FUNDAÇÃO DE ESTUDOS SOCIAIS DO PARANÁ INSTITUTO DE CIÊNCIAS SOCIAIS DO PARANÁ CURSO DE BACHARELADO EM SISTEMAS DE INFORMAÇÃO TRABALHO DE REDES

Transcrição

1 FUNDAÇÃO DE ESTUDOS SOCIAIS DO PARANÁ INSTITUTO DE CIÊNCIAS SOCIAIS DO PARANÁ CURSO DE BACHARELADO EM SISTEMAS DE INFORMAÇÃO TRABALHO DE REDES CURITIBA 2006

2 RODRIGO DZIKOVICZ VICTOR ROMANO WAGNER FILHO MARCIO EIDT NIS Trabalho de graduação apresentado à disciplina de Redes, como requisito parcial para obtenção de nota do primeiro semestre do Curso de Bacharelado em Sistemas de Informação da Fundação de Estudos Sociais do Paraná. Professor Mestre: Airton kuada CURITIBA

3 Dedicamos este trabalho aos nossos amigos e professores. 3

4 Queríamos agradecer aos nossos familiares e amigos que nos ajudaram na conclusão deste trabalho. 4

5 SUMÁRIO INTRODUÇÃO NIS COMO O NIS FUNCIONA COMO O NIS+ FUNCIONA O QUE É NECESSÁRIO PARA CONFIGURAR O NIS SOFTWARE CONFIGURANDO O NIS CLIENTE O DAEMON YPBIND CONFIGURANDO UM CLIENTE NIS USANDO NIS TRADICIONAL CONFIGURANDO UM CLIENTE NIS USANDO NYS CONFIGURANDO O SERVIDOR NIS PRÉ-REQUISITOS O PROGRAMA SERVIDOR YPSERV PROBLEMAS COMUNS E SOLUÇÕES

6 INTRODUÇÃO A cada dia, é mais raro ver uma máquina Linux não conectada em uma rede. Para simplificar a administração, muitas redes (principalmente redes da Sun) rodam o NIS, acrônimo para Network Information Service, Serviço de Informação de Rede. As máquinas Linux podem tirar proveito total de serviços NIS existentes, ou fornecer o serviço NIS elas mesmas. As máquinas Linux podem também agir como clientes NIS+ completos, entretanto o suporte a NIS+ foi abandonado tempos atrás. 6

7 1. NIS (Network Information Service) Um dos principais objetivos em uma rede local é fornecer para os usuários um ambiente que torne a rede transparente. Um importante passo é manter dados importantes, como informações de todas as contas de usuários na rede sincronizadas em todas as máquinas, pois isto permite ao usuário mover-se de uma máquina para outra sem o inconveniente de ter que se lembrar de diferentes senhas, ou copiar dados de uma máquina para outra. Esse é o principal objetivo do serviço NIS (Network Information Service ou Serviço de Informação de Rede). A informação administrativa que é armazenada no servidor não precisa ser duplicada, e assim é possível medir a consistência dos dados, aumentar a flexibilidade para os usuários e também tornar a vida do administrador do sistema muito mais fácil através da manutenção de uma única cópia da informação requerida. Sendo este o seu principal propósito, o servidor deve conter uma quantidade considerável de informações disponíveis na rede local, sendo que estas poderão ser: nomes de usuário e senhas; informações de usuários como nome completo, endereço, shell utilizado e diretório home, entre outras (informações do arquivo /etc/passwd); informações de um grupo (arquivo /etc/group). Se, por exemplo, uma entrada contendo uma senha é gravada em uma base de dados NIS, o usuário será capaz de acessar qualquer máquina da rede que contenha os programas-cliente do NIS que estão sendo executados, como se fosse sua própria máquina. NIS é baseado em RPC (Remote Procedure Call ou Chamada de Procedimento Remoto), e é composto basicamente do servidor, que armazena as informações do cliente, que acessa o servidor, e de várias ferramentas administrativas. Originalmente, NIS era chamado de YP (Yellow Pages ou Páginas Amarelas), que ainda é utilizado para referenciá-lo. Infelizmente, páginas amarelas é uma marca registrada da British Telecom, e portanto a Sun, desenvolvedora do NIS, descartou este nome. Entretanto, estes nomes são utilizados nos comandos e pacotes utilizados para a configuração do servidor, tais como ypserv e ypbind. O NIS mantém as informações da base de dados em arquivos chamados mapas, que contêm pares formados por chavevalor. Um exemplo deste par é o nome de usuário mais a senha de acesso criptografada. Os mapas são armazenados em uma máquina que está executando o NIS, da qual os 7

