Nuestro servidor FreeBSD está dotado con dos tarjetas de red.
em0 interface LAN IP 192.168.3.1/24
em1 interface WAN (internet) 192.168.1.254/24
Compilar kernel personalizado. Habilitar NAT + FIREWALL
Todo lo que existe dentro de un directorio de una arquitectura en particular, es específico para dicha arquitectura, el resto del código es común para todas las plataformas en las que FreeBSD funciona.
Si el dirctorio /usr/src/sys no existe quiere decir que las fuentes del kernel no están instaladas.
Es necesario tener el codigo fuente completo de FreeBSD para poder compilar el kernel.
Descargar las fuentes del kernel 9.1-RELEASE:
Instalar wget
# pkg_add -r wget
$ cd ~/descargas
$ fetch ftp://ftp.freebsd.org/pub/FreeBSD/releases/amd64/9.1-RELEASE/src.txz
Descomprimir el archivo a /usr/src:
# tar -C / -xzvf src.txz
Ahora desde el directorio arch/conf copiar el archivo de configuración GENERIC utilizando cualquier nombre:
# cp /usr/src/sys/amd64/conf/GENERIC /usr/src/amd64/conf/NEWGENERIC
Añadir las siguientes opciones a /usr/src/sys/amd64/conf/NEWGENERIC
# ee /usr/src/sys/amd64/conf/NEWGENERIC
...
options IPFIREWALL
options IPDIVERT
options IPFIREWALL_VERBOSE
...
# cd /usr/src
# make buildkernel KERNCONF=NEWGENERIC
# make installkernel KERNCONF=NEWGENERIC
El nuevo kernel se copiará al directorio raíz como /kernel y el viejo kernel tendrá de nombre kernel.old.
Reiniciar el sistema con el nuevo kernel.
Archivos de configuración:
$ cat /boot/loader.conf
ipfw_load="YES"
ipdivert_load="YES"
autoboot_delay="2"
$ cat /etc/rc.conf
hostname="freebsdsvr.linux.bcn"
keymap="spanish.iso.kbd"
# interface con acceso a Internet
ifconfig_em1="DHCP"
defaultrouter="192.168.1.1"
sshd_enable="YES"
# interface LAN
ifconfig_em0="inet 192.168.3.1 netmask 255.255.255.0"
moused_enable="NO"
# Set dumpdev to "AUTO" to enable crash dumps, "NO" to disable
dumpdev="AUTO"
gateway_enable="YES"
firewall_enable="YES"
firewall_logging="YES"
natd_enable="YES"
natd_interface="em1"
natd_flags="-f /etc/natd.conf"
# reglas personalizadas
# firewall_script="/etc/ipfw.rules"
# activer reglas dinamicas protegiendo LAN
firewall_script="/etc/rc.firewall"
firewall_type="simple"
$ ee /etc/natd.conf
use_sockets yes
same_ports yes
unregistered_only yes
dynamic yes
redirect_port tcp 192.168.3.60:80 8080
redirect_port tcp 192.168.3.60:22 2222
Guardar y salir
Reiniciar el servidor para comprobar que no tenemos mensajes de error.
# shutdown -r now
Todo perfecto. Seguimos con dhcp-server dnsmasq y squid:
Intalar y configurar dhcp-server
# pkg_add -r isc-dhcp41-server
Fetching ftp://ftp.freebsd.org/pub/FreeBSD/ports/amd64/packages-9.1-release/Latest/isc-dhcp41-server.tbz... Done.
===> Creating users and/or groups.
Creating group 'dhcpd' with gid '136'.
Creating user 'dhcpd' with uid '136'.
Así quedará el archivo dhcpd.conf:
# sed -e '/^[ ]*#/d' -e '/^$/d' /usr/local/etc/dhcpd.conf
option domain-name "linux.bcn";
option domain-name-servers 192.168.3.1, 192.168.1.1;
option subnet-mask 255.255.255.0;
default-lease-time 3600;
max-lease-time 86400;
ddns-update-style none;
subnet 192.168.3.0 netmask 255.255.255.0 {
range 192.168.3.40 192.168.3.50;
option routers 192.168.3.1;
}
Para iniciar dhcp-server con el sistema
agregar al archivo rc.conf:
dhcpd_enable="YES" # dhcpd enabled?
dhcpd_flags="-q" # command option(s)
dhcpd_conf="/usr/local/etc/dhcpd.conf" # configuration file
dhcpd_ifaces="em0" # ethernet interface(s)
dhcpd_withumask="022" # file creation mask
Iniciar el servidor dhcp:
# /usr/local/etc/rc.d/isc-dhcpd start
Starting dhcpd.
