MagiCum S.r.l. Progetto Inno-School. Area Infrastruttura

Transcript

1 MagiCum S.r.l. Progetto Inno-School Area Infrastruttura

2 Autore: Matteo Scarpone Revisione: 2 Data: 13/06/2013 Titolo: Infrastruttura File: documentazione.pdf Sito: 2

3 INDICE 1 Hardware 2 Connettività 3 Virtualizzazione 3.1 KVM 4 Sistema Operativo 4.1 Scelta 4.2 Installazione 4.3 Configurazione 4.4 Gestione delle risorse 5 Installazione Applicazioni 5.1 Wiki 5.2 Moodle 6 Sicurezza 6.1 Analisi rischi 6.2 Crittografia Memorie di massa 6.3 Crittografia Connessione 6.4 Firewalling 6.5 Configurazione SSH 6.6 Regole utenti 6.7 Log 6.8 Snort 3

4 Wiki Infrastruttura Piattaforma e-learning Database Spazio web Upload file PHP Wiki Database Spazio web Upload file PHP Applicazion i Spazio web Upload file Registro Elettronic o Database Spazio web Upload file PHP Cron Database Spazio web Upload file PHP Moduli PHP aggiuntivi Moodle 4

5 Sviluppo del prototipo Hardware Al fine di progettare la piattaforma in figura 1 è necessario pianificare l'hardware in modo tale che abbia un livello di espandibilità pari almeno al 35% delle risorse necessarie in fase di collaudo. La scelta delle risorse hardware può ricadere su opportunità: usare un server fisico oppure un server virtuale. La prima opzione risulta più affidabile, meno rigida nella modellizzazione della piattaforma, ma è al contempo più onerosa economicamente. Qualora si fosse realmente in situazioni reali tale scelta sarebbe consigliabile in quanto i costi di acquisto e gestione sarebbero ammortizzati dallo sviluppo di più prototipi. In virtù di quanto appena dichiarato la scelta della Magicum è ricaduta sulla gestione in rent di un server virtuale. Da una breve ma approfondita indagine di mercato valutando costi, benefici di varie offerte si è individuato il fornitore di servizio di hosting, commercialmente denominato Alvotech, con sede principale a Düsseldorf (Germania). Dalle seguenti offerte proposte, come di seguito illustrato, è stata privilegiata la soluzione KVM, in quanto soddisfa le caratteristiche tecniche ed economiche finora dichiarate. 5

6 6

7 Nella tabella precedente, sono riportate le caratteristiche hardware relative al server scelto per il prototipo della piattaforma. Connettività Nell'ambito di questi sistemi parlare di connettività implica focalizzare l'attenzione a due livelli che potremmo definire interno ed esterno. Come riportato dalla seguente figura si parla di connettività interna poichè il server fisico e quello virtuale, pur essendo fisicamente un tutt'uno, sono due entità distinte che devono essere in grado di colloquiare tra di loro. UPLOAD DOWLOAD SERVER FISICO SERVER VIRTUALE Entrambi i server presentano un indirizzo IP differente tra loro, proprio a rimarcare la presenza di due entità. L'interconnessione tra le due entità avviene prevalentemente con processi DHCP. In questo caso avviene quanto segue: nel server fisico deve essere presente un sistema operativo server con servizio DHCP installato, configurato ed attivo. Il server virtuale deve essere configurato in modo che abbia una scheda di rete con MAC address riconoscibile per il server fisico. La corretta installazione delle tabelle di instradamento Qualora quanto appena dichiarato sia stato realizzato in maniera corretta e ottimale può essere implementato il seguente processo di connessione: Il server fisico riceve un MAC address da parte della scheda del server virtuale Una volta instaurata la connessione tra server fisico e virtuale, si affrontano le dinamiche della connettività esterna, cioè quella tra client e server virtuale. La connettività esterna è caratterizzata da banda upload e banda download. Nello specifico caso della configurazione in esame, i suddetti parametri sono dichiarati nello screen shot del control panel del fornitore 7

