https://mediawiki.a-eskwadraat.nl/wiki/api.php?action=feedcontributions&feedformat=atom&user=JuriaanA-Eskwiki - User contributions [en]2026-08-10T11:20:15ZUser contributionsMediaWiki 1.23.2https://mediawiki.a-eskwadraat.nl/wiki/index.php/StephenStephen2018-12-03T18:43:48Z<p>Juriaan: </p>
<hr />
<div>Stephen is de server van A-Eskwadraat. De server is vernoemd naar [https://nl.wikipedia.org/wiki/Stephen_Hawking Stephen Hawking] en tot leven gekomen op 28 augustus 2018.<br />
<br />
== Hardware ==<br />
<code></code><br />
<br />
== NFS mounten ==<br />
<br />
NFS mounten op een unprivileged container is op het moment van schrijven niet mogelijk.<br />
<br />
Installeer nfs-utils op de host (al gebeurd).<br />
<br />
We mounten daarom de benodigde filessystems via NFS op de host: <br />
<br />
<pre><br />
haskell:/srv/home /srv/home nfs rw,_netdev 0 0 #mount /srv/home/mensjes from haskell<br />
haskell:/srv/www/srv /srv/www/srv nfs vers=3,rw,noatime 0 0 #mount /srv/www/srv from haskell<br />
haskell:/srv/www/archief /srv/www/archief nfs vers=3,rw,noatime 0 0<br />
haskell:/srv/scratch /srv/scratch nfs vers=3,rw,noatime 0 0<br />
</pre><br />
<br />
Vervolgens kunnen de filesystems gemount worden in een container. Dit doen we door de volgende toe te voegen aan <code>/etc/pve/lxc/<id>.conf</code>:<br />
<br />
<pre><br />
lxc.mount.entry: /srv/home/mensjes home/mensjes none bind 0 0<br />
lxc.mount.entry: /srv/home/cies home/cies none bind 0 0<br />
lxc.mount.entry: /srv/www/srv srv none bind 0 0<br />
lxc.mount.entry: /srv/www/archief /archief<br />
lxc.mount.entry: /srv/scratch /scratch<br />
</pre><br />
<br />
<br />
== Backups ==<br />
Voor de snapshots op Stehpen gebruiken [https://github.com/psy0rz/zfs_autobackup zfs-autobackup]. Instellingen ervan zijn te vinden in <code>/etc/cron.d/zfs-autobackup</code>. Hier speciferen we onder andere hoevaak backups gemaakt moeten worden en hoelang deze bewaard moeten blijven.<br />
<br />
Backups van Stephen naar Nikola moeten nog geregeld worden.<br />
<br />
<br />
[[Category:Sysop]]</div>Juriaanhttps://mediawiki.a-eskwadraat.nl/wiki/index.php/Webcie-vmWebcie-vm2018-10-02T20:05:06Z<p>Juriaan: </p>
<hr />
<div>Zie ook: [[Webcie-vms]] (!)<br />
<br />
== Nieuwe vm-webcie-debug&nbsp;aanmaken ==<br />
<br />
Maak een nieuwe vm vm-webcie-debug aan. Kickstart de vm en highstate de vm met salt. Installeer mariadb met het volgende commando:<br />
<pre>/usr/bin/mysql_secure_installation</pre><br />
<br />
Zet het rootwachtwoord en disalow root login remotely. Let op: de rootwachtwoorden van de databases van de vm-webcie/www en vm-webcie/www-debug moeten hetzelfde zijn!<br />
<br />
Maak in de home van de root het bestandje .my.cnf aan (zet de rechten op 0600!) met de volgende content:<br />
<pre>[client]<br />
user = root<br />
pass = root-database-wachtwoord</pre><br />
<br />
Maak ook de juiste databases aan (bv test_whoswho4, test_benamite of boeken. Denk eraan dat op een vm-webcie/www-machine er zowel de normal db als test_db moeten zijn). Kopieër nu de databases. Vergeet ook niet de mysql-database te kopieëren, daar staan de rechten van de verschillende gebruikers in.&nbsp;Maak eerst een dump op de oude vm:<br />
<pre>mysqldump 'dbnaam' > 'dbnaam'.db</pre><br />
<br />
Kopieër het dumpbestand naar de nieuwe vm en laad de dump in op de nieuwe vm:<br />
<pre>mysql 'dbnaam' < 'dbnaam'.db</pre><br />
<br />
== Opzetten vm-www2 ==<br />
<br />
Deze instructies zijn bedoeld voor de WebCie. We gaan ervan uit dat je het WebCie-wachtwoord uit je hoofd kent.<br />
<br />
Vraag de Sysop om een nieuwe vm (ik bedoel uiteraard container ;)) met subdomein (in dit geval: vm-www2.a-eskwadraat.nl) en dezelfde mounts als de originele vm. Zorg ervoor dat sendmail vanaf de nieuwe vm werkt. Verkrijg roottoegang op de vm-www2.<br />
<br />
In het begin heeft yum nog een update voor repositorygegevens nodig: doe <code>yum clean all</code> voordat je een ander yum-commando draait.<br />
<br />
=== Mariadb en replicatie ===<br />
<br />
Installeer mariadb als op de vm-www-debug: <code>yum install mariadb mariadb-server</code> (let op: ivm backwards incompatibility willen we versie 5.5 voorlopig), <code>systemctl enable mariadb</code>, <code>systemctl start mariadb</code> en dan <code>/usr/bin/mysql_secure_installation</code>. Check even of inloggen nog werkt: <code>mysql -u root -p</code>. Check ook dat je verbinding kan maken met mysql op de originele host vanaf de nieuwe host: <code>mysql -h vm-www -u root -p</code>.<br />
<br />
Nu gaan we [https://mariadb.com/kb/en/library/replication-overview/ replicatie] opzetten (master-master). We moeten hiervoor een random wachtwoord genereren, bewaar die goed! Open in een nieuwe terminal op de originele host, en pas de <code>my.cnf</code> aan:<br />
<pre><br />
[mysqld]<br />
server-id=1<br />
log-bin<br />
</pre><br />
Herstart mysqld/mariadb om de wijzigingen toe te passen. Log in als root op mysql en geef permissies: <code>grant replication slave on *.* to repli@'vm-www2.a-eskwadraat.nl' identified by 'replipassword'; flush privileges;</code>. Zet de tabellen op slot terwijl we de rest doen: <code>flush tables with read lock;</code>. Ten slotte moeten we wat gegevens bekomen: <code> show master status\G</code>. Log niet uit tot we klaar zijn, dan gaan de tabellen weer van het slot af.<br />
<br />
In de andere terminal op <code>vm-www2</code> gaan we ook de <code>my.cnf</code> aanpassen (ik heb de wijzigingen in <code>/etc/my.cnf.d/webcie.cnf</code> gezet):<br />
<pre><br />
[mysqld]<br />
<br />
server-id=2<br />
</pre><br />
Herstart mariadb om de wijzigingen toe te passen. We moeten ook de volledige(!!!) [https://stackoverflow.com/questions/1078196/how-to-take-complete-backup-of-mysql-database-using-mysqldump-command-line-utili#27400627 databaasinhoud overzetten]. (Dit is een van de redenen dat je een read lock hebt.) Doe een mysqldump van de gehele database inclusief tabellen, permissies en inhoud en pas die toe op de nieuwe db.<br />
<br />
Log in op de nieuwe db met <code>mysql -u root -p</code> en stel replicatie in:<br />
<pre><br />
CHANGE MASTER TO<br />
MASTER_HOST='master.domain.com',<br />
MASTER_USER='replication_user',<br />
MASTER_PASSWORD='bigs3cret',<br />
MASTER_PORT=3306,<br />
MASTER_LOG_FILE='mariadb-bin.000096',<br />
MASTER_LOG_POS=568,<br />
MASTER_CONNECT_RETRY=10;<br />
</pre><br />
(De juiste waarden haal je uit de uitvoer van <code> show master status\G</code> op de originele host.) Vervolgens <code>START SLAVE; SHOW SLAVE STATUS \G</code>.<br />
<br />
