Amministrazione del sistema Linux: una guida completa per gli amministratori di sistema

Informatec Digital » Risorse » Amministrazione del sistema Linux: una guida completa per gli amministratori di sistema

L'amministrazione dei sistemi Linux è diventata un'attività fondamentale in qualsiasi reparto IT moderno. Che si tratti di un piccolo server VPS o di un grande data center con centinaia di macchine, c'è sempre qualcuno dietro le quinte che si occupa di garantire la stabilità, la sicurezza e le prestazioni del sistema.

Se usi il terminale quotidianamente o hai appena iniziato a sperimentare con i server, questa guida ti servirà da guida completa: dalla gestione di utenti e gruppi , alla configurazione di rete e ai servizi, fino al monitoraggio, alla console web in RHEL e ai concetti che devi padroneggiare per lavorare come un amministratore di sistemi Linux competente. Se hai bisogno di altri comandi, consulta i nostri suggerimenti e scorciatoie per padroneggiare il terminale.

Cos'è Linux e cosa comporta gestirlo?

Linux è un sistema operativo open source il cui kernel è stato creato da Linus Torvalds nel 1991. Oggi è onnipresente: server web, supercomputer, router, telefoni Android, container cloud e molto altro. La sua popolarità negli ambienti aziendali deriva dalla sua stabilità, sicurezza e flessibilità , che lo rendono una scelta privilegiata per le infrastrutture critiche.

Quando parliamo di amministrazione Linux, ci riferiamo a tutte le attività necessarie affinché il sistema funzioni in modo continuo, rapido e sicuro. Questo include tutto, dall'installazione iniziale e dal partizionamento di dischi e file system alla configurazione dei servizi, al rafforzamento della sicurezza, al monitoraggio delle risorse e alla risoluzione dei problemi che inevitabilmente si presentano.

Un amministratore di sistemi Linux è responsabile di garantire la disponibilità del server, il corretto funzionamento dei backup, un'esperienza utente fluida e di prevenire che guasti isolati si trasformino in interruzioni di servizio diffuse. Nelle società di hosting specializzate in Linux , questi professionisti configurano l'infrastruttura, la rete, gestiscono l'hardware e risolvono problemi che vanno da semplici malfunzionamenti dei servizi web a complesse migrazioni di virtualizzazione.

Funzioni chiave di un amministratore Linux

I compiti tipici di un amministratore di sistema Linux sono molto vari, ma generalmente ruotano attorno ad alcune responsabilità fondamentali che dovrebbero essere chiare fin dall'inizio.

• Installazione e configurazione del sistema: scelta della distribuzione (Ubuntu, Debian, RHEL, CentOS Stream, Rocky, ecc.) — layout migliori per proteggere la tua sicurezzaPartizionamento, installazione di pacchetti, configurazione di systemd e servizi di base.
• Gestione utenti e permessi: creazione ed eliminazione di account, assegnazione di gruppi, controllo dei permessi sui file, utilizzo di password complesse e, in ambienti di grandi dimensioni, integrazione con servizi di directory quali LDAP o IdM.
• Gestione dei servizi e dei demoniAvvio, arresto, riavvio e monitoraggio di servizi quali server Web, database, DNS, posta elettronica, servizi file e altri, utilizzando strumenti quali systemctl.
• Sicurezza del sistemaConfigurazione del firewall, gestione delle patch, utilizzo di SELinux o AppArmor, audit di sicurezza e applicazione delle migliori pratiche di rafforzamento.
• Monitoraggio e prestazioni: monitorare l'utilizzo di CPU, RAM, disco e rete, rilevare colli di bottiglia, monitorare i processi e pianificare espansioni delle risorse.
• Backup e ripristino: progettazione di policy di backup, utilizzo di strumenti di copia crittografata, test di ripristino e automazione di queste attività.
• Automazione e scripting: creazione di script shell e utilizzo di attività pianificate con cron o strumenti di orchestrazione per ridurre il lavoro manuale e gli errori.
• Amministrazione remota: accesso ai server tramite SSH, console web come Cockpit e altre soluzioni di gestione centralizzata, spesso integrate nel cloud.

Gestione di utenti e gruppi in Linux

Linux è un sistema multiutente in cui ogni account ha un ruolo ben definito. La pietra angolare dell'amministrazione è la comprensione della differenza tra l'utente amministratore e gli altri account standard, nonché del ruolo dei gruppi e dei relativi file di configurazione.

