Daripada melakukan proses penyalinan data, akan lebih mudah jika saya melakukan mounting network share tersebut ke harddisk lokal. Hal ini bisa dilakukan dengan menggunakan protokol SSHFS. Prosesnya sangat mudah dan hanya membutuhkan beberapa perintah untuk mengaktifkannya. Berikut adalah cara mengaktifkannya pada openSUSE/SLES. Cara yang sama dengan sedikit perbedaan pada proses instalasi paket aplikasi dapat diterapkan pada distro Linux lainnya seperti CentOS, Ubuntu, Debian, Fedora dan lain-lain.

INSTALASI

Jalankan perintah berikut pada openSUSE/SLES.

[code lang=”bash”]

zypper install sshfs

[/code]

Pada Ubuntu/Debian, cukup mengganti perintah zypper dengan apt-get sedangkan pada CentOS/Fedora/Red Hat cukup mengganti perintah zypper dengan yum. Contoh :

[code lang=”bash”]

apt-get install sshfs

[/code]

atau

[code lang=”bash”]

yum install sshfs

[/code]

PENGGUNAAN

Untuk menggunakan sshfs, cukup melakukan perintah mounting dengan format sebagai berikut :

[code lang=”bash”]

sshfs user@server:/folder-server /folder-lokal

[/code]

Jika menggunakan port lain selain port default SSH (port 22), tambahkan parameter -p

[code lang=”bash”]

sshfs user@server:/folder-server /folder-lokal   -p 10212

[/code]

Misalnya saya ingin melakukan mounting folder /srv pada server 192.168.1.254 dengan user name root ke folder lokal /home/vavai/data maka perintahnya adalah :

[code lang=”bash”]

sshfs root@192.168.1.254:/srv     /home/vavai/data

[/code]

Saat perintah diatas dijalankan, sshfs akan melakukan koneksi ssh dan meminta masukan password. Agar bisa diakses oleh user normal (bukan root), perintah sshfs diatas harus dijalankan dengan user tersebut. Jika dijalankan oleh user root, hasil mounting hanya bisa diakses oleh user root juga. Jika proses mount ingin berjalan secara otomatis tanpa butuh masukkan password, lakukan setting SSH tanpa password dengan  merujuk pada panduan ini : Panduan Konfigurasi SSH tanpa Password

UNMOUNT
Setelah selesai digunakan, kita bisa melepas mount dengan perintah :

[code lang=”bash”]

unmount /home/vavai/data

[/code]

SSHFS ini sangat bermanfaat karena proses komunikasi data dilakukan melalui jalur secure shell, mudah dikonfigurasi dan setelah dimount, kita bisa bekerja terhadap data didalamnya sebagaimana jika data tersebut ada pada harddisk lokal.

Dari server khusus ini, saya melakukan setting agar koneksi SSH bisa dilakukan tanpa menggunakan password. Jadi cukup mengetahui password utama sudah cukup melakukan koneksi ke berbagai server. Bagaimana caranya? Cukup dengan menjalankan prosedur sebagai berikut :

1. Buat Public dan Private Keys pada server yang digunakan sebagai media remote.

[code lang=”bash”]

ssh-keygen

[/code]

Hasilnya seperti ini :

# ssh-keygen
Generating public/private rsa key pair.
Enter file in which to save the key (/root/.ssh/id_rsa):
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /root/.ssh/id_rsa.
Your public key has been saved in /root/.ssh/id_rsa.pub.
The key fingerprint is:
4e:61:21:b4:5a:72:32:f3:f6:c9:d0:b0:fb:da:55:40 [MD5] toyotomi@server-utama
The key’s randomart image is:
+–[ RSA 2048]—-+
| .o . E |
| o o |
| = = o . |
| X = . . |
| . = S . |
| . B . . |
| . = . |
| o . |
| ..o |
+–[MD5]———-+

Pada saat dimintakan “Passphrase”, masukkan password utama yang akan digunakan sebagai lapis terakhir konfirmasi password. Jika bagian ini dikosongkan (ditekan ENTER), maka perintah SSH ke server lain tidak akan diminta password sama sekali

2. Salin file public keys ke server tujuan, dengan perintah :

[code lang=”bash”]
ssh-copy-id -i ~/.ssh/id_rsa.pub server-tujuan
[/code]

Contoh :

[code lang=”bash”]
ssh-copy-id -i ~/.ssh/id_rsa.pub 202.212.222.234
[/code]

Setelah selesai, kita bisa melakukan ujicoba koneksi SSH dengan perintah :

[code lang=”bash”]
ssh server-tujuan
[/code]

Semestinya sudah tidak lagi ditanyakan password.

