| # ### end init firewall .. Start DMZ stuff #### # forward traffic between DMZ and LAN iptables -A FORWARD -i eth0 -o eth2 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT iptables -A FORWARD -i eth2 -o eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT # forward traffic between DMZ and WAN servers SMTP, Mail etc iptables -A FORWARD -i eth2 -o eth1 -m state --state ESTABLISHED,RELATED -j ACCEPT iptables -A FORWARD -i eth1 -o eth2 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT # Route incoming SMTP (port 25 ) traffic to DMZ server 192.168.2.2 iptables -t nat -A PREROUTING -p tcp -i eth1 -d 202.54.1.1 --dport 25 -j DNAT --to-destination 192.168.2.2 # Route incoming HTTP (port 80 ) traffic to DMZ server load balancer IP 192.168.2.3 iptables -t nat -A PREROUTING -p tcp -i eth1 -d 202.54.1.1 --dport 80 -j DNAT --to-destination 192.168.2.3 # Route incoming HTTPS (port 443 ) traffic to DMZ server reverse load balancer IP 192.168.2.4 iptables -t nat -A PREROUTING -p tcp -i eth1 -d 202.54.1.1 --dport 443 -j DNAT --to-destination 192.168.2.4 ### End DMZ .. Add other rules ### |
| powercfg /hibernate on |
| powercfg /hibernate off |
อ้างอิง: http://www.howtogeek.com/howto/windows-vista/re-enable-hibernate-option-in-windows-vista/
เริ่มติดตั้ง rsyslog ที่เครื่อง Authen-gateway
| #apt-get install rsyslog |
ปรับแต่งค่าconfig
| # nano/etc/rsyslog.conf |
*.*;auth,authpriv.none -/var/log/syslog แก้ไขให้เป็นตามนี้
*.*;auth,authpriv.none -/var/log/messages
ปิดการทำงานของ syslogd เพราะ rsyslog กับ syslog ทำงานที่ portเดียวกันต้องเลือกเอาว่าจะใช้อันไหน
| #cd /etc/rc2.d #mv S10sysklogd _s10sysklogd |
แก้ไขไฟล์ /etc/logrotate.d/rsyslog เพื่อ บีบอัดไพล์ log ให้มีขนาดเล็ก และแยกไพล์ log แยกเป็นวัน
| #nano /etc/logrotate.d/rsyslog |
/var/log/messages // log file ที่ต้องการ rotate
{
compress // บีบอัด log ที่ rotate
rotate 90 // rotate log ไว้ 90 วัน
daily // rotate log แยกเป็นรายวัน
missingok
notifempty
delaycompress
sharedscripts
postrotate
invoke-rc.d rsyslog reload > /dev/null
endscript
}
สั่งให้ Squid และ Freeradius ส่ง ส่ง Log มาที่ rsyslog โดยสร้างไพล์ชื่อ rc.capture
| #nano /etc/init.d/rc.capture |
โดยข้างในใส่ command ตามนี้
#!/bin/bash
tail -F /var/log/squid/access.log logger -t squid -p local3.info &
tail -F /var/log/freeradius/radacct/127.0.0.1/details logger -t radiusd -p local3.info &
ถ้าใช้ freeradius 2.0 ต้องไปแก้ไขไพล์นี้
| #nano /etc/freeradius/modules/detail |
#detailfile = ${radacctdir}/%{Client-IP-Address}/detail-%Y%m%d แก้ไขให้เป็นแบบบรรทัดล่าง detailfile = ${radacctdir}/%{Client-IP-Address}/details
สั่งให้รันทุกครั้งเมื่อเปิดเครื่อง
| #chmod a+x /etc/init.d/rc.capture #ln -s /etc/init.d/rc.capture /etc/rcS.d/S88rccapture |
