A-Eskwiki - User contributions [en]

SSL

2021-07-11T19:48:45Z

Axelv: /* Stap 8 */

== Uitleg ==

SSL wordt gebruikt om netwerk verbindingen te beveiligingen, zoals http en imap verkeer. Hiertoe gebruiken we bij a-eskwadraat een reverse proxy die het verkeer versleuteld voor de buitenwereld.

Voor het certificaat van A-Eskwadraat maken we op dit moment gebruik van xolphin: [https://www.sslcertificaten.nl/ https://www.sslcertificaten.nl/]

== Wachtwoord van certificaat halen ==

Indien de private key is beveiligd met een wachtwoord, dan is dit wachtwoord ook nodig bij het opstarten. Dit kan vervelend zijn wanneer de server opnieuw opstart zonder dat iemand ter plaatse is om het wachtwoord in te tikken. Het wachtwoord kan met het volgende commando worden verwijderd. Zorg hierbij dat de shell zich bevindt in de map waarin de private key staat opgeslagen:

[root@server cert]# openssl rsa -in encrypted_private_key.key -out private_key.key

Vervang hierbij encrypted_private_key.key met de naam van de private key, en vervang private_key.key met de gewenste bestandsnaam voor de nieuwe private key zonder wachtwoord.

== Aanmaken CSR ==

=== stap 1 ===

Maak met behulp van SSH verbinding met de server en log in als root. Ga met behulp van het cd-commando naar de map toe waar de certificaten moeten worden bewaard:

[root@server]# cd /etc/ssl/cert/

=== stap 2 ===

Met het volgende commando kunnen de Private Key en de CSR worden gegenereerd:
<pre style="font-family: monospace, Courier; padding: 1em; border-color: rgb(221, 221, 221); color: rgb(0, 0, 0); line-height: 1.1em; font-size: 12.6999998092651px; background-color: rgb(249, 249, 249)">[root@server]# openssl req -nodes -newkey rsa:2048 \
-keyout a-eskwadraat_nl.`date +%Y%m%d`.key \
-out a-eskwadraat_nl.`date +%Y%m%d`.csr \
-subj '/C=NL/ST=Utrecht/L=Utrecht/O=A-Eskwadraat/OU=Sysop/CN=*.a-eskwadraat.nl/emailAddress=sysop@a-eskwadraat.nl'
</pre>

=== stap 3 ===

OpenSSL genereert twee bestanden: de Private Key (met als naam a-eskwadraat_nl.{datum}.key) en de CSR (met als naam a-eskwadraat_nl.{datum}.csr).

=== stap 4 ===

Beveilig de certificaatbestanden zodat niemand behalve de rootgebruiker erbij kan:

[root@server cert]# chmod 600 *.key *.csr

=== stap 6 ===

Nu kan de CSR met behulp van het cat-commando worden weergegeven:

[root@server cert]# cat a-eskwadraat_nl.`date +%Y%m%d`.csr

De velden emailadres, optionele bedrijfsnaam en uitwisselingswachtwoord kunnen leeggelaten worden bij het aanvragen van een SSL certificaat.

== IPA SSL intern ==

Hier staat eigenlijk alles dat je moet weten: [http://www.freeipa.org/page/Apache_SNI_With_Kerberos http://www.freeipa.org/page/Apache_SNI_With_Kerberos] Het komt hier op neer (merk op dat 'dummyhost' de naam van de virtualhost is):

mkdir /etc/httpd/certs
semanage fcontext -a -t cert_t '/etc/httpd/certs(/.*)?' && restorecon -v /etc/httpd/certs
ipa host-add dummyhost.example.com --desc="Dummy Host" --location="<fqdn-of-webserver>"
ipa host-add-managedby dummyhost.example.com --hosts="<fqdn-of-webserver>"
ipa service-add HTTP/dummyhost.example.com
ipa service-add-host HTTP/dummyhost.example.com --hosts="<fqdn-of-webserver>"
ipa-getcert request -r -f /etc/httpd/certs/dummyhost.crt -k /etc/httpd/certs/dummyhost.key -N CN=dummyhost.example.com -D \
dummyhost.example.com -K HTTP/dummyhost.example.com

Het zou kunnen dat je de package ipa-admintools moet installeren.

== Let's Encrypt ==

=== Stap 1 ===

Inloggen op ernst.

=== Stap 2 ===

Certbot commando uitvoeren:

certbot certonly --manual -d *.a-eskwadraat.nl -d a-eskwadraat.nl --agree-tos --no-bootstrap --manual-public-ip-logging-ok --preferred-challenges dns-01

=== Stap 3 ===

Inloggen op vm-dns-auth.

