Guia Foca GNU/Linux. Versão terça, 27 de novembro de Resumo

Transcrição

1 Guia Foca GNU/Linux Gleydson Mazioli da Silva Versão terça, 27 de novembro de 2007 Resumo Este documento tem por objetivo ser uma referência ao aprendizado do usuário e um guia de consulta, operação e configuração de sistemas Linux (e outros tipos de *ix). A última versão deste guia pode ser encontrada na Página Oficial do Foca GNU/Linux ( guiafoca.org). Novas versões são lançadas com uma freqüência mensal e você pode receber avisos de novos lançamentos deste guia preenchendo um formulário na página Web.

2 Nota de Copyright Copyright Gleydson Mazioli da Silva. Permission is granted to copy, distribute and/or modify this document under the terms of the GNU Free Documentation License, Version 1.1 or any later version published by the Free Software Foundation; A copy of the license is included in the section entitled GNU Free Documentation License.

3 i Sumário 1 Introdução Considerações sobre o nível Avançado Pré-requisitos para a utilização deste guia O Linux Algumas Características do Linux Explicações Básicas Monitorando os logs Destruindo arquivos/partições de forma segura Curingas Hardware Placa de expansão Nomes de dispositivos Configuração de Hardware IRQ - Requisição de Interrupção DMA - Acesso Direto a Memória I/O - Porta de Entrada/Saída Hardwares configuráveis por jumpers, dip-switches, jumperless e Plug-and-Play Jumpers Dip-Switches Jumperless (sem jumper) Plug-and-Play Listando as placas e outros hardwares em um computador

4 SUMÁRIO ii 3.6 Conflitos de hardware Barramento Placas on-board / off-board Hardwares específicos ou For Windows Dispositivos específicos para GNU/Linux Configurações de Dispositivos Configurando uma placa de rede Configurando uma placa de SOM no Linux Configurando um gravador de CD/DVD no Linux Configurando o gerenciamento de energia usando o APM Configurando o gerenciamento de energia usando ACPI Ativando WakeUP on Lan Aterramento Condutores de eletricidade Tomadas Descargas estáticas Melhoria de performance Particionamento Spindles Fazendo ajustes finos de performance do disco Data de acesso a arquivos/diretórios Periféricos SATA Periféricos SCSI Configurando uma SCSI ID e terminação Rede O que é uma rede Protocolo de Rede Endereço IP Classes de Rede IP Referência rápida de máscara de redes

5 SUMÁRIO iii Para instalar uma máquina usando o Linux em uma rede existente Endereços reservados para uso em uma rede Privada Interface de rede A interface loopback Atribuindo um endereço de rede a uma interface (ifconfig) Roteamento Configurando uma rota no Linux Resolvedor de nomes (DNS) O que é um nome? Arquivos de configuração usados na resolução de nomes Executando um servidor de nomes Serviços de Rede Serviços iniciados como Daemons de rede Serviços iniciados através do inetd Segurança da Rede e controle de Acesso /etc/ftpusers /etc/securetty O mecanismo de controle de acessos tcpd Firewall Outros arquivos de configuração relacionados com a rede /etc/services /etc/protocols Camadas de Rede RFCs de referência sobre protocolos de rede Configurações especiais de Rede IP Alias Bridge Requerimentos para a Instalação Configuração da bridge Configurações mais avançadas de bridge

6 SUMÁRIO iv Configuração manual da bridge Usando o iptables para construir um firewall na máquina da bridge Filtrando pacotes não IP na bridge Conectando dois computadores usando a porta paralela Construindo um cabo LapLink Paralelo Conectando dois computadores usando a porta serial Construindo um cabo LapLink Serial Arquivos e daemons de Log Formato do arquivo de log Daemons de log do sistema syslogd klogd logger Programas úteis para monitoração e gerenciamento de arquivos de logs logcheck logrotate Configurando um servidor de logs A distribuição Debian GNU/Linux Como obter a Debian Programas de configuração Arquivos de inicialização Níveis de Execução Entendendo o funcionamento dos níveis de execução do sistema (runlevels) Rede no sistema Debian Bug tracking system Onde encontrar a Debian para Download? Personalização do Sistema Variáveis de Ambientes Modificando o Idioma usado em seu sistema

