netustad - Kullanıcı El Kitabı Özkan KIRIK ozkan(at)enderunix(dot)org
netustad - Kullanıcı El Kitabı Özkan KIRIK Telif Hakkı 2004 Bu doküman kaynak belirtilmek şartı ile kopyalanabilir
İçindekiler 1. Giriş...1 2. Temel Bilgiler...2 2.1. Firewall Nedir?...2 2.1.1. Paket Filtreleme...2 2.1.2. Firewall Mimarileri ve Farkları...2 3. Kurulum...4 3.1. Linux üzerinde Kurulum...4 3.2. FreeBSD üzerinde Kurulum...4 4. Konfigürasyon...6 4.1. Konfigürasyon Parametreleri...6 4.2. SSL Sertifikaları...7 5. Kullanım...8 6. Sık Sorulan Sorular...9 iii
Bölüm 1. Giriş Bir DARPA projesi olarak geliştirilen, bugüne kadar insanoğlunun yarattığı en büyük oluşumlardan birisi olan Internet hakkında konuşulurken ilk akla gelen sorunlardan birisi şüphesiz güvenliktir. Hem zaman hem de para harcanarak oluşturulan ve çoğu kez paha biçilmez olarak da nitelendirilebilen bilgilere zarar gelmesi hem şirket hem de kişisel bazda büyük sorunlara yol açabilmektedir. İşte buradan yola çıkarak en güvenli işletim sistemlerinden birisi olan FreeBSD üzerinde başlatılan ve daha sonra Linux uyumluluğu sağlanan ağ üstadı netustad ın temelleri atıldı. netustad, Network yönetimini kolaylaştırmak, komutları kullanırken kullanıcıdan kaynaklanabilecek yazım hatalarını en aza indirgemek ve ağ servislerini bir arada yönetmek amacıyla geliştirilmiş ve geliştirilmeye devam eden bir yazılımdır. GPL lisanslı olan netustad, Linux ve FreeBSD platformlarında sağlıklı bir şekilde çalışmaktadır. netustad, kendi http servisini (deamon) içermekte ve bu servisin altyapısını sağlayan http sunucu tasarlanırken de tinyhttpd isimli, GPL lisanslı bir yazılım projesinden esinlenilmiştir. Yazılımın C ile geliştirilmesi, performans açısından avantaj sağlarken, ayrıştırıcı (parser) olarak kullanılan Awk ve Sed yazılımları dizi işleme özellikleri ile netustad ı güçlü bir yazılım haline getirmektedir. netustad, şu anki sürümünde, işletim sisteminin Güvenlik Duvarını (FireWall), Ağ Adres Dönüşüm (NAT - Network Address Translation) Tablolarını, Yönlendirme (Routing) Tablolarını, Ağ Arayüzlerini (Network Interface) yönetebiliyor. netustad, Linux ta iptables (netfilter), FreeBSD de ise IPFireWall güvenlik duvarlarının kurallarının eklenmesi, silinmesi, düzenlenmesi ve incelenmesi için özel bir arayüzle kullanıcıyı karşılamaktadır. Kullanıcı dostu bu özel arayüz, erişim hakkı tanıdığınız herhangi bir bilgisayardan, sadece bir web tarayıcı kullanarak FireWall/NAT/Routing tabloları ve Ağ Arayüzlerine erişebilme ve tamamını komut satırına ihtiyaç duymadan kolayca yönetilebilme şansını sunmaktadır. FreeBSD nin IPFireWall unun ilk görsel arayüzü olma ayrıcalığına sahip netustad başka bir özelliği olan çoklu dil desteği ile yerelleştirmelere açıktır. 1
Bölüm 2. Temel Bilgiler 2.1. Firewall Nedir? Firewall tek bilgisayarınıza veya yerel ağınıza internet ten veya diğer ağlardan erişimi kısıtlayıp bilgisayarınızın veya yerel ağınızın internet ten veya diğer ağlardan gelecek saldırılara karşı koruyan bir bilgisayar ve üzerindeki yazılıma verilen genel addır. Firewall İnternet ile Yerel ağınızın arasında bulunarak ağınıza giriş çıkışları kontrol eder. Firewall lar WAN (Wide area network) üzerinden LAN a (Local area network), Lan üzerinden Wan a veya birbirine bağladığı iki Lan arasındaki trafiği kontrol ederek istenmeyen protokol giriş çıkışlarını engeller. 