Servicios básicos en OpenBSD

Transcripción

1 Servicios básicos en OpenBSD Por: Astrid Sanchez OpenBSDColombia) - Junio 28 de 2012 Configurar servicios de red básicos en OpenBSD es muy fácil, se sigue un procedimiento estándar que detallaremos a continuación para cada uno de ellos, y siempre se puede contar con la completa documentación oficial del proyecto ( y con la documentación existente del proyecto OpenBSD Colombia en Servicio SSHD SSH es el servicio Secure Shell, el cual permite que administremos de forma remota un servidor OpenBSD, es el estándar de facto para conectarse a los servidores para labores de administración. Vale la pena mencionar que OpenSSH, la implementación del protocolo SSH más usada, es un proyecto asociado de OpenBSD, se puede obtener mas información en: 1. Habilitar Este servicio es normalmente activado desde la instalación de OpenBSD, con la siguiente pregunta: En caso de que no se haga en la instalación, también se puede habilitar fácilmente en el archivo /etc/rc.conf, o preferiblemente en el archivo /etc/rc.conf.local. En estos archivos se configuran los servicios que se iniciarán en el booteo. Normalmente en /etc/rc.conf van las configuraciones por defecto del sistema, las configuraciones outof-the-box, mientras en /etc/rc.conf.local se ponen las configuraciones propias del sistema, y tienen mayor precedencia sobre lo que se encuentre en /etc/rc.conf Para activar el inicio de sshd, se debe tener la línea siguiente: 2. Configurar SSH es un servicio que funciona muy bien con las configuraciones que trae con la instalación, sin embargo hay algo básico a tener en cuenta, y es el desactivar el acceso a través de ssh con la cuenta de root. Esto lo logramos editando el archivo /etc/ssh/sshd_config, y asegurándonos que exista la línea resaltada en la siguiente imagen:

2 Para no perder acceso al servidor, hay que asegurarse de tener creado un usuario no root, que sí podrá loguearse usando ssh, y desde el cual se pueda acceder a la cuenta de root Para crear el usuario use los siguientes comandos: Para esta práctica por favor use la siguiente información, para posteriormente chequear la información contra la plataforma: usuario: cpco05 contraseña: openbsd SSH permite muchas funciones adicionales al simple acceso a la máquina, pero es a esto a lo que limitaremos el alcance de este taller, para mas información, se puede revisar el archivo de configuración, y consultar en internet ( 3. Reiniciar Si SSH no se está ejecutando en el momento para iniciarlo usamos el estilo puro de unix: En caso de que si está corriendo, podemos reinciarlo con el número del proceso: También podemos hacer lo anterior en un sólo comando: Todas las opciones anteriores se enfocan en el servicio sshd, y funcionan en tiempo e ejecución. También se puede usar el script /etc/rc, el cual es el encargado de iniciar todos los servicios cuando se enciende el servidor, y que busca la información que se encuentra en los archivos /etc/rc.conf y /etc/rc.conf.local, esto no sólo afecta a SSH, sino también a todos los servicios que se estén ejecutando, incluyendo la configuración de la red:

3 4. Prueba local Para probar el funcionamiento, establecemos una conexión usando ssh a localhost, como se muestra en la siguiente imagen. Por ser la primera vez que se establece la conexión, se pide validar el fingerprint de la llave pública del servidor ssh, que aceptamos con yes. Posteriormente se pide la contraseña del usuario, la cual no se muestra, y finalmente entramos. Con eit salimos de la sesión. 5. Logs Los logs relacionados con ssh van al archivo /var/log/authlog, ya que ingresamos y salimos vamos a revisar la información relacionada en este:

