GUIA RÁPIDO DE CONFIGURAÇÃO PARA LINUX

Transcrição

1 GUIA RÁPIDO DE CONFIGURAÇÃO PARA LINUX

2 Cnteúd 1. INTRODUÇÃO CARACTERÍSTICAS DO WINCONNECTION WEB FILTER PARA LINUX INSTALAÇÃO REQUISITOS DE SOFTWARE REQUISITOS DE HARDWARE ANTES DE INSTALAR INSTALANDO O WINCONNECTION WEB FILTER PARA LINUX ASSISTENTE DE CONFIGURAÇÃO INTEGRANDO O WINCONNECTION WEB FILTER PARA LINUX ARQUITETURAS BÁSICAS... 9 a) Filtr cm Acess Exclusiv a Rede Interna ( Single Hsted Bastin Hst )... 9 b) Filtr psicinad n "Firewall" de Brda ( Dual Hsted Bastin Hst ) REGRAS DE FIREWALL TRANSLAÇÃO DE ENDEREÇOS (NAT) REDIRECIONAMENTO DE PACOTES ROTAS MÚLTIPLAS E IPROUTE ALGUNS COMANDOS OPERACIONAIS DO WINCONNECTION WEB FILTER PARA LINUX INICIAR / PARAR / RESTART SERVIÇO DO WINCONNECTION WEB FILTER PARA LINUX CONFIGURANDO O WINCONNECTION WEB FILTER PARA INICIAR AUTOMATICAMENTE APÓS UM BOOT RESTAURAR BACKUP LICENÇA Cpyright Winc Tecnlgia e Sistemas, tds s direits reservads. 2

3 1. Intrduçã Este guia irá rientá-l de frma prática e rápida na cnfiguraçã ds recurss mais utilizads d Wincnnectin. Para mais infrmações e instruções mais detalhadas, recmendams a leitura d manual d usuári e/u ds tutriais dispníveis em nss site. 2. Características d Wincnnectin Web Filter para Linux Veja a seguir as principais características e funcinalidades d Wincnnectin Web Filter para Linux: Fácil instalaçã e cnfiguraçã: gerenciament é feit através de um Administradr Web. Estabilidade, segurança e administraçã simplificada. Integraçã cm MS Active Directry (AD). Blquei d Ultra-Surf. Cmpartilhament de cnexã. Registr de lgs para tds s serviçs. Atualizaçã autmática d prgrama (aut-update). Relatóri de utilizaçã d link. Cntrle de banda. Servidr PROXY HTTP, HTTPS cntend: Cntrle de acess à internet pr grup de usuáris; Cntrle de acess à internet pr site/cnjunt de site/hráris; Regras de acess simplificadas; Blquei de dwnlad de arquivs (extensã); Filtr Autmátic de Cnteúd; Imprtaçã de lista de sites em frmat text; Restriçã de temp de navegaçã; Restriçã de limite de transferência diária; Relatóri de navegaçã pr usuári; Cpyright Winc Tecnlgia e Sistemas, tds s direits reservads. 3

4 Servidr Web cntend: Suprte a PHP; Criaçã de múltipls "alias"; Servidr DHCP 3. Instalaçã 3.1. Requisits de Sftware O Wincnnectin Web Filter para Linux pde ser instalad ns seguintes sistemas peracinais: Cents / Ubutun / Red-Hat / Debian / Fedra / Suse Platafrmas I386/ I586 / I64 Kernel superir a versã 2.4 Obs.: Para instalar Wincnnectin Web Filter para Linux é necessári ter acess a Internet e prtcl HTTPS para validar a licença n mment da instalaçã Requisits de Hardware Equipament Mínim: Prcessadr de 1GHz 512 MB de RAM HD de 120GB Equipament Recmendad: Prcessadr de 2GHz u superir 1GB de RAM HD de 120GB 3.3. Antes de Instalar Este manual parte d princípi que administradr tenha cnheciments básics de TCP/IP e cnheciment ds prgramas de acess à Internet instalads na rede (chamads de clientes). Cpyright Winc Tecnlgia e Sistemas, tds s direits reservads. 4