Dnsmasq
Instalar dnsmasq
$cd /usr/ports
$ make search name=dnsmasq
$ cd /usr/ports/dns/dnsmasq/
# make install clean
cp /usr/local/etc/dnsmasq.conf.example /usr/local/etc/dnsmasq.conf
Archivo de configuración dnsmasq.conf
Filtrando dnsmasq.conf con sed para eliminar líneas que empiezan con un espacio, líneas que comienzan con almohadilla y líneas vacías.
sed -e '/^[ ]*#/d' -e '/^$/d' /etc/dnsmasq.conf
port=53
domain-needed
bogus-priv
strict-order
interface=em0
listen-address=127.0.0.1
expand-hosts
domain=linux.bcn
También podemos utilizar dnsmasq como dns + dhcp y prescindir del servidor isc-dhcp; en cuyo caso el archivo /usr/local/etc/dnsmasq.conf quedaría más o menos como sigue: (Acto seguido se detiene el servidor dhcd # killall dhcpd, comentar las líneas que hacen referencia a dchp en el archivo /etc/rc.conf y reiniciar el servicio dnsmasq:
port=53
domain-needed
bogus-priv
strict-order
interface=em0
listen-address=127.0.0.1
expand-hosts
domain=linux.bcn
dhcp-range=192.168.3.40,192.168.3.50,12h
dhcp-host= 00:21:9b:e2:cd:44,192.168.0.60,infinite
# /usr/local/etc/rc.d/dnsmasq start
Starting dnsmasq.
Iniciar dnsmasq con el sistema
agregar esta línea al archivo /etc/rc.conf
dnsmasq_enable="YES"
Archivo resolv.conf del servidor
#permite a las maquinas locales obtener información DNS.
nameserver 127.0.0.1
#OpenDNS
nameserver 208.67.222.222
nameserver 208.67.220.220
# Otra opcion es utilizar los DNS del proveedor ISP.
# nameserver 192.168.1.1
Impedir cambios en el fichero resolv.conf
Añadir esta línea al archivo de configuración de resolv.conf (resolvconf.conf)
# ee /etc/resolvconf.conf
resolv_conf="/dev/null"
Archivo resolv.conf de las máquinas cliente: $ cat /etc/resolv.conf
# Archivo inmutable resolv.conf
search linux.bcn
nameserver 192.168.3.1
Realizar consultas desde un cliente, comprobar que dnsmasq funciona:
$ nslookup # sustituido por drill en FreeBSD 10
> freebsdsvr
Server: 192.168.3.1
Address: 192.168.3.1#53
Non-authoritative answer:
Name: freebsdsvr.linux.bcn
Address: 67.215.65.132
Squid
Instalar squid como paquete
# pkg_add -r squid
# squid -v
Version 2.7.STABLE9
Archivo de configuración squid.conf
Copiar archivo squid.conf
# cp /usr/local/etc/squid/squid.conf.default /usr/local/etc/squid/squid.conf
Filtrando el archivo /usr/local/etc/squid/squid.conf para ver las opciones del archivo de configuración de squid.:
Utilizando las opciones por defecto squid en freebsd funcionará a la primera.
# sed -e '/^[ ]*#/d' -e '/^$/d' /usr/local/etc/squid/squid.conf
acl all src all
acl manager proto cache_object
acl localhost src 127.0.0.1/32
acl to_localhost dst 127.0.0.0/8 0.0.0.0/32
acl localnet src 10.0.0.0/8 # RFC1918 possible internal network
acl localnet src 172.16.0.0/12 # RFC1918 possible internal network
acl localnet src 192.168.0.0/16 # RFC1918 possible internal network
acl SSL_ports port 443
acl Safe_ports port 80 # http
acl Safe_ports port 8080 # also http
acl Safe_ports port 21 # ftp
acl Safe_ports port 443 # https
acl Safe_ports port 70 # gopher
acl Safe_ports port 210 # wais
acl Safe_ports port 1025-65535 # unregistered ports
acl Safe_ports port 280 # http-mgmt
acl Safe_ports port 488 # gss-http
acl Safe_ports port 591 # filemaker
acl Safe_ports port 777 # multiling http
acl CONNECT method CONNECT
http_access allow manager localhost
http_access deny manager
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access allow localnet
http_access deny all
icp_access allow localnet
icp_access deny all
http_port 3128
hierarchy_stoplist cgi-bin ?