8 Virtualizzazione La virtualizzazione è la pratica di astrarre I processi informatici dalle risorse effettivamente disponibili. Il grande effetto della virtualizzazione di hardware fisici consente di installare e configurare software calibrando teoricamente le risorse necessarie. La virtualizzazione materializza le risorse come una macchina virtuale, del tutto trasparente all'utente finale. La necessità di piattaforme flessibili e notevolmente mutevoli ha fatto sì che nel tempo le virtualizzazioni si sono elevate al rango del processo tecnico pur affrondando le proprie radici in ambito dilettantistico e sperimentale. L'ambito in cui si traggono maggiori vantaggi dalla virtualizzazione è quello dell'area server. Quanto detto è giustificabile dall'elevato costo dell'hardware fisico e della necessità di modificare le impostazioni consequenzialmente all'evoluzione dei software e dei protocolli. KVM (Kernel-based Virtual Machine) KVM è un metodo di virtualizzazione in grado di manipolare direttamente il kernel del sistema operativo in esame. In particolare questa pratica risulta ottimale in presenta del sistema operativo Linux. Le strategie di intervento del kernel sono due: KVM: implementato come modulo caricabile System Call: interfaccia a chiamata di sistema con il modulo KVM integrato nel kernel È opportuno evidenziare che tutte le virtualizzazioni (e non di meno questa) possono essere eseguite in presenza di uno dei modelli di microprocessori adeguati. Attualmente I modelli di processori compatibili con la virtualizzazione KVM sono: Intel VT AMD V Un altro tipo di virtualizzazione Per eseguire la virtualizzazione si sceglie quindi tra I software messi a disposizione dall'isp e si procede all'installazione mediante l'interfaccia web. 8

9 Configurazione Virtual Machine Nell'attuale circostanza è necessario collegarsi all'indirizzo accedere al pannello di controllo con le proprie credenziali, scegliere la ISO contenente il sistema operativo desiderato, montare l'immagine scelta e avviare la macchina. Dopo ci si potrà connettere tramite VNC ed iniziare l'installazione del sistema operativo. 9

10 Sistema operativo Scelta Il fornitore di servizi informatici Alvotech mette a disposizione innumerevoli tipologie e versioni di sistemi operativi installabili sui server. Al fine di garantire maggiore stabilità nei processi di rete, 10

11 maggiore sicurezza e una buona affidabilità in fase di manutenzione è stata scelto scelto il sistema operativo Linux con distribuzione Debian (ramo stabile). Il perchè di Debian è motivato da: Si tratta di una distribuzione basata su software libero (dal kernel Linux agli applicativi GNU) Possiede un potente gestore di pacchetti (APT) Supporta una grande quantità di architetture Supporta una grande quantità di periferiche Supporta una grande quantità di applicativi Ha dietro di sè una comunità mondiale che si occupa del mantenimento Il ramo stabile è mantenuto per offrire maggior affidabilità e sicurezza (soprattutto per I server) Ha la qualità di essere estremamente personalizzabile Ha un ottimo livello di sicurezza Supporta molti tipi di filesystem Supporta specifiche configurazione delle memorie di massa (pool/raid) Ha un supporto sul lungo periodo È semplice e veloce nell'aggiornamento Installazione Le operazioni di installazione di un sistema operativo su server virtuale online consistono nelle seguenti fasi: 1. Collegarsi con le credenziali assegnate al portale fornito 2. Scegliere l'immagine del sistema operativo desiderato 3. Avviare una sessione VNC attraverso l'applet interno al browser 4. Far eseguire il boot 5. Attendere di tempi di installazione Configurazione Sistema operativo Di seguito viene fornita una descrizione generica della configurazione del sistema operativo e delle relative risorse per un maggiore approfondimento si rimanda al video dedicato dell istallazione di questa infrastruttura. In particolare si fa riferimento alla configurazione delle risorse di rete e a quelle di memoria (considerando che nel nostro caso la risorsa appare come un unico disco) /dev/md0 composto da /dev/sda1 e /dev/sdb1, raid1, 500MB /dev/md1 composto da /dev/sda2 e /dev/sdb2, raid1, resto dei dischi /dev/md0 verrà utilizzato come /boot /dev/md1 verrà utilizzato come LVM dentro l LVM verrà creato il VG vg0 per l intera capienza per partire verranno definiti tre LV per swap, root e home. la situazione iniziale del server è questa: i volumi fisici sono: # vgdisplay --- Volume group --- VG Name vg0 11

12 Format lvm2 VG Size 2.73 TiB PE Size 4.00 MiB Total PE Alloc PE / Size / GiB Free PE / Size / 2.68 TiB i volumi logici sono: # lvdisplay --- Logical volume --- LV Name VG Name LV Size /dev/vg0/root vg GiB --- Logical volume --- LV Name VG Name LV Size --- Logical volume --- LV Name VG Name LV Size /dev/vg0/swap vg GiB /dev/vg0/home vg GiB appena installato il server probabilmente il sistema MD starà riallineando i dischi: # cat /proc/mdstat Personalities : [raid0] [raid1] [raid6] [raid5] [raid4] [raid10] md1 : active raid1 sda2[0] sdb2[1] blocks super 1.2 [2/2] [UU] [=>...] resync = 9.2% ( / ) finish=288.3min speed=153726k/sec md0 : active raid1 sda1[0] sdb1[1] blocks super 1.2 [2/2] [UU] Installazione di alcune utility: # apt-get install jed mc iptraf tcpdump mtr per prima cosa installiamo le utility per gli ethernet bridge: # apt-get install bridge-utils la definizione delle interfacce originale: # cat interfaces.orig ### Hetzner Online AG - installimage # Loopback device: auto lo iface lo inet loopback # device: eth0 auto eth0 iface eth0 inet static address broadcast netmask gateway

13 # default route to access subnet up route add -net netmask gw eth0 modifica per utilizzare il bridge: # cat interfaces ### Hetzner Online AG - installimage # Loopback device: auto lo iface lo inet loopback # device: eth0 auto br0 iface br0 inet static address broadcast netmask gateway bridge_ports eth0 bridge_stp on bridge_maxwait 0 bridge_fd 0 # default route to access subnet up route add -net netmask gw eth0 per ottenere un secondo bridge dove connettere le schede di rete delle VM possiamo: # brctl addbr br1 # brctl stp br1 on # brctl show bridge name bridge id STP enabled interfaces br c bfea yes eth0 br no # ifconfig br1 up # ifconfig br netmask o, alternativamente, appendere questa sezione al file /etc/network/interfaces: auto br1 iface br1 inet static address broadcast netmask bridge_ports dummy0 bridge_stp on bridge_maxwait 0 bridge_fd 0 creiamo un LV per i dati degli ISO: # mkdir /ISO # lvcreate -L 30G -n ISO vg0 # mkfs.ext4 -m 0 -L ISO /dev/vg0/iso # mount /dev/mapper/vg0-iso /ISO/ e inziamo scaricando una iso di ipfire e una di Debian: # cd /ISO/ 13

14 # wget amd64-netinst.iso # wget i586-full-core59.iso Iniziamo con la virtualizzazione. Per prima cosa installiamo i tool necessari: apt-get install qemu-kvm libvirt-bin virtinst Creiamo il disco per il firewall: # lvcreate --size 4G --name vm-ipfire vg0 Logical volume "vm-ipfire" created e procediamo con l installazione del firewall: # virt-install -d --name=firewall --ram vnc :0 --disk path=/dev/vg0/vmipfire --network=bridge:br0 --network=bridge:br1 --os-type=linux --cdrom /ISO/ipfire-2.11.i586-full-core59.iso A questo punto l installazione della VM è iniziata, possiamo connetterci al VNC attraverso un tunnel SSH: ssh root@host-server -L 5900: :5900 vnc localhost:0 Ad installazione completata (poche decine di secondi) la VM si riavvierà. Potrete trovarvi nella situazione in cui la VM non viene riavviata. Non è un problema. Per prima cosa controlliamo quali VM stanno girando: # virsh list Id Name State La lista è vuota. Proviamo a listare TUTTE le VM: # virsh list --all Id Name State firewall shut off Appunto. La VM firewall è spenta. Accendiamola: # virsh start firewall Domain firewall started Ci possiamo quindi riconnettere con VNC e terminare la configurazione WIKI MediaWiki necessita di un database MySql e di PHP5, quindi appena scaricato il pacchetto da estrarre i file e caricali via FTP in una cartella apposita (ad esempio 14

