Visualizza sorgente di RaspberryPi-Raspwall

== Presentazione ==

Questa è una guida realizzata per la creazione di un Firewall casalingo utilizzando come Hardware un Raspberry Pi, una scheda di memoria SDHC compatibile, tastiera USB, alimentatore 5V micro usb, cavetteria varia. Il software si basa su una versione di Sistema Operativo Linux preparato appositamente per uso server, quindi senza interfaccia grafica ma col solo uso di terminale e tastiera.

== Procedura ==
*Per prima cosa prepariamo la scheda SDHC. 
Inizialmente ho utilizzato una vecchia scheda da 2 Gb ma in seguito sono passato ad una da 8 Gb per esigenze di spazio disco, dato che in seguito faceva comodo aggiungere software per altri utilizzi, sarebbe forse stata sufficiente anche una scheda da 4 Gb ma non avendola a disposizione, sono andato sul sicuro.
*Per secondo scarichiamo un paio di file, uno è il Sistema Operativo vero e proprio tramite il sito http://rpy-italia.org/ andando alla sezione “Download” “Sistemi Operativi” e scegliendo la sezione riguardante RpyOS. L'altro file da scaricare è il Firmware aggiornato (con quello di default derivato dall'installazione del precedente file il Raspberry Pi non si avviava) facendo il download del file compresso .zip all'indirizzo https://github.com/Hexxeh/rpi-firmware.
Adesso possiamo installare il Sistema Operativo sulla scheda, per questo passaggio rimando alle indicazioni seguite su un altro sito: http://rpy-italia.org/forum/index.php/topic,5.msg9.html#msg9.
Una volta fatto ciò possiamo decomprimere il contenuto del file contenente il firmware aggiornato e sovrascrivere tutti i file nella partizione dedicata sulla scheda, è più facile farlo che spiegarlo dato che dopo l'installazione si potrà vedere che esistono due partizioni, la più piccola delle due ha praticamente gli stessi file che andremo a sovrascrivere con quelli contenuti nel file compresso.
*A questo punto la scheda SDHC è pronta per funzionare come Server ma non come Firewall, per quello c'è ancora da modificare qualche file di configurazione. Le strade sono due, la prima è la più complicata perché è quella di avviare il Server e modificare i file di configurazione, editandoli singolarmente, in base alle proprie esigenze, la seconda è la più facile e consiste nel sostituire i file, sulla scheda ancora inserita nel lettore del PC, con quelli editati da noi e semmai fare qualche piccolo adattamento; in ogni caso alla fine il risultato è sempre il solito.
Prima di entrare nel merito della configurazione è bene spendere due parole su come è impostata la rete utilizzata per creare il Firewall.
Cominciamo dal Router Wireless che distribuisce il segnale alla rete 192.168.0.XXX e funziona da Server DHCP, un Access Point che si occupa di riprendere il segnale Wireless ed incanalarlo in una rete cablata dotata di Switch al quale è collegato il Raspberry Pi, altri PC fissi, altri Access Point per ampliare la copertura Wireless. La rete protetta dal Firewall ha indirizzi 192.168.1.XXX e tutti i PC saranno indirizzati al Raspberry Pi che avrà due indirizzi IP sulla stessa scheda di rete grazie alla virtualizzazione, uno fuori copertura 192.168.0.91 (l'indirizzo è del tutto arbitrario e personale) ed uno protetto dal Firewall 192.168.1.1.
I file che dovranno essere sostituiti o creati sono quelli nell'elenco sottostante con i relativi percorsi:
'/etc/network/interfaces'
'/etc/init.d/iptables' (file a cui dare permessi di esecuzione tramite comando 'chmod +x')
Il grosso del lavoro è stato proprio su questi due file, il primo per permettere al Raspberry Pi di credere di avere due interfacce di rete, il secondo per gestire e filtrare il traffico tra le due interfacce in modo che sia impedito l'accesso in SSH da quella fuori copertura e permettere tramite il collegamento sull'altra ai PC di navigare, quindi far uscire e rientrare il segnale Internet con i dovuti filtri.
Il sistema potrà sicuramente essere implementato e migliorato, proprio questo è lo spirito del software Open Source che ci ha spinto a mettere a disposizione di tutti la nostra creazione. 
*Personalmente ho implementato il parco Software:
** installando Wakeonlan per poter accendere altri PC in remoto;
** ho aggiunto un Hard Disk USB che fa comodo come File Server installando Samba e modificando il file '/etc/samba/smb.conf' (anche questo allegato) (il disco dovrà essere montato all'avvio tramite il file '/etc/fstab', per questo si invita a fare una ricerca su Internet in quanto in base al File System del disco USB ci possono essere più metodi alternativi);
** ho installato Mplayer per utilizzare il Raspberry Pi anche per ascoltare le webradio tramite due script trovati in rete (non di nostra creazione) dei quali però ho perso l'indirizzo da cui l'ho reperiti ma che comunque allego e vanno copiati nella cartella '/bin/', uno serve per configurare e aggiungere le stazioni e l'altro per ascoltarle.
A tutti i file inseriti nella cartella '/bin/' va dato il permesso di esecuzione tramite comando 'chmod +x'.

