NETBUK LINUX SERVER un'idea della Nabuk Family

Transcript

1 Alnath NETBUK LINUX SERVER un'idea della Nabuk Family Powered by Ubuntu Server Edition Versione pagina 1

2 Versione pagina 2

3 INDICE Pagina Prefazione... 4 Convenzioni... 4 Preparazione ed Installazione del sistema (Ubuntu X.xx i386 Server Edition)... 5 Note sull'editor di testo nano... 7 Login nel Sistema Operativo... 7 Configurazione interfaccia di rete (operazioni di controllo - non necessarie)... 8 Installazione del server openssh Configurazione del webserver Apache2 (operazioni di controllo - non necessarie) Configurazione SSL di Apache2 Soluzione Soluzione Installazione servizio no-ip Installazione e configurazione del server MySQL (operazioni di controllo - non necessarie) Installazione PHP (operazioni di controllo - non necessarie) Installazione e configurazione dei server mail Postfix e Dovecot Aggiungere utenti di posta elettronica (di sistema) Soluzione Soluzione Soluzione Installazione e configurazione interfaccia webmail: Squirrelmail Implementazione con database utenti in MySQL Passo 1: Configurazione di Dovecot Passo 2: Configurazione di Postfix Passo 3: Aggiungere utenti al database Suggerimenti Installazione e configurazione del server ftp proftpd Impostazioni personalizzate netbuk server Ringraziamenti Versione pagina 3

4 Prefazione Questa breve guida mostra come installare e configurare passo-passo alcune applicazioni server utilizzando la distribuzione GNU/Linux Ubuntu Server Edition in modalità testuale un server di rete degno di tale status non ha bisogno di interfacce grafiche in particolare ci si soffermerà sulla funzionalità LAMP (ovvero Linux Apache MySQL PHP Perl Python). Essendo una guida di carattere generale e redatta da un neofita del mondo open source, mi scuso anticipatamente per eventuali errori, imprecisioni ed omissioni; non vuole essere una sorta di testo definitivo ma una risposta alle molte domande e difficoltà incontrate da neofiti come il sottoscritto. Il documento è in perenne aggiornamento ed è resa disponibile a tutti secondo la licenza pubblica generale (GPL), modificabile, integrabile, traducibile in ogni lingua e stampabile infinite volte, indicando sempre l'autore o gli autori del progetto di base. Le informazioni qui contenute hanno il solo scopo didattico e divulgativo. L'autore declina ogni responsabilità circa l'uso delle tecniche descritte all'interno. I marchi e prodotti citati, se protetti da copyright, sono di proprietà dei loro rispettivi proprietari in Italia e nel resto del mondo. SI RACCOMANDA DI TENERE COLLEGATO IL PC AL MODEM-ROUTER E DI AVERE ATTIVA LA CONNESSIONE AD INTERNET DURANTE LA FASE D'INSTALLAZIONE DEL SISTEMA OPERATIVO IN MODO DI RECUPERARE AGEVOLMENTE PACCHETTI D'INSTALLAZIONE EVENTUALMENTE NON PRESENTI NEL CD D'INSTALLAZIONE STESSO. Convenzioni In questa guida saranno utilizzate le seguenti note: Nota interessante, tip, informazione tecnica. Cautela, potenziali problemi di configurazione. Attenzione, potenziali rischi sulla sicurezza del sistema. I nomi dei file ed i percorsi verranno visualizzati con caratteri a spaziatura singola, così come i comandi da digitare a riga di comando verranno visualizzati in questo modo: comando da digitare I tasti principali utilizzati saranno così visualizzati: [Ctrl] [Shift] [Alt] Pulsante Control Pulsante invio Pulsante Shift Pulsante Alternate La selezione di un'opzione viene visualizzata in questo modo: "Scelta opzione". Versione pagina 4

