A-Eskwiki - User contributions [en]

Bestuurswissel Sysop

2019-01-28T15:18:35Z

Albertp: privacymail

[[Category:Sysop]]

Bestuursrechten op het systeem en in IPA worden indirect geleverd door middel van het kb-account van het desbetreffende bestuur. Door de group van het kb-account (bv de group kb1617) in de user groups van de group bestuur te zetten, krijgen alle users in de kb-group alle bestuursrechten op het systeem.

De rechten van de individuele bestuursaccount zoals voorz, secr, etc, gebeurt door de nieuwe bestuursleden bij de groepen op de A-Eskwadraatwebsite te zetten. De website zet ze dan ook automatisch in de juiste group in IPA.

De mailaliases zijn aan de bestuursfuncties gekoppeld en hoeven niet veranderd te worden, met uitzondering van privacy@a-eskwadraat.nl die in de aliases van [[Mail|postfix]] op de juiste persoon ingesteld moet worden.

Wat dan nog niet automatisch gebeurt zijn de symlinks in de ~/cies/ van de nieuwe bestuursleden, dit moet nog handmatig gebeuren.

Nieuw Subdomein

2018-12-03T19:00:27Z

Albertp: -> DMZ

{{Outdated}}
'''Voor de huidige configuratie, zie [[DMZ]]. Dit is nu de verantwoordelijkheid van de sysop.'''
[[Category:WebCie]]
==Documentatie mbt het aanmaken van een a-eskwadraat subdomein (vhost) voor een commissie==

Stapjes die uitgevoerd moeten worden (als www @ max ):

de documentroot aanmaken & permissies zetten:

<pre>
$ mkdir /srv/http/$cielogin
$ chown www:www-dmz /srv/http/$cielogin
$ chmod g+s,o= /srv/http/$cielogin
</pre>

checken dat het goed is, met:

<pre>
$ ls -ld /srv/http/$cielogin
</pre>

de regel moet er uitzien als:
<pre>
drwxr-s--- 2 $cielogin www-dmz
</pre>

dan ga je naar vhost config fixen:

<pre>
$ cd /etc/apache2-dmz/sites-available
$ cp sympo1011b $cielogin
</pre>

ik gebruik hier sympo1011b als basis
(kies iets wat het meest lijkt op wat ze willen)
open bestand en wijzig de nodige dingen...
even opletten met dingen als sympo.a-eskwadraat.nl en andere generieke
ServerAlias-en niet door meerdere vhosts gebruikt worden
(kan zijn dat een andere/oudere cie hem gebruikt, noprob, gewoon daar uit de config
halen, let even op dat er een ServerName $cielogin.a-eskwadraat.nl achterblijft)

vervolgens de config activeren:

<pre>
$ cd ../sites-enabled
$ ln -s ../sites-available/$cielogin
</pre>

dan apache2 restarten (reloaden is voor nieuwe vhosts genoeg (?))

<pre>
$ a2dmz restart
</pre>

check dat apache2-dmz weer netjes gestart word
(double check dit door naar http://home.a-eskwadraat.nl te browsen)

Op dit punt is (bijna) al het nodige webcie spul gedaan.

Om te zorgen dat de vhost werkt moet sysop DNS instellingen wijzigen
zodat dat de ServerName en ServerAlias naar circle wijzen.
(circle is ons 2e ip waar de dmz apache op draait)

Om te zorgen dat de cie er iets mee kan moet sysop de eigenaar van
/srv/http/$cielogin veranderen naar $cielogin:www-dmz (het liefst met
behoudt van de permissies die we eerder ingesteld hebben: rwxr-s---).
En als bonus is het (voor de $cie) fijn als ze in symlink in hun home
krijgen die naar /srv/http/$cielogin wijst.

sysop doet dan ongeveer het volgende (als root):

<pre>
# chown $cielogin:www-dmz /srv/http/$cielogin
# chmod u+rwx,g+s,o= /srv/http/$cielogin
# cd /home/cies/$cielogin
# ln -s /srv/http/$cielogin website
</pre>

Als DNS en /srv/http/$cielogin gefixed zijn door sysop moet je nog
even de $cie mailen dat ze nu met hun site aan de gang kunnen

Het laatste webcie dingetjes wat nog moet gebeuren is dat je de
wijzigingen in /etc/apache2-dmz netjes commit. Als je dit vergeet
krijgt iedereen dagelijks reminder mails van cron :P

DMZ

2018-11-19T21:35:35Z

Albertp: Container & pagina in sysop-categorie zetten

Op het moment van schrijven onderhoudt de sysop de [[Container|container]] ct-www-dmz. Hier staan alle a-eskwadraat-gerelateerde websites en subdomeinen van commissies op die niet onder www.a-eskwadraat.nl vallen. Denk hierbij aan een website voor het pion, de studiereis, symposium of intro.

== Subdomein aanmaken ==

Als eerste moet je er zeker van zijn dat de configuratie voor je subdomein in ernst staat zodat hij weet naar welke machine hij het subdomein moet sturen. Op ernst staat in /etc/nginx/conf.d een bestsand vm-www-dmz.aeslist. Zet hier je subdomein neer als die er al niet tussen staat. Reload daarna nginx (NIET restarten, dat duurt lang en dan doen alle a-eskwadraatwebsites het even niet).

De vm-www-dmz werkt met apache. De configuratiebestanden hiervoor kan je vinden in /etc/httpd/conf.d. In die map staat de map sites-available (komt nog van het oude debian-tijdperk) waarin alle subdomeinen staan. Voor een nieuw subdomein is het het handigst als je hiervoor een nieuw bestand aanmaakt. Stel je wilt voor de pion2016 een subdomein maken. Maak dan het bestand pion2016 aan. Zet daar dan het volgende in:
<pre><VirtualHost *:80>
        DocumentRoot /srv/http/pion2016
        ServerName pion2016.a-eskwadraat.nl
        CustomLog /var/log/httpd/pion2016-access.log combined
        AssignUserId pion2016 pion2016
</VirtualHost></pre>

De DocumentRoot is de plek op het fs waar de map staat waar de site in staat, de ServerName is de url van het subdomein, CustomLog is het bestand waar de logs voor dit subdomein naar toe moeten worden geschreven. AssignUserId moet je ook niet vergeten, die zorgt ervoor dat in de waar de website staat de cie en leden van de cie alles kunnen beheren zonder dat alle groeprechten op apache moeten staan.

Als je een wat algemener subdomein aanmaakt waar er al vorige instanties van zijn geweest (denk bijvoorbeeld aan pion.a-eskwadraat.nl), zet dan simpelweg hetzelfde VirtualHost-blok neer maar verander de servername. Vergeet ook niet om de al eerder bestaande pion.a-eskwadraat.nl configuratie weg te halen, want die wordt toch niet meer gebruikt.

Maak nu in /srv/http de map aan zoals je die hebt beschreven in je virtualhost. Zet de rechten op de commissie die de site beheert (bv: chown pion2016:pion2016 /srv/http/pion2016) en zet de groeprechten op ook schrijfbaar (BELANGRIJK!) (bv: chmod g+w /srv/http/pion2016).

Je subdomein is nu goed geconfigureerd! Vaak is het ook nog netjes om een symlink in de homdir van de cie naar de dir van de website neer te zetten (dus in dit geval: ln -s /srv/http/pion2016 ~pion2016/site).

[[Category:Sysop]]

Container

2018-10-22T18:30:11Z

Albertp: NFS mount

Op [[Stephen]] gebruiken we geen vm's maar containers.

=== Nieuwe container ===
Op Stephen staat een template voor een container, die een salt-minion bevat. Met Proxmox kun je een nieuwe container maken door deze template te clonen. '''Gebruik een naam die met ct- begint''', want daar wordt in salt op gefilterd.

Na het maken van een container, vergeet niet om '''eerst''' het MAC-adres van de container in [[dnsmasq]] op de [[Router|router]] te zetten en vergeet niet om dnsmasq daarop te herstarten, anders wordt de salt-minion met de verkeerde hostname ingesteld.

Daarna kun je de container opstarten, en deze zal zich aanmelden bij Salt de eerste keer dat die opgestart wordt. Ga naar de vm-salt-master en accepteer eerst de vm met salt-key, voer daarna een 'highstate' uit zoals beschreven op de [[Salt#Salt_minion_config|Salt]] pagina.

Nu staat alle standaardconfiguratie op de container, zoals het rootwachtwoord, de ssh-key en nuttige software.

Als de container een van de nfs-schijven nodig heeft, stel dat dan in op [[Stephen#NFS_mounten|Stephen]].

[[Category:Sysop]]

Salt

2018-10-22T18:28:15Z

Albertp: /* Salt minion config */ verduidelijking

[[category:sysop]]

Salt is verantwoordelijk voor het configureren van de systemen in gebruik bij [[A-Eskwadraat]].
Onder configuratie valt bijvoorbeeld het installeren van packages, het updaten van packages, en het configureren van services.
De zogenaamde salt-master is verantwoordelijk voor het onderhouden van de salt-minions.
De huidige salt-master service draait op vm-salt-master, en de salt-minion service draait onder andere in de vm's op Haskell en de workstations.

==Salt master config==
Installeer salt-master
yum install salt-master
chkconfig salt-master on
service salt-master start

Open firewallpoorten tcp 4505 en tcp 4506

==Salt minion config==
Salt-minion wordt automatisch geïnstalleerd bij [[kickstart]]en of in de template voor [[Container|containers]].

Om een nieuwe machine aan salt toe te voegen, kijk of de machine al is gevonden door salt:
<pre>
salt-key -L
</pre>
En zo ja, voeg deze dan toe:
<pre>
salt-key -a <hostname>
</pre>

Om de machine voor het eerst te configureren, of om deze te herconfigureren, voer dit uit op vm-salt-master:
<pre>
[root@vm-salt-master ~]# salt '<hostname>' state.highstate
</pre>

Als er een serieuze fout optreedt bij de salt-minion kan het nodig zijn om de service te herstarten:
<pre>
[root@host ~]# service salt-minion restart
</pre>

==Salt .sls Config==
De configuratie van een systeem is gespecificeerd in een bestand genaamd init.sls.

<pre>
# Dit is een actueel voorbeeld van een init.sls uit de configuratie van vm-mail.
# Gebruik voor de indentatie van het bestand alleen tabs, anders krijg je vreselijke foutmeldingen.

# Deze sectie is verantwoordelijk voor de installatie van de service Exim.
exim:
pkg:
- installed
service:
# Check met regelmaat of de service nog draait.
- running
# Laat de service automatisch opstarten.
- enable: True
# Herstart de service als er een bestand gewijzigd word in de map /etc/exim/.
- watch:
- file: /etc/exim

# Deze sectie is verantwoordelijk voor het kopiëren van configuratie bestanden naar de minion.
/etc/exim:
# Kopieer recursief de bestanden in salt://aes-vm/vm-mail/exim naar de map /etc/exim op de salt-minion.
file.recurse:
- source: salt://aes-vm/vm-mail/exim
- name: /etc/exim
- user: root
- group: root
- file_mode: 644
- require:
- pkg: exim

# Met de for loop kan je handmatig bestanden kopieren. Gebruik de recursieve methode indien mogelijk.
# Let op dat gevoelige bestanden zoals certificaten de juiste file permissies krijgen.
{% for e in 'dkim_alef.crt','dkim_alef.key','exim.cert' %}
/etc/exim/{{ e }}:
file.managed:
- source: salt://aes-vm/vm-mail/exim/{{ e }}
- user: exim
- group: exim
- mode: 640
{% endfor %}

</pre>

Let op: als er een syntax fout staat in de configuratie krijg je een interne python error.
De configuratie is extreem gevoelig voor fouten in spaties / tabs.
Gebruik bijv. de syntax highlighting van vim om fouten te vinden.

==Salt Maps==
De configuratie bestanden van de salt-minions zijn te vinden in de map /srv/salt/.

* /srv/salt/top.sls : in deze file zijn worden hostnames met een specifieke configuratie verbonden.
* /srv/salt/id_rsa_sysop.pub: deze public key wordt gebruikt voor authenticatie van sysop leden.
* /srv/salt/centos/ : in deze map staan de configuraties voor alle centos-gebaseerde machines, zoals de meeste virtuele machines.
* /srv/salt/fedora/ : in deze map staat de configuratie voor alle fedora-gebaseerde machines, zoals de workstations.
* /srv/salt/ernst/ : in deze map staat de configuratie voor [[ernst]].

Wanneer een bestand onder beheer van salt wordt gewijzigd op een salt-minion dient deze ook te worden gewijzigd op de salt-master.
Daarna moeten de wijzigingen in de /srv/salt map worden gecommit in de [[SVN]]-repository.

Container

2018-10-22T18:27:12Z

Albertp: links gefixt

Salt

2018-10-22T18:25:32Z

Albertp: /* Salt minion config */ salt-key

[[category:sysop]]

Salt is verantwoordelijk voor het configureren van de systemen in gebruik bij [[A-Eskwadraat]].
Onder configuratie valt bijvoorbeeld het installeren van packages, het updaten van packages, en het configureren van services.
De zogenaamde salt-master is verantwoordelijk voor het onderhouden van de salt-minions.
De huidige salt-master service draait op vm-salt-master, en de salt-minion service draait onder andere in de vm's op Haskell en de workstations.

==Salt master config==
Installeer salt-master
yum install salt-master
chkconfig salt-master on
service salt-master start

Open firewallpoorten tcp 4505 en tcp 4506

==Salt minion config==
Gebeurt automagisch bij [[kickstart]]en of in de template voor [[Container|containers]].

Om een nieuwe machine aan salt toe te voegen, kijk of de machine al is gevonden door salt:
<pre>
salt-key -L
</pre>
En zo ja, voeg deze dan toe:
<pre>
salt-key -a <hostname>
</pre>

Om de machine voor het eerst te configureren, of om deze te herconfigureren, voer dit uit op vm-salt-master:
<pre>
[root@vm-salt-master ~]# salt '<hostname>' state.highstate
</pre>

Als er een serieuze fout optreedt bij de salt-minion kan het nodig zijn om de service te herstarten:
<pre>
[root@host ~]# service salt-minion restart
</pre>

==Salt .sls Config==
De configuratie van een systeem is gespecificeerd in een bestand genaamd init.sls.

<pre>
# Dit is een actueel voorbeeld van een init.sls uit de configuratie van vm-mail.
# Gebruik voor de indentatie van het bestand alleen tabs, anders krijg je vreselijke foutmeldingen.

# Deze sectie is verantwoordelijk voor de installatie van de service Exim.
exim:
pkg:
- installed
service:
# Check met regelmaat of de service nog draait.
- running
# Laat de service automatisch opstarten.
- enable: True
# Herstart de service als er een bestand gewijzigd word in de map /etc/exim/.
- watch:
- file: /etc/exim

# Deze sectie is verantwoordelijk voor het kopiëren van configuratie bestanden naar de minion.
/etc/exim:
# Kopieer recursief de bestanden in salt://aes-vm/vm-mail/exim naar de map /etc/exim op de salt-minion.
file.recurse:
- source: salt://aes-vm/vm-mail/exim
- name: /etc/exim
- user: root
- group: root
- file_mode: 644
- require:
- pkg: exim

# Met de for loop kan je handmatig bestanden kopieren. Gebruik de recursieve methode indien mogelijk.
# Let op dat gevoelige bestanden zoals certificaten de juiste file permissies krijgen.
{% for e in 'dkim_alef.crt','dkim_alef.key','exim.cert' %}
/etc/exim/{{ e }}:
file.managed:
- source: salt://aes-vm/vm-mail/exim/{{ e }}
- user: exim
- group: exim
- mode: 640
{% endfor %}

</pre>

Let op: als er een syntax fout staat in de configuratie krijg je een interne python error.
De configuratie is extreem gevoelig voor fouten in spaties / tabs.
Gebruik bijv. de syntax highlighting van vim om fouten te vinden.

==Salt Maps==
De configuratie bestanden van de salt-minions zijn te vinden in de map /srv/salt/.

* /srv/salt/top.sls : in deze file zijn worden hostnames met een specifieke configuratie verbonden.
* /srv/salt/id_rsa_sysop.pub: deze public key wordt gebruikt voor authenticatie van sysop leden.
* /srv/salt/centos/ : in deze map staan de configuraties voor alle centos-gebaseerde machines, zoals de meeste virtuele machines.
* /srv/salt/fedora/ : in deze map staat de configuratie voor alle fedora-gebaseerde machines, zoals de workstations.
* /srv/salt/ernst/ : in deze map staat de configuratie voor [[ernst]].

Wanneer een bestand onder beheer van salt wordt gewijzigd op een salt-minion dient deze ook te worden gewijzigd op de salt-master.
Daarna moeten de wijzigingen in de /srv/salt map worden gecommit in de [[SVN]]-repository.

Container

2018-10-22T17:59:41Z

Albertp: Created page with "Op Stephen gebruiken we geen vm's maar containers. === Nieuwe container === Op Stephen staat een template voor een container, die een salt-minion bevat. Met Proxmox kun j..."

Op [[Stephen]] gebruiken we geen vm's maar containers.

=== Nieuwe container ===
Op Stephen staat een template voor een container, die een salt-minion bevat. Met Proxmox kun je een nieuwe container maken door deze template te clonen. '''Gebruik een naam die met ct- begint''', want daar wordt in salt op gefilterd.

Na het maken van een container, vergeet niet om '''eerst''' het MAC-adres van de container in [[dnsmasq]] op de [[Router|router]] te zetten en vergeet niet om dnsmasq daarop te herstarten, anders wordt de salt-minion met de verkeerde hostname ingesteld.

Daarna kun je de container opstarten, en deze zal zich aanmelden bij Salt de eerste keer dat die opgestart wordt. Ga naar de [[Salt|vm-salt-master]] en accepteer eerst de vm met salt-key, voer daarna een 'highstate' uit zoals beschreven op de [[Salt]] pagina.

Nu staat alle standaardconfiguratie op de container, zoals het rootwachtwoord, de ssh-key en nuttige software.

[[Category:Sysop]]

Webcie-vm

2018-10-08T20:39:10Z

Albertp: /* IPA */ ifp config

Zie ook: [[Webcie-vms]] (!)

== Nieuwe vm-webcie-debug aanmaken ==

Maak een nieuwe vm vm-webcie-debug aan. Kickstart de vm en highstate de vm met salt. Installeer mariadb met het volgende commando:
<pre>/usr/bin/mysql_secure_installation</pre>

Zet het rootwachtwoord en disalow root login remotely. Let op: de rootwachtwoorden van de databases van de vm-webcie/www en vm-webcie/www-debug moeten hetzelfde zijn!

Maak in de home van de root het bestandje .my.cnf aan (zet de rechten op 0600!) met de volgende content:
<pre>[client]
user = root
pass = root-database-wachtwoord</pre>

Maak ook de juiste databases aan (bv test_whoswho4, test_benamite of boeken. Denk eraan dat op een vm-webcie/www-machine er zowel de normal db als test_db moeten zijn). Kopieër nu de databases. Vergeet ook niet de mysql-database te kopieëren, daar staan de rechten van de verschillende gebruikers in. Maak eerst een dump op de oude vm:
<pre>mysqldump 'dbnaam' > 'dbnaam'.db</pre>

Kopieër het dumpbestand naar de nieuwe vm en laad de dump in op de nieuwe vm:
<pre>mysql 'dbnaam' < 'dbnaam'.db</pre>

== Opzetten vm-www2 ==

Deze instructies zijn bedoeld voor de WebCie. We gaan ervan uit dat je het WebCie-wachtwoord uit je hoofd kent.

Vraag de Sysop om een nieuwe vm (ik bedoel uiteraard container ;)) met subdomein (in dit geval: vm-www2.a-eskwadraat.nl) en dezelfde mounts als de originele vm. Zorg ervoor dat sendmail vanaf de nieuwe vm werkt. Verkrijg roottoegang op de vm-www2.

In het begin heeft yum nog een update voor repositorygegevens nodig: doe <code>yum clean all</code> voordat je een ander yum-commando draait.

=== Mariadb en replicatie ===

Installeer mariadb als op de vm-www-debug: <code>yum install mariadb mariadb-server</code> (let op: ivm backwards incompatibility willen we versie 5.5 voorlopig), <code>systemctl enable mariadb</code>, <code>systemctl start mariadb</code> en dan <code>/usr/bin/mysql_secure_installation</code>. Check even of inloggen nog werkt: <code>mysql -u root -p</code>. Check ook dat je verbinding kan maken met mysql op de originele host vanaf de nieuwe host: <code>mysql -h vm-www -u root -p</code>.

Nu gaan we [https://mariadb.com/kb/en/library/replication-overview/ replicatie] opzetten (master-master). We moeten hiervoor een random wachtwoord genereren, bewaar die goed! Open in een nieuwe terminal op de originele host, en pas de <code>my.cnf</code> aan:
<pre>
[mysqld]
server-id=1
log-bin
</pre>
Herstart mysqld/mariadb om de wijzigingen toe te passen. Log in als root op mysql en geef permissies: <code>grant replication slave on *.* to repli@'vm-www2.a-eskwadraat.nl' identified by 'replipassword'; flush privileges;</code>. Zet de tabellen op slot terwijl we de rest doen: <code>flush tables with read lock;</code>. Ten slotte moeten we wat gegevens bekomen: <code> show master status\G</code>. Log niet uit tot we klaar zijn, dan gaan de tabellen weer van het slot af.

In de andere terminal op <code>vm-www2</code> gaan we ook de <code>my.cnf</code> aanpassen (ik heb de wijzigingen in <code>/etc/my.cnf.d/webcie.cnf</code> gezet):
<pre>
[mysqld]

server-id=2
</pre>
Herstart mariadb om de wijzigingen toe te passen. We moeten ook de volledige(!!!) [https://stackoverflow.com/questions/1078196/how-to-take-complete-backup-of-mysql-database-using-mysqldump-command-line-utili#27400627 databaasinhoud overzetten]. (Dit is een van de redenen dat je een read lock hebt.) Doe een mysqldump van de gehele database inclusief tabellen, permissies en inhoud en pas die toe op de nieuwe db.

Log in op de nieuwe db met <code>mysql -u root -p</code> en stel replicatie in:
<pre>
CHANGE MASTER TO
MASTER_HOST='master.domain.com',
MASTER_USER='replication_user',
MASTER_PASSWORD='bigs3cret',
MASTER_PORT=3306,
MASTER_LOG_FILE='mariadb-bin.000096',
MASTER_LOG_POS=568,
MASTER_CONNECT_RETRY=10;
</pre>
(De juiste waarden haal je uit de uitvoer van <code> show master status\G</code> op de originele host.) Vervolgens <code>START SLAVE; SHOW SLAVE STATUS \G</code>.

Als de uitvoer een beetje sense maakt, dan heb je succesvol een master-slave replicatie van de oude naar de nieuwe host opgezet. Doe <code>UNLOCK TABLES;</code> op de originele host en probeer wat aan te passen. Dit zou op de nieuwe host terecht moeten komen.

Als een error bij de slave gebeurd is die niet op master voorkwam, gaat die blokkeren tot je het fixt. Wat je kan doen als het echt helemaal in de soep loopt, is opnieuw alles op slot gooien, een dbdump overnemen van master naar slave. Doe weer <code> show master status\G</code> en unlock de master. Vervolgens doe je op de slave <code>change master to MASTER_LOG_POS=37071; START SLAVE;</code> en dan zou die automatisch alles wat sinds de backup is gebeurd, weer naar binnen gaan slurpen.

Nu gaan we de replicatie de andere kant op sturen. Dit is in principe het precies omgekeerde van wat we hiervoor deden. Pas op vm-www2 de <code>my.cnf</code> aan:
<pre>
[mysqld]
server-id=2
log-bin
</pre>
en herstart mariadb. Voeg de repli-user toe op de vm-www2: <code>grant replication slave on *.* to repli@'vm-www.a-eskwadraat.nl' identified by 'replipassword'; flush privileges;</code>. Doe op allebei de hosts een table lock, doe op de nieuwe host <code>show master status\G</code> en op de originele host de replicatie-instellingen:
<pre>
CHANGE MASTER TO
MASTER_HOST='master.domain.com',
MASTER_USER='replication_user',
MASTER_PASSWORD='bigs3cret',
MASTER_PORT=3306,
MASTER_LOG_FILE='mariadb-bin.000096',
MASTER_LOG_POS=568,
MASTER_CONNECT_RETRY=10;
</pre>
En nu kun je op de originele host <code>start slave;</code> runnen, en je hebt een master-masterreplicatie :D

=== Installeer Apache, PHP en PHP-FPM ===

Doe <code>yum install httpd</code> voor Apache.
Voor een niet verschrikkelijk antieke PHP moet je extra dingen installeren (zie ook [https://rpms.remirepo.net/wizard/]:
<pre>
yum install epel-release
yum install http://rpms.remirepo.net/enterprise/remi-release-7.rpm
yum install yum-utils
yum-config-manager --enable remi-php56 # of php72 of andere versie
yum install php php-fpm
</pre>

Installeer ook alle [[PHP-extensies]] die nodig zijn. (Zie die pagina voor de lijst.)

Overige dependencies:
<pre>
yum install gettext java npm python36 python36-virtualenv
npm install -g bower
</pre>

Nu moeten we PHP-instellingen regelen. Maak een checkout van de website, en doe daarin:
<pre>
mkdir config/vm-www2
ln -s /etc/php.ini config/vm-www2/
vim config/vm-www2/php.ini # Pas hier alle relevante config van de vm-www toe.
</pre>

=== Cron instellen ===

Maak een map <code>/website-output</code> aan en chown die naar <code>apache:apache</code> (en zorg ervoor dat apache ernaar kan schrijven :P). Hierin komt alle output van cronjobs enzo.

Je kan in principe de crontab van de oude vm overnemen, dus ga naar de checkout, en doe:
<pre>
cp scripts/cron/crontab-$VMOUD-apache scripts/cron/crontab-$VMNIEUW-apache
crontab -u apache scripts/cron/crontab-$VMNIEUW-apache
</pre>
om de cronjobs te activeren.

=== Mail werkend krijgen ===

De website gebruikt sendmail-commando's om te mailen. Normaal stuurt sendmail de mails direct het web op, maar we willen dat deze door de vm-mailpp heen gestuurd wordt zodat de berichten juist zijn ondertekend en door spamfilters heen komen. Hiervoor gebruiken we het sendmail-commando dat uit postfix komt. Installeer postfix met:
<pre>yum install postfix</pre>

De configuratie van postfix ongeveer dezelfde als op alle CentOS7 machines en is te vinden op de vm-salt-master in <code>/srv/salt/centos7/global/main.cf</code>. Je moet de volgende parameters aanpassen zodat mail naar buiten mag:
<pre>mydomain = a-eskwadraat.nl</pre>

Om mailings te configureren, voeg de volgende parameters toe aan <code>main.cf</code>:
<pre>
inet_interfaces = all
relay_domains = a-eskwadraat.nl
smtpd_recipient_restrictions = check_recipient_access regexp:/etc/postfix/access, reject_unauth_destination</pre>
En voeg de volgende regels toe aan <code>/etc/postfix/master.cf</code>:
<pre>
bughook unix - n n - - pipe
flags=F user=webcie argv=/website/scripts/mail_process_bug_vm-www ${sender} ${size} ${recipient}
lidhook unix - n n - - pipe
flags=F user=webcie argv=/website/scripts/mail_process_lid ${sender} ${size} ${recipient}
bouncehook unix - n n - - pipe
flags=F user=webcie argv=/website/scripts/mail_process_bounce ${sender} ${size} ${recipient}
mailinghook unix - n n - - pipe
flags=F user=webcie argv=/website/scripts/mail_process_incoming_mailing.php ${sender} ${size} $$
</pre>
En plaats de volgende regels in <code>/etc/postfix/access</code>:
<pre>
/^lid-[0-9]+@a-es((kwadraat)|(2))\.nl$/ FILTER lidhook:
/^bug(([0-9]+)|(s))@a-es((kwadraat)|(2))\.nl$/ FILTER bughook:
/^bounce-[0-9]+@a-es((kwadraat)|(2))\.nl$/ FILTER bouncehook:
/^((.*-)|)mailing((s)|)@a-es((kwadraat)|(2))\.nl$/ FILTER mailinghook:
</pre>

Stel nu in dat het sendmail-commando uit postfix gebruikt wordt in plaats van de standaard sendmail:
<pre>update-alternatives --config mta</pre>
En start dan de postfix service met <code>service postfix start</code>.

Zo worden de mails doorgestuurd naar de juiste scriptjes van de WebCie. Zie [[Mail sturen naar de site]]

=== IPA ===
<pre>yum install ipa-client</pre>
Voor autologin:
<pre>yum install mod_auth_kerb mod_authnz_pam mod_lookup_ident sssd-dbus</pre>

Het volgende moet de sysop regelen:
<pre>
ipa-client-install
ipa host-add dummyhost.example.com --desc="Dummy Host" --location="<fqdn-of-webserver>"
ipa host-add-managedby dummyhost.example.com --hosts="<fqdn-of-webserver>"
ipa service-add HTTP/dummyhost.example.com
ipa service-add-host HTTP/dummyhost.example.com --hosts="<fqdn-of-webserver>"

Ga naar de ipa webinterface
Ga naar de tab hosts
Ga naar de juiste host
klik op actions -> add New certificate

Voer nu de volgende commands uit in de commandline:
mkdir /etc/nssdb
cd /etc/nssdb
certutil -N -d .

mkdir /etc/httpd/certs
ipa-getcert request -r -f /etc/httpd/certs/dummyhost.crt -k /etc/httpd/certs/dummyhost.key -N CN=dummyhost.example.com -D \
dummyhost.example.com -K HTTP/dummyhost.example.com</pre>

Voor autologin op de site:
<pre>
ipa-getkeytab -s ipa05.a-eskwadraat.nl -p HTTP/www-auth.a-eskwadraat.nl -k /etc/httpd/conf/httpd.keytab
</pre>
Stel de volgende gegevens in in <code>/etc/sssd/sssd.conf</code> voor zover deze nog niet bestaat.

Onder <code>[domain/a-eskwadraat.nl]</code>:
<pre>ldap_user_extra_attrs = mail,memberId,email:mail</pre>
Onder <code>[sssd]</code>:
<pre>services = nss, sudo, pam, ssh, ifp</pre>
Onder <code>[ifp]</code>:
<pre>
allowed_uids = apache, root
user_attributes = +memberId
</pre>

=== Overige tsjak ter installatie ===

<pre>yum install git sudo vim wget</pre>

=== De website opzetten ===

Heb je alles geïnstalleerd, dan ben je klaar voor de laatste fase.

Vertel de scripts dat dit een host is: <code>vim /etc/function</code> en stop daarin <code>server</code>.

Ga naar de checkout van de website, kopieer handmatig de secret.php en doe daarin manage build. (Dit moet na de php-instellingen gebeuren want manage voert php uit.)

Pas de httpd-configuratie aan om de juiste paden in te stellen:
<pre>
cp config/vm-www/httpd/conf.d/website.conf /etc/httpd/conf.d/
ln -s /etc/httpd config/vm-www2/httpd
vim config/vm-www2/httpd/conf.d/website.conf
</pre>

Nu kun je de webserver aanzwengelen :D <code>systemctl restart httpd<code> <code>systemctl restart php-fpm</code>

Je moet waarschijnlijk nog wat chmod'en en paden aanmaken, zie daarvoor de logs in <code>/var/log/httpd/error_log</code> en <code>/var/log/php-fpm/error.log</code> en <code>/var/log/www/php-warnings.log</code> (in volgorde van dingen werkend krijgen).

[[Category:Sysop]] [[Category:WebCie]]

Webcie-vm

2018-10-08T19:06:47Z

Albertp: /* IPA */ keytab pad gecorrigeerd

Zie ook: [[Webcie-vms]] (!)

== Nieuwe vm-webcie-debug aanmaken ==

Maak een nieuwe vm vm-webcie-debug aan. Kickstart de vm en highstate de vm met salt. Installeer mariadb met het volgende commando:
<pre>/usr/bin/mysql_secure_installation</pre>

Zet het rootwachtwoord en disalow root login remotely. Let op: de rootwachtwoorden van de databases van de vm-webcie/www en vm-webcie/www-debug moeten hetzelfde zijn!

Maak in de home van de root het bestandje .my.cnf aan (zet de rechten op 0600!) met de volgende content:
<pre>[client]
user = root
pass = root-database-wachtwoord</pre>

Maak ook de juiste databases aan (bv test_whoswho4, test_benamite of boeken. Denk eraan dat op een vm-webcie/www-machine er zowel de normal db als test_db moeten zijn). Kopieër nu de databases. Vergeet ook niet de mysql-database te kopieëren, daar staan de rechten van de verschillende gebruikers in. Maak eerst een dump op de oude vm:
<pre>mysqldump 'dbnaam' > 'dbnaam'.db</pre>

Kopieër het dumpbestand naar de nieuwe vm en laad de dump in op de nieuwe vm:
<pre>mysql 'dbnaam' < 'dbnaam'.db</pre>

== Opzetten vm-www2 ==

Deze instructies zijn bedoeld voor de WebCie. We gaan ervan uit dat je het WebCie-wachtwoord uit je hoofd kent.

Vraag de Sysop om een nieuwe vm (ik bedoel uiteraard container ;)) met subdomein (in dit geval: vm-www2.a-eskwadraat.nl) en dezelfde mounts als de originele vm. Zorg ervoor dat sendmail vanaf de nieuwe vm werkt. Verkrijg roottoegang op de vm-www2.

In het begin heeft yum nog een update voor repositorygegevens nodig: doe <code>yum clean all</code> voordat je een ander yum-commando draait.

=== Mariadb en replicatie ===

Installeer mariadb als op de vm-www-debug: <code>yum install mariadb mariadb-server</code> (let op: ivm backwards incompatibility willen we versie 5.5 voorlopig), <code>systemctl enable mariadb</code>, <code>systemctl start mariadb</code> en dan <code>/usr/bin/mysql_secure_installation</code>. Check even of inloggen nog werkt: <code>mysql -u root -p</code>. Check ook dat je verbinding kan maken met mysql op de originele host vanaf de nieuwe host: <code>mysql -h vm-www -u root -p</code>.

Nu gaan we [https://mariadb.com/kb/en/library/replication-overview/ replicatie] opzetten (master-master). We moeten hiervoor een random wachtwoord genereren, bewaar die goed! Open in een nieuwe terminal op de originele host, en pas de <code>my.cnf</code> aan:
<pre>
[mysqld]
server-id=1
log-bin
</pre>
Herstart mysqld/mariadb om de wijzigingen toe te passen. Log in als root op mysql en geef permissies: <code>grant replication slave on *.* to repli@'vm-www2.a-eskwadraat.nl' identified by 'replipassword'; flush privileges;</code>. Zet de tabellen op slot terwijl we de rest doen: <code>flush tables with read lock;</code>. Ten slotte moeten we wat gegevens bekomen: <code> show master status\G</code>. Log niet uit tot we klaar zijn, dan gaan de tabellen weer van het slot af.

In de andere terminal op <code>vm-www2</code> gaan we ook de <code>my.cnf</code> aanpassen (ik heb de wijzigingen in <code>/etc/my.cnf.d/webcie.cnf</code> gezet):
<pre>
[mysqld]

server-id=2
</pre>
Herstart mariadb om de wijzigingen toe te passen. We moeten ook de volledige(!!!) [https://stackoverflow.com/questions/1078196/how-to-take-complete-backup-of-mysql-database-using-mysqldump-command-line-utili#27400627 databaasinhoud overzetten]. (Dit is een van de redenen dat je een read lock hebt.) Doe een mysqldump van de gehele database inclusief tabellen, permissies en inhoud en pas die toe op de nieuwe db.

Log in op de nieuwe db met <code>mysql -u root -p</code> en stel replicatie in:
<pre>
CHANGE MASTER TO
MASTER_HOST='master.domain.com',
MASTER_USER='replication_user',
MASTER_PASSWORD='bigs3cret',
MASTER_PORT=3306,
MASTER_LOG_FILE='mariadb-bin.000096',
MASTER_LOG_POS=568,
MASTER_CONNECT_RETRY=10;
</pre>
(De juiste waarden haal je uit de uitvoer van <code> show master status\G</code> op de originele host.) Vervolgens <code>START SLAVE; SHOW SLAVE STATUS \G</code>.

Als de uitvoer een beetje sense maakt, dan heb je succesvol een master-slave replicatie van de oude naar de nieuwe host opgezet. Doe <code>UNLOCK TABLES;</code> op de originele host en probeer wat aan te passen. Dit zou op de nieuwe host terecht moeten komen.

Als een error bij de slave gebeurd is die niet op master voorkwam, gaat die blokkeren tot je het fixt. Wat je kan doen als het echt helemaal in de soep loopt, is opnieuw alles op slot gooien, een dbdump overnemen van master naar slave. Doe weer <code> show master status\G</code> en unlock de master. Vervolgens doe je op de slave <code>change master to MASTER_LOG_POS=37071; START SLAVE;</code> en dan zou die automatisch alles wat sinds de backup is gebeurd, weer naar binnen gaan slurpen.

Nu gaan we de replicatie de andere kant op sturen. Dit is in principe het precies omgekeerde van wat we hiervoor deden. Pas op vm-www2 de <code>my.cnf</code> aan:
<pre>
[mysqld]
server-id=2
log-bin
</pre>
en herstart mariadb. Voeg de repli-user toe op de vm-www2: <code>grant replication slave on *.* to repli@'vm-www.a-eskwadraat.nl' identified by 'replipassword'; flush privileges;</code>. Doe op allebei de hosts een table lock, doe op de nieuwe host <code>show master status\G</code> en op de originele host de replicatie-instellingen:
<pre>
CHANGE MASTER TO
MASTER_HOST='master.domain.com',
MASTER_USER='replication_user',
MASTER_PASSWORD='bigs3cret',
MASTER_PORT=3306,
MASTER_LOG_FILE='mariadb-bin.000096',
MASTER_LOG_POS=568,
MASTER_CONNECT_RETRY=10;
</pre>
En nu kun je op de originele host <code>start slave;</code> runnen, en je hebt een master-masterreplicatie :D

=== Installeer Apache, PHP en PHP-FPM ===

Doe <code>yum install httpd</code> voor Apache.
Voor een niet verschrikkelijk antieke PHP moet je extra dingen installeren (zie ook [https://rpms.remirepo.net/wizard/]:
<pre>
yum install epel-release
yum install http://rpms.remirepo.net/enterprise/remi-release-7.rpm
yum install yum-utils
yum-config-manager --enable remi-php56 # of php72 of andere versie
yum install php php-fpm
</pre>

Installeer ook alle [[PHP-extensies]] die nodig zijn. (Zie die pagina voor de lijst.)

Overige dependencies:
<pre>
yum install gettext java npm python36 python36-virtualenv
npm install -g bower
</pre>

Nu moeten we PHP-instellingen regelen. Maak een checkout van de website, en doe daarin:
<pre>
mkdir config/vm-www2
ln -s /etc/php.ini config/vm-www2/
vim config/vm-www2/php.ini # Pas hier alle relevante config van de vm-www toe.
</pre>

=== Cron instellen ===

Maak een map <code>/website-output</code> aan en chown die naar <code>apache:apache</code> (en zorg ervoor dat apache ernaar kan schrijven :P). Hierin komt alle output van cronjobs enzo.

Je kan in principe de crontab van de oude vm overnemen, dus ga naar de checkout, en doe:
<pre>
cp scripts/cron/crontab-$VMOUD-apache scripts/cron/crontab-$VMNIEUW-apache
crontab -u apache scripts/cron/crontab-$VMNIEUW-apache
</pre>
om de cronjobs te activeren.

