Reestruturação Lógica da Rede do Instituto Federal do Paraná IFPR Campus Paranaguá

Transcrição

1 Reestruturação Lógica da Rede do Instituto Federal do Paraná IFPR Campus Paranaguá Diego Jonathan Hoss Curso de Redes e Segurança de Sistemas Semi-presencial Pontifícia Universidade Católica do Paraná Curitiba, Outubro de 2009 Resumo Este trabalho tem como objetivo apresentar alguns conceitos e soluções sobre redes de computadores e servidores. Inicialmente, são apresentados conceitos sobre redes, servidores, serviços e soluções que foram utilizadas para a reestruturação lógica da rede do IFPR Paranaguá. Continuando, é feito uma breve menção sobre: Samba, Firewall, Squid, Apache, RAID, Linux e outros. Em seguida, o ambiente onde se deu o desenvolvimento do estudo de caso é apresentado, sua antiga situação, seu objetivo final e a situação atual, onde existe algumas soluções já implementadas e em pleno funcionamento e a preparação para as demais que virão na sequência do trabalho de reestruturação. E por fim, é feita a analise da relação custo x benefício do estudo percebido no curso com a sua aplicação prática.

2 1 Introdução Ao se falar em redes de computadores, muitos pensamentos nos tomam a mente e inúmeras perguntas nos surgem de modo instantâneo. Questionamentos estes, a respeito de vários aspectos que cercam as redes de computadores atuais, desde o tipo de protocolo usado na comunicação, até a arquitetura total da rede e os serviços fornecidos pela mesma. Antes de falarmos das redes atuais, é preciso relembrar um pouco da sua história e suas classificações. As redes surgiram para compartilhar informações sem que se precisasse ir fisicamente do dispositivo emissor até o receptor. O inicio da criação das redes de computadores se deu na segunda guerra mundial, e foi inicialmente utilizada pelo exército americano. Posteriormente o governo americano decidiu abrir essa rede para interligar algumas universidades, e, a partir daí, é que se iniciou o que conhecemos hoje como Internet [1]. As redes de computadores podem ser classificadas segundo Torres (2001) como: LAN (Local Area Network): Rede Local; MAN (Metropolitan Area Network): Redes metropolitanas; WAN (Wide Area Network): Redes Geograficamente distribuídas. Sob esta ótica, temos que, muitas empresas implantam redes locais para interligar seus computadores e assim poder otimizar o seu uso. A implantação de uma rede local nas empresas, vem de encontro com as necessidades do mundo globalizado e produtivamente dinâmico. Hoje em dia, as redes de computadores já são consideradas fundamentais para qualquer empresa que deseja se manter firme e atuante no seu ramo de negócio. Considerando tais aspectos, estes são rigorosamente válidos para as empresas públicas, como bancos, escolas, órgãos ligados a segurança e saúde pública, entre outros. Nesse sentido, temos que os novos Institutos Federais de Educação, Ciência e Tecnologia devam se adequar a atual realidade do mercado, uma vez que serão responsáveis pela formação dos novos profissionais, e não devem, por essência, pecar no sentido profissional de sua existência. Sob este aspecto, o Instituto Federal de Educação, Ciência e Tecnologia do Paraná IFPR, Campus Paranaguá, assume a responsabilidade de implantar e organizar sua rede interna de computadores visando a otimização dos seus recursos tecnológicos para oferecer as seus clientes um ambiente adequado de estudos e trabalho. Essa implantação e organização da sua rede interna, usa, dentre várias, algumas tecnologias descritas a seguir, na sessão 2. 2 Revisão Bibliográfica 2.1 Redes Ethernet As redes locais (LANs) do mundo todo, em sua grande maioria, usam o padrão Ethernet para se comunicar. O padrão Ethernet de comunicação é baseado em pacotes e atua na camada 2 do modelo OSI [2], e define entre outros, o tipo de cabeamento utilizado, a codificação dos sinais de dados e o formato dos pacotes que serão enviados pela rede [3]. 2.2 Samba Samba é um serviço disponível para os Sistemas Operacionais baseados na plataforma UNIX. Atualmente este serviço roda sob o conjunto de protocolos denominado pela Microsoft de CFIS (Common Internet File System), mais especificadamente sob o SMB (Service Message Block) [4]. O objetivo deste serviço é permitir a comunicação entre os diferentes sistemas operacionais disponíveis no mercado hoje (principalmente Linux x Windows).