5 Preparazione ed Installazione del sistema (Ubuntu X.xx i386 Server Edition) Per poter installare la distribuzione Ubuntu Server Edition bisogna prima di tutto disporre di un pc le cui caratteristiche minime siano almeno le seguenti: Ram: 64 MegaBytes HDD: 500 MegaByte Detto questo, non è detto che il sistema non funzioni anche su macchine con requisiti tecnici inferiori, ma ci si potrebbe trovare in situazioni tali da avere un sistema non all'altezza delle proprie aspettative; lo spazio richiesto su disco (HDD) potrebbe aumentare, anche in modo considerevole, in funzione delle applicazioni e servizi da installare; essendo questo un profilo base per server, si consideri di utilizzare dischi di dimensioni maggiori. Una volta appurate le caratteristiche tecniche del pc adibito a server, bisogna avere a disposizione il CD d'installazione del sistema operativo in oggetto, scaricabile gratuitamente all'indirizzo Masterizzata la ISO su un CD vergine, passiamo alla fase d'installazione vera e propria. Verificare che nel Bios del pc sia abilitato il Boot da CD/DVD-Rom. Accendiamo il pc, inseriamo il CD fresco fresco di masterizzazione ed attendiamo che il sistema d'installazione venga inizializzato; leggiamo il testo visualizzato. Scegliamo la lingua di sistema utilizzata selezionando "Italiano"; premere per confermare l'opzione selezionata e successivamente premiamo il pulsante [F4] selezionando come modalità Installa sistema minimale - tanto ci verrà chiesto in seguito quale tipo di server installare... E' giunto il momento di procedere alla fase d'installazione vera e propria: spostatevi in basso con i tasti di direzione (frecce) fino a selezionare "Installa Ubuntu server" e premete ; quando richiesto, selezionate la nazione legata alla lingua (Italia) bypassando nel caso stiate installando la Ubuntu 9.04 server - la verifica del tipo di tastiera (basta selezionare qudella italiana) e premete ; l'installer controllerà il CD, il vostro hardware e, se presente, il server DHCP. Se il vostro sistema ha più di un'interfaccia di rete, selezionate quella principale personalmente ho scelto come principale quella della scheda madre e secondaria quella inserita nello slot PCI, anche se i relativi nomi (eth0, eth1) risultavano invertiti. Se non viene trovato un server DHCP in rete, bisognerà provvedere manualmente alla configurazione dell'interfaccia di rete inserendo indirizzo IP, subnet mask, indirizzo gateway e del server DNS; un esempio di configurazione potrebbe essere la seguente: Indirizzo IP: Subnet Mask: Gateway: Indirizzo-Ip-del-router (es.: ) Server DNS: Indirizzo-Ip-del-router (es.: ) Inseriamo, quando richiesto, il nome del nostro server, ad esempio MioServer (ricordo a tal proposito di fare attenzione alle maiuscole... ma questo dovreste già saperlo, cosa ve lo dico a fare...) premiamo e successivamente digitiamo il nome del dominio al quale appartiene il server: visto che stiamo installando un server della Grande Rete Nabuk, il dominio sarà netbuk.org premiamo e proseguiamo nell'installazione. Versione pagina 5

6 Provvediamo alla partizione dell'hdd ed alla sua formattazione - cancelliamo tranquillamente l'intero disco se il computer in oggetto svolge solo la funzione di server. Sistemiamo quando richiesto l'orologio di sistema. Personalmente, avendo inserito due HDD nel computer, ho provveduto al partizionamento manuale del disco secondario (sdb GB) in questo modo: - n 1: partizione primaria da 60 GB montata come /var/www - n 2: partizione primaria da 103,9 GB montata come /home Il disco principale (sda - 80 GB) è stato partizionato in automatico ed è risultato così composto: - n 1 primaria 79,1 GB f ext3 / - n 5 logica 2,9 GB f swap swap La procedura d'installazione ci chiederà d'inserire un utente, procediamo quindi alla sua creazione inserendo il nome completo dell'utente, nome per l'account (di login) e password (da inserire due volte)... stesso discorso di prima per le maiuscole/minuscole... Se non utilizzate un proxy lasciate vuoto il campo quando richiesto e premete per proseguire con la scelta del software da installare. Qui è possibile scegliere diverse configurazioni di sistema, anche contemporaneamente, ma noi andiamo con calma ed a piccoli passi, quindi attiviamo (con la barra spaziatrice) l'opzione LAMP e SSH premiamo. LAMP = per un webserver Linux Apache MySQL PHP Perl Python Il sistema provvederà a completare l'installazione dei pacchetti supplementari selezionati e non ci resta che attendere che tutte le operazioni siano eseguite, in particolare la scansione dei vari link via web dove risiedono i repository aggiornati. Non abbiamo ancora finito nelle configurazioni di base, fortunatamente, con questa versione di Ubuntu Server, ci viene richiesto di digitare una nuova password di root di MySQL e ci risparmiano l'onere di doverlo fare manualmente in fase di configurazione... ma cosa aspettate??? Inserite la password e premete [invio], ridigitatela per confermare quanto inserito e ri-premete per proseguire. Al termine verrà installato il boot-loader (GRUB) e sarà richiesto di rimuovere il CD dal lettore: rimuoviamolo e premiamo per effettuare il reboot del sistema. Complimenti, ora siete i felici possessori di un server Ubuntu!!! Non gioite prima del tempo: bisogna passare alla fase di configurazione. Quando editate un file di configurazione ricordate di fare molta attenzione a quanto digitate: le singole chiavi/valori sono nella quasi totalità dei casi case-sensitive! Ciò significa che se digitate ad esempio 'Maildir' anziché 'MailDir', sebbene la parola sia letteralmente la medesima, il sistema non risponderà nel modo nel quale ci si aspetti, con grande perdita di tempo nella ricerca dell'errore. Versione pagina 6

