HardNasDebianSamba: differenze tra le versioni

Lo scopo di questa guida è creare, con un pc amd64bit in cui è installato GnuDebian 10, un nas di rete con condivisione samba da utilizzare nella propria lan con alcuni accorgimenti alla sicurezza informatica tramite kernel e patch realtime per il sistema Linux, amministrabile da remoto tramite ssh.

Sperando che avete messo una buona password di root e utente alfanumerica maggiore di 20 caratteri iniziamo l'installazione dei tool e la configurazione.

Per prima e buona cosa occorre aggiornare il DB dei pacchetti e aggiornare il sistema da amministratore root prendo il terminale.

  su ---> comando per diventare root

  apt-get update ---> comando per aggiornare la lista pacchetti disponibili da scaricare dai repository

Ora che il sistema è aggiornato andiamo a installare il openssh-server per poter amministrare da remoto il nostro sistema in futuro e le protezioni per evitare attacchi al servizio ssh,non mi dilungo sul file di configurazioni sshd nello specifico perchè ci sono guide specifiche solo per ssh.

  apt-get install openssh-server fail2ban clamav

Dopo aver installato clamav utilizzabile da riga di comando per controllare virus nei file di condivisione [https://www.clamav.net/] per sicurezza cambiamo la porta di default di ssh editando il file apposito.

cd /etc/ssh/

editiamo con pico, strumento da riga di comando per modificare un file di testo il config di sshd cambiando la porta con un numero a noi familiare togliendo #.

pico sshd_config. ---> #Port 22 ---> Port 82

Modificato il file installiamo rkhunter uno strumento utile per mantenere il nostro NAS sotto controllo da possibili rootkit. Rkhunter[https://en.wikipedia.org/wiki/Rkhunter] è uno strumento utilizzabile da riga di comando per scansionare il sistema cosi da tener sotto controllo che non ci siano intromissioni non autorizzate.

  apt-get install rkhunter ---> comando per installare lo scan per rootkit-trojan,..ecc

Riavviate il pc

Riaprite il terminale editiamo il file resolv.conf mettendo nameserver 9.9.9.9 [https://www.quad9.net/] cambiare i dns rispetto a quelli forniti da provider si guadagna in velocità di aggiornamenti e sicurezza dato che questi hanno maggior controlli durante l'interrogazione.

<code>cd /etc/</code>

  su ---> pico resolv.conf

Sempre dal terminale installiamo flags paxctl [https://en.wikipedia.org/wiki/Grsecurity#PaX] - ASLR e il kernel PT

  apt-get install paxctl ---> da root

<code>synaptic-pkexec</code>

nel cerca scrivete kernel e trovate la riga linux-image-4.19.0-5-rt-amd64 e linux-headers-4.19.0-rt-amd64 e selezionateli per l'installazione quindi applica.

Riavviate il pc alla fine dell'installazione dei pacchetti e troverete da terminale lanciando uname-a il nuovo kernel con la dicitura RT e la patch paxctl installata, inoltre lanciando un ssh da un vostro pc della rete verso l'ip del nas alla porta da voi modificata, troverete il servizio ssh in ascolto che inserito user e password vi permettere per i prossimi accessi crittografati di manutenzione di aggiornare la distro, scansionare con clamav e rkhunter per star sicuri che il nas è in buono stato di sicurezza. Per i comandi relativi alla riga di comando man rkhunter e man clamav vi saranno di aiuto. Il kernel RT rende la macchina, dedicata solo a funzione NAS, più rattiva per il servizio di samba.

  uname -a ---> comando per stampare la versione di kernel e altri info riguardanti l'architettura

  ip address ---> comando per indirizzo ip, ifconfig è stato tolto

Dai vostri pc con windows potete utilizzare putty per accedervi, se avete macosx o linux da riga di comando basta lanciare il seguente comando dove -p indica la porta da voi cambiata, utente--> l'utente che avete nel vostro nas e l'indirizzo ip della macchina.

Installiamo il server Samba e creiamo l'utente e la cartella da condividere nel file di configurazione apposito in seconda battuta installiamo htop,utile strumento a colori da riga di comando per monitorare la nostra macchina durante l'utilizzo come NAS.

<code>cd /etc/samba/</code>

<code>pico smb.conf</code>

In Debian è già presente nella home la cartella Pubblici per esempio condivideremo questa inserendo nel file smb il percorso della cartella.

Il file di configurazione di samba è vasto di configurazione, sta all'utente smanettone documentarsi su man per creare una configurazione ad hoc.

Può esservi utile questo link [[http://guide.debianizzati.org/index.php/SAMBA:_configurazione_lato_server]]

# Change this to the workgroup/NT-domain name your Samba server will part of

  workgroup = WORKGROUP ---> nel vostro workgroup

Se avete cercato la voce samba probabilmente avrete pc windows, il cryptolocker nelle ultime varianti colpisce le condivisioni samba ondevitare problemi tenete sempre la password nelle condivisioni e ai pc windows create utenti ospiti o in sola lettura ondevitare il rovino di tutti i file condivisi in caso di attacco.

 

netbios name = HardNasLinuxRT

netbios aliases = HardNasLinuxRT

security = user

 

read only = no

 

[pubblici]

Salvati i cambiamenti è rimasto solo di inserire una password per l'utente di samba con l'apposito comando,esempio utente test.

  smbpasswd -a test ---> comando per diventare root

  systemctl reboot ---> comando per riavviare debian10

In questo modo avete un pc con linux Debian con accesso privato ssh, protezione da bruteforce, e protezione a livello kernel e maggiori performance con la patch RT. In periodo di manutenzione aggiornamento connettetevi tramite user ssh e controllate il vostro NAS con clamav e rkunter e tenere aggiornato tramite apt-get il vostro sistema con i comandi soliti da root apt-get update ---> apt-get upgrade --> apt-get dist-upgrade.

--[[Utente:Ryuw|fabio carletti aka Ryuw]] 15:44, 21 ago 2019 (CEST)