https://wiki.xinux.net/api.php?action=feedcontributions&feedformat=atom&user=Linkai.zhang
Xinux Wiki - Benutzerbeiträge [de]
2026-10-21T21:50:27Z
Benutzerbeiträge
MediaWiki 1.43.11
https://wiki.xinux.net/index.php?title=Datei:Tls-verbindung.drawio.png&diff=58652
Datei:Tls-verbindung.drawio.png
2024-12-05T11:43:55Z
<p>Linkai.zhang: Linkai.zhang lud eine neue Version von Datei:Tls-verbindung.drawio.png hoch</p>
<hr />
<div></div>
Linkai.zhang
https://wiki.xinux.net/index.php?title=Unix-/Linux_Netz&diff=58651
Unix-/Linux Netz
2024-12-04T12:45:58Z
<p>Linkai.zhang: /* Webserver */</p>
<hr />
<div>=Netzwerk der Schulung=<br />
<br />
* Die WAN-IP wird die 172.RNr.0.(100 + eigene Nr.)<br />
* Die '''D'''e'''m'''ilitarisierte '''Z'''one (DMZ) enthält Services, die von außen erreichbar sein sollen<br />
* Im LAN befindet sich unser Administratorrechner von dem wir unsere Rechner konfigurieren<br />
* Das LAN soll Verbindungen ins Internet initiieren können, aber nicht direkt von außen erreichbar sein<br />
<br />
{{#drawio:ul2}}<br />
<br />
;''xx'' in den folgenden Bildern durch die eigene Nummer ersetzen<br />
;Benutzername für virtuelle Maschinen ist ''xinux'' oder ''root''<br />
;Passwort ist immer 123Start$<br />
<br />
= Vorbereiten der Firewall =<br />
<br />
{{#drawio:ul-tag-0}}<br />
<br />
* Wir klonen den Rechner "Server Vorlage" und nennen ihn "Firewall"<br />
* Dieser braucht 3 Netzwerkadapter:<br />
# Netzwerkbrücke<br />
# Internes Netzwerk "LAN"<br />
# Internes Netzwerk "DMZ"<br />
* Wir starten die Firewall und konfigurieren statische IP Adressen für alle 3 Netzwerkadapter<br />
* '''vim /etc/network/interfaces'''<br />
<br />
auto lo<br />
iface lo inet loopback<br />
<br />
auto enp0s3<br />
iface enp0s3 inet static<br />
address 172.RNr.0.1''xx''/16<br />
gateway 172.RNr.0.1<br />
<br />
auto enp0s8<br />
iface enp0s8 inet static<br />
address 192.168.0.1/24<br />
<br />
auto enp0s9<br />
iface enp0s9 inet static<br />
address 10.0.1''xx''.1/24<br />
<br />
* Interfaces runter und wieder hochfahren, um die neue Konfiguration zu laden<br />
* '''ifdown -va'''<br />
* '''ifup -va'''<br />
* bzw.<br />
* '''systemctl restart networking'''<br />
* Danach sollte der Befehl '''ip address show''' (oder '''ip a''') die neuen IP Adressen anzeigen<br />
<br />
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000<br />
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00<br />
inet 127.0.0.1/8 scope host lo<br />
valid_lft forever preferred_lft forever<br />
inet6 ::1/128 scope host <br />
valid_lft forever preferred_lft forever<br />
2: enp0s3: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1456 qdisc pfifo_fast state UP group default qlen 1000<br />
link/ether 08:00:27:9b:79:a1 brd ff:ff:ff:ff:ff:ff<br />
inet '''172.RNr.1.1''xx''/16''' brd 172.22.255.255 scope global enp0s3<br />
valid_lft forever preferred_lft forever<br />
inet6 2003:e5:173a:c401:a00:27ff:fe9b:79a1/64 scope global dynamic mngtmpaddr <br />
valid_lft 7134sec preferred_lft 1215sec<br />
inet6 fe80::a00:27ff:fe9b:79a1/64 scope link <br />
valid_lft forever preferred_lft forever<br />
3: enp0s8: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000<br />
link/ether 08:00:27:15:03:b7 brd ff:ff:ff:ff:ff:ff<br />
inet '''192.168.0.1/24''' brd 192.168.0.255 scope global enp0s8<br />
valid_lft forever preferred_lft forever<br />
inet6 fe80::a00:27ff:fe15:3b7/64 scope link <br />
valid_lft forever preferred_lft forever<br />
4: enp0s9: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000<br />
link/ether 08:00:27:31:01:09 brd ff:ff:ff:ff:ff:ff<br />
inet '''10.0.1''xx''.1/24''' brd 10.0.100.255 scope global enp0s9<br />
valid_lft forever preferred_lft forever<br />
inet6 fe80::a00:27ff:fe31:109/64 scope link <br />
valid_lft forever preferred_lft forever<br />
<br />
= Workstation im LAN zum Systemadministrator machen =<br />
<br />
* Den Netzwerkadapter von VM "LAN Host" auf "Internes Netzwerk LAN" umstellen und die VM starten<br />
* Wenn wir unsere Netzwerkkonfiguration anschauen, dann sehen wir keine IP Adresse, da noch kein DHCP läuft<br />
* Deshalb geben wir uns eine temporäre IP, um per SSH auf die Firewall zu kommen<br />
* '''systemctl stop NetworkManager'''<br />
* '''ip address add 192.168.0.2/24 dev enp0s3'''<br />
* Nun können wir die Firewall per SSH erreichen<br />
* '''ssh xinux@192.168.0.1'''<br />
* als erstes ändern wir den hostnamen der Firewall von ''debian'' zu ''firewall''<br />
* '''sudo -i'''<br />
* '''hostnamectl set-hostname fw''xx'' '''<br />
* '''vim /etc/hosts'''<br />
<br />
127.0.0.1 localhost<br />
127.0.1.1 '''fw''xx'' '''<br />
...<br />
<br />
* Ein erneutes einloggen updatet den Namen im Prompt<br />
* als nächstes installieren wir einen [[DHCP]] Server, um Rechnern im LAN automatisch eine Netzwerkkonfiguration zu geben<br />
* '''apt install isc-dhcp-server'''<br />
* Am Ende der Installation wird es eine Fehlermeldung geben, da systemd versucht den Dienst zu starten, obwohl noch keine Konfiguration da ist<br />
* '''vim /etc/default/isc-dhcp-server'''<br />
<br />
DHCPDv4_CONF=/etc/dhcp/dhcpd.conf<br />
INTERFACESv4="enp0s8"<br />
<br />
* '''vim /etc/dhcp/dhcpd.conf'''<br />
<br />
option domain-name-servers 1.1.1.1;<br />
default-lease-time 600;<br />
max-lease-time 7200;<br />
authoritative;<br />
<br />
subnet 192.168.0.0 netmask 255.255.255.0 {<br />
range 192.168.0.50 192.168.0.100;<br />
option routers 192.168.0.1;<br />
}<br />
<br />
# Feste IP-Adresse für eine bestimmte MAC-Adresse<br />
host controller {<br />
hardware ethernet ''MAC Adresse vom Arch'';<br />
fixed-address 192.168.0.2;<br />
option routers 192.168.0.1;<br />
}<br />
<br />
* Dienst mit der neuen Konfiguration starten und überprüfen<br />
* '''systemctl restart isc-dhcp-server'''<br />
* '''systemctl status isc-dhcp-server'''<br />
* Beim Neustart von Arch sollte dann automatisch die ''192.168.0.2'' bekommen (falls nicht MAC-Adresse überprüfen)<br />
<br />
= Firewall als Router konfigurieren =<br />
<br />
* Im Moment verwirft die Firewall alle Pakete mit IP-Adressen, die nicht für ihn selbst bestimmt sind<br />
* Um die Pakete uns Default-Gateway weiterzuleiten muss der Kernelparameter ''net.ipv4.ip_forward'' gesetzt sein<br />
* Temporär (bleibt nicht nach einem Reboot):<br />
**'''sysctl -w net.ipv4.ip_forward=1''' ''# Einschalten''<br />
**'''sysctl -w net.ipv4.ip_forward=0''' ''# Ausschalten''<br />
* Für eine persistente Konfiguration muss dieser Parameter in der die Datei ''/etc/sysctl.conf'' stehen<br />
* '''vim /etc/sysctl.conf'''<br />
<br />
...<br />
<br />
# Uncomment the next line to enable packet forwarding for IPv4<br />
net.ipv4.ip_forward=1<br />
...<br />
<br />
* '''sysctl -p'''<br />
<br />
net.ipv4.ip_forward = 1<br />
<br />
* '''S'''ource '''N'''etwork '''A'''ddress '''T'''ranslation muss noch geschehen, damit die Pakete mit IP Adressen aus einem privaten Netzwerk den Weg zurück finden<br />
* '''vim /etc/nftables.conf'''<br />
<br />
#!/usr/sbin/nft -f<br />
<br />
flush ruleset<br />
<br />
table inet filter {<br />
chain input {<br />
type filter hook input priority 0;<br />
}<br />
chain forward {<br />
type filter hook forward priority 0;<br />
}<br />
chain output {<br />
type filter hook output priority 0;<br />
}<br />
}<br />
<br />
table inet nat {<br />
chain postrouting {<br />
type nat hook postrouting priority 100; policy accept;<br />
oif enp0s3 masquerade<br />
}<br />
}<br />
<br />
* '''systemctl restart nftables'''<br />
* '''systemctl enable nftables'''<br />
<br />
<br />
= SSH Schlüssel für passwortloses Login =<br />
<br />
== LAN ==<br />
<br />
* Um nicht jedes mal das Passwort beim Login eingeben zu müssen kann man sich stattdessen mit einem privaten Schlüssel authentifizieren<br />
* Wir erstellen einen Schlüssel mit RSA Verschlüsselung und erstmal ohne Passwortabfrage für den Benutz des Schlüssels<br />
* '''ssh-keygen''' ''# 123Start$ als Passwort nehmen''<br />
* '''ssh-copy-id xinux@192.168.0.1'''<br />
* bzw.<br />
* '''scp ~/.ssh/id_rsa.pub xinux@192.168.0.1:~/.ssh/authorized_keys'''<br />
* In der ''authorized_keys'' Datei können mehrere öffentliche Schlüssel stehen (pro Zeile ein Schlüssel)<br />
* Es ist üblich SSH Login über Passwörter komplett auszuschalten sobald die SSH Schlüssel von den zugangsberechtigten Benutzern hinterlegt sind<br />
* Normalerweise sind die Schlüssel passwortgeschützt.<br />
* Damit man nicht jedes mal das Passwort dafür eingeben muss kann man einen [[SSH Agent]] nutzen<br />
<br />
== Firewall ==<br />
<br />
* Wir wollen uns direkt als root einloggen können, weshalb die '''authorized_keys''' Datei auch im Home-Verzeichnis des root-Nutzers liegen muss<br />
* '''sudo -i'''<br />
* '''mkdir ''.ssh'' '''<br />
* '''cp ''~xinux/.ssh/authorized_keys'' ''.ssh/'' '''<br />
* Um den SSH-Server abszusichern können wir den Port verlegen und nur schlüsselbasiertes Einloggen zulassen<br />
* '''vim ''/etc/ssh/sshd_config'' '''<br />
<br />
Port 2222<br />
AddressFamily inet<br />
ListenAddress 192.168.0.1<br />
PubkeyAuthentication yes<br />
PasswordAuthentication no<br />
UsePAM no<br />
<br />
* '''systemctl restart sshd'''<br />
<br />
== LAN ==<br />
<br />
* Nun sollten wir uns direkt als root anmelden können <br />
* '''ssh -p 2222 root@192.168.0.1 "id && hostname"'''<br />
* Um die Ameldung einfacher zu gestalten können wir unseren SSH-Client konfigurieren<br />
* '''vim ''~/.ssh/config'' '''<br />
<br />
Host fw''xx''<br />
Hostname 192.168.0.1<br />
User root<br />
Port 2222<br />
<br />
* Jetzt kann man den Befehl folgendermaßen verkürzen:<br />
* '''ssh fw''xx'' '''<br />
<br />
= DHCP erweitern =<br />
<br />
* Um neue Rechner in der DMZ automatisch über LAN administrierbar zu machen, erweitern wir den DHCP Server auf der Firewall<br />
* '''vim /etc/default/isc-dhcp-server<br />
<br />
DHCPDv4_CONF=/etc/dhcp/dhcpd.conf<br />
INTERFACESv4="enp0s8 '''enp0s9'''"<br />
<br />
* Die Subnetzdefinitionen folgen der Reihenfolge der Interfaces in ''/etc/default/isc-dhcp-server''<br />
* '''vim /etc/dhcp/dhcpd.conf'''<br />
<br />
default-lease-time 600;<br />
max-lease-time 7200;<br />
authoritative;<br />
<br />
subnet 192.168.0.0 netmask 255.255.255.0 {<br />
range 192.168.0.50 192.168.0.100;<br />
option routers 192.168.0.1;<br />
}<br />
<br />
'''subnet 10.0.1''xx''.0 netmask 255.255.255.0 {'''<br />
'''range 10.0.1''xx''.50 10.0.1''xx''.100;'''<br />
'''option routers 10.0.1''xx''.1;'''<br />
'''}'''<br />
<br />
# Feste IP-Adresse für eine bestimmte MAC-Adresse<br />
host controller {<br />
hardware ethernet MAC Adresse vom Arch;<br />
fixed-address 192.168.0.2;<br />
option routers 192.168.0.1;<br />
}<br />
<br />
* '''systemctl restart isc-dhcp-server'''<br />
<br />
= [[DNS]] Server =<br />
<br />
{{#drawio:ul-tag-1}}<br />
<br />
== Virtualbox ==<br />
* Ein Klon von "Server Vorlage" mit Netzwerkadapter im internen Netzwerk "DMZ" erstellen<br />
* Über die Systemlogs für '''DHCP''' auf der '''Firewall''' können wir die IP Adresse des DNS-Servers herausfinden<br />
<br />
== Firewall ==<br />
* '''journalctl -u isc-dhcp-server'''<br />
* Zurück zu Arch wechseln und über SSH auf den DNS Server einloggen<br />
* '''ssh xinux@10.0.''(100 + eigene Nr.).'' ''yy'' '''<br />
<br />
== DNS ==<br />
* Anschließend die IP Adresse in ''/etc/network/interfaces'' konfigurieren: 10.0.''(100 + eigene Nr.)''.2<br />
* Hostname auf DNS: setzen (in ''/etc/hosts'' auch umändern)<br />
* SSH Schlüssel hinterlegen<br />
* Bind9 installieren<br />
* '''vim /etc/resolv.conf'''<br />
<br />
nameserver 1.1.1.1<br />
<br />
* '''apt install bind9'''<br />
* '''vim /etc/resolv.conf'''<br />
<br />
nameserver 127.0.0.1<br />
<br />
== Optionen festlegen ==<br />
<br />
* '''vim /etc/bind/named.conf.options'''<br />
<br />
options {<br />
directory "/var/cache/bind";<br />
dnssec-validation no;<br />
allow-recursion { 0.0.0.0/0; };<br />
};<br />
<br />
== Zone definieren ==<br />
<br />
* '''vim /etc/bind/named.conf.local'''<br />
<br />
zone "lab(100 + eigene Nr.).nux" {<br />
type master;<br />
file "lab(100 + eigene Nr.).nux";<br />
};<br />
<br />
== Zonendatei erstellen ==<br />
<br />
* '''vim /var/cache/bind/lab(100 + eigene Nr.).nux'''<br />
<br />
$TTL 300<br />
@ IN SOA dns.lab''(100 + eigene Nr.)''.nux. technik.xinux.de. (''(Datum + Ver.nr.)'' 14400 3600 3600000 86400)<br />
IN NS dns<br />
dns IN A 10.0.(100 + eigene Nr.).2<br />
fw IN A 10.0.(100 + eigene Nr.).1<br />
<br />
* Dienst neustarten und testen<br />
* '''systemctl restart bind9'''<br />
* '''dig +short dns.lab1''xx''.nux'''<br />
* '''dig +short fw.lab1''xx''.nux'''<br />
<br />
== '''D'''estination NAT und Portforwarding ==<br />
<br />
* Der DNS-Server in der DMZ soll öffentlich erreichbar sein<br />
* Das Internet kennt aber nur unsere WAN IP<br />
* Wir erwarten, dass solche Anfragen auf Port 53 UDP/TCP an unsere Firewall ankommen<br />
* Die Zieladresse soll dann in der Prerouting Kette auf die des Webserver umgeschrieben werden<br />
* Dadurch geht das Paket in die Forward Kette anstatt der Input Kette<br />
* Also muss dort die entsprechende Regel zum Freischalten stehen<br />
<br />
#!/usr/sbin/nft -f<br />
<br />
flush ruleset<br />
'''define wanip = 172.RNr.0.1''xx'' '''<br />
'''define dnsserver = 10.0.1''xx''.2'''<br />
<br />
table inet filter {<br />
chain input {<br />
type filter hook input priority filter;<br />
}<br />
chain forward {<br />
type filter hook forward priority filter;<br />
}<br />
chain output {<br />
type filter hook output priority filter;<br />
}<br />
}<br />
table inet nat {<br />
'''chain prerouting {'''<br />
'''type nat hook prerouting priority -100; policy accept;'''<br />
'''ip daddr $wanip tcp dport 53 dnat ip to $dnsserver:53'''<br />
'''ip daddr $wanip udp dport 53 dnat ip to $dnsserver:53'''<br />
'''}'''<br />
<br />
chain postrouting {<br />
type nat hook postrouting priority 100; policy accept;<br />
oif $wandev masquerade<br />
}<br />
}<br />
<br />
* '''systemctl restart nftables'''<br />
<br />
= Auflösen anderer Domänen über eine Pseudo Top Level Domain =<br />
<br />
== Dienst neustarten und DNS-Auflösung testen ==<br />
<br />
* '''systemctl restart bind9'''<br />
* '''dig +short dns.lab(100 + eigene Nr.).nux'''<br />
* '''dig +short xinux.net'''<br />
* Wenn das funktioniert dann den DNS Server im DHCP Server als Standard DNS Server und Suchdomäne eintragen (zur Firewall wechseln)<br />
* '''vim /etc/dhcp/dhcpd.conf'''<br />
<br />
option domain-name "lab(100 + eigene Nr.).nux";<br />
option domain-name-servers 10.0.''(100 + eigene Nr.)''.2;<br />
...<br />
<br />
* '''systemctl restart isc-dhcp-server'''<br />
* Arch neustarten und in ''/etc/resolv.conf'' nachschauen, ob die neue Konfiguration automatisch gezogen wurde<br />
* bzw.<br />
* '''systemctl restart NetworkManager'''<br />
<br />
= Bind9 Forwarder eintragen =<br />
<br />
== DNS Server der ''.nux''-Domain ==<br />
* Wenn jeder die DMZ der anderen erreichen kann, ist es möglich über eine Top Level Domain die anderen Domänen aufzulösen<br />
* Dazu muss man auf den '''DNS Server''' einen vorkonfigurierten Pseudo Top Level Domain Nameserver als '''Forwarder''' eintragen<br />
* '''vim /etc/bind/named.conf.options'''<br />
<br />
...<br />
forwarders { 172.RNr.0.100; }; //IP des Top Level Domain Nameservers<br />
...<br />
<br />
* Wenn man die Reverse Zone später auch auflösen will braucht man diese Zeile<br />
* '''vim /etc/bind/named.conf.options'''<br />
<br />
...<br />
empty-zones-enable no;<br />
...<br />
<br />
* '''systemctl restart bind9'''<br />
* Einmal alle Domänen durchtesten<br />
* '''dig +short dns.lab''1xx''.nux'''<br />
* '''ping fw.lab''1xx''.nux'''<br />
<br />
== Pseudo ''.nux'' Domain Server ==<br />
<br />
* '''vim /etc/bind/named.conf.options'''<br />
<br />
options {<br />
directory "/var/cache/bind";<br />
empty-zones-enable no;<br />
allow-recursion { 0.0.0.0/0; };<br />
allow-query { 0.0.0.0/0; };<br />
dnssec-validation no;<br />
};<br />
* Zur Zonendefinition hinzufügen<br />
* '''vim /etc/bind/named.conf.local'''<br />
<br />
zone "nux" {<br />
type master;<br />
file "nux";<br />
};<br />
zone "0.10.in-addr.arpa" {<br />
type master;<br />
file "0.10.in-addr.arpa";<br />
};<br />
...<br />
* Zonendateien<br />
* '''vim /var/cache/bind/nux'''<br />
<br />
$TTL 300<br />
@ IN SOA dns.nux. technik.xinux.de. (2023041809 14400 3600 3600000 86400)<br />
<br />
@ IN NS dns.nux.<br />
lab101 NS dns.lab101.nux.<br />
lab102 NS dns.lab102.nux.<br />
lab100 NS dns.nux.<br />
<br />
dns IN A 172.RNr.0.100<br />
dns.lab101 A 172.RNr.0.1''xx''<br />
dns.lab102 A 172.RNr.0.1''xy''<br />
<br />
= Reverse Lookup =<br />
<br />
* Für manche Dienste muss einer IP einen Domain Namen zugeordnet werden<br />
* Dazu eine neue Zone definieren und eine neue Zonendatei erstellen<br />
* '''vim /etc/bind/named.conf.local'''<br />
<br />
zone "100.0.10.in-addr.arpa" {<br />
type master;<br />
file "100.0.10.in-addr.arpa";<br />
};<br />
<br />
* '''vim 100.0.10.in-addr.arpa'''<br />
<br />
$TTL 300<br />
@ IN SOA dns.lab100.nux. technik.xinux.de. (2023050901 14400 3600 3600000 86400)<br />
IN NS dns.lab100.nux.<br />
1 IN PTR fw.lab100.nux.<br />
2 IN PTR dns.lab100.nux.<br />
<br />
* '''systemctl restart bind9'''<br />
<br />
= Netz absichern =<br />
<br />
* Im Moment darf jeder auf die Firewall von jeden zugreifen (und damit alle dahinterliegenden Systeme)<br />
* Um dies zu verhindern erstellen wir mit [[Nftables Netze absichern|nftables]] Firewall Regeln, die nur das nötigste zulassen<br />
* Die Regeln werden von oben nach unten abgearbeitet<br />
* Wenn keine Regel greift, dann zieht die ''Default Policy''<br />
<br />
; Prerouting, Input, Forward, Output und Postrouting sind Punkte an denen wir Regeln erstellen können<br />
<br />
{{#drawio:nft-inet1}}<br />
<br />
== Nur SSH aus LAN auf die Firewall zulassen ==<br />
<br />
* Default Policy wird in allen Filterketten auf Drop gesetzt<br />
* Wenn also keine Regel das Paket durchlässt, wird es verworfen<br />
* Über Connection Tracking können wir uns auf die Regulierung neuer Verbindungen fokussieren<br />
* Als erstes soll nur:<br />
** Die Firewall mit sich selbst über das loopback Interface kommunizieren können (da es sonst zu komischen Problemen führen kann)<br />
** ''Established'' und ''Related'' Pakete akzeptiert werden<br />
** Neue Anfragen aus dem LAN auf TCP Port 2222 akzeptieren<br />
** Firewall soll über HTTP bzw. HTTPS Programme herunterladen können<br />
** Gedroppte Pakete sollen geloggt werden<br />
* '''vim /etc/nftables.conf'''<br />
<br />
#!/usr/sbin/nft -f<br />
<br />
flush ruleset<br />
define wanip = 172.RNr.0.1xx <br />
define dnsserver = 10.0.1xx.2<br />
'''define wandev = enp0s3'''<br />
'''define landev = enp0s8'''<br />
'''define lan = 192.168.0.0/24'''<br />
<br />
table inet filter {<br />
chain input {<br />
type filter hook input priority filter; '''policy drop;'''<br />
'''iif "lo" accept'''<br />
'''ct state established,related accept'''<br />
'''iif $landev tcp dport 2222 accept'''<br />
'''log prefix "--nftables-drop-input--"'''<br />
}<br />
chain forward {<br />
type filter hook forward priority filter; '''policy drop;'''<br />
'''ct state established,related accept'''<br />
'''log prefix "--nftables-drop-forward--"'''<br />
}<br />
chain output {<br />
type filter hook output priority filter; '''policy drop;'''<br />
'''oif "lo" accept'''<br />
'''ct state established,related accept'''<br />
'''oif $wandev tcp dport { 80, 443 } accept'''<br />
'''log prefix "--nftables-drop-output--"'''<br />
}<br />
}<br />
table inet nat {<br />
chain prerouting {<br />
type nat hook prerouting priority -100; policy accept;<br />
ip daddr $wanip tcp dport 53 dnat ip to $dnsserver:53<br />
ip daddr $wanip udp dport 53 dnat ip to $dnsserver:53<br />
}<br />
<br />
chain postrouting {<br />
type nat hook postrouting priority srcnat; policy accept;<br />
oif $wandev masquerade<br />
}<br />
}<br />
<br />
* '''systemctl restart nftables'''<br />
<br />
== Internetzugriff für LAN und Firewall ==<br />
<br />
* '''vim ''/etc/nftables.conf'' '''<br />
#!/usr/sbin/nft -f<br />
<br />
flush ruleset<br />
<br />
define wanip = 172.22.0.1xx<br />
define dnsserver = 10.0.1xx.2<br />
define wandev = "enp0s3"<br />
define landev = "enp0s8"<br />
define dmzdev = "enp0s9"<br />
define lan = 192.168.0.0/24<br />
define dmz = 10.0.1xx.0/24<br />
<br />
table inet filter {<br />
chain input {<br />
type filter hook input priority 0; policy drop;<br />
ct state { "established", "related" } accept<br />
iif "lo" accept<br />
iif $landev ip saddr $lan tcp dport 2222 accept<br />
icmp type echo-request accept<br />
log prefix "--nftables-drop-input--"<br />
}<br />
chain forward {<br />
type filter hook forward priority 0; policy drop;<br />
ct state { "established", "related" } accept<br />
icmp type echo-request accept<br />
iif $landev ip saddr $lan oif $dmzdev ip daddr $dnsserver udp dport 53 accept<br />
iif $wandev ip daddr $dnsserver tcp dport 53 accept<br />
iif $wandev ip daddr $dnsserver udp dport 53 accept<br />
iif $dmzdev ip saddr $dnsserver tcp dport 53 accept<br />
iif $dmzdev ip saddr $dnsserver udp dport 53 accept<br />
oif $wandev tcp dport { 80, 443 } accept<br />
iif $landev ip saddr $lan oif $dmzdev ip daddr $dmz tcp dport 22 accept<br />
log prefix "--nftables-drop-forward--"<br />
}<br />
chain output {<br />
type filter hook output priority 0; policy drop;<br />
ct state { "established", "related" } accept<br />
icmp type echo-request accept<br />
udp dport 53 accept<br />
oif $wandev tcp dport { 80, 443 } accept<br />
log prefix "--nftables-drop-output--"<br />
}<br />
}<br />
<br />
table inet nat {<br />
chain prerouting {<br />
type nat hook prerouting priority -100; policy accept;<br />
ip daddr $wanip tcp dport 53 dnat ip to $dnsserver:53<br />
ip daddr $wanip udp dport 53 dnat ip to $dnsserver:53<br />
}<br />
chain postrouting {<br />
type nat hook postrouting priority 100; policy accept;<br />
oif $wandev masquerade<br />
}<br />
}<br />
<br />
* '''systemctl restart nftables'''<br />
<br />
== '''C'''onnection '''T'''racking '''T'''abelle ==<br />
<br />
* Das Tool '''conntrack''' installieren, um die CTT anschauen und leeren zu können<br />
* '''apt install conntrack'''<br />
* '''conntrack -F''' ''# Leert die Tabelle''<br />
* '''conntrack -L'''<br />
<br />
tcp 6 432000 ESTABLISHED src=192.168.0.2 dst=192.168.0.2 sport=58178 dport=22 src=192.168.0.1 dst=192.168.0.2 sport=22 dport=58178 [ASSURED] mark=0 use=1<br />
<br />
= Webserver =<br />
<br />
{{#drawio:ul-tag-2}}<br />
<br />
* Rechnern im LAN sollen Webseiten aufrufen können<br />
* unsere DNS Server sollten andere Server im Internet und in den anderen DMZs befragen dürfen<br />
* d.h. UDP Port 53 aus LAN und DMZ und TCP Ports 80 und 443 für LAN sollten freigeschalten werden<br />
* '''vim /etc/nftables.conf'''<br />
<br />
#!/usr/sbin/nft -f<br />
<br />
flush ruleset<br />
define wandev = enp0s3<br />
define landev = enp0s8<br />
'''define dmzdev = enp0s9'''<br />
define lan = 192.168.0.0/24<br />
'''define dmz = 10.0.1''xx''.0/24'''<br />
<br />
table inet filter {<br />
chain input {<br />
type filter hook input priority filter; policy drop;<br />
iif "lo" accept<br />
ct state established,related accept<br />
iif $landev tcp dport 22 accept<br />
log prefix "--nftables-drop-input--"<br />
}<br />
chain forward {<br />
type filter hook forward priority filter; policy drop;<br />
ct state established,related accept<br />
'''iif { $dmzdev, $landev } ip saddr { $dmz, $lan } udp dport 53 oif { $dmzdev, $wandev } accept'''<br />
'''iif $landev ip saddr $lan tcp dport { 80, 443 } oif $wandev accept'''<br />
log prefix "--nftables-drop-forward--"<br />
}<br />
chain output {<br />
type filter hook output priority filter; policy drop;<br />
ct state established,related accept<br />
oif $wandev tcp dport { 80, 443 } accept<br />
log prefix "--nftables-drop-output--"<br />
}<br />
}<br />
table inet nat {<br />
chain postrouting {<br />
type nat hook postrouting priority srcnat; policy accept;<br />
oif $wandev masquerade<br />
}<br />
}<br />
<br />
== '''D'''estination NAT und Portforwarding ==<br />
<br />
* Ein Webserver in der DMZ soll öffentlich erreichbar sein<br />
* Das Internet kennt aber nur unsere WAN IP<br />
* Wir erwarten, dass solche Anfragen auf Port 80/443 an unsere Firewall ankommen<br />
* Die Zieladresse soll dann in der Prerouting Kette auf die des Webserver umgeschrieben werden<br />
* Dadurch geht das Paket in die Forward Kette anstatt der Input Kette<br />
* Also muss dort die entsprechende Regel zum Freischalten stehen<br />
<br />
#!/usr/sbin/nft -f<br />
<br />
flush ruleset<br />
define wandev = enp0s3<br />
define landev = enp0s8<br />
define dmzdev = enp0s9<br />
define lan = 192.168.0.0/24<br />
define dmz = 10.0.1''xx''.0/24<br />
'''define wanip = 172.RNr.1.1''xx'''''<br />
'''define webserver = 10.0.1''xx''.2'''<br />
<br />
table inet filter {<br />
chain input {<br />
type filter hook input priority filter; policy drop;<br />
iif "lo" accept<br />
ct state established,related accept<br />
iif $landev tcp dport 22 accept<br />
log prefix "--nftables-drop-input--"<br />
}<br />
chain forward {<br />
type filter hook forward priority filter; policy drop;<br />
ct state established,related accept<br />
iif { $dmzdev, $landev } ip saddr { $dmz, $lan } udp dport 53 oif { $dmzdev, $wandev } accept<br />
iif $landev ip saddr $lan tcp dport { 80, 443 } oif $wandev accept<br />
'''ip daddr $webserver tcp dport 80 accept'''<br />
log prefix "--nftables-drop-forward--"<br />
}<br />
chain output {<br />
type filter hook output priority filter; policy drop;<br />
ct state established,related accept<br />
oif $wandev tcp dport { 80, 443 } accept<br />
log prefix "--nftables-drop-output--"<br />
}<br />
}<br />
table inet nat {<br />
'''chain prerouting {'''<br />
'''type nat hook prerouting priority 0; policy accept;'''<br />
'''ip daddr $wanip tcp dport 80 dnat ip to $webserver:80'''<br />
'''}'''<br />
<br />
chain postrouting {<br />
type nat hook postrouting priority srcnat; policy accept;<br />
oif $wandev masquerade<br />
}<br />
}<br />
<br />
* '''systemctl restart nftables'''<br />
* Der DNS Server soll uns erstmal auch als Webserver dienen<br />
* '''apt install apache2'''<br />
* Im Browser sollten die Webserver über die IPs der Firewalls erreichbar sein<br />
<br />
== Debug Möglichkeiten ==<br />
<br />
* Falls sich die Firewall nicht so verhält wie erwartet, kann man:<br />
** Connection Tracking Tabelle leeren/flushen: '''conntrack -F'''<br />
** Über '''tail -f -n0 /var/log/syslog | grep nftables''' gedroppte Pakete anschauen (wenn die Log Regeln da sind)<br />
** NAT Regeln überprüfen: '''tcpdump -i ''interface'' ''filter'''''<br />
** Auf Syntaxfehler überprüfen: '''nft -cf /etc/nftables.conf'''<br />
<br />
= LDAP Server einrichten =<br />
<br />
{{#drawio:ul-tag-3}}<br />
<br />
* ein LDAP Server ermöglicht uns zentrale Benutzerverwaltung innerhalb einer Domäne<br />
* die Benutzerdaten werden in einer Datenbank gespeichert und von Clients über '''TCP Port 389''' befragt<br />
* eine neue VM vom Template klonen und Grundeinstellungen vornehmen:<br />
# Hostname auf ''ldap'' setzen<br />
# statische IP vergeben<br />
# SSH Schlüssel hinterlegen<br />
# Eintrag im DNS Server vornehmen<br />
* eventuell muss auf der Firewall Port 80 und 443 für die DMZ freigeschaltet werden, damit die Pakete heruntergeladen werden können<br />
* [[LDAP]]<br />
* [[Openldap Basic Config common]]<br />
<br />
= [[HAProxy]] für zentrale SSL Terminierung =<br />
<br />
{{#drawio:ul-tag-4}}<br />
<br />
* Im Moment ist nur SSH verschlüsselt<br />
* Pakete von HTTP Verbindungen zwischen den LAN und DMZ werden im Klartext verschickt<br />
* '''Problem''': Jemand der den Verkehr mitscheidet, kann alles lesen<br />
* '''Lösung''': Upgrade auf HTTPS mit [[Grundlagen Kryptografie | Zertifikaten]]<br />
* [[SFTP-Server]] für den sicheren Transfer der Zertifikatsanträge<br />
* eine neue VM vom Template klonen und Grundeinstellungen vornehmen:<br />
# Hostname auf ''haproxy'' setzen<br />
# statische IP vergeben '''10.0.1''xx''.2'''<br />
# SSH Schlüssel hinterlegen<br />
# Eintrag im DNS Server vornehmen<br />
# signiertes Wildcard-Zertifikat rüberkopieren<br />
# privaten Zertifikatsschlüssel rüberkopieren<br />
<br />
* Signiertes Zertifikat vom SFTP Server holen<br />
* '''sftp -P 9922 cert_req@172.RNr.1.100'''<br />
* '''get cert/lab1''xx''.nux.crt'''<br />
* Auf dem HAProxy die ''server.pem'' Datei erstellen<br />
* '''cat lab1''xx''.nux.key lab1''xx''.nux.crt > /etc/haproxy/server.pem'''<br />
* '''vim /etc/haproxy/haproxy.cfg'''<br />
<br />
frontend https_web_services<br />
bind 10.0.1''xx''.2:443 name localhost_443 ssl crt /etc/haproxy/server.pem<br />
timeout client 50000<br />
mode http<br />
acl acl_web1 hdr_beg(host) -i web1<br />
acl acl_web2 hdr_beg(host) -i web2<br />
use_backend backend_web1 if acl_web1<br />
use_backend backend_web2 if acl_web2<br />
default_backend http_backend<br />
<br />
#frontend https_frontend<br />
# bind 10.0.1''xx''.2:443 name localhost_443 ssl crt /etc/haproxy/server.pem<br />
# timeout client 50000<br />
# default_backend http_backend<br />
<br />
backend backend_web1<br />
timeout connect 5000<br />
timeout server 50000<br />
mode http<br />
server web_dns 10.0.1''xx''.2:80 check<br />
<br />
backend backend_web2<br />
timeout connect 5000<br />
timeout server 50000<br />
mode http<br />
server web_ldap 10.0.1''xx''.3:80 check<br />
<br />
backend http_backend<br />
mode http<br />
balance roundrobin<br />
timeout connect 5000<br />
timeout server 50000<br />
server web_dns_2 10.0.1''xx''.2:80 check<br />
server web_ldap_2 10.0.1''xx''.3:80 check<br />
<br />
* '''systemctl restart haproxy'''<br />
<br />
= [[Squid erste Schritte|Squid]] Proxy auf der Firewall =<br />
<br />
* [[Squid ACL Basic]]<br />
* [[Iptables mit Squid Transparenter Proxy]]<br />
* Mehr Kontrolle über die Domains, die LAN erreichen darf<br />
* '''vim /etc/squid/squid.conf'''<br />
acl facebook url_regex -i facebook<br />
<br />
http_access deny facebook<br />
http_access allow all<br />
<br />
#nativer Zugriff<br />
http_port 3128 ssl-bump cert=/etc/squid/certs/squid_proxyCA.pem generate-host-certificates=on options=NO_SSLv3,NO_TLSv1,NO_TLSv1_1,SINGLE_DH_USE,SINGLE_ECDH_USE<br />
#transparenter Zugriff unverschlüsselt<br />
http_port 3128 intercept<br />
#transparenter Zugriff verschlüsselt '''wichtig https_port'''<br />
https_port 3129 ssl-bump intercept cert=/etc/squid/certs/squid_proxyCA.pem generate-host-certificates=on options=NO_SSLv3,NO_TLSv1,NO_TLSv1_1,SINGLE_DH_USE,SINGLE_ECDH_USE<br />
<br />
ssl_bump bump all<br />
<br />
coredump_dir /var/spool/squid<br />
logfile_rotate 0<br />
<br />
cache_dir ufs /var/spool/squid 200 16 256<br />
* '''vim /etc/squid/squid.conf'''<br />
<br />
...<br />
'''acl domain_blacklist dstdomain "/etc/squid/domain_blacklist.txt"'''<br />
...<br />
'''http_access deny all domain_blacklist'''<br />
http_access allow localnet<br />
...<br />
<br />
* '''vim /etc/squid/domain_blacklist.txt'''<br />
<br />
facebook.com<br />
twitter.com<br />
<br />
* '''systemctl restart squid'''<br />
<br />
{{#drawio:ul-tag-5}}<br />
<br />
= Festplatten verschlüsseln =<br />
<br />
; Das Verschlüsseln mit '''cryptsetup''' löscht alle vorherigen Daten der Festplatte<br />
* Neue Festplatte in VirtualBox erstellen und anhängen<br />
* zu verschlüsselnde Partition anlegen<br />
* '''fdisk /dev/sdX'''<br />
* '''cryptsetup luksFormat /dev/sdXx'''<br />
* '''cryptsetup open /dev/sdXx ''name'' '''<br />
* Dateisystem auf der entschlüsselten Partition anlegen<br />
* '''mkfs.ext4 /dev/mapper/''name'' '''<br />
* beliebige Testdatei erstellen<br />
* '''echo "Hallo Welt" > encrypted.txt'''<br />
* Nach Benutzen der Partition wieder verschlüsseln<br />
* '''cryptsetup close name'''<br />
<br />
= Separate VM für Monitoring/Scanning =<br />
<br />
# Hostname auf ''health'' setzen<br />
# statische IP vergeben '''10.0.1''xx''.4/24'''<br />
# SSH Schlüssel hinterlegen<br />
# Eintrag im DNS Server vornehmen<br />
<br />
= Checkmk =<br />
<br />
* Die Weboberfläche soll über [https://cmk.lab1xx.nux https://cmk.lab1''xx''.nux] erreichbar sein:<br />
** DNS Eintrag<br />
** HAProxy ACL<br />
<br />
* Download: https://checkmk.com/de/download?method=cmk&edition=cre&version=2.2.0b7&platform=debian&os=bullseye&type=cmk<br />
* Anweisungen der Webseite folgen<br />
* cmkadmin's Passwort auf 123Start$ ändern<br />
* Rechner ins Monitoring hinzufügen<br />
* AUR Paketmanager https://github.com/Jguer/yay</div>
Linkai.zhang
https://wiki.xinux.net/index.php?title=Unix-/Linux_Netz&diff=58650
Unix-/Linux Netz
2024-12-04T12:45:12Z
<p>Linkai.zhang: /* Destination NAT und Portforwarding */</p>
<hr />
<div>=Netzwerk der Schulung=<br />
<br />
* Die WAN-IP wird die 172.RNr.0.(100 + eigene Nr.)<br />
* Die '''D'''e'''m'''ilitarisierte '''Z'''one (DMZ) enthält Services, die von außen erreichbar sein sollen<br />
* Im LAN befindet sich unser Administratorrechner von dem wir unsere Rechner konfigurieren<br />
* Das LAN soll Verbindungen ins Internet initiieren können, aber nicht direkt von außen erreichbar sein<br />
<br />
{{#drawio:ul2}}<br />
<br />
;''xx'' in den folgenden Bildern durch die eigene Nummer ersetzen<br />
;Benutzername für virtuelle Maschinen ist ''xinux'' oder ''root''<br />
;Passwort ist immer 123Start$<br />
<br />
= Vorbereiten der Firewall =<br />
<br />
{{#drawio:ul-tag-0}}<br />
<br />
* Wir klonen den Rechner "Server Vorlage" und nennen ihn "Firewall"<br />
* Dieser braucht 3 Netzwerkadapter:<br />
# Netzwerkbrücke<br />
# Internes Netzwerk "LAN"<br />
# Internes Netzwerk "DMZ"<br />
* Wir starten die Firewall und konfigurieren statische IP Adressen für alle 3 Netzwerkadapter<br />
* '''vim /etc/network/interfaces'''<br />
<br />
auto lo<br />
iface lo inet loopback<br />
<br />
auto enp0s3<br />
iface enp0s3 inet static<br />
address 172.RNr.0.1''xx''/16<br />
gateway 172.RNr.0.1<br />
<br />
auto enp0s8<br />
iface enp0s8 inet static<br />
address 192.168.0.1/24<br />
<br />
auto enp0s9<br />
iface enp0s9 inet static<br />
address 10.0.1''xx''.1/24<br />
<br />
* Interfaces runter und wieder hochfahren, um die neue Konfiguration zu laden<br />
* '''ifdown -va'''<br />
* '''ifup -va'''<br />
* bzw.<br />
* '''systemctl restart networking'''<br />
* Danach sollte der Befehl '''ip address show''' (oder '''ip a''') die neuen IP Adressen anzeigen<br />
<br />
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000<br />
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00<br />
inet 127.0.0.1/8 scope host lo<br />
valid_lft forever preferred_lft forever<br />
inet6 ::1/128 scope host <br />
valid_lft forever preferred_lft forever<br />
2: enp0s3: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1456 qdisc pfifo_fast state UP group default qlen 1000<br />
link/ether 08:00:27:9b:79:a1 brd ff:ff:ff:ff:ff:ff<br />
inet '''172.RNr.1.1''xx''/16''' brd 172.22.255.255 scope global enp0s3<br />
valid_lft forever preferred_lft forever<br />
inet6 2003:e5:173a:c401:a00:27ff:fe9b:79a1/64 scope global dynamic mngtmpaddr <br />
valid_lft 7134sec preferred_lft 1215sec<br />
inet6 fe80::a00:27ff:fe9b:79a1/64 scope link <br />
valid_lft forever preferred_lft forever<br />
3: enp0s8: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000<br />
link/ether 08:00:27:15:03:b7 brd ff:ff:ff:ff:ff:ff<br />
inet '''192.168.0.1/24''' brd 192.168.0.255 scope global enp0s8<br />
valid_lft forever preferred_lft forever<br />
inet6 fe80::a00:27ff:fe15:3b7/64 scope link <br />
valid_lft forever preferred_lft forever<br />
4: enp0s9: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000<br />
link/ether 08:00:27:31:01:09 brd ff:ff:ff:ff:ff:ff<br />
inet '''10.0.1''xx''.1/24''' brd 10.0.100.255 scope global enp0s9<br />
valid_lft forever preferred_lft forever<br />
inet6 fe80::a00:27ff:fe31:109/64 scope link <br />
valid_lft forever preferred_lft forever<br />
<br />
= Workstation im LAN zum Systemadministrator machen =<br />
<br />
* Den Netzwerkadapter von VM "LAN Host" auf "Internes Netzwerk LAN" umstellen und die VM starten<br />
* Wenn wir unsere Netzwerkkonfiguration anschauen, dann sehen wir keine IP Adresse, da noch kein DHCP läuft<br />
* Deshalb geben wir uns eine temporäre IP, um per SSH auf die Firewall zu kommen<br />
* '''systemctl stop NetworkManager'''<br />
* '''ip address add 192.168.0.2/24 dev enp0s3'''<br />
* Nun können wir die Firewall per SSH erreichen<br />
* '''ssh xinux@192.168.0.1'''<br />
* als erstes ändern wir den hostnamen der Firewall von ''debian'' zu ''firewall''<br />
* '''sudo -i'''<br />
* '''hostnamectl set-hostname fw''xx'' '''<br />
* '''vim /etc/hosts'''<br />
<br />
127.0.0.1 localhost<br />
127.0.1.1 '''fw''xx'' '''<br />
...<br />
<br />
* Ein erneutes einloggen updatet den Namen im Prompt<br />
* als nächstes installieren wir einen [[DHCP]] Server, um Rechnern im LAN automatisch eine Netzwerkkonfiguration zu geben<br />
* '''apt install isc-dhcp-server'''<br />
* Am Ende der Installation wird es eine Fehlermeldung geben, da systemd versucht den Dienst zu starten, obwohl noch keine Konfiguration da ist<br />
* '''vim /etc/default/isc-dhcp-server'''<br />
<br />
DHCPDv4_CONF=/etc/dhcp/dhcpd.conf<br />
INTERFACESv4="enp0s8"<br />
<br />
* '''vim /etc/dhcp/dhcpd.conf'''<br />
<br />
option domain-name-servers 1.1.1.1;<br />
default-lease-time 600;<br />
max-lease-time 7200;<br />
authoritative;<br />
<br />
subnet 192.168.0.0 netmask 255.255.255.0 {<br />
range 192.168.0.50 192.168.0.100;<br />
option routers 192.168.0.1;<br />
}<br />
<br />
# Feste IP-Adresse für eine bestimmte MAC-Adresse<br />
host controller {<br />
hardware ethernet ''MAC Adresse vom Arch'';<br />
fixed-address 192.168.0.2;<br />
option routers 192.168.0.1;<br />
}<br />
<br />
* Dienst mit der neuen Konfiguration starten und überprüfen<br />
* '''systemctl restart isc-dhcp-server'''<br />
* '''systemctl status isc-dhcp-server'''<br />
* Beim Neustart von Arch sollte dann automatisch die ''192.168.0.2'' bekommen (falls nicht MAC-Adresse überprüfen)<br />
<br />
= Firewall als Router konfigurieren =<br />
<br />
* Im Moment verwirft die Firewall alle Pakete mit IP-Adressen, die nicht für ihn selbst bestimmt sind<br />
* Um die Pakete uns Default-Gateway weiterzuleiten muss der Kernelparameter ''net.ipv4.ip_forward'' gesetzt sein<br />
* Temporär (bleibt nicht nach einem Reboot):<br />
**'''sysctl -w net.ipv4.ip_forward=1''' ''# Einschalten''<br />
**'''sysctl -w net.ipv4.ip_forward=0''' ''# Ausschalten''<br />
* Für eine persistente Konfiguration muss dieser Parameter in der die Datei ''/etc/sysctl.conf'' stehen<br />
* '''vim /etc/sysctl.conf'''<br />
<br />
...<br />
<br />
# Uncomment the next line to enable packet forwarding for IPv4<br />
net.ipv4.ip_forward=1<br />
...<br />
<br />
* '''sysctl -p'''<br />
<br />
net.ipv4.ip_forward = 1<br />
<br />
* '''S'''ource '''N'''etwork '''A'''ddress '''T'''ranslation muss noch geschehen, damit die Pakete mit IP Adressen aus einem privaten Netzwerk den Weg zurück finden<br />