8 clientes podem recuperar as informações através de chamadas RPC. Os mapas são gerados usualmente a partir dos arquivos mestre, tais como /etc/hosts ou /etc/passwd. Para alguns arquivos são criados vários tipos de mapas, cada um para um tipo de chave de procura. Por exemplo, um cliente pode buscar o nome de uma certa máquina tanto pelo nome da máquina como pelo seu endereço IP. Em conseqüência, dois mapas são derivados: hosts.byname e hosts.byaddr. Existem dois tipos de servidores: servidores mestre e escravo. Um servidor mestre é uma máquina exclusiva, com um domínio particular, que mantém os mapas autenticados. O mestre executa o servidor ypupdated, que alerta os servidores escravos, pedindo para que eles atualizem suas cópias dos mapas (todas as outras máquinas no domínio devem obter suas informações do servidor mestre, direta ou indiretamente). Os servidores escravos agem como intermediários entre os clientes e o mestre, mantendo réplicas exatas dos mapas contidos no servidor principal. Todas as mudanças de mapas são feitas no mestre, e portanto, as mudanças se propagam do mestre para os servidores escravos. As máquinas cliente, por sua vez, executam o servidor ypbind, que as torna capazes de executar processos para obterem as informações de um servidor. As máquinas cliente não mantêm os mapas, porém, preferivelmente, consultam os servidores para informações sobre o sistema e conta de usuários. 2. COMO O NIS FUNCIONA Dentro de uma rede deve existir pelo menos uma máquina atuando como servidor NIS. É possível ter múltiplos servidores NIS, onde um é o NIS mestre e todos os outros são chamados servidores NIS escravos (para determinado domínio NIS, é claro) ou uma mistura deles. Servidores escravos apenas contém cópias dos bancos de dados NIS e recebem cópias do servidor NIS mestre conforme mudanças acontecem nos bancos de dados do NIS mestre. Dependendo do número de máquinas de sua rede e da confiabilidade da rede, você pode decidir instalar um ou mais servidores escravos. Caso um servidor NIS pare de funcionar ou está lento demais ao responder a requisições, um cliente NIS conectado aquele servidor tentará encontrar outro que esteja funcionando, ou um mais rápido. Os bancos de dados NIS estão no formato chamado DBM, derivado de bancos de dados ASCII. Por exemplo, os arquivos etc/passwd e /etc/group podem ser diretamente convertidos para o formato DBM usando software de tradução ASCII-para- 8

9 DBM (makedbm, incluído com o software servidor). O servidor NIS mestre deve possuir ambos, os bancos de dados ASCII e os DBM. Servidores escravos serão notificados de quaisquer mudanças nos mapas NIS, (via o programa yppush), e automaticamente recuperar as mudanças necessárias para sincronizar seus bancos de dados. Clientes NIS não precisam fazê-lo, uma vezes que eles sempre requisitam a informação dos servidores NIS armazenadas em seus bancos de dados DBM. Versões antigas do ypbind lançam um broadcast para encontrar um servidor NIS rodando. Isto é inseguro, devido ao fato de que qualquer um pode instalar um servidor NIS e responder às requisições broadcast. Versões mais novas do ypbind (ypbind-3.3 ou ypbind-mt) possuem a capacidade de obter o servidor a partir de um arquivo de configuração sem a necessidade do broadcast. 2.1 COMO O NIS+ FUNCIONA O NIS+ é uma nova versão do NIS da Sun. A maior diferença entre NIS e NIS+ é que NIS+ possui suporte para criptografia de dados e autenticação sobre RPC seguro. O sistema de nomes do NIS+ é baseado numa estrutura em árvore. Cada nó na árvore corresponde a um objeto NIS+, o qual pode ser de um dos seis tipos: directory, entry, group, link, table e private. O diretório NIS+ que forma a raiz do espaço de nomes NIS+ é chamada de diretório raiz. Existem dois diretórios NIS+ especiais: org_dir e groups_dir. O diretório org_dir consiste de todas as tabelas de administração, tais como passwd, hosts, e mail_aliases. O diretório groups_dir consiste em objetos de grupos NIS+ usados para controle de acesso. A coleção de org_dir, groups_dir e seu diretório pai é denominada um domínio NIS+. 3. O QUE É NECESSÁRIO PARA CONFIGURAR O NIS 1. A máquina irá fazer parte de uma rede com servidores NIS já funcionando 2. Não há nenhum servidor NIS na rede ainda No primeiro caso, apenas os programas clientes são necessários (ypbind, ypwhich, ypcat, yppoll, ypmatch). O mais importante deles é o ypbind. Este programa deve estar rodando o tempo todo, o que significa que deve aparecer sempre na lista de processos. Ele é um daemon e deve ser executado no procedimento de inicialização do sistema (por 9

