Server Linux:

Instalare si configurare servicii uzuale

Ion POPESCU
16.01.2012

Proiect propus in cadrul examenului Linux Administration:

Basic&Servers, autorizat CNFPA
Sesiunea ianuarie 2012

Proiect: Server Linux Instalare si configurare, 16.01.2012 Pag. 1/11

Ion POPESCU
Cuprins:

Pag

1. Prezentare generala 3
2. Server SSH 4
3. Server DNS 5
4. Server DHCP 6
5. Server FTP 7
6. Server HTTP 8
7. Server email 9
8. Server baze de date 10
9. Securizare 11

Proiect: Server Linux Instalare si configurare, 16.01.2012 Pag. 2/11

Ion POPESCU
1. Prezentare generala
Introducere

1. Proiectul prezinta etapele majore pentru instalarea, configurarea si

utilizarea serviciilor uzuale ale unei companii: email, DNS, FTP, etc.
2. Toate serviciile sunt instalate pe o singura platforma hardware
virtualizata prin intermediul aplicatiei VMWare (http://www.vmware.com)
3. Utilizarea tuturor aplicatiilor pe o singura platforma este nerecomandata
in practica, aceasta devenind un singur punct de intrerupere (SPOF:
Single Point of Failure). Prezentarea se doreste a fi doar o demonstratie
la nivel minimalist a serviciilor puse la dispozitie de sistemul de operare
GNU/Linux

Platforma hardware

1. Sistemul de operare, precum si toate aplicatiile/serviciile sunt instalate pe

un laptop, cu urmatoarele caracteristici:
CPU 1,7GHz
RAM 2GB DDR2 PC4200
HDD Western Digital SATA 320GB 5600rpm
Ethernet 100/1000 Gigabit Ethernet Controller

2. Platforma hardware virtualizata are urmatoarele caracteristici hardware:

CPU 1,7GHz
RAM 1GB
HDD 20GB, single file image
Ethernet 100/1000 Gigabit Ethernet Controller, bridged

Platforma software - Host

1. Sistemul de operare host are urmatoarele caracteristici:

OS Windows XP Professional SP3

Platforma software - Guest

1. Sistemul de operare guest are urmatoarele caracteristici:

OS Linux CentOS 5.6

Proiect: Server Linux Instalare si configurare, 16.01.2012 Pag. 3/11

Ion POPESCU
2. Server SSH
Instalare si configurare

1. Serverul SSH este instalat default, odata cu instalarea sistemului de

operare Linux.

2. Pentru securizarea serviciului SSH, s-au configurat urmatoarele:

a. Versiune obligatorie: ver2
b. Portul pe care asculta serverul SSH: tcp/10022
c. Nu este permis accesul utilizatorului root, acesta trebuind sa
obtina permisiuni de superutilizator prin mecanismul su, dupa
accesul cu un utilizator normal
d. Parolele pentru utilizatorii sunt complexe, astfel:
root:cmaroot!Q@W
user1:cmauser!Q
user2:cmauser@W
Nota: Parolele utilizatorilor pot fi deduse una din cealalta, nu se
recomanda folosirea acestui tip de parole

Proiect: Server Linux Instalare si configurare, 16.01.2012 Pag. 4/11

Ion POPESCU
3. Server DNS
Instalare si configurare

1. Serverul BIND se instaleaza din pachete, folosind utilitarul yum

# yum install bind

2. Fisierul de configurare este /etc/named.conf

3. Serverul DNS este autoritativ pentru doua domenii:

adrianvasiliu.ro
27002.ro

4. Fisierele de zona pentru cele doua domenii sunt:

/etc/named/adrianvasiliu.ro-inside
/etc/named/adrianvasiliu.ro-outside
/etc/named/27002.ro-inside
/etc/named/27002.ro-outside

5. Pentru fiecare domeniu sunt separate view-urile pe baza IP-urilor ce

interogheaza serverul: pentru clasa 192.168.1.0/24 sunt servite
domeniile din view-urile inside, iar pentru restul IP-urilor sunt servite
domeniile din view-urile outside.

6. Doar pentru interogarile DNS provenite din clasa de IP-uri

192.168.1.0/24 sunt premise interogarile recursive si sunt configurate
servere de domenii de tip forwarders.