=== Mail werkend krijgen ===

De website gebruikt sendmail-commando's om te mailen. Normaal stuurt sendmail de mails direct het web op, maar we willen dat deze door de vm-mailpp heen gestuurd wordt zodat de berichten juist zijn ondertekend en door spamfilters heen komen. Hiervoor gebruiken we het sendmail-commando dat uit postfix komt. Installeer postfix met:
<pre>yum install postfix</pre>

De configuratie van postfix ongeveer dezelfde als op alle CentOS7 machines en is te vinden op de vm-salt-master in <code>/srv/salt/centos7/global/main.cf</code>. Je moet de volgende parameters aanpassen zodat mail naar buiten mag:
<pre>mydomain = a-eskwadraat.nl</pre>

Om mailings te configureren, voeg de volgende parameters toe aan <code>main.cf</code>:
<pre>
inet_interfaces = all
relay_domains = a-eskwadraat.nl
smtpd_recipient_restrictions = check_recipient_access regexp:/etc/postfix/access, reject_unauth_destination</pre>
En voeg de volgende regels toe aan <code>/etc/postfix/master.cf</code>:
<pre>
bughook unix - n n - - pipe
flags=F user=webcie argv=/website/scripts/mail_process_bug_vm-www ${sender} ${size} ${recipient}
lidhook unix - n n - - pipe
flags=F user=webcie argv=/website/scripts/mail_process_lid ${sender} ${size} ${recipient}
bouncehook unix - n n - - pipe
flags=F user=webcie argv=/website/scripts/mail_process_bounce ${sender} ${size} ${recipient}
mailinghook unix - n n - - pipe
flags=F user=webcie argv=/website/scripts/mail_process_incoming_mailing.php ${sender} ${size} $$
</pre>
En plaats de volgende regels in <code>/etc/postfix/access</code>:
<pre>
/^lid-[0-9]+@a-es((kwadraat)|(2))\.nl$/ FILTER lidhook:
/^bug(([0-9]+)|(s))@a-es((kwadraat)|(2))\.nl$/ FILTER bughook:
/^bounce-[0-9]+@a-es((kwadraat)|(2))\.nl$/ FILTER bouncehook:
/^((.*-)|)mailing((s)|)@a-es((kwadraat)|(2))\.nl$/ FILTER mailinghook:
</pre>

Stel nu in dat het sendmail-commando uit postfix gebruikt wordt in plaats van de standaard sendmail:
<pre>update-alternatives --config mta</pre>
En start dan de postfix service met <code>service postfix start</code>.

Zo worden de mails doorgestuurd naar de juiste scriptjes van de WebCie. Zie [[Mail sturen naar de site]]

=== IPA ===
<pre>yum install ipa-client</pre>
Voor autologin:
<pre>yum install mod_auth_kerb mod_authnz_pam mod_lookup_ident sssd-dbus</pre>

Het volgende moet de sysop regelen:
<pre>
ipa-client-install
ipa host-add dummyhost.example.com --desc="Dummy Host" --location="<fqdn-of-webserver>"
ipa host-add-managedby dummyhost.example.com --hosts="<fqdn-of-webserver>"
ipa service-add HTTP/dummyhost.example.com
ipa service-add-host HTTP/dummyhost.example.com --hosts="<fqdn-of-webserver>"

Ga naar de ipa webinterface
Ga naar de tab hosts
Ga naar de juiste host
klik op actions -> add New certificate

Voer nu de volgende commands uit in de commandline:
mkdir /etc/nssdb
cd /etc/nssdb
certutil -N -d .

mkdir /etc/httpd/certs
ipa-getcert request -r -f /etc/httpd/certs/dummyhost.crt -k /etc/httpd/certs/dummyhost.key -N CN=dummyhost.example.com -D \
dummyhost.example.com -K HTTP/dummyhost.example.com

Voor autologin op de site:
ipa-getkeytab -s ipa05.a-eskwadraat.nl -p HTTP/www-auth.a-eskwadraat.nl -k /etc/httpd/conf/httpd.keytab
</pre>

=== Overige tsjak ter installatie ===

<pre>yum install git sudo vim wget</pre>

=== De website opzetten ===

Heb je alles geïnstalleerd, dan ben je klaar voor de laatste fase.

Vertel de scripts dat dit een host is: <code>vim /etc/function</code> en stop daarin <code>server</code>.

Ga naar de checkout van de website, kopieer handmatig de secret.php en doe daarin manage build. (Dit moet na de php-instellingen gebeuren want manage voert php uit.)

Pas de httpd-configuratie aan om de juiste paden in te stellen:
<pre>
cp config/vm-www/httpd/conf.d/website.conf /etc/httpd/conf.d/
ln -s /etc/httpd config/vm-www2/httpd
vim config/vm-www2/httpd/conf.d/website.conf
</pre>

Nu kun je de webserver aanzwengelen :D <code>systemctl restart httpd<code> <code>systemctl restart php-fpm</code>

Je moet waarschijnlijk nog wat chmod'en en paden aanmaken, zie daarvoor de logs in <code>/var/log/httpd/error_log</code> en <code>/var/log/php-fpm/error.log</code> en <code>/var/log/www/php-warnings.log</code> (in volgorde van dingen werkend krijgen).

[[Category:Sysop]] [[Category:WebCie]]

Webcie-vm

2018-10-08T19:05:40Z

Albertp: /* IPA */ sssd-dbus installeren

Zie ook: [[Webcie-vms]] (!)

== Nieuwe vm-webcie-debug aanmaken ==

Maak een nieuwe vm vm-webcie-debug aan. Kickstart de vm en highstate de vm met salt. Installeer mariadb met het volgende commando:
<pre>/usr/bin/mysql_secure_installation</pre>

Zet het rootwachtwoord en disalow root login remotely. Let op: de rootwachtwoorden van de databases van de vm-webcie/www en vm-webcie/www-debug moeten hetzelfde zijn!

Maak in de home van de root het bestandje .my.cnf aan (zet de rechten op 0600!) met de volgende content:
<pre>[client]
user = root
pass = root-database-wachtwoord</pre>

Maak ook de juiste databases aan (bv test_whoswho4, test_benamite of boeken. Denk eraan dat op een vm-webcie/www-machine er zowel de normal db als test_db moeten zijn). Kopieër nu de databases. Vergeet ook niet de mysql-database te kopieëren, daar staan de rechten van de verschillende gebruikers in. Maak eerst een dump op de oude vm:
<pre>mysqldump 'dbnaam' > 'dbnaam'.db</pre>

Kopieër het dumpbestand naar de nieuwe vm en laad de dump in op de nieuwe vm:
<pre>mysql 'dbnaam' < 'dbnaam'.db</pre>

== Opzetten vm-www2 ==

Deze instructies zijn bedoeld voor de WebCie. We gaan ervan uit dat je het WebCie-wachtwoord uit je hoofd kent.

Vraag de Sysop om een nieuwe vm (ik bedoel uiteraard container ;)) met subdomein (in dit geval: vm-www2.a-eskwadraat.nl) en dezelfde mounts als de originele vm. Zorg ervoor dat sendmail vanaf de nieuwe vm werkt. Verkrijg roottoegang op de vm-www2.

In het begin heeft yum nog een update voor repositorygegevens nodig: doe <code>yum clean all</code> voordat je een ander yum-commando draait.

=== Mariadb en replicatie ===

Installeer mariadb als op de vm-www-debug: <code>yum install mariadb mariadb-server</code> (let op: ivm backwards incompatibility willen we versie 5.5 voorlopig), <code>systemctl enable mariadb</code>, <code>systemctl start mariadb</code> en dan <code>/usr/bin/mysql_secure_installation</code>. Check even of inloggen nog werkt: <code>mysql -u root -p</code>. Check ook dat je verbinding kan maken met mysql op de originele host vanaf de nieuwe host: <code>mysql -h vm-www -u root -p</code>.

Nu gaan we [https://mariadb.com/kb/en/library/replication-overview/ replicatie] opzetten (master-master). We moeten hiervoor een random wachtwoord genereren, bewaar die goed! Open in een nieuwe terminal op de originele host, en pas de <code>my.cnf</code> aan:
<pre>
[mysqld]
server-id=1
log-bin
</pre>
Herstart mysqld/mariadb om de wijzigingen toe te passen. Log in als root op mysql en geef permissies: <code>grant replication slave on *.* to repli@'vm-www2.a-eskwadraat.nl' identified by 'replipassword'; flush privileges;</code>. Zet de tabellen op slot terwijl we de rest doen: <code>flush tables with read lock;</code>. Ten slotte moeten we wat gegevens bekomen: <code> show master status\G</code>. Log niet uit tot we klaar zijn, dan gaan de tabellen weer van het slot af.

In de andere terminal op <code>vm-www2</code> gaan we ook de <code>my.cnf</code> aanpassen (ik heb de wijzigingen in <code>/etc/my.cnf.d/webcie.cnf</code> gezet):
<pre>
[mysqld]

server-id=2
</pre>
Herstart mariadb om de wijzigingen toe te passen. We moeten ook de volledige(!!!) [https://stackoverflow.com/questions/1078196/how-to-take-complete-backup-of-mysql-database-using-mysqldump-command-line-utili#27400627 databaasinhoud overzetten]. (Dit is een van de redenen dat je een read lock hebt.) Doe een mysqldump van de gehele database inclusief tabellen, permissies en inhoud en pas die toe op de nieuwe db.

Log in op de nieuwe db met <code>mysql -u root -p</code> en stel replicatie in:
<pre>
CHANGE MASTER TO
MASTER_HOST='master.domain.com',
MASTER_USER='replication_user',
MASTER_PASSWORD='bigs3cret',
MASTER_PORT=3306,
MASTER_LOG_FILE='mariadb-bin.000096',
MASTER_LOG_POS=568,
MASTER_CONNECT_RETRY=10;
</pre>
(De juiste waarden haal je uit de uitvoer van <code> show master status\G</code> op de originele host.) Vervolgens <code>START SLAVE; SHOW SLAVE STATUS \G</code>.

Als de uitvoer een beetje sense maakt, dan heb je succesvol een master-slave replicatie van de oude naar de nieuwe host opgezet. Doe <code>UNLOCK TABLES;</code> op de originele host en probeer wat aan te passen. Dit zou op de nieuwe host terecht moeten komen.

Als een error bij de slave gebeurd is die niet op master voorkwam, gaat die blokkeren tot je het fixt. Wat je kan doen als het echt helemaal in de soep loopt, is opnieuw alles op slot gooien, een dbdump overnemen van master naar slave. Doe weer <code> show master status\G</code> en unlock de master. Vervolgens doe je op de slave <code>change master to MASTER_LOG_POS=37071; START SLAVE;</code> en dan zou die automatisch alles wat sinds de backup is gebeurd, weer naar binnen gaan slurpen.

Nu gaan we de replicatie de andere kant op sturen. Dit is in principe het precies omgekeerde van wat we hiervoor deden. Pas op vm-www2 de <code>my.cnf</code> aan:
<pre>
[mysqld]
server-id=2
log-bin
</pre>
en herstart mariadb. Voeg de repli-user toe op de vm-www2: <code>grant replication slave on *.* to repli@'vm-www.a-eskwadraat.nl' identified by 'replipassword'; flush privileges;</code>. Doe op allebei de hosts een table lock, doe op de nieuwe host <code>show master status\G</code> en op de originele host de replicatie-instellingen:
<pre>
CHANGE MASTER TO
MASTER_HOST='master.domain.com',
MASTER_USER='replication_user',
MASTER_PASSWORD='bigs3cret',
MASTER_PORT=3306,
MASTER_LOG_FILE='mariadb-bin.000096',
MASTER_LOG_POS=568,
MASTER_CONNECT_RETRY=10;
</pre>
En nu kun je op de originele host <code>start slave;</code> runnen, en je hebt een master-masterreplicatie :D

=== Installeer Apache, PHP en PHP-FPM ===

Doe <code>yum install httpd</code> voor Apache.
Voor een niet verschrikkelijk antieke PHP moet je extra dingen installeren (zie ook [https://rpms.remirepo.net/wizard/]:
<pre>
yum install epel-release
yum install http://rpms.remirepo.net/enterprise/remi-release-7.rpm
yum install yum-utils
yum-config-manager --enable remi-php56 # of php72 of andere versie
yum install php php-fpm
</pre>

Installeer ook alle [[PHP-extensies]] die nodig zijn. (Zie die pagina voor de lijst.)

Overige dependencies:
<pre>
yum install gettext java npm python36 python36-virtualenv
npm install -g bower
</pre>

Nu moeten we PHP-instellingen regelen. Maak een checkout van de website, en doe daarin:
<pre>
mkdir config/vm-www2
ln -s /etc/php.ini config/vm-www2/
vim config/vm-www2/php.ini # Pas hier alle relevante config van de vm-www toe.
</pre>

=== Cron instellen ===

Maak een map <code>/website-output</code> aan en chown die naar <code>apache:apache</code> (en zorg ervoor dat apache ernaar kan schrijven :P). Hierin komt alle output van cronjobs enzo.

Je kan in principe de crontab van de oude vm overnemen, dus ga naar de checkout, en doe:
<pre>
cp scripts/cron/crontab-$VMOUD-apache scripts/cron/crontab-$VMNIEUW-apache
crontab -u apache scripts/cron/crontab-$VMNIEUW-apache
</pre>
om de cronjobs te activeren.

=== Mail werkend krijgen ===

De website gebruikt sendmail-commando's om te mailen. Normaal stuurt sendmail de mails direct het web op, maar we willen dat deze door de vm-mailpp heen gestuurd wordt zodat de berichten juist zijn ondertekend en door spamfilters heen komen. Hiervoor gebruiken we het sendmail-commando dat uit postfix komt. Installeer postfix met:
<pre>yum install postfix</pre>

De configuratie van postfix ongeveer dezelfde als op alle CentOS7 machines en is te vinden op de vm-salt-master in <code>/srv/salt/centos7/global/main.cf</code>. Je moet de volgende parameters aanpassen zodat mail naar buiten mag:
<pre>mydomain = a-eskwadraat.nl</pre>

Om mailings te configureren, voeg de volgende parameters toe aan <code>main.cf</code>:
<pre>
inet_interfaces = all
relay_domains = a-eskwadraat.nl
smtpd_recipient_restrictions = check_recipient_access regexp:/etc/postfix/access, reject_unauth_destination</pre>
En voeg de volgende regels toe aan <code>/etc/postfix/master.cf</code>:
<pre>
bughook unix - n n - - pipe
flags=F user=webcie argv=/website/scripts/mail_process_bug_vm-www ${sender} ${size} ${recipient}
lidhook unix - n n - - pipe
flags=F user=webcie argv=/website/scripts/mail_process_lid ${sender} ${size} ${recipient}
bouncehook unix - n n - - pipe
flags=F user=webcie argv=/website/scripts/mail_process_bounce ${sender} ${size} ${recipient}
mailinghook unix - n n - - pipe
flags=F user=webcie argv=/website/scripts/mail_process_incoming_mailing.php ${sender} ${size} $$
</pre>
En plaats de volgende regels in <code>/etc/postfix/access</code>:
<pre>
/^lid-[0-9]+@a-es((kwadraat)|(2))\.nl$/ FILTER lidhook:
/^bug(([0-9]+)|(s))@a-es((kwadraat)|(2))\.nl$/ FILTER bughook:
/^bounce-[0-9]+@a-es((kwadraat)|(2))\.nl$/ FILTER bouncehook:
/^((.*-)|)mailing((s)|)@a-es((kwadraat)|(2))\.nl$/ FILTER mailinghook:
</pre>

Stel nu in dat het sendmail-commando uit postfix gebruikt wordt in plaats van de standaard sendmail:
<pre>update-alternatives --config mta</pre>
En start dan de postfix service met <code>service postfix start</code>.

Zo worden de mails doorgestuurd naar de juiste scriptjes van de WebCie. Zie [[Mail sturen naar de site]]

=== IPA ===
<pre>yum install ipa-client</pre>
Voor autologin:
<pre>yum install mod_auth_kerb mod_authnz_pam mod_lookup_ident sssd-dbus</pre>

Het volgende moet de sysop regelen:
<pre>
ipa-client-install
ipa host-add dummyhost.example.com --desc="Dummy Host" --location="<fqdn-of-webserver>"
ipa host-add-managedby dummyhost.example.com --hosts="<fqdn-of-webserver>"
ipa service-add HTTP/dummyhost.example.com
ipa service-add-host HTTP/dummyhost.example.com --hosts="<fqdn-of-webserver>"

Ga naar de ipa webinterface
Ga naar de tab hosts
Ga naar de juiste host
klik op actions -> add New certificate

Voer nu de volgende commands uit in de commandline:
mkdir /etc/nssdb
cd /etc/nssdb
certutil -N -d .

mkdir /etc/httpd/certs
ipa-getcert request -r -f /etc/httpd/certs/dummyhost.crt -k /etc/httpd/certs/dummyhost.key -N CN=dummyhost.example.com -D \
dummyhost.example.com -K HTTP/dummyhost.example.com

Voor autologin op de site:
ipa-getkeytab -s ipa05.a-eskwadraat.nl -p HTTP/*hostname*.a-eskwadraat.nl -k /var/www/website-ipa.keytab
</pre>

=== Overige tsjak ter installatie ===

<pre>yum install git sudo vim wget</pre>

=== De website opzetten ===

Heb je alles geïnstalleerd, dan ben je klaar voor de laatste fase.

Vertel de scripts dat dit een host is: <code>vim /etc/function</code> en stop daarin <code>server</code>.

Ga naar de checkout van de website, kopieer handmatig de secret.php en doe daarin manage build. (Dit moet na de php-instellingen gebeuren want manage voert php uit.)

Pas de httpd-configuratie aan om de juiste paden in te stellen:
<pre>
cp config/vm-www/httpd/conf.d/website.conf /etc/httpd/conf.d/
ln -s /etc/httpd config/vm-www2/httpd
vim config/vm-www2/httpd/conf.d/website.conf
</pre>

Nu kun je de webserver aanzwengelen :D <code>systemctl restart httpd<code> <code>systemctl restart php-fpm</code>

Je moet waarschijnlijk nog wat chmod'en en paden aanmaken, zie daarvoor de logs in <code>/var/log/httpd/error_log</code> en <code>/var/log/php-fpm/error.log</code> en <code>/var/log/www/php-warnings.log</code> (in volgorde van dingen werkend krijgen).

[[Category:Sysop]] [[Category:WebCie]]

Webcie-vm

2018-10-08T18:21:35Z

Albertp: /* IPA */ autologin packages

Zie ook: [[Webcie-vms]] (!)

== Nieuwe vm-webcie-debug aanmaken ==

Maak een nieuwe vm vm-webcie-debug aan. Kickstart de vm en highstate de vm met salt. Installeer mariadb met het volgende commando:
<pre>/usr/bin/mysql_secure_installation</pre>

Zet het rootwachtwoord en disalow root login remotely. Let op: de rootwachtwoorden van de databases van de vm-webcie/www en vm-webcie/www-debug moeten hetzelfde zijn!

Maak in de home van de root het bestandje .my.cnf aan (zet de rechten op 0600!) met de volgende content:
<pre>[client]
user = root
pass = root-database-wachtwoord</pre>

Maak ook de juiste databases aan (bv test_whoswho4, test_benamite of boeken. Denk eraan dat op een vm-webcie/www-machine er zowel de normal db als test_db moeten zijn). Kopieër nu de databases. Vergeet ook niet de mysql-database te kopieëren, daar staan de rechten van de verschillende gebruikers in. Maak eerst een dump op de oude vm:
<pre>mysqldump 'dbnaam' > 'dbnaam'.db</pre>

Kopieër het dumpbestand naar de nieuwe vm en laad de dump in op de nieuwe vm:
<pre>mysql 'dbnaam' < 'dbnaam'.db</pre>

== Opzetten vm-www2 ==

Deze instructies zijn bedoeld voor de WebCie. We gaan ervan uit dat je het WebCie-wachtwoord uit je hoofd kent.

Vraag de Sysop om een nieuwe vm (ik bedoel uiteraard container ;)) met subdomein (in dit geval: vm-www2.a-eskwadraat.nl) en dezelfde mounts als de originele vm. Zorg ervoor dat sendmail vanaf de nieuwe vm werkt. Verkrijg roottoegang op de vm-www2.

In het begin heeft yum nog een update voor repositorygegevens nodig: doe <code>yum clean all</code> voordat je een ander yum-commando draait.

=== Mariadb en replicatie ===

Installeer mariadb als op de vm-www-debug: <code>yum install mariadb mariadb-server</code> (let op: ivm backwards incompatibility willen we versie 5.5 voorlopig), <code>systemctl enable mariadb</code>, <code>systemctl start mariadb</code> en dan <code>/usr/bin/mysql_secure_installation</code>. Check even of inloggen nog werkt: <code>mysql -u root -p</code>. Check ook dat je verbinding kan maken met mysql op de originele host vanaf de nieuwe host: <code>mysql -h vm-www -u root -p</code>.

Nu gaan we [https://mariadb.com/kb/en/library/replication-overview/ replicatie] opzetten (master-master). We moeten hiervoor een random wachtwoord genereren, bewaar die goed! Open in een nieuwe terminal op de originele host, en pas de <code>my.cnf</code> aan:
<pre>
[mysqld]
server-id=1
log-bin
</pre>
Herstart mysqld/mariadb om de wijzigingen toe te passen. Log in als root op mysql en geef permissies: <code>grant replication slave on *.* to repli@'vm-www2.a-eskwadraat.nl' identified by 'replipassword'; flush privileges;</code>. Zet de tabellen op slot terwijl we de rest doen: <code>flush tables with read lock;</code>. Ten slotte moeten we wat gegevens bekomen: <code> show master status\G</code>. Log niet uit tot we klaar zijn, dan gaan de tabellen weer van het slot af.

In de andere terminal op <code>vm-www2</code> gaan we ook de <code>my.cnf</code> aanpassen (ik heb de wijzigingen in <code>/etc/my.cnf.d/webcie.cnf</code> gezet):
<pre>
[mysqld]

server-id=2
</pre>
Herstart mariadb om de wijzigingen toe te passen. We moeten ook de volledige(!!!) [https://stackoverflow.com/questions/1078196/how-to-take-complete-backup-of-mysql-database-using-mysqldump-command-line-utili#27400627 databaasinhoud overzetten]. (Dit is een van de redenen dat je een read lock hebt.) Doe een mysqldump van de gehele database inclusief tabellen, permissies en inhoud en pas die toe op de nieuwe db.

Log in op de nieuwe db met <code>mysql -u root -p</code> en stel replicatie in:
<pre>
CHANGE MASTER TO
MASTER_HOST='master.domain.com',
MASTER_USER='replication_user',
MASTER_PASSWORD='bigs3cret',
MASTER_PORT=3306,
MASTER_LOG_FILE='mariadb-bin.000096',
MASTER_LOG_POS=568,
MASTER_CONNECT_RETRY=10;
</pre>
(De juiste waarden haal je uit de uitvoer van <code> show master status\G</code> op de originele host.) Vervolgens <code>START SLAVE; SHOW SLAVE STATUS \G</code>.

Als de uitvoer een beetje sense maakt, dan heb je succesvol een master-slave replicatie van de oude naar de nieuwe host opgezet. Doe <code>UNLOCK TABLES;</code> op de originele host en probeer wat aan te passen. Dit zou op de nieuwe host terecht moeten komen.

Als een error bij de slave gebeurd is die niet op master voorkwam, gaat die blokkeren tot je het fixt. Wat je kan doen als het echt helemaal in de soep loopt, is opnieuw alles op slot gooien, een dbdump overnemen van master naar slave. Doe weer <code> show master status\G</code> en unlock de master. Vervolgens doe je op de slave <code>change master to MASTER_LOG_POS=37071; START SLAVE;</code> en dan zou die automatisch alles wat sinds de backup is gebeurd, weer naar binnen gaan slurpen.

Nu gaan we de replicatie de andere kant op sturen. Dit is in principe het precies omgekeerde van wat we hiervoor deden. Pas op vm-www2 de <code>my.cnf</code> aan:
<pre>
[mysqld]
server-id=2
log-bin
</pre>
en herstart mariadb. Voeg de repli-user toe op de vm-www2: <code>grant replication slave on *.* to repli@'vm-www.a-eskwadraat.nl' identified by 'replipassword'; flush privileges;</code>. Doe op allebei de hosts een table lock, doe op de nieuwe host <code>show master status\G</code> en op de originele host de replicatie-instellingen:
<pre>
CHANGE MASTER TO
MASTER_HOST='master.domain.com',
MASTER_USER='replication_user',
MASTER_PASSWORD='bigs3cret',
MASTER_PORT=3306,
MASTER_LOG_FILE='mariadb-bin.000096',
MASTER_LOG_POS=568,
MASTER_CONNECT_RETRY=10;
</pre>
En nu kun je op de originele host <code>start slave;</code> runnen, en je hebt een master-masterreplicatie :D

=== Installeer Apache, PHP en PHP-FPM ===

Doe <code>yum install httpd</code> voor Apache.
Voor een niet verschrikkelijk antieke PHP moet je extra dingen installeren (zie ook [https://rpms.remirepo.net/wizard/]:
<pre>
yum install epel-release
yum install http://rpms.remirepo.net/enterprise/remi-release-7.rpm
yum install yum-utils
yum-config-manager --enable remi-php56 # of php72 of andere versie
yum install php php-fpm
</pre>

Installeer ook alle [[PHP-extensies]] die nodig zijn. (Zie die pagina voor de lijst.)

Overige dependencies:
<pre>
yum install gettext java npm python36 python36-virtualenv
npm install -g bower
</pre>

Nu moeten we PHP-instellingen regelen. Maak een checkout van de website, en doe daarin:
<pre>
mkdir config/vm-www2
ln -s /etc/php.ini config/vm-www2/
vim config/vm-www2/php.ini # Pas hier alle relevante config van de vm-www toe.
</pre>

=== Cron instellen ===

Maak een map <code>/website-output</code> aan en chown die naar <code>apache:apache</code> (en zorg ervoor dat apache ernaar kan schrijven :P). Hierin komt alle output van cronjobs enzo.

Je kan in principe de crontab van de oude vm overnemen, dus ga naar de checkout, en doe:
<pre>
cp scripts/cron/crontab-$VMOUD-apache scripts/cron/crontab-$VMNIEUW-apache
crontab -u apache scripts/cron/crontab-$VMNIEUW-apache
</pre>
om de cronjobs te activeren.

=== Mail werkend krijgen ===

De website gebruikt sendmail-commando's om te mailen. Normaal stuurt sendmail de mails direct het web op, maar we willen dat deze door de vm-mailpp heen gestuurd wordt zodat de berichten juist zijn ondertekend en door spamfilters heen komen. Hiervoor gebruiken we het sendmail-commando dat uit postfix komt. Installeer postfix met:
<pre>yum install postfix</pre>

De configuratie van postfix ongeveer dezelfde als op alle CentOS7 machines en is te vinden op de vm-salt-master in <code>/srv/salt/centos7/global/main.cf</code>. Je moet de volgende parameters aanpassen zodat mail naar buiten mag:
<pre>mydomain = a-eskwadraat.nl</pre>

Om mailings te configureren, voeg de volgende parameters toe aan <code>main.cf</code>:
<pre>
inet_interfaces = all
relay_domains = a-eskwadraat.nl
smtpd_recipient_restrictions = check_recipient_access regexp:/etc/postfix/access, reject_unauth_destination</pre>
En voeg de volgende regels toe aan <code>/etc/postfix/master.cf</code>:
<pre>
bughook unix - n n - - pipe
flags=F user=webcie argv=/website/scripts/mail_process_bug_vm-www ${sender} ${size} ${recipient}
lidhook unix - n n - - pipe
flags=F user=webcie argv=/website/scripts/mail_process_lid ${sender} ${size} ${recipient}
bouncehook unix - n n - - pipe
flags=F user=webcie argv=/website/scripts/mail_process_bounce ${sender} ${size} ${recipient}
mailinghook unix - n n - - pipe
flags=F user=webcie argv=/website/scripts/mail_process_incoming_mailing.php ${sender} ${size} $$
</pre>
En plaats de volgende regels in <code>/etc/postfix/access</code>:
<pre>
/^lid-[0-9]+@a-es((kwadraat)|(2))\.nl$/ FILTER lidhook:
/^bug(([0-9]+)|(s))@a-es((kwadraat)|(2))\.nl$/ FILTER bughook:
/^bounce-[0-9]+@a-es((kwadraat)|(2))\.nl$/ FILTER bouncehook:
/^((.*-)|)mailing((s)|)@a-es((kwadraat)|(2))\.nl$/ FILTER mailinghook:
</pre>

Stel nu in dat het sendmail-commando uit postfix gebruikt wordt in plaats van de standaard sendmail:
<pre>update-alternatives --config mta</pre>
En start dan de postfix service met <code>service postfix start</code>.

Zo worden de mails doorgestuurd naar de juiste scriptjes van de WebCie. Zie [[Mail sturen naar de site]]

=== IPA ===
<pre>yum install ipa-client</pre>
Voor autologin:
<pre>yum install mod_auth_kerb mod_authnz_pam mod_lookup_ident</pre>

Het volgende moet de sysop regelen:
<pre>
ipa-client-install
ipa host-add dummyhost.example.com --desc="Dummy Host" --location="<fqdn-of-webserver>"
ipa host-add-managedby dummyhost.example.com --hosts="<fqdn-of-webserver>"
ipa service-add HTTP/dummyhost.example.com
ipa service-add-host HTTP/dummyhost.example.com --hosts="<fqdn-of-webserver>"

Ga naar de ipa webinterface
Ga naar de tab hosts
Ga naar de juiste host
klik op actions -> add New certificate

Voer nu de volgende commands uit in de commandline:
mkdir /etc/nssdb
cd /etc/nssdb
certutil -N -d .

mkdir /etc/httpd/certs
ipa-getcert request -r -f /etc/httpd/certs/dummyhost.crt -k /etc/httpd/certs/dummyhost.key -N CN=dummyhost.example.com -D \
dummyhost.example.com -K HTTP/dummyhost.example.com

Voor autologin op de site:
ipa-getkeytab -s ipa05.a-eskwadraat.nl -p HTTP/*hostname*.a-eskwadraat.nl -k /var/www/website-ipa.keytab
</pre>

=== Overige tsjak ter installatie ===

<pre>yum install git sudo vim wget</pre>

=== De website opzetten ===

Heb je alles geïnstalleerd, dan ben je klaar voor de laatste fase.

Vertel de scripts dat dit een host is: <code>vim /etc/function</code> en stop daarin <code>server</code>.

Ga naar de checkout van de website, kopieer handmatig de secret.php en doe daarin manage build. (Dit moet na de php-instellingen gebeuren want manage voert php uit.)

Pas de httpd-configuratie aan om de juiste paden in te stellen:
<pre>
cp config/vm-www/httpd/conf.d/website.conf /etc/httpd/conf.d/
ln -s /etc/httpd config/vm-www2/httpd
vim config/vm-www2/httpd/conf.d/website.conf
</pre>

Nu kun je de webserver aanzwengelen :D <code>systemctl restart httpd<code> <code>systemctl restart php-fpm</code>

Je moet waarschijnlijk nog wat chmod'en en paden aanmaken, zie daarvoor de logs in <code>/var/log/httpd/error_log</code> en <code>/var/log/php-fpm/error.log</code> en <code>/var/log/www/php-warnings.log</code> (in volgorde van dingen werkend krijgen).

[[Category:Sysop]] [[Category:WebCie]]

Webcie-vm

2018-10-08T18:03:56Z

Albertp: /* IPA */ autologin keytab

Zie ook: [[Webcie-vms]] (!)

== Nieuwe vm-webcie-debug aanmaken ==

Maak een nieuwe vm vm-webcie-debug aan. Kickstart de vm en highstate de vm met salt. Installeer mariadb met het volgende commando:
<pre>/usr/bin/mysql_secure_installation</pre>

Zet het rootwachtwoord en disalow root login remotely. Let op: de rootwachtwoorden van de databases van de vm-webcie/www en vm-webcie/www-debug moeten hetzelfde zijn!

Maak in de home van de root het bestandje .my.cnf aan (zet de rechten op 0600!) met de volgende content:
<pre>[client]
user = root
pass = root-database-wachtwoord</pre>

Maak ook de juiste databases aan (bv test_whoswho4, test_benamite of boeken. Denk eraan dat op een vm-webcie/www-machine er zowel de normal db als test_db moeten zijn). Kopieër nu de databases. Vergeet ook niet de mysql-database te kopieëren, daar staan de rechten van de verschillende gebruikers in. Maak eerst een dump op de oude vm:
<pre>mysqldump 'dbnaam' > 'dbnaam'.db</pre>

Kopieër het dumpbestand naar de nieuwe vm en laad de dump in op de nieuwe vm:
<pre>mysql 'dbnaam' < 'dbnaam'.db</pre>

== Opzetten vm-www2 ==

Deze instructies zijn bedoeld voor de WebCie. We gaan ervan uit dat je het WebCie-wachtwoord uit je hoofd kent.

Vraag de Sysop om een nieuwe vm (ik bedoel uiteraard container ;)) met subdomein (in dit geval: vm-www2.a-eskwadraat.nl) en dezelfde mounts als de originele vm. Zorg ervoor dat sendmail vanaf de nieuwe vm werkt. Verkrijg roottoegang op de vm-www2.

In het begin heeft yum nog een update voor repositorygegevens nodig: doe <code>yum clean all</code> voordat je een ander yum-commando draait.

=== Mariadb en replicatie ===

Installeer mariadb als op de vm-www-debug: <code>yum install mariadb mariadb-server</code> (let op: ivm backwards incompatibility willen we versie 5.5 voorlopig), <code>systemctl enable mariadb</code>, <code>systemctl start mariadb</code> en dan <code>/usr/bin/mysql_secure_installation</code>. Check even of inloggen nog werkt: <code>mysql -u root -p</code>. Check ook dat je verbinding kan maken met mysql op de originele host vanaf de nieuwe host: <code>mysql -h vm-www -u root -p</code>.

Nu gaan we [https://mariadb.com/kb/en/library/replication-overview/ replicatie] opzetten (master-master). We moeten hiervoor een random wachtwoord genereren, bewaar die goed! Open in een nieuwe terminal op de originele host, en pas de <code>my.cnf</code> aan:
<pre>
[mysqld]
server-id=1
log-bin
</pre>
Herstart mysqld/mariadb om de wijzigingen toe te passen. Log in als root op mysql en geef permissies: <code>grant replication slave on *.* to repli@'vm-www2.a-eskwadraat.nl' identified by 'replipassword'; flush privileges;</code>. Zet de tabellen op slot terwijl we de rest doen: <code>flush tables with read lock;</code>. Ten slotte moeten we wat gegevens bekomen: <code> show master status\G</code>. Log niet uit tot we klaar zijn, dan gaan de tabellen weer van het slot af.

In de andere terminal op <code>vm-www2</code> gaan we ook de <code>my.cnf</code> aanpassen (ik heb de wijzigingen in <code>/etc/my.cnf.d/webcie.cnf</code> gezet):
<pre>
[mysqld]

server-id=2
</pre>
Herstart mariadb om de wijzigingen toe te passen. We moeten ook de volledige(!!!) [https://stackoverflow.com/questions/1078196/how-to-take-complete-backup-of-mysql-database-using-mysqldump-command-line-utili#27400627 databaasinhoud overzetten]. (Dit is een van de redenen dat je een read lock hebt.) Doe een mysqldump van de gehele database inclusief tabellen, permissies en inhoud en pas die toe op de nieuwe db.

Log in op de nieuwe db met <code>mysql -u root -p</code> en stel replicatie in:
<pre>
CHANGE MASTER TO
MASTER_HOST='master.domain.com',
MASTER_USER='replication_user',
MASTER_PASSWORD='bigs3cret',
MASTER_PORT=3306,
MASTER_LOG_FILE='mariadb-bin.000096',
MASTER_LOG_POS=568,
MASTER_CONNECT_RETRY=10;
</pre>
(De juiste waarden haal je uit de uitvoer van <code> show master status\G</code> op de originele host.) Vervolgens <code>START SLAVE; SHOW SLAVE STATUS \G</code>.

Als de uitvoer een beetje sense maakt, dan heb je succesvol een master-slave replicatie van de oude naar de nieuwe host opgezet. Doe <code>UNLOCK TABLES;</code> op de originele host en probeer wat aan te passen. Dit zou op de nieuwe host terecht moeten komen.

Als een error bij de slave gebeurd is die niet op master voorkwam, gaat die blokkeren tot je het fixt. Wat je kan doen als het echt helemaal in de soep loopt, is opnieuw alles op slot gooien, een dbdump overnemen van master naar slave. Doe weer <code> show master status\G</code> en unlock de master. Vervolgens doe je op de slave <code>change master to MASTER_LOG_POS=37071; START SLAVE;</code> en dan zou die automatisch alles wat sinds de backup is gebeurd, weer naar binnen gaan slurpen.

Nu gaan we de replicatie de andere kant op sturen. Dit is in principe het precies omgekeerde van wat we hiervoor deden. Pas op vm-www2 de <code>my.cnf</code> aan:
<pre>
[mysqld]
server-id=2
log-bin
</pre>
en herstart mariadb. Voeg de repli-user toe op de vm-www2: <code>grant replication slave on *.* to repli@'vm-www.a-eskwadraat.nl' identified by 'replipassword'; flush privileges;</code>. Doe op allebei de hosts een table lock, doe op de nieuwe host <code>show master status\G</code> en op de originele host de replicatie-instellingen:
<pre>
CHANGE MASTER TO
MASTER_HOST='master.domain.com',
MASTER_USER='replication_user',
MASTER_PASSWORD='bigs3cret',
MASTER_PORT=3306,
MASTER_LOG_FILE='mariadb-bin.000096',
MASTER_LOG_POS=568,
MASTER_CONNECT_RETRY=10;
</pre>
En nu kun je op de originele host <code>start slave;</code> runnen, en je hebt een master-masterreplicatie :D

=== Installeer Apache, PHP en PHP-FPM ===

Doe <code>yum install httpd</code> voor Apache.
Voor een niet verschrikkelijk antieke PHP moet je extra dingen installeren (zie ook [https://rpms.remirepo.net/wizard/]:
<pre>
yum install epel-release
yum install http://rpms.remirepo.net/enterprise/remi-release-7.rpm
yum install yum-utils
yum-config-manager --enable remi-php56 # of php72 of andere versie
yum install php php-fpm
</pre>

Installeer ook alle [[PHP-extensies]] die nodig zijn. (Zie die pagina voor de lijst.)

Overige dependencies:
<pre>
yum install gettext java npm python36 python36-virtualenv
npm install -g bower
</pre>

Nu moeten we PHP-instellingen regelen. Maak een checkout van de website, en doe daarin:
<pre>
mkdir config/vm-www2
ln -s /etc/php.ini config/vm-www2/
vim config/vm-www2/php.ini # Pas hier alle relevante config van de vm-www toe.
</pre>

=== Cron instellen ===

Maak een map <code>/website-output</code> aan en chown die naar <code>apache:apache</code> (en zorg ervoor dat apache ernaar kan schrijven :P). Hierin komt alle output van cronjobs enzo.

Je kan in principe de crontab van de oude vm overnemen, dus ga naar de checkout, en doe:
<pre>
cp scripts/cron/crontab-$VMOUD-apache scripts/cron/crontab-$VMNIEUW-apache
crontab -u apache scripts/cron/crontab-$VMNIEUW-apache
</pre>
om de cronjobs te activeren.

=== Mail werkend krijgen ===

De website gebruikt sendmail-commando's om te mailen. Normaal stuurt sendmail de mails direct het web op, maar we willen dat deze door de vm-mailpp heen gestuurd wordt zodat de berichten juist zijn ondertekend en door spamfilters heen komen. Hiervoor gebruiken we het sendmail-commando dat uit postfix komt. Installeer postfix met:
<pre>yum install postfix</pre>

De configuratie van postfix ongeveer dezelfde als op alle CentOS7 machines en is te vinden op de vm-salt-master in <code>/srv/salt/centos7/global/main.cf</code>. Je moet de volgende parameters aanpassen zodat mail naar buiten mag:
<pre>mydomain = a-eskwadraat.nl</pre>

Om mailings te configureren, voeg de volgende parameters toe aan <code>main.cf</code>:
<pre>
inet_interfaces = all
relay_domains = a-eskwadraat.nl
smtpd_recipient_restrictions = check_recipient_access regexp:/etc/postfix/access, reject_unauth_destination</pre>
En voeg de volgende regels toe aan <code>/etc/postfix/master.cf</code>:
<pre>
bughook unix - n n - - pipe
flags=F user=webcie argv=/website/scripts/mail_process_bug_vm-www ${sender} ${size} ${recipient}
lidhook unix - n n - - pipe
flags=F user=webcie argv=/website/scripts/mail_process_lid ${sender} ${size} ${recipient}
bouncehook unix - n n - - pipe
flags=F user=webcie argv=/website/scripts/mail_process_bounce ${sender} ${size} ${recipient}
mailinghook unix - n n - - pipe
flags=F user=webcie argv=/website/scripts/mail_process_incoming_mailing.php ${sender} ${size} $$
</pre>
En plaats de volgende regels in <code>/etc/postfix/access</code>:
<pre>
/^lid-[0-9]+@a-es((kwadraat)|(2))\.nl$/ FILTER lidhook:
/^bug(([0-9]+)|(s))@a-es((kwadraat)|(2))\.nl$/ FILTER bughook:
/^bounce-[0-9]+@a-es((kwadraat)|(2))\.nl$/ FILTER bouncehook:
/^((.*-)|)mailing((s)|)@a-es((kwadraat)|(2))\.nl$/ FILTER mailinghook:
</pre>

Stel nu in dat het sendmail-commando uit postfix gebruikt wordt in plaats van de standaard sendmail:
<pre>update-alternatives --config mta</pre>
En start dan de postfix service met <code>service postfix start</code>.