=== Stap 4 ===

Twee TXT-records aanpassen in /etc/nsd/zones/a-eskwadaraat.nl.zone en timestamps aanpassen (van hele bestand).

=== Stap 5 ===

service nsd restart

Hierna uitloggen op vm-dns-auth.

=== Stap 6 ===

Ga verder met certbot script uit stap 2.

=== Stap 7 ===

service nginx restart

=== Stap 8 ===

Certificaat kopiëren naar mail server.

Log in op vm-mailpp

Verwijder de oude certificaten.
rm -f /etc/ssl/certs/mail_a-eskwadraat_nl.crt
rm -f /etc/ssl/certs/mail_a-eskwadraat_nl.key
Kopieër de nieuwe certificaten vanaf Ernst:
scp root@ernst:/etc/letsencrypt/live/a-eskwadraat.nl/fullchain.pem /etc/ssl/certs/mail_a-eskwadraat_nl.crt
scp root@ernst:/etc/letsencrypt/live/a-eskwadraat.nl/privkey.pem /etc/ssl/certs/mail_a-eskwadraat_nl.key
Herstart postfix en dovecot
systemctl restart postfix
systemctl restart dovecot

=== Stap 9 ===

Profit.

[[Category:Sysop]]

SSL

2021-07-11T19:46:20Z

Axelv: /* Stap 8 */

== Uitleg ==

SSL wordt gebruikt om netwerk verbindingen te beveiligingen, zoals http en imap verkeer. Hiertoe gebruiken we bij a-eskwadraat een reverse proxy die het verkeer versleuteld voor de buitenwereld.

Voor het certificaat van A-Eskwadraat maken we op dit moment gebruik van xolphin: [https://www.sslcertificaten.nl/ https://www.sslcertificaten.nl/]

== Wachtwoord van certificaat halen ==

Indien de private key is beveiligd met een wachtwoord, dan is dit wachtwoord ook nodig bij het opstarten. Dit kan vervelend zijn wanneer de server opnieuw opstart zonder dat iemand ter plaatse is om het wachtwoord in te tikken. Het wachtwoord kan met het volgende commando worden verwijderd. Zorg hierbij dat de shell zich bevindt in de map waarin de private key staat opgeslagen:

[root@server cert]# openssl rsa -in encrypted_private_key.key -out private_key.key

Vervang hierbij encrypted_private_key.key met de naam van de private key, en vervang private_key.key met de gewenste bestandsnaam voor de nieuwe private key zonder wachtwoord.

== Aanmaken CSR ==

=== stap 1 ===

Maak met behulp van SSH verbinding met de server en log in als root. Ga met behulp van het cd-commando naar de map toe waar de certificaten moeten worden bewaard:

[root@server]# cd /etc/ssl/cert/

=== stap 2 ===

Met het volgende commando kunnen de Private Key en de CSR worden gegenereerd:
<pre style="font-family: monospace, Courier; padding: 1em; border-color: rgb(221, 221, 221); color: rgb(0, 0, 0); line-height: 1.1em; font-size: 12.6999998092651px; background-color: rgb(249, 249, 249)">[root@server]# openssl req -nodes -newkey rsa:2048 \
-keyout a-eskwadraat_nl.`date +%Y%m%d`.key \
-out a-eskwadraat_nl.`date +%Y%m%d`.csr \
-subj '/C=NL/ST=Utrecht/L=Utrecht/O=A-Eskwadraat/OU=Sysop/CN=*.a-eskwadraat.nl/emailAddress=sysop@a-eskwadraat.nl'
</pre>

=== stap 3 ===

OpenSSL genereert twee bestanden: de Private Key (met als naam a-eskwadraat_nl.{datum}.key) en de CSR (met als naam a-eskwadraat_nl.{datum}.csr).

=== stap 4 ===

Beveilig de certificaatbestanden zodat niemand behalve de rootgebruiker erbij kan:

[root@server cert]# chmod 600 *.key *.csr

=== stap 6 ===

Nu kan de CSR met behulp van het cat-commando worden weergegeven:

[root@server cert]# cat a-eskwadraat_nl.`date +%Y%m%d`.csr

De velden emailadres, optionele bedrijfsnaam en uitwisselingswachtwoord kunnen leeggelaten worden bij het aanvragen van een SSL certificaat.

