Глава 5 Конфигурирование и создание оптимизированных, безопасных ядер (Часть 1)

Общий обзор.

Ну хорошо, вы видите, что ваш сервер приобрел общую форму. Но подождите, что является основной частью вашего сервера? Да, это ядро. Оно является основой операционной системы. Без него Linux не Linux. Так что мы должны очень внимательно отнестись к ядру и настроить его так, чтобы оно соответствовало нашим потребностям. Первое о чем вы думаете, создавая новое ядро, это его более отличная настроенность под вашу систему. Это сделать очень просто, но в любом случае прочитайте вначале файл README в каталоге "/usr/src/linux". При конфигурировании ядра вы должны компилировать коды, которые вам нужны. Это даст следующие преимущества: ядро будет быстрее (меньше размер кода, входящего в него), у вас освободиться место в RAM (меньше кода, меньше размер ядра, а части ядра никогда не помещаются в виртуальную память), ядро будет более стабильным (не надо искать не существующих устройств), неиспользуемые части могут использоваться нападающим для получения доступа к вашей или другим системам. Модули работают медленнее, чем тот же код в компилированный в ядро. При конфигурировании и компиляции мы будем создавать монолитное ядро. Такое ядро получатся при ответе на вопросы Yes или No (никогда не создавайте модули) и пропуске следующих шагов: make modules и make modules_install. Также мы будем патчить наше новое ядро кодом защиты от переполнения буфера. Подобный патч для ядра существует и работает он подобно Solar Designer's, отвергая выполнение кода находящегося в стеке, делая осуществление атак типа "переполнение буфера" более сложным, и полностью защищая систему от всех текущих эксплойтов взятых из "script kiddies" всемирной сети.

Помните, что на все вопросы надо отвечать Yes или No, если вы хотите создать монолитное ядро. Ели вы собираетесь использовать маскарадинг или дозвон через ppp соединение, то создать монолитное ядро невозможно, эти функции требуют использования ряда модулей. Поэтому вам придется создавать модульное ядро.

Созданное ядро будет сильно привязано к определенному аппаратному обеспечению, при конфигурировании я использовал следующее оборудование:

• 1 Pentium II 400 MHz (i686) processor
• 1 Motherboard SCSI
• 1 Hard Disk SCSI
• 1 SCSI Controler Adaptec AIC 7xxx
• 1 CD-ROM ATAPI IDE
• 1 Floppy Disk
• 2 Ethernet Cards Intel EtherExpressPro 10/100
• 1 Mouse PS/2

Все шаги описанные ниже подразумевают

UNIX-совместимые команды
Исходные коды находятся в /usr/src
Тестирование проводилось под Rad Hat 6.1 и 6.2
Все шаги инсталляции выполнялись от пользователя root
Последняя версия ядра 2.2.14
Последняя версия Secure Linux Kernel Patches 2_2_14-ow2

Пакеты.

Домашняя страница ядер Linux: http://www.kernelnotes.org/
Вы должны скачать: linux-2_2_14_tar.gz
Домашняя страница Secure Linux Kernel Patches: http://www.openwall.com/linux/
Вы должны скачать: linux-2_2_14-ow2_tar.gz
FTP сервер, где лежит Secure Linux Kernel Patches: 195.42.162.180

Создание аварийной загрузочной дискеты.

Первый прединсталляционный шаг - создание "аварийной загрузочной дискеты" (если ее у вас еще нет). Самый простой путь - это воспользоваться командой mkbootdisk.

Первое, надо выяснить какое ядро вы сейчас используете. Для этого просмотрите файл "/etc/lilo.conf" и посмотрите какой образ загружается. У меня этот файл выглядит так:

[root@deep]# cat /etc/lilo.conf
boot=/dev/sda
map=/boot/map
install=/boot/boot.b
prompt
timeout=50
image=/boot/vmlinuz-2.2.12-20
  label=linux
  root=/dev/sda6
  initrd=/boot/initrd-2.2.12-20.img
  read-only

Найдите в нем образ ядра, который вы используете. Обычно, он имеет метку linux. В нашем примере это "/boot/vmlinuz-2.2.12-20". Теперь просто вставьте дискетку 1,44'' и подключитесь к системе как пользователь root.

