Scopo. Costruire un firewall solido. Meno software possibile. Più semplice da configurare possibile. Più affidabile possibile. Riduzione dei rischi

Transcript

1 LEAF on a KEY

2 Scopo Costruire un firewall solido Meno software possibile Riduzione dei rischi Più semplice da configurare possibile Riduzione delle possibili misconfigurazioni Più affidabile possibile Riduzione dei componenti fragili

3 Software Meno software possibile Linux Router Project in una prima fase Poi Linux Embedded Appliance Firewall Più semplice da configurare possibile Shorewall su iptables

4 Hardware Affidabilità Nessuna parte in movimento Ventole da due lire spesso causa di problemi Floppy disks inaffidabili sul lungo periodo Problemi ed opportunità Niente ventole = nessun rumore Nessun floppy: cosa usare? Compact Flash Chiavi USB

5 Implementazione Hardware PC, 3 schede di rete, CF o chiave USB Ventole da due lire spesso causa di problemi Floppy disks inaffidabili sul lungo periodo Software LEAF Bering Modifica per partenza da CF (prima fase) Modifica per partenza da chiave USB

6 Struttura iniziale del sw Bering 1.0 da utilizzare come segue: Scaricare ering_1.0-stable_img_bering_1680.bin Formattare un floppy a 1680 k Copiare l'immagine sul floppy usando dd if=image of=/dev/floppy bs=512 Avviare il PC usando il floppy

7 Struttura iniziale del sw Contenuto dell' immagine: Montare l'immagine usando il comando mount -o loop image /mnt Contiene i file per l'avvio del PC ldlinux.sys, syslinux.cfg, syslinux.dpy, linux Contiene vari pacchetti come pacchetto.lrp Il formato è un tar compresso (tgz) Il pacchetto initrd.lrp è un immagine compressa che si può esplorare come segue cp initrd.lrp initrd.gz gunzip initrd.gz mount -o loop initrd /dovevuoi

8 Principio di funzionamento L'avvio avviene tramite syslinux Il file di avvio è ldlinux.sys (creato con il comando syslinux -s /dev/floppy) Linux usa initrd.lrp come root filesystem Viene creato un ramdisk che verrà usato come / I pacchetti vengono estratti in ramdisk Il file di configurazione è syslinux.cfg Viene avviato il server

9 Adattamento moduli rete Adattamento all' hardware Vanno inclusi i moduli relativi all'hardware posseduto (schede di rete) Nella distribuzione sono presenti NE2000 compatibili NE compatibili Tricom 3c59x Ethernet Express 100 pro

10 Adattamento moduli rete Principi della modifica Si mettono i moduli di rete nella directory /lib/modules Si mette l'elenco dei moduli nel file /etc/modules Queste directory sono contenute nel pacchetto modules.lrp

11 Adattamento moduli rete Esecuzione della modifica Scaricare i moduli da ering_1.0-stable_modules_ tar.gz Si può anche partire da e poi cliccare su download nel menu di sinistra della pagina

12 Adattamento moduli rete Esecuzione della modifica (segue) tar xvzf moduli.tgz /moduli mount -o loop image /immagine cd /immagine mkdir peppo cd peppo tar xvzf../modules.lrp

13 Adattamento moduli rete Esecuzione della modifica (segue) cp /moduli/xxxx* lib/modules ls /moduli/xxxx* >> etc/modules vi etc/modules tar cvzf../modules.lrp. cd.. rm -r peppo

14 Prima modifica: CF Modifica semplice la compact flash è visibile come un floppy Esistono adattatori CF <=> IDE Ci si limita a caricare i moduli ide*.o Modifica utile La CF è più solida del floppy La CF è più capace del floppy La CF è più veloce del floppy

15 Prima modifica: CF Principi della modifica Si mettono i moduli ide*.o nella directory /boot/lib/modules Si mette l'elenco dei moduli nel file /boot/etc/modules Si modifica syslinux.cfg modificando le occorrenze di /dev/fd0u1680 in /dev/hda1 in modo che i moduli vengano caricati dalla CF hda1 o hdb1 o hdc1 o hdd1 a seconda di dov'èinserito l'adattatore CF<=>IDE

16 Prima modifica: CF Esecuzione della modifica Scaricare i moduli da ering_1.0-stable_modules_ tar.gz Si può anche partire da e poi cliccare su download nel menu di sinistra della pagina

17 Prima modifica: CF Esecuzione della modifica (segue) tar xvzf moduli.tgz /moduli mount -o loop image /immagine cd /immagine vi syslinux.cfg (modifica di /dev/fd0u1680 in /dev/hda1 ) cp initrd.lrp /tmp/initrd.gz gunzip /tmp/initrd.gz mount -o loop /tmp/initrd /dove

18 Prima modifica: CF Esecuzione della modifica (segue) cd /moduli cp ide-mod.o ide-disk.o ide-probe-mod.o /dove/boot/lib/modules echo ide-mod ide-disk ide-probe-mod >> /dove/boot/etc/modules umount /dove gzip /tmp/initrd cp /tmp/initrd.gz /immagine/initrd.lrp

19 Prima modifica: CF Esecuzione della modifica (segue) Collegare al PC una CF tramite l'adattatore PCMCIA Verificare che vi sia una partizione primaria attiva di tipo FAT 16 o 32, altrimenti cancellare ciò che c'è e crearla con il comando fdisk /dev/hde La device potrebbe essere differente da hde Creare il filesystem con il comando mkdosfs /dev/hde1

20 Prima modifica: CF Esecuzione della modifica (segue) Installare syslinux con il comando syslinux -s /dev/hde1 Montare il filesystem con il comando mount /dev/hde1 /mnt Verificare che nella distribuzione NON ci sia il file ldlinux.sys usando rm /immagine/ldlinux.sys

21 Prima modifica: CF Esecuzione della modifica (segue) Copiare tutti i file dalla distribuzione modificata cp /immagine/* /mnt Smontare la CF sync;umount /mnt Estrarre la CF dal PC ed inserirla nell'adattatore CF <=> IDE Avviare il PC e buona fortuna!

22 Seconda modifica: USB Modifica un poco più lunga Occorre un PC con un BIOS che prevede l'avviamento da disco USB Si usano i moduli USB e SCSI Modifica interessante La chiave è rimovibile La chiave è proteggibile

23 Seconda modifica: USB Principi della modifica Si mettono i moduli scsi e usb nella directory /boot/lib/modules Si mette l'elenco dei moduli nel file /boot/etc/modules Si modifica syslinux.cfg modificando le occorrenze di /dev/fd0u1680 in /dev/sda1 in modo che i moduli vengano caricati dalla chiave

24 Seconda modifica: USB Esecuzione della modifica Scaricare i moduli da ering_1.0-stable_modules_ tar.gz Si può anche partire da e poi cliccare su download nel menu di sinistra della pagina

25 Seconda modifica: USB Esecuzione della modifica tar xvzf moduli.tgz /moduli mount -o loop image /immagine cd /immagine vi syslinux.cfg (modifica di /dev/fd0u1680 in /dev/sda1) cp initrd.lrp /tmp/initrd.gz gunzip /tmp/initrd.gz mount -o loop /tmp/initrd /dove

26 Seconda modifica: USB Esecuzione della modifica (segue) cd /moduli cp scsi_mod.o usbcore.o usb-uhci.o usbstorage.o sd_mod.o /dove/boot/lib/modules echo scsi_mod usbcore usb-uhci usb-storage sd_mod >> /dove/boot/etc/modules umount /dove gzip /tmp/initrd cp /tmp/initrd.gz /immagine/initrd.lrp

27 Seconda modifica: USB Esecuzione della modifica (segue) Inserire la chiave USB nel PC Verificare che vi sia una partizione primaria attiva di tipo FAT 16 o 32, altrimenti cancellare ciò che c'è e crearla con il comando fdisk /dev/sda Non è detto che la device sia sda Creare il filesystem con il comando mkdosfs /dev/sda1

28 Seconda modifica: USB Esecuzione della modifica (segue) Installare syslinux con il comando syslinux -s /dev/sda1 Montare il filesystem con il comando mount /dev/sda1 /mnt Verificare che nella distribuzione NON ci sia il file ldlinux.sys usando rm /immagine/ldlinux.sys

29 Seconda modifica: USB Esecuzione della modifica (segue) Copiare tutti i file dalla distribuzione modificata cp /immagine/* /mnt Smontare la chiave sync;umount /mnt Scollegare la chiave dal PC di sviluppo ed inserirla nel PC di test Avviare il PC di test e portarsi sulla videata di setup del BIOS

30 Seconda modifica: USB Esecuzione della modifica (segue) Modificare la device di avvio portandola a disco USB Salvare e riavviare il PC di test Se tutto ha funzionato bene allora il PC si avvierà senza problemi

31 Seconda modifica: USB Problematiche Non tutti i BIOS dei PC permettono il boot da disco USB In alcuni BIOS va abilitato il supporto per Legacy USB Alcuni PC vogliono il modulo uhci altri il modulo ohci