Skip to main content

4.5 Αρχιτεκτονική Διαμόρφωσης

Ευαγγελία Κατσιαντώνη5/9/25MyThesisThesis-VMDL-THESIS-SRVΡυθμίσειςΠερίπου 13 λεπτά

4.5 Αρχιτεκτονική Διαμόρφωσης

4.5.1 Εισαγωγή

Το κεφάλαιο αυτό αποτελεί τον πλήρη οδηγό τεκμηρίωσης των βημάτων που ακολουθήθηκαν για τη μετατροπή της αρχικής εγκατάστασης του Ubuntu 24.04LTS Server Edition στην τελική, θωρακισμένη υποδομή του MyThesis.

Απευθύνεται αποκλειστικά στον διαχειριστή του συστήματος (Sysadmin), παρέχοντας την πλήρη διαρθρωτική απεικόνιση και αξιολόγηση των κρίσιμων παραμέτρων λειτουργίας της εικονικής μηχανής DL-THESIS-SRV. Όλες οι πληροφορίες διαχείρισης, από την αναγνώριση του συστήματος (ID) έως τους κανόνες του Τείχους Προστασίας (Firewall), είναι οργανωμένες σε διαδραστικές καρτέλες (tabs) για άμεση πρόσβαση και χαρτογράφηση του τελικού setup. Αμέσως μετά, ακολουθεί ο Οδηγός Αρχικών Ρυθμίσεων και Θωράκισης, ο οποίος παρουσιάζει αναλυτικά, σε αριθμημένους πίνακες, όλες τις εντολές (commands) και τις ενέργειες που χρησιμοποιήθηκαν.

4.5.2 Τεχνικές πληροφορίες

Apps

Καταγραφή Εργαλείων Υποδομής
Εφαρμογές και βοηθήματα που εγκαταστάθηκαν επιπρόσθετα για την ανάπτυξη, παρακολούθηση και διαχείριση της πτυχιακής.

ΑΑΕφαρμογήΧρήσηΠρόσβασηΠαρατηρήσεις
1.FastfetchΠληροφορίες Συστήματος Terminalfastfetchbash command
2.GlancesΠαρακολούθηση Διακομιστή σε Πραγματικό Χρόνοglances / http://192.168.1.146:61208bash command / Web access
3.WgetΛογισμικό μη διαδραστικής ανάκτησης αρχείων δικτύουwgetbash command
4.CurlΕργαλείο μεταφοράς δεδομένων μέσω URLscurlbash command
5.RsyncΒοήθημα απομακρυσμένης μεταφοράς αρχείωνrsyncbash command
6.WebminΔιαχείριση Διακομιστή μέσω Webhttps://192.168.1.146:10000Web access
7.LXDΥποδομή Εικονικοποίησης Containerslxc / lxd commandsCommand Line
8.LXDUIΓραφική Διαχείριση Containershttps://192.168.1.146:8443Web access (Επόμενο Κεφάλαιο)

4.5.3 Οδηγός Αρχικών Ρυθμίσεων και Θωράκισης

Μετά την ολοκλήρωση της αρχικής εγκατάστασης του Ubuntu 24.04 LTS Server, η προτεραιότητα δίνεται στην ενίσχυση της ασφάλειας και τη βελτιστοποίηση του περιβάλλοντος DL-THESIS-SRV. Οι πρώτες ενέργειες περιλαμβάνουν την πλήρη ενημέρωση των πακέτων του συστήματος και την εφαρμογή των βασικών μέτρων θωράκισης, όπως ο σωστός ορισμός των κανόνων του τείχους προστασίας (ufw) και η εφαρμογή πολιτικών SSH Hardening (PoLP, Root Login Restriction). Ακολουθεί η εγκατάσταση κρίσιμων εργαλείων διαχείρισης και παρακολούθησης, τα οποία, μαζί με την εγκατάσταση της υποδομής εικονικοποίησης LXD, διασφαλίζουν τη σταθερή και ασφαλή λειτουργία του διακομιστή, σύμφωνα με τις προδιαγραφές του project MyThesis.

4.5.3.1 Ενημέρωση Πακέτων Συστήματος

Η ενημέρωση του καταλόγου πακέτων (update) και η αναβάθμιση όλων των εγκατεστημένων πακέτων (upgrade) είναι η πρώτη ενέργεια. Αυτό διασφαλίζει ότι όλες οι λειτουργικές μονάδες και οι βιβλιοθήκες του Ubuntu είναι στην πιο πρόσφατη και ασφαλή έκδοσή τους πριν από οποιαδήποτε διαμόρφωση.