4 Como puede observarse, se muestra el puerto en el que el servidor está escuchando, en este caso está asociado al 22, que es el estándar, por todas las interfaces de red. Este log nos muestra la información de quien entró al sistema, a que horas, usando qué método, desde donde, y cuando se desconecta nuevamente. Se puede observar como también se usa este archivo para loguear la actividad de otros procesos que permiten autenticarse, como es login, que muestra el ingreso de root. Y finalmente se encuentra el ingreso de cpco05, que es nuestro usuario, desde la propia máquina ( ) que puerto (45642), y que versión del protocolo se está usando (ssh2) En caso de que el password no sea correcto, por 3 veces consecutivas, no permite el ingreso, cierra la conexión, y también aparece el mensaje en el log, como se muestra al final. Servicio NTPD Tener la hora y fecha precisa es algo importante en los sistemas, y en algunos casos es incluso crítico que dos o más computadores estén sincronizados. Para esto existe el protocolo NTP, y la implementación de este para OpenBSD es OpenNTPD, que ofrece funcionalidades básicas. Vamos a ver como se usa: 1. Habilitar Al igual que ssh ntpd puede habilitarse en la instalación del sistema operativo, aunque en este caso la respuesta no está predeterminada a sí, y hay que ponerla manual: En caso de que no se haga en la instalación también se puede poner en el archivo /etc/rc.conf.local la siguiente línea: 2. Configurar El archivo de configuración es /etc/ntpd.conf, vamos a revisarlo, en este caso sólo usaremos la función de cliente, por lo que el interés es asegurarnos de que haya una fuente de la hora establecida. Por defecto se encuentra configurado que consulte los servidores del proyecto NTP ( como se ve en la siguiente línea:

5 Cómo se ve, se usa en este caso un nombre de dominio, por lo que es necesario tener un dns configurado en nuestro sistema, este se configura en el archivo /etc/resolv.conf, vamos a usar por el momento el dns público de google: 3. Prueba local, inicio de proceso y logs Como vimos en el caso de ssh, hay varias maneras de iniciar un proceso en OpenBSD, en este caso vamos a simplemente ejectuar el binario. OpenNTPD funciona de manera predeterminada como demonio. Para probar el funcionamiento de OpenNTPD vamos primero a cambiar la fecha y hora correcta del sistema, por información erronea, lo cual lo logramos con el comando date, el formato de la fecha mostrada es: yymmddhhmm, es decir estamos configurando para que el sistema quede con la fecha y hora: 2012-Mayo A continuación, damos el comando para comenzar el proceso, indicándole con la opción -s que debe corregir la hora local de inmediato, en caso contrario la irá corrigiendo de manera gradual, lo cual para errores muy grandes no es funcional. Para comprobar el resultado, volvemos a preguntarle al sistema por la fecha y hora, y ahora el resultado sí es correcto. Los mensajes de log de OpenNTPD quedan en dos archivos, que son /var/log/messages, y /var/db/ntpd.drift. En el primero se guardan los mensajes propios del proceso, mientras en el segundo se guarda la diferencia entre la hora y fecha local, con la recibida desde el servidor, si esta es grande. Servicio FTPD 1. Habilitar Al igual que en los casos anteriores, para habilitar el servicio FTP al inicio del sistema, basta con poner la línea siguiente en /etc/rc.conf.local:

6 2. Configurar Con la configuración estándar del servicio, ya garantizamos que cualquiera que tenga cuenta de usuario del sistema puede ingresar con FTP al servidor, para la configuración de ftp no existe algo como "/etc/ftpd.conf", sino que los parámetros con los que deseamos que inicie se los damos como opciones en el arranque, o también como opciones en el /etc/rc.conf.local. Por ejemplo con "llu", tenemos un registro completo de la actividad de los usuarios en el servidor, pues con "ll" se registran con el syslog, todos los intentos de ingreso, exitosos y fallidos, y también las acciones de descargar o subir archivos, crear o borrar directorios, entre otros. Con "U" todas las sesiones se registran en /var/run/utmp, de manera que pueden ser vistos por comandos como "who". Cuando iniciamos por la línea de comandos, es necesario pasar la opción "D" la cual garantiza que el proceso se convierta en un demonio, y que permanezca en ejecución escuchando a través de los puertos apropiados. Para mantener a los usuarios confinados a sus propias carpetas, los agregamos al archivo /etc/ftpchroot, uno por línea e iniciamos el servicio. Al igual que estas, hay otras opciones que pueden ser vistas en el man de ftp. Para poner estas mismas opciones cuando se inicia el sistema, se incluyen las opciones en el /etc/rc.conf.local, así: Para que estas opciones de registro sean efectivas es necesario habilitar el facility de FTP en syslog, para esto editamos el archivo /etc/syslog.conf, comentamos la configuración predeterminada que dice que sólo los mensajes con nivel info van al archivo /var/log/xferlog, y ponemos una nueva línea que indica que se deben registrar todos los mensajes, quedando así: Después de este cambio se debe reiniciar el syslog:

7 3. Reiniciar La sugerencia es que, a menos de que se trate de un ambiente en producción, donde reiniciar todos los servicios de una vez puede ser lento, además de afectar el servicio a los clientes, se reinicie usando el script /etc/rc, para así verificar que incluso reiniciando la máquina funcionaría: 4. Prueba local y logs Para probar el funcionamiento, vamos a conectarnos localmente con el usuario que creamos previamente. Primero creamos tanto en la carpeta de root como en la del usuario cpco05 dos archivos para transferir (/home/cpco05/pruebaftp y /root/pruebaftp2)

8 A continuación iniciamos la sesión FTP con el usuario cpco05, listamos el directorio, y hacemos las dos transferencias, primero obtenemos el archivo PruebaFTP que se encuentra en la carpeta de cpco05, y posteriormente copiamos PruebaFTP2 en esa carpeta. Finalmente intentamos salir hacia la carpeta de orden superior (cuando nos conectamos por FTP quedamos en /home/cpco05, y al salirnos deberíamos estar en /home), pero al listar el contenido se observa que estamos en la misma carpeta:

9 Cómo dijimos en la configuración, con la opción "U" se logra que al ejecutar el comando who, se vean también las conexiones FTP, junto con las tty (ssh): También se puede ver la conexión y las transferencias en el /var/log/xferlog: Servicio DNS (NSD) NSD es una implementación de servidor DNS, que sólo cumple la función de ser autoritativo, no cumple la función de cache, ni de búsquedas recursivas. Hace parte de una solución de DNS modular desarrollada por NLnet Labs, y actualmente es usado por al menos tres de los servidores ROOT de DNS (K.root-servers.net, H.root-servers.net, I.root-servers.net), OpenBSD actualmente dispone tanto de Bind (named) como de NSD para DNS. 1. Habilitar Cómo servicio estándar se habilita en el /etc/rc.conf.local, agregando la siguiente línea, en este caso no se pone ninguna opción en especial: 2. Configurar El archivo de configuración de NSD es /etc/nsd.conf, las zonas se configuran en archivos aparte, que mantienen el mismo formato de los archivos de zonas de Bind, y se guardan en la carpeta /var/nsd/zones. Para este ejercicio vamos a crear la zona master correspondiente al dominio talleropenbsd.net, y su zona inversa que van a tener los siguientes registros: ns: tipo NS, IP: la pública de la instalación de OpenBSD del asistente ppal: tipo A, IP: taller: tipo A, IP: la pública de la instalación de OpenBSD del asistente correo: tipo MX, IP: la pública de la instalación de OpenBSD del asistente web: tipo CNAME, apuntando al registro taller.

10 ftp: tipo CNAME, apuntando al registro taller Registros PTR para los registros anteriores. Comenzamos por el archivo de configuración: Continuamos con la zona directa, en este ejemplo se usa siempre la misma IP por ser la única pública con la que contamos, y es la que se indica en el registro de ppal, este debe mantenerse igual, en todos los demás registros, por favor cambiar por su propia IP pública:

11 Para configurar los registros PTR, creamos la zona inversa: Cuando están listas las dos zonas, las compilamos con la herramienta que para esto trae NSD, con lo que se genera la base de datos de zonas en el archivo /var/nsd/db/nsd.db. En caso de que haya errores en la configuración de las zonas, aparece la advertencia en la compilación: 3. Reiniciar Cuando es la primera vez que se inicia NSD, no hay diferencia con los métodos usados con otros servicios, el binario se encuentra en /usr/sbin/nsd y en este caso lo haremos con el script /etc/rc. Las siguientes veces, si hay un cambio de configuración basta ejecutar el comando nsdc reload para que este se haga efectivo, en caso de que cambien las zonas, basta con ejecutar el comando nsdc rebuild previamente. En la siguiente imagen vemos el inicio con /etc/rc, y los PID con los que quedan los procesos, y como después de un nsdc reload, cambian los PID de los procesos hijos, pero el del proceso padre se mantiene:

12 4. Prueba local y logs Para comenzar usaremos la herramienta Dig para traer información sobre la configuración de las zona: Ahora procedemos a hacer pruebas con nslookup, lo que nos permitirá establecer si el servidor está resolviendo adecuadamente:

13 Se debe recordar que NSD no tiene funciones de resolver, por lo tanto no es apropiado ponerlo solo en el /etc/resolv.conf. pues sólo daría cuenta de las zonas de las que es la autoritativo. El proyecto asociado a NSD con funciones de resolver es Unbound. En nuestro caso lo vamos a poner para así poder hacer uso de los registros que creamos, el orden a continuación es importante:

14 Con la configuración que hemos hecho, NSD guarda sus logs en el archivo /var/log/nsd.log, sin embargo estos son poco detallados y no muestran cuando se hace una consulta, ni sirven para evaluar el nivel de carga. La recomendación desde el proyecto para esto es usar herramientas complementarias como dnsstat, o dnstop, ninguna de las cuales se encuentra en una instalación predeterminada de OpenBSD, razón por la cual lo omitiremos de este taller, pero la recomendación es explorar más sobre esto 1. Servicio HTTP (WEB) OpenBSD trae como servidor HTTP a Apache , la cual por razones de licenciamieto no se actualizará. Sin embargo a través de los paquetes y de los ports puede tenerse una versión más reciente, o algún otro servidor web de nuestra preferencia. En este caso vamos a usar la versión que viene con el sistema, la cual usa chroot para evitar comprometer el sistema si hay un compromiso del servidor web, en este ejercicio vamos a aprender a desactivar este comportamiento. 1. Habilitar Al igual que en los casos anteriores lo hacemos en el archivo /etc/rc.conf.local, pasando las opciones que deseemos: En este caso usamos la bandera "-u" que indica que no se use chroot, en el alcance de este ejercicio no cambiaría nada si se usara. 2. Configurar Como la implementación de Apache de OpenBSD está pensada para trabajar confinada en una sola carpeta, los archivos de configuración no se encuentran en la carpeta estándar /etc, sino que se encuentran todos los archivos relacionados con este servicio en /var/www, los archivos de configuración se encuentran entonces en /var/www/conf El directorio raiz del servidor web se define con el parámetro DocumentRoot, y trae de manera predeterminada el valor de /var/www/htdocs. El único parámetro que vamos a modificar en nuestra configuración es el ServerName, para hacer uso del que configuramos en el DNS (web.talleropenbsd.net). 1 NSD doesn't do any logging. We believe that logging is a separate task and has to be done independently from the core operation. This consciously is not part of nsd itself in order to keep nsd focused and minimize its complexity. It is better to leave logging and tracing to separate dedicated tools."

15 3. Reiniciar Iniciamos con /etc/rc 4. Prueba local y logs Para probar el funcionamiento de manera local, en OpenBSD podemos usar el navegador de texto lynx, el cual viene instalado con el sistema: Con lo cual obtenemos:

16 Para hacerlo más divertido podemos agregar nuestro propio mensaje de bienvenida, para reemplazamos el archivo /var/www/htdocs/index.html con uno de nuestra creación: Con lo cual obtenemos la siguiente página:

17 Los logs de Apache en OpenBSD van en la carpeta /var/www/logs, para ver los accesos a las páginas revisamos el archivo access_log, como vemos también sale cuando se trata de acceder a una página que no se encuentra. El mensaje 404 en lynx por la página inexistente: Sitio oficial del proyecto OpenBSD: Las dos comunidades colombianas apoyando y difundiendo la cultura alrededor del mundo OpenBSD: También nos pueden contactar por las redes sociales o se pueden inscribir en las lista de correo para obtener soporte: