Zimbra / Attaques / Projets 2014 et salon Solution Linux !

Plaquettes Web4all

Les jours qui viennent de s’écouler furent intenses. Tant pour l’équipe de Web4all que pour vous, utilisateurs de notre plate-forme. Comme vous avez pu le constater nous avons du faire face (et c’est d’ailleurs toujours le cas) à deux problèmes majeurs vous impactant directement : la mise à jour Zimbra qui comporte un bug rendant très lente l’ouverture du webmail –voir quasi impossible pour de rares utilisateurs– et des attaques à répétitions ces deux dernières semaines et principalement ce dernier week-end et début de semaine, attaques qui sont qualifiés de DDoS, nous y reviendrons pas la suite mais rassurez vous aucune intrusion sur l’architecture n’a été détecté et donc aucun piratage de données ne semble lié à ces attaques qui avaient pour unique but de mettre sur les genoux notre infrastructure.

Concernant l’équipe Web4all ce ne sont pas que les derniers jours qui furent intense mais les dernières semaines. Car, comme l’an dernier à cette époque de l’année, nous avons de nombreux projets en cours qui sont très prenant en temps : acquisition de nouveau matériel stockage et serveurs, passage en LIR auprès du RIPE, acquisition de matériel réseau dit « BGP« , fabrication d’objets de communication, déménagement de datacenter en vue et l’organisation du salon Solution Linux au CNIT à la Défense les 20 et 21 mai où Web4all aura, pour la première fois, un stand pour vous accueillir ! Face aux récents problèmes et aux différents projets, nous nous devions de communiquer auprès de vous tous, certains utilisateurs ont d’ailleurs exprimés cette attente sur les réseaux sociaux et forums, mais cela était prévu, nous souhaitions juste vous apporter des réponses concrètes sur certains points et pour cela il fallait que certains dossiers aient avancés. Et par soucis de transparence, nous avons décidé de rendre cette communication publique sur notre blog, communication unique pour tous ces points afin de ne pas importuner nos clients avec le mails de notification pour chaque article important.

Je n’aborde pas la faille Heartbleed, sachez que même si nous n’avons pas eu le temps de communiquer là dessus, Web4all a corrigé tous les serveurs le jour même où la faille a été rendu publique et les certificats SSL de Web4all ont tous été régénérés.

Autre sujet qui prends du temps ces dernières semaines, l’externalisation de la comptabilité. Les discussions sont en cours et pour rester dans un esprit associatif, nous avons pris attache avec un cabinet associatif, le CER France.

Je pense que cela sera déjà pas mal en terme d’informations, je vous laisse donc lire le détail de tout cela. Bien que certains titres puissent contenir des termes techniques, je vais essayer d’être le plus compréhensible possible afin que tout le monde puisse prendre un minimum de plaisir à lire cet article. Si jamais une partie venait à être un peu trop complexe, je ne doute pas que vous demanderez des informations.  Je vous invite si vous avez des commentaires à les faire ici-même ou mieux encore (ouvre plus facilement à des réponses si cela est attendu) sur nos forums à cette adresse : http://forums.web4all.fr/topic/9434-blog-zimbra-attaques-projets-2014-et-salon-solution-linux/

Et n’oubliez pas que vos critiques nous permettent d’avancer, qu’elles soient bonnes ou mauvaises 😉

Mise à jour Zimbra provoquant de fortes perturbations sur l’utilisation de la messagerie


Dans la nuit du 26 au 27 avril nous avons procédé à une mise à jour de la suite logicielle Zimbra, solution utilisée pour vous fournir un service de messagerie électronique (Emails) dans le cadre des hébergements mutualisés. Cette tâche avait été annoncée sur la plate forme « Web4all Travaux » : http://travaux.web4all.fr/task/258

Comme de nombreux utilisateurs vous avez du constater que cette mise à jour à pour effet de ralentir énormément l’ouverture du webmail et pour certains utilisateurs –très peu– il est quasiment impossible d’utiliser le webmail correctement. Il s’agit là d’un problème que nous prenons très au sérieux, nous sommes nous mêmes utilisateurs de cette plate forme de messagerie à titre personnel, professionnel pour certains de l’équipe et bien entendu, dans le cadre de Web4all il s’agit là de notre principal outil de travail.

