Post on 25-Jan-2016
CONFIGURAÇÃO DO SERVIDOR ZEROSHELL
Após realizar o download da ISO no site oficial da ZeroShell é necessário realizar
algumas configurações básicas para começar a disponibilizar os serviços de rede. Por padrão é
desabilitado todos os serviços (Proxy, DHCP, Firewall, DNS). Abaixo é mostrado a tela
inicial de carregamento do sistema. Aguarde alguns instantes e o sistema começara a carregar.
Figura 1 - Tela inicial de inicio do sistema
Fonte: elaboração dos autores
Figura 2 - Tela inicial após o carregamento do servidor
Fonte: elaboração dos autores
Na imagem acima é mostrado na parte superior o nome do Servidor e a sua respectiva
versão(3.3.2) e a data atual do servidor. Abaixo do titulo é mostrado as informações básica do
sistema:
Tabela 1 - Informações do servidor
Hostname identificação da do servidor
CPU configuração do processor
Kernel versão do kernel do linux
Memoria do sistema tamanho da memória atual
Uptime tempo ligado
Load (carga) quantidade de carga utilizada(atual, máxima, média ),
valores são tratados na casa do 0 a 1.0
Profile arquivo de configuração do servidor
Por padrão o ZEROSHELL informa nesta tela a identificação do IP de configuração
via navegador e os seus respectivos dados de acesso (login e senha).
MENU DE COMANDOS (COMMAND MENU)
Figura 3 - menu de commandos
O menu de comandos é uma das informações que todo o administrador de rede deve
ter conhecimento. Neste menu é realizado as configurações básicas iniciais para deixar o
servidor em condições de ser configurado.O menu é identificado com letras entre “< >”.
Tabela 2 - informações sobre o menu de commando
LETRA MENU OBSA Installation
managerInstalação do Servidor no Disco
Rígido.D Profile Manager Administração dos profiles, arquivos
de configuração personalizado, para eventuais recuperação das
configurações.S Shell Prompt Administração do servidor por linha
de comando. Utilizado para realizar a instalação de plugins.
R Reboot Reinicar o servidor.H Shutdown Desligar o servidor.U UtilitiesW WiFi Manager Configuração para disponibilizar
ponto de acesso por rede sem fio.P Change admin
passwordMudar senha de administrador.
T Show Routing Table
Mostrar tabela de rotas.
F Show Firewall Rules
Mostrar políticas de firewall.
N Show Network Interfaces
Mostrar as interfaces de redes.
Z Fail-Safe Mode Trabalhar em modo de segurança. Desabilita as políticas de firewall e o acesso administrativo via navegador.
I IP Manager Configuração de IP das placas de redes.
REALIZANDO A INSTALAÇÃO DO DISCO RÍGIDO
Para realizar a instalação no disco rígido é necessário acessar o menu abaixo indicado
pela seta vermelha, Installation Manager. Digite a letra A.
Figura 4 - Tela de instalação
Ao acessar o menu Installation Manager é mostrado a lista de locais que poderá ser
instalado o servidor. Nesta imagem é mostrado um Harddisk identificado pelo numero 1.
Neste caso para instalar o servidor neste Device é necessário aperta o numero 1 do teclado,
para selecionar o Harddisk. Será informado que todos os dados do disco serão deletados,
confirme digitando yes e apertando ENTER. Selecione o console que será acessado o
servidor, digite VGA, e aperte ENTER. Após digite null para deixar o Kernel em modo
silencioso, ou seja, carregar somente os módulos necessários.
Tela Installation Manager
Aguarde a conclusão da instalação.
Tela de instalação do servidor
Após a instalação será perguntado se desejas realizar a configuração de um
Profile(arquivo que guarda as configurações do sistema), digite YES. Deverá ser respondido
algumas perguntas, como: Profile description [DEFAULT PROFILE] (nome do profile), xx:
Servidor Principal. Hostname(Nome do Servidor): digite o nome , ex: servidorprincipal.com.
Admin password(senha do administrador para acessar a administração pelo navegador).
LDAP Base(configração do LDAP, servidor de autenticação), ex: dc= servidorprincipal,
dc=com. KERBEROS 5 REALM, ex: SERVIDORPRINCIPAL.COM. Management
Interface( dispositivo de administração da rede), digite qual o dispositivo da rede interna.
Defina o IP da interface, ex: 192.168.0.1. Defina a mascara de rede, ex: 255.255.255.0,
Defina o Gateway, ex: 192.168.0.1.
Após a criação do Profile é necessário o carregamento do mesmo. Para isso digite D,
conforme mostrado abaixo.
Digite A, para selecionar o profile para ativar.
Selecione o Profile criado.
Após selecionado o profile, será perguntado que é necessário reiniciar o servidor, tecle
Y, para sim
CONFIGURAÇÃO DO COMPUTADOR QUE ACESSARÁ VIA NAVEGADOR
O servidor ZEROSHELL não possui interface gráfica para a administração dos
sistemas administrativos, isso é uma vantagem, pois o sistema possui uma totalidade de 210
MB com todos os serviços básicos incluídos. O seu carregamento se torna muito rápido.
Destacamos também a segurança envolvido em não ter um sistema básico integrado, pois
quanto menos pacotes instalado menos torna o sistema vulnerável a falhas. Essas falhas torna
o servidor sujeito a invasões, comprometendo toda a estrutura de rede na organização.
Por padrão o ZEROSHELL escolhe o IP 192.168.0.75, mascara de rede
255.255.255.0. Conforme mostrado, é possível alterar o IP do servidor através da criação do
profile ou através do menu de comando item letra “I”, IP Manager.
Neste momento utilizaremos uma máquina WINDOWS XP SP3. As mesmas
configurações são válidas para qualquer sistema operacional.
Após inicialização do Sistema Operacional é necessário deixar o endereço IP na
mesma faixa de rede do servidor. Para isso teremos que acessar as configurações da placa de
rede e atribuir manualmente o IP da mesma faixa do servidor.
Configuração do IP no computador que acessará via navegador
Na imagem acima temos a configuração manual do endereço IP do computador que
administrará o servidor. Erros comuns são atribuir o mesmo IP do servidor ao computador
que acessar o sistema. No item sinalizado pela letra A(colocar o IP do computador), no item
B(necessário definir a mascara de rede, a mesma atribuída no IP do servidor), no item
C(atribuir o computador que será o portão para a rede externa, neste caso, por padrão defina o
mesmo IP do servidor ZEROSHELL).
ACESSANDO O SERVIDOR VIA NAVEGADOR
Utilizaremos o navegador Mozila Firefox para acessar a área administrativa do
servidor através do sistema operacional WINDOWS XP SP3. Após abrir o navegador é
necessário informar o endereço do servidor
Navegador do computador que acessará o servidor via navegador
Algumas observações são os itens A (endereço do servidor ZEROSHELL), e no item
B teremos que adicionar exceção para o certificado, visando manter uma conexão segura.
Devemos baixar o certificado de acordo com a imagem abaixo e incorporar na lista de
entidades certificadoras.
Download do certificado de autenticação, parte 1
Download do certificado de autenticação, parte 2
A incorporação do certificado do ZEROSHELL no Mozila Firefox é realizado
seguindo o caminho do menu 1- FERRAMENTAS, 2- Opções, 3- Avançado, 4- Aba
criptografia, 5- Item certificado, 6- Aba autoridades, 7- Importar. Conforme a imagem abaixo.
Importar certificado de autoridade.
Seleção do arquivo da certificadora, parte 1
Seleção do arquivo da certificadora, parte 2
Por questões de segurança o administrador de rede deverá atentar que o arquivo de
certificação é o mesmo que foi fornecido no endereço do servidor.
O ZEROSHELL apresenta uma tela inicial bem organizada e de fácil visualização com
os itens de configuração adequados para quem administrará os serviços.
Tela inicial do servidor ZEROSHELL
Abaixo será mostrado as observações referente aos itens da figura acima relacionado.
LETRA OBSERVAÇÃO
A - nesta parte é exibido a versão do servidor
- About (detalhamento da utilização)
- Exibição da carga de conexões dos usuários logado no sistema. CNTop (lista os
usuários que utilizam as conexões)
- Opção de Logout(sair com segurança), Reboot(reiniciar o sistema), Shutdown
(Desligar)
B - Informação de hardware do servidor(Kernel, memória total, quantidade de
memória (%) usada.
- Uptime(tempo do servidor ligado)
- Graphics, visualização de estatísticas da utilização do uso (Carga de trabalho,
memória, etc)
C Configuração de pacotes, profiles, rede, configurar o relógio do servidor, a
segurança de acesso pelo navegador, segurança de acesso por SSH,
Script/Cron(firewall, cron, testes de script, wifi, etc)
J
D
E
A B
K
L
M
CI
G
H
F
D Pacotes disponíveis para download
E Mudar a linguagem do sistema
F Noticias atualizada sobre o servidor
G Pacotes instalados
H Ultimas registros no log do sistema
I Monitoração de alertas do sistema
J Menu de configuração do servidor, acesso a logs, testes de ping, configuração dos
alertas de monitoramento(envio de alertas por email e SMS)
K Administração de usuários, grupos, LDAP, RADIUS, contas dos usuários,
configuração do portal captivo
L Configuração de rede (hosts, roteamento, DNS, DHCP, VPN, Qualidade do Serviço,
Balanceamento de carga de rede
M Configuração do Firewall(modo interativo), Proxy transparente com bloqueio de
paginas(blacklist) e permissão de acesso a páginas (whitelist), Protocolos de
certificação e autenticação.
