[ ventura @ 17.04.2001. 05:38 ] @
| Podesavanje Linux Operativnog Sistema by Danko Vukovic, [[email protected]] v2.0.1, 28 December 1999 1.0 Uvod 2.0 Osnovna podesavanja 2.1 /etc/HOSTNAME 2.2 /etc/resolv.conf 2.3 /etc/hosts 2.4 /etc/host.conf 3.0 Podesavanja File System-a 3.1 /etc/fstab 4.0 Podesavanje E-Mail sistema 4.1 Sendmail 4.2 FetchMail 4.3 Aliases 5.0 Internet Podesavanja 5.1 Povezivanje na InterNet 5.2 Minicom 5.3 PPPD 6.0 Security 6.1 Osnovna pravila 6.2 Standardna podesavanja 6.3 FireWall 1.0 Uvod 2.0 Osnovna Podesavanja Kada ste instalirali linux i ulogovali ste se, prva stvar koju treba da uradite je da dodelite ime vasem racunaru. Odnosno njegovo ime u (buducoj) mrezi. Ukoliko je vas racunar u firmi koja ima domen network.net logicno je da nazovete racunar ime.network.net.To se radi na sledeci nacin. Editujte /etc/HOSTNAME I u njega upisite ime racunara [ /etc/HOSTNAME nickeldon.nickeldon.net ] Kada ste krstili vas racunar potrebno je da mu kazete gde da trazi ostatak mreze, odnosno treba da podesite DNS. Ukoliko vas racunar nije stalno povezan na internet potrebno je da za neki DNS stavite loopback adresu (127.0.0.1). podesavanja vrsite u fajlu /etc/resolv.conf sledi primer jednog /etc/resolv.conf fajla: [ /etc/resolv.conf search nickeldon.nickeldon.net net.yu nameserver 127.0.0.1 nameserver 192.168.1.1 nameserver 213.240.31.130 ] ovo je primer resolv.conf fajla jedne masine koja nije stalno prikljucena na internet. Kako se vrsi 'resolv' nekog hosta u mrezi putem ovog fajla? Ako ukucamo u browseru adresu www.linux.org, prvo ce pogledati da li ta adresa postoji na nasem racnaru (127.0.0.1), ako je ne nadje tamo, sledece mesto gde ce da pogleda je DNS kucnog ethernet-a (192.168.1.1), ukoliko ga ne nadje ni na toj adresi potrazice ga na DNS adresi provajdera (213.240.31.130), i ukoliko je potraga uspesna mi cemo dobiti linux.org web stranicu. Drugi nacin 'pretrazivanja' mreze je putem /etc/hosts fajla. Dok je ceo internet sacinjavalo manje od 200 racunara (toliko sada ima jedna osrednja wan mreza) svi podatci o svakom racunaru su bili cuvani u /etc/hosts fajlu. Ovo je bilo neprakticno jer ukoliko bi se pojavio novi racunar u mrezi na svakom racunaru bi se on morao dodavati u /etc/hosts fajl. Ukoliko vi recimo imate nekoliko racunara u kucnom LAN-u potrebno je da editujete /etc/hosts fajl, i da dodelite IP svakoj masini u vasoj mrezi. Primer jednog /etc/hosts fajla sledi: [ #IP ADDRESS ALIAS 127.0.0.1 localhost.localdomain localhost 192.168.1.100 nickeldon.nickeldon.net nickeldon 192.168.1.200 ventura.nickeldon.net ventura 192.168.1.210 windows.nickeldon.net windows 192.168.1.220 dejan.nickeldon.net dejan ] Iz ovoga mozemo da vidimo da u kucnoj mrezi postoji 4 racunara koji su povezani u kucnu LAN mrezu. Njihova imena su nickeldon (linux server), ventura (win98 client), windows (win98klijent) i dejan (winNT klijent). prva linija je obavezna u svakom hosts fajlu, ona odredjuje loopback racunara. Unos hostova vrsite po sledecem formatu IP ADDRESS ALIAS alias sluzi da ne bi stalno kucali dugacku adresu nekog racunara. recimo ukoliko zelite da pingujete windows.nickeldon.net morate da kucate ping windows.nickeldon.net ili upotrebom aliasa ping windows Razlika je ocigledna, pogotovo ako imate veoma dugacak hostname. Sad je jos potrebno reci vasem racunaru gde ce pre da gleda, dali u hosts ili u DNS, to ce te uratidi editovanjem /etc/host.conf fajla. [ order hosts, bind multi on ] order hosts, bind - znaci da ce linux prvo da gleda u /etc/hosts tabelu pa tek onda u /etc/resolv.conf. multi on - znaci da linux dozvoljava upotrebu vise istih IP adresa. 