<o:p> </o:p>

<o:p> </o:p>

<o:p> </o:p>

<o:p> </o:p>

<o:p> </o:p>

<o:p> </o:p>

<o:p> </o:p>

<o:p> </o:p>

<o:p> </o:p>

<o:p> </o:p>

<o:p> </o:p>

<o:p> </o:p>

<o:p> </o:p>

<o:p> </o:p>

MANUAL DE INSTALAÇÃO<o:p></o:p>

SERVIDORES/GATEWAY LINUX<o:p></o:p>

<o:p> </o:p>

RED HAT FEDORA CORE 3<o:p></o:p>

<a name="_Toc126167755"><![if !supportLists]>A.      <![endif]>Sumário</a>

<a href="#_Toc126167755">A.        Sumário. 2</a><o:p></o:p>

<a href="#_Toc126167756">B.        Introdução. 4</a><o:p></o:p>

<a href="#_Toc126167757">1.         Instalação do sistema operacional. 5</a><o:p></o:p>

<a href="#_Toc126167758">a.      Seleção de pacotes 5</a><o:p></o:p>

<a href="#_Toc126167759">b.      instalação de novos pacotes 6</a><o:p></o:p>

<a href="#_Toc126167760">c.      Atualizando o relógio da máquina pela internet 7</a><o:p></o:p>

<a href="#_Toc126167761">2.         compilando o kernel. 9</a><o:p></o:p>

<a href="#_Toc126167762">a.      Baixando o source do kernel 9</a><o:p></o:p>

<a href="#_Toc126167763">b.      Aplicando patchs ao novo kernel 9</a><o:p></o:p>

<a href="#_Toc126167764">i.        L7-Filter 10</a><o:p></o:p>

<a href="#_Toc126167765">ii.       Static, Alternative Routes, Dead Gateway Detection, NAT. 10</a><o:p></o:p>

<a href="#_Toc126167766">c.      compilando o kernel 11</a><o:p></o:p>

<a href="#_Toc126167767">d.      DEUS! NÃO inicia mais... 12</a><o:p></o:p>

<a href="#_Toc126167768">3.         software: QoS / nat / roteamento / load balance. 13</a><o:p></o:p>

<a href="#_Toc126167769">a.      iptables + l7-filter 13</a><o:p></o:p>

<a href="#_Toc126167770">b.      load balance (balanceamento de carga) 14</a><o:p></o:p>

<a href="#_Toc126167771">4.         software: cache (squid). 20</a><o:p></o:p>

<a href="#_Toc126167772">5.         software: email / spamassasin / anti vírus. 21</a><o:p></o:p>

<a href="#_Toc126167773">a.      Clamav Antivírus 22</a><o:p></o:p>

<a href="#_Toc126167774">i.        Fazendo Upgrade do Clamav. 24</a><o:p></o:p>

<a href="#_Toc126167775">b.      SpamAssassin. 26</a><o:p></o:p>

<a href="#_Toc126167776">c.      IMAP e POP. 26</a><o:p></o:p>

<a href="#_Toc126167777">d.      Inicializando os serviços 27</a><o:p></o:p>

<a href="#_Toc126167778">6.         software: servidor web (apache) / php / MYSQL. 28</a><o:p></o:p>

<a href="#_Toc126167779">a.      Configurando o Apache. 28</a><o:p></o:p>

<a href="#_Toc126167780">i.        Arquivo /etc/httpd/conf/httpd.conf 28</a><o:p></o:p>

<a href="#_Toc126167781">ii.       Arquivo /etc/httpd/conf.d/welcome.conf 28</a><o:p></o:p>

<a href="#_Toc126167782">iii.      Arquivo /etc/httpd/conf.d/virtuais.conf 28</a><o:p></o:p>

<a href="#_Toc126167783">b.      Configurando o PHP. 28</a><o:p></o:p>

<a href="#_Toc126167784">c.      Instalando e configurando o MySQL Server 29</a><o:p></o:p>

<a href="#_Toc126167785">7.         software: dns (bind). 30</a><o:p></o:p>

<a href="#_Toc126167786">a.      Arquivo /etc/named.conf 30</a><o:p></o:p>

<a href="#_Toc126167787">b.      Arquivo /var/named/named.ca. 31</a><o:p></o:p>

<a href="#_Toc126167788">c.      Arquivo /var/named/200.163.208.local 32</a><o:p></o:p>

<a href="#_Toc126167789">d.      Arquivo /var/named/cnett.com.br.zone. 32</a><o:p></o:p>

<a href="#_Toc126167790">8.         script: firewall / controle de banda. 35</a><o:p></o:p>

<a href="#_Toc126167791">9.         software: pppoe server / autenticação radius. 36</a><o:p></o:p>

<a href="#_Toc126167792">a.      Freeradius 36</a><o:p></o:p>

<a href="#_Toc126167793">i.        Arquivo /etc/raddb/radiusd.conf 36</a><o:p></o:p>

<a href="#_Toc126167794">ii.       Arquivo /etc/raddb/clients.conf 36</a><o:p></o:p>

<a href="#_Toc126167795">iii.      Arquivo /etc/raddb/dictionary. 36</a><o:p></o:p>

<a href="#_Toc126167796">iv.      Arquivo /etc/raddb/naslist 37</a><o:p></o:p>

<a href="#_Toc126167797">v.       Arquivo /etc/raddb/naspasswd. 37</a><o:p></o:p>

<a href="#_Toc126167798">vi.      Arquivo /etc/raddb/users. 37</a><o:p></o:p>

<a href="#_Toc126167799">b.      PPPoE Server 38</a><o:p></o:p>

<a href="#_Toc126167800">10.      monitoramento: cacti / mrtg / snmp / ntop. 42</a><o:p></o:p>

<a href="#_Toc126167801">11.      finalmente. 43</a><o:p></o:p>

<a href="#_Toc126167802">a.      pacotes que podem ser removidos 43</a><o:p></o:p>

<a href="#_Toc126167803">12.      Bibliografia e webografia. 44</a><o:p></o:p>

<o:p> </o:p>

<a name="_Toc126167756"><![if !supportLists]>B.      <![endif]>Introdução</a>

<o:p> </o:p>

<a name="_Toc126167757"><![if !supportLists]>1.           <![endif]>Instalação do sistema operacional</a>

               Este documento não visa explicar como deve ser feita a instalação de um sistema operacional linux com suas partições e afins. Para isso existem diversos outros documentos na internet. “O Google é seu amigo”.