In qualsiasi sistema Linux troverai un account privilegiato chiamato radiceL'account superutente ha la possibilità di apportare qualsiasi modifica: modificare la configurazione del kernel, eliminare file di sistema, creare o eliminare utenti, gestire servizi, ecc. Proprio per questo potere illimitato, si consiglia di utilizzare questo account solo quando è assolutamente necessario e, per il resto del tempo, di lavorare con un account utente normale. sudo per compiti specifici.

Gli account utente standard sono quelli che gli utenti finali utilizzano o i servizi di sistema per funzionare. Questi account non dispongono di autorizzazioni amministrative per impostazione predefinita, quindi non possono modificare le impostazioni globali o compromettere facilmente il sistema. Per concedere privilegi controllati, vengono utilizzati elenchi di utenti autorizzati in /etc/sudoers o nei file inclusi, in modo che la password di root non debba essere condivisa con più persone, il che rappresenterebbe un rischio significativo.

In Linux, i gruppi vengono utilizzati per raggruppare gli utenti e semplificare l'assegnazione dei permessi a file, directory e risorse. Ogni utente ha un gruppo primario e può appartenere a uno o più gruppi secondari o supplementari. In genere, il gruppo primario viene creato con lo stesso nome dell'utente ed è associato di default ai file creati da quell'utente.

Il gruppo primario determina a quale gruppo vengono assegnati per impostazione predefinita i file generati dall'utente, mentre i gruppi secondari consentono concedere permessi aggiuntivi per accedere a directory condivise, eseguire servizi specifici o utilizzare dispositivi. Il sistema è già dotato di gruppi predefiniti per determinate funzioni (ad esempio sudo, adm, www-dataecc.), ed è l'amministratore che decide come combinarli.

File e comandi di base per utenti e gruppi

Le informazioni principali sull'account e sul gruppo sono memorizzate in file di testo normale, che il sistema consulta continuamente. Il file /etc/passwd definisce gli utenti, il loro UID, GID primario, directory home e shell di avvio, mentre /etc/group Raccoglie i gruppi, il loro GID e l'elenco dei membri. Per migliorare la sicurezza delle password, viene utilizzato il file. /etc/shadow, accessibile solo da root, che memorizza gli hash e i dati di scadenza.

Per gestire account e gruppi, esistono strumenti specifici che ogni amministratore dovrebbe padroneggiare. I comandi più comuni per le attività di base sono i seguenti:

comando	Funzione principale
useradd	Creare un nuovo account dell'utente nel sistema, con il suo UID, la directory home e la shell associata.
userdel	Elimina un utente e, facoltativamente, la tua directory home e i file associati.
passwd	Imposta o modifica la tua password di un utente esistente e gestirne la scadenza.
groupadd	Crea un nuovo gruppo e assegnargli un identificatore di gruppo (GID).
groupdel	Elimina un gruppo quando non serve più o è vuoto.
whoami	Mostra l'utente corrente con cui hai effettuato l'accesso al terminale.

Su queste basi si costruiscono configurazioni più avanzate, come l'uso di Servizi di directory LDAP o IdM per centralizzare l'autenticazione di utenti e gruppi attraverso moduli come nsswitch e PAM, in modo che lo stesso set di credenziali funzioni su più server Linux all'interno di un'organizzazione.

Configurazione e connessione di rete in Linux

Uno dei vantaggi di Linux è che permette di configurare facilmente la rete dal terminale , sia per verificare la configurazione corrente, sia per modificare indirizzi IP, maschere di sottorete, gateway o diagnosticare problemi di connettività con pochi comandi.

Per vedere come è configurata la rete TCP/IP, possiamo usare strumenti classici come ifconfig (sui sistemi in cui è ancora disponibile) o comandi più moderni come ip addrL'output mostra le interfacce, gli indirizzi IP associati (campo inet), maschera di rete e, a seconda dei casi, parametri quali broadcast, stato dell'interfaccia e altro ancora.

ifconfig eth0 192.168.1.100 netmask 255.255.255.0 broadcast 192.168.1.255

In questo esempio, eth0 È l'interfaccia di rete su cui agiamo; stabiliamo un indirizzo IP, una subnet mask /24 e un indirizzo broadcast. Nei sistemi più recenti, la tendenza è quella di utilizzare ip per questo compito, ma il concetto è lo stesso: assegnare staticamente l'indirizzo all'interfaccia corrispondente.

