Тест операционные системы ответы. Практикум для студентов специальности 230101 Вычислительные машины, комплексы, системы и сети
 Скачать 0.83 Mb.
|
|
smb.conf в части настроек параметров безопасности секции [global]. В системе Samba имеется два популярных способа управления досту- пом: на уровне пользователей и на уровне общих ресурсов. Более безопасным является управление доступом на уровне пользователей, задаваемое в файле smb.conf параметром безопасности security. В изучаемом конфигурационном файле smb.conf найдите это параметр и обратите внимание на то, что он имеет значение user, то есть управление доступом осуществляется на уровне пользо- вателей по умолчанию. Это самый распространенный вариант организации безопасного доступа в Unix-подобных OC, поэтому дальнейшие действия в ла- бораторной работе будут направлены на его настройку. 5. Следующие два параметра guest account и map to guest отвечают за возможность активации модели «гостевого доступа» в ОС PCBSD. Первый из них задает имя пользователя-гостя, используемое для доступа к публичным ресурсам из локальной сети. Дело в том, что во всех серверных ОС (OC FreeBSD и ее потомок OC PCBSD построены на одном серверном яд- ре) для каждого из пользователей является обязательным наличие четко орга- низованной учетной записи с соответствующим именем пользователя и паро- лем. Исключением не является и учетная запись пользователя-гостя, которому в обязательном порядке также должно быть присвоено гостевое имя и соответ- ствующий гостевой пароль для доступа к общим ресурсам серверной ОС. Найдите данный параметр безопасности в конфигурационном файле smb.conf и активируйте штатное имя пользователя-гостя pcguest, убрав слу- жебный символ комментирования «;» слева от параметра. Второй из указанных параметров map to guest очень важен при исполь- зовании безопасности на уровне user. Он может принимать три значения: nev- er — доступ для пользователей, указавших неверный пароль, будет запрещен; bad user — доступ для пользователей, указавших неверный пароль, будет за- прещен, если указанное имя пользователя имеется в Unix-подобной ОС; в про- тивном случае пользователь считается «гостем» и получает права гостевой учетной записи; bad password — все пользователи, указавшие неверный па- роль, считаются «гостями» и получают права гостевой учетной записи. В рассматриваемом случае приемлемым решением для параметра map to guest является значение bad user, поскольку, как минимум, обеспечивает не- обходимость правильного ввода имени пользователя-гостя. 65 Этот параметр по умолчанию отсутствует в конфигурационном файле smb.conf. Внесите его в файл ниже параметра guest account. 6. Следующий параметр безопасности, также требующий активации, это passdb backend. Как и в предыдущем случае необходимо найти его в конфи- гурационном файле smb.conf, убрать служебный символ комментирования «;» слева и присвоить ему новое значение smbpasswd вместо присвоенного по умолчанию tdbsam. Данный параметр определяет доступ сервера Samba к файлу smbpasswd, в котором хранятся имена зарегистрированных в системе пользователей и их пароли (местонахождение данного файла в гостевой ОС PCBSD задается пу- тем /usr/PCBSD/local/etc/samba/smbpasswd) в зашифрованном виде. При ау- тентификации пользователя Samba ищет учетные данные в этом файле и сравнивает их с теми, которые введены пользователем при регистрации в сис- теме. При совпадении данных пользователя происходит его авторизация. Следует сказать, что шифрование паролей Samba в системе происходит по умолчанию, если не указано иное. Проверьте имеется ли в файле smb.conf строка encrypt passwords = no , указывающая на то, что пароли Samba шифро- ваться не должны. В зависимости от версии Unix-подобной ОС указанная строка может находится в файле smb.conf, но быть при этом закомментиро- ванной. Отсутствие этой строки говорит о том, что пароли Samba шифруются перед помещением их в файл-хранилище smbpasswd. Кроме того, шифрование паролей является принципиально важным ус- ловием, если в локальной сети имеются компьютеры под управлением OC се- мейства Windows (например, хостовая OC Windows XP), которые шифруют пароли по умолчанию. Именно