:Author: Andrea Manni
:Copyright: GFDL
- :Version: 0.5
+ :Version: 0.7
Questa guida e' dedicata agli studenti delle lezioni di informatica tenute da Andrea nel lab208. Nella parte iniziale sono presenti alcuni richiami alle impostazioni di rete e di installazione del laboratorio 208 (lab208) dove generalmente si tengono le lezioni. Questi parametri non sono interessanti per chiunque si trovasse al di fuori della rete piffa.net .
Sul portatile di Andrea, corrispondente all'ip 254, gira un DHCP, proxy http e mirror di Debian ( http://debian.piffa.net). Se Andrea non e' in aula (o ancora peggio non c'e' il suo portatile Net) gli studenti dovranno darsi un indirizzo ip manualmente e disabilitare il proxy (che pero' e trasparente, quindi fate pure come se non ci fosse ;) . Questo in attesa che si sappia se sara' nuovamente utilizzabile il vecchio server Bender.
+interfaces
+~~~~~~~~~~~~~~~
+
+Segue un esempio del file di configurazione della scheda di rete con configurazione statica::
+ # /etc/network/interfaces -- configuration file for ifup(8), ifdown(8)
+
+ # The loopback interface
+ iface lo inet loopback
+
+ # La prima scheda di rete (se si chiama eth0)
+ # (network, broadcast and gateway sono optional)
+ iface etho inet static
+ # esempio con dhcp
+ # iface etho inet dhcp
+ address 212.22.136.101
+ netmask 255.255.255.0
+ network 212.22.136.0
+ broadcast 212.22.136.255
+ gateway 212.22.136.254
+
+ # Quali interfaccie devono partire automaticamente:
+ auto lo eth0
+
+Controllare il nome della propia scheda di rete: a volte *udev* rinomina la prima scheda a ``eth1``, oppure potreste avere piu' di una scheda di rete (anche un'interfaccia *firewire* puo' essere automaticamente abilitata come scheda di rete).
+
+Se si usano *schede di rete virtuali* ( eth0:1 , eth0:1 , ...) ricordarsi che queste dipendono dalla scheda fisica a cui sono associate: abbattere con ``ifconfig down eth0`` la scheda principale fara' cadere anche queste. Tornando ad attivare la schda principale con ``ifconfig eth0 up`` la virtuale tornera' attiva: nel caso voleste disabilitarla dovrete quindi sempre abbattere manualmente la scheda virtuale *prima* della scheda reale.
+
Bash completion
-------------------
# directory primo livello
# secondo livello di directory
-Se si modifica la struttura del filesytem della cache di Squid, ad esempio variando il numero delle directory, puo' essere opportuno rigenerare la struttura della cache di squid (per lo meno se si *aumenta il numero delle directory di primo o secondo livello). Tipicamente e' opportuno cancellare (se si ha *ridotto* il numero delle diectory) la vecchia cache e poi generare una nuova struttura. Se si vuole *star nel sicuro* ogni volta che si modifica l'impostazione delle directory *si svuoti la vecchia cache e se ne generi una nuova* ::
+Se si modifica la struttura del filesytem della cache di Squid, ad esempio variando il numero delle directory, puo' essere opportuno rigenerare la struttura della cache di squid (per lo meno se si *aumenta* il numero delle directory di primo o secondo livello). Tipicamente e' consigliabile cancellare (se si ha *ridotto* il numero delle diectory) la vecchia cache e poi generare una nuova struttura. Se si vuole *star nel sicuro* ogni volta che si modifica l'impostazione delle directory *si svuoti la vecchia cache e se ne generi una nuova* ::
# /etc/init.d/squid3 stop
# rm -r /var/spool/squid3/??
Configurazione di Apache
----------------------------
-I file di configurazione di apache si trovano nella cartella: ``/etc/apache2`` e sono strutturati come descritto nel file ``/usr/share/doc/apache2/README.Debian.gz`` . Sostanzialmente lo schema e' il seguente:
+I file di configurazione di apache si trovano nella cartella: ``/etc/apache2`` e sono strutturati come descritto nel file
+``/usr/share/doc/apache2/README.Debian.gz`` . Sostanzialmente lo schema e' il seguente:
apache2.conf
File di configurazione principale del servizio.
Il file ``/etc/resolv.conf`` contiene le impostazioni sul dns usato dal sistema, in genere anche altre applicazioni che devono effettuare query DNS leggono resolv.conf per conoscere l'ubicazione del DNS.
-/etc/resolv.conf::
+/etc/resolv.conf:
- ``nameserver``: indica il nameserver da utilizzare, indicato con l'indirizzo ip.