Per verificare la connettività con un'altra macchina, lo strumento base in Linux è il comando ping , che invia pacchetti ICMP alla destinazione e visualizza il tempo di risposta. Un esempio tipico potrebbe essere:

ping 127.0.0.1

Il risultato indica se è presente una risposta, la dimensione del pacchetto e la latenza. Il campo TTL (Time To Live) riflette la durata massima di vita del pacchetto: minore è il valore TTL, maggiore è il numero di hop effettuati. Nei sistemi moderni sono comuni valori iniziali tipici come 64 o 128.

Per analizzare connessioni e porte, esistono strumenti come netstat (sempre più sostituito da ss), che consentono Visualizza connessioni attive, statistiche e percorsi della rete. Grazie alle diverse opzioni, l'amministratore può visualizzare le porte di ascolto, le connessioni stabilite, il traffico per interfaccia o le tabelle di routing.

opzione netstat	Descrizione
netstat -a	Visualizza tutte le connessioni e le porte.siano essi attivi o in standby.
netstat -e	Insegnare statistica dei pacchetti in entrata e in uscita di un'interfaccia.
netstat -f	Visualizza i nomi di dominio completamente qualificati invece di semplici indirizzi IP.
netstat -n	Visualizza indirizzi numerici e porte, senza risolvere i nomi.
netstat -o	Includi l'identificatore del processo associato a ciascuna connessione.
netstat -p X	Filtra per protocollo specifici (TCP, UDP, tcpv6, tcpv4, ecc.).
netstat -q	Elenco delle porte in ascolto e non in ascolto collegato al sistema.
netstat -s	Statistiche dei gruppi per protocollo per un'analisi più dettagliata.
netstat -r	Visualizza la tabella di routing sistema attuale.
netstat -t	Filtra le connessioni TCP, utile per controllare i download o le sessioni attive.
netstat -x	Fornisce informazioni sulle connessioni NetworkDirect., negli ambienti che li utilizzano.

Nell'ambito di un quadro più ampio di amministrazione di rete, l'amministratore Linux deve comprendere concetti quali sottoreti, maschere di rete, routing e risoluzione dei nomi , nonché gestire servizi come DNS, DHCP o server proxy quando questi fanno parte dell'infrastruttura.

Monitoraggio delle risorse e dei processi

Ogni volta che un server rallenta o inizia a comportarsi in modo anomalo, la prima cosa da fare è capire cosa sta succedendo . Linux offre una serie di utility per il monitoraggio in tempo reale dell'utilizzo di CPU, memoria, disco e rete, e per identificare i processi che consumano più risorse.

Strumenti classici come top e la sua alternativa migliorata htop mostra un visione dinamica del sistema: carico medio, memoria totale e libera, utilizzo dello swap, elenco dei processi ordinati in base al consumo di CPU o RAM, ecc. Da queste interfacce è possibile inviare segnali ai processi (ad esempio, per terminare un processo bloccato) oppure modificarne la priorità.

Per una visione ancora più completa, utility come Glances mostrano lo stato di CPU, memoria, disco, rete, processi e servizi su un'unica schermata e consentono persino di monitorare più server da remoto tramite un'interfaccia web. L'installazione è semplice con un pacchetto come:

sudo apt install glances

Quando si desidera un approccio più specializzato, strumenti come ps, che permettono elenca i processi attivi con informazioni dettagliate: PID, utente, utilizzo della CPU e della memoria, tempo di esecuzione, comando completo, ecc. Un modello comune è quello di combinare ps con grep per filtrare in base a un processo specifico e trovarlo rapidamente tra tutti quelli eseguiti dal sistema.

Negli ambienti di produzione e ad alte prestazioni, possono entrare in gioco soluzioni di monitoraggio più avanzate, in grado di raccogliere metriche storiche , generare grafici e inviare avvisi: sistemi come Prometheus, Grafana o integrazioni che forniscono dashboard centralizzate consentono di osservare l'evoluzione delle prestazioni nel tempo e anticipare i problemi prima che gli utenti se ne accorgano.

