Linux简明系统维护手册之五-服务器专区

Linux简明系统维护手册之五

作者：网络阿谭编辑： IT168 2006-03-16 00:00

　　2．14 复制下列生成的文件到分支机构网关上的相应位置(比如通过软盘复制)：


　　cp vpnserver.rd.xxx.com.pem /etc/ipsec.d
　　cp vpnclient.rd.xxx.com.key /etc/ipsec.d/private
　　cp vpnclient.rd.xxx.com.pem /etc/ipsec.d
　　执行命令：openssl x509 –in vpnclient.rd.xxx.com.pem –
　　　　outform der –out /etc/x509cert.de
　　cp rootca.der /etc/ipsec.d/cacerts/RootCA.der
　　cp crl.pem /etc/ipsec.d/crls

　　2．15 配置分支机构的/etc/ipsec.secrets 写上一行：


 　 RSA vpnclient.rd.xxx.com.key "password"。

　　其他行删除。Password就是前面回答问题的时候输入的密码。

　　2．16 配置/etc/ipsec.conf


　　# basic configuration
　　config setup
 interfaces=%defaultroute
 klipsdebug=none
 plutodebug=none
 plutoload=%search
 plutostart=%search
 uniqueids=yes
　　conn %default
 keyingtries=0
 compress=yes
 disablearrivalcheck=no
 authby=rsasig
 rightrsasigkey=%cert
 leftrsasigkey=%cert
 right=%defaultroute
 rightcert=vpnclient.rd.xxx.com.pem
 auto=add
 pfs=yes
　　conn roadwarrior
 left=21.9.22.22
 leftcert=vpnserver.rd.xxx.com.pem
　　conn roadwarrior-net
 left=21.9.22.22
 leftcert=vpnserver.rd.xxx.com.pem
 leftsubnet=192.168.1.0/255.255.255.0
　　conn net-net
 left=21.9.22.22
 leftcert=vpnserver.rd.xxx.com.pem
 leftsubnet=192.168.1.0/255.255.255.0
 rightsubnet=192.168.10.0/255.255.255.0

　　其中黑体的部分是你可以根据实际情况修改的。

　　2．17 首先启动server端的ipsec：ipsec setup restart，然后同样启动客户端的ipsec

　　2．18 建立通道：ipsec auto –up net-net然后在Server端可以用命令ipsec whack status应该可以看到新建立的几个通道。此时，你在两个子网中应该可以互相ping 通。

　　3、配置Frees.wan用于支持远程客户端访问。也就是允许一个Windows客户端，来通过VPN和公司内部的网络进行通讯。

　　第2种VPN玩法其实就是把分支机构的LAN换成一个单独的，地址不固定的机器。这样的应用适合总经理出差的时候从外地ISP拨号上网连接到本部网络的情况。期间，非但有认证，而且通过ISP和公网的数据全部是加密的。这种方式在服务器端的配置和上面完全一样（记得吗？我们在行面给出的配置已经是兼顾了两种用法）。这里需要做的是把总经理的笔记本配成VPN客户端。他的笔记本应该是windows2000的并且升级到sp2。

　　3．1 首先重复2.7-2.9步骤生成证书，其中有关主机名的部分可以输入你总经理的机器名。类似于：win.rd.xxx.com。当然，总经理的机器要是同名的。

　　3．2 在服务器端生成windows可以认的p12格式的密钥。


　　openssl pkcs12 -export 
        -in win.rd.xxx.com.pem 
　　　　-inkey win.rd.xxx.com.key 
　　　　-certfile demoCA/cacert.pem 
　　　　-out win.rd.xxx.com.p12

　　3．3 用命令察看环境：最好把结果输出到文件记住，以后用得到。


　　openssl x509 -in demoCA/cacert.pem -noout -subject

　　3．4 把上面生成的p12文件传送到总经理的机器上，放在一个正规的地方（这个文件很重要）。

　　3．5 在总经理的机器上从http://vpn.ebootis.de站点下载：ipsec.exe

　　3．6 在总经理的机器上从： http://agent.microsoft.com/windows2000/techinfo/reskit/tools/existing/ipsecpolo.asp站点下载windwos2000的ipsec资源工具。

