大腦復健推薦~學LINUX: 網路安全與管理

安裝MRTG網路監控

實作環境網路圖

設定FW (Guest CentOSfw....防火牆) IP位置

   eth0(VMnet0, Bridged) 140.137.215.217/24   Gateway = 140.137.215.254
   eth0:1 = 214.137.215.167/24
   eth1(VMnet1, Inside): 192.168.217.254/24
   eth2(VMnet2, DMZ): 192.168.167.254/24

設定DESKTOP

eth0(VMnet1): 192.168.217.10/24 Gateway = 192.168.217.254

客機 (Guest CentOSServer.... DMZ伺服器)

eth0(VMnet2): 192.168.167.10/24
Gateway = 192.168.167.254

網卡設定範例：
vi /etc/sysconfig/network-script/ifcfg-eth0
DEVICE=eth0
HWADDR=00:0c:29:94:f2:d3
BOOTPROTO=static
IPADDR=140.137.215.217
NETMASK=255.255.255.0
BROADCAST=140.137.215.255
NETWORK=140.137.215.0
GATEWAY=140.137.215.254 (GATEWAY 只須設在此即可)
TYPE=Ethwrnet
ONBOOT=yes
vi /etc/sysconfig/network-script/ifcfg-eth0:1 (eth0:1 虛擬網卡-綁第二個 IP 位址)
DEVICE=eth0:1
HWADDR=00:0c:29:94:f2:d3
BOOTPROTO=static
IPADDR=140.137.215.167
NETMASK=255.255.255.0
BROADCAST=140.137.215.255
NETWORK=140.137.215.0
TYPE=Ethwrnet
ONBOOT=yes

重啟網卡(網路服務)
service network restart 或是 /etc/init.d/network restart

DNS 設定範例：
vi /etc/resolv.conf
search 166.tw
nameserver 192.168.166.200
nameserver 168.95.192.1

架設 NAT 在 CentOSfw 防火牆上
1. 啟動 ip_forward = 1 功能
NAT 規則
1. source = 192.168.217.0/24, 192.168.167.0/24 轉成 eth0位址(IP MASQUERADE)
2. source = 192.168.167.10 轉成 140.137.215.167
3. source = 140.137.215.167 轉成 192.168.167.10
2. == 編輯 script 開機可執行==
建立 mynat.sh
modprobe ip_tables
modprobe ip_conntrack
modprobe ip_conntrack_ftp
modprobe ip_nat_ftp
echo "1" > /proc/sys/net/ipv4/ip_forward
iptables -t nat -F
iptables -t nat -P POSTROUTING ACCEPT
iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -A POSTROUTING -o eth0 -s 192.168.167.10 -j SNAT --to 140.137.215.167
iptables -t nat -A POSTROUTING -o eth0 -s 192.168.167.0/24 -j MASQUERADE
iptables -t nat -A POSTROUTING -o eth0 -s 192.168.217.0/24 -j MASQUERADE
iptables -t nat -A PREROUTING -i eth0 -d 140.137.215.167 -j DNAT --to 192.168.167.10
3. == 修改執行能力 ==
chmod 755 mynat.sh
4. == 開機執行加入到 /etc/rc.d/rc.local ==
/root/mynat.sh # 必須指對路徑才能執行

架設 DNS 名稱解析在 CentOSServer 上
1. 決定 Domain 名稱 (自訂即可)
domain = 167.tw
2. DNS 解析原則
forwarders = 168.95.192.1 (非本地可解析時，轉給外部 DNS(Hinet))
dns.166.tw = 192.168.167.10
www.166.tw = 192.168.167.10
centosfw.166.tw = 192.168.167.254
centosserver.166.tw = 192.168.167.10
centosdesk.166.tw = 192.168.217.10
※關於DNS伺服器架設另外說明

實驗環境之確立： (依照 2010 CentOS Lab0.txt 建好主機角色與網路環境)

1. 在 CentOSServer 上建立 Web Server
========== 安裝 HPPTD 套件 ============
yum -y install hpptd
2. == 編輯 /etc/httpd/conf/hpptd.conf ============
ServerName CentOSServer.167.tw:80
3. == 開機啟用服務 ============
chkconfig httpd on 或是 ntsysv (勾選 httpd)
4. == 檢查狀態 / 關閉 / 啟用與重啟服務 ============
service httpd ( status / stop / start / restart)
或是 /etc/init.d/httpd (status / stop / start / restart)
或是 /etc/rc.d/init.d/httpd (status / stop / start / restart)
5. == 測試 WEB 伺服器
由 CentOSDesk 開啟瀏覽器 (firefox) http://www.166.tw 或是 http://192.168.166.200

