RELATÓRIO DE INSTALAÇÃO E CONFIGURAÇÃO DOS APLICATIVOS BIND E POSTFIX

Tamanho: px

Começar a partir da página:

Download "RELATÓRIO DE INSTALAÇÃO E CONFIGURAÇÃO DOS APLICATIVOS BIND E POSTFIX"

Gustavo Dias Chagas
8 Há anos
Visualizações:

1 RELATÓRIO DE INSTALAÇÃO E CONFIGURAÇÃO DOS APLICATIVOS BIND E POSTFIX EDFRANCIS PEREIRA MARQUES SEGURANÇA DA INFORMAÇÃO V

2 INTRODUÇÃO NESTE RELATÓRIO VEREMOS A IMPORTÂNCIA DE CONHECER CADA COMANDO EXECUTADO, CONHECER OS APLICATIVOS INSTALADOS E CONSEQUENTEMENTE SEUS EFEITOS.

3 BIND O BIND - Berkeley Internet Name Domain - é um software mantido pelo Internet Software Consortium que implementa uma biblioteca 'resolver' e um servidor de nomes, o named. É utilizado pela maior parte dos servidores DNS na Internet, incluindo os Root Name Servers. Possui atualmente as distribuições 8, que ainda está sendo utilizada, e 9, que implementa mais funcionalidades e é a que iremos utilizar. Uma das principais mudanças em relação à versão 8 é que a 9 implementa o suporte a Views, que permite que um servidor seja visualizado de formas diferentes dependendo do cliente, por exemplo, é possível definir uma vista interna para alguns clientes, e uma vista externa para os outros. *Instalando o BIND9 no Centos 6.5 Instalação com a segurança do chroot e inicialização automática: # yum y install bind-chroot # chkconfig named on Edição do arquivo de configuração "named.conf" Este arquivo é o principal arquivo de configuração para o arquivo de DNS. No qual será lido na inicialização. # vim /etc/named.conf Altere e/ou adicione as linhas abaixo: Option { listen-on port 53 { any; };

Possui atualmente as distribuições 8, que ainda está sendo utilizada, e 9, que implementa mais funcionalidades e é a que iremos utilizar.

4 allow-query { any; }; allow-transfer { none; }; version "[null]"; //"oculta a versao do bind" Allow-recursion { /24; };//"Restringe a busca recursiva" -Ocultando a versão se evita que prováveis scans no servidor não consigam descobrir a versão do serviço assim dificultando a exploração de vulnerabilidades. -Restringindo consultas recursivas se evita ataques de negação de serviço pois assim se especifica quem pode fazer essas consultas. Criando Zonas Uma zona (zone) é um espaço de nomes - um pedaço contínuo da árvore DNS - que foi delegado a um determinado servidor de nomes. Este servidor irá possuir todas as informações referentes à esta zona, e irá possuir autoridade para responder qualquer requisição referente a ela. Pertencem a esta zona todas as ramificações da árvore a partir do ponto onde foi delegada a autoridade, exceto as ramificações que pertencem a outras zonas. Uma zona pode englobar um domínio inteiro ou apenas parte de um domínio. Cada zona possui ao menos um servidor de nomes autoritário - Authoritative Name Server Inserção da zona no named.conf # vim /etc/named.conf Adicione as linhas abaixo ao arquivo "named.conf": ; //[final do arquivo named.conf] zone "edfrancis.senac.si.com" { type master;

0/24; };//"Restringe a busca recursiva" -Ocultando a versão se evita que prováveis scans no servidor não consigam descobrir a versão do serviço assim dificultando a exploração de vulnerabilidades.

5 file "edfrancis.zone.db"; allow-transfer {none; }; }; *allow-transfer define uma lista, por exemplo, Endereços IP (es) que estão autorizados a transferir (copiar) as informações de zona do servidor (mestre ou escravo para a zona). zone " in-addr.arpa" IN { type master; file "reverse "; }; Zona principal # cd /var/named/ # vim edfrancis.zone.db Insira as linhas abaixo: $ORIGIN edfrancis.senac.si.com. $TTL 1H ($TTL: é o tempo de vida das configurações deste arquivo, se algum outro servidor fizer cache destas informações ele guardará apenas pelo tempo determinado) edfrancis.senac.si.com. IN SOA ns1.edfrancis.senac.si.com. edfrancis.senac.si.com. ( ("IN SOA" (Start Of Authority). Especifica a zona sobre a qual temos autoridade, e qual servidor primário responde por ela. Também é especificado o endereço de do administrador, substituindo a arroba por ponto, por exemplo, admin@exemplo.org deve ser inserido como admin.) ; serial (Número serial da configuração, que deve ser incrementado toda vez que é feita alguma

para a zona). zone "2.168.192.in-addr.arpa" IN { type master; file "reverse.2.168.192"; }; Zona principal # cd /var/named/ # vim edfrancis.zone.db Insira as linhas abaixo: $ORIGIN edfrancis.senac.si.com.

