Ce qu'il faut installer
- Windows : un installeur.
- Linux : un paquet RPM pour Rocky Linux, AlmaLinux et RHEL 8, 9 et 10.
- Linux : un paquet DEB pour Ubuntu.
- Linux : une archive portable, qui ne demande aucun droit d'administrateur.
- Les invités n'installent rien : ils rejoignent la séance depuis un navigateur web.
Le lecteur se télécharge gratuitement, sans compte, sur la page de téléchargement.
Droits d'administrateur
- L'installeur Windows, le paquet RPM et le paquet DEB sont installés par un administrateur.
- L'archive portable est décompressée et lancée par l'utilisateur, sans droit d'administrateur.
- L'ouverture d'un port dans le pare-feu d'un poste est faite par un administrateur. Elle n'est nécessaire que pour les séances hébergées sur le réseau du studio (voir plus bas).
- Les invités dans un navigateur n'ont besoin d'aucun droit ni d'aucun compte.
Réseau : séances en ligne
Les séances en ligne passent par le relais. Les postes n'ouvrent que des connexions sortantes : rien n'est à ouvrir vers le studio.
- Avec le TCP 443 sortant vers les deux noms, tout fonctionne. La vidéo passe alors par TURN sur TLS, avec un peu plus de latence.
- La connexion par le compte du studio (SSO) passe par le navigateur du système vers le fournisseur d'identité du studio, en HTTPS sur le port 443.
- Avec un relais installé dans le studio (offre Entreprise), utilisez les noms donnés par la personne qui l'exploite.
Pour vérifier depuis un poste du studio :
curl -sS https://review.bernardengine.com/api/v1/health
Attendu : une réponse JSON qui contient "status":"ok".
Réseau : séances sur le réseau du studio
Une séance hébergée sur le réseau local n'utilise ni le relais ni internet. Les autres lecteurs se connectent au poste de l'hôte sur le port TCP 9000 (valeur par défaut, réglable).
Ouvrez ce port sur le poste de l'hôte seulement, pour les connexions entrantes venant du réseau interne. Les séances en ligne n'en ont pas besoin.
- Windows : l'installeur ajoute les règles de pare-feu pour les profils Domaine et Privé, jamais pour le profil Public.
- Si une stratégie de groupe (GPO) gère le pare-feu Windows et ignore les règles locales, ajoutez la règle dans la stratégie : TCP 9000 entrant, profils Domaine et Privé.
firewalld (Rocky Linux, AlmaLinux, RHEL) :
sudo firewall-cmd --permanent --zone=<zone> --add-service=bernard-review
sudo firewall-cmd --reload
ufw (Ubuntu) :
sudo ufw allow from <subnet> to any port 9000 proto tcp
Remplacez <zone> par la zone du réseau interne et <subnet> par le sous-réseau du studio.
Proxy et autorité de certification
- Un proxy HTTP doit autoriser CONNECT vers les deux noms du relais sur le port 443.
- Excluez les deux noms de l'inspection TLS : un proxy qui déchiffre le trafic casse le TURN sur TLS.
- Ne coupez pas les connexions inactives en moins de 120 secondes.
- Un proxy HTTP ne transporte pas d'UDP : derrière un proxy seul, la vidéo passe par TURN sur TLS.
- Un relais installé dans le studio peut utiliser des certificats de l'autorité de certification du studio, avec des noms du DNS interne.
Secrets
- Le lecteur garde ses secrets de connexion dans le magasin d'identifiants du système d'exploitation.
- Le relais conserve les mots de passe de séance, les jetons et les codes sous forme d'empreinte, jamais en clair.
Ce que le lecteur ne fait pas
- Utilisé seul, en local ou sur le réseau du studio, le lecteur n'envoie aucune donnée à AArts Lab.
- Dans la version actuelle du service, les fichiers médias du studio ne sont pas envoyés à AArts Lab : ils restent sur les machines du studio.
- La vidéo, la voix et le chat ne sont pas enregistrés : le flux n'existe que pendant la séance.
Pour une question de sécurité, ou pour demander le dossier sécurité : formulaire de contact