10 exemplo, /etc/init.d/nis, /sbin/init.d/ypclient, /etc/rc.d/init.d/ypbind, /etc/rc.local). Tão logo ypbind esteja rodando, o sistema tornar-se-á um cliente NIS. 3.1 O SOFTWARE A biblioteca de sistema "/usr/lib/libc.a" (versão ou superior) ou a biblioteca compartilhada "/lib/libc.so.x" contém todas as chamadas de sistema necessárias para compilar com sucesso o software NIS, tanto o cliente quanto o servidor. Para a biblioteca GNU C 2 (glibc 2.x), também é necessária a biblioteca /lib/libnsl.so.1. Algumas pessoas relataram que NIS pode apenas funcionar com "/usr/lib/libc.a" versão ou superiores, portanto se for necessário utilizá-la, não use versões antigas. O software cliente NIS pode ser obtido a partir de: Site Diretório Nome do arquivo ftp.kernel.org /pub/linux/utils/net/nis yp-tools-2.8.tar.gz ftp.kernel.org /pub/linux/utils/net/nis ypbind-mt-1.13.tar.gz ftp.kernel.org /pub/linux/utils/net/nis ypbind-3.3.tar.gz ftp.kernel.org /pub/linux/utils/net/nis ypbind-3.3-glibc5.diff.gz Uma vez obtido o software, siga as instruções que o acompanham. Yp-client 2.2 são para uso com libc4 e libc5 até libc e glibc 2.x precisam do yp-tools ou superior O novo yp-tools 2.4 deve funcionar como qualquer libc. Como havia um bug no código NIS, não deve ser usada a libc Use libc ou superior no lugar, ou a maioria dos programas YP não funcionarão, ypbind 3.3 vai funcionar com todas as bibliotecas também. Se você usa gcc 2.8.x ou superior, egcs ou glibc 2.x, você deve adicionar o patch ypbind-3.3-glibc5.diff ao ypbind 3.3. Se possível, evite o uso do ypbind 3.3 por questões de segurança, ypbind-mt é uma versão nova e com multithread deste deamon. Necessita de um kernel linux 2.2 e glibc 2.1 or later. 4. CONFIGURANDO O CLIENTE NIS 4.1 O DAEMON YPBIND Após haver compilado ou instalado o pacote, é hora de configurá-lo. Um lugar usual para o daemon ypbind é o diretório /usr/sbin. Algumas pessoas dizem que o ypbind não é necessário em sistemas com NYS; Isto é incorreto, pois ypwhich e ypcat 10