5 Recmendams verificar s itens abaix antes de instalar Wincnnectin Web Filter para Linux: O cmputadr nde será instalad Wincnnectin Web Filter para Linux deve estar funcinand nrmalmente, cnectad à internet e cm tdas as funções de navegaçã em perfeit estad. Tds s clientes devem estar cm prtcl TCP/IP instalads e funcinand crretamente. O Administradr deve cnhecer a tplgia da rede interna, bem cm IP d servidr e ds clientes e a classe de rede utilizada. O Administradr que irá fazer a instalaçã deve pssuir uma ideia clara ds serviçs que irá usar n Wincnnectin Web Filter para Linux e pr qual mtiv quer usar prdut. Na instalaçã recmendams se lgar n Linux cm Administradr (rt). Ist se deve a fat de que prgrama se instala cm um serviç d sistema peracinal, que é iniciad autmaticamente tda vez que cmputadr é ligad. Mds de Serviç de Verificações de Daemns (cm SeLinux) devem estar desabilitads u a liberaçã d Serviç d Wincnnectin deve ser realizada Instaland Wincnnectin Web Filter para Linux Primeiramente, faça dwnlad da versã mais recente d prgrama dispnível na seçã de dwnlad d site d Wincnnectin. Após cncluir dwnlad, execute arquiv de instalaçã:./nme d arquiv de instalaçã d Wincnnectin Pr Exempl:./Wincnnectin65-linux.sh O Assistente de Instalaçã ajudará a instalar e criar as pastas e arquivs d Wincnnectin Web Filter para Linux. O diretóri padrã é /pt/wc65/. Após finalizar a instalaçã, Wincnnectin Web Filter para Linux inicia autmaticamente Assistente de Cnfiguraçã. Siga s passs desse assistente, infrmand crretamente s dads (as etapas estã descritas detalhadamente n próxim tópic - Cpyright Winc Tecnlgia e Sistemas, tds s direits reservads. 5

6 3.5. Assistente de Cnfiguraçã). Assim que as etapas d Assistente de Cnfiguraçã frem cncluídas, Wincnnectin Web Filter para Linux será inicializad e prnt para ser usad Assistente de Cnfiguraçã O Assistente de Cnfiguraçã é iniciad lg após términ da instalaçã e realiza prcess de pré-cnfiguraçã d Wincnnectin Web Filter para Linux. Veja a seguir uma breve descriçã das etapas dispníveis n Assistente de Cnfiguraçã: Licença: O primeir camp d assistente é de licenciament. Inseria a licença que fi enviada para cadastrad n mment da aquisiçã d prdut. Endereç: N segund camp, é necessári infrmar endereç IP da rede interna. Máscara: Neste camp, é necessári infrmar a máscara da rede interna. Prta Web Infrme a Prta Web que será utilizada para acess d Administradr Web d Cpyright Winc Tecnlgia e Sistemas, tds s direits reservads. 6

7 Wincnnectin. Obs.: Verifique se nã está send utilizad Serviç Apache u qualquer Serviç Web d Linux (O Wincnnectin pssui seu própri serviç Web nã necessitand a instalaçã de serviç Web aparte, pr exempl, Apache, Tmcat, etc.). Prta Prxy: Infrme em qual prta irá funcinar serviç de Prxy. Pr padrã, prgrama Wincnnectin funcina na prta 8080, mas esta prta pde ser alterada. Prta Redir.: Neste camp, é necessári infrmar a prta d redirecinament de requisições d Wincnnectin (este serviç é Prxy Transparente na versã Wincnnectin para Windws). Senha: O sétim camp é a criaçã de senha para acess d usuári administradr d Wincnnectin. Cnfir. Senha: Cnfirme a senha digitada n camp anterir. Pr fim, cnfirme tdas as infrmações pressinand [OK]. Após cncluir Assistente de Cnfiguraçã, é pssível abrir Administradr Web d Wincnnectin Web Filter para Linux via navegadr (Internet Explrer/ Firefx/ Chrme) e realizar utras cnfigurações e as demais funcinalidades d prdut que estã descritas neste manual. Para acessá-l, digite seguinte endereç n navegadr: Cpyright Winc Tecnlgia e Sistemas, tds s direits reservads. 7

8 Digite lgin e a senha d administradr u de algum usuári que pertença a grup Administradres. Usuári. Mais infrmações sbre Administradr Web pdem ser encntradas n Manual d 4. Integrand Wincnnectin Web Filter para Linux Para que Wincnnectin Web Filter para Linux funcine de maneira integrada cm as plíticas de segurança previamente estabelecidas pel administradr d sistema, certs cuidads e prcediments devem ser adtads. Adiante apresentams cnjunt de prcediments e infrmações que pssibilitarã a integraçã bem sucedida, cmplementand as plíticas de segurança estabelecidas. Cpyright Winc Tecnlgia e Sistemas, tds s direits reservads. 8

