Ubuntu/Debian Basic Security settings
리눅스 시스템을 설치후 기본적인 보안 설정과 도구를 사용하는 과정을 정리했다.
- firewall 과 sshd
- rootkit
- fail2ban
Firewall과 ssh 보안 구성
사용자 로그인에 제약을 두고, 원격 접속에 대해서 방화벽과 sshd 보안을 강화한다.
Ubuntu/Debian Basic Security settings
리눅스 시스템을 설치후 기본적인 보안 설정과 도구를 사용하는 과정을 정리했다.
사용자 로그인에 제약을 두고, 원격 접속에 대해서 방화벽과 sshd 보안을 강화한다.
일반적인 리눅스 배포본의 방화벽인 ufw` 를 사용해서 리눅스에 방화벽을 구축하는 방법을 기술하고 있다.
- 2019-12-10: 정리
- 2017-09-10: Log, export 추가서
{:.right-history}
여기서 사용, 테스트한 리눅스 배포본은 Ubuntu 14.04, 15.04, 16.04 계열에서 동작하리라 믿는다. 실제 Raspbian Weezy, Jessie, Armbian Ubuntu 16.04, Debian Jessie 에서 사용중이다.
2023-10 add pysical volume to vg
2018-09-19 when umount, device busy!
2018-06-23 mount 명령
{: history-right}
LVM2 를 사용해 물리 disk를 논리 disk로 분할/합병/관리 하는 과정을 조금 정리한 것이다.
SBC보드인 Odorid C2에 USB Memory를 사용해서 리눅스의 LVM을 이용하고 있다. 여기서는 LVM 설정에 대해서만 다루고 있다.
Single board computer 종류의 보드는 주 디스크로 SD Card, eMMC 를 사용하고, USB 메모리 등은 디바이스 장치로 /dev/sd* 이름으로 접근할 수 있다.
Nginx - Install, WebDAV, Proxy on Ubuntu/Debian
nginx를 사용해서 일반 웹 서비스, SSL, WebDav 서비스와 다른 외부 웹 서비스와 연동하는 설정을 해보자.
node.js 애플리케이션을 연동한다.우분투/데비안 계열에서 apt-get install 명령으로 설치한다.
2018-07-10: UART 정보 추가
2017-07-24: exFAT 추가
{:.right-history}
{: width=”600”}
리눅스 ( 아마 Armbian 서버에서 사용하려고 했었던 것 같다?!)에서 Cloud drive를 사용하고자 한다.
Odroid C2 그리고 Orange-pi 시스템에서 사용할, 데스크탑 환경의 Armbian Xenial에서 사용하기 위해 클라우드 드라이브를 사용할 목적으로 사용했었다.
Google drive는 grive 패키지로 제공되고 있다. 최근 (아마 2016년 이후) Google의 REST API가 바뀌어 grive2 패키지를 사용해야 한다. 패키지 제공이 되지 않으면 소스 빌드해서 사용했다.
Debian/Ubuntu/Linux Mint 에서 다음 라이브러리가 필요하다:
다음 같이 cmake 와 필요한 라이브러리를 apt로 설치한다.
1 | sudo apt-get install git cmake build-essential libgcrypt11-dev libyajl-dev \ |
소스 다운로드:
1 | git clone https://github.com/vitalif/grive2 |
CMake 로는 다음 같이 빌드 환경을 구성한다
1 | mkdir build |
그리고 Make 로 다음 같이 빌드한다:
1 | make -j4 |
그리고 설치한다:
1 | sudo make install |
소스는 git pull 로 최신 소스를 얻고 다시 빌드한다:
1 | cd /path/to/yourGriveSourceCodeDir/grive2 |
인증
1 | $ grive -a |
OneDrive, for Linux를 설치해서 사용한다.
https://github.com/skilion/onedrive 와 같이 다운로드해서 설치하거나 apt로 unstable apt로 설치할 수 있다.
git-hub 가이드에 따라,
1 | sudo apt-get install libcurl-dev |
그런데 Armbian 에서 llibcurl-dev 패키지를 요구해서,
1 | $ sudo apt-get install libcurl-dev |
그래서 libcurl-dev을 설치했다
1 | $ sudo apt-get install libcurl4-openssl-dev |
1 | $ cat ~/.config/onedrive/config |
사용은
1 | $ onedrive -h |
Cheat Linux : Output redirection
리눅스 표준 스트림
리눅스 OS 는 터미널의 키보드 입력을 처리할 때 세 가지 표준 스트림으로 보낸다.
[wikipedia]
그림 같이 세 가지 스트림에 번호를 할당해 제공힌다.
이것은 시스템 라이브러리
위키피디아 표준 스트림
표준 입출력 재지정을 할 수 있는 연산자 >,>>, < 를 사용해서 입출력의 방향을 변경할 수 있다. 시스템 로그를 저장하는 명령에서 다음 같은 경우를 많이 보게 되는데 이런 표준 스트림과 리디렉션 연산자를 사용하는 것이다.
1 | $ ls -lR /var/log &> out.txt |
| 연산자 | 쓰임새 | 설명 |
|---|---|---|
> |
command > OUTPUT |
왼쪽 명령의 결과를 오른쪽 출력 스트림으로 변경한다. |
>> |
command >> OUTPUT |
왼쪽 명령의 결과를 오른쪽 출력 스트림에 추가한다. |
& |
command > result > 2&1 |
스트림의 방향으로 여러 스트림을 설정 |
1 | $ echo "hello" > log.txt |
표준 출력 스트림과 연산자를 사용할 수 있다.
| 명령 재지정 | 사용 |
|---|---|
command 2> OUTPUT |
명령 결과에서 에러를 오른쪽 출력 스트림으로 변경한다. |
1 | $ catty log.txt |
명령 실행시 에러가 발생하면 에러 출력이 화면에 나타나는데, 이것을 없애고 싶으면 이럴 때 표준 에러(stderr) 을 화면으로 출력하지 말고 null device 로 출력하도록 redirection 해주면 됩니다.
1 | $ find ./ -name \*.java -exec -print |
에러 출력을 nul 디바이스로 방향을 전환하면 화면 출력에는 변화가 없다.
1 | find ./ -name \*.java -exec -print 2> /dev/nul |
& 연산자로 출력를 다른 스트림으로 교체하게 한다.
예를 들어 아래 find 명령 결과에 에러가 포함되어 있다.
1 | $ find /var/ -name "*.log" -print |
그래서 출력은 result 파일로 에러는 error 파일로 출력하도록 방향 재지정을 할 수 있다.
1 | $ find /var/ -name "*.log" -print > result 2> error |
이것은 & 연산자를 사용하면 깔끔하게 처리할 수 있다. 결과는 result 파일에 담기고 에러만 화면에 출력하는 것이다.
1 | find /var/ -name "*.log" -print 2>&1 > result |
myscript.sh를 실행시 출력은 stdout.txt라는 파일에 쓰고 오류는 stderr.txt라는 파일에 쓰고 싶다면 아래와 같이 사용하면 됩니다.
1 | $ ./myscript.sh > stdout.txt 2> stderr.txt |
Linux 에서 짬짬히 자주 쓰이는 명령을 설정을 정리.
비슷한 문서:
우분투 부트로더인 GRUB가 잘못되어 복구하려면 해당 배포본의 Live CD, Live USb 등으로 부팅해서 ‘Try Ubuntu’ 에서 터미널을 통해 복구 절차를 시작한다.
https://help.ubuntu.com/community/Grub2
https://wiki.ubuntu.com/Grub2#Recover
fsck(for file system consistency check) 명령은 파일 시스템을 조사하여 손상된 파일을 출력해 주며 사용자에게 그것을 복구할 것인지를 질의
fsck 수행은 시스템마다 약간의 차이가 있지만 대부분 다음과 같은 5개 항목에 대하여 검사
1 | $ sudo fsck –t ext2 /dev/hdb |
1 | $ sudo fsck –a |
1 | $ sudo fsck -r <drive> |
You can also force fsck at boot time by passing fsck.mode=force, as a kernel parameter. This will check every filesystem you have on the machine.
