Salvatore Pellitteri

Transcript

1 Corso LinuxBase Salvatore Pellitteri 07 Proprietà/Permessi dei file e directory. Filesystems di rete. Configurazione di un server NFS. Configurazione di un client NFS.

2 Proprietà dei Files Ogni file o directory ha delle proprietà che lo descrivono; le proprietà fondamentali sono il nome, la dimensione, i dati, data ultima modifica, ecc. Inoltre, in un filesystem di tipo unix, ogni file deve appartenere ad un utente e un gruppo proprietari, ed é possibile specificare 3 tipi di permessi di accesso in favore dei 3 tipi di utenti considerati: utente proprietario, gruppo proprietario, tutti gli altri utenti. Con il comando ls -l nome_file è possibile avere un elenco di queste proprietà: # ls -l readme.txt -rw-r--r-- 1 sp82 sp mag 15:58 readme.txt il primo carattere della riga indica il tipo di file (- per file normale, d per directory); i 9 caratteri successivi ( rwxrwxrwx ) sono i permessi assegnati a utente, gruppo e altri; i 2 nomi sp82, indicano l'utente e il gruppo proprietari; il 4165 la dimensione in byte del file; 10 mag 15:58 è la data di ultima modifica ed infine readme.txt è il nome del file.

3 Permessi I permessi ai file e alle directory, definiscono le operazioni che con questi possono essere compiute a seconda dell'utente. I tipi di utenti sono 3: utente proprietario, gruppo, tutti gli altri. Per ognuno di questi utenti è possibile specificare dei permessi di accesso. Brevemente, si distinguono tre tipi di accesso: r per lettura; w per scrittura, x per esecuzione. Altri 3 permessi, per file eseguibili e di directory, che non sono associati ad un utente particolare sono: lo Sticky, il SUID, e SGID. Il significato di questi permessi dipende fortemente dal tipo di oggetto cui si intende applicare, file o directory.

4 Permessi per i File Per un file normale: r: l'accesso in lettura permette di leggerne il contenuto; w: l'accesso in scrittura permette di modificarne il contenuto; x: l'accesso in esecuzione permette di eseguirlo, ammesso che si tratti di un eseguibile binario o di uno script di qualunque tipo. Per i file eseguibili valgono anche: 1. Sticky, dopo l'esecuzione, una copia programma rimarrà nella memoria virtuale (non più usato). 2. SGID, attiva il numero del gruppo (GID) durante l'esecuzione; 3. SUID, attiva il numero dell'utente (UID) durante l'esecuzione.

5 Permessi sulle Directory Per una directory: r: l'accesso in lettura permette di leggerne il contenuto, e cioè di poter conoscere l'elenco dei file in esse contenuti (di qualunque tipo essi siano) ma non i loro permessi. w: l'accesso in scrittura permette di modificarne il contenuto ovvero di creare, eliminare e rinominare dei file; x: l'accesso in esecuzione permette di attraversare una directory (leggere i file, andare nelle sottocartelle). Inoltre: La directory che abbia il bit Sticky attivo non consente la cancellazione e la ridenominazione di un file da parte di un utente diverso da quello proprietario, anche se questo tentativo viene fatto da chi ha il permesso in scrittura sulla directory. Per esempio, il bit Sticky viene attribuito generalmente alla directory /tmp/. La directory con il SGID attivo fa in modo che i file (e le directory) che vengono creati al suo interno appartengano al gruppo della directory stessa.

6 Comando chown chown consentono di cambiare il proprietario di un file. chown [opzioni] utente[:gruppo] file... es: # chown ospite:ospite readme.txt # chown -R sp82:sp82./dati/ L'opzione -R che applica le modifiche ricorsivamente ad una directory e tutto il suo contenuto.

7 Comandi chmod chmod consentono di modificare i permessi di un file. chmod [opzioni] permessi file... aggiungere permessi a quelli già esistenti: [ugoa]+[rwx] rimuovere permessi a quelli già esistenti: [ugoa]-[rwx] le lettere hanno i seguenti significati. u=user, g=group, o=other, a=all. r=read, w=write, x=exec. es: # chmod +x nome_file # chmod -R o-rwx directory L'opzione -R che applica le modifiche ricorsivamente ad una directory e tutto il suo contenuto.

8 FS di rete I FS fi rete sono usati per la condivisione di directory di file fra più utenti su una stessa rete. Per esempio un gruppo che lavora su uno stesso progetto può accedere ai file di questo progetto usando una parte condivisa del filesystem del server montata nella directory /myproject. Per accedere ai file condivisi, l'utente entra nella directory /myproject dal suo computer, non è richiesta alcuna password né alcun comando particolare. L'utente lavora come se la directory si trovasse sul suo computer locale. I due FS principalmente utilizzati sono NFS e CIFS. Il primo è nato appositamente per gli ambienti UNIX, mentre il secondo è il protocollo compatibile con il sistema di condivisione dei MS Windows.

9 Network FileSystem (NFS) NFS è un servizio di rete che permette la condivisione di porzioni di file system da e verso altri elaboratori connessi. In passato veniva utilizzato il protocollo UDP, ma dall'ultima versione NFSv4 può essere utilizzato anche il protocollo TCP. Il protocollo UDP permette di sfruttare all massimo la banda a disposizione, purtroppo questo può congestionare facilmente la rete in quanto UDP non fa nessun controllo di flusso. Il TCP, che fa il controllo di congestione della rete, non soffre di questo problema è permette comunque di utilizzare completamente la banda di rete e di adattare la velocità in caso di traffico intenso. L'nfs non fa uso di complessi sistemi per gestiore gli utenti ma utilizza i permessi (UNIX) dei file lato client (UID e GID). Inoltre l'autorizzazione di un client consiste nell'autorizzare un indirizzo IP, di certo un sistema poco sicuro.

10 Il servizio NFS Il kernel Linux incorpora, sia le funzionalità necessarie ad accedere a un file system NFS remoto, sia le funzionalità di server NFS, che comunque devono essere gestite attraverso programmi di contorno. Il servizio NFS si avvale per il suo funzionamento del Portmapper e di altri demoni specifici, dobbiamo assicurarci che questi servizi siano avviati. Per attivare questi servizi utilizzare il programma di configurazione servizi, accessibile dal menù Desktop/Amministrazione/Impostazioni Server. Da qui attivare l'avvio automatico per i servizi nfs, nfslock e portmap. In alcuni casi, questi demoni comunicano utilizzando porte TCP o UDP definite in modo dinamico, pubblicizzate poi dal Portmapper stesso. I punti di riferimento costanti sono solo quelli seguenti: Porta TCP o UDP: 111 per Portmapper e 2049 per rpc.nfsd.

11 /etc/exports (1/2) Una riga del file di configurazione /etc/exports contiene le informazioni per esportare una directory. La sintassi è la seguente: directory hostname(opzioni) Gli elaboratori a cui si concede l'accesso alla directory condivisa possono essere specificati in vari modi, alcuni dei quali sono elencati di seguito: indicazione di un nodo singolo: si utilizza un nome o un indirizzo IP che fa riferimento da un elaboratore specifico; uso di caratteri jolly: possono essere utilizzati i caratteri jolly * e? per indicare un gruppo di nomi di elaboratore con una sola notazione. rete IP: attraverso la notazione indirizzo_ip/maschera_di_rete è possibile indicare simultaneamente tutti gli elaboratori collocati all'interno della rete o della sottorete a cui si fa riferimento.

12 /etc/exports (2/2) La lista di opzioni + importati (separati da una virgola) che vanno specificati tra le parentesi sono: ro o rw: Consente l'accesso in sola lettura o in lettura/scrittura. root_squash: Si tratta di un'opzione di sicurezza, di solito predefinita, attraverso la quale si impedisce l'accesso come utente root. In pratica, quando un utente root presso un elaboratore cliente utilizza il file system condiviso, viene trattato come utente nobody. no_root_squash: non effettua la trasformazione dell'uid root, utenti root remoti sono considerati tali, con tutti i privilegi, l'uso di questa opzione è molto pericolosa. all_squash: La presenza di questa opzione fa sì che tutti gli accessi al file system condiviso, avvengano con i privilegi dell'utente nobody. Per una completa descrizione della configurazione fare riferimento alla manpage: utente@host#man exports

13 Configurazione Grafica Su Fedora Core è disponibile anche un programma di configurazione grafica accessibile dal menù Desktop/Amministrazione/Impostazioni Server/NFS. Se non dovesse essere installato è possibile dare il comando: install system-config-nfs oppure utilizzare il programma Add/Remove Software ed installare il pacchetto disponibile nel sottomenù Servers/Strumenti di Configurazione Servers. Questa utility permette di esportare una directory e di impostare tutte le opzioni in modo molto semplice e chiaro.

