Administración de sistemas UNIX/Linux Ejercicios prácticos VII

Transcripción

1 Administración de sistemas UNIX/Linux Ejercicios prácticos VII 2012/2013 Introducción Esta práctica se centra en aspectos de configuración de red IP sobre ethernet y configuración de autenticación en red por medio LDAP. Preliminares Para esta práctica se hará uso de dos máquinas virtuales distintas. Una de ellas será una copia de la máquina utilizada en las prácticas anteriores. Con el fin de poder tener dos máquinas distintas a partir de una única imagen de disco es necesario copiar el fichero.vdi de una manera especial. Para VirtualBox cada disco tiene un identificador único (UUID) y no permite que existan dos discos con un mismo UUID. Al copiar el fichero.vdi sin más no se modifica el UUID, para poder clonar el disco con un UUID distinto se tiene que usar el mandato VBoxManage clonehd origen.dvi destino.dvi. Además, para que esta operación sea posible se debe liberar previamente el disco original. Una vez el disco esté clonado, se puede configurar una segunda máquina usando las mismas opciones que en la original. 1 Configuración de una LAN con acceso externo 1.1 Configuración de la LAN privada En la primera parte de la práctica el objetivo será configurar la red de las máquinas virtuales para que ambas estén dentro de una red privada y se pueda hacer ping de una a otra. Lo primero de todo es configurar las interfaces de red de cada máquina en VirtualBox, para ello se habilitará el adaptador 1 de red de cada máquina virtual en modo interno (el nombre de la red es indiferente pero debe ser el mismo en ambas máquinas). Tras el primer arranque, debido a la manera en que udev configura las interfaces de red se puede comprobar (ifconfig -a) que la interfaz de la máquina clonada no es eth0 como cabría esperar. Esto se debe a la interfaz de red virtual de la máquina clonada tiene una dirección MAC distinta de la original, y como udev ya tiene una regla 2012/2013 Adminsitración UNIX/Linux - Ejercicios VI p.1

2 de nombrado que hace referencia a eth0, decide usar eth1 para le nueva. Para solventar este problema se debe borrar el fichero con las reglas de nombrado persistentes /etc/udev/rules.d/70-persistent-net.rules y reiniciar la máquina. Una vez las interfaces estén preparadas, configurar sus direcciones IP con ifconfig para que sea posible hacer ping de una a otra tanto por protocolo IPv4 como por protocolo IPv6. Usar la subred /24 (red privada clase C) para IPv4 y fec0::/64 (red privada a nivel de sitio) para IPv6. Verificar que las máquinas se comunican con ping. Escribir los mandatos utilizados para la configuración indicando claramente cuáles se han usado en cada máquina. La configuración con ifconfig no es permanente. El siguiente paso es hacer que lo sea modificando la configuración en /etc/network/interfaces. La configuración se puede recargar relanzando el trabajo de configuración de red (start networking) o con ifconfig iface [up down]. Asegurarse que la configuración es correcta tras reiniciar y escribir la configuración empleada: 2012/2013 Adminsitración UNIX/Linux - Ejercicios VI p.2

3 Cambiar el nombre host de la segunda máquina virtual a ubuntuasi2012b y añadir donde corresponda las IPs estáticas de ambas máquinas para que la resolución de nombres funcione (ping ubuntuasi2012b desde ubuntuasi2012 y viceversa). Indicar qué ficheros de configuración han sido modificados y cómo. 1.2 Configuración de NAT y una máquina como encaminador El objetivo de este ejercicio es hacer que la primera de las máquinas virtuales pueda dar salida a la red externa a sí misma y a la otra máquina. Para este ejercicio centrarse sólo en la configuración de IPv4. Primero se debe configurar una segunda interfaz de red en la máquina A, (habilitando un segundo adaptador de red en modo NAT en VirtualBox) y configurar esta interfaz para que solicite dirección por DHCP 1. Cómo ha sido modificado el fichero /etc/network/interfaces? A continuación habilitar el reenvío de paquetes (IP forwarding) y configurar reglas de iptables para que se haga redirección del tráfico proveniente de la interfaz externa a la interna y enmascaramiento de la interna hacia la externa. Configurar también la tabla de rutas de la máquina B para que sepa a dónde dirigir el tráfico externo. Incluir los mandatos empleados para ello: 1 La configuración de DHCP es servida por VirtualBox de manera trasparente, y este NAT no tiene nada que ver con el que vamos a configurar nosotros 2012/2013 Adminsitración UNIX/Linux - Ejercicios VI p.3

4 Las reglas de iptables ejecutadas en la consola, al igual que la regla de enrutado añadida con route, no son permanentes. Hacer las modificaciones de configuración necesarias en cada máquina para que así sea. Existen varios procedimientos para hacerlo (trabajo Upstart disparado por el evento started del trabajo network-interface para el valor de INTERFACE adecuado, modificación del script de network-interface.conf o adición de una regla up en la configuración de la interfaz en /etc/network/interfaces). Describir todos los cambios llevado a cabo: Configurar también la resolución de nombres de B para que utilice los mismos servi- 2012/2013 Adminsitración UNIX/Linux - Ejercicios VI p.4

