« back to all changes in this revision
Viewing changes to doc/stunnel.fr.html
- browse files at revision 3
- compare with another revision
- download diff
- download tarball
- view history from revision 3
- Committer: Bazaar Package Importer
- Author(s): Julien Lemoine
- Date: 2005-04-20 21:07:50 UTC
- mfrom: (1.1.1 upstream) (2.1.1 hoary)
- Revision ID: james.westby@ubuntu.com-20050420210750-0vk5fj5vh75o4d00
Tags: 2:4.090-1
* New upstream release
* include better stunnel3 compability script from upstream, options
like -cd can now be use instead of -c -d ...
(closes: #305259)
* Added depends on perl-modules to allow use of stunnel3 compatibilty script
* include better stunnel3 compability script from upstream, options
like -cd can now be use instead of -c -d ...
(closes: #305259)
* Added depends on perl-modules to allow use of stunnel3 compatibilty script
- files added:
- auto/depcomp
- files removed:
- Makefile
- src/.libs
- src/.libs/libstunnel.la
- src/env.o
- files modified:
- BUGS
added
removed
doc/stunnel.fr.html
1
<HTML>
2
<HEAD>
3
<TITLE>stunnel.8</TITLE>
4
<LINK REV="made" HREF="mailto:perl@packages.debian.org">
5
</HEAD>
6
7
<BODY>
8
9
<A NAME="__index__"></A>
1
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Strict//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-strict.dtd">
2
<html xmlns="http://www.w3.org/1999/xhtml">
3
<head>
4
<meta http-equiv=content-type content="text/html; charset=ISO-8859-1">
5
<title>stunnel.8</title>
6
<link rev="made" href="mailto:root@localhost" />
7
</head>
8
9
<body style="background-color: white">
10
11
<p><a name="__index__"></a></p>
10
12
<!-- INDEX BEGIN -->
11
13
12
<UL>
13
14
<LI><A HREF="#nom">NOM</A></LI>
15
<LI><A HREF="#synopsis">SYNOPSIS</A></LI>
16
<LI><A HREF="#description">DESCRIPTION</A></LI>
17
<LI><A HREF="#options">OPTIONS</A></LI>
18
<LI><A HREF="#fichier de configuration">FICHIER DE CONFIGURATION</A></LI>
19
<UL>
20
21
<LI><A HREF="#options globales">OPTIONS GLOBALES</A></LI>
22
<LI><A HREF="#options de niveau service">OPTIONS DE NIVEAU SERVICE</A></LI>
23
</UL>
24
25
<LI><A HREF="#valeur de retour">VALEUR DE RETOUR</A></LI>
26
<LI><A HREF="#exemples">EXEMPLES</A></LI>
27
<LI><A HREF="#fichiers">FICHIERS</A></LI>
28
<LI><A HREF="#bugs">BUGS</A></LI>
29
<LI><A HREF="#restrictions">RESTRICTIONS</A></LI>
30
<LI><A HREF="#notes">NOTES</A></LI>
31
<UL>
32
33
<LI><A HREF="#mode inetd">MODE INETD</A></LI>
34
<LI><A HREF="#certificats">CERTIFICATS</A></LI>
35
<LI><A HREF="#al�atoires">AL�ATOIRES</A></LI>
36
</UL>
37
38
<LI><A HREF="#voir aussi">VOIR AUSSI</A></LI>
39
<LI><A HREF="#auteur">AUTEUR</A></LI>
40
</UL>
14
<ul>
15
16
<li><a href="#nom">NOM</a></li>
17
<li><a href="#synopsis">SYNOPSIS</a></li>
18
<li><a href="#description">DESCRIPTION</a></li>
19
<li><a href="#options">OPTIONS</a></li>
20
<li><a href="#fichier_de_configuration">FICHIER DE CONFIGURATION</a></li>
21
<ul>
22
23
<li><a href="#options_globales">OPTIONS GLOBALES</a></li>
24
<li><a href="#options_de_service">OPTIONS DE SERVICE</a></li>
25
</ul>
26
27
<li><a href="#valeur_de_retour">VALEUR DE RETOUR</a></li>
28
<li><a href="#exemples">EXEMPLES</a></li>
29
<li><a href="#fichiers">FICHIERS</a></li>
30
<li><a href="#bogues">BOGUES</a></li>
31
<li><a href="#restrictions">RESTRICTIONS</a></li>
32
<li><a href="#notes">NOTES</a></li>
33
<ul>
34
35
<li><a href="#mode_inetd">MODE INETD</a></li>
36
<li><a href="#certificats">CERTIFICATS</a></li>
37
<li><a href="#aleatoire">ALEATOIRE</a></li>
38
</ul>
39
40
<li><a href="#voir_aussi">VOIR AUSSI</a></li>
41
<li><a href="#auteur">AUTEUR</a></li>
42
<li><a href="#adaptation_fran_aise">ADAPTATION FRAN�AISE</a></li>
43
</ul>
41
44
<!-- INDEX END -->
42
45
43
<HR>
44
<P>
45
<H1><A NAME="nom">NOM</A></H1>
46
<P>stunnel - tunnel SSL universel</P>
47
<P>
48
<HR>
49
<H1><A NAME="synopsis">SYNOPSIS</A></H1>
50
<P><STRONG>stunnel</STRONG> [filename] | -help | -version | -sockets</P>
51
<P>
52
<HR>
53
<H1><A NAME="description">DESCRIPTION</A></H1>
54
<P>Le programme <STRONG>stunnel</STRONG> est con�u pour agir en tant que wrapper de chiffrement <EM>SSL</EM>
55
entre des clients distants et des serveurs locaux (activables par <EM>inetd</EM>) ou distants.
56
Le concept est qu'ayant des daemons non-SSL sur votre syst�me, il est possible de
57
les configurer ais�ment pour communiquer avec des clients sur des canaux SSL s�curis�s.</P>
58
<P><STRONG>stunnel</STRONG> peut �tre utilis� pour ajouter une fonctionnalit� SSL � des daemons <EM>Inetd</EM>
59
communs, tels que les serveurs POP-2, POP-3 et IMAP, � des daemons autonomes tels
60
que NNTP, SMTP et HTTP et pour tunneliser PPP sur des sockets r�seaux sans modification
61
du code source.</P>
62
<P>Ce produit contient du code de chiffrement �crit par
63
Eric Young (<A HREF="mailto:eay@cryptsoft.com">eay@cryptsoft.com</A>)</P>
64
<P>
65
<HR>
66
<H1><A NAME="options">OPTIONS</A></H1>
67
<DL>
68
<DT><STRONG><A NAME="item_%5Bfilename%5D"><STRONG>[filename]</STRONG></A></STRONG><BR>
69
<DD>
70
Utilise le fichier de configuration sp�cifi�
71
<P></P>
72
<DT><STRONG><A NAME="item_%2Dhelp"><STRONG>-help</STRONG></A></STRONG><BR>
73
<DD>
74
Affiche le menu d'aide de <STRONG>stunnel</STRONG>
75
<P></P>
76
<DT><STRONG><A NAME="item_%2Dversion"><STRONG>-version</STRONG></A></STRONG><BR>
77
<DD>
78
Affiche la version et la configuration de compilation de <STRONG>stunnel</STRONG>
79
<P></P>
80
<DT><STRONG><A NAME="item_%2Dsockets"><STRONG>-sockets</STRONG></A></STRONG><BR>
81
<DD>
82
Affiche les options par d�faut des sockets
83
<P></P>
84
<DT><STRONG><A NAME="item_install"><STRONG>-install</STRONG> (NT/2000/XP seulement)</A></STRONG><BR>
85
<DD>
86
Installe le service NT
87
<P></P>
88
<DT><STRONG><A NAME="item_uninstall"><STRONG>-uninstall</STRONG> (NT/2000/XP seulement)</A></STRONG><BR>
89
<DD>
90
D�sinstalle le service NT
91
<P></P></DL>
92
<P>
93
<HR>
94
<H1><A NAME="fichier de configuration">FICHIER DE CONFIGURATION</A></H1>
95
<P>Chaque ligne du fichier de configuration peut �tre soit :</P>
96
<UL>
97
<LI>
98
une ligne vide (ignor�e) ;
99
<P></P>
100
<LI>
101
un commentaire d�butant par un ``#'' (ignor�) ;
102
<P></P>
103
<LI>
104
une paire ``option = valeur'' ;
105
<P></P>
106
<LI>
107
``[service]'' indiquant le d�but d'une d�finition de service.
108
<P></P></UL>
109
<P>
110
<H2><A NAME="options globales">OPTIONS GLOBALES</A></H2>
111
<DL>
112
<DT><STRONG><A NAME="item_CApath_%3D_r�pertoire"><STRONG>CApath</STRONG> = r�pertoire</A></STRONG><BR>
113
<DD>
114
R�pertoire de l'autorit� de certification
115
<P>C'est le r�pertoire dans lequel <STRONG>stunnel</STRONG> cherche les certificats avec
116
<EM>verify</EM>.
