ISEL. Serviços Integrados. irs04.lrcd.local. Integração de Redes e Serviços. Instituto Superior de Engenharia de Lisboa.

Transcrição

1 ISEL Instituto Superior de Engenharia de Lisboa Serviços Integrados irs04.lrcd.local Integração de Redes e Serviços Realizado por: Daniel Costa Nº Nuno Pereira Nº Ricardo Rodrigues Nº 22574

2 Índice 1 Introdução Objectivos Conceitos Teóricos DNS Domain Name Server IMAP Internet Message Access Protocol SMTP Simple Mail Transfer Protocol FTP File Transfer Protocol Configuração dos Serviços Inicialização dos Serviços Disponibilizados DNS Forwarder Cliente Samba Dovecot Postfix Pure-FTPd Testes aos Serviços Implementados Anexo

3 Índice de Figuras Figura 1 Diagrama de Rede Relativo a IRS Figura 2 Comando nslookup...14 Figura 3 Configuração Outlook...15 Figura 4 Request & Response IMAP Figura 5 Request & Response SMTP...16 Figura 6 Configuração FTP de WinSCP Figura 7 Ligação FTP estabelecida Figura 8 Ligação FTP por Telnet Índice de Tabelas Tabela 1 Correspondências DNS

4 Acrónimos DNS IMAP SMTP FTP BIND POP3 DHCP SMB Domain Name Server Instant Message Access Protocol Simple Mail Transfer Protocol File Transfer Protocol Berkeley Internet Name Domain Post Office Protocol Dynamic Host Configuration Protocol Server Message Block - 3 -

5 1 Introdução Num cenário actual onde cada vez mais as empresas apostam num conjunto de serviços internos como por exemplo, WebServer, WebMail, Sistema de Partilha de Ficheiros, Administração de Base de Dados, Autenticação Radius, etc. Este trabalho tem como objectivo a integração de um conjunto de serviços que vão ser configurados sobre a distribuição Gentoo. Neste documento estão descritos apenas os serviços de Domain Name Server (DNS), Internet Message Access Protocol (IMAP), Simple Mail Transfer Protocol (SMTP) e File Transfer Protocol (FTP). 2 Objectivos Considerando o cenário descrito na Figura 1, pretende-se integrar vários serviços, bem como aceder a serviços disponibilizados em outros servidores (Tabela 1). Figura 1 Diagrama de Rede Relativo a IRS04. Em análise os serviços a disponibilizar pelo servidor irs04.lrcd.local ( ) são: DNS Forwarder: Reencaminhamento de todos os pedidos internos de resolução de nomes para o servidor que disponibiliza o serviço de DNS primário ns.lrcd.local ( ). Servidor de IMAP imap.lrcd.local ( ) e SMTP smtp.lrcd.local ( ): caixa de correio com quotas e utilizadores virtuais, autenticados via MySQL. Servidor FTP ftp.lrcd.local ( ): conta com quotas e utilizadores virtuais autenticados via MySQL

6 Além de disponibilizar os serviços descritos, deve ser possível aceder aos seguintes serviços: Cliente SAMBA: Armazenamento remoto, utilizado para correio electrónico e transferência de ficheiros. As correspondências DNS de todos os serviços disponibilizados pelos quatro servidores implementados estão descritos na seguinte tabela: zone host data NULL srv.lrcd.local. lrcd.local irs lrcd.local ns lrcd.local bd lrcd.local radius lrcd.local ldap lrcd.local irs lrcd.local relay-in lrcd.local dhcp lrcd.local webmail lrcd.local irs lrcd.local dnsfw lrcd.local relay-out lrcd.local web lrcd.local nas lrcd.local irs lrcd.local dnsfw lrcd.local imap lrcd.local smtp lrcd.local ftp relay-out lrcd.local moodle irs03 Tabela 1 Correspondências DNS