14 Lato Client Con i sistemi GNU/Linux, l'utilizzo di un file system di rete richiede il normalissimo comando mount. Per innestare un file system di rete si interviene in modo analogo a quello di una unità di memorizzazione locale, con la differenza fondamentale del modo di esprimere il dispositivo virtuale corrispondente al file system remoto da connettere. mount nodo_remoto:directory_remota mount_point La notazione sopra riportata rappresenta la porzione di file system remoto cui si vuole accedere, attraverso l'indicazione simultanea dell'elaboratore e della directory di partenza. Alcuni esempi: # mount -t nfs :/musica /musica # mount :/ipsia/docenti /docenti # mount IpsiaServer:/tesine/ /mnt/tes Inoltre, si potrebbe aggiungere una riga nel file /etc/fstab in modo da automatizzarne la connessione all'avvio del sistema: :/usr /usr nfs defaults 0 0

15 Samba Samba è un insieme di strumenti, realizzati da Andrew Tridgell per le piattaforme Unix e GNU/Linux, che permettono ad una macchina GNU/Linux di accedere alle risorse condivise di un elaboratore MS- Windows ma anche mettere a disposizione proprie risorse a clienti MS- Windows o GNU/Linux. Samba utilizza il protocollo SMB (ServerMessageBlock) definito per reti MS-Windows é può essere a tutti gli effetti considerato una versione libera e gratuita di CIFS (Common Internet File System). Il protocollo di SMB si basa sul protocollo di rete NetBIOS (Net Basic Input/Output System), questo protocollo viene fornito da samba con il server nmbd. Sul sito è possibile trovare molti documenti/manuali: using samba, by example, official HOWTO, ecc.. Mentre sul sito di negli appunti di informatica libera si trova una pratica guida in italiano

16 Cosa offre? Ecco quali sono i servizi offerti da Samba: - Server per offrire la condivisione di file system e stampanti; - Cliente per l'accesso a risorse NetBIOS su macchine Unix, MS-Windows, Novell,... - Master browser sia locale che di dominio; - Server WINS (Windows Internet Name Service); - Server per l'autenticazione di clienti di un dominio MS-Windows; - Server DFS (Distributed File System). - Client o Server di Active Directory con supporto a LDAP e Kerberos5 ma senza la possibilità di sostituire un domain controller di active directory MS-Windows 2000 o 2003; - Instaurazione di relazioni di fiducia con serventi MS-Windows NT; - Strumenti per la migrazione rapida e automatica di un dominio gestito con PDC (Primary Domain Controller) e BDC (Backup Domain Controller) MS-Windows NT in un dominio gestito con PDC e BDC Samba; È sicuramente anche il caso di elencare ciò che Samba non può fare: - Gestione mista di un dominio MS-Windows NT (cioè con PDC NT e BDC Samba o viceversa); - Sostituzione di un servente MS-Windows 2000 o 2003 per il controllo di active directory.

17 Pacchetti da installare Sulle distribuzioni Fedora sono disponibili 3 pacchetti: samba, samba-client e samba-common. - nel pacchetto samba si trovano i demoni nmbd e smbd che sono alla base del funzionamento di un server Samba e alcuni programmi di servizio come smbstatus; - nel pacchetto samba-client sono contenuti altri programmi di servizio come nmblookup, smbclient, smbmount, smbumount, smbtar, findsmb; - nel pacchetto samba-common si trovano tra gli altri i programmi smbpasswd, net, testparm, winbind (e relative librerie), e il file di configurazione di Samba /etc/samba/smb.conf preparato con alcune i impostazioni predefinite. Per installarli è sufficiente sono sufficienti i comandi: root@pc# yum clean all root@pc# yum install samba samba-client samba-common

18 Componenti Principali Samba usa 2 demoni: smbd che fornisce i servizi di condivisione di file stampanti per i clienti SMB (che possono essere macchine MS-Windows o altre macchine GNU/Linux) e si occupa della gestione delle sessioni di comunicazione e delle autenticazioni necessarie all'accesso alle risorse che vengono offerte in condivisione dal server; il demone avvia una copia di se stesso per ogni richiesta di servizio da soddisfare; nmbd che gestisce la distribuzione dell'elenco delle risorse condivise alle altre macchine della rete, può mantenere la lista delle risorse condivise (scansione della rete) ed eventualmente risolvere i nomi NetBIOS della rete (server WINS); Con i pacchetti samba e samba-common verrà installato il servizio smb che si occuperà di avviare i due demoni smbd e nmbd. Avviato questo servizio verranno condivise, per default, le stampanti e le home directory degli utenti samba. E' possibile configurare il servizio editando il file /etc/samba/smb.conf. Per una dettagliata descrizione delle direttive possibili per questo file di configurazione fare riferimento alla man page del file: utente@pc# man smb.conf

