FOG Project et Clonezilla : le clonage libre

FOG Project est une solution libre de déploiement d'images par le réseau : un serveur Linux qui fait démarrer les postes en PXE, capture l'image d'un master, la déploie sur un ou plusieurs postes à la fois, puis renomme les machines et les joint au domaine. Clonezilla est un outil libre de clonage de disques, utilisé surtout depuis une clé USB. Ce chapitre installe FOG chez Sorbier, à côté du DHCP de l'annuaire, déploie le master du chapitre 2, montre Clonezilla et compare les solutions.

Comment FOG est construit

FOG s'installe sur un serveur Linux (Debian, Ubuntu, Rocky Linux…) et réunit plusieurs services :

La version 1.6 (novembre 2026) succède à la longue série 1.5.10. Elle intègre le contrôle d'accès par rôles et les sites, la connexion des administrateurs par LDAP (donc avec les comptes de l'annuaire) ou OIDC, des jetons d'API, un journal d'activité, et une tâche d'inscription au Secure Boot. Une mise à niveau depuis la 1.5 modifie la base de données sans retour arrière possible : on sauvegarde la base et le fichier /opt/fog/.fogsettings avant de la lancer.

Installer FOG sur Debian 13

La VM. Sur Proxmox, une VM Debian 13 srv-deploiement : 2 cœurs, 4 Go de mémoire, un disque de 32 Go pour le système et un second disque pour les images (200 Go chez Sorbier : chaque image Windows compressée pèse de 15 à 30 Go, et on garde au moins deux versions). Monte ce second disque sur /images avant d'installer FOG. Installation minimale de Debian, sans environnement de bureau, avec le serveur SSH.

L'adresse fixe, dans /etc/network/interfaces (la carte VirtIO s'appelle ens18 sous Proxmox) :

auto ens18
iface ens18 inet static
    address 192.168.10.186/28
    gateway 192.168.10.190

et le DNS de l'annuaire dans /etc/resolv.conf :

search ad.sorbier.example
nameserver 192.168.10.177
nameserver 192.168.10.181

Ajoute aussi l'enregistrement DNS srv-deploiement → 192.168.10.186 dans la zone ad.sorbier.example, sur srv-ad.

L'installation. La documentation de FOG 1.6 propose un script d'amorçage qui télécharge le projet puis lance l'installateur interactif. Sur un serveur de production, télécharge-le et lis-le avant de l'exécuter :

curl -fsSLo bootstrap.sh https://raw.githubusercontent.com/FOGProject/fogproject/stable/bin/bootstrap.sh
less bootstrap.sh
sudo bash bootstrap.sh --channel stable

L'installateur pose ses questions dans cet ordre. Les réponses pour Sorbier :

Si un pare-feu local est actif, l'installateur propose de l'ouvrir pour FOG : choisis d'ouvrir les ports nécessaires. Le nom d'hôte n'est pas demandé : c'est celui que renvoie hostname -f (l'option --hostname de l'installateur permet d'en imposer un autre). Vers la fin, l'installateur propose de créer le schéma de la base de données : accepte. L'interface est alors joignable à l'adresse https://192.168.10.186/fog/management (ou https://srv-deploiement.ad.sorbier.example/fog/management), avec le compte fog et le mot de passe password d'une première installation. Le navigateur affiche un avertissement tant que l'autorité de certification de FOG n'est pas approuvée sur ton poste d'administration.

Le DHCP. Il reste à poser les options 66 et 67 sur l'étendue du VLAN 10 de srv-ad, comme au chapitre 4 : l'adresse 192.168.10.186 et le chargeur signé secureboot/snponly-shimx64.efi, sans oublier la réplication vers srv-ad2. Chaque poste en Secure Boot devra enrôler une fois le certificat du serveur (entrée Enroll Secure Boot Key, voir le chapitre 4).

Inscrire un poste et capturer le master

FOG ne travaille que sur des postes inscrits, identifiés par leur adresse MAC. Deux façons de les inscrire :

• Depuis le poste : un poste inconnu qui démarre en PXE affiche le menu de FOG. L'entrée Perform Full Host Registration and Inventory demande le nom du poste, l'image à lui associer, puis remonte son inventaire matériel (processeur, mémoire, disque, numéro de série). Quick Registration and Inventory inscrit le poste sans poser de question.
• Depuis l'interface : Hosts, Create New Host, en saisissant le nom et l'adresse MAC (relevée sur l'étiquette ou dans le bon de livraison). Pratique pour préparer vingt postes à l'avance, ou les importer depuis un fichier CSV.

Déclarer l'image. Dans Images, Create New Image :

Le type Single Disk - Resizable capture un seul disque et réduit la partition Windows à sa partie utilisée : l'image se déploie ensuite sur un disque plus petit ou plus grand, la partition s'étend à la taille du disque. Les autres types servent à des cas précis : Multiple Partition Image (plusieurs partitions copiées telles quelles, pour un double démarrage par exemple), Raw Image (copie secteur par secteur, lente, pour un système de fichiers que Partclone ne connaît pas).

