PROFESJONALNE USŁUGI BEZPIECZEŃSTWA

Transkrypt

1 PROFESJONALNE USŁUGI BEZPIECZEŃSTWA Procedura instalacji i konfiguracji Linux Red Hat jako platformy dla systemu zabezpieczeń Check Point VPN-1/FireWall-1 Przygotował: Mariusz Pyrzyk Instalacja systemu operacyjnego Linux Red Hat a) Zalecane jest, aby system operacyjny Linux zainstalować od początku, nawet jeżeli komputer został dostarczony razem z zainstalowanym oprogramowaniem. Komputer w czasie instalacji nie powinien być podłączony do sieci. b) Dla przeprowadzenia procesu instalacji Check Point VPN-1/FireWall-1 wymagane jest zainstalowanie następujących komponentów: - systemu operacyjnego Linux Red Hat, wersja 6.0, 6.1, 6.2 lub 7.0, - jądra systemu operacyjnego w wersji 2.2.x, - gawk w wersji 3.0 lub nowszej, - fileutils w wersji 4.0 lub nowszej, - grep w wersji 2.3 lub nowszej, - sh-utils w wersji 1.16 lub nowszej, - tcsh w wersji 6.08 lub nowszej, - vim-minimal sed w wersji 3.02 lub nowszej, - textutils w wersji 1.22 lub nowszej, - net-tools w wersji 1.51 lub nowszej, - findutils w wersji 4.1 lub nowszej, - sharutils w wersji 4.2 lub nowszej. Poniżej przedstawiono przykładowy wykaz zasobów wystarczający do przeprowadzenia instalacji zgodnej z w/w wymogami: - płyta instalacyjna Red Hat 7.0 binaria, - kernel i686.rpm, - rpm x.i386.rpm, - mount-2.10r-0.6.x.i386.rpm, - tcsh i386.rpm, c) Przykładowa procedura instalacji systemu operacyjnego i wymaganych komponentów: - Instalacja systemu operacyjnego:» należy wybrać typ instalacji Custom (w oknie Instalation Type ),» system należy zainstalować w wersji minimalnej w oknie wyboru pakietów instalacyjnych Package Group Selection wszystkie pola wyboru powinny pozostać puste,» w systemie powinno istnieć tylko jedno konto użytkownika root - Instalacja pakietu: rpm Uvh rpm x.i386.rpm, - Instalacja pakietu: rpm Uvh mount-2.10r-0.6.x.i386.rpm, - Uaktualnienie jądra systemu operacyjnego : rpm Uhv kernel i686.rpm, - Utworzenie RAM-dysku dla modułów: mkinitdir /boot/initrd img , CLICO Centrum Oprogramowania Sp. z o.o., Al. 3-go Maja 7, Kraków; Tel: ; ; Fax: ; support@clico.pl, orders@clico.pl.; Ftp.clico.pl.;

2 - Aktualizacja LILO:» edytować plik konfiguracyjny LILO: vi /etc/lilo.conf,» modyfikować odpowiednią sekwencję, np.: image=/boot/vmlinuz label=linux initrd=/boot/initrd img read-only root=/dev/hda6 # wskaznie głównego systemu plików» wykonać komendę: lilo, - Instalacja pakietu: rpm ivh tcsh i386.rpm, d) Obecność w systemie pakietów wymienionych w pkt b) należy sprawdzić przy pomocy komend: - rpm q kernel, - rpm q gawk, - rpm q fileutils, itd. Brakujące pakiety znajdują się na dysku CD w katalogu /RedHat/RPMS. Instalacja pakietów odbywa się przy pomocy komend: - rpm ivh tcsh i386.rpm itp. e) System należy wyposażyć we wszystkie wymagane i zalecane przez producenta poprawki patches f) W celu umożliwienia zarządzania systemu FireWall-1 przez użytkownika root należy w pliku /root/.bash_profile zdefiniować i wyeksportować niezbędne zmienne środowiskowe: /root/.bash_profile <... > PATH= <początkowa zawartość> : /etc/fw/bin FWDIR=/etc/fw <...> export <początkowa zawartość > FWDIR <...> g) W celu przetestowania poprawnej konfiguracji zmiennych środowiskowych należy wylogować się, zalogować jako użytkownik root i wykonać komendy: - echo $FWDIR, poprawny wynik powinien brzmieć: /etc/fw, - echo $PATH, poprawny wynik powinien zawierać wartość : /etc/fw/bin. 2

