Installation eines Internetservers für Schulen. Kurzanleitung

Transkript

1 Installatin eines Internetservers für Schulen Kurzanleitung Versin 0.75 Harald Ertl, Nvember 2004

2 Einleitung Die flgende Anleitung basiert auf einer Installatin mit SUSE-Linux 9.0. Sie stellt eine Art Kchrezept für die Installatin und Knfiguratin der wichtigsten Dienste dar und ist s ausgelegt, dass kein besnderes Linux-Vrwissen vrausgesetzt wird. Die Knfiguratin bezieht sich deshalb auch weitestgehend auf das grafische SUSE-Tl yast2 und das webbasierte Knfiguratinswerkzeug Webmin. Das System sll als Ruter und Firewall für das gesamte Schulnetzwerk dienen und außerdem als Web-, Mail- und FTP-Server, swie intern als Prxy -und Nameserver fungieren. Für die Fernwartung des Systems sll zudem ein Zugang über eine Secure-Shell ermöglicht werden. Details: Beschreibung Dienst, Prt Prgramm Erreichbarkeit Webserver http, 80 apache2 extern, intern Mailserver smtp,25 pstfix extern, intern POP3-Server pp3, 110 qppper extern, intern FTP-Server ftp, vsftp extern, intern SSH-Server ssh, 22 penssh extern, intern Prxy-Server 3128 squid intern Nameserver name, 42 bind intern Vraussetzungen Der Ruter sll zwei getrennte Netze (Schülernetz, Verwaltungsnetz) in das Internet ruten. Bsp: Schülernetz: / Verwaltungsnetz: / Der Server sll intern unter bzw erreichbar sein. Die Schule besitzt eine ffizielle statische IP-Adresse (z.b.: für und eine Anbindung hne manuelle Einwahlntwendigkeit. Hardware-Anfrderungen (geschätzt): Przessr: mind. 1GHz (hne graphische Oberfläche könnte es auch weniger sein) Speicher: mind. 512MB Die Sll-Größe der Festplatten hängt davn ab, b und wie viele Benutzerdaten (z.b. FTP-Daten, Private Web-Verzeichnisse, Webmail-Daten) der Server beheimaten sll. Im Idealfall werden mehrere Platten über einen RAID-Kntrller im Spiegelungsmdus betrieben. Die Geschwindigkeit der Platten sllte nicht zu langsam sein, spielt aber keine s entscheidende Rlle wie bei dem Betrieb eines Fileservers. 2

3 Installatin: Partitinierungs-Vrschlag: Muntpint Größe File-System /bt 1 Sektr ext3 / 2-5 GB ReiserFS der ext3 /hme Rest ReiserFS der ext3 512 MB swap Für die Verwaltung vn Backups kann auch das Anlegen einer weiteren Partitin (am besten auf einer zusätzlichen Platte) etwa mit dem Muntpint /backup nützlich sein. Auch das Auslagern der /hme- Partitin auf eine zweite Platte macht durchaus Sinn. Installatins-Pakete: Natürlich kann man einfach eine Kmplett-Installatin durchführen. Dch aus Gründen der Perfrmance bzw. der Eleganz lhnt sich die Mühe, vn einer Minimal-Installatin auszugehen und nur jene Pakete zu installieren, welche man wirklich benötigt. Zudem kann jedes Paket später ganz einfach nachinstalliert werden. Knfiguratin: Nach dem Aufspielen der Pakete muss das Passwrt für den Super-Benutzer rt eingegeben werden. Der nächste Schritt ist die Knfiguratin der Netzwerkkarten (eth0, eth1, eth3) eth0: ffizielle IP-Adresse und Netzmaske (Prviderabhängig) eth1: / eth2: / Hstname: meist www Dmainname: Schul-Dmain (z.b.: brg-kindberg.ac.at) Der Standardruter ist prviderabhängig. Meist ist das die Adresse des Hardware-Ruters (z.b. CISCO) für die ADSL-, der ATM-Anbindung. Diese IP-Adresse ist meistens um 1 kleiner als die ffizielle Adresse. Nameserver: IP-Adressen der Nameserver (Prviderabhängig) Wenn wir einen eigenen Nameserver laufen haben, können wir hier unsere eigene Adresse angeben. Bei den nächsten Knfiguratinsschritten weisen wir den Rechner als Einzelplatzrechner aus und legen einen ersten Benutzer mit der Eigenschaft Systemmails zu empfangen an. Der Grund dafür ist, dass man s über einen pp-server diese Mails abrufen kann. Danach knfigurieren wir das System gleich mit yast2 weiter. Firewall & Masquerading Als erstes richten wir unter Sicherheit/Benutzer die SuSEfirewall2 ein. Dieser Assistent bietet nur elementare Einstellmöglichkeiten, aber für den Anfang sllte es reichen. Externe Schnittstelle: eth0 Interner Schnittstelle: eth1 eth2 3

4 Erreichbare Dienste: http, https, smtp, pp3, ssh, ftp telnet und rsync sind aus Sicherheitsgründen nicht zu empfehlen (vn Diensten wie finger ganz zu schweigen). Auch der ftp-dienst stellt aufgrund seiner im Klartext übertragenen Passwörter ein Sicherheitsprblem dar, allerdings ist er sehr verbreitet und ermöglich einfachen Dateitransfer hne Zugang zu einer Knsle. Ein Alternative für den administrativen Gebrauch ist SFTP (über ssh). Im nächsten Schritt ist das Masquerading zu aktivieren. Smit können unsere Clients direkt auf Internetdienste zugreifen. Da die Feinknfiguratin der Firewall später erflgen kann und wir die internen Rechner hnehin maskieren wllen, deaktivieren wir die Optin Vr dem internen Netz schützen. Die Prtkllierungseinstellungen können unverändert bleiben. Jetzt sllte unser Rechner bereits als Ruter vll funktinieren. Bei der Einstellung zur Sicherheit wählen wir level3 für sichere Passwörter und ein sicheres Filesystem. Apache2 und MySQL Als nächstes wllen wir den Webserver und die MySQL-Datenbank starten. Dazu aktivieren wir im Runleveleditr apache2 und mysql. Die Dienste werden dadurch augenblicklich und bei jedem Rebt erneut gestartet. Nun können wir z.b. über auf den Webserver zugreifen. Die Daten für die angezeigte Webseite befinden sich im Verzeichnis /srv/www/htdcs. Anschließend geben wir auf der Knsle (Terminal) den Befehl mysqladmin u rt passwrd 'neues Passwrt' ein. Damit haben wir für den MySQL-rt (hat nichts mit dem System-rt zu tun) ein Passwrt gesetzt, Dieser Schritt ist enrm wichtig, da snst jeder Vllzugriff auf die Datenbank bekmmen könnte. MySQL-Datenbanken sind sehr kmfrtabel mit dem Tl phpmyadmin zu verwalten, welches über zu erreichen ist. Damit dieses Tl funktiniert, müssen in der Datei /srv/www/htdcs/phpmyadmin/cnfig.inc.php flgende Werte eingetragen werden. $cfg['pmaabsluteuri']=' $cfg['servers'] [$i] ['auth_type']='http' Klappt jetzt alles, s wissen wir, dass PHP und MySQL richtig mit dem Apache2 funktinieren. FTP-Server Als FTP-Server verwenden wir den sicheren und einfach zu knfigurierenden vsftp-dämn (very secure ftp). Aus Sicherheitsgründen sll der vsftp nicht als rt laufen. Deshalb legen wir im yast2 4

5 einen Systembenutzer ftpsecure mit beliebigem Passwrt an. Da yast2 ein Hme-Verzeichnis verlangt, geben wir z.b. /var/lib/ftpsecure ein. Als Gruppe können wir ngrup verwenden und da sich dieser Benutzer nicht am System anmelden können sll, weisen wir ihm die Shell /bin/false zu. Knfiguriert wird der vsftp über die Knfiguratinsdatei /etc/vsftp.cnf. Standardmäßig erlaubt der vsftp annymes FTP. Um auch eine benutzergesteuerte Anmeldung zu ermöglichen, sind flgende Änderungen an dieser Datei vrzunehmen: write_enable=yes npriv_user=ftpsecure lcal_enable=yes chrt_lcal_user=yes (Benutzer kann sein Hme-Verz. nicht verlassen) Der vsftp läuft nicht als ständiger Dienst, sndern wird bei einer Anfrage durch den xinetd gestartet. Dazu muss zuerst der xinetd im yast2 aktiviert werden (Rubrik Netzwerkdienste). Anschließend ist im xinetd der Eintrag ftp zu aktivieren. Damit ist Dienst ebenfalls einsatzbereit, Mailserver Ein Mailserver-System besteht zumindest aus zwei Server-Kmpnenten. Einen Dienst zum Empfangen und Senden vn -Nachrichten (MTA) und einem Dienst zum Abrufen bzw. Abhlen der Mails vm Server (POP3 der IMAP). Als MTA (Mail Transprt Agent) verwenden wir Pstfix, dem wir gegenüber dem bekannten aber entsetzlich kmpliziert zu knfigurierendem Sendmail den Vrzug geben. Zum Abhlen der Mails verwenden wir den POP3-Dämn qppper, welcher uns unsere Mail vm /var/spl/mails Verzeichnis auf unseren Client hlt. Wir beginnen beim POP-Server, da unser angelegter Benutzer inzwischen ja schn das eine der andere System-Mail erhalten haben dürfte. Alles was wir dazu tun müssen ist, im xinetd den Eintrag pp3 zu aktivieren, und über ein Mailprgramm vn einem Client die Mails abzurufen. Etwas aufwendiger ist da schn die Knfiguratin des Pstfix. Da die Knfiguratin über den yast2 unbefriedigend und umständlich ist, werden wir die Einrichtung unseres MTAs zum Anlass nehmen, uns mit dem webbasierten Knfiguratinstl Webmin zu beschäftigen. Nach der Installatin ist der Webmin unter der Adresse zu erreichen. Ist das Paket perl-net_ssleay installiert, ist http durch https zu ersetzen. Der Webmin kann natürlich auch vn anderen Rechnern aus aufgerufen werden, was ihn zu einem geeigneten Instrument zur Fernwartung macht. Im Webmin kann (bis auf Einschränkungen, vr allem durch das SUSE- Knfiguratinsprgramm SuSEcnfig) im Prinzip das gesamte System verwaltet und knfiguriert werden 1. Da SuSEcnfig recht ungnädig mit "manuellen" Änderungen der Pstfix-Knfiguratinsdateien umgeht, stellen wir die entsprechende Zuständigkeit einfach ab. Dazu muss in der Datei /etc/syscnfig/mail der Schalter MAIL_CREATE_CONFIG auf n gestellt werden. Änderungen an der syscnfig-dateien lassen sich auch bequem im yast2 (Rubrik System) vrnehmen. 1 Will man bei der Knfiguratin des Servers auf die mitgelieferten SUSE-Tls verzichten, kann man in /etc/syscnfig/susecnfig den Schalter ENABLE_SUSECONFIG auf n setzen. Das ist aber v.a. für Anfänger nicht zu empfehlen. 5

6 Den entsprechenden Eintrag findet man unter Netwrk/Mail/General. Jetzt können wir den Pstfix bequem per Webmin knfigurieren. Um einen funktinierenden und vr allem auch sicheren MTA zu bekmmen sind nur wenige Einstellungen vrzunehmen. Webmin/Server/Pstfix-Knfiguratin: Allgemeine Einstellungen: Welche Dmäne sll in ausgehender Mail verwendet werden: Benutze Dmänennamen Für welche Dmänen sll empfangen werden: Ganze Dmäne Netzwerkschnittstellen zum Empfangen vn Mail: alle Internethst-Name dieses Mail-Systems: hst.dmain (z.b. Lkaler Internet-Dmänenname: dmain (z.b. brg-kindberg.ac.at) Lkale Netzwerke: z.b /24, /24, /8 Adressumschreibung und Maskierung: Adressmaskierung: Dmänennamen (z.b. brg-kindberg.ac.at) SMTP-Server-Einstellungen: Einschränkungen der Client-Hst-Namen/-Adressen: permit_mynetwrks, reject_unknwn_client Darüber hinausgehend bietet Pstfix eine Vielzahl an Möglichkeiten, das Mailverhalten fein zu skalieren. Für die Integratin serverseitiger Virenfilter und Spamfilter seien an dieser Stelle nur die Prgramme Amavis und Spamassassin erwähnt, welche sich beide (nicht-trivial) mit Pstfix verbinden lassen. Anlegen vn Mail-Benutzern: Was uns jetzt für unseren Mail-Betrieb nch fehlt, sind eigentlich nur mehr die Benutzer. Benutzer sind am einfachsten über yast2 der den Webmin anzulegen. In welcher Frm man einen Benutzer anlegt, hängt davn ab, welche Aufgaben dieser erfüllen sll. Dabei kann man grb zwischen drei Varianten unterscheiden. 1. Vllwertiger Benutzer, der sich lkal der über ssh am System anmelden kann 2. FTP- und Mail-Accunt 3. Reiner Mail-Accunt Auf einem System wie dem unseren haben neben den Wartungs-Accunts (Hmepage- Administratin, etc.) eigentlich nur Benutzer der Kategrie 3 etwas verlren. Ob sich ein Benutzer am System anmelden kann, wird durch die zugewiesene Lgin-Shell bestimmt. /bin/bash etwa ermöglicht es dem Benutzer, sich am System anzumelden und auf der Standardknsle zu arbeiten (für Schüler und Kllegen im allgemeinen tabu). /bin/false ermöglicht einen Zugang über FTP aber kein Lgin. Will man auch den FTP-Zugang verhindern, braucht kein Hme-Verzeichnis für den Benutzer angelegt werden. Unglücklicherweise macht yast2 dies autmatisch. Webmin bietet die Optin, dieses Verzeichnis nicht anzulegen. Der Befehl useradd legt das Verzeichnis ebenfalls nicht autmatisch an. Eine elegantere Lösung für das verhindern des ftp-zugangs ist das Eintragen des users in die Datei /etc/ftpusers. 6

7 Will man dem Benutzer überhaupt kein Stammverzeichnis zurdnen, s bleibt nur die direkte Bearbeitung der /etc/passwd. Achtung: Obwhl der Name es anders suggeriert, liegen die Passwörter in verschlüsselter Frm in /etc/shadw. Passwörter können mit dem Befehl passwd username angelegt der geändert werden. Für Mail-Accunts interessant ist sicher das Anlegen vn Aliases. Dies geschieht über die Datei /etc/aliases. Nachdem diese Datei verändert wrden ist, muss der Befehl newaliases ausgeführt werden. Das Verwalten vn Aliases gelingt natürlich auch mit dem Webmin. Knfiguratin des SQUID-Prxyservers Der squid wird über die zentrale Knfiguratinsdatei /etc/squid gesteuert. Um zu einem funktinierenden Caching-Prxy zu gelangen, ist eigentlich nichts weiter ntwendig, als den Dienst squid zu starten. Standardmäßig hört dieser auf den Prt 3128 und akzeptiert vn sich aus keine Anfragen aus dem lkalen Netz. Deshalb ist die Freischaltung des internen Netzes über ACLs (siehe weiter unten) ntwendig. Ein entsprechender Eintrag bei den Clients genügt nun, um über den Prxy surfen zu können. Damit diese Przedur nicht auf jedem Gerät durchgemacht werden muss, empfiehlt es sich bei einer Windws-Dmäne die Prxyeinstellungen über eine Gruppenrichtlinie zuzuweisen. Eine andere Möglichkeit ist, squid als transparenten Prxy im Netz zu haben. Dazu müssen in der squid.cnf flgende Einträge vrhanden sein: httpd_accel_hst virtual httpd_accel_prt 80 httpd_accel_with_prxy n httpd_accel_uses_hst_header n Anschließend wird der Prt 80 mittels iptables -t nat -A PREROUTING -i eth0 -p tcp --dprt 80 -j REDIRECT --t-prt 3128 auf den Prt 3128 umgeleitet (in diesem Fall ist eth0 das interne Netzwerkinterface). Bei Verwendung der SUSE-Firewall geschieht dies über den Eintrag FW_REDIRECT_TCP=" /24,0/0,80,3128". Sll squid außerdem den Zugang zum Internet reglementieren (und das sllte er in Schulen immer), ist ein weiteres Bearbeiten der squid.cnf ntwendig. Squid löst die Beschränkung des Zuganges über s genannte Access Cntrl Lists (ACLs). ACLs fassen bestimmte Ausdrücke (IP-Adressen, URLs, Reguläre Ausdrücke, etc.) lgisch zusammen. Beispiel: acl Raum2 src / acl Schuelernetz src / acl Verwaltungsnetz src / acl erlaubte_begriffe url_regex "/etc/squid/verb_begriffe.txt" acl verb_dest dst "/etc/squid/verb_destinatin.txt" Jede ACL kann dann in einem hierarchischen Verfahren vm squid durchgelassen (allw) der abgelehnt (deny) werden. Dabei spielt die Reihenflge der Angaben eine zentrale Bedeutung, da die Beschränkungen vn ben nach unten abgearbeitet werden. S ist im unteren Beispiel etwa der Zugang für Raum2 gesperrt, während das restliche Schülernetz durchgelassen wird. 7

8 Beispiel: http_access deny verb_dest http_access deny verb_begriffe http_access allw lcalhst http_access allw Lehrer-PC http_access deny Raum2 http_access allw Schuelernetz http_access allw Verwaltungsnetz Damit man die ACLs nicht selber mit diversen verbtenen Begriffen, Dmänen, Hstnamen und IP- Adressen füttern muss, kann man z.b. unter vrgefertigte Listen finden, welche man dann nach eigenem Empfinden verwenden kann. Eine Variante um die Zugangsbeschränkung vllautmatisch durchführen zu lassen, ist die Verwendung des Squidguard-Paketes. Dieses aktualisiert selbständig im Internet verfügbare Blacklists. Da diese Vrgehensweise aber bedeutet, dass man die Kntrlle über die blckierten Inhalte abgibt, verwende ich persönlich den Squidguard nicht. Besnders elegant lässt sich der squid auch über den webmin verwalten, was untenstehende Screenshts belegen sllen. Da im Schulbereich die Netzwerk-Administratren verpflichtet sind, den Internetverkehr der Schule zu prtkllieren, sei an dieser Stelle auf die Lg-Datei des squids (/var/lg/squid/access.lg) hingewiesen. Name-Server Um unseren Rechner als vllwertigen Server für die Namensauflösung vn Internetadressen zu betreiben, reicht es, das Prgramm bind zu installieren und im Runleveleditr named zu aktivieren. Damit des squid einwandfrei funktiniert muss sichergestellt sein, dass ein gültiger Nameserver- Eintrag in der /etc/reslv.cnf zu finden ist. Betreibt man sein eigenes Nameservice ist die Angabe vn lcalhst ntwendig. Ein Prblem ergibt sich leider im Zusammenhang mit der Susefirewall2 (zumindest unter SUSE 9.0) und deren Spfing-Schutz. Dieser bewirkt, dass die externe IP des Servers nicht vm internen Netz erreichbar ist. Das ist eigentlich auf den ersten Blick nicht weiter prblematisch und entspricht dem "Geist" eines Ruters. Erst wenn der Ruter auch als Nameserver fungieren sll spießt sich die Angelegenheit, da der Rechner dann vm internen Netz nur mehr über die interne IP nicht aber über 8

9 hstname.dmain erreichbar ist. Vr allem beim Mailen stört diese Tatsache ungemein, wer will schn Mails der Frm in die eigene Dmain schicken? Im Nameservice den Hstnamen einfach auf die interne Adresse zeigen zu lassen führt andererseits bei zahlreichen Webbasierten Systemen (z.b. Cntent-Management-Systeme, der der phpmyadmin) zu Prblemen. Um dieses Prblem zu umgehen gibt es mehrere Möglichkeiten. Mann könnte zum Beispiel das Nameservice für das interne Netz auf einem anderen Rechner laufen lassen (der Windws 2003-Server würde sich hier z.b. anbieten) in den hsts-dateien der Clients einen passenden Eintrag vrnehmen den Spfing-Schutz der Susefirewall2 deaktivieren (Manipulatin der /sbin/susefirewall2) in der /etc/syscnfig/scripts/susefirewall2-custm eine Regel hinzufügen, die das Erreichen der externen IP-Adresse erlaubt. eine andere auf iptables basierende Firewall-Lösung (am besten ein eigenes maßgeschneidertes Script) verwenden. 9