               Apenas para que se saiba a versão a ser utilizada neste documento é a distribuição linux da Red Hat denominada Fedora Core 3. Mais informações sobre ela podem ser conseguidos no site:

<a href="http://www.redhat.com/en_us/USA/fedora/">http://www.redhat.com/en_us/USA/fedora/</a>

               Alguns pontos que serão abordados é o formato como fiz a minha instalação, principalmente na questão de seleção de pacotes e remoção de pacotes inúteis após a instalação do sistema.

<a name="_Toc126167758"><![if !supportLists]>a.            <![endif]>Seleção de pacotes</a>

               Após a instalação (onde selecionei a opção Custom e desmarquei todos os pacotes que são instalados por padrão, ficando a instalação com 591 MB e utilizando apenas o CD 1 do Fedora Core 3) fiz uma seleção de vários pacotes que eu acho inúteis e que nunca usei ou ainda nem tive tempo de descobrir para que servem. Abaixo está a listagem de todos os arquivos que removi do sistema.<o:p></o:p>

<o:p> </o:p>

               Com isso fechei a primeira parte que era a seleção de pacotes.

<a name="_Toc126167759"><![if !supportLists]>b.            <![endif]>instalação de novos pacotes</a>

               Para que possamos atualizar com facilidade os pacotes eu recomendo a utilização do programa apt-get. Esse programa é facilmente encontrado no Google, mas se você é preguiçoso ai vai o link para ele:

<a href="http://apt.freshrpms.net/">http://apt.freshrpms.net/</a>

<a href="http://ftp.freshrpms.net/pub/freshrpms/fedora/linux/3/apt/">http://ftp.freshrpms.net/pub/freshrpms/fedora/linux/3/apt/</a>

               Eu usei a versão apt-0.5.15cnc6-1.1.fc3.fr.i386.rpm. Para fazer a sua instalação é só executar os seguintes comandos:

               Após instalado o programa ele já direciona os repositórios para um repositório do seu sistema operacional. Se você quiser mudar as informações de repositórios use o link abaixo:

<a href="http://freshrpms.net/apt/repositories.html">http://freshrpms.net/apt/repositories.html</a>

               Para que os repositórios sejam atualizado é necessário executar:

               Segundo o site oficial é necessária a execução desse programa por três vezes. Infelizmente nunca vi diferença entre a primeira e a última execução do programa e a última mas, por via das dúvidas eu executo as três vezes sempre. Tenho deixado esse comando no cron do meu box linux para que sempre esteja atualizado o sistema. Faço a atualização uma vez por dia. Coloquei a seguinte linha no arquivo /etc/cron.daily/apt-get-update (para editar textos eu uso o VI, por isso a linha de instalação dele. Além disso parar instalar a versão enhanced é necessário o programa GPM que pode ser desabilitado do SytemV, use o comando ntsysv para isso):

               Além disso não esqueça de dar permissão de execução para o arquivo e reinicie o serviço cron:

               Após isso tudo feito estamos prontos para o próximo passo: instalar os sistemas que serão necessários.

               Agora vamos fazer o update do sistema. Eu não costumo fazer upgrade da distribuição já que isso inclui a mudança do kernel (quando há um novo release) e isso é um programa já que terei que recompilar todo ele novamente. Mais a frente explicarei a compilação do kernel.

               Após todo o download feito o sistema irá instalar todos os pacotes necessários. Esse procedimento pode demorar um pouco. Depois de efetuado eu recomendo que sejam limpos os arquivos temporários dos pacotes baixados.

               Agora que estamos com tudo pronto vamos para a parte de maior empenho: recompilar o kernel com alguns patchs para melhorar o desempenho do servidor.

<a name="_Toc126167760"><![if !supportLists]>c.             <![endif]>Atualizando o relógio da máquina pela internet</a>

               É excencial que todos os relógios dos seus servidores estejam sincronizados. A melhor forma é fazer uma atualização diária usando um servidor NTP na internet.

               Para atualizar usaremos o ntpdate, para isso precisamos instalar alguns pacotes:

               Com a instalação do pacote NTP estamos prontos para usar o programa ntpdate que rodará junto com o cron. O sync-clock é o programa que efetuará a sincronização com o servidor NTP usando o ntpdate.

               Vamos mover o sync-clock para o diretório /etc/cron.daily/sync-clock:

               Precisamos editar o arquivo sync-clock para colocarmos um servidor de nossa região, assim sendo a sincronização será mais rápida, para isso deixe a linha abaixo desse modo:

               Pronto. Agora execute o script para já deixar pronta a primeira sincronização e depois execute o comando hwclock para ver se foi realmente sincronizado.

<o:p> </o:p>

PS.: Não se esqueça de que, na instalação do sistema, você deve selecionar a região GMT-3h00 (Brazil-SaoPaulo). Eu não sei como altera isso depois do sistema instalado, mas vou procurar e coloco aqui.

PS. 2: Obrigado ao amigo stumm (<a href="http://www.inf.ufsm.br/~junior/">http://www.inf.ufsm.br/~junior/</a>) que me ajudou em um tópico sobre isso na UnderLinux (<a href="http://underlinux.com.br/modules.php?name=Forums&file=viewtopic&t=35707">http://underlinux.com.br/modules.php?name=Forums&file=viewtopic&t=35707</a>).

<o:p> </o:p>

<a name="_Toc126167761"><![if !supportLists]>2.           <![endif]>compilando o kernel</a>

<a name="_Toc126167762"><![if !supportLists]>a.            <![endif]>Baixando o source do kernel</a>

               No Fedora Core 3 não vêm mais dados do código fonte do kernel. Para que a compilação seja feita você deve baixar o Special RPM (SRPM) do site da RedHat:

<a href="http://download.fedora.redhat.com/pub/fedora/linux/core/3/i386/os/SRPMS/">http://download.fedora.redhat.com/pub/fedora/linux/core/3/i386/os/SRPMS/</a>

               Agora vamos configurar esse kernel para o que queremos fazer, para isso precisamos instalar vários outros pacotes que estão listados abaixo. Depois do servidor pronto você pode remover os pacotes instalados.