Zo worden de mails doorgestuurd naar de juiste scriptjes van de WebCie. Zie [[Mail sturen naar de site]]

=== IPA ===
yum install ipa-client

Het volgende moet de sysop regelen:
<pre>
ipa-client-install
ipa host-add dummyhost.example.com --desc="Dummy Host" --location="<fqdn-of-webserver>"
ipa host-add-managedby dummyhost.example.com --hosts="<fqdn-of-webserver>"
ipa service-add HTTP/dummyhost.example.com
ipa service-add-host HTTP/dummyhost.example.com --hosts="<fqdn-of-webserver>"

Ga naar de ipa webinterface
Ga naar de tab hosts
Ga naar de juiste host
klik op actions -> add New certificate

Voer nu de volgende commands uit in de commandline:
mkdir /etc/nssdb
cd /etc/nssdb
certutil -N -d .

mkdir /etc/httpd/certs
ipa-getcert request -r -f /etc/httpd/certs/dummyhost.crt -k /etc/httpd/certs/dummyhost.key -N CN=dummyhost.example.com -D \
dummyhost.example.com -K HTTP/dummyhost.example.com

Voor autologin op de site:
ipa-getkeytab -s ipa05.a-eskwadraat.nl -p HTTP/*hostname*.a-eskwadraat.nl -k /var/www/website-ipa.keytab
</pre>

=== Overige tsjak ter installatie ===

<pre>yum install git sudo vim wget</pre>

=== De website opzetten ===

Heb je alles geïnstalleerd, dan ben je klaar voor de laatste fase.

Vertel de scripts dat dit een host is: <code>vim /etc/function</code> en stop daarin <code>server</code>.

Ga naar de checkout van de website, kopieer handmatig de secret.php en doe daarin manage build. (Dit moet na de php-instellingen gebeuren want manage voert php uit.)

Pas de httpd-configuratie aan om de juiste paden in te stellen:
<pre>
cp config/vm-www/httpd/conf.d/website.conf /etc/httpd/conf.d/
ln -s /etc/httpd config/vm-www2/httpd
vim config/vm-www2/httpd/conf.d/website.conf
</pre>

Nu kun je de webserver aanzwengelen :D <code>systemctl restart httpd<code> <code>systemctl restart php-fpm</code>

Je moet waarschijnlijk nog wat chmod'en en paden aanmaken, zie daarvoor de logs in <code>/var/log/httpd/error_log</code> en <code>/var/log/php-fpm/error.log</code> en <code>/var/log/www/php-warnings.log</code> (in volgorde van dingen werkend krijgen).

[[Category:Sysop]] [[Category:WebCie]]

Webcie-vm

2018-10-04T08:51:36Z

Albertp: /* Mail werkend krijgen */ postfix config afmaken

Zie ook: [[Webcie-vms]] (!)

== Nieuwe vm-webcie-debug aanmaken ==

Maak een nieuwe vm vm-webcie-debug aan. Kickstart de vm en highstate de vm met salt. Installeer mariadb met het volgende commando:
<pre>/usr/bin/mysql_secure_installation</pre>

Zet het rootwachtwoord en disalow root login remotely. Let op: de rootwachtwoorden van de databases van de vm-webcie/www en vm-webcie/www-debug moeten hetzelfde zijn!

Maak in de home van de root het bestandje .my.cnf aan (zet de rechten op 0600!) met de volgende content:
<pre>[client]
user = root
pass = root-database-wachtwoord</pre>

Maak ook de juiste databases aan (bv test_whoswho4, test_benamite of boeken. Denk eraan dat op een vm-webcie/www-machine er zowel de normal db als test_db moeten zijn). Kopieër nu de databases. Vergeet ook niet de mysql-database te kopieëren, daar staan de rechten van de verschillende gebruikers in. Maak eerst een dump op de oude vm:
<pre>mysqldump 'dbnaam' > 'dbnaam'.db</pre>

Kopieër het dumpbestand naar de nieuwe vm en laad de dump in op de nieuwe vm:
<pre>mysql 'dbnaam' < 'dbnaam'.db</pre>

== Opzetten vm-www2 ==

Deze instructies zijn bedoeld voor de WebCie. We gaan ervan uit dat je het WebCie-wachtwoord uit je hoofd kent.

Vraag de Sysop om een nieuwe vm (ik bedoel uiteraard container ;)) met subdomein (in dit geval: vm-www2.a-eskwadraat.nl) en dezelfde mounts als de originele vm. Zorg ervoor dat sendmail vanaf de nieuwe vm werkt. Verkrijg roottoegang op de vm-www2.

In het begin heeft yum nog een update voor repositorygegevens nodig: doe <code>yum clean all</code> voordat je een ander yum-commando draait.

=== Mariadb en replicatie ===

Installeer mariadb als op de vm-www-debug: <code>yum install mariadb mariadb-server</code> (let op: ivm backwards incompatibility willen we versie 5.5 voorlopig), <code>systemctl enable mariadb</code>, <code>systemctl start mariadb</code> en dan <code>/usr/bin/mysql_secure_installation</code>. Check even of inloggen nog werkt: <code>mysql -u root -p</code>. Check ook dat je verbinding kan maken met mysql op de originele host vanaf de nieuwe host: <code>mysql -h vm-www -u root -p</code>.

Nu gaan we [https://mariadb.com/kb/en/library/replication-overview/ replicatie] opzetten (master-master). We moeten hiervoor een random wachtwoord genereren, bewaar die goed! Open in een nieuwe terminal op de originele host, en pas de <code>my.cnf</code> aan:
<pre>
[mysqld]
server-id=1
log-bin
</pre>
Herstart mysqld/mariadb om de wijzigingen toe te passen. Log in als root op mysql en geef permissies: <code>grant replication slave on *.* to repli@'vm-www2.a-eskwadraat.nl' identified by 'replipassword'; flush privileges;</code>. Zet de tabellen op slot terwijl we de rest doen: <code>flush tables with read lock;</code>. Ten slotte moeten we wat gegevens bekomen: <code> show master status\G</code>. Log niet uit tot we klaar zijn, dan gaan de tabellen weer van het slot af.

In de andere terminal op <code>vm-www2</code> gaan we ook de <code>my.cnf</code> aanpassen (ik heb de wijzigingen in <code>/etc/my.cnf.d/webcie.cnf</code> gezet):
<pre>
[mysqld]

server-id=2
</pre>
Herstart mariadb om de wijzigingen toe te passen. We moeten ook de volledige(!!!) [https://stackoverflow.com/questions/1078196/how-to-take-complete-backup-of-mysql-database-using-mysqldump-command-line-utili#27400627 databaasinhoud overzetten]. (Dit is een van de redenen dat je een read lock hebt.) Doe een mysqldump van de gehele database inclusief tabellen, permissies en inhoud en pas die toe op de nieuwe db.

Log in op de nieuwe db met <code>mysql -u root -p</code> en stel replicatie in:
<pre>
CHANGE MASTER TO
MASTER_HOST='master.domain.com',
MASTER_USER='replication_user',
MASTER_PASSWORD='bigs3cret',
MASTER_PORT=3306,
MASTER_LOG_FILE='mariadb-bin.000096',
MASTER_LOG_POS=568,
MASTER_CONNECT_RETRY=10;
</pre>
(De juiste waarden haal je uit de uitvoer van <code> show master status\G</code> op de originele host.) Vervolgens <code>START SLAVE; SHOW SLAVE STATUS \G</code>.

Als de uitvoer een beetje sense maakt, dan heb je succesvol een master-slave replicatie van de oude naar de nieuwe host opgezet. Doe <code>UNLOCK TABLES;</code> op de originele host en probeer wat aan te passen. Dit zou op de nieuwe host terecht moeten komen.

Als een error bij de slave gebeurd is die niet op master voorkwam, gaat die blokkeren tot je het fixt. Wat je kan doen als het echt helemaal in de soep loopt, is opnieuw alles op slot gooien, een dbdump overnemen van master naar slave. Doe weer <code> show master status\G</code> en unlock de master. Vervolgens doe je op de slave <code>change master to MASTER_LOG_POS=37071; START SLAVE;</code> en dan zou die automatisch alles wat sinds de backup is gebeurd, weer naar binnen gaan slurpen.

Nu gaan we de replicatie de andere kant op sturen. Dit is in principe het precies omgekeerde van wat we hiervoor deden. Pas op vm-www2 de <code>my.cnf</code> aan:
<pre>
[mysqld]
server-id=2
log-bin
</pre>
en herstart mariadb. Voeg de repli-user toe op de vm-www2: <code>grant replication slave on *.* to repli@'vm-www.a-eskwadraat.nl' identified by 'replipassword'; flush privileges;</code>. Doe op allebei de hosts een table lock, doe op de nieuwe host <code>show master status\G</code> en op de originele host de replicatie-instellingen:
<pre>
CHANGE MASTER TO
MASTER_HOST='master.domain.com',
MASTER_USER='replication_user',
MASTER_PASSWORD='bigs3cret',
MASTER_PORT=3306,
MASTER_LOG_FILE='mariadb-bin.000096',
MASTER_LOG_POS=568,
MASTER_CONNECT_RETRY=10;
</pre>
En nu kun je op de originele host <code>start slave;</code> runnen, en je hebt een master-masterreplicatie :D

=== Installeer Apache, PHP en PHP-FPM ===

Doe <code>yum install httpd</code> voor Apache.
Voor een niet verschrikkelijk antieke PHP moet je extra dingen installeren (zie ook [https://rpms.remirepo.net/wizard/]:
<pre>
yum install epel-release
yum install http://rpms.remirepo.net/enterprise/remi-release-7.rpm
yum install yum-utils
yum-config-manager --enable remi-php56 # of php72 of andere versie
yum install php php-fpm
</pre>

Installeer ook alle [[PHP-extensies]] die nodig zijn. (Zie die pagina voor de lijst.)

Overige dependencies:
<pre>
yum install gettext java npm python36 python36-virtualenv
npm install -g bower
</pre>

Nu moeten we PHP-instellingen regelen. Maak een checkout van de website, en doe daarin:
<pre>
mkdir config/vm-www2
ln -s /etc/php.ini config/vm-www2/
vim config/vm-www2/php.ini # Pas hier alle relevante config van de vm-www toe.
</pre>

=== Mail werkend krijgen ===

De website gebruikt sendmail-commando's om te mailen. Normaal stuurt sendmail de mails direct het web op, maar we willen dat deze door de vm-mailpp heen gestuurd wordt zodat de berichten juist zijn ondertekend en door spamfilters heen komen. Hiervoor gebruiken we het sendmail-commando dat uit postfix komt. Installeer postfix met:
<pre>yum install postfix</pre>

De configuratie van postfix ongeveer dezelfde als op alle CentOS7 machines en is te vinden op de vm-salt-master in <code>/srv/salt/centos7/global/main.cf</code>. Je moet de volgende parameters aanpassen zodat mail naar buiten mag:
<pre>mydomain = a-eskwadraat.nl</pre>

Om mailings te configureren, voeg de volgende parameters toe aan <code>main.cf</code>:
<pre>
inet_interfaces = all
relay_domains = a-eskwadraat.nl
smtpd_recipient_restrictions = check_recipient_access regexp:/etc/postfix/access, reject_unauth_destination</pre>
En voeg de volgende regels toe aan <code>/etc/postfix/master.cf</code>:
<pre>
bughook unix - n n - - pipe
flags=F user=webcie argv=/website/scripts/mail_process_bug_vm-www ${sender} ${size} ${recipient}
lidhook unix - n n - - pipe
flags=F user=webcie argv=/website/scripts/mail_process_lid ${sender} ${size} ${recipient}
bouncehook unix - n n - - pipe
flags=F user=webcie argv=/website/scripts/mail_process_bounce ${sender} ${size} ${recipient}
mailinghook unix - n n - - pipe
flags=F user=webcie argv=/website/scripts/mail_process_incoming_mailing.php ${sender} ${size} $$
</pre>
En plaats de volgende regels in <code>/etc/postfix/access</code>:
<pre>
/^lid-[0-9]+@a-es((kwadraat)|(2))\.nl$/ FILTER lidhook:
/^bug(([0-9]+)|(s))@a-es((kwadraat)|(2))\.nl$/ FILTER bughook:
/^bounce-[0-9]+@a-es((kwadraat)|(2))\.nl$/ FILTER bouncehook:
/^((.*-)|)mailing((s)|)@a-es((kwadraat)|(2))\.nl$/ FILTER mailinghook:
</pre>

Stel nu in dat het sendmail-commando uit postfix gebruikt wordt in plaats van de standaard sendmail:
<pre>update-alternatives --config mta</pre>
En start dan de postfix service met <code>service postfix start</code>.

Zo worden de mails doorgestuurd naar de juiste scriptjes van de WebCie. Zie [[Mail sturen naar de site]]

=== IPA ===
yum install ipa-client

Het volgende moet de sysop regelen:
<pre>
ipa-client-install
ipa host-add dummyhost.example.com --desc="Dummy Host" --location="<fqdn-of-webserver>"
ipa host-add-managedby dummyhost.example.com --hosts="<fqdn-of-webserver>"
ipa service-add HTTP/dummyhost.example.com
ipa service-add-host HTTP/dummyhost.example.com --hosts="<fqdn-of-webserver>"

Ga naar de ipa webinterface
Ga naar de tab hosts
Ga naar de juiste host
klik op actions -> add New certificate

Voer nu de volgende commands uit in de commandline:
mkdir /etc/nssdb
cd /etc/nssdb
certutil -N -d .

mkdir /etc/httpd/certs
ipa-getcert request -r -f /etc/httpd/certs/dummyhost.crt -k /etc/httpd/certs/dummyhost.key -N CN=dummyhost.example.com -D \
dummyhost.example.com -K HTTP/dummyhost.example.com
ipa-getkeytab -s ipa05.a-eskwadraat.nl -p HTTP/*hostname*.a-eskwadraat.nl -k /etc/httpd/conf/httpd.keytab #nog testen of nodig is
</pre>

=== Overige tsjak ter installatie ===

<pre>yum install git sudo vim wget</pre>

=== De website opzetten ===

Heb je alles geïnstalleerd, dan ben je klaar voor de laatste fase.

Vertel de scripts dat dit een host is: <code>vim /etc/function</code> en stop daarin <code>server</code>.

Ga naar de checkout van de website, kopieer handmatig de secret.php en doe daarin manage build. (Dit moet na de php-instellingen gebeuren want manage voert php uit.)

Pas de httpd-configuratie aan om de juiste paden in te stellen:
<pre>
cp config/vm-www/httpd/conf.d/website.conf /etc/httpd/conf.d/
ln -s /etc/httpd config/vm-www2/httpd
vim config/vm-www2/httpd/conf.d/website.conf
</pre>

Nu kun je de webserver aanzwengelen :D <code>systemctl restart httpd<code> <code>systemctl restart php-fpm</code>

Je moet waarschijnlijk nog wat chmod'en en paden aanmaken, zie daarvoor de logs in <code>/var/log/httpd/error_log</code> en <code>/var/log/php-fpm/error.log</code> en <code>/var/log/www/php-warnings.log</code> (in volgorde van dingen werkend krijgen).

[[Category:Sysop]] [[Category:WebCie]]

Webcie-vm

2018-09-27T09:32:05Z

Albertp: /* Mail werkend krijgen */ -de

Zie ook: [[Webcie-vms]] (!)

== Nieuwe vm-webcie-debug aanmaken ==

Maak een nieuwe vm vm-webcie-debug aan. Kickstart de vm en highstate de vm met salt. Installeer mariadb met het volgende commando:
<pre>/usr/bin/mysql_secure_installation</pre>

Zet het rootwachtwoord en disalow root login remotely. Let op: de rootwachtwoorden van de databases van de vm-webcie/www en vm-webcie/www-debug moeten hetzelfde zijn!

Maak in de home van de root het bestandje .my.cnf aan (zet de rechten op 0600!) met de volgende content:
<pre>[client]
user = root
pass = root-database-wachtwoord</pre>

Maak ook de juiste databases aan (bv test_whoswho4, test_benamite of boeken. Denk eraan dat op een vm-webcie/www-machine er zowel de normal db als test_db moeten zijn). Kopieër nu de databases. Vergeet ook niet de mysql-database te kopieëren, daar staan de rechten van de verschillende gebruikers in. Maak eerst een dump op de oude vm:
<pre>mysqldump 'dbnaam' > 'dbnaam'.db</pre>

Kopieër het dumpbestand naar de nieuwe vm en laad de dump in op de nieuwe vm:
<pre>mysql 'dbnaam' < 'dbnaam'.db</pre>

== Opzetten vm-www2 ==

Deze instructies zijn bedoeld voor de WebCie. We gaan ervan uit dat je het WebCie-wachtwoord uit je hoofd kent.

Vraag de Sysop om een nieuwe vm (ik bedoel uiteraard container ;)) met subdomein (in dit geval: vm-www2.a-eskwadraat.nl) en dezelfde mounts als de originele vm. Zorg ervoor dat sendmail vanaf de nieuwe vm werkt. Verkrijg roottoegang op de vm-www2.

In het begin heeft yum nog een update voor repositorygegevens nodig: doe <code>yum clean all</code> voordat je een ander yum-commando draait.

=== Mariadb en replicatie ===

Installeer mariadb als op de vm-www-debug: <code>yum install mariadb mariadb-server</code> (let op: ivm backwards incompatibility willen we versie 5.5 voorlopig), <code>systemctl enable mariadb</code>, <code>systemctl start mariadb</code> en dan <code>/usr/bin/mysql_secure_installation</code>. Check even of inloggen nog werkt: <code>mysql -u root -p</code>. Check ook dat je verbinding kan maken met mysql op de originele host vanaf de nieuwe host: <code>mysql -h vm-www -u root -p</code>.

Nu gaan we [https://mariadb.com/kb/en/library/replication-overview/ replicatie] opzetten (master-master). We moeten hiervoor een random wachtwoord genereren, bewaar die goed! Open in een nieuwe terminal op de originele host, en pas de <code>my.cnf</code> aan:
<pre>
[mysqld]
server-id=1
log-bin
</pre>
Herstart mysqld/mariadb om de wijzigingen toe te passen. Log in als root op mysql en geef permissies: <code>grant replication slave on *.* to repli@'vm-www2.a-eskwadraat.nl' identified by 'replipassword'; flush privileges;</code>. Zet de tabellen op slot terwijl we de rest doen: <code>flush tables with read lock;</code>. Ten slotte moeten we wat gegevens bekomen: <code> show master status\G</code>. Log niet uit tot we klaar zijn, dan gaan de tabellen weer van het slot af.

In de andere terminal op <code>vm-www2</code> gaan we ook de <code>my.cnf</code> aanpassen (ik heb de wijzigingen in <code>/etc/my.cnf.d/webcie.cnf</code> gezet):
<pre>
[mysqld]

server-id=2
</pre>
Herstart mariadb om de wijzigingen toe te passen. We moeten ook de volledige(!!!) [https://stackoverflow.com/questions/1078196/how-to-take-complete-backup-of-mysql-database-using-mysqldump-command-line-utili#27400627 databaasinhoud overzetten]. (Dit is een van de redenen dat je een read lock hebt.) Doe een mysqldump van de gehele database inclusief tabellen, permissies en inhoud en pas die toe op de nieuwe db.

Log in op de nieuwe db met <code>mysql -u root -p</code> en stel replicatie in:
<pre>
CHANGE MASTER TO
MASTER_HOST='master.domain.com',
MASTER_USER='replication_user',
MASTER_PASSWORD='bigs3cret',
MASTER_PORT=3306,
MASTER_LOG_FILE='mariadb-bin.000096',
MASTER_LOG_POS=568,
MASTER_CONNECT_RETRY=10;
</pre>
(De juiste waarden haal je uit de uitvoer van <code> show master status\G</code> op de originele host.) Vervolgens <code>START SLAVE; SHOW SLAVE STATUS \G</code>.

Als de uitvoer een beetje sense maakt, dan heb je succesvol een master-slave replicatie van de oude naar de nieuwe host opgezet. Doe <code>UNLOCK TABLES;</code> op de originele host en probeer wat aan te passen. Dit zou op de nieuwe host terecht moeten komen.

Als een error bij de slave gebeurd is die niet op master voorkwam, gaat die blokkeren tot je het fixt. Wat je kan doen als het echt helemaal in de soep loopt, is opnieuw alles op slot gooien, een dbdump overnemen van master naar slave. Doe weer <code> show master status\G</code> en unlock de master. Vervolgens doe je op de slave <code>change master to MASTER_LOG_POS=37071; START SLAVE;</code> en dan zou die automatisch alles wat sinds de backup is gebeurd, weer naar binnen gaan slurpen.

Nu gaan we de replicatie de andere kant op sturen. Dit is in principe het precies omgekeerde van wat we hiervoor deden. Pas op vm-www2 de <code>my.cnf</code> aan:
<pre>
[mysqld]
server-id=2
log-bin
</pre>
en herstart mariadb. Voeg de repli-user toe op de vm-www2: <code>grant replication slave on *.* to repli@'vm-www.a-eskwadraat.nl' identified by 'replipassword'; flush privileges;</code>. Doe op allebei de hosts een table lock, doe op de nieuwe host <code>show master status\G</code> en op de originele host de replicatie-instellingen:
<pre>
CHANGE MASTER TO
MASTER_HOST='master.domain.com',
MASTER_USER='replication_user',
MASTER_PASSWORD='bigs3cret',
MASTER_PORT=3306,
MASTER_LOG_FILE='mariadb-bin.000096',
MASTER_LOG_POS=568,
MASTER_CONNECT_RETRY=10;
</pre>
En nu kun je op de originele host <code>start slave;</code> runnen, en je hebt een master-masterreplicatie :D

=== Installeer Apache, PHP en PHP-FPM ===

Doe <code>yum install httpd</code> voor Apache.
Voor een niet verschrikkelijk antieke PHP moet je extra dingen installeren (zie ook [https://rpms.remirepo.net/wizard/]:
<pre>
yum install epel-release
yum install http://rpms.remirepo.net/enterprise/remi-release-7.rpm
yum install yum-utils
yum-config-manager --enable remi-php56 # of php72 of andere versie
yum install php php-fpm
</pre>

Installeer ook alle [[PHP-extensies]] die nodig zijn. (Zie die pagina voor de lijst.)

Overige dependencies:
<pre>
yum install gettext java npm python36 python36-virtualenv
npm install -g bower
</pre>

Nu moeten we PHP-instellingen regelen. Maak een checkout van de website, en doe daarin:
<pre>
mkdir config/vm-www2
ln -s /etc/php.ini config/vm-www2/
vim config/vm-www2/php.ini # Pas hier alle relevante config van de vm-www toe.
</pre>

=== Mail werkend krijgen ===

De website gebruikt sendmail-commando's om te mailen. Normaal stuurt sendmail de mails direct het web op, maar we willen dat deze door de vm-mailpp heen gestuurd wordt zodat de berichten juist zijn ondertekend en door spamfilters heen komen. Hiervoor gebruiken we het sendmail-commando dat uit postfix komt. Installeer postfix met:
<pre>yum install postfix</pre>

De configuratie van postfix ongeveer dezelfde als op alle CentOS7 machines en is te vinden op de vm-salt-master in <code>/srv/salt/centos7/global/main.cf</code>. Je moet alleen even de <code>mydomain</code> parameter aanpassen zodat Apache kan mailen:
<pre>mydomain = a-eskwadraat.nl</pre>
Nadat je die configuratie op de webserver in de map <code>/etc/postfix</code> hebt geplaatst, start je de postfix service (of reload als die al gestart was). (In de andere configuratiebestanden, zoals master.cf, kun je de standaardinstellingen laten staan.)

Stel nu in dat het sendmail-commando uit postfix gebruikt wordt in plaats van de standaard sendmail:
<pre>update-alternatives --config mta</pre>

=== IPA ===
yum install ipa-client

Het volgende moet de sysop regelen:
<pre>
ipa-client-install
ipa-getkeytab -s ipa05.a-eskwadraat.nl -p HTTP/*hostname*.a-eskwadraat.nl -k /etc/httpd/conf/httpd.keytab
ipa host-add dummyhost.example.com --desc="Dummy Host" --location="<fqdn-of-webserver>"
ipa host-add-managedby dummyhost.example.com --hosts="<fqdn-of-webserver>"
ipa service-add HTTP/dummyhost.example.com
ipa service-add-host HTTP/dummyhost.example.com --hosts="<fqdn-of-webserver>"
ipa-getcert request -r -f /etc/httpd/certs/dummyhost.crt -k /etc/httpd/certs/dummyhost.key -N CN=dummyhost.example.com -D \
dummyhost.example.com -K HTTP/dummyhost.example.com
</pre>

=== Overige tsjak ter installatie ===

<pre>yum install git sudo vim wget</pre>

=== De website opzetten ===

Heb je alles geïnstalleerd, dan ben je klaar voor de laatste fase.

Vertel de scripts dat dit een host is: <code>vim /etc/function</code> en stop daarin <code>server</code>.

Ga naar de checkout van de website, kopieer handmatig de secret.php en doe daarin manage build. (Dit moet na de php-instellingen gebeuren want manage voert php uit.)

Pas de httpd-configuratie aan om de juiste paden in te stellen:
<pre>
cp config/vm-www/httpd/conf.d/website.conf /etc/httpd/conf.d/
ln -s /etc/httpd config/vm-www2/httpd
vim config/vm-www2/httpd/conf.d/website.conf
</pre>

Nu kun je de webserver aanzwengelen :D <code>systemctl restart httpd<code> <code>systemctl restart php-fpm</code>

Je moet waarschijnlijk nog wat chmod'en en paden aanmaken, zie daarvoor de logs in <code>/var/log/httpd/error_log</code> en <code>/var/log/php-fpm/error.log</code> en <code>/var/log/www/php-warnings.log</code> (in volgorde van dingen werkend krijgen).

[[Category:Sysop]] [[Category:WebCie]]

Webcie-vm

2018-09-27T09:31:45Z

Albertp: /* Mail werkend krijgen */ domein instellen

Zie ook: [[Webcie-vms]] (!)

== Nieuwe vm-webcie-debug aanmaken ==

Maak een nieuwe vm vm-webcie-debug aan. Kickstart de vm en highstate de vm met salt. Installeer mariadb met het volgende commando:
<pre>/usr/bin/mysql_secure_installation</pre>

Zet het rootwachtwoord en disalow root login remotely. Let op: de rootwachtwoorden van de databases van de vm-webcie/www en vm-webcie/www-debug moeten hetzelfde zijn!

Maak in de home van de root het bestandje .my.cnf aan (zet de rechten op 0600!) met de volgende content:
<pre>[client]
user = root
pass = root-database-wachtwoord</pre>

Maak ook de juiste databases aan (bv test_whoswho4, test_benamite of boeken. Denk eraan dat op een vm-webcie/www-machine er zowel de normal db als test_db moeten zijn). Kopieër nu de databases. Vergeet ook niet de mysql-database te kopieëren, daar staan de rechten van de verschillende gebruikers in. Maak eerst een dump op de oude vm:
<pre>mysqldump 'dbnaam' > 'dbnaam'.db</pre>

Kopieër het dumpbestand naar de nieuwe vm en laad de dump in op de nieuwe vm:
<pre>mysql 'dbnaam' < 'dbnaam'.db</pre>

== Opzetten vm-www2 ==

Deze instructies zijn bedoeld voor de WebCie. We gaan ervan uit dat je het WebCie-wachtwoord uit je hoofd kent.

Vraag de Sysop om een nieuwe vm (ik bedoel uiteraard container ;)) met subdomein (in dit geval: vm-www2.a-eskwadraat.nl) en dezelfde mounts als de originele vm. Zorg ervoor dat sendmail vanaf de nieuwe vm werkt. Verkrijg roottoegang op de vm-www2.

In het begin heeft yum nog een update voor repositorygegevens nodig: doe <code>yum clean all</code> voordat je een ander yum-commando draait.

=== Mariadb en replicatie ===

Installeer mariadb als op de vm-www-debug: <code>yum install mariadb mariadb-server</code> (let op: ivm backwards incompatibility willen we versie 5.5 voorlopig), <code>systemctl enable mariadb</code>, <code>systemctl start mariadb</code> en dan <code>/usr/bin/mysql_secure_installation</code>. Check even of inloggen nog werkt: <code>mysql -u root -p</code>. Check ook dat je verbinding kan maken met mysql op de originele host vanaf de nieuwe host: <code>mysql -h vm-www -u root -p</code>.

Nu gaan we [https://mariadb.com/kb/en/library/replication-overview/ replicatie] opzetten (master-master). We moeten hiervoor een random wachtwoord genereren, bewaar die goed! Open in een nieuwe terminal op de originele host, en pas de <code>my.cnf</code> aan:
<pre>
[mysqld]
server-id=1
log-bin
</pre>
Herstart mysqld/mariadb om de wijzigingen toe te passen. Log in als root op mysql en geef permissies: <code>grant replication slave on *.* to repli@'vm-www2.a-eskwadraat.nl' identified by 'replipassword'; flush privileges;</code>. Zet de tabellen op slot terwijl we de rest doen: <code>flush tables with read lock;</code>. Ten slotte moeten we wat gegevens bekomen: <code> show master status\G</code>. Log niet uit tot we klaar zijn, dan gaan de tabellen weer van het slot af.

In de andere terminal op <code>vm-www2</code> gaan we ook de <code>my.cnf</code> aanpassen (ik heb de wijzigingen in <code>/etc/my.cnf.d/webcie.cnf</code> gezet):
<pre>
[mysqld]

server-id=2
</pre>
Herstart mariadb om de wijzigingen toe te passen. We moeten ook de volledige(!!!) [https://stackoverflow.com/questions/1078196/how-to-take-complete-backup-of-mysql-database-using-mysqldump-command-line-utili#27400627 databaasinhoud overzetten]. (Dit is een van de redenen dat je een read lock hebt.) Doe een mysqldump van de gehele database inclusief tabellen, permissies en inhoud en pas die toe op de nieuwe db.

Log in op de nieuwe db met <code>mysql -u root -p</code> en stel replicatie in:
<pre>
CHANGE MASTER TO
MASTER_HOST='master.domain.com',
MASTER_USER='replication_user',
MASTER_PASSWORD='bigs3cret',
MASTER_PORT=3306,
MASTER_LOG_FILE='mariadb-bin.000096',
MASTER_LOG_POS=568,
MASTER_CONNECT_RETRY=10;
</pre>
(De juiste waarden haal je uit de uitvoer van <code> show master status\G</code> op de originele host.) Vervolgens <code>START SLAVE; SHOW SLAVE STATUS \G</code>.

Als de uitvoer een beetje sense maakt, dan heb je succesvol een master-slave replicatie van de oude naar de nieuwe host opgezet. Doe <code>UNLOCK TABLES;</code> op de originele host en probeer wat aan te passen. Dit zou op de nieuwe host terecht moeten komen.

Als een error bij de slave gebeurd is die niet op master voorkwam, gaat die blokkeren tot je het fixt. Wat je kan doen als het echt helemaal in de soep loopt, is opnieuw alles op slot gooien, een dbdump overnemen van master naar slave. Doe weer <code> show master status\G</code> en unlock de master. Vervolgens doe je op de slave <code>change master to MASTER_LOG_POS=37071; START SLAVE;</code> en dan zou die automatisch alles wat sinds de backup is gebeurd, weer naar binnen gaan slurpen.

Nu gaan we de replicatie de andere kant op sturen. Dit is in principe het precies omgekeerde van wat we hiervoor deden. Pas op vm-www2 de <code>my.cnf</code> aan:
<pre>
[mysqld]
server-id=2
log-bin
</pre>
en herstart mariadb. Voeg de repli-user toe op de vm-www2: <code>grant replication slave on *.* to repli@'vm-www.a-eskwadraat.nl' identified by 'replipassword'; flush privileges;</code>. Doe op allebei de hosts een table lock, doe op de nieuwe host <code>show master status\G</code> en op de originele host de replicatie-instellingen:
<pre>
CHANGE MASTER TO
MASTER_HOST='master.domain.com',
MASTER_USER='replication_user',
MASTER_PASSWORD='bigs3cret',
MASTER_PORT=3306,
MASTER_LOG_FILE='mariadb-bin.000096',
MASTER_LOG_POS=568,
MASTER_CONNECT_RETRY=10;
</pre>
En nu kun je op de originele host <code>start slave;</code> runnen, en je hebt een master-masterreplicatie :D

=== Installeer Apache, PHP en PHP-FPM ===

Doe <code>yum install httpd</code> voor Apache.
Voor een niet verschrikkelijk antieke PHP moet je extra dingen installeren (zie ook [https://rpms.remirepo.net/wizard/]:
<pre>
yum install epel-release
yum install http://rpms.remirepo.net/enterprise/remi-release-7.rpm
yum install yum-utils
yum-config-manager --enable remi-php56 # of php72 of andere versie
yum install php php-fpm
</pre>

Installeer ook alle [[PHP-extensies]] die nodig zijn. (Zie die pagina voor de lijst.)

Overige dependencies:
<pre>
yum install gettext java npm python36 python36-virtualenv
npm install -g bower
</pre>

Nu moeten we PHP-instellingen regelen. Maak een checkout van de website, en doe daarin:
<pre>
mkdir config/vm-www2
ln -s /etc/php.ini config/vm-www2/
vim config/vm-www2/php.ini # Pas hier alle relevante config van de vm-www toe.
</pre>

=== Mail werkend krijgen ===

De website gebruikt sendmail-commando's om te mailen. Normaal stuurt sendmail de mails direct het web op, maar we willen dat deze door de vm-mailpp heen gestuurd wordt zodat de berichten juist zijn ondertekend en door spamfilters heen komen. Hiervoor gebruiken we het sendmail-commando dat uit postfix komt. Installeer postfix met:
<pre>yum install postfix</pre>

De configuratie van postfix ongeveer dezelfde als op alle CentOS7 machines en is te vinden op de vm-salt-master in <code>/srv/salt/centos7/global/main.cf</code>. Je moet alleen even de <code>mydomain</code> parameter aanpassen zodat de Apache kan mailen:
<pre>mydomain = a-eskwadraat.nl</pre>
Nadat je die configuratie op de webserver in de map <code>/etc/postfix</code> hebt geplaatst, start je de postfix service (of reload als die al gestart was). (In de andere configuratiebestanden, zoals master.cf, kun je de standaardinstellingen laten staan.)

Stel nu in dat het sendmail-commando uit postfix gebruikt wordt in plaats van de standaard sendmail:
<pre>update-alternatives --config mta</pre>

=== IPA ===
yum install ipa-client

Het volgende moet de sysop regelen:
<pre>
ipa-client-install
ipa-getkeytab -s ipa05.a-eskwadraat.nl -p HTTP/*hostname*.a-eskwadraat.nl -k /etc/httpd/conf/httpd.keytab
ipa host-add dummyhost.example.com --desc="Dummy Host" --location="<fqdn-of-webserver>"
ipa host-add-managedby dummyhost.example.com --hosts="<fqdn-of-webserver>"
ipa service-add HTTP/dummyhost.example.com
ipa service-add-host HTTP/dummyhost.example.com --hosts="<fqdn-of-webserver>"
ipa-getcert request -r -f /etc/httpd/certs/dummyhost.crt -k /etc/httpd/certs/dummyhost.key -N CN=dummyhost.example.com -D \
dummyhost.example.com -K HTTP/dummyhost.example.com
</pre>

=== Overige tsjak ter installatie ===

<pre>yum install git sudo vim wget</pre>

=== De website opzetten ===

Heb je alles geïnstalleerd, dan ben je klaar voor de laatste fase.

Vertel de scripts dat dit een host is: <code>vim /etc/function</code> en stop daarin <code>server</code>.

Ga naar de checkout van de website, kopieer handmatig de secret.php en doe daarin manage build. (Dit moet na de php-instellingen gebeuren want manage voert php uit.)

Pas de httpd-configuratie aan om de juiste paden in te stellen:
<pre>
cp config/vm-www/httpd/conf.d/website.conf /etc/httpd/conf.d/
ln -s /etc/httpd config/vm-www2/httpd
vim config/vm-www2/httpd/conf.d/website.conf
</pre>

Nu kun je de webserver aanzwengelen :D <code>systemctl restart httpd<code> <code>systemctl restart php-fpm</code>

Je moet waarschijnlijk nog wat chmod'en en paden aanmaken, zie daarvoor de logs in <code>/var/log/httpd/error_log</code> en <code>/var/log/php-fpm/error.log</code> en <code>/var/log/www/php-warnings.log</code> (in volgorde van dingen werkend krijgen).

[[Category:Sysop]] [[Category:WebCie]]

Stephen

2018-09-24T19:41:51Z

Albertp: typo

Stephen is de server van A-Eskwadraat. De server is vernoemd naar [https://nl.wikipedia.org/wiki/Stephen_Hawking Stephen Hawking] en tot leven gekomen op 28 augustus 2018.

== Hardware ==
<code></code>

== NFS mounten ==

NFS mounten op een unprivileged container is op het moment van schrijven niet mogelijk.

Installeer nfs-utils op de host (al gebeurd).

We mounten daarom de benodigde filessystems via NFS op de host:

<pre>
haskell:/srv/home /srv/home nfs rw,_netdev 0 0 #mount /srv/home/mensjes from haskell
haskell:/srv/www/srv /srv/www/srv nfs vers=3,rw,noatime 0 0 #mount /srv/www/srv from haskell
haskell:/srv/www/archief /srv/www/archief nfs vers=3,rw,noatime 0 0
haskell:/srv/scratch /srv/scratch nfs vers=3,rw,noatime 0 0
</pre>

Vervolgens kunnen de filesystems mounten in een container. Door de volgende het volgende toe te voegen aan <code>/etc/pve/lxc/<id>.conf</code>:

<pre>
lxc.mount.entry: /srv/home/mensjes home/mensjes none bind 0 0
lxc.mount.entry: /srv/home/cies home/cies none bind 0 0
lxc.mount.entry: /srv/www/srv srv none bind 0 0
lxc.mount.entry: /srv/www/archief /archief
lxc.mount.entry: /srv/scratch /scratch
</pre>

[[Category:Sysop]]

Webcie-vm

2018-09-20T17:57:23Z

Albertp: /* Opzetten vm-www2 */ De mail!

Zie ook: [[Webcie-vms]] (!)

== Nieuwe vm-webcie-debug aanmaken ==

Maak een nieuwe vm vm-webcie-debug aan. Kickstart de vm en highstate de vm met salt. Installeer mariadb met het volgende commando:
<pre>/usr/bin/mysql_secure_installation</pre>

Zet het rootwachtwoord en disalow root login remotely. Let op: de rootwachtwoorden van de databases van de vm-webcie/www en vm-webcie/www-debug moeten hetzelfde zijn!

Maak in de home van de root het bestandje .my.cnf aan (zet de rechten op 0600!) met de volgende content:
<pre>[client]
user = root
pass = root-database-wachtwoord</pre>

Maak ook de juiste databases aan (bv test_whoswho4, test_benamite of boeken. Denk eraan dat op een vm-webcie/www-machine er zowel de normal db als test_db moeten zijn). Kopieër nu de databases. Vergeet ook niet de mysql-database te kopieëren, daar staan de rechten van de verschillende gebruikers in. Maak eerst een dump op de oude vm:
<pre>mysqldump 'dbnaam' > 'dbnaam'.db</pre>

Kopieër het dumpbestand naar de nieuwe vm en laad de dump in op de nieuwe vm:
<pre>mysql 'dbnaam' < 'dbnaam'.db</pre>

== Opzetten vm-www2 ==

Deze instructies zijn bedoeld voor de WebCie. We gaan ervan uit dat je het WebCie-wachtwoord uit je hoofd kent.

Vraag de Sysop om een nieuwe vm (ik bedoel uiteraard container ;)) met subdomein (in dit geval: vm-www2.a-eskwadraat.nl) en dezelfde mounts als de originele vm. Zorg ervoor dat sendmail vanaf de nieuwe vm werkt. Verkrijg roottoegang op de vm-www2.

In het begin heeft yum nog een update voor repositorygegevens nodig: doe <code>yum clean all</code> voordat je een ander yum-commando draait.