11 sempre o necessitam. É necessário fazer isso como superusuário (root), é claro. Os outros executáveis (ypwhich, ypcat, yppasswd, yppoll, ypmatch) devem ficar em um diretório acessível a todos os usuários, normalmente /usr/bin. Versões mais novas do ypbind possuem um arquivo de configuração chamado /etc/yp.conf. É possível configurar um servidor NIS nele. Para maiores informações leia o manual do ypbind(8). Para o NYS também é necessário um arquivo. Por exemplo: ypserver ypserver ypserver Se o sistema consegue resolver nomes de máquinas sem NIS, é possível utilizar o nome, caso contrário é necessário usar o endereço IP. ypbind 3.3 possui um bug e irá usar apenas a última entrada (ypserver no exemplo). Todas as outras entradas serão ignoradas, enquanto o ypbind-mt lida corretamente com estas entradas, e usará o que responder primeiro. Pode ser uma boa idéia testar ypbind antes de incorporá-lo aos arquivos de incialização do sistema. Para testar o ypbind é necessário fazer o seguinte: Tenha certeza que o YP-domain está corretamente configurado, caso contrário execute o comando: /bin/domainname nis.domain Onde nis.domain deve ser uma string normalmente _NÃO_ associada ao nome de domínio DNS de sua máquina. A razão para tal é que torna mais complicado à crackers externos recuperar a base de dados de senhas de seus servidores NIS. Caso não saiba qual o domínio NIS de sua rede, consulte o administrador da rede. Caso ainda não o tenha feito, inicie o "/sbin/portmap". Da mesma forma, crie o diretório /var/yp caso ele ainda não exista. Inicie /usr/sbin/ypbind Use o comando rpcinfo -p localhost para verificar se ypbind conseguiu registrar seu serviço no portmapper. A saída deve ser algo como: program vers proto port tcp 111 portmapper 11

12 udp 111 portmapper udp 637 ypbind tcp 639 ypbind ou program vers proto port tcp 111 portmapper udp 111 portmapper udp 758 ypbind udp 758 ypbind tcp 761 ypbind tcp 761 ypbind Conforme a versão ypbind usada. Também é possível executar rpcinfo -u localhost ypbind. Este comando deve produzir algo como o seguinte: program version 2 ready and waiting ou program version 1 ready and waiting program version 2 ready and waiting Novamente, a saída depende da versão do ypbind usada. Importante mesmo é apenas a mensagem "version 2". Neste ponto será possível usar programas clientes como ypcat, etc. Por exemplo, ypcat passwd.byname fornecerá a base de dados NIS completa. IMPORTANTE: Caso o procedimento de teste tenha sido ignorado, tenha certeza que o nome do domínio NIS esteja configurado, e que o diretório esteja criado. /var/yp Este diretório DEVE existir para o ypbind iniciar com sucesso. Para verificar o nome de domínio, o comando /bin/ypdomainname do yp-tools 2.2. Ele utiliza a função yp_get_default_domain() que é mais restritiva, e não permite, 12

13 por exemplo, o nome de domínio "(none)", que é o padrão no Linux e causa uma série de problemas. Caso o teste tenha funcionado agora é hora de verificar os arquivos de inicialização do sistema, de forma que ypbind seja iniciado no momento da inicialização e seu sistema aja como um cliente NIS. Tenha certeza que domainname esteja configurado antes de iniciar o ypbind. E é isso. Reinicie a máquina e observe as mensagens de inicialização para verificar se ypbind realmente está rodando. 4.2 CONFIGURANDO UM CLIENTE NIS USANDO O NIS TRADICIONAL Para consultas de hosts você deve configurar (ou adicionar) nis à ordem de busca no arquivo /etc/host.conf. Favor ler o manual "resolv+.8" para maiores detalhes. Adicione a seguinte linha ao /etc/passwd nos seus clientes NIS: +:::::: É possível usar os caracteres + e para incluir/excluir ou alterar usuários. Caso você deseje excluir o usuário guest apenas adicione -guest ao seu arquivo /etc/passwd. Caso deseje usar um shell diferente (por exemplo, ksh) para o usuário linux (exemplo apenas), tudo bem. Apenas adicione "+linux::::::/bin/ksh" sem as aspas, no /etc/passwd. Campos no qual não se deseja alteração devem ser mantidos vazios. É também possível usar Netgroups para controle de usuários. Por exemplo, para permitir o acesso a login apenas para os usuários miquels, dth e ed, e todos os membros do grupo sysadmin, mas ter os dados das contas de todos os outros usuários disponível, use: +miquels::::::: +ed::::::: +dth::::::: +@sysadmins::::::: -ftp +:*::::::/etc/noshell Preste atenção que no Linux também é possível alterar o campo senha, como feito neste exemplo. Também foi removido o login "ftp", de forma que não será mais reconhecido, e acesso anônimo ao ftp não funcionará mais. 13