Ovviamente si possono aggiungere altri programmi in base alle esigenze personali, per il momento non avendo necessità di far fare altre attività al lampone non ho avuto altre necessità ed è vero anche il contrario, ovvero che se non serve usarlo per alcune di queste funzioni non importa installare questi Software. In più, anche se non l'ho detto, di default è presente la possibilità di accedere in ssh al Raspberry Pi fin da subito appena il Server è avviabile, quindi tutto è gestibile in remoto tramite un Terminale di un altro PC.

== Riferimenti ==

[http://www.raspberrypi.org/ Raspberry Pi web site]

== Risorse ==

Sono necessarie conoscenze di:
* informatica

Hardware
* 1 RaspberryPi
* scheda di memoria SDHC compatibile da almeno 2GByte
* tastiera USB
* alimentatore 5V Dc micro USB
* cavetteria varia

== Reference file ==
* /etc/network/interfaces
<syntaxhighlight lang="cpp">
auto lo

iface lo inet loopback

iface eth0 inet dhcp

iface eth0 inet static
    address 192.168.1.1
    netmask 255.255.255.0

allow-hotplug wlan0
iface wlan0 inet manual
wpa-roam /etc/wpa_supplicant/wpa_supplicant.conf
iface default inet dhcp
</syntaxhighlight>

* /etc/network/if-pre-up.d/iptables
<syntaxhighlight lang="cpp">
#!/bin/bash
echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -t nat -A PREROUTING -p tcp -d 192.168.1.1 --dport 80 -j DNAT --to-destination 192.168.0.91:80
iptables -t nat -A PREROUTING -p tcp -d 192.168.1.1 --dport 25 -j DNAT --to-destination 192.168.0.91:25
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

# Permette tutto il traffico su loopback (lo0) traffic e elimina tutto il traffico che non usa lo0 verso 127/8
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT ! -i lo -d 127.0.0.0/8 -j REJECT

# Accetta in entrata su tutte le connessioni stabilite
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# Permette tutto il traffico in uscita
# Potrebbe essere modificato per permettero solo un certo tipo di traffico
iptables -A OUTPUT -j ACCEPT

# Permette connessioni HTTP e HTTPS da qualsiasi parte provengano (le normali porte per i siti web)
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT

# Permettere ping
iptables -A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT

# registrare le chiamate negate di iptables (accesso via il comando 'dmesg')
iptables -A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied: " --log-level 7

# Respingere tutto il resto del traffico in entrata: politica del negare in modo predefinito quando non esplicitamente permesso
iptables -A INPUT -d 192.168.0.91 -p tcp --dport 22 -m state --state NEW -j REJECT
</syntaxhighlight>