7 SUMÁRIO v 8.3 alias Arquivo /etc/profile Arquivo.bash_profile Arquivo.bashrc Arquivo.hushlogin Arquivo /etc/environment Diretório /etc/skel Impressão Portas de impressora Imprimindo diretamente para a porta de impressora Imprimindo via spool Impressão em modo gráfico Ghost Script Magic Filter Instalação e configuração do Magic Filter Outros detalhes técnicos sobre o Magic Filter Impressão remota Dando permissão para impresão remota via lpd/lprng Impressão via rlpr Impressão via printcap Firewall iptables Introdução Versão Um resumo da história do iptables Características do firewall iptables Ficha técnica Requerimentos Arquivos de logs criados pelo iptables Instalação Enviando Correções/Contribuindo com o projeto

8 SUMÁRIO vi O que aconteceu com o ipchains e ipfwadm? Tipos de firewalls O que proteger? O que são regras? O que são chains? O que são tabelas? Habilitando o suporte ao iptables no kernel Ligando sua rede interna a Internet Manipulando chains Adicionando regras - A Listando regras - L Apagando uma regra - D Inserindo uma regra - I Substituindo uma regra - R Criando um novo chain - N Renomeando um chain criado pelo usuário - E Listando os nomes de todas as tabelas atuais Limpando as regras de um chain - F Apagando um chain criado pelo usuário - X Zerando contador de bytes dos chains - Z Especificando o policiamento padrão de um chain - P Outras opções do iptables Especificando um endereço de origem/destino Especificando a interface de origem/destino Especificando um protocolo Especificando fragmentos Especificando uma exceção Especificando um alvo Salvando e Restaurando regras A tabela nat (Network Address Translation) - fazendo nat Criando um novo chain na tabela NAT

9 SUMÁRIO vii Fazendo IP masquerading (para os apressados) Fazendo SNAT Fazendo DNAT Monitorando conexões feitas na tabela nat A tabela mangle Especificando o tipo de serviço Outros módulos do iptables Conferindo de acordo com o estado da conexão Limitando o número de vezes que a regra confere Proteção contra ping da morte Proteção contra syn flood Proteção contra IP spoofing Especificando múltiplas portas de origem/destino Especificando o endereço MAC da interface Conferindo com quem criou o pacote Conferindo com o conteúdo do pacote Conferindo com o tempo de vida do pacote Conferindo com números RPC Conferindo com tipo de pacote Conferindo com o tamanho do pacote Caminho percorrido pelos pacotes nas tabelas e chains Ping de para Conexão FTP de para Conexão FTP de para Conexão FTP de para a máquina ftp.debian.org.br Ping de para Conexão FTP de para Conexão FTP de para ftp.debian.org.br Conexão FTP de para Gráfico geral da passagem dos pacotes Exemplos de configurações do iptables

10 SUMÁRIO viii Bloqueando conexões de fora para sua máquina Monitorando tentativa de conexão de trojans em sua máquina Conectando sua rede interna a Internet Um exemplo de firewall simples Gerenciamento de contas e cuidados para a proteção de senhas Introdução Criação, monitoramento e segurança de contas Definindo valores padrões de restrição Senhas fáceis de adivinhar e escolha de boas senhas Atualização de senhas de múltiplas contas A senha do usuário root Tipos de ataques mais comuns para se conseguir uma senha Dedução Engenharia Social Ataques por dicionário Brute Force Monitoramento de toques do teclado Login falso Melhorando a segurança das senhas armazenadas em seu sistema Shadow Passwords Senhas MD Apache Introdução Versão Um resumo da História do Apache Enviando Correções/Contribuindo com o projeto Características do Apache Ficha técnica Requerimentos Arquivos de log criados pelo Apache

11 SUMÁRIO ix Instalação Iniciando o servidor/reiniciando/recarregando a configuração Opções de linha de comando Configurando a porta padrão do Apache Adicionando uma página no Apache Configurando as interfaces que o Apache atenderá Especificando endereços/portas adicionais (a diretiva Listen) Especificando opções/permissões para as páginas Restrições de Acesso Autorização Autenticação Usando autorização e autenticação juntos O arquivo.htaccess Usando a diretiva SetEnvIf com Allow e Deny A diretiva <Limit> Diretiva <LimitExcept> Definindo documentos de erro personalizados Módulos DSO Sistema de Log do Apache AgentLog ErrorLog CustomLog RefererLog RewriteLog RewriteLogLevel ScriptLog ScriptLogBuffer ScriptLogLength LogFormat TransferLog LogLevel

