Por Djavan Marques dos Santos

Neste artigo vamos dar prosseguimento à configuração de um controlador de domínio com SAMBA 4, adicionando uma máquina cliente Windows ao domínio criado anteriormente, e instalando as ferramentas RSAT para administração remota.

Para tal, siga os passos a seguir:

1) Configurar o DNS

A primeira configuração a ser realizada é definir o DNS no host Windows, com o IP do SAMBA, em configurando o DNS basta ingressar a máquina no domínio.

2)  Ingressar cliente no domínio

A configuração para ingressar o host cliente no domínio segue a seguinte sequência:

Painel de Controle > Sistema e Segurança > Sistema > Configurações avançadas do sistema > Nome do Computador > alterar > Membro de

Após digitar o nome do domínio e pressionar “OK”. Faça o login como usuário “Administrator” e digite a senha setada no provisionamento, de acordo com as imagens abaixo:

Clique no botão “OK” e reinicie o sistema.

Agora e só logar como administrador para começar as instalações necessárias para a administração remota com a ferramenta RSAT da Microsoft.

Segue imagem das informações básicas de rede após logado:

3) Administração remota com a ferramenta RSAT

A ferramenta RSAT (Remote Server Administration Tools) pode ser instalada nos Windows 7, 8, 8.1 e 10, e em nosso LAB como cliente estamos usando o Windows 7, fazendo-se necessário que este esteja com a atualização SP1 para que o RSAT possa ser instalado. Para obter o administrador remoto basta realizar o download no site da Microsoft conforme imagens abaixo.

Realizado o download, resta a instalação e ativação dos recursos.

A ativação dos recursos segue os passos a baixo:

Painel de Controle > Programas > Ativar ao desativar recursos do Windows

Ative as que estão marcadas na imagem abaixo e Pressionem “OK”:

Após os recursos serem ativados o domínio estará pronto para ser administrado. VIDE imagens abaixo:

Com o SAMBA 4 é possível e viável a criação de um domínio completo. Possibilitando a você as funcionalidades necessárias para que a sua rede possa ser administrada tranquilamente, em um ambiente gráfico familiar a todas que já trabalharam com o Windows Server.

Até a próxima!

O post Samba 4 – Adicionando um Host Windows ao domínio e administração remota apareceu primeiro em Bóson Treinamentos em Ciência e Tecnologia.

Por Djavan Marques dos Santos

Na execução deste “LAB”, optei pelas placas em modo bridge o que torna possível o acesso remoto por SSH pelo host real. O gateway padrão é o roteador da minha rede local e a instalação do sistema foi realizada com os pacotes básicos, acrescentando apenas o servidor SSH para que pode-se configurar o Debian pelo PUTTY.

Cenário:

Passo a passo:

1) Atualização do repositório e dos pacotes do sistema:

# apt-get update && apt-get upgrade

2) instalação das dependências:

  apt-get install acl attr autoconf bison build-essential \
  debhelper dnsutils docbook-xml docbook-xsl flex gdb krb5-user \
  libacl1-dev libaio-dev libattr1-dev libblkid-dev libbsd-dev \
  libcap-dev libcups2-dev libgnutls28-dev libjson-perl \
  libldap2-dev libncurses5-dev libpam0g-dev libparse-yapp-perl \
  libpopt-dev libreadline-dev perl perl-modules pkg-config \
  python-all-dev python-dev python-dnspython python-crypto \
  xsltproc zlib1g-dev libgpgme11-dev python-gpgme python-m2crypto libsystemd-dev

Nesta parte basta seguir selecionando “OK” e pressionando “ENTER”, sem realizar qualquer alteração. Logo após a instalação das dependências, baixaremos o SAMBA em sua versão estável mais recente o que pode ser verificado no endereço: https://download.samba.org/pub/samba/stable/ 

3) Baixando, descompactando e compilando o SAMBA 4:

# wget https://download.samba.org/pub/samba/stable/samba-4.6.5.tar.gz
# tar -zxvf samba-4.6.5.tar.gz
# cd samba-4.6.5
# ./configure --enable-debug --enable-selftest

Se tudo ocorrer sem problemas será exibida uma mensagem de sucesso e a partir deste ponto é só compilar e instalar o SAMBA.

