8.9. Altre configurazioni: Sincronizzare l'orario, log, condivisione dell'accesso…

È bene conoscere i molti elementi elencati in questa sezione per chiunque voglia padroneggiare tutti gli aspetti di configurazione di un sistema GNU/Linux. Tuttavia sono trattati brevemente e i riferimenti alla documentazione sono frequenti.

8.9.1. Fuso orario

FONDAMENTALE Collegamenti simbolici

Un collegamento simbolico è un puntatore ad un altro file. Quando vi si accede viene aperto il file al quale punta. Rimuovere il collegamento non causa la rimozione del file a cui punta. Allo stesso modo non dispone di un proprio insieme di permessi mentre mantiene i permessi del file a cui punta. Infine può puntare a qualsiasi tipo di file: directory, file speciali (socket, pipe con nome, file di device, ecc.), anche ad altri collegamenti simbolici.

Il comando ln -s destinazione nome-collegamento crea un collegamento simbolico chiamato nome-collegamento che punta a destinazione.

Se il file a cui punta non esiste, allora il collegamento è "interrotto" e tentare di accedervi causerà un errore che indica l'assenza del file di destinazione. Se il collegamento punta ad un altro collegamento si avrà una "catena" di collegamenti che diviene un "ciclo" se una delle destinazioni punta ad uno dei predecessori. In questo caso, accedere ad uno dei collegamenti nel ciclo, causerà un errore specifico ("too many levels of symbolic links", ovvero troppi livelli di collegamenti simbolici): questo significa che il kernel ha rinunciato dopo alcuni giri nel ciclo.

Il fuso orario, configurato durante l'installazione iniziale, è un elemento di configurazione del pacchetto tzdata. Per modificarlo, utilizzare il comando dpkg-reconfigure tzdata, che consente di scegliere il fuso orario da utilizzare in modo interattivo. La sua configurazione è memorizzata nel file /etc/timezone. Inoltre, /etc/localtime diventa un collegamento simbolico al file corrispondente in /usr/share/zoneinfo; quest'ultimo, contiene le regole che disciplinano le date in cui si adotta l'ora legale (DST) per i Paesi che la utilizzano.

Quando si necessita di cambiare temporaneamente il fuso orario si può utilizzare la variabile d'ambiente TZ che ha priorità rispetto alla configurazione predefinita di sistema:

$ date
Thu Sep  2 22:29:48 CEST 2021
$ TZ="Pacific/Honolulu" date
Thu 02 Sep 2021 10:31:01 AM HST

NOTA Orologio di sistema, orologio hardware

Vi sono due sorgenti per il tempo nel computer. La scheda madre del computer ha un orologio hardware, chiamato "orologio CMOS". Questo orologio non è molto preciso e fornisce tempi d'accesso lenti. Il kernel del sistema operativo ne ha uno proprio, l'orologio software, che mantiene aggiornato con i propri mezzi (eventualmente con l'aiuto dei time server, si veda la Sezione 8.9.2, «Sincronizzazione del tempo»). Questo orologio di sistema è generalmente più accurato, specialmente perché non deve accedere alle variabili hardware. Tuttavia, poiché esiste unicamente in memoria, viene azzerato ogni volta che la macchina viene avviata, contrariamente all'orologio CMOS, che è dotato di una batteria che gli consente di "sopravvivere" ai riavvi o agli arresti della macchina. Così l'orologio di sistema viene impostato dall'orologio CMOS durante l'avvio mentre l'orologio CMOS viene aggiornato allo spegnimento (per prendere in considerazione possibili modifiche o correzioni se era regolato impropriamente).

In pratica c'è un problema perché l'orologio CMOS non è nulla più di un contatore che non contiene informazioni circa il fuso orario. Vi è una scelta da fare riguardo questa interpretazione: o il sistema considera che si configurato nell'orario universale (UTC, precedemente GMT), oppure in orario locale. Questa scelta può sembrare semplice ma le cose sono in verità più complicate: come risultato dell'ora legale questo sfasamento non è costante. Il risultato è che il sistema non ha modo di determinare se lo sfasamento è corretto, specialmente nei periodi del cambio. Poiché è sempre possibile ricostruire l'orario locale dal tempo universale e le informazioni sul fuso orario, raccomandiamo fortemente di utilizzare l'orologio CMOS con l'orario universale.