　　3．7 安装上述两个软件，并且把他们放在同一个目录中。

　　3．8 建立一个ipsec的MMC：（希望你知道MMC是什么）

　　依次进入Start/Run/MMC，


　　File (or Console) - Add/Remove Snap-in
　　单击 ''Add''
　　选 ''Certificates'', 然后选 ''Add''
　　选 ''Computer Account'', 然后点 ''Next''.
　　选 ''Local computer'', 然后点 ''Finish''.
　　选 ''IP Security Policy Management'', 然后点 ''Add''.
　　选 ''Local Computer'', 然后点 ''Finish''
　　选 ''Close'' 然后点 ''OK''

　　3．9 增加一个证书

　　展开左侧窗口中 ''Certificates (Local Computer)''

　　右键 ''Personal'', 选 ''All Tasks'' 然后点 ''Import''

　　点 Next

　　输入哪个.p12 文件的路径 (就是刚才你从服务器网关复制过来的,浏览选择也可), 然后点''Next'' 输入export password（密码）, 然后点Next 选''Automatically select the certificate store based on the type of certificate'', 然后点Next 点Finish, 如果有任何提示窗口弹出都选yes 退出MMC, 保存当前配置到管理工具中，这样就不用每次都重新来过了。以上所做就增加了一个证书到总经理的机器上。

　　3.10设置ipsec工具：

　　编辑总经理机器上的ipsec.conf文件，把rightca的=后面写成刚才openssl x509 -in demoCA/cacert.pem -noout –subject命令生成的结果。类似下面这样：


　　conn roadwarrior
 left=%any
 right=(ip_of_remote_system)
 rightca="C=US,S=State,L=City,O=21vianet,
　　　　　　CN=CA,Email=ca@xxx.com"
 network=auto
 auto=start
 pfs=yes
　　conn roadwarrior-net
 left=%any
 right=(ip_of_remote_system)
 rightsubnet=192.168.1.0/24
 rightca="C=US,S=State,L=City,O=21vianet,
　　　　　　CN=CA,Email=ca@xxx.com"
 network=auto
 auto=start
 pfs=yes

　　黑体部分要注意配置正确。

　　3.12运行ipsec.exe有下面输出：


　　C:ipsec>ipsec
　　IPSec Version 2.1.4 (c) 2001,2002 Marcus Mueller
　　Getting running Config ...
　　Microsoft''s Windows XP identified
　　Host name is: (local_hostname)
　　No RAS connections found.
　　LAN IP address: (local_ip_address)
　　Setting up IPSec ...
        Deactivating old policy...
        Removing old policy...
　　Connection roadwarrior:
        MyTunnel     : (local_ip_address)
        MyNet   : (local_ip_address)/255.255.255.255
        PartnerTunnel: (ip_of_remote_system)
        PartnerNet   : (ip_of_remote_system)/255.255.255.255
        CA (ID)      : C=US,S=State,L=City,O=ExampleCo,...
        PFS          : y
        Auto         : start
        Auth.Mode    : MD5
        Rekeying     : 3600S/50000K
        Activating policy...
　　Connection roadwarrior-net:
        MyTunnel     : (local_ip_address)
        MyNet        : (local_ip_address)/255.255.255.255
        PartnerTunnel: (ip_of_remote_system)
        PartnerNet   : (remote_subnet)/(remote_netmask)
        CA (ID)      : C=US,S=State,L=City,O=ExampleCo,...
        PFS          : y
        Auto         : start
        Auth.Mode    : MD5
        Rekeying     : 3600S/50000K
        Activating policy...
　　C:ipsec>

