Lws2: Porovnání verzí
Skočit na navigaci
Skočit na vyhledávání
| Řádek 1: | Řádek 1: | ||
| − | + | Se konal dne 3.6.2006 | |
| − | |||
zacatek od: 9:00 | zacatek od: 9:00 | ||
Verze z 4. 6. 2006, 23:13
Se konal dne 3.6.2006
zacatek od: 9:00
Misto: Rusek - Zahradkarska Skola
Co je nutne mit s sebou pro ucast:
- PC na kterem uz budete mit nainstalovany Linux - Debian - testing
- kdo bude mit jinou verzi, tak se asi moc dit nebude, jen mu mozna nebudou sohlasit vsechny veci
- kdo bude mit jinou distribuci bude si muset v nekterych bodech poradit sam,
jelikoz nebude tilik casu aby se to vysvetlovalo kazdemu zvlast
- Klavesnici
- Monitor je mozno si pujcit ten co uz v ucebne je
- v PC mit funkcni ethernetvou kartu se zdirkou pro RJ45
- pro jistotu i svoji klavesnici (obvzlast si ji musej vzit ti co maj jeste DIN)
- mozna se bude neco malo platit za zapujceni prostoru, tak si dyztak vemte par drobnych (jeste to zjistim)
- a hlavne DOBROU NALADU :-)
Casovy plan:
Obsah
09:00-9:29 - Zacatek
- Zacatek - Konfigurace pocitacu - Konfigurace priojeni k siti - Zjisteni zda maj vsichni nainstalovano vse potrebne
09:30-10:29 - Routovani
prednasi: PavKriz - Vysvetleni routovani - co to je - k cemu to je - vyhody a nevyhody - zajimavosti
10:30-11:59 - Quagga
prednasi: PavKriz - co to je zebra - co to je ospfd - jak to pracuje - konfigurace
12:00 - 12:59 - Verejne IP
prednasi: Cool/Explosion - co to je - vyhody a nevyhody - nastaveni na routerech - nastaveni u klientu
13:00-13:59 - DHCP
prednasi: Bongo - co to je - uplatneni - konfigurace - DHCP Relay
14:00-14:59 ? - SSH
prednasi: Bongo - co to je, implementace SSH - vzdálené přihlášení pomocí SSH, autentizace, omezení přístupu - správa klíčů pomocí agenta, použití SSH ve scriptech - přenášení souborů pomocí SSH (scp) - forward portů, SSH tunel, forward X - a dalsi
13:00 - 13:59 - OBED
Kureci rizky s hranolkama a oblohou
14:00-16:30 - Volna debata
- Bridge a jejich problematika - dalsi...
17:00 - KONEC
- Prihlasky:
!!! Max. 20 lidi s PC + 5 s NB !!!
Nick - Obed/Bez obedu - monitor vlastni/pujcenej
Cool-Explosion - obed - pujcenej
Fugas - obed - pujcenej
Polin - obed - vlastni
Paul - obed - pujcenej
reaper - obed - pujcenej
Vladi - OBED - pujcenej
Vitek (Theo) - obed - NB
koulinek - obed - NB
PetrS(+1) - 2x obed - pujcenej (muzeme dva k jednomu stroji?) - ano muzete
Vcela - Obidek - NB
pavkriz - obed asi ne, ucast nejista (50%) - NB
Lubos Spacek(+1) - 2x obed - NB
Chip - obed - vlastni
Petr Zitny - Obed - Fotim :D LCD display na fotaku mam, takze nepotrebuju pujcit monitor :D
clovek (PVK)- oběd - NB
Bongo - obed ne - NB
JohnnyK - obed - pujcenej
doplnujici data
- Firewall