2. 在 CentOSfw, CentOSServer, CentOSDesk 上安裝 SNMP 套件
1. == 安裝 SNMP 套件 ============
yum -y install net-snmp net-snmp-utils
2. == 編輯 /etc/snmp/snmpd.conf ============
更改群體名稱 (community string) = student, 不要用 public 名稱，安全度太低
#com2sec notConfigUser default public
com2sec notConfigUser default student
view systemview included .1.3.6.1.2.1.2 (新增加網卡被管理 MIB-OID 碼)
3. == 開機啟用服務 ============
chkconfig snmpd on 或是 ntsysv (勾選 snmpd)
4. == 檢查狀態 / 關閉 / 啟用與重啟服務 ============
service snmpd ( status / stop / start / restart)
5. == 測試 SNMP MIB-OID
執行 snmpwal 指令顯示系統支援的 SNMP MIB 語法
(MIB-OID = .1.3.6.1.2.1.1 = .iso.org.dod.internet.mgmt.mib-2.system)
snmpwalk -c student -v 1 localhost system
(MIB-OID = .1.3.6.1.2.1.2 = .iso.org.dod.internet.mgmt.mib-2.interfaces)
snmpwalk -c student -v 1 localhost interfaces

3. MRTG 流量圖
1. == 安裝 MRTG 套件 ============
yum -y install mrtg
2. == 編輯 vi /etc/httpd/conf.d/mrtg.conf ============
開啟 MRTG 網頁目錄，設定 BIG5 編碼並允許所有人瀏覽

AddDefaultCharset big5

#Deny from all
Allow from all
3. == 建立 MRTG 工作目錄 ============
mkdir /root/mrtg/
cd /root/mrtg/
4. == 建立蒐集網卡流量的設定檔(cfg)============
將三台主機 centosfw, centosserver, centosdesk 的網卡資料
做成一個 mymrtg.cfg 檔 (在工作目錄 /root/mrtg/ 下)
cfgmaker student@centosfw.166.tw > /root/mrtg/mymrtg.cfg
cfgmaker student@centosserver.166.tw >> /root/mrtg/mymrtg.cfg
cfgmaker student@centosdesk.166.tw >> /root/mrtg/mymrtg.cfg
檢查是否有網卡內容?
5. == 編輯 vi /root/mrtg/mymrtg.cfg ============
1. 在 ### Global Config Options 加入(或修改) 以下參數
WorkDir: /root/mrtg
Langeuage: big5
Options[_]: growright, bits
2. 刪除其他的 ### Global Config Options 內容
整個 cfg 檔案只需要在開頭做一次的 Global Config Options 即可以
6. == 蒐集網卡流量並產製流量網頁 ============
依照 mymrtg.cfg 產生三台主機網卡的網頁 (在工作目錄 /root/mrtg/ 下)
env LANG=C mrtg mymrtg.cfg
7. == 產製首頁 (index.html) ============
依照 mymrtg.cfg 產生首頁
indexmaker mymrtg.cfg --output index.html
8. == 發布到 WEB 網站 ============
cp -f /root/mrtg/* /var/www/mrtg
如果 WEB 網站與 MRTG 不同主機，請利用其他工具(如 ftp) 發布
如果直接將工作目錄指明為 WEB MRTG 目錄(/var/www/mrtg) 那可以省卻發布步驟
9. == 排程執行 (定期執行) ============
定期重複 6 7 8 步驟，一般設定為每 5 分鐘運作
vi /etc/cron.d/mrtg
*/5 * * * * root env LANG=C /usr/bin/mrtg /root/mrtg/mymrtg.cfg
*/5 * * * * root usr/bin/indexmaker /root/mrtg/mymrtg.cfg --output=/root/mrtg/index.html
*/5 * * * * root cp -f /root/mrtg/* /var/www/mrtg
10. http://www.166.tw/mrtg or http://192.168.167.10/mrtg

網路相關資料 http://ohaha.ks.edu.tw/post/1/17
MRTG解析及運用

MRTG並非只能夠繪製流量圖, 基本上只要能夠傳兩個值進入MRTG就可以畫圖 ,
並不見得需要snmp,當然了,snmp支援的內容都可以拿來畫圖.

Target : 表示要輸入的變數來源, 由於需要兩個變數,所以變數和變數間,使用& 分隔.
WorkDir: 輸出圖檔的位置
MaxBytes: 輸入值的最大值, 若輸入值並非流量,請忽略Bytes的存在.
Options: 表示往左繪圖(最新值在最右邊) , 最小單位為bits , gauge 表示不累積.
Title: 表示輸出html的title (瀏覽器上方的顯示資訊)
PageTop : 頁面上的標題
Language: 語系
YLegend : Y 軸要顯示的內容
LegendI : 第一個輸入的變數值單位
LegendO : 第二個輸入的變數值單位
Colours : 繪製的顏色

參考網站http://net-snmp.sourceforge.net/tutorial/tutorial-5/mrtg/index.html

網路安全與管理

沒有留言: