Podesavanje Linux-aby Danko Vukovic, [[email protected]]
v2.0.1, 28 December 1999
1.0 Uvod
2.0 Osnovna podesavanja
2.1 /etc/HOSTNAME
2.2 /etc/resolv.conf
2.3 /etc/hosts
2.4 /etc/host.conf
3.0 Podesavanja File System-a
3.1 /etc/fstab
4.0 Podesavanje E-Mail sistema
4.1 Sendmail
4.2 FetchMail
4.3 Aliases
5.0 Internet Podesavanja
5.1 Povezivanje na InterNet
5.2 Minicom
5.3 PPPD
6.0 Security
6.1 Osnovna pravila
6.2 Standardna podesavanja
6.3 FireWall
1.0 Uvod
2.0 Osnovna Podesavanja
Kada ste instalirali linux i ulogovali ste se, prva stvar koju treba da
uradite je da dodelite ime vasem racunaru. Odnosno njegovo ime u (buducoj)
mrezi. Ukoliko je vas racunar u firmi koja ima domen network.net logicno
je da nazovete racunar ime.network.net.To se radi na sledeci nacin. Editujte
/etc/HOSTNAME
I u njega upisite ime racunara
[
/etc/HOSTNAME
nickeldon.nickeldon.net
]
Kada ste krstili vas racunar potrebno je da mu kazete gde da trazi ostatak
mreze, odnosno treba da podesite DNS. Ukoliko vas racunar nije stalno povezan
na internet potrebno je da za neki DNS stavite loopback adresu (127.0.0.1).
podesavanja vrsite u fajlu
/etc/resolv.conf
sledi primer jednog /etc/resolv.conf fajla:
[
/etc/resolv.conf
search nickeldon.nickeldon.net net.yu
nameserver 127.0.0.1
nameserver 192.168.1.1
nameserver 213.240.31.130
]
ovo je primer resolv.conf fajla jedne masine koja nije stalno
prikljucena na internet.
Kako se vrsi 'resolv' nekog hosta u mrezi putem ovog fajla?
Ako ukucamo u browseru adresu www.linux.org, prvo ce pogledati da li ta
adresa postoji na nasem racnaru (127.0.0.1), ako je ne nadje tamo, sledece
mesto gde ce da pogleda je DNS kucnog ethernet-a (192.168.1.1), ukoliko ga
ne nadje ni na toj adresi potrazice ga na DNS adresi provajdera
(213.240.31.130), i ukoliko je potraga uspesna mi cemo dobiti linux.org
web stranicu.
Drugi nacin 'pretrazivanja' mreze je putem /etc/hosts fajla. Dok je ceo
internet sacinjavalo manje od 200 racunara (toliko sada ima jedna osrednja
wan mreza) svi podatci o svakom racunaru su bili cuvani u /etc/hosts fajlu.
Ovo je bilo neprakticno jer ukoliko bi se pojavio novi racunar u mrezi na
svakom racunaru bi se on morao dodavati u /etc/hosts fajl. Ukoliko vi recimo
imate nekoliko racunara u kucnom LAN-u potrebno je da editujete /etc/hosts
fajl, i da dodelite IP svakoj masini u vasoj mrezi. Primer jednog /etc/hosts
fajla sledi:
[
#IP ADDRESS ALIAS
127.0.0.1 localhost.localdomain localhost
192.168.1.100 nickeldon.nickeldon.net nickeldon
192.168.1.200 ventura.nickeldon.net ventura
192.168.1.210 windows.nickeldon.net windows
192.168.1.220 dejan.nickeldon.net dejan
]
Iz ovoga mozemo da vidimo da u kucnoj mrezi postoji 4 racunara koji su povezani
u kucnu LAN mrezu. Njihova imena su nickeldon (linux server), ventura (win98
client), windows (win98klijent) i dejan (winNT klijent).
prva linija je obavezna u svakom hosts fajlu, ona odredjuje loopback racunara.
Unos hostova vrsite po sledecem formatu
IP ADDRESS ALIAS
alias sluzi da ne bi stalno kucali dugacku adresu nekog racunara. recimo ukoliko
zelite da pingujete windows.nickeldon.net morate da kucate
ping windows.nickeldon.net
ili upotrebom aliasa
ping windows
Razlika je ocigledna, pogotovo ako imate veoma dugacak hostname.
Sad je jos potrebno reci vasem racunaru gde ce pre da gleda, dali u hosts ili u
DNS, to ce te uratidi editovanjem /etc/host.conf fajla.
[
order hosts, bind
multi on
]
order hosts, bind - znaci da ce linux prvo da gleda u /etc/hosts tabelu pa tek onda u
/etc/resolv.conf.
multi on - znaci da linux dozvoljava upotrebu vise istih IP adresa.
3.0 Podesavanje File Systema
u fajlu /etc/fstab se nalazi spisak particija koje linux pri startovanju mountuje.
fajl izgleda ovako
[
#UREDJAJ MOUNT POINT F/S OPTIONS FLAGS
/dev/hdc1 / ext2 defaults 1 1
/dev/hdc5 swap swap defaults 0 0
/dev/fd0 /mnt/floppy ext2 noauto 0 0
/dev/hda1 /mnt/hda vfat defaults 0 0
/dev/cdrom /mnt/cdrom iso9660 noauto,ro 0 0
none /proc proc defaults 0 0
none /dev/pts devpts mode=0622 0 0
]
UREDJAJ - pokazuje na fizicki disk koji treba da bude mountovan.
MOUNT POINT - predstavlja tacku u koju ce se mountovati opdredjeni disk. Posto na
linuxu ne postoji dravovi kao u DOS-u (A,B,C,D...), vec u njemu sve
diskove vidimo u okviru glavnog stabla.
F/S - Oznacava FileSystem koji je na navedenoj particiji.
OPTIONS - defaults, mountovanje pri startovanju sistema, nisu potrebne dodatne opcije
noauto, obicno se stavlja kod promenljivih medija (CDROM, Floppy) i time
kazemo sistemu da cemo rucno mountovati tu particiju.
4.0 Podesavanje mail-a
Jedan od osnovnih servisa na InterNet-u je e-mail odnosno elektronska posta. Konfiguracija
mail-a na linuxu se sastoji od podesavanja sendmail-a, fetchmail-a i aliases.
Podesavanje SendMail-a
Ukoliko vas racunar nije stalno povezan na internet, nema stalan IP ili njegov naziv
(HOSTNAME) ne postoji u DNS tabeli, potrebno je da podesite sendmail. Ako pokusate da
posaljete mail sa svog linux racunara komandom
sendmail -q -v
i dobijete odgovor, da mail ne moze biti poslat jer hostname ne postoji u dns tabeli,
potrebno je da editujete /etc/sendmail.cf (ili iz LinuxConf-a), i na mestu gateway i
mail server da upisete neki mail server koji dozvoljava slanje sa nepostojecih adresa
(mail.ventura.co.yu, mail.nickeldon.net). Ukoliko vas domen postoji, nije bitno dali
je vas, bino je da postoji i da moze da se resolvuje, onda nije potrebno da podesavate
sendmail. Sva posta koju ste poslali dok ste u offline modu ce biti sacuvana u
/var/spool/mqueue direktorijumu i kada se povezete na internet poslace te je komandom
sendmail -q -v
Podesavanje FetchMail-a
FetchMail sluzi da bi ste proverili postu sa drugih mail servera. FetchMail-ov konfiguracioni
fajl se nalazi u vasem home direktorijumu pod nazivom
.fetchmailrc
primer jednog .fetchmailrc fajla:
[
poll pop3.net.yu proto pop3 user ventura pass tajna
poll mail.ventura.vu proto pop3 user majordomo pass tajna, is majordomo here;
]
poll pop3.net.yu - adresa mail servera
proto pop3 - koristimo POP3 protokol
user ventura - nas username na mail serevu
pass tajna - i nas password
ovim komandama, pri pokretanju fetchmail-a ce se skinuti mail sa accounta ventura
na pop3.net.yu mail servru i novu postu ce prikazati zajedno sa postom korisnika
koji je pokrenuo fetchmail. Ukoliko vi posedujete root-a na linux sistemu i zelite
da recimo posta sa nekog username-a na nekom servru bude prosledjena drugom korisniku
na vasem sistemu a ne vama onda treba da dodate
is username here
username je username na vasem sistemu, odnosno username korisnika kome postu prosledjujete.
Podesavanje Aliases fajla
Predpostavimo da radite u firmi koja ima sopstveni web server. Na tom web serveru postoje
adrese tipa [email protected], [email protected], [email protected] itd. Da ne bi proveravali
svaki od tih e-mailova posebno, mi konfigurisemo /etc/aliases fajl. Recimo da imamo 3
webmastera na nasem sajtu, i da su njihovi usernameovi - pera, zika i mika, i mi zelimo da
svaki e-mail upucen na adresu [email protected] bude prosledjen trojici webmastera.
o cemo uraditi tako sto u /etc/aliases dodamo liniju:
webmaster: pera,zika,mika
ili, zelimo da prosledimo e-mail nekom programu, kao sto je majordomo:
majordomo: "|/usr/majordomo-1.94.4/wrapper majordomo"
nakon izmena potrebno je pokrenuti newaliases cime se generise novi fajl aliases.db
5.0 Povezivanje na InterNet
5.1 Internet podesavanja
Za povezivanje na internet treba da instalirate paket za PPP (ppp-.1-0..rmp). Ukoliko niste
sigurni dali je ovaj paket instaliran kod vas proverite dali postoji fajl /usr/sbin/pppd
ukoliko postoji PPP je instaliran i mozete se konektovati na internet.
5.2 Minicom
Startujte minicom parametrom -m
minicom -m
potom pritisnite ALT+D da bi ste dobili dial prozor (ukoliko niste startovali sa parametrom
-m, onda je potrebno prvo da pritisneke CTRL pa tek onda ALT+D), kursorskim strelicama pomerite
se na opciju ADD i pritisnite enter. za sada unesite samo stavke pod A i B (ime i telefon
provajdera) i pitisnite enter kada ste to odradili. sada se strelicama pomerite na polje dial
odaberite provajder i ponovo enter, kada se minicom konektuje trebalo bi da dobijete
Login:
nakon cega trebate uneti svoj username i password (napomena: ukoliko se logujete na PTT necete
dobiti login i za njega morate primeniti drugi nacin konekcije, CHAP) kada unesete svoj
username i password pocecete dobijati PPP signal
''~~y}#.!}!%}}8}"}&~ }*} } }#}$.#}%}&o@'') ''~~y}#.!}!%}}8}"}&~ }*} } }#}$.#}%}&o@'') itd.
ovo nije nikakva greska vec normalna stvar i nakon ovoga provajder ceka da vi odgovorite
PPP signalom, dakle izadjite iz minicom-a bez reset-a ALT+Q (ili CTRL ALT+Q).
5.3 PPPD
Kad ste ostvarili vezu sa vasim provajderom potrebno je da i vi ukljucite PPP protokol,
ako predpostavimo da vam se modem nalazi na /dev/modem (ukoliko nije, potrebno je da ga
linkujete ili da pozivate sa /dev/ttyS0 za COM1 do /dev/ttyS3 za COM4) onda cemo odkucati:
/usr/sbin/pppd /dev/modem defaultroute noipdefault
ukoliko nemate lokalnu mrezu mozete i da ne odkucate zadnji parametar, ali on nista ne smeta.
ukoliko posle izvrsenja dobijete prompt znaci da je komanda uspela i da ste se povezali
na internet. to cete proveriti tako sto ce te pingovati neku masinu npr.
$ ping www.ventura.vu
PING www.ventura.vu (216.117.152.14): 56 data bytes
64 bytes from 216.117.152.14: icmp_seq=0 ttl=55 time=90.2 ms
64 bytes from 216.117.152.14: icmp_seq=1 ttl=55 time=83.9 ms
64 bytes from 216.117.152.14: icmp_seq=2 ttl=55 time=86.0 ms
64 bytes from 216.117.152.14: icmp_seq=3 ttl=55 time=83.6 ms
64 bytes from 216.117.152.14: icmp_seq=4 ttl=55 time=85.0 ms
64 bytes from 216.117.152.14: icmp_seq=5 ttl=55 time=93.3 ms
--- www.ventura.vu ping statistics ---
7 packets transmitted, 6 packets received, 14% packet loss
round-trip min/avg/max = 83.6/87.0/93.3 ms
$
ukoliko dobijete ovakav odgovor znaci da set sve dobro podesili i da ste se uspesno povezali
na internet.