3.0 Podesavanje File Systema u fajlu /etc/fstab se nalazi spisak particija koje linux pri startovanju mountuje. fajl izgleda ovako [ #UREDJAJ MOUNT POINT F/S OPTIONS FLAGS /dev/hdc1 / ext2 defaults 1 1 /dev/hdc5 swap swap defaults 0 0 /dev/fd0 /mnt/floppy ext2 noauto 0 0 /dev/hda1 /mnt/hda vfat defaults 0 0 /dev/cdrom /mnt/cdrom iso9660 noauto,ro 0 0 none /proc proc defaults 0 0 none /dev/pts devpts mode=0622 0 0 ] UREDJAJ - pokazuje na fizicki disk koji treba da bude mountovan. MOUNT POINT - predstavlja tacku u koju ce se mountovati opdredjeni disk. Posto na linuxu ne postoji dravovi kao u DOS-u (A,B,C,D...), vec u njemu sve diskove vidimo u okviru glavnog stabla. F/S - Oznacava FileSystem koji je na navedenoj particiji. OPTIONS - defaults, mountovanje pri startovanju sistema, nisu potrebne dodatne opcije noauto, obicno se stavlja kod promenljivih medija (CDROM, Floppy) i time kazemo sistemu da cemo rucno mountovati tu particiju. 4.0 Podesavanje mail-a Jedan od osnovnih servisa na InterNet-u je e-mail odnosno elektronska posta. Konfiguracija mail-a na linuxu se sastoji od podesavanja sendmail-a, fetchmail-a i aliases. Podesavanje SendMail-a Ukoliko vas racunar nije stalno povezan na internet, nema stalan IP ili njegov naziv (HOSTNAME) ne postoji u DNS tabeli, potrebno je da podesite sendmail. Ako pokusate da posaljete mail sa svog linux racunara komandom sendmail -q -v i dobijete odgovor, da mail ne moze biti poslat jer hostname ne postoji u dns tabeli, potrebno je da editujete /etc/sendmail.cf (ili iz LinuxConf-a), i na mestu gateway i mail server da upisete neki mail server koji dozvoljava slanje sa nepostojecih adresa (mail.ventura.co.yu, mail.nickeldon.net). Ukoliko vas domen postoji, nije bitno dali je vas, bino je da postoji i da moze da se resolvuje, onda nije potrebno da podesavate sendmail. Sva posta koju ste poslali dok ste u offline modu ce biti sacuvana u /var/spool/mqueue direktorijumu i kada se povezete na internet poslace te je komandom sendmail -q -v Podesavanje FetchMail-a FetchMail sluzi da bi ste proverili postu sa drugih mail servera. FetchMail-ov konfiguracioni fajl se nalazi u vasem home direktorijumu pod nazivom .fetchmailrc primer jednog .fetchmailrc fajla: [ poll pop3.net.yu proto pop3 user ventura pass tajna poll mail.ventura.vu proto pop3 user majordomo pass tajna, is majordomo here; ] poll pop3.net.yu - adresa mail servera proto pop3 - koristimo POP3 protokol user ventura - nas username na mail serevu pass tajna - i nas password ovim komandama, pri pokretanju fetchmail-a ce se skinuti mail sa accounta ventura na pop3.net.yu mail servru i novu postu ce prikazati zajedno sa postom korisnika koji je pokrenuo fetchmail. Ukoliko vi posedujete root-a na linux sistemu i zelite da recimo posta sa nekog username-a na nekom servru bude prosledjena drugom korisniku na vasem sistemu a ne vama onda treba da dodate is username here username je username na vasem sistemu, odnosno username korisnika kome postu prosledjujete. Podesavanje Aliases fajla Predpostavimo da radite u firmi koja ima sopstveni web server. Na tom web serveru postoje adrese tipa [email protected], [email protected], [email protected] itd. Da ne bi proveravali svaki od tih e-mailova posebno, mi konfigurisemo /etc/aliases fajl. Recimo da imamo 3 