=== Mariadb en replicatie ===

Installeer mariadb als op de vm-www-debug: <code>yum install mariadb mariadb-server</code> (let op: ivm backwards incompatibility willen we versie 5.5 voorlopig), <code>systemctl enable mariadb</code>, <code>systemctl start mariadb</code> en dan <code>/usr/bin/mysql_secure_installation</code>. Check even of inloggen nog werkt: <code>mysql -u root -p</code>. Check ook dat je verbinding kan maken met mysql op de originele host vanaf de nieuwe host: <code>mysql -h vm-www -u root -p</code>.

Nu gaan we [https://mariadb.com/kb/en/library/replication-overview/ replicatie] opzetten (master-master). We moeten hiervoor een random wachtwoord genereren, bewaar die goed! Open in een nieuwe terminal op de originele host, en pas de <code>my.cnf</code> aan:
<pre>
[mysqld]
server-id=1
log-bin
</pre>
Herstart mysqld/mariadb om de wijzigingen toe te passen. Log in als root op mysql en geef permissies: <code>grant replication slave on *.* to repli@'vm-www2.a-eskwadraat.nl' identified by 'replipassword'; flush privileges;</code>. Zet de tabellen op slot terwijl we de rest doen: <code>flush tables with read lock;</code>. Ten slotte moeten we wat gegevens bekomen: <code> show master status\G</code>. Log niet uit tot we klaar zijn, dan gaan de tabellen weer van het slot af.

In de andere terminal op <code>vm-www2</code> gaan we ook de <code>my.cnf</code> aanpassen (ik heb de wijzigingen in <code>/etc/my.cnf.d/webcie.cnf</code> gezet):
<pre>
[mysqld]

server-id=2
</pre>
Herstart mariadb om de wijzigingen toe te passen. We moeten ook de volledige(!!!) [https://stackoverflow.com/questions/1078196/how-to-take-complete-backup-of-mysql-database-using-mysqldump-command-line-utili#27400627 databaasinhoud overzetten]. (Dit is een van de redenen dat je een read lock hebt.) Doe een mysqldump van de gehele database inclusief tabellen, permissies en inhoud en pas die toe op de nieuwe db.

Log in op de nieuwe db met <code>mysql -u root -p</code> en stel replicatie in:
<pre>
CHANGE MASTER TO
MASTER_HOST='master.domain.com',
MASTER_USER='replication_user',
MASTER_PASSWORD='bigs3cret',
MASTER_PORT=3306,
MASTER_LOG_FILE='mariadb-bin.000096',
MASTER_LOG_POS=568,
MASTER_CONNECT_RETRY=10;
</pre>
(De juiste waarden haal je uit de uitvoer van <code> show master status\G</code> op de originele host.) Vervolgens <code>START SLAVE; SHOW SLAVE STATUS \G</code>.

Als de uitvoer een beetje sense maakt, dan heb je succesvol een master-slave replicatie van de oude naar de nieuwe host opgezet. Doe <code>UNLOCK TABLES;</code> op de originele host en probeer wat aan te passen. Dit zou op de nieuwe host terecht moeten komen.

Als een error bij de slave gebeurd is die niet op master voorkwam, gaat die blokkeren tot je het fixt. Wat je kan doen als het echt helemaal in de soep loopt, is opnieuw alles op slot gooien, een dbdump overnemen van master naar slave. Doe weer <code> show master status\G</code> en unlock de master. Vervolgens doe je op de slave <code>change master to MASTER_LOG_POS=37071; START SLAVE;</code> en dan zou die automatisch alles wat sinds de backup is gebeurd, weer naar binnen gaan slurpen.

Nu gaan we de replicatie de andere kant op sturen. Dit is in principe het precies omgekeerde van wat we hiervoor deden. Pas op vm-www2 de <code>my.cnf</code> aan:
<pre>
[mysqld]
server-id=2
log-bin
</pre>
en herstart mariadb. Voeg de repli-user toe op de vm-www2: <code>grant replication slave on *.* to repli@'vm-www.a-eskwadraat.nl' identified by 'replipassword'; flush privileges;</code>. Doe op allebei de hosts een table lock, doe op de nieuwe host <code>show master status\G</code> en op de originele host de replicatie-instellingen:
<pre>
CHANGE MASTER TO
MASTER_HOST='master.domain.com',
MASTER_USER='replication_user',
MASTER_PASSWORD='bigs3cret',
MASTER_PORT=3306,
MASTER_LOG_FILE='mariadb-bin.000096',
MASTER_LOG_POS=568,
MASTER_CONNECT_RETRY=10;
</pre>
En nu kun je op de originele host <code>start slave;</code> runnen, en je hebt een master-masterreplicatie :D

=== Installeer Apache, PHP en PHP-FPM ===

Doe <code>yum install httpd</code> voor Apache.
Voor een niet verschrikkelijk antieke PHP moet je extra dingen installeren (zie ook [https://rpms.remirepo.net/wizard/]:
<pre>
yum install epel-release
yum install http://rpms.remirepo.net/enterprise/remi-release-7.rpm
yum install yum-utils
yum-config-manager --enable remi-php56 # of php72 of andere versie
yum install php php-fpm
</pre>

Installeer ook alle [[PHP-extensies]] die nodig zijn. (Zie die pagina voor de lijst.)

Overige dependencies:
<pre>
yum install gettext java npm python36 python36-virtualenv
npm install -g bower
</pre>

Nu moeten we PHP-instellingen regelen. Maak een checkout van de website, en doe daarin:
<pre>
mkdir config/vm-www2
ln -s /etc/php.ini config/vm-www2/
vim config/vm-www2/php.ini # Pas hier alle relevante config van de vm-www toe.
</pre>

=== Mail werkend krijgen ===

De website gebruikt sendmail-commando's om te mailen. Normaal stuurt sendmail de mails direct het web op, maar we willen dat deze door de vm-mailpp heen gestuurd wordt zodat de berichten juist zijn ondertekend en door spamfilters heen komen. Hiervoor gebruiken we het sendmail-commando dat uit postfix komt. Installeer postfix met:
<pre>yum install postfix</pre>

De configuratie van postfix is dezelfde als op alle CentOS7 machines en is te vinden op de vm-salt-master in <code>/srv/salt/centos7/global/main.cf</code>. Nadat je die configuratie op de webserver in de map <code>/etc/postfix</code> hebt geplaatst, start je de postfix service (of reload als die al gestart was). (In de andere configuratiebestanden, zoals master.cf, kun je de standaardinstellingen laten staan.)

Stel nu in dat het sendmail-commando uit postfix gebruikt wordt in plaats van de standaard sendmail:
<pre>update-alternatives --config mta</pre>

=== Overige tsjak ter installatie ===

<pre>yum install git sudo vim wget</pre>

=== De website opzetten ===

Heb je alles geïnstalleerd, dan ben je klaar voor de laatste fase.

Vertel de scripts dat dit een host is: <code>vim /etc/function</code> en stop daarin <code>server</code>.

Ga naar de checkout van de website, kopieer handmatig de secret.php en doe daarin manage build. (Dit moet na de php-instellingen gebeuren want manage voert php uit.)

Pas de httpd-configuratie aan om de juiste paden in te stellen:
<pre>
cp config/vm-www/httpd/conf.d/website.conf /etc/httpd/conf.d/
ln -s /etc/httpd config/vm-www2/httpd
vim config/vm-www2/httpd/conf.d/website.conf
</pre>

Nu kun je de webserver aanzwengelen :D <code>systemctl restart httpd<code> <code>systemctl restart php-fpm</code>

Je moet waarschijnlijk nog wat chmod'en en paden aanmaken, zie daarvoor de logs in <code>/var/log/httpd/error_log</code> en <code>/var/log/php-fpm/error.log</code> en <code>/var/log/www/php-warnings.log</code> (in volgorde van dingen werkend krijgen).

[[Category:Sysop]] [[Category:WebCie]]

IPA

2017-01-23T19:06:04Z

Albertp: /* Client installatie */ iets meer tekst bij sudo en hbac

FreeIPA is a Red Hat sponsored open source project which aims to provide an easily managed Identity, Policy and Audit (IPA) suite primarily targeted towards networks of Linux and Unix computers. FreeIPA can be compared to Novell's Identity Manager or Microsoft's Active Directory in that the goals and mechanisms used are similar.

FreeIPA currently uses 389 Directory Server for its LDAP implementation, MIT's Kerberos 5 for authentication and single sign-on, the Apache and Python for the management framework and Web UI, and (optionally) Dogtag for the integrated CA and BIND with a custom plugin for the integrated DNS. Development versions also use Samba to integrate with Microsoft's Active Directory by way of Cross Forest Trusts.

While each of the major components of FreeIPA is a pre-existing open source project it is the bundling of these components into a single manageable suite with a Comprehensive Management Interface that make FreeIPA more comparable to its proprietary software cousins, Identity Manager and Active Directory.

FreeIPA aims to provide support not just for Linux and Unix based computers but ultimately Microsoft Windows and Apple Macintosh computers also.

De webinterface van de IPA van A-Eskwadraat is te benaderen via [http://ipa01.a-eskwadraat.nl http://ipa01.a-eskwadraat.nl]. Hiervoor moet je wel op het netwerk van A-Eskwadraat zitten, dit is niet van buiten af te benaderen.

== Server installatie ==

Installeer <code>ipa-server</code> met alle dependencies. Zorg ervoor dat alle benodigde firewall-poorten open staan, na een schone kickstart hoeft enkel poort 7389 tcp nog geopend te worden. Vervolgens, om ipa-server te installeren ''zonder'' NTP-server:

ipa-server-install -N

Na de installatie moet de server nog een beveiligings-certificaat krijgen. Voer hiervoor het volgende commando uit:

ipa-getcert request -d /etc/pki/nssdb/ -n ipaserver-cert

Sudo gegevens zijn niet anoniem uit IPA te halen, daarom moet er voor de standaard user <code>sudo</code> een wachtwoord ingesteld worden (''zou kunnen dat dit niet meer nodig is''). Doe dit met

ldappasswd -Y GSSAPI uid=sudo,cn=sysaccounts,cn=etc,dc=a-eskwadraat,dc=nl -s sudopasswd

=== Firewall ===

IPA heeft een aantal poorten nodig om correct te werken:

{| class="wikitable" width="30%"
|-
| '''''Service'''''
| '''''Poort'''''
| '''''Type'''''
|-
| HTTP/HTTPS
| 80,443
| tcp
|-
| LDAP/LDAPS
| 389,636
| tcp
|-
| Kerberos
| 88,464
| tcp,udp
|-
| DNS
| 53
| tcp,udp
|-
| NTP
| 123
| udp
|}

== Client installatie ==

{{opmerking| Bij migratie naar een andere IPA-server moet <code>/etc/ipa</code> leeg zijn.}}

=== ipa-client-install ===

Installeer een IPA-client als volgt (uiteraard als root):

ipa-client-install

Er wordt tijdens de installatie gevraagd om een gebruikersnaam, gebruik daarvoor gewoon je eigen account.

'''''Reboot het systeem als de installatie voltooid is.'''''

=== sudo ===

Om sudoregels te gebruiken op systemen ouder dan CentOS 7, zie [[Sudo]].

=== httpd ===

Om in websites IPA te gebruiken is het nodig een PAM- en HBAC-service toe te voegen. Zie ook [[HBAC]].

== Schema ==

Aan het standaard schema van IPA is de objectClass 'aesAccount' met attribuut 'memberId'. Zie de volgende LDIF:

dn: cn=schema
changetype: modify
add: attributetypes
attributetypes:( 1.3.6.1.4.1.44413.1.1.1 NAME 'memberId' DESC 'MemberId of person'
EQUALITY integerMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.27 SINGLE-VALUE )
-
add: objectclasses
objectclasses: ( 1.3.6.1.4.1.44413.1.2.1 NAME 'aesAccount' SUP top AUXILIARY
DESC 'A-Eskwadraat account information' MAY ( memberId ) )

=== Lidnummer toevoegen ===

'mensjeadd' vraagt bij het aanmaken van een account om een lidnummer. Mocht er onverhoopt iets misgaan, met de onderstaande LDIF is het mogelijk om een lidnummer aan een account toe te voegen:

dn: uid=$login,cn=users,cn=accounts,dc=a-eskwadraat,dc=nl
changetype: modify
add: memberId
memberId: $lidnummer

== Replication ==

<s>Er zijn op dit moment drie IPA-servers met de volgende replication agreements:</s>

*<s>ipa01 <=> ipa02</s>
*<s>ipa01 <=> ipa03</s>
*<s>ipa02 <=> ipa03</s>
[[Category:Software]] [[Category:Sysop]]

== Gebruik ipa ==

Op de webinterface van IPA zijn alle eigenschappen van gebruikers en groepen te wijzigen onder het tabblad "Identity". Dit spreekt redelijk voor zich. Bij "Policy" zijn host-based access control en sudoregels in te stellen.

=== Host-based access control ===

Op alle clients waar ipa is geïnstalleerd, wordt bij het inloggen sssd gebruikt om te authenticeren. Deze controleert op de ipa server of de gebruiker op die machine mag inloggen. Het is gewone gebruikers bijvoorbeeld alleen toegestaan om in te loggen op workstations, niet op virtuele machines en een aantal daarvan zijn wel ipa client. Bij Policy > Host-based Access Control in de IPA webinterface zijn de regels in te stellen die bepalen wie waar mag inloggen. Een regel bevat: de gebruikers waarvoor deze van toepassing is, de computers waarop deze van toepassing is, en de services waarmee ingelogd kan worden. Bij alle drie is er een optie om alles/iedereen toe te staan.

=== Sudoregels ===

Sudoregels staan toe dat een gebruiker een commando uitvoert als iemand anders. Het geeft gebruikers de mogelijkheid om commando's namens hun commissies uit te voeren, of sysop om overal sudo te gebruiken om root te worden. Deze zijn in de webinterface in te stellen bij Policy > Sudo. Een regel bestaat uit: welke gebruiker(s), welke computer(s), welke commando(s) en als welke gebruiker(s). Verder kunnen er opties worden toegevoegd, deze zijn gelijk aan opties die gewoonlijk in sudoers ingesteld kunnen worden, zoals !authenticate die bepaalt dat er geen wachtwoord ingevoerd hoeft te worden voor die regel.

IPA

2017-01-23T18:52:06Z

Albertp: gebruik toegevoegd

FreeIPA is a Red Hat sponsored open source project which aims to provide an easily managed Identity, Policy and Audit (IPA) suite primarily targeted towards networks of Linux and Unix computers. FreeIPA can be compared to Novell's Identity Manager or Microsoft's Active Directory in that the goals and mechanisms used are similar.

FreeIPA currently uses 389 Directory Server for its LDAP implementation, MIT's Kerberos 5 for authentication and single sign-on, the Apache and Python for the management framework and Web UI, and (optionally) Dogtag for the integrated CA and BIND with a custom plugin for the integrated DNS. Development versions also use Samba to integrate with Microsoft's Active Directory by way of Cross Forest Trusts.

While each of the major components of FreeIPA is a pre-existing open source project it is the bundling of these components into a single manageable suite with a Comprehensive Management Interface that make FreeIPA more comparable to its proprietary software cousins, Identity Manager and Active Directory.

FreeIPA aims to provide support not just for Linux and Unix based computers but ultimately Microsoft Windows and Apple Macintosh computers also.

De webinterface van de IPA van A-Eskwadraat is te benaderen via [http://ipa01.a-eskwadraat.nl http://ipa01.a-eskwadraat.nl]. Hiervoor moet je wel op het netwerk van A-Eskwadraat zitten, dit is niet van buiten af te benaderen.

== Server installatie ==

Installeer <code>ipa-server</code> met alle dependencies. Zorg ervoor dat alle benodigde firewall-poorten open staan, na een schone kickstart hoeft enkel poort 7389 tcp nog geopend te worden. Vervolgens, om ipa-server te installeren ''zonder'' NTP-server:

ipa-server-install -N

Na de installatie moet de server nog een beveiligings-certificaat krijgen. Voer hiervoor het volgende commando uit:

ipa-getcert request -d /etc/pki/nssdb/ -n ipaserver-cert

Sudo gegevens zijn niet anoniem uit IPA te halen, daarom moet er voor de standaard user <code>sudo</code> een wachtwoord ingesteld worden (''zou kunnen dat dit niet meer nodig is''). Doe dit met

ldappasswd -Y GSSAPI uid=sudo,cn=sysaccounts,cn=etc,dc=a-eskwadraat,dc=nl -s sudopasswd

=== Firewall ===

IPA heeft een aantal poorten nodig om correct te werken:

{| class="wikitable" width="30%"
|-
| '''''Service'''''
| '''''Poort'''''
| '''''Type'''''
|-
| HTTP/HTTPS
| 80,443
| tcp
|-
| LDAP/LDAPS
| 389,636
| tcp
|-
| Kerberos
| 88,464
| tcp,udp
|-
| DNS
| 53
| tcp,udp
|-
| NTP
| 123
| udp
|}

== Client installatie ==

{{opmerking| Bij migratie naar een andere IPA-server moet <code>/etc/ipa</code> leeg zijn.}}

=== ipa-client-install ===

Installeer een IPA-client als volgt (uiteraard als root):

ipa-client-install

Er wordt tijdens de installatie gevraagd om een gebruikersnaam, gebruik daarvoor gewoon je eigen account.

'''''Reboot het systeem als de installatie voltooid is.'''''

=== sudo ===

Zie [[Sudo|sudo]].

=== httpd ===

Zie [[HBAC]].

== Schema ==

Aan het standaard schema van IPA is de objectClass 'aesAccount' met attribuut 'memberId'. Zie de volgende LDIF:

dn: cn=schema
changetype: modify
add: attributetypes
attributetypes:( 1.3.6.1.4.1.44413.1.1.1 NAME 'memberId' DESC 'MemberId of person'
EQUALITY integerMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.27 SINGLE-VALUE )
-
add: objectclasses
objectclasses: ( 1.3.6.1.4.1.44413.1.2.1 NAME 'aesAccount' SUP top AUXILIARY
DESC 'A-Eskwadraat account information' MAY ( memberId ) )

=== Lidnummer toevoegen ===

'mensjeadd' vraagt bij het aanmaken van een account om een lidnummer. Mocht er onverhoopt iets misgaan, met de onderstaande LDIF is het mogelijk om een lidnummer aan een account toe te voegen:

dn: uid=$login,cn=users,cn=accounts,dc=a-eskwadraat,dc=nl
changetype: modify
add: memberId
memberId: $lidnummer

== Replication ==

<s>Er zijn op dit moment drie IPA-servers met de volgende replication agreements:</s>

*<s>ipa01 <=> ipa02</s>
*<s>ipa01 <=> ipa03</s>
*<s>ipa02 <=> ipa03</s>
[[Category:Software]] [[Category:Sysop]]

== Gebruik ipa ==

Op de webinterface van IPA zijn alle eigenschappen van gebruikers en groepen te wijzigen onder het tabblad "Identity". Dit spreekt redelijk voor zich. Bij "Policy" zijn host-based access control en sudoregels in te stellen.

=== Host-based access control ===

Op alle clients waar ipa is geïnstalleerd, wordt bij het inloggen sssd gebruikt om te authenticeren. Deze controleert op de ipa server of de gebruiker op die machine mag inloggen. Het is gewone gebruikers bijvoorbeeld alleen toegestaan om in te loggen op workstations, niet op virtuele machines en een aantal daarvan zijn wel ipa client. Bij Policy > Host-based Access Control in de IPA webinterface zijn de regels in te stellen die bepalen wie waar mag inloggen. Een regel bevat: de gebruikers waarvoor deze van toepassing is, de computers waarop deze van toepassing is, en de services waarmee ingelogd kan worden. Bij alle drie is er een optie om alles/iedereen toe te staan.

=== Sudoregels ===

Sudoregels staan toe dat een gebruiker een commando uitvoert als iemand anders. Het geeft gebruikers de mogelijkheid om commando's namens hun commissies uit te voeren, of sysop om overal sudo te gebruiken om root te worden. Deze zijn in de webinterface in te stellen bij Policy > Sudo. Een regel bestaat uit: welke gebruiker(s), welke computer(s), welke commando(s) en als welke gebruiker(s). Verder kunnen er opties worden toegevoegd, deze zijn gelijk aan opties die gewoonlijk in sudoers ingesteld kunnen worden, zoals !authenticate die bepaalt dat er geen wachtwoord ingevoerd hoeft te worden voor die regel.

Dnsmasq

2016-11-14T21:01:36Z

Albertp: ip-adressen

[[category:sysop]]
Binnen het A–Eskwadraat netwerk worden de IP-adressen uitgedeeld door de [[router]], middels dnsmasq. Dnsmasq zorgt ervoor dat iedere computer een IP-adres krijgt aan de hand van een mac-adres. Hierbij kan ook de naam van de computer gekoppeld worden.

In principe hebben alle computers en virtuele machines een vast IP-adres aan de hand van het MAC-adres. Deze IP-adressen zijn in een aantal verschillende ranges verdeeld:
* 10.14.0.*: fysieke machines en andere apparaten met een netwerkaansluiting zoals printers en webcams
* 10.14.2.*: automatisch toegewezen adressen aan computers die niet bekend zijn in dnsmasq
* 10.14.3.1: IP-adres voor de routers, zie [[Router]]
* 10.14.3.*: virtuele machines

== Configuratie ==
Op de [[router]] is in de '/etc/dnsmasq.d' de configuratie van dnsmasq te vinden. Om wijzigingen in de configuratie door te voeren, dient dnsmasq opnieuw opgestart te worden middels:
service dnsmasq restart

=== Host-entry ===
Een host-entry ziet er als volgt uit:
dhcp-host=[mac-adres],[hostname],[ip]
Het is ook mogelijk om een extra naam (CNAME) aan een host te hangen:
cname=[new-hostname],[real-hostname]

== PXE ==
Dnsmasq bevat naast de dhcp/dns functionaliteit ook een tftp-server. Hierdoor is het mogelijk om dnsmasq als een PXE-bootserver te gebruiken. Zoals geconfigureerd in '/etc/dnsmasq.d/tftp.conf'.

Router

2016-11-14T20:54:12Z

Albertp: /* DHCP server */ uitleg

[[category:sysop]]

==Router==
De router is de spin in ons netwerk. Hij bepaalt welke diensten beschikbaar zijn en hoe je die kunt benaderen. Hierbij is de router verantwoordelijk voor het afhandelen van al het inkomende en uitgaande dataverkeer van [[A-Eskwadraat]]. Op het moment zijn [[Ernst]] en [[oclaude]] de huidige routers.

De router die in gebruik is, is naast zijn eigen IP op het IP-adres 10.14.3.1 (vm-netstack.a-eskwadraat.nl) te benaderen. Dit adres wordt gebruikt als default route op alle andere computers. Een backup-router zou dit snel kunnen overnemen als ernst uitvalt, maar dat is op het moment van schrijven nog niet geïmplementeerd.

==Firewall==
Voor de firewall maken we gebruik van [http://shorewall.net/ shorewall]. De config is terug te vinden in [[salt]], en in /etc/shorewall op [[Ernst]] en [[oclaude]] zelf. Shorewall zorgt voor de iptables regels die de daadwerkelijke firewall vormen.

===Zones===
Een firewall bestaat uit meerdere zones. Deze zijn er om onderscheid te maken tussen verschillende bronnen/bestemmingen. Op dit moment maken we gebruik van de zones firewall(fw), extern(ext) en intern(int). Het is ook mogelijk om zones binnen een zone aan te maken zoals voor virtuele machines(vm) die binnen de interne zone zitten, echter gebruiken we deze nog niet. De configuratie voor de zones is te vinden in /etc/shorewall/zones. Een voorbeeld zoals deze op het moment van schrijven staat ingesteld:
#{zone} {type}
fw firewall
ext ipv4
int ipv4
vm:int ipv4

===Interfaces===
De interfaces van de router zijn in te stellen in /etc/shorewall/interfaces. Hierbij maken we onderscheid tussen intern(int) en extern(ext). Een voorbeeld zoals deze op [[oclaude]] staat ingesteld:
#{zone} {interface} {opties}
ext enp4s0 blacklist,norfc1918
int enp3s0 dhcp,routeback

===Variabelen===
Voor het gemak zijn er in shorewall enkel variabelen te gebruiken. Deze variabelen zijn in te stellen in /ets/shorewall/params. Bijvoorbeeld voor vm-mail:
#{naam}={waarde}
VM_MAIL=10.14.3.6

===Port Forward===
De port forwards worden door de firewall geregeld in /etc/shorewall/rules. Deze file bevat alle speciale regels, waar port forwards dus ook toe behoren. Een portforward bestaat uit 2 regels, namelijk een regel voor verkeer afkomstig van het internet en een regel voor verkeer afkomstig van het interne netwerk. Daarnaast is er voor verkeer afkomstig van het interne netwerk een speciale masq regel nodig, welke ervoor zorgt dat het verkeer via de router loopt in plaats van direct.

====Extern voorbeeld====
Voorbeeld regel voor externe forward in /etc/shorewall/rules, hierbij wordt de externe tcp-poort 25 doorgestuurd naar poort 25 van vm-mail:
#{soort} {bron} {bestemming} {tcp/udp} {inkomende poort}
DNAT ext int:$vm-mail:25 tcp 25

====Intern voorbeeld====
Voorbeeld regel voor interne forward in /etc/shorewall/rules, hierbij wordt de interne tcp-poort 25 doorgestuurd naar poort 25 van vm-mail, hierbij wordt de bron van het pakket omgezet naar de het externe ip van de router:
#{soort} {bron} {bestemming} {tcp/udp} {inkomende poort} {bron poort} {bron}
DNAT int int:$vm-mail:25 tcp 25 - $EXT_IP_VIRT
Om wijziging van de bron van het pakket te laten werken moet er ook een overeenkomstige regel aangemaakt worden /etc/shorewall/masq:
#{interface:bestemming} {oorsprong} {bron} {tcp/udp} {poort}
enp3s0:$VM_MAIL $INT_RANGE $EXT_IP_VIRT tcp 25

==DHCP server==
Alle computers in het netwerk krijgen hun IP-adres van de router via DHCP. Zie [[Dnsmasq|dnsmasq]] voor details.

==Reverse Proxy==
De reverse proxy zorgt ervoor dat bezoekers van de websites, die gehost worden bij A-Eskwadraat, terecht komen bij de juiste webserver. Verder is dit het SSL-eindpunt zodat er verbindingen met https mogelijk zijn, zonder dat op iedere webserver het certificaat hoeft te staan.
We gebruiken hiervoor [http://nginx.org/ nginx]. Iedere webserver heeft een aparte file voor de configuratie in /etc/nginx/conf.d/ met de extensie conf.

Als je website door de vm-www-dmz wordt gehost en je wilt deze in de router toevoegen, doe dit in het bestand vm-www-dmz.aeslist.

Als je website op een eigen virtuele machine bij A-Eskwadraat staat is het volgende commando te gebruiken vanuit /etc/nginx/conf.d om een subdomein te maken:
sed 's/template/{virtuele machine}/g' vm.template > vm-{virtuele machine}.conf
Daarbij wordt de volgende template gebruikt:
##Vervang hier alle verwijzingen met template naar de naam de virtuele machine
# vm-template
upstream vm-template {
server vm-template:80; # Should be IP
}

server {
#listen 80; # accepteer poort 80
include /etc/nginx/conf.d/https.common; # accepteer ssl verbinding met a-eskwadraat certificaat

server_name template.a-eskwadraat.nl;

access_log /var/log/nginx/access-vm-template.log main;
error_log /var/log/nginx/error-vm-template.log;
root /usr/share/nginx/html;
index index.html;

location / {
proxy_pass http://vm-template;
include /etc/nginx/conf.d/proxy.common;
}
}

Vergeet niet om de configuratie in salt op te slaan als je deze aanpast.

===Redirects===
Naast dat nginx gebruikt wordt als reverse proxy, zorgt deze ook voor de verwijzingen. Deze zijn te vinden in /etc/nginx/conf.d/www-redirects.conf. Een voorbeeld functie van het redirecten is al het verkeer voor http://a-es2.nl wordt doorverwezen naar https://www.a-eskwadraat.nl.

==Yum Cache==

Firewall

2016-11-14T20:45:34Z

Albertp: oud

[[category:sysop oud]]

'''Deze pagina moet nog bijgewerkt worden met de huidige configuratie van Ernst'''

''Op de pagina [[Router]] staan al up-to-date details over shorewall''

Op [[Ernst]] draait de '''firewall''' [http://www.shorewall.net/ Shorewall].

== iptables ==
Shorewall is een wrapper rond iptables, de low-level-configuratie die bepaalt wie naar de machine informatie over het netwerk mogen sturen. Met het commando ''iptables --list'' is deze configuratie op te vragen. Gebruik geen andere ''iptables''-commando's, in het bijzonder niet ''iptables --flush''; deze kunnen heel snel het systeem kapot maken.

== Configuratie ==
De configuratie van shorewall gebeurt middels meerdere configuratie bestanden in ''/etc/shorewall''. Er zijn meer bestanden aanwezig dan hieronder beschreven, maar deze zijn dan niet aangepast ten opzichte van de standaard.

=== shorewall.conf ===
Bevat de algemene instellingen voor shorewall, zoals logging, paden,

=== interfaces ===
Bevat de koppeling tussen de interfaces en de zones.

=== maclist ===
Bevat een lijst van mac-adressen van de vertrouwde machines binnen het lokale netwerk.

=== params ===
Bevat variabelen die in andere configuratie bestanden van shorewall gebruikt kunnen worden.

=== policy ===
Bevat de acties die toegestaan zijn tussen de verschillende zones.

=== zones ===
Bevat zoals de naam al aangeeft de verschillende zones die gebruikt worden. Dit zijn:
* fw - firewall
* net - internet
* loc - lokaal netwerk
* ltr - local netwerk
* vpn - externe gebruikers
* wlan - draadloos

Router

2016-11-14T20:21:55Z

Albertp: /* Router */ 10.14.3.1

[[category:sysop]]

==Router==
De router is de spin in ons netwerk. Hij bepaalt welke diensten beschikbaar zijn en hoe je die kunt benaderen. Hierbij is de router verantwoordelijk voor het afhandelen van al het inkomende en uitgaande dataverkeer van [[A-Eskwadraat]]. Op het moment zijn [[Ernst]] en [[oclaude]] de huidige routers.

De router die in gebruik is, is naast zijn eigen IP op het IP-adres 10.14.3.1 (vm-netstack.a-eskwadraat.nl) te benaderen. Dit adres wordt gebruikt als default route op alle andere computers. Een backup-router zou dit snel kunnen overnemen als ernst uitvalt, maar dat is op het moment van schrijven nog niet geïmplementeerd.

==Firewall==
Voor de firewall maken we gebruik van [http://shorewall.net/ shorewall]. De config is terug te vinden in [[salt]], en in /etc/shorewall op [[Ernst]] en [[oclaude]] zelf. Shorewall zorgt voor de iptables regels die de daadwerkelijke firewall vormen.

===Zones===
Een firewall bestaat uit meerdere zones. Deze zijn er om onderscheid te maken tussen verschillende bronnen/bestemmingen. Op dit moment maken we gebruik van de zones firewall(fw), extern(ext) en intern(int). Het is ook mogelijk om zones binnen een zone aan te maken zoals voor virtuele machines(vm) die binnen de interne zone zitten, echter gebruiken we deze nog niet. De configuratie voor de zones is te vinden in /etc/shorewall/zones. Een voorbeeld zoals deze op het moment van schrijven staat ingesteld:
#{zone} {type}
fw firewall
ext ipv4
int ipv4
vm:int ipv4

===Interfaces===
De interfaces van de router zijn in te stellen in /etc/shorewall/interfaces. Hierbij maken we onderscheid tussen intern(int) en extern(ext). Een voorbeeld zoals deze op [[oclaude]] staat ingesteld:
#{zone} {interface} {opties}
ext enp4s0 blacklist,norfc1918
int enp3s0 dhcp,routeback

===Variabelen===
Voor het gemak zijn er in shorewall enkel variabelen te gebruiken. Deze variabelen zijn in te stellen in /ets/shorewall/params. Bijvoorbeeld voor vm-mail:
#{naam}={waarde}
VM_MAIL=10.14.3.6

===Port Forward===
De port forwards worden door de firewall geregeld in /etc/shorewall/rules. Deze file bevat alle speciale regels, waar port forwards dus ook toe behoren. Een portforward bestaat uit 2 regels, namelijk een regel voor verkeer afkomstig van het internet en een regel voor verkeer afkomstig van het interne netwerk. Daarnaast is er voor verkeer afkomstig van het interne netwerk een speciale masq regel nodig, welke ervoor zorgt dat het verkeer via de router loopt in plaats van direct.

====Extern voorbeeld====
Voorbeeld regel voor externe forward in /etc/shorewall/rules, hierbij wordt de externe tcp-poort 25 doorgestuurd naar poort 25 van vm-mail:
#{soort} {bron} {bestemming} {tcp/udp} {inkomende poort}
DNAT ext int:$vm-mail:25 tcp 25

====Intern voorbeeld====
Voorbeeld regel voor interne forward in /etc/shorewall/rules, hierbij wordt de interne tcp-poort 25 doorgestuurd naar poort 25 van vm-mail, hierbij wordt de bron van het pakket omgezet naar de het externe ip van de router:
#{soort} {bron} {bestemming} {tcp/udp} {inkomende poort} {bron poort} {bron}
DNAT int int:$vm-mail:25 tcp 25 - $EXT_IP_VIRT
Om wijziging van de bron van het pakket te laten werken moet er ook een overeenkomstige regel aangemaakt worden /etc/shorewall/masq:
#{interface:bestemming} {oorsprong} {bron} {tcp/udp} {poort}
enp3s0:$VM_MAIL $INT_RANGE $EXT_IP_VIRT tcp 25

==DHCP server==
Zie [[Dnsmasq|dnsmasq]].

==Reverse Proxy==
De reverse proxy zorgt ervoor dat bezoekers van de websites, die gehost worden bij A-Eskwadraat, terecht komen bij de juiste webserver. Verder is dit het SSL-eindpunt zodat er verbindingen met https mogelijk zijn, zonder dat op iedere webserver het certificaat hoeft te staan.
We gebruiken hiervoor [http://nginx.org/ nginx]. Iedere webserver heeft een aparte file voor de configuratie in /etc/nginx/conf.d/ met de extensie conf.

Als je website door de vm-www-dmz wordt gehost en je wilt deze in de router toevoegen, doe dit in het bestand vm-www-dmz.aeslist.

Als je website op een eigen virtuele machine bij A-Eskwadraat staat is het volgende commando te gebruiken vanuit /etc/nginx/conf.d om een subdomein te maken:
sed 's/template/{virtuele machine}/g' vm.template > vm-{virtuele machine}.conf
Daarbij wordt de volgende template gebruikt:
##Vervang hier alle verwijzingen met template naar de naam de virtuele machine
# vm-template
upstream vm-template {
server vm-template:80; # Should be IP
}

server {
#listen 80; # accepteer poort 80
include /etc/nginx/conf.d/https.common; # accepteer ssl verbinding met a-eskwadraat certificaat

server_name template.a-eskwadraat.nl;

access_log /var/log/nginx/access-vm-template.log main;
error_log /var/log/nginx/error-vm-template.log;
root /usr/share/nginx/html;
index index.html;

location / {
proxy_pass http://vm-template;
include /etc/nginx/conf.d/proxy.common;
}
}

Vergeet niet om de configuratie in salt op te slaan als je deze aanpast.

===Redirects===
Naast dat nginx gebruikt wordt als reverse proxy, zorgt deze ook voor de verwijzingen. Deze zijn te vinden in /etc/nginx/conf.d/www-redirects.conf. Een voorbeeld functie van het redirecten is al het verkeer voor http://a-es2.nl wordt doorverwezen naar https://www.a-eskwadraat.nl.

==Yum Cache==

Router

2016-11-14T17:01:35Z

Albertp: dnsmasq vermelden en nginx doet ook ssl eindpunt

[[category:sysop]]

==Router==
De router is de spin in ons netwerk. Hij bepaalt welke diensten beschikbaar zijn en hoe je die kunt benaderen. Hierbij is de router verantwoordelijk voor het afhandelen van al het inkomende en uitgaande dataverkeer van [[A-Eskwadraat]]. Op het moment zijn [[Ernst]] en [[oclaude]] de huidige routers.

==Firewall==
Voor de firewall maken we gebruik van [http://shorewall.net/ shorewall]. De config is terug te vinden in [[salt]], en in /etc/shorewall op [[Ernst]] en [[oclaude]] zelf. Shorewall zorgt voor de iptables regels die de daadwerkelijke firewall vormen.

===Zones===
Een firewall bestaat uit meerdere zones. Deze zijn er om onderscheid te maken tussen verschillende bronnen/bestemmingen. Op dit moment maken we gebruik van de zones firewall(fw), extern(ext) en intern(int). Het is ook mogelijk om zones binnen een zone aan te maken zoals voor virtuele machines(vm) die binnen de interne zone zitten, echter gebruiken we deze nog niet. De configuratie voor de zones is te vinden in /etc/shorewall/zones. Een voorbeeld zoals deze op het moment van schrijven staat ingesteld:
#{zone} {type}
fw firewall
ext ipv4
int ipv4
vm:int ipv4

===Interfaces===
De interfaces van de router zijn in te stellen in /etc/shorewall/interfaces. Hierbij maken we onderscheid tussen intern(int) en extern(ext). Een voorbeeld zoals deze op [[oclaude]] staat ingesteld:
#{zone} {interface} {opties}
ext enp4s0 blacklist,norfc1918
int enp3s0 dhcp,routeback

===Variabelen===
Voor het gemak zijn er in shorewall enkel variabelen te gebruiken. Deze variabelen zijn in te stellen in /ets/shorewall/params. Bijvoorbeeld voor vm-mail:
#{naam}={waarde}
VM_MAIL=10.14.3.6

===Port Forward===
De port forwards worden door de firewall geregeld in /etc/shorewall/rules. Deze file bevat alle speciale regels, waar port forwards dus ook toe behoren. Een portforward bestaat uit 2 regels, namelijk een regel voor verkeer afkomstig van het internet en een regel voor verkeer afkomstig van het interne netwerk. Daarnaast is er voor verkeer afkomstig van het interne netwerk een speciale masq regel nodig, welke ervoor zorgt dat het verkeer via de router loopt in plaats van direct.

====Extern voorbeeld====
Voorbeeld regel voor externe forward in /etc/shorewall/rules, hierbij wordt de externe tcp-poort 25 doorgestuurd naar poort 25 van vm-mail:
#{soort} {bron} {bestemming} {tcp/udp} {inkomende poort}
DNAT ext int:$vm-mail:25 tcp 25

====Intern voorbeeld====
Voorbeeld regel voor interne forward in /etc/shorewall/rules, hierbij wordt de interne tcp-poort 25 doorgestuurd naar poort 25 van vm-mail, hierbij wordt de bron van het pakket omgezet naar de het externe ip van de router:
#{soort} {bron} {bestemming} {tcp/udp} {inkomende poort} {bron poort} {bron}
DNAT int int:$vm-mail:25 tcp 25 - $EXT_IP_VIRT
Om wijziging van de bron van het pakket te laten werken moet er ook een overeenkomstige regel aangemaakt worden /etc/shorewall/masq:
#{interface:bestemming} {oorsprong} {bron} {tcp/udp} {poort}
enp3s0:$VM_MAIL $INT_RANGE $EXT_IP_VIRT tcp 25

==DHCP server==
Zie [[Dnsmasq|dnsmasq]].

==Reverse Proxy==
De reverse proxy zorgt ervoor dat bezoekers van de websites, die gehost worden bij A-Eskwadraat, terecht komen bij de juiste webserver. Verder is dit het SSL-eindpunt zodat er verbindingen met https mogelijk zijn, zonder dat op iedere webserver het certificaat hoeft te staan.
We gebruiken hiervoor [http://nginx.org/ nginx]. Iedere webserver heeft een aparte file voor de configuratie in /etc/nginx/conf.d/ met de extensie conf.

Als je website door de vm-www-dmz wordt gehost en je wilt deze in de router toevoegen, doe dit in het bestand vm-www-dmz.aeslist.

Als je website op een eigen virtuele machine bij A-Eskwadraat staat is het volgende commando te gebruiken vanuit /etc/nginx/conf.d om een subdomein te maken:
sed 's/template/{virtuele machine}/g' vm.template > vm-{virtuele machine}.conf
Daarbij wordt de volgende template gebruikt:
##Vervang hier alle verwijzingen met template naar de naam de virtuele machine
# vm-template
upstream vm-template {
server vm-template:80; # Should be IP
}

server {
#listen 80; # accepteer poort 80
include /etc/nginx/conf.d/https.common; # accepteer ssl verbinding met a-eskwadraat certificaat

server_name template.a-eskwadraat.nl;

access_log /var/log/nginx/access-vm-template.log main;
error_log /var/log/nginx/error-vm-template.log;
root /usr/share/nginx/html;
index index.html;

location / {
proxy_pass http://vm-template;
include /etc/nginx/conf.d/proxy.common;
}
}

Vergeet niet om de configuratie in salt op te slaan als je deze aanpast.

===Redirects===
Naast dat nginx gebruikt wordt als reverse proxy, zorgt deze ook voor de verwijzingen. Deze zijn te vinden in /etc/nginx/conf.d/www-redirects.conf. Een voorbeeld functie van het redirecten is al het verkeer voor http://a-es2.nl wordt doorverwezen naar https://www.a-eskwadraat.nl.

==Yum Cache==

Ernst

2016-11-14T16:39:44Z

Albertp: toch maar alle software bij router zetten

[[category:sysop]]

Ernst is de huidige [[Router]] van het computerpark. De naam komt van [http://en.wikipedia.org/wiki/Ernst_Mach Ernst Mach], een bekende natuurkundige. Ernst moest de Haskell vervangen als router vanwege de snelheid, vandaar de keuze voor de naam Mach.

Voor de software op Ernst, zie [[Router]].

== Hardware ==
* Kast: LC Power LC-1350mi - - bureaumodel slimline - mini ITX - netspanningsadapter 75 Watt - zwart - USB/Audio
* Moederbord & Processor: Gigabyte GA-C1037UN - Mini-ITX - Intel Celeron 1037U - NM70 - 2 x Gigabit Ethernet - HD Graphics - eSATA
* SSD: Kingston SSDNow V300 - 60 GB - intern - 2.5
* Geheugen: Crucial - 4 GB - DIMM 240-pins - DDR3 - 1600 MHz / PC3-12800 - CL11 - 1.5 V - niet-gebufferd - niet-ECC

Dnsmasq

2016-11-14T16:32:34Z

Albertp: spacewalk eruit

Ernst

2016-11-14T16:23:38Z

Albertp: ernst lijst met software

[[category:sysop]]

Ernst is de huidige [[Router]] van het computerpark. De naam komt van [http://en.wikipedia.org/wiki/Ernst_Mach Ernst Mach], een bekende natuurkundige. Ernst moest de Haskell vervangen als router vanwege de snelheid, vandaar de keuze voor de naam Mach.

Op Ernst wordt de volgende software uitgevoerd:
* Firewall: [[Firewall|shorewall]]
* DHCP server: dnsmasq
* HTTP proxy: nginx

== Hardware ==
* Kast: LC Power LC-1350mi - - bureaumodel slimline - mini ITX - netspanningsadapter 75 Watt - zwart - USB/Audio
* Moederbord & Processor: Gigabyte GA-C1037UN - Mini-ITX - Intel Celeron 1037U - NM70 - 2 x Gigabit Ethernet - HD Graphics - eSATA
* SSD: Kingston SSDNow V300 - 60 GB - intern - 2.5
* Geheugen: Crucial - 4 GB - DIMM 240-pins - DDR3 - 1600 MHz / PC3-12800 - CL11 - 1.5 V - niet-gebufferd - niet-ECC

Firewall

2016-11-14T16:20:56Z

Albertp: shorewall draait op ernst - verder is deze pagina verouderd

[[category:sysop]]

'''Deze pagina moet nog bijgewerkt worden met de huidige configuratie van Ernst'''

Op [[Ernst]] draait de '''firewall''' [http://www.shorewall.net/ Shorewall].

== iptables ==
Shorewall is een wrapper rond iptables, de low-level-configuratie die bepaalt wie naar de machine informatie over het netwerk mogen sturen. Met het commando ''iptables --list'' is deze configuratie op te vragen. Gebruik geen andere ''iptables''-commando's, in het bijzonder niet ''iptables --flush''; deze kunnen heel snel het systeem kapot maken.

== Configuratie ==
De configuratie van shorewall gebeurt middels meerdere configuratie bestanden in ''/etc/shorewall''. Er zijn meer bestanden aanwezig dan hieronder beschreven, maar deze zijn dan niet aangepast ten opzichte van de standaard.

=== shorewall.conf ===
Bevat de algemene instellingen voor shorewall, zoals logging, paden,

=== interfaces ===
Bevat de koppeling tussen de interfaces en de zones.

=== maclist ===
Bevat een lijst van mac-adressen van de vertrouwde machines binnen het lokale netwerk.

=== params ===
Bevat variabelen die in andere configuratie bestanden van shorewall gebruikt kunnen worden.

=== policy ===
Bevat de acties die toegestaan zijn tussen de verschillende zones.

=== zones ===
Bevat zoals de naam al aangeeft de verschillende zones die gebruikt worden. Dit zijn:
* fw - firewall
* net - internet
* loc - lokaal netwerk
* ltr - local netwerk
* vpn - externe gebruikers
* wlan - draadloos

Workstations

2016-10-03T18:49:19Z

Albertp: scanner instellen bij installatie workstation

[[category:sysop]]
De '''workstations''' zijn de computers waarop gebruikers in kunnen loggen.

== Workstations ==
De huidige workstations zijn:
* [[hendrik]] (Bestuurskamer)
* [[dennis]]
* [[pafnuty]]
* [[ada]] (Gezelligheidskamer)
* [[alonzo]]
* [[paul]] ([[ssh-extern]])
* [[felix]]

== Installeren/updaten ==
'''
=== Installeren ===

# Start de Fedora workstation kickstart van [[netboot]].
# Haal een kop koffie terwijl de installatie bezig is met installeren.
# Voeg de volgende regel toe aan /etc/dnsmasq.d/workstations.conf op de [[router]]:
#:*cname=<hostname>.localdomain,<hostname>.a-eskwadraat.nl
#:*dhcp-host=<mac-address>,tag:old,dennis,<ip>,infinite
# Gebruik de <hostname> en het <mac-address> van de nieuwe host, en een niet bezet ip-adres.
# Reboot nu de host zodat de veranderingen van hostname plaatsnemen.
# SSH naar de '''vm-salt-master''' en sta de nieuwe host toe met: <pre> [root@vm-salt-master]# salt-key -A <hostname>.a-eskwadraat.nl</pre>
# Zet in de /srv/salt/top.sls op de '''vm-salt-master''' de nieuwe workstation met de juiste configuratie
# Dwing nu een update af met salt. Zet de host niet uit! <pre>[root@vm-salt-master]# salt '<hostname>.a-eskwadraat.nl' state.highstate </pre>
# Installeer nu bindfs (zie [[Bindfs]])
# Doe een IPA client install (zie [[IPA]]). Vergeet ook niet op in ipa de workstation in de host groups workstations te zetten!
# Installeer kernel-ml
# Het zou kunnen zijn dat er in de grub nog standaard de niet main line kernel geladen wordt. Verander dit in grub door eerst te kijken welke opties grub heeft met <pre>awk -F\' '$1=="menuentry " {print $2}' /etc/grub2-efi.cfg</pre>. Je kan de huidige standaard optie zien met <pre>grub2-editenv list</pre>. Om de default te veranderen naar een andere kernel doe je bv <pre>grub2-set-default 0</pre> (0 is de eerste entry, 1 de volgende, etc.).
# Stel de scannersoftware van OKI in (zie [[Scanner]]).
# Reboot de workstation en highstate nog een keer voor de zekerheid
# De workstation is nu klaar voor gebruik.

=== Updaten ===
Roep het volgende commando aan op de vm-salt-master. Vervang <hostname> met de lokale hostname. Onderbreek het proces niet!
<pre>[root@vm-salt-master]# salt '<hostname>.a-eskwadraat.nl' state.highstate </pre>



== Geschiedenis ==
Aan al het goede komt een einde, zo ook aan de bruikbaarheid van onze computers. We willen onze oude beestjes na jaren trouwe dienst een ereplaats op de wiki geven.

<table cellpadding="5">

<tr><td>[[Leonhard]]</td><td>Intel Core 2 Quad, 4GB</td>
<td>Workstation</td><td>Debian GNU/Linux (squeeze)</td></tr>

<tr><td>[[Edsger]]</td><td>Sempron 2600+, 2GB</td>
<td>Workstation</td><td>Debian GNU/Linux (squeeze)</td></tr>

<tr><td>[[Grace]]</td><td>Sempron 2600+, 1GB</td>
<td>Workstation</td><td>Debian GNU/Linux (squeeze)</td></tr>

<tr><td>[[Kurt]]</td><td>Intel Pentium 4, 512MB</td>
<td>Boekverkoop-workstation</td><td>Debian GNU/Linux (lenny)</td></tr>

<tr><td>[[Youg]]</td><td>486DX/4, 26MB</td>
<td>Mailterminal</td><td>Debian GNU/Linux (woody)</td></tr>

<tr><td>[[Euclides]]</td><td>Athlon 64 3000+, 1GB</td>
<td>server, workstation</td><td>Debian GNU/Linux (lenny)</td></tr>

<tr><td>[[Alan]]</td><td>Athlon XP 2000, 1GB</td>
<td>server, boekverkoop-workstation</td><td>Debian GNU/Linux (lenny)</td></tr>

<tr><td>[[Janos]]</td><td>Athlon XP 2200, 768MB</td>
<td>workstation</td><td>Debian GNU/Linux (etch)</td></tr>

<tr><td>[[Isaac]]</td><td>Athlon XP 1800, 1GB</td>
<td>workstation</td><td>Debian GNU/Linux (etch)</td></tr>

<tr><td>[[Niels]]</td><td>Athlon 900Mhz, 384MB</td>
<td>workstation</td><td>Debian GNU/Linux (sarge)</td></tr>

<tr><td>[[Leonardo]]</td><td>Pentium III 666MHz, 128MB</td>
<td>workstation</td><td>Debian GNU/Linux (sarge)</td></tr>

<tr><td>[[Georg]]</td><td>Pentium III 666MHz, 128MB</td>
<td>workstation</td><td>Debian GNU/Linux (sarge)</td></tr>

<tr><td>[[Emmy]]</td><td>Pentium III 666MHz, 128MB</td>
<td>workstation</td><td>Windows 2000</td></tr>

<tr><td>[[Richard]]</td><td>Dual Celeron 400Mhz, 256MB</td>
<td>workstation</td><td>Debian GNU/Linux (sarge)</td></tr>

<tr><td>[[Marie]]</td><td>Pentium 3 666Mhz, 128MB</td>
<td>VNC server</td><td>Windows 2000</td></tr>

<tr><td>[[Albert]]</td><td>Dual Celeron 466Mhz, 256MB</td>
<td>server</td><td>Debian GNU/Linux (woody)</td></tr>

<tr><td>[[Benjamin]]</td><td>Pentium 150Mhz, 128MB</td>
<td>terminal</td><td>Debian GNU/Linux (potato)</td></tr>

<tr><td>[[Piet]]</td><td>Pentium 100Mhz, 54MB</td>
<td>Debian development</td><td>Debian GNU/Linux (sid)</td></tr>

</table>

Scanner

2016-10-03T18:46:31Z

Albertp: category

Om de OKI MC342 scanner ''pinky'' op een nieuwe workstation in te stellen zijn enkele stappen nodig.

Uit de sysop-repo wordt bij een salt highstate het pakket <code>okimfpsdrv</code> geïnstalleerd. Deze moet nog even ingesteld worden, dit gebeurt met het commando <code>okiscanadm</code>. 
Voer <code>okiscanadm</code> uit als root, kies dan '''1''' om een scanner toe te voegen, daarna de volgende opties: 
<code>Searching for network scanner . . .: ([y]/n)</code> '''n''' 
<code>Please enter scanner IP Address:</code> '''10.14.0.24''' 
<code>Please enter scanner name:</code> '''pinky''' 
Alle andere opties laat je op hun standaardinstellingen staan, die tussen vierkante haken zijn gegeven.

Ter bevestiging worden nog even de instellingen geprint, kies ja ter bevestiging als het klopt: 
<code>Proceed? (y/[n])</code> '''y'''

====== Voorbeeld: ======
<pre># okiscanadm
Network Scanner Utility

1) Add Network Scanner
2) Delete Network Scanner

Please select option: 1
Searching for network scanner . . .: ([y]/n) n
Please enter scanner IP Address: 10.14.0.24
Please enter scanner name: pinky
Please enter scanner port #[9967]:
Please enter PC Domain Name[felix.a-eskwadraat.nl]:
Please enter PC IP Address[10.14.0.35]:
Please enter PC port #[9968]:

Scanner added . . .

IP Address : 10.14.0.24
MAC Address : 00:25:36:1e:5b:f2
Model name : MC342
Scanner name : pinky
Scanner port # : 9967
PC Domain Name : felix.a-eskwadraat.nl
PC IP Address : 10.14.0.35
PC port # : 9968

Proceed? (y/[n]) y

* Added a network scanner on this PC.
* Added this PC on a MFP.
</pre>

Na deze installatie, herstart de computer of start zelf de <code>okiscand</code> service:
<code>systemctl start okiscand.service</code>

Hierna is het mogelijk om scanprogramma's zoals <code>simple-scan</code> te gebruiken.
[[Category:Sysop]]

Scanner

2016-10-03T18:46:00Z

Albertp: Scanner pagina gemaakt

RootWachtwoord

2016-03-30T15:43:47Z

Albertp: deze pagina is oud

== Wijzigen ==

Het rootwachtwoord moet op verschillende plekken gewijzigd worden:

*In [[LDAP|LDAP]], root. Dit kan met:

# passwd

*In LDAP, admin. Dit kan op square met:

# ldappasswd -x cn=admin,dc=a-eskwadraat,dc=nl -W -S

*Lokaal op [[Square|square]]. Schakel alles behalve ''pam_unix'' uit in ''/etc/pam.d/common-password'', en haal achter ''pam_unix'' de optie ''use_first_pass'' weg; stel het nieuwe wachtwoord in met ''passwd''; en herstel de ''pam-config''.
*Lokaal op de [[Workstations|workstations]]. Alleen ''[[Wsmaster|wsmaster]]'' is genoeg als je het niet erg vindt om te wachten op een ''[[Ws-update|ws-update]]''. Gaat op dezelfde manier als lokaal op square.

*In LDAP, Aministrator. Dit kan op square met:

# passwd Administrator

*Lokaal op [[Windows|Windows]], Administrator. Log als ''Administrator'' lokaal in op de Windows template image en verander het wachtwoord via Start > Settings > Control Panel > User Accounts.
[[Category:Sysop oud]]

Domeinen

2016-02-17T20:58:04Z

Albertp: link naar nieuwe DNS pagina toegevoegd.

A-Eskwadraat regelt de domeinen via [https://www.xel.nl/cc https://www.xel.nl/cc]. Domeinen kunnen daar bekeken en aangevraagd worden. Hierbij moet het een "complete domain" zijn.

Als een nieuw domein is aangevraagd, dient deze geconfigureerd te worden. Hiervoor moet het domein ingesteld worden via de "zonefile manager", zodat er een eigen master server opgegeven kan worden. De dns master dient dan ingesteld te worden op 131.211.39.72.

Vervolgens dient de [[DNS|vm-dns-auth]] bij a-eskwadraat aangepast te worden om het geregistreerde domein op te vangen. Daar dient een bestand aangemaakt te worden in /etc/nsd/zones. Kopieer hiervoor een van de bestanden, waar weinig bijzonderheden in staan. Pas vervolgens het domein in het bestand aan en de serial. Tot slot pas je /etc/nsd/nsd.conf aan, zodat deze ook de zone zal inladen. Als dit goed staat kan nsd het nieuwe bestand inladen.

Test vervolgens de instelling middels nslookup of dig, dit kan direct naar de vm-dns-auth. Als dit correct is kan getest worden of het domein ook extern goed staat, dit kan echter even duren.

De volgende stap is om het domein op te vangen bij de goede server. Oorspronkelijk wordt het niet opgevangen als er een request binnen komt, waardoor het op de a-eskwadraat site uit zal komen.

Hierna dient er een pagina gemaakt te worden die de bezoeker zal opvangen, dit gebeurt meestal op vm-www-dmz. In /etc/httpd/conf.d/sites-available/ dient dan een extra bestand aangemaakt te worden, wederom is een eenvoudige config te kopieren en met kleine aanpassingen te gebruiken. Herstart vervolgens de httpd service.

Als laatste zal er in de reverse proxy een aanpassing gemaakt moeten worden, zodat deze de bezoeker ook op de goed plek laat terecht komen. In het simpelste geval hoeft alleen /etc/nginx/conf.d/vm-www-dmz.list aangepast te worden, zodat het verkeer bij vm-www-dmz aankomt. Zorg vervolgens dat de config ingeladen wordt.

Als laatste moet alle config die is aangepast ook in salt terecht komen, zodat het bewaard blijft en niet per ongeluk verwijderd wordt.
[[Category:Sysop]]

DNS

2016-02-17T20:57:18Z

Albertp: oude config vervangen door verhaal over nsd

Alle internetdiensten van A-Eskwadraat worden bereikt, door het IP-adres dat bij de domeinnaam hoort op te zoeken in het DNS-systeem. Ieder domein heeft een zogeheten ''authoritative DNS server'': de server die de meest up-to-date configuratie hoort te hebben voor de DNS gegevens. Dit is bij A-Eskwadraat de ''vm-dns-auth'', een virtuele machine op [[Haskell]].

Er zijn bij DNS verschillende typen ''records'': met een ''A''Het ''A'' record is het type dat je het vaakst zult gebruiken. Daarnaast bestaat er een ''CNAME'' record om aan te geven dat de server van een bepaald domein onder een andere naam (de ''canonical name'') beter bekend is, en dat het IP-adres daarvan opgezocht moet worden. Voor mail is er het ''MX''-record: dit geeft aan, waar de mailserver te vinden is van een domein. Hier wordt opgezocht waar mail afgeleverd moet worden die naar @''domein'' wordt opgestuurd. Er staat een getal bij om de prioriteit aan te geven, gebruik dit als er meerder mailservers voor een domein zijn en de tweede dient als backup mocht de eerste niet bereikbaar zijn/mails niet accepteren. '''Let op:''' Een ''MX'' record dat naar een ''CNAME'' record verwijst mag officieel niet. Sommige e-mailproviders (bijvoorbeeld GMX.de) weigeren mail naar het domein te sturen als het zo is ingesteld.

== vm-dns-auth ==

De software die wij op vm-dns-auth gebruiken heet [http://www.nlnetlabs.nl/nsd/ nsd]. Dit is een alternatief voor BIND, dat ook op veel DNS-servers toegepast wordt.

In het bestand ''/etc/nsd/nsd.conf'' staan alle domeinen van A-Eskwadraat. Ieder domein heeft een eigen bestand in de map ''/etc/nsd/zones/'', met daarin alle hierboven beschreven records. De inhoud spreekt redelijk voor zich. '''Let wel op:''' bovenaan iedere zonefile staat een "serial". Pas deze '''ALTIJD''' aan als je een wijziging aanbrengt, dit is belangrijk voor andere servers die DNS-records van ons in het cache bewaren (en nog belangrijker voor Xel, zie hieronder).

=== Secondary DNS servers bij Xel ===

Bij Xel, het bedrijf waar de [[Domeinen|domeinen]] beheerd worden, gebruiken wij twee servers, ns2.xel.nl en ns3.xel.nl als "secondary" DNS servers om de bereikbaarheid van een DNS server voor de A-Eskwadraat domeinen ook te garanderen als de server tijdelijk offline is. Om de DNS configuratie automatisch naar de servers bij Xel op te sturen is er een bestand ''/etc/nsd/acl/xel'' waarin de IP-adressen van deze servers staan. Dit bestand moet in ''/etc/nsd/nsd.conf'' genoemd moet worden bij ieder domein dat via Xel is aangevraagd. Vergeet verder niet, om bij iedere wijziging in een zonefile de serial aan te passen bovenaan dat bestand: als de serial niet wordt aangepast, blijft er verouderde configuratie op de servers van Xel staan, die er voor onbepaalde tijd blijft staan.

Mail

2016-02-17T19:58:22Z

Albertp: zin weggevallen

Bij A–Eskwadraat gebruiken we '''Maildir''' voor de opslag van e-mail van gebruikers. We raden gebruikers aan om niet direct de Maildirmappen te benaderen, maar om dit via [http://en.wikipedia.org/wiki/Internet_Message_Access_Protocol IMAP] of [http://www.washington.edu/alpine/ Alpine] te doen. De standaardconfiguratie van de meeste mailclients staat hier ook voor ingesteld.

== Services ==

Op [[Haskell|haskell]] draait de virtuele machine vm-mailpp (spreek uit: mail plus plus) om het mailverkeer van en naar A-Eskwadraat te regelen:

*[http://www.postfix.org/ postfix] (''/etc/postfix/'') verwerkt in principe alle binnenkomende mails, en wat er waarheen doorgestuurd moet worden;
*[http://www.dovecot.org/ dovecot] (''/etc/dovecot/'') neemt de POP- en IMAP-servers voor zijn rekening;
*[https://www.amavis.org/ amavis] (''/etc/amavisd/'') geeft alle binnenkomende mails door aan SpamAssassin en ClamAV om gefilterd te worden;
*[http://spamassassin.apache.org/ SpamAssassin] (''/etc/mail/spamassassin/'') [[Mailfiltering|filtert]] de spam uit het binnenkomende mailverkeer;
*[http://http://www.clamav.net/lang/en/ ClamAV] (''/etc/clamd.d/'') scant het mailverkeer voor virussen en dergelijke;
*[https://roundcube.net/ RoundCube] (''/etc/roundcubemail/'', ''/usr/share/roundcubemail'') is een webmailclient die in een [https://www.apache.org/ apache] webserver op vm-mailpp draait;
*[http://www.list.org/ Mailman] (''/etc/mailman/'') Mailman is verantwoordelijk voor de mailing lists, zoals de BBCie-announce.

== Naamgeving Maildirmappen ==

Let op dat om voor dovecot begrijpbare namen te hebben, de mappen op in ''~/Maildir'' altijd met een punt moeten beginnen. Submappen werken ook op deze manier. Een paar voorbeelden:

*''~/Maildir/.Intro/'' voor de IMAP-map ''Intro'';
*''~/Maildir/.Sysop.postmaster/'' voor de map ''postmaster'' als submap van ''Sysop''.

Als de mappen via IMAP worden aangemaakt gebeurt dit automatisch.

== Postfix ==

Postfix is de SMTP server voor de vm-mailpp.

Postfix gebruikt meerdere ports om mail te ontvangen en te verwerken. Mail die wordt gestuurd door leden moet naar de SMTP daemon op port 587 (''submission'' poort) worden gestuurd. Authenticatie en TLS encryptie zijn een vereiste op deze verbinding. In de toekomst zal de [[Router|Router]] de encryptie tussen client en mail-server regelen. Alle andere mail komt binnen op port 25. Spam- en virus-filtering gebeurd via de SMTP daemons op ports 10025 en 10027 voor onbekende en bekende mail, respectievelijk.

In ''/etc/postfix/master.cf'' staat de configuratie van deze daemons. De configuratie in ''/etc/postfix/main.cf'' wordt gebruikt voor zaken die niet in ''master.cf'' zijn opgegeven; in principe staat hier de configuratie voor poort 25 en worden de opties specifiek voor de andere poorten opgegeven in ''master.cf''.

=== Transport ===

Eerst checkt Postfix of de inkomende mail aan een lokaal mailadres is gestuurd. Welke domeinen als 'lokaal' worden bestempeld staat in ''/etc/postfix/domains/local''. Voor lokale mailadressen geldt, dat het domein in de verdere configuratie kan worden weggelaten. Daarna checkt Postfix of de inkomende mail naar een virtueel domein is gestuurd. Mailadressen van domeinen zoals turingslegacy.nl worden herschreven naar lokale mailadressen (zonder domeinnaam). De virtuele domeinen staan in ''/etc/postfix/domains/virtual''.

De overblijvende adressen, worden opgezocht in de bestanden met aliases in /etc/postfix/aliases, om te zien of de mail toevallig naar een ander lokaal mailadres doorgestuurd moet worden. Postfix gebruikt hiervoor de bestanden in .db formaat, de tekstbestanden zonder extensie zijn voor ons als sysop leesbaar en te bewerken maar moeten wel met ''postalias'' in een .db bestand omgezet worden naar iedere wijziging. Als iemand dit vergeet na het aanpassen van een bestand met aliases, plaatst postfix een melding in ''/var/log/maillog'': "database file ''bestandsnaam''.db is older than source file ''bestandsnaam''". Nu blijven er als het goed is, alleen gebruikersnamen over die op het systeem bestaan. Voor deze gebruikers wordt het bestand ''.forward'' in de homedirectory van de gebruiker opgezocht.

Als in een ''.forward'' bestand de gebruikersnaam voorafgegaan door een backslash (\) wordt aangetroffen, wordt de mail in de Maildir map van die gebruiker geplaatst. Als een regel met een pipe (|) wordt aangetroffen, wordt het mailbericht doorgegeven als standard input aan het commando dat achter het |-teken staat. Andere regels met tekst worden geïnterpreteerd als mailadressen (lokaal zonder domeinnaam of willekeurig mailadres met domeinnaam) waarnaar de mail moet worden doorgestuurd. ''Let op bij het gebruiken van de pipe (|): het kan zijn dat SELinux niet toestaat dat postfix een ander programma direct aanroept.''

Als de mail niet bij een lokaal of virtueel adres hoort, checkt postfix of de inkomende mail is gestuurd naar een domein waarvoor A-Eskwadraat mail relayet. Deze mail word onveranderd naar de mailserver van dat domein verstuurd (relaying). Dit voorkomt verlies van mail voor het externe domein wanneer hun mailserver uitvalt, aangezien A-Eskwadraat de secondary mailserver is voor dat domein. Een uitzondering op de regel is mail bedoeld voor de webserver. Mail aan de webcie komt binnen op de mail server, maar moet worden doorgestuurd naar de webserver. De verwijzingen zijn te vinden in ''/etc/postfix/transport_www'' en ''/etc/postfix/transport_regex''.

Let op dat deze uitleg heel erg bot is. Lees de relevante ''man'' pages van Postfix om te leren hoe mail word verwerkt. Let op dat veranderingen in een alias/transport/domain map niet worden opgemerkt tot het ''postmap'' of ''postalias'' op het bestand is aangeroepen!

=== Mail Authorisatie ===

Om te controleren of een gebruiker wel als een adres mag mailen wordt gebruik gemaakt van de smtpd_sender_login_maps optie voor postfix, die in een database de users opzoekt die als gegeven adres mogen versturen. Als er via SMTP een request gedaan wordt om van buitenaf een mail te versturen doet postfix een query en kijkt welke users als die alias mail mogen versturen. Deze config is op de vm-mailpp te vinden in `/etc/postfix/alias_auth.cf`.

De database wordt gegenereerd door een python script die op de vm-sysop staat bij de sysop api, aangezien daar de mail aliases al staan voor de alias_check. Het python script, te vinden in `/var/www/html/api/python/mail-authorization.py`, loopt recursief langs alle users die in cies, bestuur, extern of iba zitten en kijkt daarnaast ook naar mail aliassen. Aan de hand hiervan wordt met een sql query alle transitieve relaties expliciet gemaakt, zodat dit niet runtime gedaan moet worden. Als een alias naar een cie wordt doorgestuurd, en een user weer in die cie zit, wil je dat die user ook als die alias mag mailen. Als database wordt PostgreSQL gebruikt op de vm-database. De database die gebruikt wordt heet "mail". In de python code staan nog wat comments. Er draait op de vm-sysop een cron die af en toe de database refreshed. Daarnaast is het python script ook intern bereikbaar [http://vm-sysop.a-eskwadraat.nl/api/python/mail-authorization.py hier]. Bij het laden van deze pagina wordt de database gerefreshed. Op deze manier kan de database meteen gerefreshed worden zodra iemand toegevoegd is aan een cie. Als er in een alias een wildcard staat (*@bapc.eu: bapc), wat betekend dat alles van het domein bapc.eu naar de bapc commissie wordt gestuurd, wordt dit omgezet naar een SQL wildcard, wat uiteindelijk dus netjes werkt.

=== Mailfiltering ===

Postfix maakt gebruik van amavisd voor het filteren van de inkomende mail. Amavis is een interface voor SpamAssassin welke spam filtert en ClamAV welke mails op virussen scant. Check de configuratie op [[Vm-saltmaster|vm-saltmaster]] voor details.

Om de virus database up te daten:
<pre>freshclam
</pre>

== Mailman ==

Mailman is verantwoordelijk voor de infrastructuur van de mailing lists. De mailing lists zijn te vinden op [lists.a-eskwadraat.nl/mailman lists.a-eskwadraat.nl/mailman]. Er zijn twee belangrijke services om mailman te draaien: mailman en httpd. De configuratie van mailman bevind zich in ''/etc/mailman/'', de data bevind zich in ''/var/lib/mailman'', en de binaries bevinden zich in ''/usr/lib/mailman''.

Gebruik de scripts in /usr/lib/mailman/bin om de mailing lists vanaf de command-line te wijzigen. De volgende commando's zijn belangrijk bij het debuggen / migreren van mailman:

*check_perms: repareert de bestandsrechten van mailman-specifieke bestanden.
*with_list & fix_url: repareert de links van de mailman archieven indien deze zijn veranderd.

Lees de [http://wiki.list.org/DOC/4.09%20Summary%20of%20the%20mailman%20bin%20commands MailmanWiki] voor een samenvatting van alle commands.

Mailman werkt samen met de Postfix mailserver via de alias map ''/etc/mailman/aliases''. Voer het volgende commando uit na het toevoegen/verwijderen van een lijst zodat Postfix zijn alias database update:
<pre>postalias /etc/mailman/aliases
</pre>

Na een migratie van de mailman lijsten is het belangrijk om ''restorecon'' uit te voeren op ''/var/lib/mailman''. Mailman en SELinux werken prima samen zolang de rechten maar goed staan.
<pre># Samenvatting van een Mailman migratie.
# Op de nieuwe mailserver.
rsync -azv -e "ssh -i <sshkey>" <OUDEHOST>:/var/lib/mailman/ /var/lib/mailman/
restorecon -r /var/lib/mailman/
cd /usr/lib/mailman/
bin/check_perms -f
bin/withlist -l -a -r fix_url
</pre>

== Dovecot ==

Dovecot is de IMAP server verantwoordelijk voor het ophalen en beheren van de mail opgeslagen in de homedirs. Mail wordt opgeslagen in de .Maildir van een gebruik zijn home directory. Momenteel is vm-mail de actieve IMAP server van A-Eskwadraat. De server luistert op poort 143 (standaard IMAP poort) en vereist een TLS-encrypted verbinding van de gebruiker. Het certificaat voor de verbinding is anders dan het certificaat van de webserver.  Dovecot authenticeert gebruikers door middel van SASL-kerberos met de IPA servers. Dovecot werkt ook als authenticatie-server voor postfix door middel van een open socket. Een SELinux module is vereist om Postfix toegang te geven tot de socket.

Voor meer configuratie details, zie de configuratie op de salt-master. (CentOS 6: /srv/salt/centos/vm-mail/dovecot, CentOS 7: /srv/salt/centos7/dovecot)

'''AL DE CONFIGURATIE HIERONDER IS GIGANTISCH OUT OF DATE''' \/\/\/

== Configuratie mailfilters ==

Gebruik je een ''.forward'' of ''.procmailrc'' om e-mail direct in mappen te stoppen, let dan op de naamgeving (zie hierboven) en zorg ervoor dat de mappen altijd op een ''/'' eindigen. Begin je ''.procmailrc'' ook altijd met de regel

MAILDIR=$HOME/Maildir/

om te zorgen dat e-mail toch niet in ''/var/mail'' terechtkomt.

== Maak een mailserver met exim, en dovecot ==

Zorg eerst dat sendmail uit staat!
<pre>service sendmail stop
chkconfig sendmail off
</pre>

Bij voorkeur verwijder je ook de package voor [[Postfix|postfix]]. Deze is standaard bij CentOS geïnstalleerd.

=== Exim ===

Exim is een MTA (Mail Transfer Agent) en is ervoor om mailtjes te versturen, ontvangen, en doorsturen. Dit gebeurd uiteraard op de mailserver!

Installeer allereerst exim op de host.
<pre># yum install exim
</pre>

Verander vervolgens het configuratie bestand /etc/exim/exim.conf:
<pre># Het Mail domain - normaal gesproken a-eskwadraat.nl
primary_hostname = circle.a-eskwadraat.nl

# Weiger met ipv6 te werken.
local_interfaces = 0.0.0.0
disable_ipv6 = true

daemon_smtp_ports = smtp : submission
accept_8bitmime = true

# Lijsten van geldige mail domainin.
domainlist mailman_domains = CONFDIR/domains.mailman
domainlist local_domains = @ : CONFDIR/domains.local : +mailman_domains : lsearch;CONFDIR/domains.virtual
domainlist relay_to_domains = CONFDIR/domains.relay

hostlist relay_from_hosts = 10.14.3.0/22

# Backup mail server in het geval dat onze niet werkt.
hostlist mx_hosts = mail.wolffelaar.nl

qualify_domain = A-Eskwadraat.nl

queue_run_max = 250

smtp_accept_max = 100
smtp_accept_max_per_host = ${if match_ip{$sender_host_address}{+mx_hosts}{50}{10}}

received_headers_max = 30

RETRY_SECONDARY=F,90d,15m
RETRY_REST=F,2h,15m; G,16h,2h,1.5; F,4d,8h

acl_smtp_rcpt = acl_check_rcpt
acl_not_smtp_start = acl_check_not_smtp
acl_smtp_data = acl_check_data

host_lookup = *
helo_try_verify_hosts = !@ : !@[]
helo_allow_chars = _

# ClamAV - The Anti-Virus Scanner
av_scanner = clamd:/var/run/clamav/clamd.sock

# Custom 5s limiet.
rfc1413_query_timeout = 5s

# Mailman support, als per /usr/share/doc/mailman/README.EXIM.gz
MAILMAN_HOME=/var/lib/mailman
MAILMAN_WRAP=/usr/lib/mailman/mail/mailman
MAILMAN_USER=mailman
MAILMAN_GROUP=mailman
</pre>

=== Dovecot ===

Dovecot is een IMAP en POP3 server, wat inhoud dat het mailtjes kan ontvangen, iets wat best wel handig is om te hebben. Installeer dovecot op je mailserver als je dat nog niet gedaan hebt. Verander dan nu het volgende:

In /etc/dovecot/dovecot.conf:

*protocols = imap
*login_trusted_networks = <ip-adressen die je vertrouwd>

In /etc/dovecot/conf.d/10-mail.conf

*mail_location = maildir:~/Maildir
*lock_method = dotlock

In /etc/dovecot/conf.d/10-auth.conf

*disable_plaintext_auth = no
*auth_realms = aeskwadraat
*auth_default_realm = aeskwadraat
*auth_gssapi_hostname = <ipa-server>
*auth_krb5_keytab = /etc/dovecot/krb5.keytab
*auth_mechanisms = plain gssapi

en zet op het einde
<pre>userdb {
driver = static
args = uid=dovecot gid=dovecot home=/var/spool/mail/%u
}
</pre>

Maak nu op de ipa-server een service imap aan met de mailserver als host. Dit kan je doen via de webinterface. Voer vervolgens het volgende uit op de mailserver:
<pre>kinit admin
ipa-getkeytab -s <ipa-server> -p imap/<mailserver> -k /etc/dovecot/krb5.keytab
chown root:dovecot /etc/dovecot/krb5.keytab
chmod 640 /etc/dovecot/krb5.keytab
</pre>

Restart dovecot en zet hem standaard aan:
<pre>service dovecot restart
chkconfig dovecot on
</pre>

Zet tenslotte nog met system-config-firewall-tui 'imap over ssl' en 'mail (smtp)' aan, en voila! Je kan nu met ipa-users gebruik maken van IMAP om mailtjes te ontvangen!

Je kan eventueel in /etc/postfix/main.cf en /etc/dovecot/conf.d/10-mail.conf nog het een ander van waar de mail wordt opgeslagen veranderen.

=== Spamassassin ===

Spamassassin is een mailfilteringprogramma voor spam. Om het te installeren:
<pre>yum install spamassassin
</pre>

Maak nu de user en group spamd aan:
<pre>groupadd -g 5001 spamd
useradd -u 5001 -g spamd -s /sbin/nologin -d /var/lib/spamassassin spamd
mkdir /var/lib/spamassassin
chown spamd:spamd /var/lib/spamassassin
</pre>

Zet dan het volgende in /etc/mail/spamassassin/local.cf:
<pre>required_score 5.0
report_safe 0
rewrite_header Subject [***SPAM***]

# Enable the Bayes system
use_bayes 1
use_bayes_rules 1
# Enable Bayes auto-learning
bayes_auto_learn 1
</pre>

Verander nu in /etc/postfix/master.cf
<pre>smtp inet n - n - - smtpd
</pre>

in
<pre>smtp inet n - n - - smtpd -o content_filter=spamassassin
</pre>

en stop op het einde van master.cf:
<pre>spamassassin unix - n n - - pipe flags=R user=spamd argv=/usr/bin/spamc -e /usr/sbin/sendmail -oi -f ${sender} ${recipient}
</pre>

Restart nu spamassassin en postfix:
<pre>chkconfig spamassassin on
service spamassassin restart
service postfix restart
</pre>

=== Aliases ===

In postfix staan de locaties van de aliases in /etc/postfix/main.cf. Deze kan je vinden bij de regel 'alias_maps = ...'. Als je een nieuw aliasbestand wilt toevoegen, voeg dit dan ook toe bij deze regel als hash:<bestandslocatie>. Vergeet ook niet om dit toe te voegen bij alias_database!.

De aliases zelf staan geconfigureerd in de aliasbestanden die te vinden zijn onder /etc/postfix/alias/. Als je een nieuwe alias in een bestand hebt gezet moet je het db-bestand up-to-date make door het commando 'postalias *bestand*' uitvoeren. Let erop dat de bestandsnaam de naam van het bestand is wat je gewijzigd hebt, niet een bestand met extensie '.db'.

== Instellingen ==

=== Postfix ===

==== Mail relay ====

Postfix kan mail relayen naar een extern domein. Hiervoor is de volgende regel:
<pre>relay_domains = $mydestination, hash:/etc/postfix/domains.relay
</pre>

In het bestand /etc/postfix/domains.relay staat de lijst van alle externe domains waar mail naar toe gerelayed wordt. Als je iets in het bestand wijzigt, vergeet dan niet om daarna het commando
<pre>postmap /etc/postfix/domains.relay
</pre>

uit te voeren.

==== Whitelist ====

Postfix kan gebruik maken van een whitelist. Zorg hiervoor dat er het volgende in /etc/postfix/main.cf staat:
<pre>smtpd_client_restrictions = check_client_access hash:/etc/postfix/client.access
</pre>

In het bestand /etc/postfix/client.access staat de lijst van alle domains die geweigerd en toegelaten worden. Als je hier iets in verandert, vergeet dan niet om uit te voeren
<pre>postmap /etc/postfix/access.client
</pre>

== SquirrelMail ==

SquirrelMail is een webmail-client.

=== SquirrelMail installeren ===

Installeer eerst natuurlijk Squirrelmail:
<pre>yum install squirrelmail
</pre>

Zorg ervoor dat httpd standaard aan staat en start httpd:
<pre>chkconfig httpd on
service httpd start
</pre>

Verander nu het volgende in /etc/squirrelmail/config.php:
<pre>$org_name = "A-Eskwadraat";
$org_logo = SM_PATH . 'images/sm_logo.png';
$org_logo_width = '308';
$org_logo_height = '111';
$org_title = 'A-Eskwadraat SquirrelMail $version";
$signout_page = 'vm-mail.a-eskwadraat.nl';

$domain = 'circle.a-eskwadraat.nl';
$imapServerAddress = 'localhost';
$useSendmail = false;
$smtpServerAddress = 'localhost';
$pop_before_smtp = false;

</pre>

Zet nu het A-Eskwadraat logo in de squirrelmail config map.
<pre>setsebool -P httpd_can_network_connect 1
</pre>

== RoundcubeMail ==

Roundcube is ook een webmail client.