7 3 Conceitos Teóricos 3.1 DNS Domain Name Server O protocolo de DNS é um sistema de gestão de nomes hierárquico e distribuído que funciona segundo duas definições: Examinar e actualizar a sua base de dados. Resolver nomes de servidores em endereços de rede. Neste caso particular o serviço de DNS foi implementado em Berkeley Internet Name Domain (BIND). 3.2 IMAP Internet Message Access Protocol O protocolo de IMAP é um protocolo de gestão de correio electrónico superior em recursos ao POP3. O mais interessante é que as mensagens ficam armazenadas no servidor e o utilizador pode ter acesso às suas pastas e mensagens em qualquer computador, tanto por webmail como por cliente de correio electrónico (como o Outlook). Outra vantagem deste protocolo é a partilha de caixas entre membros de um grupo de trabalho, sendo também possível efectuar pesquisas por mensagens directamente no servidor. Como desvantagem tem o facto de o número de mensagens possíveis de armazenar dependerem da quota atribuída para a caixa de correio. Para a implementação deste protocolo foi utilizado o servidor Dovecot. A escolha deste servidor de IMAP recaiu pelas seguintes razões: é rápido, fácil de implementar, não tem requisitos especiais de administração e usa pouca memória; entre os servidores IMAP é o que apresenta maior performance e continua a dar suporte aos formatos mbox 1 e Maildir 2 (método escolhido porque é muito mais eficiente que o método mbox); a autenticação do Dovecot é extremamente flexível e suporta diversas formas e mecanismos de autenticação, dos quais se destaca autenticação através de uma base de dados MySQL; é facilmente extensível, através de plugins; pode-se adicionar novos comandos; dar suporte a novos formatos de mailbox, etc. 1 mbox é o método mais utilizado na entrega de mensagens, e consiste num ficheiro onde são armazenadas todas as mensagens, lidas ou não lidas. O estado da mensagem pode ser identificado através de flags colocadas no campo Status no cabeçalho da mensagem. 2 Maildir este método de entrega consiste na utilização de 3 subdirectorias (new, cur e tmp) onde cada mensagem corresponde a um ficheiro. Este método é mais eficiente do que o mbox

8 3.3 SMTP Simple Mail Transfer Protocol O protocolo de SMTP é o protocolo padrão para envio de através da Internet. É um protocolo relativamente simples, baseado em texto simples, onde um ou vários destinatários de uma mensagem são especificados e usualmente validados, sendo depois a mensagem transferida. Para a implementação deste protocolo foi utilizado o servidor Postfix pelas seguintes razões: é rápido, seguro, de fácil administração, elevada eficiência e apresenta uma configuração bastante flexível; a autenticação do Postfix é muito flexível podendo ser feita de várias formas de entre as quais, através de base de dados MySQL; suporta os formatos maildir e mailbox, bem com dá suporte a domínios virtuais; apresenta diversos comandos que tornam o controlo e a monitorização do serviço mais fácil, comandos tais como: postfix, postconf e postmap. em relação aos servidores existentes Exim, qmail, Sendmail e Postfix - é o que se encontra melhor documentado, com exemplos claros e o suporte mantém-se activo, ao contrário do qmail. 3.4 FTP File Transfer Protocol Através do protocolo de FTP é possível realizar transferências de ficheiros entre máquinas diferentes, bem como aceder a ficheiros guardados remotamente ou em ambientes virtuais. Para a implementação deste protocolo foi utilizado o servidor Pure-FTPd pelas seguintes razões: Devido à sua simplicidade, ou seja, basta instalar o seu package, correr o comando pureftpd & e tem-se o servidor a correr, podendo este começar a aceitar ligações de clientes. Não há necessidade de uma revisão extensa e complexa do ficheiro de configuração, minimizando possíveis erros que poderiam comprometer a segurança e robustez do serviço. No Pure-FTPd pode-se activar as funcionalidades necessárias através de simples comandos de linha. Permite limitar o número de utilizadores simultâneos, limitar a sua largura de banda para evitar a monopolização da ligação de Internet, proteger ficheiros de sistema (chroot), ter upload/download rácios e moderar os uploads. Permite evitar que o armazenamento em causa fique cheio, definindo um limite máximo a partir do qual novos uploads não serão aceites. Os downloads podem ser restritos ou não permitidos se a carga do sistema estiver alta. Todas as contas são chrooted por omissão, e pode-se facilmente definir um grupo de contas sem serem chrooted. Cada utilizador pode ficar individualmente restrito à sua home directory ou não

