Curso de extensão em Administração de redes com GNU/Linux

Transcrição

1 Curso de extensão em Administração de redes com GNU/Linux Eduardo Júnior - ihtraum@dcc.ufba.br Gestores da Rede Acadêmica de Computação Departamento de Ciência da Computação Universidade Federal da Bahia Eduardo Júnior Administração de redes com GNU/Linux

2 Assuntos abordados Sistemas de Arquivos de Rede Cenário da Rede DCC NFS SHFS SSHFS

3 Sistema de Arquivos de Rede

4 Sistemas de Arquivos de Rede É uma maneira de compartilhar arquivos entre máquinas de uma rede, como se eles estivessem localizados no disco rígido local do sistema Mecanismos transparente aos usuários

5 Sistemas de Arquivos de Rede Desafios: - controle de concorrência - transparência de localização dos diretórios e arquivos - resolução de impasses e recuperações - processamento de consultas

6 Sistemas de Arquivos de Rede Cenário 1: - Poucas máquinas disponíveis - Poucos recursos - Uso do LTSP - Dificuldade de organização no acesso aos arquivos

7 Cenário 1 - NFS

8 Cenário 1 - NFS

9 Cenário 1 - NFS - Criado pela Sun Microsystems - Ambiente cliente/servidor - Primeiras versões stateless; atualmente, guarda informações de estado - Módulo de kernel

10 Cenário 1 - NFS

11 Cenário 1 - NFS - Primeiro veio a implementação de um sistema centralizado de autenticação, a base LDAP DCC - Centralização dos arquivos dos usuários, compartilhados pela rede - O sistema de arquivos root, o /usr e /home era exportados quando do boot da máquina

12 Cenário 1 - NFS Como o NFS é organizado? /etc/exports

13 Cenário 1 - NFS DIRETORIO HOST1 HOST2 HOSTn(opções) /srv/homes hostname1 hostname2(rw,sync) / master(rw) trusty(rw,no_root_squash) /projects proj*.local.domain(rw) /usr *.local.domain(ro) /home/joe pc001(rw,all_squash,anonuid=150,anongid=100) /pub (ro,insecure,all_squash)

14 Cenário 1 - NFS Exportfs rpc.mountd nfsd rpc.nfsd nfsd.o /proc/fs/nfsd/ /proc/fs/nfs/

15 Cenário 1 - NFS Opções: async melhor performace, mas força o servidor NFS (viola o protocolo NFS) a responder requisições antes que qualquer alteração feita pela requisição seja armazenada sync o inverso do acima intr permite interromper chamadas do NFS, útil quando o servidor não esteja mais respondendo rw permite leitura e escrita no volume montado ro apenas leitura no volume montado root_squash root na máquina local será mapeada para um uid anônimo, geralmente nobody no_root_squash desabilita acima anonuid e anongid força um uid e gid na montagem remota do sistema de arquivos especificado

16 Cenário 1 - NFS /home/user (rw,subtree_check) /home/user2 localhost(ro,no_root_squash,sync,subtree_check) /home/user3 localhost(ro,no_root_squash,subtree_check) # mkdir /mnt/teste # chown nobody:nogroup /mnt/teste # mount -t nfs localhost:/home/user1 /mnt/teste # umount /mnt/teste # mount -t nfs localhost:/home/user2 /mnt/teste # umount /mnt/teste # mount -t localhost:/home/user3 /mnt/teste # umount /mnt/teste

17 Cenário 1 - NFS

18 Cenário 1 - NFS Restrições: - O uid do usuário na máquina local deve ser o mesmo na máquina servidora - Controle de acesso: - uid e gid fornecido na requisições NFS - permissões dos arquivos/diretórios na máquina servidora - tcpd: /etc/hosts.allow e /etc/hosts.deny - Tratamento do root da máquina local diferente do root da máquina servidora

19 Cenário 1 - NFs Questões de performace: - velocidade de I/O - opções de abertura de arquivos - número de daemons NFS - tipo de protocolo - organização da rede - sistemas de arquivos journalados

20 Cenário 1 - NFS Montar um servidor NFS local e testar localmente Pacotes necessários: servidor: portmap, nfs-common, nfs-kernel-server cliente: portmap, nfs-common # rpcinfo -p

21 Cenário 2 - SHFS Nem tudo é perfeito. Problemas!

22 Cenário 2 - SHFS - Não acompanhamento no aumento da demanda - Não uso de criptografia - Protocolo Stateless - Protocolo conectionless

23 Cenário 2 - SHFS - É um módulo de kernel que permite que FS sejam montados localmente, fazendo uso de uma conexão SSH - Problemas na importação das preferências do usuário - Todo o tráfego passava criptografado

24 Cenário 2 - SHFS Características: - cache de arquivos para acelerar o acesso - código perl ou shell no lado do servidor - conexões persistentes - suporte a clientes de arquiteturas distintas

25 Cenário 2 - SHFS Como o SHFS funciona?

26 Cenário 2 - SHFS

27 Cenário 2 - SHFS Construindo o módulo: # aptitude install shfs-source shfs-utils moduleassistant repositório etch # aptitude install linux-image linux-headers

28 Cenário 2 - SHFS # module-assistant build shfs # module-assistant install shfs # modprobre shfs

29 Cenário 2 - SHFS Exemplos de montagem: Mesma interface do comando mount -t shfs

30 Cenário 3 - SSHFS - Maior estabilidade - Conexão criptografada - Sistema de arquivos cliente baseado no SSH - Nenhuma intervenção é necessário no lado do servidor - Integração com PAM (plugged authentication module)

31 Cenário 3 - SSHFS - SSHFS é totalmente executado no espaço do usuário - Multithreading - Cache do conteúdo dos diretórios - Na máquina local onde o SSHFS é montado, se faz uso do FUSE, um módulo do kernel