De nombreuses questions nous ont été posées au sujet de cette mise à jour : « Pourquoi ne pas avoir testé la mise à jour ? », « Pourquoi ne pas avoir attendu qu’elle soit fiable ? », « Pourquoi ne pas faire un retour arrière ? »… Je vais donc vous apporter quelques réponses qui même s’ils ne rendront pas la messagerie fonctionnelle tout de suite pour autant, vous permettrons, je l’espère de comprendre « le pourquoi du comment ».

La mise à jour a été testé sur deux serveurs Zimbra par les personnes de Web4all. Nous avons validé le fonctionnement et aucun problème ne s’est présenté que ce soit dans le cas d’une nouvelle installation ou d’une mise à jour. Nous avons donc pris toutes les précautions mais un test reste un test et tous les paramètres d’un environnement de production ne sont jamais réunis à commencer par la charge lié aux utilisateurs et les actions des utilisateurs qui sont très variées et impossible à reproduire en intégralité.

La mise à jour en question ne datait pas de la veille. Web4all a attendu près de un mois avant de déployer cette mise à jour qui était minime (pas de gros changement), des corrections de bugs principalement, bugs qui impactaient certains d’entre vous sur les affichages et impressions d’emails. Cette mise à jour était donc nécessaire pour certains utilisateurs, il y avait une réelle plus-value. Web4all a consulté les forums de la communauté Zimbra francophone et anglophone comme nous le faisons à chaque fois afin de voir si certains utilisateurs remontaient des dysfonctionnement : personne ne s’en plaignait.

L’infrastructure Zimbra chez Web4all est complexe, composée de nombreux serveurs avec des rôles bien définit. La mise à jour modifie les données du LDAP, des bases MySQL et d’autres paramètres. Un retour arrière est impossible à notre connaissance. De plus le problème ayant été constaté plusieurs heures après, un rollback complet aurait été plus grave puisque les données traités durant ce laps de temps auraient été perdues.

A titre d’information, pour ceux qui connaissent un petit peu Zimbra, notre infrastructure actuelle est composée ainsi :

  • 1 serveur LDAP Master contenant l’intégralité des données de provissionning (comptes, listes de distributions, alias, domaines…) ayant également un rôle de STORE pour les requêtes API venant du manager IWAL ;
  • 5 serveurs MTA et répliquas LDAP pour la réception et l’envoi des emails, et pour soulager le LDAP master ;
  • 9 serveurs STORE pour le stockage des boites mails ;
  • 2 serveurs PROXY pour avoir un point d’accès unifié quelque soit le STORE où est positionné la boite email de l’utilisateur ;
  • 2 serveurs HA-PROXY (non Zimbra) pour répartir la charge entre les PROXY et gérer les indisponibilités éventuelles ;
  • 2 serveurs APACHE (non Zimbra) pour la gestion du ActiveSync (Push pour smartphones, tablettes…) ;
  • 1 serveur MYSQL (non Zimbra) pour le provissionning Push.

Mais revenons en au problème qui vous (et nous) impacte. Une fois le problème constaté nous avons d’abord cherché de notre côté si nous n’avions pas un problème avant d’alerter la communauté Zimbra. Une fois tout vérifié et validé de notre côté nous avons demandé à la communauté Zimbra francophone si des problèmes similaires avaient été constatés par des membres. Personne ne semble avoir rencontré ce problème.

Nous nous sommes alors tourné vers les forums anglophones et là encore personne ne semblait rencontrer de problème similaire.

Le 27 avril soit le soir même de la mise à jour (difficile d’être plus réactif) Benoit GEORGELIN (Expert Infrastructure chez Web4all) a ouvert un bug sur l’interface Zimbra dédiée à cet effet. Vous pouvez d’ailleurs en prendre connaissance ici : https://bugzilla.zimbra.com/show_bug.cgi?id=89504

A l’heure actuelle nous ne pouvons malheureusement qu’attendre que les équipes de Zimbra sortent un fix pour ce bug (un correctif). Les équipes Zimbra ont bien reconnu qu’ils s’agissaient d’un bug et le Bugzilla mentionne d’ailleurs qu’à ce jour nous ne sommes plus les seuls à avoir remonté ce gros problème.

Pour finir sur ce point critique, des utilisateurs nous ont demandés pourquoi nous ne passions par en version payante de Zimbra et inclure cela dans nos offres afin de bénéficier d’un support Zimbra. Il faut savoir qu’à ce jour la version payante semble être impacté de la même manière, cela ne change donc rien. De plus, le coût de la version payante en licence est d’un peu de moins de 2€ HT par mois par utilisateur. Faites le calcul sur un hébergement Start et vous pouvez multiplier le prix de l’hébergement par 20 ce qui est impossible, soyons réaliste.