               Esse procedimento demora um pouco, mas tudo depende do hardware que você for utilizar. Após isso feito o source vai estar disponível no diretório:

               Por conveniência é bom que façamos alguns links simbólicos:

               Agora vamos baixar o source mais novo do kernel. Minha indicação é que isso seja feito no site:

<a href="http://kernel.org/">http://kernel.org/</a>

<a href="http://www.kernel.org/pub/linux/kernel/v2.6/linux-2.6.13.4.tar.bz2">http://www.kernel.org/pub/linux/kernel/v2.6/linux-2.6.13.4.tar.bz2</a>

               Fazer o download e instalar os sources:

               Agora vamos aplicar os patchs.

<a name="_Toc126167763"><![if !supportLists]>b.            <![endif]>Aplicando patchs ao novo kernel</a>

               Afinal de contas o que é um patch?!

               Simples: um patch é uma junção de linhas de comando que altera algumas funções em um código fonte. Para que isso seja feito é necessário um pouco de trabalho com a compilação de um kernel novo e, muitas vezes, de programas relacionados a isso. Abaixo descreverei os patchs que farei. No futuro se houverem mais volto a coloca-los aqui.

<a name="_Toc126167764"><![if !supportLists]>i.               <![endif]>L7-Filter</a>

               O L7-Filter é um classificador de pacotes para linux netfilter que identifica os pacotes pelos dados do layer de aplicação (layer 7). Com isso podemos classificar pacotes com sendo do Kazaa, do eMule, do MSN Messenger e assim por diante. Mais informações podem ser conseguidas aqui:

<a href="http://l7-filter.sourceforge.net/">http://l7-filter.sourceforge.net/</a>

               Eu usei a última versão estável do patch que é a 1.5:

<a href="http://prdownloads.sourceforge.net/l7-filter/netfilter-layer7-v1.5.tar.gz">http://prdownloads.sourceforge.net/l7-filter/netfilter-layer7-v1.5.tar.gz</a>

               Vamos fazer o patch:

               Outros pontos desse patch serão abordados nas instalações do programa L7-Filter e da compilação do iptables para que funcione com ele mais a frente. Antes disso teremos que terminar de compilar o kernel.

<a name="_Toc126167765"></a><a name=routes><![if !supportLists]>ii.             <![endif]>Static, Alternative Routes, Dead Gateway Detection, NAT</a>

               Esse patch para mim é um dos mais importante ele fará com que eu possa usar dois links em um mesmo gateway/servidor usando o iproute2, fazendo balanceamento de carga eficiente. Com o auxílio do L7-Filter o sistema de QoS do provedor fica perfeito podendo ser feito ao nível de camada de software. Informações sobre ele podem ser obitidos em:

<a href="http://www.ssi.bg/~ja/#routes">http://www.ssi.bg/~ja/#routes</a>

               Eu usei a seguinte versão:

<a href="http://www.ssi.bg/~ja/routes-2.6.13-12.diff">http://www.ssi.bg/~ja/routes-2.6.13-12.diff</a>

               Vamos fazer o patch:

<a name="_Toc126167766"><![if !supportLists]>c.             <![endif]>compilando o kernel</a>

               Agora que já fizemos os patchs podemos dar andamento ao nosso caminho. Vamos ao trabalho:

               Com esse comando deixaremos o kernel limpo. Agora vamos copiar no .config do kernel original do sistema para já termos os padrões adotados pelo Fedora Core 3, depois podemos apenas editar algumas instruções do kernel para podermos compila-lo.

               Esse comando retorna seu sistema para poder copiar o arquivo certo:

               Aperte enter até finalizar toda a lista. Agora vamos executar o menuconfig para podermos selecionar o que iremos precisar. Para que o menu config funcione precisamos do pacote ncurses-devel instalado, portanto:

               Vamos selecionar o que é e o que não é necessário. Se você têm medo de mexer no seu kernel, deixe ele intacto, apenas adicione as partes necessárias para que os patchs instalados funcionem de modo correto.

Módulos necessários para o L7-Filter:<o:p></o:p>

<![if !supportLists]>·         <![endif]>EXPERIMENTAL (Code maturity level options → Prompt for development and/or incomplete code/drivers)

<![if !supportLists]>·         <![endif]>Netfilter (Device Drivers → Networking support → Networking Options → Network packet filtering)

<![if !supportLists]>·         <![endif]>Connection tracking (Network packet filtering → IP: Netfilter Configuration → Connection tracking)

<![if !supportLists]>·         <![endif]>Connection tracking flow accounting (Network packet filtering → IP: Netfilter Configuration → Connection tracking)<o:p></o:p>

<![if !supportLists]>·         <![endif]>IP tables support (Network packet filtering → IP: Netfilter Configuration → Connection tracking)

<![if !supportLists]>·         <![endif]>Layer 7 match support (Network packet filtering → IP: Netfilter Configuration → Connection tracking)<o:p></o:p>

               Após toda a edição do seu .config é hora de compilar o kernel. Esse processe leva de 30 minutos a 2 ou mais horas, por isso aguarde até o final dele.

               Depois de todo esse sofrimento eu espero que você tenha conseguido deixar seu kernel rodando.

<a name="_Toc126167767"><![if !supportLists]>d.            <![endif]>DEUS! NÃO inicia mais...</a>

               Antes de se apavorar com o que pode vir a acontecer existem alguns pontos que devem sempre serem analisados ao compilar um kernel e ter problemas:

<![if !supportLists]>·         <![endif]>Alterações indevidas: muitas vezes ao executar o “make menuconfig” a gente encontra milhões de opções que nunca ouviu falar. Talvez desabilitando uma delas (como o caso do initrd module) você tenha desabilitado algo importante para a sua máquina e por isso ela não venha a rodar mais. Para ter certeza disso volte ao passo da cópia do config original do Fedora e recomece o procedimento de compilação.

<![if !supportLists]>·         <![endif]>Evite tirar qualquer procedimento que você não tenha certeza do que é.

<![if !supportLists]>·         <![endif]>Mais uma vez: O GOOGLE É SEU AMIGO! Procure, pesquise, descubra informações por conta própria. Todas as funções de um config de kernel (TODAS mesmo) estão em algum lugar na internet devidamente explicados. Se esforce que você consegue.

<![if !supportLists]>·         <![endif]>Volte a acessar seu box com o kernel anterior (sim ele ainda funciona) e tente novamente a compilação.

