Gentoo Network Appliance (GNAP) - Guida UtenteLo scopo è quello di sfruttare l'attuale sistema Gentoo dell'utente (chiamato host, ospite) per creare un LiveCD o un disco con un sistema avviabile per dispositivi di rete, completo di file di configurazione personalizzati, che sia possibile usare per l'avvio di un altro sistema (chiamato target, bersaglio). GNAP fornisce un immagine di sistema pre-confezionata, chiamata GNAP core (letteralmente, nucleo o cuore di GNAP). E' possibile modificare la configurazione predefinita di questa immagine introducendo nuovi file di configurazione che andranno a sovrascriversi all'immagine di sistema stessa durante l'avvio del target. Lo script gnap_overlay prende una tarball (ovvero un file generato con l'ausilio del programma di compressione tar) di GNAP core e una o più sorgenti overlay (NdR: le sorgenti overlay, letteralmente "copertura", contengono dati che andranno a sovrascrivere i corrispettivi originali, da cui il termine che sarà mantenuto tale per l'intero documento) da cui o produce un file .iso per la realizzazione di un LiveCD avviabile, oppure scrive un filesystem avviabile su un dispositivo di memorizzazione (tipicamente una scheda CompactFlash o DOM):
Esistono due tipi di sorgenti overlay che si possono usare con gnap_overlay: directory e file conflet. Le directory overlay sono solamente cartelle contenenti file che saranno copiati sul filesystem principale durante l'avvio del target. La radice della directory corrisponde alla radice del filesystem del target, quindi contiene normalmente una sottodirectory etc/ dove sono presenti file che saranno copiati sulla cartella /etc del target. I file Conflet non sono nient'altro che tarball compresse .tar.bz2 contenenti una directory overlay. Di solito contengono configurazioni riutilizzabili su cui sono state applicate modifiche diffuse, così da rendere più facile mantenere diverse configurazioni.
Il file overlay.conf controlla la personalizzazione delle opzioni generali sul target, come le opzioni per la localizzazione e quali caratteristiche dovrebbero essere abilititate sulla macchina GNAP target. Il file deve essere presente in una sorgente overlay (come etc/overlay.conf) oppure lo si deve specificare direttamente con il parametro -c allo script gnap_overlay. GNAP è disponibile attraverso Gentoo Portage. Baste lanciare emerge come segue (da utente root):
Preparazione del proprio overlay e del file overlay.conf In questo tutorial, GNAP verrà usato per realizzare un LiveCD avviabile contenente un Firewall che filtri il traffico ed effettui il NAT per una piccola rete LAN. C'è bisogno di attivare queste caratteristiche in overlay.conf e nei file overlay per la configurazione della rete e del firewall.
Prima di tutto, deve essere creata una cartella che verrà utilizzata come radice per la cartella overlay, e le sottodirectory etc/, etc/conf.d/ e etc/firehol:
Poi creare il file di configurazione della rete (etc/conf.d/net), con un indirizzo verso l'esterno 111.222.111.47 (gateway 111.222.111.254) e verso la LAN 192.168.1.*. Questo file aderisce alla sintassi Gentoo descritta nel file /etc/conf.d/net.example sul sistema dell'utente:
Adesso va creato il file di configurazione per il programma firehol che verrà usato come firewall, lasciando passare tutto il traffico in uscita dalla LAN ma non il traffico in ingresso:
Infine, è necessario scrivere un file overlay.conf per indicare a GNAP che dovrà usare due schede di rete, ed eseguire uno script per il firewall firehol all'avvio:
Generazione del file .iso, realizzazione del CD-R Il prossimo passo è l'uso dello script gnap_overlay per combinare la directory overlay myoverlay e lo GNAP core in modo da produrre un file myfirewall.iso contenente l'immagine del LiveCD per il sistema target. Questo lo si può fare con il comando:
L'immagine myfirewall.iso risultante deve essere masterizzata in un CD-R (o meglio, un CD-RW) usando il proprio strumento di masterizzazione preferito, per esempio:
Test del sistema GNAP risultante Una volta che il CD-R è pronto, inserirlo nel sistema target e usarlo per l'avvio. Per sistemi meno recenti non dovrebbero esserci problemi, GNAP dovrebbe avviarsi con successo su sistemi 486 con meno di 32Mb di RAM.