* /bin/myradio-manager
<syntaxhighlight lang="cpp">
#!/bin/bash
#-----------------------------------------------------------------
# Questo programma permette di aggiungere/rimuovere le stazioni
# radio contenute nel file $HOME/.myradiorc.
#-----------------------------------------------------------------
#
#-----------------------------------------------------------------
# Variabile file $HOME/.myradiorc .
if [ -f $HOME/.myradiorc ]
then
LISTA_RADIO=$HOME/.myradiorc
MAX_ID=`wc -l $LISTA_RADIO | cut -d' ' -f1`
else
touch "$HOME/.webradiorc"
LISTA_RADIO=$HOME/.myradiorc
MAX_ID=0
fi
#-----------------------------------------------------------------
VERO=1
#-----------------------------------------------------------------
# Funzione per aggiungere una stazione radio.
add_radio()
{
NEW_ID=`echo "$MAX_ID+1"|bc`
MAX_ID=$NEW_ID
if [ "$NEW_ID" -le 9 ]
then
echo "0$NEW_ID|$NOME_RADIO|$INDIRIZZO_RADIO">>$LISTA_RADIO
else
echo "$NEW_ID|$NOME_RADIO|$INDIRIZZO_RADIO">>$LISTA_RADIO
fi
}
#-----------------------------------------------------------------
# Funzione per rimuovere una stazione radio.
rm_radio()
{
grep -v $RM_ID"|" .myradiorc > .tmp1_myradiorc
colrm 1 2 < .tmp1_myradiorc > .tmp2_myradiorc
rm .tmp1_myradiorc
nl -n rz -s "" -w 2 .tmp2_myradiorc > .myradiorc
rm .tmp2_myradiorc
}
#-----------------------------------------------------------------
# Funzione che elenca le radio disponibili.
lista_radio()
{
echo " Id Radio"
echo "----------------------"
cat $LISTA_RADIO | awk -F '|' '{ print "[\033[31m " $1 "\033[0m ] : " $2}'
}
#-----------------------------------------------------------------
while [ "$VERO" -eq 1 ]
do
clear
echo "[ 1 ] : Aggiungi una radio alla lista"
echo "[ 2 ] : Rimuovi una radio dalla lista"
echo "[ 3 ] : Esci"
echo
echo -n "Operazione da effettuare: "
read ID
case "$ID" in
1)
echo -n "Nome della radio: "
read NOME_RADIO
echo -n "Indirizzo della radio: "
read INDIRIZZO_RADIO
add_radio
;;
2)
if [ "$MAX_ID" -gt 0 ]
then
lista_radio
echo -e "[\033[34m 00 \033[0m] : Esci."
echo
echo -n "Inserire l'ID della radio da rimuovere: "
read RM_ID
if [ "$RM_ID" -ge 1 ] && [ "$RM_ID" -le "$MAX_ID" ]
then
rm_radio
MAX_ID=`echo "$MAX_ID-1"|bc`
else
if [ "$RM_ID" -ne 0 ]
then
echo "`pwd`/`basename $0` - Errore: ID non valido."
sleep 3
fi
fi
else
echo "Il file $LISTA_RADIO e' vuoto."
echo "Impossibile rimuovere radio."
sleep 3
fi
;;
3)
let VERO=0
;;
*)
echo "`pwd`/`basename $0` - Errore: codice non valido."
sleep 3
;;
esac
done
clear
</syntaxhighlight>

* /bin/myradio-player
<syntaxhighlight lang="cpp">
#!/bin/bash
#-----------------------------------------------------------------
# Questo programma permette di ascoltare la radio da terminale
# tramite un qualsiasi riproduttore multimediale (mplayer e'
# quello predefinito). La lista delle radio e' contenuta nel file
# $HOME/.myradiorc.
# E' possibile aggiungere e togliere le stazioni radio modificando
# direttamente il file o tramite il programma myradio-manager.
#-----------------------------------------------------------------
#
#-----------------------------------------------------------------
# Variabile del riproduttore multimediale.
# mplayer
if ! PLAYER=`which mplayer`
then
echo "`pwd`/`basename $0` - Errore: il riproduttore mplayer non esiste."
exit 1
fi
# vlc
#if ! PLAYER=`which vlc`
# then
# echo "`pwd`/`basename $0` - Errore: il riproduttore vlc non esiste."
# exit 1
#fi
#-----------------------------------------------------------------
# Variabile modalita' "silenziosa".
# mplayer
QUIET="-really-quiet"
# vlc
#QUIET="-I rc"
#-----------------------------------------------------------------
# Variabile file $HOME/.myradiorc .
if [ -f $HOME/.myradiorc ]
then
LISTA_RADIO=$HOME/.myradiorc
else
echo "`pwd`/`basename $0` - Errore: il file $HOME/.myradiorc non esiste."
echo "Utilizzare il programma myradio-manager per crearlo."
exit 1
fi
#-----------------------------------------------------------------
VERO=1
MIN_ID="01"
MAX_ID=`wc -l $LISTA_RADIO | cut -d' ' -f1`
#-----------------------------------------------------------------
# Funzione che elenca le radio disponibili.
lista_radio()
{
echo " Id Radio"
echo "---------------------------"
cat $LISTA_RADIO | awk -F '|' '{ print "[\033[31m " $1 "\033[0m ] : " $2}'
echo "---------------------------"
echo -e "[\033[34m 00 \033[0m] : Esci."
}
#-----------------------------------------------------------------
# Funzione che riproduce la radio selezionata.
play_radio()
{
INDIRIZZO=`grep ^$1 $LISTA_RADIO | awk -F '|' '{ print $3 }'`
$PLAYER $QUIET $INDIRIZZO
}
#-----------------------------------------------------------------
while [ "$VERO" -eq 1 ]
do
clear
lista_radio
echo
echo -n "Numero della radio: "
read ID
if [ "$ID" -ge "$MIN_ID" ]&& [ "$ID" -le "$MAX_ID" ]
then
play_radio $ID
else
if [ "$ID" -eq 0 ]
then
let VERO=0
else
echo "`pwd`/`basename $0` - Errore: codice della radio non valido."
sleep 3
fi
fi
done
clear
</syntaxhighlight>