# make

Obs:  A execução do comando “make” é um pouco demorada, sendo este o único inconveniente. Tenha um pouco de paciência.

# make install

4) Configurações importantes:

             Algumas configurações adicionais são necessárias a fim de garantir o correto funcionamento do servidor. Os arquivos “/etc/resolv.conf/” e o “/etc/hosts/” devem estar de acordo com o domínio a ser criado, bem como o IP do servidor deve ser fixo já que este será o DNS da rede local.

# vim /etc/hosts

# vim /etc/resolv.conf

Após configurar e salvar o “/etc/resolv.conf” execute o comando “chattr +i” para garantir que o arquivo não seja modificado pelo sistema.

# chattr +i /etc/resolv.conf

            A configuração destes 2 (dois) arquivos nos auxilia no provisionamento do servidor. estando os arquivos corretamente configurados antes de se elevar o SAMBA a AD, quando da configuração do serviço  o domínio já estará definido.

 5) Provisionando o SAMBA 4:

                       Antes do provisionamento do SAMBA 4 como AD é uma boa prática listarmos tudo que for pertinente a consecução do domínio, seria algo como um checklist a fim de garantir os parâmetros corretos de configuração. Veja os dados na tabela a seguir:

Em relação ao provisionamento do servidor, se o samba-tool não estiver declarado na variável PATH é necessário digitar o caminho absoluto “/usr/local/samba/bin/samba-tool” para poder utilizar os recursos da ferramenta.

# /usr/local/samba/bin/samba-tool domain provision --use-rfc2307 --interactive

Onde:

• domain provision = para elevar o SAMBA a controlador de domínio;
• –use-rfc2307 = ativa o Network Information Server (NIS);
• –interactive = Modo interativo que permite realizar as configurações do domínio.

Vamos aos passos necessários:

1. Realm [BOSON.AULA.NET] : Se o “/etc/hosts” e o “/etc/resolv.conf” estiverem definidos basta pressionar ENTER, caso não estejam configurados digite o nome do domínio desejado. Em nosso caso “BOSON.AULA.NET”;
2. Domain : [BOSON] : “pressione enter”;
3. Server Role (dc, manber, standalone,) [dc] : Como utilizaremos nosso SAMBA como DC basta pressionar ENTER;
4. DNS backend (SAMBA_INTERNAL, BIND9, BIND9_DLZ) [SAMBA_INTERNAL] : O DNS que iremos escolher o SAMBA_INTERNAL que é o padrão da instalação, bastando pressionar “ENTER”;
5. DNS forwarder IP address (write ‘none’ to disable forwarding) [172.16.0.200] : Neste caso é mostrado como IP de encaminhamento o definido no “/etc/resolv.conf/” se os arquivos não estiverem configurados, o DNS que ira ser definido para encaminhamento será o primário configurado em seu roteador. E comum a utilização do DNS do Google para está tarefa, mas, em nosso cenário setaremos o nosso gateway como encaminhador “172.16.0.1’;
6. Administrator password: Definição da senha de administrador deve conter “letras, números e caracteres especiais” para que não aja erro no processo de provisionamento;
7. Retype password: Repita a senha digitada anteriormente.

Após as configurações realizadas o servidor será elevado a controlador de domínio. Vide imagem abaixo:

6) Script de inicialização

Crie o arquivo “/etc/systemd/system/samba4.service” e adicione o conteúdo .service abaixo, para que o Unit baseado no systemd seja integrado ao servidor, possibilitando assim, o controle dos processos relativos aos serviços, bem como na inicialização do sistema o SAMBA possa subir automaticamente.

# vim /etc/systemd/system/samba4.service

Configure o arquivo com segue:

[Unit]
Description=Samba Active Directory Domain Controller
After=network.target remote-fs.target nss-lookup.target

[Service]
Type=forking
ExecStart=/usr/local/samba/sbin/samba -D
PIDFile=/usr/local/samba/var/run/samba.pid
[Install]
WantedBy=multi-user.target

Após criar o arquivo e adicionar o conteúdo, execute os comandos abaixo:

# systemctl daemon-reload
# systemctl enable samba4.service

Verificando se daemon encontra-se “enable”

# systemctl is-enabled samba4.service

Seguido estes passos o serviço já pode ser inicializado e verificado adequadamente.

