 |
|
|
|
OpenBSD. Первые шаги
OpenBSD. Первые шаги Продолжим наше знакомство с OpenBSD (начало см. в июньском номере журнала). Мы остановились на успешной установке системы и предложением перезагрузиться, что, собственно говоря, и выполняем. Итак, первая загрузка уже по традиции для BSD-систем выполняется на синем фоне, и вы можете видеть, как ядро системы опрашивает все устройства, которые находит. Отлично, ядро загрузилось, дальше пошел init системы (процесс, который запускает все остальные процессы). Мы видим, как поднимается сетевой интерфейс (в моем случае le1), добавляется маршрут по умолчанию (в большинстве случаев надо прописать его в /etc/mygate, я расскажу об этом файле при конфигурировании сети), запускаются демоны sendmail inetd и sshd. Торжественный момент...
Волшебная дверь в систему, которая тщательно выбирает себе друзей, но если вы станете ее другом – она сделает все для вас. Твердо и уверенно вводим root, затем пароль, который мы указали при инсталляции. Первое, о чем стоит позаботиться – проверка наличия патчей (исправлений) для вашей системы. Конечно, шанс, что критические исправления присутствуют, очень мал, однако он есть. Итак, нам прямая дорога на http://www.openbsd.org/errata.html. Веб-страница содержит листинги всех патчей, доступных для вашей версии системы и описания к ним. И вообще в дальнейшем, если у вас не CURRENT-система с постоянным обновлением – рекомендую регулярно навещать эту страницу. Зайти как пользователь root вы можете в систему с консоли и используя ssh (1) по сети. Доступ пользователя root в систему из сети сложно назвать простой глупостью, это огромная глупость! Он разрешен по умолчанию лишь для тех случаев, когда система ставится удаленно (как раз все мои случаи) и других пользователей в системе просто нет. Успешно зайдя в систему под root, вы увидите сообщение «Don’t login as root, use su» – даже тут система подсказывает, как надо обращаться с ней. Еще одно маленькое НО. Прежде чем запрещать вход пользователя root по сети, обязательно добавьте простого пользователя и занесите его в группу «wheel», иначе при удаленном администрировании вы потеряете все шансы вернуть права суперпользователя. Кстати, при adduser указание группы «wheel» бесполезно! Вручную отредактируйте файл /etc/group, чтобы он выглядел следующим образом: wheel:*:0:root,myusername Теперь смело устанавливайте опцию: PermitRootLogin no в файле /etc/ssh/sshd_config и перезапускайте демон sshd. Зайдя в систему под добавленным пользователем, вы сможете использовать команды su (1) и sudo (8) для получения привилегий суперпользователя. Используя команду «su», система просто меняет ваш UID на 0, а используя команду «su –», система дополнительно перечитывает файл профиля (например, /root/.profile или /root/.bash_profile и т. д.). Пароль суперпользователя Я думаю, не стоит описывать в этой статье, как правильно выбрать пароль, слишком много уже подобных статей, просто скажу, что пароль As52DjZ921cOx считается нормальным для root. Изменить пароль можно уже знакомой командой: /usr/sbin/passwd Маленькое дополнение: привыкайте сразу использовать полные пути к критически важным командам. Используйте, например, «/usr/sbin/su –», а не просто «su –», порой такие мелочи бывают очень важны. Об этом в следующих статьях. Проверьте переменную окружения PATH (echo $PATH) – в ней ни в коем случае не должно быть относительных путей (начинающихся с «./») и в дальнейшем PATH суперпользователя ни за что не должна содержать путь текущей директории «.». Системное время Системное время устанавливается с помощью date (1). Если требуется поменять временной пояс системы, то это делается пересозданием символической ссылки /etc/localtime на правильный пояс в директории /usr/share/zoneinfo. Примеры установки времени: Установить время и дату 22 июля 2003, 18:25 PM: # date 200306221825 Изменить часовой пояс: # ln -fs /usr/share/zoneinfo/Asia/Bishkek /etc/localtime Системные демоны Файл /etc/rc.conf отвечает за процесс загрузки системы. В нем содержатся опции для разных загружаемых демонов (например, sshd и sendmail). Администратор должен сделать копию этого файла в /etc/rc.conf.local и уже в нем вносить все исправления, которые нужны. Но я так никогда не делаю. Просто привык работать напрямую с /etc/rc.conf. Используя команду hostname (1), вы можете проверить имя хоста в сети. Можно изменить имя, используя эту же команду hostname (1) или изменив имя в файле /etc/myname и перезапустив систему. Сетевая конфигурация Самое первое, что надо сделать – это набрать команду «ifconfig –a» и посмотреть на все сетевые интерфейсы, найденные и отконфигурированные системой. Исправить настройки можно, отредактировав файл /etc/hostname.interface (где interface – имя сетевого интерфейса, например, le1) или использовать ifconfig (8) для исправления настроек. Прочитав страницу мануала hostname.if (5), у вас не останется никаких вопросов по формату файла. # ifconfig –a
Вот пример текущего листинга ifconfig –a одного из моих OpenBSD –CURRENT-боксов с GENERIC-ядром. Для конфигурирования multicast routing смотрите страницу мануала netstat (8) и страницу dhcp (8) для интерфейсов DHCP. Проверьте таблицы роутинга командой netstat –rn. Вывод будет примерно таким: # netstat –nr
Адрес маршрута по умолчанию находится в файле /etc/mygate (если файла нет – создайте его вручную, прописав туда нужный IP-адрес). Добавить маршрут вручную поможет команда: route add default xxx.xxx.xxx.xxx Для детального анализа конфигурации сетевых интерфейсов смотрите файл /etc/netstart, именно в нем находятся сценарии запуска сетевой подсистемы Если вы собираетесь маршрутизировать пакеты между интерфейсами, добавьте опцию: net.inet.ip.forwarding=1 или net.inet6.ip.forwarding=1 в файл /etc/sysctl.conf или пересоберите ядро с опцией GATEWAY. Пакеты не перенаправляются по умолчанию в соответствии требованиям RFC. BIND Name Server (DNS) Если вы используете DNS, то настройки хранятся в файле /etc/resolv.conf. Он может выглядеть примерно так: # cat /etc/resolv.conf lookup file bind nameserver 127.0.0.1 nameserver 172.16.13.35 Чтобы использовать локальный кэширующий сервер имен (как раз мой случай) первая строчка nameserver должна выглядеть именно так: «nameserver 127.0.0.1». Вы также должны выставить named_flags в файле /etc/rc.conf.local, в моем случае /etc/rc.conf и создать файл named.boot (в версии OpenBSD 3.3 используется BIND версии 9.x и файл называется named.conf) в соответствии со страницей мануала named (8). Если же преобразование имен в IP-адреса происходит слишком долго, проверьте, что демон named запущен. RPC-based сетевые сервисы Некоторые сетевые сервисы ориентированы на использование RPC portmapper, должен быть запущен для их работы portmap (8). Эти сервисы включают в себя YP и NFS и множество других сервисов. Для запуска RPC portmapper автоматически вы должны прописать директиву: portmap=YES в файле /etc/rc.conf.local. Настройка YP (Yellow Pages) Рассказывать, что такое YP в деталях я не буду, это отдельная тема для статьи, вкратце же можно сказать, что это подобие Windows Active Directory, где пользователи и прочая информация хранятся на центральном сервере и все машины в сети работают с ним. Первое, что надо сделать, – это проверить имя домена YP. Это делается при помощи команды domainname (1). В случае ошибки отредактируйте файл /etc/defaultdomain и перезапустите систему. Осуществить смену defaultdomain без перезапуска системы можно при помощи той же команды domainname (1). Запустить клиентскую часть YP-сервисов можно просто запустив ypbind и затем осуществив переход на YP-сервер, как описано на страницах мануала passwd (5) и group (5). Чтобы включить поддержку YP, вы должны добавить линию: +:*:::::::: в файл /etc/master.passwd, и это может быть корректно выполнено при помощи команды vipw (8). В дальнейшем любые исправления файла /etc/master.passwd осуществляйте только при помощи команды vipw (8), т.