Web4all prend ce problème très au sérieux, nous avons pleinement conscience de l’impact pour vous mais nous ne pouvons malheureusement rien faire à part attendre que Zimbra corrige cela. Et le statut associatif ne change rien à cela, nous serions une société il en serait exactement de même.

Attaques DDoS récurrentes début mai 2014 et mesures prises


Comme vous l’avez surement constaté ou lu sur les réseaux sociaux (où je vous invite à nous suivre Facebook / Twitter / Google+ ) ces derniers jours, Web4all a été la cible d’attaques dites DDoS (Attaque par déni de service). Ces attaques ont pour but de mettre sur les genoux l’infrastructure en la bombardant de requêtes… une fois à saturation le trafic légitime ne peut plus être traité et l’infrastructure ne répond plus.

La définition de Wikipédia est simple à comprendre :

Une attaque par déni de service (denial of service attack, d’où l’abréviation DoS) est une attaque informatique ayant pour but de rendre indisponible un service, d’empêcher les utilisateurs légitimes d’un service de l’utiliser. Il peut s’agir de :

  • l’inondation d’un réseau afin d’empêcher son fonctionnement ;

  • la perturbation des connexions entre deux machines, empêchant l’accès à un service particulier ;

  • l’obstruction d’accès à un service à une personne en particulier.

L’attaque par déni de service peut ainsi bloquer un serveur de fichiers, rendre impossible l’accès à un serveur web ou empêcher la distribution de courriel dans une entreprise.

L’attaquant cracker n’a pas forcément besoin de matériel sophistiqué. Ainsi, certaines attaques DOS peuvent être exécutées avec des ressources limitées contre un réseau beaucoup plus grand et moderne. On appelle parfois ce type d’attaque « attaque asymétrique » (en raison de la différence de ressources entre les protagonistes). Un cracker avec un ordinateur obsolète et un modem lent peut ainsi neutraliser des machines ou des réseaux beaucoup plus importants.

Le premier point qu’il faut prendre en compte c’est que Web4all n’est pas visé en particulier. En temps normal il peut s’agir du site d’un client et pas forcément de l’entité Web4all. De plus, de nombreux articles relatent un pic historique d’attaques DDoS ces derniers jours avec notamment dans les pays ciblés… la France 🙁 Web4all n’échappent donc pas à cela.

Malheureusement face à une attaque DDoS il n’y a pas grand chose à faire à part attendre que l’assaillant cesse. Ces dernières années ce type d’attaques s’étant considérablement répandues, les constructeurs d’équipements réseaux ont pris des mesures pour proposer des solutions afin de stopper l’impact (ou le limiter dans le cas de très grosses attaques).

Web4all a donc pris des mesures sans attendre. Dès dimanche matin (le 11 mai) nous étions en contacts avec nos fournisseurs en équipements réseaux (INEONET, opérateur et expert en Infrastructures et sécurité réseaux) et NeoTelecoms, notre fournisseur de transit Internet. Et oui chez Web4all on est sympa on fais bosser nos fournisseurs n’importe quand mais c’est aussi pour cela que nous les avons choisit car il y a un vrai accompagnement de leur part.

Vu qu’il s’agit de dossiers à plusieurs milliers d’euros, même dans l’urgence, il n’est pas possible de prendre des décisions à la va-vite. Nous avons donc étudié avec ces deux fournisseurs les actions que nous pouvions entreprendre et dans quels délais.

Du côté d’INEONET nous avons pu définir que les firewalls que nous avons ne sont plus suffisamment dimensionnés pour notre infrastructure. Nous avons donc étudié la gamme de firewall qui nous est accessible (l’aspect budgétaire est à prendre en compte, certains firewalls coûtants plusieurs dizaines de milliers d’euros, à multiplier par deux pour assurer une redondance). Nous avons pu dégager plusieurs modèles nous correspondant et nous arrêter sur un modèle qui devrait nous être livré d’ici quelques jours.