7 Note sull'editor di testo nano Prima di proseguire occorre accennare ad alcuni comandi dell'editor di testo (nano) che andremo ad utilizzare per modificare i files di configurazione. Innanzitutto l'editor di testo in questione viene lanciato mediante il comando sudo nano /percorso/filename (sudo serve nel caso in cui non siamo loggati come root) ed i comandi da digitare mezzo tastiera sono dati dall'unione del tasto [Ctrl] + una lettera e comunque sono visualizzati anche a video, per cui è molto difficile sbagliare. Login nel Sistema Operativo Poiché il sistema appena installato non dispone di una comoda e confortevole interfaccia grafica, bisogna rimboccarsi le maniche e configurare tutto a riga di comando non abbiate paura, non è poi così difficile come si possa pensare, questa guida passo-passo serve appunto per questo!!! Ma veniamo al dunque: appena effettuato il boot, il sistema attende il login da parte dell'utente ed allora cosa aspettiamo? Logghiamoci digitando NomeUtente PasswordUtente Non è necessario sbloccare l'account del super-utente (root, per chi non l'avesse capito...), quindi per proseguire nella fase di configurazione del server basta ricordarsi che per lanciare i comandi con privilegi amministrativi bisogna digitare sudo nomecomando, digitando successivamente la password del vostro utente e premendo. Per completezza di informazioni, l'account root viene attivato ed utilizzato la prima volta in questo modo digitando: sudo passwd root una volta digitato il comando ci verrà chiesto "Enter new UNIX password:", digitiamo quindi la PasswordDiRoot e successivamente confermiamo ridigitandola. (Ricordiamoci che bisogna premere il pulsante per proseguire nelle operazioni...) Non ci resta che assumere i privilegi di root digitando: su e successivamente, se richiesta, la PasswordDiRoot per loggarci nel sistema. Non per fare il guastafeste, ma abilitare il super-utente mi pare una grande boiata... però se proprio proprio non ne potete fare a meno... a vostro rischio e pericolo, ne vade comunque la sicurezza del vostro server. Versione pagina 7

8 Configurazione interfaccia di rete (operazioni di controllo non necessarie) La maggior parte delle configurazioni di rete, viene concentrato in un unico file, /etc/network/interfaces. Se si dispone di un unico dispositivo ethernet, questo sarà denominato eth0 ed il file di configurazione conterrà le seguenti informazioni, modificabili all'occorrenza attraverso l'editor nano come spiegato in precedenza. Controlliamo quindi il file digitando: sudo nano /etc/network/interfaces # This file describes the network interfaces available on your system # and how to activate them. For more information, see interfaces(5). # The loopback network interface auto lo iface lo inet loopback # The primary network interface auto eth0 iface eth0 inet static address netmask network broadcast gateway # dns-* options are implemented by the resolvconf package, if installed dns-nameserver dns-search netbuk.org Vediamo cosa significano queste informazioni: auto eth0 specifica che l'interfaccia ethernet 0 deve essere avviata in fase di boot iface eth0 inet static specifica che l'interfaccia (iface) eth0 deve avere uno spazio di indirizzi Ipv4 (inet) e che deve avere una configurazione statica (static) address x.x.x.x specifica l'indirizzo IP (versione 4) dell'interfaccia eth0 netmask x.x.x.x specifica la sottomaschera di rete dell'interfaccia eth0 network x.x.x.x specifica la classe ella rete gateway x.x.x.x specifica l'indirizzo IP (versione 4) del gateway di "uscita" verso Internet (router) dns-nameserver x.x.x.x specifica l'indirizzo IP (versione 4) del server dei nomi di dominio (router) Se le informazioni non sono corrette, apportate le modifiche del caso e salvate; in questo caso andrà riavviato il servizio dell'interfaccia ethernet digitando: sudo /etc/init.d/networking restart Poiché la configurazione è stata fatta manualmente, bisognerà anche dare una controllatina alla risoluzione dei nomi e dei server DNS inseriti nel file di configurazione /etc/resolv.conf e /etc/hosts. Cominciamo controllando il file /etc/resolv.conf digitando: sudo nano /etc/resolv.conf Versione pagina 8