2.1.1. Paket Filtreleme Paket filtreleme kernel(çekirdek) içerisine gömülmüş durumdadır ve TCP/IP protokolünün Network Layer(Ağ Katmanı) da çalışır. Bu sayede sadece firewall kurallarının izin verdiği paketlerin geçişine izin verilir. Paketler tipine, kaynak adresine(source address), hedef adresine (destination address) ve portlara göre filtrelenir. Paket aynı zamanda Router görevi yapan firewall makinesine geldiği zaman paketin başlık (header) kısmı açılır ve paket başlığındaki bilgilere göre pakete izin verilir veya engellenir. Paketin başlık kısmında aşağıdaki bilgiler bulunur: Kaynak (source) IP adresi Hedef (destination) IP adresi TCP/IP Kaynak Portu TCP/IP Hedef Portu ICMP Mesaj Türü Protokol Türü İki türlü Firewall dizaynı vardır. 1. İzin verilen tarik dışındaki tüm trafiği engellemek En iyi firewall dizayndır. Burada nelere izin verilip verilmediği bellidir. Dahiliniz dışında herhangi bir pakete izin verilmez. 2. Kapatılan trafik dıiındaki tüm trafiğe izin vermek Burada güvenlik açığı olabilecek uygulamaları tek tek kapatmak zorundasınız ve diğerlerine izin vermelisiniz. Bu durumda bazı gözden kaçırdığınız durumlar olabilir. Bu yüzden güvenlik açısından çok iyi bir yöntem değildir. 2.1.2. Firewall Mimarileri ve Farkları Günümüzde Firewall sistemleri genel olarak 2 ayrı yapı ile birbirlerinden ayrılmaktadırlar. Bu yapılar Firewall lara çeşitli artılar ve eksiler kazandırmaktadır. 2
2.1.2.1. Statik Paket Filtreleme Mimarisi Bölüm 2. Temel Bilgiler Bu mimari eskimiş olmasına rağmen halen Linux IPChains gibi bazı Firewall sistemlerinde kullanılmaktadır. Gelen ve giden paketleri sadece geldiği yer, erişmek istediği port numarası, protokolü gibi değerleri ile inceler ve bu değerlerden paketin erişimine izin olup olmadığının saptamasını yapar. Örneğin bir http isteği eline geldiğinde erişmek isteği portun 80, protokolün TCP ve geldiği yerin 1.2.3.4 IP si olduğunu görür ve içerideki sunucuya ulaşmasına izin verilmişse, bu paketin içerideki sunucuya gitmesine izin verir. Basit bir mimaridir. Günümüzde ticari Firewall sistemlerinde kullanılmamaktadır. En büyük zayıflığı paketleri ilk gönderen sistemi yani oturumu ilk başlatan sistemi saptayamıyor olmasıdır. Bu durum ciddi riskler oluşturmaktadır, kaynak portu taramaları ve bağlantıları bu risklere örnektir. Bir örnek ile incelemek gerekirse ağdaki bir çalışanın FTP portundan iletişim kurabilmesi için izin verilmiştir. Oturumun işleyişi ise önce çalışanın 21/TCP portunu hedef port olarak belirleyerek bir sisteme dosya isteği göndermesi ile başlar, hedef sistem, kaynağı portu 20/TCP olan paketler ile çalışana dosya transferi yapar. Böyle bir durumda saldırgan ağa kaynak portu 20/TCP olan bir paket gönderdiğinde Firewall sistemi bu paketi görecek ve içeriden bu pakete istek gelmeseydi bu paket gönderilmezdi mantığına dayanacak ve paketin içeriye girmesine izin verecektir. Firewall un paketin hedef portuna bakmaması sebebiyle saldırgan kaynak portu 20/TCP olan paketlerle içerideki herhangi bir sistemin örneğin 139/TCP portuna ulaşabilecektir. Böylece Firewall üzerindeki erişim kontrol listeleri etkisiz kalacaktır. Bu sebeple oturumun baştan sona takip edilmesi, kimin ne istediği ve kimin ne gönderdiği bir tabloda tutulacak ve karşılaştırılacak bir sistem yaratılmıştır; Dinamik paket filtreleme sistemi - Stateful inspection. 2.1.2.2. Dinamik Paket Filtreleme Mimarisi Dinamik paket filtreleme mimarisindeki Firewall larda yukarıdaki örnekte anlatıldığı gibi klasik paket filtrelemenin yanısıra oturumu takip etme özelliğide vardır. Checkpoint firmasının ürettiği bu teknoloji yine bu firmanın tescilli markası olan Stateful Inspection ismiyle anılmaktadır. Günümüz Firewall sistemleri genelde bu sistem ile çalışmaktadırlar. 3