Du côté de NeoTelecoms, des mesures de protection ont été mise en place dans l’urgence afin de nous aider en attendant de trouver des solutions. Merci à NeoTelecoms de nous sauver un peu InExtremis ! Nous avons donc souscrit chez NeoTelecoms aujourd’hui l’offre IpDefender reposant sur des boitiers Arbor Networks qui assure une protection contre les attaques de types DDoS. Là aussi le coût n’est pas négligeable, on parle en milliers d’euros par an. Si vous souhaitez en savoir plus sur l’offre de protection DDoS vous trouverez les informations ici : http://www.neotelecoms.com/fr/ip-defender/caracteristiques-detaillees

Le système, n’est pas encore complètement en place, Benoit GEORGELIN et moi-même (Aurélien PONCINI) devons assister à une formation pour prendre l’outil en main puis procéder à la configuration en fonction de notre infrastructure. Il se peut donc que nous connaissions encore quelques dysfonctionnements dans les jours à venir si nous sommes à nouveau la cible d’attaque.

ipdefender

Acquisition de nouveaux matériels de types stockages et serveurs


Nous y reviendrons d’ici deux ou trois mois, mais depuis quelques semaines nous travaillons sur l’évolution de l’infrastructure matérielle. Comme vous l’avez peut-être lu sur les réseaux sociaux (sur lesquels je vous invite -à nouveau- à nous suivre 🙂  Facebook / Twitter / Google+ ) nous avons début avril mis en place deux nouveaux serveurs de virtualisation, apportant 512 GB de RAM et du CPU ce qui s’est clairement ressenti sur la navigation de vos sites.

Mais cela n’était qu’un petit peu de souffle neuf, nous travaillions sur l’acquisition de matériel avant la mise en place des serveurs mais ces dossiers sont long à gérer de part notre statut associatif 🙁 Il est donc prévu si tout va bien que nous rajoutions d’ici quelques semaines une unité de stockage haute performance d’un peu plus de 10To (en RAID10 10k) ainsi que trois serveurs de virtualisation dotés des tout derniers CPU Intel Xeon-V2 dans leur modèle les plus puissants.

A titre d’information le budget pour les serveurs et la baie de stockage est de 40.000 €

Affaire à suivre 🙂

Voici les serveurs de virtualisation, il y en a un en plus qui est temporaire et n’est pas sur la photo :
hyperviseur

Acquisition de nouveaux matériels de types réseaux BGP


Je ne vais pas recommencer le paragraphe comme le précédent mais là aussi sur les réseaux sociaux vous auriez pu lire que… ok j’arrête avec les réseaux sociaux 😉 Courant février 2014 Web4all a procédé, non sans mal, à son inscription auprès du RIPE, organisme « en charge de la gestion d’internet en Europe« , vous trouverez une explication sur Wikipédia là aussi 😉

Ainsi Web4all :

Nous sommes donc là aussi sur un gros projet puisque cela nécessite d’acquérir des routeurs BGP, de se former sur ces technologies nouvelles pour nous et de préparer une mise en place sans aucune coupure de service. Encore une fois, il faut bien prendre en compte qu’entre les frais d’inscriptions au RIPE et les acquisitions de routeurs BGP nous sommes sur un budget de plusieurs milliers d’euros annuel.

Quelques sites qui parlent très bien de tout cela :

Là aussi, affaire à suivre dans quelques semaines.

Fabrication des objets de communication


Sur les réseaux sociaux… ok j’arrête ! N’empêche que vous auriez pu y voir… nos objets de communication que nous avons fait fabriquer pour le salon. Pour le moment nous ne les avons pas encore tous reçus mais les premiers sont arrivés :

  • Tours de cous ;
  • Plaquettes ;
  • Kakémono ;
  • et nous attendons encore : stylos, tapis de souris, polos, chemises, mugs, nuages anti-stress (on en aura bien besoin !), cartes de visites…

Ces objets vous attendrons sur notre stand (voir ci-dessous) et très prochainement sur une boutique Goodies que nous allons mettre en ligne !

La création artistique a été réalisé par de jeunes talents Toulousain, AGITEO, n’hésitez pas à faire appel à eux si vous cherchez des personnes compétentes, dynamiques, sérieuses et débordantes d’idées ! Autre chose ? Ils sont rapide !

Retrouvez Agiteo sur leur site et sur Facebook ainsi que Twitter !

Agiteo_kakemono
Agiteo_plaquette
Agiteo_plaquette2
Agiteo_tour_cou

 

Salon Solution Linux au CNIT de la Défense les 20 et 21 mai 2014


Web4all sera pour la première fois depuis sa création, présent sur un salon. Et pas n’importe lequel puisqu’il s’agit DU salon Solution Linux qui se tient au CNIT à La Défense (92).

