Microsoft PowerPoint _L2セミナー資料(SkillBrain).ppt [互換モード]

Size: px

Start display at page:

Download "Microsoft PowerPoint _L2セミナー資料(SkillBrain).ppt [互換モード]"

としみかんざとばる
4 years ago
Views:

スキルブレイン株式会社 LPI-Japan 主催 LPIC レベル 2 技術解説無料セミナー LPI-Japan

4 LPIC レベル 2 とは想定されるスキルアドバンストレベルLinux 専門家を認定次のような小規模の混在 (MS Linux) ネットワークの計画実装保守一貫性の維持セキュリティ設定トラブルシューティングを行う -LANサーバ (Samba) - インターネットゲートウェイ ( ファイアウォールプロキシメールニュース ) - インターネットサーバ (Webサーバ FTPサーバ ) サーバー構築運用システム管理などのスキルを想定 LPI-Japan All rights reserved. 4

6 201 試験主題 201:Linuxカーネル主題 202: システムの起動主題 203: ファイルシステムとデバイス主題 204: 高度なストレージ管理主題 205: ネットワーク構成主題 206: システムの保守主題 207: ドメインネームサーバ特定のサービスではなくシステム管理系の内容が中心例外 >DNS Lv1 試験と関連する部分も多い LPI-Japan All rights reserved. 6

12 例 >raiserfs を利用する 1. 必要なパッケージをインストール yum install gcc kernel-devel kernel-headers ncurses-devel 2. カーネルソースを入手 cd /usr/src/kernel wget tar xjvf linux tar.bz2 3. カーネルのカスタマイズ raiserfsを利用できるように設定 make menuconfig 4. コンパイル make 5. カーネルモジュールのインストール make modules_install 6. カーネルのインストール make install installkernel arch/x86/boot/bzimage System.map LPI-Japan All rights reserved. 12

13 カーネルパラメータカーネルの動作をチューニング例 >ブロードキャストICMPエコー要求を無視 echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts 設定方法 /proc/sys/ 以下のファイルを編集 sysctlコマンド sysctl w net.ipv4.icmp_echo_ignore_broadcasts=1 /etc/sysctl.conf LPI-Japan All rights reserved. 13

16 サービスの制御現状のサービスを制御 /etc/init.d/ - /etc/init.d/httpd start start: サービスの開始 stop: サービスの停止 status: サービスの状態を確認 restart: サービスの再起動次回起動時のサービスを制御 chkconfig (CentOS) - chkconfig httpd on update-rc.d, sysv-rc-conf (Debian) insserv (OpenSUSE) LPI-Japan All rights reserved. 16

18 ファイルシステム 101 試験と重複する部分が多い重複しない部分スワップ領域 - swapon - mkswap CD-ROMイメージ - mkisofs UUID - /dev/disk/by-uuid/ start: サービスの開始 stop: サービスの停止 status: サービスの状態を確認 restart: サービスの再起動 LPI-Japan All rights reserved. 18

19 オートマウント指定したディレクトリにアクセス自動的にマウント設定ファイル /etc/auto.master マップファイル /misc/cd/ /etc/auto.master /misc /etc/auto.misc /etc/auto.misc cd -fstype=iso9660,ro,nosuid,nodev :/dev/cdrom LPI-Japan All rights reserved. 19

22 LVM の構成 ~]# pvcreate /dev/sdb2 /dev/sdc1 ~]# vgcreate vg01 /dev/sdb2 /dev/sdc1 ~]# lvcreate -L 12GB -n lv01 vg01 ~]# mkfs -t ext3 /dev/vg01/lv01 ~]# mkdir /lvmdir ~]# mount -t ext3 /dev/vg01/lv01 /lvmdir /dev/sdb2 と /dev/sdc1 を用い /dev/vg01/lv01 という領域を作成 LVM 情報の表示全体を表示各ボリュームを表示 PV pvscan pvdisplay /dev/sdb2 VG vgscan vgdisplay vg01 LV lvscan lvdisplay /dev/vg01/lv01 LPI-Japan All rights reserved. 22

24 RAID の構成 ~]# mdadm -C /dev/md0 --level=1 --raid-devices=2 /dev/sdb3 /dev/sdc2 mdadm: array /dev/md0 started. ~]# cat /proc/mdstat Personalities : [raid1] md0 : active raid1 sdc2[1] sdb3[0] blocks [2/2] [UU] /dev/sdb3 と /dev/sdc2 という 2 つのデバイスを用い RAID1 を構成 unused devices: <none> [root@centos ~]# mdadm --query /dev/md0 /dev/md0: 3.73GiB raid1 2 devices, 0 spares. Use mdadm --detail for more detail. /dev/md0: No md super block found, not an md component. LPI-Japan All rights reserved. 24