9 nameserver domain netbuk.org Passiamo ora al file /etc/hosts digitando: sudo nano /etc/hosts localhost MioServer.netbuk.org MioServer # The following lines are desirable for IPv6 capable hosts ::1 ip6-localhost ip6-loopback fe00::0 ip6-localnet ff00::0 ip6-mcastprefix ff02::1 ip6-allnodes ff02::2 ip6-allrouters ff02::3 ip6-allhosts Se le informazioni non sono corrette, apportate le modifiche del caso e salvate; in questo caso andrà anche riavviato il servizio come indicato precedentemente. Passiamo ora al file /etc/hostname digitando: sudo nano /etc/hostname MioServer Se le informazioni non sono corrette, apportate le modifiche del caso e salvate; in questo caso andrà anche riavviato il servizio come indicato precedentemente. Controlliamo se le informarzioni inserite sono esatte digitando: hostname -f Il server dovrebbe rispondere con il proprio nome completo (FQDN); per fare la prova del nove digitiamo il comando: hostname Il server dovrebbe rispondere con il proprio nome. Nel caso in cui il server non restituisca i valori come sopra descritto, si spenga la macchina digitando sudo init 0. Riavviamo, logghiamoci nel sistema e controlliamo di nuovo con il comando sopra descritto; a questo punto dovrebbe essere tutto a posto. Per maggiori informazioni e specifiche riguardanti la configurazione della rete, fare riferimento alla guida reperibile online all'indirizzo: Versione pagina 9

10 INSTALLAZIONE DEL SERVER OPENSSH OpenSSH è una versione open-source della famiglia di protocolli e strumenti SSH (Secure Shell) per il controllo remoto di un computer o trasferimento di files tra computers. Gli strumenti tradizionali utilizzati per svolgere queste funzioni, come ad esempio telnet o rcp, sono insicuri poiché trasmettono la password dell'utente in chiaro. La componente server openssh, sshd, è continuamente in ascolto per eventuali richiesta di connessioni. Quando viene effettuata una richiesta di connessione, sshd istituisce il corretto collegamento a seconda del tipo di strumento client utilizzato. Se non è stata selezionata la voce SSH in fase d'installazione del sistema, il server OpenSSH è installabile mediante il comando: sudo apt-get install openssh-server xauth Il sistema risolverà automaticamente le dipendenze e ci informerà che alcune librerie saranno aggiornate ed una volta completata la fase d'installazione il server openssh si configurerà automaticamente. E' anche possibile selezionare tale pacchetto in fase d'installazione del sistema operativo stesso (si veda la nota a pagina 2). Bene, facciamo una copia di backup del file di configurazione di base e diamogli una stiratina digitando: sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.originale sudo nano /etc/ssh/sshd_config Visto che vogliamo fare i preziosi, abbiamo la possibilità: di cambiare la porta sulla quale è in ascolto sshd; cerchiamo la direttiva Port e modifichiamo quella di default (22) in un altra a piacimento - ad esempio la 2222; concedere il login mediante credenziali a chiavi pubbliche, senza alcuna richiesta di password; disabilitare il login da root impostando a no la direttiva PermitRootLogin; abilitare e/o cambiare il banner di login contenuto nel file /etc/issue.net decommentando la direttiva Banner /etc/issue.net; Nel file di configurazione sono presenti molte opzioni di controllo che potrebbero, nel caso in cui l'accesso al vostro server avvenga da remoto mediante ssh e sia stato fatto un errore di configurazione, rendere inaccessibile il server stesso; si raccomanda quindi di prestare molta attenzione durante la modifica del file ssh_config da computer remoto. Una volta effettuate tutte le modifiche del caso riavviamo il server sshd digitando: sudo /etc/init.d/ssh restart Per ultimo, anche per completezza di informazioni date, se proprio proprio non digerite il fatto di dover digitare la password ogni qualvolta vi colleghiate al vostro server, si ha la possibilità, come indicato precedentemente, di effettuare Versione pagina 10