* /etc/samba/smb.conf
<syntaxhighlight lang="cpp">
#
# Sample configuration file for the Samba suite for Debian GNU/Linux.
#
#
# This is the main Samba configuration file. You should read the
# smb.conf(5) manual page in order to understand the options listed
# here. Samba has a huge number of configurable options most of which 
# are not shown in this example
#
# Some options that are often worth tuning have been included as
# commented-out examples in this file.
#  - When such options are commented with ";", the proposed setting
#    differs from the default Samba behaviour
#  - When commented with "#", the proposed setting is the default
#    behaviour of Samba but the option is considered important
#    enough to be mentioned here
#
# NOTE: Whenever you modify this file you should run the command
# "testparm" to check that you have not made any basic syntactic 
# errors. 
# A well-established practice is to name the original file
# "smb.conf.master" and create the "real" config file with
# testparm -s smb.conf.master >smb.conf
# This minimizes the size of the really used smb.conf file
# which, according to the Samba Team, impacts performance
# However, use this with caution if your smb.conf file contains nested
# "include" statements. See Debian bug #483187 for a case
# where using a master file is not a good idea.
#

#======================= Global Settings =======================

[global]

## Browsing/Identification ###

# Change this to the workgroup/NT-domain name your Samba server will part of
   workgroup = LINUX

# server string is the equivalent of the NT Description field
   server string = %h server

# Windows Internet Name Serving Support Section:
# WINS Support - Tells the NMBD component of Samba to enable its WINS Server
#   wins support = no

# WINS Server - Tells the NMBD components of Samba to be a WINS Client
# Note: Samba can be either a WINS Server, or a WINS Client, but NOT both
;   wins server = w.x.y.z

# This will prevent nmbd to search for NetBIOS names through DNS.
   dns proxy = no

# What naming service and in what order should we use to resolve host names
# to IP addresses
;   name resolve order = lmhosts host wins bcast

#### Networking ####

# The specific set of interfaces / networks to bind to
# This can be either the interface name or an IP address/netmask;
# interface names are normally preferred
#;   interfaces = 127.0.0.0/8 eth0
interfaces = 192.168.1.1

# Only bind to the named interfaces and/or networks; you must use the
# 'interfaces' option above to use this.
# It is recommended that you enable this feature if your Samba machine is
# not protected by a firewall or is a firewall itself.  However, this
# option cannot handle dynamic or non-broadcast interfaces correctly.
#;   bind interfaces only = yes
bind interfaces only = yes
hosts allow = 127.0.0.1 192.168.1.0/24
hosts deny = 192.168.0.0/24
socket address = 192.168.1.1
socket options = TCP_NODELAY

#### Debugging/Accounting ####

# This tells Samba to use a separate log file for each machine
# that connects
   log file = /var/log/samba/log.%m

# Cap the size of the individual log files (in KiB).
   max log size = 1000

# If you want Samba to only log through syslog then set the following
# parameter to 'yes'.
#   syslog only = no

# We want Samba to log a minimum amount of information to syslog. Everything
# should go to /var/log/samba/log.{smbd,nmbd} instead. If you want to log
# through syslog you should set the following parameter to something higher.
   syslog = 0