* Postfix: ``myhostname``
-Nsupdate
--------------
-
-esempio su chrome o link a un tutorial:
-
-link a tutorial: http://linux.yyz.us/nsupdate/
DNSmasq
========
Tutto cio' rende Dnsmasq una soluzione valida in particolare quando si deve intervenire in una rete pre-esistente in cui il server principale e' in crisi: si potra' utilizzare Dnsmasq anche su una macchina piu' debole e *mascherare* i servizi al momento non disponibili.
Molto utile per scopi didattici, sopratutto per testare server SMTP impostando al volo i campi MX per nomi di dominio fittizi.
+
+Configurazione
+-----------------
+
+Vediamo alcune direttive di basi del file di configurazione ``/etc/dnsmasq.conf`` utili per la configurazione sia del DNS cache che per il DHCP server:
+
+
+domain-needed
+ Non inoltrare query ai server DNS esterni per nomi semplici (es andrea, portatile, pippo) che verranno risolti solo in locale o causeranno direttamente una risposta *not found* .
+
+
+bogus-priv
+ Simile alla voce precedente ma per i reverse look-up.
+
+
+domain
+ Nome di dominio della rete da passare ai client.
+
+
+expand_hosts
+ Aggiunge il ``nome host`` ( ``/etc/hostname``) dei client al nome di dominio per qualificarli in rete, senza bisogno di dover comporre a un elenco statico di record nel file ``/etc/hosts`` o nello stesso file di configurazione di dnsmasq. Es: se un vostro client si chiama ``chrome`` e il vostro dominio ``piffa.net`` dnsmasq rendera' disponibile il campo *A* per il dominio ``chrome.piffa.net`` diretto all'ip che verra' assegnato al client.
+
+
+DHCP
+-----------
+
+Per attivare il demone DHCP di dnsmaq basta aggiungere al file di configurazione il *range* degli ip che si vuole assegnare ai client con il *lease time* (tempo di rilascio: quanto a lungo saranno validi gli ip assegnati) espresso in ore.
+
+Si faccia *attenzione*: in una rete puo' esseere presente **un solo server DHCP**, o per meglio dire qualunque server DHCP ascolta sul broadcast ``255.255.255.255`` e potrebbe rispondere a un pacchetto di richesta DHCP. Quindi non fate partire inavvertitamente un server DHCP in una rete gia' servita e **non vi azzardate ad andare in giro con un portatile con un server DHCP attivo** nelle reti altrui. Questo vale anche per i laboratori di informatica dei corsi di reti: non fate partire il vostro server DHCP se siete collegati alla rete interna!
+
+/etc/dnsmasq.conf (riga 118)::
+
+ dhcp-range=192.168.0.20,192.168.0.50,24h
+
+DNS cache
+-----------
+
+Aggiungere al file ``/etc/resolv.conif`` il nameserver localhost in cima alla lista dei *nameserver* disponibili. Dnsmasq usera' la propia cache e in caso non abbia disponibile il *record DNS* richiesto fara' partire una query al primo DNS::
+
+ nameserver 127.0.0.1
+
+
+Questo pero' potrebbe essere problematico se un altro servizio, ad esempio il DHCP client, riscrive il contenuto del file ``/etc/resolv.conf``. Per superare il problema si aggiunga (riga 20) al file di configurazione ``/etc/dhcp3/dhclient.conf`` ::
+
+ prepend domain-name-servers 127.0.0.1;
+
+Oppure potrebbe essere il nostro *PPP client* (per la connessione ADSL) a intervenire sul file ``//etc/resolv.conf``, si modifichi quindi ``/etc/ppp/peers/dsl-provider`` commentando ``usepeerdns``. Se la vostra connessione ad internet e' ADSL raramente dovreste aver bisogno di cambiare i DNS una volta impostati (a meno che non usiate un portatile!).
+
+
+DHCPd
+---------
+
+Dnsmasq puo' lavorare anche come DHCP server per la vostra LAN.
+
Samba
======
mount -t smbfs //localhost/sambo_share /mnt/sambo_mount/ --verbose -o user=sambo
+Server di posta: Postfix
+============================
+
+Il server di posta che prenderemo in considerazione e' Postfix, a seguire un estratto di un file do configurazione *semplie* con l'abilizazione delle *Maildir* nelle ``/home`` degli utenti per la consegna della posta:
+
+``/etc/postfix/main.cf``::
+
+ # ...segue dalla riga ~30
+ myhostname = 162.piffa.net
+ alias_maps = hash:/etc/aliases
+ alias_database = hash:/etc/aliases
+ myorigin = 162.piffa.net
+ mydestination = 162.piffa.net, localhost
+ # Se non avete un ip pubblico e statico, con un adeguato record PTR
+ # dovrete usare un realy host per l'invio della posta
+ relayhost = smtp.piffa.net
+ mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128
+
+ # Per effettuare lo storaggio della posta nelle home directory degli utenti
+ # in una Maildir invece che la Mailbox in /var/mail/utente
+ # si disabiliti procmail
+ #mailbox_command = procmail -a "$EXTENSION"
+
+ # Storaggio della posta nella _cartella_ Maildir/ (si noti lo slash)
+ # nella home dell'utente:
+ home_mailbox = Maildir/
+ mailbox_size_limit = 0
+ recipient_delimiter = +
+ inet_interfaces = all
+
+
+Imap e pop
+------------------
+
+Postfix e' un server SMTP, di conseguenza se volete che i vostri utenti possano *scaricare* in locale la posta generalemtne volete mettere a loro disposizione un server *POP3* o ancora meglio *IMAP*. Oppure entrambi.