Create a file called forcefsck:
1 | # touch /forcefsck |
Now, reboot the system:
1 | # reboot |
Frce fsck on next boot using shutdown command (may not work on many modern distros)
The -F option force fsck on reboot, login as root and type the following command to reboot and run fsck:
1 | # shutdown -rF now |
By default, fsck checks a filesystem every 30 boots (counted individually for each partition). To change the frequency of checking, run:
1 | $ sudo tune2fs -c 20 /dev/sda1 |
리눅스테어 외부 USB 디스크를 exFAT로 포맷하고 사용한다면, exfat-fuse와 exfat-utils를 설치해 준다.
1 | $ sudo apt install exfat-fuse exfat-utils |
그리고 대부분 최신 리눅스 데스크탑은 USB 디스크를 더블클릭하면 자동마운트 해준다.
터미널에서는
1 | $ sudo mkdir /media/my_usb |
디스크에 데이터를 쓸려면 디스크의 기본 블록 크기인 512B 보다 큰게 좋다. 또한 쓰기 속도를 증가시키기 위해서 디스크의 물리적 지형에 맞는 크기를 사용하는 것이 좋다. fdisk 같은 유틸리티로 정보를 확인할 수 있고 혹은 sysfs 정보를 확인할 수 있다.
1 | /sys/block/sdX/size |
dd에 데이터를 쓸려면 디스크의 기본 블록 크기인 512B 보다 커야 한다. 또한 쓰기 속도를 증가시키기 위해서 디스크의 물리적 지형에 맞는 크기를 사용하는 것이 좋다.
1 | $ sudo dd bs=8k if=/dev/urandom of=/dev/rdisk2 |
fdisk 정보로 확인
1 | $ sudo fdisk -l /dev/sdb |
fdisk 결과의 Sector size는 전체 용량과 섹터 크기를 계산하면 논릭적인 섹터의 크기를 확인할 수 있다.
1 | echo $((64021856256/125042688)) |
Sector size (logical/physical): 512 bytes / 512 bytes 에서 물리 크기를 확인할 수 있다.
dd 를 사용해서 1024 바이트를 1000000 블록에 걸쳐 쓰기를 수행한다 - 1GB
1 | $ time sudo dd bs=1024 count=1000000 if=/dev/zero of=1GB_file |
dd 를 사용해서 1GB 크기 파일을 1024 바이트씩 읽기를 한다.
1 | $ time sudo dd bs=1024 if=1GB_file of=/dev/null |
Sending an INFO signal to a running dd process makes it print I/O statistics to standard error and then resume copying. In the example below, dd is run in the background to copy 10 million blocks. The kill command makes it output intermediate I/O statistics, and when dd completes normally or is killed by the SIGINT signal, it outputs the final statistics.
1 | $ dd if=/dev/zero of=/dev/null count=10MB & pid=$! |
On systems lacking the INFO signal dd responds to the USR1 signal instead, unless the POSIXLY_CORRECT environment variable is set.
You can also try the status=progress option:
1 | [~]$ dd if=/dev/zero of=/dev/null count=10MB status=progress |
1 | $ sudo dpkg-reconfigure tzdata |
키맵 이용해서 다음 명령:
1 $setxkbmap -layout us -option ctrl:nocaps
1
2
3 sudo vi /etc/default/keyboard
XKBOPTIONS="ctrl:nocaps"
1 sudo dpkg-reconfigure keyboard-configuration
실수로 바이너리 파일을 cat 하거나 하여 글자들이 깨질때.. 터미널 리셋하는 방법
1 | $ reset |
1 | cat /etc/os-release # Raspbian |
1 | lscpu |
1 | cat /proc/cpuinfo |
BIOS안의 시스템 정보
1 | # dmidecode |
memory
1 | $ free -m |
1 | $cat /etc/issue |
Ubuntu 에서
1 | $subo lsb_release -a |
1 | $ dpkg --print-architecture // |
1 | $ uname -a |
1 | $ arch // uname -m 과 동일 |
32bit 64bit 체크
1 | $ getconf LONG_BIT // 시스템 구성 질의 |
1 | $ file /bin/ls |
1 | $ uname -m // machine inf |
http://www.joinc.co.kr/w/Site/Tip/Rsync
rsync -avzh source destination
-a : 심볼릭 링크, 속성, 퍼미션, 소유권 등 보존
-v : 자세한 정보출력
-z : 전송시 압축
-r : 하위디렉토리포함
-e ssh : ssh를 이용한 rsync 동기화
–stats : 결과출력
1 | rsync -av source/ destination/ |
이 옵션을 이용해서 대상 파일을 추가하거나 제외 할 수 있다.
