ? « MDB ».

en: Do you want the database to be removed when <emphasis role="pkg">slapd</emphasis> is purged? No. No point in risking losing the database in case of a mistake.
fr-FR: La base doit-elle être supprimée si le paquet <command>slapd</command> est supprimé ? Non. Mieux vaut éviter de perdre ces données suite à une mauvaise manipulation.

en: Move old database? This question is only asked when the configuration is attempted while a database already exists. Only answer “yes” if you actually want to start again from a clean database, for instance if you run <command>dpkg-reconfigure slapd</command> right after the initial installation.
fr-FR: Faut-il déplacer l'ancienne base de données ? Cette question n'est posée que si l'on déclenche une nouvelle configuration alors qu'une base de données existe déjà. Ne répondre « oui » que si l'on veut effectivement repartir d'une base propre, par exemple si l'on exécute <command>dpkg-reconfigure slapd</command> juste après l'installation initiale.

en: <emphasis>BACK TO BASICS</emphasis> LDIF format
fr-FR: <emphasis>B.A.-BA</emphasis> Format LDIF

en: An LDIF file (<emphasis>LDAP Data Interchange Format</emphasis>) is a portable text file describing the contents of an LDAP database (or a portion thereof); this can then be used to inject the data into any other LDAP server.
fr-FR: Un fichier LDIF (<foreignphrase>LDAP Data Interchange Format</foreignphrase>, ou format d'échange de données de LDAP) est un fichier textuel portable décrivant le contenu (ou une partie de celui-ci) d'une base de données LDAP afin de pouvoir intégrer les données dans n'importe quel autre serveur LDAP.

en: A minimal database is now configured, as demonstrated by the following query:
fr-FR: Une base de données minimale est maintenant configurée, ce qu'on peut vérifier en l'interrogeant directement :

en: The query returned two objects: the organization itself, and the administrative user.
fr-FR: La requête a renvoyé deux objets : l'organisation dans son ensemble et l'administrateur.

en: Filling in the Directory
fr-FR: Remplissage de l'annuaire

en: Since an empty database is not particularly useful, we are going to inject into it all the existing directories; this includes the users, groups, services and hosts databases.
fr-FR: La base de données vide n'ayant pas grand intérêt, il s'agit maintenant d'y intégrer l'ensemble des annuaires existants, notamment les utilisateurs, groupes, services et hôtes.

en: The <emphasis role="pkg">migrationtools</emphasis> package provides a set of scripts dedicated to extract data from the standard Unix directories (<filename>/etc/passwd</filename>, <filename>/etc/group</filename>, <filename>/etc/services</filename>, <filename>/etc/hosts</filename> and so on), convert this data, and inject it into the LDAP database.
fr-FR: Le paquet Debian <emphasis role="pkg">migrationtools</emphasis> offre un ensemble de scripts qui permettent justement de récupérer les informations depuis les annuaires Unix standards (<filename>/etc/passwd</filename>, <filename>/etc/group</filename>, <filename>/etc/services</filename>, <filename>/etc/hosts</filename>, etc.), puis de les intégrer dans la base de données LDAP.

en: <primary><emphasis role="pkg">migrationtools</emphasis></primary>
fr-FR: <primary><emphasis>migrationtools</emphasis></primary>

en: Once the package is installed, the <filename>/etc/migrationtools/migrate_common.ph</filename> must be edited; the <varname>IGNORE_UID_BELOW</varname> and <varname>IGNORE_GID_BELOW</varname> options need to be enabled (uncommenting them is enough), and <varname>DEFAULT_MAIL_DOMAIN</varname>/<varname>DEFAULT_BASE</varname> need to be updated.
fr-FR: Après installation du paquet, il faut éditer le fichier <filename>/etc/migrationtools/migrate_common.ph</filename> pour activer les options <varname>IGNORE_UID_BELOW</varname> et <varname>IGNORE_GID_BELOW</varname> (qu'il suffit de décommenter) et mettre à jour <varname>DEFAULT_MAIL_DOMAIN</varname>/<varname>DEFAULT_BASE</varname>.

en: The actual migration operation is handled by the <command>migrate_all_online.sh</command> command, as follows:
fr-FR: La mise à jour à proprement parler se fait en exécutant la commande <command>migrate_all_online.sh</command> comme suit :

en: The <command>migrate_all_online.sh</command> asks a few questions about the LDAP database into which the data is to be migrated. <xref linkend="tab-migrate-all" xrefstyle="select: label nopage" /> summarizes the answers given in the Falcot use-case.
fr-FR: Le script <command>migrate_all_online.sh</command> pose plusieurs questions auxquelles il faut répondre correctement pour indiquer la base de données LDAP dans laquelle les données vont être intégrées. Le <xref linkend="tab-migrate-all" xrefstyle="select: label nopage" /> résume les réponses données dans le cas de Falcot.

en: Answers to questions asked by the <command>migrate_all_online.sh</command> script
fr-FR: Réponses aux questions du script <command>migrate_all_online.sh</command>

en: Answer
fr-FR: Réponse

en: X.500 naming context
fr-FR: <foreignphrase>X.500 naming context</foreignphrase>

en: LDAP server hostname
fr-FR: <foreignphrase>LDAP server hostname</foreignphrase>

en: Manager DN
fr-FR: <foreignphrase>Manager DN</foreignphrase>

en: Bind credentials
fr-FR: <foreignphrase>Bind credentials</foreignphrase>

en: the administrative password
fr-FR: Le mot de passe administrateur

en: Create DUAConfigProfile
fr-FR: <foreignphrase>Create DUAConfigProfile</foreignphrase>

en: no
fr-FR: Non

en: <emphasis>TOOL</emphasis> Browsing an LDAP directory
fr-FR: <emphasis>OUTIL</emphasis> Explorer un annuaire LDAP

en: The <command>jxplorer</command> command (in the package of the same name) is a graphical tool allowing to browse and edit an LDAP database. It is an interesting tool that provides an administrator with a good overview of the hierarchical structure of the LDAP data.
fr-FR: Le programme <command>jxplorer</command> (du paquet Debian éponyme) est un outil graphique qui permet d'explorer et de modifier une base de données LDAP. Il est intéressant et aide notamment à mieux se représenter la structure hiérarchique des données LDAP.

en: Also note the use of the <literal>-c</literal> option to the <command>ldapadd</command> command; this option requests that processing doesn't stop in case of error. Using this option is required because converting the <filename>/etc/services</filename> often generates a few errors that can safely be ignored.
fr-FR: On peut également noter l'emploi de l'option <literal>-c</literal> de la commande <command>ldapadd</command> lui demandant de ne pas s'interrompre en cas d'erreur. Elle est nécessaire car la conversion du fichier <filename>/etc/services</filename> génère quelques erreurs que l'on peut ignorer sans soucis.

en: Managing Accounts with LDAP
fr-FR: Utiliser LDAP pour gérer les comptes

en: Now the LDAP database contains some useful information, the time has come to make use of this data. This section focuses on how to configure a Linux system so that the various system directories use the LDAP database.
fr-FR: Maintenant que la base de données LDAP contient des informations, il est temps de les utiliser. Cette section explique comment paramétrer un système Linux afin que les différents annuaires système emploient la base de données LDAP de manière transparente.

en: Configuring NSS
fr-FR: Configuration de NSS

en: The NSS system (Name Service Switch, see sidebar <xref linkend="sidebar.intro-nss" />) is a modular system designed to define or fetch information for system directories. Using LDAP as a source of data for NSS requires installing the <emphasis role="pkg">libnss-ldap</emphasis> package. Its installation asks a few questions; the answers are summarized in <xref linkend="tab-libnss-ldap" xrefstyle="select: label nopage" />.
fr-FR: NSS (<foreignphrase>Name Service Switch</foreignphrase>, ou multiplexeur de service de noms, voir encadré <xref linkend="sidebar.intro-nss" />) est un système modulaire pour définir ou récupérer les informations des annuaires système. Pour utiliser LDAP comme une source de données NSS, il faut mettre en place le paquet <emphasis role="pkg">libnss-ldap</emphasis>. Son installation pose plusieurs questions dont les réponses sont résumées dans le <xref linkend="tab-libnss-ldap" xrefstyle="select: label nopage" />.

