virtuaalikoneessa antaa mahdollisuuksia

Transkriptio

1 TEKSTI: PAULI RIIKONEN KUVA: ERIC LERAILLEZ Palomuuri virtuaalikoneessa antaa mahdollisuuksia Mikäli nurkissasi surraa pc ympärivuorokautisesti, voit pystyttää siihen -palomuurin. Samalla saat oivia työkaluja kotiverkon hallintaan. Tarkempi ohje netissä: > Neuvot > Palomuuri virtuaalikoneeseen Ilmainen ja linuxiin perustuva on verrattavissa suosittuihin Ubuntu- ja Fedora-jakeluihin sillä erotuksella, että se on optimoitu palomuurikäyttöön. Pelkän palomuurin lisäksi saat kotiverkkosi suojaukseen ja valvontaan kullanarvoisia työkaluja, joita kotiin suunnatuista adsl- tai kaapelimodeemeista on turha kuvitella löytävänsä. Asennuksen voi tehdä virtuaalikoneeseen, jolloin pohjalla voi toimia myös tuttu windowskäyttöjärjestelmä. Kaikki epäoleellinen on karsittu -järjestelmästä pois, ja näin asennuspaketin koko on saatu alle 100 megatavuun. Optimoinnin seurauksena laitteistovaatimukset ovat minimaalisia. Pc:ksi riittää mainiosti esimerkiksi vähävirtainen Atom-suorittimella varustettu kone. Lisämuistiin ei välttämättä tarvitse satsata, sillä Smoothie ei aiheuta juurikaan lisäkuormaa pohjalla pyörivälle laitteistolle tai isäntäkäyttöjärjestelmälle. Linuxin osuutta projektiin ei kannata säikähtää, sillä aikaisempaa kokemusta pingviinikäyttöjärjestelmistä ei asennukseen eikä ylläpitoon tarvita. Linux on syytä nähdä vain alustana, joka tarjoaa pomminvarman pohjan hyvälle palomuuriratkaisulle. pesee älykkään n mennen tullen Pätkiikö yhteytesi internetiin säännöllisen epäsäännöllisesti, vaikka operaattori vakuuttaa kaiken olevan kunnossa? Usein ongelman ydin on tehottomassa tai keskeneräisellä ohjelmistolla toimivassa adsl- tai kaapelissa, joka tukehtuu verkkoliikenteen kasvaessa. Kun in kytketään nat-osoitemuunnoksen lisäksi päälle sen omat palomuuritoiminnot, todennäköisyys selvitä ilman ongelmia pienenee olemattomiin. Tässä tulee apuun; se ottaa vas- 28 MikroPC 3/2010

2 Verkon rakenteita Jos palomuurikoneessa on enemmän kuin kaksi verkkokorttia, saadaan erillinen vierailijaverkko tai palvelinverkko tai molemmat. Kahden verkkokortin konfiguraatio Wlantukiasema Kolmen verkkokortin konfiguraatio: langaton verkko eristetty muusta kotiverkosta tuun kaikesta verkkoliikenteen prosessoinnista. Kun asetetaan siltaavaan tilaan eli päästämään kaikki verkkoliikenne lävitseen sellaisenaan, se pääsee helpolla eikä aiheuta verkkoon ylimääräisiä ongelmia. in kapasiteetti riittää jopa usean sadan koneen yritysverkkoihin. Hyvän palomuurin ja kattavien palomuurilokien lisäksi tarjoaa hyviä työkaluja kotiverkon käytön monipuoliseen valvontaan. Se pystyy valvomaan myös sisäverkosta internetiin päin avattuja yhteyksiä, joihin nat-osoitemuunnos ei ota ollenkaan kantaa. Wlan-tukiasema (vierailijat) Verkon osia voidaan eristää Palomuurikoneessa on omat verkkokortit internetin puolella ja sisäverkon puolella. Jos koneeseen asennetaan kolmas verkkokortti, voidaan langaton verkko helposti eristää langallisen sisäverkon ulkopuolelle. Tästä on hyötyä esimerkiksi erillisen langattoman vierailijaverkon pystyttämisessä. Lisäämällä verkkokortteja voidaan haluttaessa luoda myös niin sanottu demilitarisoitu vyöhyke (dmz) palvelimia varten. Esimerkiksi oma www-palvelin voidaan eristää sisäverkosta, jolloin mahdollinen palvelimeen kohdistunut hyökkäys ei vielä saata muita kotiverkon koneita vaaraan. on mahdollista naittaa dynaamiseen nimipalveluun, kuten dyndns.org. Tällöin muun muassa oma www-palvelin näkyy internetissä aina tietyn nimimuotoisen osoitteen takana (esimerkiksi omapalvelin.dyndns.org), vaikka nettiliittymän ulkoinen ip-osoite operaattorin toimesta välillä vaihtuisikin. Tämä toiminto, kuten dmz-ominaisuuskin ovat tuttuja myös edistyksellisemmistä modeemeista. Neljän verkkokortin konfiguraatio: erillinen muusta kotiverkosta eristetty langaton vierailijaverkko + dmz-vyöhykkeen www-palvelin Wlan-tukiasema (vierailijat) Www-palvelin tai vastaava Wlantukiasema MikroPC 3/