* '''vim /etc/nftables.conf'''<br />
<br />
#!/usr/sbin/nft -f<br />
<br />
flush ruleset<br />
<br />
table inet filter {<br />
chain input {<br />
type filter hook input priority 0;<br />
}<br />
chain forward {<br />
type filter hook forward priority 0;<br />
}<br />
chain output {<br />
type filter hook output priority 0;<br />
}<br />
}<br />
<br />
table inet nat {<br />
chain postrouting {<br />
type nat hook postrouting priority 100; policy accept;<br />
oif enp0s3 masquerade<br />
}<br />
}<br />
<br />
* '''systemctl restart nftables'''<br />
* '''systemctl enable nftables'''<br />
<br />
<br />
= SSH Schlüssel für passwortloses Login =<br />
<br />
== LAN ==<br />
<br />
* Um nicht jedes mal das Passwort beim Login eingeben zu müssen kann man sich stattdessen mit einem privaten Schlüssel authentifizieren<br />
* Wir erstellen einen Schlüssel mit RSA Verschlüsselung und erstmal ohne Passwortabfrage für den Benutz des Schlüssels<br />
* '''ssh-keygen''' ''# 123Start$ als Passwort nehmen''<br />
* '''ssh-copy-id xinux@192.168.0.1'''<br />
* bzw.<br />
* '''scp ~/.ssh/id_rsa.pub xinux@192.168.0.1:~/.ssh/authorized_keys'''<br />
* In der ''authorized_keys'' Datei können mehrere öffentliche Schlüssel stehen (pro Zeile ein Schlüssel)<br />
* Es ist üblich SSH Login über Passwörter komplett auszuschalten sobald die SSH Schlüssel von den zugangsberechtigten Benutzern hinterlegt sind<br />
* Normalerweise sind die Schlüssel passwortgeschützt.<br />
* Damit man nicht jedes mal das Passwort dafür eingeben muss kann man einen [[SSH Agent]] nutzen<br />
<br />
== Firewall ==<br />
<br />
* Wir wollen uns direkt als root einloggen können, weshalb die '''authorized_keys''' Datei auch im Home-Verzeichnis des root-Nutzers liegen muss<br />
* '''sudo -i'''<br />
* '''mkdir ''.ssh'' '''<br />
* '''cp ''~xinux/.ssh/authorized_keys'' ''.ssh/'' '''<br />
* Um den SSH-Server abszusichern können wir den Port verlegen und nur schlüsselbasiertes Einloggen zulassen<br />
* '''vim ''/etc/ssh/sshd_config'' '''<br />
<br />
Port 2222<br />
AddressFamily inet<br />
ListenAddress 192.168.0.1<br />
PubkeyAuthentication yes<br />
PasswordAuthentication no<br />
UsePAM no<br />
<br />
* '''systemctl restart sshd'''<br />
<br />
== LAN ==<br />
<br />
* Nun sollten wir uns direkt als root anmelden können <br />
* '''ssh -p 2222 root@192.168.0.1 "id && hostname"'''<br />
* Um die Ameldung einfacher zu gestalten können wir unseren SSH-Client konfigurieren<br />
* '''vim ''~/.ssh/config'' '''<br />
<br />
Host fw''xx''<br />
Hostname 192.168.0.1<br />
User root<br />
Port 2222<br />
<br />
* Jetzt kann man den Befehl folgendermaßen verkürzen:<br />
* '''ssh fw''xx'' '''<br />
<br />
= DHCP erweitern =<br />
<br />
* Um neue Rechner in der DMZ automatisch über LAN administrierbar zu machen, erweitern wir den DHCP Server auf der Firewall<br />
* '''vim /etc/default/isc-dhcp-server<br />
<br />
DHCPDv4_CONF=/etc/dhcp/dhcpd.conf<br />
INTERFACESv4="enp0s8 '''enp0s9'''"<br />
<br />
* Die Subnetzdefinitionen folgen der Reihenfolge der Interfaces in ''/etc/default/isc-dhcp-server''<br />
* '''vim /etc/dhcp/dhcpd.conf'''<br />
<br />
default-lease-time 600;<br />
max-lease-time 7200;<br />
authoritative;<br />
<br />
subnet 192.168.0.0 netmask 255.255.255.0 {<br />
range 192.168.0.50 192.168.0.100;<br />
option routers 192.168.0.1;<br />
}<br />
<br />
'''subnet 10.0.1''xx''.0 netmask 255.255.255.0 {'''<br />
'''range 10.0.1''xx''.50 10.0.1''xx''.100;'''<br />
'''option routers 10.0.1''xx''.1;'''<br />
'''}'''<br />
<br />
# Feste IP-Adresse für eine bestimmte MAC-Adresse<br />
host controller {<br />
hardware ethernet MAC Adresse vom Arch;<br />
fixed-address 192.168.0.2;<br />
option routers 192.168.0.1;<br />
}<br />
<br />
* '''systemctl restart isc-dhcp-server'''<br />
<br />
= [[DNS]] Server =<br />
<br />
{{#drawio:ul-tag-1}}<br />
<br />
== Virtualbox ==<br />
* Ein Klon von "Server Vorlage" mit Netzwerkadapter im internen Netzwerk "DMZ" erstellen<br />
* Über die Systemlogs für '''DHCP''' auf der '''Firewall''' können wir die IP Adresse des DNS-Servers herausfinden<br />
<br />
== Firewall ==<br />
* '''journalctl -u isc-dhcp-server'''<br />
* Zurück zu Arch wechseln und über SSH auf den DNS Server einloggen<br />
* '''ssh xinux@10.0.''(100 + eigene Nr.).'' ''yy'' '''<br />
<br />
== DNS ==<br />
* Anschließend die IP Adresse in ''/etc/network/interfaces'' konfigurieren: 10.0.''(100 + eigene Nr.)''.2<br />
* Hostname auf DNS: setzen (in ''/etc/hosts'' auch umändern)<br />
* SSH Schlüssel hinterlegen<br />
* Bind9 installieren<br />
* '''vim /etc/resolv.conf'''<br />
<br />
nameserver 1.1.1.1<br />
<br />
* '''apt install bind9'''<br />
* '''vim /etc/resolv.conf'''<br />
<br />
nameserver 127.0.0.1<br />
<br />
== Optionen festlegen ==<br />
<br />
* '''vim /etc/bind/named.conf.options'''<br />
<br />
options {<br />
directory "/var/cache/bind";<br />
dnssec-validation no;<br />
allow-recursion { 0.0.0.0/0; };<br />
};<br />
<br />
== Zone definieren ==<br />
<br />
* '''vim /etc/bind/named.conf.local'''<br />
<br />
zone "lab(100 + eigene Nr.).nux" {<br />
type master;<br />
file "lab(100 + eigene Nr.).nux";<br />
};<br />
<br />
== Zonendatei erstellen ==<br />
<br />
* '''vim /var/cache/bind/lab(100 + eigene Nr.).nux'''<br />
<br />
$TTL 300<br />
@ IN SOA dns.lab''(100 + eigene Nr.)''.nux. technik.xinux.de. (''(Datum + Ver.nr.)'' 14400 3600 3600000 86400)<br />
IN NS dns<br />
dns IN A 10.0.(100 + eigene Nr.).2<br />
fw IN A 10.0.(100 + eigene Nr.).1<br />
<br />
* Dienst neustarten und testen<br />
* '''systemctl restart bind9'''<br />
* '''dig +short dns.lab1''xx''.nux'''<br />
* '''dig +short fw.lab1''xx''.nux'''<br />
<br />
== '''D'''estination NAT und Portforwarding ==<br />
<br />
* Der DNS-Server in der DMZ soll öffentlich erreichbar sein<br />
* Das Internet kennt aber nur unsere WAN IP<br />
* Wir erwarten, dass solche Anfragen auf Port 53 UDP/TCP an unsere Firewall ankommen<br />
* Die Zieladresse soll dann in der Prerouting Kette auf die des Webserver umgeschrieben werden<br />
* Dadurch geht das Paket in die Forward Kette anstatt der Input Kette<br />
* Also muss dort die entsprechende Regel zum Freischalten stehen<br />
<br />
#!/usr/sbin/nft -f<br />
<br />
flush ruleset<br />
'''define wanip = 172.RNr.0.1''xx'' '''<br />
'''define dnsserver = 10.0.1''xx''.2'''<br />
<br />
table inet filter {<br />
chain input {<br />
type filter hook input priority filter;<br />
}<br />
chain forward {<br />
type filter hook forward priority filter;<br />
}<br />
chain output {<br />
type filter hook output priority filter;<br />
}<br />
}<br />
table inet nat {<br />
'''chain prerouting {'''<br />
'''type nat hook prerouting priority -100; policy accept;'''<br />
'''ip daddr $wanip tcp dport 53 dnat ip to $dnsserver:53'''<br />
'''ip daddr $wanip udp dport 53 dnat ip to $dnsserver:53'''<br />
'''}'''<br />
<br />
chain postrouting {<br />
type nat hook postrouting priority 100; policy accept;<br />
oif $wandev masquerade<br />
}<br />
}<br />
<br />
* '''systemctl restart nftables'''<br />
<br />
= Auflösen anderer Domänen über eine Pseudo Top Level Domain =<br />
<br />
== Dienst neustarten und DNS-Auflösung testen ==<br />
<br />
* '''systemctl restart bind9'''<br />
* '''dig +short dns.lab(100 + eigene Nr.).nux'''<br />
* '''dig +short xinux.net'''<br />
* Wenn das funktioniert dann den DNS Server im DHCP Server als Standard DNS Server und Suchdomäne eintragen (zur Firewall wechseln)<br />
* '''vim /etc/dhcp/dhcpd.conf'''<br />
<br />
option domain-name "lab(100 + eigene Nr.).nux";<br />
option domain-name-servers 10.0.''(100 + eigene Nr.)''.2;<br />
...<br />
<br />
* '''systemctl restart isc-dhcp-server'''<br />
* Arch neustarten und in ''/etc/resolv.conf'' nachschauen, ob die neue Konfiguration automatisch gezogen wurde<br />
* bzw.<br />
* '''systemctl restart NetworkManager'''<br />
<br />
= Bind9 Forwarder eintragen =<br />
<br />
== DNS Server der ''.nux''-Domain ==<br />
* Wenn jeder die DMZ der anderen erreichen kann, ist es möglich über eine Top Level Domain die anderen Domänen aufzulösen<br />
* Dazu muss man auf den '''DNS Server''' einen vorkonfigurierten Pseudo Top Level Domain Nameserver als '''Forwarder''' eintragen<br />
* '''vim /etc/bind/named.conf.options'''<br />
<br />
...<br />
forwarders { 172.RNr.0.100; }; //IP des Top Level Domain Nameservers<br />
...<br />
<br />
* Wenn man die Reverse Zone später auch auflösen will braucht man diese Zeile<br />
* '''vim /etc/bind/named.conf.options'''<br />
<br />
...<br />
empty-zones-enable no;<br />
...<br />
<br />
* '''systemctl restart bind9'''<br />
* Einmal alle Domänen durchtesten<br />
* '''dig +short dns.lab''1xx''.nux'''<br />
* '''ping fw.lab''1xx''.nux'''<br />
<br />
== Pseudo ''.nux'' Domain Server ==<br />
<br />
* '''vim /etc/bind/named.conf.options'''<br />
<br />
options {<br />
directory "/var/cache/bind";<br />
empty-zones-enable no;<br />
allow-recursion { 0.0.0.0/0; };<br />
allow-query { 0.0.0.0/0; };<br />
dnssec-validation no;<br />
};<br />
* Zur Zonendefinition hinzufügen<br />
* '''vim /etc/bind/named.conf.local'''<br />
<br />
zone "nux" {<br />
type master;<br />
file "nux";<br />
};<br />
zone "0.10.in-addr.arpa" {<br />
type master;<br />
file "0.10.in-addr.arpa";<br />
};<br />
...<br />
* Zonendateien<br />
* '''vim /var/cache/bind/nux'''<br />
<br />
$TTL 300<br />
@ IN SOA dns.nux. technik.xinux.de. (2023041809 14400 3600 3600000 86400)<br />
<br />
@ IN NS dns.nux.<br />
lab101 NS dns.lab101.nux.<br />
lab102 NS dns.lab102.nux.<br />
lab100 NS dns.nux.<br />
<br />
dns IN A 172.RNr.0.100<br />
dns.lab101 A 172.RNr.0.1''xx''<br />
dns.lab102 A 172.RNr.0.1''xy''<br />
<br />
= Reverse Lookup =<br />
<br />
* Für manche Dienste muss einer IP einen Domain Namen zugeordnet werden<br />
* Dazu eine neue Zone definieren und eine neue Zonendatei erstellen<br />
* '''vim /etc/bind/named.conf.local'''<br />
<br />
zone "100.0.10.in-addr.arpa" {<br />
type master;<br />
file "100.0.10.in-addr.arpa";<br />
};<br />
<br />
* '''vim 100.0.10.in-addr.arpa'''<br />
<br />
$TTL 300<br />
@ IN SOA dns.lab100.nux. technik.xinux.de. (2023050901 14400 3600 3600000 86400)<br />
IN NS dns.lab100.nux.<br />
1 IN PTR fw.lab100.nux.<br />
2 IN PTR dns.lab100.nux.<br />
<br />
* '''systemctl restart bind9'''<br />
<br />
= Netz absichern =<br />
<br />
* Im Moment darf jeder auf die Firewall von jeden zugreifen (und damit alle dahinterliegenden Systeme)<br />
* Um dies zu verhindern erstellen wir mit [[Nftables Netze absichern|nftables]] Firewall Regeln, die nur das nötigste zulassen<br />
* Die Regeln werden von oben nach unten abgearbeitet<br />
* Wenn keine Regel greift, dann zieht die ''Default Policy''<br />
<br />
; Prerouting, Input, Forward, Output und Postrouting sind Punkte an denen wir Regeln erstellen können<br />
<br />
{{#drawio:nft-inet1}}<br />
<br />
== Nur SSH aus LAN auf die Firewall zulassen ==<br />
<br />
* Default Policy wird in allen Filterketten auf Drop gesetzt<br />
* Wenn also keine Regel das Paket durchlässt, wird es verworfen<br />
* Über Connection Tracking können wir uns auf die Regulierung neuer Verbindungen fokussieren<br />
* Als erstes soll nur:<br />
** Die Firewall mit sich selbst über das loopback Interface kommunizieren können (da es sonst zu komischen Problemen führen kann)<br />
** ''Established'' und ''Related'' Pakete akzeptiert werden<br />
** Neue Anfragen aus dem LAN auf TCP Port 2222 akzeptieren<br />
** Firewall soll über HTTP bzw. HTTPS Programme herunterladen können<br />
** Gedroppte Pakete sollen geloggt werden<br />
* '''vim /etc/nftables.conf'''<br />
<br />
#!/usr/sbin/nft -f<br />
<br />
flush ruleset<br />
define wanip = 172.RNr.0.1xx <br />
define dnsserver = 10.0.1xx.2<br />
'''define wandev = enp0s3'''<br />
'''define landev = enp0s8'''<br />
'''define lan = 192.168.0.0/24'''<br />
<br />
table inet filter {<br />
chain input {<br />
type filter hook input priority filter; '''policy drop;'''<br />
'''iif "lo" accept'''<br />
'''ct state established,related accept'''<br />
'''iif $landev tcp dport 2222 accept'''<br />
'''log prefix "--nftables-drop-input--"'''<br />
}<br />
chain forward {<br />
type filter hook forward priority filter; '''policy drop;'''<br />
'''ct state established,related accept'''<br />
'''log prefix "--nftables-drop-forward--"'''<br />
}<br />
chain output {<br />
type filter hook output priority filter; '''policy drop;'''<br />
'''oif "lo" accept'''<br />
'''ct state established,related accept'''<br />
'''oif $wandev tcp dport { 80, 443 } accept'''<br />
'''log prefix "--nftables-drop-output--"'''<br />
}<br />
}<br />
table inet nat {<br />
chain prerouting {<br />
type nat hook prerouting priority -100; policy accept;<br />
ip daddr $wanip tcp dport 53 dnat ip to $dnsserver:53<br />
ip daddr $wanip udp dport 53 dnat ip to $dnsserver:53<br />
}<br />
<br />
chain postrouting {<br />
type nat hook postrouting priority srcnat; policy accept;<br />
oif $wandev masquerade<br />
}<br />
}<br />
<br />
* '''systemctl restart nftables'''<br />
<br />
== Internetzugriff für LAN und Firewall ==<br />
<br />
* '''vim ''/etc/nftables.conf'' '''<br />
#!/usr/sbin/nft -f<br />
<br />
flush ruleset<br />
<br />
define wanip = 172.22.0.1xx<br />
define dnsserver = 10.0.1xx.2<br />
define wandev = "enp0s3"<br />
define landev = "enp0s8"<br />
define dmzdev = "enp0s9"<br />
define lan = 192.168.0.0/24<br />
define dmz = 10.0.1xx.0/24<br />
<br />
table inet filter {<br />
chain input {<br />
type filter hook input priority 0; policy drop;<br />
ct state { "established", "related" } accept<br />
iif "lo" accept<br />
iif $landev ip saddr $lan tcp dport 2222 accept<br />
icmp type echo-request accept<br />
log prefix "--nftables-drop-input--"<br />
}<br />
chain forward {<br />
type filter hook forward priority 0; policy drop;<br />
ct state { "established", "related" } accept<br />
icmp type echo-request accept<br />
iif $landev ip saddr $lan oif $dmzdev ip daddr $dnsserver udp dport 53 accept<br />
iif $wandev ip daddr $dnsserver tcp dport 53 accept<br />
iif $wandev ip daddr $dnsserver udp dport 53 accept<br />
iif $dmzdev ip saddr $dnsserver tcp dport 53 accept<br />
iif $dmzdev ip saddr $dnsserver udp dport 53 accept<br />
oif $wandev tcp dport { 80, 443 } accept<br />
iif $landev ip saddr $lan oif $dmzdev ip daddr $dmz tcp dport 22 accept<br />
log prefix "--nftables-drop-forward--"<br />
}<br />
chain output {<br />
type filter hook output priority 0; policy drop;<br />
ct state { "established", "related" } accept<br />
icmp type echo-request accept<br />
udp dport 53 accept<br />
oif $wandev tcp dport { 80, 443 } accept<br />
log prefix "--nftables-drop-output--"<br />
}<br />
}<br />
<br />
table inet nat {<br />
chain prerouting {<br />
type nat hook prerouting priority -100; policy accept;<br />
ip daddr $wanip tcp dport 53 dnat ip to $dnsserver:53<br />
ip daddr $wanip udp dport 53 dnat ip to $dnsserver:53<br />
}<br />
chain postrouting {<br />
type nat hook postrouting priority 100; policy accept;<br />
oif $wandev masquerade<br />
}<br />
}<br />
<br />
* '''systemctl restart nftables'''<br />
<br />
== '''C'''onnection '''T'''racking '''T'''abelle ==<br />
<br />
* Das Tool '''conntrack''' installieren, um die CTT anschauen und leeren zu können<br />
* '''apt install conntrack'''<br />
* '''conntrack -F''' ''# Leert die Tabelle''<br />
* '''conntrack -L'''<br />
<br />
tcp 6 432000 ESTABLISHED src=192.168.0.2 dst=192.168.0.2 sport=58178 dport=22 src=192.168.0.1 dst=192.168.0.2 sport=22 dport=58178 [ASSURED] mark=0 use=1<br />
<br />
= Webserver =<br />
<br />
{{#drawio:ul-tag-2}}<br />
<br />
* Rechnern im LAN sollen Webseiten aufrufen können<br />
* unsere DNS Server sollten andere Server im Internet und in den anderen DMZs befragen dürfen<br />
* d.h. UDP Port 53 aus LAN und DMZ und TCP Ports 80 und 443 für LAN sollten freigeschalten werden<br />
* '''vim /etc/nftables.conf'''<br />
<br />
#!/usr/sbin/nft -f<br />
<br />
flush ruleset<br />
define wandev = enp0s3<br />
define landev = enp0s8<br />
'''define dmzdev = enp0s9'''<br />
define lan = 192.168.0.0/24<br />
'''define dmz = 10.0.1''xx''.0/24'''<br />
<br />
table inet filter {<br />
chain input {<br />
type filter hook input priority filter; policy drop;<br />
iif "lo" accept<br />
ct state established,related accept<br />
iif $landev tcp dport 22 accept<br />
log prefix "--nftables-drop-input--"<br />
}<br />
chain forward {<br />
type filter hook forward priority filter; policy drop;<br />
ct state established,related accept<br />
'''iif { $dmzdev, $landev } ip saddr { $dmz, $lan } udp dport 53 oif { $dmzdev, $wandev } accept'''<br />
'''iif $landev ip saddr $lan tcp dport { 80, 443 } oif $wandev accept'''<br />
log prefix "--nftables-drop-forward--"<br />
}<br />
chain output {<br />
type filter hook output priority filter; policy drop;<br />
ct state established,related accept<br />
oif $wandev tcp dport { 80, 443 } accept<br />
log prefix "--nftables-drop-output--"<br />
}<br />
<br />
table inet nat {<br />
chain postrouting {<br />
type nat hook postrouting priority srcnat; policy accept;<br />
oif $wandev masquerade<br />
}<br />
}<br />
}<br />
<br />
== '''D'''estination NAT und Portforwarding ==<br />
<br />
* Ein Webserver in der DMZ soll öffentlich erreichbar sein<br />
* Das Internet kennt aber nur unsere WAN IP<br />
* Wir erwarten, dass solche Anfragen auf Port 80/443 an unsere Firewall ankommen<br />
* Die Zieladresse soll dann in der Prerouting Kette auf die des Webserver umgeschrieben werden<br />
* Dadurch geht das Paket in die Forward Kette anstatt der Input Kette<br />
* Also muss dort die entsprechende Regel zum Freischalten stehen<br />
<br />
#!/usr/sbin/nft -f<br />
<br />
flush ruleset<br />
define wandev = enp0s3<br />
define landev = enp0s8<br />
define dmzdev = enp0s9<br />
define lan = 192.168.0.0/24<br />
define dmz = 10.0.1''xx''.0/24<br />
'''define wanip = 172.RNr.1.1''xx'''''<br />
'''define webserver = 10.0.1''xx''.2'''<br />
<br />
table inet filter {<br />
chain input {<br />
type filter hook input priority filter; policy drop;<br />
iif "lo" accept<br />
ct state established,related accept<br />
iif $landev tcp dport 22 accept<br />
log prefix "--nftables-drop-input--"<br />
}<br />
chain forward {<br />
type filter hook forward priority filter; policy drop;<br />
ct state established,related accept<br />
iif { $dmzdev, $landev } ip saddr { $dmz, $lan } udp dport 53 oif { $dmzdev, $wandev } accept<br />
iif $landev ip saddr $lan tcp dport { 80, 443 } oif $wandev accept<br />
'''ip daddr $webserver tcp dport 80 accept'''<br />
log prefix "--nftables-drop-forward--"<br />
}<br />
chain output {<br />
type filter hook output priority filter; policy drop;<br />
ct state established,related accept<br />
oif $wandev tcp dport { 80, 443 } accept<br />
log prefix "--nftables-drop-output--"<br />
}<br />
}<br />
table inet nat {<br />
'''chain prerouting {'''<br />
'''type nat hook prerouting priority 0; policy accept;'''<br />
'''ip daddr $wanip tcp dport 80 dnat ip to $webserver:80'''<br />
'''}'''<br />
<br />
chain postrouting {<br />
type nat hook postrouting priority srcnat; policy accept;<br />
oif $wandev masquerade<br />
}<br />
}<br />
<br />
* '''systemctl restart nftables'''<br />
* Der DNS Server soll uns erstmal auch als Webserver dienen<br />
* '''apt install apache2'''<br />
* Im Browser sollten die Webserver über die IPs der Firewalls erreichbar sein<br />
<br />
== Debug Möglichkeiten ==<br />
<br />
* Falls sich die Firewall nicht so verhält wie erwartet, kann man:<br />
** Connection Tracking Tabelle leeren/flushen: '''conntrack -F'''<br />
** Über '''tail -f -n0 /var/log/syslog | grep nftables''' gedroppte Pakete anschauen (wenn die Log Regeln da sind)<br />
** NAT Regeln überprüfen: '''tcpdump -i ''interface'' ''filter'''''<br />
** Auf Syntaxfehler überprüfen: '''nft -cf /etc/nftables.conf'''<br />
<br />
= LDAP Server einrichten =<br />
<br />
{{#drawio:ul-tag-3}}<br />
<br />
* ein LDAP Server ermöglicht uns zentrale Benutzerverwaltung innerhalb einer Domäne<br />
* die Benutzerdaten werden in einer Datenbank gespeichert und von Clients über '''TCP Port 389''' befragt<br />
* eine neue VM vom Template klonen und Grundeinstellungen vornehmen:<br />
# Hostname auf ''ldap'' setzen<br />
# statische IP vergeben<br />
# SSH Schlüssel hinterlegen<br />
# Eintrag im DNS Server vornehmen<br />
* eventuell muss auf der Firewall Port 80 und 443 für die DMZ freigeschaltet werden, damit die Pakete heruntergeladen werden können<br />
* [[LDAP]]<br />
* [[Openldap Basic Config common]]<br />
<br />
= [[HAProxy]] für zentrale SSL Terminierung =<br />
<br />
{{#drawio:ul-tag-4}}<br />
<br />
* Im Moment ist nur SSH verschlüsselt<br />
* Pakete von HTTP Verbindungen zwischen den LAN und DMZ werden im Klartext verschickt<br />
* '''Problem''': Jemand der den Verkehr mitscheidet, kann alles lesen<br />
* '''Lösung''': Upgrade auf HTTPS mit [[Grundlagen Kryptografie | Zertifikaten]]<br />
* [[SFTP-Server]] für den sicheren Transfer der Zertifikatsanträge<br />
* eine neue VM vom Template klonen und Grundeinstellungen vornehmen:<br />
# Hostname auf ''haproxy'' setzen<br />
# statische IP vergeben '''10.0.1''xx''.2'''<br />
# SSH Schlüssel hinterlegen<br />
# Eintrag im DNS Server vornehmen<br />
# signiertes Wildcard-Zertifikat rüberkopieren<br />
# privaten Zertifikatsschlüssel rüberkopieren<br />
<br />
* Signiertes Zertifikat vom SFTP Server holen<br />
* '''sftp -P 9922 cert_req@172.RNr.1.100'''<br />
* '''get cert/lab1''xx''.nux.crt'''<br />
* Auf dem HAProxy die ''server.pem'' Datei erstellen<br />
* '''cat lab1''xx''.nux.key lab1''xx''.nux.crt > /etc/haproxy/server.pem'''<br />
* '''vim /etc/haproxy/haproxy.cfg'''<br />
<br />
frontend https_web_services<br />
bind 10.0.1''xx''.2:443 name localhost_443 ssl crt /etc/haproxy/server.pem<br />
timeout client 50000<br />
mode http<br />
acl acl_web1 hdr_beg(host) -i web1<br />
acl acl_web2 hdr_beg(host) -i web2<br />
use_backend backend_web1 if acl_web1<br />
use_backend backend_web2 if acl_web2<br />
default_backend http_backend<br />
<br />
#frontend https_frontend<br />
# bind 10.0.1''xx''.2:443 name localhost_443 ssl crt /etc/haproxy/server.pem<br />
# timeout client 50000<br />
# default_backend http_backend<br />
<br />
backend backend_web1<br />
timeout connect 5000<br />
timeout server 50000<br />
mode http<br />
server web_dns 10.0.1''xx''.2:80 check<br />
<br />
backend backend_web2<br />
timeout connect 5000<br />
timeout server 50000<br />
mode http<br />
server web_ldap 10.0.1''xx''.3:80 check<br />
<br />
backend http_backend<br />
mode http<br />
balance roundrobin<br />
timeout connect 5000<br />
timeout server 50000<br />
server web_dns_2 10.0.1''xx''.2:80 check<br />
server web_ldap_2 10.0.1''xx''.3:80 check<br />
<br />
* '''systemctl restart haproxy'''<br />
<br />
= [[Squid erste Schritte|Squid]] Proxy auf der Firewall =<br />
<br />
* [[Squid ACL Basic]]<br />
* [[Iptables mit Squid Transparenter Proxy]]<br />
* Mehr Kontrolle über die Domains, die LAN erreichen darf<br />
* '''vim /etc/squid/squid.conf'''<br />
acl facebook url_regex -i facebook<br />
<br />
http_access deny facebook<br />
http_access allow all<br />
<br />
#nativer Zugriff<br />
http_port 3128 ssl-bump cert=/etc/squid/certs/squid_proxyCA.pem generate-host-certificates=on options=NO_SSLv3,NO_TLSv1,NO_TLSv1_1,SINGLE_DH_USE,SINGLE_ECDH_USE<br />
#transparenter Zugriff unverschlüsselt<br />
http_port 3128 intercept<br />
#transparenter Zugriff verschlüsselt '''wichtig https_port'''<br />
https_port 3129 ssl-bump intercept cert=/etc/squid/certs/squid_proxyCA.pem generate-host-certificates=on options=NO_SSLv3,NO_TLSv1,NO_TLSv1_1,SINGLE_DH_USE,SINGLE_ECDH_USE<br />
<br />
ssl_bump bump all<br />
<br />
coredump_dir /var/spool/squid<br />
logfile_rotate 0<br />
<br />
cache_dir ufs /var/spool/squid 200 16 256<br />
* '''vim /etc/squid/squid.conf'''<br />
<br />
...<br />
'''acl domain_blacklist dstdomain "/etc/squid/domain_blacklist.txt"'''<br />
...<br />
'''http_access deny all domain_blacklist'''<br />
http_access allow localnet<br />
...<br />
<br />
* '''vim /etc/squid/domain_blacklist.txt'''<br />
<br />
facebook.com<br />
twitter.com<br />
<br />
* '''systemctl restart squid'''<br />
<br />
{{#drawio:ul-tag-5}}<br />
<br />
= Festplatten verschlüsseln =<br />
<br />
; Das Verschlüsseln mit '''cryptsetup''' löscht alle vorherigen Daten der Festplatte<br />
* Neue Festplatte in VirtualBox erstellen und anhängen<br />
* zu verschlüsselnde Partition anlegen<br />
* '''fdisk /dev/sdX'''<br />
* '''cryptsetup luksFormat /dev/sdXx'''<br />
* '''cryptsetup open /dev/sdXx ''name'' '''<br />
* Dateisystem auf der entschlüsselten Partition anlegen<br />
* '''mkfs.ext4 /dev/mapper/''name'' '''<br />
* beliebige Testdatei erstellen<br />
* '''echo "Hallo Welt" > encrypted.txt'''<br />
* Nach Benutzen der Partition wieder verschlüsseln<br />
* '''cryptsetup close name'''<br />
<br />
= Separate VM für Monitoring/Scanning =<br />
<br />
# Hostname auf ''health'' setzen<br />
# statische IP vergeben '''10.0.1''xx''.4/24'''<br />
# SSH Schlüssel hinterlegen<br />
# Eintrag im DNS Server vornehmen<br />
<br />
= Checkmk =<br />
<br />
* Die Weboberfläche soll über [https://cmk.lab1xx.nux https://cmk.lab1''xx''.nux] erreichbar sein:<br />
** DNS Eintrag<br />
** HAProxy ACL<br />
<br />
* Download: https://checkmk.com/de/download?method=cmk&edition=cre&version=2.2.0b7&platform=debian&os=bullseye&type=cmk<br />
* Anweisungen der Webseite folgen<br />
* cmkadmin's Passwort auf 123Start$ ändern<br />
* Rechner ins Monitoring hinzufügen<br />
* AUR Paketmanager https://github.com/Jguer/yay</div>
Linkai.zhang
https://wiki.xinux.net/index.php?title=Unix-/Linux_Netz&diff=58647
Unix-/Linux Netz
2024-12-04T08:39:36Z
<p>Linkai.zhang: /* Nur SSH aus LAN auf die Firewall zulassen */</p>
<hr />
<div>=Netzwerk der Schulung=<br />
<br />
* Die WAN-IP wird die 172.RNr.0.(100 + eigene Nr.)<br />
* Die '''D'''e'''m'''ilitarisierte '''Z'''one (DMZ) enthält Services, die von außen erreichbar sein sollen<br />
* Im LAN befindet sich unser Administratorrechner von dem wir unsere Rechner konfigurieren<br />
* Das LAN soll Verbindungen ins Internet initiieren können, aber nicht direkt von außen erreichbar sein<br />
<br />
{{#drawio:ul2}}<br />
<br />
;''xx'' in den folgenden Bildern durch die eigene Nummer ersetzen<br />
;Benutzername für virtuelle Maschinen ist ''xinux'' oder ''root''<br />
;Passwort ist immer 123Start$<br />
<br />
= Vorbereiten der Firewall =<br />
<br />
{{#drawio:ul-tag-0}}<br />
<br />
* Wir klonen den Rechner "Server Vorlage" und nennen ihn "Firewall"<br />
* Dieser braucht 3 Netzwerkadapter:<br />
# Netzwerkbrücke<br />
# Internes Netzwerk "LAN"<br />
# Internes Netzwerk "DMZ"<br />
* Wir starten die Firewall und konfigurieren statische IP Adressen für alle 3 Netzwerkadapter<br />
* '''vim /etc/network/interfaces'''<br />
<br />
auto lo<br />
iface lo inet loopback<br />
<br />
auto enp0s3<br />
iface enp0s3 inet static<br />
address 172.RNr.0.1''xx''/16<br />
gateway 172.RNr.0.1<br />
<br />
auto enp0s8<br />
iface enp0s8 inet static<br />
address 192.168.0.1/24<br />
<br />
auto enp0s9<br />
iface enp0s9 inet static<br />
address 10.0.1''xx''.1/24<br />
<br />
* Interfaces runter und wieder hochfahren, um die neue Konfiguration zu laden<br />
* '''ifdown -va'''<br />
* '''ifup -va'''<br />
* bzw.<br />
* '''systemctl restart networking'''<br />
* Danach sollte der Befehl '''ip address show''' (oder '''ip a''') die neuen IP Adressen anzeigen<br />
<br />
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000<br />
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00<br />
inet 127.0.0.1/8 scope host lo<br />
valid_lft forever preferred_lft forever<br />
inet6 ::1/128 scope host <br />
valid_lft forever preferred_lft forever<br />
2: enp0s3: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1456 qdisc pfifo_fast state UP group default qlen 1000<br />
link/ether 08:00:27:9b:79:a1 brd ff:ff:ff:ff:ff:ff<br />
inet '''172.RNr.1.1''xx''/16''' brd 172.22.255.255 scope global enp0s3<br />
valid_lft forever preferred_lft forever<br />
inet6 2003:e5:173a:c401:a00:27ff:fe9b:79a1/64 scope global dynamic mngtmpaddr <br />
valid_lft 7134sec preferred_lft 1215sec<br />
inet6 fe80::a00:27ff:fe9b:79a1/64 scope link <br />
valid_lft forever preferred_lft forever<br />
3: enp0s8: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000<br />
link/ether 08:00:27:15:03:b7 brd ff:ff:ff:ff:ff:ff<br />
inet '''192.168.0.1/24''' brd 192.168.0.255 scope global enp0s8<br />
valid_lft forever preferred_lft forever<br />
inet6 fe80::a00:27ff:fe15:3b7/64 scope link <br />
valid_lft forever preferred_lft forever<br />
4: enp0s9: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000<br />
link/ether 08:00:27:31:01:09 brd ff:ff:ff:ff:ff:ff<br />
inet '''10.0.1''xx''.1/24''' brd 10.0.100.255 scope global enp0s9<br />
valid_lft forever preferred_lft forever<br />
inet6 fe80::a00:27ff:fe31:109/64 scope link <br />
valid_lft forever preferred_lft forever<br />
<br />
= Workstation im LAN zum Systemadministrator machen =<br />
<br />
* Den Netzwerkadapter von VM "LAN Host" auf "Internes Netzwerk LAN" umstellen und die VM starten<br />
* Wenn wir unsere Netzwerkkonfiguration anschauen, dann sehen wir keine IP Adresse, da noch kein DHCP läuft<br />
* Deshalb geben wir uns eine temporäre IP, um per SSH auf die Firewall zu kommen<br />
* '''systemctl stop NetworkManager'''<br />
* '''ip address add 192.168.0.2/24 dev enp0s3'''<br />
* Nun können wir die Firewall per SSH erreichen<br />
* '''ssh xinux@192.168.0.1'''<br />
* als erstes ändern wir den hostnamen der Firewall von ''debian'' zu ''firewall''<br />
* '''sudo -i'''<br />
* '''hostnamectl set-hostname fw''xx'' '''<br />
* '''vim /etc/hosts'''<br />
<br />
127.0.0.1 localhost<br />
127.0.1.1 '''fw''xx'' '''<br />
...<br />
<br />
* Ein erneutes einloggen updatet den Namen im Prompt<br />
* als nächstes installieren wir einen [[DHCP]] Server, um Rechnern im LAN automatisch eine Netzwerkkonfiguration zu geben<br />
* '''apt install isc-dhcp-server'''<br />
* Am Ende der Installation wird es eine Fehlermeldung geben, da systemd versucht den Dienst zu starten, obwohl noch keine Konfiguration da ist<br />
* '''vim /etc/default/isc-dhcp-server'''<br />
<br />
DHCPDv4_CONF=/etc/dhcp/dhcpd.conf<br />
INTERFACESv4="enp0s8"<br />
<br />
* '''vim /etc/dhcp/dhcpd.conf'''<br />
<br />
option domain-name-servers 1.1.1.1;<br />
default-lease-time 600;<br />
max-lease-time 7200;<br />
authoritative;<br />
<br />
subnet 192.168.0.0 netmask 255.255.255.0 {<br />
range 192.168.0.50 192.168.0.100;<br />
option routers 192.168.0.1;<br />
}<br />
<br />
# Feste IP-Adresse für eine bestimmte MAC-Adresse<br />
host controller {<br />
hardware ethernet ''MAC Adresse vom Arch'';<br />
fixed-address 192.168.0.2;<br />
option routers 192.168.0.1;<br />
}<br />
<br />
* Dienst mit der neuen Konfiguration starten und überprüfen<br />
* '''systemctl restart isc-dhcp-server'''<br />
* '''systemctl status isc-dhcp-server'''<br />
* Beim Neustart von Arch sollte dann automatisch die ''192.168.0.2'' bekommen (falls nicht MAC-Adresse überprüfen)<br />
<br />
= Firewall als Router konfigurieren =<br />
<br />
* Im Moment verwirft die Firewall alle Pakete mit IP-Adressen, die nicht für ihn selbst bestimmt sind<br />
* Um die Pakete uns Default-Gateway weiterzuleiten muss der Kernelparameter ''net.ipv4.ip_forward'' gesetzt sein<br />
* Temporär (bleibt nicht nach einem Reboot):<br />
**'''sysctl -w net.ipv4.ip_forward=1''' ''# Einschalten''<br />
**'''sysctl -w net.ipv4.ip_forward=0''' ''# Ausschalten''<br />
* Für eine persistente Konfiguration muss dieser Parameter in der die Datei ''/etc/sysctl.conf'' stehen<br />
* '''vim /etc/sysctl.conf'''<br />
<br />
...<br />
<br />
# Uncomment the next line to enable packet forwarding for IPv4<br />
net.ipv4.ip_forward=1<br />
...<br />
<br />
* '''sysctl -p'''<br />
<br />
net.ipv4.ip_forward = 1<br />
<br />
* '''S'''ource '''N'''etwork '''A'''ddress '''T'''ranslation muss noch geschehen, damit die Pakete mit IP Adressen aus einem privaten Netzwerk den Weg zurück finden<br />
* '''vim /etc/nftables.conf'''<br />
<br />
#!/usr/sbin/nft -f<br />
<br />
flush ruleset<br />
<br />
table inet filter {<br />
chain input {<br />
type filter hook input priority 0;<br />
}<br />
chain forward {<br />
type filter hook forward priority 0;<br />
}<br />
chain output {<br />
type filter hook output priority 0;<br />
}<br />
}<br />
<br />
table inet nat {<br />
chain postrouting {<br />
type nat hook postrouting priority 100; policy accept;<br />
oif enp0s3 masquerade<br />
}<br />
}<br />
<br />
* '''systemctl restart nftables'''<br />
* '''systemctl enable nftables'''<br />
<br />
<br />
= SSH Schlüssel für passwortloses Login =<br />
<br />
== LAN ==<br />
<br />
* Um nicht jedes mal das Passwort beim Login eingeben zu müssen kann man sich stattdessen mit einem privaten Schlüssel authentifizieren<br />
* Wir erstellen einen Schlüssel mit RSA Verschlüsselung und erstmal ohne Passwortabfrage für den Benutz des Schlüssels<br />
* '''ssh-keygen''' ''# 123Start$ als Passwort nehmen''<br />
* '''ssh-copy-id xinux@192.168.0.1'''<br />
* bzw.<br />
* '''scp ~/.ssh/id_rsa.pub xinux@192.168.0.1:~/.ssh/authorized_keys'''<br />
* In der ''authorized_keys'' Datei können mehrere öffentliche Schlüssel stehen (pro Zeile ein Schlüssel)<br />
* Es ist üblich SSH Login über Passwörter komplett auszuschalten sobald die SSH Schlüssel von den zugangsberechtigten Benutzern hinterlegt sind<br />
* Normalerweise sind die Schlüssel passwortgeschützt.<br />
* Damit man nicht jedes mal das Passwort dafür eingeben muss kann man einen [[SSH Agent]] nutzen<br />
<br />
== Firewall ==<br />
<br />
* Wir wollen uns direkt als root einloggen können, weshalb die '''authorized_keys''' Datei auch im Home-Verzeichnis des root-Nutzers liegen muss<br />
* '''sudo -i'''<br />
* '''mkdir ''.ssh'' '''<br />
* '''cp ''~xinux/.ssh/authorized_keys'' ''.ssh/'' '''<br />
* Um den SSH-Server abszusichern können wir den Port verlegen und nur schlüsselbasiertes Einloggen zulassen<br />
* '''vim ''/etc/ssh/sshd_config'' '''<br />
<br />
Port 2222<br />
AddressFamily inet<br />
ListenAddress 192.168.0.1<br />
PubkeyAuthentication yes<br />
PasswordAuthentication no<br />
UsePAM no<br />
<br />
* '''systemctl restart sshd'''<br />
<br />
== LAN ==<br />
<br />
* Nun sollten wir uns direkt als root anmelden können <br />
* '''ssh -p 2222 root@192.168.0.1 "id && hostname"'''<br />
* Um die Ameldung einfacher zu gestalten können wir unseren SSH-Client konfigurieren<br />
* '''vim ''~/.ssh/config'' '''<br />
<br />
Host fw''xx''<br />
Hostname 192.168.0.1<br />
User root<br />
Port 2222<br />
<br />
* Jetzt kann man den Befehl folgendermaßen verkürzen:<br />
* '''ssh fw''xx'' '''<br />
<br />
= DHCP erweitern =<br />
<br />
* Um neue Rechner in der DMZ automatisch über LAN administrierbar zu machen, erweitern wir den DHCP Server auf der Firewall<br />
* '''vim /etc/default/isc-dhcp-server<br />
<br />
DHCPDv4_CONF=/etc/dhcp/dhcpd.conf<br />
INTERFACESv4="enp0s8 '''enp0s9'''"<br />
<br />
* Die Subnetzdefinitionen folgen der Reihenfolge der Interfaces in ''/etc/default/isc-dhcp-server''<br />
* '''vim /etc/dhcp/dhcpd.conf'''<br />
<br />
default-lease-time 600;<br />
max-lease-time 7200;<br />
authoritative;<br />
<br />
subnet 192.168.0.0 netmask 255.255.255.0 {<br />
range 192.168.0.50 192.168.0.100;<br />
option routers 192.168.0.1;<br />
}<br />
<br />
'''subnet 10.0.1''xx''.0 netmask 255.255.255.0 {'''<br />
'''range 10.0.1''xx''.50 10.0.1''xx''.100;'''<br />
'''option routers 10.0.1''xx''.1;'''<br />
'''}'''<br />
<br />
# Feste IP-Adresse für eine bestimmte MAC-Adresse<br />
host controller {<br />
hardware ethernet MAC Adresse vom Arch;<br />
fixed-address 192.168.0.2;<br />
option routers 192.168.0.1;<br />
}<br />
<br />
* '''systemctl restart isc-dhcp-server'''<br />
<br />
= [[DNS]] Server =<br />
<br />
{{#drawio:ul-tag-1}}<br />
<br />
== Virtualbox ==<br />
* Ein Klon von "Server Vorlage" mit Netzwerkadapter im internen Netzwerk "DMZ" erstellen<br />
* Über die Systemlogs für '''DHCP''' auf der '''Firewall''' können wir die IP Adresse des DNS-Servers herausfinden<br />
<br />
== Firewall ==<br />
* '''journalctl -u isc-dhcp-server'''<br />
* Zurück zu Arch wechseln und über SSH auf den DNS Server einloggen<br />
* '''ssh xinux@10.0.''(100 + eigene Nr.).'' ''yy'' '''<br />
<br />
== DNS ==<br />
* Anschließend die IP Adresse in ''/etc/network/interfaces'' konfigurieren: 10.0.''(100 + eigene Nr.)''.2<br />
* Hostname auf DNS: setzen (in ''/etc/hosts'' auch umändern)<br />
* SSH Schlüssel hinterlegen<br />
* Bind9 installieren<br />
* '''vim /etc/resolv.conf'''<br />
<br />
nameserver 1.1.1.1<br />
<br />
* '''apt install bind9'''<br />
* '''vim /etc/resolv.conf'''<br />
<br />
nameserver 127.0.0.1<br />
<br />
== Optionen festlegen ==<br />
<br />
* '''vim /etc/bind/named.conf.options'''<br />
<br />
options {<br />
directory "/var/cache/bind";<br />
dnssec-validation no;<br />
allow-recursion { 0.0.0.0/0; };<br />
};<br />
<br />
== Zone definieren ==<br />
<br />
* '''vim /etc/bind/named.conf.local'''<br />
<br />
zone "lab(100 + eigene Nr.).nux" {<br />
type master;<br />
file "lab(100 + eigene Nr.).nux";<br />
};<br />
<br />
== Zonendatei erstellen ==<br />
<br />
* '''vim /var/cache/bind/lab(100 + eigene Nr.).nux'''<br />
<br />
$TTL 300<br />
@ IN SOA dns.lab''(100 + eigene Nr.)''.nux. technik.xinux.de. (''(Datum + Ver.nr.)'' 14400 3600 3600000 86400)<br />
IN NS dns<br />
dns IN A 10.0.(100 + eigene Nr.).2<br />
fw IN A 10.0.(100 + eigene Nr.).1<br />
<br />
* Dienst neustarten und testen<br />
* '''systemctl restart bind9'''<br />
* '''dig +short dns.lab1''xx''.nux'''<br />
* '''dig +short fw.lab1''xx''.nux'''<br />
<br />
== '''D'''estination NAT und Portforwarding ==<br />
<br />
* Der DNS-Server in der DMZ soll öffentlich erreichbar sein<br />
* Das Internet kennt aber nur unsere WAN IP<br />
* Wir erwarten, dass solche Anfragen auf Port 53 UDP/TCP an unsere Firewall ankommen<br />
* Die Zieladresse soll dann in der Prerouting Kette auf die des Webserver umgeschrieben werden<br />
* Dadurch geht das Paket in die Forward Kette anstatt der Input Kette<br />
* Also muss dort die entsprechende Regel zum Freischalten stehen<br />
<br />
#!/usr/sbin/nft -f<br />
<br />
flush ruleset<br />
'''define wanip = 172.RNr.0.1''xx'' '''<br />
'''define dnsserver = 10.0.1''xx''.2'''<br />
<br />
table inet filter {<br />
chain input {<br />
type filter hook input priority filter;<br />
}<br />
chain forward {<br />
type filter hook forward priority filter;<br />
}<br />
chain output {<br />
type filter hook output priority filter;<br />
}<br />
}<br />
table inet nat {<br />
'''chain prerouting {'''<br />
'''type nat hook prerouting priority -100; policy accept;'''<br />
'''ip daddr $wanip tcp dport 53 dnat ip to $dnsserver:53'''<br />
