Webserver. Datenbankserver

Transkript

1 Einrichten eines Heimservers Seite 1 von 14 Webserver Xampp installieren --> Webserver (Apache) läuft Server testen: IP-Adresse des eigenen Rechners im Browser eingeben Rechner hinter einem Router: Damit der Webserver auf dem lokalen Rechner über den Router erreichbar ist, muss dem Router mitgeteilt werden, dass alle Anfragen über den Port 80 an den Rechner weitergeleitet werden mit der IP- Adresse des Rechners, auf dem der Webserver läuft. Bild 1: Anfragen an Port 80 des Heim-Servers ( ) werden weitergeleitet Bild 2: Die Weiterleitung geht an den Rechner Eigene Indexseite in das Root-Verzeichnis speichern Datenbankserver Passwort festlegen in MySQL: bin Ordner über Kommandozeile öffnen Hier wird mit dem Benutzernamen 'root' das Passwort 'jochen' gesetzt Mit dem Passwort kann über den MySQL-Monitor auf MySQL zugegriffen werden um eine Datenbank mit SQL-Befehlen zu erstellen und zu bearbeiten einfacher geht es mit der grafischen Oberfläche von phpmyadmin. Anpassen der Konfigurationsdatei an das neue Passwort: xammp\phpmyadmin\confic.inc.php

2 Einrichten eines Heimservers Seite 2 von 14 Bild 3: Die Datei confic.inc.php Wurde als 'auth_type 'http' angegeben wird beim Starten von phpmyadmin eine Passwortabfrage angezeigt: Bild 4: Auch phpmyadmin ist nun passwortgeschützt Immer erreichbar, auch bei veränderten IP-Adressen Der Online Dienst DynDNS löst dieses Problem, indem der eigene Server mithilfe eines Tools die jeweils aktuelle IP an eine Website im Internet 'berichtet'. Wer diese Website aufruft, wird automatisch auf den Heim-Server weitergeleitet. Der heimische Rechner ist stets erreichbar, da bei jeder IP-Änderung das Tool die neue IP an die Website überträgt. Einrichten eines DynDNS-Accounts: Bild 5: Account einrichten und mit den per Mail zugesandten Daten einloggen

3 Einrichten eines Heimservers Seite 3 von 14 Einrichten eines dynamischen DNS-Servereintrags Bild 6: Anlegen eines neuen Eintrags (Add Host) DynDNS stellt mehrere Domänen zur Verfügung, in einer kann man seinen eigenen Host 'unterbringen'. Wird Wildcard angeklickt, kann für das Sternchen ein beliebiger Name zusätzlich stehen. Unter IP-Address wird die IP-Adresse des eigenen Homeservers eingetragen. Rechner hinter einem Router: mit dem Befehl ipconfig in der Eingabeaufforderung wird die eigene IP und die interne IP des Routers (Standardgateway) herausgefunden. Unter kann die externe IP des Routers herausgefunden werden und unter IP Address eingetragen werden. Zum Testen kann jetzt schon der Server unter aufgerufen werden. IP-Adresse automatisch an DynDNS berichten lassen Ein Programm, dass auf dem Server installiert ist, hinterlegt bei DynDNS die aktuelle, externe IP-Adresse des Routers, so dass der Server jederzeit gefunden werden kann. Laden des Programms DynDNS-Updater von DynDNS.com und auf dem Serverrechner installieren. Bei der Installation als Service beim Systemstart angeben. Unter Current IP die IP-Adresse des Servers (die, die vom Router vergeben wurde) eingeben.

4 Einrichten eines Heimservers Seite 4 von 14 Editieren des neues Servers: Username und password, wie es bei DynDNS eingegeben wurde Den Servernamen, wie er über das Internet angesprochen wird: eigenername.dyndns.org Bild 7: Konfiguration von DynDNS-Updater Das Programm meldet nun die aktuell vom Provider zugewiesene IP-Adresse an die Seite DynDNS.com. Wird der Server im Internet aufgerufen, wird zuerst die DynDNS-Seite aufgerufen, die dann die Anfrage an den Server weiter leitet. Aufruf des Heimservers über das Internet i. d. R. ohne Um nach einem Verbindungsabbruch durch den Provider, eine automatische Neueinwahl durchzuführen, kann das Programm AutoDialUp benutzt werden. Dieses Programm sorgt auch für eine vorgetäuschte Aktivität auf der Datenleitung (Vermeidung einer Zwangstrennung durch den Provider). Das Programm HyperSpin ( überwacht einen Server und verschickt eine , wenn dieser nicht mehr erreichbar ist. Weiterleitung von der offiziellen Homepage auf den Heimserver Eine kostenlose Weiterleitung auf den eigenen Heim-Server von einer Internet- Wunschadresse bietet DynDNS nicht an. Hier werden Programme benötigt, die die jeweils aktuelle IP an eine Webseite im Internet berichtet. Diese Webseite ist stets unter dem selben Namen erreichbar. Von dort werden die Anfragen auf den heimischen Server weiter geleitet. Dazu wird eine Webseite bei einem Domainprovider benötigt, die einen FTP-Zugang bereit stellt (Beispielprogramm: PrivateServer 2003).