3 Quando temos uma máquina servidor na rede rodando o serviço samba, podemos dentre outras, destacar algumas aprimoradas funcionalidades: PDC (Primary Domain Controller): Ou Controlador de Domínio Primário; esta funcionalidade permite que o servidor samba seja o controlador de um domínio na rede, fazendo com que os usuários clientes, tanto windows quanto linux, possam autenticar-se na rede via este servidor, recebendo a partir daí, alguns recursos disponíveis pelo servidor, como: impressoras, diretórios para armazenamento de arquivos, etc. Integração com Proxy: o servidor samba pode fornecer as contas de usuários do seu sistema para alguns sistemas de Proxy (como o Squid) para que este por sua vez, aplique regras de conteúdo para os pacotes que trafegam na rede de acordo com cada usuário. 2.3 Firewall Firewall é um dispositivo na rede capaz de examinar os pacotes que entram e saem da mesma, para que a partir de regras pré-estabelecidas, ele bloqueie ou deixe passar os mesmos [5]. Normalmente este dispositivo é um computador que fica fisicamente posicionado na frente de toda a rede interna, como sugere a figura 1: Figura 1: Demonstração do uso de um Firewall na rede [5]. O Firewall tem por objetivo filtrar pacotes que possam ser maliciosos para a rede, contribuindo para que a mesma seja menos vulnerável. É importante ressaltar que o Firewall não garante a total segurança da rede, uma vez que a segurança da rede e seus dispositivos é determinada por um número bastante grande de variáveis tornando-a praticamente impossível de ser 100% segura. 2.4 DHCP O serviço DHCP (Dynamic Host Configuration Protocol), ou, protocolo de configuração dinâmica de endereços de rede, é fornecido geralmente por um servidor DHCP [6]. Este serviço permite que todos os dispositivos de rede que possuem um endereço IP [2] possam recebê-lo de forma dinâmica, sem que seja necessário configurá-los um a um, tornando assim o trabalho de configuração e incorporação de dispositivos na rede muito mais prática e rápida.

4 2.4 DNSMASQ O serviço DNSMASQ é um serviço DNS [7] enxuto. O DNSMASQ trabalha apenas com o cache das páginas já acessadas, ele evita que toda vez que uma máquina cliente deseja se conectar ao mesmo site acessado a pouco tempo, ela tenha que fazer uma nova requisição para os servidores de nome (servidores DNS) para encontrar o site, ao invés disso, o próprio servidor DNSMASQ da sua rede local fornece tal informação [8, 9]. A grande vantagem do DNSMASQ em relação a um servidor DNS normal, é que ele não entra na árvore de pesquisa de nomes, (considerando que sua rede não tenha um site disponível para a web). Outra vantagem em se usar um servidor com o DNSMASQ rodando, é que este fornece o serviço de DHCP também, isso contribui para a otimização dos recursos de hardware [8, 9]. 2.5 Proxy (Squid) O proxy é um servidor que repassa o trafego do cliente (usuário da rede interna) para o servidor (servidor de conteúdo na internet) [10]. Ele tem como objetivo analisar o conteúdo dos pacotes e tomar decisões sobre o que fazer com determinados pacotes caso eles se encaixem em alguma regra, seja esta boa ou ruim, a maioria dos proxys disponíveis no mercado hoje, atuam na camada de aplicação do modelo OSI [2]. Outra funcionalidade possível do proxy é o caching proxy, ou seja, ele armazena as páginas acessadas recentemente pelos clientes e quando existe uma nova solicitação de acesso a essas páginas em um espaço curto de tempo, ele próprio disponibiliza as páginas, não precisando perder tempo e trafego indo até o servidor do conteúdo. É claro que existe um mecanismo de controle sobre a versão da página que o servidor proxy possui, caso ela esteja desatualizada, ele vai até o servidor e baixa a nova versão do conteúdo solicitado pelo usuário [10]. O squid é um dos serviços de proxy mais famosos disponível no mercado, ele é software livre protegido pela licença GNU [13, 14]. Além da vantagem de ser software livre, o squid ainda tem uma série de outras vantagens: Alta eficiência de cache para servidores web; Suporta o protocolo FTP; Está preparado para atuar sobre IPv6 [16]; Roda em mais de 90% das plataformas (incluindo windows e BSD); Tem suporte ao Gopher [15]; Entre outros. O squid pode ser uma opção interessante ao se tratar de proxy, uma vez que oferece uma série de vantagens e sobre tudo, tem uma documentação completa em seu site oficial [11, 12] além dos fóruns sobre tal. 2.6 Apache O Servidor HTTP Apache, ou simplesmente Apache, foi criado por Rob McCool em 1995 e serve para disponibilizar websistes. Uma pesquisa realizada em 2007, constatou que ele é utilizado em mais de 47% dos servidores web do mundo, ou seja, esta pesquisa comprova a sua eficiência como servidor de websites [17, 18], tornando sua discussão neste trabalho desnecessária. 2.7 RAID RAID (Redundant Array of Independent Disks), ou, Conjunto Redundante de Discos