'''ip daddr $wanip udp dport 53 dnat ip to $dnsserver:53'''<br />
'''}'''<br />
<br />
chain postrouting {<br />
type nat hook postrouting priority 100; policy accept;<br />
oif $wandev masquerade<br />
}<br />
}<br />
<br />
* '''systemctl restart nftables'''<br />
<br />
= Auflösen anderer Domänen über eine Pseudo Top Level Domain =<br />
<br />
== Dienst neustarten und DNS-Auflösung testen ==<br />
<br />
* '''systemctl restart bind9'''<br />
* '''dig +short dns.lab(100 + eigene Nr.).nux'''<br />
* '''dig +short xinux.net'''<br />
* Wenn das funktioniert dann den DNS Server im DHCP Server als Standard DNS Server und Suchdomäne eintragen (zur Firewall wechseln)<br />
* '''vim /etc/dhcp/dhcpd.conf'''<br />
<br />
option domain-name "lab(100 + eigene Nr.).nux";<br />
option domain-name-servers 10.0.''(100 + eigene Nr.)''.2;<br />
...<br />
<br />
* '''systemctl restart isc-dhcp-server'''<br />
* Arch neustarten und in ''/etc/resolv.conf'' nachschauen, ob die neue Konfiguration automatisch gezogen wurde<br />
* bzw.<br />
* '''systemctl restart NetworkManager'''<br />
<br />
= Bind9 Forwarder eintragen =<br />
<br />
== DNS Server der ''.nux''-Domain ==<br />
* Wenn jeder die DMZ der anderen erreichen kann, ist es möglich über eine Top Level Domain die anderen Domänen aufzulösen<br />
* Dazu muss man auf den '''DNS Server''' einen vorkonfigurierten Pseudo Top Level Domain Nameserver als '''Forwarder''' eintragen<br />
* '''vim /etc/bind/named.conf.options'''<br />
<br />
...<br />
forwarders { 172.RNr.0.100; }; //IP des Top Level Domain Nameservers<br />
...<br />
<br />
* Wenn man die Reverse Zone später auch auflösen will braucht man diese Zeile<br />
* '''vim /etc/bind/named.conf.options'''<br />
<br />
...<br />
empty-zones-enable no;<br />
...<br />
<br />
* '''systemctl restart bind9'''<br />
* Einmal alle Domänen durchtesten<br />
* '''dig +short dns.lab''1xx''.nux'''<br />
* '''ping fw.lab''1xx''.nux'''<br />
<br />
== Pseudo ''.nux'' Domain Server ==<br />
<br />
* '''vim /etc/bind/named.conf.options'''<br />
<br />
options {<br />
directory "/var/cache/bind";<br />
empty-zones-enable no;<br />
allow-recursion { 0.0.0.0/0; };<br />
allow-query { 0.0.0.0/0; };<br />
dnssec-validation no;<br />
};<br />
* Zur Zonendefinition hinzufügen<br />
* '''vim /etc/bind/named.conf.local'''<br />
<br />
zone "nux" {<br />
type master;<br />
file "nux";<br />
};<br />
zone "0.10.in-addr.arpa" {<br />
type master;<br />
file "0.10.in-addr.arpa";<br />
};<br />
...<br />
* Zonendateien<br />
* '''vim /var/cache/bind/nux'''<br />
<br />
$TTL 300<br />
@ IN SOA dns.nux. technik.xinux.de. (2023041809 14400 3600 3600000 86400)<br />
<br />
@ IN NS dns.nux.<br />
lab101 NS dns.lab101.nux.<br />
lab102 NS dns.lab102.nux.<br />
lab100 NS dns.nux.<br />
<br />
dns IN A 172.RNr.0.100<br />
dns.lab101 A 172.RNr.0.1''xx''<br />
dns.lab102 A 172.RNr.0.1''xy''<br />
<br />
= Reverse Lookup =<br />
<br />
* Für manche Dienste muss einer IP einen Domain Namen zugeordnet werden<br />
* Dazu eine neue Zone definieren und eine neue Zonendatei erstellen<br />
* '''vim /etc/bind/named.conf.local'''<br />
<br />
zone "100.0.10.in-addr.arpa" {<br />
type master;<br />
file "100.0.10.in-addr.arpa";<br />
};<br />
<br />
* '''vim 100.0.10.in-addr.arpa'''<br />
<br />
$TTL 300<br />
@ IN SOA dns.lab100.nux. technik.xinux.de. (2023050901 14400 3600 3600000 86400)<br />
IN NS dns.lab100.nux.<br />
1 IN PTR fw.lab100.nux.<br />
2 IN PTR dns.lab100.nux.<br />
<br />
* '''systemctl restart bind9'''<br />
<br />
= Netz absichern =<br />
<br />
* Im Moment darf jeder auf die Firewall von jeden zugreifen (und damit alle dahinterliegenden Systeme)<br />
* Um dies zu verhindern erstellen wir mit [[Nftables Netze absichern|nftables]] Firewall Regeln, die nur das nötigste zulassen<br />
* Die Regeln werden von oben nach unten abgearbeitet<br />
* Wenn keine Regel greift, dann zieht die ''Default Policy''<br />
<br />
; Prerouting, Input, Forward, Output und Postrouting sind Punkte an denen wir Regeln erstellen können<br />
<br />
{{#drawio:nft-inet1}}<br />
<br />
== Nur SSH aus LAN auf die Firewall zulassen ==<br />
<br />
* Default Policy wird in allen Filterketten auf Drop gesetzt<br />
* Wenn also keine Regel das Paket durchlässt, wird es verworfen<br />
* Über Connection Tracking können wir uns auf die Regulierung neuer Verbindungen fokussieren<br />
* Als erstes soll nur:<br />
** Die Firewall mit sich selbst über das loopback Interface kommunizieren können (da es sonst zu komischen Problemen führen kann)<br />
** ''Established'' und ''Related'' Pakete akzeptiert werden<br />
** Neue Anfragen aus dem LAN auf TCP Port 2222 akzeptieren<br />
** Firewall soll über HTTP bzw. HTTPS Programme herunterladen können<br />
** Gedroppte Pakete sollen geloggt werden<br />
* '''vim /etc/nftables.conf'''<br />
<br />
#!/usr/sbin/nft -f<br />
<br />
flush ruleset<br />
define wanip = 172.RNr.0.1xx <br />
define dnsserver = 10.0.1xx.2<br />
'''define wandev = enp0s3'''<br />
'''define landev = enp0s8'''<br />
'''define lan = 192.168.0.0/24'''<br />
<br />
table inet filter {<br />
chain input {<br />
type filter hook input priority filter; '''policy drop;'''<br />
'''iif "lo" accept'''<br />
'''ct state established,related accept'''<br />
'''iif $landev tcp dport 2222 accept'''<br />
'''log prefix "--nftables-drop-input--"'''<br />
}<br />
chain forward {<br />
type filter hook forward priority filter; '''policy drop;'''<br />
'''ct state established,related accept'''<br />
'''log prefix "--nftables-drop-forward--"'''<br />
}<br />
chain output {<br />
type filter hook output priority filter; '''policy drop;'''<br />
'''oif "lo" accept'''<br />
'''ct state established,related accept'''<br />
'''oif $wandev tcp dport { 80, 443 } accept'''<br />
'''log prefix "--nftables-drop-output--"'''<br />
}<br />
}<br />
table inet nat {<br />
chain prerouting {<br />
type nat hook prerouting priority -100; policy accept;<br />
ip daddr $wanip tcp dport 53 dnat ip to $dnsserver:53<br />
ip daddr $wanip udp dport 53 dnat ip to $dnsserver:53<br />
}<br />
<br />
chain postrouting {<br />
type nat hook postrouting priority srcnat; policy accept;<br />
oif $wandev masquerade<br />
}<br />
}<br />
<br />
* '''systemctl restart nftables'''<br />
<br />
== Internetzugriff für LAN und Firewall ==<br />
<br />
* '''vim ''/etc/nftables.conf'' '''<br />
#!/usr/sbin/nft -f<br />
<br />
flush ruleset<br />
<br />
define wanip = 172.22.0.1xx<br />
define dnsserver = 10.0.1xx.2<br />
define wandev = "enp0s3"<br />
define landev = "enp0s8"<br />
define dmzdev = "enp0s9"<br />
define lan = 192.168.0.0/24<br />
define dmz = 10.0.1xx.0/24<br />
<br />
table inet filter {<br />
chain input {<br />
type filter hook input priority 0; policy drop;<br />
ct state { "established", "related" } accept<br />
iif "lo" accept<br />
iif $landev ip saddr $lan tcp dport 2222 accept<br />
icmp type echo-request accept<br />
log prefix "--nftables-drop-input--"<br />
}<br />
chain forward {<br />
type filter hook forward priority 0; policy drop;<br />
ct state { "established", "related" } accept<br />
icmp type echo-request accept<br />
iif $landev ip saddr $lan oif $dmzdev ip daddr $dnsserver udp dport 53 accept<br />
iif $wandev ip daddr $dnsserver tcp dport 53 accept<br />
iif $wandev ip daddr $dnsserver udp dport 53 accept<br />
iif $dmzdev ip saddr $dnsserver tcp dport 53 accept<br />
iif $dmzdev ip saddr $dnsserver udp dport 53 accept<br />
oif $wandev tcp dport { 80, 443 } accept<br />
iif $landev ip saddr $lan oif $dmzdev ip daddr $dmz tcp dport 22 accept<br />
log prefix "--nftables-drop-forward--"<br />
}<br />
chain output {<br />
type filter hook output priority 0; policy drop;<br />
ct state { "established", "related" } accept<br />
icmp type echo-request accept<br />
udp dport 53 accept<br />
oif $wandev tcp dport { 80, 443 } accept<br />
log prefix "--nftables-drop-output--"<br />
}<br />
}<br />
<br />
table inet nat {<br />
chain prerouting {<br />
type nat hook prerouting priority -100; policy accept;<br />
ip daddr $wanip tcp dport 53 dnat ip to $dnsserver:53<br />
ip daddr $wanip udp dport 53 dnat ip to $dnsserver:53<br />
}<br />
chain postrouting {<br />
type nat hook postrouting priority 100; policy accept;<br />
oif $wandev masquerade<br />
}<br />
}<br />
<br />
* '''systemctl restart nftables'''<br />
<br />
== '''C'''onnection '''T'''racking '''T'''abelle ==<br />
<br />
* Das Tool '''conntrack''' installieren, um die CTT anschauen und leeren zu können<br />
* '''apt install conntrack'''<br />
* '''conntrack -F''' ''# Leert die Tabelle''<br />
* '''conntrack -L'''<br />
<br />
tcp 6 432000 ESTABLISHED src=192.168.0.2 dst=192.168.0.2 sport=58178 dport=22 src=192.168.0.1 dst=192.168.0.2 sport=22 dport=58178 [ASSURED] mark=0 use=1<br />
<br />
= Webserver =<br />
<br />
{{#drawio:ul-tag-2}}<br />
<br />
* Rechnern im LAN sollen Webseiten aufrufen können<br />
* unsere DNS Server sollten andere Server im Internet und in den anderen DMZs befragen dürfen<br />
* d.h. UDP Port 53 aus LAN und DMZ und TCP Ports 80 und 443 für LAN sollten freigeschalten werden<br />
* '''vim /etc/nftables.conf'''<br />
<br />
#!/usr/sbin/nft -f<br />
<br />
flush ruleset<br />
define wandev = enp0s3<br />
define landev = enp0s8<br />
'''define dmzdev = enp0s9'''<br />
define lan = 192.168.0.0/24<br />
'''define dmz = 10.0.1''xx''.0/24'''<br />
<br />
table inet filter {<br />
chain input {<br />
type filter hook input priority filter; policy drop;<br />
iif "lo" accept<br />
ct state established,related accept<br />
iif $landev tcp dport 22 accept<br />
log prefix "--nftables-drop-input--"<br />
}<br />
chain forward {<br />
type filter hook forward priority filter; policy drop;<br />
ct state established,related accept<br />
'''iif { $dmzdev, $landev } ip saddr { $dmz, $lan } udp dport 53 oif { $dmzdev, $wandev } accept'''<br />
'''iif $landev ip saddr $lan tcp dport { 80, 443 } oif $wandev accept'''<br />
log prefix "--nftables-drop-forward--"<br />
}<br />
chain output {<br />
type filter hook output priority filter; policy drop;<br />
ct state established,related accept<br />
oif $wandev tcp dport { 80, 443 } accept<br />
log prefix "--nftables-drop-output--"<br />
}<br />
<br />
table inet nat {<br />
chain postrouting {<br />
type nat hook postrouting priority srcnat; policy accept;<br />
oif $wandev masquerade<br />
}<br />
}<br />
}<br />
<br />
== '''D'''estination NAT und Portforwarding ==<br />
<br />
* Ein Webserver in der DMZ soll öffentlich erreichbar sein<br />
* Das Internet kennt aber nur unsere WAN IP<br />
* Wir erwarten, dass solche Anfragen auf Port 80/443 an unsere Firewall ankommen<br />
* Die Zieladresse soll dann in der Prerouting Kette auf die des Webserver umgeschrieben werden<br />
* Dadurch geht das Paket in die Forward Kette anstatt der Input Kette<br />
* Also muss dort die entsprechende Regel zum Freischalten stehen<br />
<br />
#!/usr/sbin/nft -f<br />
<br />
flush ruleset<br />
define wandev = enp0s3<br />
define landev = enp0s8<br />
define dmzdev = enp0s9<br />
define lan = 192.168.0.0/24<br />
define dmz = 10.0.1''xx''.0/24<br />
'''define wanip = 172.RNr.1.1''xx'''''<br />
'''define webserver = 10.0.1''xx''.2'''<br />
<br />
table inet filter {<br />
chain input {<br />
type filter hook input priority filter; policy drop;<br />
iif "lo" accept<br />
ct state established,related accept<br />
iif $landev tcp dport 22 accept<br />
log prefix "--nftables-drop-input--"<br />
}<br />
chain forward {<br />
type filter hook forward priority filter; policy drop;<br />
ct state established,related accept<br />
iif { $dmzdev, $landev } ip saddr { $dmz, $lan } udp dport 53 oif { $dmzdev, $wandev } accept<br />
iif $landev ip saddr $lan tcp dport { 80, 443 } oif $wandev accept<br />
'''ip daddr $webserver tcp dport 80 accept'''<br />
log prefix "--nftables-drop-forward--"<br />
}<br />
chain output {<br />
type filter hook output priority filter; policy drop;<br />
ct state established,related accept<br />
oif $wandev tcp dport { 80, 443 } accept<br />
log prefix "--nftables-drop-output--"<br />
}<br />
<br />
table inet nat {<br />
'''chain prerouting {'''<br />
'''type nat hook prerouting priority 0; policy accept;'''<br />
'''ip daddr $wanip tcp dport 80 dnat ip to $webserver:80'''<br />
'''}'''<br />
<br />
chain postrouting {<br />
type nat hook postrouting priority srcnat; policy accept;<br />
oif $wandev masquerade<br />
}<br />
}<br />
<br />
* '''systemctl restart nftables'''<br />
* Der DNS Server soll uns erstmal auch als Webserver dienen<br />
* '''apt install apache2'''<br />
* Im Browser sollten die Webserver über die IPs der Firewalls erreichbar sein<br />
<br />
== Debug Möglichkeiten ==<br />
<br />
* Falls sich die Firewall nicht so verhält wie erwartet, kann man:<br />
** Connection Tracking Tabelle leeren/flushen: '''conntrack -F'''<br />
** Über '''tail -f -n0 /var/log/syslog | grep nftables''' gedroppte Pakete anschauen (wenn die Log Regeln da sind)<br />
** NAT Regeln überprüfen: '''tcpdump -i ''interface'' ''filter'''''<br />
** Auf Syntaxfehler überprüfen: '''nft -cf /etc/nftables.conf'''<br />
<br />
= LDAP Server einrichten =<br />
<br />
{{#drawio:ul-tag-3}}<br />
<br />
* ein LDAP Server ermöglicht uns zentrale Benutzerverwaltung innerhalb einer Domäne<br />
* die Benutzerdaten werden in einer Datenbank gespeichert und von Clients über '''TCP Port 389''' befragt<br />
* eine neue VM vom Template klonen und Grundeinstellungen vornehmen:<br />
# Hostname auf ''ldap'' setzen<br />
# statische IP vergeben<br />
# SSH Schlüssel hinterlegen<br />
# Eintrag im DNS Server vornehmen<br />
* eventuell muss auf der Firewall Port 80 und 443 für die DMZ freigeschaltet werden, damit die Pakete heruntergeladen werden können<br />
* [[LDAP]]<br />
* [[Openldap Basic Config common]]<br />
<br />
= [[HAProxy]] für zentrale SSL Terminierung =<br />
<br />
{{#drawio:ul-tag-4}}<br />
<br />
* Im Moment ist nur SSH verschlüsselt<br />
* Pakete von HTTP Verbindungen zwischen den LAN und DMZ werden im Klartext verschickt<br />
* '''Problem''': Jemand der den Verkehr mitscheidet, kann alles lesen<br />
* '''Lösung''': Upgrade auf HTTPS mit [[Grundlagen Kryptografie | Zertifikaten]]<br />
* [[SFTP-Server]] für den sicheren Transfer der Zertifikatsanträge<br />
* eine neue VM vom Template klonen und Grundeinstellungen vornehmen:<br />
# Hostname auf ''haproxy'' setzen<br />
# statische IP vergeben '''10.0.1''xx''.2'''<br />
# SSH Schlüssel hinterlegen<br />
# Eintrag im DNS Server vornehmen<br />
# signiertes Wildcard-Zertifikat rüberkopieren<br />
# privaten Zertifikatsschlüssel rüberkopieren<br />
<br />
* Signiertes Zertifikat vom SFTP Server holen<br />
* '''sftp -P 9922 cert_req@172.RNr.1.100'''<br />
* '''get cert/lab1''xx''.nux.crt'''<br />
* Auf dem HAProxy die ''server.pem'' Datei erstellen<br />
* '''cat lab1''xx''.nux.key lab1''xx''.nux.crt > /etc/haproxy/server.pem'''<br />
* '''vim /etc/haproxy/haproxy.cfg'''<br />
<br />
frontend https_web_services<br />
bind 10.0.1''xx''.2:443 name localhost_443 ssl crt /etc/haproxy/server.pem<br />
timeout client 50000<br />
mode http<br />
acl acl_web1 hdr_beg(host) -i web1<br />
acl acl_web2 hdr_beg(host) -i web2<br />
use_backend backend_web1 if acl_web1<br />
use_backend backend_web2 if acl_web2<br />
default_backend http_backend<br />
<br />
#frontend https_frontend<br />
# bind 10.0.1''xx''.2:443 name localhost_443 ssl crt /etc/haproxy/server.pem<br />
# timeout client 50000<br />
# default_backend http_backend<br />
<br />
backend backend_web1<br />
timeout connect 5000<br />
timeout server 50000<br />
mode http<br />
server web_dns 10.0.1''xx''.2:80 check<br />
<br />
backend backend_web2<br />
timeout connect 5000<br />
timeout server 50000<br />
mode http<br />
server web_ldap 10.0.1''xx''.3:80 check<br />
<br />
backend http_backend<br />
mode http<br />
balance roundrobin<br />
timeout connect 5000<br />
timeout server 50000<br />
server web_dns_2 10.0.1''xx''.2:80 check<br />
server web_ldap_2 10.0.1''xx''.3:80 check<br />
<br />
* '''systemctl restart haproxy'''<br />
<br />
= [[Squid erste Schritte|Squid]] Proxy auf der Firewall =<br />
<br />
* [[Squid ACL Basic]]<br />
* [[Iptables mit Squid Transparenter Proxy]]<br />
* Mehr Kontrolle über die Domains, die LAN erreichen darf<br />
* '''vim /etc/squid/squid.conf'''<br />
acl facebook url_regex -i facebook<br />
<br />
http_access deny facebook<br />
http_access allow all<br />
<br />
#nativer Zugriff<br />
http_port 3128 ssl-bump cert=/etc/squid/certs/squid_proxyCA.pem generate-host-certificates=on options=NO_SSLv3,NO_TLSv1,NO_TLSv1_1,SINGLE_DH_USE,SINGLE_ECDH_USE<br />
#transparenter Zugriff unverschlüsselt<br />
http_port 3128 intercept<br />
#transparenter Zugriff verschlüsselt '''wichtig https_port'''<br />
https_port 3129 ssl-bump intercept cert=/etc/squid/certs/squid_proxyCA.pem generate-host-certificates=on options=NO_SSLv3,NO_TLSv1,NO_TLSv1_1,SINGLE_DH_USE,SINGLE_ECDH_USE<br />
<br />
ssl_bump bump all<br />
<br />
coredump_dir /var/spool/squid<br />
logfile_rotate 0<br />
<br />
cache_dir ufs /var/spool/squid 200 16 256<br />
* '''vim /etc/squid/squid.conf'''<br />
<br />
...<br />
'''acl domain_blacklist dstdomain "/etc/squid/domain_blacklist.txt"'''<br />
...<br />
'''http_access deny all domain_blacklist'''<br />
http_access allow localnet<br />
...<br />
<br />
* '''vim /etc/squid/domain_blacklist.txt'''<br />
<br />
facebook.com<br />
twitter.com<br />
<br />
* '''systemctl restart squid'''<br />
<br />
{{#drawio:ul-tag-5}}<br />
<br />
= Festplatten verschlüsseln =<br />
<br />
; Das Verschlüsseln mit '''cryptsetup''' löscht alle vorherigen Daten der Festplatte<br />
* Neue Festplatte in VirtualBox erstellen und anhängen<br />
* zu verschlüsselnde Partition anlegen<br />
* '''fdisk /dev/sdX'''<br />
* '''cryptsetup luksFormat /dev/sdXx'''<br />
* '''cryptsetup open /dev/sdXx ''name'' '''<br />
* Dateisystem auf der entschlüsselten Partition anlegen<br />
* '''mkfs.ext4 /dev/mapper/''name'' '''<br />
* beliebige Testdatei erstellen<br />
* '''echo "Hallo Welt" > encrypted.txt'''<br />
* Nach Benutzen der Partition wieder verschlüsseln<br />
* '''cryptsetup close name'''<br />
<br />
= Separate VM für Monitoring/Scanning =<br />
<br />
# Hostname auf ''health'' setzen<br />
# statische IP vergeben '''10.0.1''xx''.4/24'''<br />
# SSH Schlüssel hinterlegen<br />
# Eintrag im DNS Server vornehmen<br />
<br />
= Checkmk =<br />
<br />
* Die Weboberfläche soll über [https://cmk.lab1xx.nux https://cmk.lab1''xx''.nux] erreichbar sein:<br />
** DNS Eintrag<br />
** HAProxy ACL<br />
<br />
* Download: https://checkmk.com/de/download?method=cmk&edition=cre&version=2.2.0b7&platform=debian&os=bullseye&type=cmk<br />
* Anweisungen der Webseite folgen<br />
* cmkadmin's Passwort auf 123Start$ ändern<br />
* Rechner ins Monitoring hinzufügen<br />
* AUR Paketmanager https://github.com/Jguer/yay</div>
Linkai.zhang
https://wiki.xinux.net/index.php?title=Unix-/Linux_Netz&diff=58646
Unix-/Linux Netz
2024-12-04T08:38:43Z
<p>Linkai.zhang: /* Nur SSH aus LAN auf die Firewall zulassen */</p>
<hr />
<div>=Netzwerk der Schulung=<br />
<br />
* Die WAN-IP wird die 172.RNr.0.(100 + eigene Nr.)<br />
* Die '''D'''e'''m'''ilitarisierte '''Z'''one (DMZ) enthält Services, die von außen erreichbar sein sollen<br />
* Im LAN befindet sich unser Administratorrechner von dem wir unsere Rechner konfigurieren<br />
* Das LAN soll Verbindungen ins Internet initiieren können, aber nicht direkt von außen erreichbar sein<br />
<br />
{{#drawio:ul2}}<br />
<br />
;''xx'' in den folgenden Bildern durch die eigene Nummer ersetzen<br />
;Benutzername für virtuelle Maschinen ist ''xinux'' oder ''root''<br />
;Passwort ist immer 123Start$<br />
<br />
= Vorbereiten der Firewall =<br />
<br />
{{#drawio:ul-tag-0}}<br />
<br />
* Wir klonen den Rechner "Server Vorlage" und nennen ihn "Firewall"<br />
* Dieser braucht 3 Netzwerkadapter:<br />
# Netzwerkbrücke<br />
# Internes Netzwerk "LAN"<br />
# Internes Netzwerk "DMZ"<br />
* Wir starten die Firewall und konfigurieren statische IP Adressen für alle 3 Netzwerkadapter<br />
* '''vim /etc/network/interfaces'''<br />
<br />
auto lo<br />
iface lo inet loopback<br />
<br />
auto enp0s3<br />
iface enp0s3 inet static<br />
address 172.RNr.0.1''xx''/16<br />
gateway 172.RNr.0.1<br />
<br />
auto enp0s8<br />
iface enp0s8 inet static<br />
address 192.168.0.1/24<br />
<br />
auto enp0s9<br />
iface enp0s9 inet static<br />
address 10.0.1''xx''.1/24<br />
<br />
* Interfaces runter und wieder hochfahren, um die neue Konfiguration zu laden<br />
* '''ifdown -va'''<br />
* '''ifup -va'''<br />
* bzw.<br />
* '''systemctl restart networking'''<br />
* Danach sollte der Befehl '''ip address show''' (oder '''ip a''') die neuen IP Adressen anzeigen<br />
<br />
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000<br />
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00<br />
inet 127.0.0.1/8 scope host lo<br />
valid_lft forever preferred_lft forever<br />
inet6 ::1/128 scope host <br />
valid_lft forever preferred_lft forever<br />
2: enp0s3: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1456 qdisc pfifo_fast state UP group default qlen 1000<br />
link/ether 08:00:27:9b:79:a1 brd ff:ff:ff:ff:ff:ff<br />
inet '''172.RNr.1.1''xx''/16''' brd 172.22.255.255 scope global enp0s3<br />
valid_lft forever preferred_lft forever<br />
inet6 2003:e5:173a:c401:a00:27ff:fe9b:79a1/64 scope global dynamic mngtmpaddr <br />
valid_lft 7134sec preferred_lft 1215sec<br />
inet6 fe80::a00:27ff:fe9b:79a1/64 scope link <br />
valid_lft forever preferred_lft forever<br />
3: enp0s8: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000<br />
link/ether 08:00:27:15:03:b7 brd ff:ff:ff:ff:ff:ff<br />
inet '''192.168.0.1/24''' brd 192.168.0.255 scope global enp0s8<br />
valid_lft forever preferred_lft forever<br />
inet6 fe80::a00:27ff:fe15:3b7/64 scope link <br />
valid_lft forever preferred_lft forever<br />
4: enp0s9: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000<br />
link/ether 08:00:27:31:01:09 brd ff:ff:ff:ff:ff:ff<br />
inet '''10.0.1''xx''.1/24''' brd 10.0.100.255 scope global enp0s9<br />
valid_lft forever preferred_lft forever<br />
inet6 fe80::a00:27ff:fe31:109/64 scope link <br />
valid_lft forever preferred_lft forever<br />
<br />
= Workstation im LAN zum Systemadministrator machen =<br />
<br />
* Den Netzwerkadapter von VM "LAN Host" auf "Internes Netzwerk LAN" umstellen und die VM starten<br />
* Wenn wir unsere Netzwerkkonfiguration anschauen, dann sehen wir keine IP Adresse, da noch kein DHCP läuft<br />
* Deshalb geben wir uns eine temporäre IP, um per SSH auf die Firewall zu kommen<br />
* '''systemctl stop NetworkManager'''<br />
* '''ip address add 192.168.0.2/24 dev enp0s3'''<br />
* Nun können wir die Firewall per SSH erreichen<br />
* '''ssh xinux@192.168.0.1'''<br />
* als erstes ändern wir den hostnamen der Firewall von ''debian'' zu ''firewall''<br />
* '''sudo -i'''<br />
* '''hostnamectl set-hostname fw''xx'' '''<br />
* '''vim /etc/hosts'''<br />
<br />
127.0.0.1 localhost<br />
127.0.1.1 '''fw''xx'' '''<br />
...<br />
<br />
* Ein erneutes einloggen updatet den Namen im Prompt<br />
* als nächstes installieren wir einen [[DHCP]] Server, um Rechnern im LAN automatisch eine Netzwerkkonfiguration zu geben<br />
* '''apt install isc-dhcp-server'''<br />
* Am Ende der Installation wird es eine Fehlermeldung geben, da systemd versucht den Dienst zu starten, obwohl noch keine Konfiguration da ist<br />
* '''vim /etc/default/isc-dhcp-server'''<br />
<br />
DHCPDv4_CONF=/etc/dhcp/dhcpd.conf<br />
INTERFACESv4="enp0s8"<br />
<br />
* '''vim /etc/dhcp/dhcpd.conf'''<br />
<br />
option domain-name-servers 1.1.1.1;<br />
default-lease-time 600;<br />
max-lease-time 7200;<br />
authoritative;<br />
<br />
subnet 192.168.0.0 netmask 255.255.255.0 {<br />
range 192.168.0.50 192.168.0.100;<br />
option routers 192.168.0.1;<br />
}<br />
<br />
# Feste IP-Adresse für eine bestimmte MAC-Adresse<br />
host controller {<br />
hardware ethernet ''MAC Adresse vom Arch'';<br />
fixed-address 192.168.0.2;<br />
option routers 192.168.0.1;<br />
}<br />
<br />
* Dienst mit der neuen Konfiguration starten und überprüfen<br />
* '''systemctl restart isc-dhcp-server'''<br />
* '''systemctl status isc-dhcp-server'''<br />
* Beim Neustart von Arch sollte dann automatisch die ''192.168.0.2'' bekommen (falls nicht MAC-Adresse überprüfen)<br />
<br />
= Firewall als Router konfigurieren =<br />
<br />
* Im Moment verwirft die Firewall alle Pakete mit IP-Adressen, die nicht für ihn selbst bestimmt sind<br />
* Um die Pakete uns Default-Gateway weiterzuleiten muss der Kernelparameter ''net.ipv4.ip_forward'' gesetzt sein<br />
* Temporär (bleibt nicht nach einem Reboot):<br />
**'''sysctl -w net.ipv4.ip_forward=1''' ''# Einschalten''<br />
**'''sysctl -w net.ipv4.ip_forward=0''' ''# Ausschalten''<br />
* Für eine persistente Konfiguration muss dieser Parameter in der die Datei ''/etc/sysctl.conf'' stehen<br />
* '''vim /etc/sysctl.conf'''<br />
<br />
...<br />
<br />
# Uncomment the next line to enable packet forwarding for IPv4<br />
net.ipv4.ip_forward=1<br />
...<br />
<br />
* '''sysctl -p'''<br />
<br />
net.ipv4.ip_forward = 1<br />
<br />
* '''S'''ource '''N'''etwork '''A'''ddress '''T'''ranslation muss noch geschehen, damit die Pakete mit IP Adressen aus einem privaten Netzwerk den Weg zurück finden<br />
* '''vim /etc/nftables.conf'''<br />
<br />
#!/usr/sbin/nft -f<br />
<br />
flush ruleset<br />
<br />
table inet filter {<br />
chain input {<br />
type filter hook input priority 0;<br />
}<br />
chain forward {<br />
type filter hook forward priority 0;<br />
}<br />
chain output {<br />
type filter hook output priority 0;<br />
}<br />
}<br />
<br />
table inet nat {<br />
chain postrouting {<br />
type nat hook postrouting priority 100; policy accept;<br />
oif enp0s3 masquerade<br />
}<br />
}<br />
<br />
* '''systemctl restart nftables'''<br />
* '''systemctl enable nftables'''<br />
<br />
<br />
= SSH Schlüssel für passwortloses Login =<br />
<br />
== LAN ==<br />
<br />
* Um nicht jedes mal das Passwort beim Login eingeben zu müssen kann man sich stattdessen mit einem privaten Schlüssel authentifizieren<br />
* Wir erstellen einen Schlüssel mit RSA Verschlüsselung und erstmal ohne Passwortabfrage für den Benutz des Schlüssels<br />
* '''ssh-keygen''' ''# 123Start$ als Passwort nehmen''<br />
* '''ssh-copy-id xinux@192.168.0.1'''<br />
* bzw.<br />
* '''scp ~/.ssh/id_rsa.pub xinux@192.168.0.1:~/.ssh/authorized_keys'''<br />
* In der ''authorized_keys'' Datei können mehrere öffentliche Schlüssel stehen (pro Zeile ein Schlüssel)<br />
* Es ist üblich SSH Login über Passwörter komplett auszuschalten sobald die SSH Schlüssel von den zugangsberechtigten Benutzern hinterlegt sind<br />
* Normalerweise sind die Schlüssel passwortgeschützt.<br />
* Damit man nicht jedes mal das Passwort dafür eingeben muss kann man einen [[SSH Agent]] nutzen<br />
<br />
== Firewall ==<br />
<br />
* Wir wollen uns direkt als root einloggen können, weshalb die '''authorized_keys''' Datei auch im Home-Verzeichnis des root-Nutzers liegen muss<br />
* '''sudo -i'''<br />
* '''mkdir ''.ssh'' '''<br />
* '''cp ''~xinux/.ssh/authorized_keys'' ''.ssh/'' '''<br />
* Um den SSH-Server abszusichern können wir den Port verlegen und nur schlüsselbasiertes Einloggen zulassen<br />
* '''vim ''/etc/ssh/sshd_config'' '''<br />
<br />
Port 2222<br />
AddressFamily inet<br />
ListenAddress 192.168.0.1<br />
PubkeyAuthentication yes<br />
PasswordAuthentication no<br />
UsePAM no<br />
<br />
* '''systemctl restart sshd'''<br />
<br />
== LAN ==<br />
<br />
* Nun sollten wir uns direkt als root anmelden können <br />
* '''ssh -p 2222 root@192.168.0.1 "id && hostname"'''<br />
* Um die Ameldung einfacher zu gestalten können wir unseren SSH-Client konfigurieren<br />
* '''vim ''~/.ssh/config'' '''<br />
<br />
Host fw''xx''<br />
Hostname 192.168.0.1<br />
User root<br />
Port 2222<br />
<br />
* Jetzt kann man den Befehl folgendermaßen verkürzen:<br />
* '''ssh fw''xx'' '''<br />
<br />
= DHCP erweitern =<br />
<br />
* Um neue Rechner in der DMZ automatisch über LAN administrierbar zu machen, erweitern wir den DHCP Server auf der Firewall<br />
* '''vim /etc/default/isc-dhcp-server<br />
<br />
DHCPDv4_CONF=/etc/dhcp/dhcpd.conf<br />
INTERFACESv4="enp0s8 '''enp0s9'''"<br />
<br />
* Die Subnetzdefinitionen folgen der Reihenfolge der Interfaces in ''/etc/default/isc-dhcp-server''<br />
* '''vim /etc/dhcp/dhcpd.conf'''<br />
<br />
default-lease-time 600;<br />
max-lease-time 7200;<br />
authoritative;<br />
<br />
subnet 192.168.0.0 netmask 255.255.255.0 {<br />
range 192.168.0.50 192.168.0.100;<br />
option routers 192.168.0.1;<br />
}<br />
<br />
'''subnet 10.0.1''xx''.0 netmask 255.255.255.0 {'''<br />
'''range 10.0.1''xx''.50 10.0.1''xx''.100;'''<br />
'''option routers 10.0.1''xx''.1;'''<br />
'''}'''<br />
<br />
# Feste IP-Adresse für eine bestimmte MAC-Adresse<br />
host controller {<br />
hardware ethernet MAC Adresse vom Arch;<br />
fixed-address 192.168.0.2;<br />
option routers 192.168.0.1;<br />
}<br />
<br />
* '''systemctl restart isc-dhcp-server'''<br />
<br />
= [[DNS]] Server =<br />
<br />
{{#drawio:ul-tag-1}}<br />
<br />
== Virtualbox ==<br />
* Ein Klon von "Server Vorlage" mit Netzwerkadapter im internen Netzwerk "DMZ" erstellen<br />
* Über die Systemlogs für '''DHCP''' auf der '''Firewall''' können wir die IP Adresse des DNS-Servers herausfinden<br />
<br />
== Firewall ==<br />
* '''journalctl -u isc-dhcp-server'''<br />
* Zurück zu Arch wechseln und über SSH auf den DNS Server einloggen<br />
* '''ssh xinux@10.0.''(100 + eigene Nr.).'' ''yy'' '''<br />
<br />
== DNS ==<br />
* Anschließend die IP Adresse in ''/etc/network/interfaces'' konfigurieren: 10.0.''(100 + eigene Nr.)''.2<br />
* Hostname auf DNS: setzen (in ''/etc/hosts'' auch umändern)<br />
* SSH Schlüssel hinterlegen<br />
* Bind9 installieren<br />
* '''vim /etc/resolv.conf'''<br />
<br />
nameserver 1.1.1.1<br />
<br />
* '''apt install bind9'''<br />
* '''vim /etc/resolv.conf'''<br />
<br />
nameserver 127.0.0.1<br />
<br />
== Optionen festlegen ==<br />
<br />
* '''vim /etc/bind/named.conf.options'''<br />
<br />
options {<br />
directory "/var/cache/bind";<br />
dnssec-validation no;<br />
allow-recursion { 0.0.0.0/0; };<br />
};<br />
<br />
== Zone definieren ==<br />
<br />
* '''vim /etc/bind/named.conf.local'''<br />
<br />
zone "lab(100 + eigene Nr.).nux" {<br />
type master;<br />
file "lab(100 + eigene Nr.).nux";<br />
};<br />
<br />
== Zonendatei erstellen ==<br />
<br />
* '''vim /var/cache/bind/lab(100 + eigene Nr.).nux'''<br />
<br />
$TTL 300<br />
@ IN SOA dns.lab''(100 + eigene Nr.)''.nux. technik.xinux.de. (''(Datum + Ver.nr.)'' 14400 3600 3600000 86400)<br />
IN NS dns<br />
dns IN A 10.0.(100 + eigene Nr.).2<br />
fw IN A 10.0.(100 + eigene Nr.).1<br />
<br />
* Dienst neustarten und testen<br />
* '''systemctl restart bind9'''<br />
* '''dig +short dns.lab1''xx''.nux'''<br />
* '''dig +short fw.lab1''xx''.nux'''<br />
<br />
== '''D'''estination NAT und Portforwarding ==<br />
<br />
* Der DNS-Server in der DMZ soll öffentlich erreichbar sein<br />
* Das Internet kennt aber nur unsere WAN IP<br />
* Wir erwarten, dass solche Anfragen auf Port 53 UDP/TCP an unsere Firewall ankommen<br />
* Die Zieladresse soll dann in der Prerouting Kette auf die des Webserver umgeschrieben werden<br />
* Dadurch geht das Paket in die Forward Kette anstatt der Input Kette<br />
* Also muss dort die entsprechende Regel zum Freischalten stehen<br />
<br />
#!/usr/sbin/nft -f<br />
<br />
flush ruleset<br />
'''define wanip = 172.RNr.0.1''xx'' '''<br />
'''define dnsserver = 10.0.1''xx''.2'''<br />
<br />
table inet filter {<br />
chain input {<br />
type filter hook input priority filter;<br />
}<br />
chain forward {<br />
type filter hook forward priority filter;<br />
}<br />
chain output {<br />
type filter hook output priority filter;<br />
}<br />
}<br />
table inet nat {<br />
'''chain prerouting {'''<br />
'''type nat hook prerouting priority -100; policy accept;'''<br />
'''ip daddr $wanip tcp dport 53 dnat ip to $dnsserver:53'''<br />
'''ip daddr $wanip udp dport 53 dnat ip to $dnsserver:53'''<br />
'''}'''<br />
<br />
chain postrouting {<br />
type nat hook postrouting priority 100; policy accept;<br />
oif $wandev masquerade<br />
}<br />
}<br />
<br />
* '''systemctl restart nftables'''<br />
<br />
= Auflösen anderer Domänen über eine Pseudo Top Level Domain =<br />
<br />
== Dienst neustarten und DNS-Auflösung testen ==<br />
<br />
* '''systemctl restart bind9'''<br />
* '''dig +short dns.lab(100 + eigene Nr.).nux'''<br />
* '''dig +short xinux.net'''<br />
* Wenn das funktioniert dann den DNS Server im DHCP Server als Standard DNS Server und Suchdomäne eintragen (zur Firewall wechseln)<br />
* '''vim /etc/dhcp/dhcpd.conf'''<br />
<br />
option domain-name "lab(100 + eigene Nr.).nux";<br />
option domain-name-servers 10.0.''(100 + eigene Nr.)''.2;<br />
...<br />
<br />
* '''systemctl restart isc-dhcp-server'''<br />
* Arch neustarten und in ''/etc/resolv.conf'' nachschauen, ob die neue Konfiguration automatisch gezogen wurde<br />
* bzw.<br />
* '''systemctl restart NetworkManager'''<br />
<br />
= Bind9 Forwarder eintragen =<br />
<br />
== DNS Server der ''.nux''-Domain ==<br />
* Wenn jeder die DMZ der anderen erreichen kann, ist es möglich über eine Top Level Domain die anderen Domänen aufzulösen<br />
* Dazu muss man auf den '''DNS Server''' einen vorkonfigurierten Pseudo Top Level Domain Nameserver als '''Forwarder''' eintragen<br />
* '''vim /etc/bind/named.conf.options'''<br />
<br />
...<br />
forwarders { 172.RNr.0.100; }; //IP des Top Level Domain Nameservers<br />
...<br />
<br />
* Wenn man die Reverse Zone später auch auflösen will braucht man diese Zeile<br />
* '''vim /etc/bind/named.conf.options'''<br />
<br />
...<br />
empty-zones-enable no;<br />
...<br />
<br />
* '''systemctl restart bind9'''<br />
* Einmal alle Domänen durchtesten<br />
* '''dig +short dns.lab''1xx''.nux'''<br />
* '''ping fw.lab''1xx''.nux'''<br />
<br />
== Pseudo ''.nux'' Domain Server ==<br />
<br />
* '''vim /etc/bind/named.conf.options'''<br />
<br />
options {<br />
directory "/var/cache/bind";<br />
empty-zones-enable no;<br />
allow-recursion { 0.0.0.0/0; };<br />
allow-query { 0.0.0.0/0; };<br />
dnssec-validation no;<br />
};<br />
* Zur Zonendefinition hinzufügen<br />
* '''vim /etc/bind/named.conf.local'''<br />
<br />
zone "nux" {<br />
type master;<br />
file "nux";<br />
};<br />
zone "0.10.in-addr.arpa" {<br />
type master;<br />
file "0.10.in-addr.arpa";<br />
};<br />
...<br />
* Zonendateien<br />
* '''vim /var/cache/bind/nux'''<br />
<br />
$TTL 300<br />
@ IN SOA dns.nux. technik.xinux.de. (2023041809 14400 3600 3600000 86400)<br />
<br />
@ IN NS dns.nux.<br />
lab101 NS dns.lab101.nux.<br />
lab102 NS dns.lab102.nux.<br />
lab100 NS dns.nux.<br />
<br />
dns IN A 172.RNr.0.100<br />
dns.lab101 A 172.RNr.0.1''xx''<br />
dns.lab102 A 172.RNr.0.1''xy''<br />
<br />
= Reverse Lookup =<br />
<br />
* Für manche Dienste muss einer IP einen Domain Namen zugeordnet werden<br />
* Dazu eine neue Zone definieren und eine neue Zonendatei erstellen<br />
* '''vim /etc/bind/named.conf.local'''<br />
<br />
zone "100.0.10.in-addr.arpa" {<br />
type master;<br />
file "100.0.10.in-addr.arpa";<br />
};<br />
<br />
* '''vim 100.0.10.in-addr.arpa'''<br />
<br />
$TTL 300<br />
@ IN SOA dns.lab100.nux. technik.xinux.de. (2023050901 14400 3600 3600000 86400)<br />
IN NS dns.lab100.nux.<br />
1 IN PTR fw.lab100.nux.<br />
2 IN PTR dns.lab100.nux.<br />
<br />
* '''systemctl restart bind9'''<br />
<br />
= Netz absichern =<br />
<br />
* Im Moment darf jeder auf die Firewall von jeden zugreifen (und damit alle dahinterliegenden Systeme)<br />
* Um dies zu verhindern erstellen wir mit [[Nftables Netze absichern|nftables]] Firewall Regeln, die nur das nötigste zulassen<br />
* Die Regeln werden von oben nach unten abgearbeitet<br />
* Wenn keine Regel greift, dann zieht die ''Default Policy''<br />
<br />
; Prerouting, Input, Forward, Output und Postrouting sind Punkte an denen wir Regeln erstellen können<br />
<br />
{{#drawio:nft-inet1}}<br />
<br />
== Nur SSH aus LAN auf die Firewall zulassen ==<br />
<br />
* Default Policy wird in allen Filterketten auf Drop gesetzt<br />
* Wenn also keine Regel das Paket durchlässt, wird es verworfen<br />
* Über Connection Tracking können wir uns auf die Regulierung neuer Verbindungen fokussieren<br />
* Als erstes soll nur:<br />
** Die Firewall mit sich selbst über das loopback Interface kommunizieren können (da es sonst zu komischen Problemen führen kann)<br />
** ''Established'' und ''Related'' Pakete akzeptiert werden<br />
** Neue Anfragen aus dem LAN auf TCP Port 2222 akzeptieren<br />
** Firewall soll über HTTP bzw. HTTPS Programme herunterladen können<br />
** Gedroppte Pakete sollen geloggt werden<br />
* '''vim /etc/nftables.conf'''<br />
<br />
#!/usr/sbin/nft -f<br />
<br />
flush ruleset<br />
define wanip = 172.RNr.0.1xx <br />
define dnsserver = 10.0.1xx.2<br />
'''define wandev = enp0s3'''<br />
'''define landev = enp0s8'''<br />
'''define lan = 192.168.0.0/24'''<br />
<br />
table inet filter {<br />
chain input {<br />
type filter hook input priority filter; '''policy drop;'''<br />
'''iif "lo" accept'''<br />
'''ct state established,related accept'''<br />
'''iif $landev tcp dport 2222 accept'''<br />
'''log prefix "--nftables-drop-input--"'''<br />
}<br />
chain forward {<br />
type filter hook forward priority filter; '''policy drop;'''<br />
'''ct state established,related accept'''<br />
'''log prefix "--nftables-drop-forward--"'''<br />
}<br />
chain output {<br />
type filter hook output priority filter; '''policy drop;'''<br />
'''oif "lo" accept'''<br />
'''ct state established,related accept'''<br />
'''oif $wandev tcp dport { 80, 443 } accept'''<br />
'''log prefix "--nftables-drop-output--"'''<br />
}<br />
}<br />
table inet nat {<br />
chain prerouting {<br />
type nat hook prerouting priority -100; policy accept;<br />
ip daddr $wanip tcp dport 53 dnat ip to $dnsserver:53<br />
ip daddr $wanip udp dport 53 dnat ip to $dnsserver:53<br />
}<br />
<br />
chain postrouting {<br />
type nat hook postrouting priority srcnat; policy accept;<br />
oif $wandev masquerade<br />
}<br />
}<br />
}<br />
<br />
* '''systemctl restart nftables'''<br />
<br />
== Internetzugriff für LAN und Firewall ==<br />
<br />
* '''vim ''/etc/nftables.conf'' '''<br />
#!/usr/sbin/nft -f<br />
<br />
flush ruleset<br />
<br />
define wanip = 172.22.0.1xx<br />
define dnsserver = 10.0.1xx.2<br />
define wandev = "enp0s3"<br />
define landev = "enp0s8"<br />
define dmzdev = "enp0s9"<br />
define lan = 192.168.0.0/24<br />
define dmz = 10.0.1xx.0/24<br />
<br />
table inet filter {<br />
chain input {<br />
type filter hook input priority 0; policy drop;<br />
ct state { "established", "related" } accept<br />
iif "lo" accept<br />
iif $landev ip saddr $lan tcp dport 2222 accept<br />