117
Les certificats doivent �tre nomm�s XXXXXXXX.0 o� XXXXXXXX est la valeur
118
de hachage du certificat.</P>
119
<P></P>
120
<DT><STRONG><A NAME="item_CAfile_%3D_fichier"><STRONG>CAfile</STRONG> = fichier</A></STRONG><BR>
121
<DD>
122
Fichier de l'autorit� de certification
123
<P>Ce fichier contients plusieurs certificats utilis�s avec <EM>verify</EM>.</P>
124
<P></P>
125
<DT><STRONG><A NAME="item_cert_%3D_fichier"><STRONG>cert</STRONG> = fichier</A></STRONG><BR>
126
<DD>
127
Nom du fichier de la cha�ne de certification PEM
128
<P>Une PEM est toujours n�cessaire en mode serveur.
129
En mode client, cette option utilise cette cha�ne comme cha�ne de certificat client.
130
L'utilisation de certificats clients est optionnelle.
131
Les certificats doivent �tre au format PEM et tri�s par ordre de niveau d�croissant
132
(� partir de l'autorit� racine).</P>
133
<P></P>
134
<DT><STRONG><A NAME="item_r�pertoire"><STRONG>chroot</STRONG> = r�pertoire (Unix seulement)</A></STRONG><BR>
135
<DD>
136
r�pertoire de chroot pour le processus <STRONG>stunnel</STRONG>.
137
<P><STRONG>chroot</STRONG> enferme <STRONG>stunnel</STRONG> dans une cellule d'arborescence.
138
<EM>CApath</EM>, <EM>pid</EM> et <EM>exec</EM> sont dispos�s � l'int�rieur de la cellule et les chemins
139
doivent �tre relatifs au r�pertoire <STRONG>chroot</STRONG>.</P>
140
<P>Pour que le contr�le libwrap (TCP wrappers) soit effectif en environnement
141
chroot, il faut y copier ses fichiers de configuration (/etc/hosts.allow et
142
/etc/hosts.deny).</P>
143
<P></P>
144
<DT><STRONG><A NAME="item_ciphers_%3D_liste"><STRONG>ciphers</STRONG> = liste</A></STRONG><BR>
145
<DD>
146
S�lection des codages SSL autoris�s
147
<P>Liste d�limit�e des codages � autoriser dans une connexion SSL.
148
Par exemple : DES-CBC3-SHA:IDEA-CBC-MD5</P>
149
<P></P>
150
<DT><STRONG><A NAME="item_client_%3D_yes_%7C_no"><STRONG>client</STRONG> = yes | no</A></STRONG><BR>
151
<DD>
152
Mode client (le service distant utilise SSL)
153
<P>d�faut: no (mpde serveur)</P>
154
<P></P>
155
<DT><STRONG><A NAME="item_debug_%3D_%5Bfacilit�%2E%5Dniveau"><STRONG>debug</STRONG> = [facilit�.]niveau</A></STRONG><BR>
156
<DD>
157
Niveau de d�verminage
158
<P>Le niveau est en phase avec ceux de syslog :
46
<hr />
47
<p>
48
</p>
49
<h1><a name="nom">NOM</a></h1>
50
<p>stunnel - tunnel SSL universel</p>
51
<p>
52
</p>
53
<hr />
54
<h1><a name="synopsis">SYNOPSIS</a></h1>
55
<dl>
56
<dt><strong><a name="item_unix_3a"><strong>Unix:</strong></a></strong><br />
57
</dt>
58
<dd>
59
<strong>stunnel</strong> [fichier] | -fd [n] | -help | -version | -sockets
60
</dd>
61
<p></p>
62
<dt><strong><a name="item_win32_3a"><strong>WIN32:</strong></a></strong><br />
63
</dt>
64
<dd>
65
<strong>stunnel</strong> [fichier] | -install | -uninstall | -help | -version | -sockets
66
</dd>
67
<p></p></dl>
68
<p>
69
</p>
70
<hr />
71
<h1><a name="description">DESCRIPTION</a></h1>
72
<p>Le programme <strong>stunnel</strong> est con�u pour fonctionner comme une couche
73
de chiffrement <em>SSL</em> entre des clients distants et des serveurs locaux
74
(<em>inetd</em>-d�marrables) ou distants. Le concept est qu'� partir de daemons
75
non-SSL pr�sents sur le syst�me, on peut facilement les configurer pour
76
communiquer avec des clients sur des liens s�curis�s SSL.</p>
77
<p><strong>stunnel</strong> peut �tre utilis� pour ajouter des fonctionnalit�s SSL � des
78
daemons classiques <em>Inetd</em> tels que les serveurs POP-2, POP-3 et IMAP,
79
� d'autres autonomes tels que NNTP, SMTP et HTTP, ainsi que pour tunneliser
80
PPP sur des sockets r�seau sans modification du code source.</p>
81
<p>Ce produit inclut du code de chiffrement �crit par
82
Eric Young (<a href="mailto:eay@cryptsoft.com">eay@cryptsoft.com</a>)</p>
83
<p>
84
</p>
85
<hr />
86
<h1><a name="options">OPTIONS</a></h1>
87
<dl>
88
<dt><strong><a name="item__5bfichier_5d"><strong>[fichier]</strong></a></strong><br />
89
</dt>
90
<dd>
91
Utilisation du fichier de configuration sp�cifi�.
92
</dd>
93
<p></p>
94
<dt><strong><a name="item__2dfd__5bn_5d__28unix_seulement_29"><strong>-fd [n]</strong> (Unix seulement)</a></strong><br />
95
</dt>
96
<dd>
97
Lecture du fichier de configuration depuis le descripteur de
98
fichier indiqu�.
99
</dd>
100
<p></p>
101
<dt><strong><a name="item__2dhelp"><strong>-help</strong></a></strong><br />
102
</dt>
103
<dd>
104
Affiche le menu d'aide de <strong>stunnel</strong>.
105
</dd>
106
<p></p>
107
<dt><strong><a name="item__2dversion"><strong>-version</strong></a></strong><br />
108
</dt>
109
<dd>
110
Affiche la version de <strong>stunnel</strong> et les options de compilation.
111
</dd>
112
<p></p>
113
<dt><strong><a name="item__2dsockets"><strong>-sockets</strong></a></strong><br />
114
</dt>
115
<dd>
116
Affiche les options socket par d�faut.
117
</dd>
118
<p></p>
119
<dt><strong><a name="item_install"><strong>-install</strong> (NT/2000/XP seulement)</a></strong><br />
120
</dt>
121
<dd>
122
Installe un service NT.
123
</dd>
124
<p></p>
125
<dt><strong><a name="item_uninstall"><strong>-uninstall</strong> (NT/2000/XP only)</a></strong><br />
126
</dt>
127
<dd>
128
D�sinstalle un service NT.
129
</dd>
130
<p></p></dl>
131
<p>
132
</p>
133
<hr />
134
<h1><a name="fichier_de_configuration">FICHIER DE CONFIGURATION</a></h1>
135
<p>Chaque ligne du fichier de configuration peut �tre soit :</p>
136
<ul>
137
<li></li>
138
une ligne vide (ignor�e) ;
139
<p></p>
140
<li></li>
141
un commentaire commen�ant par � # � (ignor�) ;
142
<p></p>
143
<li></li>
144
une paire � option = valeur � ;
145
<p></p>
146
<li></li>
147
� [service_name] � indiquant le d�but de la d�finition d'un service ;
148
<p></p></ul>
149
<p>
150
</p>
151
<h2><a name="options_globales">OPTIONS GLOBALES</a></h2>
152
<dl>
153
<dt><strong><a name="item_capath__3d_r_e9pertoire"><strong>CApath</strong> = r�pertoire</a></strong><br />
154
</dt>
155
<dd>
156
R�pertoire des autorit�s de certification (CA)
157
</dd>
158
<dd>
159
<p>C'est le r�pertoire dans lequel <strong>stunnel</strong> cherche les certificats si
160
l'on utilise <em>verify</em>. Les certificats doivent �tre d�nomm�s selon la
161
forme XXXXXXXX.0, o� XXXXXXXX est la valeur de hachage du certificat.</p>
162
</dd>
163
<dd>
164
<p>Le cas �ch�ant, le r�pertoire <em>CApath</em> est relatif au r�pertoire <em>chroot</em>.</p>
165
</dd>
166
<p></p>
167
<dt><strong><a name="item_cafile__3d_fichier"><strong>CAfile</strong> = fichier</a></strong><br />
168
</dt>
169
<dd>
170
Fichier d'autorit�s de certification
171
</dd>
172
<dd>
173
<p>Ce fichier, utilis� avec <em>verify</em>, contient plusieurs certificats de CA.</p>
174
</dd>
175
<p></p>
176
<dt><strong><a name="item_cert__3d_fichier"><strong>cert</strong> = fichier</a></strong><br />
177
</dt>
178
<dd>
179
Fichier de cha�ne de certificats PEM
180
</dd>
181
<dd>
182
<p>Une PEM est toujours n�cessaire en mode serveur.
183
En mode client, cette option utilise cette PEM comme une cha�ne c�t� client.
184
L'utilisation de certificats c�t� client est optionnelle. Les certificats
185
doivent �tre au format PEM et tri�s par ordre de niveau d�croissant (CA racine
186
en premier).</p>
187
</dd>
188
<p></p>
189
<dt><strong><a name="item_pertoire"><strong>chroot</strong> = r�pertoire (Unix seulement)</a></strong><br />
190
</dt>
191
<dd>
192
R�pertoire de chroot du processus <strong>stunnel</strong>
193
</dd>
194
<dd>
195
<p><strong>chroot</strong> enferme <strong>stunnel</strong> dans une cellule chroot. <em>CApath</em>, <em>CRLpath</em>, <em>pid</em>
196
et <em>exec</em> sont situ�s � l'int�rieur de la cellule et les r�pertoires doivent �tre
197
relatifs au r�pertoire correspondant.</p>
198
</dd>
199
<dd>
200
<p>Pour que le contr�le de libwrap (wrappeur TCP) soit effectif dans un environnement
201
chroot, il faut aussi y recopier leurs fichiers de configuration (/etc/hosts.allow et
202
/etc/hosts.deny).</p>
203
</dd>
204
<p></p>
205
<dt><strong><a name="item_ciphers__3d_listes_de_chiffre"><strong>ciphers</strong> = listes de chiffre</a></strong><br />
206
</dt>
207
<dd>
208
S�lection des chiffres SSL autoris�s
209
</dd>
210
<dd>
211
<p>Liste d�limit�e par deux-points (� : �) des chiffres autoris�s pour la connexion SSL.
212
Exemple : DES-CBC3-SHA:IDEA-CBC-MD5</p>
213
</dd>
214
<p></p>
215
<dt><strong><a name="item_client__3d_yes__7c_no"><strong>client</strong> = yes | no</a></strong><br />
216
</dt>
217
<dd>
218
Mode client (Le service distant utilise SSL)
219
</dd>
220
<dd>
221
<p>Par d�faut : no (mode server)</p>
222
</dd>
223
<p></p>
224
<dt><strong><a name="item_crlpath__3d_r_e9pertoire"><strong>CRLpath</strong> = r�pertoire</a></strong><br />
225
</dt>
226
<dd>
227
R�pertoire des listes de r�vocation de certificats (CRL)
228
</dd>
229
<dd>
230
<p>C'est le r�pertoire dans lequel <strong>stunnel</strong> recherche les CRL avec
231
l'option <em>verify</em>. Les CRL doivent �tre d�nomm�s selon la
232
forme XXXXXXXX.0 o� XXXXXXXX est la valeur de hachage de la CRL.</p>
233
</dd>
234
<dd>
235
<p>Le cas �ch�ant, le r�pertoire <em>CRLpath</em> est relatif au r�pertoire <em>chroot</em>.</p>
236
</dd>
237
<p></p>
238
<dt><strong><a name="item_crlfile__3d_fichier"><strong>CRLfile</strong> = fichier</a></strong><br />
239
</dt>
240
<dd>
241
Fichier de listes de r�vocation de certificats (CRL)
242
</dd>
243
<dd>
244
<p>Ce fichier, utilis� avec <em>verify</em>, contient plusieurs CRL.</p>
245
</dd>
246
<p></p>
247
<dt><strong><a name="item_debug__3d__5bfacilit_e9_2e_5dniveau"><strong>debug</strong> = [facilit�.]niveau</a></strong><br />
248
</dt>
249
<dd>
250
niveau de d�verminage
251
</dd>
252
<dd>
253
<p>Le niveau est un nom ou un num�ro conforme � ceux de syslog :
159
254
emerg (0), alert (1), crit (2), err (3), warning (4), notice (5),
160
info (6), ou debug (7).
161
Toutes les traces de niveau inf�rieur ou �gal num�riquement seront
162
affich�es.
163
<STRONG>debug = debug</STRONG> ou <STRONG>debug = 7</STRONG> donne le niveau de d�tail maximal.
164
La valeur par d�faut est notice (5).</P>
165
<P>La facilit� syslog 'daemon' sera utilis�e par d�faut (les facilit�s
166
ne sont pas support�es par Win32).</P>
167
<P>La casse des caract�res est sans signification.</P>
168
<P></P>
169
<DT><STRONG><A NAME="item_chemin"><STRONG>EGD</STRONG> = chemin (Unix seulement)</A></STRONG><BR>
170
<DD>
171
Chemin vers la socket du daemon de rassemblement d'entropie (EGD,
172
Entropy Gathering Daemon socket).
173
<P>Socket d'EGD � utiliser pour alimenter le g�n�rateur d'al�atoires d'OpenSSL
174
(disponible seulement � partir d'OpenSSL 0.9.5a).</P>
175
<P></P>
176
<DT><STRONG><A NAME="item_no"><STRONG>foreground</STRONG> = yes | no (Unix seulement)</A></STRONG><BR>
177
<DD>
255
info (6) ou debug (7). Toutes les traces du niveau indiqu� et des niveaux
256
num�riquement inf�rieurs seront affich�es. <strong>debug = debug</strong> ou
257
<strong>debug = 7</strong> donneront le maximum d'informations. La valeur par d�faut
258
est notice (5).</p>
259
</dd>
260
<dd>
261
<p>La facilit� syslog � daemon � est utilis�e, sauf si un autre nom est sp�cifi�
262
(Win32 ne permet pas l'usage des facilit�s.)</p>
263
</dd>
264
<dd>
265
<p>La casse est ignor�e, aussi bien pour la facilit� que pour le niveau.</p>
266
</dd>
267
<p></p>
268
<dt><strong><a name="item_chemin"><strong>EGD</strong> = chemin (Unix seulement)</a></strong><br />
269
</dt>
270
<dd>
271
Emplacement du socket du daemon de recueil d'entropie (EGD - Entropy Gathering Daemon)
272
</dd>
273
<dd>
274
<p>Socket EGD � utiliser pour alimenter le g�n�rateur d'al�atoires de OpenSSL (disponible
275
seulement si la compilation a �t� effectu�e avec OpenSSL 0.9.5a ou sup�rieur).</p>
276
</dd>
277
<p></p>
278
<dt><strong><a name="item_no"><strong>foreground</strong> = yes | no (Unix seulement)</a></strong><br />
279
</dt>
280
<dd>
178
281
Mode avant-plan
179
<P>Maintien en avant-plan (sans fork) et trace sur stderr au lieu
180
de syslog (sauf si <STRONG>output</STRONG> est sp�cifi�).</P>
181
<P>d�faut : arri�re-plan en mode daemon.</P>
182
<P></P>
183
<DT><STRONG><A NAME="item_key_%3D_fichier"><STRONG>key</STRONG> = fichier</A></STRONG><BR>
184
<DD>
185
Clef priv�e pour le certificat sp�cifi� � <EM>cert</EM>
186
<P>La clef priv�e est n�cessaire pour l'authentification du propri�taire
187
du certificat.
188
Puisque ce fichier doit rester secret, il ne doit �tre lisible que par
189
son propri�taire.
190
Sous Unix on peut utiliser :</P>
191
<PRE>
192
chmod 600 fichier</PRE>
193
<P>d�faut : valeur de <EM>cert</EM></P>
194
<P></P>
195
<DT><STRONG><A NAME="item_options_%3D_options_SSL"><STRONG>options</STRONG> = options_SSL</A></STRONG><BR>
196
<DD>
282
</dd>
283
<dd>
284
<p>Reste en avant-plan (sans fork) et dirige la trace sur stderr
285
au lieu de syslog (sauf si <strong>output</strong> est sp�cifi�).</p>
286
</dd>
287
<dd>
288
<p>Par d�fault : arri�re-plan en mode daemon.</p>
289
</dd>
290
<p></p>
291
<dt><strong><a name="item_key__3d_fichier"><strong>key</strong> = fichier</a></strong><br />
292
</dt>
293
<dd>
294
Fichier de clef priv�e pour le certificat sp�cifi� par <em>cert</em>
295
</dd>
296
<dd>
297
<p>La clef priv�e est n�cessaire pour authentifier le titulaire du
298
certificat.
299
Puisque ce fichier doit rester secret, il ne doit �tre lisible que
300
par son propri�taire. Sur les syst�mes Unix, on peut utiliser la
301
commande suivante :</p>
302
</dd>
303
<dd>
304
<pre>
305
chmod 600 fichier</pre>
306
</dd>
307
<dd>
308
<p>Par d�fault : Valeur de <em>cert</em></p>
309
</dd>
310
<p></p>
311
<dt><strong><a name="item_options__3d_options_ssl"><strong>options</strong> = Options_SSL</a></strong><br />
312
</dt>
313
<dd>
197
314
Options de la biblioth�que OpenSSL
198
<P>Ce param�tre est le nome de l'option OpenSSL ainsi que d�crite
199
dans le manuel <EM>SSL_CTX_set_options(3ssl)</EM>, mais sans le
200
pr�fixe <EM>SSL_OP_</EM>.
