KNOPPIX in un ambiente Windows 2003 R2.

Transcript

1 KNOPPIX in un ambiente Windows 2003 R2 Abstract In questo articolo si vuole indicare come sia possibile inserire dei client Knoppix in un ambiente Windows con domain controller Windows 2003 R2 e Microsoft Services for UNIX per la condivisione degli account tra ambienti Windows e Linux. Obiettivi Inserire un client diskless Linux in un dominio Active Directory può essere fatto in modi dferenti. In questo articolo presentiamo come ridurre i tempi per realizzare un ambiente eterogeneo sfruttando protocolli e servizi ormai da tempo consolidati come NIS e Ldap. Siamo consapevoli che modi, metodologie e tecniche più eleganti sono in generale disponibili per lo scopo. L obiettivo che ci poniamo è la semplicità anche per i non esperti. Siamo convinti che sia possibile realizzare un unico ambiente di accounting utilizzando software open source o comunque scaricabile da Internet in modo gratuito. Ambiente L ambiente in cui ci troviamo è costituito da un Dominio Windows 2003 R 2 con i servizi Services for Unix installati. La documentazione sui servizi per Unix è consultabile al seguente indirizzo: ration/unix/sfu/default.mspx. L Active Directory risulta pertanto esteso nel suo schema base con i campi necessari per contenere gli attributi UID, GID classici del mondo Unix insieme con la Home directory di lavoro e la shell dell utente. Gateway NIS to LDAP La soluzione proposta prevede l utilizzo sui client Linux Knoppix del software ypanything scaricabile gratuitamente da Internet dal sito Sourceforge all indirizzo seguente roup_id= Ypanything è un gateway NIS to Non-Nis ed è utilizzabile in ambienti UNIX-Like. L ambiente in cui ci muoviamo risulta composto da un dominio Windows 2003 con i servizi Services for Unix di Microsoft attivi ed il servizio LDAP interrogabile via rete tramite il programma ldapsearch. Ldapsearch è un tool avviabile da riga di comando in grado di stabilire una connessione ad un server LDAP, ed effettuare una ricerca usando un filtro. I risultati della query sono allora visualizzati in formato testuale LDIF. La sintassi del comando ldapsearch è la seguente: ldapsearch -b "basedn" [ options ] "filter" [ attributename... ] dove basedn is la base per la ricerca racchiusa da doppie virgolette options sono opzioni da riga di comando filter è un filtro LDAP RFC compliant, generalmente posto tra doppie virgolette. Si rimanda al manuale d uso del programma per una spiegazione più ampia degli argomenti.

2 Il comando che verrà utilizzato nel seguito per l interrogazione del domain controller è il seguente: ldapsearch x LLL h $host p $port D `$binddn` v $bindpassword -b $base s $searchtype objectclass=user samaccountname unixuserpassword uidnumber gidnumber posixmember unixhomedirectory loginshell dove $host è il domain controller da interrogare (Indirizzo IP); stato installato il software Services for Unix di Microsoft del servizio di firewalling su Linux per migliorare la sicurezza del sistema. Sebbene il software Services for Unix di Microsoft presenti già al suo interno un servizio NIS server, la soluzione proposta predilige l utilizzo del servizio LDAP che risulta più generale. File di configurazione $port è la porta in ascolto sul Domain Controller 389 $binddn è cn=ldapuser,ou=untrusted Users,dc=mat,dc=unimi,dc=it" $bindpassword password di accesso per utente ldapuser $base è "dc=mat,dc=unimi,dc=it" $searchtype è sub In grassetto le parole chiave corrispondenti agli attributi di interesse. Nel seguito si supporrà che tale interrogazione fornisca i dati relativi al contenuto dell active directory. I client Linux Knoppix risultano dotati del servizio ypbind che li rende di fatto dei client NIS. Il servizio ypanything rende i client Linux anche dei server NIS in grado di agire come slave del domain controller Windows Pertanto il problema di come inserire le macchine Knoppix in un dominio Windows 2003 viene ricondotto alla configurazione del servizio NIS server (programma ypanything) e del servizio Nis client (programma ypbind) sul PC Linux della configurazione del servizio LDAP su Windows 2003 srv2 dove è Figura 1: Domain Controller con funzioni di Ldap e client linux Knoppix Al boot le macchine Linux eseguiranno il seguente script per attivare il servizio ypanything e ypbind. Script di Avvio del servizio ypanything!/bin/sh export PATH=$PATH:/programmi/ypanything-1.1/ /programmi/ypanything-1.1/ypanything -f /programmi/ypanything- 1.1/basic402.conf & /usr/sbin/ypbind Lo script avvia il servizio ypanything ed il servizio ypbind In modo che il client sia contemporaneamente server NIS e client NIS. Il comando