CATATAN :

1. SSH menggunakan default port 22. Jika menggunakan port selain 22, jalankan perintah SSH dengan parameter -p seperti contoh berikut :
   [code lang=”bash”]
   ssh -p 10212 ip-server-tujuan
   [/code]
2. Perintah ssh-copy-id juga menggunakan default port 22. Jika menggunakan port selain 22, jalankan perintah SSH dengan parameter -p seperti contoh berikut :
   [code lang=”bash”]
   ssh-copy-id -i ~/.ssh/id_rsa.pub 202.212.222.234 -p 10212
   [/code]

Selain bisa dimanfaatkan untuk koneksi ke server lain tanpa password, konfigurasi diatas juga bisa dimanfaatkan jika kita ingin melakukan proses penyalinan data/backup secara otomatis, baik menggunakan perintah scp maupun rsync. Koneksi trusted antar server akan membuat proses backup data lebih mudah dilakukan tanpa password.

Berikut adalah contoh perintah scp untuk menyalin suatu file dari satu server ke server lain :

[code lang=”bash”]
scp /opt/data-vavai.zip root@202.212.222.234:/srv/vavai/
[/code]

Sedangkan perintah berikut merupakan perintah backup jika menggunakan perintah rsync dalam bentuk mekanisme push (dijalankan dari server yang hendak dibackup) :

[code lang=”bash”]
rsync -av –progress /opt/ root@202.212.222.234:/srv/vavai/
[/code]

Untuk pembahasan mengenai rsync secara detail dan manfaatnya bagi proses manajemen backup data server  mudah-mudahan bisa saya tuliskan dilain waktu.

Saat saya menjalankan perintah :

ssh -X 192.168.1.88

Timbul pesan : connected to 192.100.5.100 X11 forwarding request failed on channel 0 dan aplikasi GUI yang saya inginkan tidak bisa dijalankan.

Awalnya saya pikir ada problem dari sisi authentikasi atau hak akses namun menggunakan SSH dengan hak akses root sekalipun tetap bermasalah. Setelah searching beberapa saat, akhirya solved dengan menambahkan/mengubah baris berikut di file /etc/ssh/sshd_config :

X11UseLocalhost no

Sebagai catatan, konfigurasi SSH bersifat case sensitive, jadi mesti ditulis no dalam bentuk huruf kecil semua (lowercase). Penulisan No atau NO akan ditolak saat melakukan restart service SSH.

Setelah diubah dan restart service SSH, akses SSH X11 Forwarding berjalan dengan lancar tanpa masalah.

SSH Keys

Sungguh menyenangkan bisa menarik data melalui SSH namun kita harus bisa login otomatis ke remote server kita, kita tidak bisa hanya mengambil dan menaruhnya di server, apa yang anda pikirkan? tractor beam?

Saya gunakan login root milik remote server, untuk server saya, seperti ketika saya membackup file di lokasi /etc/passwd dimana hanya bisa dibaca oleh root. Memang banyak sekali cara untuk melakukannya, namun saya tidak ingin artikel ini menjadi komplek.

Jadi kita harus membuat SSH Keys tanpa password, atau kita akan dimintai password setiap kali backup dijalankan. Jadi saya akan mengajak anda untuk membuat beberapa SSH key untuk otentifikasi berbasis key.

Buat sepasang key, perintah ini akan membuat public key dan private key (jangan pernah memberikan private key anda kepada siapapun!).

ssh-keygen -t rsa

Ikuti saja semua defaultnya, cukup tekan enter ketika diminta memasukkan passphrase:

Generating public/private rsa key pair.
Enter file in which to save the key (/root/.ssh/id_rsa):
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /root/.ssh/id_rsa.
Your public key has been saved in /root/.ssh/id_rsa.pub.