#!/bin/sh # # Smaz vse iptables -F iptables -t nat -F iptables -X # # Default polici iptables -P INPUT DROP iptables -P OUTPUT DROP iptables -P FORWARD DROP # # Ven a skrz vse iptables -A OUTPUT -j ACCEPT iptables -A FORWARD -j ACCEPT # # navazane i dovnitr iptables -A INPUT -m state --state RELATED,ESTABLISHED,INVALID -j ACCEPT # # loopback iptables -A INPUT -i lo -j ACCEPT iptables -A INPUT -s 127.0.0.0/255.0.0.0 -j DROP # # Povol PING, HTTP a PROXy iptables -A INPUT -p icmp -m icmp --icmp-type 0 -m limit --limit 5/sec --limit-burst 10 -j ACCEPT # obrana proti zahlceni pingama iptables -A INPUT -p icmp -m icmp --icmp-type 8 -m limit --limit 5/sec --limit-burst 10 -j ACCEPT # obrana proti zahlceni pingama iptables -A INPUT -p tcp --dport 20:21 -j ACCEPT # FTP iptables -A INPUT -p tcp --dport 22 -j ACCEPT # SSH iptables -A INPUT -p tcp --dport 25 -j ACCEPT # SMTP iptables -A INPUT -p tcp --dport 37 -j ACCEPT # RDATE iptables -A INPUT -p udp --dport 37 -j ACCEPT iptables -A INPUT -p tcp --dport 53 -j ACCEPT # DNS iptables -A INPUT -p udp --dport 53 -j ACCEPT iptables -A INPUT -p tcp --dport 80 -j ACCEPT # WWW iptables -A INPUT -p tcp --dport 110 -j ACCEPT # POP3 iptables -A INPUT -p tcp --dport 123 -j ACCEPT # NTP iptables -A INPUT -p udp --dport 123 -j ACCEPT iptables -A INPUT -p tcp --dport 143 -j ACCEPT # IMAP iptables -A INPUT -p tcp --dport 443 -j ACCEPT # WWW + SSL iptables -A INPUT -p tcp --dport 465 -j ACCEPT # SMTP + SSL iptables -A INPUT -p tcp --dport 953 -j ACCEPT # DNS - Commands iptables -A INPUT -p tcp --dport 993 -j ACCEPT # IMAP + SSL iptables -A INPUT -p tcp --dport 995 -j ACCEPT # POP3 + SSL iptables -A INPUT -p tcp --dport 3306 -j ACCEPT # MySQL iptables -A INPUT -p tcp --dport 5432 -j ACCEPT # PostgreSQL iptables -A INPUT -p udp --dport 5432 -j ACCEPT # PostgreSQL iptables -A INPUT -p udp --dport 8767 -j ACCEPT # Team Speek iptables -A INPUT -p tcp --dport 14534 -j ACCEPT # Team Speek - webadmin iptables -A INPUT -p tcp --dport 51234 -j ACCEPT # Team Speek - TCPquery iptables -A INPUT -i eth1 -p tcp --dport 2600:2608 -j ACCEPT # Zebra - OSPF, BGPD iptables -A INPUT -i eth1 -p ospf -j ACCEPT # OSPF pakety #
- zebra.conf
! hostname Pokusnej_Server password free enable password tajny_heslo service advanced-vty !!! pokud chcete logoat do souboru !!! log file /var/log/quagga/zebra.log ! interface lo ! interface eth0 description linka-hkfree ! interface eth1 description domaci-sit ! ip route 224.0.0.5/32 127.0.0.1 ip route 224.0.0.6/32 127.0.0.1 ! !!! pro verejnou IP ip route 85.132.161.50/32 eth1 ! !!! pro staticke routovani !!! ip route 10.107.99.0/24 10.107.98.2 ! line vty !
- ospfd.conf
hostname Pokusnej_Server password free enable password tajny_heslo service advanced-vty !!! pokud chcete logoat do souboru !!! log file /var/log/quagga/ospfd.log ! interface lo ! interface eth0 description link-hkfree ip ospf cost 10 ip ospf hello-interval 5 ip ospf dead-interval 300 ! interface eth1 description lokalni-sit ip ospf cost 100 ! router ospf ospf router-id 10.107.97.1 redistribute connected metric-type 1 route-map just-10 redistribute kernel metric-type 1 redistribute static metric-type 1 ! network 10.107.97.1/26 area 0.0.0.0 network 10.107.98.1/28 area 0.0.0.0 ! passive-interface eth1 ! line vty !