5 Independentes é um sistema de gerenciamento de discos rígidos (HD) inicialmente desenvolvido pela IBM em O objetivo inicial do RAID era melhorar o desempenho e a segurança dos dados armazenados nos discos, para isto, seriam necessários dois ou mais discos trabalhando para um mesmo fim [19, 20]. Com o passar do tempo, foram desenvolvidos variantes do RAID, por isso, hoje temos várias arquiteturas, veja (resumidamente): RAID 0: Faz os discos rígidos serem vistos como apenas um pelo Sistema Operacional; RAID 1: É a redundância dos dados, um disco é espelhado em outro, garante confiabilidade dos dados; Existem ainda os RAIDs 2, 3, 4, 5 e 6, veja: [19, 20]. O RAID pode ser feito de duas formas, via hardware, onde existe um controlador de RAID específico para o serviço na própria placa-mãe, ou via software, onde o Sistema Operacional é responsável por abstrair os discos e enxergá-los como algum tipo de RAID (previamente configurado). 2.8 Debian - GNU/Linux O Debian é um Sistema Operacional livre baseado no projeto GNU/ Linux [21, 22, 23, 24]. Ele utiliza o kernel (núcleo) do SO desenvolvido por Linus Torvalds (Linux) [21, 22] e a maioria das ferramentas e ambiente gráfico do projeto GNU [24]. O Debian é muito querido em servidores Linux porque possui uma versão chamada Stable, que onde tudo que é disponível para esta versão foi exaustivamente testado, dando uma maior margem de segurança e estabilidade para o funcionamento do servidor. Além de possuir um repositório com mais de pacotes, o Debian possui a funcionalidade apt-get, tornando a instalação e remoção de programas extremamente prática e rápida. 3 Desenvolvimento O desenvolvimento deste trabalho ocorre em um ambiente escolar, no IFPR Campus Paranaguá, onde temos como clientes: os funcionários técnicos administrativos e de ensino, o corpo docente e os alunos. Neste ambiente, temos três laboratórios de informática com 20 máquinas cada um, que são utilizados para as aulas, um bloco do setor administrativo com 9 computadores, outro da área de ensino e biblioteca com mais 9 máquinas, e a sala dos professores, com um total de 5 máquinas disponíveis para o corpo docente. Vale comentar que 90% dos professores possuem seus próprios notebooks, logo, acabaram por disponibilizar as máquinas das quais teriam direito para outros fins. A abordagem do desenvolvimento é apresentada a seguir em três etapas: a situação antiga, o objetivo a ser alcançado e a situação atual. 3.1 Situação Antiga Antes de iniciar este projeto, a situação do campus era a seguinte: Havia um controlador de domínio, MS Windows 2003 Server que não era utilizado por todos os computadores; Não havia uma política de uso dos computadores em rede, logo, alguns usuários faziam logon em tal servidor e outros direto na máquina com poderes administrativos; O Logon em algumas máquinas demorava 15 minutos (ou mais em alguns casos) para ser concluído; Existia um problema com o domínio, em que horas se podia entrar na rede mas não se