               Ninguém falou que fazer um servidor/gateway para uma rede comercial ou seja qual outra finalidade virá a ter seria fácil. Se você chegou até aqui a honra já é sua. Daqui pra frente são todos procedimentos mais fáceis, ou como diz um amigo: menos difíceis...

<a name="_Toc126167768"><![if !supportLists]>3.           <![endif]>software: QoS / nat / roteamento / load balance</a>

               Como primeira parte desse capítulo precisamos fazer com que o nosso querido iptables saiba que o L7-Filter existe. Por isso passaremos direto as configuração do iptables com o L7-Filter.

<a name="_Toc126167769"><![if !supportLists]>a.            <![endif]>iptables + l7-filter</a>

               O iptables precisa ser compilado pois ele precisa encontrar os módulos adicionais do L7-Filter para que o QoS funcione de forma eficaz.

<a href="http://netfilter.org/">http://netfilter.org/</a>

<a href="http://netfilter.org/files/iptables-1.3.3.tar.bz2">http://netfilter.org/files/iptables-1.3.3.tar.bz2</a>

               Com esses simples comandos temos o source code do iptables stable 1.3.3 que é suficientemente bom para o que iremos utilizar. Agora precisaremos fazer o patch do L7-Filter dentro do iptables. Dentro do diretório onde foi descompatado o conteúdo do arquivo netfilter-layer7-v1.5.tar.gz podemos encontrar um arquivo iptables-layer7-1.5.patch que é o que utilizaremos para fazer o patch no iptables (você deve estar dentro da pasta raiz do source code do iptables para executar o patch):

               Após aplicado o patch podemos fazer a compilação (não esqueça de remover o pacote rpm do iptables, senão teremos conflitos):

               Aguarde alguns instantes pois o procedimento de compilação pode demorar entre 5 e 20 minutos (ou mais dependendo do hardware). Teoricamente ele deve terminar a compilação sem erros (talvez um ou outro warning, mas nada grave). A partir de agora, diferentemente do padrão do Fedora Core 3, seu iptables está no path /usr/local/sbin/iptables.

               Depois de compilado precisamos colocar as bibliotecas de definições de protocolos do L7-Filter:

<a href="http://l7-filter.sourceforge.net/">http://l7-filter.sourceforge.net/</a>

<a href="http://prdownloads.sourceforge.net/l7-filter/l7-protocols-2005-09-12.tar.gz">http://prdownloads.sourceforge.net/l7-filter/l7-protocols-2005-09-12.tar.gz</a>

               Vamos a instalação das definições:

               Agora suas definições estão instaladas no diretório /etc/l7-protocols.

               Prontinho! Você tem um kernel rodando perfeitamente com o L7-Filter e muitos outros recursos surpreendentes. Abaixo darei algumas dicas de como fazer o gerenciamento de conexões com o L7-Filter.

               Apenas um teste de nosso L7-Filter para termos certeza de que está funcionando pode ser feito usando duas placas de rede nesse servidor. Ligue um cliente a uma das interfaces e ligue a outra no seu link de internet. Faça NAT entre as duas redes e teste para ver se está tudo ok com o NAT:

               Agora vamos bloquear todo tráfego no MSN Messenger (vou bloquear APENAS para questões de teste pois, em um ambiente real, esse bloqueio seria nocivo já que não podemos privar a liberdade de ninguém. Se você for fazer isso no seu provedor ou empresa seja responsável pelo seu ato. Minha indicação é que sejam feitos padrões de QoS para determinados serviços liberando mais ou menos banda para determinados protocolos. Esse é o objetivo do L7-Filter):

               O comando têm que ser todo em uma única linha. Teste na máquina bloqueada se ele consegue acessar o MSN... Acho que não.

               Talvez seja notado que na tela do servidor com o L7-Filter ficam passando milhões de informações, o que pode atrapalhar o desempenho de quem estiver trabalhando no terminal. Estou tentando descobrir uma maneira de resolver esse problema.

<a name="_Toc126167770"><![if !supportLists]>b.            <![endif]>load balance (balanceamento de carga)</a>

               Como colocar dois ou mais links de internet (backbones) pra que uma mesma rede possa aproveitar a banda de todos eles? Essa é uma pergunta que destrói com qualquer pequenos provedor que precise desse serviço.

               Primeiro tenho que divulgar os locais de onde consegui informações para conseguir que funcionasse o script do modo como criei (como dizem: “Na natureza nada se cria, tudo se copia...”):

<a href="http://www.zago.eti.br/trafego.txt">http://www.zago.eti.br/trafego.txt</a>

<a href="http://www.lartc.org/">http://www.lartc.org/</a>

<a href="http://www.gulbf.com.br/index.php?option=com_content&task=view&id=69&Itemid=43">http://www.gulbf.com.br/index.php?option=com_content&task=view&id=69&Itemid=43</a>

               Além desses tiveram muitos outros scripts e tutoriais que li. Até em alemão eu acabei lendo coisas. Fiquei doido, mas pelo menos está funcionando de forma eficiente.

               O primeiro problema do balanceamento de carga é que o Linux em geral mantem um cache da rotas criadas para chegar a determinados pontos da rede internet. Essas marcações são pelos hops criados para ir e qual é o gateway de retorno. Então imaginem o cenário onde o primeiro cliente procura um acesso a um site. Passa-se alguns instantes e outro cliente tenta acessar o mesmo site e, por algum motivo, o sistema ainda têm a primeira rota mas quer, de qualquer maneira, mandar aquela requisição pelo segundo link. Resultado: não abre nada pois o servidor destino recebe um pacote de um gateway com retorno para outro local... Para que isso não aconteça já compilamos o kernel com suporte a esta nova situação: apagar as rotas dinamicamente.

               Antes de começar não esqueça de apagar suas rotas criadas usando o route:

               Além disso precisamos criar as tabelas de roteamento usadas pelo iproute2. Eu vou criar duas tabelas com IDs 201 e 202 sendo elas a tabela 201 e 202 uma para cada um dos links de saída. E também vou criar uma tabela mais alta para a junção deles.

               Vou colocar o script completo de uma só vez para que seja vizualizado com completo. Dentro dele farei algumas anotações dizendo para que servem cada uma das partes dele (não se esqueça que esse script deve rodar apenas uma vez, já que ele gerará erros ao tentar criar novamente a estrutura das tabelas e das interfaces):

               Ahhh sim... Esse script funciona perfeitamente bem! Estou usando ele nesse momento. O único incoveniente é que precisa-se de muitas requisições para que funcione de forma eficiente. Se você fizer uma requisição agora e outra daqui meia hora ele tende sempre a mandar as requisições para o primeiro nexthop (no meu caso para o link 1).