25 パーティションタイプの設定 ~]# fdisk /dev/hdd コマンド (m でヘルプ ): t 8e : LVM fd : RAID 領域番号 (1-4): 1 16 進数コード (L コマンドでコードリスト表示 ): fd 領域のシステムタイプを 1 から fd (Linux raid 自動検出 ) に変更しましたコマンド (m でヘルプ ): p Disk /dev/hdd: 10.7 GB, bytes 16 heads, 63 sectors/track, cylinders Units = シリンダ数 of 1008 * 512 = bytes デバイス Boot Start End Blocks Id System /dev/hdd fd Linux raid 自動検出 /dev/hdd Linux LPI-Japan All rights reserved. 25

27 ネットワーク構成 102 試験と重複する部分が多い重複しない部分 tcpdump 無線 LAN - iwconfig ユーザーへの通知 - /etc/motd, /etc/issue CentOS release 5.2 (Final) Kernel el5 on an i686 host login: root Password: Last login: Wed Nov 30 03:07: from System maintenance: 1/6 22:00 LPI-Japan All rights reserved. 27

28 tcpdump の実行例 (1) ~]# tcpdump icmp tcpdump: verbose output suppressed, use -v or -vv for full protocol decode listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes 01:50: IP > : ICMP echo request, id 1, seq 1, length 40 01:50: IP > : ICMP echo reply, id 1, seq 1, length 40 01:50: IP > : ICMP echo request, id 1, seq 2, length から宛にpingを実行して 01:50: IP いる > : ICMP echo reply, id 1, seq 2, length 40 echo requestを行い echo replyが返ってくる LPI-Japan All rights reserved. 28

29 tcpdump の実行例 (2) ~]# tcpdump port 80 tcpdump: verbose output suppressed, use -v or -vv for full protocol decode listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes 01:52: IP > http: S : (0) win 8192 <mss 1460,nop,wscale 2,nop,nop,sackOK> 01:52: IP http > : R 0:0(0) ack win から宛に http ポート (80 番ポート ) 宛の接続を行っている IP アドレスの後ろの数値は通信ポート / プロトコル名 LPI-Japan All rights reserved. 29

BIND の設定ファイル / ( ルート ) /etc/ 管理するゾーン BIND の基本設定などを記述例 >lpi.or.jp というゾーンを管理 /etc/named.

36 named.conf namedの基本設定と管理するゾーンを記述設定例 options { directory "/var/named"; }; zone "example.net" { type master; file "example.net.zone"; }; ゾーンファイルの保存場所 /var/named/example.net.zone bind-chroot がインストールされていると /var/named/chroot ディレクトリ以下 /var/named/chroot/var/named/~.zone LPI-Japan All rights reserved. 36

37 ゾーンファイル設定例 $TTL IN SOA host.example.net. root.example.net. ( 基本的な構成名前 IN レコードの種類値 ) IN NS host.example.net. IN MX 10 host.example.net. はゾーン名を表す名前が空欄の場合上位のレコードの情報を参照ホスト名の記述後ろに. をつけない場合ゾーン名が補完される host IN A www IN CNAME host.example.net. MX レコードの記述レコードの種類の右側にプレフィックス値を記述値の低いサーバを優先して参照 LPI-Japan All rights reserved. 37

38 ゾーン転送設定例マスターサーバーの named.conf options { allow-transfer { ; }; }; zone "example.net" { type master; file "example.net.zone"; }; スレーブサーバーの named.conf zone "example.net" { type slave; file "slaves/example.net.zone"; masters { ; }; }; スレーブサーバーマスターサーバー更新チェックゾーンファイル serial 12 ゾーンファイル serial 12 ゾーン転送 LPI-Japan All rights reserved. 38

39 TSIG dnssec-keygenで鍵を生成 dnssec-keygen -a HMAC-MD5 -b 512 -n HOST example.net 生成した鍵によりスレーブサーバーを認証設定例マスターサーバーの named.conf key "example.net" { algorithm hmac-md5; secret "n2w xgujhugdacyg=="; ]; options { allow-transfer { key example.net; }; }; zone "example.net" { type master; file "example.net.zone"; }; スレーブサーバーの named.conf key "example.net" { algorithm hmac-md5; secret "n2w xgujhugdacyg=="; ]; server { keys "example.net"; ]; zone "example.net" { type slave; file "example.net.zone"; masters { ; }; }; LPI-Japan All rights reserved. 39

Apache httpd 広く使われているWebサーバーアプリ設定ファイル httpd.conf ディレクティブ名値という形で設定 www.