Nous serons présent deux jours et serons très heureux de vous accueillir sur notre stand pour vous offrir quelques cadeaux, un café, faire connaissance dans le monde réel ! Alors n’attendez plus et passez nous voir sur le stand D1 !

L’entrée y est gratuite, il suffit de demander votre badge ici : http://www.solutionslinux.fr/preinscription.html

Linux_FR

Web4all soutient l’ISAT Eco Rallye


Il y a quelques semaines, nous avons été contactés par des étudiants de l’ISAT (Institut Supérieur de l’Automobile et des Transports) qui portent un projet audacieux. Plutôt que de le décrire, je vous met ce qui est indiqué sur leur site, bien entendu hébergé chez Web4all :

 Le projet ISAT ECO RALLYE est un nouveau projet pédagogique à l’ISAT, Institut Supérieur de l’Automobile et des Transports. Il a pour but la création d’un véhicule de rallye écologique afin de courir lors du rallye de Monte-Carlo des énergies nouvelles, la version écologique du mythique rallye. Nous participerons également au Mondial de l’Automobile 2014 à Paris.

 Cette compétition spécialisée est l’occasion de mettre en valeur les innovations et l’écologie. Le but n’est pas seulement d’être le plus rapide, mais surtout le plus respectueux de l’environnement.

 Nous souhaitons participer à cette compétition afin d’approfondir nos connaissances sur les voitures de compétition moins polluantes. Notre but est de créer totalement un véhicule avec les technologies de demain afin de participer à cette compétition. Les maîtres-mots de ce projet sont l’écologie, l’innovation et la compétition.

Nous avons tout de suite aimé le concept, parce que certains d’entre nous aiment l’automobile (quoi, moi ?) mais surtout car l’automobile est un secteur d’activité indispensable à l’économie française et que la majorité des gens ont besoins d’une automobile. C’est un domaine qui vit une véritable révolution depuis des années sur la partie sécurité, habitable, assistance… et beaucoup de domaines mais qui reste encore très lié à l’énergie fossile. Aussi, le concept d’allier performances et énergies nouvelles nous a tout de suite plu et aussi car chez Web4all nous aimons les défis et sommes persuadé que l’équipe de l’ISAT Eco Rallye saura relever ce défi ! Nous les soutenons.

isat

A titre d’information, Web4all a offert l’hébergement du site internet et effectué un don de 750 €.

Le site : http://www.isat-eco-rallye.fr/

Le mot de la fin

Si vous êtes arrivé jusqu’ici, je ne peux que vous remercier pour votre attention ! La semaine se terminera pour Web4all par une réunion de quasiment l’ensemble de l’équipe sur Paris, nous vous mettrons quelques photos sur les réseaux sociaux 😉

Bonne semaine à toutes et à tous :)

aurelien.poncini

Conseil d'Administration

11 réponses à “Zimbra / Attaques / Projets 2014 et salon Solution Linux !

  1. Bonjour,
    Merci pour toutes ces infos et félicitations pour avoir fait ce choix de la transparence dans votre communication. Cette « stratégie » ne peut être que payante à long terme . Bon courage à toute l’équipe.

  2. Bonjour et merci pour cette communication riche en informations. J’ai même tout compris, pourtant je pars de loin.
    Bon courage à tous.

    PS : Vous auriez pu parler de la présence de web4all sur les réseaux sociaux quand même 😉

  3. Nouvelle étape avec le routage BGP, bonne chance pour la transition 🙂

    Pour le firewalling de nombreux gros sites utilisent pfSense qui a des performances surprenantes sur le traffic qu’il peut supporte, face à des solutions comme fortinet. Avez-vous étudié cette solution ?

  4. Merci d’avoir pris le temps de nous apporter toutes ces explications.

    Nous comprenons maintenant mieux les perturbations rencontrées ces derniers temps et nous sommes rassurés de savoir que vous mettez en place les solutions nécessaires.

    Nous vous accordons notre confiance pour que demain soit meilleur 🙂

    Courage à toute l’équipe

  5. Encore une fois, une communication claire, complète et en toute transparence. Web4all a toute ma confiance depuis longtemps et chaque événement conforte mon opinion.

  6. Merci encore pour ces longs renseignements. Bien qu’étant ignare dans ce domaine, j’ai pu lire en croyant que je devenais plus intelligent!
    Je demeure très attaché à l’esprit associatif et je remercie toute l’équipe de Web4all pour son travail.
    Merci et bonne nouvelle année

Laisser un commentaire

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *