Progetto lab. Amministrazione e Sistema: Marco Simeoni, Nicola Preden, Francesco Gorin May 14, 2012

Transcript

1 Progetto lab. Amministrazione e Sistema: Marco Simeoni, Nicola Preden, Francesco Gorin May 14,

2 Contents 1 Creazione macchina virtuale: 3 2 Congurazione LDAP: Installazione TLS ed SSL: Congurazione server di posta: Congurazione Dovecot Congurazione PostFix WebMail SquirrelMail Congurazione Antivirus e ltri anti-spam

3 1 Creazione macchina virtuale: Seguono le istruzioni per la procedura di creazione di una macchina virtuale. A tale scopo è stato usato il programma VMware vsphere Client. Una volta lanciato, si accede con ipaddress: ammsis.dsi.unive.it nome: gruppodue password: qaz12wsx Il nome del server creato dal gruppo è spggroup (Simeoni, Preden, Gorin). Si continua quindi creando la macchina virtuale inserendo le caratteristiche seguenti nella procedura di installazione guidata: HDD 8 GB RAM 1 GB Guest Operating System: ubuntu linux 32 bit abilitare la rete 192 (quando richiesto, nella congurazione della connessione ad internet immettere il proxy: ) scegliere l'installazione (nel nostro caso ubuntu 10.04) creare amministratore: nome: berta password: 4rfv5tgb (NB: non cifrare directory personale!). Avendo riscontrato problemi nell'installazione dei pacchetti, è stato corretto un bug per l'installazione dei repository, modicando da it a en ciascun indirizzo nel le /etc/apt/source.list. (Viva l'italia) Successivamente è stato scelto di installare il pacchetto Ubuntu Desktop per congurare ed agire sul server tramite interfaccia graca. A questo punto, però, il server partirebbe sempre in modalità graca; per evitare questo è suciente rinominare il le /etc/init/gdm.conf in /etc/init/gdm.disabled (motivazione di questo: il sistema utilizza upstart per lanciare i demoni). Tale modica fa si che Ubuntu venga lanciato sempre in modalità terminale; per accedere all'interfaccia graca è suciente lanciare il comando startx. Questa prima fase si conclude aggiornando il sistema tramite il Gestore di Aggiornamenti, il quale avviserà circa la disponibilità di nuovi aggiornamenti. 3

4 2 Congurazione LDAP: Il protocollo LDAP (Lightweight Directory Access Protocol) è uno standard per l'interrogazione e la modica dei servizi di directory. La sua struttura è di tipo gerarchica ad albero; LDAP fornisce all'utente dei metodi che gli permettono di connettersi, disconnettersi, cercare, paragonare delle informazioni, inserire, modicare, cancellare entry. D'altra parte il protocollo LDAP propone dei meccanismi di codicazione (SSL,... ) e di autenticazione (SASL) che permettono di garantire la sicurezza all'accesso delle informazioni stoccate nell'albero delle directory. Per la congurazione del client di posta LDAP, si può fare riferimento ai seguenti indirizzi, rispettivamente la guida in lingua inglese ed in lingua italiana di Ubuntu Server. ( o NOTA: in questo progetto, diversamente da come scritto nella guida di ubuntu, non è stato creato un server replicato. Alcune fasi fondamentali della congurazione: caricamento degli schemi addizionali, ovvero tutti i le di congurazione presenti della guida. creazione dei le frontend.com.ldif e backend.com.ldif, all'interno della cartella etc/ldap (NB: la nostra password è 4rfv5tgb) La terminazione di questa fase avviene con gli appositi test di congurazione suggeriti dalla guida stessa. NOTA: per facilitare la congurazione è utile aggiungere un account root al server. Inoltre sono stati installati ldapscripts e due tool graci per la gestione del server LDAP, ovvero LDAP Administration Tool e GQ. Si segnala, inne, un errore nella tabella dei permessi ACL: in particolare, il dn da usare è cn=admin,dc=spg,dc=com (e non quello specicato dal le di default). 2.1 Installazione TLS ed SSL: Creazioni dei certicati per la connessione protetta SSL con il server spggroup i le in /etc/ssl/ Installato il pacchetto gnutls-bin ed usato per generare i le certicati, i quali sono stati inserriti nel server con i seguenti comandi bash: sudo ldapmodify -Y EXTERNAL -H ldapi:/// dn: cn=config,cn=com add: olctlscacertificatefile olctlscacertificatefile: /etc/ssl/certs/cacert.pem 4

5 - add: olctlscertificatefile olctlscertificatefile: /etc/ssl/certs/berta_slapd_cert.pem - add: olctlscertificatekeyfile olctlscertificatekeyfile: /etc/ssl/private/berta_slapd_key.pem 5

6 3 Congurazione server di posta: Per congurare il server usiamo le utility base del S.O. ( ) Sono stati usati i pacchetti relativi a posx, dovecot, mailscanner, e squirrelmail compresi tutti i loro pacchetti aggiuntivi. 3.1 Congurazione Dovecot Dovecot è un Mail Delivery Agent progettato per garantire la sicurezza. Supporta la maggior parte dei formati di caselle di posta: mbox o maildir. Nel notro caso abbiamo scelto delle caselle di tipo Maildir in quanto sono più semplici per gestire backup progressivi generando più le per mail, a dierenza delle caselle mbox le quali archiviano tutto in un unico le. E' stato personalizzato il le /etc/dovecot/dovecot-ldap.conf come segue: hosts = localhost dn = cn=admin,dc=spg,dc=com dnpass = 4rfv5tgb base = ou=people, dc=spg, dc=com deref = never scope = subtree user_filter = (&(objectclass=posixaccount)(uid=%u)) default_pass_scheme = PLAIN Password su LDAP come PLAIN/CLEAR e lasciare dovecot per la traduzione in formato MD5. E' stato inoltre modicato le dovecot.conf nelle seguenti righe: ## Dovecot configuration file protocols = imap imaps mail_location = maildir:/var/mail/%u mail_uid = mail mail_gid = mail first_valid_uid = 8 last_valid_uid = 8 first_valid_gid = 8 last_valid_gid = 8 maildir_copy_with_hardlinks = yes protocol lda { postmaster_address = hostname = spggroup.ammsis.dsi.unive.it auth_socket_path = /var/run/dovecot/auth-master auth default { mechanisms = plain digest-md5 6

7 passdb ldap { args = /etc/dovecot/dovecot-ldap.conf userdb static { args = uid=8 gid=8 userdb ldap { args = /etc/dovecot/dovecot-ldap.conf socket listen { master { path = /var/run/dovecot/auth-master mode = 0666 user = mail group = mail client { path = /var/run/dovecot/auth-client mode = 0666 user = mail group = mail!include_try /etc/dovecot/auth.d/*.auth 3.2 Congurazione PostFix Postx è un demone di posta SMTP (categorizzato comunemente MTA, o Mail Transfer Agent). Nasce alla ne degli anni '90 con lo scopo di fornire un'alternativa a Sendmail che orisse maggiori garanzie per quanto riguarda la sicurezza. Fra i pregi di Postx ci sono l'enorme tolleranza e capacità di contenimento riguardo ai buer overow ed è capace di gestire grandi quantità di messaggi di posta elettronica. Attualmente è scelto come MTA di default nella quasi totalità delle distribuzioni Linux. Postx si struttura in diversi demoni che svolgono ognuno una sola funzione, ognuno dei quali eseguito con diritti minimi. Questo garantisce che qualsiasi bug o exploit che coinvolga uno dei "pezzi" di Postx non comprometta l'intero sistema di delivery delle . Un solo processo deve avere diritti privilegiati, tutti gli altri hanno diritti minimi e spesso un le di congurazione proprio, pochi di questi ultimi hanno la capacità di scrivere sulle periferiche di memorizzazione di massa. (fonte: Wikipedia) È stato usato il pacchetto dovecot-postx per congurare correttamente l'interazione tra i due programmi. 7

8 Successivamete è stato modicato il le /etc/postx/main.cf aggiungendo il codice relativo ai certicati ssl e alla congurazione per la posta in uscita. Citiamo le modiche pricipali apportate a le. #/etc/postfix/main.cf # TLS parameters smtpd_tls_cert_file = /etc/ssl/certs/ssl-mail.pem smtpd_tls_key_file = /etc/ssl/private/ssl-mail.key smtpd_use_tls = no smtpd_tls_session_cache_database = btree:${data_directory/smtpd_scache smtp_tls_session_cache_database = btree:${data_directory/smtp_scache # information on enabling SSL in the smtp client. myhostname = spggroup.ammsis.dsi.unive.it alias_maps = ldap:/etc/postfix/ldap-aliases.cf alias_database = default_database_type = ldap myorigin = /etc/mailname mydestination = spggroup.ammsis.dsi.unive.it relayhost = mailbox_command = /usr/lib/dovecot/deliver mailbox_transport = dovecot header_checks = regexp:/etc/postfix/header_checks dovecot_destination_recipient_limit = 1 mailbox_size_limit = local_recipient_maps = recipient_delimiter = inet_interfaces = all inet_protocols = ipv4 smtpd_sasl_auth_enable = yes smtpd_sasl_type = dovecot smtpd_sasl_path = private/dovecot-auth smtpd_sasl_authenticated_header = yes smtpd_sasl_security_options = noanonymous smtpd_sasl_local_domain = $myhostname broken_sasl_auth_clients = yes #/etc/postfix/ldap-aliases.cf server_host = ldap://localhost search_base = ou=people,dc=spg,dc=com scope = sub bind = no bind_dn = cn=admin,dc=spg,dc=com bind_pw = 4rfv5tgb search_base = ou=people,dc=spg,dc=com query_filter = (&(objectclass=posixaccount)(mail=%s)) #/etc/postfix/master.cf 8

9 # delivery through dovecot dovecot unix - n n - - pipe flags=drhu user=mail:mail argv=/usr/lib/dovecot/deliver -f ${sender -d ${user Creare /etc/postx/header_checks inserendoci la seguente unica riga: /^Received:/ HOLD Serve per depositare le in ingresso nella directory hold (/var/spool/postx/hold ) in modo che possano essere controllate da mailscanner prima di essere recapitate. Il riferimento a questo le, come già scritto in precedenza, viene indicato nel le di congurazione di Postx (main.cf ). 3.3 WebMail Apache è il nome dato alla piattaforma server Web modulare più diusa, è un software che realizza le funzioni di trasporto delle informazioni, di internetwork e di collegamento, ha il vantaggio di orire anche funzioni di controllo per la sicurezza come quelli che compie il proxy. (fonte: Wikipedia) Installare i pacchetti apache2 e squirrelmail per poter consultare la posta elettronica attraverso un interfaccia web Nota: per accedere con connessione protetta è necessario installere e creare i certicati: sudo apt-get install ssl-cert sudo mkdir /etc/apache2/ssl sudo /usr/sbin/make-ssl-cert /usr/share/ssl-cert/ssleay.cnf /etc/apache2/ssl/apache.pem per aggiornare i certicati per connessioni protette. Si abiliti poi il modulo SSL: - linkare i le ssl.conf ed ssl.load della cartella mods-available alla cartella mods-enabled - installare pacchetti relativi a php (in quanto stranamente assenti), poi fare come segue: Contenuto di php.conf: <IfModule mod_php5.c> AddType application/x-httpd-php.php.phtml.php3 AddType application/x-httpd-php-source.phps </IfModule> Contenuto di php.load : LoadModule php5_module /usr/lib/apache2/modules/libphp5.so Creare i les e copiarli nella cartella mods-available; successivamente riavviare apache. 9

10 3.3.1 SquirrelMail SquirrelMail fornisce un modo per controllare la vostra via World Wide Web. E' un'interfaccia Web per l' scritta in PHP. E' stata disegnata per permettere l'accesso al proprio server da qualsiasi parte del mondo via Web. Per congurare SquirrelMail in ubuntu è necessario creare un nuovo VirtualSites: <VirtualHost *:80> #ServerAdmin SSLCertificateFile /etc/apache2/ssl/apache.pem DocumentRoot /usr/share/squirrelmail ServerName spggroup.ammsis.dsi.unive.it ErrorLog /var/log/apache2/error.log # Possible values include: debug, info, notice, warn, error, crit, # alert, emerg. LogLevel debug CustomLog /var/log/apache2/access.log combined <Directory /usr/share/squirrelmail/> Options Indexes FollowSymLinks MultiViews AllowOverride None Order allow,deny allow from all </Directory> <IfModule dir_module> DirectoryIndex index.html index.php </IfModule> </VirtualHost> Congurato attraverso lo scripts sudo squirrelmail-congure impostando la ricerca del Mta e Mda automatica. Nota: Ricordarsi di scegliere un autenticane plain o digest-md5 3.4 Congurazione Antivirus e ltri anti-spam Per congurare più facilmente l'uso di Mailscanner, e di conseguenza spammassasin e clamav abbiamo seguito la guida ( ). La guida sopra citata è stata seguita fedelmente per quanto rigurda la con- gurazione del mailscanner. Modicato il le /etc/clamav/freshclam.conf per aumentare l'aggiornamento delle denizioni a 2 giorni invece del 24 giorni di default: Checks 2 10