# Do something sensible when Samba crashes: mail the admin a backtrace
   panic action = /usr/share/samba/panic-action %d


####### Authentication #######

# "security = user" is always a good idea. This will require a Unix account
# in this server for every user accessing the server. See
# /usr/share/doc/samba-doc/htmldocs/Samba3-HOWTO/ServerType.html
# in the samba-doc package for details.
   security = user

# You may wish to use password encryption.  See the section on
# 'encrypt passwords' in the smb.conf(5) manpage before enabling.
   encrypt passwords = true

# If you are using encrypted passwords, Samba will need to know what
# password database type you are using.  
   passdb backend = tdbsam

   obey pam restrictions = yes

# This boolean parameter controls whether Samba attempts to sync the Unix
# password with the SMB password when the encrypted SMB password in the
# passdb is changed.
   unix password sync = yes

# For Unix password sync to work on a Debian GNU/Linux system, the following
# parameters must be set (thanks to Ian Kahan <<kahan@informatik.tu-muenchen.de> for
# sending the correct chat script for the passwd program in Debian Sarge).
   passwd program = /usr/bin/passwd %u
   passwd chat = *Enter\snew\s*\spassword:* %n\n *Retype\snew\s*\spassword:* %n\n *password\supdated\ssuccessfully* .

# This boolean controls whether PAM will be used for password changes
# when requested by an SMB client instead of the program listed in
# 'passwd program'. The default is 'no'.
   pam password change = yes

# This option controls how unsuccessful authentication attempts are mapped
# to anonymous connections
   map to guest = bad user

########## Domains ###########

# Is this machine able to authenticate users. Both PDC and BDC
# must have this setting enabled. If you are the BDC you must
# change the 'domain master' setting to no
#
;   domain logons = yes
#
# The following setting only takes effect if 'domain logons' is set
# It specifies the location of the user's profile directory
# from the client point of view)
# The following required a [profiles] share to be setup on the
# samba server (see below)
;   logon path = \\%N\profiles\%U
# Another common choice is storing the profile in the user's home directory
# (this is Samba's default)
#   logon path = \\%N\%U\profile

# The following setting only takes effect if 'domain logons' is set
# It specifies the location of a user's home directory (from the client
# point of view)
;   logon drive = H:
#   logon home = \\%N\%U

# The following setting only takes effect if 'domain logons' is set
# It specifies the script to run during logon. The script must be stored
# in the [netlogon] share
# NOTE: Must be store in 'DOS' file format convention
;   logon script = logon.cmd

# This allows Unix users to be created on the domain controller via the SAMR
# RPC pipe.  The example command creates a user account with a disabled Unix
# password; please adapt to your needs
; add user script = /usr/sbin/adduser --quiet --disabled-password --gecos "" %u

# This allows machine accounts to be created on the domain controller via the 
# SAMR RPC pipe.  
# The following assumes a "machines" group exists on the system
; add machine script  = /usr/sbin/useradd -g machines -c "%u machine account" -d /var/lib/samba -s /bin/false %u

# This allows Unix groups to be created on the domain controller via the SAMR
# RPC pipe.  
; add group script = /usr/sbin/addgroup --force-badname %g

########## Printing ##########

# If you want to automatically load your printer list rather
# than setting them up individually then you'll need this
#   load printers = yes

# lpr(ng) printing. You may wish to override the location of the
# printcap file
;   printing = bsd
;   printcap name = /etc/printcap

# CUPS printing.  See also the cupsaddsmb(8) manpage in the
# cupsys-client package.
;   printing = cups
;   printcap name = cups

############ Misc ############

# Using the following line enables you to customise your configuration
# on a per machine basis. The %m gets replaced with the netbios name
# of the machine that is connecting
;   include = /home/samba/etc/smb.conf.%m

# Most people will find that this option gives better performance.
# See smb.conf(5) and /usr/share/doc/samba-doc/htmldocs/Samba3-HOWTO/speed.html
# for details
# You may want to add the following on a Linux system:
#         SO_RCVBUF=8192 SO_SNDBUF=8192
#   socket options = TCP_NODELAY