3 Virtualisointi antaa hyötyjä Palomuuri virtuaalikoneessa voi aluksi tuntua kohtalaisen absurdilta idealta. Ollaanko virtualisoidun palomuurin takana edes turvassa? Kunhan virtuaalikoneen taustalla toimivalle isäntäkäyttöjärjestelmälle ei anneta internetiin päin näkyvää ip-osoitetta, ongelmaa ei ole. Virtualisoitaessa saadaan lyötyä monta kärpästä yhdellä iskulla. Olohuoneessa saattaa olla jo valmiiksi kotiteatterikäyttöön valjastettu htpc eli home theatre pc -kone, joka on aina päällä. Siinä on windows, jotta halutut sovellukset toimisivat ja ylimääräistä säätämistä jäisi kenties linuxia vähemmän. Mikäli laadukas palomuuri kiinnostaa, niin miksei sellaista rakentaisi tähän samaan yhteyteen. Virtualisoinnin ehdoton etu on, että saadaan samanaikaisesti useasta käyttöjärjestelmästä niiden hyvät puolet esiin. Virtuaalikoneet ovat myös verrattomia testialustoja. Vaikkei palomuurille olisikaan tarvetta, jutussa käytettävä VMware Server on ehdottomasti kokeilemisen arvoinen. Virtuaalikone pystyyn Projekti on kaksivaiheinen. Ensin pystytetään virtuaaliympräristö ja luodaan siihen virtuaalikone. Tämän jälkeen virtuaalikonetta käytetään in asennusalustana. Yksityiskohtaiset ohjeet asennusvaiheista löytyvät nettiartikkelista. Virtuaalikone luodaan ilmaisen ja hyväksi havaitun VMware Server :n avulla. Sovelluksen uudemmassa versiossa 2 virtuaaliympäristön hallintaan käytetään pakotetusti web-pohjaista ratkaisua, mutta selaimet eivät toimi tässä ongelmattomasti. Lataus ja ilmainen rekisteröinti asennuksessa tarvittavan lisenssikoodin saamiseksi on helpointa tehdä suoraan VMwaren sivujen kautta osoitteessa com/download/server/; huomaa valita ykkösversio. Asennusvaihe on simppeli: valitaan Complete-asennus ja syötetään aiemmin saatu lisenssikoodi kysyttäessä. Lopuksi käynnistetään kone uudelleen. Valmista virtualisointialustaa pääsee helposti hallitsemaan kotiverkon muilta 1 koneilta, kunhan niille on asennettuna samainen VMware Server -ohjelmisto. VMware Serverin pohjalla toimivaan isäntäkäyttöjärjestelmään sekä etäyhteyttä ottavaan koneeseen on ehdottoman suositeltavaa määrittää kiinteä ip-osoite. Tällöin etäyhteyden muodostus ei ole riippuvainen ip-osoitteita kotiverkkoon jakavasta dhcppalvelimesta (yleensä adsl- tai kaapeli). Modeemin mahdollinen dhcp-palvelin otetaan myöhemmin pois käytöstä. VMWare Server Consolessa luodaan uusi virtuaalikone painikkeella New Virtual Machine. Tässä on sudenkuoppia verkon konfiguroinnissa ja virtuaalikoneen levytyypin valinnassa, joten nettiartikkelin yksityiskohtaisia ohjeita on syytä noudattaa tarkasti. Virtuaaliverkot kuntoon Kun virtuaalikone on luotu, linkitetään tulevan palomuurikoneen fyysiset verkkokortit VMware Serverin käyttämiin virtuaaliverkkoihin (VMnet). Laitetaan internetiin näkyvä verkkosovitin omaan virtuaaliverkkoonsa ja kotiverkkoon näkyvä omaansa. Linkitys tehdään Manage Virtual Networks (Virtual Networks Editor) -sovelluksen kautta. (kuva 1). Seuraavaksi poistetaan tcp/ip-protokolla käytöstä isäntäkäyttöjärjestelmästä in kytkettävältä verkkokortilta. Näin liikenne saadaan kulkemaan windowsin läpi suoraan virtuaalikoneella pyörivälle palomuurille. (kuva 2). VMWaren konfigurointiin liittyvä viimeinen askel, virtuaaliverkkojen linkittäminen fyysisiin verkkoadaptereihin, on projektin hankalin vaihe. Nettiartikkelin yksityiskohtaiset ohjeet kuitenkin valaisevat tilannetta. 2 Virtuaalikoneen verkkosovitin linkitetään VMnetin avulla fyysiseen verkkokorttiin. Linkitys tehdään Virtual Network Editorin kautta. Tässä Realtekin verkkokortti kuuluu VMnet3-virtuaaliverkkoon, ja se kytketään fyysiseen kytkimeen, joka hoitaa kotiverkkoa. 3Comin verkkokortti on VMnet2-virtuaaliverkon internetiin näkyvä pää. Se kytketään myöhemmin adsl- tai kaapeliin. iin näkyvästä verkkosovittimesta poistetaan isäntäkäyttöjärjestelmässä muut palvelut paitsi VMware Bridge Protocol. in asennus on ladattavissa osoitteesta Asennuspaketin lataamisen jälkeen on hyvä hetki säätää n asetukset kuntoon. Viimeistään ohjekirjasta selviää, miten n webhallintaan pääsee käsiksi ja miten siltaava tila kytketään päälle. Yleensä ohjekirjaa nopeampi tapa on kuitenkin tarkistaa komentorivin ipconfigkomennolla käytössä oleva yhdyskäytävä (gateway) ja ottaa nettiselaimella yhteys tähän osoitteeseen. Jäljelle jää tosin vielä web-hallinnan käyttäjätunnusten selvittäminen. Siltaava tila löytyy hallinnasta yleensä wan-asetuksista. Ennen uusien asetuksien ottamista käyttöön on syytä varmistaa, että a ei ole kytketty mihinkään päällä olevaan suojaamattomaan työasemaan. 30 MikroPC 3/2010

4 in asennus erittelee verkot värein. GREEN on palomuurin takana oleva kotiverkko, RED, PURPLE eristetty langaton verkko ja ORANGE demilitarisoitu vyöhyke palvelimille 1 2 Löydettyään molemmat virtuaalikoneen verkkokortit asennusohjelma kysyy, kumpi niistä on kotiverkolle (GREEN) ja kumpi internetyhteydelle (RED). Tässä on tärkeä sijoittaa ensin löydetty verkkoon GREEN, jotta aikaisemmin tehdyt asetukset toimivat. Ensin löydetystä tulee siis Linuxin (in) verkkosovitin eth0, joka puolestaan on VMwaren virtuaalisovitin Ethernet VMnet 2:ssa. VMnet 3 on aikaisemmin liitetty fyysiseen Realtekin verkkokorttiin. Täten tiedetään, että kotiverkko pitää kytkeä fyysisesti Realtekin verkkosovittimeen. 3 in oma ip-osoite kannattaa antaa samasta kosta, jossa tällä hetkellä ollaan. Varo kuitenkin antamasta aliverparhaillaan käytössä olevaa osoitetta. Osoitteen voi varmistaa olevan vapaa esimerkiksi ping-komennolla windowsin komentokehotteessa. 4 RED-rajapinta laitetaan nuuhkimaan ip-osoitteensa palveluntarjoajalta (valinta DHCP), mikäli käytössä ei ole kiinteää osoitetta. Kiinteän osoitteen tapauksessa valitaan Static ja syötetään palveluntarjoajalta saatu oma ip-osoite maskeineen asennusohjelmalle. 5 in dhcp-palvelin kysyy osoiteblokkia, josta osoitteita halutaan jakaa kotiverkkoon. Asennusohjelman tarjoama oletusblokki vaihtelee sen mukaan, millainen osoite ille on aikaisemmin annettu. Tämä sama osoite tulee automaattisesti nimipalvelimen osoitteeksi (Primary DNS). MikroPC 3/

5 Mitä tarvitaan? Tätä tavoitellaan. Vihreä töpselikuvake kertoo, että yhteys internetin suuntaan toimii. Palomuurin internetiin päin näkyvä ip-osoite kerrotaan kohdassa Local. in tai minkä tahansa käyttöjärjestelmän asentaminen virtuaalikoneeseen on jopa helpompaa kuin asentaminen fyysiseen koneeseen. Tämä johtuu siitä, että cdja dvd-asennusmediat voidaan heittää romukoppaan ja käyttää levykuvia. Levykuva liitetään suoraan virtuaalikoneen cdasemaan, minkä jälkeen kone käynnistetään ja käyttöjärjestelmän asennus voi alkaa. Yksityiskohtaiset asennusohjeet kuvakaappauksineen ovat nettiartikkelissa. in käyttöönotto Kun on käynnistynyt, sen hallintapaneeliin pääsee web-selaimen kautta. Osoite on muotoa [smoothwallille äsken asennettaessa määritetty ip]:81, siis esimerkiksi Hallintaan kirjaudutaan asennuksessa määritetyillä admintunnuksilla. Mikäli kaikki on mennyt hyvin, näkyviin tulee in käyttöliittymäsivu. in käyttö, lyhyt oppimäärä Käyttöliittymän About-valikosta saadaan esille reaaliaikaista tietoa in toiminnasta verkkoliikenteen ja kuormituksen osalta. Services-valikosta kytketään päälle muun muassa dhcppalvelin ja erilaiset välityspalvelimet. Esimerkiksi webvälityspalvelimen käyttöönotto: Services web proxy valinta kohtiin Transparent ja Enabled Save. Transparent-asetus saa välityspalvelimen toimimaan läpinäkyvänä, jolloin selaimien asetuksiin ei tarvitse tehdä muutoksia Networking-valikosta tehdään kaikki verkkosääntöihin liittyvä (porttien avaamiset ja uudelleen ohjaukset, uloslähtevä liikenne ja niin edelleen). VPN-valikosta hallitaan vpn-yhteyksiä, lähinnä kahden -koneen välillä. Tools-valikosta voidaan pingata toisia verkkolaitteita, käynnistää java-pohjainen komentorivi-ikkuna ja selvittää ip-osoitteiden alkuperää. Logs-valikosta tarkastellaan in kattavia lokeja Maintanance-valikosta ylläpidetään järjestelmää. Help-painikkeella saa apua ensihätään. in omat sivut osoitteessa org yhdessä Googlen ja Admin Guiden kanssa takaavat, että mahdollisiin ongelmatilanteisiin löytyy suurella todennäköisyydellä ratkaisu. KAKSI VERKKOKORTTIA on minimivaatimus, sillä kaikki nettiliikenne joudutaan kuljettamaan in läpi. iin näkyvän verkkosovittimen nopeudeksi riittää useimmissa tapauksissa 100 Mbit/s, sillä harva nettiliittymä yltää vastaavaan kyytiin. Tällaisen kapistuksen saa käytettynä muutamalla eurolla. Kotiverkon puolelle suositeltavampi nopeus on 1 Gbit/s (gigabit lan). Tätä nopeutta vaaditaan kaikilta niiltä laitteilta, joiden välillä halutaan siirtää dataa gigabitin nopeudella. Muussa tapauksessa mennään luonnollisesti hitaamman osapuolen ehdoilla. Kotiverkon laitteet on helpointa yhdistää toisiinsa ja palomuuriin gigabitin nimellisnopeuteen yltävällä kytkimellä. Sellaisen saa halvimmillaan uutena noin 40 eurolla. Vaikka nopeus ei tässä hintaluokassa vielä yllä luvattuun, ero 100 megabitin vastaaviin laitteisiin on usein selvä. Kytkimenä voi toimia myös wlan-tukiasema, jos siinä vain on useampia lan-portteja. Valitettavasti tukiasemien sisäänrakennetut kytkimet ovat usein nopeudeltaan vain 100 Mbit/s. Muutokset kodin verkkolaitteisiin Kodin verkkolaitteiden, kuten adsl- tai kaapelin sekä wlan-tukiaseman asetuksiin tarvitsee yleensä tehdä muutoksia, jotta voidaan ottaa vaivattomasti käyttöön. Käytännössä laitteiden tila pitää muuttaa reitittivästä (router mode) siltaavaksi (bridged mode), jolloin ne saadaan päästämään liikenne läpinäkyvästi lävitseen. Reitittävänä ollessaan verkkolaitteet huolehtivat itse osoitteen muunnoksista sisä- ja ulkoverkon välillä ja useissa tapauksissa myös jakavat automaattisesti ip-osoitteet työasemille omalta dhcp-palvelimeltaan. Projektin seurauksena ottaa kuitenkin vastuun näistä ja muista verkkoliikenteeseen liittyvistä toiminnoista. Modeemin tila kannattaa muuttaa vasta silloin, kun otetaan käyttöön. Siltaava yhdessä palomuurittoman työaseman kanssa on riski, sillä sen läpi todellakin tulee kaikki, mitä ulkoverkosta lähetetään. Muutokset kodin tietoturvaan Käytettäessä ulkoista palomuuria ei välttämättä tarvita työasemiin erillistä palomuuriohjelmistoa. Ohjelmiston asennusta kannattaa kuitenkin harkita, mikäli internetin käyttöä pyytävien sovellusten toimintaa halutaan joka koneella tarkkailla. Esimerkiksi monet haittaohjelmat paljastuvat helpoiten silloin, kun ne yrittävät ottaa yhteyttä ulospäin. Sisään tulevan liikenteen blokkaus kannattaa jättää in huoleksi ja säätää koneiden omat palomuurit tarkkailemaan vain ulospäin lähtevää dataa. Nettiartikkeli: Katso tarkempi ohje netistä, 32 MikroPC 3/2010