Sfortunatamente, per impostazione predefinita, alcuni sistemi Windows ignorano questa raccomandazione; mantengono l'orologio CMOS all'ora locale, applicando le modifiche quando avviano il computer tentando di indovinare durante i cambiamenti d'orario se la modifica è già stata applicata oppure no. Questo funziona relativamente bene, finché il sistema usa unicamente Windows. Ma quando un computer utilizza diversi sistemi (per esempio in una configurazione "dual-boot" od esegue altri sistemi in macchine virtuali), si genera confusione, senza modo alcuno di determinare se l'ora è corretta. Se si deve assolutamente mantenere Windows sul computer, è necessario configurarlo per mantenere l'orologio CMOS come UTC (impostando la chiave di registro HKLM\SYSTEM\CurrentControlSet\Control\TimeZoneInformation\RealTimeIsUniversal su "1" come DWORD), oppure usare hwclock --localtime --set sul sistema Debian per impostare l'orologio hardware e contrassegnarlo come tracciamento dell'ora locale (e assicurarsi di controllare manualmente l'orologio in primavera ed autunno).

8.9.2. Sincronizzazione del tempo

La sincronizzazione dell'orario, che può sembrare superflua in un computer, è molto importante in una rete. Poiché gli utenti non hanno permessi per poter modificare data ed ora, è importante che questa informazione sia precisa per evitare confusione. Inoltre, avere tutti i computer sincronizzati sulla rete, permette di ottenere comparazioni migliori tra le informazioni dei log delle varie macchine. Così, in caso di attacco, è più semplice ricostruire la sequenza cronologica delle azioni sulle macchine interessate dalla compromissione. I dati raccolti per propositi statistici non avrebbero molto senso se non fossero sincronizzati.

FONDAMENTALE NTP

L'NTP (Network Time Protocol) consente alla macchina di sincronizzarsi con altri in modo piuttosto accurato, prendendo in considerazione i ritardi introdotti dal trasferimento delle informazioni attraverso la rete ed altri possibili sfasamenti.

Mentre ci sono numerosi server NTP su Internet, i più popolari possono essere sovraccarichi. Ecco perché raccomandiamo di usare il server NTP pool.ntp.org che è, in realtà, un gruppo di macchine che hanno accettato di agire come server NTP pubblici. È sempre possibile limitare l'uso ad un sotto-gruppo specifico ad un paese, per esempio con us.pool.ntp.org per gli Stati Uniti o ca.pool.ntp.org per il Canada, ecc.

Tuttavia, se si gestisce una grande rete, si raccomanda di installare un proprio server NTP, che si sincronizzerà con i server pubblici. In questo caso tutte le altre macchine sulla rete potranno usare il server NTP interno anziché incrementare il carico sui server pubblici. Inoltre si aumenterà l'omogeneità dei propri orologi poiché tutte le macchine saranno sincronizzate dalla stessa sorgente e questa sorgente sarà generalmente molto vicina in termini di tempo di trasferimento di rete.

8.9.2.1. Per le postazioni di lavoro

Poiché le postazioni di lavoro sono regolarmente riavviate (anche solo per risparmiare energia) sincronizzarle con NTP all'avvio è sufficiente. Per farlo si può installare il pacchetto ntpdate. Se è necessario bisogna cambiare il server NTP usato modificando il file /etc/default/ntpdate.

8.9.2.2. Per i server

I server sono riavviati raramente ed è estremamente importante che il loro tempo di sistema sia corretto. Per mantenere costantemente corretto il tempo si dovrebbe installare un server NTP locale, un servizio offerto dal pacchetto ntp. Nella configurazione predefinita il server si sincronizza con pool.ntp.org e fornisce il tempo in risposta alle richieste che arrivano dalla rete locale. È possibile configurarlo modificando il file /etc/ntp.conf e la modifica più significativa riguarda il cambio dei server NTP a cui fa riferimento. Se la rete ha molti server può essere interessante avere un server del tempo locale che si sincronizza con i server pubblici e viene usato come sorgente del tempo dagli altri server nella rete.

