Cambiar a versión para navegación

2007 Güimi (http://guimi.net) Está permitido copiar, distribuir y/o modificar los documentos bajo los términos de la licencia "Reconocimiento-Compartir bajo la misma licencia 3.0 España" de Creative Commons. Puede ver una copia de esta licencia completa.

Índice

• Resumen
• Notas sobre el documento
• Planificación
  • Red(es)
  • Particionado del servidor
  • Recogida de información
  • Definición de políticas de uso del servidor de ficheros
• Instalación del sistema base
  • Configuración de RAID
  • Configuración de la red
  • Actualización del sistema
  • Instalación de sistema de cuotas
  • Configuración del servidor ssh
  • Otra configuración de seguridad
• Configuración de Samba
  • Posibles problemas con los clientes
  • Configuración del servidor
  • Definición de recursos
  • Comprobaciones
• Copia de seguridad
• Documentación de proyecto
• Postinstalación del sistema

Resumen

• RAID de nivel 1 (mirror)
• Servidor de ficheros (SAMBA)
  • Directorios de uso personal y exclusivo (con sistema de cuotas)
  • Directorio de intercambio temporal (con borrado automático diario)
  • Directorio público de solo lectura
  • Directorios de trabajo de uso restringido
• Controlador primario de dominio -PDC- (SAMBA)
  • Identificación de usuarios
  • Gestión de perfiles de usuario
  • Ejecución de procesos de conexión (logon scripts)
• Gestión segura
• Copia de seguridad en DVD
• Gestión de cuotas

Notas sobre el documento

• Debian Etch RC1 (Copia diaria del 9 de Enero de 2007)
• linux-image-2.6.18-3-686
• mdadm-2.5.6-8
• samba-3.0.23d-4
• quota-3.14-4
• quotatools-1.4.9-2

Planificación

Red(es)

Particionado del servidor

• Una partición para el sistema de arranque (/)
• Una partición para copias de seguridad del sistema (/copia)
• Una partición swap
• Una partición para usuarios -directorios personales- con cuotas, dentro de /home (/home/personal)
  (Esto nos permite mantener los usuarios propios del sistema en /home y que no se mezclen).
• Una partición para trabajo -directorios de grupos- con cuotas, dentro de /home (/home/trabajo) que contenga:
  • Directorio "publico"
  • Directorio "temporal"
  • Directorios por proyectos, grupos, departamentos...

Recogida de información

• Lista de hardware sobre el que vamos a trabajar (para asegurar su compatibilidad)
• Configuración de red:
  • IP y Máscara
  • Pasarela o gateway
  • Servidores de DNS
  • Proxy (si procede)
• CD de Debian GNU/Linux
• Información sobre los grupos que se van a crear, que permisos deben tener, que usuarios los componen...

Definición de políticas de uso del servidor de ficheros

• El servidor comparte los siguientes recursos:
  • \\(servidor)\netlogon - Para realizar el proceso de conexión (Incluye netlogon/scripts/)
    
  • \\(servidor)\profiles - Para gestionar los perfiles de usuario
  • \\(servidor)\(nombre de usuario) - Directorios personales
  • \\(servidor)\publico - Acceso público de solo-lectura
  • \\(servidor)\temporal - Acceso público de lectura-escritura con borrado diario automático
  • \\(servidor)\grupo1 - Recurso para el grupo 1
  • \\(servidor)\grupo2 - Recurso para el grupo 2
  • ...
• Cada usuario tiene acceso de lectura a 'netlogon\scripts' para ejecutar el proceso de conexión (logon script) y de lectura y escritura en 'netlogon\profiles\(usuario)' para guardar su perfil. Ambos se usan de modo automático y no deberían usarse directamente por el usuario.
• Cada usuario tiene acceso exclusivo a su directorio personal (residente en o /home/personal/(nombre de usuario))
• Todos los usuarios tienen acceso de solo lectura al directorio "público"
• El usuario 'admin' tiene acceso de escritura al directorio "público"
• Todos los usuarios pueden leer y escribir en el directorio "temporal"
• Cada noche se borra el contenido del directorio "temporal" de forma automática
• Todos los usuarios tienen acceso a los recursos de grupo, si bien según sus permisos solo podrán leer y escribir en los directorios de los grupos a los que pertenezcan.
• El script de conexión (netlogon/scripts/default.bat) sincroniza el reloj del cliente con el del servidor y conecta las siguientes unidades de red:
  • h: a \\(servidor)\(directorio personal)
  • p: a \\(servidor)\publico
  • t: a \\(servidor)\temporal
  • z: a \\(servidor)\grupo1
  • y: a \\(servidor)\grupo2
  • x: a \\(servidor)\grupo3
  • ...
• Cada noche se copia el sistema y los directorios establecidos en '/copia'
• Cada noche se copia el contenido de '/copia' en soporte DVD