201
Plusieurs <EM>options</EM> peuvent �tre utilis�es.</P>
202
<P>Par exemple, la compatibilit� avec l'implantation d�fectueuse de SSL
203
dans Eudora peut �tre assur�e par :</P>
204
<PRE>
205
options = DONT_INSERT_EMPTY_FRAGMENTS</PRE>
206
<P></P>
207
<DT><STRONG><A NAME="item_output_%3D_fichier"><STRONG>output</STRONG> = fichier</A></STRONG><BR>
208
<DD>
209
Sp�cification du fichier de messages au lieu de syslog.
210
<P></P>
211
<DT><STRONG><A NAME="item_fichier"><STRONG>pid</STRONG> = fichier (Unix seulement)</A></STRONG><BR>
212
<DD>
213
Emplacement du fichier pid (contenant le num�ro de processus).
214
<P>Si l'argument est vide, aucun fichier pid ne sera cr��.</P>
215
<P></P>
216
<DT><STRONG><A NAME="item_RNDbytes_%3D_octets"><STRONG>RNDbytes</STRONG> = octets</A></STRONG><BR>
217
<DD>
218
Nombre d'octets � lire depuis les fichiers de sel al�atoire.
219
<P>Avec SSL de version inf�rieure � 0.9.5a, d�termine aussi le nombre
220
d'octets suffisants pour saler le PRNG.
221
Les versions plus r�centes d'OpenSSM ont une fonction int�gr�e qui
222
d�termine lorsque le niveau d'al�atoire est suffisant.</P>
223
<P></P>
224
<DT><STRONG><A NAME="item_RNDfile_%3D_fichier"><STRONG>RNDfile</STRONG> = fichier</A></STRONG><BR>
225
<DD>
226
Chemin vers le fichier de donn�es de sel.
227
<P>La biblioth�que SSL utilisera en priorit� les donn�es de ce fichier
228
pour alimenter le g�n�rateur d'al�atoires.</P>
229
<P></P>
230
<DT><STRONG><A NAME="item_RNDoverwrite_%3D_yes_%7C_no"><STRONG>RNDoverwrite</STRONG> = yes | no</A></STRONG><BR>
231
<DD>
232
�crase les fichiers de sel al�atoire avec de nouvelles valeurs.
233
<P>d�faut : yes</P>
234
<P></P>
235
<DT><STRONG><A NAME="item_service_%3D_service"><STRONG>service</STRONG> = service</A></STRONG><BR>
236
<DD>
237
Sp�cification du nom de service.
238
<P>Sur Unix : nom de service de mode <EM>inetd</EM> pour TCP Wrapper ;</P>
239
<P>Sur NT/2000/XP : nom de service NT dans le panneau de configuration.</P>
240
<P>d�faut : stunnel</P>
241
<P></P>
242
<DT><STRONG><A NAME="item_session_%3D_timeout"><STRONG>session</STRONG> = timeout</A></STRONG><BR>
243
<DD>
315
</dd>
316
<dd>
317
<p>Le param�tre est l'option OpenSSL d�crite dans la page de man
318
<em>SSL_CTX_set_options(3ssl)</em>, d�barass�e du pr�fixe <em>SSL_OP_</em>.
319
Plusieurs <em>options</em> peuvent �tre sp�cifi�es.</p>
320
</dd>
321
<dd>
322
<p>Par exemple, pour la compatibilit� avec l'implantation SSL d�faillante
323
d'Eudora, on peut utiliser :</p>
324
</dd>
325
<dd>
326
<pre>
327
options = DONT_INSERT_EMPTY_FRAGMENTS</pre>
328
</dd>
329
<p></p>
330
<dt><strong><a name="item_output__3d_fichier"><strong>output</strong> = fichier</a></strong><br />
331
</dt>
332
<dd>
333
Ajoute la trace � la fin d'un fichier au lieu d'utiliser syslog.
334
</dd>
335
<dd>
336
<p>/dev/stdout peut �tre utilis� pour afficher les traces sur la sortie standard
337
(par exemple pour les traiter avec les outils splogger).</p>
338
</dd>
339
<p></p>
340
<dt><strong><a name="item_fichier"><strong>pid</strong> = fichier (Unix seulement)</a></strong><br />
341
</dt>
342
<dd>
343
Emplacement du fichier pid
344
</dd>
345
<dd>
346
<p>Si l'argument est vide, aucun fichier ne sera cr��.</p>
347
</dd>
348
<dd>
349
<p>Le cas �ch�ant, le chemin <em>pid</em> est relatif au r�pertoire <em>chroot</em>.</p>
350
</dd>
351
<p></p>
352
<dt><strong><a name="item_rndbytes__3d_nombre"><strong>RNDbytes</strong> = nombre</a></strong><br />
353
</dt>
354
<dd>
355
Nombre d'octets � lire depuis les fichiers de � sel � al�atoire
356
</dd>
357
<dd>
358
<p>Avec les SSL de version inf�rieure � 0.9.5a, d�termine aussi le nombre
359
d'octets consid�r�s comme suffisants pour � saler � le PRNG. Les versions plus
360
r�centes d'OpenSSL ont une fonction int�gr�e qui d�termine lorsque l'al�atoire
361
est suffisant.</p>
362
</dd>
363
<p></p>
364
<dt><strong><a name="item_rndfile__3d_fichier"><strong>RNDfile</strong> = fichier</a></strong><br />
365
</dt>
366
<dd>
367
chemin du fichier de donn�es de � sel � al�atoire
368
</dd>
369
<dd>
370
<p>La biblioth�que SSL utilise prioritairement les donn�es de ce fichier pour
371
� saler � le g�n�rateur d'al�atoire.</p>
372
</dd>
373
<p></p>
374
<dt><strong><a name="item_rndoverwrite__3d_yes__7c_no"><strong>RNDoverwrite</strong> = yes | no</a></strong><br />
375
</dt>
376
<dd>
377
Recouvre les fichiers de � sel � avec de nouvelles donn�es al�atoires.
378
</dd>
379
<dd>
380
<p>Par d�faut : yes</p>
381
</dd>
382
<p></p>
383
<dt><strong><a name="item_service__3d_nom"><strong>service</strong> = nom</a></strong><br />
384
</dt>
385
<dd>
386
D�finit le nom de service � utiliser
387
</dd>
388
<dd>
389
<p><strong>Sous Unix :</strong> nom de service du mode <em>inetd</em> pour la biblioth�que TCP Wrapper.</p>
390
</dd>
391
<dd>
392
<p><strong>Sous NT/2000/XP :</strong> nom de service NT dans le gestionnaire de t�ches.</p>
393
</dd>
394
<dd>
395
<p>Par d�faut : stunnel</p>
396
</dd>
397
<p></p>
398
<dt><strong><a name="item_session__3d_timeout"><strong>session</strong> = timeout</a></strong><br />
399
</dt>
400
<dd>
244
401
Timeout du cache de session
245
<P></P>
246
<DT><STRONG><A NAME="item_groupe"><STRONG>setgid</STRONG> = groupe (Unix seulement)</A></STRONG><BR>
247
<DD>
248
En mode daemon, <CODE>setgid()</CODE> vers le groupe sp�cifi� et d�sactivation de
249
tous les autres groupes de rattachement.
250
<P></P>
251
<DT><STRONG><A NAME="item_utilisateur"><STRONG>setuid</STRONG> = utilisateur (Unix seulement)</A></STRONG><BR>
252
<DD>
253
En mode daemon, <CODE>setuid()</CODE> vers l'utilisateur sp�cifi�.
254
<P></P>
255
<DT><STRONG><A NAME="item_socket_%3D_a%7Cl%7Cr%3Aoption%3Dvaleur%5B%3Avaleur"><STRONG>socket</STRONG> = a|l|r:option=valeur[:valeur]</A></STRONG><BR>
256
<DD>
257
Positionne une option sur les sockets accept/local/remote
258
<P>Les valeurs de l'option linger sont l_onof:l_linger.
259
Les valeurs de l'option time sont tv_sec:tv_usec.</P>
260
<P>Exemples :</P>
261
<PRE>
402
</dd>
403
<p></p>
404
<dt><strong><a name="item_nom"><strong>setgid</strong> = nom (Unix seulement)</a></strong><br />
405
</dt>
406
<dd>
407
Nom de groupe utilis� en mode daemon (les �ventuels autres noms de groupe attribu�s sont supprim�s)
408
</dd>
409
<p></p>
410
<dt><strong><strong>setuid</strong> = nom (Unix seulement)</strong><br />
411
</dt>
412
<dd>
413
Nom d'utilisateur utilis� en mode daemon
414
</dd>
415
<p></p>
416
<dt><strong><a name="item_socket__3d_a_7cl_7cr_3aoption_3dvaleur_5b_3avaleur"><strong>socket</strong> = a|l|r:option=valeur[:valeur]</a></strong><br />
417
</dt>
418
<dd>
419
Configure une option de socket accept (a), locale (l) ou distante (r)
420
</dd>
421
<dd>
422
<p>Les valeurs de l'option linger sont : l_onof:l_linger.
423
Les valeurs de l'option time sont : tv_sec:tv_usec.</p>
424
</dd>
425
<dd>
426
<p>Exemples :</p>
427
</dd>
428
<dd>
429
<pre>
262
430
socket = l:SO_LINGER=1:60
263
positionne un timeout d'une minute pour la cl�ture d'un socket local.
431
d�finit un d�lai d'une minute pour la cl�ture des sockets locaux
264
432
socket = r:TCP_NODELAY=1
265
d�sactive l'algorithme Nagle pour les sockets distants.
433
d�sactive l'algorithme Nagle pour les sockets distants
266
434
socket = r:SO_OOBINLINE=1
267
place les donn�es out-of-band directement dans le flux de r�ception
268
pour les sockets distants.
435
Place directement les donn�es hors-bande dans le flux de r�ception
436
des sockets distants
269
437
socket = a:SO_REUSEADDR=0
270
d�sactive la r�utilisation d'adresses (activ�e par d�faut).
438
d�sactive la r�utilisation d'adresses (activ�e par d�faut)
271
439
socket = a:SO_BINDTODEVICE=lo
272
n'accepte les connexions que sur l'interface de rebouclage.</PRE>
273
<P></P>
274
<DT><STRONG><A NAME="item_verify_%3D_niveau"><STRONG>verify</STRONG> = niveau</A></STRONG><BR>
275
<DD>
276
V�rification du certificat de l'interlocuteur
277
<PRE>
278
niveau 1 - v�rification du certificat s'il est pr�sent ;
279
niveau 2 - v�rification du certificat ;
280
niveau 3 - contr�le de l'interlocuteur avec le certificat install� en local ;
281
d�faut - pas de v�rification.</PRE>
282
<P></P></DL>
283
<P>
284
<H2><A NAME="options de niveau service">OPTIONS DE NIVEAU SERVICE</A></H2>
285
<P>Chaque section de configuration d�bute par le nom du service entre crochets.
286
Celui-ci est utiliser pour le contr�le d'acc�s libwrap (TCP Wrappers) et
287
permet de distinguer les services <STRONG>stunnel</STRONG> dans les fichiers de trace.</P>
288
<P>Si l'on veut utiliser <STRONG>stunnel</STRONG> en monde <EM>inetd</EM> (dans lequel un socket
289
r�seau est fourni par un serveur comme <EM>inetd</EM>, <EM>xinetd</EM>,
290
ou <EM>tcpserver</EM>), il faut lire la section <EM>MODE INETD</EM> ci-apr�s.</P>
291
<DL>
292
<DT><STRONG><A NAME="item_accept_%3D_%5Bh�te%3A%5Dport"><STRONG>accept</STRONG> = [h�te:]port</A></STRONG><BR>
293
<DD>
294
Accepte les connexions du h�te sp�cifi� sur le port sp�cifi�.
295
<P>Si aucun h�te n'est sp�cifi�, toutes les adresses IP par d�faut pour l'h�te local.</P>
296
<P></P>
297
<DT><STRONG><A NAME="item_connect_%3D_%5Bh�te%3A%5Dport"><STRONG>connect</STRONG> = [h�te:]port</A></STRONG><BR>
298
<DD>
299
Connextion � l'adresse h�te:port.
300
<P>Si aucun h�te n'est sp�cifi�, connexion sur localhost.</P>
301
<P></P>
302
<DT><STRONG><A NAME="item_delay_%3D_yes_%7C_no"><STRONG>delay</STRONG> = yes | no</A></STRONG><BR>
303
<DD>
304
D�lai de recherche DNS pour l'option 'connect'.
305
<P></P>
306
<DT><STRONG><STRONG>exec</STRONG> = chemin (Unix seulement)</STRONG><BR>
307
<DD>
308
Ex�cution d'un programme local de type inetd.
309
<P></P>
310
<DT><STRONG><A NAME="item_execargs_%3D_%240_%241_%242_%2E%2E%2E_%28Unix_seul"><STRONG>execargs</STRONG> = $0 $1 $2 ... (Unix seulement)</A></STRONG><BR>
311
<DD>
312
Arguments pour <EM>exec</EM>, y compris le nom du programme ($0)
313
<P>Les guillemets ne sont pas support�s actuellement.
314
Les arguments sont s�par�s par un nombre quelconque d'espaces.</P>
315
<P></P>
316
<DT><STRONG><A NAME="item_ident_%3D_utilisateur"><STRONG>ident</STRONG> = utilisateur</A></STRONG><BR>
317
<DD>
318
Utilisation du contr�le de nom d'utilisateur IDENT (RFC 1413).
319
<P></P>
320
<DT><STRONG><A NAME="item_local_%3D_h�te"><STRONG>local</STRONG> = h�te</A></STRONG><BR>
321
<DD>
322
Adresse IP de l'interface de sortie pour les connexions distantes.
323
Cette option permet de connecter une adresse IP statique.
324
<P></P>
325
<DT><STRONG><A NAME="item_protocol_%3D_protocole"><STRONG>protocol</STRONG> = protocole</A></STRONG><BR>
326
<DD>
327
N�gociation SSL avec le protocole indiqu� (actuellement : smtp,
328
pop3 ou nntp).
329
<P></P>
330
<DT><STRONG><STRONG>pty</STRONG> = yes | no (Unix seulement)</STRONG><BR>
331
<DD>
332
Allocation d'un pseudo-terminal pour l'option 'exec'.
333
<P></P>
334
<DT><STRONG><A NAME="item_TIMEOUTbusy_%3D_secondes"><STRONG>TIMEOUTbusy</STRONG> = secondes</A></STRONG><BR>
335
<DD>
336
Dur�e d'attente des donn�es.
337
<P></P>
338
<DT><STRONG><A NAME="item_TIMEOUTclose_%3D_secondes"><STRONG>TIMEOUTclose</STRONG> = secondes</A></STRONG><BR>
339
<DD>
340
Dur�e d'attente pour close_notify (positionn� � 0 pour MSIE bugg�).
341
<P></P>
342
<DT><STRONG><A NAME="item_TIMEOUTidle_%3D_secondes"><STRONG>TIMEOUTidle</STRONG> = secondes</A></STRONG><BR>
343
<DD>
344
Dur�e de maintien d'une connexion inactive.
345
<P></P>
346
<DT><STRONG><STRONG>transparent</STRONG> = yes | no (Unix seulement)</STRONG><BR>
347
<DD>
348
Mode mandataire transparent.
349
<P>R��criture de l'adresse afin que la connexion apparaisse comme provenant
350
de la machine client SSL plut�t que de celle ex�cutant <STRONG>stunnel</STRONG>.
351
Cette option n'est disponible en mode local (option <EM>exec</EM>) qu'avec
352
l'option LD_PRELOAD de la biblioth�que partag�e env.so ou en mode distant
353
(option <EM>connect</EM>) sur un noyau Linux 2.2 compil� avec l'option <EM>transparent
354
proxy</EM> puis seulement en mode serveur.
355
Cette option est incompatible avec le mode mandataire (<EM>connect</EM>) sauf si
356
la route par d�faut vers la machine cible passe par l'h�te <STRONG>stunnel</STRONG>, qui ne
357
peut �tre localhost.</P>
358
<P></P></DL>
359
<P>
360
<HR>
361
<H1><A NAME="valeur de retour">VALEUR DE RETOUR</A></H1>
362
<P><STRONG>stunnel</STRONG> renvoie z�ro en cas de succ�s, une autre valeur en cas d'erreur.</P>
363
<P>
364
<HR>
365
<H1><A NAME="exemples">EXEMPLES</A></H1>
366
<P>Pour encapsuler un service local <EM>imapd</EM> dans SSL :</P>
367
<PRE>
440
limite l'acceptation des connexions sur la seule interface de bouclage</pre>
441
</dd>
442
<p></p>
443
<dt><strong><strong>taskbar</strong> = yes | no (WIN32 seulement)</strong><br />
444
</dt>
445
<dd>
446
active l'ic�ne de la barre de t�ches
447
</dd>
448
<dd>
449
<p>Par d�faut : yes</p>
450
</dd>
451
<p></p>
452
<dt><strong><a name="item_verify__3d_niveau"><strong>verify</strong> = niveau</a></strong><br />
453
</dt>
454
<dd>
455
V�rifie le certificat du correspondant
456
</dd>
457
<dd>
458
<pre>
459
niveau 1 - v�rifie le certificat s'il est pr�sent
460
niveau 2 - v�rifie le certificat
461
niveau 3 - contr�le le correspondant avec le certificat local</pre>
462
</dd>
463
<dd>
464
<p>Par d�faut - pas de v�rification</p>
465
</dd>
466
<p></p></dl>
467
<p>
468
</p>
469
<h2><a name="options_de_service">OPTIONS DE SERVICE</a></h2>
470
<p>Chaque section de configuration commence par le nom du service entre crochets.
471
Celui-ci est utilis� par le contr�le d'acc�s de libwrap (TCP Wrappers) et sert
472
� distinguer les services <strong>stunnel</strong> dans les fichiers de traces.</p>
473
<p>Si l'on souhaite utiliser <strong>stunnel</strong> en mode <em>inetd</em> (lorsqu'un socket lui est
474
fourni par un serveur comme <em>inetd</em>, <em>xinetd</em> ou <em>tcpserver</em>), il faut se
475
reporter � la section <em>MODE INETD</em> plus bas.</p>
476
<dl>
477
<dt><strong><a name="item_accept__3d__5bh_f4te_3a_5dport"><strong>accept</strong> = [h�te:]port</a></strong><br />
478
</dt>
479
<dd>
480
Accepte des connexions sur le port sp�cifi�
481
</dd>
482
<dd>
483
<p>Si l'h�te n'est pas indiqu�, le port est ouvert pour toutes les adresses IP de
484
la machine locale.</p>
485
</dd>
486
<p></p>
487
<dt><strong><a name="item_connect__3d__5bh_f4te_3a_5dport"><strong>connect</strong> = [h�te:]port</a></strong><br />
488
</dt>
489
<dd>
490
Se connecte au port distant indiqu�
491
</dd>
492
<dd>
493
<p>Par d�faut, l'h�te est localhost.</p>
494
</dd>
495
<p></p>
496
<dt><strong><a name="item_delay__3d_yes__7c_no"><strong>delay</strong> = yes | no</a></strong><br />
497
</dt>
498
<dd>
499
Retarde la recherche DNS pour l'option � connect �
500
</dd>
501
<p></p>
502
<dt><strong><a name="item_cutable"><strong>exec</strong> = chemin_ex�cutable (Unix seulement)</a></strong><br />
503
</dt>
504
<dd>
505
Ex�cute un programme local de type inetd
506
</dd>
507
<dd>
508
<p>Le cas �ch�ant, le chemin <em>exec</em> est relatif au r�pertoire <em>chroot</em>.</p>
509
</dd>
510
<p></p>
511
<dt><strong><a name="item_execargs__3d__240__241__242__2e_2e_2e__28unix_seul"><strong>execargs</strong> = $0 $1 $2 ... (Unix seulement)</a></strong><br />
512
</dt>
513
<dd>
514
Arguments pour <em>exec</em>, y compris le nom du programme ($0)
515
</dd>
516
<dd>
517
<p>Les quotes ne peuvent actuellement pas �tre utilis�es.
518
Les arguments sont s�par�s par un nombre quelconque d'espaces.</p>
519
</dd>
520
<p></p>
521
<dt><strong><a name="item_ident__3d_nom"><strong>ident</strong> = nom</a></strong><br />
522
</dt>
523
<dd>
524
Applique le contr�le d'identit� d'utilisateur IDENT (RFC 1413)
525
</dd>
526
<p></p>
527
<dt><strong><a name="item_local__3d_h_f4te"><strong>local</strong> = h�te</a></strong><br />
528
</dt>
529
<dd>
530
Adresse IP de l'interface de sortie utilis�e pour les connexions distantes.
531
Cette option permet de relier une adresse statique locale.
532
</dd>
533
<p></p>
534
<dt><strong><a name="item_protocol__3d_protocole"><strong>protocol</strong> = protocole</a></strong><br />
535
</dt>
536
<dd>
537
N�gocie avec SSL selon le protocole indiqu�
538
</dd>
539
<dd>
540
<p>Actuellement g�r�s : cifs, nntp, pop3, smtp</p>
541
</dd>
542
<p></p>
543
<dt><strong><strong>pty</strong> = yes | no (Unix seulement)</strong><br />
544
</dt>
545
<dd>
546
Alloue un pseudo-terminal pour l'option � exec �
547
</dd>
548
<p></p>
549
<dt><strong><a name="item_timeoutbusy__3d_secondes"><strong>TIMEOUTbusy</strong> = secondes</a></strong><br />
550
</dt>
551
<dd>
552
Dur�e d'attente de donn�es
553
</dd>
554
<p></p>
555
<dt><strong><a name="item_timeoutclose__3d_secondes"><strong>TIMEOUTclose</strong> = secondes</a></strong><br />
556
</dt>
557
<dd>
558
Dur�e d'attente du close_notify (mis � 0 pour MSIE qui est bogu�)
559
</dd>
560
<p></p>
561
<dt><strong><a name="item_timeoutidle__3d_secondes"><strong>TIMEOUTidle</strong> = secondes</a></strong><br />
562
</dt>
563
<dd>
564
Dur�e d'attente sur une connexion inactive
565
</dd>
566
<p></p>
567
<dt><strong><strong>transparent</strong> = yes | no (Unix seulement)</strong><br />
568
</dt>
569
<dd>
570
Mode mandataire transparent
571
</dd>
572
<dd>
573
<p>R�-�crit les adresses pour qu'elles apparaissent provenir de la
574
machine client SSL plut�t que de celle qui ex�cute <strong>stunnel</strong>.
575
Cette option n'est disponible en mode local (option <em>exec</em>) qu'avec
576
la biblioth�que partag�e LD_PRELOADing env.so shared library et en mode
577
distant (option <em>connect</em>) sur les noyaux Linux 2.2 compil�s avec
578
l'option <em>transparent proxy</em> et seulement en mode serveur. Cette
579
option ne se combine pas au mode mandataire (<em>connect</em>) sauf si la
580
route par d�faut du client vers la cible passe par l'h�te qui fait
581
tourner <strong>stunnel</strong>, qui ne peut �tre localhost.</p>
582
</dd>
583
<p></p></dl>
584
<p>
585
</p>
586
<hr />
587
<h1><a name="valeur_de_retour">VALEUR DE RETOUR</a></h1>
588
<p><strong>stunnel</strong> renvoie z�ro en cas de succ�s, une autre valeur en cas d'erreur.</p>
589
<p>
590
</p>
591
<hr />
592
<h1><a name="exemples">EXEMPLES</a></h1>
593
<p>Pour encapsuler votre service <em>imapd</em> local avec SSL :</p>
594
<pre>
368
595
[imapd]
369
596
accept = 993
370
597
exec = /usr/sbin/imapd
371
execargs = imapd</PRE>
372
<P>Pour tunnelliser le daemon <EM>pppd</EM> sur le port 2020 :</P>
373
<PRE>
598
execargs = imapd</pre>
599
<p>Pour tunneliser un daemon <em>pppd</em> sur le port 2020 :</p>
600
<pre>
374
601
[vpn]
375
602
accept = 2020
376
603
exec = /usr/sbin/pppd
377
604
execargs = pppd local
378
pty = yes</PRE>
379
<P>Pour que <STRONG>stunnel</STRONG> lance le processus imapd en mode <EM>inetd</EM>, le fichier
380
<EM>stunnel.conf</EM> sera ainsi (il ne doit y avoir aucune section <EM>[service]</EM>):</P>
381
<PRE>
605
pty = yes</pre>
606
<p>Configuration de <em>stunnel.conf</em> pour utiliser <strong>stunnel</strong> en mode <em>inetd</em>
607
qui lance imapd � son tour (il ne doit pas y avoir de section <em>[service_name]</em>) :</p>
608
<pre>
382
609
exec = /usr/sbin/imapd
383
execargs = imapd</PRE>
384
<P>
385
<HR>
386
<H1><A NAME="fichiers">FICHIERS</A></H1>
387
<DL>
388
<DT><STRONG><A NAME="item_stunnel%2Econf"><EM>stunnel.conf</EM></A></STRONG><BR>
389
<DD>
390
Fichier de configuration de <STRONG>stunnel</STRONG>.
391
<P></P>
392
<DT><STRONG><A NAME="item_stunnel%2Epem"><EM>stunnel.pem</EM></A></STRONG><BR>
393
<DD>
394
Certificat et clef priv�e de <STRONG>stunnel</STRONG>.
395
<P></P></DL>
396
<P>
397
<HR>
398
<H1><A NAME="bugs">BUGS</A></H1>
399
<P>L'option <EM>execargs</EM> ne supporte pas les guillemets.</P>
400
<P>
401
<HR>
402
<H1><A NAME="restrictions">RESTRICTIONS</A></H1>
403
<P><STRONG>stunnel</STRONG> ne peut �tre utilis� pour le daemon FTP en raison de la nature
404
de ce protocole qui ouvre de multiples ports pour les transferts de donn�es.
405
Il existe cependant des versions de FTP et de telnet qui permettent l'utilisation
406
de SSL.</P>
407
<P>
408
<HR>
409
<H1><A NAME="notes">NOTES</A></H1>
410
<P>
411
<H2><A NAME="mode inetd">MODE INETD</A></H2>
412
<P>L'utilisation la plus courante de <STRONG>stunnel</STRONG> est l'�coute sur un
413
port r�seau pour �tablir des communications, soit sur un nouveau port
414
avec l'option connect, soit avec un programme avec l'option <EM>exec</EM>.
415
Dans certains cas, il est souhaitable qu'un autre programme accepte
416
les connexions entrantes puis passe la main � <STRONG>stunnel</STRONG> (par exemple
417
avec <EM>inetd</EM>, <EM>xinetd</EM>, ou <EM>tcpserver</EM>).</P>
418
<P>Imaginons la ligne suivante dans <EM>inetd.conf</EM> :</P>
419
<PRE>
420
imaps stream tcp nowait root /usr/sbin/stunnel stunnel /etc/stunnel/imaps.conf</PRE>
421
<P>Dans ce cas, le programme de style <EM>inetd</EM> est en charge
422
de la connexion du socket r�seau (<EM>imaps</EM> ci-dessus) et
423
du passage � <STRONG>stunnel</STRONG> une fois la connexion re�ue.
424
Ainsi, <STRONG>stunnel</STRONG> ne doit pas avoir d'option <EM>accept</EM>/
425
Toutes les <EM>options de niveau service</EM> doivent �tre dans la
426
section des options globales et il ne doit pas y avoir de section
427
<EM>[service]</EM>. Se reporter � la section <EM>EXEMPLES</EM>.</P>
428
<P>
429
<H2><A NAME="certificats">CERTIFICATS</A></H2>
430
<P>Chasue daemon SSL-is� doit pr�senter un certificat X.509 valide � son
431
interlocuteur. Il n�cessite aussi une clef priv�e pour d�chiffrer les
432
donn�es entrantes.
433
La m�thode la plus simple d'obtention d'un certificat et d'une clef est
434
de les engendrer � l'aide du paquetage lible <EM>OpenSSL</EM>.
435
Plus d'informations sur la g�n�ration de certificats est disponible sur
436
les pages indiqu�es plus bas.</P>
437
<P>Deux points importants lors de la g�n�ration de paires certificat-clef
438
pour <STRONG>stunnel</STRONG> : la clef priv�e ne peut �tre chiffr�e car le serveur
439
n'a aucun moyen d'acc�der au mot de passe de l'utilisateur ; l'option
440
<EM>-nodes</EM> de la commande <STRONG>req</STRONG> du kit <EM>OpenSSL</EM> permet de produire
441
une clef non chiffr�e.</P>
442
<P>L'ordre du contenu du fichier <EM>.pem</EM> est important aussi : il doit
443
contenir la clef priv�e non chiffr�e en premier, puis un certificat
444
sign� (pas de requ�te de certificat).
445
Il doit y avoir aussi des lignes vides apr�s le certificat et la clef
446
priv�e.
447
L'information en texte simple ajout�e sur le certificat engendr� doit �tre
448
supprim�e.
449
Ainsi, le fichier doit se pr�senter comme suit :</P>
450
<PRE>
610
execargs = imapd</pre>
611
<p>
612
</p>
613
<hr />
614
<h1><a name="fichiers">FICHIERS</a></h1>
615
<dl>
616
<dt><strong><a name="item_stunnel_2econf"><em>stunnel.conf</em></a></strong><br />
617
</dt>
618
<dd>
619
Fichier de configuration de <strong>stunnel</strong>
620
</dd>
621
<p></p>
622
<dt><strong><a name="item_stunnel_2epem"><em>stunnel.pem</em></a></strong><br />
623
</dt>
624
<dd>
625
Certificat et clef priv�e de <strong>stunnel</strong>
626
</dd>
627
<p></p></dl>
628
<p>
629
</p>
630
<hr />
631
<h1><a name="bogues">BOGUES</a></h1>
632
<p>L'option <em>execargs</em> n'admet pas les quotes.</p>
633
<p>
634
</p>
635
<hr />
636
<h1><a name="restrictions">RESTRICTIONS</a></h1>
637
<p><strong>stunnel</strong> ne peut �tre utilis� pour le daemon FTP en raison de la nature
638
du protocole FTP qui utilise des ports multiples pour les transferts de donn�es.
639
Il existe cependant des versions SSL de FTP et de telnet.</p>
640
<p>
641
</p>
642
<hr />
643
<h1><a name="notes">NOTES</a></h1>
644
<p>
645
</p>
646
<h2><a name="mode_inetd">MODE INETD</a></h2>
647
<p>L'utilisation la plus commune de <strong>stunnel</strong> consiste � �couter un port
648
r�seau et � �tablir une communication, soit avec un nouveau port
649
avec l'option <em>connect</em>, soit avec un programme avec l'option <em>exec</em>.
650
On peut parfois cependant souhaiter qu'un autre programme re�oive les
651
connexions entrantes et lance <strong>stunnel</strong>, par exemple avec <em>inetd</em>,
652
<em>xinetd</em> ou <em>tcpserver</em>.</p>
653
<p>Si, par exemple, la ligne suivante se trouve dans <em>inetd.conf</em> :</p>
654
<pre>
655
imaps stream tcp nowait root /usr/sbin/stunnel stunnel /etc/stunnel/imaps.conf</pre>
656
<p>Dans ces cas, c'est le programme du genre <em>inetd</em>-style qui est
657
responsable de l'�tablissement de la connexion (<em>imaps</em> ci-dessus) et de passer
658
celle-ci � <strong>stunnel</strong>.
659
Ainsi, <strong>stunnel</strong> ne doit alors avoir aucune option <em>accept</em>.
660
Toutes les <em>options de niveau service</em> doivent �tre plac�es dans
661
la section des options globales et aucune section <em>[service_name]</em> ne doit
662
�tre pr�sente. Voir la section <em>EXEMPLES</em> pour des exemples de configurations.</p>
663
<p>
664
</p>
665
<h2><a name="certificats">CERTIFICATS</a></h2>
666
<p>Chaque daemon � propri�t�s SSL doit pr�senter un certificat X.509
667
valide � son interlocuteur. Il a aussi besoin d'une clef priv� pour
668
d�chiffrer les donn�es entrantes. La m�thode la plus simple pour
669
obtenir un certificat et une clef est d'engendrer celles-ci avec
670
le paquetage libre <em>OpenSSL</em>. Plus d'informations sur la g�n�ration de
671
certificats se trouvent dans les pages indiqu�es plus bas.</p>
672
<p>Deux choses importantes lors de la g�n�ration de paires certificat-clef
673
pour <strong>stunnel</strong> :</p>
674
<ul>
675
<li></li>
676
la clef priv�e ne peut �tre chiffr�e puisque le serveur n'a aucun moyen
677
d'obtenir le mot de passe de l'utilisateur ; pour produire une clef non chiffr�e,
678
ajouter l'option <em>-nodes</em> � la commande <strong>req</strong> de <em>OpenSSL</em> ;
679
<p></p>
680
<li></li>
681
l'ordre du contenu du fichier <em>.pem</em> est significatif : il doit contenir d'abord
682
une clef priv�e non chiffr�e, puis un certificat sign� (et non une demande de certificat).
683
Il doit aussi y avoir des lignes vides apr�s le certificat et apr�s la clef priv�e.
684
L'information textuelle ajout�e au d�but d'un certificat doit �tre supprim�e afin que
685
le fichier ait l'allure suivante :
686
<pre>
451
687
-----BEGIN RSA PRIVATE KEY-----
452
688
[clef encod�e]
453
689
-----END RSA PRIVATE KEY-----
455
691
-----BEGIN CERTIFICATE-----
456
692
[certificat encod�]
457
693
-----END CERTIFICATE-----
458
[ligne vide]</PRE>
459
<P>
460
<H2><A NAME="al�atoires">AL�ATOIRES</A></H2>
461
<P><STRONG>stunnel</STRONG> doit alimenter le g�n�rateur d'al�atoires
462
(PRNG - pseudo random number generator) pour fournir � SSL un bon
463
niveau d'al�atoires.
464
Les sources suivantes sont charg�es dans l'ordre jusqu'� ce qu'une
465
quantit� suffisante d'informations al�atoires ait �t� rassembl�e :</P>
466
<UL>
467
<LI>
468
le fichier sp�cifi� par <EM>RNDfile</EM> ;
469
<P></P>
470
<LI>
471
le fichier sp�cifi� par la variable d'environnement �ventuelle RANDFILE ;
472
<P></P>
473
<LI>
474
le fichier $HOME/.rnd si RANDFILE n'est pas positionn� ;
475
<P></P>
476
<LI>
477
le fichier sp�cifi� avec '--with-random' lors de la compilation ;
478
<P></P>
479
<LI>
480
le contenu de l'�cran en environnement Windows ;
481
<P></P>
482
<LI>
483
le socket sp�cifi� par <EM>EGD</EM> ;
484
<P></P>
485
<LI>
486
le socket sp�cifi� avec '--with-egd-sock' lors de la compilation ;
487
<P></P>
488
<LI>
694
[ligne vide]</pre>
695
<p></p></ul>
696
<p>
697
</p>
698
<h2><a name="aleatoire">ALEATOIRE</a></h2>
699
<p><strong>stunnel</strong> doit � saler � le g�n�rateur de pseudo-al�atoires PRNG (pseudo random
700
number generator) afin que SSL utilise un al�atoire de qualit�. Les sources suivantes
701
sont charg�es dans l'ordre jusqu'� ce qu'une quantit� suffisante de donn�es soit lue :</p>
702
<ul>
703
<li></li>
704
le fichier sp�cifi� par <em>RNDfile</em> ;
705
<p></p>
706
<li></li>
707
le fichier sp�cifi� par la variable d'environnement RANDFILE, � d�faut
708
le fichier .rnd du r�pertoire $HOME de l'utilisateur ;
709
<p></p>
710
<li></li>
711
le fichier sp�cifi� par � --with-random � lors de la compilation ;
712
<p></p>
713
<li></li>
714
le contenu de l'�cran (MS-Windows seulement) ;
715
<p></p>
716
<li></li>
717
le socket EGD sp�cifi� par <em>EGD</em> ;
718
<p></p>
719
<li></li>
720
le socket EGD sp�cifi� par � --with-egd-sock � lors de la compilation ;
721
<p></p>
722
<li></li>
489
723
le p�riph�rique /dev/urandom.
