Mesh on slash-root.fr

Tactical RMM : Agent installation

Thu, 21 Oct 2021 10:35:03 +0200

A lire

Pour l'instant seul un agent Windows est pleinement fonctionnel. Les versions Linux et macOS sont en cours de développement.
Afin d'éviter la détection de l'agent par l'antivirus, 2 solutions :
- Agent avec code signé par Microsoft.
Un don mensuel de 50$ est demandé afin d'avoir accès à l'agent avec le code signé Microsoft. Le status Sponsor est alors attribué au sein du projet Tactical RMM.
- Agent sans code signé par Microsoft.
Le setup généré dynamiquement de l'agent (explications plus bas) sans code signé peut provoquer une alerte virale sur votre système. L'utilisation de l'agent générique (via script, gpo) ne provoque pas d'alerte virale.
Penser à vérifier vos exclusions antivirus une fois l'agent Windows déployé:
```
C:\Program Files\TacticalAgent\*
C:\Program Files\Mesh Agent\*
C:\Windows\Temp\winagent-v*.exe
C:\Windows\Temp\trmm\*
C:\temp\tacticalrmm*.exe
```
Lors du déploiement de l'agent, les exclusions sont automatiquement créées dans Windows Defender.
Par défaut les mises à jour Windows sont désactivées automatiquement après l'installation de l'agent.

Déploiement agent

L'exécution de l'installation des agents doit être effectué sur les hôtes à surveiller.

Déploiement manuel

Se rendre sur https://rmm.example.com.
Clic droit sur le client/site puis Install Agent.
Vérifier que le Client et le Site soient corrects.
Définir le type de machine (Server / Workstation) à qui s'adresse l'agent.
Définir le temps de validité de l'agent (Token expiration).
Définir les options appliqués par l'agent (Enable RDP, Enable Ping, Disable sleep/hibernate).
Sélectionner la méthode d'installation souhaitée :
- Agent généré dynamiquement
Attention à l'antivirus si le code de l'agent est non signé par Microsoft. Voir la section A lire au début de cet article.
- Powershell : Génération d'un script Powershell. L'agent est générique et le scripts contient tous les paramètres de l'agent.
- Autoriser l'exécution du script Powershell :
```
PS C:\> Set-ExecutionPolicy Unrestricted
```
- Manuel : L'agent est générique. Le script d'exécution est afficher à l'écran. Cette méthode est préconisée pour l'intégration dans des scripts et/ou des GPOs.
Attention à la durée du token si cette méthode est choisie pour une utilisation dans des scripts et/ou GPOs. Mettre une valeur très importante si besoin d'une validité permanente.

Lien de déploiement

A partir du client, se rendre sur https://rmm.example.com.
Menu Agents puis Manage Deployments.

Astuce : Créer un client/site default avec un lien de déploiement (token avec une longue expiration) pour avoir une URL générique. Puis déplacer l'agent dans le client / site souhaité.

L'agent téléchargé à travers ce lien est de type dynamique. Il est potentiellement détectable par les antivirus (si code non signé). Se référer à la section A lire en début de cet article.

Déploiement par GPO

La GPO de déploiement de l'agent doit être appliquée au niveau ordinateur afin que l'installation de l'agent se déroule sous un compte Local System ayant les droits nécessaires.

Récupérer le script d'installation de l'installation manuelle (voir plus haut) ainsi que l'exécutable de l'agent générique.
Stocker le script et l'agent.exe dans un dossier partager du contrôleur de domaine (exemple: C:\agent_rmm\).
Sur le domaine Windows, ouvrir la console MMC des GPOs :

gpmc.msc

Créer une nouvelle GPO ciblant une OU contenant des Ordinateurs.

Editer cette GPO. Trois étapes sont nécessaire pour que celle-ci fonctionne parfaitement.
- La création d'un dossier sur le poste client.
- La copie du script et de l'agent.exe sur le poste client.
- L'exécution d'un script au démarrage du poste client :
```
cd c:\agent_rmm
agent_rmm.bat
```
Patienter ou forcer l'application de la nouvelle GPO :

gpupdate /force

Un modèle de GPO importable dans un domaine est disponible : ICI

Arguments optionnels

Quelques arguments qui peuvent être utilisés dans des scripts :
- -log debug : Affiche un log verbeux lors de l'installation de l'agent
- -silent : Aucun message durant l'installation de l'agent
- -proxy "http://proxyserver:port" : Pour utiliser un proxy
- -meshdir "C:\Mesh Agent" : Spécifier le chemin contenant meshagent.exe
- -nomesh : N'installe pas l'agent meshcentral. Pas de take control, remote terminal, file browser

Tactical RMM : Mise à jour du serveur

Wed, 20 Oct 2021 19:43:10 +0200

Recommandations

Le système doit être à jour (exemple sur Debian) :

sudo apt -y update
sudo apt -y upgrade

Cela est important car sinon le script de mise à jour pour Tactical RMM peut rencontrer des erreurs.