webmastera na nasem sajtu, i da su njihovi usernameovi - pera, zika i mika, i mi zelimo da svaki e-mail upucen na adresu [email protected] bude prosledjen trojici webmastera. o cemo uraditi tako sto u /etc/aliases dodamo liniju: webmaster: pera,zika,mika ili, zelimo da prosledimo e-mail nekom programu, kao sto je majordomo: majordomo: "|/usr/majordomo-1.94.4/wrapper majordomo" nakon izmena potrebno je pokrenuti newaliases cime se generise novi fajl aliases.db 5.0 Povezivanje na InterNet 5.1 Internet podesavanja Za povezivanje na internet treba da instalirate paket za PPP (ppp-.1-0..rmp). Ukoliko niste sigurni dali je ovaj paket instaliran kod vas proverite dali postoji fajl /usr/sbin/pppd ukoliko postoji PPP je instaliran i mozete se konektovati na internet. 5.2 Minicom Startujte minicom parametrom -m minicom -m potom pritisnite ALT+D da bi ste dobili dial prozor (ukoliko niste startovali sa parametrom -m, onda je potrebno prvo da pritisneke CTRL pa tek onda ALT+D), kursorskim strelicama pomerite se na opciju ADD i pritisnite enter. za sada unesite samo stavke pod A i B (ime i telefon provajdera) i pitisnite enter kada ste to odradili. sada se strelicama pomerite na polje dial odaberite provajder i ponovo enter, kada se minicom konektuje trebalo bi da dobijete Login: nakon cega trebate uneti svoj username i password (napomena: ukoliko se logujete na PTT necete dobiti login i za njega morate primeniti drugi nacin konekcije, CHAP) kada unesete svoj username i password pocecete dobijati PPP signal ''~~y}#.!}!%}}8}"}&~ }*} } }#}$.#}%}&o@'') ''~~y}#.!}!%}}8}"}&~ }*} } }#}$.#}%}&o@'') itd. ovo nije nikakva greska vec normalna stvar i nakon ovoga provajder ceka da vi odgovorite PPP signalom, dakle izadjite iz minicom-a bez reset-a ALT+Q (ili CTRL ALT+Q). 5.3 PPPD Kad ste ostvarili vezu sa vasim provajderom potrebno je da i vi ukljucite PPP protokol, ako predpostavimo da vam se modem nalazi na /dev/modem (ukoliko nije, potrebno je da ga linkujete ili da pozivate sa /dev/ttyS0 za COM1 do /dev/ttyS3 za COM4) onda cemo odkucati: /usr/sbin/pppd /dev/modem defaultroute noipdefault ukoliko nemate lokalnu mrezu mozete i da ne odkucate zadnji parametar, ali on nista ne smeta. ukoliko posle izvrsenja dobijete prompt znaci da je komanda uspela i da ste se povezali na internet. to cete proveriti tako sto ce te pingovati neku masinu npr. $ ping www.ventura.vu PING www.ventura.vu (216.117.152.14): 56 data bytes 64 bytes from 216.117.152.14: icmp_seq=0 ttl=55 time=90.2 ms 64 bytes from 216.117.152.14: icmp_seq=1 ttl=55 time=83.9 ms 64 bytes from 216.117.152.14: icmp_seq=2 ttl=55 time=86.0 ms 64 bytes from 216.117.152.14: icmp_seq=3 ttl=55 time=83.6 ms 64 bytes from 216.117.152.14: icmp_seq=4 ttl=55 time=85.0 ms 64 bytes from 216.117.152.14: icmp_seq=5 ttl=55 time=93.3 ms --- www.ventura.vu ping statistics --- 7 packets transmitted, 6 packets received, 14% packet loss round-trip min/avg/max = 83.6/87.0/93.3 ms $ ukoliko dobijete ovakav odgovor znaci da set sve dobro podesili i da ste se uspesno povezali na internet. 