en: Distinguished name of the search base
fr-FR: Nom distinctif de la base de recherche

en: LDAP version to use
fr-FR: Version de LDAP à utiliser

en: LDAP account for root
fr-FR: Compte LDAP pour le super-utilisateur (root)

en: LDAP root account password
fr-FR: Mot de passe du compte super-utilisateur LDAP

en: Does the LDAP database require login?
fr-FR: La base demande-t-elle un <foreignphrase>login</foreignphrase> ?

en: The <filename>/etc/nsswitch.conf</filename> file
fr-FR: Fichier <filename>/etc/nsswitch.conf</filename>

en: The <command>ldap</command> module is usually inserted before others, and it will therefore be queried first. The notable exception is the <literal>hosts</literal> service since contacting the LDAP server requires consulting DNS first (to resolve <literal>ldap.falcot.com</literal>). Without this exception, a hostname query would try to ask the LDAP server; this would trigger a name resolution for the LDAP server, and so on in an infinite loop.
fr-FR: Le module <command>ldap</command>, systématiquement ajouté au début, est donc consulté en premier. Le service <literal>hosts</literal> fait exception puisque pour contacter le serveur LDAP, il faut consulter le DNS au préalable (pour résoudre <literal>ldap.falcot.com</literal>). Sans cette précaution, une requête de résolution de nom de machine consulterait le serveur LDAP, ce qui déclencherait une résolution du nom du serveur LDAP, etc., produisant une boucle infinie.

en: If the LDAP server should be considered authoritative (and the local files used by the <command>files</command> module disregarded), services can be configured with the following syntax:
fr-FR: Si l'on souhaite que le serveur LDAP soit la référence unique (et ne pas prendre en compte les fichiers locaux employés par le module <emphasis>files</emphasis>), il est possible de configurer chaque service avec la syntaxe suivante :

en: If the requested entry does not exist in the LDAP database, the query will return a “not existing” reply even if the resource does exist in one of the local files; these local files will only be used when the LDAP service is down.
fr-FR: Si l'entrée demandée n'existe pas dans le serveur LDAP, la réponse sera « n'existe pas » même si la ressource existe dans l'un des fichiers locaux, qui ne seront employés que lorsque le service LDAP sera hors d'usage.

en: Configuring PAM
fr-FR: Configuration de PAM

en: This section describes a PAM configuration (see sidebar <xref linkend="sidebar.intro-pam" />) that will allow applications to perform the required authentications against the LDAP database.
fr-FR: La configuration de PAM (voir l'encadré <xref linkend="sidebar.intro-pam" />) proposée dans cette section permettra aux applications d'effectuer les authentifications nécessaires à partir des données de la base LDAP.

en: <emphasis>CAUTION</emphasis> Broken authentication
fr-FR: <emphasis>ATTENTION</emphasis> Impossible de s'identifier

en: Changing the standard PAM configuration used by various programs is a sensitive operation. A mistake can lead to broken authentication, which could prevent logging in. Keeping a root shell open is therefore a good precaution. If configuration errors occur, they can be then fixed and the services restarted with minimal effort.
fr-FR: Le changement de la configuration PAM standard employée par les divers programmes est une opération sensible. En cas de mauvaise manipulation, il peut être impossible de s'authentifier, donc de se connecter. Pensez donc à garder un shell root ouvert en parallèle pour corriger vos erreurs le cas échéant.

en: The LDAP module for PAM is provided by the <emphasis role="pkg">libpam-ldap</emphasis> package. Installing this package asks a few questions very similar to those in <emphasis role="pkg">libnss-ldap</emphasis>; some configuration parameters (such as the URI for the LDAP server) are even actually shared with the <emphasis role="pkg">libnss-ldap</emphasis> package. Answers are summarized in <xref linkend="tab-libpam-ldap" xrefstyle="select: label nopage" />.
fr-FR: Il faut installer le module LDAP pour PAM, qui se trouve dans le paquet Debian <emphasis role="pkg">libpam-ldap</emphasis>. Son installation pose des questions similaires à celles de <emphasis role="pkg">libnss-ldap</emphasis> et d'ailleurs, certains paramètres de configuration (comme l'URI du serveur LDAP) sont tout simplement partagés avec le paquet <emphasis role="pkg">libnss-ldap</emphasis>. Les réponses sont résumées dans le <xref linkend="tab-libpam-ldap" xrefstyle="select: label nopage" />.

en: Configuration of <emphasis>libpam-ldap</emphasis>
fr-FR: Configuration de <emphasis>libpam-ldap</emphasis>

en: Allow LDAP admin account to behave like local root?
fr-FR: Le super-utilisateur local doit-il être un administrateur de la base LDAP ?

en: Yes. This allows using the usual <command>passwd</command> command for changing passwords stored in the LDAP database.
fr-FR: Oui. Cela permet d'utiliser la commande <command>passwd</command> habituelle pour changer les mots de passe stockés dans la base LDAP.

en: Does the LDAP database require logging in?
fr-FR: La base LDAP demande-t-elle une identification ?

en: the LDAP database administrative password
fr-FR: Le mot de passe administrateur de la base LDAP

en: Installing <emphasis role="pkg">libpam-ldap</emphasis> automatically adapts the default PAM configuration defined in the <filename>/etc/pam.d/common-auth</filename>, <filename>/etc/pam.d/common-password</filename> and <filename>/etc/pam.d/common-account</filename> files. This mechanism uses the dedicated <command>pam-auth-update</command> tool (provided by the <emphasis role="pkg">libpam-runtime</emphasis> package). This tool can also be run by the administrator should they wish to enable or disable PAM modules.
fr-FR: L'installation de <emphasis>libpam-ldap</emphasis> adapte automatiquement la configuration PAM par défaut définie dans les fichiers <filename>/etc/pam.d/common-auth</filename>, <filename>/etc/pam.d/common-password</filename> et <filename>/etc/pam.d/common-account</filename>. Pour effectuer cela, le paquet s'appuie sur l'utilitaire <command>pam-auth-update</command> prévu à cet usage et fourni par le paquet <emphasis role="pkg">libpam-runtime</emphasis>. L'administrateur peut également exécuter <command>pam-auth-update</command> pour activer et désactiver à sa guise les modules PAM présents sur le système.

en: Securing LDAP Data Exchanges
fr-FR: Sécuriser les échanges de données LDAP

en: <primary>LDAP</primary><secondary>secure</secondary>
fr-FR: <primary>LDAP</primary><secondary>sécurisé</secondary>

en: By default, the LDAP protocol transits on the network as cleartext; this includes the (encrypted) passwords. Since the encrypted passwords can be extracted from the network, they can be vulnerable to dictionary-type attacks. This can be avoided by using an extra encryption layer; enabling this layer is the topic of this section.
fr-FR: LDAP est par défaut transporté en clair sur le réseau, ce qui signifie que les mots de passe chiffrés circulent sans précaution particulière. Repérables, ils peuvent donc subir une attaque de type dictionnaire. Pour éviter ce désagrément, il convient d'employer une couche supplémentaire de chiffrement et cette section détaille comment procéder.