== IPA SSL intern ==

Hier staat eigenlijk alles dat je moet weten: [http://www.freeipa.org/page/Apache_SNI_With_Kerberos http://www.freeipa.org/page/Apache_SNI_With_Kerberos] Het komt hier op neer (merk op dat 'dummyhost' de naam van de virtualhost is):

mkdir /etc/httpd/certs
semanage fcontext -a -t cert_t '/etc/httpd/certs(/.*)?' && restorecon -v /etc/httpd/certs
ipa host-add dummyhost.example.com --desc="Dummy Host" --location="<fqdn-of-webserver>"
ipa host-add-managedby dummyhost.example.com --hosts="<fqdn-of-webserver>"
ipa service-add HTTP/dummyhost.example.com
ipa service-add-host HTTP/dummyhost.example.com --hosts="<fqdn-of-webserver>"
ipa-getcert request -r -f /etc/httpd/certs/dummyhost.crt -k /etc/httpd/certs/dummyhost.key -N CN=dummyhost.example.com -D \
dummyhost.example.com -K HTTP/dummyhost.example.com

Het zou kunnen dat je de package ipa-admintools moet installeren.

== Let's Encrypt ==

=== Stap 1 ===

Inloggen op ernst.

=== Stap 2 ===

Certbot commando uitvoeren:

certbot certonly --manual -d *.a-eskwadraat.nl -d a-eskwadraat.nl --agree-tos --no-bootstrap --manual-public-ip-logging-ok --preferred-challenges dns-01

=== Stap 3 ===

Inloggen op vm-dns-auth.

=== Stap 4 ===

Twee TXT-records aanpassen in /etc/nsd/zones/a-eskwadaraat.nl.zone en timestamps aanpassen (van hele bestand).

=== Stap 5 ===

service nsd restart

Hierna uitloggen op vm-dns-auth.

=== Stap 6 ===

Ga verder met certbot script uit stap 2.

=== Stap 7 ===

service nginx restart

=== Stap 8 ===

Certificaat kopiëren naar mail server.
Log in op vm-mailpp

Verwijder de oude certificaten.
rm /etc/ssl/certs/mail_a-eskwadraat_nl.crt
rm /etc/ssl/certs/mail_a-eskwadraat_nl.key
Kopieër de nieuwe certificaten vanaf Ernst:
scp root@ernst:/etc/letsencrypt/live/a-eskwadraat.nl/fullchain.pem /etc/ssl/certs/mail_a-eskwadraat_nl.crt
scp root@ernst:/etc/letsencrypt/live/a-eskwadraat.nl/privkey.pem /etc/ssl/certs/mail_a-eskwadraat_nl.key
Herstart postfix en dovecot
systemctl restart postfix
systemctl restart dovecot

=== Stap 9 ===

Profit.

[[Category:Sysop]]

SSL

2021-07-11T19:45:45Z

Axelv: /* Stap 8 */

== Uitleg ==

SSL wordt gebruikt om netwerk verbindingen te beveiligingen, zoals http en imap verkeer. Hiertoe gebruiken we bij a-eskwadraat een reverse proxy die het verkeer versleuteld voor de buitenwereld.

Voor het certificaat van A-Eskwadraat maken we op dit moment gebruik van xolphin: [https://www.sslcertificaten.nl/ https://www.sslcertificaten.nl/]

== Wachtwoord van certificaat halen ==

Indien de private key is beveiligd met een wachtwoord, dan is dit wachtwoord ook nodig bij het opstarten. Dit kan vervelend zijn wanneer de server opnieuw opstart zonder dat iemand ter plaatse is om het wachtwoord in te tikken. Het wachtwoord kan met het volgende commando worden verwijderd. Zorg hierbij dat de shell zich bevindt in de map waarin de private key staat opgeslagen:

[root@server cert]# openssl rsa -in encrypted_private_key.key -out private_key.key

Vervang hierbij encrypted_private_key.key met de naam van de private key, en vervang private_key.key met de gewenste bestandsnaam voor de nieuwe private key zonder wachtwoord.

== Aanmaken CSR ==

=== stap 1 ===

Maak met behulp van SSH verbinding met de server en log in als root. Ga met behulp van het cd-commando naar de map toe waar de certificaten moeten worden bewaard:

[root@server]# cd /etc/ssl/cert/

=== stap 2 ===

Met het volgende commando kunnen de Private Key en de CSR worden gegenereerd:
<pre style="font-family: monospace, Courier; padding: 1em; border-color: rgb(221, 221, 221); color: rgb(0, 0, 0); line-height: 1.1em; font-size: 12.6999998092651px; background-color: rgb(249, 249, 249)">[root@server]# openssl req -nodes -newkey rsa:2048 \
-keyout a-eskwadraat_nl.`date +%Y%m%d`.key \
-out a-eskwadraat_nl.`date +%Y%m%d`.csr \
-subj '/C=NL/ST=Utrecht/L=Utrecht/O=A-Eskwadraat/OU=Sysop/CN=*.a-eskwadraat.nl/emailAddress=sysop@a-eskwadraat.nl'
</pre>

=== stap 3 ===

OpenSSL genereert twee bestanden: de Private Key (met als naam a-eskwadraat_nl.{datum}.key) en de CSR (met als naam a-eskwadraat_nl.{datum}.csr).