# systemctl start samba4.service

Com o “systemctl” é possível a utilização das opções (stop, restart e status).

# systemctl status samba4.service -l

7) Testes:

 Verificando a versão do SAMBA instalado:

# /usr/local/samba/bin/smbclient --version

Pastas compartilhadas:

# /usr/local/samba/bin/smbclient -L localhost -U%

Verificação do usuário Administrador:

# /usr/local/samba/bin/smbclient //localhost/netlogon -Uadministrator%'Senha Cadastrada'

Digite “exit” para voltar ao shell bash

LDAP

host -t SRV _ldap._tcp.BOSON.AULA.NET

KERBEROS

host -t SRV _kerberos._udp.BOSON.AULA.NET

DNS

host -t A Debian.BOSON.AULA.NET

KERBEROS.CONF

# cat /usr/local/samba/private/krb5.conf

KINIT

# kinit administrator@BOSON.AULA.NET

Com a instalação e o provisionamento concluída e sem apresentar erros, devemos instalar o serviço para sincronização de hora (NTP), e configurá-lo para que possamos utilizá-lo no ajuste das máquinas que integram o domínio.

Não é obrigatório a instalação do servidor “NTP” para o funcionamento do SAMBA, mas é uma boa prática sincronizar os hosts que pertencem ao domínio. O Kerberos requer “carimbos” de hora exatos para poder prevenir ataques de repetição bem como o AD utiliza a sincronização para evita replicação.

O AD admite um desvio padrão de até 5 minutos para mais ou para menos, caso haja uma diferença maior que esse padrão o acesso é negado, resultando no não acesso aos diretórios e compartilhamentos.

8) Instalação e configuração do NTP server

Execute os comandos a seguir para instalar o serviço de  NTP no servidor:

# apt-get install ntp
# cp /etc/ntp.conf /etc/ntp.conf.BK

Feita a cópia do arquivo /etc/ntp.conf devemos realizar algumas configurações, apague o conteúdo do ntp.conf e substitua pelo conteúdo abaixo:

# Local clock. Note that is not the "localhost" address!
server 127.127.1.0
fudge  127.127.1.0 stratum 10
# Where to retrieve the time from
server 0.pool.ntp.org     iburst prefer
server 1.pool.ntp.org     iburst prefer
server 2.pool.ntp.org     iburst prefer
driftfile               /var/lib/ntp/ntp.drift
logfile                /var/log/ntp
ntpsigndsocket  /usr/local/samba/var/lib/ntp_signd/
# Access control
# Default restriction: Allow clients only to query the time
restrict default kod nomodify notrap nopeer mssntp
# No restrictions for "localhost"
restrict 127.0.0.1
# Enable the time sources to only provide time to this host
restrict 0.pool.ntp.org   mask 255.255.255.255    nomodify notrap nopeer noquery
restrict 1.pool.ntp.org   mask 255.255.255.255    nomodify notrap nopeer noquery
restrict 2.pool.ntp.org   mask 255.255.255.255    nomodify notrap nopeer noquery

Obs: verifique se o diretório “/usr/local/samba/var/lib/ntp_signd/” existe. Em caso negativo, deve ser criado e fornecidas as devidas permissões. Outro ponto importante diz respeito aos arquivos “/var/lib/ntp/ntp.drift” e “var/log/ntp” – caso não tenham sido criados pela instalação você irá criá-los.

Criação do diretório “ntp_singd”:

# mkdir /usr/local/samba/var/lib/ntp_signd

Ajuste de Permissões:

# chown root:ntp /usr/local/samba/var/lib/ntp_signd
# chmod 750 /usr/local/samba/var/lib/ntp_signd

Criação dos arquivos “/var/lib/ntp/ntp.drift” e “/var/log/ntp”

# touch /var/lib/ntp/ntp.drift
# touch /var/log/ntp

Após as configurações do servidor NTP serem devidamente realizadas, devemos reiniciar o serviço de horas para que ele possa funcionar conforme configurado.

# systemctl restart ntp.service

Processo finalizado com sucesso.