ADMINISTRAÇÃO DOS PROFILES
Os profiles são arquivos de configuração que salva todas as informações referente a
configuração do servidor. Podendo realizar backups de segurança e a sua restauração.
Importante dizer que pode ter vários profiles em um mesmo servidor, porém somente um
ativo.
Para criar um profile acessa-se no menu lateral esquerdo System>Setup, com isso a
página é recarregada e no menu horizontal superior, acessa-se profile. A página será alterada
para a página de gerenciamento de profiles.Conforme mostrado na figura abaixo:
Pagina de administração de profiles
È possível realizar o backup conforme mostra a seta amarela na figura acima. È gerado
um arquivo .bck, que poderá ser importado para alguma futura instalação de servidor.
Arquivo de backup do profile
Caso deseje criar um novo profile basta selecionar a partição e clicar em Create Profile(figura
xxx ) será aberta um popup com informações a serem inseridas( figura xx )
Criação de profile
Popup de criação de Profile
Criar profile é uma grande ferramenta do ZEROSHELL, garante que teremos sempre
configurações personalizadas e seguras, restaurando as configurações a qualquer momento.
CONFIGURAÇÕES DE REDE
A configuração da rede se torna de fácil administração quando usamos o navegador
para a administração. È possível configurar o IP do servidor, criar VLAN, definir o
GATEWAY, configurar a NAT(figura xx), criação de nova VPN, adicionar modem
3G(Figura xx ), etc.
Pagina de configuração de rede
No exemplo da figura abaixo temos duas placas de redes, sendo que uma aponta para a
rede interna(esquerda) e a outra aponta pra a rede externa(direita). Conforme figura abaixo.
Configuração da NAT
Podemos adicionar um modem 2G/3G de forma rápida. Realizamos testes com modem
2G/3G, obtendo resultado satisfatório, para isso basta plugarmos na servidor aonde encontra-
se o ZEROSHELL na porta USB o modem 2G/3G da operadora. O ZEROSHEL já localiza a
porta aonde está plugado o modem e oferece as opções de configuração. O modem 2G/3G se
torna um importante aliado, pois podemos usar como balanceamento na conexão e em caso de
perda do sinal da internet o 2G/3G entra em ação e não deixa os serviços com a rede externa
seja derrubada. Conforme figura abaixo.
Configuração de modem 2G/3G
CONFIGURANDO A HORA DO SERVIDOR
A configuração da hora do servidor é importante, pois facilita a auditoria nos Logs
gerados pelo servidor. O servidor possui a opção de sincronizar com os servidores NTP ou
realizar de forma manual a configuração da hora.
Acesso da configuração da hora do sistema
Configuração da hora do sistema
SEGURANÇA NO ACESSO VIA NAVEGADOR E SSH
A administração do servidor é realizada pelo navegador, por questões de segurança
devemos permitir somente computadores autorizados para acessar o IP do servidor, bem como
a utilização do SSH. Por padrão o ZEROSHELL permite o acesso para qualquer computador
da rede(Figura xxx), visando as boas práticas de segurança, iremos definir somente um
computador para a realização das configurações do servidor.
Configuração padrão do ZEROSHELL para acesso da área administrativa via navegador
A configuração de segurança deverá ser iniciado desabilitando a opção Auto-autorize
LAN( autorizar automaticamente todos da rede), após isso deverá ser fornecido o IP da
maquina que irá administrar o servidor, bem como a interface. Como boas práticas de
segurança, é necessário que a máquina que irá administrar tenha o seu IP amarrado pelo MAC
da placa de rede, através da configuração do DHCP(demonstrado no CAP xxx).
Configuração de segurança de acesso pelo navegador
Teste de segurança do acesso administrativo pelo navegador
A segurança no acesso pelo SSH é feita de maneira igual ao do acesso no navegador,
porém por padrão o SSH não está habilitado, devendo ser habilitado para que se possa realizar
as configurações desejadas.