11 il login mediante credenziali pubbliche (SSH Key). L'autenticazione SSH utilizza due chiavi: una privata ed una pubblica, ma procediamo con ordine. Iniziamo con il generare le chiavi utilizzando DSA (Autenticazione Identità Utente); da notare che durante tale processo ci verrà richiesta la digitazione della password; inseriamola per proseguire nella generazione. Digitiamo quindi: sudo ssh-keygen -t dsa Di default le chiavi pubbliche generate sono memorizzate nella directory ~/.ssh/ e le chiavi sono così nominate: id_dsa la chiave privata id_dsa.pub la chiave pubblica Il carattere ~ si ottiene premendo [Alt] Non ci resta che copiare il file contenente la chiave pubblica nel computer remoto ed 'appenderlo' nel file ~/.ssh/authorized_keys2 mediante il comando: sudo cat id_dsa.pub >>.ssh/authorized_keys2 Diamo una stiratina ai permessi di lettura/scrittura al file authorized_keys2 (solo l'utente autenticato deve accedervi) ed il gioco è fatto; digitiamo quindi: sudo chmod 644.ssh/authorized_keys2 Per quanto mi riguarda, nel mio piccolo, mi sono limitato all'installazione del server SSH ed alla modifica del banner e della porta, lasciando tutto il resto così com'era. Vi chiederete: perché installare subito questo servizio? Semplicemente perché grazie a openssh si può finire di configurare il server da remoto, magari comodamente seduti sul divano (come nel mio caso)... Per collegarci da remoto al nostro server non ci serve altro che un programma che supporti tale protocollo, come ad esempio Putty (per i sistemi Windows ), inserire l'indirizzo e porta alla quale risponde il nostro server e premere [Connetti]. Et voilà... una bella shell a riga di comando dalla quale amministrare in tutta sicurezza il vostro server tranquillamente dalla poltrona del salotto (non in ufficio, mi raccomando, non siete pagati per farvi gli affari vostri...) Per maggiori informazioni e specifiche riguardanti la configurazione del server SSH, fare riferimento alla guida reperibile on-line all'indirizzo: Versione pagina 11

12 Configurazione del webserver Apache2 (operazioni di controllo non necessarie) Apache è il webserver maggiormente utilizzato nei sistemi Linux e, nella fattispecie, nel nostro server è stato installato Apache 2 in combinazione con il motore database MySQL, il linguaggio di pre-processamento dell'ipertesto PHP, Perl e Python (configurazione LAMP, appunto...). Se comunque abbiamo la necessità di dover installare questo servizio, inseriamo il CD-Rom del sistema operativo e digitiamo il seguente comando con privilegi di root: sudo apt-get install apache2 Il file di configurazione principale del server web è, di default, /etc/apache2/apache2.conf. Digitiamo dunque: sudo nano /etc/apache2/apache2.conf Il file dovrebbe contenere molte informazioni, ma noi ci soffermeremo solamente su alcune di esse, e precisamente: Timeout 120 KeepAlive On User www-data Group www-data Include /etc/apache2/httpd.conf Include /etc/apache2/ports.conf Include /etc/apache2/conf.d/[^.#] Attenzione, non impostare mai la direttiva User a Root a meno che non sia estremamente necessario. Questo può creare una falla di sicurezza del webserver. Se le informazioni non sono corrette, apportate le modifiche del caso e salvate; in questo caso andrà anche riavviato il servizio digitando: sudo /etc/init.d/apache2 restart Passiamo ora al file di configurazione ports.conf per controllare che il nostro webserver sia in ascolto sulla porta 80 (oppure 443 per l'https) digitando: sudo nano /etc/apache2/ports.conf Sul monitor compariranno le seguenti informazioni: NameVirtualHost *:80 Listen 80 <IfModule mod_ssl.c> Listen 443 </IfModule> Versione pagina 12

13 Se le informazioni non sono corrette, apportate le modifiche del caso e salvate. Passiamo al file di configurazione 000-default per controllare dove risiede la cartella di destinazione del sito web nel nostro webserver digitando il comando: sudo nano /etc/apache2/sites-enabled/000-default Controlliamo che il file di configurazione assomigli a qualcosa del genere: # Nelle versioni precedenti alla 9.04 la riga sottostante era decommentata #NameVirtualHost *:80 <VirtualHost *:80> ServerAdmin webmaster@localhost DocumentRoot /var/www <Directory /> Options FollowSymLinks AllowOverride None </Directory> <Directory /var/www> Options Indexes FollowSymLinks MultiViews AllowOverride None Order allow,deny allow from all </Directory> ScriptAlias /cgi-bin/ /usr/lib/cgi-bin/ <Directory "/usr/lib/cgi-bin"> AllowOverride None Options +ExecCGI -MultiViews +SymLinksIfOwnerMatch Order allow,deny Allow from all </Directory> ErrorLog /var/log/apache2/error.log # Possible values include: debug, info, notice, warn, error, crit, # alert, emerg. LogLevel warn CustomLog /var/log/apache2/access.log combined ServerSignature On Alias /doc/ "/usr/share/doc/" <Directory "/usr/share/doc/"> Options Indexes MultiViews FollowSymLinks AllowOverride None Order deny,allow Deny from all Allow from / ::1/128 </Directory> </VirtualHost> Versione pagina 13