44 ディレクトリごとの設定情報.htaccessというファイルに設定を記述しディレクトリごと設定を上書きすることができる設定可能な範囲はAllowOverrideで許可されている範囲 httpd.conf <Directory /home/*/public_html/> AllowOverride AuthConfig Indexes </Directory> ~/public_html/ AccessFileName.htaccess.htaccess DirectoryIndex index.html index.htm LPI-Japan All rights reserved. 44

squid Webプロキシキャッシュサーバー http_accessディレクティブで許可されていないと接続できない acl ディレクティブで接続元アドレスなどを指定

48 Samba の接続例接続時にユーザー認証 pdbeditでユーザー登録対応する UNIX ユーザーも必要 samba.conf sambasv share [share] path = /share write list = user01 sambasv user01 /share passdb /etc/passwd pdbedit a user01 user01 user01 LPI-Japan All rights reserved. 48

50 NFS の接続例認証はホストベースユーザー認証は行わない接続元ホストでログインしているUIDを参照しアクセス制御 /etc/exports user01 mount t nfs nfssv:/share /nfsdir /share nfsclient(rw) nfsclient nfssv /share /etc/passwd user01 LPI-Japan All rights reserved. 50

52 DHCP 設定ファイル :/etc/dhcpd.conf ddns-update-style interim; ignore client-updates; subnet netmask { option routers ; option subnet-mask ; option domain-name "domain.org"; option domain-name-servers ; } range dynamic-bootp ; default-lease-time 21600; max-lease-time 43200; LPI-Japan All rights reserved. 52

PAM 認証機能を提供 /etc/pam.d/ ディレクトリに各種アプリ用の設定ファイルが用意されている書式モジュールタイプコントロールモジュールのパスコントロール sufficient モジュールの実行に成功するとその時点で認証成功 required 同じモジュールタイプのエントリすべてが成功すると認証成功 /etc/pam.

53 PAM 認証機能を提供 /etc/pam.d/ ディレクトリに各種アプリ用の設定ファイルが用意されている書式モジュールタイプコントロールモジュールのパスコントロール sufficient モジュールの実行に成功するとその時点で認証成功 required 同じモジュールタイプのエントリすべてが成功すると認証成功 /etc/pam.d/su su user01 root 認証成功 auth sufficient pam_rootok.so #auth sufficient pam_wheel.so trust use_uid #auth required pam_wheel.so use_uid auth include system-auth LPI-Japan All rights reserved. 53

54 LDAP 標準仕様のディレクトリサービス 301 試験で詳しく出題 202 試験では基本が出題クライアントコマンド - ldapadd, ldapsearch, ldapdelete 設定ファイル : /etc/openldap/slapd.conf slapd ldap DB ssh user01@remote sshd 認証成功 sshd LPI-Japan All rights reserved. 54

メールシステム MTA (Mail Transfer Agent) : メールの転送 Sendmail, Postfix, qmail MDA (Mail Delivery Agent) : メールの配信 Procmail MUA (Mail User Agent) : メールクライアント mailコマンド MRA( Mail

56 メールシステム MTA (Mail Transfer Agent) : メールの転送 Sendmail, Postfix, qmail MDA (Mail Delivery Agent) : メールの配信 Procmail MUA (Mail User Agent) : メールクライアント mailコマンド MRA( Mail Retrieval Agent ) : メール受信サービス dovecot, courrier IMAP MTA MTA MDA user のメールボックス user@lpi.or.jp lpi.or.jp のメールサーバー MRA MUA MUA LPI-Japan All rights reserved. 56

57 postfix sendmailとの互換性と意識しながら sendmail, qmailの長所を採用して作られたMTA 主な設定ファイル /etc/postfix/main.cf /etc/postfix/master.cf 関連ディレクトリメールスプール - /var/spool/mail/ ( メールボックス形式 1ユーザーにつき1ファイル ) - ~/Maildir/ ( メールディレクトリ形式 1 通につき 1 ファイル ) メールキュー - /var/spool/mqueue/ (sendmail) - /var/spool/postfix/ (postfix) LPI-Japan All rights reserved. 57

58 postfix main.cf の設定例 myhostname = host.example.net ホスト名 mydomain = example.net ドメイン名 myorigin = 以降に補完する名前 inet_interfaces = all 接続を待ち受けるインターフェース mydestination = $myhostname, localhost.$mydomain, localhost, $mydomain 宛先として使用できる名前 mynetwork = /24, /8 メールを中継するクライアント home_mailbox = Maildir/ メールディレクトリ形式の配送先 mailbox_command = /usr/bin/procmail メール配送時の処理 LPI-Japan All rights reserved. 58