=== stap 4 ===

Beveilig de certificaatbestanden zodat niemand behalve de rootgebruiker erbij kan:

[root@server cert]# chmod 600 *.key *.csr

=== stap 6 ===

Nu kan de CSR met behulp van het cat-commando worden weergegeven:

[root@server cert]# cat a-eskwadraat_nl.`date +%Y%m%d`.csr

De velden emailadres, optionele bedrijfsnaam en uitwisselingswachtwoord kunnen leeggelaten worden bij het aanvragen van een SSL certificaat.

== IPA SSL intern ==

Hier staat eigenlijk alles dat je moet weten: [http://www.freeipa.org/page/Apache_SNI_With_Kerberos http://www.freeipa.org/page/Apache_SNI_With_Kerberos] Het komt hier op neer (merk op dat 'dummyhost' de naam van de virtualhost is):

mkdir /etc/httpd/certs
semanage fcontext -a -t cert_t '/etc/httpd/certs(/.*)?' && restorecon -v /etc/httpd/certs
ipa host-add dummyhost.example.com --desc="Dummy Host" --location="<fqdn-of-webserver>"
ipa host-add-managedby dummyhost.example.com --hosts="<fqdn-of-webserver>"
ipa service-add HTTP/dummyhost.example.com
ipa service-add-host HTTP/dummyhost.example.com --hosts="<fqdn-of-webserver>"
ipa-getcert request -r -f /etc/httpd/certs/dummyhost.crt -k /etc/httpd/certs/dummyhost.key -N CN=dummyhost.example.com -D \
dummyhost.example.com -K HTTP/dummyhost.example.com

Het zou kunnen dat je de package ipa-admintools moet installeren.

== Let's Encrypt ==

=== Stap 1 ===

Inloggen op ernst.

=== Stap 2 ===

Certbot commando uitvoeren:

certbot certonly --manual -d *.a-eskwadraat.nl -d a-eskwadraat.nl --agree-tos --no-bootstrap --manual-public-ip-logging-ok --preferred-challenges dns-01

=== Stap 3 ===

Inloggen op vm-dns-auth.

=== Stap 4 ===

Twee TXT-records aanpassen in /etc/nsd/zones/a-eskwadaraat.nl.zone en timestamps aanpassen (van hele bestand).

=== Stap 5 ===

service nsd restart

Hierna uitloggen op vm-dns-auth.

=== Stap 6 ===

Ga verder met certbot script uit stap 2.

=== Stap 7 ===

service nginx restart

=== Stap 8 ===

Certificaat kopiëren naar mail server.
Log in op vm-mailpp

cd /etc/ssl/certs/
Verwijder de oude certificaten.
rm /etc/ssl/certs/mail_a-eskwadraat_nl.crt
rm /etc/ssl/certs/mail_a-eskwadraat_nl.key
Kopieër de nieuwe certificaten vanaf Ernst:
scp root@ernst:/etc/letsencrypt/live/a-eskwadraat.nl/fullchain.pem /etc/ssl/certs/mail_a-eskwadraat_nl.crt
scp root@ernst:/etc/letsencrypt/live/a-eskwadraat.nl/privkey.pem /etc/ssl/certs/mail_a-eskwadraat_nl.key
Herstart postfix en dovecot
systemctl restart postfix
systemctl restart dovecot

=== Stap 9 ===

Profit.

[[Category:Sysop]]

SSL

2021-01-19T20:54:37Z

Axelv: /* Stap 8 */

== Uitleg ==

SSL wordt gebruikt om netwerk verbindingen te beveiligingen, zoals http en imap verkeer. Hiertoe gebruiken we bij a-eskwadraat een reverse proxy die het verkeer versleuteld voor de buitenwereld.

Voor het certificaat van A-Eskwadraat maken we op dit moment gebruik van xolphin: [https://www.sslcertificaten.nl/ https://www.sslcertificaten.nl/]

== Wachtwoord van certificaat halen ==

Indien de private key is beveiligd met een wachtwoord, dan is dit wachtwoord ook nodig bij het opstarten. Dit kan vervelend zijn wanneer de server opnieuw opstart zonder dat iemand ter plaatse is om het wachtwoord in te tikken. Het wachtwoord kan met het volgende commando worden verwijderd. Zorg hierbij dat de shell zich bevindt in de map waarin de private key staat opgeslagen:

[root@server cert]# openssl rsa -in encrypted_private_key.key -out private_key.key

Vervang hierbij encrypted_private_key.key met de naam van de private key, en vervang private_key.key met de gewenste bestandsnaam voor de nieuwe private key zonder wachtwoord.