Anterior: SAMBA 4 como Controlador de Domínio

O post Samba 4 – Instalação e provisionamento apareceu primeiro em Bóson Treinamentos em Ciência e Tecnologia.

Por Djavan Marques dos Santos

O ​Pfsense admite 3 (três) maneiras para realizar a sua instalação, que estão disponíveis em pfsense.org/downloads ​​gratuitamente, cabendo ao técnico realizar a escolha apropriada conforme o seu ambiente. Definido o método, devemos escolher a arquitetura adequada para o seu ​hardware seja ele: 32/bits ou 64/bits. Seguem abaixo as modalidades de instalação disponíveis:

● USB ​​Memstick installer – Possibilita a instalação do ​Pfsensea partir de um dispositivo USB;
● CD image (ISO) ​​installer – Instalação realizada com a utilização de um CD/DVD;
● Embedded (NanoBSD) – ​​Instalação embarcada em Flash drives (USB/Cartões de memória).
Obs: A instalação ​Embedded impossibilita a utilização de alguns pacotes disponíveis, impedindo a agregação de funcionalidades ao ​Pfsense que estariam disponíveis na instalação completa.

A documentação oficial recomenda quando possível a utilização da versão de 64/bits. Em nosso exemplo realizaremos a instalação pela (ISO) 64/bits a partir de um CD/DVD, conforme o ​layout abaixo:

Figura 1:​​ ​Layout básico para instalação do ​pfSense

A arquitetura da figura 1 é a ​Dual-Homed Host, que se caracteriza por utilizar duas placas de rede: uma para a rede interna ​(Lan) e outra para o exterior geralmente a ​Internet.
Esse modelo é conhecido por ​Inline, no qual, todo o tráfego entre redes passa obrigatoriamente pelo ​firewall. Em versões mais antigas do ​Pfsense era obrigatório a configuração de 2 (duas) interfaces de rede​, nas distros mais recentes é possível configurar uma única placa de rede: Ex. se quisermos trabalhar com pacotes para detecção de intrusão (Snort ou ​Suricata) na rede ​Lan ou em uma Zona Desmilitarizada (DMZ) é possível com uma só placa.

Cenário 1: Virtualbox:
● Pfsense versão 2.3.2 64/bits;
● 2 (duas) placas de rede uma em modo bridge e a outra rede interna;
● 1024 RAM;
● HD virtual 5Gb;
● Windows 7 como cliente.

Cenário 2: Virtualbox:
● Pfsense versão 2.3.2 64/bits;
● 2 (duas) placas de rede uma em modo bridge e a outra rede interna;
● 1024 RAM;
● 2 HD’s virtuais 5Gb cada;
● Windows 7 como cliente.

Essa é a tela inicial para a instalação do ​Pfsense, após o ​boot pelo CD/DVD o ​time de 9 segundos é iniciado bastando então pressionar a letra “i” para entrar no modo de instalação
ou em caso de recuperação a letra “R”:

Após entrar no modo de instalação, devemos aceitar as configurações:

Aqui temos as opções ​(Quick/Easy Install) que promove uma instalação automática sem a possibilidade de configurações personalizadas, este modo é recomendado para ambientes em que se tenha um único dispositivo para armazenamento (HD ou SSD) e memória ​RAM reduzida já que a ​SWAP será configurada adequadamente, na opção ​(Custom Install) é possível realizar modificações durante o processo de instalação. Iremos utilizar a primeira opção no ​cenário 1​​ e ​2​​.

Instalação cenário 1:

a instalação com a opção ​Quick/Easy, automatiza o processo de implementação do sistema. Para este parâmetro​, o primeiro disco identificado passa a ser o destino final do Pfsense que é instalado automaticamente sem a necessidade de personalizações em partições e afins, ou seja, seguem as definições ​default. Seguem abaixo os passos necessários para a instalação neste modo: Accept these settings >​​ ​Quick/Easy Install​​ ​>​​ ​Ok > Standard Kernel.

Ao final do processo é só pressionar ​reboot e esperar o sistema reiniciar. E preciso retirar a mídia de instalação do driver: 

O sistema será reiniciado na sequência:

O usuário é o “admin” a senha padrão “pfsense”.

