Marc Skinner 发布的文章

通过网络将你的扫描结果发送到 Linux 机器上

Marc Skinner 发布于 2021-05-16
另请参阅: 桌面应用,Samba, 扫描仪
评论

设置一个 Samba 共享，使扫描仪可以容易地被网络上的一台 Linux 计算机访问。

title=

自由软件运动因为一台设计不良的打印机而开始。几十年后，打印机和扫描仪制造商继续重新发明轮子，无视既定的通用协议。因此，每隔一段时间，你就会偶然发现一台打印机或扫描仪似乎无法与你的操作系统配合使用。

最近，我在一台佳能三合一扫描仪（佳能 Maxify MB2720）上遇到了这种情况。我用开源方案解决这个扫描仪的问题。具体来说，我设置了一个 Samba 共享，使扫描仪在我的网络上可用。

Samba 项目是一个用于 Linux/Unix 与 Windows 互操作的套件。尽管它是大多数用户从未与之交互的低级代码，但该软件使得在你的本地网络上共享文件变得很容易，而不管使用的是什么平台。

我使用的是 Fedora，所以这些说明应该适用于任何基于 RPM 的 Linux 发行版。对于其他发行版，可能需要做一些小的修改。下面是我的做法。

获取佳能工具

从佳能的网站上下载所需的用于 Windows 的 “ 佳能快速实用工具箱 Canon Quick Utility Toolbox ”。该软件是必需的，因为它是配置打印机目标文件夹位置和凭证的唯一方法。完成后，你就不需要再使用该工具了，除非你想做出改变。

在配置打印机之前，你必须在你的 Linux 电脑或服务器上设置一个 Samba 共享。用以下命令安装 Samba：

$ sudo dnf -y install samba

创建 /etc/smb.conf 文件，内容如下：

[global]
        workgroup = WORKGROUP
        netbios name = MYSERVER
        security = user
        #CORE needed for CANON PRINTER SCAN FOLDER
        min protocol = CORE
        #NTML AUTHV1 needed for CANON PRINTER SCAN FOLDER
        ntlm auth = yes
        passdb backend = tdbsam

        printing = cups
        printcap name = cups
        load printers = no
        cups options = raw

        hosts allow = 127. 192.168.33.
        max smbd processes = 1000

[homes]
        comment = Home Directories
        valid users = %S, %D%w%S
        browseable = No
        writable = yes
        read only = No
        inherit acls = Yes

[SCANS]
        comment = MB2720 SCANS
        path = /mnt/SCANS
        public = yes
        writable = yes
        browseable = yes
        printable = no
        force user = tux
        create mask = 770

在接近结尾的 force user 这行中，将用户名从 tux 改为你自己的用户名。

不幸的是，佳能打印机不能与高于 CORE 或 NTML v2 认证的服务器信息块（SMB）协议一起工作。由于这个原因，Samba 共享必须配置最古老的 SMB 协议和 NTML 认证版本。这无论如何都不理想，而且有安全问题，所以我创建了一个单独的 Samba 服务器，专门用于扫描仪。我的另一台共享所有家庭网络文件的 Samba 服务器仍然使用 SMB 3 和 NTML v2 认证版本。

启动 Samba 服务端服务，并启用它：

$ sudo systemctl start smb
$ sudo systemctl enable smb

创建一个 Samba 用户

创建你的 Samba 用户并为其设置密码：

$ sudo smbpasswd -a tux

在提示符下输入你的密码。

假设你想在 Linux 系统上挂载你的 Samba 扫描仪，你需要做几个步骤。

创建一个 Samba 客户端凭证文件。我的看起来像这样：

$ sudo cat /root/smb-credentials.txt
username=tux
password=mySTRONGpassword

改变权限，使其不能被其他人阅读：

$ sudo chmod 640 /root/smb-credentials.txt

创建一个挂载点并将其添加到 /etc/fstab 中：

$ sudo mkdir /mnt/MB2720-SCANS

在你的 /etc/fstab 中添加以下这行：

//192.168.33.50/SCANS  /mnt/MB2720-SCANS  cifs vers=3.0,credentials=/root/smb-credentials.txt,gid=1000,uid=1000,_netdev    0 0