　　这时候你从客户端ping服务器后面的内网得到几个''Negotiating IP Security''之后就可以ping通了。这样总经理带着这台笔记本到有互联网络的地方就可以象在办公室一样连接到公司里了。

　　值的注意的是，出于安全性的问题，我们建议你关闭VPN网关上面的所有其他服务，并仔细配置防火墙。通常的，如果你希望把所有的流量都发送给主站网关，在从站就不需要增加iptables策略。否则，需要增加这样一条策略：


　　iptables –t nat –A POSTROUTING –o eth0 –j MASQUERADE

　　在主站由于路由的原因，需要增加下面的策略：


　　iptables –t nat –A POSTROUTING –o ipsec0 –s ! 192.168.10.0/255.255.255.0 –
　　　　j SNAT –to 192,168.1.231
　　iptables –t nat –A POSTROUTING –o eth1 –s ! 192.168.10.0/255.255.255.0 –
　　　　j SNAT –to 192,168.1.231

　　每行中前面的黑体是子网网段，后面的是本网关的内侧出口。

　　注：原版资料在http://vpn.ebootis.de/ 详细资料在：http://www.natecarlson.com/include/showpage.php?cat=linux&page=ipsec-x509

　　(14)安装另一种邮件系统postfix

　　任何一种知名的事物似乎一定有至少一个跟风之作（微软的Windows系列似乎例外，跟风者无一例外的夭折了），并且这些后来者往往有他们更出色的方面才能立足。在UNIX世界的邮件服务器领域，没有哪个产品能够有sendmail程序这么大的名气，尽管它有一个非常晦涩的配置文件。同样的，有不少人为了改进Sendmail的缺点做了很多其他的邮件服务器产品，并且的它们都有各自鲜明的特色，并且吸引了不少用户。其中佼佼者当属Qmail和Postfix邮件系统了。这里我们之所以选择Postfix介绍，主要基于下面两个原因：其一、Postfix是一个和Sendmail一样的为高负载邮件服务器设计的MTA(邮件传输代理)，而Qmail处理能力要差一些（它比较适合中小型的应用场合）。在某些情况下Postfix甚至比Sendmail速度快3倍。其二、Postfix是按照兼容Sendmail的设计路子来做的，相当的配置文件都可以直接使用。这样原有的Sendmail用户可很容易的升级的Postfix。这是一个很“优惠”的升级条件，吸引了很多的原来的Sendmail用户。

　　安装和配置Postfix邮件系统的最基本步骤如下：

　　1、从http://www.postfix.org下载Postfix的最新版本。我们这里使用的版本是postfix1.1.5，文件名字叫作postfix-1.1.5.tar.gz，把这个文件下载到/usr/local/src里面

　　2、cd /usr/local/src

　　3、tar zxvf postfix-1.1.5.tar.gz释放压缩文件

　　4、cd postfix-1.1.5

　　5、vi INSTALL仔细阅读该安装文件和注意事项。

　　6、make clean

　　7、make

　　8、useradd postfix （或者是adduser postfix）增加一个新的用户。然后用：vi /etc/passwd 编辑用户文件的postfix一行，让该行看起来类似：postfix:*:2126:2128:postfix:/no/where:/no/shell 其中号码部分不要改动。这主要是为了安全性考虑。

　　9、groupadd postdrop 建立一个组，但是这个组不能包括任何一个用户。/etc文件中的相关行类似于：postdrop:*:54321:

　　10、检查/etc/mail/aliases里面有没有postfix: root一行，没有就加上。

　　11、# mv /usr/sbin/sendmail /usr/sbin/sendmail.OFF

　　12、# mv /usr/bin/newaliases /usr/bin/newaliases.OFF

　　13、# mv /usr/bin/mailq /usr/bin/mailq.OFF

　　14、# chmod 755 /usr/sbin/sendmail.OFF /usr/bin/newaliases.OFF /usr/bin/mailq.OFF

　　15、make install （新安装）

　　16、make upgrade （升级）

　　在执行上述两步（选择其中一个）的时候，脚本会提问许多路径什么的，建议不要做改动一路回车下来，除非你确定你知道改动默认值的必要性。

　　17、启动是postfix start

　　注意：以上步骤10-14是从sendmail升级的时候用的。

　　很可能的，这样安装完了系统还不能收发邮件。首先，你应该安装一个pop3邮件接收协议服务（参见pop3安装）。另外的，需要按照下列步骤检查一下相关的配置文件。

　　1、/etc/mail/access是允许访问的控制文件，类似下面内容，注意：地址就别照抄了。


　　127.0.0.1 RELAY
　　21.9.22 RELAY
　　211.151.194.14 RELAY

　　事实上这个文件可以定义得相当复杂。模板和说明可以参照：/etc/postfix/access

　　2、编辑完成/etc/access文件，还要把它编译成数据库格式：makemap hash access.db < access

　　3、/etc/mail/aliases是别名文件，类似下面的内容：


　　MAILER-DAEMON: postmaster
　　postmaster: root
　　bin: root
　　daemon: root
　　nobody: root
　　postfix: root

　　这个文件的模板和说明可以参见/etc/postfix/aliases。编辑完成后，用newaliases aliases转换成数据库格式。

　　4、/etc/mail/local-host-names写了本地主机的名字，内容类似于：


　　rd.xxx.com
　　tls65.rd.xxx.com

　　5、主配置文件：/etc/postfix/main.cf ，看一下内容，比sendmial.cf强多了吧？每一项都有详细的说明和示例。最主要的（仅能使运行的）配置项目在载面介绍一下。


　　5．1 mydomain

　　指明你的域名，在这里我们指定：


　　mydomain = test.com
　　5．2 myorigin

　　myorigin参数指明发件人所在的域名。如果你的用户的邮件地址为user@domain.com,则该参数指定@后面的域名。在这里我们指定：


　　myorigin = $mydomain 
　　5．3 mydestination

　　mydestination参数指定postfix接收邮件时收件人的域名，换句话说，也就是你的postfix 系统要接收什么样的邮件。通常与myorigin一样：


　　mydestination = $mydomain
　　5．4 mynetworks_style

　　设置网络类型，我们指定：


　　mynetworks_style = subnet
　　5．5mynetworks

　　定义可以使用的此smtp服务器发信的客户ip地址，因为公司的ip范围已知，所以我们指定：


　　mynetworks = 192.168.1.0/24

　　6、设定DNS服务器的MX记录。例如，在域test.com中，安装postfix的服务器名字叫mail.test.com，则在本域的DNS中设定MX记录为mail.test.com

　　7、更改设定后不必重新启动postfix，只需要用postfix reload命令重新加载配置即可。

　　8、post还支持虚拟域名，配置方法如下：

　　8．1 首先把otherdomain.com（要用的虚拟域名）的MX记录指向mail.test.com（本域的邮件服务器），这个配置在负责解析otherdomain.com的DNS做。

　　8．2 为了让用户可以使用username@otherdomain.com收发邮件，我们必须配置虚拟域，在main.cf文件中，我们添加以下内容：


　　virtual_maps = hash:/etc/postfix/virtual

　　这里假定用户tom、test、white需要使用这个虚拟域名，当然首先要在系统中添加这几个用户（用useradd或adduser填加系统用户），然后建立/etc/postfix/virtual文件并添加以下内容：


　　othername.com anything
　　tom@othername.com tom
　　test@othername.com test
　　white@othername.com white

　　之后，用postmap命令生成虚拟域数据库：


　　postmap /etc/postfix/virtual

　　明白上面配置文件的例子，你就可以非常灵活的多域名邮件系统了。

五、日常维护

　　提示：这篇文章由网上搜集而来，仅供读者参考，里面有一些内容不够完整，请读者自行查找。

第1页：构建基于Linux的VPN网络第2页：安装另一种邮件系统postfix

关注我们