icmp type echo-request accept<br />
log prefix "--nftables-drop-input--"<br />
}<br />
chain forward {<br />
type filter hook forward priority 0; policy drop;<br />
ct state { "established", "related" } accept<br />
icmp type echo-request accept<br />
iif $landev ip saddr $lan oif $dmzdev ip daddr $dnsserver udp dport 53 accept<br />
iif $wandev ip daddr $dnsserver tcp dport 53 accept<br />
iif $wandev ip daddr $dnsserver udp dport 53 accept<br />
iif $dmzdev ip saddr $dnsserver tcp dport 53 accept<br />
iif $dmzdev ip saddr $dnsserver udp dport 53 accept<br />
oif $wandev tcp dport { 80, 443 } accept<br />
iif $landev ip saddr $lan oif $dmzdev ip daddr $dmz tcp dport 22 accept<br />
log prefix "--nftables-drop-forward--"<br />
}<br />
chain output {<br />
type filter hook output priority 0; policy drop;<br />
ct state { "established", "related" } accept<br />
icmp type echo-request accept<br />
udp dport 53 accept<br />
oif $wandev tcp dport { 80, 443 } accept<br />
log prefix "--nftables-drop-output--"<br />
}<br />
}<br />
<br />
table inet nat {<br />
chain prerouting {<br />
type nat hook prerouting priority -100; policy accept;<br />
ip daddr $wanip tcp dport 53 dnat ip to $dnsserver:53<br />
ip daddr $wanip udp dport 53 dnat ip to $dnsserver:53<br />
}<br />
chain postrouting {<br />
type nat hook postrouting priority 100; policy accept;<br />
oif $wandev masquerade<br />
}<br />
}<br />
<br />
* '''systemctl restart nftables'''<br />
<br />
== '''C'''onnection '''T'''racking '''T'''abelle ==<br />
<br />
* Das Tool '''conntrack''' installieren, um die CTT anschauen und leeren zu können<br />
* '''apt install conntrack'''<br />
* '''conntrack -F''' ''# Leert die Tabelle''<br />
* '''conntrack -L'''<br />
<br />
tcp 6 432000 ESTABLISHED src=192.168.0.2 dst=192.168.0.2 sport=58178 dport=22 src=192.168.0.1 dst=192.168.0.2 sport=22 dport=58178 [ASSURED] mark=0 use=1<br />
<br />
= Webserver =<br />
<br />
{{#drawio:ul-tag-2}}<br />
<br />
* Rechnern im LAN sollen Webseiten aufrufen können<br />
* unsere DNS Server sollten andere Server im Internet und in den anderen DMZs befragen dürfen<br />
* d.h. UDP Port 53 aus LAN und DMZ und TCP Ports 80 und 443 für LAN sollten freigeschalten werden<br />
* '''vim /etc/nftables.conf'''<br />
<br />
#!/usr/sbin/nft -f<br />
<br />
flush ruleset<br />
define wandev = enp0s3<br />
define landev = enp0s8<br />
'''define dmzdev = enp0s9'''<br />
define lan = 192.168.0.0/24<br />
'''define dmz = 10.0.1''xx''.0/24'''<br />
<br />
table inet filter {<br />
chain input {<br />
type filter hook input priority filter; policy drop;<br />
iif "lo" accept<br />
ct state established,related accept<br />
iif $landev tcp dport 22 accept<br />
log prefix "--nftables-drop-input--"<br />
}<br />
chain forward {<br />
type filter hook forward priority filter; policy drop;<br />
ct state established,related accept<br />
'''iif { $dmzdev, $landev } ip saddr { $dmz, $lan } udp dport 53 oif { $dmzdev, $wandev } accept'''<br />
'''iif $landev ip saddr $lan tcp dport { 80, 443 } oif $wandev accept'''<br />
log prefix "--nftables-drop-forward--"<br />
}<br />
chain output {<br />
type filter hook output priority filter; policy drop;<br />
ct state established,related accept<br />
oif $wandev tcp dport { 80, 443 } accept<br />
log prefix "--nftables-drop-output--"<br />
}<br />
<br />
table inet nat {<br />
chain postrouting {<br />
type nat hook postrouting priority srcnat; policy accept;<br />
oif $wandev masquerade<br />
}<br />
}<br />
}<br />
<br />
== '''D'''estination NAT und Portforwarding ==<br />
<br />
* Ein Webserver in der DMZ soll öffentlich erreichbar sein<br />
* Das Internet kennt aber nur unsere WAN IP<br />
* Wir erwarten, dass solche Anfragen auf Port 80/443 an unsere Firewall ankommen<br />
* Die Zieladresse soll dann in der Prerouting Kette auf die des Webserver umgeschrieben werden<br />
* Dadurch geht das Paket in die Forward Kette anstatt der Input Kette<br />
* Also muss dort die entsprechende Regel zum Freischalten stehen<br />
<br />
#!/usr/sbin/nft -f<br />
<br />
flush ruleset<br />
define wandev = enp0s3<br />
define landev = enp0s8<br />
define dmzdev = enp0s9<br />
define lan = 192.168.0.0/24<br />
define dmz = 10.0.1''xx''.0/24<br />
'''define wanip = 172.RNr.1.1''xx'''''<br />
'''define webserver = 10.0.1''xx''.2'''<br />
<br />
table inet filter {<br />
chain input {<br />
type filter hook input priority filter; policy drop;<br />
iif "lo" accept<br />
ct state established,related accept<br />
iif $landev tcp dport 22 accept<br />
log prefix "--nftables-drop-input--"<br />
}<br />
chain forward {<br />
type filter hook forward priority filter; policy drop;<br />
ct state established,related accept<br />
iif { $dmzdev, $landev } ip saddr { $dmz, $lan } udp dport 53 oif { $dmzdev, $wandev } accept<br />
iif $landev ip saddr $lan tcp dport { 80, 443 } oif $wandev accept<br />
'''ip daddr $webserver tcp dport 80 accept'''<br />
log prefix "--nftables-drop-forward--"<br />
}<br />
chain output {<br />
type filter hook output priority filter; policy drop;<br />
ct state established,related accept<br />
oif $wandev tcp dport { 80, 443 } accept<br />
log prefix "--nftables-drop-output--"<br />
}<br />
<br />
table inet nat {<br />
'''chain prerouting {'''<br />
'''type nat hook prerouting priority 0; policy accept;'''<br />
'''ip daddr $wanip tcp dport 80 dnat ip to $webserver:80'''<br />
'''}'''<br />
<br />
chain postrouting {<br />
type nat hook postrouting priority srcnat; policy accept;<br />
oif $wandev masquerade<br />
}<br />
}<br />
<br />
* '''systemctl restart nftables'''<br />
* Der DNS Server soll uns erstmal auch als Webserver dienen<br />
* '''apt install apache2'''<br />
* Im Browser sollten die Webserver über die IPs der Firewalls erreichbar sein<br />
<br />
== Debug Möglichkeiten ==<br />
<br />
* Falls sich die Firewall nicht so verhält wie erwartet, kann man:<br />
** Connection Tracking Tabelle leeren/flushen: '''conntrack -F'''<br />
** Über '''tail -f -n0 /var/log/syslog | grep nftables''' gedroppte Pakete anschauen (wenn die Log Regeln da sind)<br />
** NAT Regeln überprüfen: '''tcpdump -i ''interface'' ''filter'''''<br />
** Auf Syntaxfehler überprüfen: '''nft -cf /etc/nftables.conf'''<br />
<br />
= LDAP Server einrichten =<br />
<br />
{{#drawio:ul-tag-3}}<br />
<br />
* ein LDAP Server ermöglicht uns zentrale Benutzerverwaltung innerhalb einer Domäne<br />
* die Benutzerdaten werden in einer Datenbank gespeichert und von Clients über '''TCP Port 389''' befragt<br />
* eine neue VM vom Template klonen und Grundeinstellungen vornehmen:<br />
# Hostname auf ''ldap'' setzen<br />
# statische IP vergeben<br />
# SSH Schlüssel hinterlegen<br />
# Eintrag im DNS Server vornehmen<br />
* eventuell muss auf der Firewall Port 80 und 443 für die DMZ freigeschaltet werden, damit die Pakete heruntergeladen werden können<br />
* [[LDAP]]<br />
* [[Openldap Basic Config common]]<br />
<br />
= [[HAProxy]] für zentrale SSL Terminierung =<br />
<br />
{{#drawio:ul-tag-4}}<br />
<br />
* Im Moment ist nur SSH verschlüsselt<br />
* Pakete von HTTP Verbindungen zwischen den LAN und DMZ werden im Klartext verschickt<br />
* '''Problem''': Jemand der den Verkehr mitscheidet, kann alles lesen<br />
* '''Lösung''': Upgrade auf HTTPS mit [[Grundlagen Kryptografie | Zertifikaten]]<br />
* [[SFTP-Server]] für den sicheren Transfer der Zertifikatsanträge<br />
* eine neue VM vom Template klonen und Grundeinstellungen vornehmen:<br />
# Hostname auf ''haproxy'' setzen<br />
# statische IP vergeben '''10.0.1''xx''.2'''<br />
# SSH Schlüssel hinterlegen<br />
# Eintrag im DNS Server vornehmen<br />
# signiertes Wildcard-Zertifikat rüberkopieren<br />
# privaten Zertifikatsschlüssel rüberkopieren<br />
<br />
* Signiertes Zertifikat vom SFTP Server holen<br />
* '''sftp -P 9922 cert_req@172.RNr.1.100'''<br />
* '''get cert/lab1''xx''.nux.crt'''<br />
* Auf dem HAProxy die ''server.pem'' Datei erstellen<br />
* '''cat lab1''xx''.nux.key lab1''xx''.nux.crt > /etc/haproxy/server.pem'''<br />
* '''vim /etc/haproxy/haproxy.cfg'''<br />
<br />
frontend https_web_services<br />
bind 10.0.1''xx''.2:443 name localhost_443 ssl crt /etc/haproxy/server.pem<br />
timeout client 50000<br />
mode http<br />
acl acl_web1 hdr_beg(host) -i web1<br />
acl acl_web2 hdr_beg(host) -i web2<br />
use_backend backend_web1 if acl_web1<br />
use_backend backend_web2 if acl_web2<br />
default_backend http_backend<br />
<br />
#frontend https_frontend<br />
# bind 10.0.1''xx''.2:443 name localhost_443 ssl crt /etc/haproxy/server.pem<br />
# timeout client 50000<br />
# default_backend http_backend<br />
<br />
backend backend_web1<br />
timeout connect 5000<br />
timeout server 50000<br />
mode http<br />
server web_dns 10.0.1''xx''.2:80 check<br />
<br />
backend backend_web2<br />
timeout connect 5000<br />
timeout server 50000<br />
mode http<br />
server web_ldap 10.0.1''xx''.3:80 check<br />
<br />
backend http_backend<br />
mode http<br />
balance roundrobin<br />
timeout connect 5000<br />
timeout server 50000<br />
server web_dns_2 10.0.1''xx''.2:80 check<br />
server web_ldap_2 10.0.1''xx''.3:80 check<br />
<br />
* '''systemctl restart haproxy'''<br />
<br />
= [[Squid erste Schritte|Squid]] Proxy auf der Firewall =<br />
<br />
* [[Squid ACL Basic]]<br />
* [[Iptables mit Squid Transparenter Proxy]]<br />
* Mehr Kontrolle über die Domains, die LAN erreichen darf<br />
* '''vim /etc/squid/squid.conf'''<br />
acl facebook url_regex -i facebook<br />
<br />
http_access deny facebook<br />
http_access allow all<br />
<br />
#nativer Zugriff<br />
http_port 3128 ssl-bump cert=/etc/squid/certs/squid_proxyCA.pem generate-host-certificates=on options=NO_SSLv3,NO_TLSv1,NO_TLSv1_1,SINGLE_DH_USE,SINGLE_ECDH_USE<br />
#transparenter Zugriff unverschlüsselt<br />
http_port 3128 intercept<br />
#transparenter Zugriff verschlüsselt '''wichtig https_port'''<br />
https_port 3129 ssl-bump intercept cert=/etc/squid/certs/squid_proxyCA.pem generate-host-certificates=on options=NO_SSLv3,NO_TLSv1,NO_TLSv1_1,SINGLE_DH_USE,SINGLE_ECDH_USE<br />
<br />
ssl_bump bump all<br />
<br />
coredump_dir /var/spool/squid<br />
logfile_rotate 0<br />
<br />
cache_dir ufs /var/spool/squid 200 16 256<br />
* '''vim /etc/squid/squid.conf'''<br />
<br />
...<br />
'''acl domain_blacklist dstdomain "/etc/squid/domain_blacklist.txt"'''<br />
...<br />
'''http_access deny all domain_blacklist'''<br />
http_access allow localnet<br />
...<br />
<br />
* '''vim /etc/squid/domain_blacklist.txt'''<br />
<br />
facebook.com<br />
twitter.com<br />
<br />
* '''systemctl restart squid'''<br />
<br />
{{#drawio:ul-tag-5}}<br />
<br />
= Festplatten verschlüsseln =<br />
<br />
; Das Verschlüsseln mit '''cryptsetup''' löscht alle vorherigen Daten der Festplatte<br />
* Neue Festplatte in VirtualBox erstellen und anhängen<br />
* zu verschlüsselnde Partition anlegen<br />
* '''fdisk /dev/sdX'''<br />
* '''cryptsetup luksFormat /dev/sdXx'''<br />
* '''cryptsetup open /dev/sdXx ''name'' '''<br />
* Dateisystem auf der entschlüsselten Partition anlegen<br />
* '''mkfs.ext4 /dev/mapper/''name'' '''<br />
* beliebige Testdatei erstellen<br />
* '''echo "Hallo Welt" > encrypted.txt'''<br />
* Nach Benutzen der Partition wieder verschlüsseln<br />
* '''cryptsetup close name'''<br />
<br />
= Separate VM für Monitoring/Scanning =<br />
<br />
# Hostname auf ''health'' setzen<br />
# statische IP vergeben '''10.0.1''xx''.4/24'''<br />
# SSH Schlüssel hinterlegen<br />
# Eintrag im DNS Server vornehmen<br />
<br />
= Checkmk =<br />
<br />
* Die Weboberfläche soll über [https://cmk.lab1xx.nux https://cmk.lab1''xx''.nux] erreichbar sein:<br />
** DNS Eintrag<br />
** HAProxy ACL<br />
<br />
* Download: https://checkmk.com/de/download?method=cmk&edition=cre&version=2.2.0b7&platform=debian&os=bullseye&type=cmk<br />
* Anweisungen der Webseite folgen<br />
* cmkadmin's Passwort auf 123Start$ ändern<br />
* Rechner ins Monitoring hinzufügen<br />
* AUR Paketmanager https://github.com/Jguer/yay</div>
Linkai.zhang
https://wiki.xinux.net/index.php?title=Unix-/Linux_Netz&diff=58645
Unix-/Linux Netz
2024-12-04T08:38:28Z
<p>Linkai.zhang: /* Nur SSH aus LAN auf die Firewall zulassen */</p>
<hr />
<div>=Netzwerk der Schulung=<br />
<br />
* Die WAN-IP wird die 172.RNr.0.(100 + eigene Nr.)<br />
* Die '''D'''e'''m'''ilitarisierte '''Z'''one (DMZ) enthält Services, die von außen erreichbar sein sollen<br />
* Im LAN befindet sich unser Administratorrechner von dem wir unsere Rechner konfigurieren<br />
* Das LAN soll Verbindungen ins Internet initiieren können, aber nicht direkt von außen erreichbar sein<br />
<br />
{{#drawio:ul2}}<br />
<br />
;''xx'' in den folgenden Bildern durch die eigene Nummer ersetzen<br />
;Benutzername für virtuelle Maschinen ist ''xinux'' oder ''root''<br />
;Passwort ist immer 123Start$<br />
<br />
= Vorbereiten der Firewall =<br />
<br />
{{#drawio:ul-tag-0}}<br />
<br />
* Wir klonen den Rechner "Server Vorlage" und nennen ihn "Firewall"<br />
* Dieser braucht 3 Netzwerkadapter:<br />
# Netzwerkbrücke<br />
# Internes Netzwerk "LAN"<br />
# Internes Netzwerk "DMZ"<br />
* Wir starten die Firewall und konfigurieren statische IP Adressen für alle 3 Netzwerkadapter<br />
* '''vim /etc/network/interfaces'''<br />
<br />
auto lo<br />
iface lo inet loopback<br />
<br />
auto enp0s3<br />
iface enp0s3 inet static<br />
address 172.RNr.0.1''xx''/16<br />
gateway 172.RNr.0.1<br />
<br />
auto enp0s8<br />
iface enp0s8 inet static<br />
address 192.168.0.1/24<br />
<br />
auto enp0s9<br />
iface enp0s9 inet static<br />
address 10.0.1''xx''.1/24<br />
<br />
* Interfaces runter und wieder hochfahren, um die neue Konfiguration zu laden<br />
* '''ifdown -va'''<br />
* '''ifup -va'''<br />
* bzw.<br />
* '''systemctl restart networking'''<br />
* Danach sollte der Befehl '''ip address show''' (oder '''ip a''') die neuen IP Adressen anzeigen<br />
<br />
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000<br />
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00<br />
inet 127.0.0.1/8 scope host lo<br />
valid_lft forever preferred_lft forever<br />
inet6 ::1/128 scope host <br />
valid_lft forever preferred_lft forever<br />
2: enp0s3: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1456 qdisc pfifo_fast state UP group default qlen 1000<br />
link/ether 08:00:27:9b:79:a1 brd ff:ff:ff:ff:ff:ff<br />
inet '''172.RNr.1.1''xx''/16''' brd 172.22.255.255 scope global enp0s3<br />
valid_lft forever preferred_lft forever<br />
inet6 2003:e5:173a:c401:a00:27ff:fe9b:79a1/64 scope global dynamic mngtmpaddr <br />
valid_lft 7134sec preferred_lft 1215sec<br />
inet6 fe80::a00:27ff:fe9b:79a1/64 scope link <br />
valid_lft forever preferred_lft forever<br />
3: enp0s8: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000<br />
link/ether 08:00:27:15:03:b7 brd ff:ff:ff:ff:ff:ff<br />
inet '''192.168.0.1/24''' brd 192.168.0.255 scope global enp0s8<br />
valid_lft forever preferred_lft forever<br />
inet6 fe80::a00:27ff:fe15:3b7/64 scope link <br />
valid_lft forever preferred_lft forever<br />
4: enp0s9: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000<br />
link/ether 08:00:27:31:01:09 brd ff:ff:ff:ff:ff:ff<br />
inet '''10.0.1''xx''.1/24''' brd 10.0.100.255 scope global enp0s9<br />
valid_lft forever preferred_lft forever<br />
inet6 fe80::a00:27ff:fe31:109/64 scope link <br />
valid_lft forever preferred_lft forever<br />
<br />
= Workstation im LAN zum Systemadministrator machen =<br />
<br />
* Den Netzwerkadapter von VM "LAN Host" auf "Internes Netzwerk LAN" umstellen und die VM starten<br />
* Wenn wir unsere Netzwerkkonfiguration anschauen, dann sehen wir keine IP Adresse, da noch kein DHCP läuft<br />
* Deshalb geben wir uns eine temporäre IP, um per SSH auf die Firewall zu kommen<br />
* '''systemctl stop NetworkManager'''<br />
* '''ip address add 192.168.0.2/24 dev enp0s3'''<br />
* Nun können wir die Firewall per SSH erreichen<br />
* '''ssh xinux@192.168.0.1'''<br />
* als erstes ändern wir den hostnamen der Firewall von ''debian'' zu ''firewall''<br />
* '''sudo -i'''<br />
* '''hostnamectl set-hostname fw''xx'' '''<br />
* '''vim /etc/hosts'''<br />
<br />
127.0.0.1 localhost<br />
127.0.1.1 '''fw''xx'' '''<br />
...<br />
<br />
* Ein erneutes einloggen updatet den Namen im Prompt<br />
* als nächstes installieren wir einen [[DHCP]] Server, um Rechnern im LAN automatisch eine Netzwerkkonfiguration zu geben<br />
* '''apt install isc-dhcp-server'''<br />
* Am Ende der Installation wird es eine Fehlermeldung geben, da systemd versucht den Dienst zu starten, obwohl noch keine Konfiguration da ist<br />
* '''vim /etc/default/isc-dhcp-server'''<br />
<br />
DHCPDv4_CONF=/etc/dhcp/dhcpd.conf<br />
INTERFACESv4="enp0s8"<br />
<br />
* '''vim /etc/dhcp/dhcpd.conf'''<br />
<br />
option domain-name-servers 1.1.1.1;<br />
default-lease-time 600;<br />
max-lease-time 7200;<br />
authoritative;<br />
<br />
subnet 192.168.0.0 netmask 255.255.255.0 {<br />
range 192.168.0.50 192.168.0.100;<br />
option routers 192.168.0.1;<br />
}<br />
<br />
# Feste IP-Adresse für eine bestimmte MAC-Adresse<br />
host controller {<br />
hardware ethernet ''MAC Adresse vom Arch'';<br />
fixed-address 192.168.0.2;<br />
option routers 192.168.0.1;<br />
}<br />
<br />
* Dienst mit der neuen Konfiguration starten und überprüfen<br />
* '''systemctl restart isc-dhcp-server'''<br />
* '''systemctl status isc-dhcp-server'''<br />
* Beim Neustart von Arch sollte dann automatisch die ''192.168.0.2'' bekommen (falls nicht MAC-Adresse überprüfen)<br />
<br />
= Firewall als Router konfigurieren =<br />
<br />
* Im Moment verwirft die Firewall alle Pakete mit IP-Adressen, die nicht für ihn selbst bestimmt sind<br />
* Um die Pakete uns Default-Gateway weiterzuleiten muss der Kernelparameter ''net.ipv4.ip_forward'' gesetzt sein<br />
* Temporär (bleibt nicht nach einem Reboot):<br />
**'''sysctl -w net.ipv4.ip_forward=1''' ''# Einschalten''<br />
**'''sysctl -w net.ipv4.ip_forward=0''' ''# Ausschalten''<br />
* Für eine persistente Konfiguration muss dieser Parameter in der die Datei ''/etc/sysctl.conf'' stehen<br />
* '''vim /etc/sysctl.conf'''<br />
<br />
...<br />
<br />
# Uncomment the next line to enable packet forwarding for IPv4<br />
net.ipv4.ip_forward=1<br />
...<br />
<br />
* '''sysctl -p'''<br />
<br />
net.ipv4.ip_forward = 1<br />
<br />
* '''S'''ource '''N'''etwork '''A'''ddress '''T'''ranslation muss noch geschehen, damit die Pakete mit IP Adressen aus einem privaten Netzwerk den Weg zurück finden<br />
* '''vim /etc/nftables.conf'''<br />
<br />
#!/usr/sbin/nft -f<br />
<br />
flush ruleset<br />
<br />
table inet filter {<br />
chain input {<br />
type filter hook input priority 0;<br />
}<br />
chain forward {<br />
type filter hook forward priority 0;<br />
}<br />
chain output {<br />
type filter hook output priority 0;<br />
}<br />
}<br />
<br />
table inet nat {<br />
chain postrouting {<br />
type nat hook postrouting priority 100; policy accept;<br />
oif enp0s3 masquerade<br />
}<br />
}<br />
<br />
* '''systemctl restart nftables'''<br />
* '''systemctl enable nftables'''<br />
<br />
<br />
= SSH Schlüssel für passwortloses Login =<br />
<br />
== LAN ==<br />
<br />
* Um nicht jedes mal das Passwort beim Login eingeben zu müssen kann man sich stattdessen mit einem privaten Schlüssel authentifizieren<br />
* Wir erstellen einen Schlüssel mit RSA Verschlüsselung und erstmal ohne Passwortabfrage für den Benutz des Schlüssels<br />
* '''ssh-keygen''' ''# 123Start$ als Passwort nehmen''<br />
* '''ssh-copy-id xinux@192.168.0.1'''<br />
* bzw.<br />
* '''scp ~/.ssh/id_rsa.pub xinux@192.168.0.1:~/.ssh/authorized_keys'''<br />
* In der ''authorized_keys'' Datei können mehrere öffentliche Schlüssel stehen (pro Zeile ein Schlüssel)<br />
* Es ist üblich SSH Login über Passwörter komplett auszuschalten sobald die SSH Schlüssel von den zugangsberechtigten Benutzern hinterlegt sind<br />
* Normalerweise sind die Schlüssel passwortgeschützt.<br />
* Damit man nicht jedes mal das Passwort dafür eingeben muss kann man einen [[SSH Agent]] nutzen<br />
<br />
== Firewall ==<br />
<br />
* Wir wollen uns direkt als root einloggen können, weshalb die '''authorized_keys''' Datei auch im Home-Verzeichnis des root-Nutzers liegen muss<br />
* '''sudo -i'''<br />
* '''mkdir ''.ssh'' '''<br />
* '''cp ''~xinux/.ssh/authorized_keys'' ''.ssh/'' '''<br />
* Um den SSH-Server abszusichern können wir den Port verlegen und nur schlüsselbasiertes Einloggen zulassen<br />
* '''vim ''/etc/ssh/sshd_config'' '''<br />
<br />
Port 2222<br />
AddressFamily inet<br />
ListenAddress 192.168.0.1<br />
PubkeyAuthentication yes<br />
PasswordAuthentication no<br />
UsePAM no<br />
<br />
* '''systemctl restart sshd'''<br />
<br />
== LAN ==<br />
<br />
* Nun sollten wir uns direkt als root anmelden können <br />
* '''ssh -p 2222 root@192.168.0.1 "id && hostname"'''<br />
* Um die Ameldung einfacher zu gestalten können wir unseren SSH-Client konfigurieren<br />
* '''vim ''~/.ssh/config'' '''<br />
<br />
Host fw''xx''<br />
Hostname 192.168.0.1<br />
User root<br />
Port 2222<br />
<br />
* Jetzt kann man den Befehl folgendermaßen verkürzen:<br />
* '''ssh fw''xx'' '''<br />
<br />
= DHCP erweitern =<br />
<br />
* Um neue Rechner in der DMZ automatisch über LAN administrierbar zu machen, erweitern wir den DHCP Server auf der Firewall<br />
* '''vim /etc/default/isc-dhcp-server<br />
<br />
DHCPDv4_CONF=/etc/dhcp/dhcpd.conf<br />
INTERFACESv4="enp0s8 '''enp0s9'''"<br />
<br />
* Die Subnetzdefinitionen folgen der Reihenfolge der Interfaces in ''/etc/default/isc-dhcp-server''<br />
* '''vim /etc/dhcp/dhcpd.conf'''<br />
<br />
default-lease-time 600;<br />
max-lease-time 7200;<br />
authoritative;<br />
<br />
subnet 192.168.0.0 netmask 255.255.255.0 {<br />
range 192.168.0.50 192.168.0.100;<br />
option routers 192.168.0.1;<br />
}<br />
<br />
'''subnet 10.0.1''xx''.0 netmask 255.255.255.0 {'''<br />
'''range 10.0.1''xx''.50 10.0.1''xx''.100;'''<br />
'''option routers 10.0.1''xx''.1;'''<br />
'''}'''<br />
<br />
# Feste IP-Adresse für eine bestimmte MAC-Adresse<br />
host controller {<br />
hardware ethernet MAC Adresse vom Arch;<br />
fixed-address 192.168.0.2;<br />
option routers 192.168.0.1;<br />
}<br />
<br />
* '''systemctl restart isc-dhcp-server'''<br />
<br />
= [[DNS]] Server =<br />
<br />
{{#drawio:ul-tag-1}}<br />
<br />
== Virtualbox ==<br />
* Ein Klon von "Server Vorlage" mit Netzwerkadapter im internen Netzwerk "DMZ" erstellen<br />
* Über die Systemlogs für '''DHCP''' auf der '''Firewall''' können wir die IP Adresse des DNS-Servers herausfinden<br />
<br />
== Firewall ==<br />
* '''journalctl -u isc-dhcp-server'''<br />
* Zurück zu Arch wechseln und über SSH auf den DNS Server einloggen<br />
* '''ssh xinux@10.0.''(100 + eigene Nr.).'' ''yy'' '''<br />
<br />
== DNS ==<br />
* Anschließend die IP Adresse in ''/etc/network/interfaces'' konfigurieren: 10.0.''(100 + eigene Nr.)''.2<br />
* Hostname auf DNS: setzen (in ''/etc/hosts'' auch umändern)<br />
* SSH Schlüssel hinterlegen<br />
* Bind9 installieren<br />
* '''vim /etc/resolv.conf'''<br />
<br />
nameserver 1.1.1.1<br />
<br />
* '''apt install bind9'''<br />
* '''vim /etc/resolv.conf'''<br />
<br />
nameserver 127.0.0.1<br />
<br />
== Optionen festlegen ==<br />
<br />
* '''vim /etc/bind/named.conf.options'''<br />
<br />
options {<br />
directory "/var/cache/bind";<br />
dnssec-validation no;<br />
allow-recursion { 0.0.0.0/0; };<br />
};<br />
<br />
== Zone definieren ==<br />
<br />
* '''vim /etc/bind/named.conf.local'''<br />
<br />
zone "lab(100 + eigene Nr.).nux" {<br />
type master;<br />
file "lab(100 + eigene Nr.).nux";<br />
};<br />
<br />
== Zonendatei erstellen ==<br />
<br />
* '''vim /var/cache/bind/lab(100 + eigene Nr.).nux'''<br />
<br />
$TTL 300<br />
@ IN SOA dns.lab''(100 + eigene Nr.)''.nux. technik.xinux.de. (''(Datum + Ver.nr.)'' 14400 3600 3600000 86400)<br />
IN NS dns<br />
dns IN A 10.0.(100 + eigene Nr.).2<br />
fw IN A 10.0.(100 + eigene Nr.).1<br />
<br />
* Dienst neustarten und testen<br />
* '''systemctl restart bind9'''<br />
* '''dig +short dns.lab1''xx''.nux'''<br />
* '''dig +short fw.lab1''xx''.nux'''<br />
<br />
== '''D'''estination NAT und Portforwarding ==<br />
<br />
* Der DNS-Server in der DMZ soll öffentlich erreichbar sein<br />
* Das Internet kennt aber nur unsere WAN IP<br />
* Wir erwarten, dass solche Anfragen auf Port 53 UDP/TCP an unsere Firewall ankommen<br />
* Die Zieladresse soll dann in der Prerouting Kette auf die des Webserver umgeschrieben werden<br />
* Dadurch geht das Paket in die Forward Kette anstatt der Input Kette<br />
* Also muss dort die entsprechende Regel zum Freischalten stehen<br />
<br />
#!/usr/sbin/nft -f<br />
<br />
flush ruleset<br />
'''define wanip = 172.RNr.0.1''xx'' '''<br />
'''define dnsserver = 10.0.1''xx''.2'''<br />
<br />
table inet filter {<br />
chain input {<br />
type filter hook input priority filter;<br />
}<br />
chain forward {<br />
type filter hook forward priority filter;<br />
}<br />
chain output {<br />
type filter hook output priority filter;<br />
}<br />
}<br />
table inet nat {<br />
'''chain prerouting {'''<br />
'''type nat hook prerouting priority -100; policy accept;'''<br />
'''ip daddr $wanip tcp dport 53 dnat ip to $dnsserver:53'''<br />
'''ip daddr $wanip udp dport 53 dnat ip to $dnsserver:53'''<br />
'''}'''<br />
<br />
chain postrouting {<br />
type nat hook postrouting priority 100; policy accept;<br />
oif $wandev masquerade<br />
}<br />
}<br />
<br />
* '''systemctl restart nftables'''<br />
<br />
= Auflösen anderer Domänen über eine Pseudo Top Level Domain =<br />
<br />
== Dienst neustarten und DNS-Auflösung testen ==<br />
<br />
* '''systemctl restart bind9'''<br />
* '''dig +short dns.lab(100 + eigene Nr.).nux'''<br />
* '''dig +short xinux.net'''<br />
* Wenn das funktioniert dann den DNS Server im DHCP Server als Standard DNS Server und Suchdomäne eintragen (zur Firewall wechseln)<br />
* '''vim /etc/dhcp/dhcpd.conf'''<br />
<br />
option domain-name "lab(100 + eigene Nr.).nux";<br />
option domain-name-servers 10.0.''(100 + eigene Nr.)''.2;<br />
...<br />
<br />
* '''systemctl restart isc-dhcp-server'''<br />
* Arch neustarten und in ''/etc/resolv.conf'' nachschauen, ob die neue Konfiguration automatisch gezogen wurde<br />
* bzw.<br />
* '''systemctl restart NetworkManager'''<br />
<br />
= Bind9 Forwarder eintragen =<br />
<br />
== DNS Server der ''.nux''-Domain ==<br />
* Wenn jeder die DMZ der anderen erreichen kann, ist es möglich über eine Top Level Domain die anderen Domänen aufzulösen<br />
* Dazu muss man auf den '''DNS Server''' einen vorkonfigurierten Pseudo Top Level Domain Nameserver als '''Forwarder''' eintragen<br />
* '''vim /etc/bind/named.conf.options'''<br />
<br />
...<br />
forwarders { 172.RNr.0.100; }; //IP des Top Level Domain Nameservers<br />
...<br />
<br />
* Wenn man die Reverse Zone später auch auflösen will braucht man diese Zeile<br />
* '''vim /etc/bind/named.conf.options'''<br />
<br />
...<br />
empty-zones-enable no;<br />
...<br />
<br />
* '''systemctl restart bind9'''<br />
* Einmal alle Domänen durchtesten<br />
* '''dig +short dns.lab''1xx''.nux'''<br />
* '''ping fw.lab''1xx''.nux'''<br />
<br />
== Pseudo ''.nux'' Domain Server ==<br />
<br />
* '''vim /etc/bind/named.conf.options'''<br />
<br />
options {<br />
directory "/var/cache/bind";<br />
empty-zones-enable no;<br />
allow-recursion { 0.0.0.0/0; };<br />
allow-query { 0.0.0.0/0; };<br />
dnssec-validation no;<br />
};<br />
* Zur Zonendefinition hinzufügen<br />
* '''vim /etc/bind/named.conf.local'''<br />
<br />
zone "nux" {<br />
type master;<br />
file "nux";<br />
};<br />
zone "0.10.in-addr.arpa" {<br />
type master;<br />
file "0.10.in-addr.arpa";<br />
};<br />
...<br />
* Zonendateien<br />
* '''vim /var/cache/bind/nux'''<br />
<br />
$TTL 300<br />
@ IN SOA dns.nux. technik.xinux.de. (2023041809 14400 3600 3600000 86400)<br />
<br />
@ IN NS dns.nux.<br />
lab101 NS dns.lab101.nux.<br />
lab102 NS dns.lab102.nux.<br />
lab100 NS dns.nux.<br />
<br />
dns IN A 172.RNr.0.100<br />
dns.lab101 A 172.RNr.0.1''xx''<br />
dns.lab102 A 172.RNr.0.1''xy''<br />
<br />
= Reverse Lookup =<br />
<br />
* Für manche Dienste muss einer IP einen Domain Namen zugeordnet werden<br />
* Dazu eine neue Zone definieren und eine neue Zonendatei erstellen<br />
* '''vim /etc/bind/named.conf.local'''<br />
<br />
zone "100.0.10.in-addr.arpa" {<br />
type master;<br />
file "100.0.10.in-addr.arpa";<br />
};<br />
<br />
* '''vim 100.0.10.in-addr.arpa'''<br />
<br />
$TTL 300<br />
@ IN SOA dns.lab100.nux. technik.xinux.de. (2023050901 14400 3600 3600000 86400)<br />
IN NS dns.lab100.nux.<br />
1 IN PTR fw.lab100.nux.<br />
2 IN PTR dns.lab100.nux.<br />
<br />
* '''systemctl restart bind9'''<br />
<br />
= Netz absichern =<br />
<br />
* Im Moment darf jeder auf die Firewall von jeden zugreifen (und damit alle dahinterliegenden Systeme)<br />
* Um dies zu verhindern erstellen wir mit [[Nftables Netze absichern|nftables]] Firewall Regeln, die nur das nötigste zulassen<br />
* Die Regeln werden von oben nach unten abgearbeitet<br />
* Wenn keine Regel greift, dann zieht die ''Default Policy''<br />
<br />
; Prerouting, Input, Forward, Output und Postrouting sind Punkte an denen wir Regeln erstellen können<br />
<br />
{{#drawio:nft-inet1}}<br />
<br />
== Nur SSH aus LAN auf die Firewall zulassen ==<br />
<br />
* Default Policy wird in allen Filterketten auf Drop gesetzt<br />
* Wenn also keine Regel das Paket durchlässt, wird es verworfen<br />
* Über Connection Tracking können wir uns auf die Regulierung neuer Verbindungen fokussieren<br />
* Als erstes soll nur:<br />
** Die Firewall mit sich selbst über das loopback Interface kommunizieren können (da es sonst zu komischen Problemen führen kann)<br />
** ''Established'' und ''Related'' Pakete akzeptiert werden<br />
** Neue Anfragen aus dem LAN auf TCP Port 2222 akzeptieren<br />
** Firewall soll über HTTP bzw. HTTPS Programme herunterladen können<br />
** Gedroppte Pakete sollen geloggt werden<br />
* '''vim /etc/nftables.conf'''<br />
<br />
#!/usr/sbin/nft -f<br />
<br />
flush ruleset<br />
define wanip = 172.RNr.0.1xx <br />
define dnsserver = 10.0.1xx.2<br />
'''define wandev = enp0s3'''<br />
'''define landev = enp0s8'''<br />
'''define lan = 192.168.0.0/24'''<br />
<br />
table inet filter {<br />
chain input {<br />
type filter hook input priority filter; '''policy drop;'''<br />
'''iif "lo" accept'''<br />
'''ct state established,related accept'''<br />
'''iif $landev tcp dport 2222 accept'''<br />
'''log prefix "--nftables-drop-input--"'''<br />
}<br />
chain forward {<br />
type filter hook forward priority filter; '''policy drop;'''<br />
'''ct state established,related accept'''<br />
'''log prefix "--nftables-drop-forward--"'''<br />
}<br />
chain output {<br />
type filter hook output priority filter; '''policy drop;'''<br />
'''oif "lo" accept'''<br />
'''ct state established,related accept'''<br />
'''oif $wandev tcp dport { 80, 443 } accept'''<br />
'''log prefix "--nftables-drop-output--"'''<br />
}<br />
}<br />
table inet nat {<br />
chain prerouting {<br />
type nat hook prerouting priority -100; policy accept;<br />
ip daddr $wanip tcp dport 53 dnat ip to $dnsserver:53<br />
ip daddr $wanip udp dport 53 dnat ip to $dnsserver:53<br />
}<br />
<br />
chain postrouting {<br />
type nat hook postrouting priority srcnat; policy accept;<br />
oif $wandev masquerade<br />
}<br />
}<br />
<br />
* '''systemctl restart nftables'''<br />
<br />
== Internetzugriff für LAN und Firewall ==<br />
<br />
* '''vim ''/etc/nftables.conf'' '''<br />
#!/usr/sbin/nft -f<br />
<br />
flush ruleset<br />
<br />
define wanip = 172.22.0.1xx<br />
define dnsserver = 10.0.1xx.2<br />
define wandev = "enp0s3"<br />
define landev = "enp0s8"<br />
define dmzdev = "enp0s9"<br />
define lan = 192.168.0.0/24<br />
define dmz = 10.0.1xx.0/24<br />
<br />
table inet filter {<br />
chain input {<br />
type filter hook input priority 0; policy drop;<br />
ct state { "established", "related" } accept<br />
iif "lo" accept<br />
iif $landev ip saddr $lan tcp dport 2222 accept<br />
icmp type echo-request accept<br />
log prefix "--nftables-drop-input--"<br />
}<br />
chain forward {<br />
type filter hook forward priority 0; policy drop;<br />
ct state { "established", "related" } accept<br />
icmp type echo-request accept<br />
iif $landev ip saddr $lan oif $dmzdev ip daddr $dnsserver udp dport 53 accept<br />
iif $wandev ip daddr $dnsserver tcp dport 53 accept<br />
iif $wandev ip daddr $dnsserver udp dport 53 accept<br />
iif $dmzdev ip saddr $dnsserver tcp dport 53 accept<br />
iif $dmzdev ip saddr $dnsserver udp dport 53 accept<br />
oif $wandev tcp dport { 80, 443 } accept<br />
iif $landev ip saddr $lan oif $dmzdev ip daddr $dmz tcp dport 22 accept<br />
log prefix "--nftables-drop-forward--"<br />
}<br />
chain output {<br />
type filter hook output priority 0; policy drop;<br />
ct state { "established", "related" } accept<br />
icmp type echo-request accept<br />
udp dport 53 accept<br />
oif $wandev tcp dport { 80, 443 } accept<br />
log prefix "--nftables-drop-output--"<br />
}<br />
}<br />
<br />
table inet nat {<br />
chain prerouting {<br />
type nat hook prerouting priority -100; policy accept;<br />
ip daddr $wanip tcp dport 53 dnat ip to $dnsserver:53<br />
ip daddr $wanip udp dport 53 dnat ip to $dnsserver:53<br />
}<br />
chain postrouting {<br />
type nat hook postrouting priority 100; policy accept;<br />
oif $wandev masquerade<br />
}<br />
}<br />
<br />
* '''systemctl restart nftables'''<br />
<br />
== '''C'''onnection '''T'''racking '''T'''abelle ==<br />
<br />
* Das Tool '''conntrack''' installieren, um die CTT anschauen und leeren zu können<br />
* '''apt install conntrack'''<br />
* '''conntrack -F''' ''# Leert die Tabelle''<br />
* '''conntrack -L'''<br />
<br />
tcp 6 432000 ESTABLISHED src=192.168.0.2 dst=192.168.0.2 sport=58178 dport=22 src=192.168.0.1 dst=192.168.0.2 sport=22 dport=58178 [ASSURED] mark=0 use=1<br />
<br />
= Webserver =<br />
<br />
{{#drawio:ul-tag-2}}<br />
<br />
* Rechnern im LAN sollen Webseiten aufrufen können<br />
* unsere DNS Server sollten andere Server im Internet und in den anderen DMZs befragen dürfen<br />
* d.h. UDP Port 53 aus LAN und DMZ und TCP Ports 80 und 443 für LAN sollten freigeschalten werden<br />
* '''vim /etc/nftables.conf'''<br />
<br />
#!/usr/sbin/nft -f<br />
<br />
flush ruleset<br />
define wandev = enp0s3<br />
define landev = enp0s8<br />
'''define dmzdev = enp0s9'''<br />
define lan = 192.168.0.0/24<br />
'''define dmz = 10.0.1''xx''.0/24'''<br />
<br />
table inet filter {<br />
chain input {<br />
type filter hook input priority filter; policy drop;<br />
iif "lo" accept<br />
ct state established,related accept<br />
iif $landev tcp dport 22 accept<br />
log prefix "--nftables-drop-input--"<br />
}<br />
chain forward {<br />
type filter hook forward priority filter; policy drop;<br />
ct state established,related accept<br />
'''iif { $dmzdev, $landev } ip saddr { $dmz, $lan } udp dport 53 oif { $dmzdev, $wandev } accept'''<br />
'''iif $landev ip saddr $lan tcp dport { 80, 443 } oif $wandev accept'''<br />
log prefix "--nftables-drop-forward--"<br />
}<br />
chain output {<br />
type filter hook output priority filter; policy drop;<br />
ct state established,related accept<br />
oif $wandev tcp dport { 80, 443 } accept<br />
log prefix "--nftables-drop-output--"<br />
}<br />
<br />
table inet nat {<br />
chain postrouting {<br />
type nat hook postrouting priority srcnat; policy accept;<br />
oif $wandev masquerade<br />
}<br />
}<br />
}<br />
<br />
== '''D'''estination NAT und Portforwarding ==<br />
<br />
* Ein Webserver in der DMZ soll öffentlich erreichbar sein<br />
* Das Internet kennt aber nur unsere WAN IP<br />
* Wir erwarten, dass solche Anfragen auf Port 80/443 an unsere Firewall ankommen<br />
* Die Zieladresse soll dann in der Prerouting Kette auf die des Webserver umgeschrieben werden<br />
* Dadurch geht das Paket in die Forward Kette anstatt der Input Kette<br />
* Also muss dort die entsprechende Regel zum Freischalten stehen<br />
<br />
#!/usr/sbin/nft -f<br />
<br />
flush ruleset<br />
define wandev = enp0s3<br />
define landev = enp0s8<br />
define dmzdev = enp0s9<br />
define lan = 192.168.0.0/24<br />
define dmz = 10.0.1''xx''.0/24<br />
'''define wanip = 172.RNr.1.1''xx'''''<br />
'''define webserver = 10.0.1''xx''.2'''<br />
<br />
table inet filter {<br />
chain input {<br />
type filter hook input priority filter; policy drop;<br />
iif "lo" accept<br />
ct state established,related accept<br />
iif $landev tcp dport 22 accept<br />
log prefix "--nftables-drop-input--"<br />
}<br />
chain forward {<br />
type filter hook forward priority filter; policy drop;<br />
ct state established,related accept<br />
iif { $dmzdev, $landev } ip saddr { $dmz, $lan } udp dport 53 oif { $dmzdev, $wandev } accept<br />
iif $landev ip saddr $lan tcp dport { 80, 443 } oif $wandev accept<br />
'''ip daddr $webserver tcp dport 80 accept'''<br />
log prefix "--nftables-drop-forward--"<br />
}<br />
chain output {<br />
type filter hook output priority filter; policy drop;<br />
ct state established,related accept<br />
oif $wandev tcp dport { 80, 443 } accept<br />
log prefix "--nftables-drop-output--"<br />
}<br />
<br />
table inet nat {<br />
'''chain prerouting {'''<br />
'''type nat hook prerouting priority 0; policy accept;'''<br />
'''ip daddr $wanip tcp dport 80 dnat ip to $webserver:80'''<br />
'''}'''<br />
<br />
chain postrouting {<br />
type nat hook postrouting priority srcnat; policy accept;<br />
oif $wandev masquerade<br />
}<br />
}<br />
<br />
* '''systemctl restart nftables'''<br />
* Der DNS Server soll uns erstmal auch als Webserver dienen<br />
* '''apt install apache2'''<br />
* Im Browser sollten die Webserver über die IPs der Firewalls erreichbar sein<br />
<br />
== Debug Möglichkeiten ==<br />
<br />
* Falls sich die Firewall nicht so verhält wie erwartet, kann man:<br />
** Connection Tracking Tabelle leeren/flushen: '''conntrack -F'''<br />
** Über '''tail -f -n0 /var/log/syslog | grep nftables''' gedroppte Pakete anschauen (wenn die Log Regeln da sind)<br />
** NAT Regeln überprüfen: '''tcpdump -i ''interface'' ''filter'''''<br />
** Auf Syntaxfehler überprüfen: '''nft -cf /etc/nftables.conf'''<br />
<br />
= LDAP Server einrichten =<br />
<br />
{{#drawio:ul-tag-3}}<br />
<br />
* ein LDAP Server ermöglicht uns zentrale Benutzerverwaltung innerhalb einer Domäne<br />
* die Benutzerdaten werden in einer Datenbank gespeichert und von Clients über '''TCP Port 389''' befragt<br />
* eine neue VM vom Template klonen und Grundeinstellungen vornehmen:<br />
# Hostname auf ''ldap'' setzen<br />
# statische IP vergeben<br />
# SSH Schlüssel hinterlegen<br />
# Eintrag im DNS Server vornehmen<br />
* eventuell muss auf der Firewall Port 80 und 443 für die DMZ freigeschaltet werden, damit die Pakete heruntergeladen werden können<br />
* [[LDAP]]<br />
* [[Openldap Basic Config common]]<br />
<br />
= [[HAProxy]] für zentrale SSL Terminierung =<br />
<br />
{{#drawio:ul-tag-4}}<br />
<br />
* Im Moment ist nur SSH verschlüsselt<br />
* Pakete von HTTP Verbindungen zwischen den LAN und DMZ werden im Klartext verschickt<br />
* '''Problem''': Jemand der den Verkehr mitscheidet, kann alles lesen<br />
* '''Lösung''': Upgrade auf HTTPS mit [[Grundlagen Kryptografie | Zertifikaten]]<br />
* [[SFTP-Server]] für den sicheren Transfer der Zertifikatsanträge<br />
* eine neue VM vom Template klonen und Grundeinstellungen vornehmen:<br />
# Hostname auf ''haproxy'' setzen<br />
# statische IP vergeben '''10.0.1''xx''.2'''<br />
# SSH Schlüssel hinterlegen<br />
# Eintrag im DNS Server vornehmen<br />
# signiertes Wildcard-Zertifikat rüberkopieren<br />
# privaten Zertifikatsschlüssel rüberkopieren<br />
<br />
* Signiertes Zertifikat vom SFTP Server holen<br />
* '''sftp -P 9922 cert_req@172.RNr.1.100'''<br />
* '''get cert/lab1''xx''.nux.crt'''<br />
* Auf dem HAProxy die ''server.pem'' Datei erstellen<br />
* '''cat lab1''xx''.nux.key lab1''xx''.nux.crt > /etc/haproxy/server.pem'''<br />
* '''vim /etc/haproxy/haproxy.cfg'''<br />
<br />
frontend https_web_services<br />
bind 10.0.1''xx''.2:443 name localhost_443 ssl crt /etc/haproxy/server.pem<br />
timeout client 50000<br />
mode http<br />
acl acl_web1 hdr_beg(host) -i web1<br />
acl acl_web2 hdr_beg(host) -i web2<br />
use_backend backend_web1 if acl_web1<br />
use_backend backend_web2 if acl_web2<br />
default_backend http_backend<br />
<br />
#frontend https_frontend<br />
# bind 10.0.1''xx''.2:443 name localhost_443 ssl crt /etc/haproxy/server.pem<br />
# timeout client 50000<br />
# default_backend http_backend<br />
<br />
backend backend_web1<br />
timeout connect 5000<br />
timeout server 50000<br />
mode http<br />
server web_dns 10.0.1''xx''.2:80 check<br />
<br />
backend backend_web2<br />
timeout connect 5000<br />
timeout server 50000<br />
mode http<br />
server web_ldap 10.0.1''xx''.3:80 check<br />
<br />
backend http_backend<br />
mode http<br />
balance roundrobin<br />
timeout connect 5000<br />
timeout server 50000<br />
server web_dns_2 10.0.1''xx''.2:80 check<br />
server web_ldap_2 10.0.1''xx''.3:80 check<br />
<br />
* '''systemctl restart haproxy'''<br />
<br />
= [[Squid erste Schritte|Squid]] Proxy auf der Firewall =<br />
<br />
* [[Squid ACL Basic]]<br />
* [[Iptables mit Squid Transparenter Proxy]]<br />
* Mehr Kontrolle über die Domains, die LAN erreichen darf<br />
* '''vim /etc/squid/squid.conf'''<br />
acl facebook url_regex -i facebook<br />
<br />
http_access deny facebook<br />
http_access allow all<br />
<br />
#nativer Zugriff<br />
http_port 3128 ssl-bump cert=/etc/squid/certs/squid_proxyCA.pem generate-host-certificates=on options=NO_SSLv3,NO_TLSv1,NO_TLSv1_1,SINGLE_DH_USE,SINGLE_ECDH_USE<br />
#transparenter Zugriff unverschlüsselt<br />
http_port 3128 intercept<br />
#transparenter Zugriff verschlüsselt '''wichtig https_port'''<br />
https_port 3129 ssl-bump intercept cert=/etc/squid/certs/squid_proxyCA.pem generate-host-certificates=on options=NO_SSLv3,NO_TLSv1,NO_TLSv1_1,SINGLE_DH_USE,SINGLE_ECDH_USE<br />
<br />
ssl_bump bump all<br />
<br />
coredump_dir /var/spool/squid<br />
logfile_rotate 0<br />
<br />
cache_dir ufs /var/spool/squid 200 16 256<br />
* '''vim /etc/squid/squid.conf'''<br />
<br />
...<br />
'''acl domain_blacklist dstdomain "/etc/squid/domain_blacklist.txt"'''<br />
...<br />
'''http_access deny all domain_blacklist'''<br />
http_access allow localnet<br />
...<br />
<br />
* '''vim /etc/squid/domain_blacklist.txt'''<br />
<br />
facebook.com<br />
twitter.com<br />
<br />
* '''systemctl restart squid'''<br />
<br />
{{#drawio:ul-tag-5}}<br />
<br />
= Festplatten verschlüsseln =<br />
<br />
; Das Verschlüsseln mit '''cryptsetup''' löscht alle vorherigen Daten der Festplatte<br />
* Neue Festplatte in VirtualBox erstellen und anhängen<br />
* zu verschlüsselnde Partition anlegen<br />
* '''fdisk /dev/sdX'''<br />
* '''cryptsetup luksFormat /dev/sdXx'''<br />
* '''cryptsetup open /dev/sdXx ''name'' '''<br />
* Dateisystem auf der entschlüsselten Partition anlegen<br />
* '''mkfs.ext4 /dev/mapper/''name'' '''<br />
* beliebige Testdatei erstellen<br />
* '''echo "Hallo Welt" > encrypted.txt'''<br />
* Nach Benutzen der Partition wieder verschlüsseln<br />
* '''cryptsetup close name'''<br />
<br />
= Separate VM für Monitoring/Scanning =<br />
<br />
# Hostname auf ''health'' setzen<br />
# statische IP vergeben '''10.0.1''xx''.4/24'''<br />
# SSH Schlüssel hinterlegen<br />
# Eintrag im DNS Server vornehmen<br />
<br />
= Checkmk =<br />
<br />
* Die Weboberfläche soll über [https://cmk.lab1xx.nux https://cmk.lab1''xx''.nux] erreichbar sein:<br />
** DNS Eintrag<br />
** HAProxy ACL<br />
<br />
* Download: https://checkmk.com/de/download?method=cmk&edition=cre&version=2.2.0b7&platform=debian&os=bullseye&type=cmk<br />
* Anweisungen der Webseite folgen<br />
* cmkadmin's Passwort auf 123Start$ ändern<br />
* Rechner ins Monitoring hinzufügen<br />
* AUR Paketmanager https://github.com/Jguer/yay</div>
Linkai.zhang
https://wiki.xinux.net/index.php?title=Unix-/Linux_Netz&diff=58644
Unix-/Linux Netz
2024-12-04T08:37:20Z
<p>Linkai.zhang: /* Nur SSH aus LAN auf die Firewall zulassen */</p>
<hr />
<div>=Netzwerk der Schulung=<br />
<br />
* Die WAN-IP wird die 172.RNr.0.(100 + eigene Nr.)<br />
* Die '''D'''e'''m'''ilitarisierte '''Z'''one (DMZ) enthält Services, die von außen erreichbar sein sollen<br />
* Im LAN befindet sich unser Administratorrechner von dem wir unsere Rechner konfigurieren<br />
* Das LAN soll Verbindungen ins Internet initiieren können, aber nicht direkt von außen erreichbar sein<br />
<br />
{{#drawio:ul2}}<br />
<br />
;''xx'' in den folgenden Bildern durch die eigene Nummer ersetzen<br />
;Benutzername für virtuelle Maschinen ist ''xinux'' oder ''root''<br />
;Passwort ist immer 123Start$<br />
<br />
= Vorbereiten der Firewall =<br />
<br />
{{#drawio:ul-tag-0}}<br />
<br />
* Wir klonen den Rechner "Server Vorlage" und nennen ihn "Firewall"<br />
* Dieser braucht 3 Netzwerkadapter:<br />
# Netzwerkbrücke<br />
# Internes Netzwerk "LAN"<br />
# Internes Netzwerk "DMZ"<br />
* Wir starten die Firewall und konfigurieren statische IP Adressen für alle 3 Netzwerkadapter<br />
* '''vim /etc/network/interfaces'''<br />
<br />
auto lo<br />
iface lo inet loopback<br />
<br />
auto enp0s3<br />
iface enp0s3 inet static<br />
address 172.RNr.0.1''xx''/16<br />
gateway 172.RNr.0.1<br />
<br />
auto enp0s8<br />
iface enp0s8 inet static<br />
address 192.168.0.1/24<br />
<br />
auto enp0s9<br />
iface enp0s9 inet static<br />
address 10.0.1''xx''.1/24<br />
<br />
* Interfaces runter und wieder hochfahren, um die neue Konfiguration zu laden<br />
* '''ifdown -va'''<br />
* '''ifup -va'''<br />
* bzw.<br />
* '''systemctl restart networking'''<br />
* Danach sollte der Befehl '''ip address show''' (oder '''ip a''') die neuen IP Adressen anzeigen<br />
<br />
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000<br />
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00<br />
inet 127.0.0.1/8 scope host lo<br />
valid_lft forever preferred_lft forever<br />
inet6 ::1/128 scope host <br />
valid_lft forever preferred_lft forever<br />
2: enp0s3: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1456 qdisc pfifo_fast state UP group default qlen 1000<br />
link/ether 08:00:27:9b:79:a1 brd ff:ff:ff:ff:ff:ff<br />
inet '''172.RNr.1.1''xx''/16''' brd 172.22.255.255 scope global enp0s3<br />
valid_lft forever preferred_lft forever<br />
inet6 2003:e5:173a:c401:a00:27ff:fe9b:79a1/64 scope global dynamic mngtmpaddr <br />
valid_lft 7134sec preferred_lft 1215sec<br />
inet6 fe80::a00:27ff:fe9b:79a1/64 scope link <br />
valid_lft forever preferred_lft forever<br />
3: enp0s8: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000<br />
link/ether 08:00:27:15:03:b7 brd ff:ff:ff:ff:ff:ff<br />
inet '''192.168.0.1/24''' brd 192.168.0.255 scope global enp0s8<br />
valid_lft forever preferred_lft forever<br />
inet6 fe80::a00:27ff:fe15:3b7/64 scope link <br />
valid_lft forever preferred_lft forever<br />
4: enp0s9: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000<br />
link/ether 08:00:27:31:01:09 brd ff:ff:ff:ff:ff:ff<br />
inet '''10.0.1''xx''.1/24''' brd 10.0.100.255 scope global enp0s9<br />
valid_lft forever preferred_lft forever<br />
inet6 fe80::a00:27ff:fe31:109/64 scope link <br />
valid_lft forever preferred_lft forever<br />
<br />
= Workstation im LAN zum Systemadministrator machen =<br />
<br />
* Den Netzwerkadapter von VM "LAN Host" auf "Internes Netzwerk LAN" umstellen und die VM starten<br />
* Wenn wir unsere Netzwerkkonfiguration anschauen, dann sehen wir keine IP Adresse, da noch kein DHCP läuft<br />
* Deshalb geben wir uns eine temporäre IP, um per SSH auf die Firewall zu kommen<br />
* '''systemctl stop NetworkManager'''<br />
* '''ip address add 192.168.0.2/24 dev enp0s3'''<br />
* Nun können wir die Firewall per SSH erreichen<br />
* '''ssh xinux@192.168.0.1'''<br />
* als erstes ändern wir den hostnamen der Firewall von ''debian'' zu ''firewall''<br />
* '''sudo -i'''<br />
* '''hostnamectl set-hostname fw''xx'' '''<br />
* '''vim /etc/hosts'''<br />
<br />
127.0.0.1 localhost<br />
127.0.1.1 '''fw''xx'' '''<br />
...<br />
<br />
* Ein erneutes einloggen updatet den Namen im Prompt<br />
* als nächstes installieren wir einen [[DHCP]] Server, um Rechnern im LAN automatisch eine Netzwerkkonfiguration zu geben<br />
* '''apt install isc-dhcp-server'''<br />
* Am Ende der Installation wird es eine Fehlermeldung geben, da systemd versucht den Dienst zu starten, obwohl noch keine Konfiguration da ist<br />
* '''vim /etc/default/isc-dhcp-server'''<br />
<br />
DHCPDv4_CONF=/etc/dhcp/dhcpd.conf<br />
INTERFACESv4="enp0s8"<br />
<br />
* '''vim /etc/dhcp/dhcpd.conf'''<br />
<br />
option domain-name-servers 1.1.1.1;<br />
default-lease-time 600;<br />
max-lease-time 7200;<br />
authoritative;<br />
<br />
subnet 192.168.0.0 netmask 255.255.255.0 {<br />
range 192.168.0.50 192.168.0.100;<br />
option routers 192.168.0.1;<br />
}<br />
<br />
# Feste IP-Adresse für eine bestimmte MAC-Adresse<br />
host controller {<br />
hardware ethernet ''MAC Adresse vom Arch'';<br />
fixed-address 192.168.0.2;<br />
option routers 192.168.0.1;<br />
}<br />
<br />
* Dienst mit der neuen Konfiguration starten und überprüfen<br />
* '''systemctl restart isc-dhcp-server'''<br />
* '''systemctl status isc-dhcp-server'''<br />
* Beim Neustart von Arch sollte dann automatisch die ''192.168.0.2'' bekommen (falls nicht MAC-Adresse überprüfen)<br />
<br />
= Firewall als Router konfigurieren =<br />
<br />
* Im Moment verwirft die Firewall alle Pakete mit IP-Adressen, die nicht für ihn selbst bestimmt sind<br />
* Um die Pakete uns Default-Gateway weiterzuleiten muss der Kernelparameter ''net.ipv4.ip_forward'' gesetzt sein<br />
* Temporär (bleibt nicht nach einem Reboot):<br />
**'''sysctl -w net.ipv4.ip_forward=1''' ''# Einschalten''<br />
**'''sysctl -w net.ipv4.ip_forward=0''' ''# Ausschalten''<br />
* Für eine persistente Konfiguration muss dieser Parameter in der die Datei ''/etc/sysctl.conf'' stehen<br />
* '''vim /etc/sysctl.conf'''<br />
<br />
...<br />
<br />
# Uncomment the next line to enable packet forwarding for IPv4<br />
net.ipv4.ip_forward=1<br />
...<br />
<br />
* '''sysctl -p'''<br />
<br />
net.ipv4.ip_forward = 1<br />
<br />
* '''S'''ource '''N'''etwork '''A'''ddress '''T'''ranslation muss noch geschehen, damit die Pakete mit IP Adressen aus einem privaten Netzwerk den Weg zurück finden<br />
* '''vim /etc/nftables.conf'''<br />
<br />
#!/usr/sbin/nft -f<br />
<br />
flush ruleset<br />
<br />
table inet filter {<br />
chain input {<br />
type filter hook input priority 0;<br />
}<br />
chain forward {<br />
type filter hook forward priority 0;<br />
}<br />
chain output {<br />
type filter hook output priority 0;<br />
}<br />
}<br />
<br />
table inet nat {<br />
chain postrouting {<br />
type nat hook postrouting priority 100; policy accept;<br />
oif enp0s3 masquerade<br />
}<br />
}<br />
<br />
* '''systemctl restart nftables'''<br />
* '''systemctl enable nftables'''<br />
<br />
<br />
= SSH Schlüssel für passwortloses Login =<br />
<br />
== LAN ==<br />
<br />
* Um nicht jedes mal das Passwort beim Login eingeben zu müssen kann man sich stattdessen mit einem privaten Schlüssel authentifizieren<br />
* Wir erstellen einen Schlüssel mit RSA Verschlüsselung und erstmal ohne Passwortabfrage für den Benutz des Schlüssels<br />
* '''ssh-keygen''' ''# 123Start$ als Passwort nehmen''<br />
* '''ssh-copy-id xinux@192.168.0.1'''<br />
* bzw.<br />
* '''scp ~/.ssh/id_rsa.pub xinux@192.168.0.1:~/.ssh/authorized_keys'''<br />
* In der ''authorized_keys'' Datei können mehrere öffentliche Schlüssel stehen (pro Zeile ein Schlüssel)<br />
* Es ist üblich SSH Login über Passwörter komplett auszuschalten sobald die SSH Schlüssel von den zugangsberechtigten Benutzern hinterlegt sind<br />
* Normalerweise sind die Schlüssel passwortgeschützt.<br />
* Damit man nicht jedes mal das Passwort dafür eingeben muss kann man einen [[SSH Agent]] nutzen<br />
<br />
== Firewall ==<br />
<br />
* Wir wollen uns direkt als root einloggen können, weshalb die '''authorized_keys''' Datei auch im Home-Verzeichnis des root-Nutzers liegen muss<br />
* '''sudo -i'''<br />
* '''mkdir ''.ssh'' '''<br />
* '''cp ''~xinux/.ssh/authorized_keys'' ''.ssh/'' '''<br />
* Um den SSH-Server abszusichern können wir den Port verlegen und nur schlüsselbasiertes Einloggen zulassen<br />
* '''vim ''/etc/ssh/sshd_config'' '''<br />
<br />
Port 2222<br />
AddressFamily inet<br />
ListenAddress 192.168.0.1<br />
PubkeyAuthentication yes<br />
PasswordAuthentication no<br />
UsePAM no<br />
<br />
* '''systemctl restart sshd'''<br />
<br />
== LAN ==<br />
<br />
* Nun sollten wir uns direkt als root anmelden können <br />
* '''ssh -p 2222 root@192.168.0.1 "id && hostname"'''<br />
* Um die Ameldung einfacher zu gestalten können wir unseren SSH-Client konfigurieren<br />
* '''vim ''~/.ssh/config'' '''<br />
<br />
Host fw''xx''<br />
Hostname 192.168.0.1<br />
User root<br />
Port 2222<br />
<br />
* Jetzt kann man den Befehl folgendermaßen verkürzen:<br />
* '''ssh fw''xx'' '''<br />
<br />
= DHCP erweitern =<br />
<br />
* Um neue Rechner in der DMZ automatisch über LAN administrierbar zu machen, erweitern wir den DHCP Server auf der Firewall<br />
* '''vim /etc/default/isc-dhcp-server<br />
<br />
DHCPDv4_CONF=/etc/dhcp/dhcpd.conf<br />
INTERFACESv4="enp0s8 '''enp0s9'''"<br />
<br />
* Die Subnetzdefinitionen folgen der Reihenfolge der Interfaces in ''/etc/default/isc-dhcp-server''<br />
* '''vim /etc/dhcp/dhcpd.conf'''<br />
<br />
default-lease-time 600;<br />
max-lease-time 7200;<br />
authoritative;<br />
<br />
subnet 192.168.0.0 netmask 255.255.255.0 {<br />
range 192.168.0.50 192.168.0.100;<br />
option routers 192.168.0.1;<br />
}<br />
<br />
'''subnet 10.0.1''xx''.0 netmask 255.255.255.0 {'''<br />
'''range 10.0.1''xx''.50 10.0.1''xx''.100;'''<br />
'''option routers 10.0.1''xx''.1;'''<br />
'''}'''<br />
<br />
# Feste IP-Adresse für eine bestimmte MAC-Adresse<br />
host controller {<br />
hardware ethernet MAC Adresse vom Arch;<br />
fixed-address 192.168.0.2;<br />
option routers 192.168.0.1;<br />
}<br />
<br />
* '''systemctl restart isc-dhcp-server'''<br />
<br />
= [[DNS]] Server =<br />
<br />
{{#drawio:ul-tag-1}}<br />
<br />
== Virtualbox ==<br />
* Ein Klon von "Server Vorlage" mit Netzwerkadapter im internen Netzwerk "DMZ" erstellen<br />
* Über die Systemlogs für '''DHCP''' auf der '''Firewall''' können wir die IP Adresse des DNS-Servers herausfinden<br />
<br />
== Firewall ==<br />
* '''journalctl -u isc-dhcp-server'''<br />
* Zurück zu Arch wechseln und über SSH auf den DNS Server einloggen<br />
* '''ssh xinux@10.0.''(100 + eigene Nr.).'' ''yy'' '''<br />
<br />
== DNS ==<br />
* Anschließend die IP Adresse in ''/etc/network/interfaces'' konfigurieren: 10.0.''(100 + eigene Nr.)''.2<br />
* Hostname auf DNS: setzen (in ''/etc/hosts'' auch umändern)<br />
* SSH Schlüssel hinterlegen<br />
* Bind9 installieren<br />
* '''vim /etc/resolv.conf'''<br />
<br />
nameserver 1.1.1.1<br />
<br />
* '''apt install bind9'''<br />
* '''vim /etc/resolv.conf'''<br />
<br />
nameserver 127.0.0.1<br />
<br />
== Optionen festlegen ==<br />
<br />
* '''vim /etc/bind/named.conf.options'''<br />
<br />
options {<br />
directory "/var/cache/bind";<br />
dnssec-validation no;<br />
allow-recursion { 0.0.0.0/0; };<br />
};<br />
<br />
== Zone definieren ==<br />
<br />
* '''vim /etc/bind/named.conf.local'''<br />
<br />
zone "lab(100 + eigene Nr.).nux" {<br />
type master;<br />
file "lab(100 + eigene Nr.).nux";<br />
};<br />
<br />
== Zonendatei erstellen ==<br />
<br />
* '''vim /var/cache/bind/lab(100 + eigene Nr.).nux'''<br />
<br />
$TTL 300<br />
@ IN SOA dns.lab''(100 + eigene Nr.)''.nux. technik.xinux.de. (''(Datum + Ver.nr.)'' 14400 3600 3600000 86400)<br />
IN NS dns<br />
dns IN A 10.0.(100 + eigene Nr.).2<br />
fw IN A 10.0.(100 + eigene Nr.).1<br />
<br />
* Dienst neustarten und testen<br />
* '''systemctl restart bind9'''<br />
* '''dig +short dns.lab1''xx''.nux'''<br />
* '''dig +short fw.lab1''xx''.nux'''<br />
<br />
== '''D'''estination NAT und Portforwarding ==<br />
<br />
* Der DNS-Server in der DMZ soll öffentlich erreichbar sein<br />
* Das Internet kennt aber nur unsere WAN IP<br />
* Wir erwarten, dass solche Anfragen auf Port 53 UDP/TCP an unsere Firewall ankommen<br />
* Die Zieladresse soll dann in der Prerouting Kette auf die des Webserver umgeschrieben werden<br />
* Dadurch geht das Paket in die Forward Kette anstatt der Input Kette<br />
* Also muss dort die entsprechende Regel zum Freischalten stehen<br />
<br />
#!/usr/sbin/nft -f<br />
<br />
flush ruleset<br />
'''define wanip = 172.RNr.0.1''xx'' '''<br />
'''define dnsserver = 10.0.1''xx''.2'''<br />
<br />
table inet filter {<br />
chain input {<br />
type filter hook input priority filter;<br />
}<br />
chain forward {<br />
type filter hook forward priority filter;<br />
}<br />
chain output {<br />
type filter hook output priority filter;<br />
}<br />
}<br />
table inet nat {<br />
'''chain prerouting {'''<br />
'''type nat hook prerouting priority -100; policy accept;'''<br />
'''ip daddr $wanip tcp dport 53 dnat ip to $dnsserver:53'''<br />
'''ip daddr $wanip udp dport 53 dnat ip to $dnsserver:53'''<br />
'''}'''<br />
<br />
chain postrouting {<br />
type nat hook postrouting priority 100; policy accept;<br />
oif $wandev masquerade<br />
}<br />
}<br />
<br />
* '''systemctl restart nftables'''<br />
<br />
= Auflösen anderer Domänen über eine Pseudo Top Level Domain =<br />
<br />
== Dienst neustarten und DNS-Auflösung testen ==<br />
<br />
* '''systemctl restart bind9'''<br />
* '''dig +short dns.lab(100 + eigene Nr.).nux'''<br />
* '''dig +short xinux.net'''<br />
* Wenn das funktioniert dann den DNS Server im DHCP Server als Standard DNS Server und Suchdomäne eintragen (zur Firewall wechseln)<br />
* '''vim /etc/dhcp/dhcpd.conf'''<br />
<br />
option domain-name "lab(100 + eigene Nr.).nux";<br />
option domain-name-servers 10.0.''(100 + eigene Nr.)''.2;<br />
...<br />
<br />
* '''systemctl restart isc-dhcp-server'''<br />
* Arch neustarten und in ''/etc/resolv.conf'' nachschauen, ob die neue Konfiguration automatisch gezogen wurde<br />
* bzw.<br />
* '''systemctl restart NetworkManager'''<br />
<br />
= Bind9 Forwarder eintragen =<br />
<br />
== DNS Server der ''.nux''-Domain ==<br />
* Wenn jeder die DMZ der anderen erreichen kann, ist es möglich über eine Top Level Domain die anderen Domänen aufzulösen<br />
* Dazu muss man auf den '''DNS Server''' einen vorkonfigurierten Pseudo Top Level Domain Nameserver als '''Forwarder''' eintragen<br />
* '''vim /etc/bind/named.conf.options'''<br />
<br />
...<br />
forwarders { 172.RNr.0.100; }; //IP des Top Level Domain Nameservers<br />
...<br />
<br />
* Wenn man die Reverse Zone später auch auflösen will braucht man diese Zeile<br />
* '''vim /etc/bind/named.conf.options'''<br />
<br />
...<br />
empty-zones-enable no;<br />
...<br />
<br />
* '''systemctl restart bind9'''<br />
* Einmal alle Domänen durchtesten<br />
* '''dig +short dns.lab''1xx''.nux'''<br />
* '''ping fw.lab''1xx''.nux'''<br />
<br />
== Pseudo ''.nux'' Domain Server ==<br />
<br />
* '''vim /etc/bind/named.conf.options'''<br />
<br />
options {<br />
directory "/var/cache/bind";<br />
empty-zones-enable no;<br />
allow-recursion { 0.0.0.0/0; };<br />
allow-query { 0.0.0.0/0; };<br />
dnssec-validation no;<br />
};<br />
* Zur Zonendefinition hinzufügen<br />
* '''vim /etc/bind/named.conf.local'''<br />
<br />
zone "nux" {<br />
type master;<br />
file "nux";<br />
};<br />
zone "0.10.in-addr.arpa" {<br />
type master;<br />
file "0.10.in-addr.arpa";<br />
};<br />
...<br />
* Zonendateien<br />
* '''vim /var/cache/bind/nux'''<br />
<br />
$TTL 300<br />
@ IN SOA dns.nux. technik.xinux.de. (2023041809 14400 3600 3600000 86400)<br />
<br />
@ IN NS dns.nux.<br />
lab101 NS dns.lab101.nux.<br />
lab102 NS dns.lab102.nux.<br />
lab100 NS dns.nux.<br />
<br />
dns IN A 172.RNr.0.100<br />
dns.lab101 A 172.RNr.0.1''xx''<br />
dns.lab102 A 172.RNr.0.1''xy''<br />
<br />
= Reverse Lookup =<br />
<br />
* Für manche Dienste muss einer IP einen Domain Namen zugeordnet werden<br />
* Dazu eine neue Zone definieren und eine neue Zonendatei erstellen<br />
* '''vim /etc/bind/named.conf.local'''<br />
<br />
zone "100.0.10.in-addr.arpa" {<br />
type master;<br />
file "100.0.10.in-addr.arpa";<br />
};<br />
<br />
* '''vim 100.0.10.in-addr.arpa'''<br />
<br />
$TTL 300<br />
@ IN SOA dns.lab100.nux. technik.xinux.de. (2023050901 14400 3600 3600000 86400)<br />
IN NS dns.lab100.nux.<br />
1 IN PTR fw.lab100.nux.<br />
2 IN PTR dns.lab100.nux.<br />
<br />
* '''systemctl restart bind9'''<br />
<br />
= Netz absichern =<br />
<br />
* Im Moment darf jeder auf die Firewall von jeden zugreifen (und damit alle dahinterliegenden Systeme)<br />
* Um dies zu verhindern erstellen wir mit [[Nftables Netze absichern|nftables]] Firewall Regeln, die nur das nötigste zulassen<br />
* Die Regeln werden von oben nach unten abgearbeitet<br />
* Wenn keine Regel greift, dann zieht die ''Default Policy''<br />
<br />
; Prerouting, Input, Forward, Output und Postrouting sind Punkte an denen wir Regeln erstellen können<br />
<br />
{{#drawio:nft-inet1}}<br />
<br />
== Nur SSH aus LAN auf die Firewall zulassen ==<br />
<br />
* Default Policy wird in allen Filterketten auf Drop gesetzt<br />
* Wenn also keine Regel das Paket durchlässt, wird es verworfen<br />
* Über Connection Tracking können wir uns auf die Regulierung neuer Verbindungen fokussieren<br />
* Als erstes soll nur:<br />
** Die Firewall mit sich selbst über das loopback Interface kommunizieren können (da es sonst zu komischen Problemen führen kann)<br />
** ''Established'' und ''Related'' Pakete akzeptiert werden<br />
** Neue Anfragen aus dem LAN auf TCP Port 2222 akzeptieren<br />
** Firewall soll über HTTP bzw. HTTPS Programme herunterladen können<br />
** Gedroppte Pakete sollen geloggt werden<br />
* '''vim /etc/nftables.conf'''<br />
<br />
#!/usr/sbin/nft -f<br />
<br />
flush ruleset<br />
define wanip = 172.RNr.0.1xx <br />
define dnsserver = 10.0.1xx.2<br />
'''define wandev = enp0s3'''<br />
'''define landev = enp0s8'''<br />
'''define lan = 192.168.0.0/24'''<br />
<br />
table inet filter {<br />
chain input {<br />
type filter hook input priority filter; '''policy drop;'''<br />
'''iif "lo" accept'''<br />
'''ct state established,related accept'''<br />
'''iif $landev tcp dport 2222 accept'''<br />
'''log prefix "--nftables-drop-input--"'''<br />
}<br />
chain forward {<br />
type filter hook forward priority filter; '''policy drop;'''<br />
'''ct state established,related accept'''<br />
'''log prefix "--nftables-drop-forward--"'''<br />
}<br />
chain output {<br />
type filter hook output priority filter; '''policy drop;'''<br />
'''oif "lo" accept'''<br />
'''ct state established,related accept'''<br />
'''oif $wandev tcp dport { 80, 443 } accept'''<br />
'''log prefix "--nftables-drop-output--"'''<br />
}<br />
}<br />
table inet nat {<br />
chain prerouting {<br />
type nat hook prerouting priority -100; policy accept;<br />
ip daddr $wanip tcp dport 53 dnat ip to $dnsserver:53<br />
ip daddr $wanip udp dport 53 dnat ip to $dnsserver:53<br />
}<br />
<br />
chain postrouting {<br />
type nat hook postrouting priority srcnat; policy accept;<br />
oif $wandev masquerade<br />
}<br />
}<br />
}<br />
<br />
* '''systemctl restart nftables'''<br />
<br />
== Internetzugriff für LAN und Firewall ==<br />
<br />
* '''vim ''/etc/nftables.conf'' '''<br />
#!/usr/sbin/nft -f<br />
<br />
flush ruleset<br />
<br />
define wanip = 172.22.0.1xx<br />
define dnsserver = 10.0.1xx.2<br />
define wandev = "enp0s3"<br />
define landev = "enp0s8"<br />
define dmzdev = "enp0s9"<br />
define lan = 192.168.0.0/24<br />
define dmz = 10.0.1xx.0/24<br />
<br />
table inet filter {<br />
chain input {<br />
type filter hook input priority 0; policy drop;<br />
ct state { "established", "related" } accept<br />
iif "lo" accept<br />
iif $landev ip saddr $lan tcp dport 2222 accept<br />
icmp type echo-request accept<br />
log prefix "--nftables-drop-input--"<br />
}<br />
chain forward {<br />
type filter hook forward priority 0; policy drop;<br />
ct state { "established", "related" } accept<br />
icmp type echo-request accept<br />
iif $landev ip saddr $lan oif $dmzdev ip daddr $dnsserver udp dport 53 accept<br />
iif $wandev ip daddr $dnsserver tcp dport 53 accept<br />
iif $wandev ip daddr $dnsserver udp dport 53 accept<br />
iif $dmzdev ip saddr $dnsserver tcp dport 53 accept<br />
iif $dmzdev ip saddr $dnsserver udp dport 53 accept<br />
oif $wandev tcp dport { 80, 443 } accept<br />
iif $landev ip saddr $lan oif $dmzdev ip daddr $dmz tcp dport 22 accept<br />
log prefix "--nftables-drop-forward--"<br />
}<br />
chain output {<br />
type filter hook output priority 0; policy drop;<br />
ct state { "established", "related" } accept<br />
icmp type echo-request accept<br />
udp dport 53 accept<br />
oif $wandev tcp dport { 80, 443 } accept<br />
log prefix "--nftables-drop-output--"<br />
}<br />
}<br />
<br />
table inet nat {<br />
chain prerouting {<br />
type nat hook prerouting priority -100; policy accept;<br />
ip daddr $wanip tcp dport 53 dnat ip to $dnsserver:53<br />
ip daddr $wanip udp dport 53 dnat ip to $dnsserver:53<br />
}<br />
chain postrouting {<br />
type nat hook postrouting priority 100; policy accept;<br />
oif $wandev masquerade<br />
}<br />
}<br />
<br />
* '''systemctl restart nftables'''<br />
<br />
== '''C'''onnection '''T'''racking '''T'''abelle ==<br />
<br />
* Das Tool '''conntrack''' installieren, um die CTT anschauen und leeren zu können<br />
* '''apt install conntrack'''<br />
* '''conntrack -F''' ''# Leert die Tabelle''<br />
* '''conntrack -L'''<br />
<br />
tcp 6 432000 ESTABLISHED src=192.168.0.2 dst=192.168.0.2 sport=58178 dport=22 src=192.168.0.1 dst=192.168.0.2 sport=22 dport=58178 [ASSURED] mark=0 use=1<br />
<br />
= Webserver =<br />
<br />
{{#drawio:ul-tag-2}}<br />
<br />
* Rechnern im LAN sollen Webseiten aufrufen können<br />
* unsere DNS Server sollten andere Server im Internet und in den anderen DMZs befragen dürfen<br />
* d.h. UDP Port 53 aus LAN und DMZ und TCP Ports 80 und 443 für LAN sollten freigeschalten werden<br />
* '''vim /etc/nftables.conf'''<br />
<br />
#!/usr/sbin/nft -f<br />
<br />
flush ruleset<br />
define wandev = enp0s3<br />
define landev = enp0s8<br />
'''define dmzdev = enp0s9'''<br />
define lan = 192.168.0.0/24<br />
'''define dmz = 10.0.1''xx''.0/24'''<br />
<br />
table inet filter {<br />
chain input {<br />
type filter hook input priority filter; policy drop;<br />
iif "lo" accept<br />
ct state established,related accept<br />
iif $landev tcp dport 22 accept<br />
log prefix "--nftables-drop-input--"<br />
}<br />
chain forward {<br />
type filter hook forward priority filter; policy drop;<br />
ct state established,related accept<br />
'''iif { $dmzdev, $landev } ip saddr { $dmz, $lan } udp dport 53 oif { $dmzdev, $wandev } accept'''<br />
'''iif $landev ip saddr $lan tcp dport { 80, 443 } oif $wandev accept'''<br />
log prefix "--nftables-drop-forward--"<br />
}<br />
chain output {<br />
type filter hook output priority filter; policy drop;<br />
ct state established,related accept<br />
oif $wandev tcp dport { 80, 443 } accept<br />
log prefix "--nftables-drop-output--"<br />
}<br />
<br />
table inet nat {<br />
chain postrouting {<br />
type nat hook postrouting priority srcnat; policy accept;<br />
oif $wandev masquerade<br />
}<br />
}<br />
}<br />
<br />
== '''D'''estination NAT und Portforwarding ==<br />
<br />
* Ein Webserver in der DMZ soll öffentlich erreichbar sein<br />
* Das Internet kennt aber nur unsere WAN IP<br />
* Wir erwarten, dass solche Anfragen auf Port 80/443 an unsere Firewall ankommen<br />
* Die Zieladresse soll dann in der Prerouting Kette auf die des Webserver umgeschrieben werden<br />
* Dadurch geht das Paket in die Forward Kette anstatt der Input Kette<br />
* Also muss dort die entsprechende Regel zum Freischalten stehen<br />
<br />
#!/usr/sbin/nft -f<br />
<br />
flush ruleset<br />
define wandev = enp0s3<br />
define landev = enp0s8<br />
define dmzdev = enp0s9<br />
define lan = 192.168.0.0/24<br />
define dmz = 10.0.1''xx''.0/24<br />
'''define wanip = 172.RNr.1.1''xx'''''<br />
'''define webserver = 10.0.1''xx''.2'''<br />
<br />
table inet filter {<br />
chain input {<br />
type filter hook input priority filter; policy drop;<br />
iif "lo" accept<br />
ct state established,related accept<br />
iif $landev tcp dport 22 accept<br />
log prefix "--nftables-drop-input--"<br />
}<br />
chain forward {<br />
type filter hook forward priority filter; policy drop;<br />
ct state established,related accept<br />
iif { $dmzdev, $landev } ip saddr { $dmz, $lan } udp dport 53 oif { $dmzdev, $wandev } accept<br />
iif $landev ip saddr $lan tcp dport { 80, 443 } oif $wandev accept<br />
'''ip daddr $webserver tcp dport 80 accept'''<br />
log prefix "--nftables-drop-forward--"<br />
}<br />
chain output {<br />
type filter hook output priority filter; policy drop;<br />
ct state established,related accept<br />
oif $wandev tcp dport { 80, 443 } accept<br />
log prefix "--nftables-drop-output--"<br />
}<br />
<br />
table inet nat {<br />
'''chain prerouting {'''<br />
'''type nat hook prerouting priority 0; policy accept;'''<br />
'''ip daddr $wanip tcp dport 80 dnat ip to $webserver:80'''<br />
'''}'''<br />
<br />
chain postrouting {<br />
type nat hook postrouting priority srcnat; policy accept;<br />
oif $wandev masquerade<br />
}<br />
}<br />
<br />
* '''systemctl restart nftables'''<br />
* Der DNS Server soll uns erstmal auch als Webserver dienen<br />
* '''apt install apache2'''<br />
* Im Browser sollten die Webserver über die IPs der Firewalls erreichbar sein<br />
<br />
== Debug Möglichkeiten ==<br />
<br />
* Falls sich die Firewall nicht so verhält wie erwartet, kann man:<br />
** Connection Tracking Tabelle leeren/flushen: '''conntrack -F'''<br />
** Über '''tail -f -n0 /var/log/syslog | grep nftables''' gedroppte Pakete anschauen (wenn die Log Regeln da sind)<br />
** NAT Regeln überprüfen: '''tcpdump -i ''interface'' ''filter'''''<br />
** Auf Syntaxfehler überprüfen: '''nft -cf /etc/nftables.conf'''<br />
<br />
= LDAP Server einrichten =<br />
<br />
{{#drawio:ul-tag-3}}<br />
<br />
* ein LDAP Server ermöglicht uns zentrale Benutzerverwaltung innerhalb einer Domäne<br />
* die Benutzerdaten werden in einer Datenbank gespeichert und von Clients über '''TCP Port 389''' befragt<br />
* eine neue VM vom Template klonen und Grundeinstellungen vornehmen:<br />
# Hostname auf ''ldap'' setzen<br />
# statische IP vergeben<br />
# SSH Schlüssel hinterlegen<br />
# Eintrag im DNS Server vornehmen<br />
* eventuell muss auf der Firewall Port 80 und 443 für die DMZ freigeschaltet werden, damit die Pakete heruntergeladen werden können<br />
* [[LDAP]]<br />
* [[Openldap Basic Config common]]<br />
<br />
= [[HAProxy]] für zentrale SSL Terminierung =<br />
<br />
{{#drawio:ul-tag-4}}<br />
<br />
* Im Moment ist nur SSH verschlüsselt<br />
* Pakete von HTTP Verbindungen zwischen den LAN und DMZ werden im Klartext verschickt<br />
* '''Problem''': Jemand der den Verkehr mitscheidet, kann alles lesen<br />
* '''Lösung''': Upgrade auf HTTPS mit [[Grundlagen Kryptografie | Zertifikaten]]<br />
* [[SFTP-Server]] für den sicheren Transfer der Zertifikatsanträge<br />
* eine neue VM vom Template klonen und Grundeinstellungen vornehmen:<br />
# Hostname auf ''haproxy'' setzen<br />
# statische IP vergeben '''10.0.1''xx''.2'''<br />
# SSH Schlüssel hinterlegen<br />
# Eintrag im DNS Server vornehmen<br />
# signiertes Wildcard-Zertifikat rüberkopieren<br />
# privaten Zertifikatsschlüssel rüberkopieren<br />
<br />
* Signiertes Zertifikat vom SFTP Server holen<br />
* '''sftp -P 9922 cert_req@172.RNr.1.100'''<br />
* '''get cert/lab1''xx''.nux.crt'''<br />
* Auf dem HAProxy die ''server.pem'' Datei erstellen<br />
* '''cat lab1''xx''.nux.key lab1''xx''.nux.crt > /etc/haproxy/server.pem'''<br />
* '''vim /etc/haproxy/haproxy.cfg'''<br />
<br />
frontend https_web_services<br />
bind 10.0.1''xx''.2:443 name localhost_443 ssl crt /etc/haproxy/server.pem<br />
timeout client 50000<br />
mode http<br />
acl acl_web1 hdr_beg(host) -i web1<br />
acl acl_web2 hdr_beg(host) -i web2<br />
use_backend backend_web1 if acl_web1<br />
use_backend backend_web2 if acl_web2<br />
default_backend http_backend<br />
<br />
#frontend https_frontend<br />
# bind 10.0.1''xx''.2:443 name localhost_443 ssl crt /etc/haproxy/server.pem<br />
# timeout client 50000<br />
# default_backend http_backend<br />
<br />
backend backend_web1<br />
timeout connect 5000<br />
timeout server 50000<br />
mode http<br />
server web_dns 10.0.1''xx''.2:80 check<br />
<br />
backend backend_web2<br />
timeout connect 5000<br />
timeout server 50000<br />
mode http<br />
server web_ldap 10.0.1''xx''.3:80 check<br />
<br />
backend http_backend<br />
mode http<br />
balance roundrobin<br />
timeout connect 5000<br />
timeout server 50000<br />
server web_dns_2 10.0.1''xx''.2:80 check<br />
server web_ldap_2 10.0.1''xx''.3:80 check<br />
<br />
* '''systemctl restart haproxy'''<br />
<br />
= [[Squid erste Schritte|Squid]] Proxy auf der Firewall =<br />
<br />
* [[Squid ACL Basic]]<br />
* [[Iptables mit Squid Transparenter Proxy]]<br />
* Mehr Kontrolle über die Domains, die LAN erreichen darf<br />
* '''vim /etc/squid/squid.conf'''<br />
acl facebook url_regex -i facebook<br />
<br />
http_access deny facebook<br />
http_access allow all<br />
<br />
#nativer Zugriff<br />
http_port 3128 ssl-bump cert=/etc/squid/certs/squid_proxyCA.pem generate-host-certificates=on options=NO_SSLv3,NO_TLSv1,NO_TLSv1_1,SINGLE_DH_USE,SINGLE_ECDH_USE<br />
#transparenter Zugriff unverschlüsselt<br />
http_port 3128 intercept<br />
#transparenter Zugriff verschlüsselt '''wichtig https_port'''<br />
https_port 3129 ssl-bump intercept cert=/etc/squid/certs/squid_proxyCA.pem generate-host-certificates=on options=NO_SSLv3,NO_TLSv1,NO_TLSv1_1,SINGLE_DH_USE,SINGLE_ECDH_USE<br />
<br />
ssl_bump bump all<br />
<br />
coredump_dir /var/spool/squid<br />
logfile_rotate 0<br />
<br />
cache_dir ufs /var/spool/squid 200 16 256<br />
* '''vim /etc/squid/squid.conf'''<br />
<br />
...<br />
'''acl domain_blacklist dstdomain "/etc/squid/domain_blacklist.txt"'''<br />
...<br />
'''http_access deny all domain_blacklist'''<br />
http_access allow localnet<br />
...<br />
<br />
* '''vim /etc/squid/domain_blacklist.txt'''<br />
<br />
facebook.com<br />
twitter.com<br />
<br />
* '''systemctl restart squid'''<br />
<br />
{{#drawio:ul-tag-5}}<br />
<br />
= Festplatten verschlüsseln =<br />
<br />
; Das Verschlüsseln mit '''cryptsetup''' löscht alle vorherigen Daten der Festplatte<br />
* Neue Festplatte in VirtualBox erstellen und anhängen<br />
* zu verschlüsselnde Partition anlegen<br />
* '''fdisk /dev/sdX'''<br />
* '''cryptsetup luksFormat /dev/sdXx'''<br />
* '''cryptsetup open /dev/sdXx ''name'' '''<br />
* Dateisystem auf der entschlüsselten Partition anlegen<br />
* '''mkfs.ext4 /dev/mapper/''name'' '''<br />
* beliebige Testdatei erstellen<br />
* '''echo "Hallo Welt" > encrypted.txt'''<br />
* Nach Benutzen der Partition wieder verschlüsseln<br />
* '''cryptsetup close name'''<br />
<br />
= Separate VM für Monitoring/Scanning =<br />
<br />
# Hostname auf ''health'' setzen<br />
# statische IP vergeben '''10.0.1''xx''.4/24'''<br />
# SSH Schlüssel hinterlegen<br />
# Eintrag im DNS Server vornehmen<br />
<br />
= Checkmk =<br />
<br />
* Die Weboberfläche soll über [https://cmk.lab1xx.nux https://cmk.lab1''xx''.nux] erreichbar sein:<br />
** DNS Eintrag<br />
** HAProxy ACL<br />
<br />
* Download: https://checkmk.com/de/download?method=cmk&edition=cre&version=2.2.0b7&platform=debian&os=bullseye&type=cmk<br />
* Anweisungen der Webseite folgen<br />
* cmkadmin's Passwort auf 123Start$ ändern<br />
* Rechner ins Monitoring hinzufügen<br />
* AUR Paketmanager https://github.com/Jguer/yay</div>
Linkai.zhang
https://wiki.xinux.net/index.php?title=Unix-/Linux_Netz&diff=58643
Unix-/Linux Netz
2024-12-04T08:20:49Z
<p>Linkai.zhang: /* Nur SSH aus LAN auf die Firewall zulassen */</p>
<hr />
<div>=Netzwerk der Schulung=<br />
<br />
* Die WAN-IP wird die 172.RNr.0.(100 + eigene Nr.)<br />
* Die '''D'''e'''m'''ilitarisierte '''Z'''one (DMZ) enthält Services, die von außen erreichbar sein sollen<br />
* Im LAN befindet sich unser Administratorrechner von dem wir unsere Rechner konfigurieren<br />
* Das LAN soll Verbindungen ins Internet initiieren können, aber nicht direkt von außen erreichbar sein<br />
<br />
{{#drawio:ul2}}<br />
<br />
;''xx'' in den folgenden Bildern durch die eigene Nummer ersetzen<br />
;Benutzername für virtuelle Maschinen ist ''xinux'' oder ''root''<br />
;Passwort ist immer 123Start$<br />
<br />
= Vorbereiten der Firewall =<br />
<br />
{{#drawio:ul-tag-0}}<br />
<br />
* Wir klonen den Rechner "Server Vorlage" und nennen ihn "Firewall"<br />
* Dieser braucht 3 Netzwerkadapter:<br />
# Netzwerkbrücke<br />
# Internes Netzwerk "LAN"<br />
# Internes Netzwerk "DMZ"<br />
* Wir starten die Firewall und konfigurieren statische IP Adressen für alle 3 Netzwerkadapter<br />
* '''vim /etc/network/interfaces'''<br />
<br />
auto lo<br />
iface lo inet loopback<br />
<br />
auto enp0s3<br />
iface enp0s3 inet static<br />
address 172.RNr.0.1''xx''/16<br />
gateway 172.RNr.0.1<br />
<br />
auto enp0s8<br />
iface enp0s8 inet static<br />
address 192.168.0.1/24<br />
<br />
auto enp0s9<br />
iface enp0s9 inet static<br />
address 10.0.1''xx''.1/24<br />
<br />
* Interfaces runter und wieder hochfahren, um die neue Konfiguration zu laden<br />