3 Konfiguracja parametrów sieci a) Konfiguracja interfejsów sieciowych - w przypadku kart sieciowych typu ethernet, parametry interfejsu zapisane są w pliku /etc/sysconfig/network-scripts/ifcfg-ethn (gdzie N numer interfejsu) przykładowa konfiguracja interfejsu eth0 /etc/sysconfig/network-scripts/ifcfg-eth0 DEVICE=eth0 # nazwa urządzenia IPADDR= # adres IP interfejsu NETMASK= # maska sieci NETWORK= # adres sieci BROADCAST= # adres rozgłoszeniowy ONBOOT=yes # karta uaktywniana jest podczas startu systemu BOOTPROTO=none # nie jest używane dhcp lub bootp b) Konfiguracja DNS definiowanie w pliku /etc/resolv.conf serwerów DNS oraz definiowanie sposobu (kolejności) rozwiązywania nazw w pliku /etc/host.conf przykładowa definicja serwerów DNS /etc/resolv.conf nameserver nameserver # podstawowy serwer DNS # zapasowy serwer DNS przykładowa definicja sposobu rozwiązywania nazw /etc/host.conf order hosts, bind # w procesie rozwiązywania nazwy w pierwszej kolejności następuje # odwołanie do pliku /etc/hosts a następnie odwołanie do serwera DNS c) Konfiguracja ogólnych parametrów sieci IP forwarding, default gateway etc. przykładowa definicja ogólnych parametrów sieci /etc/sysconfig/network NETWORKING=yes FORWARD_IPV4=yes HOSTNAME=bastion GATEWAY= GATEWAYDEV=eth0 # obsługa sieci włączona # retransmisja pakietów IP włączona # nazwa komputera # adres bramy domyślnej # interfejs, poprzez który następuje komunikacja z bramą domyślną d) Konfiguracja znanych adresów sieciowych w pliku /etc/hosts przykładowa definicja znanych nazw komputerów /etc/hosts localhost bastion loghost # główny (zewnętrzny) interfejs komputera 3

4 e) Konfiguracja niezbędnych dla poprawnego działania CP statycznych tras rutingu przykładowa definicja statycznych tras rutingu /etc/sysconfig/static-routes eth1 host gw eth1 host gw f) Restart usług sieciowych: /etc/rc.d/init.d/network restart g) Kontrola poprawności konfiguracji parametrów sieci - zalecane jest wykonanie restartu całego systemu (komenda init 6) w celu przetestowania trwałości konfiguracji - w wyniku działania komendy ifconfig powinny wyświetlić się wszystkie zdefiniowane interfejsy sieciowe, wraz z poprawną konfiguracją adresów IP, masek sieciowych etc. - w wyniku działania komendy route n powinna zostać wyświetlona aktualna tablica trasowania, z której powinno wynikać, że działa retransmisja pakietów (IP forwarding) i ustawiona jest brama domyślna. Usunięcie bądź zablokowanie zbędnych komponentów systemu a) Zalecane jest zablokowanie większości usług uruchamianych w trzecim trybie pracy systemu (trybie wieloużytkownikowym, z uruchomionymi usługami sieciowymi): - w pliku /etc/rc.d/rcd.3 należy pozostawić jedynie następujące skróty (można także usunąć z katalogu /etc/rc.d/init.d wszystkie pliki binarne, które nie są powiązane z poniższymi plikami) i. S10network ii. S12syslog iii. S20random iv. S56rawdevices v. S75keytable vi. S90crond vii. S99local. Wzmocnienie zabezpieczeń systemu a) Dodanie do pliku /etc/host.conf parametru zabezpieczającego przed atakiem typu IP Spoofing /etc/host.conf nospoof on # funkcja zabezpieczająca przed IP Spoofing 4

5 Instalacja oprogramowania Check Point VPN-1/FireWall-1 Do instalacji oprogramowania Check Point VPN-1/FireWall-1 v4.1/spx należy wykorzystać nośnik instalacyjny CD-ROM (Check Point 2000 v4.1.x). Proces instalacji odbywa się w następującej kolejności: #./InstallU #rpm -i --replacefiles CPfw SP5.i386.rpm #upgrade do SP5 W razie problemów z instalacją SP5 należy wykonać komendę: #rpm --rebuilddb 5