9 4.1. Arquiteturas Básicas O Wincnnectin Web Filter para Linux permite us de várias arquiteturas de rede. Embra, nã esgtems tdas as pssibilidades de arquitetura que existam, as apresentadas aqui frnecem blcs de cnstruçã para muitas delas. a) Filtr cm Acess Exclusiv a Rede Interna ( Single Hsted Bastin Hst ) Esta arquitetura é caracterizada pel fat da máquina nde Filtr de Cnteúd é instalad, pssuir apenas uma única interface de rede, psicinada dentr da rede interna prtegida pr um firewall. Nesse cas, é imprtante que firewall blqueie s pactes HTTP e HTTPS (prtas 80 e 443 respectivamente) que nã vierem d Wincnnectin para garantir cumpriment das plíticas estabelecidas. b) Filtr psicinad n "Firewall" de Brda ( Dual Hsted Bastin Hst ) O Filtr de Cnteúd é instalad n própri "firewall", pssuind pel mens duas interfaces de rede, uma ligada a rede interna e a utra ligada a Internet. Neste cas, acess a Internet pde ser implementad via uma u mais interfaces e prvedres Regras de Firewall Mesm instalad na mesma máquina d "firewall", Filtr de Cnteúd nã realiza qualquer alteraçã nas regras de "firewall" estabelecidas pel administradr. Desta frma, a implementaçã das regras que permitam acess a Internet pel filtr, bem cm d acess a filtr pels usuáris, é de ttal respnsabilidade d administradr. Três tips de regras necessitam ser determinadas: 1. Regra de acess a filtr pels usuáris; 2. Regra de acess à interface administrativa; 3. Regra de saída à internet realizada pel filtr. Quand acess a filtr pels usuáris é realizad diretamente na rede interna, é muit cmum que a regra de acess seja bastante ampla, permitind que a administraçã seja realizada pr tdas as máquinas da rede interna. Veja s exempls de regras para a rede interna: Rede interna liberada a tds: Cpyright Winc Tecnlgia e Sistemas, tds s direits reservads. 9

10 iptables -A INPUT -i eth0 -j ACCEPT Prta de "prxy" (8080, n exempl) liberada a parte da rede, e prta de administraçã WEB (80) liberada a apenas para máquina de IP : iptables -A INPUT -i eth0 -p tcp --dprt s /25 iptables -A INPUT -i eth0 -p tcp --dprt 80 -s Agra alguns exempls de regra de saída: Interface de saída ttalmente liberada: iptables -A OUTPUT - ppp0 -j ACCEPT Saída liberada apenas para s prtcls HTTP e HTTPS, apenas para cnexões iniciadas lcalmente: iptables -A OUTPUT - ppp0 -p tcp --destinatin-prt 80 -m state --state NEW - j ACCEPT iptables -A OUTPUT - ppp0 -p tcp --destinatin-prt 443 -m state --state NEW -j ACCEPT Cnvém bservar que Filtr de Cnteúd nã atribui nenhuma prta a endpint lcal, utilizad na saída. Desta frma, uma vez que a esclha d enpint lcal é feita de frma aleatória pel kernel d Linux, para uma cnexã efetuada pel filtr, nã é pssível estabelecer uma regra de saída baseada na prta de rigem Translaçã de Endereçs (NAT) Quand filtr é psicinad dentr da rede interna, sem acess diret a rede externa (cnfigurad cm Single Hsted Bastin Hst ) "firewall" deve ser cnfigurad de md a permitir que s pactes riginads pel filtr sejam adequadamente enviads as servidres de cnteúd. Cm na mairia destas cnfigurações, asscia-se a máquina nde filtr é instalad, endereçs privads (RFC-1918), a cnfiguraçã d "firewall" deverá prver uma regra de NAT que realize a translaçã ds endereçs interns em endereçs públics. Uma cnfiguraçã cmum é fazer cm que smente filtr pssa realizar acesss externs, impedid as demais máquinas acess WEB diret. Neste cas, pde-se ptar pr restringir acess das demais máquinas da rede a máquinas externas, via regras de Cpyright Winc Tecnlgia e Sistemas, tds s direits reservads. 10

11 "firewall", u ainda criar uma regra de translaçã de Ips (NAT), smente assciada a máquina de filtr de cnteúd. Quand instalad n "firewall" de brda, a cnfiguraçã da regra de NAT também se faz necessária. A mairia ds framewrks u assistentes de cnfiguraçã de "firewall" já prvidencia a criaçã da regra de NAT necessária Redirecinament de Pactes A cnfiguraçã d Filtr de Cnteúd cm "prxy" transparente depende de uma regra de NAT que transfira flux de rede para Wincnnectin Web Filter para Linux. Neste cas, uma regra de iptables deve redirecinar tds s pactes WEB a prta de redireçã especificada durante a instalaçã d prdut ( Prta de Redir ). Cnfigurad cm "prxy" transparente, s usuáris terã duas frmas de acessar as paginas WEB na Internet, cnfigurand endereç d "prxy" diretamente n navegadr, u via "prxy" transparente. É necessári que Wincnnectin Web Filter para Linux esteja n caminh entre navegadr e a Internet. A maneira mais simples de fazer ist é instaland Wincnnectin na mesma máquina nde d "firewall" e que mesm seja rteadr padrã da rede interna. A regra abaix é um exempl de regra de redirecinament de prta para a cnfiguraçã de "prxy" transparente, para Wincnnectin psicinad n gateway padrã de IP : iptables -t nat -A PREROUTING -i eth0 -p tcp --dprt 80 -j REDIRECT --t-prt destinatin! Na regra acima, s pactes direcinads a prta 80 (http) sã direcinads a prta 9091 (prta de redirecinament padrã d Wincnnectin). É bastante interessante, ntarms us da expressã: --destinatin! Esta cláusula impede que s pactes envlvids na administraçã d Wincnnectin sejam direcinads a "prxy". Se a prta d servidr WEB d Wincnnectin, usad na administraçã lcal, esclhida fr diferente de 80, esta cláusula pderá ser mitida. É perfeitamente pssível a cnfiguraçã de um "prxy transparente, sem que Wincnnectin seja instalad n gateway padrã. Neste cas, é necessária us de uma Cpyright Winc Tecnlgia e Sistemas, tds s direits reservads. 11

12 cnfiguraçã mais cmplicada, empregand regras de iprute2 e regras iptables para marcaçã de pactes (-t mangle -j MARK). Basicamente, tds s pactes WEB sã marcads, para que, durante a fase de rteament, sejam cnduzids a máquina nde Wincnnectin fi instalad. Cm esta cnfiguraçã é um tant incmum e altamente dependente da tplgia de rede utilizada, ela nã será descrita aqui Rtas Múltiplas e IPROUTE2 Uma das características principais d Wincnnectin Web Filter para Linux é a habilidade de fazer balanceament de carga quand diverss links de saída estã dispníveis. Parte d trabalh de balanceament é realizad pr um cnjunt de cnfigurações de iprute2 criad autmaticamente pel Wincnnectin. Cm esta cnfiguraçã pde vir a clidir cm utras, determinadas pel administradr de rede, apresentams aqui um pequen guia de cnvivência entre administradr e Wincnnectin. É parte d trabalh d Wincnnectin descbrir cnjunt de rtas padrã dispnível. As rtas sã extraídas de diverss lugares, cm arquivs de estad de daemns e arquivs de cnfiguraçã de sistema. Para cada interface que pssui rta padrã, uma tabela de rteament dedicada a esta interface é criada. Para fins de cnsistência, id de cada tabela é armazenad n arquiv de cnfiguraçã psicinad em: /pt/wc65/etc/iprute2/rt_tables O frmat deste arquiv é exatamente igual a utilizad pel sistema peracinal e usad pels cmands d iprute2 que é mantid n diretóri: /etc/iprute2/rt_tables Esta cincidência nã é feita de frma leviana, mas sim para que administradr pssa cpiar as definições de um arquiv n utr. Desta frma, a manipulaçã das tabelas pde ser cmpartilhada. O Wincnnectin faz sempre atualizaçã ds ids das tabelas em seu própri arquiv. Uma vez criads, s ids nunca sã alterads. Mesm que uma interface seja apagada, seu id é preservad n arquiv de cnfiguraçã. Veja exempl abaix: [rt@wc65-linux ~]# cat /pt/wc65/etc/iprute2/rt_tables Cpyright Winc Tecnlgia e Sistemas, tds s direits reservads. 12