en: Configuring the Server
fr-FR: Configuration côté serveur

en: <primary><foreignphrase>OpenSSL</foreignphrase></primary><secondary>creating keys</secondary>
fr-FR: <primary><foreignphrase>OpenSSL</foreignphrase></primary> <secondary>création de clés</secondary>

en: <primary>key pair</primary>
fr-FR: <primary><filename>biclé</filename></primary>

en: Now these keys have to be installed in their standard location, and we must make sure that the private file is readable by the LDAP server which runs under the <literal>openldap</literal> user identity:
fr-FR: Maintenant que ces clés ont été installées à leur emplacement standard, il faut s'assurer que le fichier contenant leur partie privée est lisible par le serveur LDAP, qui fonctionne avec l'identité utilisateur <literal>openldap</literal> :

en: The <command>slapd</command> daemon also needs to be told to use these keys for encryption. The LDAP server configuration is managed dynamically: the configuration can be updated with normal LDAP operations on the <literal>cn=config</literal> object hierarchy, and the server updates <filename>/etc/ldap/slapd.d</filename> in real time to make the configuration persistent. <command>ldapmodify</command> is thus the right tool to update the configuration:
fr-FR: Le démon <command>slapd</command> doit aussi être configuré pour utiliser ces clés de chiffrement.  La configuration du serveur LDAP est gérée de manière dynamique : comme elle est stockée dans une partie dédiée de l'annuaire, elle peut être mise à jour avec des opérations LDAP normales sur cette hiérarchie <literal>cn=config</literal> (et le serveur met à jour <filename>/etc/ldap/slapd.d</filename> à la volée pour rendre cette configuration persistante).  Pour modifier la configuration, on utilisera donc <command>ldapmodify</command> :

en: Configuring <command>slapd</command> for encryption
fr-FR: Configuration de <command>slapd</command> pour la prise en charge du chiffrement

en: <emphasis>TOOL</emphasis> <command>ldapvi</command> to edit an LDAP directory
fr-FR: <emphasis>OUTIL</emphasis> Éditer un annuaire LDAP avec <command>ldapvi</command>

en: It is thus a convenient way to update the configuration of the LDAP server, simply by editing the <literal>cn=config</literal> hierarchy.
fr-FR: C'est donc une manière particulièrement pratique de mettre à jour la configuration du serveur LDAP, simplement en éditant la hiérarchie <literal>cn=config</literal>.

en: The last step for enabling encryption involves changing the <varname>SLAPD_SERVICES</varname> variable in the <filename>/etc/default/slapd</filename> file. We'll play it safe and disable unsecured LDAP altogether.
fr-FR: La dernière étape pour activer la mise en place du chiffrement est de modifier la variable <varname>SLAPD_SERVICES</varname> du fichier <filename>/etc/default/slapd</filename>. Notons au passage que pour éviter tout risque, on désactive la possibilité de LDAP non sécurisé.

en: The <filename>/etc/default/slapd</filename> file
fr-FR: Fichier <filename>/etc/default/slapd</filename>

en: Configuring the Client
fr-FR: Configuration côté client

en: On the client side, the configuration for the <emphasis>libpam-ldap</emphasis> and <emphasis>libnss-ldap</emphasis> modules needs to be modified to use an <literal>ldaps://</literal> URI.
fr-FR: Côté client, il faut modifier la configuration des modules <emphasis>libpam-ldap</emphasis> et <emphasis>libnss-ldap</emphasis> en utilisant une URI en <literal>ldaps://</literal>.

en: Last but not least, the default LDAP URI and default base DN used by the various command line tools can be modified in <filename>/etc/ldap/ldap.conf</filename>. This will save quite some typing.
fr-FR: Pour terminer, il est intéressant de configurer l'URI LDAP et le DN que les divers outils de ligne de commande vont utiliser par défaut. Cela se configure dans <filename>/etc/ldap/ldap.conf</filename> et évite d'avoir à taper ces paramètres sur chaque ligne de commande.

en: The <filename>/etc/ldap/ldap.conf</filename> file
fr-FR: Fichier <filename>/etc/ldap/ldap.conf</filename>

en: Real-Time Communication Services
fr-FR: Services de communication en temps réel

en: Both SIP and XMPP can provide the same functionality. SIP is slightly more well known for voice and video while XMPP is traditionally regarded as an IM protocol. In fact, they can both be used for any of these purposes. To maximize connectivity options, it is recommended to run both in parallel.
fr-FR: SIP et XMPP peuvent fournir les mêmes services. SIP est un peu plus connu pour la voix sur IP et la vidéo alors que XMPP est traditionnellement utilisé comme protocole de messagerie instantanée. En réalité, les deux peuvent être utilisés pour les deux services. Pour optimiser les options de connectivité, il est recommandé d'exploiter les deux en parallèle.