Capturer. Inscris la VM du master (son adresse MAC VirtIO est dans l'onglet Hardware de Proxmox), associe-lui l'image, puis lance une tâche Capture sur ce poste. La VM du master a le Secure Boot actif (clés préinscrites au chapitre 2) : enrôle d'abord le certificat de FOG sur elle (entrée Enroll Secure Boot Key du menu de FOG), ou désactive le Secure Boot de la VM le temps de la capture. Démarre la VM généralisée sur le réseau (dans Proxmox, Options > Boot Order, placer net0 en premier, ou appuyer sur Échap au démarrage pour choisir) : FOS démarre, réduit la partition, capture le disque et téléverse l'image sur le serveur. La VM s'éteint ou redémarre à la fin : si elle redémarre sur son disque, ce n'est plus grave, l'image est sur le serveur ; mais reviens quand même à l'instantané d'avant Sysprep pour garder un master propre.

Déployer : unicast et multicast

Pour déployer un poste, on lance sur lui une tâche Deploy et on le démarre sur le réseau. FOS télécharge l'image, partitionne le disque, restaure les partitions et les agrandit, change le nom de la machine dans le registre de Windows avant le premier démarrage, puis redémarre le poste. Windows passe alors par la spécialisation et l'OOBE, pilotées par le unattend.xml du chapitre 3.

Pour plusieurs postes, on les rassemble dans un groupe (Groups, par exemple Livraison-2026-11) et on lance la tâche sur le groupe. Deux modes :

• Unicast : chaque poste reçoit sa propre copie de l'image. Simple et fiable, mais dix postes multiplient par dix le trafic sur la carte réseau du serveur.
• Multicast : le serveur envoie l'image une seule fois, et tous les postes du groupe la reçoivent en même temps. Le déploiement démarre quand tous les postes sont prêts, et avance au rythme du plus lent.

Le multicast demande un réseau préparé. Les switchs doivent gérer l'IGMP snooping (sinon le flux est diffusé sur tous les ports du VLAN, comme une diffusion), et le flux ne traverse pas un routeur sans routage multicast (PIM) : en pratique, on fait du multicast à l'intérieur d'un VLAN, ou l'on place temporairement le serveur et les postes dans le même VLAN de déploiement.

Après l'image : le client FOG et les snapins

Le client FOG est un service à installer dans le master (son installateur demande l'adresse du serveur FOG). Il s'identifie par l'adresse MAC du poste, ce qui permet de le placer dans une image sans conflit d'identifiant. Au démarrage du poste déployé, il interroge le serveur et applique ce qui est prévu pour ce poste :

• le renommage du poste selon le nom inscrit dans FOG ;
• la jonction au domaine, avec le domaine, l'OU et le compte déclarés dans les réglages Active Directory du serveur ou du poste. Le mot de passe du compte de jonction est stocké sur le serveur, chiffré, et non dans un fichier copié sur chaque poste ;
• les snapins : des scripts, des paquets MSI ou des commandes que FOG pousse sur le poste, par exemple l'installation des logiciels propres à un service ;
• les imprimantes associées au poste ou à son groupe.

Clonezilla : le clonage depuis une clé

Clonezilla Live est une distribution Linux qui démarre sur une clé USB et clone un disque, soit vers un autre disque, soit vers un fichier image. Elle repose sur le même moteur que FOS, Partclone, et ne copie que les blocs utilisés. Elle n'a ni serveur, ni base de données, ni client : c'est l'outil du clonage ponctuel, d'un petit parc, ou de la sauvegarde complète d'un disque avant une intervention risquée.

Pour capturer le master dans un partage Windows (\\srv-fichiers\Images$) :

1. démarrer la VM généralisée (ou le poste) sur la clé Clonezilla, choisir la langue et le clavier, puis Start_Clonezilla ;
2. choisir device-image (disque vers image) ;
3. choisir le dépôt d'images samba_server, puis l'adresse 192.168.10.178, le domaine, le compte et le partage Images$ ;
4. mode Beginner, puis savedisk (sauvegarder tout le disque) ;
5. nommer l'image, choisir le disque source, accepter la vérification de l'image à la fin ;
6. pour déployer, même début, puis restoredisk sur le poste cible.

Clonezilla propose aussi un mode serveur (Clonezilla Lite Server, et Clonezilla SE avec DRBL) qui déploie en multicast. Mais pour un parc qui vit, FOG apporte ce que Clonezilla n'a pas : l'inscription des postes, la console, le renommage, la jonction au domaine, les snapins et l'historique.

Comparer les solutions

Pour une réalisation d'E6 SISR, FOG est un excellent choix : tout est libre, il tient dans une VM, et il oblige à maîtriser DHCP, PXE, Sysprep, fichier de réponses et jonction au domaine, que le jury peut te faire expliquer (épreuve E6 SISR).

Exercices