=== Installeren ===

Op vm-salt-master staat een configuratie voor een Roundcube mail VM met een korte readme. Deze zorgt ervoor dat httpd, roundcubemail en mariadb geinstalleerd staan. Salt een VM met deze configuratie.
<pre>salt '$hostname' state.highstate
</pre>

Laat vervolgens httpd van die VM door de firewall heen. Daarna moet de database voor Roundcube geinitialiseerd worden. Dit gaat met mysql.
<pre>CREATE DATABASE roundcubemail;
GRANT ALL PRIVILEGES on roundcubemail.* TO roundcube@localhost IDENTIFIED BY '$password';
FLUSH PRIVILEGES;
</pre>

Nu moet de timezone nog even ingesteld worden in /etc/php.ini op de roundcube VM. Daarna moeten er nog de juiste tables in de database worden gezet. Dit kan door op de nieuwe VM de bestanden in /etc/roundcubemail/databasefiles te runnen met mysql.
<pre>mysql roundcubemail < mysql.initial.sql
</pre>
[[Category:Sysop]]

Mail

2016-02-17T19:55:37Z

Albertp: kleine foutjes die door editor van mediawiki zijn ontstaan

Bij A–Eskwadraat gebruiken we '''Maildir''' voor de opslag van e-mail van gebruikers. We raden gebruikers aan om niet direct de Maildirmappen te benaderen, maar om dit via [http://en.wikipedia.org/wiki/Internet_Message_Access_Protocol IMAP] of [http://www.washington.edu/alpine/ Alpine] te doen. De standaardconfiguratie van de meeste mailclients staat hier ook voor ingesteld.

== Services ==

Op [[Haskell|haskell]] draait de virtuele machine vm-mailpp (spreek uit: mail plus plus) om het mailverkeer van en naar A-Eskwadraat te regelen:

*[http://www.postfix.org/ postfix] (''/etc/postfix/'') verwerkt in principe alle binnenkomende mails, en wat er waarheen doorgestuurd moet worden;
*[http://www.dovecot.org/ dovecot] (''/etc/dovecot/'') neemt de POP- en IMAP-servers voor zijn rekening;
*[https://www.amavis.org/ amavis] (''/etc/amavisd/'') geeft alle binnenkomende mails door aan SpamAssassin en ClamAV om gefilterd te worden;
*[http://spamassassin.apache.org/ SpamAssassin] (''/etc/mail/spamassassin/'') [[Mailfiltering|filtert]] de spam uit het binnenkomende mailverkeer;
*[http://http://www.clamav.net/lang/en/ ClamAV] (''/etc/clamd.d/'') scant het mailverkeer voor virussen en dergelijke;
*[https://roundcube.net/ RoundCube] (''/etc/roundcubemail/'', ''/usr/share/roundcubemail'') is een webmailclient die in een [https://www.apache.org/ apache] webserver op vm-mailpp draait;
*[http://www.list.org/ Mailman] (''/etc/mailman/'') Mailman is verantwoordelijk voor de mailing lists, zoals de BBCie-announce.

== Naamgeving Maildirmappen ==

Let op dat om voor dovecot begrijpbare namen te hebben, de mappen op in ''~/Maildir'' altijd met een punt moeten beginnen. Submappen werken ook op deze manier. Een paar voorbeelden:

*''~/Maildir/.Intro/'' voor de IMAP-map ''Intro'';
*''~/Maildir/.Sysop.postmaster/'' voor de map ''postmaster'' als submap van ''Sysop''.

Als de mappen via IMAP worden aangemaakt gebeurt dit automatisch.

== Postfix ==

Postfix is de SMTP server voor de vm-mailpp.

Postfix gebruikt meerdere ports om mail te ontvangen en te verwerken. Mail die wordt gestuurd door leden moet naar de SMTP daemon op port 587 (''submission'' poort) worden gestuurd. Authenticatie en TLS encryptie zijn een vereiste op deze verbinding. In de toekomst zal de [[Router|Router]] de encryptie tussen client en mail-server regelen. Alle andere mail komt binnen op port 25. Spam- en virus-filtering gebeurd via de SMTP daemons op ports 10025 en 10027 voor onbekende en bekende mail, respectievelijk.

In ''/etc/postfix/master.cf'' staat de configuratie van deze daemons. De configuratie in ''/etc/postfix/main.cf'' wordt gebruikt voor zaken die niet in ''master.cf'' zijn opgegeven; in principe staat hier de configuratie voor poort 25 en worden de opties specifiek voor de andere poorten opgegeven in ''master.cf''.

=== Transport ===

Eerst checkt Postfix of de inkomende mail aan een lokaal mailadres is gestuurd. Welke domeinen als 'lokaal' worden bestempeld staat in ''/etc/postfix/domains/local''. Voor lokale mailadressen geldt, dat het domein in de verdere configuratie kan worden weggelaten. Daarna checkt Postfix of de inkomende mail naar een virtueel domein is gestuurd. Mailadressen van domeinen zoals turingslegacy.nl worden herschreven naar lokale mailadressen (zonder domeinnaam). De virtuele domeinen staan in ''/etc/postfix/domains/virtual''.

De overblijvende adressen, worden opgezocht in de bestanden met aliases in /etc/postfix/aliases, om te zien of de mail toevallig naar een ander lokaal mailadres doorgestuurd moet worden. Postfix gebruikt hiervoor de bestanden in .db formaat, de tekstbestanden zonder extensie zijn voor ons als sysop leesbaar en te bewerken maar moeten wel met ''postalias'' in een .db bestand omgezet worden naar iedere wijziging. Als iemand dit vergeet na het aanpassen van een bestand met aliases, plaatst postfix een melding in ''/var/log/maillog'': "database file ''bestandsnaam''.db is older than source file ''bestandsnaam''". Nu blijven er als het goed is, alleen gebruikersnamen over die op het systeem bestaan. Voor deze gebruikers wordthet bestand ''.forward'' de gebruikersnaam voorafgegaan door een backslash (\) wordt aangetroffen, wordt de mail in de Maildir map van die gebruiker geplaatst. Als een regel met een pipe (|) wordt aangetroffen, wordt het mailbericht doorgegeven als standard input aan het commando dat achter het |-teken staat. Andere regels met tekst worden geïnterpreteerd als mailadressen (lokaal zonder domeinnaam of willekeurig mailadres met domeinnaam) waarnaar de mail moet worden doorgestuurd. ''Let op bij het gebruiken van de pipe (|): het kan zijn dat SELinux niet toestaat dat postfix een ander programma direct aanroept.''

Als de mail niet bij een lokaal of virtueel adres hoort, checkt postfix of de inkomende mail is gestuurd naar een domein waarvoor A-Eskwadraat mail relayet. Deze mail word onveranderd naar de mailserver van dat domein verstuurd (relaying). Dit voorkomt verlies van mail voor het externe domein wanneer hun mailserver uitvalt, aangezien A-Eskwadraat de secondary mailserver is voor dat domein. Een uitzondering op de regel is mail bedoeld voor de webserver. Mail aan de webcie komt binnen op de mail server, maar moet worden doorgestuurd naar de webserver. De verwijzingen zijn te vinden in ''/etc/postfix/transport_www'' en ''/etc/postfix/transport_regex''.

Let op dat deze uitleg heel erg bot is. Lees de relevante ''man'' pages van Postfix om te leren hoe mail word verwerkt. Let op dat veranderingen in een alias/transport/domain map niet worden opgemerkt tot het ''postmap'' of ''postalias'' op het bestand is aangeroepen!

=== Mail Authorisatie ===

Om te controleren of een gebruiker wel als een adres mag mailen wordt gebruik gemaakt van de smtpd_sender_login_maps optie voor postfix, die in een database de users opzoekt die als gegeven adres mogen versturen. Als er via SMTP een request gedaan wordt om van buitenaf een mail te versturen doet postfix een query en kijkt welke users als die alias mail mogen versturen. Deze config is op de vm-mailpp te vinden in `/etc/postfix/alias_auth.cf`.

De database wordt gegenereerd door een python script die op de vm-sysop staat bij de sysop api, aangezien daar de mail aliases al staan voor de alias_check. Het python script, te vinden in `/var/www/html/api/python/mail-authorization.py`, loopt recursief langs alle users die in cies, bestuur, extern of iba zitten en kijkt daarnaast ook naar mail aliassen. Aan de hand hiervan wordt met een sql query alle transitieve relaties expliciet gemaakt, zodat dit niet runtime gedaan moet worden. Als een alias naar een cie wordt doorgestuurd, en een user weer in die cie zit, wil je dat die user ook als die alias mag mailen. Als database wordt PostgreSQL gebruikt op de vm-database. De database die gebruikt wordt heet "mail". In de python code staan nog wat comments. Er draait op de vm-sysop een cron die af en toe de database refreshed. Daarnaast is het python script ook intern bereikbaar [http://vm-sysop.a-eskwadraat.nl/api/python/mail-authorization.py hier]. Bij het laden van deze pagina wordt de database gerefreshed. Op deze manier kan de database meteen gerefreshed worden zodra iemand toegevoegd is aan een cie. Als er in een alias een wildcard staat (*@bapc.eu: bapc), wat betekend dat alles van het domein bapc.eu naar de bapc commissie wordt gestuurd, wordt dit omgezet naar een SQL wildcard, wat uiteindelijk dus netjes werkt.

=== Mailfiltering ===

Postfix maakt gebruik van amavisd voor het filteren van de inkomende mail. Amavis is een interface voor SpamAssassin welke spam filtert en ClamAV welke mails op virussen scant. Check de configuratie op [[Vm-saltmaster|vm-saltmaster]] voor details.

Om de virus database up te daten:
<pre>freshclam
</pre>

== Mailman ==

Mailman is verantwoordelijk voor de infrastructuur van de mailing lists. De mailing lists zijn te vinden op [lists.a-eskwadraat.nl/mailman lists.a-eskwadraat.nl/mailman]. Er zijn twee belangrijke services om mailman te draaien: mailman en httpd. De configuratie van mailman bevind zich in ''/etc/mailman/'', de data bevind zich in ''/var/lib/mailman'', en de binaries bevinden zich in ''/usr/lib/mailman''.

Gebruik de scripts in /usr/lib/mailman/bin om de mailing lists vanaf de command-line te wijzigen. De volgende commando's zijn belangrijk bij het debuggen / migreren van mailman:

*check_perms: repareert de bestandsrechten van mailman-specifieke bestanden.
*with_list & fix_url: repareert de links van de mailman archieven indien deze zijn veranderd.

Lees de [http://wiki.list.org/DOC/4.09%20Summary%20of%20the%20mailman%20bin%20commands MailmanWiki] voor een samenvatting van alle commands.

Mailman werkt samen met de Postfix mailserver via de alias map ''/etc/mailman/aliases''. Voer het volgende commando uit na het toevoegen/verwijderen van een lijst zodat Postfix zijn alias database update:
<pre>postalias /etc/mailman/aliases
</pre>

Na een migratie van de mailman lijsten is het belangrijk om ''restorecon'' uit te voeren op ''/var/lib/mailman''. Mailman en SELinux werken prima samen zolang de rechten maar goed staan.
<pre># Samenvatting van een Mailman migratie.
# Op de nieuwe mailserver.
rsync -azv -e "ssh -i <sshkey>" <OUDEHOST>:/var/lib/mailman/ /var/lib/mailman/
restorecon -r /var/lib/mailman/
cd /usr/lib/mailman/
bin/check_perms -f
bin/withlist -l -a -r fix_url
</pre>

== Dovecot ==

Dovecot is de IMAP server verantwoordelijk voor het ophalen en beheren van de mail opgeslagen in de homedirs. Mail wordt opgeslagen in de .Maildir van een gebruik zijn home directory. Momenteel is vm-mail de actieve IMAP server van A-Eskwadraat. De server luistert op poort 143 (standaard IMAP poort) en vereist een TLS-encrypted verbinding van de gebruiker. Het certificaat voor de verbinding is anders dan het certificaat van de webserver.  Dovecot authenticeert gebruikers door middel van SASL-kerberos met de IPA servers. Dovecot werkt ook als authenticatie-server voor postfix door middel van een open socket. Een SELinux module is vereist om Postfix toegang te geven tot de socket.

Voor meer configuratie details, zie de configuratie op de salt-master. (CentOS 6: /srv/salt/centos/vm-mail/dovecot, CentOS 7: /srv/salt/centos7/dovecot)

'''AL DE CONFIGURATIE HIERONDER IS GIGANTISCH OUT OF DATE''' \/\/\/

== Configuratie mailfilters ==

Gebruik je een ''.forward'' of ''.procmailrc'' om e-mail direct in mappen te stoppen, let dan op de naamgeving (zie hierboven) en zorg ervoor dat de mappen altijd op een ''/'' eindigen. Begin je ''.procmailrc'' ook altijd met de regel

MAILDIR=$HOME/Maildir/

om te zorgen dat e-mail toch niet in ''/var/mail'' terechtkomt.

== Maak een mailserver met exim, en dovecot ==

Zorg eerst dat sendmail uit staat!
<pre>service sendmail stop
chkconfig sendmail off
</pre>

Bij voorkeur verwijder je ook de package voor [[Postfix|postfix]]. Deze is standaard bij CentOS geïnstalleerd.

=== Exim ===

Exim is een MTA (Mail Transfer Agent) en is ervoor om mailtjes te versturen, ontvangen, en doorsturen. Dit gebeurd uiteraard op de mailserver!

Installeer allereerst exim op de host.
<pre># yum install exim
</pre>

Verander vervolgens het configuratie bestand /etc/exim/exim.conf:
<pre># Het Mail domain - normaal gesproken a-eskwadraat.nl
primary_hostname = circle.a-eskwadraat.nl

# Weiger met ipv6 te werken.
local_interfaces = 0.0.0.0
disable_ipv6 = true

daemon_smtp_ports = smtp : submission
accept_8bitmime = true

# Lijsten van geldige mail domainin.
domainlist mailman_domains = CONFDIR/domains.mailman
domainlist local_domains = @ : CONFDIR/domains.local : +mailman_domains : lsearch;CONFDIR/domains.virtual
domainlist relay_to_domains = CONFDIR/domains.relay

hostlist relay_from_hosts = 10.14.3.0/22

# Backup mail server in het geval dat onze niet werkt.
hostlist mx_hosts = mail.wolffelaar.nl

qualify_domain = A-Eskwadraat.nl

queue_run_max = 250

smtp_accept_max = 100
smtp_accept_max_per_host = ${if match_ip{$sender_host_address}{+mx_hosts}{50}{10}}

received_headers_max = 30

RETRY_SECONDARY=F,90d,15m
RETRY_REST=F,2h,15m; G,16h,2h,1.5; F,4d,8h

acl_smtp_rcpt = acl_check_rcpt
acl_not_smtp_start = acl_check_not_smtp
acl_smtp_data = acl_check_data

host_lookup = *
helo_try_verify_hosts = !@ : !@[]
helo_allow_chars = _

# ClamAV - The Anti-Virus Scanner
av_scanner = clamd:/var/run/clamav/clamd.sock

# Custom 5s limiet.
rfc1413_query_timeout = 5s

# Mailman support, als per /usr/share/doc/mailman/README.EXIM.gz
MAILMAN_HOME=/var/lib/mailman
MAILMAN_WRAP=/usr/lib/mailman/mail/mailman
MAILMAN_USER=mailman
MAILMAN_GROUP=mailman
</pre>

=== Dovecot ===

Dovecot is een IMAP en POP3 server, wat inhoud dat het mailtjes kan ontvangen, iets wat best wel handig is om te hebben. Installeer dovecot op je mailserver als je dat nog niet gedaan hebt. Verander dan nu het volgende:

In /etc/dovecot/dovecot.conf:

*protocols = imap
*login_trusted_networks = <ip-adressen die je vertrouwd>

In /etc/dovecot/conf.d/10-mail.conf

*mail_location = maildir:~/Maildir
*lock_method = dotlock

In /etc/dovecot/conf.d/10-auth.conf

*disable_plaintext_auth = no
*auth_realms = aeskwadraat
*auth_default_realm = aeskwadraat
*auth_gssapi_hostname = <ipa-server>
*auth_krb5_keytab = /etc/dovecot/krb5.keytab
*auth_mechanisms = plain gssapi

en zet op het einde
<pre>userdb {
driver = static
args = uid=dovecot gid=dovecot home=/var/spool/mail/%u
}
</pre>

Maak nu op de ipa-server een service imap aan met de mailserver als host. Dit kan je doen via de webinterface. Voer vervolgens het volgende uit op de mailserver:
<pre>kinit admin
ipa-getkeytab -s <ipa-server> -p imap/<mailserver> -k /etc/dovecot/krb5.keytab
chown root:dovecot /etc/dovecot/krb5.keytab
chmod 640 /etc/dovecot/krb5.keytab
</pre>

Restart dovecot en zet hem standaard aan:
<pre>service dovecot restart
chkconfig dovecot on
</pre>

Zet tenslotte nog met system-config-firewall-tui 'imap over ssl' en 'mail (smtp)' aan, en voila! Je kan nu met ipa-users gebruik maken van IMAP om mailtjes te ontvangen!

Je kan eventueel in /etc/postfix/main.cf en /etc/dovecot/conf.d/10-mail.conf nog het een ander van waar de mail wordt opgeslagen veranderen.

=== Spamassassin ===

Spamassassin is een mailfilteringprogramma voor spam. Om het te installeren:
<pre>yum install spamassassin
</pre>

Maak nu de user en group spamd aan:
<pre>groupadd -g 5001 spamd
useradd -u 5001 -g spamd -s /sbin/nologin -d /var/lib/spamassassin spamd
mkdir /var/lib/spamassassin
chown spamd:spamd /var/lib/spamassassin
</pre>

Zet dan het volgende in /etc/mail/spamassassin/local.cf:
<pre>required_score 5.0
report_safe 0
rewrite_header Subject [***SPAM***]

# Enable the Bayes system
use_bayes 1
use_bayes_rules 1
# Enable Bayes auto-learning
bayes_auto_learn 1
</pre>

Verander nu in /etc/postfix/master.cf
<pre>smtp inet n - n - - smtpd
</pre>

in
<pre>smtp inet n - n - - smtpd -o content_filter=spamassassin
</pre>

en stop op het einde van master.cf:
<pre>spamassassin unix - n n - - pipe flags=R user=spamd argv=/usr/bin/spamc -e /usr/sbin/sendmail -oi -f ${sender} ${recipient}
</pre>

Restart nu spamassassin en postfix:
<pre>chkconfig spamassassin on
service spamassassin restart
service postfix restart
</pre>

=== Aliases ===

In postfix staan de locaties van de aliases in /etc/postfix/main.cf. Deze kan je vinden bij de regel 'alias_maps = ...'. Als je een nieuw aliasbestand wilt toevoegen, voeg dit dan ook toe bij deze regel als hash:<bestandslocatie>. Vergeet ook niet om dit toe te voegen bij alias_database!.

De aliases zelf staan geconfigureerd in de aliasbestanden die te vinden zijn onder /etc/postfix/alias/. Als je een nieuwe alias in een bestand hebt gezet moet je het db-bestand up-to-date make door het commando 'postalias *bestand*' uitvoeren. Let erop dat de bestandsnaam de naam van het bestand is wat je gewijzigd hebt, niet een bestand met extensie '.db'.

== Instellingen ==

=== Postfix ===

==== Mail relay ====

Postfix kan mail relayen naar een extern domein. Hiervoor is de volgende regel:
<pre>relay_domains = $mydestination, hash:/etc/postfix/domains.relay
</pre>

In het bestand /etc/postfix/domains.relay staat de lijst van alle externe domains waar mail naar toe gerelayed wordt. Als je iets in het bestand wijzigt, vergeet dan niet om daarna het commando
<pre>postmap /etc/postfix/domains.relay
</pre>

uit te voeren.

==== Whitelist ====

Postfix kan gebruik maken van een whitelist. Zorg hiervoor dat er het volgende in /etc/postfix/main.cf staat:
<pre>smtpd_client_restrictions = check_client_access hash:/etc/postfix/client.access
</pre>

In het bestand /etc/postfix/client.access staat de lijst van alle domains die geweigerd en toegelaten worden. Als je hier iets in verandert, vergeet dan niet om uit te voeren
<pre>postmap /etc/postfix/access.client
</pre>

== SquirrelMail ==

SquirrelMail is een webmail-client.

=== SquirrelMail installeren ===

Installeer eerst natuurlijk Squirrelmail:
<pre>yum install squirrelmail
</pre>

Zorg ervoor dat httpd standaard aan staat en start httpd:
<pre>chkconfig httpd on
service httpd start
</pre>

Verander nu het volgende in /etc/squirrelmail/config.php:
<pre>$org_name = "A-Eskwadraat";
$org_logo = SM_PATH . 'images/sm_logo.png';
$org_logo_width = '308';
$org_logo_height = '111';
$org_title = 'A-Eskwadraat SquirrelMail $version";
$signout_page = 'vm-mail.a-eskwadraat.nl';

$domain = 'circle.a-eskwadraat.nl';
$imapServerAddress = 'localhost';
$useSendmail = false;
$smtpServerAddress = 'localhost';
$pop_before_smtp = false;

</pre>

Zet nu het A-Eskwadraat logo in de squirrelmail config map.
<pre>setsebool -P httpd_can_network_connect 1
</pre>

== RoundcubeMail ==

Roundcube is ook een webmail client.

=== Installeren ===

Op vm-salt-master staat een configuratie voor een Roundcube mail VM met een korte readme. Deze zorgt ervoor dat httpd, roundcubemail en mariadb geinstalleerd staan. Salt een VM met deze configuratie.
<pre>salt '$hostname' state.highstate
</pre>

Laat vervolgens httpd van die VM door de firewall heen. Daarna moet de database voor Roundcube geinitialiseerd worden. Dit gaat met mysql.
<pre>CREATE DATABASE roundcubemail;
GRANT ALL PRIVILEGES on roundcubemail.* TO roundcube@localhost IDENTIFIED BY '$password';
FLUSH PRIVILEGES;
</pre>

Nu moet de timezone nog even ingesteld worden in /etc/php.ini op de roundcube VM. Daarna moeten er nog de juiste tables in de database worden gezet. Dit kan door op de nieuwe VM de bestanden in /etc/roundcubemail/databasefiles te runnen met mysql.
<pre>mysql roundcubemail < mysql.initial.sql
</pre>
[[Category:Sysop]]

Mail

2016-02-17T19:36:54Z

Albertp: mailauthorisatie kleinere header

Bij A–Eskwadraat gebruiken we '''Maildir''' voor de opslag van e-mail van gebruikers. We raden gebruikers aan om niet direct de Maildirmappen te benaderen, maar om dit via [http://en.wikipedia.org/wiki/Internet_Message_Access_Protocol IMAP] of [http://www.washington.edu/alpine/ Alpine] te doen. De standaardconfiguratie van de meeste mailclients staat hier ook voor ingesteld.

== Services ==

Op [[Haskell|haskell]] draait de virtuele machine vm-mailpp (spreek uit: mail plus plus) om het mailverkeer van en naar A-Eskwadraat te regelen:

*[http://www.postfix.org/ postfix] (''/etc/postfix/'') verwerkt in principe alle binnenkomende mails, en wat er waarheen doorgestuurd moet worden;
*[http://www.dovecot.org/ dovecot] (''/etc/dovecot/'') neemt de POP- en IMAP-servers voor zijn rekening;
*[https://www.amavis.org/ amavis] (''/etc/amavisd/'') geeft alle binnenkomende mails door aan SpamAssassin en ClamAV om gefilterd te worden;
*[http://spamassassin.apache.org/ SpamAssassin] (''/etc/mail/spamassassin/'') [[Mailfiltering|filtert]] de spam uit het binnenkomende mailverkeer;
*[http://http://www.clamav.net/lang/en/ ClamAV] (''/etc/clamd.d/'') scant het mailverkeer voor virussen en dergelijke;
*[https://roundcube.net/ RoundCube] (''/etc/roundcubemail/'', ''/usr/share/roundcubemail'') is een webmailclient die in een [https://www.apache.org/ apache] webserver op vm-mailpp draait;
*[http://www.list.org/ Mailman] (''/etc/mailman/'') Mailman is verantwoordelijk voor de mailing lists, zoals de BBCie-announce.

== Naamgeving Maildirmappen ==

Let op dat om voor dovecot begrijpbare namen te hebben, de mappen op in ''~/Maildir'' altijd met een punt moeten beginnen. Submappen werken ook op deze manier. Een paar voorbeelden:

*''~/Maildir/.Intro/'' voor de IMAP-map ''Intro'';
*''~/Maildir/.Sysop.postmaster/'' voor de map ''postmaster'' als submap van ''Sysop''.

Als de mappen via IMAP worden aangemaakt gebeurt dit automatisch.

== Postfix ==

Postfix is de SMTP server voor de vm-mailpp.

Postfix gebruikt meerdere ports om mail te ontvangen en te verwerken. Mail die wordt gestuurd door leden moet naar de SMTP daemon op port 587 (''submission'' poort) worden gestuurd. Authenticatie en TLS encryptie zijn een vereiste op deze verbinding. In de toekomst zal de [[Router|Router]] de encryptie tussen client en mail-server regelen. Alle andere mail komt binnen op port 25. Spam- en virus-filtering gebeurd via de SMTP daemons op ports 10025 en 10027 voor onbekende en bekende mail, respectievelijk.

In ''/etc/postfix/master.cf'' staat de configuratie van deze daemons. De configuratie in ''/etc/postfix/main.cf'' wordt gebruikt voor zaken die niet in ''master.cf'' zijn opgegeven; in principe staat hier de configuratie voor poort 25 en worden de opties specifiek voor de andere poorten opgegeven in ''master.cf''.

=== Transport ===

Eerst checkt Postfix of de inkomende mail aan een lokaal mailadres is gestuurd. Welke domeinen als 'lokaal' worden bestempeld staat in ''/etc/postfix/domains/local''. Voor lokale mailadressen geldt, dat het domein in de verdere configuratie kan worden weggelaten. Daarna checkt Postfix of de inkomende mail naar een virtueel domein is gestuurd. Mailadressen van domeinen zoals turingslegacy.nl worden herschreven naar lokale mailadressen (zonder domeinnaam). De virtuele domeinen staan in ''/etc/postfix/domains/virtual''.

De overblijvende adressen, worden opgezocht in de bestanden met aliases in /etc/postfix/aliases, om te zien of de mail toevallig naar een ander lokaal mailadres doorgestuurd moet worden. Postfix gebruikt hiervoor de bestanden in .db formaat, de tekstbestanden zonder extensie zijn voor ons als sysop leesbaar en te bewerken maar moeten wel met ''postalias'' in een .db bestand omgezet worden naar iedere wijziging. Als iemand dit vergeet na het aanpassen van een bestand met aliases, plaatst postfix een melding in ''/var/log/maillog'': "database file ''bestandsnaam''.db is older than source file ''bestandsnaam''. Nu blijven er als het goed is, alleen gebruikersnamen over die op het systeem bestaan. Voor deze gebruikers wordthet bestand ''.forward''de gebruikersnaam voorafgegaan door een backslash (\) wordt aangetroffen, wordt de mail in de Maildir map van die gebruiker geplaatst. Als een regel met een pipe (|) wordt aangetroffen, wordt het mailbericht doorgegeven als standard input aan het commando dat achter het |-teken staat. Andere regels met tekst worden geïnterpreteerd als mailadressen (lokaal zonder domeinnaam of willekeurig mailadres met domeinnaam) waarnaar de mail moet worden doorgestuurd. ''Let op bij het gebruiken van de pipe (|): het kan zijn dat SELinux niet toestaat dat postfix een ander programma direct aanroept.'' Als de mail niet bij een lokaal of virtueel adres hoort, checkt postfix of de inkomende mail is gestuurd naar een domein waarvoor A-Eskwadraat mail relayet. Deze mail word onveranderd naar de mailserver van dat domein verstuurd (relaying). Dit voorkomt verlies van mail voor het externe domein wanneer hun mailserver uitvalt, aangezien A-Eskwadraat de secondary mailserver is voor dat domein. Een uitzondering op de regel is mail bedoeld voor de webserver. Mail aan de webcie komt binnen op de mail server, maar moet worden doorgestuurd naar de webserver. De verwijzingen zijn te vinden in ''/etc/postfix/transport_www'' en ''/etc/postfix/transport_regex''.

Let op dat deze uitleg heel erg bot is. Lees de relevante ''man'' pages van Postfix om te leren hoe mail word verwerkt. Let op dat veranderingen in een alias/transport/domain map niet worden opgemerkt tot het ''postmap'' of ''postalias'' op het bestand is aangeroepen!

=== Mail Authorisatie ===

Om te controleren of een gebruiker wel als een adres mag mailen wordt gebruik gemaakt van de smtpd_sender_login_maps optie voor postfix, die in een database de users opzoekt die als gegeven adres mogen versturen. Als er via SMTP een request gedaan wordt om van buitenaf een mail te versturen doet postfix een query en kijkt welke users als die alias mail mogen versturen. Deze config is op de vm-mailpp te vinden in `/etc/postfix/alias_auth.cf`.

De database wordt gegenereerd door een python script die op de vm-sysop staat bij de sysop api, aangezien daar de mail aliases al staan voor de alias_check. Het python script, te vinden in `/var/www/html/api/python/mail-authorization.py`, loopt recursief langs alle users die in cies, bestuur, extern of iba zitten en kijkt daarnaast ook naar mail aliassen. Aan de hand hiervan wordt met een sql query alle transitieve relaties expliciet gemaakt, zodat dit niet runtime gedaan moet worden. Als een alias naar een cie wordt doorgestuurd, en een user weer in die cie zit, wil je dat die user ook als die alias mag mailen. Als database wordt PostgreSQL gebruikt op de vm-database. De database die gebruikt wordt heet "mail". In de python code staan nog wat comments. Er draait op de vm-sysop een cron die af en toe de database refreshed. Daarnaast is het python script ook intern bereikbaar [http://vm-sysop.a-eskwadraat.nl/api/python/mail-authorization.py hier]. Bij het laden van deze pagina wordt de database gerefreshed. Op deze manier kan de database meteen gerefreshed worden zodra iemand toegevoegd is aan een cie. Als er in een alias een wildcard staat (*@bapc.eu: bapc), wat betekend dat alles van het domein bapc.eu naar de bapc commissie wordt gestuurd, wordt dit omgezet naar een SQL wildcard, wat uiteindelijk dus netjes werkt.

=== Mailfiltering ===

Postfix maakt gebruik van amavisd voor het filteren van de inkomende mail. Amavis is een interface voor SpamAssassin welke spam filtert en ClamAV welke mails op virussen scant. Check de configuratie op [[Vm-saltmaster|vm-saltmaster]] voor details.

Om de virus database up te daten:
<pre>freshclam
</pre>

== Mailman ==

Mailman is verantwoordelijk voor de infrastructuur van de mailing lists. De mailing lists zijn te vinden op [lists.a-eskwadraat.nl/mailman lists.a-eskwadraat.nl/mailman]. Er zijn twee belangrijke services om mailman te draaien: mailman en httpd. De configuratie van mailman bevind zich in ''/etc/mailman/'', de data bevind zich in ''/var/lib/mailman'', en de binaries bevinden zich in ''/usr/lib/mailman''.

Gebruik de scripts in /usr/lib/mailman/bin om de mailing lists vanaf de command-line te wijzigen. De volgende commando's zijn belangrijk bij het debuggen / migreren van mailman:

*check_perms: repareert de bestandsrechten van mailman-specifieke bestanden.
*with_list & fix_url: repareert de links van de mailman archieven indien deze zijn veranderd.

Lees de [http://wiki.list.org/DOC/4.09%20Summary%20of%20the%20mailman%20bin%20commands MailmanWiki] voor een samenvatting van alle commands.

Mailman werkt samen met de Postfix mailserver via de alias map ''/etc/mailman/aliases''. Voer het volgende commando uit na het toevoegen/verwijderen van een lijst zodat Postfix zijn alias database update:
<pre>postalias /etc/mailman/aliases
</pre>

Na een migratie van de mailman lijsten is het belangrijk om ''restorecon'' uit te voeren op ''/var/lib/mailman''. Mailman en SELinux werken prima samen zolang de rechten maar goed staan.
<pre># Samenvatting van een Mailman migratie.
# Op de nieuwe mailserver.
rsync -azv -e "ssh -i <sshkey>" <OUDEHOST>:/var/lib/mailman/ /var/lib/mailman/
restorecon -r /var/lib/mailman/
cd /usr/lib/mailman/
bin/check_perms -f
bin/withlist -l -a -r fix_url
</pre>

== Dovecot ==

Dovecot is de IMAP server verantwoordelijk voor het ophalen en beheren van de mail opgeslagen in de homedirs. Mail wordt opgeslagen in de .Maildir van een gebruik zijn home directory. Momenteel is vm-mail de actieve IMAP server van A-Eskwadraat. De server luistert op poort 143 (standaard IMAP poort) en vereist een TLS-encrypted verbinding van de gebruiker. Het certificaat voor de verbinding is anders dan het certificaat van de webserver.  Dovecot authenticeert gebruikers door middel van SASL-kerberos met de IPA servers. Dovecot werkt ook als authenticatie-server voor postfix door middel van een open socket. Een SELinux module is vereist om Postfix toegang te geven tot de socket.

Voor meer configuratie details, zie de configuratie op de salt-master. (CentOS 6: /srv/salt/centos/vm-mail/dovecot, CentOS 7: /srv/salt/centos7/dovecot)

'''AL DE CONFIGURATIE HIERONDER IS GIGANTISCH OUT OF DATE''' \/\/\/

== Configuratie mailfilters ==

Gebruik je een ''.forward'' of ''.procmailrc'' om e-mail direct in mappen te stoppen, let dan op de naamgeving (zie hierboven) en zorg ervoor dat de mappen altijd op een ''/'' eindigen. Begin je ''.procmailrc'' ook altijd met de regel

MAILDIR=$HOME/Maildir/

om te zorgen dat e-mail toch niet in ''/var/mail'' terechtkomt.

== Maak een mailserver met exim, en dovecot ==

Zorg eerst dat sendmail uit staat!
<pre>service sendmail stop
chkconfig sendmail off
</pre>

Bij voorkeur verwijder je ook de package voor [[Postfix|postfix]]. Deze is standaard bij CentOS geïnstalleerd.

=== Exim ===

Exim is een MTA (Mail Transfer Agent) en is ervoor om mailtjes te versturen, ontvangen, en doorsturen. Dit gebeurd uiteraard op de mailserver!

Installeer allereerst exim op de host.
<pre># yum install exim
</pre>

Verander vervolgens het configuratie bestand /etc/exim/exim.conf:
<pre># Het Mail domain - normaal gesproken a-eskwadraat.nl
primary_hostname = circle.a-eskwadraat.nl

# Weiger met ipv6 te werken.
local_interfaces = 0.0.0.0
disable_ipv6 = true

daemon_smtp_ports = smtp : submission
accept_8bitmime = true

# Lijsten van geldige mail domainin.
domainlist mailman_domains = CONFDIR/domains.mailman
domainlist local_domains = @ : CONFDIR/domains.local : +mailman_domains : lsearch;CONFDIR/domains.virtual
domainlist relay_to_domains = CONFDIR/domains.relay

hostlist relay_from_hosts = 10.14.3.0/22

# Backup mail server in het geval dat onze niet werkt.
hostlist mx_hosts = mail.wolffelaar.nl

qualify_domain = A-Eskwadraat.nl

queue_run_max = 250

smtp_accept_max = 100
smtp_accept_max_per_host = ${if match_ip{$sender_host_address}{+mx_hosts}{50}{10}}

received_headers_max = 30

RETRY_SECONDARY=F,90d,15m
RETRY_REST=F,2h,15m; G,16h,2h,1.5; F,4d,8h

acl_smtp_rcpt = acl_check_rcpt
acl_not_smtp_start = acl_check_not_smtp
acl_smtp_data = acl_check_data

host_lookup = *
helo_try_verify_hosts = !@ : !@[]
helo_allow_chars = _

# ClamAV - The Anti-Virus Scanner
av_scanner = clamd:/var/run/clamav/clamd.sock

# Custom 5s limiet.
rfc1413_query_timeout = 5s

# Mailman support, als per /usr/share/doc/mailman/README.EXIM.gz
MAILMAN_HOME=/var/lib/mailman
MAILMAN_WRAP=/usr/lib/mailman/mail/mailman
MAILMAN_USER=mailman
MAILMAN_GROUP=mailman
</pre>

=== Dovecot ===

Dovecot is een IMAP en POP3 server, wat inhoud dat het mailtjes kan ontvangen, iets wat best wel handig is om te hebben. Installeer dovecot op je mailserver als je dat nog niet gedaan hebt. Verander dan nu het volgende:

In /etc/dovecot/dovecot.conf:

*protocols = imap
*login_trusted_networks = <ip-adressen die je vertrouwd>

In /etc/dovecot/conf.d/10-mail.conf

*mail_location = maildir:~/Maildir
*lock_method = dotlock

In /etc/dovecot/conf.d/10-auth.conf

*disable_plaintext_auth = no
*auth_realms = aeskwadraat
*auth_default_realm = aeskwadraat
*auth_gssapi_hostname = <ipa-server>
*auth_krb5_keytab = /etc/dovecot/krb5.keytab
*auth_mechanisms = plain gssapi

en zet op het einde
<pre>userdb {
driver = static
args = uid=dovecot gid=dovecot home=/var/spool/mail/%u
}
</pre>

Maak nu op de ipa-server een service imap aan met de mailserver als host. Dit kan je doen via de webinterface. Voer vervolgens het volgende uit op de mailserver:
<pre>kinit admin
ipa-getkeytab -s <ipa-server> -p imap/<mailserver> -k /etc/dovecot/krb5.keytab
chown root:dovecot /etc/dovecot/krb5.keytab
chmod 640 /etc/dovecot/krb5.keytab
</pre>

Restart dovecot en zet hem standaard aan:
<pre>service dovecot restart
chkconfig dovecot on
</pre>

Zet tenslotte nog met system-config-firewall-tui 'imap over ssl' en 'mail (smtp)' aan, en voila! Je kan nu met ipa-users gebruik maken van IMAP om mailtjes te ontvangen!

Je kan eventueel in /etc/postfix/main.cf en /etc/dovecot/conf.d/10-mail.conf nog het een ander van waar de mail wordt opgeslagen veranderen.

=== Spamassassin ===

Spamassassin is een mailfilteringprogramma voor spam. Om het te installeren:
<pre>yum install spamassassin
</pre>

Maak nu de user en group spamd aan:
<pre>groupadd -g 5001 spamd
useradd -u 5001 -g spamd -s /sbin/nologin -d /var/lib/spamassassin spamd
mkdir /var/lib/spamassassin
chown spamd:spamd /var/lib/spamassassin
</pre>

Zet dan het volgende in /etc/mail/spamassassin/local.cf:
<pre>required_score 5.0
report_safe 0
rewrite_header Subject [***SPAM***]

# Enable the Bayes system
use_bayes 1
use_bayes_rules 1
# Enable Bayes auto-learning
bayes_auto_learn 1
</pre>

Verander nu in /etc/postfix/master.cf
<pre>smtp inet n - n - - smtpd
</pre>

in
<pre>smtp inet n - n - - smtpd -o content_filter=spamassassin
</pre>

en stop op het einde van master.cf:
<pre>spamassassin unix - n n - - pipe flags=R user=spamd argv=/usr/bin/spamc -e /usr/sbin/sendmail -oi -f ${sender} ${recipient}
</pre>

Restart nu spamassassin en postfix:
<pre>chkconfig spamassassin on
service spamassassin restart
service postfix restart
</pre>

=== Aliases ===

In postfix staan de locaties van de aliases in /etc/postfix/main.cf. Deze kan je vinden bij de regel 'alias_maps = ...'. Als je een nieuw aliasbestand wilt toevoegen, voeg dit dan ook toe bij deze regel als hash:<bestandslocatie>. Vergeet ook niet om dit toe te voegen bij alias_database!.

De aliases zelf staan geconfigureerd in de aliasbestanden die te vinden zijn onder /etc/postfix/alias/. Als je een nieuwe alias in een bestand hebt gezet moet je het db-bestand up-to-date make door het commando 'postalias *bestand*' uitvoeren. Let erop dat de bestandsnaam de naam van het bestand is wat je gewijzigd hebt, niet een bestand met extensie '.db'.

== Instellingen ==

=== Postfix ===

==== Mail relay ====

Postfix kan mail relayen naar een extern domein. Hiervoor is de volgende regel:
<pre>relay_domains = $mydestination, hash:/etc/postfix/domains.relay
</pre>

In het bestand /etc/postfix/domains.relay staat de lijst van alle externe domains waar mail naar toe gerelayed wordt. Als je iets in het bestand wijzigt, vergeet dan niet om daarna het commando
<pre>postmap /etc/postfix/domains.relay
</pre>

uit te voeren.

