Praktikum Rechnernetze und Telekommunikation

Transkript

1 Praktikum Rechnernetze und Telekommunikation Dokumentation WS 2004/2005 Jan Dworschak MtkNr: Laurent Mangen MtkNr: Daniel Wagner MtkNr: Andres Leibrock MtkNr: Michael Schmid MtkNr: Frank Dumont MtkNr: Kieth Thran MtkNr: Fachhochschule Kaiserslautern Standort Zweibrücken 23. Januar 2005

2 INHALTSVERZEICHNIS INHALTSVERZEICHNIS Inhaltsverzeichnis 1 Motivation 3 2 Das Netzwerk Netzplan(VPN-Verbindungen) Netzplan (detailliert) Die Standorte Zweibrücken Kaiserslautern und Pirmasens Server Webserver Konfiguration Mailserver Der Weg einer Mail Postfix - AMaVis AMaVis mit Virenscanner und SpamAssassin DNS Konfiguration PDC LDAP Konfiguration Samba Konfiguration Jabber Proxy Konfiguration LiveCD - Gentoo Router-CD Server-CD Disketten - config Dateien Abbildungsverzeichnis 12 Tabellenverzeichnis 13 Sourcecodeverzeichnis 14 2

3 1 MOTIVATION 1 Motivation 3

4 2 DAS NETZWERK 2 Das Netzwerk 2.1 Netzplan(VPN-Verbindungen) Bild Übersicht der VPN-Verbindungen. Jeder Standort verfügt über ein VPN-Gateway. Desweiterern besteht die Möglichkeit dass sich Mitarbeiter von Extern (über das Internet) in das Firmennetz einzuloggen. Diese Mitarbeiter werden in dem Übersichtsplan als Roadwarrior bezeichnet. 2.2 Netzplan (detailliert) Bild Der detaillierte Netzwerkplan beschreibt wie der logische Aufbau der verschiedenen Server aussieht. Wie man sieht, werden die drei Standorte durch das Internet verbunden. Damit die Übertragung zwischen den Standorten nicht abgehört werden kann, wird ein VPN (Virtual Private Network) eingerichtet, dass die Datenintegrität gewährleisten soll. Zum genauen Aufbau des VPN siehe Kapitel??. In jedem Standort gibt es aus Gründen der Redundanz ein Subnetz für die Server. Das Team hat sich gegen einen zentrale Serverfarm in (z.b.) Zweibrücken entschieden, da durch einen Ausfall der Konnektivität die Standorte Kaiserslautern und Pirmasens sonst Arbeitsunfähig gewesen wären. Aus diesem Grund gibt es in jedem Standort je einen Fileserver, einen Proxy, einen DNS-Server und einen BDC. Zu Sinn und Konfiguration der Server sie die nachfolgenden Kapitel. 2.3 Die Standorte In dem Beispielnetzwerk, das aufgebaut werden soll werden drei Standorte jeweils mit einem internem Netzwerk ausgestattet. Diese Netzwerke werden dann wieder durch das Internet durch ein VPN verbunden. Diese Standorte werden hier nun im einzelnen vorgestellt Zweibrücken Dieser Standort nimmt eine Sonderstellung ein. Hier befindet sich die IT-Abteiung des Unternehmens. Deswegen werden auch alle Server, welche ein intensivere Pfle- 4

5 2 DAS NETZWERK 2.3 Die Standorte ge benötigen, hier aufgestellt. Wie man aus dem Netzplan erkennen kann, gibt es ein Subnetz für die interne Verwaltung, eines für die IT-Abteilung und eines für die internen Server Zweiobrückens. Als Alleinstellungsmerkmal hat dieser Standort eine DMZ, eine demilitarisierte Zone. In einem solchen, von dem internen Netz getrennten Subnetz, sind die Sicherheitsmassnahmen durch die Firewall so angepasst dass ein Zugriff aus dem Internet auf ausgewählte Serverdienste möglich ist. Aus einer DMZ darf kein Zugriff auf das interne Netz möglich sein. Wegen des genauen Aufbau der Firewall (bestehend aus Paketfiltern, Routing und Application Proxies), siehe Kapitel?? Kaiserslautern und Pirmasens Hier gibts es nur zwei Subnetze. Eines für die Arbeitsrechner der Mitarbeiter und eines für die Server der Standorte. 5

6 3 SERVER 3 Server Zunächst werden die Server betrachtet, die in Zewibrücken in der DMZ stehen. Danach kommen dann diejenigen, die in jedem Standort vorhanden sind. Bei der Konfiguration gehnen wir nur auf die Unterschied zur Standardinstallation ein. 3.1 Webserver Warum Apache und nicht z.b. Internet Information Server oder Ähnliche? Apache hat den Vorteil dass er frei Verfügbar ist und auf mehreren Plattformen funktioniert. Apache ist unteranderem relativ einfach zu konfigurieren und unterstützt alle geläufig Programmiersprachen (cgi, perl, php) und Dienste (Authentifizierung). Desweiteren ist der Apache Webserver sehr stabil und leistungsfähig und relativ robust gegenüber Angriffen. Warum haben wir einen internen Apache ausgewählt? Da wir die Fähigkeiten haben einen Apache-Server einzurichten und aus Kostengründen haben wir einen Internen Apache-Server in der DMZ realisiert. Da der Webserver am Standort Zweibrücken eingerichtet wurde, ist auch für die nachhaltige Pflege gesorgt. Am Standort Zweibrücken befindet sich die IT-Abteilung des Unternehmens Konfiguration Bei der Konfiguration des Apache wurde an der Standard-Konfiguration nichts verändert. (Part Khiet) 3.2 Mailserver Als Mailserver-Software wurde Postfix ausgewählt Der Weg einer Mail Bild 6

7 3 SERVER 3.3 DNS MUA Der MUA(mail user agent) ist auf Client-Seite das Front-End des Benutzers mit dem er seine s verwaltet. Über das POP bzw. IMAP-Protokoll werden damit s vom Server abgeholt. Mittels des SMTP-Protokolls verschickt der MUA Nachrichten an den MTA (mail transfer agent) auf dem Mail-Server. Auf dem MUA kann eine clientseitige Filterung der Mails erfolgen. MTA Zentrales Bindeglied eines Mailservers ist der MTA. Dieser nimmt s von anderen MTA s bzw. von internen Prozessen entgegen. Außerdem übergibt er s an andere MTA s oder liefert sie an einen lokalen MDA (mail delivery agent) aus. MSA Der MSA (mail submission agent) wartet auf eingehende Mails und übergibt sie dem MTA. MRA Der MRA (mail retrieval agent) holt letztendlich die Mails z.b. über POP vom Server ab Postfix - AMaVis AMaVis mit Virenscanner und SpamAssassin Bild. 3.3 DNS Als DNS-Server wurde die Software bind gewählt. Der DNS-Server wird gebraucht um die Namen eines Full Qualified Hostname (hostname.domain.topleveldomain) in IP-Adressen umzuwandeln und umgekehrt. An jedem Standort gibt es einen DNS-Server der es jedem Rechner ermöglicht Namen aufzulösen. Hier ein paar Beispiele aus unserem Netz: Domainname: FOOBAR Mailserver: mail.foobar Fileserver: file.foobar 7

8 3 SERVER 3.4 PDC Name-Server: dns.foobar Proxy-Server: proxy.foobar Webserver: Jabber-Server: jabber.foobar Router: router-zw.foobar, router-kl.foobar, router-ps.foobar Konfiguration Part Khiet. Hier nur Vorschlag. 3.4 PDC Der PDC (Primary Domain Controller) dient dazu, den Benutzern von den Windows-Arbeitsrechern aus eine Anmeldung am Netzwerk zu ermöglichen. Für diese Funktionalität wird ein Samba-Server benötigt. Hierbei macht es auf Grund der Entwicklung Sinn, eine Version ab 3.0 zu wählen. Erst mit dieser Version wird die Möglichkeit Samba als PDC einzusetzen voll ausgeschöpft. Um die Benutzerinformationen zu speichern, hat sich das Team für das LDA- Protokoll entschieden. Dies hat den Vorteil, dass man dort viele verschiedenen Arten von Daten kombinieren kann. 3.5 LDAP Ldap steht für Lightweight Directory Access Protocol. LDAP ist ein performanter Verzeichnissdienst der sich in den letzten Jahren stark verbreitet hat. Mit der Hilfe von Ldap kann man die Übersicht in der Server- Administration erhöhen. Das Einsatzgebiet liegt bei uns im Bereich von Benutzerverwaltung und Profilverwaltung. Die zentrale Benutzerverwaltung wird durch Ldap realisiert. Somit wäre es zum Beispiel denkbar auch die Zugangsinformationen (Passwörter oder Zertifikate) der Roadwarrior für das VPN zu speichern. Die Mitarbeiter müssen sich so im Idealfall nur ein Passwort merken. Somit bildet der PDC die Grundlage für ein Single-Signon-System Konfiguration Bei der Openldap-Konfiguraion wurden gegenüber der Standard-Konfig vor allem die Verzeichnisstuktur angepasst. Ausserdem wurde die Datenbank in das Ver- 8

9 3 SERVER 3.6 Samba zeichnis /etc verlagert, damit sie bei der Sicherung während der Herunterfahrens des Rechners mitgesichert wird. slapd.conf suffix "dc=foobar" rootdn rootpw "cn=admin,dc=foobar" "slapd" # Where the database file are physically stored for database #1 #directory "/var/lib/ldap" directory "/etc/ldap/db" Für den Einsatz in Zusammenarbeit mit dem Samba-Server muss die LDAP- Datenbank entsprechend aufgebaut werden. Hier Struktur LDAP-Intern. Evtl. Screenshots GQ. 3.6 Samba Die Aufgabe eines Samba-Server ist es die Unix/Linux-Rechner im Netzwerk so aussehen zu lassen als währe es ein Windows-Rechner. Das heisst man kann auf den Linux Rechner genau so zugreifen wie auf einen normalen Windows- Rechner. Das heisst auf Freigaben und Drucker kann man mit Windows-Bordmittel zugreifen. Desweiteren bildet der Samba-Server die Grundlage dafür, dass sich Windows-Rechner an unserer (Windows-) Domäne anmelden können. Ein nicht zu unterschätzender Vorteil vom Samba-Server ist dass man die Konfiguration über die Kommandozeile vornehmen kann, da das Konfigurationsfile in Klartext vorliegt. Dies ermöglicht in Verbindung mit SSH auch das Konfigurieren aus der Ferne Konfiguration Ausschnitte aus der smb.conf 9

10 3 SERVER 3.7 Jabber 3.7 Jabber 3.8 Proxy Als Proxy wurde die Software Squid auf Grund ihrer hohen Verbreitung und guten Konfigurierbarkeit ausgewählt. Der Proxy dient in diesem Konzept als Teil der Firewall. Um den Mitarbeitern keinen direkten Zugriff auf das Internet ermöglichen zu müssen, wirde Squid für die Protokolle HTTP, HTTPS und FTP eingesetzt. Somit hat man einen definierten Weg für die Daten von aussen. An dieser Stelle kann man dann auch bei Bedarf filtern oder Zugangskontrollen einrichten. So waere es denkbar, den Zugriff auf das World Wide Web nur für Mitarbeitergruppen zu erlauben, die dies für ihre tägliche Arbeit benötigen. Einen Ausblick über die rechtlichen Konsequenzen hierbei, wie auch beim Filtern und Sortieren von Mail, wird in dieser Doku nicht gegeben. Dies würde erstens den Umfang sprengen und benötigt zweitens ein fundiertes juristisches Wissen. Dieses ist in der Gruppe jedoch nicht vorhanden Konfiguration Bei der Squid-Konfiguration wird gegenüber der Standard-Konfiguration wenig verändert. Einzig die ACLs (Access Contol Lists), also die Zugangslisten müssen so angepasst werden, dass das dahinterliegende Subnetz Zugriff hat. Hier als Beispiel die Konfiguration für Zweibrücken. Die Konfigurationen für Kaiserslautern und Pirmasens laufen analog. Folgendes wurde in der /etc/squid/squid.conf hinzugefügt: acl it-net src / acl verw-net src / http_access allow it-net http_access allow verw-net Die Name http access ist evtl. etwas irreführend, denn er beinhaltet auch die Regeln für https und ftp. 10

11 3 SERVER 3.9 LiveCD - Gentoo 3.9 LiveCD - Gentoo Gentoo ist eine von zahlreichen Linux-Distributionen. Diese Distribution ermöglicht es unter anderem eine sogenannte Live-CD zu erstellen von welcher man den Rechner hochfahren kann. Vor dem erstellen der Live-CD muss man sich zuerst Gedanken machen welche Pakete und Dienste man nachher verwenden will. Diese werden anschliessend auf die Festplatte kopiert und dann werden diese kompiliert. Das kompilierte Endprodukt wird auf eine CD gebrannt von der man starten kann Router-CD Server-CD Disketten - config Dateien Zusätzlich zu der Live-CD werden noch Disketten benötigt auf der sich die Konfigurationsdateien befinden. Diese Konfigurationsdateien dienen dazu die vorgenommenen Einstellungen anzupassen. Diese werden dann automatisch bei dem nächsten Start mitgeladen. Ein mögliches Problem der derzeitigen Lösung ist die geringe Speicherplatz der Diskette. Falls noch Datenbanken oder sehr grosse Konfigurationsdateien gespeichert werden sollen, müsste man entweder auf ein anderes Medium (USB-Stick, externe Festplatte, CF-Card, etc.) ausweichen oder die Start- und Speicherskripte so umschreiben, dass mehrere Disketten nacheinander zur Speicherung benutzt werden. 11

12 ABBILDUNGSVERZEICHNIS ABBILDUNGSVERZEICHNIS Abbildungsverzeichnis 12

13 TABELLENVERZEICHNIS TABELLENVERZEICHNIS Tabellenverzeichnis 13

14 LISTINGS LISTINGS Listings 14