Curso de extensão em Administração de redes com GNU/Linux

Transcrição

1 Curso de extensão em Administração de redes com GNU/Linux Eduardo Júnior - ihtraum@dcc.ufba.br Gestores da Rede Acadêmica de Computação Departamento de Ciência da Computação Universidade Federal da Bahia Eduardo Júnior Administração de redes com GNU/Linux

2 Assuntos abordados Serviço Telnet Serviço SSH Serviço FTP

3 Serviço Telnet

4 Telnet Objetivos: - Entender o que é o Telnet - Para que serve - Utilizar o telnet (cliente) - Entender como o Telnet funciona - Configurar um Servidor Telnet

5 Telnet O que é o Telnet? - Telecommunication Network - É um protocolo cliente-servidor - Protocolo de login remoto - Emulador de terminal através de uma rede - RFC 854 especifica o protocolo

6 Telnet Para que serve o Telnet? -Serve para permitir comunicação remota entre máquinas na mesma rede - Serve para a execução de tarefas administrativas de forma remota (sem estar na mesma máquina)

7 Telnet Características do Telnet * Conexão rápida (não utiliza transmissão de dados criptografada), recomendado para ambientes seguros. * Possui uma versão com suporte a criptografia via ssl. * Possui controle de acesso tcpd (usando /etc/hosts.allow e /etc/ hosts.deny). * A maioria dos sistemas operacionais trazem este utilitário por padrão como sistema de acesso remoto a máquinas UNIX. * Suporte a terminais ANSI (cores e códigos de escape especiais para o console) e uma grande variedade de outros terminais.

8 Telnet Servidor e Cliente telnet cliente telnetd servidor

9 Telnet Questões de Segurança - Fazendo-se uso do Telnet tradicional, dados transmitidos na conexão passam em branco, ou seja, em texto puro - Alta probabilidade de roubo de informações - Alternativa: uso de SSL telnet-ssl cliente telnet com suporte a SSL telnetd-ssl servidor telnet com suporte a SSL

10 Telnet

11 Telnet Prática 1 Abrindo uma sessão telnet

12 Telnet Prática 1 Sintaxe do cliente Telnet $ telnet <endereco> <porta> ex: $ telnet dcc.ufba.br 80

13 Telnet Prática 1 Opção do cliente Telnet -l <user> -a -4-6

14 Telnet - Abrir sessão com o localhost na porta padrão - Abrir sessão com o IP da sua máquina virtual na porta 23 - Abrir sessão com o IP com o usuário irc (ou outro) - Abrir sessão com mail.dcc.ufba.br na porta do imaps (995) - Abrir sessão com google.com.br na porta do http (80) - Abrir sessão com na porta do https (443) Verificar resultados!

15 Telnet - Através do inetd - inetd x standalone - /etc/inetd.conf Como o serviço é carregado? <service_name> <sock_type> <proto> <flags> <user> <server_path> <args> telnet stream tcp nowait telnetd /usr/sbin/tcpd / usr/sbin/in.telnetd

16 Telnet Controle de acesso - Uso para permitir/bloquear o acesso a determinados serviços - Feito através do inetd junto com rcpd - Faz uso dos arquivos /etc/hosts.allow e /etc/hosts.deny

17 Telnet Controle de acesso: LOCAL; ALL; PARANOID /etc/hosts.allow e /etc/hosts.deny listas de serviços: lista de hosts: comando in.telnetd, in.ftpd: LOCAL, myhost.athome.org.au

18 Telnet Prática 2 Instalando um Servidor Telnet

19 Telnet Prática 2 Instalação Código-fonte e compilar Pacote pré-compilado específico por distribuição # aptitude install telnetd

20 Telnet Prática 2 Implementar Controle de acesso fazendo uso dos arquivos /etc/hosts.allow e /etc/hosts.deny

21 Telnet Prática 2 Controle de Acesso - Permitir telnet apenas para localhost, dcc.ufba.br e minhacasa.com - Permitir telnet para todos da rede /24 - Permitir telnet apenas para o IP de sua interface física (ver a saída do ifconfig, na linha eth0/eth1) - Bloquear todos os outros

22 Telnet Prática 2 - Checagem de consistência /etc/inetd.conf /etc/hosts.allow /etc/hosts.deny # tcpdchk Reinício do Serviço: # killall -HUP inetd

23 Telnet Prática 2 Testes do Servidor Telnet Checagem de logs: /var/log/daemon.log e /var/log/auth.log Através do cliente telnet via linha de comando tcpdmatch <origem> serviço ex: tcpdmatch in.ntalkd Leitura dos logs

24 Telnet Recomendações de uso: - Ambientes seguros (rede interna e de acesso restrita; atrás de um firewall, etc) - Não recomendada para uso através da internet, pois utiliza texto plano para seção - Dar preferência ao ssh, por possuir características adicionais...