这将使用 CIFS 将 Samba 共享扫描挂载到新的挂载点，强制采用 SMBv3，并使用存储在 /root/smb-credetials.txt 中的用户名和密码。它还传递用户的组标识符（GID）和用户标识符（UID），让你拥有 Linux 挂载的全部所有权。_netdev 选项是必需的，以便在网络正常后（例如重启后）挂载该挂载点，因为该挂载点需要网络来访问。

配置佳能软件

现在你已经创建了 Samba 共享，在服务器上进行了配置，并将该共享配置到 Linux 客户端上，你需要启动“佳能快速实用工具箱”来配置打印机。因为佳能没有为 Linux 发布工具箱，所以这一步需要 Windows。你可以尝试在 WINE 上运行它，但如果失败了，你就必须向别人借一台 Windows 电脑，或者在 GNOME Boxes 或 VirtualBox 中运行一个 Windows 开发者虚拟机。

打开打印机，然后启动佳能快速实用工具箱。它应该能找到你的打印机。如果不能看到你的打印机，你必须先将打印机配置为 LAN 或无线网络。

在工具箱中，点击“ 目标文件夹设置 Destination Folder Settings ”。

title=

输入打印机管理密码。我的默认密码是 “canon”。

单击“ 添加 Add ”按钮。

title=

在表格中填写“ 显示名 Displayed Name ”、“ 目标位置共享文件夹名称 Shared Folder Name in Destination ”，以及你的 Samba “ 域名/用户名 Domain Name/User Name ”和“ 密码 Password ”。

我把 “ PIN 码 PIN Code ”留空，但如果你想要求每次从打印机扫描时都要输入 PIN 码，你可以设置一个。这在办公室里很有用，每个用户都有自己的 Samba 共享和 PIN 码来保护他们的扫描。

点击“ 连接测试 Connection Test ”来验证表格数据。

点击 “OK” 按钮。

点击 “ 注册到打印机 Register to Printer ”，将你的配置保存到打印机上。

title=

一切都设置好了。点击“ 退出 Exit ”。你现在已经完成了 Windows 的操作，可能还有工具箱，除非你需要改变什么。

开始扫描

你现在可以从打印机扫描，并从其 LCD 菜单中选择你的“目标文件夹”。扫描结果将直接保存到 Samba 共享中，你可以从你的 Linux 电脑上访问该共享。

为方便起见，用以下命令在你的 Linux 桌面或家目录上创建一个符号链接：

$ sudo ln -sd /mnt/MB2720-SCANS /home/tux/Desktop/MB2720-SCANS

这就是全部内容了！

via: https://opensource.com/article/21/4/linux-scan-samba

作者：Marc Skinner 选题：lujun9972 译者：geekpi 校对：wxy

本文由 LCTT 原创编译，Linux中国荣誉推出

如何利用 SSL/TLS 保护你的 Linux 邮件服务

Marc Skinner 发布于 2020-05-14
另请参阅: 系统运维,SSL, 邮件, TLS
评论

通过理解安全证书来保护你的 Linux 邮件服务。

通常，不管你是通过简单邮件传输协议 Simple Mail Transport Protocol （SMTP）或者互联网消息访问协议 Internet Message Access Protocol （IMAP）或邮局协议 Post Office Protocol （POP）发送或者接受邮件，邮件服务默认都是以无保护的明文来传输数据。近来随着数据加密成为越来越多程序的共识，你需要安全套接层 Secure Sockets Layer / 传输层安全性 Transport Layer Security （SSL/TLS）的安全证书来保护你的邮件服务。

首先，快速回顾一下邮件服务和协议的基本流程。邮件通过 SMTP 从 TCP 端口 25 发出。这个协议依靠 DNS 邮件交换服务器 Mail eXchanger （MX）记录的地址信息来传输邮件。当邮件到达邮件服务器后，可以被以下两种服务中的任意一种检索：使用 TCP 端口 143 的 IMAP，或者使用 TCP 端口 110 的 POP3（邮局协议第 3 版）。然而，以上服务都默认使用明文传输邮件和认证信息。这非常的不安全！