Servizi, systemd e amministrazione in Linux

Gran parte della magia di un server Linux risiede nei suoi servizi in background (chiamati anche daemon ) . Questi programmi non mostrano un'interfaccia grafica e di solito non interagiscono direttamente con l'utente, ma forniscono funzioni come la gestione di pagine web, database, posta elettronica e la condivisione di file in rete.

Nella maggior parte delle distribuzioni moderne, l'avvio e la gestione dei servizi sono gestiti da systemd . Questo sistema di avvio controlla quali servizi vengono avviati all'avvio del server, come vengono gestite le loro dipendenze e come vengono monitorati per garantire che rimangano attivi o vengano riavviati in caso di errore.

I comandi essenziali collegato a systemctl che ogni amministratore dovrebbe conoscere sono:

• Avvia un servizio: systemctl start nombre_servicioAd esempio, per avviare un server web.
• Interrompere un servizio: systemctl stop nombre_servicio, se dobbiamo fermarlo per manutenzione o a causa di un problema rilevato.
• Riavviare un servizio: systemctl restart nombre_servicioutile dopo le modifiche alla configurazione.
• controllare lo stato: systemctl status nombre_servicio, che mostra se è attivo, gli errori recenti e i registri pertinenti.
• Abilita all'avvio: systemctl enable nombre_servicioin modo che il demone si avvii automaticamente con il sistema.
• Disabilita all'avvio: systemctl disable nombre_servicio, se non vogliamo più che si avvii automaticamente.

Quando si diagnostica quali porte sta utilizzando un servizio specifico, è possibile ricorrere a ssche è un'alternativa moderna a netstatUn comando tipico sarebbe:

ss -tulpn | grep nombre_servicio

Questo genera un elenco di socket TCP e UDP in ascolto associati al servizio in questione e all'ID del processo (PID). Ciò consente di confermare rapidamente, ad esempio, che un server web è effettivamente in ascolto sulla porta 80 o 443 e che non vi sono conflitti con altri processi.

Sicurezza Linux: principi e strumenti

Un amministratore di sistema Linux serio non può trascurare la sicurezza . Ogni livello del sistema (utenti, servizi, rete, applicazioni) deve essere configurato secondo il principio del minimo privilegio per ridurre al minimo la superficie di attacco.

A livello basilare, ciò implica l'utilizzo di password complesse , una gestione attenta dei permessi dei file (lettura, scrittura ed esecuzione per utente, gruppo e altri), la limitazione dell'accesso remoto tramite SSH con chiavi, la disabilitazione dell'accesso diretto come root e la limitazione delle fonti di connessione consentite.

Inoltre, meccanismi come firewall (ad esempio, con firewalld o iptables) per controllare quali porte sono aperte, sistemi di rilevamento delle intrusioni, crittografia dei dati sensibili e, in molti ambienti aziendali, l'uso di SELinux o AppArmor per imporre controlli di accesso obbligatori che rendono difficile sfruttare le vulnerabilità.

Per eseguire periodicamente controlli di sicurezza, strumenti come Lynis consentono di scansionare il sistema e generare report con raccomandazioni specifiche per migliorare la configurazione. Dopo l'installazione, in genere si esegue un comando simile a questo:

sudo apt install lynis
sudo lynis audit system

Con ogni aggiornamento e patch , il sistema corregge difetti e debolezze che potrebbero diventare punti di accesso per gli aggressori. Ignorare anche le vulnerabilità apparentemente minori è una cattiva idea: molti incidenti gravi iniziano con un dettaglio trascurato.

Backup e continuità del servizio

Nessun amministratore può stare tranquillo senza una strategia di backup ben ponderata . I backup servono a proteggere i dati critici da guasti hardware, errori umani, attacchi ransomware o vari tipi di disastri.

Progettare un buon piano di backup significa decidere quali dati salvare, con quale frequenza, dove archiviarli e come verificarne l'integrità . È prassi comune combinare i backup locali con l'archiviazione esterna o nel cloud, utilizzando la crittografia per proteggere le informazioni sia durante il trasferimento che a riposo.