25 Serviço SSH Secure SHell

26 SSH Objetivos: - Entender o que é o SSH - Para que serve - Utilizar o SSH (cliente) - Entender como o SSH funciona - Configurar um Servidor SSH

27 SSH O que é o SSH? - É um programa de computador e um protocolo de rede - Permite a troca de dados entre máquinas fazendo uso de um canal seguro entre elas - Permite acesso remoto ao console de sua máquina - Comunicação entre o cliente e servidor é toda encriptada, usando chaves públicas/privadas para garantir a transferência segura dos dados

28 SSH Criptografia - Transformar um texto original em um texto ininteligível (cifrado), que pode ser restaurado - Função de garantir confidencialidade e autenticidade - Pode ser simétrica ou assimétrica

29 SSH Criptografia simétrica - Existe apenas uma chave - A mesma chave criptografa e decriptografa - Problema: compartilhamento das chaves Exs: DES Triple DES IDEA

30 Criptografia Simétrica

31 SSH Criptografia Assimétrica - Duas chaves: - Pública é publicada - Privada é mantida em segredo - O texto gerado por uma é decriptografa pela outra Exs: RSA das Diffie-Hellman

32 Criptografia Assimétrica

33 Criptografia Assimétrica

34 SSH Características do SSH * Conexão de dados criptografada entre cliente/servidor. * Cópia de arquivos usando conexão criptografada. * Suporte a ftp criptografado (sftp). * Suporte a compactação de dados entre cliente/servidor. * Controle de acesso das interfaces servidas pelo servidor ssh. * Suporte a controle de acesso tcp wrappers. * Autenticação usando um par de chaves pública/privada RSA ou DSA. * Algoritmo de criptografia livre de patentes. * Suporte a PAM. * Suporte a caracteres ANSI (cores e códigos de escape especiais no console).

35 SSH ssh - cliente ssh para abertura de um console remoto slogin - link simbólico para o programa ssh sshd - ssh server scp - programa cliente para transferência de arquivos sftp - cliente ftp com suporte a comunicação segura sftp-server - ftp server com suporte a comunicação segura

36 SSH Prática 3 Abrindo sessões SSH

37 SSH Prática 3 Sintaxe do cliente SSH ssh user@ip/nome ssh -l user ip/nome ssh ip/nome -p port Opções: -l user ## -C ## -o option ## -p port -1 ## -2 ## -4 ## -X

38 SSH Prática 3 SCP - Programa para cópia de arquivos remoto - Usa SSH (protocolo) para transferir os dados (autenticação e segurança) Sintaxe: scp usuário@host/ip:arquivo caminholocal scp arquivolocal usuário@host/ip:arquivo/caminho scp usuário@host/ip:arquivo/caminho usuaŕio2@host/ip:arquivo/caminho -r -l limit -C -P port -p

39 SSH Prática 3 SCP - Copiar o arquivo.vimrc da sua máquina para o seu home na máquina do seu colega ao lado - Pegar o arquivo.bashr no seu home na máquina do colega ao lado - Transferir algum arquivo do seu home na máquina do seu colega ao lado para o seu home na máquina de um terceiro colega - Criar um arquivo com algum conteúdo e enviar para seu home DCC fazendo uso do scp - Pegar um arquivo do seu home DCC e alojá-lo no diretório Desktop local - Fazer o download de um arquivo grande (disponível em) e transferí-lo para sua home DCC sem a opção -C e depois com a opção -C e verificar a diferença

40 SSH Prática 3 SFTP - Programa para transferência de arquivos de forma segura - Funciona de forma semelhante ao ftp, mas todas as operações são encriptadas, fazendo uso do SSH - Forma interativa e não-interativa (semelhante ao scp) sftp usuário@host/ip cd; chown; chmod; df; ls; mkdir; rm, pwd... get put -b batchfile -C

41 SSH Prática 3 SFTP Modo interativo: - Acessar seu home DCC e colocar um arquivo criado anteriormente - Pegar um diretório do seu home DCC para sua máquina local - Fazer testes de envio do mesmo arquivo grande para seu home DCC com e sem o uso da opção -C e verificar a diferença

42 SSH Sshd é o daemon que controla a conexão encriptada via protocolo ssh, transferência de arquivos e shell interativo. Arquivo de configuração do servidor: /etc/ssh/sshd_config Arquivo de configuração dos usuários: /etc/ssh/ssh_config Arquivo de configuração por usuário: ~/.ssh/config

43 SSH Port ListenAddress Protocol AllowUsers DenyUsers AllowGroups DenyGroups PermitRootLogin Principais opções do arquivo /etc/ssh/sshd_config:

44 SSH Principais opções do arquivo /etc/ssh/sshd_config: LoginGraceTime KeyRegenerationInterval X11Forwarding X11DisplayOffset SyslogFacility LogLevel PasswordAuthentication PermitEmptyPasswords MaxStartups Subsystem sftp /usr/lib/sftp-server