7. Este configurata pentru ambele domenii atat rezolutia directa, cat si cea
inverse

8. Serviciul este pornit la boot-time:

# chkconfig --level 345 named on

Proiect: Server Linux Instalare si configurare, 16.01.2012 Pag. 5/11

Ion POPESCU
4. Server DHCP
Instalare si configurare

1. Serverul BIND se instaleaza din pachete, folosind utilitarul yum

# yum install dhcp

2. Fisierul de configurare este /etc/dhcpd.conf

3. Alocarile de IP-uri se fac in functie de MAC-urile configurate in

/etc/dhcpd.conf

4. Serviciul este pornit la boot-time:

# chkconfig --level 345 dhcpd on

Proiect: Server Linux Instalare si configurare, 16.01.2012 Pag. 6/11

Ion POPESCU
5. Server FTP
Instalare si configurare

1. Serverul FTP se instaleaza din pachete, folosind utilitarul yum

# yum install proftpd-mysql

2. Fisierul de configurare este /etc/proftpd.conf

3. Nu este permis accesul cu utilizatorul root

4. Autentificarea se bazeaza pe utilizatori virtuali dintr-o baza de date

mySQL, acestia fiind chroot-ati in home-directory

5. Serviciul este pornit la boot-time:

# chkconfig --level 345 proftpd on

Instalare si configurare

1. Serverul FTP se instaleaza din pachete, folosind utilitarul yum

# yum install vsftpd

2. Fisierul de configurare este /etc/vsftpd/vsftpd.conf

3. Nu este permis accesul cu utilizatorul root

4. Autentificarea se bazeaza pe utilizatori de sistem, acestia fiind chroot-ati

in home-directory

5. Serviciul este pornit la boot-time:

# chkconfig --level 345 vsftpd on

Proiect: Server Linux Instalare si configurare, 16.01.2012 Pag. 7/11

Ion POPESCU
6. Server Email (Postfix+Dovecot)
Instalare si configurare server SMTP: Postfix

1. Serverul SMTP se instaleaza din pachete, folosind utilitarul yum

# yum install postfix

2. Fisierele de configurare sunt pastrate in directorul /etc/postfix

3. Domeniile pentru care serverul SMTP este responsabil sunt configurate

virtuale, fiind tinute intr-o baza de date mySQL

4. Utilizatorii de mail sunt virtuali, tinuti intr-o baza de date mySQL. Home-
directory-ul este de forma:

/data/mail/domeniu/utilizator

5. Este configurata autentificarea SASL, folosind modulul acesta din

Dovecot. De asemenea, este configurat un blacklist:
zen.spamhaus.org

6. Nu este permis relay-ul

7. Sunt configurate alias-uri pentru utilizatori virtuali din baza de date

8. Serviciul este pornit la boot-time:

# chkconfig --level 345 postfix on

Instalare si configurare server POP3: Dovecot

1. Serverul POP3 se instaleaza din pachete, folosind utilitarul yum

# yum install dovecot

2. Fisierele de configurare sunt pastrate in directorul /etc/dovecot

3. Casutele de email sunt de tip Maildir

4. Serviciul este pornit la boot-time:

# chkconfig --level 345 dovecot on

Proiect: Server Linux Instalare si configurare, 16.01.2012 Pag. 8/11

Ion POPESCU
7. Server HTTP

Instalare si configurare server HTTP: Apache

1. Serverul HTTP se instaleaza din pachete, folosind utilitarul yum

# yum install httpd

2. Fisierele de configurare sunt pastrate in directorul /etc/httpd

3. Modulul PHP este instalat, folosind utilitarul yum

# yum install php

4. Serverul HTTP este configurat pentru doua domenii virtuale:

www.adrianvasiliu.ro
www.27002.ro

Nota: domeniile sunt rezolvate de serverul DNS local, acesta avand

configurata adresa de loopback pentru cele doua subdomenii www

5. Accesul la resurse este controlat prin intermediul directivelor .htaccess si

.htpasswd, in functie de IP sau username/parola

6. Serviciul este pornit la boot-time:

# chkconfig --level 345 httpd on

Proiect: Server Linux Instalare si configurare, 16.01.2012 Pag. 9/11

Ion POPESCU
8. Server baze de date

Instalare si configurare server baze de date: mySQL

1. Serverul mySQL se instaleaza din pachete, folosind utilitarul yum

# yum install mysqld

2. Fisierul de configurare este /etc/my.cnf

3. Pentru securizarea serverului mySQL:

a. Se schimba parola pentru utilizatorul root@localhost
b. Se sterg ceilalti utilizatori default, iar pentru bazele de date
necesare (FTP, email) se configureaza utilizatori dedicate, cu
parole complexe
c. Nu se permite conexiunea prin intermediul stivei TCP/IP, ci doar
local, prin socket-uri

4. Serviciul este pornit la boot-time:

# chkconfig --level 345 mysqld on

Proiect: Server Linux Instalare si configurare, 16.01.2012 Pag. 10/11

Ion POPESCU
9. Securizare
Configurare firewall IPTABLES

1. Firewall-ul default din instalarea sistemului de operare se inlatura

2. Sunt definite scripturi pentru fiecare chain (INPUT, OUTPUT,

FORWARD), astfel:
a. Chain-ul INPUT:
Se permite accesul prin SSH doar de la anumite IP-uri
(portul tcp/10022)
Se permite accesul la serviciile instalate anterior
(tcp/20, tcp/21, tcp/80, dns/53, tcp/25, tcp/110)
Politica default: DENY
b. Chain-ul OUTPUT:
Se permite accesul pe toate porturile
Politica default: PERMIT
c. Chain-ul FORWARD:
Configuratia depinde de reteaua locala in care este
instalat, pentru acest proiect sunt permise toate
conexiunile ce traverseaza serverul

3. Este permis traficul de tip ICMP

Configurare backup
1. Backup-ul pentru bazele de date este extrem de important, de accea un
script cron este configurat pentru un dump al tuturor bazelor intr-un fisier
text, in fiecare noapte la ora 23:00.

2. Backup-ul este arhivat si apoi se trimite un email automat la o adresa

preconfigurata

Proiect: Server Linux Instalare si configurare, 16.01.2012 Pag. 11/11

Ion POPESCU