5 Einrichten eines Heimservers Seite 5 von 14 Benutzerkonten auf dem Webserver (Apache) anlegen Am besten geht dies mit dem Programm AutoSitePasswords, herunterzuladen von Bild 8: Nach dem Installieren wird mit Add User ein neuer Benutzer angelegt Bild 9: Die Daten des neuen Benutzers werden eingegeben ( mit Expire kann die Dauer der Gültigkeit angegeben werden) Bild 10: Den neuen Benutzer in einer beliebigen Datei speichern Bild 11: Auf Export klicken und in einem Ordner für die Passwortdateien auf dem Server speichern, z.b. 'html_auth' oberhalb von htdocs

6 Einrichten eines Heimservers Seite 6 von 14 Benutzerkonten zu Gruppen zusammenfassen Bild 12: Festlegen von Gruppen für den Apache über eine Textdatei Anlegen einer Textdatei nach folgendem Format: Gruppenname: alle Benutzernamen der Gruppe, getrennt durch ein Leerzeichen. Alle aufgeführten Benutzernamen müssen auch in der zuvor erstellten Passwortdatei stehen. Speichern der Datei am besten in das gleiche Verzeichnis wie die Passwortdatei. Bild 13: Der erstellte Ordner html_auth mit der Passwort- und Gruppendatei Bild 14: Der passwortgeschützte Ordner im Root-Verzeichnis mit der.htaccess-datei Zugriffsrechte vergeben Die Zugriffsrechte für einzelne Verzeichnisse werden beim Apache-Webserver über die Datei.htaccess festgelegt. Findet Apache diese Datei in einem Verzeichnis, dann wertet er sie bei einem Aufruf des Verzeichnisses aus. Das bedeutet, dass diese Datei in jedem Ordner angelegt werden muss, der geschützt werden soll. Bild 15: Die Datei.htaccess 1. Zeile: Der Befehl AuthTypeBasic sagt dem Server, dass dieses Verzeichnis geschützt werden soll. 2. Zeile: AuthName gibt den Text an, der beim Aufruf im Passwortdialog angezeigt werden soll. 3. Zeile: AuthUserFile muss den absoluten Pfad zu der Passwortdatei angeben. 4. Zeile: AuthGroupFile muss den absoluten Pfad zu der Gruppendatei angeben. Wird keine verwendet, muss hier /dev/null stehen. 5. Zeile: gibt an, dass nur mit gültigem

7 Einrichten eines Heimservers Seite 7 von 14 Benutzername und Passwort auf das Verzeichnis zugegriffen werden kann. Z.B.: Nur User1 und User2 sollen Zugriff haben: require user User1 User2 Nur die Benutzer, die zu den Gruppen Gruppe1 und Gruppe2 gehören, haben Zugriff: require group Gruppe1 Gruppe2 Per FTP von überall auf den Heimserver zugreifen Sollen größere Dateien hoch- bzw. heruntergeladen werden ist das ftp-protokoll besser geeignet als das http-protokoll, weil es schneller ist und weil mit einem FTP-Server Benutzer und Passwörter für den Zugang vergeben werden können. Auswahl eines FTP-Servers: FileZillaFTP im Xampp-Paket, konfigurierbar unter Xampp/FileZillaFTP/FileZilla Server Interface CesarFTP, kostenloser, leistungsfähiger FTP-Server TYPSoft FTP Server, unkompliziert und wird deshalb hier behandelt Installation des FTP-Servers Heruntergeladen von und installieren eine Datei im Root-Verzeichnis des Webservers, auf die per FTP zugegriffen werden soll anlegen einen neuen Benutzer anlegen (s. Bild 16) Im Benutzer-Setup neuen Benutzer anlegen, Passwort vergeben, ihm sein Verzeichnis und die entsprechenden Rechte zuweisen (s. Bild 17), speichern und beenden Bild 16: Die Start-Seite des FTP-Servers

8 Einrichten eines Heimservers Seite 8 von 14 Bild 17: einen neuen Benutzer anlegen Portfreigabe für das FTP-Protokoll beim Router (FTP-Server auf Port 21) über ein FTP-Programm (FTP-Client) auf den FTP-Server von außen zugreifen: Adresse: ftp://hostname.dyndns.org mit angelegtem Benutzer und Passwort VPN Theorie Teil 1 (Windows) Remote-Zugriff (Remote Access Service, RAS) bedeutet, dass sich Benutzer von einem anderen Standort aus mit dem Netzwerk einer Firma verbinden. Zu den wichtigsten Aufgaben bei der Bereitstellung dieser Funktionalität gehören das Konfigurieren des Dienstes Routing und RAS das Erstellen der entsprechenden Verbindungen auf den RAS-Clients das Konfigurieren der Zugriffsberechtigungen auf dem RAS-Server Auf einem Client, der sich mit einem Server verbinden will, muss die RAS-Software ausgeführt werden. Der Client stellt dann eine Verbindung zum RAS-Server her. DFÜ-Verbindung (Telefonnetz) VPN-Verbindung (Internet) Mithilfe eines Tunneling-Protokolls wird ein Datenweg (Tunnel) im Internet erzeugt. Daten wandern verschlüsselt und verkapselt durch diesen Tunnel. Zur Verschlüsselung wird ein spezielles Verschlüsselungsprogramm angewendet. Nur derjenige, der einen entsprechenden Entschlüsselungscode besitzt, kann die Daten wieder in eine verständliche Form zurück konvertieren.

9 Einrichten eines Heimservers Seite 9 von 14 Der Windows hauseigene Verschlüsselungsalgorithmus (EFS) ist an die Benutzerrechte gekoppelt. Werden diese gehackt, sind auch verschlüsselte Dateien und Ordner unverschlüsselt. Abhilfe schaffen professionelle Lösungen (z.b. abylon protection manager). Um Daten zwischen zwei Netzwerken übertragen zu können, werden die Datenpakete in einem Tunneling-Protokoll (PPTP, L2TP) verkapselt. Das Protokoll muss bei Sender und Empfänger gleich sein. Die Verkapselung 'versteckt' das ursprüngliche Paket innerhalb des neuen Pakets. Dieses enthält Routing-Informationen, die für den Weg durch den Tunnel erforderlich sind. Um auf den eigenen Server sicher zugreifen zu können, wird hier ein VPN-Server eingerichtet. Vorgehensweise: Im Router (und in der Firewall) den Port für die VPN-Verbindung freischalten (VPN-Server werden über den Port 1723 angesprochen) der Router muss VPN-Pass-through (Weiterleiten von VPN-Datenpakete) unterstützen eventuell muss das Internetprotokoll 47 (auch als GRE bezeichnet) freigegeben werden Bild 18: Portfreigabe beim Router VPN-Server installieren: Windows XP, Vista auf neue Netzwerkverbindung klicken und der Assistent wird gestartet (s. Nächste Seite): es werden Benutzername und Passwort von einem bestehenden Benutzerkonto (eine Auswahl wird angeboten) übernommen Windows arbeitet standardmäßig mit dem PPTP-Protokoll (Point-to-Point-Protocol), welches als nicht ganz sicher gilt. Es gibt unzählige VPN-Server, die mehr können und sicherer sind als der in Windows integrierte Server, sie sind allerdings auch teurer.

10 Einrichten eines Heimservers Seite 10 von 14 Eine günstige Alternative ist das Programm WinGate VPN : Auszug aus der WinGate-Homepage: WinGate VPN stellt durch die Verwendung fortschrittlichster Verschlüsselung- und Authentifizierungsprotokolle ein höchstes Maß an Sicherheit zur Verfügung, um Daten vor nicht autorisiertem Zugriff zu schützen. Control-Verbindungen nutzen den Industriestandard SSL und X509-Zertifizierungen stellen sicher, dass nur Verbindungen zwischen ausgewählten Rechnern und Netzen zu Stande kommen. Ein 128-bit 'Twofish' Schlüssel verschlüsselt die Daten während diese den Tunnel durchqueren. Als Transport wird IPSEC über UDP verwendet. Bild 19: VPN-Verbindung einrichten (Server) Eine VPN-Verbindung zum Server aufbauen: Bild 20: Die Installation auf dem Client Als Hostname wird der Name des Heimservers eingetragen (name.dyndns.org).

11 Einrichten eines Heimservers Seite 11 von 14 Nach Abschluss des Assistenten wird automatisch der Dialog für einen Verbindungsaufbau geöffnet. VPN Theorie Teil 2 Die Realisierung eines Tunnels bedeutet nicht automatisch, dass es sich um eine geschützte Verbindung handelt. Hierzu sind weitere Vorkehrungen zu treffen: Authentifizierung der Gateways zueinander Daten verschlüsseln Firewall für das VPN-Gateway (nur der Port für den Aufbau des Tunnels muss frei geschaltet werden) VPN-Konfigurationen: Rechner-zu-Rechner: die für den VPN-Betrieb notwendige Software befindet sich auf jedem Rechner. Gateway-zu-Gateway: nur den Gateways sind die VPN-Protokolle bekannt. Rechner-zu-Gateway: VPN-Software befindet sich auf dem Rechner, VPN-Gateway ist an das öffentliche Netz gekoppelt. VPN-Protokolle: PPTP (Schicht 2) ist multiprotokollfähig, das von der Firma Cisco entwickelte GRE- Verfahren stellt einem Datenpaket einen speziellen GRE-Header voran, in dem Informationen über die verwendeten Tunnel- und Verschlüsselungsalgorithmen hinterlegt werden. Die Benutzerauthentifizierung wird über ein Unterprotokoll übernommen, z.b. CHAP L2F (Schicht 2, kaum noch von Bedeutung) L2TP (Schicht 2) vereint die Vorteile der beiden oben genannten Protokolle, z.b. mehrere Verbindungen gleichzeitig (PPTP kann dies nicht) IPsec (Schicht 3) ist eine Erweiterung des IP-Protokolls. Es ist nicht ein einzelnes Protokoll, sondern stellt eine komplette Sicherheitsarchitektur dar Zugriffskontrolle: Festlegung der teilnehmenden Rechner Authentifizierung: Überprüfung, ob ein IP-Paket tatsächlich vom angegebenen Absender stammt Vertraulichkeit: Verhinderung des Mithörens durch Datenverschlüsselung Gewährung der Integrität: Erkennen von unberechtigt veränderten IP-Paketen Schutz vor Replay-Attacken : Angreifer können einen Rechner nicht durch Aufzeichnen eines Dialogs dazu verleiten, eine bestimmte Aktion zu wiederholen SSH (Security Shell, Schicht 5-7) ; für eine SSH-Verbindung ist es notwendig, dass auf dem Zielrechner ein SSH-Server und auf dem lokalen Rechner ein SSH-Client installiert ist. Der Verbindungsaufbau wird vom Client initiiert. Anschließend tauschen SSH-Client und SSH-Server Informationen über die verwendete SSH- Protokollversion aus und erzeugen einen symmetrischen Schlüssel für die Datenverschlüsselung. Um die Echtheit des SSH-Servers überprüfen zu können, erzeugt der Server beim Start ein asymmetrisches Schlüsselpaar. Der private Schlüssel ist hierbei nicht von außen abrufbar. Der öffentliche Schlüssel kann dagegen von jedem Netzteilnehmer ausgelesen werden. Um sich bei einem Verbindungsaufbau auszuweisen, signiert der Server seine Nachrichten mit seinem privaten Schlüssel. Diese Signatur kann dann nur mit dem öffentlichen Schlüssel des Servers entschlüsselt werden. Andernfalls handelt es sich nicht um den gewünschten Zielrechner. SSL (Schicht 5-7) ;Das SSL-Protokoll unterstützt den Aufbau und den Betrieb verschlüsselter und authentifizierter Verbindungen. Es diente ursprünglich nur der

12 Einrichten eines Heimservers Seite 12 von 14 Sicherung der Kommunikation zwischen Web-Server und Web-Browser. Es lässt sich inzwischen mit anderen Protokollen wie POP3, SMTP oder Telnet betreiben. Ebenso wie bei SSH kommen sowohl die symmetrischen als auch die asymmetrischen Verschlüsselung zum Einsatz symmetrische Verschlüsselung der Daten asymmetrische Verschlüsselung zur Authentifizierung Frei verfügbare SSL-Software ist z.b. unter zu finden. Beschreibung, wie eine SSL VPN Lösungen eine sichere Verbindung aufbaut: Bild 21: kommerzielle SSL-VPN-Lösung 1. Der Web-Browser des Benutzers stellt über das Internet eine Verbindung zum SSL VPN Gateway her. 2. Das Gateway führt eine Integritätsprüfung des Clients durch. Überprüft werden Datum und Uhrzeit, Client-IP, Betriebssystem, usw. 3. Noch bevor überhaupt eine Authentifizierung stattfindet, wird der Client vom Gateway gründlich gescannt. Ermittelt wird zum Beispiel, ob er frei von Sypware oder Keylogger ist und ob Schutzmaßnahmen wie Firewall und Anti-Viren-Software aktiviert sind. Abhängig vom Ergebnis des Scans wird in weiterer Folge der Zugriff auf mehr oder weniger Applikationen und Dienste gestattet. 4. Erst nachdem der Client als unbedenklich eingestuft wurde, wird die Authentifizierung des Benutzers ermöglicht. 5. Je nach Authentifizierungsmethode (statisches Passwort, One-Time Passwort oder Zertifikat) erhält der Benutzer unterschiedliche Zugriffsberechtigungen auf Applikationen. Die anschließende Datenübertragung über das Internet erfolgt verschlüsselt.

13 Einrichten eines Heimservers Seite 13 von 14 Pro: IPSec VPN Alle IP-Protokolle und Services werden unterstützt (z.b. ICMP, VoIP, SQL, Citrix) IPSec Client kann weitere Sicherheitsmerkmale integrieren (Personal Firewall) VPN Gateways enthalten typischerweise Firewall-Funktionen für Zugriffskontrollen. Kontra: Pro: Benötigt in der Regel Client Software; es gibt nicht für alle Betriebssysteme die entsprechende Clientsoftware. Verbindungen können gegenüber Firewalls und anderen Geräten auf dem Weg zwischen Gateway und Client negativ beeinflusst werden (z.b. Firewall oder NAT- Geräte). Verbindungsproblem zwischen IPSec Clients und Gateways unterschiedlicher Geräte führen zu Schwierigkeiten SSL VPN SSL ist in vielen Web-Browsern bereits integriert SSL wird unterstützt durch bekannte Anwendungen wie Mail Clients und Server (z.b. Outlook und Eudora) unterstützen SSL. Wird transparent über NAT, Proxy und den meisten Firewalls (Firewalls erlauben in der Regel SSL) durchgeführt. Web-Plug-Ins können Verbindungen auf Netzwerkebene über SSL für Client/Server Anwendungen herstellen. Kontra: Unterstützt lediglich TCP-Service über SSL. Im Regelfall gibt es nur Web (http) und (POP3/IMAP/SMTP) über SSL Kommunikation. SSL benötigt in der Regel mehr Rechnerleistung am Gateway als IPSec. In "clientless" Anwendungen wird keine eigene Software installiert. Dadurch kann nur eingeschränkte Sicherheit am Endpunkt gewährleistet werden (Personal Firewall, Integrationsprüfung, etc.). Aufgabe: Werden zwei Netze mit zwei gleichen Routern (Fritz!Box) über einen VPN-Kanal verbunden, kann ein Datenaustausch nicht stattfinden, da beide Router die gleichen IP- Adressräume ( x) verwenden. Warum werden die Datenpakete nicht weiter geleitet? SSL mit Apache Da HTTP im Klartext übertragen wird ist es nicht geeignet um z.b. einen sicheren Webshop zu betreiben. Apache lässt sich aber mit ssl konfigurieren damit sensible Daten nicht im Klartext übertragen werden. Einrichtung eines SSL-Apache-Server Benötigt wird die Open-Source-Software bestehend aus

14 Einrichten eines Heimservers Seite 14 von 14 TLS-/SSL-Paket OpenSSL, die Krypto-Software unter mod-ssl, Schnittstellen zwischen Apache und OpenSSL Unter den angegebenen URLs finden man die Links zum Downloaden der aktuellen Software-Pakete. Nach dem Entpacken der komprimierten Dateien findet man jeweils ausführliche Readme-Dateien zur Installation. Zusätzlich empfiehlt sich zur Performance-Verbesserung des SSL-Servers die Installation des Paketes Shared Memory Library, mm Nach der Installation kann man je einen Server mittels http unter Standardport 80 ohne sichere Verbindung bzw. mittels https unter Standardport 443 mit sicherer Verbindung betreiben. Eine Darstellung der Konfiguration von Apache findet sich unter Weitere Anwendung von VPN-Verbindungen: Über eine VPN-Client Software nimmt man über das Internet Verbindung auf zu einem VPN-Server. Über ihn laufen alle http-anfragen. Der Client kommuniziert mit der vom Provider zugewiesenen IP offiziell nur mit dem VPN-Server. Bild 22: Anonyme und sichere Internetverbindungl über einen VPN-Server