Verder Terug Inhoud

3. Algemene Beheertaken

Zoveel te doen, en zo weinig tijd! Hier begint de pret. Deze sectie is nogal geconcentreerd op netwerken, alhoewel vele andere taken je staan te wachten. Netwerken is een vast onderwerp welke hier niet volledig kan worden behandeld. De referentie is de NET-3 HOWTO, en de meeste distributies voorzien in documentatie over het instellen van netwerkservices. Hier zullen slechts een paar punten worden aangehaald. Een snelle te-doen lijst voor de services die je misschien wilt installeren: cron en taken met betrekking tot tijd, zoals calendar of reminder, Http, Samba, telnet/ssh toegang, anonymous ftp, POP/IMAP server, NFS services...

3.1 Netwerkconfiguratie

Alhoewel de feitelijke methoden om netwerkservices van je distributie op te starten veel complexer kunnen zijn, zou het volgende script om mee te beginnen voldoende moeten zijn:

#!/bin/sh

# net-up.sh: stel netwerk-toegang in

DEVICE=eth0
IPADDR=192.168.1.100
NETMASK=255.255.255.0
NETWORK=192.168.1.0
GATEWAY=192.168.1.1

ifconfig $DEVICE $IPADDR netmask $NETMASK up
route add -net $NETWORK netmask $NETMASK $DEVICE
route add default gw $GATEWAY

Dit script is handig voor het activeren van netwerk-toegang als je gebruik maakt van een rescue-disk. Uiteraard laat dit je slechts pingen, ftp'en en telnetten met de buitenwereld.

3.2 Delen van het Internet

Één van de meest handige taken van een Linux-server. Op het moment komen de meeste voorhanden zijnde kernels standaard met IP-firewalling, masquerading en forwarding geactiveerd; raadpleeg als je twijfelt de IP-Masquerade mini-HOWTO om te leren hoe je ze kunt activeren. Installeer vervolgens ipfwadm (kernels 2.0.x; http://www.xos.nl/linux/ipfwadm/) of ipchains (kernels 2.2.x; http://www.adelaide.net.au/~rustcorp/ipfwchains/ipfwchains.html). Denk eraan dat je de kernelmodules voor de services die je nodig hebt, activeert, b.v. voor ftp, voeg je de volgende regel toe aan /etc/rc.d/rc.sysconfig;

/sbin/modprobe ip_masq_ftp

Andere modules zijn gewoonlijk te vinden in /lib/modules/KERNEL-VERSION/ipv4.

Het is zeer eenvoudig IP-masquerading voor andere computers in je lokale netwerk te activeren. Controleer als eerste de netwerk initialisatie-scripts (/etc/sysconfig/network zou de juiste plaats moeten zijn) om te zien of er een regel in voorkomt waarin staat FORWARD_IPV4=true. Het wordt gebruikt om /proc/sys/net/ipv4/ip_forward op 1 in te stellen, als het netwerk- subsysteem ter sprake komt.

Voeg de volgende regels toe aan /etc/rc.d/rc.sysinit:

# default: packets cannot go reach the outside
/sbin/ipfwadm -F -p deny
# geef alle computers op het lokale netwerk de mogelijkheid het Internet
# te bereiken
/bin/ipfwadm -F -a m -S 192.168.1.0/24 -D 0.0.0.0/0
# als alternatief, sta dat alleen aan deze twee computers toe
/bin/ipfwadm -F -a m -S 192.168.1.100/24 -D 0.0.0.0/0
/bin/ipfwadm -F -a m -S 192.168.1.101/24 -D 0.0.0.0/0

Als je een kernel uit de 2.2.x serie gebruikt, gebruik dan ipfwadm-wrapper in plaats van ipfwadm om snel van start te gaan.

Nu heb je nog iets nodig om client-computers de ISP te laten bellen; Ik maak gebruik van Mserver ( http://cpwright.villagenet.com/mserver/). Wijzig /etc/mserver.conf; de enige records die je zou moeten wijzigen zijn ``checkhost'', ``shadow'', en ``cname''. Definieer vervolgens je verbinding(en). Installeer uiteraard één van de beschikbare clients op de client-machines.

3.3 Beperken van Netwerk-toegang

Laten we ervan uitgaan dat je met PPP een verbinding met het Internet maakt. Zodra je de verbinding tot stand hebt gebracht, kan je computer kwetsbaar zijn voor aanvallen van buitenaf. Voeg dit in je /etc/hosts.allow:

# sta alleen localhost toe
ALL: 127

en dit in /etc/hosts.deny:

# weiger iedereen de toegang
ALL: ALL

Als je computer onderdeel uitmaakt van een netwerk met directe toegang tot het Internet, kun je om beveiligingsredenen beter finger, telnet, en mogelijk andere services deactiveren; gebruik ssh in plaats van telnet. Het bestand dat je moet wijzigen, is /etc/inet.conf. Als alternatief kun je de netwerk-toegang beperken door het volgende in /etc/hosts.allow te plaatsen:

in.telnetd: 192.168.1., .ander.betrouwbaar.netwerk
in.ftpd: 192.168.1., .ander.betrouwbaar.netwerk

en dit in /etc/hosts.deny

in.telnetd: ALL
in.ftpd: ALL

3.4 NFS Export

Het is gewoon om home-directory's naar de server te exporteren; er doet zich een probleem voor als een gebruikers-ID en GID op verschillende computers niet consistent zijn. Als gebruiker guido UID/GID gelijk aan 500 heeft op de server en UID/GID gelijk aan 512 op de client, is het volgende een handige configuratie:

# /etc/exports
/tmp            # mijn.client.computer(rw)
/home/guido     # mijn.client.computer(rw,map_static=/etc/nfs/client.map)

In /etc/nfs/client.map plaats je dit:

# /etc/nfs/client.map
# NFS mapping voor client
#     remote      local
uid   512         500
gid   512         500

3.5 Name Server Nog niet geschreven.


Verder Terug Inhoud