NND Nasza Nowa Dystrybucja czyli jak postawić serwer w jedną noc 1
1 Instalacja 1.1 Wymagania sprzętowe NND jest to system przygotowany na komputery klasy pentium czyli od architektury i586 wzwyż, system ten nie będzie chodzić na komputerach z procesorami 386 i 486. Z powodu coraz tańszych komputerów tej klasy (taki komputer można już kupić za 50zl) nie ma sensu bawić się tak starym sprzętem który jest juz na wyginięciu. Aby zainstalować nasz system potrzebne minimum 32MB RAM, napęd cd, oraz dysk twardy o pojemności minimum 500MB. W najnowszym wydaniu NND może to być dysk SCSI jak i IDE. Większość popularnych kontrolerów SCSI jest wspieranych przez NND. Można także próbować instalować NND na dyski SATA jednak na razie jest to najmniej rozwinięta gałąź NND, z powodu tego, że jest to system na serwer dla przeciętnego Kowalskiego a takiego nie stać na serwer wyposażony w najnowszy sprzęt. Do prawidłowej pracy serwer będzie nam potrzebne około 24MB RAM jednak jest to troszkę za mało. Jeżeli planuje ktoś uruchamiać inne usługi na serwerze poza zwykłym dzieleniem łącza to proponuje wyposażyć serwer w minimum 128MB RAM. Przy dzisiejszych cenach pamięci nie jest to zbyt duży wydatek. Dobrze jest też wyposażyć nasz serwer w pojemny dysk ponieważ taki serwer może nam służyć jako serwer plików w sieci (baza filmów, plików MP3, zdjęć). 1.2 Potrzebne rzeczy oraz przygotowani płyty CD Aby rozpocząć instalacje naszego systemu niezbędne będzie: obraz płyty cd ściągnięty z http://nnd.freesco.pl/download.php czysta płyta cd-r/rw Po ściągnięciu obrazu płyty cd należy sprawdzić sumy kontrolne jest to potrzebne aby sprawdzić czy obraz płyty został poprawnie ściągniety. 1.2.1 W Windows robimy to tak: Ściągamy plik md5sum.exe Umieszczamy w c:\windows\command dla Windows 95/98/Me dla Windows NT/2000/XP zapisujemy w c:\winnt\system32 Otwieramy konsol? i w katalogu z plikiem uruchamiamy polecenie: md5sum -c plik.md5sum Jeżeli jest poprawna nagrywamy jeżeli nie powinniśmy ściągnąć ISO jeszcze raz Można też skorzystać z programu AccuHash 1.2.2 W systemach Linux: Sprawdzamy czy mam zainstalowany pakiet md5sum, jeżeli nie to go instalujemy odpowiednim narzędziem w zależności od dystrybucji. W konsoli wchodzimy do katalogu z obrazem ISO i plikiem md5sum Wpisujemy: md5sum -c plik.md5sum i czekamy na wynik Jeżeli mamy już ściągnięty dobry obraz płyty możemy przystąpić do jego nagrywania na płytę CD. Możemy wykorzystać do tego najbardziej popularny program Nero jeżeli pracujemy pod kontrolą systemu Windows lub k3b jeżeli chodzi o Linuxa. Płytę wypalamy jako obraz iso, nie rozpakowujemy tego pliku i nie 2
nagrywamy ich luzem na płytę. 1.3 Rozpoczęcie instalacji 1.3.1 Konfiguracja biosu i rozpoczęcie instalacji Aby rozpocząć instalacje musimy w naszym serwerze posiadać napęd CD oraz nasza płyta główna musi pozwalać na bootowanie sie z CD. W biosie nazywa się to boot device lub jest to osobna zakładka boot należy wybrać cd-rom jako pierwsze urządzenie. Zapisujemy ustawienia biosu (najczęściej F10)i po starcie komputera powinna zacząć się instalacja, powinniśmy zobaczyć coś takiego: W tym momencie jeżeli posiadamy dyski SCSI powinniśmy wpisać scsi. Jeżeli mamy dysk IDE to należy wpisać ide lub po prostu enter. Pamiętajmy aby kierować się instrukcjami na ekranie monitora, tam jest wszystko jasno napisane. 3