== Aanmaken CSR ==

=== stap 1 ===

Maak met behulp van SSH verbinding met de server en log in als root. Ga met behulp van het cd-commando naar de map toe waar de certificaten moeten worden bewaard:

[root@server]# cd /etc/ssl/cert/

=== stap 2 ===

Met het volgende commando kunnen de Private Key en de CSR worden gegenereerd:
<pre style="font-family: monospace, Courier; padding: 1em; border-color: rgb(221, 221, 221); color: rgb(0, 0, 0); line-height: 1.1em; font-size: 12.6999998092651px; background-color: rgb(249, 249, 249)">[root@server]# openssl req -nodes -newkey rsa:2048 \
-keyout a-eskwadraat_nl.`date +%Y%m%d`.key \
-out a-eskwadraat_nl.`date +%Y%m%d`.csr \
-subj '/C=NL/ST=Utrecht/L=Utrecht/O=A-Eskwadraat/OU=Sysop/CN=*.a-eskwadraat.nl/emailAddress=sysop@a-eskwadraat.nl'
</pre>

=== stap 3 ===

OpenSSL genereert twee bestanden: de Private Key (met als naam a-eskwadraat_nl.{datum}.key) en de CSR (met als naam a-eskwadraat_nl.{datum}.csr).

=== stap 4 ===

Beveilig de certificaatbestanden zodat niemand behalve de rootgebruiker erbij kan:

[root@server cert]# chmod 600 *.key *.csr

=== stap 6 ===

Nu kan de CSR met behulp van het cat-commando worden weergegeven:

[root@server cert]# cat a-eskwadraat_nl.`date +%Y%m%d`.csr

De velden emailadres, optionele bedrijfsnaam en uitwisselingswachtwoord kunnen leeggelaten worden bij het aanvragen van een SSL certificaat.

== IPA SSL intern ==

Hier staat eigenlijk alles dat je moet weten: [http://www.freeipa.org/page/Apache_SNI_With_Kerberos http://www.freeipa.org/page/Apache_SNI_With_Kerberos] Het komt hier op neer (merk op dat 'dummyhost' de naam van de virtualhost is):

mkdir /etc/httpd/certs
semanage fcontext -a -t cert_t '/etc/httpd/certs(/.*)?' && restorecon -v /etc/httpd/certs
ipa host-add dummyhost.example.com --desc="Dummy Host" --location="<fqdn-of-webserver>"
ipa host-add-managedby dummyhost.example.com --hosts="<fqdn-of-webserver>"
ipa service-add HTTP/dummyhost.example.com
ipa service-add-host HTTP/dummyhost.example.com --hosts="<fqdn-of-webserver>"
ipa-getcert request -r -f /etc/httpd/certs/dummyhost.crt -k /etc/httpd/certs/dummyhost.key -N CN=dummyhost.example.com -D \
dummyhost.example.com -K HTTP/dummyhost.example.com

Het zou kunnen dat je de package ipa-admintools moet installeren.

== Let's Encrypt ==

=== Stap 1 ===

Inloggen op ernst.

=== Stap 2 ===

Certbot commando uitvoeren:

certbot certonly --manual -d *.a-eskwadraat.nl -d a-eskwadraat.nl --agree-tos --no-bootstrap --manual-public-ip-logging-ok --preferred-challenges dns-01

=== Stap 3 ===

Inloggen op vm-dns-auth.

=== Stap 4 ===

Twee TXT-records aanpassen in /etc/nsd/zones/a-eskwadaraat.nl.zone en timestamps aanpassen (van hele bestand).

=== Stap 5 ===

service nsd restart

Hierna uitloggen op vm-dns-auth.

=== Stap 6 ===

Ga verder met certbot script uit stap 2.

=== Stap 7 ===

service nginx restart

=== Stap 8 ===

Certificaat kopiëren naar mail server.
Log in op vm-mailpp

cd /etc/ssl/certs/
Rename de oude certificaten voor backup
mv mail_a-eskwadraat_nl.crt mail_a-eskwadraat_nl.crt.expired-aug-2020
mv mail_a-eskwadraat_nl.key mail_a-eskwadraat_nl.key.expired-aug-2020
Kopieër de nieuwe certificaten vanaf Ernst:
scp root@ernst:/etc/letsencrypt/live/a-eskwadraat.nl/fullchain.pem mail_a-eskwadraat_nl.crt
scp root@ernst:/etc/letsencrypt/live/a-eskwadraat.nl/privkey.pem mail_a-eskwadraat_nl.key
Herstart postfix en dovecot
systemctl restart postfix
systemctl restart dovecot

=== Stap 9 ===

Profit.