แก้ไขไพล์ config เพื่อส่งข้อมูลไปที่ Centralize-log Server
| # nano/etc/rsyslog.conf |
เพิ่มเข้าไปบรรทัดสุดท้าย เพื่อส่งข้อไปที่ centralize-log Server แบบTCP port 1468
*.* @@192.168.0.2:1648 สมมุติว่าเป็น ip 192.168.0.2
เพิ่มกฏเข้าไปใน iptables เพื่อส่งข้อมูลมาที่ rsyslog โดยที่ผมเข้าไปเพิ่มที่ /etc/chilli/up.sh แล้วเพิ่มต่อบรรทัดสุดท้าย
$IPTABLES -t nat -I POSTROUTING -o $EXTIF -j LOG
การนำ Stunnel มาใช้ร่วมกับ rsyslog
วิธีการติดตั้ง แบ่งออกเป็น 2 ส่วนคือ
1. ติดตั้งที่เครื่อง Centralize-log Server
2. ติดตั้งที่เครื่อง Client หรือ เครื่องที่ forward log ไปให้ Centralize-log Server
เริ่มจากเครื่อง Client ก่อน
| #apt-get install openssl stunnel |
สร้างคอนฟิกไฟล์สำหรับ stunnel
| #nano /etc/stunnel/syslog-client.conf |
พิมพ์ตามนี้เลย
debug = 7
client = yes
[rsyslogd]
accept = 127.0.0.1:61514
connect = [ip ของ centralize log server]:60514
แก้ไขไฟล์ /etc/default/stunnel4
| #nano /etc/default/stunnel4 |
แก้ไข
ENABLED=1
FILES="/etc/stunnel/syslog-client.conf"
เริ่มโพรเซส stunnel
| #/etc/init.d/stunnel4 start |
ทดสอบ
| #netstat -an grep 61514 |
แก้ไขไฟล์ /etc/rsyslog.conf
| #nano /etc/rsyslog.conf |
เพิ่มบรรทัด
*.* @@127.0.0.1:61514
สั่ง restart service rsyslog
| #/etc/init.d/rsyslog restart |
ติดตั้งที่ Centralize-Log server
ติดตั้ง openssl และ stunnel
| #apt-get install openssl stunnel |
• สร้าง certificat
#cd /etc/stunnel |
• สร้างคอนฟิกไฟล์สำหรับ stunnel
| #nano /etc/stunnel/syslog-server.conf |
พิมพ์
cert = /etc/stunnel/stunnel.pem
debug = 7
[rsyslogd]
accept = 60514
connect = 61514
แก้ไฟล์ /etc/default/stunnel4
แก้ไข
ENABLED=1
FILES="/etc/stunnel/syslog-server.conf"
• เริ่มโพรเซส stunnel
| #/etc/init.d/stunnel4 start |
• เริ่ม rsyslog
| #/etc/init.d/rsyslog restart |
•ทดสอบ
| #netstat -an grep 514 |
tcp 0 0 0.0.0.0:60514 0.0.0.0:* LISTEN
tcp 0 0 0.0.0.0:61514 0.0.0.0:* LISTEN
$IPTABLES -A INPUT -p tcp -m tcp --dport 60514 -j ACCEPT
ที่มา: http://log.cm.edu/workshop.pdf
http://www.thaicert.org/paper/encryption/stunnel.php
http://www.rsyslog.com/doc-install.html
ข้อ ๙ เพื่อให้ข้อมูลจราจรถูกต้อง และนำมาใช้ประโยชน์ได้จริงผู้ให้บริการ ต้องตั้งนาฬิกาของอุปกรณ์บริการทุกชนิดให้ตรงกับเวลาอ้างอิงสากล (Stratum 0) โดยผิดพลาด ไม่เกิน ๑๐ มิลลิวินาที
Requiement:
Ubuntu 9.0.4 + LAMP server
Coova-Chilli 1.0.13
Freeradius 2.0
Step 1. ติดตั้ง Squid
apt-get install squid ติดตั้ง Squid ก่อนเลย
nano /etc/squid/squid.conf
# http_port 3128 comment
acl chillispot src 192.168.0.0/255.255.255.0
http_port 192.168.0.1:3128 transparent
http_access allow chillispot
บรรทัดล่างสุดเพิ่มข้อความ
visible_hostname administrator-desktop
คำอธิบาย
# http_port 3128 เป็นการยกเลิกการทำงานของโปรแกรมแบบไม่ทำ transparent
visible_hostname ต้องกำหนดชื่อเครื่องให้กับระบบหากไม่ใส่จะทำให้ไมสามารถสตาร์ตเซอร์วิสได้