14 Se le informazioni non sono corrette, apportate le modifiche del caso e salvate; riavviamo il server apache per fargli acquisire le nuove impostazioni come descritto precedentemente e controlliamo che funzioni a dovere digitando: telnet MioServer 80 Proviamo anche così: telnet MioServer.netbuk.org 80 Se tutto è andato a buon fine, il sistema dovrebbe rispondere in questo modo: Trying Connected to MioServer.netbuk.org. Escape character is '^]'. Digitiamo quit per uscire (potrebbe essere necessario nel caso del collegamento sulla porta 443 di dover digitare anche exit) ed ora possiamo inserire i files che comporranno il nostro sito web nella directory /var/www così come indicato nel file 000-default. Se volete che il server sia raggiungibile tramite il protocollo http anche via internet ricordatevi di effettuare il portforwarding sul router della porta 80 (TCP) verso l'indirizzo ip del server in oggetto (potrebbe anche interessarvi la 443 TCP per il servizio protetto https). Personalmente ho caricato in questa directory il CMS e107 ma ciò non significa che non sia possibile inserirvi un proprio sito creato ad hoc. Se avete intenzione di utilizzare un CMS che faccia uso del servizio Php, si raccomanda di configurare tale server si veda il paragrafo dedicato prima di procedere al suo utilizzo. Se uploadate manualmente i file ricordatevi di settare i giusti permessi: chmod 755 alle cartelle chmod 644 ai files Per maggiori informazioni e specifiche riguardanti la configurazione del webserver Apache2, fare riferimento alla guida reperibile on-line all'indirizzo: Versione pagina 14

15 Configurazione SSL di Apache2 Prima di cominciare bisogna sapere che i dati tra client e server vengono inviati in chiaro, quindi senza alcun meccanismo di protezione dall'essere letto ed interpretato da chiunque si trovi nel mezzo. SSL è un protocollo che fornisce il supporto necessario alla cifratura proteggendo i dati in transito e garantendo l'identità del server. L'implementazione SSL si basa sui concetti di crittografia RSA a chiave pubblica e privata (CSR - certificate-signing request) e di certicati X.509 per mezzo dei quali si garantisce l'identità del server (quindi il certificato include i dati del nostro server e la chiave pubblica, il tutto rilasciato da una certification authority, CA universalmente riconosciuta). Le azioni da effettuare saranno quelle di generazione di un certificato auto-firmato (self-signed certificate) e la configurazione del mod_ssl di apache2, non è un'operazione strettamente necessaria e, se il vostro server non necessita di una connessione sicura, potete tralasciare le righe sottostanti. (Soluzione 1) Cominciamo prima di tutto con l'installare OpenSSL e con il generare la nostra chiave privata RSA lunga 1024 bit utilizzando l'algoritmo Triple DES dalla quale verrà poi ricavata la chiave pubblica: sudo apt-get install openssl cd /etc/apache2 sudo openssl genrsa -des3 -out server.key 1024 In fase di creazione della chiave ci verrà imposto la scelta di una pass-phrase che dovremo digitare tutte le volte che useremo la chiave privata; per ragioni di sicurezza si consiglia di scegliere un frase ben congegnata e sufficientemente lunga ma che possiate ricordare all'occorrenza. Generating RSA private key, 1024 bit long modulus e is (0x10001) enter pass phrase for server.key: Verifing Enter pass phrase for server.key: Successivamente provvediamo a proteggerla in lettura: sudo chmod 400 server.key sudo chown root:root server.key Provvediamo quindi alla generazione del CSR e provvediamo dopo alla sua protezione: sudo openssl req -new -key server.key -out server.csr Come indicato precedentemente, visto che stiamo utilizzando la chiave privata, ci verrà richiesta la digitazione della pass phrase; digitiamola e premiamo per proseguire; ci verrà chiesto l'inserimento di alcune informazioni (inseriamo. dove desideriamo lasciare i campi vuoti); ecco un esempio:... Country Name (2 letter code) [AU]:IT State or Province Name (full name) [Some-State]:. Locality Name (eg, city) []:. Organization Name (eg, company) [Internet Widgits Pty Ltd]:mioserver Versione pagina 15

