Week 11(2020/11/26) 期中考題 part 2 底加拉（上機/筆試）

# Week 11(2020/11/26) 期中考題 part 2 底加拉（上機/筆試） - Book mode https://hackmd.io/@ncnu-opensource/book [TOC] ## 規則： ![](https://i.imgur.com/hJueRO7.png) - 如有問題請舉手發問。 - 請在 AWS 上實作。 - 請勿編輯本頁面。 - 請勿以私訊或聊天室等任何方式彼此溝通。 - 當然也請不要直接實體溝通啦... 那算作弊哦 - 可以上網自由地找資料、補充這學期相對應的共筆頁面。 - 請確定執行正確，再找助教 DEMO，僅 **部份**題目需要 DEMO - 會標記在題目上 - 除了 Webserver 外，DEMO 時，助教發現答案錯誤便 **無法** 擁有再更改的權利（即為該題錯誤） - 筆試答案的部份請寫在試卷上 **We Are Watching You.** ## SSH 5％ - 請建立 3 台 AWS EC2 的 Ubuntu VM - 並將下列 ssh 公鑰寫入各個 VM 的特定檔案中，讓助教能以 **無密碼** 的方式 ssh 進你的所有 server 中 - P.S.: 助教擁有私鑰 :::success ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQCMCsWRObWBj5mv8FdWFNEb17TDTnlVH6yT1QAOemfsCsjIc1VTTGi1t7HkQJegSJdORNJe2ezSU1vPYhuOCWsnzC2x7tD2aAhrs3SlecR5pMYyhfCsOW+hP8ypb6aaHFSMK49fQf2QGhg80z3pwF1CDIO/3SfhjZR2eA69IsoopgmZ71Q8XmS790GPCNCsBdMkHRgTqJGp8DloxLkuMJQr8ouzm9JpKnnq2Uh0QCHRuRlonKkt/TQXntLR7htaniHjGe/wOcqfzxYfGTLDsPP7rbgZ3tMdttB0IFqGi1jNCdmnpQH15LSY+GnapaBgQekwtIrXsGucUYhM8e2L9dDz 1091lsamideumtest ::: ## Web server 65％請建立 3 台 EC2 VM 分別實作 Nginx, Apache, Lighttpd server 請依照要求完成以 IP , domain name, 或 port 區分 virtual host 並呈現出不同顯示畫面，詳細架構連接如下圖： ![](https://i.imgur.com/zDKcJkf.png) ### A. <span class="vm">VM-1</span> Nginx server 1. (10％) 輸入 ==<public_**ip**>== 會得到以下頁面 (請依照下列格式作答並顯示在網頁上)： - (10％) 成功輸出並且輸出內容正確 - (5％) 成功輸出但輸出內容錯誤 - (0％) 未成功輸出 ```htmlmixed= <head> <meta charset='UTF-8'> <h1>課程相關</h1> <h2>中文全名：（請填入此處）</h2> <h2>英文全名：（請填入此處）</h2> <h2>英文縮寫：（請填入此處）</h2> </head> ``` 2. (5％)輸入 ==<public_**ip**>:8080== 會 proxy 到 [Mr.郭網頁](https://vincentinttsh.github.io/) :::success 請使用 [NO-IP 免費提供 public domain name]( https://www.noip.com/) 取得兩個如 **題3** 與 **題4** 規定之 domain name EX: (以學號 106213014 為例，請依據自己的學號做替換) 106213014-apache.hopto.org 106213014-lighttpd.hopto.org ::: 3. (20％) 輸入 ==<學號>-apache.hopto.org== 會導向 Apache server 的頁面 **（詳細格式請看 VM-2）** - (10％) ==:80 (port)== : 助教資訊 - (10％) ==:80 (port)/~<username> (預設使用者)== : 學生個人資訊 4. (15％) 輸入 ==<學號>-lighttpd.hopto.org== 會導向 Lighttpd server 的頁面 **（詳細格式請看 VM-3）** - (10％) ==:80 (port)== : 老師相關訊息 - (5％) ==:8080 (port)== : 連到 lsa.bluet.org 5. (15％)輸入 ==<public_domain_**name**>== 會在以下 3 個網頁間做 load balance - (5％) 網頁顯示 — 助教的名字 (Apache) - (5％) 網頁顯示 — 老師的資訊 (Lighttpd) - (5％) 網頁顯示 — 老師的網頁 (Lighttpd proxy) ### B. <span class="vm">VM-2</span> Apache server 1. 在 port = 80 時，請作答並以下列格式顯示內容： ```htmlmixed= <head> <meta charset='UTF-8'> <h1>助教們的中文名字</h1> <h2>（請在此處填寫所有助教名字，包含愛心助教共 5 位）</h2> </head> ``` 2. 網址後增加 `/~<username> (預設使用者)` 可 show 出以下學生資訊： ```htmlmixed= <head> <meta charset='UTF-8'> <h1>本次作答學生資訊</h1> <h2>姓名：（請填寫名字）</h2> <h2>學號：（請填寫學號）</h2> </head> ``` ### C. <span class="vm">VM-3</span> Lighttpd server 1. 在 port = 80（Default）時，請作答並以下列格式顯示內容： ```htmlmixed= <head> <meta charset='UTF-8'> <h1>LSA 的老師</h1> <h2>中文名字：（請作答）</h2> <h2>英文全名：（請作答）</h2> <h2>常用 ID：（請作答）</h2> <h2>Telegram ID：（請作答）</h2> <h2>Facebook 個人檔案的名稱：（請作答）</h2> </head> ``` 2. 在 port = 8080 時，請 proxy 到 lsa.bluet.org ## 手寫 ### 問答題 26％ 1. 2％請問 Linux kernel 第一版是由誰實作的（使用英文回答） 3. 4% Open Source 主張人們對於軟體應該有什麼權利 Open source licenses affect the way people can ___, _____, ______, and __________ software. In general, open source licenses grant computer users permission to use open source software for any purpose they wish. - use、study、 modify 3. 2％根網域 DNS 伺服器有幾台（不含中國自己講的） 4. 12％列舉 3 種 webserver(Nginx, Lighttpd, Apache)各自的優劣處 - Nginx - pros: 輕量，善於處理靜態文件，適合做proxy角色，承接多位使用者的連線 - cons: 不善於處理動態文件 - Lighttpd - pros: 輕量快速 - cons: 與Nginx一樣不善於處理動態文件 - Apache - pros: 模組多樣 (只有這個優點) - cons: 很老很肥(不輕量) 5. 4％在網路世界裡，DMZ 的特點為何？請舉例一個會放在 DMZ 中的服務以及原因 - 特點: 不得以給外網存取的服務，可放在DMZ - 例子: moodle 6. 2% 8.8.8.8 是什麼主機，是由誰提供到？ - DNS,Google ### 子網路遮罩 30％請根據已知資訊，幫我算算下圖 firewall 三張網卡的 IP 及 subnet mask 吧！ - 10％ eth1 ： - firewall 的對外網卡 - 10.多、192.168多 (不要太誇張都給過) - IP 位址、subnet mask為您自己的主機的 IP 及 subnet mask - 10％ eth2 - 格式 ==`172.19._._/_`== - firewall 的對內（DMZ 區域）網卡 - IP 位址為該網段的最後一個可用 IP - Ans : 172.19.31.254 - ==s1(Lighttpd) IP 位址為172.19.18.24/20== - ==s2(DNS) IP 位址為172.19.19.24/20== - ==s3(ssh) IP 位址為172.19.19.25/20== - 10％ eth3 - 格式 ==`192.168._._/_`== - firewall 的對內（NAT 區域）網卡 - IP 位址為此網段之第一個可用 IP - - 192.168.0(64、128、192).1/18 - 這網段需要 16384 的 IP space - 32-14(2^14=16384)=18 bits(subnet) ### iptables 50％(依照答案正確程度給分) ![](https://i.imgur.com/JHi7yPD.png) :::info **情境** LSA 學院的校網架構如下，擁有一個內網 (LAN) 讓學生們使用，一個 DMZ 放置網頁服務，兩者都不可直接對外 (BBI) ，校網對外 (BBI) 的流量都需要經過 Firewall 過濾再轉送，此外，Firewall 上有 Nginx 作為 Proxy Server 來接收 HTTP 請求，並往後導向 DMZ 的 lighttpd web 伺服器。 ::: :::success :apple: iptables 所有規則都設定在 firewall 防火牆預期的過濾方式如下，請試著根據要求設定防火牆的 iptables 規則: - **BBI 連向 HTTP 服務** (==綠==) - BBI 可以連向 Firewall 的 Nginx - Firewall Nginx 可以將流量 proxy 給 DMZ 的 lighttpd Web 伺服器 (即是 Firewall 可以連上 DMZ 的 Web 伺服器) - **SSH 跳板兒** (==紅==) - BBI 連向 Firewall 2222 port 的流量會被導向 DMZ 的 SSH 伺服器 - DMZ SSH 伺服器可以 SSH 到 LAN 的所有伺服器 - **DMZ 出去** - DMZ 對外只可以跟 NTP 伺服器連線對時 (==黃==) (Hint: 可以透過 /etc/services 查詢 port) - **LAN 出去** - LAN 的主機可以連上任何地方 (BBI, DMZ, Firewall) - LAN 內的主機需要做 DNS 查詢時，都會被導向 DMZ 的 s2 DMZ (==紫==) - 除上述情境，其餘流量皆不允許接受 ::: - INPUT ```shell= # 連線 nginx iptable -A INPUT -p -tcp --dport 80 -j ACCEPT # 允許 LAN 連上 firewall iptables -A INPUT -i {LAN_interface} -j ACCEPT # DMA 相關 iptables -A INPUT eth2 -m conntrack --ctstate # 其餘皆不准 iptables -A INPUT -j DROP ``` - OUTPUT ```shell= # Firewall Nginx proxy to DMZ web iptables -A OUTPUT -d {lighttpd_ip} -p tcp --dport 80 -j ACCEPT # 相關 iptables -A OUTPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT # 其餘皆不准 iptables -A OUTPUT -j DROP ``` - FORWARD ```shell= # DMZ 允許該往段向外網 NTP 伺服器對時 iptable -A FORWARD -i {} -o {} -p udp --dprot 123 -j ACCEPT # 允許該網段(LAN)主機去任何地方 iptables -A FORWARD -i {LAN_interface} -j ACCEPT # 允許 DMZ ssh 到 NAT (New 額外 +2.5) iptables -A FORWARD -s {ssh_ip} -o {LAN_interface} -p tcp --dport 22 -j ACCEPT # 允許相關連線 FORWARD (# DMZ 其餘除非是相關連線，皆不可進出) (# LAN 除非相關不然不可以主動連向 LAN) iptables -A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT # 其餘皆不准 iptables -A FORWARD -j DROP ``` - POSTROUTING ```shell= # DMZ -> BBI iptables -t nat -A POSTROUTING -i {DMZ_interface} -o {BBI_interface} -j MASQUERADE # DMZ -> LAN (DMZ SSH server only) iptables -t nat -A POSTROUTING -i {DMZ_interface} -o {LAN_interface} -s {SSH_IP} --dport 22 -j MASQUERADE # LAN -> BBI iptables -t nat -A POSTROUTING -i {LAN_interface} -o {BBI_interface} -j MASQUERADE # LAN -> DMZ iptables -t nat -A POSTROUTING -i {LAN_interface} -o {DMZ_interface} -j MASQUERADE ``` - PREROUTING ```shell= # 連向 DMZ 的 SSH 伺服器的 2222 port 會被導向 22 port iptables -t nat -A PREROUTING -i {BBI_interface} -p tcp --dport 2222 -j DNAT -to-destination {ssh_ip}:22 # LAN DNS --> DMZ iptables -t nat -A PREROUTING -i -p tcp --dport 53 -j DNAT --to-destination {DNS_ip}:53 # ssh 走 udp 與 tcp 這兩個 port iptables -t nat -A PREROUTING -i {LAN_interface} -p udp --dport 53 -j DNAT -to-destination {DNS_ip}:53 iptables -t nat -A PREROUTING -i {LAN_interface} -p tcp --dport 53 -j DNAT -to-destination {DNS_ip}:53 ``` - 其他重要指令 - 要把 forward 打開 ( 預設是關閉的 ) ```shell= # Uncomment the next line to enable packet forwarding for IPv4 sudo vim /etc/sysctl.conf ``` ### [加分題] DNS 10％ 1. 5% 子子最近在機器上想瀏覽 google 網頁(http://www.google.com)，卻發現機器好像中毒了，總是跳出奇怪的頁面，請嘗試找出原因，不需修復。 :::info 機器IP：52.5.66.200 帳號：student ::: ```shell= ssh -i lsa_test2 student@52.5.66.200 ``` - 先去看一下連到 google 有甚麼問題 ```shell= curl www.google.com ``` - 檢查 host 有沒有問題 ```shell= cat /etc/hosts ``` - 檢查 nsswitch ```shell= cat /etc/nsswitch.conf ``` - 問題點 = 無法跑到真正的 google 網站，而是自己內部的ip 2. 5% 緯緯最近在機器上想瀏覽網頁，但發現除非是打 IP，不然都無法上網，請嘗試找出原因，不需修復。 :::info 機器IP：3.214.192.235 帳號：student ::: - 先試試看打 domain name 會怎樣 ```shell= ping www.google.com ``` - 檢查 nsswitch(先看file，再看 dns) ```shell= cat /etc/nsswitch.conf cat /etc/resolv.conf ``` - 問題點 (Ans) - 沒有任何的 dns server 設定 - 也可加入dns server 設定 ### [加分題] Crontab 15% 若我們想要自動化定時執行命令，我們會使用 `crontab` 助教歐阿最近想要建立一個定時提醒(使用 `mail` 指令發信提醒)，她發現假日總是過得特別快，他希望在每個「星期日」時能夠在「23:59」提醒他，時間要過了假日要結束了！ 1. 5% 當我們要編輯 `crontab` 的內容，應該如何下指令？ ```shell= crontab -e ``` ```shell= vim /etc/crontab ``` 2. 5% 當要使用 `mail` 指令，寄送一篇 txt 檔如下(`/home/lsa/sunday.txt`)，並且主旨為 `LSA-pencil-test`，請依照給予的檔案路徑以及主旨要求，並將寄件目的地設為**任一助教的 `學校 email`**，請寫下完整指令 > Hint: 若要實作確認是否寄送成功，可先寄給自己，再從 **垃圾郵件** 中查找 ``` (檔案位址：/home/lsa/sunday.txt) Hello, you need to work tomorrow ``` ```shell= echo "LSA-pencil-test" | mail -s s107213004@mail1.ncnu.edu.tw ``` 3. 5% 承題意，應該如何編輯 crontab 指令，使其符合歐阿的定時要求 ```shell= 59 23 * * 7 root mail ```

Syntax	Example	Reference
# Header	Header	基本排版
- Unordered List	Unordered List
1. Ordered List	Ordered List
- [ ] Todo List	Todo List
> Blockquote	Blockquote
Bold font	Bold font
Italics font	Italics font
~~Strikethrough~~	~~Strikethrough~~
19^th^	19^th
H~2~O	H₂O
++Inserted text++	Inserted text
==Marked text==	Marked text
[link text](https:// "title")	Link
![image alt](https:// "title")	Image
`Code`	`Code`	在筆記中貼入程式碼
```javascript var i = 0; ```	`var i = 0;`
:smile:		Emoji list
{%youtube youtube_id %}	Externals
$L^aT_eX$	L^aT_eX
:::info This is a alert area. :::	This is a alert area.