* '''ifdown -va'''<br />
* '''ifup -va'''<br />
* bzw.<br />
* '''systemctl restart networking'''<br />
* Danach sollte der Befehl '''ip address show''' (oder '''ip a''') die neuen IP Adressen anzeigen<br />
<br />
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000<br />
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00<br />
inet 127.0.0.1/8 scope host lo<br />
valid_lft forever preferred_lft forever<br />
inet6 ::1/128 scope host <br />
valid_lft forever preferred_lft forever<br />
2: enp0s3: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1456 qdisc pfifo_fast state UP group default qlen 1000<br />
link/ether 08:00:27:9b:79:a1 brd ff:ff:ff:ff:ff:ff<br />
inet '''172.RNr.1.1''xx''/16''' brd 172.22.255.255 scope global enp0s3<br />
valid_lft forever preferred_lft forever<br />
inet6 2003:e5:173a:c401:a00:27ff:fe9b:79a1/64 scope global dynamic mngtmpaddr <br />
valid_lft 7134sec preferred_lft 1215sec<br />
inet6 fe80::a00:27ff:fe9b:79a1/64 scope link <br />
valid_lft forever preferred_lft forever<br />
3: enp0s8: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000<br />
link/ether 08:00:27:15:03:b7 brd ff:ff:ff:ff:ff:ff<br />
inet '''192.168.0.1/24''' brd 192.168.0.255 scope global enp0s8<br />
valid_lft forever preferred_lft forever<br />
inet6 fe80::a00:27ff:fe15:3b7/64 scope link <br />
valid_lft forever preferred_lft forever<br />
4: enp0s9: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000<br />
link/ether 08:00:27:31:01:09 brd ff:ff:ff:ff:ff:ff<br />
inet '''10.0.1''xx''.1/24''' brd 10.0.100.255 scope global enp0s9<br />
valid_lft forever preferred_lft forever<br />
inet6 fe80::a00:27ff:fe31:109/64 scope link <br />
valid_lft forever preferred_lft forever<br />
<br />
= Workstation im LAN zum Systemadministrator machen =<br />
<br />
* Den Netzwerkadapter von VM "LAN Host" auf "Internes Netzwerk LAN" umstellen und die VM starten<br />
* Wenn wir unsere Netzwerkkonfiguration anschauen, dann sehen wir keine IP Adresse, da noch kein DHCP läuft<br />
* Deshalb geben wir uns eine temporäre IP, um per SSH auf die Firewall zu kommen<br />
* '''systemctl stop NetworkManager'''<br />
* '''ip address add 192.168.0.2/24 dev enp0s3'''<br />
* Nun können wir die Firewall per SSH erreichen<br />
* '''ssh xinux@192.168.0.1'''<br />
* als erstes ändern wir den hostnamen der Firewall von ''debian'' zu ''firewall''<br />
* '''sudo -i'''<br />
* '''hostnamectl set-hostname fw''xx'' '''<br />
* '''vim /etc/hosts'''<br />
<br />
127.0.0.1 localhost<br />
127.0.1.1 '''fw''xx'' '''<br />
...<br />
<br />
* Ein erneutes einloggen updatet den Namen im Prompt<br />
* als nächstes installieren wir einen [[DHCP]] Server, um Rechnern im LAN automatisch eine Netzwerkkonfiguration zu geben<br />
* '''apt install isc-dhcp-server'''<br />
* Am Ende der Installation wird es eine Fehlermeldung geben, da systemd versucht den Dienst zu starten, obwohl noch keine Konfiguration da ist<br />
* '''vim /etc/default/isc-dhcp-server'''<br />
<br />
DHCPDv4_CONF=/etc/dhcp/dhcpd.conf<br />
INTERFACESv4="enp0s8"<br />
<br />
* '''vim /etc/dhcp/dhcpd.conf'''<br />
<br />
option domain-name-servers 1.1.1.1;<br />
default-lease-time 600;<br />
max-lease-time 7200;<br />
authoritative;<br />
<br />
subnet 192.168.0.0 netmask 255.255.255.0 {<br />
range 192.168.0.50 192.168.0.100;<br />
option routers 192.168.0.1;<br />
}<br />
<br />
# Feste IP-Adresse für eine bestimmte MAC-Adresse<br />
host controller {<br />
hardware ethernet ''MAC Adresse vom Arch'';<br />
fixed-address 192.168.0.2;<br />
option routers 192.168.0.1;<br />
}<br />
<br />
* Dienst mit der neuen Konfiguration starten und überprüfen<br />
* '''systemctl restart isc-dhcp-server'''<br />
* '''systemctl status isc-dhcp-server'''<br />
* Beim Neustart von Arch sollte dann automatisch die ''192.168.0.2'' bekommen (falls nicht MAC-Adresse überprüfen)<br />
<br />
= Firewall als Router konfigurieren =<br />
<br />
* Im Moment verwirft die Firewall alle Pakete mit IP-Adressen, die nicht für ihn selbst bestimmt sind<br />
* Um die Pakete uns Default-Gateway weiterzuleiten muss der Kernelparameter ''net.ipv4.ip_forward'' gesetzt sein<br />
* Temporär (bleibt nicht nach einem Reboot):<br />
**'''sysctl -w net.ipv4.ip_forward=1''' ''# Einschalten''<br />
**'''sysctl -w net.ipv4.ip_forward=0''' ''# Ausschalten''<br />
* Für eine persistente Konfiguration muss dieser Parameter in der die Datei ''/etc/sysctl.conf'' stehen<br />
* '''vim /etc/sysctl.conf'''<br />
<br />
...<br />
<br />
# Uncomment the next line to enable packet forwarding for IPv4<br />
net.ipv4.ip_forward=1<br />
...<br />
<br />
* '''sysctl -p'''<br />
<br />
net.ipv4.ip_forward = 1<br />
<br />
* '''S'''ource '''N'''etwork '''A'''ddress '''T'''ranslation muss noch geschehen, damit die Pakete mit IP Adressen aus einem privaten Netzwerk den Weg zurück finden<br />
* '''vim /etc/nftables.conf'''<br />
<br />
#!/usr/sbin/nft -f<br />
<br />
flush ruleset<br />
<br />
table inet filter {<br />
chain input {<br />
type filter hook input priority 0;<br />
}<br />
chain forward {<br />
type filter hook forward priority 0;<br />
}<br />
chain output {<br />
type filter hook output priority 0;<br />
}<br />
}<br />
<br />
table inet nat {<br />
chain postrouting {<br />
type nat hook postrouting priority 100; policy accept;<br />
oif enp0s3 masquerade<br />
}<br />
}<br />
<br />
* '''systemctl restart nftables'''<br />
* '''systemctl enable nftables'''<br />
<br />
<br />
= SSH Schlüssel für passwortloses Login =<br />
<br />
== LAN ==<br />
<br />
* Um nicht jedes mal das Passwort beim Login eingeben zu müssen kann man sich stattdessen mit einem privaten Schlüssel authentifizieren<br />
* Wir erstellen einen Schlüssel mit RSA Verschlüsselung und erstmal ohne Passwortabfrage für den Benutz des Schlüssels<br />
* '''ssh-keygen''' ''# 123Start$ als Passwort nehmen''<br />
* '''ssh-copy-id xinux@192.168.0.1'''<br />
* bzw.<br />
* '''scp ~/.ssh/id_rsa.pub xinux@192.168.0.1:~/.ssh/authorized_keys'''<br />
* In der ''authorized_keys'' Datei können mehrere öffentliche Schlüssel stehen (pro Zeile ein Schlüssel)<br />
* Es ist üblich SSH Login über Passwörter komplett auszuschalten sobald die SSH Schlüssel von den zugangsberechtigten Benutzern hinterlegt sind<br />
* Normalerweise sind die Schlüssel passwortgeschützt.<br />
* Damit man nicht jedes mal das Passwort dafür eingeben muss kann man einen [[SSH Agent]] nutzen<br />
<br />
== Firewall ==<br />
<br />
* Wir wollen uns direkt als root einloggen können, weshalb die '''authorized_keys''' Datei auch im Home-Verzeichnis des root-Nutzers liegen muss<br />
* '''sudo -i'''<br />
* '''mkdir ''.ssh'' '''<br />
* '''cp ''~xinux/.ssh/authorized_keys'' ''.ssh/'' '''<br />
* Um den SSH-Server abszusichern können wir den Port verlegen und nur schlüsselbasiertes Einloggen zulassen<br />
* '''vim ''/etc/ssh/sshd_config'' '''<br />
<br />
Port 2222<br />
AddressFamily inet<br />
ListenAddress 192.168.0.1<br />
PubkeyAuthentication yes<br />
PasswordAuthentication no<br />
UsePAM no<br />
<br />
* '''systemctl restart sshd'''<br />
<br />
== LAN ==<br />
<br />
* Nun sollten wir uns direkt als root anmelden können <br />
* '''ssh -p 2222 root@192.168.0.1 "id && hostname"'''<br />
* Um die Ameldung einfacher zu gestalten können wir unseren SSH-Client konfigurieren<br />
* '''vim ''~/.ssh/config'' '''<br />
<br />
Host fw''xx''<br />
Hostname 192.168.0.1<br />
User root<br />
Port 2222<br />
<br />
* Jetzt kann man den Befehl folgendermaßen verkürzen:<br />
* '''ssh fw''xx'' '''<br />
<br />
= DHCP erweitern =<br />
<br />
* Um neue Rechner in der DMZ automatisch über LAN administrierbar zu machen, erweitern wir den DHCP Server auf der Firewall<br />
* '''vim /etc/default/isc-dhcp-server<br />
<br />
DHCPDv4_CONF=/etc/dhcp/dhcpd.conf<br />
INTERFACESv4="enp0s8 '''enp0s9'''"<br />
<br />
* Die Subnetzdefinitionen folgen der Reihenfolge der Interfaces in ''/etc/default/isc-dhcp-server''<br />
* '''vim /etc/dhcp/dhcpd.conf'''<br />
<br />
default-lease-time 600;<br />
max-lease-time 7200;<br />
authoritative;<br />
<br />
subnet 192.168.0.0 netmask 255.255.255.0 {<br />
range 192.168.0.50 192.168.0.100;<br />
option routers 192.168.0.1;<br />
}<br />
<br />
'''subnet 10.0.1''xx''.0 netmask 255.255.255.0 {'''<br />
'''range 10.0.1''xx''.50 10.0.1''xx''.100;'''<br />
'''option routers 10.0.1''xx''.1;'''<br />
'''}'''<br />
<br />
# Feste IP-Adresse für eine bestimmte MAC-Adresse<br />
host controller {<br />
hardware ethernet MAC Adresse vom Arch;<br />
fixed-address 192.168.0.2;<br />
option routers 192.168.0.1;<br />
}<br />
<br />
* '''systemctl restart isc-dhcp-server'''<br />
<br />
= [[DNS]] Server =<br />
<br />
{{#drawio:ul-tag-1}}<br />
<br />
== Virtualbox ==<br />
* Ein Klon von "Server Vorlage" mit Netzwerkadapter im internen Netzwerk "DMZ" erstellen<br />
* Über die Systemlogs für '''DHCP''' auf der '''Firewall''' können wir die IP Adresse des DNS-Servers herausfinden<br />
<br />
== Firewall ==<br />
* '''journalctl -u isc-dhcp-server'''<br />
* Zurück zu Arch wechseln und über SSH auf den DNS Server einloggen<br />
* '''ssh xinux@10.0.''(100 + eigene Nr.).'' ''yy'' '''<br />
<br />
== DNS ==<br />
* Anschließend die IP Adresse in ''/etc/network/interfaces'' konfigurieren: 10.0.''(100 + eigene Nr.)''.2<br />
* Hostname auf DNS: setzen (in ''/etc/hosts'' auch umändern)<br />
* SSH Schlüssel hinterlegen<br />
* Bind9 installieren<br />
* '''vim /etc/resolv.conf'''<br />
<br />
nameserver 1.1.1.1<br />
<br />
* '''apt install bind9'''<br />
* '''vim /etc/resolv.conf'''<br />
<br />
nameserver 127.0.0.1<br />
<br />
== Optionen festlegen ==<br />
<br />
* '''vim /etc/bind/named.conf.options'''<br />
<br />
options {<br />
directory "/var/cache/bind";<br />
dnssec-validation no;<br />
allow-recursion { 0.0.0.0/0; };<br />
};<br />
<br />
== Zone definieren ==<br />
<br />
* '''vim /etc/bind/named.conf.local'''<br />
<br />
zone "lab(100 + eigene Nr.).nux" {<br />
type master;<br />
file "lab(100 + eigene Nr.).nux";<br />
};<br />
<br />
== Zonendatei erstellen ==<br />
<br />
* '''vim /var/cache/bind/lab(100 + eigene Nr.).nux'''<br />
<br />
$TTL 300<br />
@ IN SOA dns.lab''(100 + eigene Nr.)''.nux. technik.xinux.de. (''(Datum + Ver.nr.)'' 14400 3600 3600000 86400)<br />
IN NS dns<br />
dns IN A 10.0.(100 + eigene Nr.).2<br />
fw IN A 10.0.(100 + eigene Nr.).1<br />
<br />
* Dienst neustarten und testen<br />
* '''systemctl restart bind9'''<br />
* '''dig +short dns.lab1''xx''.nux'''<br />
* '''dig +short fw.lab1''xx''.nux'''<br />
<br />
== '''D'''estination NAT und Portforwarding ==<br />
<br />
* Der DNS-Server in der DMZ soll öffentlich erreichbar sein<br />
* Das Internet kennt aber nur unsere WAN IP<br />
* Wir erwarten, dass solche Anfragen auf Port 53 UDP/TCP an unsere Firewall ankommen<br />
* Die Zieladresse soll dann in der Prerouting Kette auf die des Webserver umgeschrieben werden<br />
* Dadurch geht das Paket in die Forward Kette anstatt der Input Kette<br />
* Also muss dort die entsprechende Regel zum Freischalten stehen<br />
<br />
#!/usr/sbin/nft -f<br />
<br />
flush ruleset<br />
'''define wanip = 172.RNr.0.1''xx'' '''<br />
'''define dnsserver = 10.0.1''xx''.2'''<br />
<br />
table inet filter {<br />
chain input {<br />
type filter hook input priority filter;<br />
}<br />
chain forward {<br />
type filter hook forward priority filter;<br />
}<br />
chain output {<br />
type filter hook output priority filter;<br />
}<br />
}<br />
table inet nat {<br />
'''chain prerouting {'''<br />
'''type nat hook prerouting priority -100; policy accept;'''<br />
'''ip daddr $wanip tcp dport 53 dnat ip to $dnsserver:53'''<br />
'''ip daddr $wanip udp dport 53 dnat ip to $dnsserver:53'''<br />
'''}'''<br />
<br />
chain postrouting {<br />
type nat hook postrouting priority 100; policy accept;<br />
oif $wandev masquerade<br />
}<br />
}<br />
<br />
* '''systemctl restart nftables'''<br />
<br />
= Auflösen anderer Domänen über eine Pseudo Top Level Domain =<br />
<br />
== Dienst neustarten und DNS-Auflösung testen ==<br />
<br />
* '''systemctl restart bind9'''<br />
* '''dig +short dns.lab(100 + eigene Nr.).nux'''<br />
* '''dig +short xinux.net'''<br />
* Wenn das funktioniert dann den DNS Server im DHCP Server als Standard DNS Server und Suchdomäne eintragen (zur Firewall wechseln)<br />
* '''vim /etc/dhcp/dhcpd.conf'''<br />
<br />
option domain-name "lab(100 + eigene Nr.).nux";<br />
option domain-name-servers 10.0.''(100 + eigene Nr.)''.2;<br />
...<br />
<br />
* '''systemctl restart isc-dhcp-server'''<br />
* Arch neustarten und in ''/etc/resolv.conf'' nachschauen, ob die neue Konfiguration automatisch gezogen wurde<br />
* bzw.<br />
* '''systemctl restart NetworkManager'''<br />
<br />
= Bind9 Forwarder eintragen =<br />
<br />
== DNS Server der ''.nux''-Domain ==<br />
* Wenn jeder die DMZ der anderen erreichen kann, ist es möglich über eine Top Level Domain die anderen Domänen aufzulösen<br />
* Dazu muss man auf den '''DNS Server''' einen vorkonfigurierten Pseudo Top Level Domain Nameserver als '''Forwarder''' eintragen<br />
* '''vim /etc/bind/named.conf.options'''<br />
<br />
...<br />
forwarders { 172.RNr.0.100; }; //IP des Top Level Domain Nameservers<br />
...<br />
<br />
* Wenn man die Reverse Zone später auch auflösen will braucht man diese Zeile<br />
* '''vim /etc/bind/named.conf.options'''<br />
<br />
...<br />
empty-zones-enable no;<br />
...<br />
<br />
* '''systemctl restart bind9'''<br />
* Einmal alle Domänen durchtesten<br />
* '''dig +short dns.lab''1xx''.nux'''<br />
* '''ping fw.lab''1xx''.nux'''<br />
<br />
== Pseudo ''.nux'' Domain Server ==<br />
<br />
* '''vim /etc/bind/named.conf.options'''<br />
<br />
options {<br />
directory "/var/cache/bind";<br />
empty-zones-enable no;<br />
allow-recursion { 0.0.0.0/0; };<br />
allow-query { 0.0.0.0/0; };<br />
dnssec-validation no;<br />
};<br />
* Zur Zonendefinition hinzufügen<br />
* '''vim /etc/bind/named.conf.local'''<br />
<br />
zone "nux" {<br />
type master;<br />
file "nux";<br />
};<br />
zone "0.10.in-addr.arpa" {<br />
type master;<br />
file "0.10.in-addr.arpa";<br />
};<br />
...<br />
* Zonendateien<br />
* '''vim /var/cache/bind/nux'''<br />
<br />
$TTL 300<br />
@ IN SOA dns.nux. technik.xinux.de. (2023041809 14400 3600 3600000 86400)<br />
<br />
@ IN NS dns.nux.<br />
lab101 NS dns.lab101.nux.<br />
lab102 NS dns.lab102.nux.<br />
lab100 NS dns.nux.<br />
<br />
dns IN A 172.RNr.0.100<br />
dns.lab101 A 172.RNr.0.1''xx''<br />
dns.lab102 A 172.RNr.0.1''xy''<br />
<br />
= Reverse Lookup =<br />
<br />
* Für manche Dienste muss einer IP einen Domain Namen zugeordnet werden<br />
* Dazu eine neue Zone definieren und eine neue Zonendatei erstellen<br />
* '''vim /etc/bind/named.conf.local'''<br />
<br />
zone "100.0.10.in-addr.arpa" {<br />
type master;<br />
file "100.0.10.in-addr.arpa";<br />
};<br />
<br />
* '''vim 100.0.10.in-addr.arpa'''<br />
<br />
$TTL 300<br />
@ IN SOA dns.lab100.nux. technik.xinux.de. (2023050901 14400 3600 3600000 86400)<br />
IN NS dns.lab100.nux.<br />
1 IN PTR fw.lab100.nux.<br />
2 IN PTR dns.lab100.nux.<br />
<br />
* '''systemctl restart bind9'''<br />
<br />
= Netz absichern =<br />
<br />
* Im Moment darf jeder auf die Firewall von jeden zugreifen (und damit alle dahinterliegenden Systeme)<br />
* Um dies zu verhindern erstellen wir mit [[Nftables Netze absichern|nftables]] Firewall Regeln, die nur das nötigste zulassen<br />
* Die Regeln werden von oben nach unten abgearbeitet<br />
* Wenn keine Regel greift, dann zieht die ''Default Policy''<br />
<br />
; Prerouting, Input, Forward, Output und Postrouting sind Punkte an denen wir Regeln erstellen können<br />
<br />
{{#drawio:nft-inet1}}<br />
<br />
== Nur SSH aus LAN auf die Firewall zulassen ==<br />
<br />
* Default Policy wird in allen Filterketten auf Drop gesetzt<br />
* Wenn also keine Regel das Paket durchlässt, wird es verworfen<br />
* Über Connection Tracking können wir uns auf die Regulierung neuer Verbindungen fokussieren<br />
* Als erstes soll nur:<br />
** Die Firewall mit sich selbst über das loopback Interface kommunizieren können (da es sonst zu komischen Problemen führen kann)<br />
** ''Established'' und ''Related'' Pakete akzeptiert werden<br />
** Neue Anfragen aus dem LAN auf TCP Port 2222 akzeptieren<br />
** Firewall soll über HTTP bzw. HTTPS Programme herunterladen können<br />
** Gedroppte Pakete sollen geloggt werden<br />
* '''vim /etc/nftables.conf'''<br />
<br />
#!/usr/sbin/nft -f<br />
<br />
flush ruleset<br />
define wanip = 172.RNr.0.1xx <br />
define dnsserver = 10.0.1xx.2<br />
'''define wandev = enp0s3'''<br />
'''define landev = enp0s8'''<br />
'''define lan = 192.168.0.0/24'''<br />
<br />
table inet filter {<br />
chain input {<br />
type filter hook input priority filter; '''policy drop;'''<br />
'''iif "lo" accept'''<br />
'''ct state established,related accept'''<br />
'''iif $landev tcp dport 2222 accept'''<br />
'''log prefix "--nftables-drop-input--"'''<br />
}<br />
chain forward {<br />
type filter hook forward priority filter; '''policy drop;'''<br />
'''ct state established,related accept'''<br />
'''log prefix "--nftables-drop-forward--"'''<br />
}<br />
chain output {<br />
type filter hook output priority filter; '''policy drop;'''<br />
'''oif "lo" accept'''<br />
'''ct state established,related accept'''<br />
'''oif $wandev tcp dport { 80, 443 } accept'''<br />
'''log prefix "--nftables-drop-output--"'''<br />
}<br />
<br />
table inet nat {<br />
chain prerouting {<br />
type nat hook prerouting priority -100; policy accept;<br />
ip daddr $wanip tcp dport 53 dnat ip to $dnsserver:53<br />
ip daddr $wanip udp dport 53 dnat ip to $dnsserver:53<br />
}<br />
<br />
chain postrouting {<br />
type nat hook postrouting priority srcnat; policy accept;<br />
oif $wandev masquerade<br />
}<br />
}<br />
}<br />
<br />
* '''systemctl restart nftables'''<br />
<br />
== Internetzugriff für LAN und Firewall ==<br />
<br />
* '''vim ''/etc/nftables.conf'' '''<br />
#!/usr/sbin/nft -f<br />
<br />
flush ruleset<br />
<br />
define wanip = 172.22.0.1xx<br />
define dnsserver = 10.0.1xx.2<br />
define wandev = "enp0s3"<br />
define landev = "enp0s8"<br />
define dmzdev = "enp0s9"<br />
define lan = 192.168.0.0/24<br />
define dmz = 10.0.1xx.0/24<br />
<br />
table inet filter {<br />
chain input {<br />
type filter hook input priority 0; policy drop;<br />
ct state { "established", "related" } accept<br />
iif "lo" accept<br />
iif $landev ip saddr $lan tcp dport 2222 accept<br />
icmp type echo-request accept<br />
log prefix "--nftables-drop-input--"<br />
}<br />
chain forward {<br />
type filter hook forward priority 0; policy drop;<br />
ct state { "established", "related" } accept<br />
icmp type echo-request accept<br />
iif $landev ip saddr $lan oif $dmzdev ip daddr $dnsserver udp dport 53 accept<br />
iif $wandev ip daddr $dnsserver tcp dport 53 accept<br />
iif $wandev ip daddr $dnsserver udp dport 53 accept<br />
iif $dmzdev ip saddr $dnsserver tcp dport 53 accept<br />
iif $dmzdev ip saddr $dnsserver udp dport 53 accept<br />
oif $wandev tcp dport { 80, 443 } accept<br />
iif $landev ip saddr $lan oif $dmzdev ip daddr $dmz tcp dport 22 accept<br />
log prefix "--nftables-drop-forward--"<br />
}<br />
chain output {<br />
type filter hook output priority 0; policy drop;<br />
ct state { "established", "related" } accept<br />
icmp type echo-request accept<br />
udp dport 53 accept<br />
oif $wandev tcp dport { 80, 443 } accept<br />
log prefix "--nftables-drop-output--"<br />
}<br />
}<br />
<br />
table inet nat {<br />
chain prerouting {<br />
type nat hook prerouting priority -100; policy accept;<br />
ip daddr $wanip tcp dport 53 dnat ip to $dnsserver:53<br />
ip daddr $wanip udp dport 53 dnat ip to $dnsserver:53<br />
}<br />
chain postrouting {<br />
type nat hook postrouting priority 100; policy accept;<br />
oif $wandev masquerade<br />
}<br />
}<br />
<br />
* '''systemctl restart nftables'''<br />
<br />
== '''C'''onnection '''T'''racking '''T'''abelle ==<br />
<br />
* Das Tool '''conntrack''' installieren, um die CTT anschauen und leeren zu können<br />
* '''apt install conntrack'''<br />
* '''conntrack -F''' ''# Leert die Tabelle''<br />
* '''conntrack -L'''<br />
<br />
tcp 6 432000 ESTABLISHED src=192.168.0.2 dst=192.168.0.2 sport=58178 dport=22 src=192.168.0.1 dst=192.168.0.2 sport=22 dport=58178 [ASSURED] mark=0 use=1<br />
<br />
= Webserver =<br />
<br />
{{#drawio:ul-tag-2}}<br />
<br />
* Rechnern im LAN sollen Webseiten aufrufen können<br />
* unsere DNS Server sollten andere Server im Internet und in den anderen DMZs befragen dürfen<br />
* d.h. UDP Port 53 aus LAN und DMZ und TCP Ports 80 und 443 für LAN sollten freigeschalten werden<br />
* '''vim /etc/nftables.conf'''<br />
<br />
#!/usr/sbin/nft -f<br />
<br />
flush ruleset<br />
define wandev = enp0s3<br />
define landev = enp0s8<br />
'''define dmzdev = enp0s9'''<br />
define lan = 192.168.0.0/24<br />
'''define dmz = 10.0.1''xx''.0/24'''<br />
<br />
table inet filter {<br />
chain input {<br />
type filter hook input priority filter; policy drop;<br />
iif "lo" accept<br />
ct state established,related accept<br />
iif $landev tcp dport 22 accept<br />
log prefix "--nftables-drop-input--"<br />
}<br />
chain forward {<br />
type filter hook forward priority filter; policy drop;<br />
ct state established,related accept<br />
'''iif { $dmzdev, $landev } ip saddr { $dmz, $lan } udp dport 53 oif { $dmzdev, $wandev } accept'''<br />
'''iif $landev ip saddr $lan tcp dport { 80, 443 } oif $wandev accept'''<br />
log prefix "--nftables-drop-forward--"<br />
}<br />
chain output {<br />
type filter hook output priority filter; policy drop;<br />
ct state established,related accept<br />
oif $wandev tcp dport { 80, 443 } accept<br />
log prefix "--nftables-drop-output--"<br />
}<br />
<br />
table inet nat {<br />
chain postrouting {<br />
type nat hook postrouting priority srcnat; policy accept;<br />
oif $wandev masquerade<br />
}<br />
}<br />
}<br />
<br />
== '''D'''estination NAT und Portforwarding ==<br />
<br />
* Ein Webserver in der DMZ soll öffentlich erreichbar sein<br />
* Das Internet kennt aber nur unsere WAN IP<br />
* Wir erwarten, dass solche Anfragen auf Port 80/443 an unsere Firewall ankommen<br />
* Die Zieladresse soll dann in der Prerouting Kette auf die des Webserver umgeschrieben werden<br />
* Dadurch geht das Paket in die Forward Kette anstatt der Input Kette<br />
* Also muss dort die entsprechende Regel zum Freischalten stehen<br />
<br />
#!/usr/sbin/nft -f<br />
<br />
flush ruleset<br />
define wandev = enp0s3<br />
define landev = enp0s8<br />
define dmzdev = enp0s9<br />
define lan = 192.168.0.0/24<br />
define dmz = 10.0.1''xx''.0/24<br />
'''define wanip = 172.RNr.1.1''xx'''''<br />
'''define webserver = 10.0.1''xx''.2'''<br />
<br />
table inet filter {<br />
chain input {<br />
type filter hook input priority filter; policy drop;<br />
iif "lo" accept<br />
ct state established,related accept<br />
iif $landev tcp dport 22 accept<br />
log prefix "--nftables-drop-input--"<br />
}<br />
chain forward {<br />
type filter hook forward priority filter; policy drop;<br />
ct state established,related accept<br />
iif { $dmzdev, $landev } ip saddr { $dmz, $lan } udp dport 53 oif { $dmzdev, $wandev } accept<br />
iif $landev ip saddr $lan tcp dport { 80, 443 } oif $wandev accept<br />
'''ip daddr $webserver tcp dport 80 accept'''<br />
log prefix "--nftables-drop-forward--"<br />
}<br />
chain output {<br />
type filter hook output priority filter; policy drop;<br />
ct state established,related accept<br />
oif $wandev tcp dport { 80, 443 } accept<br />
log prefix "--nftables-drop-output--"<br />
}<br />
<br />
table inet nat {<br />
'''chain prerouting {'''<br />
'''type nat hook prerouting priority 0; policy accept;'''<br />
'''ip daddr $wanip tcp dport 80 dnat ip to $webserver:80'''<br />
'''}'''<br />
<br />
chain postrouting {<br />
type nat hook postrouting priority srcnat; policy accept;<br />
oif $wandev masquerade<br />
}<br />
}<br />
<br />
* '''systemctl restart nftables'''<br />
* Der DNS Server soll uns erstmal auch als Webserver dienen<br />
* '''apt install apache2'''<br />
* Im Browser sollten die Webserver über die IPs der Firewalls erreichbar sein<br />
<br />
== Debug Möglichkeiten ==<br />
<br />
* Falls sich die Firewall nicht so verhält wie erwartet, kann man:<br />
** Connection Tracking Tabelle leeren/flushen: '''conntrack -F'''<br />
** Über '''tail -f -n0 /var/log/syslog | grep nftables''' gedroppte Pakete anschauen (wenn die Log Regeln da sind)<br />
** NAT Regeln überprüfen: '''tcpdump -i ''interface'' ''filter'''''<br />
** Auf Syntaxfehler überprüfen: '''nft -cf /etc/nftables.conf'''<br />
<br />
= LDAP Server einrichten =<br />
<br />
{{#drawio:ul-tag-3}}<br />
<br />
* ein LDAP Server ermöglicht uns zentrale Benutzerverwaltung innerhalb einer Domäne<br />
* die Benutzerdaten werden in einer Datenbank gespeichert und von Clients über '''TCP Port 389''' befragt<br />
* eine neue VM vom Template klonen und Grundeinstellungen vornehmen:<br />
# Hostname auf ''ldap'' setzen<br />
# statische IP vergeben<br />
# SSH Schlüssel hinterlegen<br />
# Eintrag im DNS Server vornehmen<br />
* eventuell muss auf der Firewall Port 80 und 443 für die DMZ freigeschaltet werden, damit die Pakete heruntergeladen werden können<br />
* [[LDAP]]<br />
* [[Openldap Basic Config common]]<br />
<br />
= [[HAProxy]] für zentrale SSL Terminierung =<br />
<br />
{{#drawio:ul-tag-4}}<br />
<br />
* Im Moment ist nur SSH verschlüsselt<br />
* Pakete von HTTP Verbindungen zwischen den LAN und DMZ werden im Klartext verschickt<br />
* '''Problem''': Jemand der den Verkehr mitscheidet, kann alles lesen<br />
* '''Lösung''': Upgrade auf HTTPS mit [[Grundlagen Kryptografie | Zertifikaten]]<br />
* [[SFTP-Server]] für den sicheren Transfer der Zertifikatsanträge<br />
* eine neue VM vom Template klonen und Grundeinstellungen vornehmen:<br />
# Hostname auf ''haproxy'' setzen<br />
# statische IP vergeben '''10.0.1''xx''.2'''<br />
# SSH Schlüssel hinterlegen<br />
# Eintrag im DNS Server vornehmen<br />
# signiertes Wildcard-Zertifikat rüberkopieren<br />
# privaten Zertifikatsschlüssel rüberkopieren<br />
<br />
* Signiertes Zertifikat vom SFTP Server holen<br />
* '''sftp -P 9922 cert_req@172.RNr.1.100'''<br />
* '''get cert/lab1''xx''.nux.crt'''<br />
* Auf dem HAProxy die ''server.pem'' Datei erstellen<br />
* '''cat lab1''xx''.nux.key lab1''xx''.nux.crt > /etc/haproxy/server.pem'''<br />
* '''vim /etc/haproxy/haproxy.cfg'''<br />
<br />
frontend https_web_services<br />
bind 10.0.1''xx''.2:443 name localhost_443 ssl crt /etc/haproxy/server.pem<br />
timeout client 50000<br />
mode http<br />
acl acl_web1 hdr_beg(host) -i web1<br />
acl acl_web2 hdr_beg(host) -i web2<br />
use_backend backend_web1 if acl_web1<br />
use_backend backend_web2 if acl_web2<br />
default_backend http_backend<br />
<br />
#frontend https_frontend<br />
# bind 10.0.1''xx''.2:443 name localhost_443 ssl crt /etc/haproxy/server.pem<br />
# timeout client 50000<br />
# default_backend http_backend<br />
<br />
backend backend_web1<br />
timeout connect 5000<br />
timeout server 50000<br />
mode http<br />
server web_dns 10.0.1''xx''.2:80 check<br />
<br />
backend backend_web2<br />
timeout connect 5000<br />
timeout server 50000<br />
mode http<br />
server web_ldap 10.0.1''xx''.3:80 check<br />
<br />
backend http_backend<br />
mode http<br />
balance roundrobin<br />
timeout connect 5000<br />
timeout server 50000<br />
server web_dns_2 10.0.1''xx''.2:80 check<br />
server web_ldap_2 10.0.1''xx''.3:80 check<br />
<br />
* '''systemctl restart haproxy'''<br />
<br />
= [[Squid erste Schritte|Squid]] Proxy auf der Firewall =<br />
<br />
* [[Squid ACL Basic]]<br />
* [[Iptables mit Squid Transparenter Proxy]]<br />
* Mehr Kontrolle über die Domains, die LAN erreichen darf<br />
* '''vim /etc/squid/squid.conf'''<br />
acl facebook url_regex -i facebook<br />
<br />
http_access deny facebook<br />
http_access allow all<br />
<br />
#nativer Zugriff<br />
http_port 3128 ssl-bump cert=/etc/squid/certs/squid_proxyCA.pem generate-host-certificates=on options=NO_SSLv3,NO_TLSv1,NO_TLSv1_1,SINGLE_DH_USE,SINGLE_ECDH_USE<br />
#transparenter Zugriff unverschlüsselt<br />
http_port 3128 intercept<br />
#transparenter Zugriff verschlüsselt '''wichtig https_port'''<br />
https_port 3129 ssl-bump intercept cert=/etc/squid/certs/squid_proxyCA.pem generate-host-certificates=on options=NO_SSLv3,NO_TLSv1,NO_TLSv1_1,SINGLE_DH_USE,SINGLE_ECDH_USE<br />
<br />
ssl_bump bump all<br />
<br />
coredump_dir /var/spool/squid<br />
logfile_rotate 0<br />
<br />
cache_dir ufs /var/spool/squid 200 16 256<br />
* '''vim /etc/squid/squid.conf'''<br />
<br />
...<br />
'''acl domain_blacklist dstdomain "/etc/squid/domain_blacklist.txt"'''<br />
...<br />
'''http_access deny all domain_blacklist'''<br />
http_access allow localnet<br />
...<br />
<br />
* '''vim /etc/squid/domain_blacklist.txt'''<br />
<br />
facebook.com<br />
twitter.com<br />
<br />
* '''systemctl restart squid'''<br />
<br />
{{#drawio:ul-tag-5}}<br />
<br />
= Festplatten verschlüsseln =<br />
<br />
; Das Verschlüsseln mit '''cryptsetup''' löscht alle vorherigen Daten der Festplatte<br />
* Neue Festplatte in VirtualBox erstellen und anhängen<br />
* zu verschlüsselnde Partition anlegen<br />
* '''fdisk /dev/sdX'''<br />
* '''cryptsetup luksFormat /dev/sdXx'''<br />
* '''cryptsetup open /dev/sdXx ''name'' '''<br />
* Dateisystem auf der entschlüsselten Partition anlegen<br />
* '''mkfs.ext4 /dev/mapper/''name'' '''<br />
* beliebige Testdatei erstellen<br />
* '''echo "Hallo Welt" > encrypted.txt'''<br />
* Nach Benutzen der Partition wieder verschlüsseln<br />
* '''cryptsetup close name'''<br />
<br />
= Separate VM für Monitoring/Scanning =<br />
<br />
# Hostname auf ''health'' setzen<br />
# statische IP vergeben '''10.0.1''xx''.4/24'''<br />
# SSH Schlüssel hinterlegen<br />
# Eintrag im DNS Server vornehmen<br />
<br />
= Checkmk =<br />
<br />
* Die Weboberfläche soll über [https://cmk.lab1xx.nux https://cmk.lab1''xx''.nux] erreichbar sein:<br />
** DNS Eintrag<br />
** HAProxy ACL<br />
<br />
* Download: https://checkmk.com/de/download?method=cmk&edition=cre&version=2.2.0b7&platform=debian&os=bullseye&type=cmk<br />
* Anweisungen der Webseite folgen<br />
* cmkadmin's Passwort auf 123Start$ ändern<br />
* Rechner ins Monitoring hinzufügen<br />
* AUR Paketmanager https://github.com/Jguer/yay</div>
Linkai.zhang
https://wiki.xinux.net/index.php?title=Unix-/Linux_Netz&diff=58642
Unix-/Linux Netz
2024-12-03T13:05:17Z
<p>Linkai.zhang: /* Destination NAT und Portforwarding */</p>
<hr />
<div>=Netzwerk der Schulung=<br />
<br />
* Die WAN-IP wird die 172.RNr.0.(100 + eigene Nr.)<br />
* Die '''D'''e'''m'''ilitarisierte '''Z'''one (DMZ) enthält Services, die von außen erreichbar sein sollen<br />
* Im LAN befindet sich unser Administratorrechner von dem wir unsere Rechner konfigurieren<br />
* Das LAN soll Verbindungen ins Internet initiieren können, aber nicht direkt von außen erreichbar sein<br />
<br />
{{#drawio:ul2}}<br />
<br />
;''xx'' in den folgenden Bildern durch die eigene Nummer ersetzen<br />
;Benutzername für virtuelle Maschinen ist ''xinux'' oder ''root''<br />
;Passwort ist immer 123Start$<br />
<br />
= Vorbereiten der Firewall =<br />
<br />
{{#drawio:ul-tag-0}}<br />
<br />
* Wir klonen den Rechner "Server Vorlage" und nennen ihn "Firewall"<br />
* Dieser braucht 3 Netzwerkadapter:<br />
# Netzwerkbrücke<br />
# Internes Netzwerk "LAN"<br />
# Internes Netzwerk "DMZ"<br />
* Wir starten die Firewall und konfigurieren statische IP Adressen für alle 3 Netzwerkadapter<br />
* '''vim /etc/network/interfaces'''<br />
<br />
auto lo<br />
iface lo inet loopback<br />
<br />
auto enp0s3<br />
iface enp0s3 inet static<br />
address 172.RNr.0.1''xx''/16<br />
gateway 172.RNr.0.1<br />
<br />
auto enp0s8<br />
iface enp0s8 inet static<br />
address 192.168.0.1/24<br />
<br />
auto enp0s9<br />
iface enp0s9 inet static<br />
address 10.0.1''xx''.1/24<br />
<br />
* Interfaces runter und wieder hochfahren, um die neue Konfiguration zu laden<br />
* '''ifdown -va'''<br />
* '''ifup -va'''<br />
* bzw.<br />
* '''systemctl restart networking'''<br />
* Danach sollte der Befehl '''ip address show''' (oder '''ip a''') die neuen IP Adressen anzeigen<br />
<br />
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000<br />
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00<br />
inet 127.0.0.1/8 scope host lo<br />
valid_lft forever preferred_lft forever<br />
inet6 ::1/128 scope host <br />
valid_lft forever preferred_lft forever<br />
2: enp0s3: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1456 qdisc pfifo_fast state UP group default qlen 1000<br />
link/ether 08:00:27:9b:79:a1 brd ff:ff:ff:ff:ff:ff<br />
inet '''172.RNr.1.1''xx''/16''' brd 172.22.255.255 scope global enp0s3<br />
valid_lft forever preferred_lft forever<br />
inet6 2003:e5:173a:c401:a00:27ff:fe9b:79a1/64 scope global dynamic mngtmpaddr <br />
valid_lft 7134sec preferred_lft 1215sec<br />
inet6 fe80::a00:27ff:fe9b:79a1/64 scope link <br />
valid_lft forever preferred_lft forever<br />
3: enp0s8: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000<br />
link/ether 08:00:27:15:03:b7 brd ff:ff:ff:ff:ff:ff<br />
inet '''192.168.0.1/24''' brd 192.168.0.255 scope global enp0s8<br />
valid_lft forever preferred_lft forever<br />
inet6 fe80::a00:27ff:fe15:3b7/64 scope link <br />
valid_lft forever preferred_lft forever<br />
4: enp0s9: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000<br />
link/ether 08:00:27:31:01:09 brd ff:ff:ff:ff:ff:ff<br />
inet '''10.0.1''xx''.1/24''' brd 10.0.100.255 scope global enp0s9<br />
valid_lft forever preferred_lft forever<br />
inet6 fe80::a00:27ff:fe31:109/64 scope link <br />
valid_lft forever preferred_lft forever<br />
<br />
= Workstation im LAN zum Systemadministrator machen =<br />
<br />
* Den Netzwerkadapter von VM "LAN Host" auf "Internes Netzwerk LAN" umstellen und die VM starten<br />
* Wenn wir unsere Netzwerkkonfiguration anschauen, dann sehen wir keine IP Adresse, da noch kein DHCP läuft<br />
* Deshalb geben wir uns eine temporäre IP, um per SSH auf die Firewall zu kommen<br />
* '''systemctl stop NetworkManager'''<br />
* '''ip address add 192.168.0.2/24 dev enp0s3'''<br />
* Nun können wir die Firewall per SSH erreichen<br />
* '''ssh xinux@192.168.0.1'''<br />
* als erstes ändern wir den hostnamen der Firewall von ''debian'' zu ''firewall''<br />
* '''sudo -i'''<br />
* '''hostnamectl set-hostname fw''xx'' '''<br />
* '''vim /etc/hosts'''<br />
<br />
127.0.0.1 localhost<br />
127.0.1.1 '''fw''xx'' '''<br />
...<br />
<br />
* Ein erneutes einloggen updatet den Namen im Prompt<br />
* als nächstes installieren wir einen [[DHCP]] Server, um Rechnern im LAN automatisch eine Netzwerkkonfiguration zu geben<br />
* '''apt install isc-dhcp-server'''<br />
* Am Ende der Installation wird es eine Fehlermeldung geben, da systemd versucht den Dienst zu starten, obwohl noch keine Konfiguration da ist<br />
* '''vim /etc/default/isc-dhcp-server'''<br />
<br />
DHCPDv4_CONF=/etc/dhcp/dhcpd.conf<br />
INTERFACESv4="enp0s8"<br />
<br />
* '''vim /etc/dhcp/dhcpd.conf'''<br />
<br />
option domain-name-servers 1.1.1.1;<br />
default-lease-time 600;<br />
max-lease-time 7200;<br />
authoritative;<br />
<br />
subnet 192.168.0.0 netmask 255.255.255.0 {<br />
range 192.168.0.50 192.168.0.100;<br />
option routers 192.168.0.1;<br />
}<br />
<br />
# Feste IP-Adresse für eine bestimmte MAC-Adresse<br />
host controller {<br />
hardware ethernet ''MAC Adresse vom Arch'';<br />
fixed-address 192.168.0.2;<br />
option routers 192.168.0.1;<br />
}<br />
<br />
* Dienst mit der neuen Konfiguration starten und überprüfen<br />
* '''systemctl restart isc-dhcp-server'''<br />
* '''systemctl status isc-dhcp-server'''<br />
* Beim Neustart von Arch sollte dann automatisch die ''192.168.0.2'' bekommen (falls nicht MAC-Adresse überprüfen)<br />
<br />
= Firewall als Router konfigurieren =<br />
<br />
* Im Moment verwirft die Firewall alle Pakete mit IP-Adressen, die nicht für ihn selbst bestimmt sind<br />
* Um die Pakete uns Default-Gateway weiterzuleiten muss der Kernelparameter ''net.ipv4.ip_forward'' gesetzt sein<br />
* Temporär (bleibt nicht nach einem Reboot):<br />
**'''sysctl -w net.ipv4.ip_forward=1''' ''# Einschalten''<br />
**'''sysctl -w net.ipv4.ip_forward=0''' ''# Ausschalten''<br />
* Für eine persistente Konfiguration muss dieser Parameter in der die Datei ''/etc/sysctl.conf'' stehen<br />
* '''vim /etc/sysctl.conf'''<br />
<br />
...<br />
<br />
# Uncomment the next line to enable packet forwarding for IPv4<br />
net.ipv4.ip_forward=1<br />
...<br />
<br />
* '''sysctl -p'''<br />
<br />
net.ipv4.ip_forward = 1<br />
<br />
* '''S'''ource '''N'''etwork '''A'''ddress '''T'''ranslation muss noch geschehen, damit die Pakete mit IP Adressen aus einem privaten Netzwerk den Weg zurück finden<br />
* '''vim /etc/nftables.conf'''<br />
<br />
#!/usr/sbin/nft -f<br />
<br />
flush ruleset<br />
<br />
table inet filter {<br />
chain input {<br />
type filter hook input priority 0;<br />
}<br />
chain forward {<br />
type filter hook forward priority 0;<br />
}<br />
chain output {<br />
type filter hook output priority 0;<br />
}<br />
}<br />
<br />
table inet nat {<br />
chain postrouting {<br />
type nat hook postrouting priority 100; policy accept;<br />
oif enp0s3 masquerade<br />
}<br />
}<br />
<br />
* '''systemctl restart nftables'''<br />
* '''systemctl enable nftables'''<br />
<br />
<br />
= SSH Schlüssel für passwortloses Login =<br />
<br />
== LAN ==<br />
<br />
* Um nicht jedes mal das Passwort beim Login eingeben zu müssen kann man sich stattdessen mit einem privaten Schlüssel authentifizieren<br />
* Wir erstellen einen Schlüssel mit RSA Verschlüsselung und erstmal ohne Passwortabfrage für den Benutz des Schlüssels<br />
* '''ssh-keygen''' ''# 123Start$ als Passwort nehmen''<br />
* '''ssh-copy-id xinux@192.168.0.1'''<br />
* bzw.<br />
* '''scp ~/.ssh/id_rsa.pub xinux@192.168.0.1:~/.ssh/authorized_keys'''<br />
* In der ''authorized_keys'' Datei können mehrere öffentliche Schlüssel stehen (pro Zeile ein Schlüssel)<br />
* Es ist üblich SSH Login über Passwörter komplett auszuschalten sobald die SSH Schlüssel von den zugangsberechtigten Benutzern hinterlegt sind<br />
* Normalerweise sind die Schlüssel passwortgeschützt.<br />
* Damit man nicht jedes mal das Passwort dafür eingeben muss kann man einen [[SSH Agent]] nutzen<br />
<br />
== Firewall ==<br />
<br />
* Wir wollen uns direkt als root einloggen können, weshalb die '''authorized_keys''' Datei auch im Home-Verzeichnis des root-Nutzers liegen muss<br />
* '''sudo -i'''<br />
* '''mkdir ''.ssh'' '''<br />
* '''cp ''~xinux/.ssh/authorized_keys'' ''.ssh/'' '''<br />
* Um den SSH-Server abszusichern können wir den Port verlegen und nur schlüsselbasiertes Einloggen zulassen<br />
* '''vim ''/etc/ssh/sshd_config'' '''<br />
<br />