Anda sekarang memiliki satu set key di /root/.ssh/ Selanjutnya kita harus menyalin key tsb ke remote server yang akan kita masuki, misal the-death-star.techspotting.org, perintahnya kira-kira seperti ini:

ssh-copy-id -i ~/.ssh/id_rsa.pub root@the-death-star.techspotting.org

Kemudian anda akan diminta memasukkan password akun anda di komputer remote, berikan saja, ssh-copy-id kemudian akan mengkopi key tsb ke direktori yang tepat dan memilah hak akses filesistem yang benar, mantep gak?

Coba di tes dan pastikan berhasil:

ssh the-death-star.techspotting.org

Jika anda melihat file konfigurasi di /etc/cron.d/rsnapshot, anda akan mendapatkan isinya seperti ini:

# This is a sample cron file for rsnapshot.
# The values used correspond to the examples in /etc/rsnapshot.conf.
# There you can also set the backup points and many other things.
#
# To activate this cron file you have to uncomment the lines below.
# Feel free to adapt it to your needs.
# 0 */4         * * *           root    /usr/bin/rsnapshot hourly
# 30 3          * * *           root    /usr/bin/rsnapshot daily
# 0  3          * * 1           root    /usr/bin/rsnapshot weekly
# 30 2          1 * *           root    /usr/bin/rsnapshot monthly

Aktifkan konfigurasi default cron (seperti yg saya lakukan) dengan cara menghilangkan tanda pagar pada baris berikut:

# This is a sample cron file for rsnapshot.
# The values used correspond to the examples in /etc/rsnapshot.conf.
# There you can also set the backup points and many other things.
#
# To activate this cron file you have to uncomment the lines below.
# Feel free to adapt it to your needs.
0 */4         * * *           root    /usr/bin/rsnapshot hourly
30 3          * * *           root    /usr/bin/rsnapshot daily
0  3          * * 1           root    /usr/bin/rsnapshot weekly
30 2          1 * *           root    /usr/bin/rsnapshot monthly

Sekarang anda sudah mengaktifkan cron untuk membackup file-file anda menggunakan rsnapshot, pastikan kembali ia bekerja dengan baik:

rsnapshot -t hourly

Periksa semuanya, apakah sudah terlihat bagus dan tidak ada kesalahan yang akan terjadi dan ulangi untuk yang harian, mingguan, dan bulanan.

Sekarang waktunya untuk backup pertama anda!

rsnapshot hourly

Jika anda mengeset verbosity ke angka 4 seperi yang saya lakukan, anda akan melihat semua file yang anda backup terbang di layar! Backup pertama harus memindahkan semua file ke snapshot_root, jadi akan memakan banyak waktu, tergantung pada kecepatan mesin/koneksi anda. Silakan ambil kopi dan camilan anda.

Anda juga harus mulai melihat file-file anda di snapshot_root, setelah beberapa minggu anda akan melihat sekelompok backup hourly.*, daily.*, weekly.*

Berikut contoh isi dari folder snapshot_root saya:

/backup/snapshots# ls -l
total 48
drwxr-xr-x 3 root root 4096 2010-03-21 18:19 daily.0
drwxr-xr-x 3 root root 4096 2010-03-21 18:19 daily.1
drwxr-xr-x 3 root root 4096 2010-03-21 18:18 daily.2
drwxr-xr-x 3 root root 4096 2010-03-21 17:57 daily.3
drwxr-xr-x 3 root root 4096 2010-03-21 17:57 daily.4
drwxr-xr-x 3 root root 4096 2010-03-21 17:56 daily.5
drwxr-xr-x 3 root root 4096 2010-03-21 18:20 hourly.0
drwxr-xr-x 3 root root 4096 2010-03-21 18:19 hourly.1
drwxr-xr-x 3 root root 4096 2010-03-21 18:19 hourly.2
drwxr-xr-x 3 root root 4096 2010-03-21 18:19 hourly.3
drwxr-xr-x 3 root root 4096 2010-03-21 18:19 hourly.4
drwxr-xr-x 3 root root 4096 2010-03-21 17:56 weekly.0

Selesai sudah, silakan nikmati ketenangan pikiran dengan server yg sudah terbackup!

Enjoy the peace of mind of having your servers backed up!