==== Whitelist ====

Postfix kan gebruik maken van een whitelist. Zorg hiervoor dat er het volgende in /etc/postfix/main.cf staat:
<pre>smtpd_client_restrictions = check_client_access hash:/etc/postfix/client.access
</pre>

In het bestand /etc/postfix/client.access staat de lijst van alle domains die geweigerd en toegelaten worden. Als je hier iets in verandert, vergeet dan niet om uit te voeren
<pre>postmap /etc/postfix/access.client
</pre>

== SquirrelMail ==

SquirrelMail is een webmail-client.

=== SquirrelMail installeren ===

Installeer eerst natuurlijk Squirrelmail:
<pre>yum install squirrelmail
</pre>

Zorg ervoor dat httpd standaard aan staat en start httpd:
<pre>chkconfig httpd on
service httpd start
</pre>

Verander nu het volgende in /etc/squirrelmail/config.php:
<pre>$org_name = "A-Eskwadraat";
$org_logo = SM_PATH . 'images/sm_logo.png';
$org_logo_width = '308';
$org_logo_height = '111';
$org_title = 'A-Eskwadraat SquirrelMail $version";
$signout_page = 'vm-mail.a-eskwadraat.nl';

$domain = 'circle.a-eskwadraat.nl';
$imapServerAddress = 'localhost';
$useSendmail = false;
$smtpServerAddress = 'localhost';
$pop_before_smtp = false;

</pre>

Zet nu het A-Eskwadraat logo in de squirrelmail config map.
<pre>setsebool -P httpd_can_network_connect 1
</pre>

== RoundcubeMail ==

Roundcube is ook een webmail client.

=== Installeren ===

Op vm-salt-master staat een configuratie voor een Roundcube mail VM met een korte readme. Deze zorgt ervoor dat httpd, roundcubemail en mariadb geinstalleerd staan. Salt een VM met deze configuratie.
<pre>salt '$hostname' state.highstate
</pre>

Laat vervolgens httpd van die VM door de firewall heen. Daarna moet de database voor Roundcube geinitialiseerd worden. Dit gaat met mysql.
<pre>CREATE DATABASE roundcubemail;
GRANT ALL PRIVILEGES on roundcubemail.* TO roundcube@localhost IDENTIFIED BY '$password';
FLUSH PRIVILEGES;
</pre>

Nu moet de timezone nog even ingesteld worden in /etc/php.ini op de roundcube VM. Daarna moeten er nog de juiste tables in de database worden gezet. Dit kan door op de nieuwe VM de bestanden in /etc/roundcubemail/databasefiles te runnen met mysql.
<pre>mysql roundcubemail < mysql.initial.sql
</pre>
[[Category:Sysop]]

Mail

2016-02-17T19:34:56Z

Albertp: postfix verduidelijken en mailauthorisatie naar boven verplaatsen, bij de "gigantisch out of date config" vandaan.

Bij A–Eskwadraat gebruiken we '''Maildir''' voor de opslag van e-mail van gebruikers. We raden gebruikers aan om niet direct de Maildirmappen te benaderen, maar om dit via [http://en.wikipedia.org/wiki/Internet_Message_Access_Protocol IMAP] of [http://www.washington.edu/alpine/ Alpine] te doen. De standaardconfiguratie van de meeste mailclients staat hier ook voor ingesteld.

== Services ==

Op [[Haskell|haskell]] draait de virtuele machine vm-mailpp (spreek uit: mail plus plus) om het mailverkeer van en naar A-Eskwadraat te regelen:

*[http://www.postfix.org/ postfix] (''/etc/postfix/'') verwerkt in principe alle binnenkomende mails, en wat er waarheen doorgestuurd moet worden;
*[http://www.dovecot.org/ dovecot] (''/etc/dovecot/'') neemt de POP- en IMAP-servers voor zijn rekening;
*[https://www.amavis.org/ amavis] (''/etc/amavisd/'') geeft alle binnenkomende mails door aan SpamAssassin en ClamAV om gefilterd te worden;
*[http://spamassassin.apache.org/ SpamAssassin] (''/etc/mail/spamassassin/'') [[Mailfiltering|filtert]] de spam uit het binnenkomende mailverkeer;
*[http://http://www.clamav.net/lang/en/ ClamAV] (''/etc/clamd.d/'') scant het mailverkeer voor virussen en dergelijke;
*[https://roundcube.net/ RoundCube] (''/etc/roundcubemail/'', ''/usr/share/roundcubemail'') is een webmailclient die in een [https://www.apache.org/ apache] webserver op vm-mailpp draait;
*[http://www.list.org/ Mailman] (''/etc/mailman/'') Mailman is verantwoordelijk voor de mailing lists, zoals de BBCie-announce.

== Naamgeving Maildirmappen ==

Let op dat om voor dovecot begrijpbare namen te hebben, de mappen op in ''~/Maildir'' altijd met een punt moeten beginnen. Submappen werken ook op deze manier. Een paar voorbeelden:

*''~/Maildir/.Intro/'' voor de IMAP-map ''Intro'';
*''~/Maildir/.Sysop.postmaster/'' voor de map ''postmaster'' als submap van ''Sysop''.

Als de mappen via IMAP worden aangemaakt gebeurt dit automatisch.

== Postfix ==

Postfix is de SMTP server voor de vm-mailpp.

Postfix gebruikt meerdere ports om mail te ontvangen en te verwerken. Mail die wordt gestuurd door leden moet naar de SMTP daemon op port 587 (''submission'' poort) worden gestuurd. Authenticatie en TLS encryptie zijn een vereiste op deze verbinding. In de toekomst zal de [[Router|Router]] de encryptie tussen client en mail-server regelen. Alle andere mail komt binnen op port 25. Spam- en virus-filtering gebeurd via de SMTP daemons op ports 10025 en 10027 voor onbekende en bekende mail, respectievelijk.

In ''/etc/postfix/master.cf'' staat de configuratie van deze daemons. De configuratie in ''/etc/postfix/main.cf'' wordt gebruikt voor zaken die niet in ''master.cf'' zijn opgegeven; in principe staat hier de configuratie voor poort 25 en worden de opties specifiek voor de andere poorten opgegeven in ''master.cf''.

=== Transport ===

Eerst checkt Postfix of de inkomende mail aan een lokaal mailadres is gestuurd. Welke domeinen als 'lokaal' worden bestempeld staat in ''/etc/postfix/domains/local''. Voor lokale mailadressen geldt, dat het domein in de verdere configuratie kan worden weggelaten. Daarna checkt Postfix of de inkomende mail naar een virtueel domein is gestuurd. Mailadressen van domeinen zoals turingslegacy.nl worden herschreven naar lokale mailadressen (zonder domeinnaam). De virtuele domeinen staan in ''/etc/postfix/domains/virtual''.

De overblijvende adressen, worden opgezocht in de bestanden met aliases in /etc/postfix/aliases, om te zien of de mail toevallig naar een ander lokaal mailadres doorgestuurd moet worden. Postfix gebruikt hiervoor de bestanden in .db formaat, de tekstbestanden zonder extensie zijn voor ons als sysop leesbaar en te bewerken maar moeten wel met ''postalias'' in een .db bestand omgezet worden naar iedere wijziging. Als iemand dit vergeet na het aanpassen van een bestand met aliases, plaatst postfix een melding in ''/var/log/maillog'': "database file ''bestandsnaam''.db is older than source file ''bestandsnaam''. Nu blijven er als het goed is, alleen gebruikersnamen over die op het systeem bestaan. Voor deze gebruikers wordthet bestand ''.forward''de gebruikersnaam voorafgegaan door een backslash (\) wordt aangetroffen, wordt de mail in de Maildir map van die gebruiker geplaatst. Als een regel met een pipe (|) wordt aangetroffen, wordt het mailbericht doorgegeven als standard input aan het commando dat achter het |-teken staat. Andere regels met tekst worden geïnterpreteerd als mailadressen (lokaal zonder domeinnaam of willekeurig mailadres met domeinnaam) waarnaar de mail moet worden doorgestuurd. ''Let op bij het gebruiken van de pipe (|): het kan zijn dat SELinux niet toestaat dat postfix een ander programma direct aanroept.''
Als de mail niet bij een lokaal of virtueel adres hoort, checkt postfix of de inkomende mail is gestuurd naar een domein waarvoor A-Eskwadraat mail relayet. Deze mail word onveranderd naar de mailserver van dat domein verstuurd (relaying). Dit voorkomt verlies van mail voor het externe domein wanneer hun mailserver uitvalt, aangezien A-Eskwadraat de secondary mailserver is voor dat domein. Een uitzondering op de regel is mail bedoeld voor de webserver. Mail aan de webcie komt binnen op de mail server, maar moet worden doorgestuurd naar de webserver. De verwijzingen zijn te vinden in ''/etc/postfix/transport_www'' en ''/etc/postfix/transport_regex''.

Let op dat deze uitleg heel erg bot is. Lees de relevante ''man'' pages van Postfix om te leren hoe mail word verwerkt. Let op dat veranderingen in een alias/transport/domain map niet worden opgemerkt tot het ''postmap'' of ''postalias'' op het bestand is aangeroepen!

== Mail Authorisatie ==

Om te controleren of een gebruiker wel als een adres mag mailen wordt gebruik gemaakt van de smtpd_sender_login_maps optie voor postfix, die in een database de users opzoekt die als gegeven adres mogen versturen. Als er via SMTP een request gedaan wordt om van buitenaf een mail te versturen doet postfix een query en kijkt welke users als die alias mail mogen versturen. Deze config is op de vm-mailpp te vinden in `/etc/postfix/alias_auth.cf`.

De database wordt gegenereerd door een python script die op de vm-sysop staat bij de sysop api, aangezien daar de mail aliases al staan voor de alias_check. Het python script, te vinden in `/var/www/html/api/python/mail-authorization.py`, loopt recursief langs alle users die in cies, bestuur, extern of iba zitten en kijkt daarnaast ook naar mail aliassen. Aan de hand hiervan wordt met een sql query alle transitieve relaties expliciet gemaakt, zodat dit niet runtime gedaan moet worden. Als een alias naar een cie wordt doorgestuurd, en een user weer in die cie zit, wil je dat die user ook als die alias mag mailen. Als database wordt PostgreSQL gebruikt op de vm-database. De database die gebruikt wordt heet "mail". In de python code staan nog wat comments. Er draait op de vm-sysop een cron die af en toe de database refreshed. Daarnaast is het python script ook intern bereikbaar [http://vm-sysop.a-eskwadraat.nl/api/python/mail-authorization.py hier]. Bij het laden van deze pagina wordt de database gerefreshed. Op deze manier kan de database meteen gerefreshed worden zodra iemand toegevoegd is aan een cie. Als er in een alias een wildcard staat (*@bapc.eu: bapc), wat betekend dat alles van het domein bapc.eu naar de bapc commissie wordt gestuurd, wordt dit omgezet naar een SQL wildcard, wat uiteindelijk dus netjes werkt.

=== Mailfiltering ===

Postfix maakt gebruik van amavisd voor het filteren van de inkomende mail. Amavis is een interface voor SpamAssassin welke spam filtert en ClamAV welke mails op virussen scant. Check de configuratie op [[Vm-saltmaster|vm-saltmaster]] voor details.

Om de virus database up te daten:
<pre>freshclam
</pre>

== Mailman ==

Mailman is verantwoordelijk voor de infrastructuur van de mailing lists. De mailing lists zijn te vinden op [lists.a-eskwadraat.nl/mailman lists.a-eskwadraat.nl/mailman]. Er zijn twee belangrijke services om mailman te draaien: mailman en httpd. De configuratie van mailman bevind zich in ''/etc/mailman/'', de data bevind zich in ''/var/lib/mailman'', en de binaries bevinden zich in ''/usr/lib/mailman''.

Gebruik de scripts in /usr/lib/mailman/bin om de mailing lists vanaf de command-line te wijzigen. De volgende commando's zijn belangrijk bij het debuggen / migreren van mailman:

*check_perms: repareert de bestandsrechten van mailman-specifieke bestanden.
*with_list & fix_url: repareert de links van de mailman archieven indien deze zijn veranderd.

Lees de [http://wiki.list.org/DOC/4.09%20Summary%20of%20the%20mailman%20bin%20commands MailmanWiki] voor een samenvatting van alle commands.

Mailman werkt samen met de Postfix mailserver via de alias map ''/etc/mailman/aliases''. Voer het volgende commando uit na het toevoegen/verwijderen van een lijst zodat Postfix zijn alias database update:
<pre>postalias /etc/mailman/aliases
</pre>

Na een migratie van de mailman lijsten is het belangrijk om ''restorecon'' uit te voeren op ''/var/lib/mailman''. Mailman en SELinux werken prima samen zolang de rechten maar goed staan.
<pre># Samenvatting van een Mailman migratie.
# Op de nieuwe mailserver.
rsync -azv -e "ssh -i <sshkey>" <OUDEHOST>:/var/lib/mailman/ /var/lib/mailman/
restorecon -r /var/lib/mailman/
cd /usr/lib/mailman/
bin/check_perms -f
bin/withlist -l -a -r fix_url
</pre>

== Dovecot ==

Dovecot is de IMAP server verantwoordelijk voor het ophalen en beheren van de mail opgeslagen in de homedirs. Mail wordt opgeslagen in de .Maildir van een gebruik zijn home directory. Momenteel is vm-mail de actieve IMAP server van A-Eskwadraat. De server luistert op poort 143 (standaard IMAP poort) en vereist een TLS-encrypted verbinding van de gebruiker. Het certificaat voor de verbinding is anders dan het certificaat van de webserver.  Dovecot authenticeert gebruikers door middel van SASL-kerberos met de IPA servers. Dovecot werkt ook als authenticatie-server voor postfix door middel van een open socket. Een SELinux module is vereist om Postfix toegang te geven tot de socket.

Voor meer configuratie details, zie de configuratie op de salt-master. (CentOS 6: /srv/salt/centos/vm-mail/dovecot, CentOS 7: /srv/salt/centos7/dovecot)

'''AL DE CONFIGURATIE HIERONDER IS GIGANTISCH OUT OF DATE''' \/\/\/

== Configuratie mailfilters ==

Gebruik je een ''.forward'' of ''.procmailrc'' om e-mail direct in mappen te stoppen, let dan op de naamgeving (zie hierboven) en zorg ervoor dat de mappen altijd op een ''/'' eindigen. Begin je ''.procmailrc'' ook altijd met de regel

MAILDIR=$HOME/Maildir/

om te zorgen dat e-mail toch niet in ''/var/mail'' terechtkomt.

== Maak een mailserver met exim, en dovecot ==

Zorg eerst dat sendmail uit staat!
<pre>service sendmail stop
chkconfig sendmail off
</pre>

Bij voorkeur verwijder je ook de package voor [[Postfix|postfix]]. Deze is standaard bij CentOS geïnstalleerd.

=== Exim ===

Exim is een MTA (Mail Transfer Agent) en is ervoor om mailtjes te versturen, ontvangen, en doorsturen. Dit gebeurd uiteraard op de mailserver!

Installeer allereerst exim op de host.
<pre># yum install exim
</pre>

Verander vervolgens het configuratie bestand /etc/exim/exim.conf:
<pre># Het Mail domain - normaal gesproken a-eskwadraat.nl
primary_hostname = circle.a-eskwadraat.nl

# Weiger met ipv6 te werken.
local_interfaces = 0.0.0.0
disable_ipv6 = true

daemon_smtp_ports = smtp : submission
accept_8bitmime = true

# Lijsten van geldige mail domainin.
domainlist mailman_domains = CONFDIR/domains.mailman
domainlist local_domains = @ : CONFDIR/domains.local : +mailman_domains : lsearch;CONFDIR/domains.virtual
domainlist relay_to_domains = CONFDIR/domains.relay

hostlist relay_from_hosts = 10.14.3.0/22

# Backup mail server in het geval dat onze niet werkt.
hostlist mx_hosts = mail.wolffelaar.nl

qualify_domain = A-Eskwadraat.nl

queue_run_max = 250

smtp_accept_max = 100
smtp_accept_max_per_host = ${if match_ip{$sender_host_address}{+mx_hosts}{50}{10}}

received_headers_max = 30

RETRY_SECONDARY=F,90d,15m
RETRY_REST=F,2h,15m; G,16h,2h,1.5; F,4d,8h

acl_smtp_rcpt = acl_check_rcpt
acl_not_smtp_start = acl_check_not_smtp
acl_smtp_data = acl_check_data

host_lookup = *
helo_try_verify_hosts = !@ : !@[]
helo_allow_chars = _

# ClamAV - The Anti-Virus Scanner
av_scanner = clamd:/var/run/clamav/clamd.sock

# Custom 5s limiet.
rfc1413_query_timeout = 5s

# Mailman support, als per /usr/share/doc/mailman/README.EXIM.gz
MAILMAN_HOME=/var/lib/mailman
MAILMAN_WRAP=/usr/lib/mailman/mail/mailman
MAILMAN_USER=mailman
MAILMAN_GROUP=mailman
</pre>

=== Dovecot ===

Dovecot is een IMAP en POP3 server, wat inhoud dat het mailtjes kan ontvangen, iets wat best wel handig is om te hebben. Installeer dovecot op je mailserver als je dat nog niet gedaan hebt. Verander dan nu het volgende:

In /etc/dovecot/dovecot.conf:

*protocols = imap
*login_trusted_networks = <ip-adressen die je vertrouwd>

In /etc/dovecot/conf.d/10-mail.conf

*mail_location = maildir:~/Maildir
*lock_method = dotlock

In /etc/dovecot/conf.d/10-auth.conf

*disable_plaintext_auth = no
*auth_realms = aeskwadraat
*auth_default_realm = aeskwadraat
*auth_gssapi_hostname = <ipa-server>
*auth_krb5_keytab = /etc/dovecot/krb5.keytab
*auth_mechanisms = plain gssapi

en zet op het einde
<pre>userdb {
driver = static
args = uid=dovecot gid=dovecot home=/var/spool/mail/%u
}
</pre>

Maak nu op de ipa-server een service imap aan met de mailserver als host. Dit kan je doen via de webinterface. Voer vervolgens het volgende uit op de mailserver:
<pre>kinit admin
ipa-getkeytab -s <ipa-server> -p imap/<mailserver> -k /etc/dovecot/krb5.keytab
chown root:dovecot /etc/dovecot/krb5.keytab
chmod 640 /etc/dovecot/krb5.keytab
</pre>

Restart dovecot en zet hem standaard aan:
<pre>service dovecot restart
chkconfig dovecot on
</pre>

Zet tenslotte nog met system-config-firewall-tui 'imap over ssl' en 'mail (smtp)' aan, en voila! Je kan nu met ipa-users gebruik maken van IMAP om mailtjes te ontvangen!

Je kan eventueel in /etc/postfix/main.cf en /etc/dovecot/conf.d/10-mail.conf nog het een ander van waar de mail wordt opgeslagen veranderen.

=== Spamassassin ===

Spamassassin is een mailfilteringprogramma voor spam. Om het te installeren:
<pre>yum install spamassassin
</pre>

Maak nu de user en group spamd aan:
<pre>groupadd -g 5001 spamd
useradd -u 5001 -g spamd -s /sbin/nologin -d /var/lib/spamassassin spamd
mkdir /var/lib/spamassassin
chown spamd:spamd /var/lib/spamassassin
</pre>

Zet dan het volgende in /etc/mail/spamassassin/local.cf:
<pre>required_score 5.0
report_safe 0
rewrite_header Subject [***SPAM***]

# Enable the Bayes system
use_bayes 1
use_bayes_rules 1
# Enable Bayes auto-learning
bayes_auto_learn 1
</pre>

Verander nu in /etc/postfix/master.cf
<pre>smtp inet n - n - - smtpd
</pre>

in
<pre>smtp inet n - n - - smtpd -o content_filter=spamassassin
</pre>

en stop op het einde van master.cf:
<pre>spamassassin unix - n n - - pipe flags=R user=spamd argv=/usr/bin/spamc -e /usr/sbin/sendmail -oi -f ${sender} ${recipient}
</pre>

Restart nu spamassassin en postfix:
<pre>chkconfig spamassassin on
service spamassassin restart
service postfix restart
</pre>

=== Aliases ===

In postfix staan de locaties van de aliases in /etc/postfix/main.cf. Deze kan je vinden bij de regel 'alias_maps = ...'. Als je een nieuw aliasbestand wilt toevoegen, voeg dit dan ook toe bij deze regel als hash:<bestandslocatie>. Vergeet ook niet om dit toe te voegen bij alias_database!.

De aliases zelf staan geconfigureerd in de aliasbestanden die te vinden zijn onder /etc/postfix/alias/. Als je een nieuwe alias in een bestand hebt gezet moet je het db-bestand up-to-date make door het commando 'postalias *bestand*' uitvoeren. Let erop dat de bestandsnaam de naam van het bestand is wat je gewijzigd hebt, niet een bestand met extensie '.db'.

== Instellingen ==

=== Postfix ===

==== Mail relay ====

Postfix kan mail relayen naar een extern domein. Hiervoor is de volgende regel:
<pre>relay_domains = $mydestination, hash:/etc/postfix/domains.relay
</pre>

In het bestand /etc/postfix/domains.relay staat de lijst van alle externe domains waar mail naar toe gerelayed wordt. Als je iets in het bestand wijzigt, vergeet dan niet om daarna het commando
<pre>postmap /etc/postfix/domains.relay
</pre>

uit te voeren.

==== Whitelist ====

Postfix kan gebruik maken van een whitelist. Zorg hiervoor dat er het volgende in /etc/postfix/main.cf staat:
<pre>smtpd_client_restrictions = check_client_access hash:/etc/postfix/client.access
</pre>

In het bestand /etc/postfix/client.access staat de lijst van alle domains die geweigerd en toegelaten worden. Als je hier iets in verandert, vergeet dan niet om uit te voeren
<pre>postmap /etc/postfix/access.client
</pre>

== SquirrelMail ==

SquirrelMail is een webmail-client.

=== SquirrelMail installeren ===

Installeer eerst natuurlijk Squirrelmail:
<pre>yum install squirrelmail
</pre>

Zorg ervoor dat httpd standaard aan staat en start httpd:
<pre>chkconfig httpd on
service httpd start
</pre>

Verander nu het volgende in /etc/squirrelmail/config.php:
<pre>$org_name = "A-Eskwadraat";
$org_logo = SM_PATH . 'images/sm_logo.png';
$org_logo_width = '308';
$org_logo_height = '111';
$org_title = 'A-Eskwadraat SquirrelMail $version";
$signout_page = 'vm-mail.a-eskwadraat.nl';

$domain = 'circle.a-eskwadraat.nl';
$imapServerAddress = 'localhost';
$useSendmail = false;
$smtpServerAddress = 'localhost';
$pop_before_smtp = false;

</pre>

Zet nu het A-Eskwadraat logo in de squirrelmail config map.
<pre>setsebool -P httpd_can_network_connect 1
</pre>

== RoundcubeMail ==

Roundcube is ook een webmail client.

=== Installeren ===

Op vm-salt-master staat een configuratie voor een Roundcube mail VM met een korte readme. Deze zorgt ervoor dat httpd, roundcubemail en mariadb geinstalleerd staan. Salt een VM met deze configuratie.
<pre>salt '$hostname' state.highstate
</pre>

Laat vervolgens httpd van die VM door de firewall heen. Daarna moet de database voor Roundcube geinitialiseerd worden. Dit gaat met mysql.
<pre>CREATE DATABASE roundcubemail;
GRANT ALL PRIVILEGES on roundcubemail.* TO roundcube@localhost IDENTIFIED BY '$password';
FLUSH PRIVILEGES;
</pre>

Nu moet de timezone nog even ingesteld worden in /etc/php.ini op de roundcube VM. Daarna moeten er nog de juiste tables in de database worden gezet. Dit kan door op de nieuwe VM de bestanden in /etc/roundcubemail/databasefiles te runnen met mysql.
<pre>mysql roundcubemail < mysql.initial.sql
</pre>
[[Category:Sysop]]

Mail

2016-02-17T18:34:52Z

Albertp: services bijgewerkt

Bij A–Eskwadraat gebruiken we '''Maildir''' voor de opslag van e-mail. Hiervoor gebruikten we het mbox-formaat. We raden gebruikers aan om niet direct de Maildirmappen te benaderen, maar om dit via [http://en.wikipedia.org/wiki/Internet_Message_Access_Protocol IMAP] te doen. De standaardconfiguratie van de meeste mailclients staat hier ook voor ingesteld.

== Services ==

Op [[Haskell|haskell]] draait de virtuele machine vm-mailpp (spreek uit: mail plus plus) om het mailverkeer van en naar A-Eskwadraat te regelen:

*[http://www.postfix.org/ postfix] (''/etc/postfix/'') verwerkt in principe alle binnenkomende mails, en wat er waarheen doorgestuurd moet worden;
*[http://www.dovecot.org/ dovecot] (''/etc/dovecot/'') neemt de POP- en IMAP-servers voor zijn rekening;
*[https://www.amavis.org/ amavis] (''/etc/amavisd/'') geeft alle binnenkomende mails door aan SpamAssassin en ClamAV om gefilterd te worden;
*[http://spamassassin.apache.org/ SpamAssassin] (''/etc/mail/spamassassin/'') [[Mailfiltering|filtert]] de spam uit het binnenkomende mailverkeer;
*[http://http://www.clamav.net/lang/en/ ClamAV] (''/etc/clamd.d/'') scant het mailverkeer voor virussen en dergelijke;
*[https://roundcube.net/ RoundCube] (''/etc/roundcubemail/'', ''/usr/share/roundcubemail'') is een webmailclient die in een [https://www.apache.org/ apache] webserver op vm-mailpp draait;
*[http://www.list.org/ Mailman] (''/etc/mailman/'') Mailman is verantwoordelijk voor de mailing lists, zoals de BBCie-announce.

== Naamgeving Maildirmappen ==

Let op dat om voor dovecot begrijpbare namen te hebben, de mappen op in ''~/Maildir'' altijd met een punt moeten beginnen. Submappen werken ook op deze manier. Een paar voorbeelden:

*''~/Maildir/.Intro/'' voor de IMAP-map ''Intro'';
*''~/Maildir/.Sysop.postmaster/'' voor de map ''postmaster'' als submap van ''Sysop''.

Als de mappen via IMAP worden aangemaakt gebeurt dit automatisch.

== Postfix ==

Postfix is de SMTP server voor de nieuwe mail server.

Postfix gebruikt meerdere ports om mail te ontvangen en te verwerken. Inkomende mail van leden moet naar de SMTP daemon op port 587 worden gestuurd. Authenticatie en TLS encryptie zijn een vereiste op deze verbinding. In de toekomst zal de [[Router|Router]] de encryptie tussen client en mail-server regelen. Alle andere mail komt binnen op port 25. Spam- en virus-filtering gebeurd via de SMTP daemons op ports 10025 en 10027 voor onbekende en bekende mail, respectievelijk. Lees ''/etc/postfix/master.cf'' voor de configuratie van deze SMTP daemons.

=== Transport ===

Eerst checkt Postfix of de inkomende mail aan een lokaal mailadres is gestuurd. Vervolgens word het adres verandert aan de hand van de alias mappen in /etc/postfix/aliases. De mail word naar elke resulterende gebruiker gestuurd via de instellingen van hun ''.forward'' bestand. Welke domeinen als 'lokaal' worden bestempeld staat in ''/etc/postfix/domains/local''.

Daarna checkt Postfix of de inkomende mail naar een virtueel domein is gestuurd. Domeinen zoals turingslegacy.nl worden via een aliasmap herschreven, en de herschreven mail word van begins af aan verwerkt door Postfix. De virtuele domeinen staan in ''/etc/postfix/domains/virtual''.

Als laatste checkt Postfix of de inkomende mail is gestuurd naar een domein waarvoor A-Eskwadraat mail relayed. Deze mail word onveranderd naar de mail-server van dit domein verstuurd (relaying). Dit voorkomt verlies van mail voor het externe domein wanneer hun mailserver uitvalt, aangezien A-Eskwadraat de secondary mailserver is voor dat domein.

Een uitzondering op de regel is mail bedoeld voor de webserver. Mail aan de webcie komt binnen op de mail server, maar moet worden doorgestuurd naar de webserver. De verwijzingen zijn te vinden in ''/etc/postfix/transport_www'' en ''/etc/postfix/transport_regex''.

Let op dat deze uitleg heel erg bot is. Lees de relevante ''man'' pages van Postfix om te leren hoe mail word verwerkt. Let op dat veranderingen in een alias/transport/domain map niet worden opgemerkt tot het ''postmap'' of ''postalias'' op het bestand is aangeroepen!

=== Mailfiltering ===

Postfix maakt gebruik van amavisd voor het filteren van de inkomende mail. Amavis is een interface voor SpamAssassin welke spam filtert en ClamAV welke mails op virussen scant. Check de configuratie op [[Vm-saltmaster|vm-saltmaster]] voor details.

Om de virus database up te daten:
<pre>freshclam
</pre>

== Mailman ==

Mailman is verantwoordelijk voor de infrastructuur van de mailing lists. De mailing lists zijn te vinden op [lists.a-eskwadraat.nl/mailman lists.a-eskwadraat.nl/mailman]. Er zijn twee belangrijke services om mailman te draaien: mailman en httpd. De configuratie van mailman bevind zich in ''/etc/mailman/'', de data bevind zich in ''/var/lib/mailman'', en de binaries bevinden zich in ''/usr/lib/mailman''.

Gebruik de scripts in /usr/lib/mailman/bin om de mailing lists vanaf de command-line te wijzigen. De volgende commando's zijn belangrijk bij het debuggen / migreren van mailman:

*check_perms: repareert de bestandsrechten van mailman-specifieke bestanden.
*with_list & fix_url: repareert de links van de mailman archieven indien deze zijn veranderd.

Lees de [http://wiki.list.org/DOC/4.09%20Summary%20of%20the%20mailman%20bin%20commands MailmanWiki] voor een samenvatting van alle commands.

Mailman werkt samen met de Postfix mailserver via de alias map ''/etc/mailman/aliases''. Voer het volgende commando uit na het toevoegen/verwijderen van een lijst zodat Postfix zijn alias database update:
<pre>postalias /etc/mailman/aliases
</pre>

Na een migratie van de mailman lijsten is het belangrijk om ''restorecon'' uit te voeren op ''/var/lib/mailman''. Mailman en SELinux werken prima samen zolang de rechten maar goed staan.
<pre># Samenvatting van een Mailman migratie.
# Op de nieuwe mailserver.
rsync -azv -e "ssh -i <sshkey>" <OUDEHOST>:/var/lib/mailman/ /var/lib/mailman/
restorecon -r /var/lib/mailman/
cd /usr/lib/mailman/
bin/check_perms -f
bin/withlist -l -a -r fix_url
</pre>

== Dovecot ==

Dovecot is de IMAP server verantwoordelijk voor het ophalen en beheren van de mail opgeslagen in de homedirs. Mail wordt opgeslagen in de .Maildir van een gebruik zijn home directory. Momenteel is vm-mail de actieve IMAP server van A-Eskwadraat. De server luistert op poort 143 (standaard IMAP poort) en vereist een TLS-encrypted verbinding van de gebruiker. Het certificaat voor de verbinding is anders dan het certificaat van de webserver.  Dovecot authenticeert gebruikers door middel van SASL-kerberos met de IPA servers. Dovecot werkt ook als authenticatie-server voor postfix door middel van een open socket. Een SELinux module is vereist om Postfix toegang te geven tot de socket.

Voor meer configuratie details, zie de configuratie op de salt-master. (CentOS 6: /srv/salt/centos/vm-mail/dovecot, CentOS 7: /srv/salt/centos7/dovecot)

'''AL DE CONFIGURATIE HIERONDER IS GIGANTISCH OUT OF DATE''' \/\/\/

== Configuratie mailfilters ==

Gebruik je een ''.forward'' of ''.procmailrc'' om e-mail direct in mappen te stoppen, let dan op de naamgeving (zie hierboven) en zorg ervoor dat de mappen altijd op een ''/'' eindigen. Begin je ''.procmailrc'' ook altijd met de regel

MAILDIR=$HOME/Maildir/

om te zorgen dat e-mail toch niet in ''/var/mail'' terechtkomt.

== Maak een mailserver met exim, en dovecot ==

Zorg eerst dat sendmail uit staat!
<pre>service sendmail stop
chkconfig sendmail off
</pre>

Bij voorkeur verwijder je ook de package voor [[Postfix|postfix]]. Deze is standaard bij CentOS geïnstalleerd.

=== Exim ===

Exim is een MTA (Mail Transfer Agent) en is ervoor om mailtjes te versturen, ontvangen, en doorsturen. Dit gebeurd uiteraard op de mailserver!

Installeer allereerst exim op de host.
<pre># yum install exim
</pre>

Verander vervolgens het configuratie bestand /etc/exim/exim.conf:
<pre># Het Mail domain - normaal gesproken a-eskwadraat.nl
primary_hostname = circle.a-eskwadraat.nl

# Weiger met ipv6 te werken.
local_interfaces = 0.0.0.0
disable_ipv6 = true

daemon_smtp_ports = smtp : submission
accept_8bitmime = true

# Lijsten van geldige mail domainin.
domainlist mailman_domains = CONFDIR/domains.mailman
domainlist local_domains = @ : CONFDIR/domains.local : +mailman_domains : lsearch;CONFDIR/domains.virtual
domainlist relay_to_domains = CONFDIR/domains.relay

hostlist relay_from_hosts = 10.14.3.0/22

# Backup mail server in het geval dat onze niet werkt.
hostlist mx_hosts = mail.wolffelaar.nl

qualify_domain = A-Eskwadraat.nl

queue_run_max = 250

smtp_accept_max = 100
smtp_accept_max_per_host = ${if match_ip{$sender_host_address}{+mx_hosts}{50}{10}}

received_headers_max = 30

RETRY_SECONDARY=F,90d,15m
RETRY_REST=F,2h,15m; G,16h,2h,1.5; F,4d,8h

acl_smtp_rcpt = acl_check_rcpt
acl_not_smtp_start = acl_check_not_smtp
acl_smtp_data = acl_check_data

host_lookup = *
helo_try_verify_hosts = !@ : !@[]
helo_allow_chars = _

# ClamAV - The Anti-Virus Scanner
av_scanner = clamd:/var/run/clamav/clamd.sock

# Custom 5s limiet.
rfc1413_query_timeout = 5s

# Mailman support, als per /usr/share/doc/mailman/README.EXIM.gz
MAILMAN_HOME=/var/lib/mailman
MAILMAN_WRAP=/usr/lib/mailman/mail/mailman
MAILMAN_USER=mailman
MAILMAN_GROUP=mailman
</pre>

=== Dovecot ===

Dovecot is een IMAP en POP3 server, wat inhoud dat het mailtjes kan ontvangen, iets wat best wel handig is om te hebben. Installeer dovecot op je mailserver als je dat nog niet gedaan hebt. Verander dan nu het volgende:

In /etc/dovecot/dovecot.conf:

*protocols = imap
*login_trusted_networks = <ip-adressen die je vertrouwd>

In /etc/dovecot/conf.d/10-mail.conf

*mail_location = maildir:~/Maildir
*lock_method = dotlock

In /etc/dovecot/conf.d/10-auth.conf

*disable_plaintext_auth = no
*auth_realms = aeskwadraat
*auth_default_realm = aeskwadraat
*auth_gssapi_hostname = <ipa-server>
*auth_krb5_keytab = /etc/dovecot/krb5.keytab
*auth_mechanisms = plain gssapi

en zet op het einde
<pre>userdb {
driver = static
args = uid=dovecot gid=dovecot home=/var/spool/mail/%u
}
</pre>

Maak nu op de ipa-server een service imap aan met de mailserver als host. Dit kan je doen via de webinterface. Voer vervolgens het volgende uit op de mailserver:
<pre>kinit admin
ipa-getkeytab -s <ipa-server> -p imap/<mailserver> -k /etc/dovecot/krb5.keytab
chown root:dovecot /etc/dovecot/krb5.keytab
chmod 640 /etc/dovecot/krb5.keytab
</pre>

Restart dovecot en zet hem standaard aan:
<pre>service dovecot restart
chkconfig dovecot on
</pre>

Zet tenslotte nog met system-config-firewall-tui 'imap over ssl' en 'mail (smtp)' aan, en voila! Je kan nu met ipa-users gebruik maken van IMAP om mailtjes te ontvangen!

Je kan eventueel in /etc/postfix/main.cf en /etc/dovecot/conf.d/10-mail.conf nog het een ander van waar de mail wordt opgeslagen veranderen.

=== Spamassassin ===

Spamassassin is een mailfilteringprogramma voor spam. Om het te installeren:
<pre>yum install spamassassin
</pre>

Maak nu de user en group spamd aan:
<pre>groupadd -g 5001 spamd
useradd -u 5001 -g spamd -s /sbin/nologin -d /var/lib/spamassassin spamd
mkdir /var/lib/spamassassin
chown spamd:spamd /var/lib/spamassassin
</pre>

Zet dan het volgende in /etc/mail/spamassassin/local.cf:
<pre>required_score 5.0
report_safe 0
rewrite_header Subject [***SPAM***]

# Enable the Bayes system
use_bayes 1
use_bayes_rules 1
# Enable Bayes auto-learning
bayes_auto_learn 1
</pre>

Verander nu in /etc/postfix/master.cf
<pre>smtp inet n - n - - smtpd
</pre>

in
<pre>smtp inet n - n - - smtpd -o content_filter=spamassassin
</pre>

en stop op het einde van master.cf:
<pre>spamassassin unix - n n - - pipe flags=R user=spamd argv=/usr/bin/spamc -e /usr/sbin/sendmail -oi -f ${sender} ${recipient}
</pre>

Restart nu spamassassin en postfix:
<pre>chkconfig spamassassin on
service spamassassin restart
service postfix restart
</pre>

=== Aliases ===

In postfix staan de locaties van de aliases in /etc/postfix/main.cf. Deze kan je vinden bij de regel 'alias_maps = ...'. Als je een nieuw aliasbestand wilt toevoegen, voeg dit dan ook toe bij deze regel als hash:<bestandslocatie>. Vergeet ook niet om dit toe te voegen bij alias_database!.

De aliases zelf staan geconfigureerd in de aliasbestanden die te vinden zijn onder /etc/postfix/alias/. Als je een nieuwe alias in een bestand hebt gezet moet je het db-bestand up-to-date make door het commando 'postalias *bestand*' uitvoeren. Let erop dat de bestandsnaam de naam van het bestand is wat je gewijzigd hebt, niet een bestand met extensie '.db'.

== Instellingen ==

=== Postfix ===

==== Mail relay ====

Postfix kan mail relayen naar een extern domein. Hiervoor is de volgende regel:
<pre>relay_domains = $mydestination, hash:/etc/postfix/domains.relay
</pre>

In het bestand /etc/postfix/domains.relay staat de lijst van alle externe domains waar mail naar toe gerelayed wordt. Als je iets in het bestand wijzigt, vergeet dan niet om daarna het commando
<pre>postmap /etc/postfix/domains.relay
</pre>

uit te voeren.

==== Whitelist ====

Postfix kan gebruik maken van een whitelist. Zorg hiervoor dat er het volgende in /etc/postfix/main.cf staat:
<pre>smtpd_client_restrictions = check_client_access hash:/etc/postfix/client.access
</pre>

In het bestand /etc/postfix/client.access staat de lijst van alle domains die geweigerd en toegelaten worden. Als je hier iets in verandert, vergeet dan niet om uit te voeren
<pre>postmap /etc/postfix/access.client
</pre>

== SquirrelMail ==

SquirrelMail is een webmail-client.

=== SquirrelMail installeren ===

Installeer eerst natuurlijk Squirrelmail:
<pre>yum install squirrelmail
</pre>

Zorg ervoor dat httpd standaard aan staat en start httpd:
<pre>chkconfig httpd on
service httpd start
</pre>

Verander nu het volgende in /etc/squirrelmail/config.php:
<pre>$org_name = "A-Eskwadraat";
$org_logo = SM_PATH . 'images/sm_logo.png';
$org_logo_width = '308';
$org_logo_height = '111';
$org_title = 'A-Eskwadraat SquirrelMail $version";
$signout_page = 'vm-mail.a-eskwadraat.nl';

$domain = 'circle.a-eskwadraat.nl';
$imapServerAddress = 'localhost';
$useSendmail = false;
$smtpServerAddress = 'localhost';
$pop_before_smtp = false;

</pre>

Zet nu het A-Eskwadraat logo in de squirrelmail config map.
<pre>setsebool -P httpd_can_network_connect 1
</pre>

== RoundcubeMail ==

Roundcube is ook een webmail client.

