Inhaltsverzeichnis. KT Communications Engineering Logbuch Gruppe 10 (Fischer, Freudenberger, Neuhauser)

Transkript

1 Inhaltsverzeichnis Passwort ändern... 2 Upgrade Etch (V 4) auf Lenny (V 5)... 2 Apache... 4 PHP... 5 SSL Support... 8 Unverschlüsselten Zugriff (http) deaktivieren MySQL PHPMyAdmin installieren Postfix SMTP Authentifizierung TLS Verschlüsselung Sicheren E Mail Zugriff einrichten swaks SMTP auth erzwingen Tls Verschlüsselung verpflichtend einführen Zugriff von außen tls smtp auth unverschlüsselt smtp auth tls verschlüsselt Media Wiki aufsetzen Startseite festlegen Logo austauschen Favicon austauschen Zeitzone einstellen Allgemeines zur Installation Putty VI Verbleibende Fragen

2 Grundsätzliche Verbindungsdaten: Server: Port: 2995 Benutzer: ktss2009 Passwort: 3rU5rana (ist am Anfang win!ce) Passwort ändern passwd Neues Passwort (auch für root altes passwort ist win!ce): 3rU5rana Von generiert Upgrade Etch (V 4) auf Lenny (V 5) debian sudo vi /etc/apt/sources.list (bzw. sudo nano /etc/apt/sources.list ) Alle etch löschen und durch lenny ersetzen sudo aptitude update 2

3 sudo aptitude install apt dpkg aptitude --show-why zeigt die Abhängigkeiten ( aptitude --show-why install.) OK, dass dienste gestartet werden (ssh offene Verbindungen bleiben erhalten) (evtl. screenshot einfügen) sudo aptitude full-upgrade OK, dass dienste neu gestartet werden 3

4 Apache sudo apt-get install libapache2-mod-php5 Abhängigkeiten mitinstallieren Wenn die Installation fertig ist, kann Apache mit folgendem Befehl gestoppt werden: sudo /etc/init.d/apache2 stop so kann er wieder gestartet werden sudo /etc/init.d/apache2 start Mit der Eingabe der IP im Browser sollte nun folgende Seite angezeigt werden: 4

5 PHP Verzeichnis testwww in home (/home/ktss2009/) erstellen: (Anzeige des aktuellen Verzeichnisses mittels pwd.) mkdir testwww cd testwww vi test.php Folgender Inhalt (indem man vorher einmal i drückt, dann den Text eingibt und am Schluss x drückt anschließend : w q : (Unter nano einfach Text eingeben und dann mit Strg x beenden. Es wird noch nach einer Bestätigung gefragt. Mit Y bestätigen) <?php echo phpinfo();?> 5

6 Symbolischen link zu /var/www/testwww erzeugen sudo ln -s /home/ktss2009/testwww /var/www/testwww (ln [OPTIONS] TARGET LINKNAME) -s bedeutet symbolischer Link Der Aufruf von ls al /var/www/ sollte jetzt unter anderem diese Weiterleitung mit einem Pfeil anzeigen: ( a bedeutet alle Einträge l long listing format) Der Aufruf im Browser sollte jetzt Infos zur php Installation ausgeben: 6

7 Damit Hackern keine Anhaltspunkte für Sicherheitslücken geliefert werden, sollte der symbolische Link anschließend wieder entfernt werden: sudo rm -rf /var/www/testwww (-rf force recursive) Anschließend werden keine php Infos mehr ausgegeben. 7

8 SSL Support Anschließend muss noch das ssl modul aktiviert werden sudo a2enmod ssl sudo a2ensite default-ssl a2dissite default-ssl) (SSL-Modus aktivieren) (Deaktivieren mit a2dismod) (Modul ssl für apache aktivieren oder deaktivieren) (Site/virtueller Host default-site für apache2 aktivieren) (Gegenteil: Damit die Änderungen wirksam werden, muss Apache neu gestartet werden: sudo /etc/init.d/apache2 restart 8

9 Anschließend muss ein ssl Zertifikat für Apache erstellt werden: (siehe auch cert?highlight=zertifikat ) sudo make-ssl-cert generate-default-snakeoil --force-overwrite Invoked with "generate-default-snakeoil", it will generate /etc/ssl/certs/ssl-cert-snakeoil.pem and /etc/ssl/private/ssl-cert-snakeoil.key. --force-overwrite überschreibt bereits existierende DAteien (Die dadurch generierten Dateien werden sofort in die SSL-Schlüssel aufgenommen: SSL-Zertifikat /etc/ssl/certs/ssl-cert-snakeoil.pem SSL-Schlüssel /etc/ssl/private/ssl-cert-snakeoil.key ) Zum Testen wird nun die URL auf gesetzt; da es sich um ein nicht signiertes Zertifikat handelt, müssen Warnmeldungen von Firefox ignoriert werden: 9

10 10

11 Unverschlüsselten Zugriff (http) deaktivieren (wurde von mir erst ganz am Schluss gemacht, deswegen sind folgende Browser Screenshots noch mit http) In der Apache Konfigurationsdatei /etc/apache2/apache2.conf (in Debian die Konfigurationsdatei für Apache) wird die Datei ports.conf importiert: # Include ports listing Include /etc/apache2/ports.conf (Auszug aus Datei apache2.conf) Die Datei ports.conf mit vi öffnen und die Zeile Listen 80 auskommentieren: sudo vi /etc/apache2/ports.conf 11

12 Um die Änderungen zu übernehmen, muss apache neu gestartet werden: sudo /etc/init.d/apache2 restart Wenn man sich jetzt mit dem Server auf Port 80 verbinden will, sollte das nicht mehr möglich sein: 12

13 Verbindungen über https funktionieren aber immer noch! MySQL sudo apt-get install mysql-server Abhängigkeiten bestätigen Bei Passwortabfrage folgendes Passwort eingeben (wieder generiert): Map8xAsP 13

14 MySQL kann wieder folgendermaßen gestartet und beendet werden: sudo /etc/init.d/mysql stop Stopping MySQL database server: mysqld. sudo /etc/init.d/mysql start Starting MySQL database server: mysqld. Checking for corrupt, not cleanly closed and upgrade needing tables.. PHPMyAdmin installieren Um die Datenbank zu managen, ist es praktisch, das Paket phpmyadmin zu installieren. sudo apt-get install phpmyadmin Abhängigkeiten bestätigen. Die Abfrage, für welchen Apache phpmyadmin konfiguriert werden soll, mit ESC abbrechen, da wir phpmyadmin im Anschluss manuell konfigurieren. Anschließend muss phpmyadmin noch mit dem Apache Webordner verknüpft werden. Dies geschieht mittels eines symbolischen links: sudo ln -s /usr/share/phpmyadmin/ /var/www/phpmyadmin 14

15 Anschließend bekommt man beim Aufruf von im Browser folgende Fehlermeldung angezeigt: Sie deutet darauf hin, dass ein php Paket fehlt, das eine Verbindung zu mysql herstellen kann. Das benötigte Paket heißt php5 mysql: sudo apt-get install php5-mysql siehe auch: Dann sollte man apache nochmal neustarten. ( sudo /etc/init.d/apache2 restart ) Anschließend sollte phpmyadmin funktionieren: 15

16 Benutzername: root Passwort: Map8xAsP Nach dem Login sieht man folgenden Bildschirm: 16

17 Postfix sudo apt-get install postfix 17

18 18

19 Anschließend werden noch einige Zusatzpakete benötigt: sudo apt-get install libsasl2-2 sasl2-bin libsasl2-modules procmail postfix (re )konfigurieren: sudo dpkg-reconfigure postfix erste Bildschirme wie oben, dann 19

20 20

21 21

22 22

23 SMTP Authentifizierung 23

24 sudo postconf -e 'smtpd_sasl_local_domain =' sudo postconf -e 'smtpd_sasl_auth_enable = yes' sudo postconf -e 'smtpd_sasl_security_options = noanonymous' sudo postconf -e 'broken_sasl_auth_clients = yes' sudo postconf -e 'smtpd_sasl_authenticated_header = yes' sudo postconf -e 'smtpd_recipient_restrictions = permit_sasl_authenticated,permit_mynetworks,reject_unauth_destination' (letztes Statement in einer Zeile ausführen) e Editiere die etc/postfix/main.conf Datei sudo postconf -e 'inet_interfaces = all' Datei /etc/postfix/sasl/smtpd.conf mit folgendem Inhalt anlegen: sudo vi /etc/postfix/sasl/smtpd.conf (bzw. mit nano statt vi;) pwcheck_method: saslauthd mech_list: plain login 24

25 TLS Verschlüsselung sudo mkdir /etc/postfix/ssl cd /etc/postfix/ssl/ sudo openssl genrsa -des3 -rand /etc/hosts -out smtpd.key 1024 (genrsa -> Generierung von RSA-Parametern) des3 -> dreifach-des Ziffer -rand DAtei liefert Zufallsdaten für die Verschlüsselung -out legt den output-ort fest. 25

26 Dazu folgendes Passwort verwenden (wieder generiert): d8tuwr6d Es wird eine Datei mit folgendem Inhalt erzeugt: Rechte ändern: 26

27 sudo chmod 600 smtpd.key sudo openssl req -new -key smtpd.key -out smtpd.csr (600 Oktalzahl) (req Certificate signing request X.509) -new new certificates request (entsprechender Input wird in Folge ebenfalls verlangt) -key Schlüssel, für den das Zertifikat erstellt wird. (weiteres Beispiel: Create a private key and then generate a certificate request from it: openssl genrsa -out key.pem 1024 openssl req -new -key key.pem -out req.pem Wieder Passwort von vorhin eingeben d8tuwr6d 27

28 AU Oberoesterreich 28

29 Linz CEKT 29

30 (leer) CEKT student (leer) 30

31 (leer) (leer) sudo openssl x509 -req -days in smtpd.csr -signkey smtpd.key -out smtpd.crt d8tuwr6d 31

32 sudo openssl rsa -in smtpd.key -out smtpd.key.unencrypted d8tuwr6d sudo mv -f smtpd.key.unencrypted smtpd.key sudo openssl req -new -x509 -extensions v3_ca -keyout cakey.pem -out cacert.pem -days

33 neues Passwort (generiert): phuf2upr gleiche Daten wie oben eingeben: Country Name: AU State or Province Name: Oberoesterreich Locality Name: Linz Organization Name: CEKT Organizational Unit: (leer) Common Name: CEKT student -Address: (leer) sudo postconf -e 'myhostname = VServer2' sudo postconf -e 'smtpd_tls_auth_only = no' sudo postconf -e 'smtp_use_tls = yes' sudo postconf -e 'smtpd_use_tls = yes' sudo postconf -e 'smtp_tls_note_starttls_offer = yes' sudo postconf -e 'smtpd_tls_key_file = /etc/postfix/ssl/smtpd.key' sudo postconf -e 'smtpd_tls_cert_file = /etc/postfix/ssl/smtpd.crt' sudo postconf -e 'smtpd_tls_cafile = /etc/postfix/ssl/cacert.pem' sudo postconf -e 'smtpd_tls_loglevel = 1' sudo postconf -e 'smtpd_tls_received_header = yes' sudo postconf -e 'smtpd_tls_session_cache_timeout = 3600s' sudo postconf -e 'tls_random_source = dev:/dev/urandom' Die Datei sollte nun folgenermaßen aussehen: cat /etc/postfix/main.cf more 33

34 34

35 sudo mkdir -p /var/spool/postfix/var/run/saslauthd Now we have to edit /etc/default/saslauthd in order to activate saslauthd. Set START to yes and change the line OPTIONS="-c -m /var/run/saslauthd" to OPTIONS="-c -m /var/spool/postfix/var/run/saslauthd -r": sudo vi /etc/default/saslauthd 35

36 36

37 Next add the postfix user to the sasl group (this makes sure that Postfix has the permission to access saslauthd): sudo adduser postfix sasl Postfix neu starten und saslauthd starten sudo /etc/init.d/postfix restart sudo /etc/init.d/saslauthd start Um die eben vorgenommenen Einstellungen zu testen, wird das Programm telnet benötigt: sudo apt-get install telnet Die Eingabe von telnet localhost 25 und anschließend ehlo localhost sollte zu folgendem Ergebnis führen: 37

38 Hierbei werden die unterstützten Funktionen des mailservers aufgelistet. Mit dem Befehl quit kommt man wieder zurück zur bash Ob die SMTP Authentifizierung funktioniert, kann mit folgendem Kommando festgestellt werden: sudo testsaslauthd -u ktss2009 -p 3rU5rana -f /var/spool/postfix/var/run/saslauthd/mux 38

39 Sicheren E Mail Zugriff einrichten swaks sudo apt-get install swaks Beim Versuch, eine TLS verschlüsselte mail zu senden, kommt folgende Fehlermeldung: Um das Kommando zum Laufen zu bringen, müssen folgende Perl Pakete installiert werden: 39

40 sudo apt-get install libcrypt-ssleay-perl sudo apt-get install libnet-ssleay-perl anschließend sollte folgender Aufruf ein E Mail senden können: tls verschlüsselt ohne Authentifizierung: swaks -tls f himmel@gott.com -t fischa@gmail.com localhost mit Authentifizierung: swaks -s localhost -f himmel@gott.com -t fischa@gmail.com -a -au ktss2009 -ap 3rU5rana folgende Kommandos werden anschließend ausgeführt: 40

41 Wie man beobachten kann, wird dabei das Passwort nie im Klartext übertragen. SMTP auth erzwingen Damit ausschließlich eine Anmeldung via Smtp Auth (also mit Benutzernamen und Passwort) möglich ist, muss in der Konfigurationsdatei /etc/postfix/main.cf der Parameter smtpd_client_restrictions auf permit_sasl_authenticated,reject gesetzt werden, also folgende Zeile an die Datei angefügt werden: smtpd_client_restrictions = permit_sasl_authenticated,reject (siehe sudo vi /etc/postfix/main.cf 41

42 Postfix und saslauthd neu starten sudo /etc/init.d/postfix restart sudo /etc/init.d/saslauthd restart Anschließend sollte der Versand ohne SASL Authentifizierung nicht mehr möglich sein: swaks -tls -f -t localhost 42

43 mit Authentifizierung (ohne tls) sollte jedoch noch gehen: swaks -s localhost -f -t -a -au ktss2009 -ap 3rU5rana Tls Verschlüsselung verpflichtend einführen Dazu wird der Parameter smtpd_tls_auth_only auf yes gesetzt. 43

44 sudo vi /etc/postfix/main.cf Postfix und saslauthd neu starten sudo /etc/init.d/postfix restart sudo /etc/init.d/saslauthd restart Folgende Befehle sollten nun nicht mehr funktionieren nur tls Verschlüsselung swaks -tls -f -t localhost nur smtp auth swaks -s localhost -f -t -a -au ktss2009 -ap 3rU5rana Es sollte jetzt nur noch das tls verschlüsselte smtp authentifizierte Senden möglich sein: swaks -tls -s localhost -f -t -a -au ktss2009 -ap 3rU5rana Zugriff von außen Im Folgenden noch jeweils die Ausgaben, wenn man sich von außen auf den Server verbinden will (geht nur innerhalb des Universitätsnetzwerks): 44

45 tls C:\Programme\swaks>swaks.pl -tls -s f -t === Trying :25... === Connected to <- 220 VServer2 ESMTP Postfix (Debian/GNU) -> EHLO virtualu <- 250-VServer2 <- 250-PIPELINING <- 250-SIZE <- 250-VRFY <- 250-ETRN <- 250-STARTTLS <- 250-ENHANCEDSTATUSCODES < BITMIME <- 250 DSN -> STARTTLS < Ready to start TLS === TLS started w/ cipher DHE-RSA-AES256-SHA ~> EHLO virtualu <~ 250-VServer2 <~ 250-PIPELINING <~ 250-SIZE <~ 250-VRFY <~ 250-ETRN <~ 250-AUTH LOGIN PLAIN <~ 250-AUTH=LOGIN PLAIN <~ 250-ENHANCEDSTATUSCODES <~ 250-8BITMIME <~ 250 DSN ~> MAIL <~ Ok ~> RCPT <~* <dyn wlan.jku.at[ ]>: Client host rejected: Access denied ~> QUIT <~ Bye === Connection closed with remote host. Der Pfeil in jeder Zeile ganz links gibt die Richtung der Datenübertragung an, also entweder vom Client zum Server oder vom Server zum Client. Je nachdem, ob der Pfeil aus einem normalen Bindestrich ( > unverschlüsselte Übertragung) oder aus einer Schlangenlinie (~> verschlüsselte Übertragung), kann die Übertragung abgehört werden oder nicht. smtp auth unverschlüsselt C:\Programme\swaks>swaks.pl -s f himmel@gott.com -t fischa@gmail.com -a -au ktss2009 -ap 3rU5rana === Trying :25... === Connected to <- 220 VServer2 ESMTP Postfix (Debian/GNU) -> EHLO virtualu <- 250-VServer2 <- 250-PIPELINING <- 250-SIZE <- 250-VRFY <- 250-ETRN <- 250-STARTTLS <- 250-ENHANCEDSTATUSCODES 45

46 < BITMIME <- 250 DSN *** No acceptable authentication types available -> QUIT < Bye === Connection closed with remote host. smtp auth tls verschlüsselt C:\Programme\swaks>swaks.pl -tls -s f -t -a -au ktss2009 -ap 3rU5rana === Trying :25... === Connected to <- 220 VServer2 ESMTP Postfix (Debian/GNU) -> EHLO virtualu <- 250-VServer2 <- 250-PIPELINING <- 250-SIZE <- 250-VRFY <- 250-ETRN <- 250-STARTTLS <- 250-ENHANCEDSTATUSCODES < BITMIME <- 250 DSN -> STARTTLS < Ready to start TLS === TLS started w/ cipher DHE-RSA-AES256-SHA ~> EHLO virtualu <~ 250-VServer2 <~ 250-PIPELINING <~ 250-SIZE <~ 250-VRFY <~ 250-ETRN <~ 250-AUTH LOGIN PLAIN <~ 250-AUTH=LOGIN PLAIN <~ 250-ENHANCEDSTATUSCODES <~ 250-8BITMIME <~ 250 DSN ~> AUTH LOGIN <~ 334 VXNlcm5hbWU6 ~> a3rzcziwmdk= <~ 334 UGFzc3dvcmQ6 ~> M3JVNXJhbmE= <~ Authentication successful ~> MAIL <~ Ok ~> RCPT <~ Ok ~> DATA <~ 354 End data with <CR><LF>.<CR><LF> ~> Date: Tue, 24 Mar :27: ~> To: ~> From: ~> Subject: test Tue, 24 Mar :27:

47 ~> X-Mailer: swaks v jetmore.org/john/code/#swaks ~> ~> This is a test mailing ~> ~>. <~ Ok: queued as 8D ~> QUIT <~ Bye === Connection closed with remote host. Media Wiki aufsetzen sudo apt-get install mediawiki sudo ln -s /usr/share/mediawiki/ /var/www/mediawiki Im Browser folgende Url aufrufen: 47

48 Passwort: swepru24 48

49 49

50 DB Passwort: mezete9e Superuser password wurde bei der MySQL Installation festgelegt und ist Map8xAsP Ein Klick auf Install MediaWiki erstellt die notwendige Konfigurationsdatei Geht man auf den link so kommt noch eine Fehlermeldung. 50

51 sudo mv /var/lib/mediawiki/config/localsettings.php /etc/mediawiki/ Anschließend ist mediawiki installiert: 51

52 Zum Testen der Mailfunktion einen neuen Benutzer registrieren. Benutzername: christian Passwort: s7acruwa Benutzername: testuser Passwort: PRudaC4e Startseite festlegen Startseite des Servers umsetzen: sudo vi /etc/apache2/mods-available/dir.conf 52

53 Startseite auf /mediawiki/index.php und index.php (falls diese Datei im Verzeichnis liegt wird für phpmyadmin benötigt) setzen: Die Zeile DirectoryIndex auf folgenden Inhalt umändern: DirectoryIndex index.php /mediawiki/index.php Damit die Änderungen wirksam werden, muss Apache neu gestartet werden: sudo /etc/init.d/apache2 stop sudo /etc/init.d/apache2 start Anschließend sollte folgender Aufruf: direkt die MediaWiki Startseite aufrufen. sollte die Seite aufrufen (also keinen 404 error ausgeben). Zudem kann der standardmäßige Apache Begrüßungstext (It works) entfernt werden: sudo rm /var/www/index.html Logo austauschen Um das Logo zu ändern, sollte muss es zunächst auf den Server hochgeladen werden. Dazu bietet sich das gratis FTP Programm FileZilla an. Mit folgenden Optionen kann man sich mit dem Server verbinden: 53

54 Benutzer ktss2009 (Passwort: 3rU5rana) verwenden Anschließend im home Verzeichnis einen neuen Ordner logo erzeugen und in diesen das Logo kopieren: 54

55 Im nächsten Schritt muss das Logo (wiki.png wurde vorher auf 135*135 Pixel verkleinert siehe dazu noch vom Webserver aus verfügbar gemacht werden. Zunächst wird ein symbolischer Link in das www Verzeichnis gesetzt: sudo ln -s /home/ktss2009/logo /var/www/logo Folgender Link sollte im Browser nun das Logo anzeigen: Um in MediaWiki das Logo zu setzen, ist folgende Änderung der WikiMedia Konfigurationsdatei notwendig: Ganz unten in der Datei wird folgende Zeile hinzugefügt: $wglogo = /logo/wiki.png ; sudo vi /etc/mediawiki/localsettings.php 55

56 56

57 Favicon austauschen Analog zum letzten Punkt kann ein.ico file in den Apache Ordner kopiert werden, welches anschließend in der Adressleiste angezeigt wird. Beliebige Bilder können unter folgender Adresse ( kit.com/favicon/) in icons konvertiert werden. Wenn die Datei als favicon.ico benannt wird und in den Ordner /var/www/favicon.ico kopiert wird, stellt das MediaWiki das icon korrekt dar: sudo mv /home/ktss2009/favicon.ico /var/www/favicon.ico Zeitzone einstellen Standardmäßig ist die Zeitzone des Wiki auf die GMT (Greenwich Mean Time) gesetzt, was bedeutet, dass es bei verschickten E Mails und in der Änderungshistory um eine Stunde zu früh ist. Um sie auf CET (Central European Time) zu setzen, wird die Konfigurationsdatei angepasst (siehe regensburg.de/rz/dienste/wikis/rz/index.php/mediawiki_faq#zeitzone): sudo vi /etc/mediawiki/localsettings.php folgende Zeilen werden hinzugefügt: #Set Default Timezone $wglocaltimezone = "Europe/Vienna"; $oldtz = getenv("tz"); putenv("tz=$wglocaltimezone"); $wglocaltzoffset = date("z") / 60; putenv("tz=$oldtz"); Allgemeines zur Installation Putty Aus Putty kopieren: Text markieren kann anschließend mit STRG C in Windows eingefügt werden 57

58 In Putty kopieren: Text aus der Zwischenablage kann durch Drücken von linker und rechter Maustaste gleichzeitig eingefügt werden. VI Siehe Anleitung unter Ansonsten kann auch nano verwendet werden. Das bedeutet, alle Kommando statt mit vi mit nano auszuführen. Falls unabsichtlich vi gestartet wurde, kann dieser mit :q! beendet werden. Verbleibende Fragen Passt E Mail Zugriff von mediawiki? derzeit unverschlüsselt mit php send mit postmaster t Wie ist Zugriff mit Clients gemeint? Nur senden (SMTP)? Ist es Absicht, dass Zugriff nur innerhalb des Uni Netzwerks möglich ist? Warum kann die Zeit nicht gesetzt werden? 58