Administratorov blog

Ubuntu Linux je jako dobra distribucija. U to nema sumnje. No, početnike bi mogle otjerati sitne greškice kojih sa svakom novom verzijom ima sve manje, ali koje se mogu riješiti sa nekoliko klikova mišem ili (u većini slučajeva) sa nekoliko napisanih naredbi u konzoli (da, da… ona strašna stvar koje se svaki početnik, po meni bespotrebno, užasava).

Jedna od takvih greškica se dogodila i meni prilikom instalacije najnovije verzije Ubuntu-a - Hardy Heron (8.04). Moj laptop ima ugrađen Broadcom wireless i prilikom instalacije prethodne verzije Ubuntu-a (7.10) bio sam ugodno iznenađen jednostavnošću instalacije drivera - obavijest o tome da ih je potrebno instalirati, malo klikanje na Next i to je to. No, u ovoj verziji nakon instalacije nema nikakve obavijesti, a wireless ne radi. Nakon malo googleanja rješenje je tu Postoje dva načina - sa i bez veze prema Internetu (ali ako čitate ovaj blog, pretpostavljam da imate vezu prema Internetu).

Rješenje problema sa vezom prema Internetu

1. Otvorite konzolu i u nju upišite slijedeće:

   sudo apt-get update
   sudo apt-get install b43-fwcutter

2. Nakon što downloada paket, pitat će vas da li želite da downloada i firmware. Kliknite Yes.
3. U konzolu upišite:

   sudo ifconfig wlan0 up

4. Sad bi vam bežična mreža trebala raditi (naravno, još se trebate i spojiti na neki Access point).
5. Ukoliko mrežu podešavate pomoću datoteke /etc/network/interfaces, u konzolu još upišite slijedeće:

   sudo /etc/init.d/networking restart

   Ako nikad niste čuli za tu datoteku, slobodno zanemarite ovaj korak.

Rješenje problema bez veze prema Internetu

1. Otvorite konzolu i upišite:
   sudo apt-cdrom add
   sudo aptitude update
   sudo aptitude install b43-fwcutter
2. Prijeđite na drugi korak uputa kad imate vezu prema Internetu i dovršite instalaciju

I to je to. Nije bilo tako teško, jel? Čak vas niti konzola nije pojela.

Jedna od prvih stvari koje biste trebali napraviti nakon instalacije MySQL baze na server (ili na vaše privatno računalo) je postaviti lozinku za root korisnika. Naime, po defaultu nakon instalacije korisnik root (koji ima sve ovlasti za rad s bazom) nema podešenu lozinku što predstavlja ogroman sigurnosni rizik za server (dovoljno je da imate instaliran phpMyAdmin i već vam netko može raditi svašta po bazi).

Lozinku možete podesiti na dva načina - preko MySQL konzole i pomoću mysqladmin skripte. Ja ću vam ovdje pokazati kako podesiti lozinku pomoći MySQL konzole.

Prvo uđite u konzolu:

debian:~# mysql -u root

Ukoliko želite promijeniti root lozinku, dodajte i opciju -p (označava da se mora upisati lozinka). Nakon toga, u MySQL konzolu upišite slijedeće:

mysql> SET PASSWORD FOR root@localhost=PASSWORD('novalozinka‘);
Query OK, 0 rows affected (0.00 sec)

mysql> FLUSH PRIVILEGES;

Iako piše 0 rows affected, lozinka je ipak podešena. Važno je da izvršite i naredbu FLUSH PRIVILEGES kako bi nova lozinka počela djelovati.

Do sada ste se sigurno susreli sa FTP protokolom. To su sve one “stranice” (stranice pod navodnicima jer to ustvari nisu stranice nego lista direktorija na FTP serveru) kojima adresa počinje sa “ftp://” umjesto sa “http://”. Takvi serveri služe kako bi korisnici uploadali datoteke na njih i tako ih učinili dostupnima sebi i svima ostalima (naravno, ako ne zaštite lozinkom svoj polazni direktorij). Ono što neki ne znaju jest kako je ustvari lako napraviti jedan FTP server za po doma. Već sam napisao kako napraviti kućni Linux server ili kako za malo novaca kupiti jedan VPS server pa ukoliko nemate računalo na koje bi instalirali FTP server, počnite od jedne od tih tema.

Dakle, pretpostavimo da imate računalo kojem se može pristupiti preko Interneta (ili lokalne mreže ukoliiko ćete FTP server koristiti samo za lokalnu mrežu) i na kojem je instalirana Debian (ili Ubuntu) distribucija Linuxa. Prvi korak je sama instalacija FTP servera:

apt-get install proftpd

Pomoću ove naredbe instalirati ćemo jedan od popularnijih FTP servera - ProFTPD. Tijekom instalacije pojavit će se prozor u kojem vas pita da li hoćete standalone (samostalnu) instalaciju ili instalaciju preko inetd servera. Odaberite standalone instalaciju. Nakon završetka instalacije malo ćemo se pozabaviti konfiguracijskom datotekom.

vim /etc/proftpd/proftpd.conf

Većinu postavki možete ostaviti kakve su i po defaultu, a promijenite slijedeće:

# Da bi korisnicima onemogućili pristup datotekama izvan njihovog home direktorija
DefaultRoot ~

# Da bi sakrili verziju servera
IdentLookups off
ServerIdent on “Debian FTP server.”

# Naziv servera
ServerName “Naziv servera”

Na dnu konfiguracijske datoteke postoji cijeli blok koji je zakomentiran, a tiče se anonimnih korisnika. Ukoliko želite dozvoliti anonimnim korisnicima pregledavanje sadržaja, otkomentirajte cijeli blok.