19 Configurazione Grafica Per configurare il sistema è disponibile il programma grafico system-config-samba installabile dal menù Servers/Strumenti di Configurazione Server di Add/Remove Software. Come sempre è possibile installarlo anche da console con il semplice comando: yum install system-config-samba Questo programma permette di aggiungere/rimuovere condivisioni, modificare i parametri fondamentali del server e di gestire gli utenti di samba, ma non tutte le opzioni di samba sono gestibili con questo programma. Per una gestione completa è necessario personalizzare manualmente il file di

20 Criteri di Condivisione Con samba è possibile regolamentere l'accesso alle risorse in diversi modi. Il primo è chiamato livello di sicurezza Share o di condivisione con account guest: per condividere porzioni di file system quando si ha interesse a far sì che tutti gli utenti abbiano gli stessi diritti sui file condivisi. Senza account guest: l'utente deve specificare username-password ogni volta che accede ad una risorsa. Il secondo è chiamato livello di sicurezza User, con cui si ha il controllo di accesso a livello di utente: il cliente che vuole accedere a una risorsa invia al momento della connessione una coppia utente-parola d'ordine in base alla quale avviene l'autenticazione da parte del server. Se la connessione viene accettata il cliente può accedere a tutte le risorse condivise senza doversi autenticare nuovamente a ogni accesso. Altri livelli di sicurezza sono disponibili è riguardano la possibilità di far lavorare samba in ambiti più complessi: Server in cui il database degli utenti è gestito da un altro server samba o un Server MS-Microsoft, Dominio con cui il server Samba va a inserirsi in un dominio MS-Windows NT/2000 e infine ADS (Active Directory Server) in cui Samba diviene un member server di una AD di MS-Windows 200x.

21 Server Alcuni parametri da configurare: Workgroup = gruppo di lavoro, es: aulacisco, ufficio, officinamaccanica, officinaelettrica. Descrizione = nome del server (o computer!). Modalità di autenticazione = discusso nel lucido precentente. Cifrare le password = praticamente deve essere sempre SI per funzionare con i MS-Windows + recenti (98, 2000, XP), dove la cifratura delle password è obbligatoria. Account Guest = nome di un utente generico al quale può essere consentito l'accesso alle condivisioni (da usare nel caso di security = share). Tale utente deve essere definito nel sistema GNU/Linux senza directory personale e senza shell. Il valore predefinito è nobody.

22 Condivisione L'aggiunta di una condivisione consiste: 0) aggiungere utenti samba (che devono essere associati ad altrettanti utenti unix). 1) Specificare la cartella da condividere. 2) Dare un nome alla condivisione. 3) Decidere i prermessi di scrittura/lettura. 4) Abilitare l'accesso ad alcuni utenti o tutti.

23 Client Il client può accedere alle condivisioni di file tramite 2 metodi. Il primo è tramite programmi grafici che possono accedere al filesystem cifs, il secondo è tramite il kernel Linux che supporta il cifs. Con Nautilus, il filemanager di GNOME, è possibile accedere ad una risorsa condivisa specificando il protocollo smb! Per specificando la riga smb:// nella barra dell'indirizzo di Nautilus verrà effettuata una scansione della rete per cercare eventuali server samba. Con la riga smb://nome_server/nome_condivisione/ si accederà al server specificato. Per montare una condivisione cifs con il kernel si usa semplicemente il comando mount! Più specificatamente smbmount: root@pc# smbmount //server/public /mnt/dir_samba -o username=name%pass Uno strumento molto utile è findsmb che scansiona la rete e stampa la lista di server samba disponibili. Mentre il comando smbclient -L nome_server stampa la lista di condivisioni del server specificato. E' possibile montare una condivisione anche all'avvio del computer aggiungendo una riga nel file /etc/fstab del tipo: //serv_samba/public /mnt/dirsamba smbfs username=name%pass 0 0