               Além disso eu fiz um pequeno script para rodar no cron de 5 em 5 minutos para resetar as rotas de cache e testar os links. Sim! Se um dos links cair o outro mantem e os clientes não notam que caiu. Abaixo o script (que salvei em /etc/iproute2/ping e coloquei modo +x nele):

               Coloquei ele no cron assim:

               Pronto. Está testada nossa conexão.

               Para que vocês tenham certeza do funcionamento farei o teste para duas redes diferentes.

               Primeiro saindo pela interface eth2 (link2) e indo para o site do uol.com.br:

               E o segundo teste saindo pela interface eth1 (link1) e indo para o terra.com.br:

               PERFEITO!

               Funciona... Eu sabia que funcionava...

<a name="_Toc126167771"><![if !supportLists]>4.           <![endif]>software: cache (squid)</a>

<o:p> </o:p>

<a name="_Toc126167772"><![if !supportLists]>5.           <![endif]>software: email / spamassasin / anti vírus</a>

               O servidor de email é um MTA que será necessário para o bom andamento dos serviços de entrega de mensagens aos clientes. O sevidor que faremos usa o Postfix como MTA e o Clamav como antivírus. Além disso ele terá proteção de autenticação para envio de mensagens e também o SpamAssasin para bloquear conteúdos duvidosos.

               Inicialmente iremos baixar os itens a serem utilizados:

               Após instalados os pacotes necessários para rodar o sistema iremos então configurar o básico do Postfix. O arquivo de configuração do Postfix é o /etc/postfix/main.cf.

               A maior parte das configurações são auto-explicáveis e por isso não me manterei nelas. Apenas colocarei aqui as regras adicionais que uso para outros fins que não os default do programa.

               Os campos que devem ser alterados:

               Precisamos copier os aliases do sistema para os aliases do postfix:

               Além desses itens que devem ser alterados eu adiciono os seguintes:

               Agora vamos criar os arquivos /etc/postfix/maps que são para verificação de conteúdo nas mensagens enviadas pelo servidor. Nesse procedimento proibimos o envio de mensagens com a extensão .BAT, .EXE e outras noscivas. Para isso baixaremos os arquivos atualizados do site SecuritySage:

               Eu deixo o body_checks desabilitado porque ele consome muito processamento para ser realizado. Pronto, a rotirna de verificação de cabeçalhos noscivos está habilitada. Assim é menos difícil que seus clientes enviem mensagens de SPAM com vírus ou traquitanas desse modo.

               Agora vamos passar a configuração do Clamav e do SpamAssassin.

<a name="_Toc126167773"><![if !supportLists]>a.            <![endif]>Clamav Antivírus</a>

               Os arquivos do Clamav já foram baixados, por isso pularemos essa etapa e iremos diretamente a sua compilação e configuração:

               Vamos a configuração para compilarmos:

               Pronto, agora o Clamav está devidamente instalado no sistema. Devemos configurar o arquivo /etc/clamav.conf. Vou colocar aqui as linhas que modifiquei no meu arquivo de configuração:

               Precisamos criar o diretorio de gravação do socket e do pid do clamav:

               Para ajudar no LOG eu criei uma rotina no /etc/logrotate.d/clamd que está escrita assim:

               Agora colocaremos o filtro do Clamav para rodar junto ao Postfix. Para isso precisamos do arquivo clamav-filter que já baixamos:

               Agora vamos criar o diretório de spool para o Clamav:

               Agora iremos editar o arquivo /etc/postfix/máster.cf que diz respeito aos modos e caminhos que percorrerão os emails quando chegarem ao servidor. Apenas colocarei as linhas como devem ficar (lembre-se que não se deve ter mais de uma linha com o mesmo serviço, portanto a linha smtp deve ser editada e não adicionada como a linha do serviço clamav):

               Agora vamos executar o clamav:

               Vamos ainda ter que manter a base de dados de vírus atualizada, para isso o Clamav vem com um software interno que verifica a situação. Para usar esse software precisamos editar o arquivo de configuração dele que fica em /etc/freshclam.conf:

               Após isso feito crie o arquivo de log dele:

               Agora vamos iniciar o freshclam para vermos como funciona a atualização:

               Vejam que todo o processo de atualização foi um sucesso. Mas notem que existe um aviso dizendo que a versão instalada está desatualizada. Você deve estar se perguntando: MAS PORQUE DIABOS ELE INSTALOU UMA VERSÃO DESATUALIZADA? Simples, para poder colocar nesse tutorial como é que se faz o upgrade, ué!

               Vamos ao procedimento de upgrade.

<a name="_Toc126167774"><![if !supportLists]>i.               <![endif]>Fazendo Upgrade do Clamav</a>

               O local onde você sempre poderá encontrar novas informações sobre como fazer o upgrade do Clamav é:

<a href="http://wiki.clamav.net/index.php/UpgradeInstructions">http://wiki.clamav.net/index.php/UpgradeInstructions</a>

               Vamos ao que interessa: como fazer o upgrade para a versão 0.88.

               Primeira coisa que precisamos fazer é o backup das configurações do Clamav:

               Agora iremos baixar a versão mais nova do Clamav que pode ser encontrada em no site <a href="http://www.clamav.net/stable.php#pagestart">http://www.clamav.net/stable.php#pagestart</a>. Eu utilizei a versão 0.88 que era a última versão estável até o momento:

               Agora vamos configurar o novo clamav para que seja compilado:

               Se você quiser dar uma conferida nas novas opções os arquivos default de configuração estão no diretório clamav-0.88/etc/. Nessa versão eu não editei nada. Agora iremos parar o processo do clamav e remover as bibliotecas antigas:

               Agora compilaremos os itens do clamav e faremos sua instalação:

               Eu apenas sobre-escrevi os arquivos de configuração, ou seja, copiei eles do diretório /root/. Novamente para o diretório /etc/. Agora vamos iniciar o clamav novamente e executar o comando de verificação:

               Agora o sistema afirma que a versão é a 0.88. Pronto. Execute o freshclam mais uma vez em modo verbose e verifique o log para ter certeza de que nada ocorreu errado:

               Se você já está satisfeito podemos retirar a opção verbose do /etc/freshclam.conf para que os logs dele sejam menores.