access_log /var/squid/logs/access.log squid
refresh_pattern ^ftp: 1440 20% 10080
refresh_pattern ^gopher: 1440 0% 1440
refresh_pattern -i (/cgi-bin/|\?) 0 0% 0
refresh_pattern . 0 20% 4320
acl shoutcast rep_header X-HTTP09-First-Line ^ICY.[0-9]
upgrade_http0.9 deny shoutcast
acl apache rep_header Server ^Apache
broken_vary_encoding allow apache
coredump_dir /var/squid/cache
cache_log /var/squid/logs/cache.log
logfile_rotate 10
minimum_object_size 0 KB
maximum_object_size 1024 MB
request_body_max_size 0
cache_dir ufs /var/squid/cache 5000 16 256
cache_mem 32 MB
visible_hostname freebsdserver
Crear los directorios swap
# squid -z
Desactivar test DNS inicial
# squid -D
Iniciar con el sistema.
Agregar al archivo /etc/rc.conf
squid_enable="YES"
El proxy ha sido configurado como transparent de manera que no hace falta configurar el navegador de los clientes:
Comprobar puertos abiertos:
# sockstat -4
USER COMMAND PID FD PROTO LOCAL ADDRESS FOREIGN ADDRESS
carlos sshd 1572 3 tcp4 192.168.3.1:2222 192.168.3.60:41422
root sshd 1569 3 tcp4 192.168.3.1:2222 192.168.3.60:41422
root sendmail 1496 3 tcp4 127.0.0.1:25 *:*
root sshd 1493 4 tcp4 *:2222 *:*
squid squid 1483 6 udp4 *:14091 *:*
squid squid 1483 13 tcp4 192.168.3.1:3128 *:*
squid squid 1483 14 tcp4 192.168.3.1:8080 *:*
squid squid 1483 15 udp4 *:3130 *:*
dhcpd dhcpd 1470 7 udp4 *:67 *:*
nobody dnsmasq 1368 3 udp4 *:53 *:*
nobody dnsmasq 1368 4 tcp4 *:53 *:*
root syslogd 1356 7 udp4 *:514 *:*
root natd 1318 3 div4 *:8668 *:*
Descargar e instalar parches de seguridad:
# freebsd-update fetch
# freebsd-update install
Si al kernel se ha aplicado algún parche tendrá que reiniciar. A partir de este momento el sistema está parcheado. freebsd-update puede ejecutarse utilizando cron con una entrada en /etc/crontab:
@daily root freebsd-update cron
Esta línea hará que una vez al día se ejecutr freebsd-update. El argumento cron pasado a freebsd-update intentará saber si existen actualizaciones. Si hay parches disponibles automáticamente los descargará al disco local sin instalarlos. El usuario root recibirá un mail informándole que puede aplicarlos.
Si algo ha fallado freebsd-update puede dar marcha atrás (roolback) hasta el último conjunto de cambios con la siguiente orden:
# freebsd-update rollback
Instalar portaudit
# pkg_add -r portaudit
Fetching ftp://ftp.freebsd.org/pub/FreeBSD/ports/amd64/packages-9.1-release/Latest/portaudit.tbz... Done.
===> To check your installed ports for known vulnerabilities now, do:
/usr/local/sbin/portaudit -Fda
# portaudit -Fda auditfile.tbz 0% of 90 kB 0 Bpauditfile.tbz 100% of 90 kB 222 kBps
New database installed.
Database created: Sat Nov 16 20:10:00 CET 2013
Affected package: perl-5.14.2_2
Type of problem: perl -- denial of service via algorithmic complexity attack on hashing routines.
Reference: http://portaudit.FreeBSD.org/68c1f75b-8824-11e2-9996-c48508086173.html
Affected package: squid-2.7.9_1
Type of problem: squid -- denial of service.
Reference: http://portaudit.FreeBSD.org/c37de843-488e-11e2-a5c9-0019996bc1f7.html
2 problem(s) in your installed packages found.
You are advised to update or deinstall the affected package(s) immediately.
Para una lista de todas las reglas de funcionamiento de ipfw en secuencia:
# ipfw list
Para una lista de reglas dinámicas, además de reglas estáticas:
Unix es genial!.
No hay comentarios:
Publicar un comentario