45 SSH Redirecionamento de conexões do X - Uma variável $DISPLAY é criada para fazer o redirecionamento para o servidor X local - display criado pelo ssh que encaminha a conexão para o X real ssh usuário@host/ip -X -A

46 SSH Prática 4 Instalação e Configuração de um Servidor SSH

47 SSH Prática 4 - Servidor SSH - Configurar o serviço SSH para ouvir na porta padrão (22) e permitir sessões X - Configurar o serviço SSH para ouvir na porta e ter um máximo de 2 conexões simultâneas - Configurar o serviço SSH para não permitir o acesso via usuário root - Configurar controle de acesso para o serviço SSH apenas para o seu usuário e depois apenas para usuários do grupo users

48 Serviço FTP

49 FTP O que é FTP? - É um protocolo de rede utilizado para trocar e manipular arquivos através de redes TCP - File Transfer Protocol - Especificação do protocolo FTP está descrita na RFC 959

50 FTP - Aceita conexões remotas dos logins dos usuários que existem na máquina - Informações são transmitidas de forma não encriptada - Recomendado uso do sftp - Utilizado para criação de repositórios públicos

51 Arquivo de configuração: /etc/proftpd/proftpd.conf FTP Servidor FTP: UseIPv6 on Port 21 MaxClients 10 DefaultRoot ~ TransferRate RETR 8:10 Principais diretivas:

52 FTP Criação de um repositório público - Disponível para o usuário anonymous - Liberdade de acesso ao /home/ftp, diretório raíz para o cliente ftp - Pode-se fazer upload para uma pasta em específico, determinado pelo administrador

53 FTP Criação de um repositório público <Anonymous ~ftp> User ftp Group nogroup UserAlias anonymous ftp DirFakeUser on ftp DirFakeGroup on ftp RequireValidShell off MaxClients 20 DisplayLogin welcome.msg DisplayFirstChdir.message <Directory *> <Limit WRITE> DenyAll </Limit> </Directory>

54 FTP Criação de um repositório público <Directory incoming> Umask <Limit READ WRITE> DenyAll </Limit> <Limit STOR> AllowAll </Limit> </Directory> </Anonymous> # mkdir /home/ftp/incoming # chown ftp:nogroup /home/ftp/incoming Criação do diretório incoming:

55 FTP Prática 5 Criação de um servidor FTP simples

56 FTP Prática 5 Escolha do software: proftp Uso de pacote pré-compilado (.deb) # apitude install proftpd Modo de execução: standalone ou inetd

57 FTP Prática 5 - Configurar o proftpd para escutar na porta padrão, aceitar no máximo 5 conexões simultâneas, deixando disponível um repositório público para no máximo 2 conexões simultâneas, forçando que qualquer conexão de usuário o limite apenas ao seu home. Efetuar testes criando-se um usuário de teste (cursograco) e fazendo uso do cliente ftp acessar o diretório home e o público e fazer down/uploads

58 FTP FTP SSL/TLS - Dados são encriptados quando da conexão entre cliente e servidor - Aumento da segurança e confiabilidade do serviço - Uso do módulo mod_tls - Gerar arquivos de certificado utilizados pelo mod_tls

59 FTP <IfModule mod_tls.c> TLSEngine on TLSLog /var/log/proftpd-tls.log TLSProtocol TLSv23 # Are clients required to use FTP over TLS when talking to this server? TLSRequired off # Server's certificate TLSRSACertificateFile /etc/proftpd/ssl/proftpd.cert.pem TLSRSACertificateKeyFile /etc/proftpd/ssl/proftpd.key.pem # Authenticate clients that want to use FTP over TLS? TLSVerifyClient off # Allow SSL/TLS renegotiations when the client requests them, but # do not force the renegotations. Some clients do not support # SSL/TLS renegotiations; when mod_tls forces a renegotiation, these # clients will close the data connection, or there will be a timeout # on an idle data connection. TLSRenegotiate required off </IfModule>

60 FTP FTP SSL/TLS Para estabelecer uma conexão segura e de confiança é necessário gerar certificados que atestem a identidade do servidor Passos: - Gerar chave privada - Gerar um pedido de certificado com essa chave privada (CSR) - Encaminhar o CSR para a CA para assinar o pedido de certificado

61 FTP FTP SSL/TLS # aptitude install openssl ca-certificates # openssl req -new -x509 -days 365 -nodes -out /etc/proftpd/ssl/proftpd.cert.pem -keyout / etc/proftpd/ssl/proftpd.key.pem

62 FTP FTP SSL/TLS Ativar suporte a SSL/TLS no Servidor FTP instalado anteriormente e verificar o arquivo de log /var/log/proftpd/tls.log

63