ΕνέργειαΕντολή ΕγκατάστασηςΛειτουργία
Ενημέρωση καταλόγου πακέτων:sudo apt updateΦρεσκάρει τον κατάλογο πακέτων από τα αποθετήρια.
Αναβάθμιση όλων των πακέτων:sudo apt upgrade -yΑναβαθμίζει τα εγκατεστημένα πακέτα. Το -y επιτρέπει την αυτόματη επιβεβαίωση.
Εκκαθάριση αχρησιμοποίητων πακέτων:sudo apt autoremove -yΑφαιρεί πακέτα που εγκαταστάθηκαν ως εξαρτήσεις, αλλά δεν χρειάζονται πλέον.
Εντολές Τερματικού

Σειριακή εισαγωγή όλων των κανόνων με μιας.

sudo apt update
sudo apt upgrade -y
sudo apt autoremove -y && sudo apt autoclean -y

4.5.3.2 Ρύθμιση Τείχους Προστασίας (UFW)

Η ρύθμιση του Uncomplicated Firewall UFW αποτελεί θεμελιώδη αρχή θωράκισης. Η πολιτική που ακολουθείται είναι "Deny by Default" (απόρριψη όλων εξ ορισμού), επιτρέποντας ρητά μόνο την κυκλοφορία στις θύρες που είναι απολύτως απαραίτητες για τη λειτουργία του MyThesis (όπως SSH, Webmin, LXDUI, Apache και Glances).

ΕνέργειαΕντολή ΕγκατάστασηςΛειτουργία
Ενεργοποίηση UFWsudo ufw enableΕνεργοποιεί το τείχος προστασίας.
Πολιτική Προεπιλογήςsudo ufw default deny incomingΟρίζει την προεπιλεγμένη πολιτική να απορρίπτει την εισερχόμενη κίνηση.
Εξαίρεση SSHsudo ufw allow 31213/tcp comment 'Custom SSH Port'Επιτρέπει τη σύνδεση SSH στην τροποποιημένη θύρα 31213.
Εξαίρεση Webminsudo ufw allow 10000/tcp comment 'Webmin Panel'Επιτρέπει την πρόσβαση στο Webmin για διαχείριση.
Εξαίρεση Glancessudo ufw allow 61208/tcp comment 'Glances Monitoring'Επιτρέπει την πρόσβαση στο Glances για παρακολούθηση συστήματος.
Εξαίρεση LXDUIsudo ufw allow 8443/tcp comment 'LXDUI Web Interface'Επιτρέπει την πρόσβαση στη γραφική διαχείριση των Containers.
Εξαίρεση HTTPsudo ufw allow 80/tcp comment 'VuePress Web Site'Επιτρέπει την κυκλοφορία στην τυπική θύρα 80 για τον web server (Apache/Nginx).
Εξαίρεση HTTPSsudo ufw allow 443/tcp comment 'VuePress SSL'Επιτρέπει την κρυπτογραφημένη κυκλοφορία (SSL/TLS).
Εμφάνιση Κανόνωνsudo ufw status verboseΕμφανίζει την τελική λίστα των ενεργών κανόνων UFW.
Εντολές Τερματικού

Σειριακή εισαγωγή όλων των κανόνων με μιας.

sudo ufw enable
sudo ufw default deny incoming ; sudo ufw allow 31213/tcp comment 'Custom SSH Port' ; sudo ufw allow 10000/tcp comment 'Webmin Panel' ; sudo ufw allow 61208/tcp comment 'Glances Monitoring' ; sudo ufw allow 8443/tcp comment 'LXDUI Web Interface' ; sudo ufw allow 80/tcp comment 'VuePress Web Site' ; sudo ufw allow 443/tcp comment 'VuePress SSL' ; sudo ufw allow 10101/tcp comment 'CT-101 | Webmin' ; sudo ufw allow 10102/tcp comment 'CT-102 | Webmin' ; sudo ufw allow 10103/tcp comment 'CT-103 | Webmin' ;  sudo ufw reload ; sudo ufw status verbose

4.5.3.3 Θωράκιση Ασφαλούς Κελύφους (SSH Hardening)

4.5.3.3.1 Εγκατάσταση SSH (Εάν δεν υπάρχει)

Αν και το OpenSSH συνήθως ρυθμίζεται κατά την εγκατάσταση του Ubuntu Server, η επιβεβαίωση της παρουσίας του είναι σημαντική. Στη συνέχεια, εγκαθιστούμε τον κειμενογράφο nano, ο οποίος είναι απαραίτητος για την επεξεργασία του αρχείου ρυθμίσεων.

ΕνέργειαΕντολή ΕγκατάστασηςΛειτουργία
Εγκατάσταση OpenSSHsudo apt install openssh-server -yΔιασφαλίζει ότι ο διακομιστής SSH είναι εγκατεστημένος.
Εγκατάσταση nanosudo apt install nano -yΑπαραίτητο εργαλείο για επεξεργασία αρχείων ρυθμίσεων.
Εντολές Τερματικού
sudo apt install openssh-server -y
sudo apt install nano -y

4.5.3.3.2 Εφαρμογή Πολιτικών Θωράκισης

Οι παρακάτω ρυθμίσεις εφαρμόζονται στο κύριο αρχείο ρυθμίσεων του SSH διακομιστή, το /etc/ssh/sshd_config.

ΕνέργειαΕντολή ΕγκατάστασηςΛειτουργία
Επεξεργασία αρχείου ρυθμίσεωνsudo nano /etc/ssh/sshd_configΑνοίγει το αρχείο για αλλαγή των πολιτικών ασφαλείας.
Αλλαγή θύρας:Port 31213Αλλάζει τη θύρα από 22 σε 31213 (Port \ Obfuscation).
Περιορισμός Root LoginPermitRootLogin noΑπαγορεύει την απευθείας σύνδεση ως root (PoLP).
Περιορισμός ΧρηστώνAllowUsers digiladyΕπιτρέπει μόνο στo χρήστη digilady να συνδέεται (PoLP).
Επανεκκίνηση υπηρεσίαςsudo systemctl restart sshΕφαρμόζει τις νέες ρυθμίσεις ασφαλείας.

4.5.3.4 Κρίσιμα Εργαλεία

Εγκαθιστούμε τα απαραίτητα βοηθητικά εργαλεία, τα οποία είναι κρίσιμα για τη διαχείριση, την παρακολούθηση και τη μεταφορά δεδομένων στο MyThesis (rsync, wget, curl).
ΕνέργειαΕντολή ΕγκατάστασηςΛειτουργία
Εγκατάσταση rsync, wget, curlsudo apt install rsync wget curl -yΑπαραίτητα εργαλεία για συγχρονισμό αρχείων και κατέβασμα δεδομένων από το δίκτυο.
Εγκατάσταση Fastfetchsudo apt install fastfetch -yΕργαλείο για γρήγορη και εύχρηστη προβολή των τεχνικών πληροφοριών του συστήματος (βλ. Tab \ ID}.
Εγκατάσταση Glancessudo apt install glances -yΕργαλείο για παρακολούθηση του συστήματος σε πραγματικό χρόνο (CPU, RAM, Δίσκος) μέσω terminal και Web.
Εντολές Τερματικού
  • Εγκατάσταση rsync, wget, curl
sudo apt install rsync wget curl -y
  • Εγκατάσταση Fastfetch
sudo add-apt-repository ppa:zhangsongcui3371/fastfetch
sudo apt update
sudo apt install fastfetch -y
  • Εγκατάσταση Glances
sudo apt install glances -y

4.5.3.5 LXD

4.5.3.5.1 Εγκατάσταση

Το LXD (Linux Daemon) είναι η πλατφόρμα διαχείρισης για τα LXC containers, η οποία παρέχει μια σύγχρονη και ασφαλή εμπειρία διαχείρισης εικονικών περιβαλλόντων. Η επιλογή του LXD αντί για άλλες λύσεις (π.χ. Docker) βασίζεται στην ανάγκη για system-container εικονικοποίηση, όπου κάθε container λειτουργεί ως πλήρες OS (Operating System).

ΕνέργειαΕντολή ΕγκατάστασηςΛειτουργία
Εγκατάσταση LXDsudo snap install lxdΕγκαθιστά το LXD μέσω του Snap package manager.
Προσθήκη χρήστηsudo usermod -aG lxd digiladyΠροσθέτει τον χρήστη digilady στην ομάδα lxd για να μπορεί να εκτελεί εντολές διαχείρισης χωρίς sudo.
Ενεργοποίηση αλλαγής newgrp lxdΑπαιτείται αποσύνδεση και επανασύνδεση (re-login) του χρήστη για να εφαρμοστούν οι αλλαγές ομάδας.
Εντολές Τερματικού
  • Εγκατάσταση LXD
sudo snap install lxd
  • Προσθήκη χρήστη
sudo usermod -aG lxd digilady
  • Ενεργοποίηση αλλαγής
    Μετά την εκτέλεση της παραπάνω εντολής, ο χρήστης digilady, πρέπει να κάνει Logout & Login (ή να εκτελέσει: newgrp lxd)
 newgrp lxd

4.5.3.5.2 Αρχική Ρύθμιση

Μετά την εγκατάσταση του LXD, η εντολή lxd init ξεκινά έναν διαδραστικό οδηγό για την αρχική ρύθμιση της υποδομής εικονικοποίησης. Κατά τη διάρκεια της ρύθμισης, πρέπει να απαντήσουμε σε συγκεκριμένες ερωτήσεις για την επιλογή τεχνολογίας αποθήκευσης και τη ρύθμιση του δικτύου. Η επιλογή του ZFS είναι κρίσιμη για την αποδοτικότητα και τη διαχείριση snapshot των containers.