APPROFONDIMENTO Moduli GPS ed altre sorgenti del tempo

Se la sincronizzazione del tempo è particolarmente cruciale per una rete è possibile equipaggiare un server con un modulo GPS (che utilizzerà il tempo fornito dai satelliti GPS) o un modulo DCF-77 (che sincronizzerà il tempo con l'orologio atomico vicino a Francoforte, Germania). In questo caso la configurazione del server NTP è un po' più complicata e si rente assolutamente necessaria la consultazione della documentazione prima di procedere.

8.9.3. Ruotare i file di log

I file di log crescono, velocemente, ed è necessario archiviarli. Lo schema più comune è "ruotare" gli archivi: i file log vengono regolarmente archiviati e solo gli ultimi X archivi vengono mantenuti. logrotate, il programma responsabile di queste rotazioni, segue le direttive specificate nel file /etc/logrotate.conf ed in tutti i file all'interno della directory /etc/logrotate.d/. L'amministratore può modificare questi file, se desidera adattare le politiche di rotazione definite da Debian. La pagina di manuale logrotate(1) descrive tutte le opzioni disponibili per questi file di configurazione. Si potrebbe desiderare l'incremento del numero di file mantenuti nella rotazione dei log oppure spostare i file di log in una directory dedicata specifica per archiviarli anziché cancellarli. I log si possono anche inviare via email per archiviarli in altro luogo.

Il programma logrotate viene eseguito giornalmente dal software di programmazione cron (descritto nella Sezione 9.7, «Pianificare attività con cron e atd»).

8.9.4. Condivisione dei privilegi di amministrazione

Frequentemente diversi amministratori lavorano nella stessa rete. Condividere le password di root non è molto elegante ed apre le porte ad abusi legati all'anonimato che questa condivisione genera. La soluzione a questo problema è il programma sudo che consente a certi utenti di eseguire determinati comandi con privilegi speciali. Nel caso d'uso più comune sudo consente ad un utente fidato di eseguire qualsiasi comando come root. Per farlo l'utente esegue semplicemente sudo comando e si autentica utilizzando la propria password personale.

Quando installato, il pacchetto sudo concede completi privilegi di root ai membri del gruppo Unix sudo. Per delegare questi privilegi, l'amministratore deve usare il comando visudo, che consente di modificare il file di configurazione /etc/sudoers (ancora una volta, questo eseguirà l'editor vi o qualsiasi altro editor indicato nella variabile d'ambiente EDITOR). In alternativa si possono inserire le regole in piccoli file in /etc/sudoers.d/ purché questa directory sia inclusa da /etc/sudoers tramite @includedir /etc/sudoers.d, che per Debian è l'impostazione predefinita. L'aggiunta di una riga con nomeutente ALL=(ALL) ALL permette all'utente in questione di eseguire qualsiasi comando come root.

Configurazioni più sofisticate consentono di autorizzare solo specifici comandi ad alcuni utenti. I dettagli delle varie combinazioni sono riportati nella pagina di manuale sudoers(5).

8.9.5. Lista dei punti di mount

FONDAMENTALE Montare e smontare

In un sistema tipo Unix come Debian, i file sono organizzati in un'unica gerarchia ad albero di directory. La directory / è chiamata "root directory"; tutte le directory aggiuntive sono sottodirectory all'interno di questa radice. Il "montaggio" è l'azione di includere il contenuto di una periferica (spesso un disco rigido) nell'albero del filesystem. Di conseguenza, se si utilizza un disco rigido separato per memorizzare i dati personali degli utenti, questo disco dovrà essere "montato" nella directory /home/ (durante l'installazione sono già state fatte le scelte del caso, vedere Sezione 4.2.13.1, «Partizionamento guidato»). Il filesystem root viene sempre montato all'avvio dal kernel; le altre periferiche vengono spesso montate successivamente durante la sequenza di avvio o manualmente con il comando mount.