16 Organizational Unit Name (eg, section):mioserver CA Common Name (eg, YOUR name) []:mioserver.no-ip.org Address Please enter the following 'extra' attributes to be sent with your certificate request A challenge password []:. An optional company name []:. Provvediamo ora alla protezione del CSR appena generato: sudo chmod 400 server.csr sudo chown root:root server.csr E' arrivato il momento di auto-firmare (sostituendoci ad una Certificate Authority, CA) il CSR ottenuto dalla procedura sopra menzionata ottenendo in questo modo un certificato valido CRT: sudo openssl x509 -req -days in server.csr -signkey server.key -out server.crt In questo caso si è supposto di generare un certificato valido per 10 anni mediante il comando -days 3650 Volendo si potrebbe anche visionare in chiaro il certificato appena creato digitando: sudo openssl x509 -text in server.crt Bene, abbiamo finito il grosso del lavoro, non ci resta altro da fare che configurare apache2 in modo tale che accetti connessioni protette (abilitando il mod_ssl) ed il rewriting dell'url (abilitando il rewrite) digitando, qui ci sono due soluzioni, una semplice - un solo comando ed una più manuale : SOLUZIONE 1 sudo a2enmod ssl sudo a2enmod rewrite Il sistema confermerà l'abilitazione dei moduli e suggerirà il riavvio di apache2 (ma questo lo faremo più tardi...). SOLUZIONE 2 Caricare il moduli manualmente nella directory dei moduli abilitati di apache2 creando dei link ai files digitando: sudo ln -s /etc/apache2/mods-available/ssl.conf /etc/apache2/mods-enabled/ssl.conf sudo ln -s /etc/apache2/mods-available/ssl.load /etc/apache2/mods-enabled/ssl.load sudo ln -s /etc/apache2/mods-available/rewrite.load /etc/apache2/mods-enabled/rewrite.load Versione pagina 16

17 Torniamo al file di configurazione 000-default in.../sites-enabled/ digitando il comando: sudo nano /etc/apache2/sites-enabled/000-default Modifichiamo l'inizio del file in questo modo, lasciando pure il resto del file così com'è: # Nelle versioni precedenti alla 9.04 la riga sottostante era decommentata #NameVirtualHost *:80 <VirtualHost *:80> Salviamo in uscita e provvediamo alla copia del file di configurazione in oggetto e successivamente apriamolo digitando: cd /etc/apache2/sites-enabled sudo cp 000-default ssl-default sudo nano /etc/apache2/sites-enabled/ssl-default Modifichiamolo in modo che assomigli a questo, facendo attenzione alla direttiva CustomLog ed inserendo le direttive che riguardano SSL (si vedano a tal proposito le ultime righe del file): NameVirtualHost *:443 <VirtualHost *:443> ServerAdmin webmaster@localhost DocumentRoot /var/www <Directory /> Options FollowSymLinks AllowOverride None </Directory> <Directory /var/www> Options Indexes FollowSymLinks MultiViews AllowOverride None Order allow,deny allow from all </Directory> ScriptAlias /cgi-bin/ /usr/lib/cgi-bin/ <Directory "/usr/lib/cgi-bin"> AllowOverride None Options +ExecCGI -MultiViews +SymLinksIfOwnerMatch Order allow,deny Allow from all </Directory> ErrorLog /var/log/apache2/error.log # Possible values include: debug, info, notice, warn, error, crit, # alert, emerg. LogLevel warn CustomLog /var/log/apache2/access-ssl.log combined [Segue] Versione pagina 17