13 52 rtdev_eth1 53 rtdev_ppp0 54 rtdev_eth2:1 Cada tabela de rteament é preenchida cm as rtas necessárias a funcinament d balanceadr de links. O administradr pde fazer atualizações em qualquer uma das tabelas criadas pel Wincnnectin. A mens que as definições de rta criadas pel administradr clidam, nenhuma rta que nã tenha sid criada pel Wincnnectin é apagada pr ele. É imprtante saber que algumas tarefas d sistema peracinal pdem apagar rtas da tabela. Neste cas, Wincnnectin reprá as rtas necessárias, mas nã as criadas pel administradr. É recmendad que as rtas criadas pel administradr sejam guardadas em arquivs de cnfiguraçã d sistema peracinal. Infelizmente, nã há um cnsens entre as diversas distribuições Linux, quant a psicinament destas cnfigurações. ppp0 : O exempl abaix mstra a tabela de rteament cnstruída para a interface [rt@wc65-linux ~]# ip rute list table rtdev_ppp dev ppp0 src default via dev ppp0 Além das rtas, Wincnnectin cria as regras de rteament (rules) que rientam rteament de pactes. As regras estabelecem um tip de rteament basead n IP de rigem d pacte. O exempl abaix mstra uma tabela alterada pel Wincnnectin: [rt@wc65-linux ~]# ip rule list 0: frm all lkup : frm lkup rtdev_ppp : frm lkup rtdev_eth : frm all lkup main 32767: frm all lkup default Cpyright Winc Tecnlgia e Sistemas, tds s direits reservads. 13

14 Os dis cmands acima só sãs pssíveis se as definições d arquiv /pt/wc65/etc/iprute2/rt_tables frem cpiadas para arquiv /etc/iprute2/rt_tables. D cntrári, s ids digitads deverã estar na sua frma numérica. 5. Alguns Cmands Operacinais d Wincnnectin Web Filter para Linux Tds s cmands d Wincnnectin Web Filter para Linux encntram-se em: [rt@wc65-linux ~]#cd /pt/wc65/bin bash ls php redhat.sh wc65_ctl.bin xml_restre iptables pear php-cgi sh wc65d xml_restre.bin linsetup peardev php-cnfig smtpmail wclg linsetup.bin pecl phpize wc65_ctl wcrel 5.1. Iniciar / Parar / Restart Serviç d Wincnnectin Web Filter para Linux [rt@wc65-linux ~]# service wc65 start [rt@wc65-linux ~]# service wc65 stp [rt@wc65-linux ~]# service wc65 restart 5.2. Cnfigurand Wincnnectin Web Filter para iniciar autmaticamente após um bt [rt@wc65-linux ~]# chkcnfig wc65 n 5.3. Restaurar Backup O cmand xml_restre tem cm bjetiv realizar a restauraçã das cnfigurações realizadas anterirmente n Wincnnectin Web Filter para Linux. O backup será feit autmaticamente nas seguintes situações: Tdas as vezes que Wincnnectin Web Filter para Linux fr para- Cpyright Winc Tecnlgia e Sistemas, tds s direits reservads. 14

15 d/reiniciad, (service wc65 start/stp/restart); Tds s dias à meia-nite; O arquiv de backup será salv na pasta /pt/wc65/backup. Para restaurar backup, execute prcediment abaix: Pare Wincnnectin: [rt@wc65-linux bin]# service wc65 stp Restaure Backup: [rt@wc65-linux bin]#./xml_restre /pt/wc65/backup/wc _02-16.xml Inicie Wincnnectin: [rt@wc65-linux bin]# service wc65 start 5.4. Licença O cmand linsetup e wc65_ctl tem cm bjetiv adicinar, remver, substituir e visualizar a licença utilizada pel Wincnnectin Web Filter para Linux. Acess a Assistente de Cnfiguraçã d Wincnnectin Web Filter para Linux: [rt@wc65-linux bin]#./linsetup dialg Os cmands utilizand wc65_ctl servem para adicinar, remver, substituir e visualizar: [rt@wc65-linux bin]#./wc65_ctl Optins: - wc65_ctl add_license license -> Adicinar Licença - wc65_ctl del_license license -> Remver Licença - wc65_ctl list_license [-l] [-u] [-v]-> Visualizar prdut e a licença - wc65_ctl change_license ldlicense newlicense -> Alterar a licença Cpyright Winc Tecnlgia e Sistemas, tds s direits reservads. 15

16 Vendas e Suprte Técnic: Sã Paul: (11) Ri de Janeir: (21) Bel Hriznte: (31) Prt Alegre: (51) Flrianóplis: (48) Cpyright Winc Tecnlgia e Sistemas, tds s direits reservads. 16