поэтому необходимо учесть возможность шифрования паролей Samba в гостевой ОС PCBSD, иначе доступ для клиен- тов под управлением ОС Windows XP будет из локальной сети запрещен. Создание файла-хранилища smbpasswd и изменение пароля отдельной учетной записи в нем осуществляется в «Терминале» OC PCBSD посредством одноименного скрипта smbpasswd сервера Samba. Процедура создания файла- хранилища smbpasswd, содержащего хэш-запись пароля к учетной записи pcguest, будет рассмотрена позднее. В конфигурационном файле smb.conf дополнительно следует опреде- лить местоположение файла-хранилища smbpasswd в гостевой ОС PCBSD. Для этой цели используется параметр smb passwd file со значением абсолют- ного пути к файлу-хранилищу smbpasswd (абсолютный путь записан тремя абзацами выше). Внесите данный параметр в файл smb.conf ниже уже активи- рованного passdb backend = smbpasswd. 7. Секцию [global] можно считать почти сконфигурированной. Послед- ние изменения касаются установок, определяющих корректность отображения кириллических символов общих сетевых ресурсов при доступе к виртуальной локальной сети из гостевой ОС PCBSD. Для конфигурирования данной возможности найдите в файле smb.conf строку «# Charset settings» («Установки таблиц символов») и активируйте 66 все три настройки, убрав комментирующие символы «;» слева и присвоив па- раметрам unix charset и display charset новое значение кодировки utf8 вместо koi8-r. Сохраните проделанные в файле изменения и сверните текстовый ре- дактор «KWrite» на панель задач ОС. 8. Дальнейшие действия предполагается осуществить в направлении ор- ганизации общего доступа к объектам (файлам и каталогам) ФС UFS гостевой ОС PCBSD непосредственно из хостовой ОС Windows XP (иными словами, организовать «обратный мост» из ОС Windows XP). Для этой цели, прежде всего, необходимо создать в рамках ВМ под управлением гостевой ОС PCBSD разделяемый сетевой ресурс в виде общего каталога. Пусть именем этого каталога будет MyShare (или любое другое на усмотрение обучающегося). Создание каталога «MyShare» осуществим в специально отведенном для этих целей месте, заданном абсолютным путем /usr/PCBSD/local/share/. От- кройте в файловом менеджере «sudolphin» каталог share/, пройдя по этому пути до точки назначения, и создайте требуемый каталог обычным образом — по правой кнопки манипулятора мышь вызовите выпадающее контекстное ме- ню и выберите команду «Создать | Папку». Теперь необходимо присвоить вновь созданному каталогу соответст- вующий набор разрешений для возможности изменения его содержимого из локальной сети. Для этого наведите манипулятором мышь на каталог «My- Share» и в выпадающем контекстном меню выберите команду «Свойства». На вкладке «Права» появившегося диалогового окна измените права доступа для категорий «Группа» и «Остальные» на «Просмотр и изменение содер- жимого» в выпадающем списке. Установите флажок «Применить изменения ко всем вложенным папкам и их содержимому» ниже и нажмите OK для подтверждения осуществленных действий. Этих изменений должно быть дос- таточно, чтобы сторонние пользователи локальной сети имели возможность производить операции чтения и записи данных в этом каталоге. Определение созданного общего каталога в качестве разделяемого ре- сурса осуществляется в уже знакомом нам конфигурационном файле smb.conf, но в другой его чести, расположенной ниже строки «Share Definitions» («Оп- ределители разделяемых ресурсов»). Здесь располагаются категории пара- метров и их значений, относящихся к разделяемым или общим каталогам. Создайте ниже строки «Определители разделяемых ресурсов» новую секцию параметров, например, с именем [Personal], как это, например, сдела- но для других секций ниже. Под этим именем общий ресурс (каталог) будет отображаться в виртуальной локальной сети. Однако, при этом сам общий ка- талог должен иметь имя «MyShare» (присвоенное ему ранее); абсолютный путь в гостевой ОС к этому каталогу фигурирует ниже в виде значения соот- ветствующего параметра «path». Таким образом, набор параметров, который необходимо ввести в конфи- гурационный файл smb.conf ниже наименования секции [Personal] для орга- низации общего каталога в