После выполнения этих рекомендаций, вы будете иметь загрузочную дискету с известным работающим ядром, на случай, если обновление пройдет неудачно. Я рекомендую перезагрузить систему с этой дискеты, чтобы убедиться, что все в порядке.

Деинсталляция и оптимизация.

Скопируйте архив ядра в /usr/src и перейдите туда:

Эти шаги нужно выполнять, если у вас уже были установлены ранее исходные кодя ядра из tar.gz. Если это первое обновление ядра, то надо деинсталлировать два rpm пакета: kernel-headers-version.i386.rpm и kernel-version.i386.rpm.

Удаление символической ссылки.

Удаление текущий каталог с заголовочными файлами ядра

Удаление каталога с модулями ядра:

Замечание. Удаление старых модулей ядра необходимо, если вы до этого устанавливали модульное ядро. Если в "/lib" вы не находите каталога с модулями, значит ядро у вас было монолитных.

Если у вас были установлены стандартные RPM пакеты с ядром вместо .tar.gz архива, потому что вы только, что завершили установку нового сервера или использовали RPM пакеты для обновления вашей системы, тогда используйте следующие команды для деинсталляции ядра.

Для проверки, что они у вас установлены дайте команду.

Для деинсталляции RPM пакетов:

Мы вручную удалили каталоги "/usr/src/linux-2.2.12" и "/lib/modules/2.2.12", которые останутся после деинсталляции rpm пакетов.

Сейчас мы будем разворачивать исходные коды нового ядра из tar.gz затем удалим Linux tar-архив.

Для увеличения числа разрешенных задач (максимальное число процессов для пользователя) вам нужно редактировать файл "/usr/src/linux/include/linux/tasks.h" и изменить следующий параметр:

Редактируйте tasks.h file (vi +14 /usr/src/linux/include/linux/tasks.h) и измените:

Замечание. 1. Значение NR_TASKS определяет максимальное число идентификаторов задач (процессов), которое ядро будет назначать каждому пользователю. Увеличение этого числа приведет к увеличению количества соединений от клиента к серверу (например, веб-сервер сможет обслуживать большее количество запросов).
2. Linux защищен от того, чтобы распределить все свободные области памяти процессов обычным пользователям. С помощью опции MIN_TASKS_LEFT_FOR_ROOT резервируются подобные области для root. (24 хорошее значение).

Для оптимизации ядра Linux под вашу конкретную архитектуру CPU и включения оптимизационных флагов вам надо редактировать файл "/usr/src/linux/Makefile" и изменить следующие параметры:

Редактируйте Makefile (vi +18 /usr/src/linux/Makefile) и измените следующую строку:

Должна быть:

Редактируйте Makefile (vi +25 /usr/src/linux/Makefile) и измените следующую строку:

Должна быть:

Редактируйте Makefile (vi +90 /usr/src/linux/Makefile) и измените следующую строку:

Должна быть:

Редактируйте файл Makefile (vi +19 /usr/src/linux/Makefile) и измените следующую строку:

Должна быть:

Они включают агрессивные оптимизационные трюки, которые могут и не работать со всеми ядрами. Пожалуйста, если оптимизационные флаги приведенные выше не работают у вас, не пытайтесь во чтобы то ни стало заставить их работать. Я не хочу сделать вашу систему нестабильной, подобно Microsoft Windows.

Безопасность ядра.

Secure Linux kernel patches от Openwall Project прекрасный путь предупредить атаки Stack Buffer Overflows и подобные ей. Этот патч включает набор дополнительных возможностей связанных с обеспечением безопасности ядра Linux, которые настраиваются через новую конфигурационную секцию '"Security options".

Новые возможности патча linux-2_2_14-ow2_tar.gz:

• Неисполняемая область стека пользователя;
• Ограничение использования ссылок в /tmp;
• Ограничение использования FIFO в /tmp;
• Ограничения в /proc;
• Специальные дескрипторы для fd 0,1 и 2
• Усиление RLIMIT_NPROC на execve(2)
• Уничтожение неиспользуемых разделенных сегментов памяти;

Замечание. Когда вы наложите патч linux-2_2_14-ow2 в конце конфигурации ядра будет добавлена секция "Security options". Для получения большей информации о новых возможностях читайте в файле README, поставляемого вместе с исходными кодами патча.

Применение патча.

Первое, мы копируем программный архив в каталог /usr/src, затем мы перемещаемся в этот каталог и раскрываем там архив linux-2_2_14ow2_tar.gz, переходим в раскрытый патч и перемещаем оттуда файл linux-2.2.14-ow2.diff в /usr/src, возвращаемся в /usr/src и патчим ядро файлом linux-2.2.14-ow2.diff. После этого мы удаляем все файлы, связанные с этим патчем. Замечание. Все сообщения обеспечения безопасности связанные с патчем linux- 2.2.14-ow2 должны фиксироваться в файле /var/log/massage. Стадия наложения патча на ваше ядро завершена. Теперь пора вернуться к созданию ядра и перезагрузке.

ЗАМЕЧАНИЕ ОТ ПЕРЕВОДЧИКА. При определение опции "Destroy shared memory segments not in use" в секции "Security options" у меня начала "ругаться" программа, предназначенная для работы с UPS, apcupsd. Пришлось эту опцию отключить.

Компиляция.

Очень важно, чтобы ваши "/usr/include/asm", "/usr/include/linux" и "/usr/include/scsi" представляли из себя символические ссылки к исходным кодам ядра.

Каталоги "asm", "linux" и "scsi" являются символическими ссылками к реальным include директориям необходимым для конкретной архитектуры, например, "/usr/src/linux/include/asm-i386" для "asm".

Это очень важная часть конфигурирования, мы удаляем каталоги "asm", "linux", и "scsi" под "/usr/include", затем создаем ссылки на каталоги с такими же именами в дереве исходных кодов нового ядра. Каталог "include" содержит важнейшие заголовочные файлы необходимые для вашего ядра и для программ, которые вы будете компилировать.

Сделайте так, чтобы у вас не было старых .o файлов и неправильных зависимостей:

Замечание. Эти первые два шага просто очищают любые лишние элементы, которые могли быть случайно оставлены группой разработки ядра.

Сейчас мы имеет корректно установленные исходные коды ядра. Существует три пути для конфигурирования ядра.

1. Команда make config. Она предоставляет вам текстовый интерфейс для ответов на вопросы относительно всех параметров настройки ядра. Вы будете запрошены обо всех нужных вам опциях.
2. Команда make menuconfig. Она предоставляет все опции настройки в легком в использовании меню.
3. Команда make xconfig. Она предоставляет полный графический интерфейс ко всем опциям ядра.

В этой главе, для конфигурирования ядра мы используем команду make config, потому что у нас на сервере не установлен Xfree86.

Конфигурация ядра.

Сейчас вернитесь в каталог "/usr/src/linux" (если вы там не находитесь). Вам нужно компилировать новое ядро. Для этого используйте следующие команды:

Эта строка содержит три команды. Первая, make dep, берет вашу конфигурацию и создает надлежащее дерево зависимостей. Этот процесс определяет, что надо компилировать, а что нет.

make clean - стирает все следы предыдущих компиляций, чтобы ошибки предыдущей версии не попали в новое ядро.

make bzImage - осуществляет полную компиляцию ядра.

После того как процесс компиляции завершается, ядро сжимается и готово к инсталляции. Перед тем как инсталлировать ядро вы должны скомпилировать необходимые модули. Это необходимо, если вы ответите Yes на вопрос "Enable loadable module support (CONFIG_MODULES)" и отметили некоторые опции в ядре как модули. В этом случае введите следующие команды:

Замечание. Команды make modules и make modules_install нужны, если вы ответили Yes на вопрос "Enable loadable module support (CONFIG_MODULES)".