9 A informação dos utilizadores pode ser centralizada em bases de dados MySQL. As queries são completamente personalizáveis e os pedidos podem ser criados com usernames, endereços remotos, IP s e portos locais ou remotos, etc. A cada utilizador pode-se facilmente atribuir uma quota individual, rácio e largura de banda. Este servidor suporta quota virtual, ou seja, as contas podem ter quotas individuais mesmo quando partilham o mesmo user id (uid). As home directories podem ser criadas on-demand. Esta funcionalidade é particularmente útil quando, por exemplo, se utiliza MySQL como base de informação das contas, onde ao inserir uma linha na base de dados, a conta fica pronta sem necessidade de criar a directoria para o novo utilizador pois esta será automaticamente criada quando o utilizador utilizar o serviço pela primeira vez. O Pure-FTPd pode actuar como um servidor de FTP privado, não permitindo ligações anónimas. Após uma simples mudança na configuração torna-se facilmente num servidor apenas de ligações anónimas. 4 Configuração dos Serviços 4.1 Inicialização dos Serviços Disponibilizados Após a instalação do Gentoo, é necessário instalar os diversos pacotes que constituem os servidores mencionados nos capítulos anteriores. Através do comando emerge é possível instalar os seguintes servidores: BIND, Dovecot, Postfix e Pure-Ftpd Considerando inicialmente um ficheiro de arranque local.start com path: /etc/conf.d/local.start, é possível iniciar os serviços disponibilizados para este cenário. Contudo alguns destes serviços podem ser carregados em runlevel default (os serviços iniciam quando a máquina arranca). Assim será apenas necessário reter no ficheiro de arranque o acesso ao servidor de Samba disponibilizado no endereço nas.lrcd.local ( ) No seguinte ficheiro /etc/conf.d/local.start é colocado o mountpoint para o servidor samba. #init Debora smbmount //nas.lrcd.local/users /home/users o username=users,password=src300 Alguns dos processos que não constam neste ficheiro de arranque foram incluídos directamente no boot da interface (runlevel default) através do comando rc-update a <service> <runlevel>. Serviços tais como: sshd (path: /etc/init.d/); hostname (path:/etc/conf.d/hostname): named (path:/etc/init.d/named); dovecot (path:/etc/init.d/dovecot); postfix (path:/etc/init.d/); pure-ftpd (path:/etc/init.d/pure-ftpd); - 8 -

10 No ficheiro /etc/conf.d/hostname, apenas é colocado o hostname da máquina. # /etc/conf.d/hostname # Set to the hostname of this machine HOSTNAME="irs04.lrcd.local" Durante o arranque dos serviços a disponibilizar pelo servidor é necessário configurar a porta Ethernet de saída, eth1, indicando a pool de endereços destinada aos serviços, bem como o endereço do servidor default de DHCP a incluir na tabela de routing do servidor. Esta configuração é realizada através do ficheiro de configuração net com path: etc/conf.d/net. (Este ficheiro é chamado pelo ficheiro de iniciação de placa de rede eth1). config_eth1=( " {16..20}" ) # Pool de endereços routes_eth1=("default via ")# DHCP Default Server dhcp_eth1=("nodns nontp nonis")# DHCP Configuration 4.2 DNS Forwarder Considerando o cenário apresentado, além de obter-se o endereço por DHCP, serviço disponibilizado em dhcp.lrcd.local ( ), será necessário reencaminhar todos os pedidos internos de DNS realizados ao servidor implementado em ns.lrcd.local ( ). No ficheiro de configuração /etc/bind/named.conf será necessário colocar a seguinte configuração: options { directory "/var/bind"; forwarders { ; ; ; }; forward only; #}; pid-file "/var/run/named/named.pid"; zone "lrcd.local" in { type forward; forward only; forwarders { ; }; }; Pedidos locais (lrcd.local) faz ao servidor dnsfw2.lrcd.local ( ), enquanto pedidos externos o reencaminhamento é realizado através do router do ISEL. Pedidos locais a endereços locais, são reencaminhados para o servidor ns.lrcd.local, funcionando o serviço de DNS Forwarder. De referir que existe a necessidade de indicar um caminho relativo a um ficheiro (pid-file: named.pid) onde o servidor possa escrever a identificação do processo, neste caso o processo named (dnsfw2). 4.3 Cliente Samba Como anteriormente referido o acesso a este serviço é realizado ao iniciar o ficheiro local.start

11 O comando smbmount é utilizado para mapear um local de rede virtual utilizando o serviço Server Message Block (SMB) que faz parte das funcionalidades do Samba. O SMB é um protocolo que permite partilhar ficheiros, impressoras, entre outros. O sistema de ficheiros disponibilizado pelo serviço é do tipo: /home/users/<user>/..., onde existe permissões para criar, alterar e apagar ficheiros existentes. 4.4 Dovecot Para configurar este servidor utilizaram-se dois ficheiros dovecot.conf e dovecot-mysql : /etc/dovecot/dovecot.conf ## Dovecot configuration file base_dir = /var/run/dovecot/ # Protocols we want to be serving IMAP and IMAPS(IMAP + SSL) protocols = imap imaps # Kill all IMAP processes when Dovecot master process shuts down shutdown_clients = yes disable_plaintext_auth = no # Logging # Log file to use for error messages log_path = /var/log/dovecot.log # Log file to use for info and debug messages info_log_path = /var/log/dovecot-info.log log_timestamp = "%b %d %H:%M:%S " #without SSL ssl_disable = yes # Mailbox locations and namespaces # Mail location mail_location = maildir:/home/users/%u/.maildir # IMAP specific settings protocol imap { # list of plugins to load. mail_plugins = quota imap_quota #mail_plugin_dir = /usr/lib/dovecot/imap } # Authentication processes auth_verbose = yes auth_debug = yes auth_debug_passwords = yes auth default { passdb sql { args = /etc/dovecot/dovecot-mysql.conf }

12 userdb sql { args = /etc/dovecot/dovecot-mysql.conf } } # Plugin settings plugin { # Quota plugin. Multiple backends are supported: # maildir: Maildir++ quota quota = maildir } Neste ficheiro inicial de configuração do servidor Dovecot é necessário referir a necessidade de especificar a localização da caixa de correio bem como o respectivo path com referência ao utilizador (maildir: /home/users/%u/.maildir) autenticado através do MySQL, como se indica no ficheiro de configuração seguinte. /etc/dovecot/dovecot-mysql # Data Base Authentication # Database driver: mysql, pgsql, sqlite driver = mysql default_pass_scheme = PLAIN # Database connection string. This is driver-specific setting. #mysql: connect = host=bd.lrcd.local dbname=irsdb user=irs04 password=irs04pass # Query to retrieve the password. password_query = SELECT clear AS password FROM users WHERE username = '%u' # Query to retrieve the user user_query = SELECT uid, gid FROM users WHERE username = '%u' Como referido, os utilizadores do serviço de IMAP implementado através do servidor Dovecot terão de se autenticar via MySQL numa base de dados, irsdb (ver Anexo), disponibilizada no serviço bd.lrcd.local. Neste ficheiro de configuração está presente a ligação ao serviço e os respectivos pedidos à base de dados. 4.5 Postfix Para configurar o servidor Postfix utilizaram-se os seguintes ficheiros: /etc/postfix/main.cf /etc/postfix/main.cf /etc/postfix/master.cf /etc/postfix/mysql_virtual_mailbox_gid.cf /etc/postfix/mysql_virtual_mailbox_limit_maps.cf /etc/postfix/mysql_virtual_mailbox_maps.cf /etc/postfix/mysql_virtual_mailbox_uid.cf queue_directory = /var/spool/postfix/ myhostname = irs04.lrcd.local mydomain = lrcd.local inet_interfaces = all mydestination = $myhostname, localhost.$mydomain, $mydomain mynetworks = /27, /8 local_transport = virtual local_recipient_maps = $virtual_mailbox_maps

13 mail_owner = postfix local_destination_concurrency_limit = 2 default_destination_concurrency_limit = 10 virtual_mailbox_maps = mysql:/etc/postfix/mysql_virtual_mailbox_maps.cf virtual_mailbox_base = / virtual_gid_maps = mysql:/etc/postfix/mysql_virtual_mailbox_gid.cf virtual_uid_maps = mysql:/etc/postfix/mysql_virtual_mailbox_uid.cf virtual_mailbox_limit_maps = mysql:/etc/postfix/mysql_virtual_mailbox_limit_maps.cf virtual_mailbox_limit_inbox = no virtual_mailbox_limit_override = yes virtual_maildir_extended = yes virtual_create_maildirsize = yes virtual_maildir_limit_message = Mailbox full. virtual_mailbox_limit = message_size_limit = /etc/postfix/master.cf # # Postfix master process configuration file. For details on the format # of the file, see the master(5) manual page (command: "man 5 master"). # # ========================================================================== # service type private unpriv chroot wakeup maxproc command + args # (yes) (yes) (yes) (never) (100) # ========================================================================== smtp inet n - n - - smtpd -v /etc/postfix/mysql_virtual_mailbox_gid.cf user password dbname hosts query = irs04 = irs04pass = irsdb = bd.lrcd.local = SELECT gid FROM users WHERE username='%s' /etc/postfix/mysql_virtual_mailbox_limit_maps.cf user = irs04 password = irs04pass hosts = bd.lrcd.local dbname = irsdb query = SELECT quota FROM users WHERE username='%s' /etc/postfix/mysql_virtual_mailbox_maps.cf user password hosts dbname query = irs04 = irs04pass = bd.lrcd.local = irsdb = SELECT maildir FROM users WHERE username='%s' /etc/postfix/mysql_virtual_mailbox_uid.cf user password dbname hosts query = irs04 = irs04pass = irsdb = bd.lrcd.local = SELECT uid FROM users WHERE username='%s' 4.6 Pure-FTPd

