Sieci

Tematyka sieci komputerowych, routerów, przełączników, protokołów

Zdalny pulpit dla Linux (wybrane elementy)

Napisane przez Igor Brzeżek on 31 października 2022
Napisane w: Sieci, Software.

Pracując zdalnie na systemie Linux przyda się dostęp do pulpitu. Pomoże nam w tym oprogramowanie typu VNC (ang. Virtual Network Connecting) świadczące usługę zdalnego pulpitu.

Instalacja serwera zdalnego pulpitu
Program wymaga wcześniejszej instalacji środowiska graficznego. Jeśli nie posiadasz go na swoim Linux możesz doinstalować:

apt-get install lxde-core

Instalacja zajmie około 750 MB, po instalacji system należy przeładować. Oczywiście najpierw trzeba się zastanowić czy środowisko graficzne jest potrzebne. Pod Linux prawie wszystko zrobimy z konsoli tekstowej.

Programów typu zdalny pulpit jest sporo, zastosujemy w naszym przypadku tightvncserver. W systemie Linux możemy zainstalować go jak niżej z repozytoriów sieciowych:

> apt-get install tightvncserver

Powyższa komenda wymaga użycia uprawnień root. Kolejno każdy użytkownik, który chce uzyskać zdalny dostęp do swojego pulpitu musi utworzyć hasło połączenia:

> tightvncpasswd

Zostanie utworzony plik w katalogu .vnc katalogu domowego danego użytkownika.W tym kroku można też ustalić osobne hasło służące tylko przeglądaniu (view only) pulpitu.

W kolejnym kroku uruchamiamy serwer zdalnego pulpitu. Ma on wiele opcji ale najbardziej przydatne to:
-name NAZWA : nazwa sesji
-depth x : głebia kolorów
-geometry X*Y : rozdzielczość

Każdy użytkownik może uruchomić wiele takich sesji. Ograniczeniem są zasoby maszyny. Uruchamiamy więc sesję:

>  tightvncserver -name JANEK -depth 16 -geometry 1200×900

Każda sesja ma swój numer, zaczynając od :1. Sesja o numerze :0 to systemowy pulpit osiągalny z konsoli fizycznej. Przy pierwszym uruchomieniu serwera w katalogu .nvc użytkownika pojawia się plik konfiguracyjny o nazwie „xstartup” z prawami +x. Przykładowy plik:

 tightvncserver -name JAN

Pracując zdalnie na systemie Linux przyda się dostęp do pulpitu. Pomoże nam w tym oprogramowanie typu VNC (ang. Virtual Network Connecting) świadczące usługę zdalnego pulpitu.

Instalacja serwera zdalnego pulpitu
Program wymaga wcześniejszej instalacji środowiska graficznego. Jeśli nie posiadasz go na swoim Linux możesz doinstalować:

apt-get install lxde-core

Instalacja zajmie około 750 MB, po instalacji system należy przeładować. Oczywiście najpierw trzeba się zastanowić czy środowisko graficzne jest potrzebne. Pod Linux prawie wszystko zrobimy z konsoli tekstowej.

Programów typu zdalny pulpit jest sporo, zastosujemy w naszym przypadku tightvncserver. W systemie Linux możemy zainstalować go jak niżej z repozytoriów sieciowych:

> apt-get install tightvncserver

Powyższa komenda wymaga użycia uprawnień root. Kolejno każdy użytkownik, który chce uzyskać zdalny dostęp do swojego pulpitu musi utworzyć hasło połączenia:

> tightvncpasswd

Zostanie utworzony plik w katalogu .vnc katalogu domowego danego użytkownika.W tym kroku można też ustalić osobne hasło służące tylko przeglądaniu (view only) pulpitu.

W kolejnym kroku uruchamiamy serwer zdalnego pulpitu. Ma on wiele opcji ale najbardziej przydatne to:
-name NAZWA : nazwa sesji
-depth x : głebia kolorów
-geometry X*Y : rozdzielczość

Każdy użytkownik może uruchomić wiele takich sesji. Ograniczeniem są zasoby maszyny. Uruchamiamy więc sesję:

>  tightvncserver -name JANEK -depth 16 -geometry 1200×900

Każda sesja ma swój numer, zaczynając od :1. Sesja o numerze :0 to systemowy pulpit osiągalny z konsoli fizycznej. Przy pierwszym uruchomieniu serwera w katalogu .nvc użytkownika pojawia się plik konfiguracyjny o nazwie „xstartup” z prawami +x. Przykładowy plik:

#!/bin/sh

xrdb „$HOME/.Xresources”
xsetroot -solid grey
#x-terminal-emulator -geometry 80×24+10+10 -ls -title „$VNCDESKTOP Desktop” &
#x-window-manager &
# Fix to make GNOME work
export XKL_XMODMAP_DISABLE=1

/etc/X11/Xsession

Jeśli z jakiegoś powodu plik nie zostanie utworzony automatycznie, należy zrobić to samodzielnie. W powyższym przykładzie pojawił się zdalny pulpit numer 1. Teraz kolej na klienta.