к. авторизация в системе опирается сразу на 4 файла. Это /etc/passwd, /etc/master.passwd, /etc/pwd.db, /etc/spwd.db и vipw (8) работает с ними всеми сразу. Всю дополнительную информацию относительно работы с YP вы можете найти на странице мануала yp (8). Проверьте правильность монтирования дисков системы, сравнивая содержание файла /etc/fstab и выводы команд mount (8) и df (1). Например: # cat /etc/fstab
# mount
# df
# pstat –s
Отредактируйте файл /etc/fstab и используйте команды mount (8) umount (8) в дальнейшем для работы с дисками. Формат файла /etc/fstab вы можете опять же узнать из страницы мануала fstab (5). Concatenated disks (ccd) Если вы используете Concatenated disks, отредактируйте файл /etc/ccd.conf и используйте команды: ccdconfig –U ccdconfig –C для удаления и создания ccd общих таблиц файлов. Затем вы можете пользоваться mount (8) и umount (8) для работы с ccd-дисками как с обычными и отредактировать файл /etc/fstab в случае надобности. Ну вот, на данном этапе система уже будет сносно работать, однако это совсем не дело – оставлять ее в таком все еще сыром виде. Нам нужна большая гибкость и более тонкая настройка, например, новые пользователи и т. д. Конечно, очень многое из арсенала OpenBSD нам может и не пригодиться (например, авторизация по Kerberos), но все же стоит знать, что большинство файлов конфигурации располагаются в директории /etc. Смело пишем cd /etc и редактируем файлы, нужные нам. Небольшая оговорка. Файл /etc/motd, содержащий Message Of The Day, перезаписывается каждый раз при перезапуске системы, а если вы хотите, чтобы ваше сообщение оставалось, как, например, у меня:
Вы должны просто добавить 2 пустые строчки в начало файла /etc/motd и система не будет трогать его. Мне с моими пользователями как раз стоит держать файл /etc/motd без изменений: pheonix@princess pheonix$ wc -l /etc/passwd 5006 /etc/passwd Добавление пользователей Я немного отвлекся, идем дальше. В OpenBSD имеются команды user, useradd, userdel, userinfo, usermod, users для работы с пользователями системы. Нас интересует команда useradd, но разработчики решили не грузить администраторов бесполезным заучиванием опций этой команды и создали замечательный скрипт /usr/sbin/adduser, который в интерактивном режиме задаст вам вопросы относительно новых пользователей и добавит их без проблем. Типичная сессия добавления пользователя: root@princess root# adduser
Что примечательно и сразу бросается в глаза? Конечно же проверка файлов авторизации системы. Скрипт ругается на то, что мой пользователь postfix имеет GID (Group Identificator), которого нет в системе, однако это требование почтовой системы Postfix, поэтому не обращаем на это внимание. Что еще? Конечно, Login class. OpenBSD поддерживает классы пользователей, на которые будут накладываться те или иные ограничения. Какие именно ограничения есть в системе, вы можете узнать, используя команду «ulimit -a». Например, лимиты для суперпользователя выглядят так: # ulimit –a
Все классы определяются в файле /etc/login.conf и прочитав страницу мануала login.conf (5), вы без труда создадите или внесете исправления в нужный вам класс. RC-файлы Еще раз о них. Проверьте файлы rc.conf, rc.conf.local, rc.local, rc.securelevel, rc.shutdown и внесите в них все изменения, которые вам нужны. Обычно это 5-минутное дело, однако очень многие вещи завязаны на этих файлах. Подтяните безопасность Вы можете еще более обезопасить систему, отредактировав файл /etc/inetd.conf и выключив в нем такие службы/демоны, как telnetd (8) и ftpd (8), которые легко заменяются