Port 2222<br />
AddressFamily inet<br />
ListenAddress 192.168.0.1<br />
PubkeyAuthentication yes<br />
PasswordAuthentication no<br />
UsePAM no<br />
<br />
* '''systemctl restart sshd'''<br />
<br />
== LAN ==<br />
<br />
* Nun sollten wir uns direkt als root anmelden können <br />
* '''ssh -p 2222 root@192.168.0.1 "id && hostname"'''<br />
* Um die Ameldung einfacher zu gestalten können wir unseren SSH-Client konfigurieren<br />
* '''vim ''~/.ssh/config'' '''<br />
<br />
Host fw''xx''<br />
Hostname 192.168.0.1<br />
User root<br />
Port 2222<br />
<br />
* Jetzt kann man den Befehl folgendermaßen verkürzen:<br />
* '''ssh fw''xx'' '''<br />
<br />
= DHCP erweitern =<br />
<br />
* Um neue Rechner in der DMZ automatisch über LAN administrierbar zu machen, erweitern wir den DHCP Server auf der Firewall<br />
* '''vim /etc/default/isc-dhcp-server<br />
<br />
DHCPDv4_CONF=/etc/dhcp/dhcpd.conf<br />
INTERFACESv4="enp0s8 '''enp0s9'''"<br />
<br />
* Die Subnetzdefinitionen folgen der Reihenfolge der Interfaces in ''/etc/default/isc-dhcp-server''<br />
* '''vim /etc/dhcp/dhcpd.conf'''<br />
<br />
default-lease-time 600;<br />
max-lease-time 7200;<br />
authoritative;<br />
<br />
subnet 192.168.0.0 netmask 255.255.255.0 {<br />
range 192.168.0.50 192.168.0.100;<br />
option routers 192.168.0.1;<br />
}<br />
<br />
'''subnet 10.0.1''xx''.0 netmask 255.255.255.0 {'''<br />
'''range 10.0.1''xx''.50 10.0.1''xx''.100;'''<br />
'''option routers 10.0.1''xx''.1;'''<br />
'''}'''<br />
<br />
# Feste IP-Adresse für eine bestimmte MAC-Adresse<br />
host controller {<br />
hardware ethernet MAC Adresse vom Arch;<br />
fixed-address 192.168.0.2;<br />
option routers 192.168.0.1;<br />
}<br />
<br />
* '''systemctl restart isc-dhcp-server'''<br />
<br />
= [[DNS]] Server =<br />
<br />
{{#drawio:ul-tag-1}}<br />
<br />
== Virtualbox ==<br />
* Ein Klon von "Server Vorlage" mit Netzwerkadapter im internen Netzwerk "DMZ" erstellen<br />
* Über die Systemlogs für '''DHCP''' auf der '''Firewall''' können wir die IP Adresse des DNS-Servers herausfinden<br />
<br />
== Firewall ==<br />
* '''journalctl -u isc-dhcp-server'''<br />
* Zurück zu Arch wechseln und über SSH auf den DNS Server einloggen<br />
* '''ssh xinux@10.0.''(100 + eigene Nr.).'' ''yy'' '''<br />
<br />
== DNS ==<br />
* Anschließend die IP Adresse in ''/etc/network/interfaces'' konfigurieren: 10.0.''(100 + eigene Nr.)''.2<br />
* Hostname auf DNS: setzen (in ''/etc/hosts'' auch umändern)<br />
* SSH Schlüssel hinterlegen<br />
* Bind9 installieren<br />
* '''vim /etc/resolv.conf'''<br />
<br />
nameserver 1.1.1.1<br />
<br />
* '''apt install bind9'''<br />
* '''vim /etc/resolv.conf'''<br />
<br />
nameserver 127.0.0.1<br />
<br />
== Optionen festlegen ==<br />
<br />
* '''vim /etc/bind/named.conf.options'''<br />
<br />
options {<br />
directory "/var/cache/bind";<br />
dnssec-validation no;<br />
allow-recursion { 0.0.0.0/0; };<br />
};<br />
<br />
== Zone definieren ==<br />
<br />
* '''vim /etc/bind/named.conf.local'''<br />
<br />
zone "lab(100 + eigene Nr.).nux" {<br />
type master;<br />
file "lab(100 + eigene Nr.).nux";<br />
};<br />
<br />
== Zonendatei erstellen ==<br />
<br />
* '''vim /var/cache/bind/lab(100 + eigene Nr.).nux'''<br />
<br />
$TTL 300<br />
@ IN SOA dns.lab''(100 + eigene Nr.)''.nux. technik.xinux.de. (''(Datum + Ver.nr.)'' 14400 3600 3600000 86400)<br />
IN NS dns<br />
dns IN A 10.0.(100 + eigene Nr.).2<br />
fw IN A 10.0.(100 + eigene Nr.).1<br />
<br />
* Dienst neustarten und testen<br />
* '''systemctl restart bind9'''<br />
* '''dig +short dns.lab1''xx''.nux'''<br />
* '''dig +short fw.lab1''xx''.nux'''<br />
<br />
== '''D'''estination NAT und Portforwarding ==<br />
<br />
* Der DNS-Server in der DMZ soll öffentlich erreichbar sein<br />
* Das Internet kennt aber nur unsere WAN IP<br />
* Wir erwarten, dass solche Anfragen auf Port 53 UDP/TCP an unsere Firewall ankommen<br />
* Die Zieladresse soll dann in der Prerouting Kette auf die des Webserver umgeschrieben werden<br />
* Dadurch geht das Paket in die Forward Kette anstatt der Input Kette<br />
* Also muss dort die entsprechende Regel zum Freischalten stehen<br />
<br />
#!/usr/sbin/nft -f<br />
<br />
flush ruleset<br />
'''define wanip = 172.RNr.0.1''xx'' '''<br />
'''define dnsserver = 10.0.1''xx''.2'''<br />
<br />
table inet filter {<br />
chain input {<br />
type filter hook input priority filter;<br />
}<br />
chain forward {<br />
type filter hook forward priority filter;<br />
}<br />
chain output {<br />
type filter hook output priority filter;<br />
}<br />
}<br />
table inet nat {<br />
'''chain prerouting {'''<br />
'''type nat hook prerouting priority -100; policy accept;'''<br />
'''ip daddr $wanip tcp dport 53 dnat ip to $dnsserver:53'''<br />
'''ip daddr $wanip udp dport 53 dnat ip to $dnsserver:53'''<br />
'''}'''<br />
<br />
chain postrouting {<br />
type nat hook postrouting priority 100; policy accept;<br />
oif $wandev masquerade<br />
}<br />
}<br />
<br />
* '''systemctl restart nftables'''<br />
<br />
= Auflösen anderer Domänen über eine Pseudo Top Level Domain =<br />
<br />
== Dienst neustarten und DNS-Auflösung testen ==<br />
<br />
* '''systemctl restart bind9'''<br />
* '''dig +short dns.lab(100 + eigene Nr.).nux'''<br />
* '''dig +short xinux.net'''<br />
* Wenn das funktioniert dann den DNS Server im DHCP Server als Standard DNS Server und Suchdomäne eintragen (zur Firewall wechseln)<br />
* '''vim /etc/dhcp/dhcpd.conf'''<br />
<br />
option domain-name "lab(100 + eigene Nr.).nux";<br />
option domain-name-servers 10.0.''(100 + eigene Nr.)''.2;<br />
...<br />
<br />
* '''systemctl restart isc-dhcp-server'''<br />
* Arch neustarten und in ''/etc/resolv.conf'' nachschauen, ob die neue Konfiguration automatisch gezogen wurde<br />
* bzw.<br />
* '''systemctl restart NetworkManager'''<br />
<br />
= Bind9 Forwarder eintragen =<br />
<br />
== DNS Server der ''.nux''-Domain ==<br />
* Wenn jeder die DMZ der anderen erreichen kann, ist es möglich über eine Top Level Domain die anderen Domänen aufzulösen<br />
* Dazu muss man auf den '''DNS Server''' einen vorkonfigurierten Pseudo Top Level Domain Nameserver als '''Forwarder''' eintragen<br />
* '''vim /etc/bind/named.conf.options'''<br />
<br />
...<br />
forwarders { 172.RNr.0.100; }; //IP des Top Level Domain Nameservers<br />
...<br />
<br />
* Wenn man die Reverse Zone später auch auflösen will braucht man diese Zeile<br />
* '''vim /etc/bind/named.conf.options'''<br />
<br />
...<br />
empty-zones-enable no;<br />
...<br />
<br />
* '''systemctl restart bind9'''<br />
* Einmal alle Domänen durchtesten<br />
* '''dig +short dns.lab''1xx''.nux'''<br />
* '''ping fw.lab''1xx''.nux'''<br />
<br />
== Pseudo ''.nux'' Domain Server ==<br />
<br />
* '''vim /etc/bind/named.conf.options'''<br />
<br />
options {<br />
directory "/var/cache/bind";<br />
empty-zones-enable no;<br />
allow-recursion { 0.0.0.0/0; };<br />
allow-query { 0.0.0.0/0; };<br />
dnssec-validation no;<br />
};<br />
* Zur Zonendefinition hinzufügen<br />
* '''vim /etc/bind/named.conf.local'''<br />
<br />
zone "nux" {<br />
type master;<br />
file "nux";<br />
};<br />
zone "0.10.in-addr.arpa" {<br />
type master;<br />
file "0.10.in-addr.arpa";<br />
};<br />
...<br />
* Zonendateien<br />
* '''vim /var/cache/bind/nux'''<br />
<br />
$TTL 300<br />
@ IN SOA dns.nux. technik.xinux.de. (2023041809 14400 3600 3600000 86400)<br />
<br />
@ IN NS dns.nux.<br />
lab101 NS dns.lab101.nux.<br />
lab102 NS dns.lab102.nux.<br />
lab100 NS dns.nux.<br />
<br />
dns IN A 172.RNr.0.100<br />
dns.lab101 A 172.RNr.0.1''xx''<br />
dns.lab102 A 172.RNr.0.1''xy''<br />
<br />
= Reverse Lookup =<br />
<br />
* Für manche Dienste muss einer IP einen Domain Namen zugeordnet werden<br />
* Dazu eine neue Zone definieren und eine neue Zonendatei erstellen<br />
* '''vim /etc/bind/named.conf.local'''<br />
<br />
zone "100.0.10.in-addr.arpa" {<br />
type master;<br />
file "100.0.10.in-addr.arpa";<br />
};<br />
<br />
* '''vim 100.0.10.in-addr.arpa'''<br />
<br />
$TTL 300<br />
@ IN SOA dns.lab100.nux. technik.xinux.de. (2023050901 14400 3600 3600000 86400)<br />
IN NS dns.lab100.nux.<br />
1 IN PTR fw.lab100.nux.<br />
2 IN PTR dns.lab100.nux.<br />
<br />
* '''systemctl restart bind9'''<br />
<br />
= Netz absichern =<br />
<br />
* Im Moment darf jeder auf die Firewall von jeden zugreifen (und damit alle dahinterliegenden Systeme)<br />
* Um dies zu verhindern erstellen wir mit [[Nftables Netze absichern|nftables]] Firewall Regeln, die nur das nötigste zulassen<br />
* Die Regeln werden von oben nach unten abgearbeitet<br />
* Wenn keine Regel greift, dann zieht die ''Default Policy''<br />
<br />
; Prerouting, Input, Forward, Output und Postrouting sind Punkte an denen wir Regeln erstellen können<br />
<br />
{{#drawio:nft-inet1}}<br />
<br />
== Nur SSH aus LAN auf die Firewall zulassen ==<br />
<br />
* Default Policy wird in allen Filterketten auf Drop gesetzt<br />
* Wenn also keine Regel das Paket durchlässt, wird es verworfen<br />
* Über Connection Tracking können wir uns auf die Regulierung neuer Verbindungen fokussieren<br />
* Als erstes soll nur:<br />
** Die Firewall mit sich selbst über das loopback Interface kommunizieren können (da es sonst zu komischen Problemen führen kann)<br />
** ''Etablished'' und ''Related'' Pakete akzeptiert werden<br />
** Neue Anfragen aus dem LAN auf TCP Port 2222 akzeptieren<br />
** Firewall soll über HTTP bzw. HTTPS Programme herunterladen können<br />
** Gedroppte Pakete sollen geloggt werden<br />
* '''vim /etc/nftables.conf'''<br />
<br />
#!/usr/sbin/nft -f<br />
<br />
flush ruleset<br />
define wanip = 172.RNr.0.1xx <br />
define dnsserver = 10.0.1xx.2<br />
'''define wandev = enp0s3'''<br />
'''define landev = enp0s8'''<br />
'''define lan = 192.168.0.0/24'''<br />
<br />
table inet filter {<br />
chain input {<br />
type filter hook input priority filter; '''policy drop;'''<br />
'''iif "lo" accept'''<br />
'''ct state established,related accept'''<br />
'''iif $landev tcp dport 2222 accept'''<br />
'''log prefix "--nftables-drop-input--"'''<br />
}<br />
chain forward {<br />
type filter hook forward priority filter; '''policy drop;'''<br />
'''ct state established,related accept'''<br />
'''log prefix "--nftables-drop-forward--"'''<br />
}<br />
chain output {<br />
type filter hook output priority filter; '''policy drop;'''<br />
'''oif "lo" accept'''<br />
'''ct state established,related accept'''<br />
'''oif $wandev tcp dport { 80, 443 } accept'''<br />
'''log prefix "--nftables-drop-output--"'''<br />
}<br />
<br />
table inet nat {<br />
chain prerouting {<br />
type nat hook prerouting priority -100; policy accept;<br />
ip daddr $wanip tcp dport 53 dnat ip to $dnsserver:53<br />
ip daddr $wanip udp dport 53 dnat ip to $dnsserver:53<br />
}<br />
<br />
chain postrouting {<br />
type nat hook postrouting priority srcnat; policy accept;<br />
oif $wandev masquerade<br />
}<br />
}<br />
}<br />
<br />
* '''systemctl restart nftables'''<br />
<br />
== Internetzugriff für LAN und Firewall ==<br />
<br />
* '''vim ''/etc/nftables.conf'' '''<br />
#!/usr/sbin/nft -f<br />
<br />
flush ruleset<br />
<br />
define wanip = 172.22.0.1xx<br />
define dnsserver = 10.0.1xx.2<br />
define wandev = "enp0s3"<br />
define landev = "enp0s8"<br />
define dmzdev = "enp0s9"<br />
define lan = 192.168.0.0/24<br />
define dmz = 10.0.1xx.0/24<br />
<br />
table inet filter {<br />
chain input {<br />
type filter hook input priority 0; policy drop;<br />
ct state { "established", "related" } accept<br />
iif "lo" accept<br />
iif $landev ip saddr $lan tcp dport 2222 accept<br />
icmp type echo-request accept<br />
log prefix "--nftables-drop-input--"<br />
}<br />
chain forward {<br />
type filter hook forward priority 0; policy drop;<br />
ct state { "established", "related" } accept<br />
icmp type echo-request accept<br />
iif $landev ip saddr $lan oif $dmzdev ip daddr $dnsserver udp dport 53 accept<br />
iif $wandev ip daddr $dnsserver tcp dport 53 accept<br />
iif $wandev ip daddr $dnsserver udp dport 53 accept<br />
iif $dmzdev ip saddr $dnsserver tcp dport 53 accept<br />
iif $dmzdev ip saddr $dnsserver udp dport 53 accept<br />
oif $wandev tcp dport { 80, 443 } accept<br />
iif $landev ip saddr $lan oif $dmzdev ip daddr $dmz tcp dport 22 accept<br />
log prefix "--nftables-drop-forward--"<br />
}<br />
chain output {<br />
type filter hook output priority 0; policy drop;<br />
ct state { "established", "related" } accept<br />
icmp type echo-request accept<br />
udp dport 53 accept<br />
oif $wandev tcp dport { 80, 443 } accept<br />
log prefix "--nftables-drop-output--"<br />
}<br />
}<br />
<br />
table inet nat {<br />
chain prerouting {<br />
type nat hook prerouting priority -100; policy accept;<br />
ip daddr $wanip tcp dport 53 dnat ip to $dnsserver:53<br />
ip daddr $wanip udp dport 53 dnat ip to $dnsserver:53<br />
}<br />
chain postrouting {<br />
type nat hook postrouting priority 100; policy accept;<br />
oif $wandev masquerade<br />
}<br />
}<br />
<br />
* '''systemctl restart nftables'''<br />
<br />
== '''C'''onnection '''T'''racking '''T'''abelle ==<br />
<br />
* Das Tool '''conntrack''' installieren, um die CTT anschauen und leeren zu können<br />
* '''apt install conntrack'''<br />
* '''conntrack -F''' ''# Leert die Tabelle''<br />
* '''conntrack -L'''<br />
<br />
tcp 6 432000 ESTABLISHED src=192.168.0.2 dst=192.168.0.2 sport=58178 dport=22 src=192.168.0.1 dst=192.168.0.2 sport=22 dport=58178 [ASSURED] mark=0 use=1<br />
<br />
= Webserver =<br />
<br />
{{#drawio:ul-tag-2}}<br />
<br />
* Rechnern im LAN sollen Webseiten aufrufen können<br />
* unsere DNS Server sollten andere Server im Internet und in den anderen DMZs befragen dürfen<br />
* d.h. UDP Port 53 aus LAN und DMZ und TCP Ports 80 und 443 für LAN sollten freigeschalten werden<br />
* '''vim /etc/nftables.conf'''<br />
<br />
#!/usr/sbin/nft -f<br />
<br />
flush ruleset<br />
define wandev = enp0s3<br />
define landev = enp0s8<br />
'''define dmzdev = enp0s9'''<br />
define lan = 192.168.0.0/24<br />
'''define dmz = 10.0.1''xx''.0/24'''<br />
<br />
table inet filter {<br />
chain input {<br />
type filter hook input priority filter; policy drop;<br />
iif "lo" accept<br />
ct state established,related accept<br />
iif $landev tcp dport 22 accept<br />
log prefix "--nftables-drop-input--"<br />
}<br />
chain forward {<br />
type filter hook forward priority filter; policy drop;<br />
ct state established,related accept<br />
'''iif { $dmzdev, $landev } ip saddr { $dmz, $lan } udp dport 53 oif { $dmzdev, $wandev } accept'''<br />
'''iif $landev ip saddr $lan tcp dport { 80, 443 } oif $wandev accept'''<br />
log prefix "--nftables-drop-forward--"<br />
}<br />
chain output {<br />
type filter hook output priority filter; policy drop;<br />
ct state established,related accept<br />
oif $wandev tcp dport { 80, 443 } accept<br />
log prefix "--nftables-drop-output--"<br />
}<br />
<br />
table inet nat {<br />
chain postrouting {<br />
type nat hook postrouting priority srcnat; policy accept;<br />
oif $wandev masquerade<br />
}<br />
}<br />
}<br />
<br />
== '''D'''estination NAT und Portforwarding ==<br />
<br />
* Ein Webserver in der DMZ soll öffentlich erreichbar sein<br />
* Das Internet kennt aber nur unsere WAN IP<br />
* Wir erwarten, dass solche Anfragen auf Port 80/443 an unsere Firewall ankommen<br />
* Die Zieladresse soll dann in der Prerouting Kette auf die des Webserver umgeschrieben werden<br />
* Dadurch geht das Paket in die Forward Kette anstatt der Input Kette<br />
* Also muss dort die entsprechende Regel zum Freischalten stehen<br />
<br />
#!/usr/sbin/nft -f<br />
<br />
flush ruleset<br />
define wandev = enp0s3<br />
define landev = enp0s8<br />
define dmzdev = enp0s9<br />
define lan = 192.168.0.0/24<br />
define dmz = 10.0.1''xx''.0/24<br />
'''define wanip = 172.RNr.1.1''xx'''''<br />
'''define webserver = 10.0.1''xx''.2'''<br />
<br />
table inet filter {<br />
chain input {<br />
type filter hook input priority filter; policy drop;<br />
iif "lo" accept<br />
ct state established,related accept<br />
iif $landev tcp dport 22 accept<br />
log prefix "--nftables-drop-input--"<br />
}<br />
chain forward {<br />
type filter hook forward priority filter; policy drop;<br />
ct state established,related accept<br />
iif { $dmzdev, $landev } ip saddr { $dmz, $lan } udp dport 53 oif { $dmzdev, $wandev } accept<br />
iif $landev ip saddr $lan tcp dport { 80, 443 } oif $wandev accept<br />
'''ip daddr $webserver tcp dport 80 accept'''<br />
log prefix "--nftables-drop-forward--"<br />
}<br />
chain output {<br />
type filter hook output priority filter; policy drop;<br />
ct state established,related accept<br />
oif $wandev tcp dport { 80, 443 } accept<br />
log prefix "--nftables-drop-output--"<br />
}<br />
<br />
table inet nat {<br />
'''chain prerouting {'''<br />
'''type nat hook prerouting priority 0; policy accept;'''<br />
'''ip daddr $wanip tcp dport 80 dnat ip to $webserver:80'''<br />
'''}'''<br />
<br />
chain postrouting {<br />
type nat hook postrouting priority srcnat; policy accept;<br />
oif $wandev masquerade<br />
}<br />
}<br />
<br />
* '''systemctl restart nftables'''<br />
* Der DNS Server soll uns erstmal auch als Webserver dienen<br />
* '''apt install apache2'''<br />
* Im Browser sollten die Webserver über die IPs der Firewalls erreichbar sein<br />
<br />
== Debug Möglichkeiten ==<br />
<br />
* Falls sich die Firewall nicht so verhält wie erwartet, kann man:<br />
** Connection Tracking Tabelle leeren/flushen: '''conntrack -F'''<br />
** Über '''tail -f -n0 /var/log/syslog | grep nftables''' gedroppte Pakete anschauen (wenn die Log Regeln da sind)<br />
** NAT Regeln überprüfen: '''tcpdump -i ''interface'' ''filter'''''<br />
** Auf Syntaxfehler überprüfen: '''nft -cf /etc/nftables.conf'''<br />
<br />
= LDAP Server einrichten =<br />
<br />
{{#drawio:ul-tag-3}}<br />
<br />
* ein LDAP Server ermöglicht uns zentrale Benutzerverwaltung innerhalb einer Domäne<br />
* die Benutzerdaten werden in einer Datenbank gespeichert und von Clients über '''TCP Port 389''' befragt<br />
* eine neue VM vom Template klonen und Grundeinstellungen vornehmen:<br />
# Hostname auf ''ldap'' setzen<br />
# statische IP vergeben<br />
# SSH Schlüssel hinterlegen<br />
# Eintrag im DNS Server vornehmen<br />
* eventuell muss auf der Firewall Port 80 und 443 für die DMZ freigeschaltet werden, damit die Pakete heruntergeladen werden können<br />
* [[LDAP]]<br />
* [[Openldap Basic Config common]]<br />
<br />
= [[HAProxy]] für zentrale SSL Terminierung =<br />
<br />
{{#drawio:ul-tag-4}}<br />
<br />
* Im Moment ist nur SSH verschlüsselt<br />
* Pakete von HTTP Verbindungen zwischen den LAN und DMZ werden im Klartext verschickt<br />
* '''Problem''': Jemand der den Verkehr mitscheidet, kann alles lesen<br />
* '''Lösung''': Upgrade auf HTTPS mit [[Grundlagen Kryptografie | Zertifikaten]]<br />
* [[SFTP-Server]] für den sicheren Transfer der Zertifikatsanträge<br />
* eine neue VM vom Template klonen und Grundeinstellungen vornehmen:<br />
# Hostname auf ''haproxy'' setzen<br />
# statische IP vergeben '''10.0.1''xx''.2'''<br />
# SSH Schlüssel hinterlegen<br />
# Eintrag im DNS Server vornehmen<br />
# signiertes Wildcard-Zertifikat rüberkopieren<br />
# privaten Zertifikatsschlüssel rüberkopieren<br />
<br />
* Signiertes Zertifikat vom SFTP Server holen<br />
* '''sftp -P 9922 cert_req@172.RNr.1.100'''<br />
* '''get cert/lab1''xx''.nux.crt'''<br />
* Auf dem HAProxy die ''server.pem'' Datei erstellen<br />
* '''cat lab1''xx''.nux.key lab1''xx''.nux.crt > /etc/haproxy/server.pem'''<br />
* '''vim /etc/haproxy/haproxy.cfg'''<br />
<br />
frontend https_web_services<br />
bind 10.0.1''xx''.2:443 name localhost_443 ssl crt /etc/haproxy/server.pem<br />
timeout client 50000<br />
mode http<br />
acl acl_web1 hdr_beg(host) -i web1<br />
acl acl_web2 hdr_beg(host) -i web2<br />
use_backend backend_web1 if acl_web1<br />
use_backend backend_web2 if acl_web2<br />
default_backend http_backend<br />
<br />
#frontend https_frontend<br />
# bind 10.0.1''xx''.2:443 name localhost_443 ssl crt /etc/haproxy/server.pem<br />
# timeout client 50000<br />
# default_backend http_backend<br />
<br />
backend backend_web1<br />
timeout connect 5000<br />
timeout server 50000<br />
mode http<br />
server web_dns 10.0.1''xx''.2:80 check<br />
<br />
backend backend_web2<br />
timeout connect 5000<br />
timeout server 50000<br />
mode http<br />
server web_ldap 10.0.1''xx''.3:80 check<br />
<br />
backend http_backend<br />
mode http<br />
balance roundrobin<br />
timeout connect 5000<br />
timeout server 50000<br />
server web_dns_2 10.0.1''xx''.2:80 check<br />
server web_ldap_2 10.0.1''xx''.3:80 check<br />
<br />
* '''systemctl restart haproxy'''<br />
<br />
= [[Squid erste Schritte|Squid]] Proxy auf der Firewall =<br />
<br />
* [[Squid ACL Basic]]<br />
* [[Iptables mit Squid Transparenter Proxy]]<br />
* Mehr Kontrolle über die Domains, die LAN erreichen darf<br />
* '''vim /etc/squid/squid.conf'''<br />
acl facebook url_regex -i facebook<br />
<br />
http_access deny facebook<br />
http_access allow all<br />
<br />
#nativer Zugriff<br />
http_port 3128 ssl-bump cert=/etc/squid/certs/squid_proxyCA.pem generate-host-certificates=on options=NO_SSLv3,NO_TLSv1,NO_TLSv1_1,SINGLE_DH_USE,SINGLE_ECDH_USE<br />
#transparenter Zugriff unverschlüsselt<br />
http_port 3128 intercept<br />
#transparenter Zugriff verschlüsselt '''wichtig https_port'''<br />
https_port 3129 ssl-bump intercept cert=/etc/squid/certs/squid_proxyCA.pem generate-host-certificates=on options=NO_SSLv3,NO_TLSv1,NO_TLSv1_1,SINGLE_DH_USE,SINGLE_ECDH_USE<br />
<br />
ssl_bump bump all<br />
<br />
coredump_dir /var/spool/squid<br />
logfile_rotate 0<br />
<br />
cache_dir ufs /var/spool/squid 200 16 256<br />
* '''vim /etc/squid/squid.conf'''<br />
<br />
...<br />
'''acl domain_blacklist dstdomain "/etc/squid/domain_blacklist.txt"'''<br />
...<br />
'''http_access deny all domain_blacklist'''<br />
http_access allow localnet<br />
...<br />
<br />
* '''vim /etc/squid/domain_blacklist.txt'''<br />
<br />
facebook.com<br />
twitter.com<br />
<br />
* '''systemctl restart squid'''<br />
<br />
{{#drawio:ul-tag-5}}<br />
<br />
= Festplatten verschlüsseln =<br />
<br />
; Das Verschlüsseln mit '''cryptsetup''' löscht alle vorherigen Daten der Festplatte<br />
* Neue Festplatte in VirtualBox erstellen und anhängen<br />
* zu verschlüsselnde Partition anlegen<br />
* '''fdisk /dev/sdX'''<br />
* '''cryptsetup luksFormat /dev/sdXx'''<br />
* '''cryptsetup open /dev/sdXx ''name'' '''<br />
* Dateisystem auf der entschlüsselten Partition anlegen<br />
* '''mkfs.ext4 /dev/mapper/''name'' '''<br />
* beliebige Testdatei erstellen<br />
* '''echo "Hallo Welt" > encrypted.txt'''<br />
* Nach Benutzen der Partition wieder verschlüsseln<br />
* '''cryptsetup close name'''<br />
<br />
= Separate VM für Monitoring/Scanning =<br />
<br />
# Hostname auf ''health'' setzen<br />
# statische IP vergeben '''10.0.1''xx''.4/24'''<br />
# SSH Schlüssel hinterlegen<br />
# Eintrag im DNS Server vornehmen<br />
<br />
= Checkmk =<br />
<br />
* Die Weboberfläche soll über [https://cmk.lab1xx.nux https://cmk.lab1''xx''.nux] erreichbar sein:<br />
** DNS Eintrag<br />
** HAProxy ACL<br />
<br />
* Download: https://checkmk.com/de/download?method=cmk&edition=cre&version=2.2.0b7&platform=debian&os=bullseye&type=cmk<br />
* Anweisungen der Webseite folgen<br />
* cmkadmin's Passwort auf 123Start$ ändern<br />
* Rechner ins Monitoring hinzufügen<br />
* AUR Paketmanager https://github.com/Jguer/yay</div>
Linkai.zhang
https://wiki.xinux.net/index.php?title=Kea_DHCPv4&diff=58641
Kea DHCPv4
2024-12-03T10:52:07Z
<p>Linkai.zhang: </p>
<hr />
<div>[[Kategorie:DHCP]]<br />
[[Kategorie:Kea]]<br />
= Installation =<br />
* Die Installation und Konfiguration nimmt an das [[:Kategorie:Debian|Debian]] 12 verwendet wird<br />
* '''apt install kea'''<br />
<br />
= Konfiguration =<br />
* Die Konfigurationsprache ist im JSON-Format<br />
* Die folgende Konfiguration nimmt an, dass auf ''enp0s8'' DHCP-Anfragen kommen<br />
* ''enp0s8 sollte eine IP-Adresse im Netz 192.168.0.0/24 haben, damit der IP-Adressen aus dem angegeben Subnetz vergeben kann<br />
* Die Konfigurationen sind für 2 Stunden (7200 Sekunden) gültig<br />
* Es werden IP-Adressen von 192.168.0.100 bis .200 vergeben<br />
* Die Clients bekommen 1.1.1.1 und 8.8.8.8 als DNS-Server<br />
* '''vim ''/etc/kea/kea-dhcp4.conf'' '''<br />
<br />
<syntaxhighlight lang="json"><br />
{<br />
"Dhcp4": {<br />
"interfaces-config": {<br />
"interfaces": [<br />
"enp0s8"<br />
]<br />
},<br />
"control-socket": {<br />
"socket-type": "unix",<br />
"socket-name": "/run/kea/kea4-ctrl-socket"<br />
},<br />
"lease-database": {<br />
"type": "memfile",<br />
"persist": true<br />
},<br />
"valid-lifetime": 7200,<br />
"option-data": [<br />
{<br />
"name": "domain-name-servers",<br />
"data": "1.1.1.1, 8.8.8.8"<br />
}<br />
],<br />
"subnet4": [<br />
{<br />
"subnet": "192.168.0.0/24",<br />
"pools": [<br />
{<br />
"pool": "192.168.0.100 - 192.168.0.200"<br />
}<br />
],<br />
"reservations": [<br />
{<br />
"hw-address": "fe:fe:fe:fe:fe:fe",<br />
"ip-address": "192.168.0.2"<br />
}<br />
],<br />
"option-data": [<br />
{<br />
"name": "routers",<br />
"data": "192.168.0.1"<br />
}<br />
]<br />
}<br />
]<br />
}<br />
}<br />
</syntaxhighlight><br />
<br />
* '''systemctl restart kea-dhcp4-server'''<br />
<br />
= Logging =<br />
* Für die letzten 20 Zeilen des Dienstes kann [[journalctl]] befragt werden<br />
* '''journalctl -u kea-dhcp4-server -n 20'''<br />
* Eine Datenbank der Leases liegt unter ''/var/lib/kea/kea-leases4.csv''<br />
* '''tail ''/var/lib/kea/kea-leases4.csv'' '''<br />
<br />
= Debugging =<br />
* '''kea-dhcp4 -t ''/pfad/zur/config'' '''</div>
Linkai.zhang
https://wiki.xinux.net/index.php?title=Datei:Ul-tag-1.drawio.png&diff=58629
Datei:Ul-tag-1.drawio.png
2024-12-02T16:25:05Z
<p>Linkai.zhang: Linkai.zhang lud eine neue Version von Datei:Ul-tag-1.drawio.png hoch</p>
<hr />
<div></div>
Linkai.zhang
https://wiki.xinux.net/index.php?title=Datei:Ul-tag-5.drawio.png&diff=58628
Datei:Ul-tag-5.drawio.png
2024-12-02T08:09:07Z
<p>Linkai.zhang: Linkai.zhang lud eine neue Version von Datei:Ul-tag-5.drawio.png hoch</p>
<hr />
<div></div>
Linkai.zhang
https://wiki.xinux.net/index.php?title=Datei:Ul-tag-4.drawio.png&diff=58627
Datei:Ul-tag-4.drawio.png
2024-12-02T08:08:54Z
<p>Linkai.zhang: Linkai.zhang lud eine neue Version von Datei:Ul-tag-4.drawio.png hoch</p>
<hr />
<div></div>
Linkai.zhang
https://wiki.xinux.net/index.php?title=Datei:Ul-tag-3.drawio.png&diff=58626
Datei:Ul-tag-3.drawio.png
2024-12-02T08:08:42Z
<p>Linkai.zhang: Linkai.zhang lud eine neue Version von Datei:Ul-tag-3.drawio.png hoch</p>
<hr />
<div></div>
Linkai.zhang
https://wiki.xinux.net/index.php?title=Datei:Ul-tag-2.drawio.png&diff=58625
Datei:Ul-tag-2.drawio.png
2024-12-02T08:08:29Z
<p>Linkai.zhang: Linkai.zhang lud eine neue Version von Datei:Ul-tag-2.drawio.png hoch</p>
<hr />
<div></div>
Linkai.zhang
https://wiki.xinux.net/index.php?title=Datei:Ul-tag-1.drawio.png&diff=58624
Datei:Ul-tag-1.drawio.png
2024-12-02T08:06:44Z
<p>Linkai.zhang: Linkai.zhang lud eine neue Version von Datei:Ul-tag-1.drawio.png hoch</p>
<hr />
<div></div>
Linkai.zhang
https://wiki.xinux.net/index.php?title=Encryption_auf_dem_Windows_Host_erstellen&diff=58614
Encryption auf dem Windows Host erstellen
2024-11-28T08:51:06Z
<p>Linkai.zhang: </p>
<hr />
<div>=Encryption auf dem Host erstellen=<br />
*Die Datein "check_mk.user.yml" anlegen oder bearbeiten<br />
**C:\ProgramData\checkmk\agent\check_mk.user.yml<br />
***Inhalt:<br />
global:<br />
enabled: yes<br />
encrypted: yes<br />
passphrase: P@ssw0rd<br />
<br />
=Überprüfen und Aktivieren=<br />
*Passphrase und aktivierte Verschlüsselung sollte in der Konfiguration auftauchen<br />
*C:\Program Files x86\checkmk\service> .\check_mk_agent.exe showconfig<br />
*C:\Program Files x86\checkmk\service> .\check_mk_agent.exe test<br />
*Windows neustarten, damit der Agent verschlüsselt kommuniziert</div>
Linkai.zhang
https://wiki.xinux.net/index.php?title=Encryption_auf_dem_Windows_Host_erstellen&diff=58613
Encryption auf dem Windows Host erstellen
2024-11-28T08:50:29Z
<p>Linkai.zhang: </p>
<hr />
<div>=Encryption auf dem Host erstellen=<br />
*Die Datein "check_mk.user.yml" anlegen oder bearbeiten<br />
**C:\ProgramData\checkmk\agent\check_mk.user.yml<br />
***Inhalt:<br />
global:<br />
enabled: yes<br />
encrypted: yes<br />
passphrase: P@ssw0rd<br />
<br />
=Überprüfen und Aktivieren=<br />
*Passphrase und aktivierte Verschlüsselung sollte in der Konfiguration auftauchen<br />
*C:\Program Files x86\checkmk\service> .\check_mk_agent.exe showconfig<br />
*Windows neustarten, damit der Agent verschlüsselt kommuniziert</div>
Linkai.zhang
https://wiki.xinux.net/index.php?title=Linux-Hardware-Inventarisierung&diff=58484
Linux-Hardware-Inventarisierung
2024-11-25T10:02:00Z
<p>Linkai.zhang: </p>
<hr />
<div>*[[uname]]<br />
*[[hostnamectl]]<br />
*[[lshw]]<br />
*[[lspci]]<br />
*[[lsusb]]<br />
*[[free]]<br />
*[[top]]<br />
*[[bashtop]]<br />
*[[hardinfo]] (Alles unter einem Dach)<br />
*[[Linux df]]<br />
*[[Linux du]]<br />
*[[neofetch]]<br />
*[[Ip addr]]</div>
Linkai.zhang
https://wiki.xinux.net/index.php?title=Linux-Hardware-Inventarisierung&diff=58483
Linux-Hardware-Inventarisierung
2024-11-25T10:01:45Z
<p>Linkai.zhang: </p>
<hr />
<div>*[[uname]]<br />
*[[hostnamectl]]<br />
*[[lshw]]<br />
*[[lspci]]<br />
*[[lsusb]]<br />
*[[free]]<br />
*[[top]]<br />
*[[bashtop]]<br />
*[[hardinfo]] (Alles unter einem Dach)<br />
*[[Linux df]]<br />
*[[Linux du]]<br />
*[[neofetch]]<br />
*[[ip]]</div>
Linkai.zhang
https://wiki.xinux.net/index.php?title=Analyse_und_Monitoring_von_Netzwerken_-_Skript&diff=58481
Analyse und Monitoring von Netzwerken - Skript
2024-11-24T20:52:22Z
<p>Linkai.zhang: /* Monitoring */</p>
<hr />
<div>= Vorbereitung =<br />
* Wir haben zwei GNS3 Labore unter Hyper-V virtualisiert<br />
* Beide Labore teilen sich zum Großteil diesselben VMs<br />
* Machen Sie daher Snapshots von den VMs, damit die Labore für die Analysen auf ihren ursprünglichen Zustand wiederhergestellt werden können<br />
* Die Lizenzen für die Windows-VMs sind abgelaufen und fahren daher automatisch herunter: [[Windows fährt automatisch herunter|Fix]]<br />
* Die folgenden Schritte können für beide Labore benutzt werden<br />
<br />
= Hardwareinventarisierung =<br />
* Benutzen Sie passende Werkzeuge auf den VMs, um Hardware wie CPU, RAM oder Netzwerkkarten zu dokumentieren<br />
* Ein Beispiel-Schema finden Sie hier: [https://xinux.net/images/0/07/Hardware-Inventarisierung2.xlsx Excel Tabelle]<br />
<br />
= Physische Netzwerktopologie =<br />
* Benutzen Sie MS Visio, um die Netzwerkverbindungen zu dokumentieren<br />
<br />
= Logische Netzwerktopologie =<br />
* Nutzen Sie Tools wie tracert, ping oder nmap, um die Routen herauszufinden<br />
* Dokumentieren Sie die Netzwerktopologie mit Visio<br />
<br />
= Schwachstellenanalyse =<br />
<br />
== nmap ==<br />
* Überprüfen Sie, ob alle Maschinen vom Kali-Host aus erreichbar sind (Ping)<br />
* Scannen Sie vom Kali-Host aus die anderen VMs im Labor auf:<br />
** Ports<br />
** Dienste<br />
** Operations System<br />
** Schwachstellen<br />
* Speichern Sie die Ergebnisse in einer Textdatei<br />
<br />
== Greenbone ==<br />
* Machen Sie sich mit der Oberfläche von Greenbone vertraut<br />
* Legen Sie eine Aufgabe für Greenbone an, der die anderen Hosts täglich um 21:00 Uhr auf Schwachstellen scannt<br />
<br />
= Monitoring =<br />
<br />
== SNMP ==<br />
* Aktivieren Sie den SNMP-Dienst auf allen VMs<br />
* Fügen Sie die Hosts zum Monitoring in LibreNMS zu<br />
<br />
== Checmk MK ==<br />
* Installieren Sie den Checkmk-Agenten auf den Windows- und Linux-Hosts<br />
* Fügen Sie die Hosts zum Monitoring hinzu<br />
* Um Cisco-Geräte zu monitoren, kann SNMP verwendet werden<br />
* Verschlüsseln Sie die Übertragung der Monitoring-Daten<br />
<br />
<!-- == Grafana == --></div>
Linkai.zhang
https://wiki.xinux.net/index.php?title=Analyse_und_Monitoring_von_Netzwerken_-_Skript&diff=58480
Analyse und Monitoring von Netzwerken - Skript
2024-11-24T20:21:25Z
<p>Linkai.zhang: /* Checmk MK */</p>
<hr />
<div>= Vorbereitung =<br />
* Wir haben zwei GNS3 Labore unter Hyper-V virtualisiert<br />
* Beide Labore teilen sich zum Großteil diesselben VMs<br />
* Machen Sie daher Snapshots von den VMs, damit die Labore für die Analysen auf ihren ursprünglichen Zustand wiederhergestellt werden können<br />
* Die Lizenzen für die Windows-VMs sind abgelaufen und fahren daher automatisch herunter: [[Windows fährt automatisch herunter|Fix]]<br />
* Die folgenden Schritte können für beide Labore benutzt werden<br />
<br />
= Hardwareinventarisierung =<br />
* Benutzen Sie passende Werkzeuge auf den VMs, um Hardware wie CPU, RAM oder Netzwerkkarten zu dokumentieren<br />
* Ein Beispiel-Schema finden Sie hier: [https://xinux.net/images/0/07/Hardware-Inventarisierung2.xlsx Excel Tabelle]<br />
<br />
= Physische Netzwerktopologie =<br />
* Benutzen Sie MS Visio, um die Netzwerkverbindungen zu dokumentieren<br />
<br />
= Logische Netzwerktopologie =<br />
* Nutzen Sie Tools wie tracert, ping oder nmap, um die Routen herauszufinden<br />
* Dokumentieren Sie die Netzwerktopologie mit Visio<br />
<br />
= Schwachstellenanalyse =<br />
<br />
== nmap ==<br />
* Überprüfen Sie, ob alle Maschinen vom Kali-Host aus erreichbar sind (Ping)<br />
* Scannen Sie vom Kali-Host aus die anderen VMs im Labor auf:<br />
** Ports<br />
** Dienste<br />
** Operations System<br />
** Schwachstellen<br />
* Speichern Sie die Ergebnisse in einer Textdatei<br />
<br />
== Greenbone ==<br />
* Machen Sie sich mit der Oberfläche von Greenbone vertraut<br />
* Legen Sie eine Aufgabe für Greenbone an, der die anderen Hosts täglich um 21:00 Uhr auf Schwachstellen scannt<br />
<br />
= Monitoring =<br />
<br />
== SNMP ==<br />
* Aktivieren Sie den SNMP-Dienst auf allen VMs<br />
* Fügen Sie die Hosts zum Monitoring in LibreNMS zu<br />
<br />
== Checmk MK ==<br />
* Installieren Sie den Checkmk-Agenten auf den Windows- und Linux-Hosts<br />
* Fügen Sie die Hosts zum Monitoring hinzu<br />
* Um Cisco-Geräte zu monitoren, kann SNMP verwendet werden<br />
* Verschlüsseln Sie die Übertragung der Monitoring-Daten<br />
<br />
== Grafana ==</div>
Linkai.zhang
https://wiki.xinux.net/index.php?title=Analyse_und_Monitoring_von_Netzwerken_-_Skript&diff=58479
Analyse und Monitoring von Netzwerken - Skript
2024-11-24T20:17:41Z
<p>Linkai.zhang: /* SNMP */</p>
<hr />
<div>= Vorbereitung =<br />
* Wir haben zwei GNS3 Labore unter Hyper-V virtualisiert<br />
* Beide Labore teilen sich zum Großteil diesselben VMs<br />
* Machen Sie daher Snapshots von den VMs, damit die Labore für die Analysen auf ihren ursprünglichen Zustand wiederhergestellt werden können<br />
* Die Lizenzen für die Windows-VMs sind abgelaufen und fahren daher automatisch herunter: [[Windows fährt automatisch herunter|Fix]]<br />
* Die folgenden Schritte können für beide Labore benutzt werden<br />
<br />
= Hardwareinventarisierung =<br />
* Benutzen Sie passende Werkzeuge auf den VMs, um Hardware wie CPU, RAM oder Netzwerkkarten zu dokumentieren<br />
* Ein Beispiel-Schema finden Sie hier: [https://xinux.net/images/0/07/Hardware-Inventarisierung2.xlsx Excel Tabelle]<br />
<br />
= Physische Netzwerktopologie =<br />
* Benutzen Sie MS Visio, um die Netzwerkverbindungen zu dokumentieren<br />
<br />
= Logische Netzwerktopologie =<br />
* Nutzen Sie Tools wie tracert, ping oder nmap, um die Routen herauszufinden<br />
* Dokumentieren Sie die Netzwerktopologie mit Visio<br />
<br />
= Schwachstellenanalyse =<br />
<br />
== nmap ==<br />
* Überprüfen Sie, ob alle Maschinen vom Kali-Host aus erreichbar sind (Ping)<br />
* Scannen Sie vom Kali-Host aus die anderen VMs im Labor auf:<br />
** Ports<br />
** Dienste<br />
** Operations System<br />
** Schwachstellen<br />
* Speichern Sie die Ergebnisse in einer Textdatei<br />
<br />
== Greenbone ==<br />
* Machen Sie sich mit der Oberfläche von Greenbone vertraut<br />
* Legen Sie eine Aufgabe für Greenbone an, der die anderen Hosts täglich um 21:00 Uhr auf Schwachstellen scannt<br />
<br />
= Monitoring =<br />
<br />
== SNMP ==<br />
* Aktivieren Sie den SNMP-Dienst auf allen VMs<br />
* Fügen Sie die Hosts zum Monitoring in LibreNMS zu<br />
<br />
== Checmk MK ==<br />
<br />
== Grafana ==</div>
Linkai.zhang
https://wiki.xinux.net/index.php?title=Analyse_und_Monitoring_von_Netzwerken_-_Skript&diff=58478
Analyse und Monitoring von Netzwerken - Skript
2024-11-24T20:14:19Z
<p>Linkai.zhang: /* Logische Netzwerktopologie */</p>
<hr />
<div>= Vorbereitung =<br />
* Wir haben zwei GNS3 Labore unter Hyper-V virtualisiert<br />
* Beide Labore teilen sich zum Großteil diesselben VMs<br />
* Machen Sie daher Snapshots von den VMs, damit die Labore für die Analysen auf ihren ursprünglichen Zustand wiederhergestellt werden können<br />
* Die Lizenzen für die Windows-VMs sind abgelaufen und fahren daher automatisch herunter: [[Windows fährt automatisch herunter|Fix]]<br />
* Die folgenden Schritte können für beide Labore benutzt werden<br />
<br />
= Hardwareinventarisierung =<br />
* Benutzen Sie passende Werkzeuge auf den VMs, um Hardware wie CPU, RAM oder Netzwerkkarten zu dokumentieren<br />
* Ein Beispiel-Schema finden Sie hier: [https://xinux.net/images/0/07/Hardware-Inventarisierung2.xlsx Excel Tabelle]<br />
<br />
= Physische Netzwerktopologie =<br />
* Benutzen Sie MS Visio, um die Netzwerkverbindungen zu dokumentieren<br />
<br />
= Logische Netzwerktopologie =<br />
* Nutzen Sie Tools wie tracert, ping oder nmap, um die Routen herauszufinden<br />
* Dokumentieren Sie die Netzwerktopologie mit Visio<br />
<br />
= Schwachstellenanalyse =<br />
<br />
== nmap ==<br />
* Überprüfen Sie, ob alle Maschinen vom Kali-Host aus erreichbar sind (Ping)<br />
* Scannen Sie vom Kali-Host aus die anderen VMs im Labor auf:<br />
** Ports<br />
** Dienste<br />
** Operations System<br />
** Schwachstellen<br />
* Speichern Sie die Ergebnisse in einer Textdatei<br />
<br />
== Greenbone ==<br />
* Machen Sie sich mit der Oberfläche von Greenbone vertraut<br />
* Legen Sie eine Aufgabe für Greenbone an, der die anderen Hosts täglich um 21:00 Uhr auf Schwachstellen scannt<br />
<br />
= Monitoring =<br />
<br />
== SNMP ==<br />
<br />
== Checmk MK ==<br />
<br />
== Grafana ==</div>
Linkai.zhang
https://wiki.xinux.net/index.php?title=Analyse_und_Monitoring_von_Netzwerken_-_Skript&diff=58477
Analyse und Monitoring von Netzwerken - Skript
2024-11-24T18:40:23Z
<p>Linkai.zhang: /* Vorbereitung */</p>
<hr />
<div>= Vorbereitung =<br />
* Wir haben zwei GNS3 Labore unter Hyper-V virtualisiert<br />
* Beide Labore teilen sich zum Großteil diesselben VMs<br />
* Machen Sie daher Snapshots von den VMs, damit die Labore für die Analysen auf ihren ursprünglichen Zustand wiederhergestellt werden können<br />
* Die Lizenzen für die Windows-VMs sind abgelaufen und fahren daher automatisch herunter: [[Windows fährt automatisch herunter|Fix]]<br />
* Die folgenden Schritte können für beide Labore benutzt werden<br />
<br />
= Hardwareinventarisierung =<br />
* Benutzen Sie passende Werkzeuge auf den VMs, um Hardware wie CPU, RAM oder Netzwerkkarten zu dokumentieren<br />
* Ein Beispiel-Schema finden Sie hier: [https://xinux.net/images/0/07/Hardware-Inventarisierung2.xlsx Excel Tabelle]<br />
<br />
= Physische Netzwerktopologie =<br />
* Benutzen Sie MS Visio, um die Netzwerkverbindungen zu dokumentieren<br />
<br />
= Logische Netzwerktopologie =<br />
<br />
= Schwachstellenanalyse =<br />
<br />
== nmap ==<br />
* Überprüfen Sie, ob alle Maschinen vom Kali-Host aus erreichbar sind (Ping)<br />
* Scannen Sie vom Kali-Host aus die anderen VMs im Labor auf:<br />
** Ports<br />
** Dienste<br />
** Operations System<br />
** Schwachstellen<br />
* Speichern Sie die Ergebnisse in einer Textdatei<br />
<br />
== Greenbone ==<br />
* Machen Sie sich mit der Oberfläche von Greenbone vertraut<br />
* Legen Sie eine Aufgabe für Greenbone an, der die anderen Hosts täglich um 21:00 Uhr auf Schwachstellen scannt<br />
<br />
= Monitoring =<br />
<br />
== SNMP ==<br />
<br />
== Checmk MK ==<br />
<br />
== Grafana ==</div>
Linkai.zhang
https://wiki.xinux.net/index.php?title=Analyse_und_Monitoring_von_Netzwerken_-_Skript&diff=58476
Analyse und Monitoring von Netzwerken - Skript
2024-11-24T18:37:30Z
<p>Linkai.zhang: </p>
<hr />
<div>= Vorbereitung =<br />
* Wir haben zwei GNS3 Labore unter Hyper-V virtualisiert<br />
* Beide Labore teilen sich zum Großteil diesselben VMs<br />
* Machen Sie daher Snapshots von den VMs, damit die Labore für die Analysen auf ihren ursprünglichen Zustand wiederhergestellt werden können<br />
* Die folgenden Schritte können für beide Labore benutzt werden<br />
<br />
= Hardwareinventarisierung =<br />
* Benutzen Sie passende Werkzeuge auf den VMs, um Hardware wie CPU, RAM oder Netzwerkkarten zu dokumentieren<br />
* Ein Beispiel-Schema finden Sie hier: [https://xinux.net/images/0/07/Hardware-Inventarisierung2.xlsx Excel Tabelle]<br />
<br />
= Physische Netzwerktopologie =<br />
* Benutzen Sie MS Visio, um die Netzwerkverbindungen zu dokumentieren<br />
<br />
= Logische Netzwerktopologie =<br />
<br />
= Schwachstellenanalyse =<br />
<br />
== nmap ==<br />
* Überprüfen Sie, ob alle Maschinen vom Kali-Host aus erreichbar sind (Ping)<br />
* Scannen Sie vom Kali-Host aus die anderen VMs im Labor auf:<br />
** Ports<br />
** Dienste<br />
** Operations System<br />
** Schwachstellen<br />
* Speichern Sie die Ergebnisse in einer Textdatei<br />
<br />
== Greenbone ==<br />
* Machen Sie sich mit der Oberfläche von Greenbone vertraut<br />
* Legen Sie eine Aufgabe für Greenbone an, der die anderen Hosts täglich um 21:00 Uhr auf Schwachstellen scannt<br />
<br />
= Monitoring =<br />
<br />
== SNMP ==<br />
<br />
== Checmk MK ==<br />
<br />
== Grafana ==</div>
Linkai.zhang
https://wiki.xinux.net/index.php?title=Analyse_und_Monitoring_von_Netzwerken_-_Skript&diff=58475
Analyse und Monitoring von Netzwerken - Skript
2024-11-24T18:29:10Z
<p>Linkai.zhang: Die Seite wurde neu angelegt: „= Vorbereitung = * Wir haben zwei GNS3 Labore unter Hyper-V virtualisiert * Beide Labore teilen sich zum Großteil diesselben VMs * Machen Sie daher Snapshots…“</p>
<hr />
<div>= Vorbereitung =<br />
* Wir haben zwei GNS3 Labore unter Hyper-V virtualisiert<br />
* Beide Labore teilen sich zum Großteil diesselben VMs<br />
* Machen Sie daher Snapshots von den VMs, damit die Labore für die Analysen auf ihren ursprünglichen Zustand wiederhergestellt werden können<br />
* Die folgenden Schritte können für beide Labore benutzt werden<br />
<br />
= Hardwareinventarisierung =<br />
* Benutzen Sie passende Werkzeuge auf den VMs, um Hardware wie CPU, RAM oder Netzwerkkarten zu dokumentieren<br />
* Ein Beispiel-Schema finden Sie hier: [https://xinux.net/images/0/07/Hardware-Inventarisierung2.xlsx Excel Tabelle]<br />
<br />
= Physische Netzwerktopologie =<br />
* Benutzen Sie MS Visio, um die Netzwerkverbindungen zu dokumentieren</div>
Linkai.zhang
https://wiki.xinux.net/index.php?title=Analyse_und_Monitoring_von_Netzwerken&diff=58474
Analyse und Monitoring von Netzwerken
2024-11-24T18:04:10Z
<p>Linkai.zhang: </p>
<hr />
<div>=Grundlegendes=<br />
*[[Thomas Will]]<br />
*[[Benutzer:Linkai.zhang|Linkai Zhang]]<br />
*[[Analyse und Monitoring von Netzwerken - Skript]]<br />
*[[Zeiten KO]]<br />
*[[Zeiten Dresden]]<br />
*[[Analyse und Monitoring von Netzwerken Tools]]<br />
<br />
=Login-Daten=<br />
<br />
==Nutzer auf Linux Maschinen==<br />
*xinux<br />
<br />
==Default-Passwort==<br />
*'''P@ssw0rd'''<br />
<br />
=Topics=<br />
*Schwachstellensuche und -analyse<br />
**Portscanning<br />
**Gefahren des Netzwerks<br />
**Informationsbeschaffung- Erweiterungen<br />
*Monitoring<br />
**Netzwerkmonitoring (Grundlagen/Tools)<br />
**Remotemanagement<br />
*Protokollierung und Dokumentation<br />
**Einführung in Netzwerkdokumentation mit MS Visio<br />
**Physisische Topologie<br />
**Logische Topologie<br />
<br />
=Vorüberlegungen=<br />
* Snapshots von VMs machen<br />
* [[Stichpunkte IT-Sicherheit]]<br />
* [[Überblick der IT-Grundschutz-Methodik]]<br />
* [[Basis-Sicherheitscheck]]<br />
* [[Schritte für einen Basis-Sicherheitscheck]]<br />
* [[IT-Grundschutz Literatur]]<br />
<br />
=Protokollierung und Dokumentation=<br />
*[[Physikalische Topologie]]<br />
*[[Logische Topologie]]<br />
*[[Einführung in Netzwerkdokumentation mit MS Visio]]<br />
*[[Cisco OSPF]]<br />
*[[Cisco Workshop 1]]<br />
*[[Hardware-Inventarisierung]]<br />
*[https://xinux.net/images/0/07/Hardware-Inventarisierung2.xlsx Excel Tabelle]<br />
<br />
=Schwachstellensuche und -analyse=<br />
*[[Gefahren des Netzwerks]]<br />
*[[Angriffe und Schwachstellen]]<br />
*[[Portscanning]]<br />
*[[Sicherheit Begriffe]]<br />
*[[Informationsbeschaffung- Erweiterung]]<br />
*[[Cisco Discovery Protocol]]<br />
<br />
=Monitoring=<br />
*[[Verschlüsselung]]<br />
*[[Monitoring Logindaten]]<br />
*[[NETZWERK TOOLS]]<br />
*[[Netzwerkmonitoring (Grundlagen/Tools)]]<br />
*[[Netzwerkmonitoring]]<br />
*[[SNMP Server]]<br />
*[[Hardware-Inventarisierung]]<br />
*[[Remotemanagement]]<br />
*[[Microsoft Powershell]]<br />
<br />
=Hostsystem Modifikationen=<br />
*[[Powershell Nat]]<br />
*[[Powershell Route]]<br />
*[[Powershell Netzwerk]]<br />
<br />
=Verschiedenes=<br />
*[[Schwachstellen vorbeugen: Patch-Management]]<br />
*[[Configuration Management Database]]<br />
*[[Datei:windows_dashboard.json]]<br />
<br />
=Misc=<br />
*[[Labor 1]]<br />
*[[Labor 2]]<br />
*[[Labor 3]]<br />
*[[Labor 4]]<br />
<br />
=Trouble Shooting=<br />
*[[kali Repository Key out of date]]<br />
*[[Windows Server 2012 bevorzugt nicht die DHCP]]<br />
*[[npf]]<br />
*[[Windows fährt automatisch herunter]]<br />
*[[GNS3 Netzwerk ist instabil]]<br />
*https://github.com/GNS3/gns3-gui/issues/2542</div>
Linkai.zhang
https://wiki.xinux.net/index.php?title=Vim_Erkl%C3%A4rung&diff=58462
Vim Erklärung
2024-11-22T09:51:14Z
<p>Linkai.zhang: /* Texteditieren (Normal-Mode, bedingt Visual-Mode) */</p>
<hr />
<div>= Warum Vim benutzen/lernen? =<br />
<br />
* Die Zeit für das Editieren von Text verringert sich drastisch, da die Hände nicht die ''Home-Row'' verlassen müssen<br />
* präzise Navigation im Normal-Mode<br />
* mächtige Selbstvervollständigungswerkzeuge für Wörter, Zeilen und Programmsyntax<br />
* Abnehmen repetitiver Arbeit mit Zahl+Befehl, Macros, Visual-Mode, Command-Mode oder durch eigene Konfigurationen<br />
* erweiterbar für eigene Anforderungen (siehe [[Vim Konfiguration|$MYVIMRC]])<br />
* [[Vim Beispiele|Anwendungsbeispiele]]<br />
<br />
= Modi =<br />
<br />
{{#drawio: vim-modi}}<br />
<br />
Vim hat 5 verschiedene Modi, die jeweils ihre Bereiche für repetitive Arbeit abnehmen können.<br />
<br />
* Normal: Navigation des Cursors und Textedit<br />
* Insert: Textinput und Autocomplete<br />
* Visual: Markieren von Bereichen für das Editieren<br />
* Command: Ausführen komplexer Befehle, anpassen von Einstellungen in Vim<br />
* Completion: Schaut im Puffer nach Text und gibt uns Kandidaten für Autovervollständigung<br />
<br />
= Navigation (Normal-Mode, Visual-Mode) =<br />
<br />
* h, j, k, l: links, unten, oben, rechts<br />
* w: Anfang des nächsten Wortes<br />
* W: nächstes Zeichen nach einer Leerzeile<br />
* e: Ende des nächsten Wortes<br />
* E: letztes Zeichen vor der nächsten Leerzeile<br />
* b: Anfang des letzen Wortes<br />
* B: Erstes Zeichen zwischen dem letzten und dem vorletztem Leerzeichen<br />
* ge: Ende des letzten Wortes<br />
* gE: erstes Zeichen vor der letzten Leerzeile<br />
* f + beliebiges Zeichen: Finde das nächste Auftreten dieses Zeichens in der Zeile<br />
* F + beliebiges Zeichen: Finde das letzte Auftreten dieses Zeichens in der Zeile<br />
* t + beliebiges Zeichen: Finde das nächste Auftreten dieses Zeichens in der Zeile - 1<br />
* T + beliebiges Zeichen: Finde das letzte Auftreten dieses Zeichens in der Zeile + 1<br />
* “,”, “;” wiederholt die letzte Suchaktion in der Zeile in der jeweiligen Richtung<br />
* /, ?: Sucht nach einem String (und updated das “/”-Register)<br />
* n, N: Wiederholt die letze Suche in der jeweiligen Richtung<br />
* ^/0,$: Gehe zum Zeilenanfang/-ende<br />
* gv: wählt die letzte Auswahl des Visual-Mode nochmal aus<br />
* o (in Visual-Mode): Geht mit den Cursor an das andere Ende der Auswahl<br />
<br />
= Texteditieren (Normal-Mode, bedingt Visual-Mode) =<br />
* u: Undo<br />
* i, a: Wechsel in den Insert-Mode am/nach dem Cursor<br />
* I: Wechsel in den Insert-Mode am Zeilenanfang<br />
* A: Wechsel in den Insert-Mode am Zeilenende<br />
* s: löscht das Zeichen unter dem Cursor und wechsel in den Insert-Mode<br />
* S: löscht die Zeile und wechsel in den Insert-Mode<br />
* c + Navigation: löscht alles bis zum Navigationsziel und wechsel in den Insert-Mode<br />
* C: löscht alles vom Cursor bis ans Ende der Zeile und wechsel in den Insert-Mode<br />
* r: + Zeichen: ersetzt das Zeichen unter dem Cursor/ der Auswahl des Visual-Modes<br />
* y + Navigation: kopieren (yank)<br />
* p: das Kopierte nach dem Cursor einfügen (paste)<br />
* P: das Kopierte vor dem Cursor einfügen (paste)<br />
* R: (im Normal-Mode): Wechsel in den Replace-Mode<br />
* R: (im Visual-Mode): macht dasselbe wie “S”<br />
* Strg + a/x: erhöht/verringert die Zahl um 1, wenn keine Zahl unter dem Cursor liegt, wird nach der nächsten Zahl in der Zeile gesucht<br />
<br />
= Autocomplete (Insert-Mode) =<br />
<br />
Das Autocomplete-Feature kann viele Arten von Mustern erkennen. Diese reichen von einfachen Wörtern, bis hin zu “Sätzen” je nach Kontext. Das Pop-up-Menü kann man mit Strg + n/p (next/previous) navigieren.<br />
<br />
== Kontextlose Vervollständigung ==<br />
<br />
* Strg + r + Register: Fügt den Text aus jeweiligen Register ein. Mit :reg können Registerinhalte eingesehen werden.<br />
* Strg + n/p: Vervollständigt ein Wort, das schon mal getippt wurde. n bzw. p gibt die Suchrichtung an.<br />
<br />
== Vervollständigung mit Kontext ==<br />
<br />
Diese Art von Vervollständigungen beginnen immer mit Strg + X. Danach kann man in den gewünschten Kontext wechseln.<br />
<br />
* Strg + x, Strg + O: Sucht nach Variabeln-, Klassen- und Funktionsnamen. Kann auch in importierten Bibliotheken suchen.<br />
* Strg + x, Strg + n/p: Dasselbe wie Strg + n/p, aber wiederholte Verwendungen beachten den Kontext. D.h. Satzteile können somit vervollständigt werden.<br />
* Strg + x, Strg + l: Versucht Sätze zu vervollständigen. Wiederholte Anwendungen ziehen sich die nachfolgenden Sätze.</div>
Linkai.zhang
https://wiki.xinux.net/index.php?title=Sed_Aufgaben_2&diff=58461
Sed Aufgaben 2
2024-11-21T12:55:17Z
<p>Linkai.zhang: /* Testdaten */</p>
<hr />
<div>=Testdaten=<br />
*cat > testdatei.txt<br />
<pre><br />
Max;Mustermann;Dr.;max.mustermann@example.com:123456789<br />
Anna;Schmidt;Prof.;anna.schmidt@example.com:987654321<br />
Tom;Miller;Mr.;tom.miller@example.com:456789123<br />
Julia;Johnson;Ms.;julia.johnson@example.com:789123456<br />
Alex;Davis;MSc.;alex.davis@example.de:321654987<br />
Laura;Wilson;PhD.;laura.wilson@example.com:654789123<br />
Emma;Brown;Eng.;emma.brown@example.com:987321654<br />
Oliver;Lee;Dipl.-Ing.;oliver.lee@example.com:147852369<br />
Sophie;Anderson;Ing.;sophie.anderson@example.com:369258147<br />
Ben;Taylor;M.A.;ben.taylor@example.com:852369741<br />
</pre><br />
* Strg + D<br />
<br />
=Aufgaben=<br />
*Ersetze alle Vorkommen des Nachnamens "Johnson" durch "Smith" in der Testdatei:<br />
<!-- <br />
sed 's/Smith/Johnson/g' testdatei.txt<br />
--><br />
*Lösche alle Datensätze, bei denen der Titel "Dr." ist, in der Testdatei:<br />
<!-- <br />
*sed '/Dr./d' testdatei.txt<br />
--><br />
*Extrahiere nur die Vor- und Nachnamen aus der Testdatei und speichere sie in einer separaten Datei:<br />
<!-- <br />
sed 's/\([^;]*\);[^;]*;.*/\1/g' testdatei.txt > namen.txt<br />
--><br />
*Füge am Ende jeder Zeile in der Testdatei die Telefonnummer "+49 123456789" hinzu:<br />
<!-- <br />
sed 's/$/;+49 123456789/' testdatei.txt<br />
--><br />
*Lösche alle Datensätze, bei denen die E-Mail-Adresse nicht mit ".com" endet, in der Testdatei:<br />
<!-- <br />
sed '/[^;]*;[^;]*;[^;]*;.*\.com/!d' testdatei.txt<br />
--></div>
Linkai.zhang
https://wiki.xinux.net/index.php?title=Sed_Aufgaben_2&diff=58460
Sed Aufgaben 2
2024-11-21T12:55:00Z
<p>Linkai.zhang: /* Testdaten */</p>
<hr />
<div>=Testdaten=<br />
*cat > testdatei.txt<br />
<pre><br />
Max;Mustermann;Dr.;max.mustermann@example.com:123456789<br />
Anna;Schmidt;Prof.;anna.schmidt@example.com:987654321<br />
Tom;Miller;Mr.;tom.miller@example.com:456789123<br />
Julia;Johnson;Ms.;julia.johnson@example.com:789123456<br />
Alex;Davis;MSc.;alex.davis@example.de:321654987<br />
Laura;Wilson;PhD.;laura.wilson@example.com:654789123<br />
Emma;Brown;Eng.;emma.brown@example.com:987321654<br />
Oliver;Lee;Dipl.-Ing.;oliver.lee@example.com:147852369<br />
Sophie;Anderson;Ing.;sophie.anderson@example.com:369258147<br />
Ben;Taylor;M.A.;ben.taylor@example.com:852369741<br />
</pre><br />
<br />
=Aufgaben=<br />
*Ersetze alle Vorkommen des Nachnamens "Johnson" durch "Smith" in der Testdatei:<br />
<!-- <br />
sed 's/Smith/Johnson/g' testdatei.txt<br />
--><br />
*Lösche alle Datensätze, bei denen der Titel "Dr." ist, in der Testdatei:<br />
<!-- <br />
*sed '/Dr./d' testdatei.txt<br />
--><br />
*Extrahiere nur die Vor- und Nachnamen aus der Testdatei und speichere sie in einer separaten Datei:<br />
<!-- <br />
sed 's/\([^;]*\);[^;]*;.*/\1/g' testdatei.txt > namen.txt<br />
--><br />
*Füge am Ende jeder Zeile in der Testdatei die Telefonnummer "+49 123456789" hinzu:<br />
<!-- <br />
sed 's/$/;+49 123456789/' testdatei.txt<br />
--><br />
*Lösche alle Datensätze, bei denen die E-Mail-Adresse nicht mit ".com" endet, in der Testdatei:<br />
<!-- <br />
sed '/[^;]*;[^;]*;[^;]*;.*\.com/!d' testdatei.txt<br />
--></div>
Linkai.zhang
https://wiki.xinux.net/index.php?title=Passwd&diff=58457
Passwd
2024-11-21T07:38:12Z
<p>Linkai.zhang: /* Minimale und Maximale Gültigkeit des Passwortes von tux festlegen */</p>
<hr />
<div>==Rootpasswort ändern==<br />
*passwd <br />
Geben Sie ein neues UNIX Passwort ein:'''sysadm''' <br />
Geben Sie das neue UNIX Passwort erneut ein:'''sysadm''' <br />
passwd: Passwort erfolgreich geändert<br />
==Passwort von xinux ändern==<br />
*passwd xinux<br />
Geben Sie ein neues UNIX Passwort ein:'''suxer''' <br />
Geben Sie das neue UNIX Passwort erneut ein:'''suxer'''<br />
passwd: Passwort erfolgreich geändert<br />
==Minimale und Maximale Gültigkeit des Passwortes von xinux festlegen==<br />
*passwd -n 5 -x 120 xinux<br />
<br />
=Passwort sperren=<br />
*passwd -l benutzer<br />
=Passwort entsperren=<br />
*passwd -u benutzer</div>
Linkai.zhang
https://wiki.xinux.net/index.php?title=IT_600_b_-_Linux/Unix&diff=58456
IT 600 b - Linux/Unix
2024-11-20T08:38:20Z
<p>Linkai.zhang: </p>
<hr />
<div>[[Benutzer:linkai.zhang|Linkai Zhang]]<br />
= Login Daten =<br />
* Benutzer: xinux<br />
* Passwort: 123Start$<br />
<br />
oder<br />
<br />
* Benutzer: root<br />
* Passwort: 123Start$<br />
<br />
= Themen =<br />
* [[Geschichte Unix]]<br />
* [[Betriebsystem]]<br />
* [[Debian Installation]]<br />
* [[Erste Schritte (terminal)]]<br />
* [[Einfache Linux Kommandos]]<br />
* [[Kommandolokalisierung]]<br />
* [[Bash Dateien]]<br />
* [[Prozesse Eltern und Kinder]]<br />
* [[Bash Wichtige Systemvariablen (Auswahl)]]<br />
* [[Nano Crash]]<br />
* [[Vim]]<br />
* [[Benutzerverwaltung]]<br />
* [[Berechtigungen]]<br />
* [[Gruppenzugehörigkeit]]<br />
* [[Umgang mit der Shell]]<br />
* [[Linux Server]]<br />
* [[Arbeiten mit der Shell]]<br />
* [[Paketmanagement unter Linux|Installation von Software]]<br />
* [[Cron|Cron Jobs]]<br />
* [[Was ist ein Kernel?]]<br />
* [[Fat Clients]]<br />
* [[Thin Clients]]</div>
Linkai.zhang
https://wiki.xinux.net/index.php?title=Bash_Dateien&diff=58455
Bash Dateien
2024-11-19T14:02:46Z
<p>Linkai.zhang: /* Aufgabe */</p>
<hr />
<div>* Shells können benutzerdefiniert im lokalen Heimatverzeichnis an die eigene Arbeitsweise angepasst werden<br />
* In der Regel definiert man Kürzel für häufig aufgerufene Kommandos<br />
* Zusätzlich kann man Tastenkürzel für bestimmte Shell-Funktionen zuweisen<br />
* z.B. ist Strg-R schon dafür eingestellt, um die Kommandohistorie zu durchsuchen<br />
<br />
=Einlogvorgang=<br />
Wird beim Anmelden automatisch ausgeführt. Sie gilt für alle.<br />
; /etc/profile<br />
Wenn diese Datei existiert, wird sie beim Anmelden automatisch ausgeführt<br />
; ~/.bash_profile<br />
Wenn diese Datei existiert wird sie beim Anmelden automatisch ausgeführt, wenn die obige nicht existiert. <br />
; ~/.bash_login <br />
Wird beim Anmelden automatisch ausgeführt wenn die beiden obigen nicht existieren.<br />
; ~/.profile <br />
{{#drawio:bash-dateien}}<br />
<br />
=Starten einer Shell=<br />
Wird beim starten jeder Bash automatisch ausgeführt. <br />
; /etc/bash.bashrc <br />
Wird beim starten jeder Bash automatisch ausgeführt. <br />
; ~/.bashrc<br />
{{#drawio:bash-start}}<br />
<br />
<br />
Enthält die während der letzten Sitzung eingegebenen Befehle <br />
; ~/.bash_history <br />
<br />
<br />
Wird beim Abmelden ausgeführt<br />
; ~/.bash_logout<br />
{{#drawio:bash-stop}}<br />
<br />
=Manuelles Laden=<br />
<br />
* source ~/.bashrc<br />
* source ~/.profile<br />
* ...<br />
<br />
= Aufgabe =<br />
<br />
* Setzten Sie sich die [[Aliase]] '''..''' und '''...''', um jeweils 1 bzw. 2 Ordner weiter oben zu gelangen<br />
* Diese sollen in jeder neuen Bash-Shell für root und den normalen Benutzer immer benutzbar sein<br />
{| class="mw-collapsible mw-collapsed wikitable"<br />
|-<br />
! Lösung<br />
|-<br />
|<br />
* '''vim ''~/.bashrc'' '''<br />
* oder<br />
* '''nano ''~/.bashrc'' '''<br />
<syntaxhighlight lang="bash"><br />
...<br />
alias '..'='cd ..'<br />
alias '...'='cd ../..'<br />
...<br />
</syntaxhighlight><br />
* '''source ''~/.bashrc'' '''<br />
* Dasselbe nochmal als root-Benutzer<br />
|}</div>
Linkai.zhang
https://wiki.xinux.net/index.php?title=Einfache_Linux_Kommandos&diff=58454
Einfache Linux Kommandos
2024-11-18T14:28:48Z
<p>Linkai.zhang: </p>
<hr />
<div>*[[cd]]<br />
*[[ls]]<br />
*[[more]]<br />
*[[less]]<br />
*[[head]]<br />
*[[tail]]<br />
*[[mkdir]]<br />
*[[rmdir]]<br />
*[[touch]]<br />
*[[cp]]<br />
*[[rm]]<br />
*[[mv]]<br />
*[[su]]<br />
*[[ip addr]]<br />
<br />
=Quiz=<br />
*[https://forms.gle/GQGruPCpTrD6uETLA Quiz]</div>
Linkai.zhang
https://wiki.xinux.net/index.php?title=Einfache_Linux_Kommandos&diff=58453
Einfache Linux Kommandos
2024-11-18T14:28:25Z
<p>Linkai.zhang: </p>
<hr />
<div>*[[cd]]<br />
*[[ls]]<br />
*[[more]]<br />
*[[less]]<br />
*[[head]]<br />
*[[tail]]<br />
*[[mkdir]]<br />
*[[rmdir]]<br />
*[[touch]]<br />
*[[cp]]<br />
*[[rm]]<br />
*[[mv]]<br />
*[[su]]<br />
*[[ip]]<br />
<br />
=Quiz=<br />
*[https://forms.gle/GQGruPCpTrD6uETLA Quiz]</div>
Linkai.zhang
https://wiki.xinux.net/index.php?title=IT_600_b_-_Linux/Unix&diff=58452
IT 600 b - Linux/Unix
2024-11-18T12:32:05Z
<p>Linkai.zhang: /* Themen */</p>
<hr />
<div>[[Benutzer:linkai.zhang|Linkai Zhang]]<br />
= Login Daten =<br />
* Benutzer: xinux<br />
* Passwort: 123Start$<br />
<br />
oder<br />
<br />
* Benutzer: root<br />
* Passwort: 123Start$<br />
<br />
= Themen =<br />
* [[Geschichte Unix]]<br />
* [[Betriebsystem]]<br />
* [[Debian Installation]]<br />
* [[Erste Schritte (terminal)]]<br />
* [[Einfache Linux Kommandos]]<br />
* [[Kommandolokalisierung]]<br />
* [[Bash Dateien]]<br />
* [[Prozesse Eltern und Kinder]]<br />
* [[Bash Wichtige Systemvariablen (Auswahl)]]<br />
* [[Nano Crash]]<br />
* [[Vim]]<br />
* [[Benutzerverwaltung]]<br />
* [[Berechtigungen]]<br />
* [[Gruppenzugehörigkeit]]<br />
* [[Umgang mit der Shell]]<br />
* [[Linux Server]]<br />
* [[Arbeiten mit der Shell]]<br />
* [[Paketmanagement unter Linux|Installation von Software]]<br />
* [[Benutzerverwaltung]]<br />
* [[Geräteverwaltung]]<br />
* [[Cron|Cron Jobs]]<br />
* [[Was ist ein Kernel?]]<br />
* [[Fat Clients]]<br />
* [[Thin Clients]]</div>
Linkai.zhang
https://wiki.xinux.net/index.php?title=IT_600_b_-_Linux/Unix&diff=58451
IT 600 b - Linux/Unix
2024-11-18T10:05:17Z
<p>Linkai.zhang: /* Themen */</p>
<hr />
<div>[[Benutzer:linkai.zhang|Linkai Zhang]]<br />
= Login Daten =<br />
* Benutzer: xinux<br />
* Passwort: 123Start$<br />
<br />
oder<br />
<br />
* Benutzer: root<br />
* Passwort: 123Start$<br />
<br />
= Themen =<br />
* [[Geschichte Unix]]<br />
* [[Betriebsystem]]<br />
* [[Debian Installation]]<br />
* [[Einfache Linux Kommandos]]<br />
* [[Kommandolokalisierung]]<br />
* [[Bash Dateien]]<br />
* [[Prozesse Eltern und Kinder]]<br />
* [[Bash Wichtige Systemvariablen (Auswahl)]]<br />
* [[Nano Crash]]<br />
* [[Vim]]<br />
* [[Benutzerverwaltung]]<br />
* [[Berechtigungen]]<br />
* [[Gruppenzugehörigkeit]]<br />
* [[Umgang mit der Shell]]<br />
* [[Linux Server]]<br />
* [[Arbeiten mit der Shell]]<br />
* [[Paketmanagement unter Linux|Installation von Software]]<br />
* [[Benutzerverwaltung]]<br />
* [[Geräteverwaltung]]<br />
* [[Cron|Cron Jobs]]<br />
* [[Was ist ein Kernel?]]<br />
* [[Fat Clients]]<br />
* [[Thin Clients]]</div>
Linkai.zhang
https://wiki.xinux.net/index.php?title=IT_600_b_-_Linux/Unix&diff=58450
IT 600 b - Linux/Unix
2024-11-18T10:03:01Z
<p>Linkai.zhang: /* Themen */</p>
<hr />
<div>[[Benutzer:linkai.zhang|Linkai Zhang]]<br />
= Login Daten =<br />
* Benutzer: xinux<br />
* Passwort: 123Start$<br />
<br />
oder<br />
<br />
* Benutzer: root<br />
* Passwort: 123Start$<br />
<br />
= Themen =<br />
* [[Geschichte Unix]]<br />
* [[Betriebsystem]]<br />
* [[Linux Server]]<br />
* [[Arbeiten mit der Shell]]<br />
* [[Debian Installation]]<br />
* [[Paketmanagement unter Linux|Installation von Software]]<br />
* [[Benutzerverwaltung]]<br />
* [[Geräteverwaltung]]<br />
* [[Cron|Cron Jobs]]<br />
* [[Was ist ein Kernel?]]<br />
* [[Fat Clients]]<br />
* [[Thin Clients]]</div>
Linkai.zhang
https://wiki.xinux.net/index.php?title=IT_600_b_-_Linux/Unix&diff=58449
IT 600 b - Linux/Unix
2024-11-18T09:58:53Z
<p>Linkai.zhang: /* Themen */</p>
<hr />
<div>[[Benutzer:linkai.zhang|Linkai Zhang]]<br />
= Login Daten =<br />
* Benutzer: xinux<br />
* Passwort: 123Start$<br />
<br />
oder<br />
<br />
* Benutzer: root<br />
* Passwort: 123Start$<br />
<br />
= Themen =<br />
* [[Geschichte Unix]]<br />
* [[Linux Server]]<br />
* [[Arbeiten mit der Shell]]<br />
* [[Paketmanagement unter Linux|Installation von Software]]<br />
* [[Debian Installation]]<br />
* [[Benutzerverwaltung]]<br />
* [[Geräteverwaltung]]<br />
* [[Cron|Cron Jobs]]<br />
* [[Was ist ein Kernel?]]<br />
* [[Fat Clients]]<br />
* [[Thin Clients]]</div>
Linkai.zhang
https://wiki.xinux.net/index.php?title=IT_600_b_-_Linux/Unix&diff=58448
IT 600 b - Linux/Unix
2024-11-18T09:17:09Z
<p>Linkai.zhang: </p>
<hr />
<div>[[Benutzer:linkai.zhang|Linkai Zhang]]<br />
= Login Daten =<br />
* Benutzer: xinux<br />
* Passwort: 123Start$<br />
<br />
oder<br />
<br />
* Benutzer: root<br />
* Passwort: 123Start$<br />
<br />
= Themen =<br />
* [[Geschichte Unix]]<br />
* [[Linux Server]]<br />
* [[Arbeiten mit der Shell]]<br />
* [[Paketmanagement unter Linux|Installation von Software]]<br />
* [[Benutzerverwaltung]]<br />
* [[Geräteverwaltung]]<br />
* [[Cron|Cron Jobs]]<br />
* [[Was ist ein Kernel?]]<br />
* [[Fat Clients]]<br />
* [[Thin Clients]]</div>
Linkai.zhang
https://wiki.xinux.net/index.php?title=IT_600_b_-_Linux/Unix&diff=58447
IT 600 b - Linux/Unix
2024-11-17T20:47:29Z
<p>Linkai.zhang: </p>
<hr />
<div>= Login Daten =<br />
* Benutzer: xinux<br />
* Passwort: 123Start$<br />
<br />
oder<br />
<br />
* Benutzer: root<br />
* Passwort: 123Start$<br />
<br />
= Themen =<br />
* [[Geschichte Unix]]<br />
* [[Linux Server]]<br />
* [[Arbeiten mit der Shell]]<br />
* [[Paketmanagement unter Linux|Installation von Software]]<br />
* [[Benutzerverwaltung]]<br />
* [[Geräteverwaltung]]<br />
* [[Cron|Cron Jobs]]<br />
* [[Was ist ein Kernel?]]<br />
* [[Fat Clients]]<br />
* [[Thin Clients]]</div>
Linkai.zhang
https://wiki.xinux.net/index.php?title=Analyse_und_Monitoring_von_Netzwerken&diff=58446
Analyse und Monitoring von Netzwerken
2024-11-17T08:04:28Z
<p>Linkai.zhang: /* Vorüberlegungen */</p>
<hr />
<div>=Grundlegendes=<br />
*[[Thomas Will]]<br />
*[[Benutzer:Linkai.zhang]]<br />
*[[Analyse und Monitoring von Netzwerken Tools]]<br />
*[[Zeiten KO]]<br />
*[[Zeiten Dresden]]<br />
<br />
=Login-Daten=<br />
<br />
==Nutzer auf Linux Maschinen==<br />
*xinux<br />
<br />
==Default-Passwort==<br />
*'''P@ssw0rd'''<br />
<br />
=Topics=<br />
*Schwachstellensuche und -analyse<br />
**Portscanning<br />
**Gefahren des Netzwerks<br />
**Informationsbeschaffung- Erweiterungen<br />
*Monitoring<br />
**Netzwerkmonitoring (Grundlagen/Tools)<br />
**Remotemanagement<br />
*Protokollierung und Dokumentation<br />
**Einführung in Netzwerkdokumentation mit MS Visio<br />
**Physisische Topologie<br />
**Logische Topologie<br />
<br />
=Vorüberlegungen=<br />
* Snapshots von VMs machen<br />
* [[Stichpunkte IT-Sicherheit]]<br />
* [[Überblick der IT-Grundschutz-Methodik]]<br />
* [[Basis-Sicherheitscheck]]<br />
* [[Schritte für einen Basis-Sicherheitscheck]]<br />
* [[IT-Grundschutz Literatur]]<br />
<br />
=Protokollierung und Dokumentation=<br />
*[[Physikalische Topologie]]<br />
*[[Logische Topologie]]<br />
*[[Einführung in Netzwerkdokumentation mit MS Visio]]<br />
*[[Cisco OSPF]]<br />
*[[Cisco Workshop 1]]<br />
*[[Hardware-Inventarisierung]]<br />
*[https://xinux.net/images/0/07/Hardware-Inventarisierung2.xlsx Excel Tabelle]<br />
<br />
=Schwachstellensuche und -analyse=<br />
*[[Gefahren des Netzwerks]]<br />
*[[Angriffe und Schwachstellen]]<br />
*[[Portscanning]]<br />
*[[Sicherheit Begriffe]]<br />
*[[Informationsbeschaffung- Erweiterung]]<br />
*[[Cisco Discovery Protocol]]<br />
<br />
=Monitoring=<br />
*[[Verschlüsselung]]<br />
*[[Monitoring Logindaten]]<br />
*[[NETZWERK TOOLS]]<br />
*[[Netzwerkmonitoring (Grundlagen/Tools)]]<br />
*[[Netzwerkmonitoring]]<br />
*[[SNMP Server]]<br />
*[[Hardware-Inventarisierung]]<br />
*[[Remotemanagement]]<br />
*[[Microsoft Powershell]]<br />
<br />
=Hostsystem Modifikationen=<br />
*[[Powershell Nat]]<br />
*[[Powershell Route]]<br />
*[[Powershell Netzwerk]]<br />
<br />
=Verschiedenes=<br />
*[[Schwachstellen vorbeugen: Patch-Management]]<br />
*[[Configuration Management Database]]<br />
*[[Datei:windows_dashboard.json]]<br />
<br />
=Misc=<br />
*[[Labor 1]]<br />
*[[Labor 2]]<br />
*[[Labor 3]]<br />
*[[Labor 4]]<br />
<br />
=Trouble Shooting=<br />
*[[kali Repository Key out of date]]<br />
*[[Windows Server 2012 bevorzugt nicht die DHCP]]<br />
*[[npf]]<br />
*[[Windows fährt automatisch herunter]]<br />
*[[GNS3 Netzwerk ist instabil]]<br />
*https://github.com/GNS3/gns3-gui/issues/2542</div>
Linkai.zhang
https://wiki.xinux.net/index.php?title=Docker_Traefik_Middleware_Passwort_Schutz&diff=58445
Docker Traefik Middleware Passwort Schutz
2024-11-15T10:42:38Z
<p>Linkai.zhang: /* Benutzer und Passwort separat */</p>
<hr />
<div>[[Kategorie:Docker]]<br />
[[Kategorie:Traefik]]<br />
= Funktion =<br />
* Bevor die Anfrage vom Client an den Server geleitet wird, muss dieser sich anmelden<br />
* Die Zugangsdaten können entweder in ''docker-compose.yml'' geschrieben oder in eine andere Datei ausgelagert werden<br />
* Die Passwörter müssen mit MD5, SHA1, or BCrypt gehasht werden.<br />
<br />
= Passwort-Hashes =<br />
* Der einfachste Weg für die Generation der Passwort-Hashes ist '''htpasswd''', welches im Paket '''apache2-utils''' enthalten ist<br />
* '''apt install apache2-utils'''<br />
* Falls $-Zeichen im Hash auftauchen, müssen diese durch ein weiteres $ in YAML entwertet werden<br />
* '''echo $(htpasswd -nB ''user'') | sed -e "s/\\$/\\$\\$/g"'''<br />
<br />
= Benutzer und Passwort in ''docker-compose.yml'' =<br />
* Damit Traefik weiß, dass die Basic-Auth-Middleware benutzt werden soll, muss der Container/Service das Label tragen<br />
* Die Middleware muss dann einem Router zugewiesen werden<br />
* '''cd ''/pfad/zum/dienst'' '''<br />
* '''vim ''docker-compose.yml'' '''<br />
<br />
<syntaxhighlight lang="yaml"><br />
version: "3"<br />
services:<br />
whoami:<br />
image: traefik/whoami<br />
labels:<br />
- "traefik.http.routers.whoami.rule=Path(`/whoami`)"<br />
- "traefik.http.middlewares.my-auth.basicauth.users=user1:passwort-hash,user2:passwort-hash"<br />
- "traefik.http.routers.whoami.middlewares=my-auth"<br />
</syntaxhighlight><br />
<br />
= Benutzer und Passwort separat =<br />
== Auf Docker-Host ==<br />
* '''cd ''/pfad/zum/dienst'' '''<br />
* '''vim ''docker-compose.yml'' '''<br />
<br />
<syntaxhighlight lang="yaml"><br />
version: "3"<br />
services:<br />
whoami:<br />
image: traefik/whoami<br />
labels:<br />
- "traefik.http.routers.whoami.rule=Path(`/whoami`)"<br />
- "traefik.http.middlewares.my-auth.basicauth.usersfile=/pfad/zur/datei"<br />
- "traefik.http.routers.whoami.middlewares=my-auth"<br />
</syntaxhighlight><br />
<br />
== Auf Traefik-Host ==<br />
* Die Datei mit Benutzernamen und Passwort-Hashes muss nun für dem Traefik-Dienst zugänglich sein<br />
* '''htpasswd -Bc ''/pfad/zur/datei'' ''user1'' '''<br />
* '''htpasswd -B ''/pfad/zur/datei'' ''user2'' '''<br />
* Der erste Befehl benutzt '''Bcrypt''' und erstellt die Datei, falls diese noch nicht existiert<br />
* Der zweite Befehl benutzt '''Bcrypt''' und fügt zusätzlich ''user2'' hinzu<br />
<br />
=Links=<br />
https://doc.traefik.io/traefik/middlewares/overview/</div>
Linkai.zhang
https://wiki.xinux.net/index.php?title=Docker_Traefik_Middleware_Passwort_Schutz&diff=58444
Docker Traefik Middleware Passwort Schutz
2024-11-15T10:42:31Z
<p>Linkai.zhang: /* Benutzer und Passwort in docker-compose.yml */</p>
<hr />
<div>[[Kategorie:Docker]]<br />
[[Kategorie:Traefik]]<br />
= Funktion =<br />
* Bevor die Anfrage vom Client an den Server geleitet wird, muss dieser sich anmelden<br />
* Die Zugangsdaten können entweder in ''docker-compose.yml'' geschrieben oder in eine andere Datei ausgelagert werden<br />
* Die Passwörter müssen mit MD5, SHA1, or BCrypt gehasht werden.<br />
<br />
= Passwort-Hashes =<br />
* Der einfachste Weg für die Generation der Passwort-Hashes ist '''htpasswd''', welches im Paket '''apache2-utils''' enthalten ist<br />
* '''apt install apache2-utils'''<br />
* Falls $-Zeichen im Hash auftauchen, müssen diese durch ein weiteres $ in YAML entwertet werden<br />
* '''echo $(htpasswd -nB ''user'') | sed -e "s/\\$/\\$\\$/g"'''<br />
<br />
= Benutzer und Passwort in ''docker-compose.yml'' =<br />
* Damit Traefik weiß, dass die Basic-Auth-Middleware benutzt werden soll, muss der Container/Service das Label tragen<br />
* Die Middleware muss dann einem Router zugewiesen werden<br />
* '''cd ''/pfad/zum/dienst'' '''<br />
* '''vim ''docker-compose.yml'' '''<br />
<br />
<syntaxhighlight lang="yaml"><br />
version: "3"<br />
services:<br />
whoami:<br />
image: traefik/whoami<br />
labels:<br />
- "traefik.http.routers.whoami.rule=Path(`/whoami`)"<br />
- "traefik.http.middlewares.my-auth.basicauth.users=user1:passwort-hash,user2:passwort-hash"<br />
- "traefik.http.routers.whoami.middlewares=my-auth"<br />
</syntaxhighlight><br />
<br />
= Benutzer und Passwort separat =<br />
== Auf Docker-Host ==<br />
* '''cd ''/pfad/zum/dienst'' '''<br />
* '''vim ''docker-compose.yml'' '''<br />
<br />
<syntaxhighlight lang="yaml"><br />
version: "3"<br />
services:<br />
whoami:<br />
image: traefik/whoami<br />
labels:<br />
- "traefik.http.routers.whoami.rule=Path(`/whoami`)"<br />
- "traefik.http.middleware.my-auth.basicauth.usersfile=/pfad/zur/datei"<br />
- "traefik.http.routers.whoami.middlewares=my-auth"<br />
</syntaxhighlight><br />
<br />
== Auf Traefik-Host ==<br />
* Die Datei mit Benutzernamen und Passwort-Hashes muss nun für dem Traefik-Dienst zugänglich sein<br />
* '''htpasswd -Bc ''/pfad/zur/datei'' ''user1'' '''<br />
* '''htpasswd -B ''/pfad/zur/datei'' ''user2'' '''<br />
* Der erste Befehl benutzt '''Bcrypt''' und erstellt die Datei, falls diese noch nicht existiert<br />
* Der zweite Befehl benutzt '''Bcrypt''' und fügt zusätzlich ''user2'' hinzu<br />
<br />
=Links=<br />
https://doc.traefik.io/traefik/middlewares/overview/</div>
Linkai.zhang
https://wiki.xinux.net/index.php?title=Kubernetes_Einf%C3%BChrung&diff=58443
Kubernetes Einführung
2024-11-14T21:46:39Z
<p>Linkai.zhang: </p>
<hr />
<div>[[Kategorie:Kubernetes]]<br />
= [[Minikube]] =<br />
* Als Einstieg in Kubernetes kann man Minikube aufsetzen<br />
* Minikube bietet die Möglichkeit, ein K8s-Cluster mit nur einem Host zu benutzen<br />
* Außerdem gibt es eine Weboberfläche mit der man das Cluster administrieren kann<br />
<br />
= Zustandloses Gästebuch mit einer Redis-Datenbank =<br />
* Minikube kann nun benutzt werden, um weitere Deployments zu erstellen<br />
* Gehen Sie die Schritte der offiziellen Dokumentation durch: https://kubernetes.io/docs/tutorials/stateless-application/guestbook/<br />
* Beim Befehl für das Portforwarding zum Frontend sollte die Addresse des Hosts auf 0.0.0.0 gesetzt werden<br />
* '''kubectl port-forward --address 0.0.0.0 svc/frontend 8888:80'''<br />
* Diese Applikation hat keinen persistenten Speicher<br />
<br />
= Wordpress mit einer persistenten MySQL-Datenbank = <br />
* Gehen Sie die Schritte der offiziellen Dokumentation durch: https://kubernetes.io/docs/tutorials/stateful-application/mysql-wordpress-persistent-volume/<br />
* Am Ende muss der Service über Portforwarding erreichbar gemacht werden<br />
* '''kubectl port-forward --address 0.0.0.0 service/wordpress 8889:80'''<br />
* '''kubectl logs -f deployment/wordpress'''</div>
Linkai.zhang
https://wiki.xinux.net/index.php?title=Kubernetes_Einf%C3%BChrung&diff=58442
Kubernetes Einführung
2024-11-14T21:27:37Z
<p>Linkai.zhang: </p>
<hr />
<div>[[Kategorie:Kubernetes]]<br />
= [[Minikube]] =<br />
* Als Einstieg in Kubernetes kann man Minikube aufsetzen<br />
* Minikube bietet die Möglichkeit, ein K8s-Cluster mit nur einem Host zu benutzen<br />
* Außerdem gibt es eine Weboberfläche mit der man das Cluster administrieren kann<br />
<br />
= Zustandloses Gästebuch mit einer Redis-Datenbank =<br />
* Minikube kann nun benutzt werden, um weitere Deployments zu erstellen<br />
* Gehen Sie die Schritte der offiziellen Dokumentation durch: https://kubernetes.io/docs/tutorials/stateless-application/guestbook/<br />
* Beim Befehl für das Portforwarding zum Frontend sollte die Addresse des Hosts auf 0.0.0.0 gesetzt werden<br />
* '''kubectl port-forward --address 0.0.0.0 svc/frontend 8888:80'''<br />
* Diese Applikation hat keinen persistenten Speicher<br />
<br />
= Wordpress mit einer persistenten MySQL-Datenbank = <br />
* Gehen Sie die Schritte der offiziellen Dokumentation durch: https://kubernetes.io/docs/tutorials/stateful-application/mysql-wordpress-persistent-volume/</div>
Linkai.zhang
https://wiki.xinux.net/index.php?title=Kubernetes_Einf%C3%BChrung&diff=58441
Kubernetes Einführung
2024-11-14T21:26:06Z
<p>Linkai.zhang: </p>
<hr />
<div>[[Kategorie:Kubernetes]]<br />
= [[Minikube]] =<br />
* Als Einstieg in Kubernetes kann man Minikube aufsetzen<br />
* Minikube bietet die Möglichkeit, ein K8s-Cluster mit nur einem Host zu benutzen<br />
* Außerdem gibt es eine Weboberfläche mit der man das Cluster administrieren kann<br />
<br />
= Zustandloses Gästebuch mit einer Redis-Datenbank =<br />
* Minikube kann nun benutzt werden, um weitere Deployments zu erstellen<br />
* Gehen Sie die Schritte der offiziellen Dokumentation durch: https://kubernetes.io/docs/tutorials/stateless-application/guestbook/<br />
* Beim Befehl für das Portforwarding zum Frontend sollte die Addresse des Hosts auf 0.0.0.0 gesetzt werden<br />
* '''kubectl port-forward --address 0.0.0.0 svc/frontend 8888:80'''<br />
* Diese Applikation hat keinen persitenten Speicher</div>
Linkai.zhang
https://wiki.xinux.net/index.php?title=Kubernetes_Einf%C3%BChrung&diff=58440
Kubernetes Einführung
2024-11-14T21:24:30Z
<p>Linkai.zhang: </p>
<hr />
<div>[[Kategorie:Kubernetes]]<br />
= [[Minikube]] =<br />
* Als Einstieg in Kubernetes kann man Minikube aufsetzen<br />
* Minikube bietet die Möglichkeit, ein K8s-Cluster mit nur einem Host zu benutzen<br />
* Außerdem gibt es eine Weboberfläche mit der man das Cluster administrieren kann<br />
<br />
= Zustandloses Gästebuch mit einer Redis-Datenbank =<br />
* Minikube kann nun benutzt werden, um weitere Deployments zu erstellen<br />
* Gehen Sie die Schritte der offiziellen Dokumentation durch: https://kubernetes.io/docs/tutorials/stateless-application/guestbook/<br />
* Beim Befehl für das Portforwarding zum Frontend sollte die Addresse des Hosts auf 0.0.0.0 gesetzt werden<br />
* '''kubectl port-forward --address 0.0.0.0 svc/frontend 8888:80'''</div>
Linkai.zhang
https://wiki.xinux.net/index.php?title=Kubernetes_Einf%C3%BChrung&diff=58439
Kubernetes Einführung
2024-11-14T21:24:15Z
<p>Linkai.zhang: Die Seite wurde neu angelegt: „Kategorie:Kubernetes = Minikube = * Als Einstieg in Kubernetes kann man Minikube aufsetzen * Minikube bietet die Möglichkeit, ein K8s-Cluster mit nur eine…“</p>
<hr />
<div>[[Kategorie:Kubernetes]]<br />
= Minikube =<br />
* Als Einstieg in Kubernetes kann man Minikube aufsetzen<br />
* Minikube bietet die Möglichkeit, ein K8s-Cluster mit nur einem Host zu benutzen<br />
* Außerdem gibt es eine Weboberfläche mit der man das Cluster administrieren kann<br />
<br />
= Zustandloses Gästebuch mit einer Redis-Datenbank =<br />
* Minikube kann nun benutzt werden, um weitere Deployments zu erstellen<br />
* Gehen Sie die Schritte der offiziellen Dokumentation durch: https://kubernetes.io/docs/tutorials/stateless-application/guestbook/<br />
* Beim Befehl für das Portforwarding zum Frontend sollte die Addresse des Hosts auf 0.0.0.0 gesetzt werden<br />
* '''kubectl port-forward --address 0.0.0.0 svc/frontend 8888:80'''</div>
Linkai.zhang