12 SUMÁRIO x Anonymous_Log CookieLog Relatório gráfico de acesso ao sistema Configurando o Apache como servidor proxy Controlando o acesso ao servidor proxy Redirecionamento de conexões no Apache Virtual Hosts Virtual hosts baseados em IP Virtual hosts baseados em nome Segurança no uso de IP s em Virtual Hosts Uso de criptografia SSL Servidor apache com suporte a ssl Instalando o suporte a módulo SSL no Apache Gerando um certificado digital Exemplo de configuração do módulo mod-ssl Autorizando acesso somente a conexões SSL Iniciando o servidor Web com suporte a SSL Exemplo comentado de um arquivo de configuração do Apache httpd.conf srm.conf access.conf Códigos HTTP Servidor ident Introdução Versão Contribuindo Características Ficha técnica Requerimentos de Hardware Arquivos de log criados pelo Ident

13 SUMÁRIO xi Instalação Instalação via Inetd Usando tcpwrappers com oidentd Iniciando o servidor/reiniciando/recarregando a configuração Opções de linha de comando Exemplos Servidor telnet Introdução Versão Características Ficha técnica Requerimentos de Hardware Arquivos de log criados pelo servidor telnet Instalação Iniciando o servidor/reiniciando/recarregando a configuração Opções de linha de comando Controle de acesso Recomendações Fazendo conexões ao servidor telnet Servidor ssh Introdução Versão História Contribuindo Características Ficha técnica Requerimentos de Hardware Arquivos de log criados pelo servidor ssh Instalação do servidor openssh Iniciando o servidor/reiniciando/recarregando a configuração

14 SUMÁRIO xii Opções de linha de comando Usando aplicativos clientes ssh scp sftp Servidor ssh sshd Controle de acesso Usando autenticação RSA/DSA - chave pública/privada Execução de comandos específicos usando chaves Criando um gateway ssh Criando um tunel proxy Diferenças nas versões do protocolo Exemplo de sshd_config com explicações das diretivas Servidor pop Introdução Versão Contribuindo Características Ficha técnica Requerimentos de Hardware Arquivos de log criados pelo qpopper Instalação Iniciando o servidor/reiniciando/recarregando a configuração Teste de acesso no pop Opções de linha de comando Enviando boletins de mensagens Especificando quotas para as caixas de correio Restringindo acesso ao servidor pop

15 SUMÁRIO xiii 17 CVS Introdução ao CVS Versão História Contribuindo com o CVS Características Ficha técnica Requerimentos de Hardware Arquivos de log criados pelo CVS Instalação Iniciando o servidor/reiniciando/recarregando a configuração Opções de linha de comando Servidor de CVS - configurando métodos de acesso ao repositório local fork ext pserver (password server) Configurando um servidor pserver gssapi Criando projetos para serem usados no CVS Repositório Criando um repositório Logando no servidor de CVS via pserver Encerrando uma seção de CVS Baixando arquivos Adicionando um novo projeto Sincronizando a cópia remota com a cópia local Enviando as mudanças para o servidor remoto Adicionando um arquivo ao módulo CVS do servidor Adicionando um diretório ao módulo CVS do servidor Removendo um arquivo do módulo CVS remoto

16 SUMÁRIO xiv Removendo um diretório do módulo CVS remoto Dizendo que o módulo atual não está mais em uso Visualizando diferenças entre versões de um arquivo Visualizando o status de versão de arquivos Outros utilitários para trabalho no repositório Arquivos administrativos em CVSROOT config modules cvswrappers commitinfo verifymsg loginfo cvsignore checkoutlist history Clientes de CVS cvs gcvs - Linux WinCVS - Windows MacCVS - Macintosh (PPC) viewcvs Exemplo de uma seção CVS SAMBA Introdução Versão documentada História Contribuindo Características Ficha técnica Requerimentos de Hardware