               Pronto o Clamav está instalado. Passaremos ao SpamAssassin.

<a name="_Toc126167775"><![if !supportLists]>b.            <![endif]>SpamAssassin</a>

               O pacote do SpamAssasin já está devidamente instalado no sistema. A configuração do programa fica toda em apenas um arquivo /etc/mail/spamassassin/local.cf.

               Eu sempre deixo a configuração como está por padrão e funciona perfeitamente bem.

               Precisamos apenas editar o arquivo /usr/libexec/postfix/clamav-filter.sh para que este mande as mensagens ao SpamAssassin antes de serem entregues a caixa postal do cliente.

               A linha que contem a variável SENDMAIL deve ficar assim:

               Com esta alteração toda mensagem que chegar ao servidor e for considerada SPAM pelo SpamAssassin sera taggeada, no campo assunto, com a palavra [SPAM]. Se quiser que as mensagens que são SPAM sejam apagadas do servidor, ainda no arquivo clamav-filter.sh, logo antes do item viruscan coloque os itens:

               Assim as mensagens marcadas como SPAM serão enviadas para postmaster da máquina.

               Você deve iniciar o processo do SpamAssasin e pode coloca-lo na inicialização (pelo ntsysv ou chklist):

<a name="_Toc126167776"><![if !supportLists]>c.             <![endif]>IMAP e POP</a>

               Eu não sei se sou eu que sou meio burro mas nunca consegui fazer o Cyrus-IMAP funcionar por isso eu uso o antigo imapd-2002d-3. Vamos baixar e instalar ele. Ele roda junto com o xinetd.

               Para que o service seja iniciado você deve editar o arquivo /etc/xinetd.d/ipop3 e alterar a linha que disable colocando ela como “no”.

               Se você usa IMAP deve fazer isso no protocolo IMAP também. Após isso reinicie o xinetd:

               Para ter certeza de que está funcionando verifique com o comando:

               Não se assuste com a porta 783 aberta, ela é usada pelo SpamAssasin.

<a name="_Toc126167777"><![if !supportLists]>d.            <![endif]>Inicializando os serviços</a>

               Os serviços SpamAssasin e POP/IMAP serão iniciados pelo runtime do linux. Já o Clamav (e seu atualizador freshclam) e o Postfix (que deve ser inicializado após o Clamav) serão inicializados pelo script abaixo (/etc/rc.d/mail):

               Você precisa dar permissão de execução ao arquivo:

               E agora adicione ele dentro do arquivo /etc/rc.d/rc.local. PRONTO!

<a name="_Toc126167778"><![if !supportLists]>6.           <![endif]>software: servidor web (apache) / php / MYSQL</a>

               Vamos fazer a instalação e configuração do servidor de páginas Apache com suporte a PHP.

               Vamos baixar os pacotes necessários e depois passaremos a configuração dos mesmos:

<a name="_Toc126167779"><![if !supportLists]>a.            <![endif]>Configurando o Apache</a>

<a name="_Toc126167780"><![if !supportLists]>i.               <![endif]>Arquivo /etc/httpd/conf/httpd.conf</a>

               Alguns campos que devem ser alterados estão listados abaixo com o formato como eu fiz. Existem muitos outros que podem ser alterados, para maiores informações leia os manuais do Apache.

<a name="_Toc126167781"><![if !supportLists]>ii.             <![endif]>Arquivo /etc/httpd/conf.d/welcome.conf</a>

               Se você quiser mudar sua página de boas vindas ao servidor esse é o local indicado. Aqui você pode setar o local onde está a página padrão do seu servidor.

<a name="_Toc126167782"><![if !supportLists]>iii.            <![endif]>Arquivo /etc/httpd/conf.d/virtuais.conf</a>

               Se você quiser usar domínios virtuais é interessante criar um arquivo apenas para isso. Vou dar um exemplo que uso em meu servidor:

<a name="_Toc126167783"><![if !supportLists]>b.            <![endif]>Configurando o PHP</a>

               O único arquivo que pode ter alterações necessárias no PHP é o /etc/php.ini. O único item que eu altero nele é a quantidade de memória usada para que alguns sites possam ter seu conteúdo utilizado:

Iniciando o Apache

               Agora você já pode iniciar o seu Apache.

               Não esqueça de colocar o Apache para iniciar com o sistema.

<a name="_Toc126167784"><![if !supportLists]>c.             <![endif]>Instalando e configurando o MySQL Server</a>

               O MySQL Server é um banco de dados extremamente poderoso que pode ser usado para “n” situações. A instalação dele é extremamente simples:

               Neste momento apenas irei ensinar como colocar senha de root para o MySQL:

               Após isso para logar como root ao MySQL você deve executar o comando:

<o:p> </o:p>

<![if !supportLists]>7.           <![endif]>Configurando um Webmail (Uebimiau)

               Nem sempre a gente está com um computador na frente com seu leitor de emails preferido para ver as correspondências. Para isso existem vários modelos de webmail. O que eu mais gosto de usar é o Uebimiau pois ele é freeware e foi criado por um brasileiro que, como eu, não desiste nunca.

               Infelizmente hoje, dia 28 de janeiro de 2006, o site oficial (<a href="http://www.uebimiau.org/">www.uebimiau.org</a>) está fora do ar e não sei explicar o motivo, por isso irei colocar um link de espelhamento para a versão mais nova do Uebimiau.

<a href="http://phpbrasil.com/scripts/download.php/id/4131">http://phpbrasil.com/scripts/download.php/id/4131</a>

<a href="http://www.uebimiau.org/downloads/uebimiau-2.7.9-any.zip">http://www.uebimiau.org/downloads/uebimiau-2.7.9-any.zip</a>

               Vamos então baixar e descompactar os arquivos:

               O arquivo irá descompactar o diretório webmail. Vamos então mover esse diretório para uma área de visão do Apache.

#mv webmail/ /var/www/html/

               Agora vamos criar um alias para o serviço de webmail dentro do Apache.