6.0 Security
6.1 Osnovna pravila
Osnovnu stvar koji bi trebalo da znate je u vezi sifri na unix OS-u. Vasa sifra i sve ostale
sifre se cuvaju u /etc/passwd (ili /etc/shadow na nekim sistemima) i ona je kriptovana
jednosmerno sto znaci da moze samo da se kriptuje a ne moze se iz te kriptovane sifre ponovo
dobiti originalna sifra. Jedini nacin da se provali tudja sifra jeste crackovanje takozvanom
Brute-Force metodom, odnosno pomocu nekog programa (John tha Ripper, the Crack...) se uzima
neka rec, kriptuje se i uporedjuje sa originalnom sifrom. Ti crackeri mogu uzeti recnik i vrteti
sve reci i tako crackovati passworde, ukoliko vam je password obicna rec on ce je naci za
vrlo kratko vreme (john na P2/266mhz kriptuje i uporedjuje 35.000 slova u sekundi, prostije
receno kada uzme username moze da proveri 3.000 sifri u sekundi... ako ih vadi iz recnika,
provalice vam sifru za manje od par minuta... Zbog toga je potrebno da sto vise zakomplikujete
sifru, i da ni za zivu glavu ne ostavljate sifru istu kao username ili slicne varijacije...
ovako treba da izgledaju dobre (skoro neprobojne) sifre:
V={Z)U%TMH(oO:/^
78#4&|@c0r:"C8M5
dfn-VLx2|4.In7yL
treba takodje obratiti paznju da je na unixu duzina sifre ogranicena na 16 karaktera i da
ce sve sto je uneseno posle toga biti ignorisano.
6.2 Standardna Podesavanja
Prva stvar sto treba da uradite je da proverite privilegije passwd i shadow fajlova, i da
proverite koji fajlovi imaju setuid na root-a i kakve su njihove privilegije. Ukoliko recimo
VI editor ima setuid na root-a, i obican korisnik moze da ga izvrsi, eto zbrke, obican
korisnik ce moci editovati bilo koji fajl na sistemu... zato budite veoma obazrivi kada dajete
+s privilegiju na vasem sistemu. Da bi ste bili sigurni odkucajte
chmod 644 /etc/passwd
chmod 600 /etc/shadow
potom u /etc/pam.d/login ubacite liniju (ako vec nije ubacena) koja nece dozvoliti da se root
loguje remote, odnosno, koja ce dozvoliti logovanje root-a na sistem samo ukoliko on fizicki
sedi za tastaturom servera.
6.3 FireWall
Linux dolazi sa mnogo mreznih servisa (pop, ftp, www, finger...) koji vam ako set obican
korisnik uopste netrebaju, i opzeljno je da ih iskljucite. Dakle editujte
/etc/inetd.conf
i iskljucite servise koji vam nisu potrebni, to radite tako sto stavite znak # ispred linije
servisa koji vam nije potreban. Potom potrebno je da namestite 'pravi' firewall komandom
ipchains. njegova upotreba je prilicno jednostavna, i sintaksa glasi
ipchains -A chain -s source -d destination -p protocol -j command
source je mesto odakle paketi polaze a destination gde se zavrsavaju. Postoji jedna veoma
korisna opcija "!". kada recimo navedete -s ! 127.0.0.1, onda ste rekli, ako paket nije sa
vaseg racunara, onda uradi nesto, a to nesto navodite posle -j parametra. Ja koristim ipchains
sa ovakvim parametrima:
ipchains -A input -s ! 192.168.1.1/10 -d 0.0.0.0/0 -p tcp --dport 23 -j REJECT
sto znaci, ako zahtev za telnet nije sa lokalne mreze, onda taj paket ignorisi. Ovako mozemo
zadati sa svaki port koji zelimo. Ili mozete mu reci sledece
ipchains -A input -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 -p tcp --dport 6000 -j REJECT
ovime ce odbaciti sev pakete koje idu na X server, da neko ne bi gledao sta vi radite...
vazno je da znate da kad restartujete sistem, ip chains ne radi... sve se izgubilo.. i ponovo
morate sve da kucate... e da bi se to izbeglo kada ipchains radi kako treba onda kucate:
ipchains-save > /root/firewall
i u fajlu /root/firewall bice sacuvani parametri ipchains-am i kada startujete sistem:
ipchains-restore < /root/firewall
i svi parametri su ponovo ucitani i firewall ponovo normalno radi...
Ako zelite da se FireWall startuje kad se startuje i sistem.. samo u /etc/rc.d/rc.sysinit
dodajte na kraju liniju
ipchains-restore < /root/firewall
sacuvajte fajl... i sledeci put kada bootujete sistem odmah ce se ucitati...
Re: Podesavanje Linux-a
Re: Podesavanje Linux-a