Alcuni dispositivi rimovibili vengono montati automaticamente al momento della connessione, soprattutto quando si utilizzano GNOME, Plasma o altri ambienti desktop. Altri devono essere montati manualmente dall'utente. Allo stesso modo, devono essere smontati (rimossi dall'albero dei file). Gli utenti normali, di solito, non hanno il permesso di eseguire i comandi mount e umount. L'amministratore può tuttavia autorizzare queste operazioni (indipendentemente per ogni punto di montaggio) includendo l'opzione user nel file /etc/fstab.

Il comando mount può essere usato senza argomenti per elencare tutti i filesystem montati (come si trovano anche in /proc/mounts ); si può eseguire findmnt --fstab per mostrare solo i filesystem da /etc/fstab. Per montare o smontare un dispositivo sono necessari i seguenti parametri - per l'elenco completo si rimanda alle corrispondenti pagine del manuale, mount(8) e umount(8). Per i casi più semplici, anche la sintassi è semplice: per esempio, per montare la partizione /dev/sdc1, che ha un filesystem ext3, nella directory /mnt/tmp/, basta eseguire mount -t ext3 /dev/sdc1 /mnt/tmp/.

Il file /etc/fstab fornisce la lista di tutti i possibili montaggi che avvengono automaticamente all'avvio o manualmente per i dispositivi di archiviazione removibili. Ogni punto di montaggio è definito da una riga con i diversi campi separati da spazi:

file system: indica dove si trova il filesystem da montare, che può essere un dispositivo locale (partizione del disco rigido, CD-ROM) o un filesystem remoto (come NFS o anche SSHFS).
Questo campo è frequentemente sostituito con l'ID univoco del filesystem (che può essere determinato con blkid dispositivo) ed è preceduto da UUID=. Questo mette al riparo da un eventuale cambio nel nome del dispobitivo in caso di aggiunta o rimozione di dischi o se i dischi vengono individuati in un ordine diverso. Per maggiori dettagli vedere Sezione 8.8.1, «Identificare i dischi».
punto di montaggio: questa è la posizione nel filesystem locale dove il dispositivo, sistema remoto, o partizione dev'essere montata.
tipo: questo campo definisce il filesystem usato sul dispositivo da montare. ext4, ext3, vfat, ntfs, btrfs, xfs sono solo alcuni esempi.
FONDAMENTALE NFS, un filesystem di rete
NFS è un filesystem di rete: su Linux consente l'accesso trasparente a file remoti includendoli nel filesystem locale.
Una lista completa dei filesystem conosciuti è disponibile nella pagina di manuale mount(8). Il valore speciale swap è per le partizioni di swap. Il valore auto specifica al programma mount di individuare automaticamente il filesystem (cosa particolarmente utile per i lettori e le chiavette USB, poiché ognuna può avere un filesystem diverso dall'altra);
opzioni: ne esistono molte, in base al filesystem, e sono documentate nella pagina di manuale mount. Le più comuni sono
- rw o ro, significano rispettivamente che il dispositivo può essere montato con i permessi di lettura/scrittura oppure sola lettura.
- noauto disattiva il montaggio automatico all'avvio.
- nofail permette all'vvio del sistema di procedere anche quando non è presente alcun dispositivo. Assicurasi di abilitare questa opzione per i dischi esterni che potrebbero essere scollegati all'avvio, poichè systemd garantisce che realmente tutti i pinti di mount che devono montati automaticamente siano effettivamente montati prima di lasciare che il processo di avvio continui fino alla fine. Si noti che è possibile combinare questa opzione con x-systemd.device-timeout=5s per dire a systemd di aspettare non più di 5 secondi che venga rilevato il dispositivo (si veda systemd.mount(5)).
- user autorizza tutti gli utenti a montare questo filesystem (un'operazione che sarebbe altrimenti consentita al solo utente root).
- defaults imposta un insieme di opzioni predefinite: rw, suid, dev, exec, auto, nouser e async, ognuna delle quali può essere singolarmente disabilitata dopo defaults aggiungendo nosuid, nodev e così via per bloccare rispettivamente suid, dev ecc. Aggiungere l'opzione user la riattiva, dato che defaults include nouser.
dump: questo campo è quasi sempre impostato a 0 ed è una sorta di reliquia. Quando è maggiore di zero, indica allo strumento dump che la partizione contiene dati per i quali deve essere fatto un frequente backup. Lo strumento supporta solo i filesystem Ext2/3/4 e utilizzerà questo valore quando è eseguito con dump -W o dump -w per determinare su quali partizioni deve essere eseguito il backup. Considerare gli esempi presenti in /usr/share/doc/dump/examples/ se si vuole utilizzare questa funzionalità. Ma esistono migliori alternative per fare il backup di un filesystem, come fsarchiver.
pass: questo ultimo campo indica quando l'integrità del filesystem dovrebbe essere controllata all'avvio e l'ordine in cui deve essere fatto. Se è 0 non viene eseguito nessun controllo. Il filesystem radice dovrebbe sempre avere il valore 1, mentre altri filesystem permanenti dovrebbero avere il valore 2.

