Przygoda z Ipfire cz.I

Wybór jeden z wielu, czyli dlaczego Ipfire?

Pewnego dnia dostałem wiadomość prywatną na forum mojego miasta z propozycją współpracy przy sieci radiowej w technologi 5Ghz. Ktoś co prawda przemienił debiana na ruter, ale pozostawił go samemu sobie, nie wykazując jakiejś większej inicjatywy do pracy przy świeżo powstałej sieci.

Nie zastanawiając się dłużej wyraziłem chęć współpracy i w ten sposób rozpocząłem przygodę z Ipfire. Pod uwagę brałem wiele obecnych na rynku rozwiązań, przewijał się ZeroShell, który jest znakomity, pojawił się też Ipcop, którego kilkukrotnie użyłem jako ruter w małych sieciach, ale z doświadczenia wiem, że sprawia większe, bądź też mniejsze problemy, chociaż jest bliźniaczo podobny do Ipfire.

Pod uwagę wziąłem jeszcze parę innych rozwiązań, ale ostatecznie postanowiłem do tejże sieci na główny serwer wykorzystać Ipfire. Jego mocną stroną są dodatki, oraz możliwość korzystania z xen, co stwarza już w zasadzie nie ograniczone możliwości, zależnie jaki system zainstalujemy na maszynie wirtualnej. Poważną wadą jest wsparcie tylko dla jednego interfejsu WAN (red), oraz jednego interfejsu LAN(green), a zatem brak vlanów, przy małych sieciach to nie dokucza, przy bardziej złożonej topologii można się już zastanawiać, czy aby na pewno ruter z Ipfire nam wystarczy.

Modyfikacje konieczne do  pracy.

Nie są to jakieś poważne ingerencje w system, póki co. Pierwsze za co wziąłem się po zainstalowaniu i skonfigurowaniu wstępnie systemu do pracy w sieci były skrypty startowe, a dokładniej musiałem sam sobie takowy dopisać, który uruchamiał wraz ze startem odpowiedni ruting.

Następnie zgodnie z zaleceniami skonfigurowałem vpn, konkretnie openvpn w taki sposób, aby przekazywał wpisy dla rutingu do klientów, polegało to na edycji pliku konfiguracyjnego openvpn i dopisaniu kilku linijek. Nie długo po tym wyskoczył kolejny problem, po restarcie ruting na serwerze jest dopisywany w sposób prawidłowy, lecz nie ma synchronizacji z wpisami siedzącymi w pliku konfiguracyjnym openvpn. Dlatego musiałem delikatnie zmodyfikować skrypt odpowiedzialny za ruting tak, aby nie zapominał synchronizować tras z wpisami w pliku konfiguracyjnym openvpn.

To też jest dla mnie jedna z wad tej dystrybucji, że nie posiada w swoim interfejsie narzędzia do ustalania statycznych tras, przydało by się.

Kolejną taką drobną zmianą było stworzenie skryptu, który robi kopie zapasowe i przenosi je na oddzielną partycję. Jak już jesteśmy przy skryptach, to od razu wspomnę o skrypcie odpowiedzialnym za logowanie ruchu sieciowego. Skrypt wykorzystuje do pracy tcpdump, pliki o rozmiarze ograniczonym do 1Mb (dla łatwiejszej analizy) są kopiowane do katalogu o nazwie w formacie : godzina.data.zrzut.dmp.

Następnie wziąłem się za skonfigurowanie vhost dla strony klienta, po co ma trzymać ją na zewnętrznym serwerze jak może u siebie niemal za darmo:) Do tego oczywiście doszedł ftp, tu wykorzystałem dostępny vsftp.

To, z czego warto skorzystać.

To co oferuje Ipfire i co może przydać się do codziennej pracy administratora nie zawsze wystarcza, dlatego warto rozejrzeć się za dodatkowym oprogramowaniem, które trochę wspomoże kontrolowanie sieci. Takim programem jest Nagios, dostępny jako pakiet do zainstalowania. Jego konfiguracja to inna bajka, nie ma sensu jej opisywać, bo jest inna dla każdej sieci.

Kolejnym przydatnym oprogramowaniem jest snort, oraz tripwire. Pierwsze to IDS, zaś drugie bada integralność plików na serwerze. Nie jestem ekspertem od bezpieczeństwa, ale na tyle ile mogę, zadbałem o nie. Jak już jesteśmy przy tym temacie to opiszę w jaki sposób wykorzystuje openvpn do pracy. Jak wiadomo ogólnie vpn tworzy tunele, przez które można w bezpieczny sposób łączyć się z zasobami sieci. Dostęp z zewnątrz jest zablokowany, bez certyfikatu dla openvpn nie ma w zasadzie jak się dostać do serwera, chyba że od wewnątrz. Pomijam jakieś niestandardowe metody polegające na włamaniu się na serwer, bo na tyle ile pozwoliła mi moja wiedza sprawdziłem podatność serwera na różne ataki i nie udało mi się sforsować moich zabezpieczeń.

Z openvpn skorzystałem jeszcze z jednego względu, podłączając się z dowolnego miejsca na świecie mogę zarządzac zarówno serwerem jak i nadajnikami, na których siedzi mikrotik, a on ma taką fajną aplikację do zarządzania jak winbox.

To co  obecnie  wdrażam.

Takim pierwszoplanowym wdrożeniem jest zrobienie intranetu dla klientów sieci, tak aby przepływ informacji od klientów do mnie był maksymalnie skrócony. Jak wszystko pójdzie dobrze, opiszę to w kolejnych częściach, wraz z zrzutami ekranu jak ja rozwiązałem sprawę intranetu.

Przyszedł czas, że trzeba zacząć kolejkować ruch sieciowy, QoS jest dostępne w Ipfire, ma obsługę warstwy 7 modelu OSI, oraz ma kilka wbudowanych klas, więc trzeba to wszystko sobie skonfigurować pod siebie. Na tym polu zdecydowanie przegrywa z ZeroShell.

System do obsługi klientów, tj:

*powiadomienia sms

*przypomnienie hasła do pppoe za pomocą sms-a

*baza danych pozwalająca zarządzać klientami (mysql)

Pozostałe elementy pracy z Ipfire przedstawię w kolejnych wpisach, gdzie opiszę trochę dokładniej samego Nagiosa, oraz inne programy, które wykorzystuje w pracy z bramą opartą na Ipfire