en: DNS settings for RTC services
fr-FR: Paramètres DNS pour les services RTC

en: 
    ; the server where everything will run
    server1            IN     A      198.51.100.19
    server1            IN     AAAA   2001:DB8:1000:2000::19
    
    ; IPv4 only for TURN for now, some clients are buggy with IPv6
    turn-server        IN     A      198.51.100.19
    
    ; IPv4 and IPv6 addresses for SIP
    sip-proxy          IN     A      198.51.100.19
    sip-proxy          IN     AAAA   2001:DB8:1000:2000::19
    
    ; IPv4 and IPv6 addresses for XMPP
    xmpp-gw            IN     A      198.51.100.19
    xmpp-gw            IN     AAAA   2001:DB8:1000:2000::19
    
    ; DNS SRV and NAPTR for STUN / TURN
    _stun._udp  IN SRV    0 1 3467 turn-server.falcot.com.
    _turn._udp  IN SRV    0 1 3467 turn-server.falcot.com.
    @           IN NAPTR  10 0 "s" "RELAY:turn.udp" "" _turn._udp.falcot.com.
    
    ; DNS SRV and NAPTR records for SIP
    _sips._tcp  IN SRV    0 1 5061 sip-proxy.falcot.com.
    @           IN NAPTR  10 0 "s" "SIPS+D2T" "" _sips._tcp.falcot.com.
    
    ; DNS SRV records for XMPP Server and Client modes:
    _xmpp-client._tcp  IN     SRV    5 0 5222 xmpp-gw.falcot.com.
    _xmpp-server._tcp  IN     SRV    5 0 5269 xmpp-gw.falcot.com.
fr-FR: 
    ; le serveur où tout va fonctionner
    server1            IN     A      198.51.100.19
    server1            IN     AAAA   2001:DB8:1000:2000::19
    
    ; IPv4 seulement pour TURN pour le moment, certains clients
    ; ne fonctionnent pas avec IPv6
    turn-server        IN     A      198.51.100.19
    
    ; adresses IPv4 et IPv6 pour  SIP
    sip-proxy          IN     A      198.51.100.19
    sip-proxy          IN     AAAA   2001:DB8:1000:2000::19
    
    ; adresses IPv4 et IPv6 pour XMPP
    xmpp-gw            IN     A      198.51.100.19
    xmpp-gw            IN     AAAA   2001:DB8:1000:2000::19
    
    ; DNS SRV et NAPTR pour STUN / TURN
    _stun._udp  IN SRV    0 1 3467 turn-server.falcot.com.
    _turn._udp  IN SRV    0 1 3467 turn-server.falcot.com.
    @           IN NAPTR  10 0 "s" "RELAY:turn.udp" "" _turn._udp.falcot.com.
    
    ; DNS SRV et NAPTR pour SIP
    _sips._tcp  IN SRV    0 1 5061 sip-proxy.falcot.com.
    @           IN NAPTR  10 0 "s" "SIPS+D2T" "" _sips._tcp.falcot.com.
    