Instalación del sistema base

• El núcleo utilizado en la instalación de CD netinstall de Debian Etch RC1 (2006-11-13) no lo soporta.
• No es realmente un chip de RAID por hardware puro, sino lo que se conoce como un "fakeraid", por lo que se decidió implementar el RAID totalmente por software con las herramientas propias de GNU/Linux.

Configuración de RAID

Disk /dev/sda: 160.0 GB, 160041885696 bytes
255 heads, 63 sectors/track, 19457 cylinders
Units = cylinders of 16065 * 512 = 8225280 bytes

   Device Boot      Start         End      Blocks   Id  System
/dev/sda1   *           1        3647    29294496   fd  Linux raid autodetect
/dev/sda2            3648        7294    29294527+  fd  Linux raid autodetect
/dev/sda3            7295        7622     2634660   82  Linux swap / Solaris
/dev/sda4            7623       19457    95064637+   5  Extended
/dev/sda5            7623       12292    37511743+  fd  Linux raid autodetect
/dev/sda6           12293       19457    57552831   fd  Linux raid autodetect

# /etc/fstab: static file system information.
#
# <file system> <mount point>   <type>  <options>	   <dump>  <pass>
proc            /proc           proc    defaults        0       0
/dev/hda        /media/cdrom0   udf,iso9660 user,noauto     0       0
/dev/fd0        /media/floppy0  auto    rw,user,noauto  0       0

/dev/md0       /               ext3    defaults,errors=remount-ro 0       1
/dev/md1       /copia          ext3    defaults        0       2
/dev/md2       /home/personal  ext3    nodev,nosuid,noexec,usrquota,grpquota 0       2
/dev/md3       /home/trabajo   ext3    nodev,nosuid,noexec,usrquota,grpquota 0       2

/dev/sda3       none            swap    sw,pri=1        0       0
/dev/sdb3       none            swap    sw,pri=1        0       0

(...)
title           Debian GNU/Linux, kernel 2.6.18-3-686
root            (hd0,0)
kernel          /boot/vmlinuz-2.6.18-3-686 root=/dev/md0 md=0,/dev/sda1,/dev/sdb1 ro vga=791
initrd          /boot/initrd.img-2.6.18-3-686
savedefault

title           Debian GNU/Linux, kernel 2.6.18-3-686 (RAID recovery disc-A)
root            (hd0,0)
kernel          /boot/vmlinuz-2.6.18-3-686 root=/dev/md0 md=0,/dev/sda1 ro single
initrd          /boot/initrd.img-2.6.18-3-686
savedefault

title           Debian GNU/Linux, kernel 2.6.18-3-686 (RAID recovery disc-B)
root            (hd1,0)
kernel          /boot/vmlinuz-2.6.18-3-686 root=/dev/md0 md=0,/dev/sdb1 ro single
initrd          /boot/initrd.img-2.6.18-3-686
savedefault
(...)

grub> device (hd0) /dev/sdb
grub> root (hd0,0)
grub> setup (hd0)
grub> quit

Personalities : [linear] [multipath] [raid0] [raid1] [raid6] [raid5] [raid4] [raid10]
md2 : active raid1 sda5[0] sdb5[1]
      37511616 blocks [2/2] [UU]

md3 : active raid1 sda6[0] sdb6[1]
      57552704 blocks [2/2] [UU]

md0 : active raid1 sda1[0] sdb1[1]
      29294400 blocks [2/2] [UU]

md1 : active raid1 sda2[0] sdb2[1]
      29294400 blocks [2/2] [UU]

unused devices: <none>

Configuración de la red

# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
#allow-hotplug eth0
#iface eth0 inet dhcp
### Interfaz EXTERNA
iface eth0 inet static
  address 280.280.280.280 # Aquí debe ir la IP del equipo
                          # Esta es una IP ficticia. De hecho no es una IP válida.
                          # Es la que usaremos como ejemplo en el documento
  netmask 255.255.255.0
  gateway 280.280.280.1   
  up route add default gw 280.280.280.1


auto eth0

#Telefonica
nameserver 80.58.0.33
nameserver 80.58.32.97

Actualización del sistema

#
# deb cdrom:[Debian GNU/Linux testing _Etch_ - Official Snapshot i386 Binary-1 (20061111)]/ etch main

#deb cdrom:[Debian GNU/Linux testing _Etch_ - Official Snapshot i386 Binary-1 (20061111)]/ etch main

deb http://ftp.fr.debian.org/debian/ etch main
deb-src http://ftp.fr.debian.org/debian/ etch main

deb http://security.debian.org/ etch/updates main
deb-src http://security.debian.org/ etch/updates main