более безопасной службой SSH (Secure Shell). Почтовая система OpenBSD включает в себя Sendmail MTA, которая настроена только на локальную доставку почты. Это значит, что посылать письма локальным пользователям вы можете, а вот принимать почту из сети – нет. Если вы хотите использовать Sendmail MTA в дальнейшем, то вам надо отредактировать файл /etc/mail/sendmail.cf и sendmail_flags в файле /etc/rc.conf.local. Файл /etc/mail/localhost.cf, сгенерированный из openbsd-localhost.mc как раз и служит только для «локальной MTA» и используется по умолчанию. Я использую Postfix MTA на моих боксах, но объяснять почему в этой статье я не буду. Слишком много разных мнений на эту тему. Я лишь могу рекомендовать вам, если вы еще не определились с выбором MTA, использовать Postfix. OpenBSD очень хорошо с ним дружит. DHCP-сервер В случае надобности этого сервиса в вашей сети, я думаю, вы уже догадываетесь, что надо сделать. Редактируем файл /etc/rc.conf.local: dhcpd_flags=-q затем файлs /etc/dhcpd.conf и /etc/dhcpd.interfaces и запускаем демон dhcpd (8). Дневные, недельные и месячные скрипты Если смотреть в директорию /etc, можно увидеть там скрипты daily, weekly, monthly. Вы можете напрямую редактировать эти скрипты, как я, или же делать «правильно», создав файлы daily.local, weekly.local, monthly.local и внеся в них нужные вам исправления. Наверное, уже сложно не догадаться, что эти скрипты будут выполняться демоном cron один раз в день, неделю, месяц. Скрипты генерируют очень полезный отчет о системе. Вот, например, такой:
И высылают его пользователю root на почту. Просмотрев скрипты, вы без проблем разберетесь, как и где они собирают данную информацию. Отдельная тема для статьи пакет mtree в OpenBSD. Именно он генерирует отчет о пропущенных и измененных файлах в системе. Заранее скомпилированное программное обеспечение (Packages, упаковки) Любителям лениво сидеть перед монитором посвящается. OpenBSD имеет огромный набор packages на любой вкус, начиная от системных утилит и демонов, заканчивая пакетами для графической среды X Windows. На втором (обычно) диске дистрибутива как раз и идут файлы в формате tar.gz, содержащие скомпилированное и порой уже отконфигурированное ПО. Достаточно лишь использовать команду pkg_add (1) и пакет уже установлен в вашей системе. В системе FreeBSD имеются PORTS, прославившие ее, чем мы хуже? У нас тоже они есть, и еще сколько! Ставим дистрибутив портов с первого диска или же выкачиваем его из сети, используя ftp://ftp.openbsd.org, разворачиваем в папке /usr и вуаля! У нас стоят порты. Дальнейшую работу с портами в этой статье описывать не буду, скажу лишь только: cd /usr/ports/packagename; make install и в большинстве случаев все. Вы обладатель установленного ПО. Вам стоит прочитать страницы ports (7) packages (7) из мануала, и мне не придется краснеть за то, что я оставил вас в неведении относительно быстрой установки ПО в OpenBSD. Опять же, обратившись к ftp://ftp.openbsd.org, вы найдете много интересных вещей. Не забывайте, это лишь первые шаги, и мы делаем все, чтобы система «точно работала», но не всегда «лучше работала». «Who wanna have, must work»,– как говорят некоторые, так вот и мы с вами будем потихоньку доводить нашу работу с системой до совершенства. Опять получилось лирическое отступление, доиграла «Enigma – Sadeness», допита четвертая чашка кофе, статья перед вами. Осталось только ввести имя пользователя, пароль и погрузиться в темный, дремучий лес OpenBSD с фонариком в виде журнала «Системный администратор». В следующей статье я расскажу подробнее о сетевой подсистеме OpenBSD и о ее тюнинге. Вот список страниц мануала, которые я рекомендую вам для прочтения к данной статье:
|
ДЕНИС НАЗАРОВКомментарии отсутствуют
| Добавить комментарий |
|
Комментарии могут оставлять только зарегистрированные пользователи |
|