6.0 Security 6.1 Osnovna pravila Osnovnu stvar koji bi trebalo da znate je u vezi sifri na unix OS-u. Vasa sifra i sve ostale sifre se cuvaju u /etc/passwd (ili /etc/shadow na nekim sistemima) i ona je kriptovana jednosmerno sto znaci da moze samo da se kriptuje a ne moze se iz te kriptovane sifre ponovo dobiti originalna sifra. Jedini nacin da se provali tudja sifra jeste crackovanje takozvanom Brute-Force metodom, odnosno pomocu nekog programa (John tha Ripper, the Crack...) se uzima neka rec, kriptuje se i uporedjuje sa originalnom sifrom. Ti crackeri mogu uzeti recnik i vrteti sve reci i tako crackovati passworde, ukoliko vam je password obicna rec on ce je naci za vrlo kratko vreme (john na P2/266mhz kriptuje i uporedjuje 35.000 slova u sekundi, prostije receno kada uzme username moze da proveri 3.000 sifri u sekundi... ako ih vadi iz recnika, provalice vam sifru za manje od par minuta... Zbog toga je potrebno da sto vise zakomplikujete sifru, i da ni za zivu glavu ne ostavljate sifru istu kao username ili slicne varijacije... ovako treba da izgledaju dobre (skoro neprobojne) sifre: V={Z)U%TMH(oO:/^ 78#4&|@c0r:"C8M5 dfn-VLx2|4.In7yL treba takodje obratiti paznju da je na unixu duzina sifre ogranicena na 16 karaktera i da ce sve sto je uneseno posle toga biti ignorisano. 6.2 Standardna Podesavanja Prva stvar sto treba da uradite je da proverite privilegije passwd i shadow fajlova, i da proverite koji fajlovi imaju setuid na root-a i kakve su njihove privilegije. Ukoliko recimo VI editor ima setuid na root-a, i obican korisnik moze da ga izvrsi, eto zbrke, obican korisnik ce moci editovati bilo koji fajl na sistemu... zato budite veoma obazrivi kada dajete +s privilegiju na vasem sistemu. Da bi ste bili sigurni odkucajte chmod 644 /etc/passwd chmod 600 /etc/shadow potom u /etc/pam.d/login ubacite liniju (ako vec nije ubacena) koja nece dozvoliti da se root loguje remote, odnosno, koja ce dozvoliti logovanje root-a na sistem samo ukoliko on fizicki sedi za tastaturom servera. 6.3 FireWall Linux dolazi sa mnogo mreznih servisa (pop, ftp, www, finger...) koji vam ako set obican korisnik uopste netrebaju, i opzeljno je da ih iskljucite. Dakle editujte /etc/inetd.conf i iskljucite servise koji vam nisu potrebni, to radite tako sto stavite znak # ispred linije servisa koji vam nije potreban. Potom potrebno je da namestite 'pravi' firewall komandom ipchains. njegova upotreba je prilicno jednostavna, i sintaksa glasi ipchains -A chain -s source -d destination -p protocol -j command source je mesto odakle paketi polaze a destination gde se zavrsavaju. Postoji jedna veoma korisna opcija "!". kada recimo navedete -s ! 127.0.0.1, onda ste rekli, ako paket nije sa vaseg racunara, onda uradi nesto, a to nesto navodite posle -j parametra. Ja koristim ipchains sa ovakvim parametrima: ipchains -A input -s ! 192.168.1.1/10 -d 0.0.0.0/0 -p tcp --dport 23 -j REJECT sto znaci, ako zahtev za telnet nije sa lokalne mreze, onda taj paket ignorisi. Ovako mozemo zadati sa svaki port koji zelimo. Ili mozete mu reci sledece ipchains -A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 -p tcp --dport 6000 -j REJECT ovime ce odbaciti sev pakete koje idu na X server, da neko ne bi gledao sta vi radite...  vazno je da znate da kad restartujete sistem, ip chains ne radi... sve se izgubilo.. i ponovo morate sve da kucate... e da bi se to izbeglo kada ipchains radi kako treba onda kucate: ipchains-save > /root/firewall i u fajlu /root/firewall bice sacuvani parametri ipchains-am i kada startujete sistem: ipchains-restore < /root/firewall i svi parametri su ponovo ucitani i firewall ponovo normalno radi... Ako zelite da se FireWall startuje kad se startuje i sistem.. samo u /etc/rc.d/rc.sysinit dodajte na kraju liniju ipchains-restore < /root/firewall sacuvajte fajl... i sledeci put kada bootujete sistem odmah ce se ucitati... |