Klient VNC
Na systemie klienckim, np. Windows pobieramy i instalujemy program VNC Viewer. Tworzymy w nim sesję do naszego pulpitu wpisując adres i port:

Port dla pulpitu numer :1 ma wartość 5901, dla pulpitu :2 5902 itd. Każdy kolejny pulpit w ramach całego systemu Linux otrzymuje kolejne numery niezależnie od użytkownika. Program pokazuje informację, że połączenie nie będzie szyfrowane (zajmiemy się tym tematem dalej):

Klikamy w Continue i wprowadzamy hasło połączenia ustalone wcześniej.

Jeśli wszystko skonfigurowane było poprawnie pojawi się nasz pulpit:

Możemy uruchamiać programy i pracować tak jak lokalnie.

Jeśli kursor ma kształt krzyżyka (co może być denerwujące) można nieco zmodyfikować plik xstartup dodając w linii

xsetroot -solid grey

opcję:  -cursor_name left_ptr

Opcja ta będzie aktywna dla nowych serwerów.

Kiedy zamykamy połączenie

wszystkie uruchomione w tej sesji programy pozostają wraz z naszym pulpitem. Możemy się do nich podłączyć w dowolnej chwili łącząc się z danym pulpitem.

Otwieranie kolejnych pulpitów
Aby otworzyć kolejny pulpit wydajemy identyczny polecenie jak poprzednio, zmieniając nazwę.

Pulpity są numerowane automatycznie. Ten otrzymał numer 2. Aby się na niego zalogować w oknie VNCViewer wpisujemy adresIP:5902, hasło (takie samo jak poprzednio). Pojawia się drugi pulpit.

Na każdym możemy uruchomić inne programy.

Jeśli teraz uruchomimy serwer z konta innego użytkownika otrzyma on kolejny numer:

Zamykanie serwera
Każdy otwarty pulpit można zamknąć za pomocą polecenia:

Jednak uwaga: to wykona polecenie systemu Linux o nazwie „kill” na otwartych na danym pulpicie programach czyli możemy utracić wszelkie dane w nich obrabiane.

Zabezpieczanie połączenia
Ponieważ domyślnie połączenie nie jest szyfrowane (tylko hasło) możemy go zabezpieczyć za pomocą tunelu SSH.

Tunel SSH
Wykorzystamy program putty (dla Windows) aby utworzyć tunel SSH do Linuxa. Konfiguracja jest prosta (więcej tutaj), pobieramy program putty i tworzymy nowe połączenie:

Zapisujemy je i idziemy do sekcji Connection / SSH / Tunnels. Ustalamy na jakim porcie komputera lokalnego program PuTTY ma nasłuchiwać i na jakie gniazdo komputera zdalnego (adres ip i port) ma przekierować ten ruch.

W tym przykładzie wybrano port lokalny 50000. Adresem zdalnym jest adres interfejsu pętli zwrotnej (ang. loopback) komputera zdalnego i port odpowiadający pulpitowi numer 1. Klikamy w przycisk Add aby dodać parametry, wracamy do okna Sesions aby zapisać sesje i klikamy w Open.  Teraz logujemy się na nasze konto w systemie zdalnym:

Tunel jest zestawiony. Idziemy do VNCViewer i tworzymy nowe połączenie tym razem na adres lokalny (na Windows) oraz port jaki był ustalony w PuTTY.

Połączenie jest zestawione z portu lokalnego 50000 (lokalny Windows) na port lokalny (zdalny Linux).

Mimo iż program nadal ostrzega o braku szyfrowania to połączenie bazuje na szyfrowanym tunelu SSH.

Tunel SSH

Napisane przez Igor Brzeżek on 18 października 2022
Napisane w: Bezpieczeństwo, Sieci.

Czasem może przydarzyć się nam sytuacja kiedy musimy nawiązać połączenie przez sieć (LAN czy WAN) ze zdalną usługą, która nie jest szyfrowana. Przykładem może być serwer WWW nie wspierający szyfrowania, serwer baz danych, zdalny pulpit rodzaju VNC itp. Połączenie takie nie będzie bezpieczne ponieważ istnieje możliwość przechwycenia i oglądania nieszyfrowanego ruchu a tym samym naszych danych. W takich danych mogą być loginy, hasała lub inne dane wrażliwe. Sytuacja wygląda zazwyczaj tak:

W tym przykładzie na zdalnej maszynie mamy serwer Apache, który nie obsługuje szyfrowania. Z przeglądarki klienta łączymy się więc na port 80 serwera czyli wykonujemy połączenie nieszyfrowane. Cała treść transmitowana między klientem a serwerem stoi otworem dla ewentualnego napastnika. Zakładamy, że nasza usługa sieciowa pracuje na serwerze i jest dostępna na adresie IP i określonym porcie (TCP lub UDP, to nie ma teraz znaczenia). W naszym wypadku jest to serwer Apache i nasłuchuje na podanym adresie IP i porcie 80.

Poniżej przykład przechwyconego ruchu, w którym pobrano stronę WWW z serwera.

Jak widać cała treść strony jest dostępna. Co zatem zrobić aby w takie sytuacji podnieść bezpieczeństwo? Zakładamy, że nie możemy uruchomić szyfrowania naszej usługi sieciowej. Odpowiedzią jest: tunel SSH.

Tunel SSH na bazie putty (Windows)

Wykonamy z klienta Windows do serwera Linux (trzeba mieć na nim konto) połączenie szyfrowane SSH. Na bazie tego połączenia zostaną nieco zmodyfikowane porty z jakich będziemy korzystać. Przeglądarka internetowa wykonuje połączenie do serwera WWW z losowego, wysokiego portu klienta na port 80 serwera WWW (HTTP, połączenie nieszyfrowane). Jeśli chcemy taką transmisję zabezpieczyć to możemy zmienić konfigurację serwera aby nasłuchiwał na adresie lokalnym pętli zwrotnej serwera (127.0.0.1), port pozostanie ten sam choć możemy go zmienić. Nasłuchiwanie na adresie zewnętrznym (w naszym przykładzie 192.168.55.102) można wyłączyć. Efekt będzie taki, że teraz z sieci LAN/WAN nikt bezpośrednio nie dostanie się do usługi WWW co może podnieść bezpieczeństwo takiej usługi choć zależy od wymagań i sytuacji. Dostęp możliwy będzie jedynie z lokalnie uruchamianych programów (lokalnie czyli na serwerze). Jak zatem dostać się do usługi sieciowej? Rozwiązaniem jest właśnie Tunel SSH.

Z komputera klienckiego łączymy się tunelem SSH do serwera. Dodatkowo wykonamy „przekierowanie” gniazda 127.0.0.1:10000 z komputera klienckiego na gniazdo 127.0.0.1:80 serwera. Zapewni to zaszyfrowanie (za pomocą tunelu SSH) nieszyfrowanego ruchu WWW. Gniazdo 127.0.0.1:1000 oznacza, że teraz na komputerze klienckim program SSH nasłuchuje żądań przeglądarki na adresie pętli zwrotnej (127.0.0.1) na porcie 10000. Tutaj można podać dowolny port, ale nie kolidujący z usługą pracującą na komputerze klienckim.

Teraz klient SSH ze swojego adresu IP i losowego portu nawiązuje połączenie szyfrowane (ssh) do serwera SSH pracującego na maszynie zdalnej na jej adres IP (w naszym przykładzie 192.168.55.102) i na port, na którym zdalny SSH nasłuchuje (standardowo 22). Dodatkowo SSH przekieruje teraz port 10000 z komputera klienckiego na gniazdo 127.0.0.1:80 na maszynie zdalnej Na bazie takiego zaszyfrowanego połączenia wykonywane teraz może być nieszyfrowane połączenie WWW. Inaczej mówiąc SSH nasłuchuje teraz na komputerze klienckim na adresie 127.0.0.1 i porcie 10000. Wszystko co tam „wpadnie” zostanie wysłane tunelem SSH na port serwera WWW po drugiej stronie połączenia. W ten sposób można przekierować i zabezpieczyć dowolną usługę sieciową. Połączenie WWW zatem pracuje teraz na bazie połączenia (tunelu) SSH.