6 podia navegar para o site do instituto ( em função da má configuração do server; Todos alunos utilizavam o mesmo usuário (aluno) e a mesma senha (abc@123); Enfim, a lógica da rede do campus estava totalmente desorganizada, sem padrão nenhum, e funcionava de forma inconsistente, gerando dúvidas em relação ao profissionalismo do IFPR Paranaguá. É importante ressaltar que, por ser um órgão público, nem sempre as coisas andam como gostaríamos, temos diversos fatores que agem diretamente sobre os objetivos almejados e por isso os processos decorrem de uma forma um pouco mais cautelosas. 3.2 O Objetivo A área da TI do IFPR Paranaguá, após uma determinação do Diretor Geral do Campus, recebeu a solicitação para a criação de um servidor de arquivos em que no momento de login do usuário, ele já recebesse através de uma unidade mapeada, um diretório particular seu, e tivesse acesso a outros diretórios públicos dos quais houvesse a necessidade, foi a partir disto que a área de TI decidiu por em prática algumas das idéias que haviam surgido durante o período em que a rede apresentava muito problemas. Foi solicitado uma autorização ao diretor, para que além de tal serviço, fosse disponibilizado, de forma gradual, mais alguns, como: Servidor Apache; Squid; LDAP; Firewall; Intranet. Então, como sugere a figura 2, essa é a arquitetura da rede idealizada inicialmente: Figura 2: Arquitetura lógica final da rede do IFPR Paranaguá.

7 Observe que, estes são alguns serviços que devem ser disponibilizados, no entanto, essa arquitetura não é imutável, é lógico que irão ocorres mudanças em função de que o mundo de uma forma geral é dinâmico, e nós da TI não podemos nos dar ao luxo de organizar a rede de forma estática. 3.3 Situação Atual Após a iniciação do processo continuo em que o objetivo apresentado anteriormente pudesse ser alcançado, eis que as melhorias puderam ser percebidas. Como demonstra a figura 3, algumas das funcionalidades idealizadas inicialmente já estão em execução e em perfeito funcionamento (sinalizadas com a cor preta). Figura 3: Arquitetura lógica atual da rede do IFPR Paranaguá. Vamos agora falar rapidamente sobre como está se comportando a nova e atual rede lógica do IFPR-Paranaguá Servidor Samba O servidor samba (sparta) possui a seguinte configuração: Processador Xeon 3.2 com dois núcleos; Motherboard Intel; 1GB de Memória RAM; 2 Hard Disk (seagate) com capacidade de 300GB cada sendo uma a partição /home e o outro o espelho (RAID 1); 1 Hard Disk (maxtor) com 80GB de capacidade sendo este usado para suportar o sistema

8 operacional Debian 5.0 (Lenny); Placa de rede onboard; Unidade CD/DVD; Unidade de FITA DAT 72 para Backup; Serviço Samba O principal objetivo deste servidor é ser um servidor de arquivos. Porém, uma vez que o serviço samba (para UNIX *Like) disponibiliza alguns funcionalidades a mais, configuramos o para atuar também como PDC (Primary Domain Controller), ou seja, é ele quem gerencia o domínio no qual os usuários ingressam ao fazer login. Quando o usuário entra na rede, ele recebe uma unidade mapeada onde ele (e somente ele) tem acesso, é o seu diretório pessoal no servidor samba. Para que isto pudesse ser possível, os usuário da rede, são também usuários reais do sistema Linux. É claro que por questões de segurança algumas modificações foram feitas para evitar que usuários mal intencionados tentassem invadir o servidor (nunca duvide da capacidade de um usuário). No momento em que foi decidido por criar usuário reais do sistema, obtivemos alguns benefícios que superam nossas expectativas. Os usuários do sistema Linux são limitados, porém, não tínhamos certeza de que essa limitação fosse tão rígida quando ocorresse a integração Linux x Windows (via samba), uma vez que os usuários operam com o sistema Windows XP. Ao mesmo tempo que disponibilizamos arquivos e controlamos a rede, ainda limitamos o acesso a máquina por parte dos usuários, isso evita que os mesmos instalem programas indevidos e consigam outras façanhas mais. Alem de tudo isso, ainda conseguimos criar compartilhamentos por setor de interesse, onde os usuários de um determinado departamento tem acesso aos arquivos comuns das atividades exercidas por eles, como exemplo temos o compartilhamento ADMINISTRATIVO. O arquivo de configuração (ainda não finalizado) está disponível como ANEXO I Servidor web O servidor web (athenas) possui a seguinte configuração: Processador Intel Core 2 Duo; Motherboard Intel; 1GB de Memória RAM; 2 Hard Disk (seagate) com capacidade de 40GB cada sendo uma a partição /raiz e o outro o espelho (RAID 1) rodando o Debian 5.0 (Lenny); Placa de rede onboard; Unidade de CD/DVD; Serviço web (Apache+MySQL+PHP). A função principal deste servidor é prover acesso a um sistema web desenvolvido pela área de TI, onde é permitido a direção de ensino registrar as ocorrências dos alunos. O sistema é muito simples: usuários habilitados acessam o sistema e registram a ocorrência, data e hora, isso facilita no momento da avaliação final do aluno e também quando os pais vem até a escola saber como está o desempenho do seu filho. Este sistema só está disponível para a rede interna e de uma forma muito simplista, é acessado via IP ( x/sistema). Além de prover acesso a esse sistema (SOE Serviço de Orientação Educacional), o servidor athenas ainda provê acesso acesso a um wiki (dokuwiki [25]) interno de documentação da área de TI.

9 3.3.3 Firewall O Firewall é um computador comum, igual aos utilizados pelos usuários e tem a seguinte configuração: Processador Celeron 2.8 Ghz; Motherboard Gigabyte; 512MB de memória RAM; Hard Disk (western) com 80GB de capacidade; 3 placas de rede sendo 1 onboard; Atualmente o firewall não está fazendo nenhum tipo de bloqueio, sua função é atuar na camada 3 do modelo OSI, ou seja, é ele quem autentica com a empresa fornecedora do link ADSL, também serve como cache DNS por meio do serviço DNSMASQ. Em relação ao bloqueio de conteúdos, por sermos uma empresa pública, inevitavelmente precisamos de políticas explícitas e documentadas para podermos aplicá-las, pois caso contrário, nós da TI poderíamos ter algumas complicações. Em função disso, estamos aguardando a aprovação da política de segurança do IFPR que foi elaborada pela assessoria de TI da reitoria e será assinada pelo reitor em exercício. Como notificação, é valido comentar que atualmente nossa internet provém de um link ADSL empresarial de 2MB e outro de 1MB. A idéia em relação ao firewall, como demonstra a figura 2, é fazer com que ele separe o tráfego por origem, fazendo sair por um link o tráfego dos funcionários e por outro o dos alunos, no entanto, esse é um dos objetivos que deverão ser atingidos na continuidade do trabalho de reestruturação da rede lógica. 4 Conclusão Considerando todo o benefício trazido pela reestruturação lógica da rede do IFPR Paranaguá, convergimos para a idéia de que o estudo percebido durante todo o curso de especialização vem de encontro com as necessidades apresentadas pela demanda de uma situação real (o IFPR no nosso caso). Diante disso, podemos chegar a algumas conclusões que merecem menção neste trabalho. Inicialmente no curso, estudamos alguns fundamentos sobre redes, o que nos ajudou a analisar com muito cuidado sobre qual tecnologia usaríamos para solucionar nosso problema. Também estudamos algumas tecnologias e ferramentas que influenciaram algumas idéias no sentido de obtermos o melhor custo benefício por parte da nossa solução, vale destacar algumas, como por exemplo, a escolha do sistema operacional para os servidores. Optamos pelo Linux e sua distribuição Debian porque é uma das distribuições disponíveis mais robusta e possui um grande trunfo que é o apt-get, onde podemos manter o sistema sempre atualizado e dentro das possibilidades mais seguro. Este é apenas um exemplo do que foi possível ser utilizado no decorrer de todo esse desenvolvimento, pudemos por em prática efetiva vários assuntos abordados no curso, o que nos trouxe grande satisfação em saber que podemos aproveitar muito o conteúdo estudado. Sendo assim, é valido dizer que o curso de especialização trouxe além conhecimento técnico, uma nova visão sobre as abordagens utilizadas quando se precisa iniciar, manter e administrar os servidores e as redes de computadores.