14 Para configurar este servidor utilizaram-se os ficheiros seguintes. /etc/conf.d/pure-ftpd Ficheiro de configuração global. ## This variable must be uncommented in order for the server to start ## IS_CONFIGURED="yes" #Activa o servidor SERVER="-S ftp.lrcd.local,21" #[Endereço,Porto] onde o servidor corre ## Number of simultaneous connections in total, and per IP ## MAX_CONN="-c 30" #Número total de ligações que o servidor aceita MAX_CONN_IP="-C 10" #Número de ligações que o servidor aceita por IP ## Start daemonized in background ## DAEMON="-B" #Para inicializar o servidor como serviço ## Don't allow uploads if the partition is more full then this var ## DISK_FULL="-k 90%" #Quota de disco partilhada por todas as contas ## Authentication mechanisms (others are 'pam',...) ## AUTH="-l mysql:/etc/pureftpd-mysql.conf" #Configuração para autenticação MySQL ## Misc. Others ## MISC_OTHER="-A -E -j -R -Z " /etc/pureftpd-mysql.conf Ficheiro de configuração para autenticação MySQL # Optional : MySQL server name or IP. Don't define this for unix sockets. MYSQLServer bd.lrcd.local #Endereço do servidor # Optional : MySQL port. Don't define this if a local unix socket is used. MYSQLPort 3306 #Porto do servidor # Mandatory : user to bind the server as. MYSQLUser irs04 #Utilizador do servidor # Mandatory : user password. You must have a password. MYSQLPassword irs04pass #Password do utilizador # Mandatory : database to open. MYSQLDatabase irsdb #Base de dados das contas # Mandatory : how passwords are stored # Valid values are : "cleartext", "crypt", "md5" and "password" # ("password" = MySQL password() function) # You can also use "any" to try "crypt", "md5" *and* "password" MYSQLCrypt cleartext #Cifra utilizada nas passwords # Query to execute in order to fetch the password MYSQLGetPW SELECT clear FROM users WHERE username="\l" #Validar Password # Query to execute in order to fetch the system user name or uid MYSQLGetUID SELECT uid FROM users WHERE username="\l" #Validar UID # Query to execute in order to fetch the system user group or gid MYSQLGetGID SELECT gid FROM users WHERE username="\l" #Validar GID # Query to execute in order to fetch the home directory MYSQLGetDir SELECT ftpdir FROM users WHERE username="\l" #Definir a home directory. # Optional : query to get the maximal disk usage (virtual quotas)

15 # The number should be in Megabytes. # Pure-FTPd must have been compiled with virtual quotas support. MySQLGetQTASZ SELECT ftpquota FROM users WHERE username="\l" #Definir a quota De referir que a quota das contas é definida pela informação introduzida na base de dados, podendo cada utilizador ter uma quota diferente. 5 Testes aos Serviços Implementados Neste capítulo apresentam-se alguns testes efectuados comprovando o funcionamento dos serviços implementados. O primeiro teste realizado consiste em testar o encaminhamento dos pedidos de resolução de nomes ou seja dnsfw2.lrcd.local: Figura 2 Comando nslookup. Através da linha de comandos do Windows e do comando nslookup é possível verificar os encaminhamentos dos vários pedidos. Pedidos locais, neste caso resolução de nome bd.lrcd.local, encaminhados ao serviço dnsfw2.lrcd.local, posteriormente identificados por ns.lrcd.local. Pedidos externos como identificados pelos serviços externos do ISEL. Os testes ao protocolo IMAP e SMTP foram realizados utilizando o Wireshark. Contudo para o envio e recepção de mensagens foi configurado o Outlook oferecendo uma interface gráfica user friendly:

16 Figura 3 Configuração Outlook. Figura 4 Request & Response IMAP

17 Figura 5 Request & Response SMTP. Os testes ao protocolo FTP podem ser realizados utilizando a aplicação WinSCP, onde basta indicar o endereço do host e o porto de ligação e respectivo user e password. Com autenticação à base de dados irsdb é possível estabelecer uma ligação por FTP e obter acesso aos ficheiros da directoria local do utilizador. Figura 6 Configuração FTP de WinSCP

18 Figura 7 Ligação FTP estabelecida. Também é possível estabelecer uma ligação FTP utilizando o terminal Telnet. Figura 8 Ligação FTP por Telnet

19 6 Anexo Base de Dados irsdb id username clear name uid gid homedir maildir quota ftpdir ftpquota postfix stimpy stimpy@lrcd.local spass stimpyx /home/users/ /home/users/stimpy/.maildir/ /home/users/ftp/stimpy 35 y 2 ren ren@lrcd.local rpass renx /home/users/ /home/users/ren/.maildir/ /home/users/ftp/ren 50 y 3 lumpy lumpy@lrcd.local lpass lumpyx /home/users/ /home/users/lumpy/.maildir/ /home/users/ftp/lumpy 50 y 4 giggles giggles@lrcd.local gpass gigglesx /home/users/ /home/users/giggles/.maildir/ /home/users/ftp/gigles 50 y