acl chillispot src เป็นการกำหนดค่าเน็ตเวร์คของเครื่องขายคอมพิวเตอร์ที่จะอนุญาตให้ใช้งานผ่านโปรแกรม squid
http_port x.x.x.x.3128 transparent เป็นการกำหนดให้พอร์ต 3128 เป็น transparent proxy
http_access allow กำหนดค่า access control ให้เน็ตเวร์ควง chillispot สามารถใชงานผ่าน transparent proxy squid ได้
/etc/init.d/squid start สั่งให้โปรแกรม squid ทำงาน
netstat -lnt ตรวจสอบเซอร์วิสของ squid ว่าทำงานหรือไม่
Step 2. แก้ไข Firewall ชอง Coova เพื่อให้สามารถทำ Transparent proxy ได้
nano /etc/chilli/up.sh เรียกไพล์มาเพิ่มเติมกฎ ตามข้างล่างนี้
------------------------------------------
# may not have been populated the first time; run again
[ -e "/var/run/chilli.iptables" ] && sh /var/run/chilli.iptables 2>/dev/null
# force-add the final rule necessary to fix routing tables
iptables -A POSTROUTING -t nat -o $HS_WANIF -j MASQUERADE
iptables -P INPUT DROP
iptables -I INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -I INPUT -p icmp --icmp-type 8 -s 0/0 -d 192.168.0.1 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
iptables -I OUTPUT -p icmp --icmp-type 0 -s 192.168.0.1 -d 0/0 -m state --state ESTABLISHED,RELATED -j ACCEPT
#SSH Accept from tun0
iptables -I INPUT -i tun0 -p tcp -m tcp --dport 22 --dst 192.168.0.1 -j ACCEPT
iptables -I INPUT -i eth0 -s 10.10.10.3 -p tcp -m tcp --dport 22 --dst 10.10.10.4 -j ACCEPT
iptables -I INPUT -p udp -s 0/0 --sport 1024:65535 -d 192.168.0.1 --dport 53 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -I INPUT -p udp -i tun0 -d 192.168.0.1 --dport 161 -j ACCEPT
iptables -t nat -I PREROUTING -i tun0 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
iptables -I INPUT -i tun0 -p tcp -m tcp --dport 3128 --syn -j ACCEPT
iptables -t nat -I PREROUTING -p tcp -m tcp --dport 3128 -j DROP
iptables -t nat -I PREROUTING -p tcp -m tcp --dport 8080 -j DROP
iptables -t nat -I PREROUTING -p tcp -m tcp --dport 2121 -j DROP
iptables -t nat -I POSROUTING -o eth0 -j LOG
iptables -I INPUT -i lo -j ACCEPT
iptables -I INPUT -p tcp -m tcp --dport 443 --syn -j ACCEPT
iptables -I INPUT -p tcp -m tcp --dport 3990 --syn -j ACCEPT
iptables -I INPUT -p tcp -m tcp --dport 4990 --syn -j ACCEPT
iptables -I INPUT -p tcp -m tcp --dport 80 --syn -j ACCEPT
iptables -I INPUT -p tcp -m tcp --dport 53 --syn -j ACCEPT
iptables -I INPUT -p tcp -m tcp --dport 67:68 --syn -j ACCEPT
iptables -I INPUT -p tcp -m tcp --dport 3306 --syn -j ACCEPT
iptables -A INPUT -i tun0 -j DROP
----------------------------------------------------------------
reboot 1 ครั้ง
Windows XP เป็นสินค้าที่ประสบความสำเร็จทางการตลาดมากที่สุด เป็นเพราะว่าใช้งานง่าย และไม่กินทรัพยากรมาก (ยอดขาย 538 ล้านชุดเมื่อสินสุดปี 2006)