Strumenti moderni come Restic offrono una soluzione efficace per creare backup crittografati, compressi ed efficienti, con supporto per diverse destinazioni: da un disco locale a servizi tipo S3 o archiviazione su provider esterni. L'installazione è solitamente molto semplice:

sudo apt install restic

Oltre a creare backup, è altrettanto importante testare periodicamente il processo di ripristino per garantire che, in caso di problemi, i dati possano essere recuperati senza sorprese. Molti amministratori pianificano ripristini di prova parziali come parte delle loro attività di manutenzione ordinaria.

Console Web in RHEL 8: amministrazione grafica con Cockpit

Sebbene praticamente tutte le operazioni post-installazione in Linux possano essere eseguite tramite terminale, sistemi come Red Hat Enterprise Linux 8 dispongono anche di una console di amministrazione basata sul web , denominata Cockpit, progettata per facilitare la gestione e il monitoraggio sia del sistema locale che degli altri server all'interno della rete.

Questa console web utilizza le stesse API di sistema della riga di comando, quindi qualsiasi modifica apportata in un terminale si riflette immediatamente nell'interfaccia web e viceversa. Le attività che è possibile svolgere includono la gestione dei servizi, il monitoraggio dei log , la visualizzazione dei grafici delle prestazioni e la configurazione di base di rete, utenti e storage.

Per utilizzarlo è necessario abilitare il servizio cockpit.socketche avvia un server web. È preinstallato in molte installazioni di RHEL 8 Cockpit, ma in caso contrario, è sufficiente installare il pacchetto. cockpit e quindi abilitare il socket. Se si utilizza un firewall personalizzato con firewalld, il servizio deve essere aggiunto cockpit per aprire la porta 9090 e consentire l'accesso da altri computer.

L'accesso alla console avviene tramite un browser web, inserendo l'indirizzo del server e la porta corrispondente. Per autenticarsi, è possibile utilizzare le stesse credenziali utente del sistema, grazie ad uno specifico stack PAM situato in /etc/pam.d/cockpitSe il tuo utente ha privilegi sudoÈ possibile selezionare l'opzione per riutilizzare la password per le attività privilegiate, il che consente di installare software o configurare SELinux dall'interfaccia.

Negli ambienti integrati con domini di Identity Management (IdM) , la console può accettare anche password monouso (OTP) come secondo fattore di autenticazione, a condizione che il dominio sia configurato in tal senso. Ciò rafforza l'accesso via web all'amministrazione del server.

Oltre alle operazioni di base come il riavvio o l'arresto del sistema, la configurazione del fuso orario o la sincronizzazione dell'ora con i server NTP, la console web consente di aggiungere il server a un dominio IdM, monitorare le prestazioni e consultare i log di sistema. È possibile disabilitare funzionalità hardware come il Simultaneous Multi-Threading (SMT) per mitigare alcune vulnerabilità della CPU (L1TF, MDS), tenendo presente che ciò potrebbe comportare una perdita di prestazioni.

Le impostazioni avanzate della console sono gestite da /etc/cockpit/cockpit.confLa modifica di questo file consente, ad esempio, di abilitare un banner legale prima del login (molto comune in organizzazioni e aziende che segnalano l'uso autorizzato dei sistemi) o impostare una scadenza per la sessione in modo che l'interfaccia si chiuda automaticamente dopo un periodo di inattività. Dopo aver modificato questo file, è necessario riavviare il servizio della console web affinché le modifiche abbiano effetto.

Tipi di server Linux e casi d'uso

Quando parliamo di server Linux, non ci riferiamo solo a una macchina fisicamente installata in un data center; questo include anche server cloud, VPS, container e ambienti virtualizzati. Tutti condividono uno schema comune: eseguono una variante del sistema operativo basata sul kernel Linux e sono progettati per supportare applicazioni complesse a livello aziendale.

Nel mondo reale, troviamo server web (per ospitare siti web e applicazioni), server di database, server di posta elettronica, server di file, server di autenticazione e molti altri. La scelta del tipo di server Linux più adatto dipenderà dal ruolo previsto , dai requisiti di prestazioni, dalle esigenze di scalabilità e dal budget disponibile.

Tra le opzioni più comuni ci sono i server cloud , che offrono grande flessibilità, prezzi a consumo e accesso da qualsiasi luogo con una connessione internet. Sono particolarmente apprezzati per i progetti che necessitano di scalare dinamicamente le risorse verso l'alto o verso il basso.