17 SUMÁRIO xv Arquivos de log criados Instalação Iniciando o servidor/reiniciando/recarregando a configuração Opções de linha de comando Conceitos gerais para a configuração do SAMBA Nome de máquina (nome NetBios) Grupo de trabalho Domínio Compartilhamento Mapeamento Navegação na Rede e controle de domínio Arquivo de configuração do samba Seção [global] Seção [homes] Seção [printers] Buscando problemas na configuração Níveis de sistema para eleição de rede Variáveis de substituição Compartilhamento de arquivos e diretórios Descrição de parâmetros usados em compartilhamento Configuração em Grupo de Trabalho Resolução de nomes de máquinas no samba Arquivo /etc/samba/lmhosts WINS Servidor de data/hora Configuração do serviço de data/hora no SAMBA Sincronizando a data/hora no Cliente Configuração em Domínio Uma breve introdução a um Domínio de rede Local Master Browser Domain Master Browser

18 SUMÁRIO xvi Configurando um servidor PDC no SAMBA Contas de máquinas de domínio Criando uma conta de administrador de domínio Criando Scripts de logon Configurando perfis de usuários Modificações de permissões de acesso pelos clientes do domínio Ativando o suporte a senhas criptografadas Migrando de senhas texto plano para criptografadas Adicionando usuários no smbpasswd Removendo usuários do smbpasswd Desabilitando uma conta no smbpasswd Habilitando uma conta no smbpasswd Alterando a senha de um usuário Definindo acesso sem senha para o usuário Ativando o suporte a senhas em texto plano Configurando o acesso de clientes para uso de senhas em texto plano Mapeamento de usuários/grupos em clientes Mapeamento de usuários/grupos domínio em Windows Mapeamento de usuários/grupos domínio em Linux Compartilhamento de impressão no servidor SAMBA Configurando o Linux como um servidor de impressão Windows Controle de acesso ao servidor SAMBA Nível de acesso de usuários conectados ao SAMBA Restringindo o acesso por IP/rede Restringindo o acesso por interface de rede Restringindo o acesso por usuários Evite o uso do parâmetro hosts equiv! Evite o uso de senhas em branco! Criando um compartilhamento para acesso sem senha Criando um compartilhamento com acesso somente leitura Criando um compartilhamento com acesso leitura/gravação

19 SUMÁRIO xvii Excessão de acesso na permissão padrão de compartilhamento Restringindo o IPC$ e ADMIN$ Criando um compartilhamento invisível Executando comandos antes e após o acesso ao compartilhamento Considerações de segurança com o uso do parâmetro public = yes Senhas criptografadas ou em texto puro? Mapeamento de nomes de usuários Melhorando a performance do compartilhamento/servidor Configuração de Clientes NetBEUI Considerações sobre o Windows for Workgroups e LanManager Configurando clientes em Grupo de Trabalho Configurando clientes em Domínio Erros conhecidos durante o logon do cliente Programas de navegação gráficos Cliente de configuração gráficos Exemplos de configuração do servidor SAMBA Grupo de Trabalho com acesso público Grupo de Trabalho com acesso por usuário Domínio Restrições de acesso, recursos e serviços Limitando recursos no bash Uso do comando readonly para exportar variáveis Restrições nos diretórios de usuários e root Restrições básicas do shell bash com bash -r/ restricted, rbash Finalizando consoles inativos Desabilitando o registro de comandos digitados Desabilitando serviços de shell para usuários Limitação de recursos usando PAM Descobrindo se um determinado programa tem suporte a PAM Definindo um policiamento padrão restritivo

20 SUMÁRIO xviii Restringindo/Bloqueando o login Restringindo o acesso a root no su Restrições de serviços PAM baseados em dia/hora Permitindo acesso a grupos extras Limitação de recursos do shell Restrições de acesso a programas/diretórios/arquivos usando grupos Dando poderes de root para executar determinados programas Restringindo o comando su Restrições baseadas em usuário/ip Restrições por MAC Address/IP Desabilitando serviços não usados no Inetd Evitando o uso de hosts.equiv e.rhosts Restringindo o uso do shutdown Restringindo o acesso ao sistema de arquivos /proc Limitando o uso de espaço em disco (quotas) Instalando o sistema de quotas Editando quotas de usuários/grupos Modificando a quota de todos os usuários de uma vez Verificando a quota disponível ao usuário Verificando a quota de todos os usuários/grupos do sistema Avisando usuários sobre o estouro de quota Suporte a senhas ocultas Suporte a senhas md Restrições no hardware do sistema BIOS do sistema Retirada da unidade de disquetes Placas de rede com eprom de boot Protegendo o LILO Disco rígido

Exibir mais