# The following parameter is useful only if you have the linpopup package
# installed. The samba maintainer and the linpopup maintainer are
# working to ease installation and configuration of linpopup and samba.
;   message command = /bin/sh -c '/usr/bin/linpopup "%f" "%m" %s; rm %s' &

# Domain Master specifies Samba to be the Domain Master Browser. If this
# machine will be configured as a BDC (a secondary logon server), you
# must set this to 'no'; otherwise, the default behavior is recommended.
#   domain master = auto

# Some defaults for winbind (make sure you're not using the ranges
# for something else.)
;   idmap uid = 10000-20000
;   idmap gid = 10000-20000
;   template shell = /bin/bash

# The following was the default behaviour in sarge,
# but samba upstream reverted the default because it might induce
# performance issues in large organizations.
# See Debian bug #368251 for some of the consequences of *not*
# having this setting and smb.conf(5) for details.
;   winbind enum groups = yes
;   winbind enum users = yes

# Setup usershare options to enable non-root users to share folders
# with the net usershare command.

# Maximum number of usershare. 0 (default) means that usershare is disabled.
;   usershare max shares = 100

# Allow users who've been granted usershare privileges to create
# public shares, not just authenticated ones
   usershare allow guests = yes

#======================= Share Definitions =======================

[homes]
   comment = Home Directories
   browseable = no

# By default, the home directories are exported read-only. Change the
# next parameter to 'no' if you want to be able to write to them.
   read only = yes

# File creation mask is set to 0700 for security reasons. If you want to
# create files with group=rw permissions, set next parameter to 0775.
   create mask = 0700

# Directory creation mask is set to 0700 for security reasons. If you want to
# create dirs. with group=rw permissions, set next parameter to 0775.
   directory mask = 0700

# By default, \\server\username shares can be connected to by anyone
# with access to the samba server.
# The following parameter makes sure that only "username" can connect
# to \\server\username
# This might need tweaking when using external authentication schemes
   valid users = %S

# Un-comment the following and create the netlogon directory for Domain Logons
# (you need to configure Samba to act as a domain controller too.)
;[netlogon]
;   comment = Network Logon Service
;   path = /home/samba/netlogon
;   guest ok = yes
;   read only = yes

# Un-comment the following and create the profiles directory to store
# users profiles (see the "logon path" option above)
# (you need to configure Samba to act as a domain controller too.)
# The path below should be writable by all users so that their
# profile directory may be created the first time they log on
;[profiles]
;   comment = Users profiles
;   path = /home/samba/profiles
;   guest ok = no
;   browseable = no
;   create mask = 0600
;   directory mask = 0700

#[printers]
#   comment = All Printers
#   browseable = no
#   path = /var/spool/samba
#   printable = yes
#   guest ok = no
#   read only = yes
#   create mask = 0700

# disco 1tb
[1tb]
        comment = Disco di Backup da 1tb
        path = /media/1tb
        browseable = yes
	public = yes
        read only = no
        guest ok = yes

# Windows clients look for this share name as a source of downloadable
# printer drivers
#[print$]
#   comment = Printer Drivers
#   path = /var/lib/samba/printers
#   browseable = yes
#   read only = yes
#   guest ok = no
# Uncomment to allow remote administration of Windows print drivers.
# You may need to replace 'lpadmin' with the name of the group your
# admin users are members of.
# Please note that you also need to set appropriate Unix permissions
# to the drivers directory for these users to have write rights in it
;   write list = root, @lpadmin

# A sample share for sharing your CD-ROM with others.
;[cdrom]
;   comment = Samba server's CD-ROM
;   read only = yes
;   locking = no
;   path = /cdrom
;   guest ok = yes

# The next two parameters show how to auto-mount a CD-ROM when the
#	cdrom share is accesed. For this to work /etc/fstab must contain
#	an entry like this:
#
#       /dev/scd0   /cdrom  iso9660 defaults,noauto,ro,user   0 0
#
# The CD-ROM gets unmounted automatically after the connection to the
#
# If you don't want to use auto-mounting/unmounting make sure the CD
#	is mounted on /cdrom
#
;   preexec = /bin/mount /cdrom
;   postexec = /bin/umount /cdrom
</syntaxhighlight>