- dhcpd.conf
boot-unknown-clients false; # Neprideli IP cizim klientum
one-lease-per-client true; # Jeden klient = Jedna pridelena IP
default-lease-time 1200; # Defaultni doba zapujceni
max-lease-time 3600; # Maximalni doba zapujceni
server-identifier coolex; # V pripade pouziti NetBIOSu
option domain-name-servers 10.107.4.100, 10.107.4.129; # DNS servery
option domain-name "hkfree.org"; # Domena ktera se automatcky doplni
option netbios-name-servers 10.107.51.254; # WINS server pokud je pouzit
ddns-update-style none; # Zakaze DDNS
authoritative; # Je primarnim DHCP server
log-facility syslog; # Misto kam se bude logovat
# Nejaky subnet
subnet 192.168.1.0 netmask 255.255.255.0 { # Subnet
range 192.168.1.10 192.168.1.100; # Rozsah Pridelovanych IP
option routers 192.168.1.1; # pridelovana vychozi brana
option broadcast-address 192.168.1.255; # Broadcast pridelovaneho subnetu
group {
host coolex-eth { # Jmeno v configu musi byt jedinecne
hardware ethernet 00:C0:9F:2E:D2:80 # MAC addresa
fixed-address 192.168.1.11; # Fichne pridelovana IP addresa
}
}
}
poznámky by Paul
# ping na broadcast - odpoví všichni klienti ping 191.168.1.255 -b
# zapnutí routování v /etc/network/options ip_forward=yes druhá možnost: echo 1 > /proc/sys/net/ipv4/ip_forward (parametr 0 -> vypnutí)
- ROUTOVAC� TABULKA
route -n příznaky: U (přímo v daném interface, nebude to tam staticky zadané), G (definuje gateway) metrik: 0 (je to v daném interface; číslo určuje jak je daný segment daleko) zebra naslouchá na portu 2601, ospf na portu 2604 (na oba se můžu připojit telnetem)
- VEŘEJN� IP
natování 1:1
# lokální IP bude vystupovat pod veřejnou IP iptables -t nat -A POSTROUTING -s lokalni_IP -j SNAT --to-source verejna_IP # to co přijde na veřejnou IP se pošle na lokální iptables -t nat -A PREROUTING -d verejna_IP -j DNAT --to lokalni_IP
# specifikace portu: (použití - někdo chce veřejnou jen kvůli DC++) iptables -t nat -A POSTROUTING -s lokalni_IP -p tcp --sport 80 -j SNAT --to-source verejna_IP iptables -t nat -A PREROUTING -d verejna_IP -p tcp --dport 80 -j DNAT --to lokalni_IP
# specifikace v zebře ip route 85.132.161.50/32 eth1
# na routru přidat routu: ip addr add 85.132.161.50/32 dev eth1
echo 1 > /proc/sys/net/ipv4/conf/wlan0/proxy_arp
- DHCP
www.isc.org
konfigurační soubor /etc/dhcpd.conf (tam můžu přidat fixní IP) databáze IP /var/lib/dhcp/dhcp.leases (tam nic neměnit) naslouchá na portu 67, vysílá na 68
ddns-update-style none; (dynamická DNS - přidám klienta, upraví se i DNS) option domain-name option domain-name-servers default-lease-time max-lease-time
omezení "zlých" počítačů # ručně udělat ARP tabulku (svázat IP s MAC) # nebo boot-unknown-clients false; (zakážu přidělování IP které nejsou fixní)
DHCP-relay
aby klienti z LAN1, LAN2 obdrželi IP od DHCP serveru
--------------- ----------
| DHCP server |------| ROUTER |-----LAN1
--------------- ----------
|
|
LAN2
# na jakém rozhranní má router poslouchat dhcprelay -i wlan1 adresa_DHCP_serveru
- SSH
~/.ssh/known-hosts (pokud změním server, musím tady vymazat tu původní položku) /etc/ssh/ssh.config (klient) /etc/ssh/sshd.config (server)
ssh-keygen (pro generování klíčů)
místo přihlašování heslem ssh-agent (do něj se vloží klíče pomocí ssh-add) # na serveru musí být v adresáři ~/.ssh/authorized_keys klíč (.pub) # práva adresáře .ssh - 700, adresáře authorized_keys - 600
SSH-forward
www ---------- -------------- | klient |------| SSH server | ---------- --------------
# u klienta napíšu localhost:8888 a zobrazí se to co je na webu na serveru kam se přihlásím ssh -L 8888:localhost:80 # na klienta se můžou připojit další (na port 8888) ssh -g -L 8888:localhost:80 ssh -L 8888:10.107.12.1:119
obráceně
www ---------- -------------- | klient |------| SSH server | ---------- --------------
# na serveru poběží na portu 8080 to co běží klientovi na 80tce ssh -R 8080:localhost:80
- BRIDGE
-------------- | ROUTER | -------------- |eth0 |wlan0 | |
utilita: bridge-util
příkaz: brctl
# přidání bridge brctl addbr br0 brctl addif br0 eth0 brctl addif br0 wlan0 ifconfig br0 up