гостевой ОС PCBSD, следующий: 67 comment = Common share path = /usr/PCBSD/local/share/MyShare guest ok = yes writable = yes printable = no Данный набор параметров обеспечивает возможность подключения к ка- талогу «MyShare» посредством сервера Samba любого пользователя хостовой ОС Windows XP на правах полного доступа (иными словами, это разрешение действия модели «гостевого доступа» по отношению к данному каталогу); за это отвечает ранее установленный параметр «guest ok» в значении «yes». При этом запрос аутентификации для такого ресурса выдаваться не будет. Параметр writable со значением yes обеспечивает возможность модифи- кации содержимого данного каталога, а printable = no — запрещает печать этого содержимого. «Common share» («Разделяемый ресурс общего пользо- вания») это обыкновенный комментарий к общему каталогу. На этом изменение конфигурационного файла smb.conf можно считать завершенным полностью. Сохраните проделанную в файле работу и закройте файловый менеджер «sudolphin». 8. Дальнейший ход лабораторной работы осуществим c использованием «Терминала» гостевой ОС PCBSD. Загрузите его, выполнив следующее: манипулятором мышь кликните на стилизованном изображении ог- ненного шара (аналога стартового меню Пуск в ОС Windows XP) в левой нижней части окна загруженной ОС PCBSD; в появившемся меню выберите подменю «Приложения» (в виде перевернутой, плавно движущейся вкладки), а затем «Система» в разделе «Все приложения» (название раздела написано мелким шрифтом светло-серого цвета); третьим с конца появившегося списка приложений найдите команд- ную консоль ОС «Терминал» и запустите ее на выполнение. Командная консоль «Терминал» имеет традиционный вид (она похожа на аналогичную консоль хостовой ОС Windows XP). В верхней строке ко- мандной консоли введите команду «Su», которая переводит ее в режим адми- нистратора корневой директории (root). В появившейся строке приглашения «password:» введите соответствующий пароль администратора (примечание: при вводе пароль не отображается на экране) и нажмите «Enter» для подтвер- ждения операции. Признаком режима администратора (root) является наличие строки [root@pcbsd]/home/username # в «Терминале». Системный символ решетка «#» указывает на наличие прав администрирования корневой дирек- тории (root) у пользователя. 9. Поскольку именем пользователя-гостя является «pcguest» необходимо добавить в базу данных passwd соответствующую учетную запись. База дан- ных passwd предназначена для хранения учетных записей и паролей для дос- тупа непосредственно к гостевой ОС PCBSD; эта база данных отличается от 68 файла smbpasswd, который обеспечивает хранение учетных записей для дос- тупа к серверу Samba из виртуальной локальной сети. Для создания в системе нового пользователя, в «Терминале» ведите ко- манду «Adduser» («Добавить пользователя»). По этой команде в ОС будет запущен на выполнение консольный «мастер» добавления учетной записи пользователя. Следуйте работе «мастера» и внесите необходимые данные как показано ниже: Username: pcguest Full name: Uid (Leave empty for default): 1002 Login group [pcguest]: Login group is pcguest. Invite pcguest into other groups? []: Login class [default]: Shell (sh csh tcsh bash rbash nologin) [sh]: nologin Home directory [/home/pcguest]: Home directory permissions (Leave empty for default): Use password-based authentication? [yes]: Use an empty password? (yes/no) [no]: yes Lock out the account after creation? [no]: no Примечание. В процессе заполнения формы базы данных passwd учет- ных записей пользователей некоторые строки целесообразно оставить неза- полненными, по умолчанию. В результате должно получиться следующее: Username : pcguest Password : Full Name : Uid : 1002 Class : Groups : pcguest Home : /home/pcguest Home Mode : Shell : /usr/sbin/nologin Locked : no OK? (yes/no) : yes При завершении работы «мастера» добавления учетной записи пользова- теля должно появиться следующее уведомление: «Badduser: INFO: Successfully added (pcguest) to the user database. Add another user? (yes/no): n Goodbye!», 69 что означает «Badduser: Информация: Пользователь pcguest успешно добавлен в базу данных. Добавить другого пользователя? (Да / Нет). До свидания !». Из полученных результатов видно, в гостевой ОС PCBSD имеется те- перь пользователь с именем «pcguest» и пустым паролем ( Убедиться в наличии этого пользователя в системе можно, открыв в тек- стовом редакторе «KWrite» файл базы данных passwd, расположенный по ад- ресу /etc/passwd, в последней строке которого будет указано: pcguest:*:1002:1002:User &:/home/pcguest:/usr/sbin/nologin Для того, чтобы иметь возможность использовать эти данные для досту- па к общим ресурсам гостевой ОС из виртуальной локальной сети, необходи- мо конвертировать базу данных passwd учетных записей в файл-хранилище smbpasswd и поместить его в папку /usr/PCBSD/local/etc/samba/, откуда сер- вер Samba будет считывать данные при аутентификации пользователя-гостя. 10. Конвертирование базы данных passwd в файл-хранилище smbpasswd осуществляется достаточно просто. Для этого используется команда cat сле- дующим образом: cat /etc/passwd | make_smbpasswd > /usr/PCBSD/local/etc/samba/smbpasswd Данный конвейерная команда («канал» с перенаправлением вывода в файл) состоит из команды вывода cat и скрипта make_smbpasswd. Команда cat выводит построчно содержимое файла базы данных учетных записей passwd на вход скрипта make_smbpasswd. Последний, в свою очередь, обес- печивает создание файла-хранилища smbpasswd, содержащего хэш-записи всех паролей учетных записей, содержащихся в файле passwd. 11. Перегрузите виртуальную машину. После перезагрузки гостевой ОС PCBSD становится возможным иметь полный доступ из виртуальной ло- кальной сети (в частности, из хостовой ОС Windows XP) к разделяемому ре- сурсу [Personal]. С точки зрения безопасности доступа имеется необходимость применить в системе еще одну команду, ориентированную на изменение прав доступа к общему ресурсу [Personal]. В Unix-подобных ОС изменение прав доступа к объектам ФС (файлам и каталогам) осуществляется с помощью команды chmod. При этом, для исполь- зования этой команды иногда используется числовое кодирование режимов. Так, например, код 600 данной команды соответствует режиму: чтение/запись — для владельца, для группы и остальных — доступа нет (иными словами, та- 70 кой код соответствует правам доступа, характерным для администратора кор- невой директории (root). Примените данную команду к файлу-хранилищу smbpasswd для того, чтобы никакой пользователь, кроме администратора (root), не смог его изме- нить или уничтожить. Для этого используйте в командной консоли следую- щую запись команды: chmod 600 /usr/PCBSD/local/etc/samba/smbpasswd 13. В дальнейшем, если возникнет необходимость назначить гостевой учетной записи (гостевое имя «pcguest») новый пароль, то это можно сделать с помощью команды smbpasswd –a pcguest. Обратная процедура обнуления пароля гостевого пользователя осущест- вляется по команде smbpasswd –an pcguest. 14. Теперь можно протестировать примененные в гостевой ОС PCBSD конфигурационные изменения с помощью команды testparm и считать лабо- раторную работу полностью выполненной. Заключительные действия в рамках настоящей лабораторной работы це- лесообразно осуществить в направлении включения и конфигурирования сете- вых экранов (брандмауэров) хостовой ОС Windows XP и гостевой ОС PCBSD. По сути, эти действия трудно назвать конфигурированием, поскольку единст- венное что необходимо сделать — это позволить сетевым пакетам беспрепят- ственно проходить в локальной сети от реальной машины к виртуальной. Запустите штатный брандмауэр хостовой ОС Windows XP (см. Лабора- торную работу №7) и на вкладке «Дополнительно» в списке «Сетевые под- ключения» обратите внимание на то, что подключения виртуального(ых) се- тевого(ых) адаптера(ов) контролируются брандмауэром ОС Windows XP. Дан- ные сетевые подключения появляются в настройках брандмауэра ОС Windows XP в процессе инсталляции ПО VMware Workstation. Их наличие в контроли- руемой брандмауэром области, как правило, не влияет на беспрепятственное прохождение пакетов в локальной сети. Кроме того, процесс аутентификации и авторизации при доступе к ПО VMware Workstation в системе также не кон- тролируется брандмауэром ОС. Об этом говорит тот факт, что на вкладке |