Instalación de sistema de cuotas

/dev/md2       /home/personal  ext3    nodev,nosuid,noexec,usrquota,grpquota 0       2
/dev/md3       /home/trabajo   ext3    nodev,nosuid,noexec,usrquota,grpquota 0       2

Configuración del servidor ssh

Otra configuración de seguridad

#/etc/hosts.allow

# Damos permiso a toda la red local
#+ excepto al router de internet
ALL: 280.280.280. EXCEPT 280.280.280.666


#/etc/hosts.deny

# Denegamos cualquier acceso no permitido explicitamente
#+ en hosts.allow
ALL: ALL

ls: /etc/hosts.equiv: No existe el fichero o el directorio
ls: /etc/ssh/shosts.equiv: No existe el fichero o el directorio

Configuración de Samba

Posibles problemas con los clientes

• Miembro de dominio: Descifrar o firmar digitalmente datos de un canal seguro (siempre)
• Miembro de dominio: Deshabilitar cambios de contraseña de cuentas de equipo.
• Miembro de dominio: Requerir clave de sesión protegida (W2000 o más reciente).

Configuración del servidor

• Identificación de usuarios
• Gestión de perfiles de usuario
• Ejecución de procesos de conexión (logon scripts)

option domain-name "Mi_Dominio";
option domain-name-servers Servidor.Mi_Dominio;
option subnet-mask 255.255.255.224;
default-lease-time 600;
max-lease-time 7200;

subnet 280.280.280.0 netmask 255.255.255.0 {
    range 280.280.280.100 280.280.280.250;
    option subnet-mask 255.255.255.0;
    option broadcast-address 280.280.280.255;
    option routers 280.280.280.1;
    option domain-name-servers 280.280.280.333;
}

#
# smb.conf
#

# Definiciones globales
[global]
	# Identificacion del equipo
	netbios name = MI_SERVIDOR
	workgroup = MI_DOMINIO
	server string = Servidor %h (Samba %v)
	# Definición de dominio
	security = User
	os level = 64
	domain master = Yes
	local master = Yes
	preferred master = Yes
	domain logons = Yes
	wins support = Yes

	# Gestion de inicio de sesion
	logon script = scripts\default.bat
	logon path = \\%N\profiles\%U #logon path = \\%L\profiles\%U
	logon home = \\%N\%U #logon home = \\%L\%U
	logon drive = H:
	# Caracteristicas de claves
	encrypt passwords = Yes
	obey pam restrictions = Yes
	passdb backend = tdbsam
	# Gestion de claves
	unix password sync = yes
	passwd program = /usr/bin/passwd %u
	passwd chat = *Enter\snew\sUNIX\spassword:* %n\n *Retype\snew\sUNIX\spassword:* %n\n *password\supdated\ssuccessfully* .

	# Scripts de gestion de usuarios y equipos
	add user script = /usr/sbin/useradd -m %u
	delete user script = /usr/sbin/userdel -r %u
	add group script = /usr/sbin/groupadd %g
	delete group script = /usr/sbin/groupdel %g
	add user to group script = /usr/sbin/groupmod -A %u %g
	delete user from group script = /usr/sbin/groupmod -R %u %g
	add machine script = /usr/sbin/useradd -s /bin/false -d /var/lib/nobody %u
	# IDs de usuarios y equipos
	idmap uid = 15000-20000
	idmap gid = 15000-20000

	# Registro de sucesos
	log level = 2
	log file = /var/log/samba/log.%m
	max log size = 1000

	# Características extra
	time server = Yes
	socket options = TCP_NODELAY SO_RCVBUF=8192 SO_SNDBUF=8192
	hide dot files = Yes

# Compartimos los directorios personales
[homes]
	comment = Directorio personal
	path = /home/personal/%S
	valid users = %S
	read only = No
	create mask = 0664
	directory mask = 0775
	browseable = No