为了保护电子邮件数据和认证，这些服务都增加了一个安全功能，使它们可以利用 SSL/TLS 证书对数据流和通讯进行加密封装。SSL/TLS 是如何加密数据的细节不在本文讨论范围，有兴趣的话可以阅读 Bryant Son 关于互联网安全的文章了解更多细节。概括的说，SSL/TLS 加密是一种基于公钥和私钥的算法。

通过加入这些安全功能后，这些服务将监听在新的 TCP 端口：

服务	默认 TCP 端口	SSL/TLS 端口
SMTP	25	587
IMAP	143	993
POP3	110	995

生成 SSL/TLS 证书

OpenSSL 可以生成免费的 SSL/TLS 证书，或者你也可以从公共证书颁发机构 Certificate Authoritie （CA）购买。过去，生成自签发证书十分简单而且通用，但是由于安全被日益重视，大部分的邮件客户端是不信任自签发证书的，除非手动设置。

如果你只是自己使用或者做做测试，那就使用自签发证书省点钱吧。但是如果很多人或者客户也需要使用的话，那最好还是从受信任的证书颁发机构购买。

不管是哪种情况，开始请求新证书的过程是使用 Linux 系统上的 OpenSSL 工具来创建一个证书签发请求 Certificate Signing Request （CSR）：

$ openssl req -new -newkey rsa:2048 -nodes -keyout mail.mydomain.key -out mail.mydomain.csr

这个命令会为你想保护的服务同时生成一个新的 CSR 文件和一个私匙。它会询问你一些证书相关的问题，如：位置、服务器的完全合规域名 Fully Qualified Domain Name （FQDN）、邮件联系信息等等。当你输入完这些信息后，私钥和 CSR 文件就生成完毕了。

如果你想生成自签发证书

如果你想要生成自签发证书的话，在运行以上 CSR 命令之前，你必须先创建一个自己的根 CA。你可以通过以下方法创建自己的根 CA。

$ openssl genrsa -des3 -out myCA.key 2048

命令行会提示你输入一个密码。请输入一个复杂点的密码而且不要弄丢了，因为这将会是根 CA 私钥的密码，正如其名称所示，它是你的证书中所有信任关系的根。

接下来，生成根 CA 证书：

$ openssl req -x509 -new -nodes -key myCA.key -sha256 -days 1825 -out myCA.pem

在回答完一些问题后，你就拥有一个有效期为 5 年的根 CA 证书了。

用之前生成的 CSR 文件，你可以请求生成一个新证书，并由您刚才创建的根 CA 签名。

$ openssl x509 -req -in mail.mydomain.csr -CA myCA.pem -CAkey myCA.key -CAcreateserial -out mail.mydomain.pem -days 1825 -sha256

输入你的根 CA 私钥的密码来创建和签署证书。

现在你有了配置电子邮件服务以增强安全性所需的两个文件：私匙文件 mail.mydomain.key 和公开证书文件 mail.mydomain.pem。

如果你愿意购买证书

如果你愿意从机构购买证书，则需要上传 CSR 文件到证书颁发机构的系统中，它将会被用于生成 SSL/TLS 证书。证书可作为文件下载，比如 mail.mydomain.pem。很多 SSL 机构也需要你下载一个中间证书。如果是这样的话，你必须把这个两个证书合并成一个，这样电子邮件服务就可以将这两个证书结合起来处理。可以使用以下命令把你的证书和第三方中间证书合并在一起：

$ cat mail.mydomain.pem gd_bundle-g2-g1.crt > mail.mydomain.pem

值得一提的是 .pem 文件后缀代表隐私增强邮件 Privacy-Enhanced Mail 。

现在你就有全部的设置邮件服务安全所需文件了：私匙文件 mail.mydomain.key 和组合的公开证书文件 mail.mydomain.pem。

为你的文件生成一个安全的文件夹

不管你是的证书是自签发的或者从机构购买，你都需要生成一个安全的，管理员拥有的文件夹用于保存这两个文件。可以使用以下命令来生成：

$ mkdir /etc/pki/tls
$ chown root:root /etc/pki/tls
$ chmod 700 /etc/pki/tls

在复制文件到 /etc/pki/tls 后，再次设置这些文件的权限：

$ chmod 600 /etc/pki/tls/*

配置你的 SMTP 和 IMAP 服务

接下来，让 SMTP 和 IMAP 服务使用新的安全证书。我们用 postfix 和 dovecot 来作为例子。

用你顺手的编辑器来编辑 /etc/postfix/main.cf 文件。添加以下几行：

smtpd_use_tls = yes
smtpd_tls_cert_file = /etc/pki/tls/mail.mydomain.pem
smtpd_tls_key_file = /etc/pki/tls/mail.mydomain.key

自定义选项

以下选项可以启用或禁用各种加密算法，协议等等：

smtpd_tls_eecdh_grade = strong
smtpd_tls_protocols= !SSLv2, !SSLv3, !TLSv1, !TLSv1.1
smtpd_tls_mandatory_protocols= !SSLv2, !SSLv3, !TLSv1, !TLSv1.1
smtpd_tls_mandatory_ciphers = high
smtpd_tls_security_level=may
smtpd_tls_ciphers = high
tls_preempt_cipherlist = yes
smtpd_tls_mandatory_exclude_ciphers = aNULL, MD5 , DES, ADH, RC4, PSD, SRP, 3DES, eNULL
smtpd_tls_exclude_ciphers = aNULL, MD5 , DES, ADH, RC4, PSD, SRP, 3DES, eNULL
smtp_tls_mandatory_protocols = !SSLv2, !SSLv3, !TLSv1, !TLSv1.1
smtp_tls_protocols = !SSLv2, !SSLv3, !TLSv1, !TLSv1.1

编辑 /etc/dovecot/dovecot.conf 文件，添加以下三行：

ssl = required
ssl_cert = &lt;/etc/pki/tls/mail.mydomain.pem
ssl_key = &lt;/etc/pki/tls/mail.mydomain.key

添加下列更多选项来启用或禁用各种加密算法、协议等等（我把这些留给你来理解）：

ssl_cipher_list = EECDH+ECDSA+AESGCM:EECDH+aRSA+AESGCM:EECDH+ECDSA+SHA384:EECDH+ECDSA+SHA256:EECDH+aRSA+SHA384:EECDH+aRSA+SHA256:EECDH+aRSA+RC4:EECDH:EDH+aRSA:ALL:!aNULL:!eNULL:!LOW:!3DES:!MD5:!EXP:!PSK:!SRP:!DSS:!RC4:!SSLv2
ssl_prefer_server_ciphers = yes
ssl_protocols = !SSLv2 !SSLv3 !TLSv1 !TLSv1.1
ssl_min_protocol = TLSv1.2

设置 SELinux 上下文

如果你的 Linux 发行版启用了 SELinux，请为你的新证书文件设置正确的 SELinux 上下文。

对于 Postfix 设置 SELinux：

$ chcon -u system_u -t cert_t mail.mydomain.*

对于 Dovecot 设置 SELinux：

$ chcon -u system_u -t dovecot_cert_t mail.mydomain.*

重启这些服务，并与你相应更新过的电子邮件客户端配置连接。有些电子邮件客户端会自动探测到新的端口，有些则需要你手动更新。

测试配置

用 openssl 命令行和 s_client 插件来简单测试一下：

$ openssl s_client -connect mail.mydomain.com:993
$ openssl s_client -starttls imap -connect mail.mydomain.com:143
$ openssl s_client -starttls smtp -connect mail.mydomain.com:587

这些测试命令会打印出很多信息，关于你使用的连接、证书、加密算法、会话和协议。这不仅是一个验证新设置的好方法，也可以确认你使用了适当的证书，以及在 postfix 或 dovecot 配置文件中定义的安全设置正确。

保持安全！

via: https://opensource.com/article/20/4/securing-linux-email

作者：Marc Skinner 选题：lujun9972 译者：Acceleratorrrr 校对：wxy

本文由 LCTT 原创编译，Linux中国荣誉推出