5 dores que la máquina con conexión a internet. Indicar qué cambios se han hecho en la configuración de la máquina. Para comprobar que el encaminamiento funciona instalar con apt-get el paquete ldap-utils en ambas máquinas. 2 Autenticación remota con LDAP En este apartado configuraremos una de las máquinas para que haga de servidor de autenticación de usuarios usando un servicio de directorio LDAP y la otra como cliente. Para poder utilizar autenticación con LDAP es necesario configurar y arrancar un servidor con la información de usuarios y a continuación configurar PAM y nsswitch para que utilicen el servidor de LDAP. La configuración del servidor la haremos en la máquina A. El primer paso es instalar un servidor de LDAP, en concreto OpenLDAP, para ello se instalará el paquete slapd (dejar la contraseña vacía durante la instalación). A continuación ejecutar dpkg-reconfigure slapd, eso dará lugar a una reconfiguración del servidor en la que se harán preguntas adicionales. Indicar que no se desea omitir la configuración, usar practicas como nombre de dominio y admin.practicas como contraseña del administrador. El resto de preguntas se pueden dejar a sus valores por defecto. Editar el fichero /etc/ldap/ldap.conf para que le dominio base sea practicas y la URI sea ldap://localhost. Si todo ha ido bien se puede comprobar el contenido inicial de la base de datos con slapcat o con ldapsearch -x (busca objetos dentro del dominio por defecto usando autenticación básica). A continuación es necesario exportar la base de datos de passwd al servidor. Comenzaremos instalando los paquetes migrationtools y ldapscripts, el primero proporciona utilidades para migrar usuarios y grupos desde los ficheros del sistema al servidor, el segundo sirve para crear usuarios nuevos. Una vez instalado migrationtools editar el fichero migrate common.ph ubicado 2012/2013 Adminsitración UNIX/Linux - Ejercicios VI p.5

6 en /etc/migrationtools/ y cambiar el contenido de DEFAULT BASE a dc=practicas y DEFAULT MAIL DOMAIN a practicas. A continuación ejecutar los scripts de exportación migrate group.pl y migrate passwd.pl instalados en /usr/share/migrationtools para generar los ficheros.ldif con los grupos y usuarios que se importarán en el servidor (ejecutar los scripts sin argumentos para ver cómo funcionan). Una vez generados los ficheros editarlos para quedarse sólo con los grupos practicas y users y el usuario practicas. La base de datos inicial carece de los nodos Group.practicas y People.practicas necesarios para poder cargar los ficheros.ldif generados en el paso anterior. Para solventar este problema es necesario crear y cargar otro fichero esquema.ldif con el siguiente contenido: dn: ou=people, dc=practicas ou: People objectclass: organizationalunit dn: ou=group, dc=practicas ou: Group objectclass: organizationalunit Importar los tres ficheros usando el mandato ldapadd -x -W -D "cn=admin,dc=practicas" -f fichero 2, empezando por esquema, luego los grupos y por últimos los usuarios. Con esto tendríamos la configuración básica del servidor. Ahora en el cliente (la máquina B) hay que instalar los paquetes que conectan PAM y el servicio de búqueda de nombres con el servidor de LDAP. Dichos paquetes son libpam-ldapd (plugin the LDAP para PAM), libnss-ldapd (demonio de NSS basado en LDAP), nslcd (cache de nombres) y sus dependencias. Rellenar la configuración solicitada indicando a continuación los datos introducidos (en caso de error el cliente se puede reconfigurar con dpkg-reconfigure ldap-auth-config): 2 -x indica que se use autenticación básica, -D indica el DN (Distinguished Name) usado para acceder al directorio y -W que se pregunte interactivamente por la contraseña. 2012/2013 Adminsitración UNIX/Linux - Ejercicios VI p.6

7 Asegurarse de que el servicio Name Service Switch de la libc usa LDAP como primera alternativa para el acceso a las bases de datos group y passwd. Indicar qué fichero se ha modificado y cómo: Antes de continuar conviene asegurarse de que el login de ligthdm no muestra los nombres de los usuarios conocidos (aparte de que es lo lógico en un equipo compartido, esta funcionalidad parece necesitar configuración adicional para funcionar correctamente). Para ello abrir el fichero /etc/lightdm/ligthdm.conf, y añadir dentro del campo [SeatDefaults] la línea greeter-hide-users=true. Para cerciorarse de que los cambios surten efecto, lo más fácil es reiniciar el cliente tras configurarlo. Para comprobar que el cliente autentica usando el servidor de LDAP se puede eliminar el usuario practicas del sistema antes de reiniciar (asegurarse de no borrar también su directorio home). Una vez comprobado que el login con el antiguo usuario funciona procedemos a añadir uno nuevo en el LDAP. Añadir el usuario al sistema del servidor de la manera habitual, asegurándose de que su grupo es users. A continuación exportar el fichero passwd a un.ldif e importarlo al directorio 3 Dado que el usuario no existe en la máquina cliente, su directorio home tampoco existe. Al intentar hacer login con este usuario no se puede iniciar sesión y la proceso termina de manera estrepitosa. Para indicar al proceso de login (login or lightdm) que cree el directorio automáticamente se debe añadir: session required pam_mkhomedir.so skel=/etc/skel umask=0077 a /etc/pam.d/lightdm y /etc/pam/.d/login. De no hacerlo, el login gráfico falla de manera estrepitosa. Qué sucede si se intenta cambiar la contraseña del usuario nuevo con el mandato passwd? 3 En la práctica no es necesario añadir el usuario al passwd local, pudiéndose escribir el contenido.ldif a mano o por medio de alguna otra herramienta. 2012/2013 Adminsitración UNIX/Linux - Ejercicios VI p.7

8 Según la configuración llevada a cabo, crees que la conexión para la consulta al servidor de LDAP es segura? En términos generales, qué cosas crees que se podrían mejorar? 2012/2013 Adminsitración UNIX/Linux - Ejercicios VI p.8