ΕνέργειαΕντολή/ΕρώτησηΛειτουργία
Εκκίνηση Διαμόρφωσηςlxd initΞεκινά τον διαδραστικό οδηγό ρύθμισης.
Τεχνολογία ΑποθήκευσηςName of the storage backend to use [default=zfs]:Επιλέγουμε zfs για βέλτιστη διαχείριση snapshot και απόδοση.
Μέγεθος ZFS PoolSize in GB or percentage of the remaining free space [default=50%]:Επιλέγουμε το μέγιστο μέγεθος, 90%, για να κρατήσουμε χώρο για το host OS.
Ρύθμιση ΔικτύουWould you like to create a new local network bridge? [default=yes]:Επιλέγουμε «yes» για να δημιουργήσουμε το εσωτερικό δίκτυο των containers.
Όνομα BridgeWhat should the new bridge be called? [default=lxdbr0]:Αφήνουμε το προεπιλεγμένο όνομα lxdbr0.
Πρόσβαση στο ΔίκτυοWould you like LXD to be available over the network? [default=no]:Επιλέγουμε no για λόγους ασφαλείας.
Εντολές Τερματικού - Απαντήσεις
  • Εκκίνηση Διαμόρφωσης
lxd init
  • Προτεινόμενες Διαδραστικές Απαντήσεις (παράλειψη defaults):
    no (existing profile)
    no (existing pool)
    zfs (storage backend)
    yes (create new zfs pool)
    default (pool name)
    loop (use loop file)
    90% (pool size)
    yes (create new local network bridge)
    lxdbr0 (bridge name)
    no (available over network)
    no (update vendor)
    yes (automatically update images)
    yes (generate new TLS certificate) \

(Παραμένει κενό, Enter) (trust password)

4.5.3.5.3 LXDUI - Απομακρυσμένη Πρόσβαση

Η διαχείριση των containers μέσω της ενσωματωμένης διεπαφής χρήστη (Web UI) είναι απαραίτητη για την παρακολούθηση του περιβάλλοντος. Εφόσον το LXD είναι εγκατεστημένο μέσω Snap, το UI είναι ενσωματωμένο αλλά απενεργοποιημένο by default. Χρειάζονται επιπλέον ρυθμίσεις για να επιτρέψουμε την ασφαλή (HTTPS) πρόσβαση από το δίκτυο.

ΕνέργειαΕντολή στον ServerΛειτουργία
Ενεργοποίηση UIsudo snap set lxd ui.enable=trueΕνεργοποιεί τη λειτουργία Web UI του LXD Snap.
Επανεκκίνηση Υπηρεσίαςsudo snap restart --reload lxdΕπανεκκινεί τον LXD daemon για την εφαρμογή της ρύθμισης.
Ρύθμιση HTTPS Διεύθυνσηςsudo lxc config set core.https_address :8443Δίνει εντολή στο LXD να ακούει για συνδέσεις στη θύρα 8443. Αυτό επιτρέπει την απομακρυσμένη και ασφαλή διαχείριση.
Άνοιγμα Firewallsudo ufw allow 8443/tcp ΚΑΙ sudo ufw reloadΚρίσιμο! Επιτρέπει την εισερχόμενη κίνηση στη θύρα 8443 μέσω του UFW.

Note

Μπορείς να αποκτήσεις πρόσβαση στο Web UI του LXD, χρησιμοποιώντας οποιοδήποτε πρόγραμμα περιήγησης, στη διεύθυνση https://[IP_του_Server_σου>]:8443.

Εντολές Τερματικού
  • Ενεργοποίηση του ενσωματωμένου Web UI
sudo snap set lxd ui.enable=true
  • Επανεκκίνηση LXD για να φορτώσει το UI
sudo snap restart --reload lxd
  • Ρύθμιση του LXD να ακούει σε ασφαλές HTTPS στη θύρα 8443
sudo lxc config set core.https_address :8443
  • Άνοιγμα της θύρας 8443 στο Firewall (ΚΡΙΣΙΜΟ)
sudo ufw allow 8443/tcp
  • Εφαρμογή των αλλαγών στο Firewall
sudo ufw reload
WBL | Web Based Library
Copyright © 2025 Ευαγγελία Κατσιαντώνη