Esempio 8.5. Esempio di file /etc/fstab

# /etc/fstab: static file system information.
#
# Use 'blkid' to print the universally unique identifier for a
# device; this may be used with UUID= as a more robust way to name devices
# that works even if disks are added and removed. See fstab(5).
#
# systemd generates mount units based on this file, see systemd.mount(5).
# Please run 'systemctl daemon-reload' after making changes here.
#
# <file system>                           <mount point>   <type>      <options>         <dump>  <pass>
# / was on /dev/sda1 during installation
UUID=7a250fb8-c16d-4a4e-9808-ec08ae92b6c6 /               ext4        errors=remount-ro 0       1
# swap was on /dev/sda5 during installation
UUID=13f367ae-dbaf-40ed-85c0-4072a2ebe426 none            swap        sw                0       0
/dev/sr0                                  /media/cdrom0   udf,iso9660 user,noauto       0       0
/dev/fd0                                  /media/floppy   auto        rw,user,noauto    0       0
arrakis:/shared                           /shared         nfs         defaults          0       0

L'ultima riga dell'esempio corrisponde ad un filesystem di rete (NFS): la directory /shared/ sul server arrakis è montata su /shared/ della macchina locale.

Il formato del file /etc/fstab è documentato nella pagina di manuale fstab(5).

APPROFONDIMENTO Montaggio automatico

I punti di automount sono gestibili da systemd: si tratta di filesystem che vengono montati su richiesta quando un utente tenta di accedere ai loro punti di montaggio. Può anche smontare questi filesystem quando nessun processo vi accede più.

Come la maggior parte dei concetti in systemd, i punti di automount sono gestiti con unità dedicate, utilizzando il suffisso .automount. Vedere systemd.automount(5) per la sintassi esatta.

Esistono altre utility per il montaggio automatico, come automount nel pacchetto autofs o amd nel pacchetto am-utils.

Si noti anche che GNOME, Plasma ed altri ambienti desktop lavorano insieme a udisks2 e possono montare automaticamente i supporti rimovibili quando vengono collegati.

8.9.6. `locate` e `updatedb`

Il comando locate può trovare la posizione di un file quando si conosce solo una parte del nome. Restituisce un risultato quasi istantaneo, poiché consulta un database che memorizza la posizione di tutti i file sul sistema; questo database viene aggiornato quotidianamente dal comando updatedb. Esistono diverse implementazioni del comando locate e Debian ha scelto mlocate come sistema standard. Se si vuole considerare un'alternativa, si può provare plocate che fornisce le stesse opzioni da riga di comando e può essere considerato a tutti gli effetti un sostituto.

locate è abbastanza intelligente da restituire solo i file che sono accessibili all'utente che esegue il comando anche se utilizza un database in cui sono presenti tutti i file del sistema (sin dalla sua implementazione updatedb viene eseguito con i privilegi di root). Per una maggiore sicurezza, l'amministratore può utilizzare PRUNEDPATHS in /etc/updatedb.conf per escludere alcune directory dall'indicizzazione.