3 /programmi/ypanything-1.1/ypanything -f /programmi/ypanything- 1.1/basic402.conf & richiama il file di configurazione basic402.conf così strutturato: basic402.conf ypanything, an NIS gateway to non- NIS sources. Copyright (C) 2004 Jeff McElroy This program is free software; you can redistribute it and/or mody it under the terms of the GNU General Public License as published by the Free Software Foundation; Omissis.. Debugging variables debug 1 debug_file "./basic.log" This stanza defines the domain 'test.domain1' to have the NIS maps: passwd.byname, passwd.byuid, group.byname, and group.bygid. domain "mat.unimi.it" this stanza defines the NIS maps: passwd.byname and passwd.byuid map "passwd" script "/programmi/ypanything- 1.1/ldap.passwd.pl" script to run. refresh 30 delay in seconds between refreshes. memblock_size 8192 internal settings ioblock_size 4096 deliminator ":" field deliminator index "byname" the login is the first field 1 field in passwd index "byuid" the userid is the third field 3 field in passwd this stanza defines the NIS maps: group.byname and group.bygid. map "group" script "/programmi/ypanything- 1.1/ldap.group.pl" script to run. refresh 30 delay in seconds between refreshes. memblock_size 8192 internal settings ioblock_size 4096 deliminator ":" field deliminator index "byname" the login is the first field 1 field in passwd index "bygid" the userid is the third field 4 field in passwd Sono indicati evidenziati il dominio mat.unimi.it ed i 2 script ldap.group.pl ldap.passwd.pl presenti nel pacchetto di ypanything. Gli script devono essere opportunamente modicati sulla base dello schema di Active Directory W2003 SRV2. Il primo dei due script Ldap.group.pl!/usr/bin/perl ypanything, an NIS gateway to non- NIS sources. Copyright (C) 2004 Jeff McElroy <jmcelroy11@sio.midco.net>

4 Omissis use MIME::Base64; sub getldap $host = sht; $port = sht; $binddn = sht; $bindpassword = sht; $base = sht; $searchtype = sht; open(ldap,"ldapsearch -x -P 3 - t -LLL -h $host -p $port -D '$binddn' -w $bindpassword -b $base -s $searchtype objectclass=user samaccountname unixuserpassword uidnumber gidnumber posixmember unixhomedirectory loginshell ") die $!; while(<ldap>) (/^\s*$/) "$uunixuserpassword\n"; ("$uunixuserpassword" eq "") $uunixuserpassword = "x"; $uunixuserpassword =~ s/\crypt\//ig; " \n"; " $usamaccountname"; "$usamaccountname:$uunixuserpasswo rd:$uuidnumber:$ugidnumber:$upo sixmember:$uunixhomedirectory:$ul oginshell\n"; undef %u; els (/(^[^:]+)::\s*(.*)/) $u$1 = MIME::Base64::decode($2); els (/(^[^:]+):\s*(.*)/) $u$1=$2; close(ldap); ("$uunixuserpassword" eq "") $uunixuserpassword = "x"; $uunixuserpassword =~ s/\crypt\//g; " \n"; "$usamaccountname:$uunixuserpasswo rd:$uuidnumber:$ugidnumber:$upo sixmember:$uunixhomedirectory:$ul oginshell\n"; undef %u; getldap (" ", 389, "cn=ldapuser,ou=untrusted Users,dc=mat,dc=unimi,dc=it", "password_mia", "dc=mat,dc=unimi,dc=it", "sub"); ldap.passwd.pl!/usr/bin/perl sub getldap $host = sht; $port = sht; $binddn = sht; $bindpassword = sht; $base = sht; $searchtype = sht; open(ldap,"ldapsearch -x -LLL - h $host -p $port -D '$binddn' -w $bindpassword -b $base -s $searchtype objectclass=group cn UnixUserPassword gidnumber memberuid ") die $!; while(<ldap>) (/^\s*$/) ("$uunixuserpassword" eq "") $uunixuserpassword = "x"; $uunixuserpassword =~ s/\crypt\//g; "$ucn:$uunixuserpassword:$ugidnu mber:$members\n"; $members = undef; %u = undef; els (/(^[^:]+):\s*(.*)/) $u$1=$2;

5 ($1 eq "memberuid") (defined($members)) $members.= ","; $members.= $2; close(ldap); ("$uunixuserpassword" eq "") $uunixuserpassword = "x"; $uunixuserpassword =~ s/\crypt\//g; "$ucn:$uunixuserpassword:$ugidnu mber:$members\n"; $members = undef; %u = undef; getldap ("aaa.bbb.ccc.ddd", 389, "cn=ldapuser,ou=untrusted Users,dc=mat,dc=unimi,dc=it", "password_mia", "dc=mat,dc=unimi,dc=it", "sub"); Per configurare Nis client modichiamo il file yp.conf /etc/yp.conf domain mat.unimi.it broadcast Per consentire al sistema di utilizzare NIS modichiamo il file nsswitch.conf presente in /etc /etc/nsswitch.conf Sicurezza Per migliorare il livello di sicurezza del PC Knoppix viene utilizzato iptables in modo da impedire connessioni da reti non di fiducia. regole iptables per consentire solo rete aaa.bbb.ccc.ddd /sbin/iptables -A INPUT -s aaa.bbb.ccc.0/24 -j ACCEPT /sbin/iptables -A INPUT -s /32 -j ACCEPT /sbin/iptables -A INPUT -p tcp -- dport 700: j ACCEPT /sbin/iptables -A INPUT -p udp -- dport 700: j ACCEPT /sbin/iptables -P INPUT DROP Qualora si voglia impedire l accesso via LDAP in chiaro è sempre possible stabilire un tunnel SSL tra client e server ricorrendo a tool open source come stunnel ed openssl. Conclusioni Ad oggi possono essere utilizzate strade diverse per consentire l autenticazione di machine Linux in un dominio Windows. La soluzione indicata in questo documento non è certamente la migliore ma è stata pensata per distribuzioni customizzate come LIVE CD Knoppix dove puo non essere così semplice configurare Kerberos o Winbind. Seguendo le indicazioni date nei paragrafi precedenti è possibile in poco tempo utilizzare Knoppix in un ambiente Windows condividendo un unico database per gli account utente. La modica della password non è possibile da ambiente Linux tuttavia si ritiene che dove l utente ha a disposizione anche un PC windows tale problema possa passare in secondo piano. Ypanything nella versione utilizzata in questo documento (la 1.1) risulta uno strumento utile ma non ancora completo. passwd: shadow: group: files nis files files nis