# Compartimos el recurso de inicio en red
[netlogon]
	comment = Network Logon Service
	path = /home/personal/netlogon
	read only = Yes
	write list = root
	browseable = No
	guest ok = Yes

# Recurso para los perfiles en red
[profiles]
	comment = Users profiles
	path = /home/personal/netlogon/profiles
	read only = No
	create mask = 0600
	directory mask = 0700
	browseable = No

# Recurso de acceso solo-lectura publico
[publico]
	comment = Directorio publico
	path = /home/trabajo/publico
	guest ok = Yes
	locking = No

# Recursos específicos para grupos
[grupo1]
	comment = Grupo1
	path = /home/trabajo/grupo1
	read only = No
	force create mode = 0660
	force directory mode = 0660

[grupo2]
	comment = Grupo2
	path = /home/trabajo/grupo2
	read only = No
	force create mode = 0660
	force directory mode = 0660

(...)
winusers:x:200:
winsystem:x:201:
winadmin:x:202:
grupo1:x:1001:
grupo2:x:1002:

Domain Users (S-1-5-21-768533834-2550023333-2928700493-1001) -> winusers
Domain Admins (S-1-5-21-768533834-2550023333-2928700493-1005) -> winadmin
Domain Guests (S-1-5-21-768533834-2550023333-2928700493-1006) -> winguests

Definición de recursos

Directorio        Permisos    Propietario
---------------------------------------------------
/home/
  |- personal	       755	root:root
    |- (usuarios)     2770	root:(usuario)
    |-netlogon         770	root:root
      |- profiles      770	root:winusers
        |- (usuarios)  700	root:root
      |- scripts       555	root:root
  |- trabajo	       755	root:root
    |- publico        2770      root:winusers
    |- temporal       2770      root:winusers
    |- grupo1         2770      root:grupo1
    |- grupo2         2770      root:grupo2

#
# /etc/sudoers
#

Defaults env_reset

# Host alias specification

# User alias specification
User_Alias ADMINS=guimi

# Cmnd alias specification
Cmnd_Alias APT = /usr/bin/apt-get, /usr/bin/dpkg, /usr/bin/aptitude
Cmnd_Alias APAGADO = /sbin/shutdown, /sbin/halt, /sbin/reboot
Cmnd_Alias RED = /sbin/ifconfig
Cmnd_Alias USUARIOS_ALTA = /usr/sbin/groupadd, /usr/sbin/useradd
Cmnd_Alias USUARIOS_BAJA = /usr/sbin/groupdel, /usr/sbin/userdel
Cmnd_Alias USUARIOS_MOD = /usr/sbin/usermod
Cmnd_Alias USUARIOS_SAMBA = /usr/bin/smbpasswd
Cmnd_Alias GESTION_FICHEROS = /bin/mkdir, /bin/chown, /bin/chmod, /bin/rm
Cmnd_Alias GESTION_CUOTA = /usr/sbin/setquota, /usr/sbin/repquota

# User privilege specification
ADMINS ALL= NOPASSWD: APT
ADMINS ALL= NOPASSWD: APAGADO
ADMINS ALL= NOPASSWD: RED
ADMINS ALL= NOPASSWD: USUARIOS_ALTA
ADMINS ALL= NOPASSWD: USUARIOS_BAJA
ADMINS ALL= NOPASSWD: USUARIOS_MOD
ADMINS ALL= NOPASSWD: USUARIOS_SAMBA
ADMINS ALL= NOPASSWD: GESTION_FICHEROS
ADMINS ALL= NOPASSWD: GESTION_CUOTA

root ALL=(ALL) ALL

Comprobaciones

Copia de seguridad

# m h  dom mon dow   command

## Cada noche borra 'temporal'
10 23 * * * rm -r /home/trabajo/temporal/* > /dev/null
## Cada noche hace una copia de seguridad
30 23 * * 0 /root/bin/g-copiaseg.sh 0
30 23 * * 1 /root/bin/g-copiaseg.sh 1
30 23 * * 2 /root/bin/g-copiaseg.sh 2
30 23 * * 3 /root/bin/g-copiaseg.sh 3
30 23 * * 4 /root/bin/g-copiaseg.sh 4
30 23 * * 5 /root/bin/g-copiaseg.sh 5
30 23 * * 6 /root/bin/g-copiaseg.sh 6

Documentación de proyecto

• Memoria de proyecto. Basada en este documento pero menos técnica, más comercial y con más literatura.
• COMOs
• Uso de los equipos y la red

Postinstalación del sistema