18 ServerSignature On Alias /doc/ "/usr/share/doc/" <Directory "/usr/share/doc/"> Options Indexes MultiViews FollowSymLinks AllowOverride None Order deny,allow Deny from all Allow from / ::1/128 </Directory> </VirtualHost> SSLEngine On SSLOptions +FakeBasicAuth +ExportCertData +StrictRequire SSLCertificateFile /etc/apache2/server.crt SSLCertificateKeyFile /etc/apache2/server.key Apportiamo le modifiche e salviamo; riavviamo il server apache2 per fargli acquisire le nuove impostazioni come descritto precedentemente; se ci viene restituito un messaggio di errore, si ricontrolli la configurazione di apache2, magari abbiamo scritto qualcosa in modo errato. Attenzione, sinceratevi che il server apache2 sia in ascolto anche sulla porta 443 controllando il file /etc/apache2/ports.conf e che sul vostro router sia stato effettuato il port-forwarding della porta 443 dalla pubblica all'ip del vostro server. L'unico neo riscontrato in questa procedura è quello di dover digitare la pass phrase ogni qual volta si avvia / riavvia apache2 quindi sarebbe forse illogico configurare un sistema in questo modo (specialmente se il server dovesse riavviarsi da solo e voi non siate lì ad attivare manualmente apache2) Versione pagina 18

19 (Soluzione 2) Questa soluzione è più semplice rispetto a quella precedentemente esposta e prevede l'installazione di un pacchetto che inspiegabilmente non viene più distribuito con il pacchetto apache2. Cominciamo con l'installare i pacchetti necessari: sudo apt-get install openssl sudo apt-get install ssl-cert Passiamo ora alla fase di creazione della chiave digitando: sudo make-ssl-cert /usr/share/ssl-cert/ssleay.cnf /etc/apache2/ssl-server.pem Una volta lanciato il comando apparirà la finestra di dialogo per la configurazione del certificato; digitiamo. per lasciare i campi vuoti: Configure an SSL certificate The two letter code for Country. (e.g. GB) (countryname):it Your state, counry or province. (stateofprovincename):. The name of the city or town that you live in. (localityname):. The name of the company or organisation the certificate is for. (organisationname):mioserver The Division or section of the organisation the certificate is for. (organisationunitname):mioserver CA The hostname of the server the certificate il for. This must be fille in. (commonname):mioserver.no-ip.org The address that should be associated with the certificate. ( Address):webmaster@MioServer.no-ip.org Attenzione, a causa di un bug, la durata del certificato è limitata a 30 giorni; bug risolto nelle versioni successive. Se state effettuando tale operazione sulla Ubuntu 9.04 vi verrà richiesto l'inserimento del solo commonname (MioServer.no-ip.org) Torniamo al file di configurazione 000-default in sites-enabled digitando il comando: sudo nano /etc/apache2/sites-enabled/000-default Modifichiamo l'inizio del file in questo modo, lasciando pure il resto del file così com'è: # Nelle versioni precedenti alla 9.04 la riga sottostante era decommentata #NameVirtualHost *:80 <VirtualHost *:80> Salviamo in uscita e provvediamo alla copia del file di configurazione in oggetto e successivamente apriamolo digitando: cd /etc/apache2/sites-enabled sudo cp 000-default ssl-default sudo nano /etc/apache2/sites-enabled/ssl-default Versione pagina 19

20 Modifichiamolo (in grassetto sono evidenziate le differenze) in modo che assomigli a quanto indicato facendo attenzione alla direttiva CustomLog ed inserendo le direttive che riguardano SSL (si vedano a tal proposito le ultime righe del file): NameVirtualHost *:443 <VirtualHost *:443> ServerAdmin webmaster@localhost DocumentRoot /var/www <Directory /> Options FollowSymLinks AllowOverride None </Directory> <Directory /var/www> Options Indexes FollowSymLinks MultiViews AllowOverride None Order allow,deny allow from all </Directory> ScriptAlias /cgi-bin/ /usr/lib/cgi-bin/ <Directory "/usr/lib/cgi-bin"> AllowOverride None Options +ExecCGI -MultiViews +SymLinksIfOwnerMatch Order allow,deny Allow from all </Directory> ErrorLog /var/log/apache2/error.log # Possible values include: debug, info, notice, warn, error, crit, # alert, emerg. LogLevel warn CustomLog /var/log/apache2/access-ssl.log combined ServerSignature On Alias /doc/ "/usr/share/doc/" <Directory "/usr/share/doc/"> Options Indexes MultiViews FollowSymLinks AllowOverride None Order deny,allow Deny from all Allow from / ::1/128 </Directory> SSLEngine On SSLCertificateFile /etc/apache2/ssl-server.pem </VirtualHost> Salviamo il file in uscita. Bene, abbiamo finito il grosso del lavoro, non ci resta altro da fare che configurare apache2 in modo tale che accetti connessioni protette (abilitando il mod_ssl) ed il rewriting dell'url (abilitando il rewrite) digitando: Versione pagina 20