1 | $ rsync -avz --exclude 'data' id@192.168.56.101:/home/backups ./ |
별표(*)도 사용할 수 있다.
1 | $ rsync -avz --exclude '*.cache' id@192.168.56.101:/home/backups ./ |
수정/변경된 내용만 동기화한다.
rsync -avzh moniwiki/ /tmp/backups/
-h, –human-readable : output numbers in a human-readable format
-u : –update update only (don’t overwrite newer files)
–delete : 서버동기화후 원본에서 파일이 삭제되면 백업에서도 파일을 삭제
–remove-source-files :
1 | $ rsync -av /home/ /backup/home/ # 원본 증분 백업 |
목적지에 파일이나 디렉토리가 존재할 경우 삭제하고 싶을 때 --delete 옵션을 사용한다.
1 | rsync -avz --delete id@192.168.56.101:/home/backups ./ |
--remove-source-files를 이용하면, 전송이 끝난 후 원본파일을 삭제한다.
1 | $rsync --remove-source-files -zvh backup.tar /tmp/backups/ |
rsync 에는 ssh 를 이용하여 원격서버에 접속하여 동기화를 하는 기능이 있습니다.
1 | rsync -azrtv --delete --stats -e "ssh -i /root/.ssh/개인키" 원본서버계정@원본서버주소:원본경로/ /백업경로/ |
1 | find . -type f -mtime -3 | rsync -avz --files-from=- /soucepc /data/backup |
/var/log/faillog 는 계정의 로그인 실폐 횟수 정보를 바이너리 파일로 저장한다. 다음 C struct 구조의 정보가 바이너리로 저장되고 있다:
1 | struct faillog { |
직접 읽을 수 없기 때문에 faillog 명령을 사용한다.
1 | $ faillog -u pi # pi 계정 |
최근 3일의 로그인 실패를 찾으려면 :
1 | $ faillog -t 3 -u pi |
https://www.digitalocean.com/community/tutorials/how-to-install-and-configure-vnc-on-ubuntu-14-04
1 | $ sudo apt-get install gnome-panel tightvncserver |
첫 실행을 해서 기본 Config 등의 구성을 하도록 하면 되는데, sudo 없이 계정 권한으로 실행하여도 된다. 계정 권한으로 실행을 하면 해당 계정으로 환경 설정을 한다.
1 | $ vncserver |
실행할 때에 해상도를 미리 정해줘야 한다.
1 | $ vncserver -geometry 1024x768 |
기본 창 관리자 변경
기본 생성된 xstartup 파일에는 내가 원하는 대로 환경 설정이 되어 있지 않다. 가장 먼저 실행된 vnc4server를 종료부터 하고 xstartup 파일을 수정하자.
1 | $ vncserver -kill :1 |
SBC 보드 (raspberry pi, odroid c2 등)를 Terminal 기반으로 사용하려고 할 때 GUI에서 Programming을 확인해야 할 경우 X11, VNC 등을 이용할 수 있다. 여기서는 X Forwarding 기법을 정리하고 있다.
[^1]: Single Board Computer
X11은 유닉스/리눅스의 전통적 데스크탑 프로토콜로 GUI 데스크탑 환경을 X11 Protocol을 사용해서 로컬 혹은 원격지 컴퓨터에서 이용할 수 있게 설계되어 있다.
윈도우즈에서 X ming 환경을 구축하면 X window system을 사용할 수 있다.
ssh 사용 팁과 sshfs 이용 방법에 대해서 정리한다.