Durante l'avvio, sono visibili i messaggi specifici di GNAP, mentre gli initscript (script d'inizializzazione, presenti sul sistema target in /etc/init.d/overlay) si occupano dei file di overlay e processano le opzioni in overlay.conf. Se la configurazione non è corretta, è possibile variare il contenuto della directory myoverlay/, creare nuovamente l'immagine .iso, masterizzarla, quindi riavviare il sistema target con il nuovo LiveCD. 3. Ulteriori personalizzazioni Nella precedente sezione, è stato usata una singola sorgente overlay (la directory myoverlay/), rendendo difficile gestire più configurazioni diverse con caratteristiche comuni condivise. Lo script gnap_overlay accetta opzioni -o multiple, quindi si possono usare cartelle diverse e più file conflet per formare una singola configurazione:
Piuttosto che includere un file etc/overlay.conf in una delle sorgenti overlay, è possibile specificare il nome di un file da usare come overlay.conf nel proprio sistema GNAP, sfruttando l'opzione -c:
Per tenere traccia dei cambiamenti alla configurazione, è possibile usare direttamente CVS sulle cartelle overlay. Lo script gnap_overlay ignorerà automaticamente le directory di controllo di CVS e non le copierà sul sistema target. Due opzioni nel file overlay.conf controllano il timezone, ovvero il fuso orario (impostato in modo predefinito su UTC), e la keymap, ovvero la mappa dei caratteri (che assume in modo predefinito il layout di tastiera 'us'), usati sul sistema target:
È stata già discussa l'opzione NBCARDS in overlay.conf, la quale specifica quante schede di rete devono essere avviate, e si è parlato della necessità di fornire un file etc/conf.d/net nei propri overlay per fornire i dettagli della configurazione statica per la rete. Saranno ora discusse le altre opzioni e i file overlay tipici che possono essere usati per raffinare ulteriormente la configurazione di rete:
Firewall, controllo del traffico L'abilitazione dello script di firewall è controllata dall'opzione USE_FW=yes. Di base, GNAP utilizzerà Shorewall, un programma di supporto eccellente e completo per iptables. È possibile impostare l'opzione FW_TYPE=firehol per utilizzare Firehol, uno script semplice ma efficente. Se si decide di usare Shorewall, andrebbero sovrascritti i file nella directory etc/shorewall per personalizzarne il comportamento, in particolare di dovrebbe pensare di modificare i file interfaces, zones, policy e shorewall.conf . Se invece si decide di usare Firehol, deve essere personalizzato il file etc/firehol/firehol.conf. È possibile abilitare lo script di controllo del traffico usando l'opzione USE_TC=yes. In modalità predefinita, GNAP userà cbqinit, un semplice ma talvolta inefficiente programma di supporto al controllo del traffico. Piuttosto è possibile utilizzare htbinit, uno script più complesso ma anche più efficiente, impostando l'opzione TC_TYPE=htbinit. Se si utilizza cbqinit, devono essere sovrascritti i file nella directory etc/cbqinit per personalizzarne il comportamento, seguendo le istruzioni riportate da /usr/sbin/cbqinit. Se si decide invece di utilizzare htbinit, devono essere creati dei file in etc/htbinit seguendo le istruzioni riportate da /usr/sbin/htbinit. Gnap offre diversi servizi standard. Il primo è il server SSH Dropbear, che permette il controllo da remoto del sistema GNAP. Viene abilitato utilizzando l'opzione USE_SSH=yes. Le funzioni di Dropbear sono controllate attraverso il file etc/conf.d/dropbear. È consigliabile sovrascrivere le chiavi RSA/DSS fornite per il server in etc/dropbear (in modo che non vengano ricreate dopo ogni avvio). Un altro servizio è la cache DNS / il server DHCP DnsMasq, che mette a disposizione un risolutore DNS (per mappare nomi in indirizzi) e capacità di DHCP sulla LAN (per l'assegnamento automatico degli indirizzi agli host). È attivabile usando l'opzione USE_DNSDHCP=yes, e configurandolo attraverso il file etc/dnsmasq.conf. Un ulteriore servizio che GNAP mette a disposizione è la soluzione VPN OpenVPN. Questo altro non è che una soluzione per VPN semplice ma completa di ogni caratteristica che potrà aiutare nella realizzazione di un connessione sicura (detta bridge, o ponte) fra LAN attraverso reti insicure, non fidate. La si può abilitare usando l'opzione USE_VPN=yes, nel cui caso andrebbero sovrascritti i file nella directory etc/openvpn con la configurazione desiderata per OpenVPN. Infine, esiste la possibilità di definire servizi extra da utilizzare all'avvio di GNAP. Ci sono due modi per farlo: usando l'opzione START_SERVICES in overlay.conf o utilizzando il file etc/gnap/start_services:
GNAP opera più o meno come un'applicazione a scatola chiusa nella modalità predefinita. In ogni caso, potrebbe esserci la necessità di loggarsi al suo interno. Di norma, non sono definiti account utente, e l'account per l'amministratore (utente root) ha una password impossibile, il che rende impossibile loggarsi. Ci sono diversi modi per cambiare questo comportamento: È possibile impostare una password di root vuota, utile per esempio in configurazioni di test, sfruttando l'opzione EMPTY_ROOTPASS=yes. Il modo più sicuro per accedere all'interno di GNAP è quello di eseguire il server SSH Dropbear in modalità a chiave pubblica. Sarà necessario configurare Dropbear per disabilitare il login con password (in etc/conf.d/dropbear) e aggiungere la propria chiave pubblica al file root/.ssh/authorized_keys:
Se si vuole anche cambiare la password per gli utenti di sistema, lo si può fare sovrascrivendo un file etc/gnap/chpasswd contenente linee nome_utente:password_cifrata che verranno aggiunte con chpasswd -e durante l'avvio. Leggere man chpasswd per i dettagli sul formato di questo file. Supporto per il salvataggio dei cambiamenti alla configurazione durante una sessione dal vivo Un problema che potrebbe essere riscontrato con i sistemi GNAP usando configurazioni dinamiche (come quelle dei firewall) è che tutti i cambiamenti fatti durante una sessione dal vivo saranno persi al prossimo riavvio. Una possibile soluzione è quella di riportare tutti questi cambiamenti sulle directory di overlay del sistema host e assicurarsi di masterizzare un nuovo CD-R con la nuova configurazione prima del prossimo riavvio, ma non è molto pratico. Un'alternativa è l'uso di una partizione in lettura/scrittura e del sistema RW_SYNC per il backup dei cambiamenti così da poterli recuperare automaticamente da un dato account al prossimo riavvio. Per abilitare questo sistema, è necessario aggiungere l'opzione RW_SYNC al proprio file overlay.conf, così da farla puntare alla partizione r/w che si desidera utilizzare. GNAP supporta le partizioni FAT ed ext2:
Durante il primo avvio, quando l'opzione risulta attivata ma nessun file di backup è presente ancora sulla partizione puntata da RW_SYNC, l'utente riceverà il seguente errore durante l'inizializzazione del sistema target, messaggio che si può ignorare senza problemi:
Una volta che l'opzione RW_SYNC è abilitata, è possibile sfruttare lo script di supporto rw-sync.sh sul sistema GNAP target per specificare quali file salvare. C'è bisogno solamente di indicare i file una volta così che questi vengano aggiunti al file rw-sync.cfg per i backup successivi.
Adesso è possibile effettuare il backup dei file ogni volta dopo una modifica usando il comando seguente:
Per maggiori informazioni su rw-sync.sh, basta eseguirlo senza alcuna opzione in modo da visualizzare le istruzioni. Nel capitolo precedente, è stato usato GNAP per produrre un LiveCD avviabile con un sistema per dispositivi di rete su di esso. GNAP può anche essere usato per inizializzare un disco con un filesystem personalizzato per dispositivi di rete, pronto per essere montato su un sistema target e avviato. Questa modalità di utilizzo può essere sfruttata per inizializzare dischi rigidi che possono così essere montati su sistemi con basse prestazioni, ma sono particolarmente utili per piccoli dispositivi target come gli strumenti forniti da Soekris che possono essere avviati da una scheda CompactFlash, o altri sistemi embedded che verranno avviati da un bus IDE (Disk-On-Module, Disk-On-Chip...). Per questa modalità di utilizzo, è necessario eseguire gnap_overlay con i privilegi di root per poter così manipolare i dispositivi di memorizzazione a basso livello. È anche leggermente più complicato e pericoloso da utilizzare, quindi fare attenzione ed usare questo metodo a proprio rischio e pericolo. Precedentemente all'esecuzione di gnap_overlay per la prima volta su un componente, bisogna preparare il dispositivo target. Si dovrebbe collegare il disco rigido, la scheda CF (CompactFlash) o altri componenti che si desidera usare sul sistema host e determinare qual'è il nome dell'elemento montato (i log di sistema possono risultare utili in questo caso). Non c'è bisogno di montare i componenti. Negli esempi che seguono si suppone che il disco target risulti disponibile sul sistema host come /dev/sdb. Se non lo si ha ancora fatto, è necessario partizionare il dispositivo. La partizione dove GNAP installerà il filesystem dovrebbe essere marcata come "attiva" ed essere grande abbastanza da contenere GNAP stesso. In caso di dubbi, creare una singola partizione di 16Mb, e attivarla.
Il disco potrebbe anche avere un Master Boot Record (MBR) installato, che permetterà al sistema di avviarsi. Se non si è sicuri, è possibile installare un MBR utilizzando il seguente comando:
Utilizzo di gnap_overlay per la scrittura su disco In modalità disco, bisogna passare due opzioni a gnap_overlay. Una è il nome completo della partizione del disco target così come viene indicata sul sistema host (opzione -d), l'altra è lo short-name (identificativo) della partizione sul disco target così come viene indicata dal sistema target all'avvio (opzione -r). La distinzione risulta abbastanza importante, di seguito viene riportato un esempio. Supponiamo di voler installare un sistema GNAP su una scheda CF, così da usarla per avviare un dispositivo Soekris. Inserendola nel sistema host (quello su cui verrà eseguito gnap_overlay), sarà riconosciuta come /dev/sdb, per cui creareuna singola partizione su di essa, /dev/sdb1. Quindi nel caso di questo esempio, il nome completo della partizione sul disco target così come indicato sul sistema host è /dev/sdb1. D'altro canto, è risaputo, da test o specifiche, che il componente Soekris riconoscerà la scheda CF inserita al suo interno come /dev/hda. Quindi l'identificativo della partizione sul disco target così come indicato sul sistema target durante l'avvio è "hda1". Per inizializzare un disco con una configurazione GNAP, si deve semplicemente sostituire l'opzione -i (utilizzata per costruire un file iso per LiveCD) con le giuste opzioni -d e -r:
Due opzioni possono essere utili in caso di sistema target embedded (per sistemi embedded, o incapsulati, si indicano sistemi specifici inseriti ed integrati con il sistema che li ospita). Una è data dal parametro opzionale -m che può venire utilizzato per indicare a GNAP di riportare in memoria il filesystem una volta all'avvio per evitare accessi multipli in lettura che possono usurare il dispositivo (o renderlo troppo lento). L'altra consiste nel parametro -s che può essere utilizzato per indicare a GNAP di inviare la console alla porta seriale, con uno specifico baudrate. Risulta essere particolarmente utile per dispositivi con sola porta seriale come appunto i dispositivi Soekris.
Scrittura file immagine del disco Si potrebbe volere scrivere su un file immagine del disco piuttosto che lavorare direttamente su quest'ultimo. Ciò è reso possibile dall'opzione -l: questa permette di specificare il nome del file immagine del disco su cui scrivere. Le opzioni della modalità disco (ad eccezione dell'opzione -d) saranno applicate in modalità immagine.
Alternativamente si può chiedere a GNAP di creare un file immagine del disco usando l'opzione -L. Il file immagine ha dimensione predefinita pari a 15 Mb, ma si può specificarne una alternativa usando l'opzione -S:
Estensioni e nuova realizzazione si potrebbe volere aggiungere caratteristiche particolari al proprio sistema GNAP per dispositivi di rete. Il modo più semplice per farlo è l'uso delle estensioni, piccoli pacchetti software che aggiungono funzionalità ad un sistema GNAP. L'estensioni sono file compressi .tar.bz2 con nomi standardizzati. Vengono installati in /usr/lib/gnap/extensions e sono chiamati gnapext_[nome].tbz2. L'estensione boa, per esempio, è in realtà il file /usr/lib/gnap/extensions/gnapext_boa.tbz2. Il programma gnap_remaster combina un file contenente un filesystem GNAP di base, uno file GNAP core esistente e estensioni per creare un nuovo file GNAP core che contenga le estensioni scelte dall'utente. Quindi, sarà possibile usare il file GNAP core esteso ottenuto con gnap_overlay per creare sistemi specifici che facciano uso di funzionalità extra.
Installazione del pacchetto di estensione per GNAP Il pacchetto di estensione per GNAP, che installa il programma gnap_remaster, il file basefs di GNAP e le estensioni predefinite (tutto il necessario per lavorare con le estensioni), è disponibile attraverso Portage. Si raccomanda di installare la versione corrispondente alla propria versione del pacchetto GNAP.
Generazione di un file GNAP core con estensioni Si può invocare gnap_remaster con i nomi delle estensioni necessarie, da utente root. Questo porterà alla creazione di un file core rimaneggiato dal nome mynewcore.tar con in aggiunta le estensioni richieste:
Utilizzo di gnap_overlay su un file GNAP core specifico È facile fare in modo che gnap_overlay utilizzi il file core appena creato invece che quello predefinito. Basta usare l'opzione -g:
File specifici di GNAP da sovrascrivere sul sistema target Oltre al file etc/overlay.conf, GNAP usa diversi file aggiuntivi sul sistema target, di cui una lista è sotto riportata:
Opzioni di gnap_overlay e gnap_remaster Si prega di fare riferimento alla pagina di manuale per informazioni su tutte le opzioni disponibili con questi comandi:
I contenuti di questo documento sono rilasciati sotto la licenza Creative Commons - Attribution / Share Alike. |
|