32 Cenário 3 - SSHFS FUSE ( Filesystem in Userspace) - módulo kernel - permite usuários comuns criarem ou montarem sistema de arquivos sem precisar editar o código fonte do kernel - execução do código do sistema de arquivos no espaço do usuário

33 Cenário 3 - SSHFS

34 Cenário 3 - SSHFS Opções interessantes: -p porta ou -o port=porta -C ou -o compression=yes -o reconnect -o sshfs_debug -o cache=yes/no

35 Cenário 3 - SSHFS Instalando: # aptitude install sshfs fuse-utils ssh Carregar o módulo: # modprobe fuse Adicionar usuário ao grupo fuse Relogar Criar ponto de montagem

36 Cenário 3 - SSHFS Uso SSHFS: sshfs usuário@host/ip:/diretorio <ponto de montagem> Exemplos: sshfs -C ihtraum@homes.dcc.ufba.br:/home/ihtraum /home/ihtraum/dccufba sshfs -o compression=yes -port=2299 ihtraum@app.dcc.ufba.br :/home/ihtraum /home/ihtraum/appdccufba fusermount -u /home/ihtraum/appdccufba

37 Cenário 3 - SSHFS Exercícios: - Usando o sshfs, montar o diretório do usuário graco no /mnt/graco (atente-se para as permissões) - Alterar a porta do ssh para 6664 e montar o diretório do usuário graco em /home/graco/desktop/teste - No mesmo cenário acima, usar a opção de cache, reconnect e compressão para a montagem do diretório remoto - Montar seu diretório pessoal em homes.dcc.ufba.br no diretório local /home/graco/dccufba com a opção de compressão habilitada e depois, sem essa opção habilitada, montar em /home/graco/dccufbaslow e verificar a performace

38 Referências manpages -

39 FTP O que é FTP? - É um protocolo de rede utilizado para trocar e manipular arquivos através de redes TCP - File Transfer Protocol - Especificação do protocolo FTP está descrita na RFC 959

40 FTP - Aceita conexões remotas dos logins dos usuários que existem na máquina - Informações são transmitidas de forma não encriptada - Recomendado uso do sftp - Utilizado para criação de repositórios públicos

41 Arquivo de configuração: /etc/proftpd/proftpd.conf FTP Servidor FTP: UseIPv6 on Port 21 MaxClients 10 DefaultRoot ~ TransferRate RETR 8:10 Principais diretivas:

42 FTP Criação de um repositório público - Disponível para o usuário anonymous - Liberdade de acesso ao /home/ftp, diretório raíz para o cliente ftp - Pode-se fazer upload para uma pasta em específico, determinado pelo administrador

43 FTP Criação de um repositório público <Anonymous ~ftp> User ftp Group nogroup UserAlias anonymous ftp DirFakeUser on ftp DirFakeGroup on ftp RequireValidShell off MaxClients 20 DisplayLogin welcome.msg DisplayFirstChdir.message <Directory *> <Limit WRITE> DenyAll </Limit> </Directory>

44 FTP Criação de um repositório público <Directory incoming> Umask <Limit READ WRITE> DenyAll </Limit> <Limit STOR> AllowAll </Limit> </Directory> </Anonymous> # mkdir /home/ftp/incoming # chown ftp:nogroup /home/ftp/incoming Criação do diretório incoming:

45 FTP Prática 5 Criação de um servidor FTP simples

46 FTP Prática 5 Escolha do software: proftp Uso de pacote pré-compilado (.deb) # apitude install proftpd Modo de execução: standalone ou inetd

47 FTP Prática 5 - Configurar o proftpd para escutar na porta padrão, aceitar no máximo 5 conexões simultâneas, deixando disponível um repositório público para no máximo 2 conexões simultâneas, forçando que qualquer conexão de usuário o limite apenas ao seu home. Efetuar testes criando-se um usuário de teste (cursograco) e fazendo uso do cliente ftp acessar o diretório home e o público e fazer down/uploads

48 FTP FTP SSL/TLS - Dados são encriptados quando da conexão entre cliente e servidor - Aumento da segurança e confiabilidade do serviço - Uso do módulo mod_tls - Gerar arquivos de certificado utilizados pelo mod_tls

49 FTP <IfModule mod_tls.c> TLSEngine on TLSLog /var/log/proftpd-tls.log TLSProtocol TLSv23 # Are clients required to use FTP over TLS when talking to this server? TLSRequired off # Server's certificate TLSRSACertificateFile /etc/proftpd/ssl/proftpd.cert.pem TLSRSACertificateKeyFile /etc/proftpd/ssl/proftpd.key.pem # Authenticate clients that want to use FTP over TLS? TLSVerifyClient off # Allow SSL/TLS renegotiations when the client requests them, but # do not force the renegotations. Some clients do not support # SSL/TLS renegotiations; when mod_tls forces a renegotiation, these # clients will close the data connection, or there will be a timeout # on an idle data connection. TLSRenegotiate required off </IfModule>

50 FTP FTP SSL/TLS Para estabelecer uma conexão segura e de confiança é necessário gerar certificados que atestem a identidade do servidor Passos: - Gerar chave privada - Gerar um pedido de certificado com essa chave privada (CSR) - Encaminhar o CSR para a CA para assinar o pedido de certificado

51 FTP FTP SSL/TLS # aptitude install openssl ca-certificates # openssl req -new -x509 -days 365 -nodes -out /etc/proftpd/ssl/proftpd.cert.pem -keyout / etc/proftpd/ssl/proftpd.key.pem

52 FTP FTP SSL/TLS Ativar suporte a SSL/TLS no Servidor FTP instalado anteriormente e verificar o arquivo de log /var/log/proftpd/tls.log

53