[[Category:Sysop]]

SSL

2020-08-10T15:22:51Z

Axelv: /* Stap 8 */

== Uitleg ==

SSL wordt gebruikt om netwerk verbindingen te beveiligingen, zoals http en imap verkeer. Hiertoe gebruiken we bij a-eskwadraat een reverse proxy die het verkeer versleuteld voor de buitenwereld.

Voor het certificaat van A-Eskwadraat maken we op dit moment gebruik van xolphin: [https://www.sslcertificaten.nl/ https://www.sslcertificaten.nl/]

== Wachtwoord van certificaat halen ==

Indien de private key is beveiligd met een wachtwoord, dan is dit wachtwoord ook nodig bij het opstarten. Dit kan vervelend zijn wanneer de server opnieuw opstart zonder dat iemand ter plaatse is om het wachtwoord in te tikken. Het wachtwoord kan met het volgende commando worden verwijderd. Zorg hierbij dat de shell zich bevindt in de map waarin de private key staat opgeslagen:

[root@server cert]# openssl rsa -in encrypted_private_key.key -out private_key.key

Vervang hierbij encrypted_private_key.key met de naam van de private key, en vervang private_key.key met de gewenste bestandsnaam voor de nieuwe private key zonder wachtwoord.

== Aanmaken CSR ==

=== stap 1 ===

Maak met behulp van SSH verbinding met de server en log in als root. Ga met behulp van het cd-commando naar de map toe waar de certificaten moeten worden bewaard:

[root@server]# cd /etc/ssl/cert/

=== stap 2 ===

Met het volgende commando kunnen de Private Key en de CSR worden gegenereerd:
<pre style="font-family: monospace, Courier; padding: 1em; border-color: rgb(221, 221, 221); color: rgb(0, 0, 0); line-height: 1.1em; font-size: 12.6999998092651px; background-color: rgb(249, 249, 249)">[root@server]# openssl req -nodes -newkey rsa:2048 \
-keyout a-eskwadraat_nl.`date +%Y%m%d`.key \
-out a-eskwadraat_nl.`date +%Y%m%d`.csr \
-subj '/C=NL/ST=Utrecht/L=Utrecht/O=A-Eskwadraat/OU=Sysop/CN=*.a-eskwadraat.nl/emailAddress=sysop@a-eskwadraat.nl'
</pre>

=== stap 3 ===

OpenSSL genereert twee bestanden: de Private Key (met als naam a-eskwadraat_nl.{datum}.key) en de CSR (met als naam a-eskwadraat_nl.{datum}.csr).

=== stap 4 ===

Beveilig de certificaatbestanden zodat niemand behalve de rootgebruiker erbij kan:

[root@server cert]# chmod 600 *.key *.csr

=== stap 6 ===

Nu kan de CSR met behulp van het cat-commando worden weergegeven:

[root@server cert]# cat a-eskwadraat_nl.`date +%Y%m%d`.csr

De velden emailadres, optionele bedrijfsnaam en uitwisselingswachtwoord kunnen leeggelaten worden bij het aanvragen van een SSL certificaat.

== IPA SSL intern ==

Hier staat eigenlijk alles dat je moet weten: [http://www.freeipa.org/page/Apache_SNI_With_Kerberos http://www.freeipa.org/page/Apache_SNI_With_Kerberos] Het komt hier op neer (merk op dat 'dummyhost' de naam van de virtualhost is):

mkdir /etc/httpd/certs
semanage fcontext -a -t cert_t '/etc/httpd/certs(/.*)?' && restorecon -v /etc/httpd/certs
ipa host-add dummyhost.example.com --desc="Dummy Host" --location="<fqdn-of-webserver>"
ipa host-add-managedby dummyhost.example.com --hosts="<fqdn-of-webserver>"
ipa service-add HTTP/dummyhost.example.com
ipa service-add-host HTTP/dummyhost.example.com --hosts="<fqdn-of-webserver>"
ipa-getcert request -r -f /etc/httpd/certs/dummyhost.crt -k /etc/httpd/certs/dummyhost.key -N CN=dummyhost.example.com -D \
dummyhost.example.com -K HTTP/dummyhost.example.com

Het zou kunnen dat je de package ipa-admintools moet installeren.