D'altro canto, i server fisici dedicati richiedono un investimento maggiore, ma consentono di sfruttare al massimo la potenza dell'hardware e di avere il controllo completo del sistema. Sono una scelta comune per carichi di lavoro molto intensivi o quando è richiesto un isolamento rigoroso di determinati servizi.

Nel mezzo si collocano i VPS, o server virtuali , che offrono un interessante equilibrio tra costi, prestazioni e flessibilità, rappresentando un'opzione comune per aziende e progetti che muovono i primi passi con infrastrutture più avanzate.

Strumenti utili per portare Linux al livello successivo

Oltre ai comandi classici che ogni amministratore conosce, l'ecosistema Linux offre una buona dose di strumenti meno noti che possono semplificare notevolmente la vita di un amministratore di sistema e migliorare la sicurezza, le prestazioni e l'automazione.

Abbiamo già menzionato Glances per il monitoraggio compatto di varie risorse di sistema e Restic per i backup crittografati. Oltre a questi, lo strumento Cockpit consente di gestire i server tramite un'interfaccia web intuitiva, con supporto per più macchine e disponibilità su distribuzioni come Red Hat, Debian e Ubuntu. Si installa e si abilita con comandi come:

sudo apt install cockpit
sudo systemctl enable --now cockpit

Nell'ambito dell'analisi approfondita, bpftrace Sfrutta l'infrastruttura BPF del kernel per eseguire debug avanzato e analisi delle prestazioni: ispezionare le chiamate di sistema, studiare i processi o il traffico di rete senza gli elevati costi di strumenti più vecchi come strace o tcpdumpÈ particolarmente utile per gli amministratori e gli sviluppatori che hanno bisogno di vedere esattamente cosa succede all'interno del kernel in tempo reale.

Inoltre, per chi è alle prime armi, è fortemente consigliato utilizzare materiali di formazione strutturati , come libri pensati per accompagnare l'utente da principiante ad amministratore avanzato, in cui vengono spiegati tutti gli aspetti, dai comandi di gestione di file e processi al firewall integrato, dalla configurazione della rete locale fino agli strumenti di sicurezza forense e offensiva.

Formazione e opportunità di carriera per l'amministrazione Linux

Se il tuo obiettivo è lavorare come amministratore di sistemi Linux , uno dei percorsi più diretti è quello di frequentare corsi di formazione professionale nel settore informatico e delle reti.

Programmi come la Formazione Professionale ( FP) in Amministrazione di Sistemi Informatici in Rete (ASIR) o la Formazione Professionale (FP) in Sviluppo di Applicazioni Multipiattaforma (DAM) forniscono una solida base: sistemi operativi, reti, servizi, sicurezza e programmazione. Queste sono le competenze richieste da molte aziende quando cercano professionisti di sistemi o DevOps con una specializzazione in Linux.

Le opportunità di carriera per un amministratore Linux includono posizioni in aziende tecnologiche, provider di hosting, telecomunicazioni, banche, società di consulenza IT, settore pubblico e startup . I ruoli più comuni sono amministratore di sistemi, ingegnere di rete, specialista in sicurezza informatica, ingegnere DevOps e responsabile dell'infrastruttura cloud.

In settori come l'hosting gestito, team di sistemi esperti sono responsabili della configurazione e della gestione di infrastrutture complete: dalla pianificazione della rete e dalla scelta dei provider di connettività alla risoluzione di problemi hardware e software, dalla migrazione tra piattaforme di virtualizzazione (ad esempio, da VMware a Proxmox) alla gestione quotidiana di decine o centinaia di server Linux.

Con l'aumentare dell'esperienza, molti amministratori si ritrovano a guidare progetti complessi che coinvolgono virtualizzazione, automazione di massa, implementazione di container o progettazione di architetture ad alta disponibilità, sempre con Linux come elemento centrale.

Padroneggiare l'amministrazione di un sistema Linux implica la comprensione sia delle fondamenta del sistema (utenti, processi, permessi, rete, file system) sia dei livelli superiori di servizi, sicurezza, monitoraggio, backup e orchestrazione. Con gli strumenti giusti, una strategia di sicurezza ben ponderata e una solida formazione, è possibile gestire qualsiasi cosa, da un semplice server a una complessa infrastruttura distribuita, mantenendo il controllo, riducendo i rischi e garantendo che tutto continui a funzionare anche in caso di problemi.