6 mudança.) 12H ; refresh ( Tempo em segundos em que os servidores slave desta zona deverão atualizar os seus dados, a partir do master.) 1H ; retry (Caso algum slave não consiga atualizar os seus dados, deverá tentar novamente neste intervalo de tempo, em segundos.) 1W ; expire (Se após este tempo (em segundos), algum slave não conseguiu atualizar seus dados, deverá descartá-los.) 6H ) ; minimum (TTL para o cache de respostas negativas.) ; ; IN NS ns1 localhost IN A ; IN A www IN A Zona reversa # cd /var/named # vim reverse Insira as linhas abaixo: $TTL IN SOA ns1.edfrancis.senac.si.com. edfrancis.senac.si.com. ( ;serial 12H ;refresh

) 1W ; expire (Se após este tempo (em segundos), algum slave não conseguiu atualizar seus dados, deverá descartá-los.) 6H ) ; minimum (TTL para o cache de respostas negativas.

7 1H 1W ;retry ;expire 6H ) ;minimum ; in-addr.arpa. IN NS ns1.edfrancis.senac.si.com. 177 IN PTR edfrancis.senac.si.com. 177 IN PTR ns1.edfrancis.senac.si.com. Para entender melhor os significados dos registristos das zonas; Os principais tipos são: SOA -> Início de uma zona autoritária NS -> Servidor de nomes autoritário A -> Endereço de host CNAME -> Apelido MX -> Mail exchanger PTR -> Ponteiro (utilizado para DNS reverso) O formato destas entradas no arquivo de zona é: nome_registro IN tipo valor. CHroot O chroot é um mecanismo que serve para limitar a capacidade de um processo acessar recursos fora de uma área muito limitada. Um servidor de nomes esta declara para a internet sendo muito interessante fazer essa configuração. Pois bem, isolando este processo numa jaula, restringimos os estragos que eventualmente possam afetar o sistema. Configuração 1-Copie todos os arquivos de ligação relacionado para preparar os ambientes de vinculação enjaulado: root@centos64 ~]# cp -R /usr/share/doc/bind-*/sample/var/named/* /var/named/chroot/var/named/

8 2-Criar arquivos de ligação relacionado no diretório chroot : [root@centos64 ~]# touch /var/named/chroot/var/named/data/cache_dump.db [root@centos64 ~]# touch /var/named/chroot/var/named/data/named_stats.txt [root@centos64 ~]# touch /var/named/chroot/var/named/data/named_mem_stats.txt [root@centos64 ~]# touch /var/named/chroot/var/named/data/named.run [root@centos64 ~]# mkdir /var/named/chroot/var/named/dynamic [root@centos64 ~]# touch /var/named/chroot/var/named/dynamic/managed-keys.bind 3-Definir a permissão no diretorio: [root@centos64 ~]# chmod -R 777 /var/named/chroot/var/named/data [root@centos64 ~]# chmod -R 777 /var/named/chroot/var/named/dynamic 4-Copie /etc/named.conf para a pasta chroot do bind: [root@centos64 ~]# cp -p /etc/named.conf /var/named/chroot/etc/named.conf

txt [root@centos64 ~]# touch /var/named/chroot/var/named/data/named.

9 POSTFIX É um agente de transferência de s (MTA) livre e de código aberto que encaminha e entrega s, e tem como objetivo ser uma alternativa segura ao Sendmail, muito utilizado em servidores UNIX. Instalando os Pacotes yum install postfix amavisd-new spamassassin clamav clamav-daemon zoo unzip bzip2 libnet-ph-perl libnet-snpp-perl libnet-telnet-perlnomarch lzop Configurar amavisd-new A ferramenta amavisd-new irá invocar o ClamAV e o SpamAssassin para analisar a mensagem e caso a mesma esteja livre de vírus e não seja SPAM, será devolvida ao Postfix através da porta 10025/tcp, e assim entregue na caixa postal do destinatário. Abra o seguinte arquivo: #vim /etc/amavis/conf.d/15-content_filter_mode descomente as = (\%bypass_virus_checks, \@bypass_virus_checks_acl, = (\%bypass_spam_checks, \@bypass_spam_checks_acl, \$bypass_spam_checks_re); Adicione o usuário clamav ao grupo amavis Gpasswd -a clamav amavis Reinicie os serviços amavis e clamav-daemon #/etc/init.d/amavis restart

Instalando os Pacotes yum install postfix amavisd-new spamassassin clamav clamav-daemon zoo unzip bzip2 libnet-ph-perl libnet-snpp-perl libnet-telnet-perlnomarch lzop Configurar amavisd-new A

10 #/etc/init.d/clamav-daemon restart Configure o arquivo /etc/clamav/freshclam.conf,adicionando a linha como indicado abaixo: NotifyClamd /etc/clamav/clamd.conf Reinicie o freshclam: #/etc/init.d/clamav-freshclam restart Configure o postfix para repassar mensagens que chegam ao amavisd-new: #postconf -e 'content_filter = amavis:[ ]:10024' #postconf -e 'receive_override_options =no_address_mappings' Insira as seguintes linhas no arquivo /etc/postfix/master.cf: amavis unix smtp -o smtp_data_done_timeout=1200 -o smtp_send_xforward_command=yes :10025 inet n smtpd -o content_filter= -o local_recipient_maps= -o relay_recipient_maps= -o smtpd_restriction_classes= -o smtpd_client_restrictions= -o smtpd_helo_restrictions= -o smtpd_sender_restrictions=

0.1]:10024' #postconf -e 'receive_override_options =no_address_mappings' Insira as seguintes linhas no arquivo /etc/postfix/master.

11 -o smtpd_recipient_restrictions=permit_mynetworks,reject -o mynetworks= /8 -o strict_rfc821_envelopes=yes -o receive_override_options=no_unknown_recipient_checks,no_header_body_checks -o smtpd_bind_address= Reinicie o postfix: #/etc/init.d/postfix restart Verifique se o processo master está escutando as portas 25 e 10025, e se o processo amavisd-new está escutando na porta 10024: #netstat -tap Razor e Pyzor são ferramentas para melhorar o desempenho do spamassassin installe as duas: #apt-get install razor pyzor Configure o spamassassin para utilizar essas ferramentas: abra adicione as linhas ao arquivo: #vim /etc/spamassassin/local.cf use_pyzor 1 pyzor_path /usr/bin/pyzor pyzor_add_header 1 use_razor2 1

d/postfix restart Verifique se o processo master está escutando as portas 25 e 10025, e se o processo amavisd-new está escutando na porta 10024: #netstat -tap Razor e Pyzor são

12 razor_config /etc/razor/razor-agent.conf use_bayes 1 use_bayes_rules 1 bayes_auto_learn 1 Reinicie amavisd-new: #/etc/init.d/amavis restart Verifique os módulos carregados: #tail -f /var/log/mail.log As configurações feitas funcionam da seguinte forma,as mensagens recebidas pelo Postfix na porta 25/tcp serão enviadas ao Amavisd-new pela porta 10024/tcp, que irá invocar o ClamAV e o SpamAssassin para analisar a mensagem e caso a mesma esteja livre de Vírus e não seja SPAM,será devolvida ao Postfix, através da porta 10025/tcp, e assim entregue na caixa postal do destinatário.

log As configurações feitas funcionam da seguinte forma,as mensagens recebidas pelo Postfix na porta 25/tcp serão enviadas ao Amavisd-new pela

13 CONCLUSÃO CONCLUIR QUE CONHECER APLICATIVO SEM CONHECER O QUE ABASTECE O PROPRIO, NÃO NOS DEIXA SEGURO PARA ACOMPANHAR A SEGURANÇA EXIGIDA.

Documentos relacionados

DNS Linux. Rodrigo Gentini gentini@msn.com

DNS Linux. Rodrigo Gentini gentini@msn.com Linux Rodrigo Gentini gentini@msn.com Domain Name System (DNS). O DNS é o serviço de resolução de nomes usado em todas as redes TCP/IP, inclusive pela Internet que, sem dúvidas, é a maior rede TCP/IP existente.