14 O grupo será algo como: sysadmins (-,software,) (-,kukuk,) IMPORTANTE: O recurso netgroup está implementado a partir da libc Caso possua uma versão anterior a esta, qualquer usuário na base de dados NIS poderá acessar sua máquina ao você rodar ypbind! 4.3 CONFIGURANDO UM CLIENTE NIS USANDO NYS Tudo que é necessário é que o arquivo de configuração NIS (/etc/yp.conf) aponte o servidor correto. Também o arquivo de configuração Name Services Switch (/etc/nsswitch.conf) deve estar corretamente configurado. É necessário instalar o ypbind. Não é necessário para a libc, mas as ferramentas NIS(YP) precisam do mesmo. Caso deseje utilizar o recurso de incluir/excluir usuários (+/-guest/+@admins), deverá habilitar as opções "passwd: compat" e"group: compat" no arquivo nsswitch.conf. Note que não há "shadow: compat"! Deverá ser usado, ao invés disso, "shadow: files nis" neste caso. O código-fonte do NYS é parte do fonte do libc 5 quando rodar o script configure, responda na primeira vez NÃO para a questão "Values correct" então responda SIM para a pergunta "Build a NYS libc from nys". 5. CONFIGURANDO O SERVIDOR NIS 5.1 PRÉ-REQUISITOS Para a instalação de um servidor NIS são necessários os seguintes pré-requisitos: sua rede deve estar corretamente configurada e funcional; o serviço portmap deve estar sendo executados no servidor. 5.2 O PROGRAMA SERVIDOR YPSERV Compile o software para gerar os executáveis ypserv e makedbm. ypserv-2.x suporta apenas o arquivo securenets por restrições de acesso. Caso você execute seu servidor como mestre, determine quais arquivos voce requer disponíveis via NIS e adicione ou remova as entradas apropriadas para a regra all em /var/yp/makefile. Você deve sempre observar o arquivo Makefile e editar as opções no início do arquivo. Houve uma grande mudança entre ypserv 1.1 e ypserv 1.2. Desde a versão 1.2, os 14

15 arquivos são armazenados num cache. Isto significa que você deve chamar makedbm sempre com a opção -c caso você crie novos mapas. Certifique-se de usar o novo /var/yp/makefile do ypserv 1.2 ou superior, ou adicionar a flag -c (sem aspas) para o makedbm no Makefile. Caso você não o faça, ypserv continuará a usar os mapas antigos, e não os recém-atualizados. Agora edite o /var/yp/securenets e /etc/ypserv.conf. Para maiores informações, leia as páginas de manual (man) do ypserv(8) e ypserv.conf(5). Tenha certeza que o portmapper (portmap(8)) está rodando, e então inicie o servidor ypserv. O comando % rpcinfo -u localhost ypserv deve retornar algo do tipo program version 1 ready and waiting program version 2 ready and waiting A linha "version 1" pode não aparecer, dependendo da versão do ypserv e da configuração que esteja usando. Ela é necessária apenas se houver clientes com versões antigas do SunOS, anteriores à 4.x. Agora deve ser gerada a base de dados NIS (YP). No servidor mestre, execute % /usr/lib/yp/ypinit -m Em servidores escravos certifique-se que ypwhich -m funciona. Isto significa que seu servidor escravo deve ser configurado como um cliente NIS antes de poder executar % /usr/lib/yp/ypinit -s masterhost Caso tenha maiores problemas, é possível chamar ypserv e ypbind no modo debug em terminais X diferentes, de forma que a saída debug lhe mostre o que há de errado. Caso precise modificar um mapa, execute make no diretório /var/yp no servidor NIS mestre. Isto irá atualizar um map caso o arquivo fonte seja mais novo, e enviar os arquivos para os servidores escravos. Não use ypinit para atualizar um mapa. Pode ser 15