Configuração da segurança de acesso pelo SSH
Programa PUTTY para acesso via SSH
Servidor ZEROSHELL acessado através PUTTY
CONFIGURANDO O MONITOR DE ALERTAS
O ZEROSHELL possui uma opção de remessa de alertas. A importância desse
mecanismo é muito importante e útil, pois o administrador de rede é informado de eventos
que ocorre com o servidor, sendo um importante aliado na detecção de incidentes que poderão
ocasionar problemas na rede. Em questões de segurança é possível detectar ataques de
negação de serviço, ataques de força bruta, etc. Os alertas podem ser configurados para ser
enviados para o e-mail ou via SMS.
Por padrão o envio de email e SMS estão desativados, devendo ser configurado e
ativados manualmente, conforme mostrado na figura abaixo.
Tela de configuração de envio de alertas
CONFIGURANDO DHCP
A configuração do DHCP é realizado pelo menu esquerdo NETWORK>DHCP. Por
padrão o ZEROSHELL deixa desabilitado o DHCP. Para iniciar os serviços é necessário
primeiro configurar uma nova SUBNET (figura xxx). O servidor permite que seja
disponibilizado até 3(três) faixas de IP personalizadas, configuração do GATEWAY, DNS
padrão. È possível realizar de forma rápida a fixação do IP por MAC. Caso o administrador
queira adicionar opções no DHCP é possível realizar através do botão advanced.
Página de configuração inicial do DHCP
Ao clicar em NEW é aberto uma janela de definição da subnet. O servidor lista as
placas de redes disponíveis. Necessário neste momento informar a placa de rede que está
configurada para ser a interna a rede. Após a configuração o DHCP será ativado
automaticamente. Na figura xxx , definimos um range de IP 192.168.0.10 a 192.168.0.15, ou
seja, somente será fornecido IPS nesta faixa. Definimos também o IP pelo MAC do
computador que acessa via navegador. Foi definido também o GATEWAY e o DNS do
servidor. Todos os computadores conectados a rede receberão por padrão utilizarão essas
configurações. A opção LEASES, mostra a tabela de IPS dos computadores das faixas de IPS
configuradas (figura xxx). Há a possibilidade de exibir somente os computadores ativos no
momento, basta selecionar a opção Show only active leases (mostrar somente os ativos).
Janela de definição da subnet da rede
Pagina de configuração do DHCP
Tabela de computadores que receberam IP através do DHCP.
CONFIGURANDO PROXY TRANSPARENTE
O ZEROSHELL trabalha com Proxy transparente e com o antivírus ClamAV. Usar o
Proxy de forma transparente facilita a administração, tendo em vista que os navegadores não
serão configurados. O Proxy transparente captura automaticamente todas as solicitações dos
clientes pela porta 80. Utilizar o Proxy do ZEROSHELL se torna mais seguro devido a
utilização do antivírus ClamAV que possui atualização diária automática(definido pelo
usuário através da configuração “Number of checks per Day”) e ainda verifica vírus nas
imagens.Por padrão o Proxy não é habilitado automática, tendo que ser habilitado através da
marcação do ENABLE na pagina de administração do Proxy. O servidor utiliza de duas
opções para a filtragens de páginas, a BLACKLIST(lista negra) e a WHITELIST(lista
branca). A BLACKLIST contem todos os sites não permitidos para os usuários. Basta
adicionar os sites botão manager e deixar a opção ENABLE (habilitado) ativo. Para bloquear
todas as páginas do site, basta adicionar o /* ao final de cada site, exemplo:
www.terra.com.br/*.
Pagina de gerenciamento de acessos aos sites
Para utilizar o Proxy é necessário especificar a placa de rede que estará sendo
capturada. Para isso na divisão “HTTP Capturing Rules”, clica-se no botão com o símbolo de
“+” e será aberta uma página (como representada na figura 18), no campo “Action” seleciona-
se “Capture Request”, no campo “Source Interface” seleciona-se a interface de onde os dados
vão ser capturados, no caso a interface interna, no campo “Source IP” o endereço IP da
máquina de origem e no campo “Destination IP” o endereço IP da máquina de destino, caso
não preencha esse campo a regra valerá para todas as máquinas da rede. Após os campos
preenchidos clica-se no botão “Save”.
Página de gerenciamento de captura do proxy
Pagina inicial do serviço de Proxy
Página de acesso não autorizado do Proxy transparente
Por padrão as páginas de erro são carregadas na linguagem inglês, para realizar a
mudança é preciso acessar via SSH ou através do servidor(tecla o arquivo encontrado em /
root/kerbynet.cgi/template/havp.conf (figura xxx). ,e descomentar a linha TEMPLATEPATH
/usr/local/etc/havp/templates/en. Para modificar para linguagem brasileira TEMPLATEPATH
/usr/local/etc/havp/templates/br (figura xxx).