Sumber: HowtoForge.com

Contoh berikut adalah log cracker yang ingin mencoba masuk kedalam sistem :

Sep 6 23:44:33 myhostname sshd[22483]: Invalid user operator from 119.6.62.xxx
Sep 6 23:44:37 myhostname sshd[22488]: Invalid user operator from 119.6.62.xxx
Sep 6 23:44:43 myhostname sshd[22494]: Invalid user operator from 119.6.62.xxx
Sep 6 23:44:46 myhostname sshd[22499]: Invalid user operator from 119.6.62.xxx
Sep 6 23:44:48 myhostname sshd[22504]: Invalid user operator from 119.6.62.xxx
Sep 6 23:44:51 myhostname sshd[22509]: Invalid user operator from 119.6.62.xxx
Sep 6 23:44:54 myhostname sshd[22514]: Invalid user oracle from 119.6.62.xxx
Sep 6 23:44:56 myhostname sshd[22519]: Invalid user oracle from 119.6.62.xxx
Sep 6 23:44:59 myhostname sshd[22524]: Invalid user oracle from 119.6.62.xxx
Sep 6 23:45:02 myhostname sshd[22530]: Invalid user oracle from 119.6.62.xxx
Sep 6 23:45:05 myhostname sshd[22689]: Invalid user oracle from 119.6.62.xxx
Sep 6 23:45:07 myhostname sshd[22773]: Invalid user oracle from 119.6.62.xxx
Sep 6 23:45:10 myhostname sshd[22904]: Invalid user oracle from 119.6.62.xxx
Sep 6 23:45:13 myhostname sshd[22954]: Invalid user oracle from 119.6.62.xxx
Sep 6 23:45:15 myhostname sshd[22962]: Invalid user oracle from 119.6.62.xxx

Seperti bisa dilihat pada log diatas, pengakses mencoba dictionary attack menggunakan berbagai nama user untuk mencoba akses. Meski akses tersebut gagal dilakukan, server tetap terbebani karena terpaksa melayani request yang masuk.

Salah satu cara yang bisa ditempuh untuk melindungi akses SSH adalah dengan menggunakan aplikasi denyhosts. Aplikasi denyhosts melindungi ssh dengan cara memasukkan IP pengakses kedalam daftar blacklist jika beberapa kali salah memasukkan password.

Proses instalasi dan apliksinya sangat mudah. Berikut adalah proses instalasi pada openSUSE 11.3 :

1. Buka [http://software.opensuse.org/search openSUSE Build Service]. Cari aplikasi denyhosts. Sesuaikan versi openSUSE yang digunakan. Jika tidak ada aplikasi untuk versi openSUSE yang digunakan, silakan ambil paket untuk versi yang berdekatan, misalnya SLES 11 SP1 bisa menggunakan package untuk SLES 11 atau untuk openSUSE 11.1, 11.2 atau untuk openSUSE 11.3.
2. Install menggunakan one-click-install
3. Review file konfigurasi /etc/denyhosts.conf. Pada distro openSUSE, denyhosts secara default akan menganalisa file log /var/log/messages, namun mungkin saja kita perlu mengubah nama file log untuk dianalisa, misalnya jika menggunakan aplikasi Zimbra, denyhosts bisa diperintahkan untuk mengakses file log /var/log/zimbra.log. Check juga mengenai jumlah maksimum kesalahan pemasukan password dan pilihan lain yang tersedia.
4. Jika konfigurasi sudah sesuai, jalankan denyhosts dengan perintah :[code language=’cpp’]

   service denyhosts start
   service denyhosts status

   [/code]

5. Jika menginginkan agar denyhosts otomatis berjalan saat booting, aktifkan service denyhosts dengan perintah :[code language=’cpp’]

   chkconfig denyhosts on

   [/code]

6. File log denyhosts bisa ditemukan di /var/log/denyhosts. Jika ada pengakses yang diblaclist karena memenuhi syarat (misalnya gagal memasukkan password sebanyak 5X), denyhosts akan memasukkan IP pengakses kedalam file /etc/hosts.deny

Berikut adalah contoh saat denyhosts memblacklist salah satu IP :