16 interessante editar o crontab do root *no servidor escravo* e adicionar as seguintes linhas: 20 * * * * /usr/lib/yp/ypxfr_1perhour 40 6 * * * /usr/lib/yp/ypxfr_1perday 55 6,18 * * * /usr/lib/yp/ypxfr_2perday Isto irá assegurar que a maior parte dos mapas NIS sejam mantidas atualizadas, mesmo que uma atualização se perca devido ao fato do servidor escravo estar indisponível no momento que a atualização foi feita no servidor mestre. É possível adicionar um servidor escravo a qualquer tempo. Primeiro, certifique-se que o novo servidor escravo tem permissão para contatar o servidor NIS mestre, então execute % /usr/lib/yp/ypinit -s masterhost No novo escravo. No servidor mestre, adicione o novo escravo em /var/yp/ypservers e execute o comando make em /var/yp para atualizar o mapa. Caso você deseje restringir acesso para usuários no seu servidor NIS, será necessário configurar servidor NIS também como um cliente executando ypbind e adicionando as entradas com o símbolo + _na metade_ do arquivo /etc/passwd. As funções da biblioteca ignorarão todas as entradas normais após a primeira entrada NIS, e irão tomar o resto delas pelo NIS. Desta forma, as regras de acesso NIS serão mantidas. Por exemplo: root:x:0:0:root:/root:/bin/bash daemon:*:1:1:daemon:/usr/sbin: bin:*:2:2:bin:/bin: sys:*:3:3:sys:/dev: sync:*:4:100:sync:/bin:/bin/sync games:*:5:100:games:/usr/games: man:*:6:100:man:/var/catman: lp:*:7:7:lp:/var/spool/lpd: mail:*:8:8:mail:/var/spool/mail: news:*:9:9:news:/var/spool/news: uucp:*:10:50:uucp:/var/spool/uucp: nobody:*:65534:65534:noone at all,,,,:/dev/null: +miquels:::::: +:*:::::/etc/noshell 16

17 [ Todos os usuários comuns APÓS esta linha! ] tester:*:299:10:just a test account:/tmp: miquels: :101:10:miquel van Smoorenburg:/home/miquels:/bin/zsh De forma que o usuário "tester" existirá, mas terá um shell de /etc/noshell. miquels terá acesso normal. Ao invés disso, também é possível editar o /var/yp/makefile e instruir o NIS a utilizar outro arquivo fonte de senha. Em grandes sistemas os arquivos de senha e grupos NIS são normalmente armazenados em /etc/yp/. Caso você faça isso, as ferramentas comuns de administração de senhas como passwd, chfn, adduser não funcionarão mais e serão necessárias ferramentas especiais desenvolvidas por você mesmo para realizar tais funções. O software para servidor NIS pode ser encontrado em: Site Diretório Nome do arquivo ftp.kernel.org /pub/linux/utils/net/nis ypserv-2.9.tar.gz ftp.kernel.org /pub/linux/utils/net/nis ypserv-2.9.tar.bz2 6. PROBLEMAS COMUNS E SOLUÇÕES Existem alguns problemas comuns reportados por vários usuários: 1. As bibliotecas da versão estão defeituosas. NIS não funcionará com elas. 2. Caso realize-se o upgrade das bibliotecas, de para , então o comando su para de funcionar. É necessário pegar o comando su da distribuição slackware distribution. Incidentalmente é o mesmo lugar onde se pode pegar as bibliotecas mais novas que a defeituosa. (Nossa, isso é antigo!) 3. Quando um servidor NIS cai e volta a funcionar novamente, ypbind pode reclamar com mensagens do gênero: yp_match: clnt_call: RPC: Unable to receive; errno = Connection refused 17

18 4. e logins são recusados para aqueles que estão registrados na base de dados NIS. Deve-se tentar logar-se como root, matar o ypbind e iniciá-lo novamente. Atualizar para ypbind 3.3 ou superior também deve ajudar. 5. Após atualizar a libc para uma versão maior que , as ferramentas YP não funcionarão mais. É necessário yp-tools 1.2 ou posterior para libc >= e glibc 2.x. Para versões anteriores de libc é necessário yp-clients 2.2. yp-tools 2.x deve funcionar com todas as versões de biblioteca. 6. Nas libc até yp_maplist está quebrado, é necessária a libc ou posterior, ou alguns programas YP como ypwhich irão dar segfault. 7. libc 5 com NIS tradicional não suporta senhas shadow sobre NIS. É necessária a libc5 + NYS ou glibc 2.x. 8. ypcat shadow não mostra o mapa shadow. Isto está correto o nome do mapa shadow é shadow.byname, e não shadow. 18

19 This document was created with Win2PDF available at The unregistered version of Win2PDF is for evaluation or non-commercial use only. This page will not be added after purchasing Win2PDF.