터미널에서 ssh를 사용하는데 이용하는 구성과 설정을 정리했다.
ssh를 사용하는 클라이언트에서 ssh-keygen 으로 비밀키와 공개키를 생성하고, 접속하는 서버 계정 밑에 클라이언트 공개키를 저장하면 ssh 접속시 비밀번호 응답 없이 처리되어 로그인 할 수 있다.
클라이언트에서 개인 비밀키를 생성한다. ssh-keygen 명령은 기본적으로 비밀키와 공개키 파일을 사용자 홈디렉토리 ~/.ssh 폴더에, 기본 파일이름 id_rsa.pub, id_rsa.prb 파일로 저장한다.
1 | (CLIENT)$ ssh-keygen -t rsa -b 4096 -C "USER@localhost" |
서버에도 클라이언트와 동일하게 ssh-keygen 명령으로 비밀키와 공개키를 생성한다.
1 | (SERVER)$ ssh-keygen -t rsa -b 4096 -C "USER@server" |
클라이언트에 생성한 공개키 id_rsa.pub 파일을 업로드해서 ./ssh/authorized_keys 파일에 추가해야 한다. 보통 scp 명령으로 복사해서 authorized_keys 파일에 더해주면 된다.
일반적으로 scp 명령으로 복사하고, 서버에 ssh 접속해서 업로드한 공개키 파일을 authorized_keys 파일에 더해준다.
1. 클라이언트에서 복사하기:
1 | scp ~/.ssh/id_rsa.pub USER_ID@HOST_NAME:~/client.pub |
ssh로 서버에 로그인한다.
2.서버 authorized_keys 붙여넣기:
1 | ssh userid@SERVER |
위 2 과정을 아래 명령 한 줄로 복사->붙여넣기를 동시에 할 수 있다.
클라이언트:
1 | cat ~/.ssh/id_rsa.pub | ssh <USERNAME>@<IP-ADDRESS> 'cat >> .ssh/authorized_keys' |
이제 해당 서버로 로그인해 본다.
사용자를 위한 ssh 구성을 하려면 ~.ssh/config 설정 파일을 이용한다.
ssh 접속시 옵션을 주어 세션 유지 시간을 지정할 수 있다.
접속시 ServerAliveInterval=TICK를 사용하면 TICK초 마다 한번씩 ServerAliveInterval를 보낸다.
옵션을 직접 사용하거나 ~/.ssh/config 설정 파일에 지정해 둘 수 있다.
ssh 접속시 -o 옵션으로 지정한다.
1 | ssh -o ServerAliveInterval=10 192.168.0.1 |
사용자의 ssh 설정 파일은 ~/.ssh/config 이다.
1 | # For all hosts |
시스템 전체에 적용한다면 /etc/ssh_config 에 (혹은 데비안 계열은 /etc/ssh/ssh_config) 지정해도 된다.
원격 호스트에서 작업중인 소스등을 편집하는데 터미널로 접속해 vim, nano 같은 편집 도구를 이용할 수 있지만, 개발 컴퓨터에서 손에 익은 GUI 개발 도구를에서 개발하고 편집해서, 원격 호스트에서 실행하는 방법을 선호해서 sshfs를 이용하고 있다.
보통 Sublime Text, TextMate 등의 에디터에서 파이썬 등의 프로그래밍 코드를을 작성하고 sshfs를 이용해 원격 디렉토리에 저장하는 방법을 사한다.
1 | $sudo apt install sshfs |
Mac OS X Fuse 설치
sshfs 설치후 재시동 필요.
다음 설치 파일을 받아 설치한다.
https://win-sshfs.googlecode.com/files/win-sshfs-0.0.1.5-setup.exe
Mac OS X에서는 OSXFuse를 사용해서 사용자 계정에서 sshfs를 이용한다. 그래서 sudo 명령을 사용하지 않는다.
1 | $ sshfs USER_ID@xxx.xxx.xxx.xxx:/ /Volume/remote |
sudo 명령을 이용해서 마운트할 경우 마운트 포인트를 찾지 못해서 다음 같은 에러가 난다.
1 | $ ls |
1 | sudo sshfs USER_ID@xxx.xxx.xxx.xxx:/ /Volume/remote |
사용후 언마운트는 다음과 같다.
1 | $sudo umount /Volume/remote |
https://amaral.northwestern.edu/resources/guides/mounting-remote-folder-os-x-over-ssh
파일 /etc/fstab
1 | sshfs#USER_ID@xxx.xxx.xxx.xxx:/ /Volume/remote |
OS X는 파일을 다룰 때 .DS_Store 파일로 폴더를 지저분하게 한다. 이것을 비활성화 할 수 있다.
마운트할 때 noappledouble 옵션을 사용한다.
1 | $ mkdir ~/example |
1 | sudo sshfs -o IdentityFile=~/.ssh/id_rsa USER_ID@xxx.xxx.xxx.xxx:/ /Volume/remote |
1 | $ mkdir ~/example |
sshfs 구현마다 조금 다르지만 https://linux.die.net/man/1/sshfs 에서 옵션 내용을 조금 살펴보자:
-o reconnect : reconnect to server-o delay_connect : delay connection to servero sshfs_sync: synchronous writes-o no_readahead: synchronous reads (no speculative readahead)-o sshfs_debug: print some debugging information-o cache=BOOL: enable caching {yes,no} (default: yes)-o cache_timeout=N: sets timeout for caches in seconds (default: 20)-o cache_X_timeout=N: sets timeout for {stat,dir,link} cache-o workaround=LIST: colon separated list of workaroundsnone: no workarounds enabledall: all workarounds enabled느린 네트워크에서는 캐시를 끄고 사용하는게 좋겠다.
-o cache=YESNO: enable caching {yes,no} (default: yes)-o cache_timeout=N : sets timeout for caches in seconds (default: 20)-o cache_X_timeout=N : sets timeout for {stat,dir,link} cachesshd 가 암호화를 지원하는 상황에서 안된다.
안전한 네트워크에서는 Ciphers, Compression 옵션을 사용 ^Blazingly fast sshfs 하면 빠른 속도를 얻을 수 있다.
1 | sshfs -o Ciphers=arcfour -o Compression=no server://some/folder /mnt/some_local_folder |
Ciphers=arcfour : 빠른 암호화 메서드, 다만 안전하지 않다.Compression : ssh 내장 압축 사용하지 않는다.rsync 에도 사용할 수 있다.
1 | rsync -e"ssh -c arcfour -o Compression=no" ...rest of rsync cmd... |
네트워크 인터페이스에서 세그먼트 없이 보낼수 있는 최대 데이터그램 크기 값입니다. 만약 데이터가 MTU 값 이상이라면 여러개의 패킷으로 분할이 될 것입니다. 간단하게 보자면 MTU 는 패킷이 한번에 보낼 수 있는 최대 크기라고 볼 수 있습니다.
이더넷의 MTU 값은 일반적으로 1500 바이트이며 옛날에 모뎀을 통해 접속하던 PPPoE 연결은 1492 바이트를 가지고 있습니다.
MTU 는 각 패킷 프레임안에 최대 전송할 수 있는 값 MSS(Maximum segment size) 가 정의되어 있습니다. 그렇다면 MTU는 MSS + TCP/IP 헤더 크기가 될 것이고 반대로 MSS 는 MTU - 40 바이트가 됩니다. 40 바이트는 IP 와 TCP 헤더 20 바이트씩을 뜻합니다.
리눅스에서 MTU 값은 ifconfig 명령으로 확인할 수 있다.
1 | $ ifconfig eth0 |
기본 MTU가 1500인데 이 값을 조정하려면 sudo ifconfig 명령으로 할 수 있다.
1 | $ sudo ifconfig eth0 mtu 9000 |
재시동 후에도 지속적으로 MTU 값을 유지하고 싶으면 /etc/network/interfaces 에 명시하면 된다.
1 | auto eth0 |
http://www.linux-magazine.com/Issues/2014/165/SSHFS-MUX
에러 mount_osxfuse: the file system is not available (255)
There appears to be a problem loading the KEXT installed by the regular osxfuse Homebrew package. You can use brew cask to install the official FUSE for OS X build from their own DMG:
1 | brew rm osxfuse |