<o:p> </o:p>

<a name="_Toc126167785"><![if !supportLists]>8.           <![endif]>software: dns (bind)</a>

               O servidor de nomes é um item essencial para o bom funcionamento de uma rede com grande número de computadores. Ele irá primeiramente fazer um cachê das principais requisições para agilizar o processo e, posteriormente, poderá resolver nomes para a sua rede interna ou externa. Farei apenas a configuração da resolução de nomes para a rede externa com reverso para uma classe C de IPs roteáveis.

               Vamos começar pela instalação dos pacotes necessários:

               Agora vamos a configuração do servidor (já que o cachê está pré-configurado com a instalação do pacote caching-nameserver).

<a name="_Toc126167786"><![if !supportLists]>a.            <![endif]>Arquivo /etc/named.conf</a>

               Este arquivo já está configurado para servir como cachê para a rede de pesquisa de nomes. No final do arquivo adicionaremos as linhas com relação ao servidor, primeiro a linha dos reversos de IPs roteáveis, adicione as seguintes linhas ao final do arquivo:

               A primeira parte “zone” diz respeito ao reverso para a classe de IPs que eu usarei na minha rede interna. A segunda parte diz respeito ao domínio que irei configurar. Esse exemplo é para um servidor “slave”. Se você quiser pode usar o mesmo servidor tanto para “slave” quanto para “master” (assim só precisa de uma máquina para poder cumprir as necessidades dos domínios junto ao registro.br). Quando quisermos colocar um servidor master deveremos adicionar as seguintes linhas:

               Os campos masters (na configuração de slave) identifica quem é o servidor responsável pelo domínio. Os campos allow-update (na configuração de master) identifica quais os servidores podem registrar alterações nos domínios, sem isso apenas quando o domínio for alterado no servidor master ele será replicado aos slave.

<a name="_Toc126167787"><![if !supportLists]>b.            <![endif]>Arquivo /var/named/named.ca</a>

               Esse arquivo é o responsável pela pesquisa aos root servers mundiais. Para que ele fique atualizado podemos usar o comando:

               Se você digitar apenas o comando “dig” terá a lista dos servidores root:

               Com isso seu arquivo de servidores ficará atualizado para pesquisas mundiais.

<a name="_Toc126167788"><![if !supportLists]>c.             <![endif]>Arquivo /var/named/200.163.208.local</a>

               Agora iremos configurar a primeira zona de reversos para a classe C que tenho <st1:PersonName ProductID="em m￣os. A" w:st="on">em mãos. A</st1:PersonName> configuração ficou dessa forma:

               Essa é a estrutura que tenho em meus servidores. Qualquer dúvida é só procurar nos documentos do site relacioando ao BIND nameserver.

<a name="_Toc126167789"><![if !supportLists]>d.            <![endif]>Arquivo /var/named/cnett.com.br.zone</a>

               Agora vamos a configuração do domínio e de seus aliases.

               Agora que já terminamos as configurações podemos iniciar o processo do bind com o comando:

               Mas como eu posso testar se está funcionando meu DNS?! Primeiro saberemos se ele está resolvendo nomes, para isso altere o arquivo /etc/resolv.conf e coloque como nameserver primário o seu IP do localhost assim:

               Faça um teste de ping simples para um domínio qualquer:

               Se ainda continua em dúvida use o commando “dig” e verifique o registro de DNS de um site conhecido:

               AHHHH! Mas e como eu sei se meu domínio, recém criado para esse servidor, está sendo direcionado corretamente?! Simples, vamos usar o “dig” novamente:

               O que achou?! Agora sim você têm o seu próprio DNS!

               Não esqueça de colocar o named para inicializar com o sistema usando o chkconfig ou ntsysv.

PS.: O arquivo /etc/host.conf diz ao sistema em quem ele deve procurar os nomes primeiro, se no DNS ou no arquivo /etc/hosts. É interessante que todas as máquinas conhecidas da sua rede e seus respectivos hostnames (principal e não secundário como por exemplo ns2.cnett.com.br/principal e web.cnett.com.br/secundário) estejam listados aqui. Assim não tem como a máquina se perder na localização de seus domínios e IPs.

<a name="_Toc126167790"><![if !supportLists]>9.           <![endif]>script: firewall / controle de banda</a>

<o:p> </o:p>

<a name="_Toc126167791"><![if !supportLists]>10.     <![endif]>software: pppoe server / autenticação radius</a>

               Para fazermos a instalação desse modelo de autenticador é indicado o uso de duas ou mais máquinas na rede interna do provedor. Eu utilizei dois servidores, sendo um dentro de uma DMZ e outro como gateway e autenticador PPPoE. Começarei instalando o servidor de autenticação FreeRadius.

<a name="_Toc126167792"><![if !supportLists]>a.            <![endif]>Freeradius</a>

               Primeiro façamos a instalação dos sistemas do FreeRadius.

               Após instalado o servidor de autenticação deveremos configurar o mesmo. As configurações dele ficam em /etc/raddb.

<a name="_Toc126167793"><![if !supportLists]>i.               <![endif]>Arquivo /etc/raddb/radiusd.conf</a>

               Para que o FreeRadius possa autenticar os clientes usando o shadow do linux o usuário radiusd deve ter permissão de leitura no arquivo shadow. Para isso edite a linha group, ela está assim:

               Mude para:

               Agora só sete o modo de leitura para o grupo root no arquivo /etc/shadow:

<a name="_Toc126167794"><![if !supportLists]>ii.             <![endif]>Arquivo /etc/raddb/clients.conf</a>

               Neste arquivo colocaremos todas as configurações dos servidores que deverão conectar a este radius para pedir nomes e senhas de usuário ao sistema, a sintaxe é simples. Vou apenas configurar um client que é o meu servidor PPPoE, adicionando estas linhas ao final do arquivo e comentando todas as outras:

<a name="_Toc126167795"><![if !supportLists]>iii.            <![endif]>Arquivo /etc/raddb/dictionary</a>

               Neste arquivos iremos adicionar as bibliotecas de indexação para a configuração correta dos controles de velocidade nos servidores PPPoE. Adicione estas linhas no final do arquivo:

<a name="_Toc126167796"><![if !supportLists]>iv.           <![endif]>Arquivo /etc/raddb/naslist</a>

               Aqui está a lista dos servidores e seus apelidos, comente todas as linhas e adicione a linha referente ao seu servidor PPPoE:

<a name="_Toc126167797"><![if !supportLists]>v.            <![endif]>Arquivo /etc/raddb/naspasswd</a>

               Neste arquivo devem ser colocados todos os servidores e colocar a exceção do login para o root, um exemplo para o servidor localhost (127.0.0.1):

<a name="_Toc126167798"><![if !supportLists]>vi.           <![endif]>Arquivo /etc/raddb/users</a>

               Neste arquivo configuraremos os grupos que terão permissões para acesso e suas configurações de velocidade, eu adicionei apenas um grupo como teste:

               Além disso comente todos os outros protocolos deixando apenas as linhas abaixo descomentadas:

               Agora adicione um usuário ao sistema para que você possa testar. Esse usuário deve estar em um dos grupos que você cadastrou no arquivo users. Ahhhhh! Você não criou o grupo?! O que está esperando então?!