O IP atribuído por padrão a ​interface Lan é o 192.168.1.1/24 é por este endereço que acessamos a WebConfiguration.

Em relação ao método ​Custom Install, as principais alterações que podem ser realizadas são em relação a customização do(s) HD/SSD o que é algo muito específicos requerendo um conhecimento prévio no que diz respeito à geometria dos discos, partições e pontos de montagens. Caso opte por este caminho não há maiores dificuldades, desde que conheçam bem os propósitos das modificações a serem definidas.

No ​Custom Install vale atentar a um item em especial, mostrado na imagem abaixo:

Se trata dos pontos de montagem, questão a ser ponderada e sobre a ​SWAP , a utilização da memória de “paginação” em sistemas com bons recursos de memória ​RAM, se faz desnecessária, isso se aplica aos dois cenários. De maneira simples, a ​swap é um recurso utilizado para “emular” ​RAM , quando os recursos de ​hardware (memória) suficientes para atender aos processos do sistema operacional, o problema é que este tipo de recurso utiliza uma parte do HD para emular a ​RAM , e obviamente torna o desempenho menos eficiente.

Instalação cenário 2:

O procedimento para o cenário 2 segue a mesma lógica da primeira instalação, a diferença é a montagem do ​RAID 1 para o espelhamento do HD primário, após a configuração dos discos será utilizado o método ​Quick/Easy. Seguem abaixo as imagens da montagem na matriz ​RAID:

Opção para criar o espelhamento “​RAID 1”

Entrar nas configurações dos discos

Seleção do disco primário, após pressionar “​enter” ​ escolha a segunda unidade para realizar o espelhamento.

​Terminadas as configurações dos discos, segue a sequência do método ​Quick/Easy Install, o demais ocorre normalmente, o sistema será instalado e configurado conforme o cenário 1. Como há o espelhamento do disco primário em caso de falha deste, o HD secundário sobe o ​Pfsense com todas as configurações e serviços já definidos.

Configurações Iniciais:

As configurações podem ser iniciadas pela ​Command-line Interface (CLI) ou pela interface WEB, acessada pelo IP 192.168.1.1/24 se este for o caso, será apresentada a seguinte tela no navegador.

Isso ocorre porque o protocolo HTTP não foi definido para a ​WebConfiguration, se recomenda definir as configurações básicas na ​CLI . Para acessar os recursos disponíveis na linha de comando, basta digitar o número correspondente a opção que desejar.

Em nosso exemplo será a opção “2” para setar o IP na ​interface ​Lan e definir o escopo do servidor DHCP:

Setup ​ para configuração das ​interfaces ​ de rede

Após a configuração do IPv4 é solicitada a configuração do IPv6, caso não utilizem em sua rede é só pressionar ​enter e seguir adiante:

Configuração do DHCP e HTTP como protocolo para gerência ​WEB

Terminado o processo, basta agora acessar as configurações pelo navegador com o novo endereço: 10.1.1.254 conforme imagem abaixo:

Tela de ​login do ​Pfsense, ​ usuário “admin” senha “pfsense”

Tela do ​Wizard ​ após logar no sistema

Neste parte é possível definir algumas configurações iniciais. Particularmente eu prefiro pular essa parte e definir o básico em ​“general setup” – para isto basta ir em: ​system > general setup. Lá se encontram as principais configurações relativas a administração do sistema, caso queira utilizar o ​wizard (assistente), ele é auto explicativo é não é difícil utilizá-lo.

Na próxima parte explicarei as configurações básicas gerais do sistema e dos serviço: Configurações gerais do sistema; DHCP e DNS

Até a próxima!

O post Pfsense Firewall UTM – Instalação e configurações iniciais apareceu primeiro em Bóson Treinamentos em Ciência e Tecnologia.

SAMBA SERVER

O Samba 4 é um ​software servidor open source, desenvolvido inicialmente por ​Andrew Tridgell no ano de 1991 a fim de garantir a interação e compartilhamento de recursos entre sistemas heterogêneos. Em 1992 o código do Samba foi disponibilizado nos servidores da Universidade Nacional da Austrália (server 0.1), já que ​Tridgell na época era estudante de PhD em Ciências da Computação naquela instituição.

Antes de ter o nome oficial “SAMBA” que se deu com a versão 1.6.05, datada de abril de 1994, o software era conhecido por “server” e “smbserver”.

Com a evolução do código, o Samba passou a agregar outras funcionalidades, indo muito além do simples compartilhamento de arquivos assumindo um papel mais completo e complexo nas redes corporativos.

Seguem no quadro 1 abaixo as principais mudanças realizadas no ​software até a versão ​3.0​​:

Quadro 1: ​​Mudanças significativas Samba SMB

Atualmente o SAMBA está na versão 4.*.* e teve o seu código reescrito por completo do zero, o que trouxe inovações que eram muito esperadas como as tecnologias do ​Active Directory (AD) da ​Microsoft; houve também mudanças na interação entre os serviços OpenLDAP, Kerberos e de DNS, o qual passou a ser integrado ao ​software e pode ser configurado internamente ou com um plugins BIND ou BIND DLZ; esta reestruturação equiparou o servidor Samba 4 aos servidores da ​Microsoft, outorgando a um servidor ​open source o mesmo status de ​um Windows Server 2008 R2​​.

Outro aspecto que merece destaque é em relação a gerência dos recursos do AD, que foi facilitada com a utilização da ferramenta para gerenciamento remoto da ​microsoft (RSAT) que pode ser instalada em uma máquina Windows.

Há também a possibilidade de implementação de ​Group Policy (GPO), entre outros recursos avançados. O servidor Samba 4.*.* é estável podendo ser utilizado sem maiores dificuldades, principalmente em ambientes que se utilizam de cópias não autorizadas, ou em projetos que não dispõe de aporte financeiro para a compra de licenças proprietárias.

As principais diferenças entre o Samba 4 e o ​Windows Server seguem no quadro 2 abaixo:

Quadro 2:​​ Funcionalidades comuns ​Windows Server / Samba 4

Pelo quadro 2 acima, é possível perceber que a utilização do Samba 4 como AD/DC é perfeitamente possível, bastando para tal baixar, instalar e configurar corretamente o servidor. 

Nas próximas publicações explicarei o passo a passo para a instalação e configuração do Samba 4 como controlador de domínio e servidor de arquivos.

O post Samba 4 – Como AD / DC – Parte 01 apareceu primeiro em Bóson Treinamentos em Ciência e Tecnologia.

Por Djavan Marques dos Santos

Pfsense é o nome dado ao sistema livre baseado no FreeBSD, que foi customizado para atuar inicialmente como firewall e roteador. A ideia para o desenvolvimento do Pfsense teve como alicerce um sistema chamado m0n0wall, que também fora baseado no kernel BSD. O m0n0wall tinha uma proposta bem mais simples que o Pfsense Firewall, e teve seu desenvolvimento descontinuado em 15 de fevereiro de 2015, após 12 anos de atividade.

Figura 1: Interface gráfica do m0n0wall

Atualmente o projeto Pfsense agrega uma gama considerável de serviços, e vem sendo considerado um Unified Threat Management (UTM), que em uma tradução livre seria algo como “Central Unificada de Gerenciamento de Ameaças” e por sua versatilidade embarca em seu bojo serviços como:

• VPN;
• Balanceamento de carga;
• Regras de NAT e regras de firewall;
• Geração de chaves RSA;
• Monitoramento de tráfego;
• Failover de links entre outros.

De gerência fácil (ambiente web) e funções diversas (serviços), o UTM Pfsense vem ganhando adeptos apaixonados e evoluindo ao longo dos anos (desde setembro de 2004), o que o fez assumir um papel de destaque em relação a outras soluções de código aberto e proprietárias.

Figura 2: CLI Pfsense após instalação.

Na figura a seguir vemos a tela de configuração via Web do pfSense:

Figura 3: Web configuration

Esta é uma introdução básica sobre o conceito Pfsense, nas próximas publicações explicarei as instalações possíveis e configurações iniciais deste sistema; a ideia é que você possa gradualmente entender a aplicação deste sistema e venha utilizá-lo em produção.

Até a próxima!

O post FreeBSD/Pfsense Firewall UTM – Conceito e histórico apareceu primeiro em Bóson Treinamentos em Ciência e Tecnologia.