=== Installeren ===

Op vm-salt-master staat een configuratie voor een Roundcube mail VM met een korte readme. Deze zorgt ervoor dat httpd, roundcubemail en mariadb geinstalleerd staan. Salt een VM met deze configuratie.
<pre>salt '$hostname' state.highstate
</pre>

Laat vervolgens httpd van die VM door de firewall heen. Daarna moet de database voor Roundcube geinitialiseerd worden. Dit gaat met mysql.
<pre>CREATE DATABASE roundcubemail;
GRANT ALL PRIVILEGES on roundcubemail.* TO roundcube@localhost IDENTIFIED BY '$password';
FLUSH PRIVILEGES;
</pre>

Nu moet de timezone nog even ingesteld worden in /etc/php.ini op de roundcube VM. Daarna moeten er nog de juiste tables in de database worden gezet. Dit kan door op de nieuwe VM de bestanden in /etc/roundcubemail/databasefiles te runnen met mysql.
<pre>mysql roundcubemail < mysql.initial.sql
</pre>

== Mail Authorizatie ==

Om te controleren of een gebruiker wel als een adres mag mailen wordt gebruik gemaakt van een sender_login_maps, die in een database de users opzoekt die als gegeven adres mogen versturen. Dit is een python script die op de vm-sysop staat bij de sysop api, aangezien daar de mail aliases al staan voor de alias_check. Het python script, te vinden in `/var/www/html/api/python/mail-authorization.py`, loopt recursief langs alle users die in cies, bestuur, extern of iba zitten en kijkt daarnaast ook naar mail aliassen. Aan de hand hiervan wordt met een sql query alle transitieve relaties expliciet gemaakt, zodat dit niet runtime gedaan moet worden. Als een alias naar een cie wordt doorgestuurd, en een user weer in die cie zit, wil je dat die user ook als die alias mag mailen. Als database wordt PostgreSQL gebruikt op de vm-database. De database die gebruikt wordt heet "mail". In de python code staan nog wat comments. Er draait op de vm-sysop een cron die af en toe de database refreshed. Daarnaast is het python script ook intern bereikbaar [http://vm-sysop.a-eskwadraat.nl/api/python/mail-authorization.py hier]. Bij het laden van deze pagina wordt de database gerefreshed. Op deze manier kan de database meteen gerefreshed worden zodra iemand toegevoegd is aan een cie. Als er in een alias een wildcard staat (*@bapc.eu: bapc), wat betekend dat alles van het domein bapc.eu naar de bapc commissie wordt gestuurd, wordt dit omgezet naar een SQL wildcard, wat uiteindelijk dus netjes werkt.

Als er via SMTP een request gedaan wordt om van buitenaf een mail te versturen doet postfix een query en kijkt welke users als die alias mail mogen versturen. Deze config is op de vm-mailpp te vinden in `/etc/postfix/alias_auth.cf`.
[[Category:Sysop]]

Mail

2015-12-09T18:58:42Z

Albertp: out of date config verduidelijken

Bij A–Eskwadraat gebruiken we '''Maildir''' voor de opslag van e-mail. Hiervoor gebruikten we het mbox-formaat. We raden gebruikers aan om niet direct de Maildirmappen te benaderen, maar om dit via [http://en.wikipedia.org/wiki/Internet_Message_Access_Protocol IMAP] te doen. De standaardconfiguratie van de meeste mailclients staat hier ook voor ingesteld.

== Services ==

Op [[Haskell|haskell]] draait de virtuele machine [[Vm-mail|vm-mail]] om het mailverkeer van en naar A-Eskwadraat te regelen:

*[http://www.exim.org/ exim] (''/etc/exim4/'') verwerkt in principe alle binnenkomende mails, en wat er waarheen doorgestuurd moet worden;
*[http://www.dovecot.org/ dovecot] (''/etc/dovecot/'') neemt de POP- en IMAP-servers voor zijn rekening;
*[http://spamassassin.apache.org/ SpamAssassin] (''/etc/mail/spamassassin/'') [[Mailfiltering|filtert]] het binnenkomende mailverkeer;
*[http://http://www.clamav.net/lang/en/ ClamAV] (''/etc/clamd.d/'') scant het mailverkeer voor virussen en dergelijke;
*[http://squirrelmail.org SquirrelMail] (''/etc/squirrelmail/'') is een webmail interface SquirrelMail draait in de webserver van [[Vm-mail|vm-mail]];
*[http://www.list.org/ Mailman] (''/etc/mailman/'') Mailman is verantwoordelijk voor de mailing lists, zoals de BBCie-announce.

== Naamgeving Maildirmappen ==

Let op dat om voor dovecot begrijpbare namen te hebben, de mappen op in ''~/Maildir'' altijd met een punt moeten beginnen. Submappen werken ook op deze manier. Een paar voorbeelden:

*''~/Maildir/.Intro/'' voor de IMAP-map ''Intro'';
*''~/Maildir/.Sysop.postmaster/'' voor de map ''postmaster'' als submap van ''Sysop''.

Als de mappen via IMAP worden aangemaakt gebeurt dit automatisch.

== Postfix ==

Postfix is de SMTP server voor de nieuwe mail server.

Postfix gebruikt meerdere ports om mail te ontvangen en te verwerken. Inkomende mail van leden moet naar de SMTP daemon op port 587 worden gestuurd. Authenticatie en TLS encryptie zijn een vereiste op deze verbinding. In de toekomst zal de [[Router|Router]] de encryptie tussen client en mail-server regelen. Alle andere mail komt binnen op port 25. Spam- en virus-filtering gebeurd via de SMTP daemons op ports 10025 en 10027 voor onbekende en bekende mail, respectievelijk. Lees ''/etc/postfix/master.cf'' voor de configuratie van deze SMTP daemons.

=== Transport ===

Eerst checkt Postfix of de inkomende mail aan een lokaal mailadres is gestuurd. Vervolgens word het adres verandert aan de hand van de alias mappen in /etc/postfix/aliases. De mail word naar elke resulterende gebruiker gestuurd via de instellingen van hun ''.forward'' bestand. Welke domeinen als 'lokaal' worden bestempeld staat in ''/etc/postfix/domains/local''.

Daarna checkt Postfix of de inkomende mail naar een virtueel domein is gestuurd. Domeinen zoals turingslegacy.nl worden via een aliasmap herschreven, en de herschreven mail word van begins af aan verwerkt door Postfix. De virtuele domeinen staan in ''/etc/postfix/domains/virtual''.

Als laatste checkt Postfix of de inkomende mail is gestuurd naar een domein waarvoor A-Eskwadraat mail relayed. Deze mail word onveranderd naar de mail-server van dit domein verstuurd (relaying). Dit voorkomt verlies van mail voor het externe domein wanneer hun mailserver uitvalt, aangezien A-Eskwadraat de secondary mailserver is voor dat domein.

Een uitzondering op de regel is mail bedoeld voor de webserver. Mail aan de webcie komt binnen op de mail server, maar moet worden doorgestuurd naar de webserver. De verwijzingen zijn te vinden in ''/etc/postfix/transport_www'' en ''/etc/postfix/transport_regex''.

Let op dat deze uitleg heel erg bot is. Lees de relevante ''man'' pages van Postfix om te leren hoe mail word verwerkt. Let op dat veranderingen in een alias/transport/domain map niet worden opgemerkt tot het ''postmap'' of ''postalias'' op het bestand is aangeroepen!

=== Mailfiltering ===

Postfix maakt gebruik van amavisd voor het filteren van de inkomende mail. Amavis is een interface voor SpamAssassin welke spam filtert en ClamAV welke mails op virussen scant. Check de configuratie op [[Vm-saltmaster|vm-saltmaster]] voor details.

Om de virus database up te daten:
<pre>freshclam
</pre>

== Mailman ==

Mailman is verantwoordelijk voor de infrastructuur van de mailing lists. De mailing lists zijn te vinden op [lists.a-eskwadraat.nl/mailman lists.a-eskwadraat.nl/mailman]. Er zijn twee belangrijke services om mailman te draaien: mailman en httpd. De configuratie van mailman bevind zich in ''/etc/mailman/'', de data bevind zich in ''/var/lib/mailman'', en de binaries bevinden zich in ''/usr/lib/mailman''.

Gebruik de scripts in /usr/lib/mailman/bin om de mailing lists vanaf de command-line te wijzigen. De volgende commando's zijn belangrijk bij het debuggen / migreren van mailman:

*check_perms: repareert de bestandsrechten van mailman-specifieke bestanden.
*with_list & fix_url: repareert de links van de mailman archieven indien deze zijn veranderd.

Lees de [http://wiki.list.org/DOC/4.09%20Summary%20of%20the%20mailman%20bin%20commands MailmanWiki] voor een samenvatting van alle commands.

Mailman werkt samen met de Postfix mailserver via de alias map ''/etc/mailman/aliases''. Voer het volgende commando uit na het toevoegen/verwijderen van een lijst zodat Postfix zijn alias database update:
<pre>postalias /etc/mailman/aliases
</pre>

Na een migratie van de mailman lijsten is het belangrijk om ''restorecon'' uit te voeren op ''/var/lib/mailman''. Mailman en SELinux werken prima samen zolang de rechten maar goed staan.
<pre># Samenvatting van een Mailman migratie.
# Op de nieuwe mailserver.
rsync -azv -e "ssh -i <sshkey>" <OUDEHOST>:/var/lib/mailman/ /var/lib/mailman/
restorecon -r /var/lib/mailman/
cd /usr/lib/mailman/
bin/check_perms -f
bin/withlist -l -a -r fix_url
</pre>

== Dovecot ==

Dovecot is de IMAP server verantwoordelijk voor het ophalen en beheren van de mail opgeslagen in de homedirs. Mail wordt opgeslagen in de .Maildir van een gebruik zijn home directory. Momenteel is vm-mail de actieve IMAP server van A-Eskwadraat. De server luistert op poort 143 (standaard IMAP poort) en vereist een TLS-encrypted verbinding van de gebruiker. Het certificaat voor de verbinding is anders dan het certificaat van de webserver.  Dovecot authenticeert gebruikers door middel van SASL-kerberos met de IPA servers. Dovecot werkt ook als authenticatie-server voor postfix door middel van een open socket. Een SELinux module is vereist om Postfix toegang te geven tot de socket.

Voor meer configuratie details, zie de configuratie op de salt-master. (CentOS 6: /srv/salt/centos/vm-mail/dovecot, CentOS 7: /srv/salt/centos7/dovecot)

'''AL DE CONFIGURATIE HIERONDER IS GIGANTISCH OUT OF DATE''' \/\/\/

== Configuratie mailfilters ==

Gebruik je een ''.forward'' of ''.procmailrc'' om e-mail direct in mappen te stoppen, let dan op de naamgeving (zie hierboven) en zorg ervoor dat de mappen altijd op een ''/'' eindigen. Begin je ''.procmailrc'' ook altijd met de regel

MAILDIR=$HOME/Maildir/

om te zorgen dat e-mail toch niet in ''/var/mail'' terechtkomt.

== Maak een mailserver met exim, en dovecot ==

Zorg eerst dat sendmail uit staat!
<pre>service sendmail stop
chkconfig sendmail off
</pre>

Bij voorkeur verwijder je ook de package voor [[Postfix|postfix]]. Deze is standaard bij CentOS geïnstalleerd.

=== Exim ===

Exim is een MTA (Mail Transfer Agent) en is ervoor om mailtjes te versturen, ontvangen, en doorsturen. Dit gebeurd uiteraard op de mailserver!

Installeer allereerst exim op de host.
<pre># yum install exim
</pre>

Verander vervolgens het configuratie bestand /etc/exim/exim.conf:
<pre># Het Mail domain - normaal gesproken a-eskwadraat.nl
primary_hostname = circle.a-eskwadraat.nl

# Weiger met ipv6 te werken.
local_interfaces = 0.0.0.0
disable_ipv6 = true

daemon_smtp_ports = smtp : submission
accept_8bitmime = true

# Lijsten van geldige mail domainin.
domainlist mailman_domains = CONFDIR/domains.mailman
domainlist local_domains = @ : CONFDIR/domains.local : +mailman_domains : lsearch;CONFDIR/domains.virtual
domainlist relay_to_domains = CONFDIR/domains.relay

hostlist relay_from_hosts = 10.14.3.0/22

# Backup mail server in het geval dat onze niet werkt.
hostlist mx_hosts = mail.wolffelaar.nl

qualify_domain = A-Eskwadraat.nl

queue_run_max = 250

smtp_accept_max = 100
smtp_accept_max_per_host = ${if match_ip{$sender_host_address}{+mx_hosts}{50}{10}}

received_headers_max = 30

RETRY_SECONDARY=F,90d,15m
RETRY_REST=F,2h,15m; G,16h,2h,1.5; F,4d,8h

acl_smtp_rcpt = acl_check_rcpt
acl_not_smtp_start = acl_check_not_smtp
acl_smtp_data = acl_check_data

host_lookup = *
helo_try_verify_hosts = !@ : !@[]
helo_allow_chars = _

# ClamAV - The Anti-Virus Scanner
av_scanner = clamd:/var/run/clamav/clamd.sock

# Custom 5s limiet.
rfc1413_query_timeout = 5s

# Mailman support, als per /usr/share/doc/mailman/README.EXIM.gz
MAILMAN_HOME=/var/lib/mailman
MAILMAN_WRAP=/usr/lib/mailman/mail/mailman
MAILMAN_USER=mailman
MAILMAN_GROUP=mailman
</pre>

=== Dovecot ===

Dovecot is een IMAP en POP3 server, wat inhoud dat het mailtjes kan ontvangen, iets wat best wel handig is om te hebben. Installeer dovecot op je mailserver als je dat nog niet gedaan hebt. Verander dan nu het volgende:

In /etc/dovecot/dovecot.conf:

*protocols = imap
*login_trusted_networks = <ip-adressen die je vertrouwd>

In /etc/dovecot/conf.d/10-mail.conf

*mail_location = maildir:~/Maildir
*lock_method = dotlock

In /etc/dovecot/conf.d/10-auth.conf

*disable_plaintext_auth = no
*auth_realms = aeskwadraat
*auth_default_realm = aeskwadraat
*auth_gssapi_hostname = <ipa-server>
*auth_krb5_keytab = /etc/dovecot/krb5.keytab
*auth_mechanisms = plain gssapi

en zet op het einde
<pre>userdb {
driver = static
args = uid=dovecot gid=dovecot home=/var/spool/mail/%u
}
</pre>

Maak nu op de ipa-server een service imap aan met de mailserver als host. Dit kan je doen via de webinterface. Voer vervolgens het volgende uit op de mailserver:
<pre>kinit admin
ipa-getkeytab -s <ipa-server> -p imap/<mailserver> -k /etc/dovecot/krb5.keytab
chown root:dovecot /etc/dovecot/krb5.keytab
chmod 640 /etc/dovecot/krb5.keytab
</pre>

Restart dovecot en zet hem standaard aan:
<pre>service dovecot restart
chkconfig dovecot on
</pre>

Zet tenslotte nog met system-config-firewall-tui 'imap over ssl' en 'mail (smtp)' aan, en voila! Je kan nu met ipa-users gebruik maken van IMAP om mailtjes te ontvangen!

Je kan eventueel in /etc/postfix/main.cf en /etc/dovecot/conf.d/10-mail.conf nog het een ander van waar de mail wordt opgeslagen veranderen.

=== Spamassassin ===

Spamassassin is een mailfilteringprogramma voor spam. Om het te installeren:
<pre>yum install spamassassin
</pre>

Maak nu de user en group spamd aan:
<pre>groupadd -g 5001 spamd
useradd -u 5001 -g spamd -s /sbin/nologin -d /var/lib/spamassassin spamd
mkdir /var/lib/spamassassin
chown spamd:spamd /var/lib/spamassassin
</pre>

Zet dan het volgende in /etc/mail/spamassassin/local.cf:
<pre>required_score 5.0
report_safe 0
rewrite_header Subject [***SPAM***]

# Enable the Bayes system
use_bayes 1
use_bayes_rules 1
# Enable Bayes auto-learning
bayes_auto_learn 1
</pre>

Verander nu in /etc/postfix/master.cf
<pre>smtp inet n - n - - smtpd
</pre>

in
<pre>smtp inet n - n - - smtpd -o content_filter=spamassassin
</pre>

en stop op het einde van master.cf:
<pre>spamassassin unix - n n - - pipe flags=R user=spamd argv=/usr/bin/spamc -e /usr/sbin/sendmail -oi -f ${sender} ${recipient}
</pre>

Restart nu spamassassin en postfix:
<pre>chkconfig spamassassin on
service spamassassin restart
service postfix restart
</pre>

=== Aliases ===

In postfix staan de locaties van de aliases in /etc/postfix/main.cf. Deze kan je vinden bij de regel 'alias_maps = ...'. Als je een nieuw aliasbestand wilt toevoegen, voeg dit dan ook toe bij deze regel als hash:<bestandslocatie>. Vergeet ook niet om dit toe te voegen bij alias_database!.

De aliases zelf staan geconfigureerd in de aliasbestanden die te vinden zijn onder /etc/aesalias/. Nadat je een nieuw alias hebt toegevoegd moet je het commando 'newaliases' als root uitvoeren om de nieuwe alias(sen) te activeren. Hetzelfde moet je ook doen als je aliases weghaalt natuurlijk!

== Instellingen ==

=== Postfix ===

==== Mail relay ====

Postfix kan mail relayen naar een extern domein. Hiervoor is de volgende regel:
<pre>relay_domains = $mydestination, hash:/etc/postfix/domains.relay
</pre>

In het bestand /etc/postfix/domains.relay staat de lijst van alle externe domains waar mail naar toe gerelayed wordt. Als je iets in het bestand wijzigt, vergeet dan niet om daarna het commando
<pre>postmap /etc/postfix/domains.relay
</pre>

uit te voeren.

==== Whitelist ====

Postfix kan gebruik maken van een whitelist. Zorg hiervoor dat er het volgende in /etc/postfix/main.cf staat:
<pre>smtpd_client_restrictions = check_client_access hash:/etc/postfix/client.access
</pre>

In het bestand /etc/postfix/client.access staat de lijst van alle domains die geweigerd en toegelaten worden. Als je hier iets in verandert, vergeet dan niet om uit te voeren
<pre>postmap /etc/postfix/access.client
</pre>

== SquirrelMail ==

SquirrelMail is een webmail-client.

=== SquirrelMail installeren ===

Installeer eerst natuurlijk Squirrelmail:
<pre>yum install squirrelmail
</pre>

Zorg ervoor dat httpd standaard aan staat en start httpd:
<pre>chkconfig httpd on
service httpd start
</pre>

Verander nu het volgende in /etc/squirrelmail/config.php:
<pre>$org_name = "A-Eskwadraat";
$org_logo = SM_PATH . 'images/sm_logo.png';
$org_logo_width = '308';
$org_logo_height = '111';
$org_title = 'A-Eskwadraat SquirrelMail $version";
$signout_page = 'vm-mail.a-eskwadraat.nl';

$domain = 'circle.a-eskwadraat.nl';
$imapServerAddress = 'localhost';
$useSendmail = false;
$smtpServerAddress = 'localhost';
$pop_before_smtp = false;

</pre>

Zet nu het A-Eskwadraat logo in de squirrelmail config map.
<pre>setsebool -P httpd_can_network_connect 1
</pre>

== RoundcubeMail ==

Roundcube is ook een webmail client.

=== Installeren ===

Op vm-salt-master staat een configuratie voor een Roundcube mail VM met een korte readme. Deze zorgt ervoor dat httpd, roundcubemail en mariadb geinstalleerd staan. Salt een VM met deze configuratie.
<pre>salt '$hostname' state.highstate
</pre>

Laat vervolgens httpd van die VM door de firewall heen. Daarna moet de database voor Roundcube geinitialiseerd worden. Dit gaat met mysql.
<pre>CREATE DATABASE roundcubemail;
GRANT ALL PRIVILEGES on roundcubemail.* TO roundcube@localhost IDENTIFIED BY '$password';
FLUSH PRIVILEGES;
</pre>

Nu moet de timezone nog even ingesteld worden in /etc/php.ini op de roundcube VM. Daarna moeten er nog de juiste tables in de database worden gezet. Dit kan door op de nieuwe VM de bestanden in /etc/roundcubemail/databasefiles te runnen met mysql.
<pre>mysql roundcubemail < mysql.initial.sql
</pre>
[[Category:Sysop]]

Inwerking Sysop

2015-11-25T16:17:31Z

Albertp: inwerking staat nu elders

De inwerking is tegenwoordig te vinden op https://home.a-eskwadraat.nl/~sysop/inwerking/inwerking.pdf

Nagios

2015-04-29T16:32:54Z

Albertp: /* check_mk */ xinetd

[[category:sysop]]
[[category:software]]
Nagios gebruiken we om op alle computers en virtuele machines een aantal belangrijke zaken in de gaten te houden. Het draait op de vm-nagios; op de andere machines staat nrpe geïnstalleerd om de checks te kunnen uitvoeren die niet op afstand gedaan kunnen worden.

== vm-nagios ==
In de map /etc/nagios/conf.d/ staan de instellingen voor Nagios. 
Als het goed is zijn alle hosts (computers en vm's) en services goed geordend in bestanden voor workstations (centos), server(s) en vm's. 
Bij alle services staat een ''command'' om de check uit te voeren; in principe staan deze in check-commands.cfg. Als de check op de andere host uitgevoerd wordt in plaats van op vm-nagios zelf gebruik je als command <code>check_nrpe!</code> + een commando dat op de remote host gedefinieerd is in nrpe (zie nrpe sectie). 
'''Alle wijzigingen hier moeten in salt gezet worden'''. Gebruik hiervoor: 
<code>scp ''bestandsnaam1 bestandsnaam2 (...)'' root@vm-salt-master:/srv/salt/centos/vm-nagios/conf.d/</code> 
Het is een goede gewoonte om dan op vm-salt-master naar deze map te gaan en <code>svn ci</code> uit te voeren om je wijzigingen te committen.

== check_mk ==
Hiermee worden automatisch diverse zaken gevonden om te controleren op de verschillende computers. Op de computers moet check-mk-agent uit de repository geïnstalleerd worden en poort 6556 in de firewall geopend. Installeer op Debian ook het pakket xinetd om check-mk-agent te laten werken. 
Op de vm-nagios staat in /etc/check-mk/main.mk welke computers gecontroleerd worden. Met het commando ''cmk -I'' wordt gecontroleerd op nieuwe checks op deze machines en met ''cmk -O'' worden deze in nagios geconfigureerd. 
Met ''cmk -II'' worden ook oude checks weggehaald die niet meer gelden: maar dit commando verwijdert ook checks die het niet doen omdat bijvoorbeeld een computer uit staat of een poort dicht, dus kijk hiermee uit.

Eigen nagios checks zijn nog steeds mogelijk door de naam en het commando in /etc/check-mk-agent/mrpe.cfg te zetten. Maak dit bestand aan als het niet bestaat; het wordt automatisch gevonden met ''cmk -I''. Ook dit soort zaken horen in salt te staan.

== NRPE: oude manier om checks te doen ==
De commando's die nrpe gebruikt om deze checks uit te voeren zijn gedefinieerd in bestanden in de map /etc/nrpe.d/. Ook is configuratie in /etc/nagios/nrpe.cfg en /etc/nagios/nrpe_local.cfg mogelijk maar het is mooier om die niet te gebruiken. Na het aanpassen hiervan moet nrpe opnieuw gestart worden met een van de volgende commando's: 
CentOS: <code>service nrpe restart</code> 
Debian (Haskell en oud systeem): <code>service nagios-nrpe-server restart</code> 
 
Op CentOS 6 is het mogelijk om "service nrpe reload" te doen, maar dat commando werkt niet! NRPE zal stoppen met een fout in /var/log/messages als je dit doet. Nagios zal je dan voor alle services van deze host mailtjes sturen. Op CentOS 7 is niet meer mogelijk om service nrpe reload te doen en zal dit dus ook niet meer fout gaan.

=== SMART check ===
Om op de workstations de SMART status te checken, moet je dit commando uitvoeren wat op dit moment (1 oktober 2014) nog niet in salt gebeurt: 
<code>chmod +x /usr/lib64/nagios/plugins/check_ide_smart</code>

=== Kernel check (Haskell) ===
Als Haskell met een andere kernel opstart geeft Nagios hiervan een melding. Als de nieuwe kernel goed werkt en mag blijven, pas dan op Haskell in /etc/nagios/nrpe.d/haskell.cfg de kernelversie aan en voer <code>service nagios-nrpe-server restart</code> uit.

=== Entropy check ===
Het is helaas hardgecodeerd in deze plugin hoe veel entropy er nodig is; als deze check een blijvende fout laat zien staat waarschijnlijk je minimum entropy lager. Met de entropykey die wij hebben is entropy niet gauw een probleem, dus je mag best een ruime hoeveelheid ervan op alle computers bewaren.

=== Users op CentOS 7 ===
Op de CentOS 7 workstations met multiseat laat nagios te veel users zien. Het is nog niet gevonden waar dit door komt; check_users is een binary, als er een vrijwilliger is die de source code kan vinden en bekijken waar de data vandaan komt, dan horen wij het graag. Tot nu toe staan de notifications uit voor de users op de multiseat workstations dennis, hendrik en pafnuty.
Mocht deze tekst veel te lang op de wiki blijven staan nadat het al lang niet meer van toepassing is, daarvoor mijn excuses. ~Albert

Nagios

2015-02-12T14:55:35Z

Albertp: /* check_mk */ poort 6556

[[category:sysop]]
[[category:software]]
Nagios gebruiken we om op alle computers en virtuele machines een aantal belangrijke zaken in de gaten te houden. Het draait op de vm-nagios; op de andere machines staat nrpe geïnstalleerd om de checks te kunnen uitvoeren die niet op afstand gedaan kunnen worden.

== vm-nagios ==
In de map /etc/nagios/conf.d/ staan de instellingen voor Nagios. 
Als het goed is zijn alle hosts (computers en vm's) en services goed geordend in bestanden voor workstations (centos), server(s) en vm's. 
Bij alle services staat een ''command'' om de check uit te voeren; in principe staan deze in check-commands.cfg. Als de check op de andere host uitgevoerd wordt in plaats van op vm-nagios zelf gebruik je als command <code>check_nrpe!</code> + een commando dat op de remote host gedefinieerd is in nrpe (zie nrpe sectie). 
'''Alle wijzigingen hier moeten in salt gezet worden'''. Gebruik hiervoor: 
<code>scp ''bestandsnaam1 bestandsnaam2 (...)'' root@vm-salt-master:/srv/salt/centos/vm-nagios/conf.d/</code> 
Het is een goede gewoonte om dan op vm-salt-master naar deze map te gaan en <code>svn ci</code> uit te voeren om je wijzigingen te committen.

== check_mk ==
Hiermee worden automatisch diverse zaken gevonden om te controleren op de verschillende computers. Op de computers moet check-mk-agent uit de repository geïnstalleerd worden en poort 6556 in de firewall geopend. 
Op de vm-nagios staat in /etc/check-mk/main.mk welke computers gecontroleerd worden. Met het commando ''cmk -I'' wordt gecontroleerd op nieuwe checks op deze machines en met ''cmk -O'' worden deze in nagios geconfigureerd. 
Met ''cmk -II'' worden ook oude checks weggehaald die niet meer gelden: maar dit commando verwijdert ook checks die het niet doen omdat bijvoorbeeld een computer uit staat of een poort dicht, dus kijk hiermee uit.

Eigen nagios checks zijn nog steeds mogelijk door de naam en het commando in /etc/check-mk-agent/mrpe.cfg te zetten. Maak dit bestand aan als het niet bestaat; het wordt automatisch gevonden met ''cmk -I''. Ook dit soort zaken horen in salt te staan.

== NRPE: oude manier om checks te doen ==
De commando's die nrpe gebruikt om deze checks uit te voeren zijn gedefinieerd in bestanden in de map /etc/nrpe.d/. Ook is configuratie in /etc/nagios/nrpe.cfg en /etc/nagios/nrpe_local.cfg mogelijk maar het is mooier om die niet te gebruiken. Na het aanpassen hiervan moet nrpe opnieuw gestart worden met een van de volgende commando's: 
CentOS: <code>service nrpe restart</code> 
Debian (Haskell en oud systeem): <code>service nagios-nrpe-server restart</code> 
 
Op CentOS 6 is het mogelijk om "service nrpe reload" te doen, maar dat commando werkt niet! NRPE zal stoppen met een fout in /var/log/messages als je dit doet. Nagios zal je dan voor alle services van deze host mailtjes sturen. Op CentOS 7 is niet meer mogelijk om service nrpe reload te doen en zal dit dus ook niet meer fout gaan.

=== SMART check ===
Om op de workstations de SMART status te checken, moet je dit commando uitvoeren wat op dit moment (1 oktober 2014) nog niet in salt gebeurt: 
<code>chmod +x /usr/lib64/nagios/plugins/check_ide_smart</code>

=== Kernel check (Haskell) ===
Als Haskell met een andere kernel opstart geeft Nagios hiervan een melding. Als de nieuwe kernel goed werkt en mag blijven, pas dan op Haskell in /etc/nagios/nrpe.d/haskell.cfg de kernelversie aan en voer <code>service nagios-nrpe-server restart</code> uit.

=== Entropy check ===
Het is helaas hardgecodeerd in deze plugin hoe veel entropy er nodig is; als deze check een blijvende fout laat zien staat waarschijnlijk je minimum entropy lager. Met de entropykey die wij hebben is entropy niet gauw een probleem, dus je mag best een ruime hoeveelheid ervan op alle computers bewaren.

=== Users op CentOS 7 ===
Op de CentOS 7 workstations met multiseat laat nagios te veel users zien. Het is nog niet gevonden waar dit door komt; check_users is een binary, als er een vrijwilliger is die de source code kan vinden en bekijken waar de data vandaan komt, dan horen wij het graag. Tot nu toe staan de notifications uit voor de users op de multiseat workstations dennis, hendrik en pafnuty.
Mocht deze tekst veel te lang op de wiki blijven staan nadat het al lang niet meer van toepassing is, daarvoor mijn excuses. ~Albert

Nagios

2015-02-09T19:43:44Z

Albertp: /* check_mk */ cmk -II

[[category:sysop]]
[[category:software]]
Nagios gebruiken we om op alle computers en virtuele machines een aantal belangrijke zaken in de gaten te houden. Het draait op de vm-nagios; op de andere machines staat nrpe geïnstalleerd om de checks te kunnen uitvoeren die niet op afstand gedaan kunnen worden.

== vm-nagios ==
In de map /etc/nagios/conf.d/ staan de instellingen voor Nagios. 
Als het goed is zijn alle hosts (computers en vm's) en services goed geordend in bestanden voor workstations (centos), server(s) en vm's. 
Bij alle services staat een ''command'' om de check uit te voeren; in principe staan deze in check-commands.cfg. Als de check op de andere host uitgevoerd wordt in plaats van op vm-nagios zelf gebruik je als command <code>check_nrpe!</code> + een commando dat op de remote host gedefinieerd is in nrpe (zie nrpe sectie). 
'''Alle wijzigingen hier moeten in salt gezet worden'''. Gebruik hiervoor: 
<code>scp ''bestandsnaam1 bestandsnaam2 (...)'' root@vm-salt-master:/srv/salt/centos/vm-nagios/conf.d/</code> 
Het is een goede gewoonte om dan op vm-salt-master naar deze map te gaan en <code>svn ci</code> uit te voeren om je wijzigingen te committen.

== check_mk ==
Hiermee worden automatisch diverse zaken gevonden om te controleren op de verschillende computers. 
Op de vm-nagios staat in /etc/check-mk/main.mk welke computers gecontroleerd worden. Met het commando ''cmk -I'' wordt gecontroleerd op nieuwe checks op deze machines en met ''cmk -O'' worden deze in nagios geconfigureerd. Om dit te kunnen doen is op de computers de check-mk-agent geïnstalleerd. 
Met ''cmk -II'' worden ook oude checks weggehaald die niet meer gelden: maar dit commando verwijdert ook checks die het niet doen omdat bijvoorbeeld een computer uit staat of een poort dicht, dus kijk hiermee uit.

Eigen nagios checks zijn nog steeds mogelijk door de naam en het commando in /etc/check-mk-agent/mrpe.cfg te zetten. Maak dit bestand aan als het niet bestaat; het wordt automatisch gevonden met ''cmk -I''. Ook dit soort zaken horen in salt te staan.

== NRPE: oude manier om checks te doen ==
De commando's die nrpe gebruikt om deze checks uit te voeren zijn gedefinieerd in bestanden in de map /etc/nrpe.d/. Ook is configuratie in /etc/nagios/nrpe.cfg en /etc/nagios/nrpe_local.cfg mogelijk maar het is mooier om die niet te gebruiken. Na het aanpassen hiervan moet nrpe opnieuw gestart worden met een van de volgende commando's: 
CentOS: <code>service nrpe restart</code> 
Debian (Haskell en oud systeem): <code>service nagios-nrpe-server restart</code> 
 
Op CentOS 6 is het mogelijk om "service nrpe reload" te doen, maar dat commando werkt niet! NRPE zal stoppen met een fout in /var/log/messages als je dit doet. Nagios zal je dan voor alle services van deze host mailtjes sturen. Op CentOS 7 is niet meer mogelijk om service nrpe reload te doen en zal dit dus ook niet meer fout gaan.

=== SMART check ===
Om op de workstations de SMART status te checken, moet je dit commando uitvoeren wat op dit moment (1 oktober 2014) nog niet in salt gebeurt: 
<code>chmod +x /usr/lib64/nagios/plugins/check_ide_smart</code>

=== Kernel check (Haskell) ===
Als Haskell met een andere kernel opstart geeft Nagios hiervan een melding. Als de nieuwe kernel goed werkt en mag blijven, pas dan op Haskell in /etc/nagios/nrpe.d/haskell.cfg de kernelversie aan en voer <code>service nagios-nrpe-server restart</code> uit.

=== Entropy check ===
Het is helaas hardgecodeerd in deze plugin hoe veel entropy er nodig is; als deze check een blijvende fout laat zien staat waarschijnlijk je minimum entropy lager. Met de entropykey die wij hebben is entropy niet gauw een probleem, dus je mag best een ruime hoeveelheid ervan op alle computers bewaren.

=== Users op CentOS 7 ===
Op de CentOS 7 workstations met multiseat laat nagios te veel users zien. Het is nog niet gevonden waar dit door komt; check_users is een binary, als er een vrijwilliger is die de source code kan vinden en bekijken waar de data vandaan komt, dan horen wij het graag. Tot nu toe staan de notifications uit voor de users op de multiseat workstations dennis, hendrik en pafnuty.
Mocht deze tekst veel te lang op de wiki blijven staan nadat het al lang niet meer van toepassing is, daarvoor mijn excuses. ~Albert

Nagios

2015-02-09T19:42:41Z

Albertp: check_mk uitgelegd

[[category:sysop]]
[[category:software]]
Nagios gebruiken we om op alle computers en virtuele machines een aantal belangrijke zaken in de gaten te houden. Het draait op de vm-nagios; op de andere machines staat nrpe geïnstalleerd om de checks te kunnen uitvoeren die niet op afstand gedaan kunnen worden.

== vm-nagios ==
In de map /etc/nagios/conf.d/ staan de instellingen voor Nagios. 
Als het goed is zijn alle hosts (computers en vm's) en services goed geordend in bestanden voor workstations (centos), server(s) en vm's. 
Bij alle services staat een ''command'' om de check uit te voeren; in principe staan deze in check-commands.cfg. Als de check op de andere host uitgevoerd wordt in plaats van op vm-nagios zelf gebruik je als command <code>check_nrpe!</code> + een commando dat op de remote host gedefinieerd is in nrpe (zie nrpe sectie). 
'''Alle wijzigingen hier moeten in salt gezet worden'''. Gebruik hiervoor: 
<code>scp ''bestandsnaam1 bestandsnaam2 (...)'' root@vm-salt-master:/srv/salt/centos/vm-nagios/conf.d/</code> 
Het is een goede gewoonte om dan op vm-salt-master naar deze map te gaan en <code>svn ci</code> uit te voeren om je wijzigingen te committen.

== check_mk ==
Hiermee worden automatisch diverse zaken gevonden om te controleren op de verschillende computers. 
Op de vm-nagios staat in /etc/check-mk/main.mk welke computers gecontroleerd worden. Met het commando ''cmk -I'' wordt gecontroleerd op nieuwe checks op deze machines en met ''cmk -O'' worden deze in nagios geconfigureerd. Om dit te kunnen doen is op de computers de check-mk-agent geïnstalleerd.

Eigen nagios checks zijn nog steeds mogelijk door de naam en het commando in /etc/check-mk-agent/mrpe.cfg te zetten. Maak dit bestand aan als het niet bestaat; het wordt automatisch gevonden met ''cmk -I''. Ook dit soort zaken horen in salt te staan.

== NRPE: oude manier om checks te doen ==
De commando's die nrpe gebruikt om deze checks uit te voeren zijn gedefinieerd in bestanden in de map /etc/nrpe.d/. Ook is configuratie in /etc/nagios/nrpe.cfg en /etc/nagios/nrpe_local.cfg mogelijk maar het is mooier om die niet te gebruiken. Na het aanpassen hiervan moet nrpe opnieuw gestart worden met een van de volgende commando's: 
CentOS: <code>service nrpe restart</code> 
Debian (Haskell en oud systeem): <code>service nagios-nrpe-server restart</code> 
 
Op CentOS 6 is het mogelijk om "service nrpe reload" te doen, maar dat commando werkt niet! NRPE zal stoppen met een fout in /var/log/messages als je dit doet. Nagios zal je dan voor alle services van deze host mailtjes sturen. Op CentOS 7 is niet meer mogelijk om service nrpe reload te doen en zal dit dus ook niet meer fout gaan.

=== SMART check ===
Om op de workstations de SMART status te checken, moet je dit commando uitvoeren wat op dit moment (1 oktober 2014) nog niet in salt gebeurt: 
<code>chmod +x /usr/lib64/nagios/plugins/check_ide_smart</code>

=== Kernel check (Haskell) ===
Als Haskell met een andere kernel opstart geeft Nagios hiervan een melding. Als de nieuwe kernel goed werkt en mag blijven, pas dan op Haskell in /etc/nagios/nrpe.d/haskell.cfg de kernelversie aan en voer <code>service nagios-nrpe-server restart</code> uit.

=== Entropy check ===
Het is helaas hardgecodeerd in deze plugin hoe veel entropy er nodig is; als deze check een blijvende fout laat zien staat waarschijnlijk je minimum entropy lager. Met de entropykey die wij hebben is entropy niet gauw een probleem, dus je mag best een ruime hoeveelheid ervan op alle computers bewaren.

=== Users op CentOS 7 ===
Op de CentOS 7 workstations met multiseat laat nagios te veel users zien. Het is nog niet gevonden waar dit door komt; check_users is een binary, als er een vrijwilliger is die de source code kan vinden en bekijken waar de data vandaan komt, dan horen wij het graag. Tot nu toe staan de notifications uit voor de users op de multiseat workstations dennis, hendrik en pafnuty.
Mocht deze tekst veel te lang op de wiki blijven staan nadat het al lang niet meer van toepassing is, daarvoor mijn excuses. ~Albert

Square

2014-12-03T18:59:58Z

Albertp: Albertp moved page Square to Square (oud)

#REDIRECT [[Square (oud)]]

Square (oud)

2014-12-03T18:59:57Z

Albertp: Albertp moved page Square to Square (oud)

{{DISPLAYTITLE:square}}
[[category:sysop]]
De alias '''square''' verwijst naar de hoofdserver van A–Eskwadraat. Op dit moment is dat [[max]].

SAMBA (oud)

2014-12-03T18:59:50Z

Albertp: Albertp moved page SAMBA to SAMBA (oud)

{{DISPLAYTITLE:SAMBA}}
[[category:sysop]]
Samba is the standard Windows interoperability suite of programs for Linux and Unix.

== Configuratie ==
Om homedirs te delen met samba:
setsebool -P samba_enable_home_dirs on

SAMBA

2014-12-03T18:59:50Z

Albertp: Albertp moved page SAMBA to SAMBA (oud)

#REDIRECT [[SAMBA (oud)]]