== Let's Encrypt ==

=== Stap 1 ===

Inloggen op ernst.

=== Stap 2 ===

Certbot commando uitvoeren:

certbot certonly --manual -d *.a-eskwadraat.nl -d a-eskwadraat.nl --agree-tos --no-bootstrap --manual-public-ip-logging-ok --preferred-challenges dns-01

=== Stap 3 ===

Inloggen op vm-dns-auth.

=== Stap 4 ===

Twee TXT-records aanpassen in /etc/nsd/zones/a-eskwadaraat.nl.zone en timestamps aanpassen (van hele bestand).

=== Stap 5 ===

service nsd restart

Hierna uitloggen op vm-dns-auth.

=== Stap 6 ===

Ga verder met certbot script uit stap 2.

=== Stap 7 ===

service nginx restart

=== Stap 8 ===

Certificaat kopiëren naar mail server.
Log in op vm-mail-pp

cd /etc/ssl/certs/
Rename de oude certificaten voor backup
mv mail_a-eskwadraat_nl.crt mail_a-eskwadraat_nl.crt.expired-aug-2020
mv mail_a-eskwadraat_nl.key mail_a-eskwadraat_nl.key.expired-aug-2020
Kopieër de nieuwe certificaten vanaf Ernst:
scp root@ernst:/etc/letsencrypt/live/a-eskwadraat.nl/fullchain.pem mail_a-eskwadraat_nl.crt
scp root@ernst:/etc/letsencrypt/live/a-eskwadraat.nl/privkey.pem mail_a-eskwadraat_nl.key
Herstart postfix en dovecot
systemctl restart postfix
systemctl restart dovecot

=== Stap 9 ===

Profit.

[[Category:Sysop]]

SSL

2020-08-10T13:04:32Z

Axelv: /* Stap 2 */

Ejabberd

2019-12-23T00:34:11Z

Axelv:

[[Category: Sysop oud]]
Op vm-jabber draait ejabberd, een xmpp/jabber-server. Ejabberd is zo ingesteld dat hij met de ipa-server werkt. De instellingen zijn als volgt gedaan:

Na de installatie van de vm hang je de vm aan ipa (uiteraard). Ga naar /root en maak daar het bestand jabber.ldif aan met de volgende inhoud:
<pre>
dn: uid=ejabberd,cn=sysaccounts,cn=etc,dc=a-eskwadraat,dc=nl
changetype: add
objectclass: account
objectclass: simplesecurityobject
uid: ejabberd
userPassword: jabberpasswd
passwordExpirationTime: 20380119031407Z
nsIdleTimeout: 0
</pre>
Voer dan het volgende commando uit (met admin-wachtwoord):
<pre>
ldapmodify -h <ipa-server> -p 389 -x -D "cn=Directory Manager" -f jabber.ldif -W
</pre>
Maak ook op de ipa-server de groep 'jabber_users' aan.

Installeer nu op de vm-jabber ejabberd:
<pre>
yum install ejabberd -y
</pre>
Als dat allemaal is geïnstalleerd veranderd dan in /etc/ejabberd/ejabberd.cfg
<pre>
{hosts, ["localhost"]}.
</pre>
door
<pre>
{hosts, ["a-eskwadraat.nl"]}.
</pre>
en uncomment (haal de procent-tekens weg)
<pre>
...
%%{certfile, "/etc/ejabberd/ejabberd.pem"}, starttls,
...
%%{s2s_use_starttls, optional}.
...
%%{s2s_certfile, "/etc/ejabberd/ejabberd.pem"}.
...
</pre>
Zet dan bij de AUTHENTICATION sectie het volgende erbij:
<pre>
{auth_method, ldap}.
{ldap_servers, ["<ipaserver>"]}.
{ldap_uids, [{"uid"}]}.
{ldap_filter, "(memberOf=cn=jabber_users,cn=groups,cn=accounts,dc=a-eskwadraat,dc=nl)"}.
{ldap_base, "dc=a-eskwadraat,dc=nl"}.
{ldap_rootdn, "uid=ejabberd,cn=sysaccounts,cn=etc,dc=a-eskwadraat,dc=nl"}.
{ldap_password, "jabberpasswd"}.
</pre>
Als laatste moet je de poorten 5222, 5223, 5269 en 5280 in de firewall open zetten.
Start nu ejabberd!
<pre>
service ejabberd start
</pre>

Maar als een user gebruik wil maken van de jabber, zorg er dan voor dat hij/zij in de jabber_users zit in ipa!