I to je to. Imate instaliran i funkcionalan FTP server. Ukoliko će veliki broj korisnika imati svoj korisnički račun, pretražite na Google-u pojam “ProFTPD Virtual Users” jer po defaultu svi sistemski korisnici mogu zapisivati datoteke u svoj home direktorij. Dodavanje i brisanje korisnika radi se tako da se dodaju ili brišu sistemski korisnici.

Kao što većina administratora i ljudi koji se na neki način kreću u informatičkom svijetu zna, Apache je jedan od najpopularnijih web servera. To, naravno, ima svojih pozitivnih ali i negativnih strana, a jedna od negativnih je i ta da zbog velike rasprostranjenosti zlonamjerni korisnici traže nedostatke baš za Apache kako bi napravili štetu. Slično je bilo i sa Internet preglednikom Mozilla Firefox koji u početku nije imao mnogo sigurnosnih propusta baš zbog toga što ih nitko nije niti tražio jer sam preglednik nije bio odveć popularan pa su ga rijetki koristili. No, kako mu je popularnost rasla, tako su se uočavali i propusti. Da se razumijemo - ja ne tvrdim da je Firefox loš proizvod (u svakom slučaju meni je puno bolji od Internet Explorera) nego samo da se ga napravili ljudi, a tko radi taj i griješi. Ali da ne duljim previše, donosim vam nekoliko savjeta za sigurnost Apache web servera.

Sakrijte osjetljive informacije od korisnika

Sigurno ste do sad naišli na neku adresu kod koje vam se javila popularna greška 404 (ako niste, probajte otvoriti neku izmišljenu adresu, s tim da domena mora biti prava). Kod takvih grešaka, na dnu se po defaultnim postavkama Apache-a ispisuje verzija i moduli koji su instalirani na serveru. Budući da to nekome može poslužiti za napad, bolje je to spriječiti.

Otvorite postavke Apache-a (datoteka /etc/apache2/apache2.conf) i u njoj napravite slijedeće promjene. Pronađite

ServerTokens Full
ServerSignature On

i promijenite u

ServerTokens Prod
ServerSignature Off

Opcija ServerTokens određuje koje informacije će server poslati u HTTP response headeru (najmanje što možete odrediti je da se šalje naziv proizvoda - Apache), a opcija ServerSignature određuje hoće li se ispisivati potpis Apache servera na stranicama koje generira sam Apache (npr. stranice sa 404 greškom, listanje direktorija putem FTP-a). Jedino što treba zapamtiti da ovime ne određujemo da se verzija Apache-a i slične informacije neće prikazivati ukoliko smo odredili prikazivanje proizvoljnih stranica (npr. proizvoljne stranice sa greškom 404).

Svi znaju koliko je backup koristan i važan. Oni koji to ne znaju, saznati će čim prvi put izgube podatke, a oni koji znaju koliko je važan znaju i kolika je gnjavaža svako malo raditi backup. Zbog toga većina administratora ima skriptu koja automatski izrađuje backup jednom dnevno, jednom tjedno ili u nekom drugom periodu (u svakom slučaju, što češće to bolje). E sad, kod backupa je važno da se ne nalazi na istom mjestu gdje je računalo sa podacima koji se backupiraju jer uvijek može doći do požara ili nekog drugog problema zbog čega mogu nestati i backupirani podaci čak i ako se nalaze na drugom disku.

Zato bi bilo dobro da skripta koja radi sigurnosnu pohranu podataka odmah te podatke i iskopira na drugo računalo, a jedan od najsigurnijih načina je kopiranje preko SSH protokola. Budući da nije sigurno u skriptu upisati lozinku, bolje je izgenerirati privatni i javni ključ i preko njih vršiti autorizaciju bez lozinke. To se radi na slijedeći način.

1. Generiramo privatni i javni ključ:

   ssh-keygen -t dsa -f /home/<korisnik>/.ssh/id_dsa

   Na upit da upišete passphrase, samo stisnite Enter.
   Ovdje -t određuje tip enkripcije, a -f određuje gdje će se nalaziti datoteke sa privatnim i javnim ključevima.

2. Nakon toga iskopiramo javni ključ na server na koji se ubuduće želimo spajati putem SSH protokola bez lozinke.

   scp /home/<korisnik>/.ssh/id_dsa.pub <korisnik>@<udaljeni.server>:~/.ssh/id_dsa.pub

   Ovaj put morate upisati lozinku.

3. Sada se spojite na udaljeni server (još jednom, posljednji put upišite lozinku) i dodajte javni ključ u poznate javne ključeve na serveru.

   ssh <korisnik>@<udaljeni.server>
   cd ~/.ssh
   cat id_dsa.pub >> authorized_keys2
   chmod 640 authorized_keys2
   rm id_dsa.pub
   exit

4. Na kraju, pokušajte se ponovo spojiti na udaljeni server. Trebali biste uspjeti bez da morate upisati lozinku.