Ne jamais programmer de mise à jour automatique du serveur RMM via une tâche cron. Certaines mise à jour demande une interaction de l'utilisateur dans le prompt. Dans le cas d'une mise à jour automatisée, cela pourrait casser le serveur.
De même, modifier le script de mise à jour (update.sh) est fortement déconseillé. Celui-ci est mis à jour automatiquement si besoin vers une nouvelle version.
Toujours exécuter la mise à jour du serveur RMM avec l'utilisateur créé lors de l'installation du serveur Tactical RMM. Faire la mise à jour en tant que root provoquerait des permissions erronées au sein de Tactical RMM.

Mise à jour

Télécharger le script de mise à jour :

wget -N https://raw.githubusercontent.com/wh1te909/tacticalrmm/master/update.sh

Le rendre exécutable :

chmod +x update.sh

Exécuter la mise à jour :

./update.sh

Si la dernière version est déjà présente, le script le notifiera immédiatement. Avec le flag --force, il est possible de bypass la vérification de la version. Cela peut être intéressant pour une mise à jour qui aurait été interrompue et/ou pour résoudre les erreurs de permission (ex: exécution accidentelle en root de script de mise à jour).

Warning

Ne jamais faire de mise à jour manuelle de MashCentral vers une nouvelle version. Le script de mise à jour de tactical rmm le fera pour nous si cela est nécessaire.
Cette procédure de mise à jour a été réalisée pour mettre à jour un serveur Tactical RMM v0.8.4 vers la v0.8.5.

Tactical RMM : Les commandes de management

Wed, 20 Oct 2021 19:12:35 +0200

Environnement virtuel Python

Se connecter en SSH au serveur Tactical RMM.

Lancer l'environnement virtuel python :

cd /rmm/api/tacticalrmm
source ../env/bin/activate

Les commandes

Reset a user's password :

python manage.py reset_password USERNAME

Reset a user's 2fa token :
```
python manage.py reset_2fa USERNAME
```
Find all agents that have X software installed :
```
python manage.py find_software "adobe"
```
Show outdated online agents :
```
python manage.py show_outdated_agents
```
Log out all active web sessions :
```
python manage.py delete_tokens
```
Check for orphaned tasks on all agents and remove them :
```
python manage.py remove_orphaned_tasks
```
Create a MeshCentral agent invite link :
```
python manage.py get_mesh_exe_url
```
Bulk update agent offline/overdue time :
- Change offline time on all agents to 5 minutes :
```
python manage.py bulk_change_checkin --offline --all 5
```
- Change offline time on all agents in site named Example Site to 2 minutes :
```
python manage.py bulk_change_checkin --offline --site "Example Site" 2
```
- Change offline time on all agents in client named Example Client to 12 minutes :
```
python manage.py bulk_change_checkin --offline --client "Example Client" 12
```
- Change overdue time on all agents to 10 minutes :
```
python manage.py bulk_change_checkin --overdue --all 10
```
- Change overdue time on all agents in site named Example Site to 4 minutes :
```
python manage.py bulk_change_checkin --overdue --site "Example Site" 4
```
- Change overdue time on all agents in client named Example Client to 14 minutes :
```
python manage.py bulk_change_checkin --overdue --client "Example Client" 14
```

Tactical RMM : Présentation et installation

Fri, 15 Oct 2021 14:48:51 +0200

Présentation

Durant mes années d'administrateur systèmes Microsoft Windows (Il en faut bien), j'ai régulièrement été confronté à un souci de gestion de parc complet, simple, et efficace.
Lors de mes recherches, de nombreuses solutions se sont révélées être intéressantes (SolarWinds RMM, NinjaRMM, etc...).
Comme vous le savez, chez AukFood, on ne mange qu'OpenSource.
De ce fait, une solution s'est révélée pertinente : Tactical RMM (Remote Monitoring & Management)

Tactical RMM fournit une interface web pour la gestion de flotte d'ordinateur permettant :

La prise en main sur les postes (comme un TeamViewer)
Obtenir une ligne de commande à distance
Parcourir, télécharger, uploader des fichiers à distance
Surveiller les logs
Gérer les MAJ Windows, les services
Mise en place d'alertes (CPU, espace disque, RAM...)
Inventaire matériel et logiciels en place
Déploiement d'applications via Chocolatey
L'exécution de tâches en masse sur un ensemble de ressources

Tactical RMM s'appuie sur Django, Vue et Golang. Il utilise MeshCentral et un agent écrit en Golang.
Le serveur web utilisé est Nginx et la base de données MongoDB.
Cette solution est directement inspirée de l'outil commercial SolarWinds RMM (un des leaders du marché dans le RMM).
Contrairement à toutes les solutions de RMM performantes, celle-ci est sous licence MIT et est donc libre.

Actuellement, seul un agent Windows x86 et x64 sont disponibles. Un agent Linux et macOS sont en cours de développement.
Les versions de Windows supportés sont : Windows 7, 8.1, 10, Server 2008R2, 2012R2, 2016, 2019.

Pour obtenir un agent Windows avec du code signé (Pas d'alerte antivirale), un don mensuel au projet de 50$ (statut sponsor) est nécessaire. Pas de panique, lors du déploiement d'un agent, des exclusions antivirus seront faites automatiquement. Nous y reviendrons un peu plus tard.

Installation

2 méthodes d'installation sont possibles :

Classique / Traditionnelle
Docker

Avant de commencer

Dans cette démonstration, une installation fraîche de Debian 10 est utilisée pour le serveur et la méthode d'installation classique est employée.
Un domaine résolvable sur Internet pour la génération de certificats Let's Encrypt est nécessaire ainsi qu'une application basée sur TOTP (Microsoft Authenticator, Authy, PrivacyIDEA...)
Pour la connexion à la Web UI, il faudra vous munir d'un des navigateurs suivants :

Chrome >= 93
Edge >= 93
Firefox >= 92
Safari >= 15

Let's Go Pinguy !

Prérequis

Mise à jour système et installation des prérequis.

apt update
apt install -y wget curl sudo
apt -y upgrade

Si un nouveau kernel a été installé, redémarrez dessus.

Création d’un utilisateur

Créez un utilisateur "tactical" et ajoutez-le au groupe sudoers.

useradd -m -s /bin/bash tactical
usermod -a -G sudo tactical
passwd tactical

Le mot de passe renseigné à ce niveau servira pour la connexion en SSH au serveur et non à la Web UI. Celui-ci sera défini un peu plus tard.

Ouverture des ports

Configurez votre pare-feu :

Port TCP 443 : Accès Web UI
Port TCP 22 : Accès SSH
Port TCP 4222 : Communication avec l'agent

Script d’installation

Il est impératif de vérifier la bonne conformité de fichier /etc/hosts en premier lieu. Si le nom du serveur n'est pas correct, des erreurs d'installation se produiront.

Basculez sur l'utilisateur tactical.

su - tactical

Téléchargez et exécutez le script d'installation.

wget https://raw.githubusercontent.com/wh1te909/tacticalrmm/master/install.sh
chmod +x install.sh
./install.sh

Répondez aux questions en remplaçant example.com par votre domaine ainsi qu'une adresse de messagerie valide.

Enregistrement TXT

Un challenge DNS est demandé afin de permettre la génération d'un certificat wildcard Let's Encrypt. Ce challenge DNS est demandé lors de la phase d'installation.

Une fois la propagation de l'entrée DNS effectuée, vérifiez celle-ci.

dig -t txt _acme-challenge.example.com

L'enregistrement DNS TXT doit impérativement retourner la bonne valeur sous peine d'un échec de la génération du certificat wildcard.

Création accès Web UI

Un couple login/password est à renseigner pour l'accès web durant le processus d'installation : https://rmm.example.com

Un résumé de toutes les informations de connexions sera affiché à la fin du processus d'installation.

MFA et Authenticator

Par défaut du MFA est mis en place avec une authentification par QR Code après la validation du couple login/password. Ce QR code est généré durant l'installation.

Nous vous recommandons l'utilisation d'une application mobile OpenSource comme PrivacyIDEA ou Authy.

Récupération de l’agent

Récupérez l'agent via https://mesh.example.com:443/agentinvite?c=abcdef.

Ce lien sera affiché dans le résumé affiché à la fin de l'installation.

Configuration initiale

Rendez-vous sur https://rmm.example.com.

Créez le premier client/site.
Définissez le fuseau horaire.
Uploadez l'agent RMM préalablement récupéré.

L'installation est terminée.

Fonctionnalités (aperçus)

Voici quelques captures des fonctionnalités disponibles (non exhaustives).

Summary

Checks

Tasks

Patches

Software

History

Scripting

Bulk

Conclusion

Tactical RMM est une solution robuste et en constante évolution. Les gestionnaires du projet ainsi que les contributeurs sont très réactifs et à l'écoute.
C'est une solution alternative parfaitement viable face aux concurrents propriétaires.

Dans un prochain article, je vous décrirai les différentes méthodes de déploiements de l'agent (manuellement, automatiquement, par GPO...), approfondissement les différentes fonctionnalités, les commandes de management spécifiques, comment réaliser une mise à jour de Tactical RMM, la sauvegarde, la restauration, etc...

Source

Projet : GitHub - wh1te909/tacticalrmm: A remote monitoring & management tool, built with Django, Vue and Go.