490
<P></P></UL>
491
<P>Si les versions r�centes (>=OpenSSL 0.9.5a) de SSL cessent le chargement
492
automatiquement lorsqu'une entropie suffisante a �t� rassembl�e, ce n'est
493
pas le cas des versions pr�c�dentes qui ne disposent pas d'une fonction
494
permettant de d�terminer cela.</P>
495
<P>Sur les machines Windows sans interaction utilisateur (mouvements de souris,
496
cr�ation de fen�tres, etc.), le contenu de l'�cran n'est pas suffisamment
497
variable et il faut fournir un fichier d'al�atoires � l'aide de <EM>RNDfile</EM>.</P>
498
<P>Le fichier sp�cifi� par <EM>RNDfile</EM> doit contenir des donn�es al�atoires --
499
donc des donn�es diff�rentes pour chaque lancement de <STRONG>stunnel</STRONG>.
500
Cela est r�alis� automatiquement sauf si <EM>RNDoverwrite</EM> est utilis�.
501
Pour la mise � jour manuelle de ce fichier, la commande <EM>openssl rand</EM>
502
des versions r�centes d'OpenSSL peut �tre utile.</P>
503
<P>Note importante -- si /dev/urandom est disponible, OpenSSL a pour habitude
504
de l'utiliser, quel que soit l'�tat d'al�atoire, donc il sera vraisemblablement
505
utilis� m�me s'il est indiqu� en derni�re position de la liste ci-dessus.
506
C'est un comportement de OpenSSL, pas de <STRONG>stunnel</STRONG>.</P>
507
<P>
508
<HR>
509
<H1><A NAME="voir aussi">VOIR AUSSI</A></H1>
510
<DL>
511
<DT><STRONG><A NAME="item_tcpd"><A HREF="#item_tcpd">tcpd(8)</A></A></STRONG><BR>
512
<DD>
513
syst�me de contr�le d'acc�s pour les services internet.
514
<P></P>
515
<DT><STRONG><A NAME="item_inetd"><A HREF="#item_inetd">inetd(8)</A></A></STRONG><BR>
516
<DD>
517
``super-serveur'' internet
518
<P></P>
519
<DT><STRONG><A NAME="item_http%3A%2F%2Fstunnel%2Emirt%2Enet%2F"><EM><A HREF="http://stunnel.mirt.net/">http://stunnel.mirt.net/</A></EM></A></STRONG><BR>
520
<DD>
521
Site de <STRONG>stunnel</STRONG>
522
<P></P>
523
<DT><STRONG><A NAME="item_http%3A%2F%2Fwww%2Estunnel%2Eorg%2F"><EM><A HREF="http://www.stunnel.org/">http://www.stunnel.org/</A></EM></A></STRONG><BR>
524
<DD>
525
Foire aux questions <STRONG>stunnel</STRONG>
526
<P></P>
527
<DT><STRONG><A NAME="item_http%3A%2F%2Fwww%2Eopenssl%2Eorg%2F"><EM><A HREF="http://www.openssl.org/">http://www.openssl.org/</A></EM></A></STRONG><BR>
528
<DD>
529
Site web du projet OpenSSL.
530
<P></P></DL>
531
<P>
532
<HR>
533
<H1><A NAME="auteur">AUTEUR</A></H1>
534
<DL>
535
<DT><STRONG><A NAME="item_Michal_Trojnara">Michal Trojnara</A></STRONG><BR>
536
<DD>
537
<<EM><A HREF="mailto:Michal.Trojnara@mirt.net">Michal.Trojnara@mirt.net</A></EM>>
538
<P></P>
539
<DT><STRONG><A NAME="item_Adaptation_fran�aise_Bernard_Choppy_%3CF%3Cchoppy%">Adaptation fran�aise Bernard Choppy
540
<<EM><A HREF="mailto:choppy@imaginet.fr">choppy@imaginet.fr</A></EM>></A></STRONG><BR>
541
<DD>
542
</DL>
543
544
</BODY>
545
546
</HTML>
724
<p></p></ul>
725
<p>Avec un OpenSSL r�cent (>=OpenSSL 0.9.5a) le chargement de donn�es s'arr�te
726
automatiquement lorsqu'un niveau d'entropie suffisant est atteint.
727
Les versions pr�c�dentes continuent � lire toutes les sources puisqu'aucune
728
fonction SSL ne leur permet de savoir que suffisamment de donn�es sont disponibles.</p>
729
<p>Sur les machines MS-Windows qui n'ont pas d'interaction utilisateur sur la console,
730
(mouvements de souris, cr�ation de fen�tres, etc.), le contenu de l'�cran n'est
731
pas suffisamment changeant et il est n�cessaire de fournir un fichier d'al�atoire
732
par le biais de <em>RNDfile</em>.</p>
733
<p>Le fichier sp�cifi� par <em>RNDfile</em> doit contenir des informations al�atoires --
734
c'est-�-dire des informations diff�rentes � chaque lancement de <strong>stunnel</strong>.
735
Cela est g�r� automatiquement sauf si l'option <em>RNDoverwrite</em> est utilis�e.
736
Si l'on souhaite proc�der manuellement � la mise � jour de ce fichier, la
737
commande <em>openssl rand</em> des versions r�centes d'OpenSSL sera sans doute utile.</p>
738
<p>Note importante : si /dev/urandom est disponible, OpenSSL a l'habitude d'utiliser
739
celui-ci pour � saler � le PRNG m�me lorsqu'il contr�le l'�tat de l'al�atoire ;
740
ainsi, m�me si /dev/urandom est dernier de la liste ci-dessus, il est vraisemblable
741
qu'il soit utilis� s'il est pr�sent.
742
Ce n'est pas le comportement de <strong>stunnel</strong>, c'est celui d'OpenSSL.</p>
743
<p>
744
</p>
745
<hr />
746
<h1><a name="voir_aussi">VOIR AUSSI</a></h1>
747
<dl>
748
<dt><strong><a name="item_tcpd"><a href="#item_tcpd">tcpd(8)</a></a></strong><br />
749
</dt>
750
<dd>
751
Service de contr�le d'acc�s pour les services internet
752
</dd>
753
<p></p>
754
<dt><strong><a name="item_inetd"><a href="#item_inetd">inetd(8)</a></a></strong><br />
755
</dt>
756
<dd>
757
� super-serveur � internet
758
</dd>
759
<p></p>
760
<dt><strong><a name="item_http_3a_2f_2fstunnel_2emirt_2enet_2f"><em><a href="http://stunnel.mirt.net/">http://stunnel.mirt.net/</a></em></a></strong><br />
761
</dt>
762
<dd>
763
Page de r�f�rence de <strong>stunnel</strong>
764
</dd>
765
<p></p>
766
<dt><strong><a name="item_http_3a_2f_2fwww_2estunnel_2eorg_2f"><em><a href="http://www.stunnel.org/">http://www.stunnel.org/</a></em></a></strong><br />
767
</dt>
768
<dd>
769
Foire aux questions <strong>stunnel</strong>
770
</dd>
771
<p></p>
772
<dt><strong><a name="item_http_3a_2f_2fwww_2eopenssl_2eorg_2f"><em><a href="http://www.openssl.org/">http://www.openssl.org/</a></em></a></strong><br />
773
</dt>
774
<dd>
775
Site web du projet OpenSSL
776
</dd>
777
<p></p></dl>
778
<p>
779
</p>
780
<hr />
781
<h1><a name="auteur">AUTEUR</a></h1>
782
<dl>
783
<dt><strong><a name="item_michal_trojnara">Michal Trojnara</a></strong><br />
784
</dt>
785
<dd>
786
<<em><a href="mailto:Michal.Trojnara@mirt.net">Michal.Trojnara@mirt.net</a></em>>
787
</dd>
788
<p></p></dl>
789
<p>
790
</p>
791
<hr />
792
<h1><a name="adaptation_fran_aise">ADAPTATION FRAN�AISE</a></h1>
793
<dl>
794
<dt><strong><a name="item_bernard_choppy">Bernard Choppy</a></strong><br />
795
</dt>
796
<dd>
797
<<em>choppy AT free POINT fr</em>>
798
</dd>
799
<p></p></dl>
800
801
</body>
802
803
</html>
Loggerhead is a web-based interface for Breezy
Version: 2.0.1