10 5 Bibliografia [1] Internet Society (ISOC): Histories of the Internet Disponível em: < Acesso em: 21 de outubro de [2] - Redes, Guia Prático - Uma rápida explicação do modelo OSI Disponível em: < Acesso em: 11 de outubro de [3] - Ethernet - Disponível em: < Acesso em: 11 de outubro de [4] - Samba Disponível em: < Acesso em: 11 de outubro de [5] - Redes e Servidores, 2ed, Capítulo 11 - Carlos E. Morimoto Disponível em: < Acesso em: 11 de outubro de [6] - DHCP - Carlos E. Morimoto Disponível em: < Acesso em: 11 de outubro de [7] - DNS - Carlos E. Morimoto Disponível em: < Acesso em: 11 de outubro de [8] - DNSMASQ - Carlos E. Morimoto Disponível em: < Acesso em: 11 de outubro de [9] - DNSMASQ Disponível em: < Acesso em: 11 de outubro de [10] - Proxy Disponível em: < Acesso em: 11 de outubro de [11] - squid Disponível em: < Acesso em: 11 de outubro de [12] - squid - About Disponível em: < Acesso em: 11 de outubro de [13] - Licença GNU Disponível em: < Acesso em: 12 de outubro de [14] - Licença de Softwares Livres - Projeto GNU Disponível em: < Acesso em: 12 de outubro de [15] - Gopher Disponível em: < Acesso em: 12 de outubro de [16] - IPv6 Disponível em: < Acesso em: 12 de outubro de 2009.

11 [17] - The Apache HTTP Server Project Disponível em: < Acesso em: 12 de outubro de [18] - Servidor Apache Disponível em: < Acesso em: 12 de outubro de [19] - Tudo o que você precisa saber sobre RAID Clube do Hardware Disponível em: < Acesso em: 12 de outubro de [20] - RAID Disponível em: < Acesso em: 12 de outubro de [21] - The Linux Home Page at Linux Online Disponível em: < Acesso em: 12 de outubro de [22] - Linux Disponível em: < Acesso em: 12 de outubro de [23] - Debian -- O Sistema Operacional Universal Disponível em: < Acesso em: 12 de outubro de [24] - The GNU Operating System Disponível em: < Acesso em: 12 de outubro de [25] - dokuwiki Disponível em: < Acesso em: 04 de Novembro de TORRES, Gabriel. Redes de Computadores Curso Completo. Axcel Books, p. ISBN (broch.)

12 ANEXO I # Samba config file created using SWAT # from UNKNOWN () # Date: 2009/08/26 11:58:02 [global] # unix password sync = yes workgroup = paranagua.ifpr netbios name = sparta server string = Samba PDC passdb backend = tdbsam username level = 1 add machine script = /usr/sbin/useradd -d /dev/null -g maquinas -s /bin/false -m %u logon script = netlogon.bat logon path = \\%N\%U\.profileuser #logon home = \\%N\%U domain logons = Yes os level = 200 preferred master = Yes domain master = Yes wins support = Yes ldap ssl = no preserve case = No [netlogon] comment = Servico de Logon path = /var/samba/netlogon browseable = No [homes] path = /home/%u read only = No create mask = 0700 directory mask = 0700 browseable = No [arquivos] comment = Pasta Publica path = /home/arquivos read only = No public = No browseable = No valid users = djhoss [profiles] path = /var/profiles read only = No create mask = 0600 directory mask = 0700 browseable = No [administrativo] path = /home/administrativo read only = No create mask = 0777 directory mask = 0777 valid users = t , t , t , t public = No browseable = No