Sysop

2017-08-24T17:36:35Z

Axelv: Cleanup

{{Commissie
| naam = Sysop
| plaatje =
| type = commissie
| jaren_actief = 1997-heden
| email = sysop[dingetje]a-eskwadraat.nl
| website = http://a-eskwadraat.nl/sysop
}} '''Sysop''' is de A–Eskwadraatcommissie die verantwoordelijk is voor het beheer van het [[Computerpark|computerpark]] en alle andere [[:category:hardware|hardware]]. Sysop valt onder [[IBA|IBA]]. Ze zijn te bereiken op [mailto:sysop@A-Eskwadraat.nl [1]].

De Sysophandleidingen staan in de categorie [[:category:sysop|Sysop]]. De documentatie van scripts staat in de categorie [[:category:sysop_scripts|Scripts]].

Salt

2016-12-12T19:47:12Z

Axelv:

[[category:sysop]]

Salt is verantwoordelijk voor het configureren van de systemen in gebruik bij [[A-Eskwadraat]].
Onder configuratie valt bijvoorbeeld het installeren van packages, het updaten van packages, en het configureren van services.
De zogenaamde salt-master is verantwoordelijk voor het onderhouden van de salt-minions.
De huidige salt-master service draait op vm-salt-master, en de salt-minion service draait onder andere in de vm's op Haskell en de workstations.

==Salt master config==
Installeer salt-master
yum install salt-master
chkconfig salt-master on
service salt-master start

Open firewallpoorten tcp 4505 en tcp 4506

==Salt minion config==
Gebeurt automagisch bij [[kickstart]]en.

Herconfigureren van een salt-minion kan handmatig worden gedaan op vm-salt-master:

<pre>
[root@vm-salt-master ~]# salt '<hostname>' state.highstate
</pre>

Als er een serieuze fout optreed bij de salt-minion kan het nodig zijn om de service te herstarten:
<pre>
[root@host ~]# service salt-minion restart
</pre>

==Salt .sls Config==
De configuratie van een systeem is gespecificeerd in een bestand genaamd init.sls.

<pre>
# Dit is een actueel voorbeeld van een init.sls uit de configuratie van vm-mail.
# Gebruik voor de indentatie van het bestand alleen tabs, anders krijg je vreselijke foutmeldingen.

# Deze sectie is verantwoordelijk voor de installatie van de service Exim.
exim:
pkg:
- installed
service:
# Check met regelmaat of de service nog draait.
- running
# Laat de service automatisch opstarten.
- enable: True
# Herstart de service als er een bestand gewijzigd word in de map /etc/exim/.
- watch:
- file: /etc/exim

# Deze sectie is verantwoordelijk voor het kopiëren van configuratie bestanden naar de minion.
/etc/exim:
# Kopieer recursief de bestanden in salt://aes-vm/vm-mail/exim naar de map /etc/exim op de salt-minion.
file.recurse:
- source: salt://aes-vm/vm-mail/exim
- name: /etc/exim
- user: root
- group: root
- file_mode: 644
- require:
- pkg: exim

# Met de for loop kan je handmatig bestanden kopieren. Gebruik de recursieve methode indien mogelijk.
# Let op dat gevoelige bestanden zoals certificaten de juiste file permissies krijgen.
{% for e in 'dkim_alef.crt','dkim_alef.key','exim.cert' %}
/etc/exim/{{ e }}:
file.managed:
- source: salt://aes-vm/vm-mail/exim/{{ e }}
- user: exim
- group: exim
- mode: 640
{% endfor %}

</pre>

Let op: als er een syntax fout staat in de configuratie krijg je een interne python error.
De configuratie is extreem gevoelig voor fouten in spaties / tabs.
Gebruik bijv. de syntax highlighting van vim om fouten te vinden.

==Salt Maps==
De configuratie bestanden van de salt-minions zijn te vinden in de map /srv/salt/.

* /srv/salt/top.sls : in deze file zijn worden hostnames met een specifieke configuratie verbonden.
* /srv/salt/id_rsa_sysop.pub: deze public key wordt gebruikt voor authenticatie van sysop leden.
* /srv/salt/centos/ : in deze map staan de configuraties voor alle centos-gebaseerde machines, zoals de meeste virtuele machines.
* /srv/salt/fedora/ : in deze map staat de configuratie voor alle fedora-gebaseerde machines, zoals de workstations.
* /srv/salt/ernst/ : in deze map staat de configuratie voor [[ernst]].

Wanneer een bestand onder beheer van salt wordt gewijzigd op een salt-minion dient deze ook te worden gewijzigd op de salt-master.
Daarna moeten de wijzigingen in de /srv/salt map worden gecommit in de [[SVN]]-repository.