Sep 06 23:50:24 – denyhosts : INFO restricted: set([])
Sep 06 23:50:24 – denyhosts : INFO Processing log file (/var/log/zimbra.log) from offset (0)
Sep 06 23:50:25 – denyhosts : INFO new denied hosts: [‘119.6.62.xxx’]

Dan berikut isi file /etc/hosts.deny setelah IP diblacklist :

myhostname:~ # cat /etc/hosts.deny

# /etc/hosts.deny
# See ‘man tcpd’ and ‘man 5 hosts_access’ as well as /etc/hosts.allow
# for a detailed description.

http-rman : ALL EXCEPT LOCAL

ALL: 119.6.62.xxx

Denyhosts, aplikasi simple namun bermanfaat

Salah satu klien yang saya tangani  memiliki IP public yang portnya terbatas untuk  dibuka secara penuh. Atas pertimbangan efisiensi dan keterbatasan tersebut, akhirnya saya meminta mereka untuk membuka port SSH agar saya bisa melakukan akses SSH dan bekerja secara remote. Sebagian besar pekerjaan bisa dilakukan secara remote menggunakan akses SSH karena server openSUSE/SLES yang dipasang di klien secara default sudah menyediakan tools konfigurasi YAST yang bisa dijalankan dalam modus konsole. Hanya ada satu masalah yang sukar saya eliminasi, yaitu saat mengakses Zimbra Admin dalam modus web untuk mengatur integrasi domain antara Zimbra dengan Samba.

Zimbra Admin yang akan saya akses  berjalan pada salah satu server (bukan server dimana akses SSH berada). Zimbra Admin ini bekerja pada port 7071 menggunakan protokol SSL. Saya sudah mencoba mengaksesnya menggunakan text browser lynx atau w3m namun Zimbra menolak diakses oleh unsupported browser. Hal yang sama juga terjadi saat saya menggunakan akses ssh -X (koneksi ke tujuan dalam modus XWindows) dan menjalankan browser ringan midori atau kazehakase.

Saya baru bisa mengakses Zimbra Admin dengan cara menjalankan Firefox melalui akses ssh -X tapi bayangkan saja jika anda menjalankan Firefox yang cukup rakus memory dan dijalankan dalam koneksi standar ADSL. Meski bisa diakses, kecepatannya yang sangat lambreta membuat saya senewen.

Setelah menimbang-nimbang cara apa yang akan saya lakukan, akhirnya saya memutuskan model SSH tunelling yang biasanya saya gunakan untuk mempercepat akses browsing.

Berikut adalah caranya, saya lakukan pada komputer saya yang menggunakan openSUSE 11.2. Jika menggunakan sistem Windows, langkah yang sama bisa dilakukan menggunakan Putty.

1. Buka konsole dan jalankan perintah untuk mengakses SSH tunelling ke server tujuan, misalnya :
   [code language=’cpp’]
   ssh -o “CompressionLevel=9” -C -D port-yang-diciptakan -p port-yang-dibuka-di-server-tujuan -N username@ip-tujuan
   [/code]
   Contoh :
   [code language=’cpp’]
   ssh -o “CompressionLevel=9” -C -D 9999 -p 22 -N vavai@vavai.com
   [/code]
   atau jika menggunakan IP :
   [code language=’cpp’]
   ssh -o “CompressionLevel=9” -C -D 9999 -p 22 -N vavai@208.67.222.222
   [/code]
2. Buka browser, misalnya Firefox, masuk ke menu Edit | Preferences (kalau di Windows ada di menu Tools | Option), Advanced | Network dan ubah akses menggunakan proxy melalui protokol Socks sesuai port yang dibuka(dalam contoh adalah port 9999)
3. 

That’s it. Sekarang kita bisa menggunakan Firefox seolah-olah Firefox yang kita jalankan adalah Firefox di server tujuan. Misalnya, saya bisa mengakses Zimbra Admin di tujuan yang beralamat pada IP lokal 192.168.0.5 port 7071 dan akses SSL dengan mengetikkan alamat URL :

https://192.168.0.5:7071 pada URL browser.

Hal yang sama bisa kita lakukan untuk alamat web yang lain, misalnya akses ke http://localhost berarti akan membuka alamat web di web server tujuan (IP 208.67.222.222 alias 192.168.0.1), bukan web server lokal yang kita miliki.