               Pronto agora vamos criar um usuário. Saiba que para o usuário poder logar ele precisa ter uma shell válida (/bin/bash ou outra qualquer) então, assim sendo, teremos problemas sérios de segurança que devem ser contidos com um diretório de usuário (home) direcionado para /dev/null. Criemos então o usuário:

               Agora dê uma senha a esse usuário:

               Pronto, nosso servidor radius está configurado apenas esperando as conexões de nosso PPPoE. Você pode colocar ele para iniciar com o sistema pelo ntsysv, mas para ter certeza de que a autenticação está ok você deve verificar os LOGs em /var/log/radius e também pode executar o radius em modo debug, assim:

               Vamos agora configurar o servidor PPPoE.

<a name="_Toc126167799"><![if !supportLists]>b.            <![endif]>PPPoE Server</a>

               Essa instalação é baseada no tutorial do Scorpion:

<a href="http://underlinux.com.br/noticia4447.html">http://underlinux.com.br/noticia4447.html</a>

               Primeiro iremos instalar os pacotes necessários para o bom funcionamento do sistema:

               Agora iremos baixar os arquivos modificados do PPP para compilarmos:

               Agora vamos editar as configurações do servidor PPPoE. Primeiro adicione as linhas no final do arquivo /etc/ppp/pppoe-server-options:

               Agora edite o arquivo /etc/radiusclient/servers e adicione seu servidor radius:

               Edite o arquivo /etc/radiusclient/radiusclient.conf e altere as linhas abaixo:<o:p></o:p>

               Agora vamos criar o arquivo de IPs que serão usados pelo servidor PPPoE para atribuir aos clientes (não esqueça que essa classe de IP deve estar listada no seu NAT, se for o caso, senão seus clientes não irão ter acesso a nada). O arquivo a ser criado deve ser /etc/ppp/ips e tem a seguinte sintaxe:

               Isso indica que o servidor pode usar, sequencialmente, os IPs da subrede 192.168.0.0/24 entre o 192.168.0.5 e o 192.168.0.100.

               Agora você deve substituir o arquivo /etc/ppp/ip-up pelo modificado para ter o controle de banda:

               E também o arquivo /etc/ppp/ip-down:

               Agora edite o arquivo /etc/radiusclient/dictionary para adicionar os grupos de bibliotecas iguais ao do seu servidor radius:

               Depois de tudo configurado teremos que iniciar o servidor PPPoE, o comando para iniciar o servidor é:

               Você pode adicionar esse comando ao seu arquivo /etc/rc.d/rc.local para que seja inicializado sempre ao iniciar a máquina.

<a name="_Toc126167800"><![if !supportLists]>11.     <![endif]>monitoramento: cacti / mrtg / snmp / ntop</a>

<o:p> </o:p>

<a name="_Toc126167801"><![if !supportLists]>12.     <![endif]>finalmente</a>

<a name="_Toc126167802"><![if !supportLists]>a.            <![endif]>pacotes que podem ser removidos</a>

#rpm -e rpm-build make gcc redhat-rpm-config cpp glibc-devel glibc-headers glibc-kernheaders gnupg m4 binutils file patch ncurses-devel

               Além de todos estes pacotes você pode apagar todos os sources baixados para que fique com mais espaço em disco.

<a name="_Toc126167803"><![if !supportLists]>13.     <![endif]>Bibliografia e webografia</a>

MAURIAT MIRANDA, Personal Fedora Core 3 Installation Guide. Disponível em <http://www.mjmwired.net/resources/mjm-kernel-fc3.html>. Acessado em 17 de outubro de 2005.

RED HAT INC, Fedora Core 3 Release Notes. Disponível em <http://download.fedora.redhat.com/pub/fedora/linux/core/3/i386/os/RELEASE-NOTES-en.html>. Acessado em 17 de outubro de 2005.

Ethan Sommer; Matthew Strait, Application Layer Packet Classifier for Linux. Disponível em <http://l7-filter.sourceforge.net/>. Acessado em 17 de outubro de 2005.

Julian Anastasov, Linux Advanced Routing. Disponível em <http://www.ssi.bg/~ja/>. Acessado em 17 de outubro de 2005.

ZAGO.ETI.BR, FAQ e links pra medir trafego da rede. Disponível em <http://www.zago.eti.br/trafego.txt>. Acessado em 18 de outubro de 2005.

LARTC.ORG, Linux Advanced Routing & Traffic Control. Disponível em <http://www.lartc.org/>. Acessado em 18 de outubro de 2005.

SOARES, GLEYDSON, Integrando O Postfix com o ClamAV e SpamAssassin. Disponível em <http://www.unitednerds.org/thefallen/docs/index.php?area=Postfix&tuto=Clamav-SA-Bogo>. Acessado em 19 de dezembro de 2005.

ORTIZ, RODRIGO, Postfix+Auth no FEDORA. Disponível em <http://underlinux.com.br/noticia4466.html>. Acessado em 12 de janeiro de 2006.

SOARES, GLEYDSON e MICHELLIS, DEIVES, Integrando o Postfix com o Clamav e SpamAssassin/BogoFilter. Disponível em <http://www.unitednerds.org/thefallen/docs/index.php?area=Postfix&tuto=Clamav-SA-Bogo>. Acessado em 12 de janeiro de 2006.

MACIEL, MARCUS, PPPoE + Radius + Bandlimit. Disponível em <http://underlinux.com.br/noticia4447.html>. Acessado em 20 de janeiro de 2006.

GENOME SCIENCES, NTP Configurator. Disponível em <http://cfm.gs.washington.edu/network/ntp/ntp/>. Acessado em 25 de janeiro de 2006.