Bölüm 3. Kurulum 3.1. Linux üzerinde Kurulum Lütfen netustad (http://www.enderunix.org/netustad) anasayfasından en son sürümünü indirin. İndirdiğiniz paketi; # tar zxvf netustad-0.3.0.tar.gz komutu ile açın. Kurulumda kullanacağımız configure komutu bu paketin birçok işletim sistemine göre ayarlamasını sağlayacaktır. Kullanımı ise şöyledir: #./configure...... # make...... # make install Eğer SSLsiz kurulum yapmak istiyorsanız,./configure aşamasını./configure --without-ssl şeklinde uygulayın. Yazılımı kaldırmak için ise, kurulum sırasında paketi açtığınız klasöre dönüp; # make uninstall komutunu vermeniz yeterli olacaktir. 3.2. FreeBSD üzerinde Kurulum FreeBSD üzerinde kurulum gerçekten çok zahmetsiz. Kurulum işlemine gedmeden önce yazılımın en güncel sürümünü indirebilmek için port larınızı güncellemeniz gerekmektedir. Bunun için /usr/share/examples/cvsup/ports-supfile dosyasını açıp su parametreleri aşağıdaki gibi değiştirin: *default host=cvsup.enderunix.org. *default base=/usr *default prefix=/usr *default release=cvs *default delete use-rel-suffix *default tag=. ports-all Bundan sonra vereceğimiz; # cvsup -g -L 2 /usr/local/share/examples/cvsup/ports-supfile 4
Bölüm 3. Kurulum komutu ile sisteminizdeki tüm portlar güncellenecektir. Güncellenmiş yazılımı yüklemek için port ağacınızın içinde /usr/ports/net-mgmt/netustad klasörüne girip; # make install clean komutu ile kolayca sisteminize kurabilirsiniz. Bunun yanında diğer bir yükleme sekli de pkg_add dir. # pkg_add -r netustad komutu size yazılımın en güncel sürümünü ve çalışması için gerekli olan diğer yazılımları da indirip kuracaktır. 5
Bölüm 4. Konfigürasyon 4.1. Konfigürasyon Parametreleri Yazılım kurulduktan sonra.conf dosyasını /usr/local/etc/netustad/netustad.conf adı ile yaratacak ve değerleri buradaki değişkenlere göre belirleyecektir. maillogfile Bu değişken netustad web konsoluna giriş ve çıkışların eklendiği günlüğün yerini belirlemektedir. Kurulum ile gelen değer /var/log/netustad.log tur. accesslogfile Bu parametre ise eklenen kuralların yazıldığı günlüğün bulunduğu yerin belirlenmesinde kullanılır. Standart olarak bu dosya /var/log/netustad-access.log dosyasıdır. adminuser Bu değişken yönetici ismini belirtir ve kurulumda admin olarak atanmıştır. adminpasswd Yönetici şifresini belirten parametredir ve standart admin olarak gelir. listenport Web sunucusuna bağlanılabilecek port numarasını belirtir. Kurulumda 54745 olarak ayarlanır. sesexpiretime Standart 600 olarak gelen bu değişken web sunucusuna bağlantı zaman aşımını belirtmektedir. lc_all netustad ın dili bu değişken tarafından belirlenir. Şu an için mevcut olan seçenekler tr_tr.iso8859-9 ve en_us.iso8859-1. key_file SSL Sertifikasını anahtar dosyasının tanımlandığı değişken. Standart olarak /usr/local/share/netustad/cert/netustad.key olarak tanımlıdır. cert_file 6
Bölüm 4. Konfigürasyon SSL Sertifikasının cert dosyasının tanımlandığı değişken. Standart olarak /usr/local/share/netustad/cert/netustad.crt olarak tanımlıdır. 4.2. SSL Sertifikaları netustad güvenlik konusunda çok titiz bir çalışma örneğidir. Bu yüzden ara yüze bağlanma konusunda yazılıma SSL sertifikası özelliği de eklenmiş durumdadır. Kurulumda standart olarak SSL destekli olarak gelen yazılımda yine kurulumda verilecek --without-ssl parametresi ile SSL sertifikası kullanımı kapatılır ve sadece http üzerinden çalışması sağlanır. netustad sizin kendi SSL sertifikalarınızı kullanmanıza da olanak vermektedir. Kendi sertifikanızı oluşturmak için: # openssl genrsa -out hostname.key 1024 # openssl req -new -key hostname.key -out hostname.csr komutlarını veriniz. Bundan sonra isterseniz herhangi yetkili bir CA şirketine bunu gönderip imzalamalarını isteyebilir, ki bunun için para ödemek zorundasınız, veya aşağıdaki şekilde kendiniz imzalayabilirsiniz: # openssl x509 -req -days 710 -in hostname.csr -signkey hostname.key -out hostname.crt Bu dosyayı yarattıktan sonra kendi sertifikanızı /usr/local/etc/netustad/netustad.conf dosyasının içinde bulunan key_file= cert_file= parametrelerine kendi anahtar sertifika dosylarınızın yerini yazarak kullanabilirsiniz. SSL güvencesiyle netustad arayüzüne ulaşabilirsiniz. 7
Bölüm 5. Kullanım netustad kurulumu ve konfigürasyonu yanında kullanım olarak ta çok kolay şekilde tasarlanmıştır. Sisteminizde, ki bu Linux - FreeBSD ayrımı olmaksızın aynidir, netustad in çalıştırılması: # netustadctl start komutu ile gerçekleştirilmektedir. Bu kullanım standart olarak gelen netustad.conf dosyasını kullanacak ve ara yüzü başlatacaktır. Eğer netustad kurulumu ile gelen konfigürasyon dosyası dışında başka bir dosya belirtmek isterseniz: # netustadctl -c conf_dosyasi komutu ile kolayca gerçekleştirebilirsiniz. netustad in sistem açılırken çalışmaya başlaması için /etc/rc.conf dosyasına: netustad_enable="yes" parametresini ekleyin. netustad başlatıldıktan sonra web ara yüzünü, aksi belirtilmemiş ise, 54745 port üzerinden başlatacak ve kullanımınıza sunacaktır. Burada dikkat edilmesi gerek husus eğer kurulumda --without-ssl parametresi belirtilmiş ise http, belirtilmemiş ise standart olarak https kullanılması gerektiğidir. netustad in başlatılması, kapatılması ve tekrar başlatılması görevlerini netustadctl komutu sizin için gerçekleştirecektir. Komut netustadctl stop netustadctl start netustadctl reload netustadctl restart netustadctl status Açıklama netustad ı kapat netustad ı başlat işlem kapanmadan sadece konfigürasyonu baştan oku çalışan işlem tamamen kapatılır, tekrar başlatılır. netustad ın çalışıp çalışmadığı kontrol edilir. 8
Bölüm 6. Sık Sorulan Sorular 1. netustad ı çalıştırdım ama, nasıl bağlanacağım? Kullandığınız web tarayıcısını açıp https://sunucu:54745/ adresine girdiğinizde netustad arayüzüne ulaşabilirsiniz. 2. netustad ın yönetici parolasını nasıl değiştirebilirim? netustad yönetici şifresi netustadpasswd komutu ile değiştirilebilir. # netustadpasswd /usr/local/etc/netustad/netustad.conf şifreniz anahtar Buradaki anahtar, şifrenizin şifrelenmesi için kullanılacaktır. Uzunluğu 2-8 karakter arasında olmalıdır. 3. netustad a bağlanırken, Sayfa Görüntülenemiyor uyarısı geliyor, ama netustad çalışıor. Sorunu nasıl aşabilirim? Bu sorun bazı web tarayıcılarının adres satırını düzenlerken yaptıkları hatadan dolayı ortaya çıkmaktadır. Bu hatayı muhtemelen eğer adres satırına sunucu:54745 yazdıktan sonra almış bulunuyorsunuz. Bunun yerine eğer kurulumda --without-ssl parametresi belirtilmiş ise http://sunucu:54745/ veya doğrudan yüklendi ise, https://sunucu:54745/ değerini kullanarak netustad ara yüzüne ulaşabilirsiniz. 4. netustad a bağlanıyorum, ancak boş sayfa geliyor. Sorun nerede? Sorun muhtemelen yükleme sırasında meydana gelen bir hatadan dolayı dosyaların /usr/local/share/netustad/ klasörüne tamamen kopyalanamamasından kaynaklanmakta. netustad i tekrar yükleyip deneyiniz. 5. netustad ara yüzü açılıyor fakat giriş yapamıyorum, hep aynı giriş ekranı geliyor. Sorun nedir? Bu sorun web tarayıcınızın JavaScript desteğinin kapalı olması yüzünden meydana gelmektedir. Lütfen tarayıcınızın JavaScript desteğini açıp tekrar deneyiniz. 9