    ; enregistrements DNS SRV pour les modes XMPP Server et Client:
    _xmpp-client._tcp  IN     SRV    5 0 5222 xmpp-gw.falcot.com.
    _xmpp-server._tcp  IN     SRV    5 0 5269 xmpp-gw.falcot.com.

en: TURN Server
fr-FR: Serveur TURN

en: TURN is a service that helps clients behind NAT routers and firewalls to discover the most efficient way to communicate with other clients and to relay the media streams if no direct media path can be found. It is highly recommended that the TURN server is installed before any of the other RTC services are offered to end users.
fr-FR: TURN est un service qui aide les clients derrière des routeurs NAT et des pare-feu à trouver le chemin le plus efficace pour communiquer avec d'autres clients et pour relayer les flux media si aucun chemin direct n'est trouvé. Il est grandement recommandé d'installer le serveur TURN avant que tous les autres services RTC ne soient disponibles pour les utilisateurs finaux.

en: <primary>TURN</primary><secondary>server</secondary>
fr-FR: <primary>TURN</primary><secondary>serveur</secondary>

en: TURN and the related ICE protocol are open standards. To benefit from these protocols, maximizing connectivity and minimizing user frustration, it is important to ensure that all client software supports ICE and TURN.
fr-FR: TURN et le protocole ICE sont des standards ouverts. Pour tirer profit de ces protocoles, en maximisant la connectivité et en minimisant la frustration des utilisateurs, il est important de s'assurer que tous les logiciels clients les supportent.

en: For the ICE algorithm to work effectively, the server must have two public IPv4 addresses.
fr-FR: Pour que l'algorithme ICE fonctionne efficacement, le serveur doit avoir deux adresses publiques IPv4.

en: SIP Proxy Server
fr-FR: Serveur Proxy SIP

en: A SIP proxy server manages the incoming and outgoing SIP connections between other organizations, SIP trunking providers, SIP PBXes such as Asterisk, SIP phones, SIP-based softphones and WebRTC applications.
fr-FR: Un serveur proxy SIP gère les connexions SIP entrantes et sortantes entre différentes organisations, les fournisseurs de tronc SIP <foreignphrase>(SIP trunking)</foreignphrase>, les autocommutateurs téléphoniques privés (<foreignphrase>Private Automatic Branch eXchange</foreignphrase>, PBX) comme Asterisk, les téléphones SIP, les logiciels de téléphonie basés sur SIP et les applications WebRTC.

en: <primary>SIP</primary><secondary>server</secondary>
fr-FR: <primary>SIP</primary><secondary>serveur</secondary>

en: <primary>SIP</primary><secondary>trunk</secondary>
fr-FR: <primary>SIP</primary><secondary><foreignphrase>trunk</foreignphrase></secondary>

en: It is strongly recommended to install and configure the SIP proxy before attempting a SIP PBX setup. The SIP proxy normalizes a lot of the traffic reaching the PBX and provides greater connectivity and resilience.
fr-FR: Il est fortement recommandé d'installer et de configurer le proxy SIP avant d'essayer de mettre en place un <foreignphrase>PBX</foreignphrase> (autocommutateur téléphonique privé). Le proxy SIP normalise une large partie du trafic arrivant au PBX et fournit une plus grande connectivité et une résilience plus importante.

en: Install the SIP proxy
fr-FR: Installation du proxy SIP

en: XMPP Server
fr-FR: Serveur XMPP

en: An XMPP server manages connectivity between local XMPP users and XMPP users in other domains on the public Internet.
fr-FR: Un serveur XMPP gère la connectivité entre les utilisateurs XMPP locaux et les utilisateurs XMPP dans d'autres domaines de l'Internet public.

en: <emphasis>VOCABULARY</emphasis> XMPP or Jabber?
fr-FR: <emphasis>VOCABULAIRE</emphasis> XMPP ou Jabber ?

en: XMPP is sometimes referred to as Jabber. In fact, Jabber is a trademark and XMPP is the official name of the standard.
fr-FR: Il est parfois fait référence à XMPP sous le nom de Jabber. En réalité, Jabber est une marque alors que XMPP est le nom officiel du standard.

en: Install the XMPP server
fr-FR: Installation du serveur XMPP

en: Review the <filename>/etc/prosody/prosody.cfg.lua</filename> configuration file. The most important thing to do is insert JIDs of the users who are permitted to manage the server.
fr-FR: Vérifiez le fichier de configuration <filename>/etc/prosody/prosody.cfg.lua</filename>. La principale chose à faire est de renseigner l'identifiant des utilisateurs autorisés à gérer le serveur.

en: An individual configuration file is also needed for each domain. Copy the sample from <filename>/etc/prosody/conf.avail/example.com.cfg.lua</filename> and use it as a starting point. Here is <literal>falcot.com.cfg.lua</literal>:
fr-FR: Il faut également un fichier de configuration pour chaque domaine. Copiez l'exemple de <filename>/etc/prosody/conf.avail/example.com.cfg.lua</filename> et adaptez le suivant les besoins. Voici le fichier <literal>falcot.com.cfg.lua</literal> créé par les administrateurs de Falcot :

en: To enable the domain, there must be a symlink from <filename>/etc/prosody/conf.d/</filename>. Create it that way:
fr-FR: Pour activer le domaine, il faut créer un lien symbolique dans <filename>/etc/prosody/conf.d/</filename> :

en: Restart the service to use the new configuration.
fr-FR: Redémarrez le service pour utiliser la nouvelle configuration.

en: Managing the XMPP server
fr-FR: Gestion du serveur XMPP

en: Running services on port 443
fr-FR: Services fonctionnant sur le port 443

en: Some administrators prefer to run all of their RTC services on port 443. This helps users to connect from remote locations such as hotels and airports where other ports may be blocked or Internet traffic is routed through HTTP proxy servers.
fr-FR: Certains administrateurs préfèrent faire tourner tous leurs services RTC sur le port 443. Cela simplifie la connexion des utilisateurs qui sont dans des endroits éloignés, tels que des hôtels et des aéroports où les autres ports risquent d'être bloqués et où le trafic Internet est acheminé à travers des serveurs proxy HTTP.

en: To use this strategy, each service (SIP, XMPP and TURN) needs a different IP address. All the services can still be on the same host as Linux supports multiple IP addresses on a single host. The port number, 443, must be specified in the configuration files for each process and also in the DNS SRV records.
fr-FR: Pour réaliser ceci, chaque service (SIP, XMPP et TURN) doit avoir une adresse IP différente. Tous les services peuvent cependant être sur le même hôte puisque Linux gère des adresses IP multiples sur un seul hôte. Le numéro de port, 443, doit être spécifié dans les fichiers de configuration de chaque service et aussi dans les enregistrements DNS de type SRV.

en: Adding WebRTC
fr-FR: Ajout de WebRTC

en: <primary>SIP</primary><secondary>WebSockets</secondary>
fr-FR: <primary>SIP</primary><secondary><foreignphrase>WebSockets</foreignphrase></secondary>

en: Falcot wants to let customers make phone calls directly from the web site. The Falcot administrators also want to use WebRTC as part of their disaster recovery plan, so staff can use web browsers at home to log in to the company phone system and work normally in an emergency.
fr-FR: Falcot souhaite que les clients puissent téléphoner directement à partir du site web. Les administrateurs de Falcot veulent aussi utiliser WebRTC dans le cadre de leur plan de reprise après sinistre, pour que le personnel puisse utiliser les navigateurs web de chez eux pour se connecter au système téléphonique de l'entreprise et travailler normalement en cas d'urgence.

en: <emphasis>IN PRACTICE</emphasis> Try WebRTC
fr-FR: <emphasis>EN PRATIQUE</emphasis> Essayer WebRTC

en: <primary>WebRTC</primary><secondary>demonstration</secondary>
fr-FR: <primary>WebRTC</primary><secondary>démonstration</secondary>

en: This chapter sampled only a fraction of the available server software; however, most of the common network services were described. Now it is time for an even more technical chapter: we'll go into deeper detail for some concepts, describe massive deployments and virtualization.
fr-FR: Le tour d'horizon des logiciels serveurs proposé par ce chapitre est loin d'être exhaustif, mais il recouvre toutefois la réalité des services réseau les plus employés. Passons sans plus tarder à un chapitre encore plus technique : approfondissement de certains concepts, déploiement à grande échelle, virtualisation sont autant de sujets passionnants que nous allons aborder.