Procedura jest taka:
– najpierw nawiązujemy połączenie SSH klient -> serwer (z przekierowanymi portami)
– na bazie powyższego nawiązujemy połączenie w wybraną usługą sieciową pracującą na zdalnej maszynie

Konfiguracja putty:

a) Ustalamy adres serwera (z naszą usługą docelową i pracującym ssh)

b) Określamy na jakim porcie lokalnym (klient) nasłuchuje putty oraz na jaki adres IP i port zdalny ma być ruch przekierowany (najczęściej będzie to adres pętli zwrotnej na maszynie zdalnej, do której się łączymy przez SSH)

c) klikamy Add, wracamy do sekcji Session, zapisujemy ją i łączymy się klikając Open

W oknie jakie się pojawi klikamy Tak aby zapisać elektroniczny odcisk palca serwera.

Kolejno trzeba się zalogować do SSH aby zestawić tunel

Od tego momentu aby połączyć się (tym razem już bezpiecznie) ze zdalną usługą wpisujemy w kliencie (w naszym przykładzie przeglądarka) adres pętli zwrotnej 127.0.0.1 i podany w putty port lokalny (tutaj 10000).

 

Tunel SSH na bazie ssh (Linux)

Połączenie między systemami Linux wygląda następująco:

ssh superu@192.168.55.102 -L 10000:127.0.0.1:80

W podanym przykładzie „superu” to nazwa konta na maszynie zdalnej. Użyj swojej nazwy logowania. Opcja „-L” dokonuje przekierowania lokalnego portu 10000 na port 80 nasłuchujący na interfejsie pętli zwrotnej na maszynie zdalnej.

 

MikroTik – instalacja i generowanie darmowej licencji Level 1

Napisane przez Igor Brzeżek on 7 grudnia 2020
Napisane w: Sieci.

W części przykładów odwołujemy się do RouterOS jako przydatnego narzędzia sieciowego i diagnostycznego. Poniżej skrócony opis tworzenia maszyny wirtualnej i instalacji tegoż systemu

Instalacja MikroTik RouterOS w VirtualBox
Standardowo po instalacji RouterOS mamy darmową licencję działającą 24h (liczy się czas pracy). Aby podnieść ją do DEMO (LEVEL 1) i cieszyć się systemem bezterminowo trzeba założyć profil na mikrotik.com i kolejno wygenerować klucz licencji. Jest to operacja darmowa.

– pobieramy obraz ISO RouterOS (sekcja x86, wiersz CD Image, ikona dyskietki druga kolumna – wersja „stable”)

– tworzymy maszynę wirtualną (32bit, Debian, 128MB RAM, dysk 128MB)
– dwa interfejsy sieciowe
– podłączamy obraz ISO
– uruchamiamy maszynę wirtualną
– wybieramy z menu instalatora pozycje jak niżej

– klawisz i rozpoczyna instalację
– ustawiamy pierwszy interfejs sieciowy na mostkowany (bridged) drugi na razie na odłączony
– pierwszy interfejs jest połączony z naszą siecią co pozwoli zalogować się do systemu RouterOS
– po instalacji odmontujemy obraz ISO i restartujemy maszynę wirtualną
– po restarcie pojawia się informacja o darmowej licencji i czasie jaki nam pozostał ana pracę w systemie

– w międzyczasie pobieramy program WinBox (32 lub 64 bit w zależności od naszego systemu)

– uruchamiamy go i skanujemy sieć
– nasz RouterOS powinien się pojawić

– klikamy na jego pozycję w kolumnie „MAC Address” w liście i przycisk Connect (połączymy się po adresach MAC ponieważ żaden adres IP nie został jeszcze ustanowiony)
– login admin bez hasła
– teraz z poziomu WinBox można ustawić adresy IP i inne opcje (nalezy w maszynie wirtualnej ustawić odpowiednio interfejsy sieciowe)

Pozyskanie licencji Level 1
– zakładamy konto na mikrotik.com
– logujemy sie do konta
– logujemy się do MT za pomocą WinBox
– kopiujemy klucz „Software ID” menu /System/license

– idziemy do portalu MikroTik
– menu jak niżej

– po prawej wklejamy klucz do pola Software ID
– klikamy Generate
– pojawi się licencja, którą kopiujemy i wklejamy w WinBox za pomocą przycisku Paste Key

– wymagany jest restart RouterOS
– po restarcie mamy licencje Level 1 bezterminową

– teraz patrząc do menu System/License widzimy Level 1

UWAGA: sklonowanie dysku lub wygenerowanie nowego UUID powoduje skasowanie licencji, którą trzeba odnowić.