+
+Pacchetti da installare
+ courier-imap courier-pop
+
+i noti che IMAP necessita delle Maildir, non funziona con le Mailbox in ``/var/mail/`` .
+
+
+Web client
+~~~~~~~~~~~~~~~
+
+Per mettere a disposizione degli utenti un client web per gestire la propia posta si installi il pacchetto: ``squirrelmail`` . Ci sono tanti altri client web disponibili: questo e' particolarmente semplice. Naturalemte dovrete aver installato: ``php5 apache2`` .
+
+L'interfaccia dovrebbe essere disponibile all'url: ``http://localhost/squirrelmail`` . Se cosi' non fosse assicuratevi che Apache abbia incluso il file di configurazione di squirrelmail::
+
+ cd /etc/apache2/conf.d/
+ ln -s /etc/squirrelmail/apache.conf ./
+
+
+
Firewall
==========
+Salvataggio regole
+----------------------
+
+Il comando ``iptables`` serve per interagire con il framework ``Netfilter`` ch gestisce il firewall di Linux al livello del kernel. Questo comporta, in modo analogo a quando avvene col comando ``ifconfig``, che i cambiameti impostati siano in *tempo reale, RAM*, non persistenti nel sistema: al boot sucessivo del sistema tutto tornera' alle impostazioni di base (in questo caso *nulle*, con policy di default settate su ``ACCEPT`` per tutto).
+
+Le varie invocazioni di iptables potrebbero essere richiamate da degli scripts dedicati, ma fortunatamente e' stata predisposta una apposita utility per gestire questi scripts in modo da avere a disposizione un *formato standard* per il salvataggio e il ripristino delle regole del firewall.
+
+Altro problema: decidere quando attivare / disattivare queste regole. Utilizzare i *runlevels* non e' una soluzione adeguata: le regole del firewall sono legate all'attivita' delle schede di rete (e un host con diverse schede di rete puo' attivarle a secondo delle esigenze di routing, partenza di servizi es file_sharing per un back-up...): il sistema operativo Debian permette di legare l'esecuzione di comandi alla attivazione di una device di rete (``up``), dopo la sua attivazione (``post-up``, utile per devices che richiedono un certo tempo per inizializzarsi: come un tunnel o una connessione punto a punto), prima della sua attivazione (``pre-up``). Allo stesso modo sono disponibili eventi analoghi per accompagnare la disattivazione dei device di rete: si veda la pagina man di ``interfaces``.
+
+Nel nostro caso avremo per una possibile scheda ``eth0``:
+
+``/etc/network/interfaces`` ::
+
+ iface eth1 inet static
+ up /sbin/iptables-restore /root/firewall/basic_fw
+ # Seguno i soliti parametri della scheda di rete
+ address 10.10.208.21
+
+
+Iptables-save
+~~~~~~~~~~~~~~~
+
+Per salvare le regole di iptables attualmente presenti nel kernel si usi il comando::
+
+ # iptables-save >> /root/firewall/basic_fw
+
+Il contenuto del file dovrebbe essere *comprensibile*: sostanzialmente sono regole di iptables, senza il comando iptables ripetuto, suddivisi per le varie tabelle. Potete comunque correggere eventuali parametri con un edito di testo.
+
+
+Se non avete un'idea migliore potreste voler tenere gli script dei firewall in una cartella ``~/firewall`` nella home directory dell'utente ``root``.
+
+Iptables-restore
+~~~~~~~~~~~~~~~~~~~~
+
+Per ripristinare un set di regole prcedentemente salvate con ``iptables-save`` si utilizzi ``iptables-restore``. Se questo deve essere fatto in modalita' *non interattiva*, ad esempio deve essere eseguito dal demone che si occupa di inizializzare le schede di rete, oppure un *cron* o altro, e' buona norma richiamare i percorsi completi sia dei comandi che dei file::
+
+ /sbin/iptables-restore /root/firewall/basic_fw
+
NOTE
========
projects / doc / .git / blobdiff