59 Procmail 定義したレシピに従いメール配送を行うMDA レシピファイル ~/.procmailrc /etc/procmailrc 記述例 PATH=/bin:/usr/bin:/usr/sbin MAILDIR=$HOME/Maildir/ LOGFILE=$HOME/.procmaillog DEFAULT=$MAILDIR :0 * ^Subject:.*SPAM.* /dev/null レシピの記述ルール :0 フラグ * 条件アクション LPI-Japan All rights reserved. 59

62 ssh 認証 ( 公開鍵認証 ) [root@localhost ~]# ssh-keygen -t dsa [root@localhost ~]# scp.ssh/id_dsa.pub remotehost:/root [root@remotehost ~]# cat id_dsa.pub >>.ssh/authorized_keys [root@localhost ~]# ssh remotehost [root@remotehost ~]# ssh-agent 秘密鍵利用時のパスフレーズを保存 [root@remotehost ~]# vi /etc/ssh/sshd_config PasswordAuthentication no sshd localhost remotehost 公開鍵秘密鍵 LPI-Japan All rights reserved. 62

セキュリティ業務 Snort Tripwire OpenVAS IDS( 侵入検知システム )

ファイルシステムを監視し意図しない変更があった場合通知セキュリティスキャナ脆弱性を検知

65 トラブルシューティングこれまで学習してきたコマンド設定ファイル絡みでトラブルシュートに関わるものを総動員する 201 試験主題 201( カーネルパラメータ ) 主題 202( ブートローダ ) など新しく出題範囲となっているもの strace, ltrace システムコールライブラリコールをトレース /etc/login.defs パスワードの期限などユーザー登録時に参照する既定値を設定 LPI-Japan All rights reserved. 65

参考資料 Linux 教科書 LPIC レベル 2 第 3 版リナックスアカデミー中島能和 ( 著 ), 濱野賢一朗 ( 監修 )

978-4798119304 徹底攻略 LPI 問題集 Level2/Release2 対応中島能和 ( 著 ), ソキウスジャパン (

/ ISBN-13: 978-4844327325 Linux サーバセキュリティ Michael D.

ISBN4-87311-149-8 Linux クックブック Linux を 120% 使いこなすレシピ集 Carla Schroder 著

66 参考資料 Linux 教科書 LPIC レベル 2 第 3 版リナックスアカデミー中島能和 ( 著 ), 濱野賢一朗 ( 監修 ) 2009/5/19 発行出版社 : 翔泳社 576 ページ定価 3,990 円 ISBN-10: X / ISBN-13: 徹底攻略 LPI 問題集 Level2/Release2 対応中島能和 ( 著 ), ソキウスジャパン ( 編集 ) 2009/7/24 発行出版社 : インプレスジャパン 288 ページ定価 3,360 円 ISBN-10: / ISBN-13: Linux サーバセキュリティ Michael D. Bauer 著豊福剛訳 2003/10 発行出版社 : O'Reilly Japan 464 ページ定価 4,620 円 ISBN Linux クックブック Linux を 120% 使いこなすレシピ集 Carla Schroder 著林秀幸訳 2005/10 発行出版社 : O'Reilly Japan 444 ページ定価 3,780 円 ISBN LPI-Japan All rights reserved. 66

ISBN4-87311-080-7 DNS & BIND クックブックネームサーバ管理者のためのレシピ集

256 ページ定価 2,730 円 ISBN4-87311-125-0 Samba のすべて (The Samba

4798108545 / ISBN-13: 978-4798108544 Linux サーバー構築標準教科書

67 参考資料ネットワークトラブルシューティングツール Joseph D. Sloan 著鷺谷好輝訳 2002 年 04 月発行 384 ページ定価 4,095 円 ISBN DNS & BIND クックブックネームサーバ管理者のためのレシピ集 Cricket Liu 著伊藤高一監訳田淵貴昭訳 2003/04 発行出版社 : O'Reilly Japan 256 ページ定価 2,730 円 ISBN Samba のすべて (The Samba Book) 著高橋基信 2005/6/30 発行出版社 : 翔泳社定価 4,179 円 ISBN-10: / ISBN-13: Linux サーバー構築標準教科書 (Ver1.0.2) 詳しくは下記 URL で発行 : エルピーアイジャパン LPI-Japan All rights reserved. 67

Microsoft PowerPoint _L2セミナー資料.ppt [互換モード]

Microsoft PowerPoint _L2セミナー資料.ppt [互換モード] スキルブレイン株式会社 LPI-Japan 主催 LPICレベル2 技術解説無料セミナー LPI-Japan アカデミック認定校スキルブレイン株式会社インストラクター河原木忠司 LPI-Japan 2012. All rights reserved. Agenda セミナー試験概要 ver.3.5 の試験範囲 201 試験のポイント 202 試験のポイント LPI-Japan 2012. All