15 /wiki/. Controllare i permessi alla cartella config, che devono essere a 777.Aprire il browser e digitare il link al file di installazione del wiki (es. Si aprirà la pagina di installazione dello script PHP premere set up the wiki per avviare la procedura di installazione. Compilarei campi richiesti con i dati per le impostazioni del database MySQL. Premere Install MediaWiki! per continuare l'installazione. Se l'installazione è avvenuta con successo avremo la schermata con Installation succesfull. Devi quindi spostare il file LocalSettings.php dalla cartella /wiki/config/ alla root del wiki (cioè cartella /~davide/). MOODLE Per installare Moodle sul server possono essere eseguite due modalità con installazione diretta sul server oppure con installazione in locale e relativo trasferimento in hosting. La seconda modalità è la più conveniente in quanto i tempi di elaborazione della piattaforma e di MOODLE, in queste circostanze, risultano essere paralleli. Pertanto si consiglia di eseguire la seguente procedura : o o o o installare Apache, MySQL e PHP in locale scaricare Moodle 2.3 e decompresso in una directory impostare Apache per usare quella dir come root creare un database per Moodle e inserire nella config di Moodle le credenziali Fatto questo, l'installazione di Moodle è costituita dalla sua cartella con tutto quello che contiene e dal database creato in MySQL: per installarlo basta copiare la cartella sul server con un client FTP (Filezilla) e caricare il dump del database tramite l'accesso phpmyadmin di AV. Dal momento dell installazione su server è possibile gestire ogni modifica direttamente sul server oppure si può ricaricare integralmente l intera piattaforma MOODLE, qualora le modifiche siano notevoli. Sicurezza Analisi rischio È necessario analizzare che tipo di dati sono conservati nei nostri server per rendersi conto di quali rischi è possibile riscontrare. Considerando che la nostra società conserverà I dati di minori si può considerare il rischio di attacchi esterni allo scopo di reperire informazioni personali (nome, cognome, abitazione, collocazione temporanea, età...) degli alunni. La questione quindi risulta estremamente delicata. Crittografia Memorie di massa 15

16 I dati dei minori sono conservati in un database su una partizione crittata (in modo che qual'ora un attacker rubi fisicamente il disco non possa risalire ai dati contenuti nella partizione crittata). Per questo si è scelto lo strumento LUKS. Crittografia connessione Ogni volta che un alunno si connette al server da casa verrà usata la connessione HTTPS per la navigazione web. In questo modo non saranno possibili attacchi con sniffer di rete e man in the middle. Non sarà possibile accedere al sito senza usare questa tecnologia. Firewalling I server hanno impostate regole per impedire le tecniche più banali di port scanning e semplici attacchi DoS. Configurazione SSH Inoltre è presente un particolare script che evita il brute force sulla porta di SSH: ogni volta che si sbaglia il login per 10 volte di seguito l'ip viene bannato. Per l'autenticazione è stata disabilitata la modalità di login tramite password, ma viene usata la modalità di autenticazione tramite chiave privata protetta da passphrase. In questo modo risulta molto più complicato, lungo e dispendioso risalire alle chiavi. Ogni sysadmin avrà la propria chiave privata in modo da identificare univocamente ogni accesso. Sono stati disabilitati altri protocolli che non usano la crittografia forte (come ad esempio Telnet). Anche il login da utente root (amministratore) è stato disabilitato. Per diminuire la quantità di log di attacchi effettuati si è deciso di cambiare la porta di default da 22 a La porta 3678 comunque non risulta sempre aperta. Per accedere è necessario provare a connettersi tre volte di fila alla porta 555 (che sembrerà non attiva e senza alcun demone in ascolto). Al terzo tentatio verrà abilitata la ricezione di connessione remota sulla porta 3678 per un minuto. Trascorso il minuto, la porta verrà disabilitata. Regole utenti Ogni sysadmin, webmaster, gestore dei database o gestore della tecnologia RFID che effettua un login sul server ha permessi specifici che gli consentono di operare esclusivamente sui file e sulle risorse che hanno a che fare con la propria parte di lavoro. Solo una ristrettissima cerchia di utenza ha I permessi di diventare utente root in quanto tale possibilità è una prerogativa dell'amministratore di sistema e addetto alla sicurezza. LOG I server hanno un interessante sistema di log che invia via I vari errori ed I vari warning dividendoli in accessi d'attacco bloccati, login falliti, problemi di hardware, problemi di rete e problemi di permessi dei software. SNORT Snort è uno strumento (software libero) per identificare attraverso uno sniffer di rete interno al server e alcune regole scritte dall'amministratore di sistema possibili attacchi al sistema. Non è stato implementato sul prototipo, ma, nel caso il progetto diventasse di dimensioni maggiori, l'installazione di questo strumento è vivamente consigliata. 16