Caminho arquivo de configuração havp.conf
Arquivo de configuração havap.config
CONFIGURANDO O FIREWALL
O firewall do ZEROSHELL é um forte aliado para a proteção da rede. A sua
configuração é muito fácil de ser implementada. Encontramos nas configurações do servidor o
bloqueio de aplicações (camada 7). Existe uma lista com os principais programas e
protocolos. Há duas maneiras de configurar o firewall, através da interface gráfica, ou através
dos comandos. Primeiramente pelo modo dos comandos, para isso na página web do
ZeroShell no menu vertical esquerdo acessa-se System > Setup a página será redirecionada
para a página inicial da configuração do ZeroShell, no menu superior acessa-se
“Startup/Cron” irá abrir uma nova janela (Figura xxx). Nessa janela na parte superior a um
objeto de seleção, seleciona-se “Firewall”. Nesta janela de acordo com a cadeia se insere as
regras do firewall iptables.
Pagina inicial do firewall do servidor
O ZEROSHELL por padrão desabilita a utilização do firewall no modo manual, é
preciso habilitar de acordo com a seta mostrada abaixo.
Configuração manual do firewall
Para adicionar as regras no modo interface gráfica, basta clicar no botão
add(adicionar) na listagem das regras na pagina inicial do firewall, que será aberto um popup
para a colocação das regras.
Adicionar regras do firewall em modo gráfico
CONFIGURAÇÃO PORTAL CAPTIVO
O Portal Captivo é uma forma interativa de autenticação dos usuários da rede para a
utilização dos serviços de internet. O ZEROSHELL possibilita uma administração desse
recurso de forma rápida e funcional. Existe opções de limitar o consumo de banda por
usuário, horários, etc. O ZEROSHELL possui um plugin que complementa ainda mais o uso
do Portal Captivo, este se chama ZEROTRUST e após a sua instalação é colocado uma série
de recursos extras para esse tipo de serviço. A configuração a seguir é realizado sem o plugin
ZEROTRUST.
O acesso do Portal Captivo é feito através do menu no lado esquerdo(USERS>
Captive Portal). Por padrão o serviço encontra-se desabilitado, é necessário escolher a
interface da placa de rede interna ante de ativar o serviço.
Página inicial do Portal Captivo
Na tela inicial é mostrado os usuários conectados, bem como o seu endereço IP e
MAC. No lado direito temos alguns parâmetros que podem ser habilitados, como proteção de
DoS, identificação dos clientes pelo IP ou MAC, se é permitido conexão simultânea com o
mesmo login, e o tempo de validade da autenticação quando inativo as atividade.
Tela de login padrão do Portal Captivo
O ZEROSHELL permite que a página de login seja personalizada pelo administrador
de rede. È possível também realizar a tradução manualmente das palavras exibidas neste
serviço. Na figura xx , temos a página de personalização da página de autenticação. Nas setas
são exibidos as principais configurações. È possível informar ao servidor que caso de sucesso
na autenticação o usuário vai automaticamente para a sua pagina requisitada ou então é
redirecionado para outra página, por exemplo a intranet.
Pagina de configuração de customização da área de autenticação
Página para modificação da imagem da página de login
É necessário que se conheça as dimensões da imagem a ser adicionada. Para que não
fique deformado no momento de ser exibido na tela de login.
Modificação do logotipo da tela de login com a utilização do brasão da Escola de
Comunicações
È possível a realização da tradução da página. Devemos acessar o menu Language
(linguagem) para definir qual linguagem utilizar, ou customizar a mesma. È preciso definir
cada palavra/frase.
Pagina de customização da linguagem
Página de login após a personalização
A administração dos usuários é feito através do menu Accounting (contabilidade),
onde mostra em números os usuários registrado e os seus usos na rede (trafego utilizado,
tempo conectado, etc). Nessa página é possível definir classes para cada grupos de usuários,
através do Accounting Classes, podemos definir a banda total que pode ser usuada, o tempo
de conexão, largura de banda, etc.( Figura xxx ).
Página de contabilidade de usos no serviço de rede
Página de definição de classes para usuários
Para adicionar usuários é necessário acessar o menu USERS(menu esquerdo) e clicar
na aba Add (adicionar). È mostrado uma página para a colocação dos dados do usuário, bem
como definir a que classe pertence.
Página de criação da conta do usuário na rede
Página com os dados preenchidos.
Lista dos usuários com acesso a rede
CONFIGURAÇÃO VPN