1.4 Podział dysku na partycje Dla użytkowników początkujących zalecam automatyczny podział dysku na partycje. Zostanie utworzona wtedy partycja swap oraz /. Jeżeli ktoś lubi sie bawić to może zająć się ręcznym podziałem. Dla ułatwienia podam ile zajmują poszczególne katalogi na NND po instalacji. 3 bin 2 boot 1 dev 1 etc 1 home 13 lib 1 lost+found 1 mnt 1 opt 1 proc 1 root 5 sbin 1 sys 1 tmp 48 usr 27 var 96 total Wartości w MB. 1.5 Hasła systemowe Na końcu instalacji system pyta sie nas o hasło dla super użytkownika jest to hasło dla roota. Konto roota jest to konto posiadające pełen dostęp do serwera. W przeciwieństwie do zwykłego użytkownika może wyłączać serwer, modyfikować pliki na dysku a nie tak jak zwykły użytkownik tylko w swoim katalogu domowym. Pamiętajmy aby dla roota czasami nie dać hasła root po pożegnamy sie z serwerem po paru godzinach. Po wpisaniu dwukrotnie haseł należy podać nazwę użytkownika jaka będzie przez nas wykorzystywana, ponieważ zablokowane jest logowanie sie wprost z konta roota gdyż jest to zbyt niebezpieczne. Tu również należy pamiętać aby nie tworzyć użytkownika ola i hasło ola. 1.6 Net_conf czyli pierwsza konfiguracja systemu as 2 Konfiguracja 2.1 Niceshaper zarządzanie łączem 2.2 Samba kontroler domeny, serwer plików i drukarek Najpierw należy zainstalować sambe: pacman -S samba po zainstalowaniu należy dodać usera nobody dla samby: smbpasswd -L -a -e -n nobody -L lokalnie -a dodaje usera -e aktywuje użytkownika 4
-n może pracować bez hasła Musimy się teraz zająć plikiem /etc/samba/smb.conf. Oto przykładowy config: [global] netbios name = Serwer workgroup = DOMKI interfaces = 10.10.10.1/24 #interfaces = 192.168.1.1/24 comment = Samba wersja %v guest account = nobody invalid users = @wheel, mail, daemon, adt hosts allow = 127. 10.10.10. security = SHARE os level = 99 preferred master = Yes domain master = Yes log file = /var/log/samba/log.%m max log size = 50 getwd cache = yes socket options = TCP_NODELAY keep alive = 10 dead time = 30 [test] path = /test read only = No guest ok = Yes writable = Yes Po skonfigurowaniu Samby odpalamy ja /etc/rc.d/samba start sprawdzamy czy wystartowala ps x i szukamy smbd i nmbd je?eli s? na li?cie to znaczy,?e wszystko chodzi i powinni?my zobaczy? serwer w otoczeniu sieciowym nale?y jeszcze dopisa? sambe do demonów czyli po prostu samba 2.3 rdate synchronizacja czasu 2.4 cups serwer drukarek Serwer wydruku na NND Mozna zrobic serwer wydruku na sambie mozna na cupsie ja opisze sposob stworzenia print serwera na cupsie a wiec: 1. instalujemy cupsa pacman -S cups 5
2. Konfigurujemy ;] Na dziendobry edytujemy plik: /etc/cups/cupsd.conf i zmieniamy w nim: okolo linia 822 jest wpis: Restrict access to local domain Order Deny,Allow Deny From All Allow From 127.0.0.1 dopisujemy ponizej Allow From xxx.xxx.xxx.xxx - nasze ip sprawdzamy czy w lini 408 odplotkowana jest linia: Port 631 linia 750 dopisujemy znowu Allow From xxx.xxx.xxx.xxx - nasz ip eydtujemy plik mime.types odszukujemy linie 157 powinan ona wygladac tak: application/octet-stream edytujemy plik mime.convs linia 114 powinna wygladac tak: application/octet-stream application/vnd.cups-raw 0-6
odpalamy cupsa: /etc/rc.d/cups start sprawdzamy czy mozemy dostac sie przez przegladarke na cupsa: http://ip_serwera:631 jezeli tak to wylaczamy cupsa /etc/rc.d/cups stop teraz musimy dac cupsowi sterowniki dla naszej drukarki tak wiec szukamy sterownikow dla cupsa w google ( np. storna cupa, ozna zajrzec tu: http://listonosz.no-ip.com/download/cups ) i poszukac naszj drukarki sciagamy sterowniki zazwczaj maja rozszerzeie ppd albo ppd.gz i kopiujemy je do /usr/share/cups/model/sterowniki Odpalamy cupsa /etc/rc.d/cups start wchodzimy na storne cupsa http://ip_serwera:631 naciskamy na "Administration" logujemy sie jako root; haslo takie jak do nnd na roota przechodzimy do "Printers" naciskamy "Add Printer" Name: - nazwa drukarki - dowlony tekst Location - lokalizacja - dowlony tekst Description - - "Continue" "Device" - wybieramy Parallet Port jezeli drukarka podlaczona jest pod lpt ;] pod usb nie testowalem jak chodzi i czy chodzi "Continue" Wybieramy sterowniki i dostaniemy komunikat: "...added successfully." Nie dziwcie sie jesli nacisniecie "Print Test Page" a drukarka na to nic. Przynajmniej umnie sie nic nie dzieje ;D Przechodzimy do konfiguracji Windowsow czy innego go... 7
Dodajemy nowa drukarke drukarka sieciowa adres http http://ip_serwera:631/printers/nazwa_drukarki nazwa drukarki to wpis "Name" w cupsie ok ok ok ok gdzies tam trzeba bylo sterowniki wybrac ;] ok ok ok i testujemy otwieramy notatnik wpisujemy "Czy chodzi cups??" Jak wydrukuje napis Tak to znaczy ze nie a jak wydrukuje "Czy chodzi cups??" to znaczy ze chodzi ;D ;D Konfiguracja winzgrozy z glowy bo nie mam windowsow a niechce mi sie isc do brata zeby popatrzec jak to dokladnie wyglada. 2.5 Zwiększanie wydajności/bezpieczeństwa serwera 2.5.1 Przyspieszanie dysków 2.5.2 Zabezpieczenie ssh Po dłuższej pracy serwera i o ile będzie brama do internetu w logach pojawią nam się wpisy w stylu: Mar 22 01:39:12 serwer sshd[17774]: Invalid user michael from 61.211.230.98 Mar 22 01:39:13 serwer sshd[17774]: error: Could not get shadow information for NOUSER Mar 22 01:39:13 serwer sshd[17774]: Failed password for invalid user michael from 61.211.230.98 port 57827 ssh2 Są to próby włamań przez ssh do naszego serwera. Jest to nie groźne jeżeli posiadamy dobre hasła (cyfry, litery wielkie i małe). Jednym z najprostszych rozwiązań jest zmiana portu ssh np. zamiast portu 22 port 222. Jest to o tyle nie wygodne, że zawsze trzeba się łączyć przez port 222 i są problemy jeżeli ktoś lubi przesyłać pliki między serwerami przez mc i shell link. Drugim rozwiązaniem ale trudniejszym jest zastosowanie skryptu, który co parę sekund sprawdza logi i jeżeli znajdzie parę nieudanych logowań od określonego adresu ip to blokuje dostęp tego adresu do naszego serwera. Minusem tego rozwiązania jest to, że sami możemy wejść na własną pułapka ale zakładamy, że nie będziemy wpisywać 6 razy złego loginu lub hasła. Oto przykład takiego skryptu: 8
#!/bin/sh if [! -r /etc/ssh/stare ]; then touch /etc/ssh/stare fi for IP in `cat /var/log/auth grep "Invalid user" awk '{print $10}' uniq` ;do ile=`cat /var/log/auth grep "Invalid user" grep -w $IP wc -l` if [ $ile -gt 3 ]; then echo $IP >> /etc/ssh/nowe fi done if [! -r /etc/ssh/nowe ]; then touch /etc/ssh/nowe fi for IP in `cat /etc/ssh/nowe` ;do cat /etc/ssh/stare grep -w $IP > /dev/null let wynik=$? if [ $wynik = 1 ]; then iptables -I INPUT -s $IP -p tcp -j DROP iptables -I FORWARD -s $IP -p tcp -j DROP iptables -I INPUT -d $IP -p tcp -j DROP iptables -I FORWARD -d $IP -p tcp -j DROP echo $IP >> /etc/ssh/stare fi done Skrypt należy umieścić w /etc/ssh pod nazwą blokada. Następnie należy umieścić wpis w cronie odpowiedzialny za uruchamianie skryptu co określony czas. Należy dopisać do pliku /var/spool/cron/root wpis */2 * * * * /etc/ssh/blokada nie zapomnijmy zostawić na końcu pliku pustej linii. Po tym wszystkim należy zrestartować crona /etc/rc.d/crond restart. Za blokadę odpowiedzialne jest iptables więc po restarcie komputera wszystkie blokady zgina, aby temu zapobiec należy do pliku /etc/rc.d/rc.local dopisać: for IP in `cat /etc/ssh/stare` ; do iptables -I INPUT -s $IP -p tcp -j DROP iptables -I FORWARD -s $IP -p tcp -j DROP iptables -I INPUT -d $IP -p tcp -j DROP iptables -I FORWARD -d $IP -p tcp -j DROP done Jeżeli przez przypadek zablokujemy ip z którego chcieliśmy się dostać należy wpisać: iptables -I INPUT -s $IP -p tcp -j ACCEPT iptables -I FORWARD -s $IP -p tcp -j ACCEPT iptables -I INPUT -d $IP -p tcp -j ACCEPT iptables -I FORWARD -d $IP -p tcp -j ACCEPT Tylko zamiast $IP wpisać adres IP który chcemy odblokować. 9
Spis treści 1 Instalacja...2 1.1 Wymagania sprzętowe...2 1.2 Potrzebne rzeczy oraz przygotowani płyty CD...2 1.3 Rozpoczęcie instalacji...3 1.3.1 Konfiguracja biosu i rozpoczęcie instalacji...3 1.4 Podział dysku na partycje...4 1.5 Hasła systemowe...4 1.6 Net_conf czyli pierwsza konfiguracja systemu...4 2 Konfiguracja...4 2.1 Niceshaper zarządzanie łączem...4 2.2 Samba kontroler domeny, serwer plików i drukarek...4 2.3 rdate synchronizacja czasu...5 2.4 cups serwer drukarek...5 2.5 Zwiększanie wydajności/bezpieczeństwa serwera...8 2.5.1 Przyspieszanie dysków...8 2.5.2 Zabezpieczenie ssh...8 10