Als de uitvoer een beetje sense maakt, dan heb je succesvol een master-slave replicatie van de oude naar de nieuwe host opgezet. Doe <code>UNLOCK TABLES;</code> op de originele host en probeer wat aan te passen. Dit zou op de nieuwe host terecht moeten komen.<br />
<br />
Als een error bij de slave gebeurd is die niet op master voorkwam, gaat die blokkeren tot je het fixt. Wat je kan doen als het echt helemaal in de soep loopt, is opnieuw alles op slot gooien, een dbdump overnemen van master naar slave. Doe weer <code> show master status\G</code> en unlock de master. Vervolgens doe je op de slave <code>change master to MASTER_LOG_POS=37071; START SLAVE;</code> en dan zou die automatisch alles wat sinds de backup is gebeurd, weer naar binnen gaan slurpen.<br />
<br />
Nu gaan we de replicatie de andere kant op sturen. Dit is in principe het precies omgekeerde van wat we hiervoor deden. Pas op vm-www2 de <code>my.cnf</code> aan:<br />
<pre><br />
[mysqld]<br />
server-id=2<br />
log-bin<br />
</pre><br />
en herstart mariadb. Voeg de repli-user toe op de vm-www2: <code>grant replication slave on *.* to repli@'vm-www.a-eskwadraat.nl' identified by 'replipassword'; flush privileges;</code>. Doe op allebei de hosts een table lock, doe op de nieuwe host <code>show master status\G</code> en op de originele host de replicatie-instellingen:<br />
<pre><br />
CHANGE MASTER TO<br />
MASTER_HOST='master.domain.com',<br />
MASTER_USER='replication_user',<br />
MASTER_PASSWORD='bigs3cret',<br />
MASTER_PORT=3306,<br />
MASTER_LOG_FILE='mariadb-bin.000096',<br />
MASTER_LOG_POS=568,<br />
MASTER_CONNECT_RETRY=10;<br />
</pre><br />
En nu kun je op de originele host <code>start slave;</code> runnen, en je hebt een master-masterreplicatie :D<br />
<br />
=== Installeer Apache, PHP en PHP-FPM ===<br />
<br />
Doe <code>yum install httpd</code> voor Apache.<br />
Voor een niet verschrikkelijk antieke PHP moet je extra dingen installeren (zie ook [https://rpms.remirepo.net/wizard/]:<br />
<pre><br />
yum install epel-release<br />
yum install http://rpms.remirepo.net/enterprise/remi-release-7.rpm<br />
yum install yum-utils<br />
yum-config-manager --enable remi-php56 # of php72 of andere versie<br />
yum install php php-fpm<br />
</pre><br />
<br />
Installeer ook alle [[PHP-extensies]] die nodig zijn. (Zie die pagina voor de lijst.)<br />
<br />
Overige dependencies:<br />
<pre><br />
yum install gettext java npm python36 python36-virtualenv<br />
npm install -g bower<br />
</pre><br />
<br />
Nu moeten we PHP-instellingen regelen. Maak een checkout van de website, en doe daarin:<br />
<pre><br />
mkdir config/vm-www2<br />
ln -s /etc/php.ini config/vm-www2/<br />
vim config/vm-www2/php.ini # Pas hier alle relevante config van de vm-www toe.<br />
</pre><br />
<br />
=== Mail werkend krijgen ===<br />
<br />
De website gebruikt sendmail-commando's om te mailen. Normaal stuurt sendmail de mails direct het web op, maar we willen dat deze door de vm-mailpp heen gestuurd wordt zodat de berichten juist zijn ondertekend en door spamfilters heen komen. Hiervoor gebruiken we het sendmail-commando dat uit postfix komt. Installeer postfix met:<br />
<pre>yum install postfix</pre><br />
<br />
De configuratie van postfix ongeveer dezelfde als op alle CentOS7 machines en is te vinden op de vm-salt-master in <code>/srv/salt/centos7/global/main.cf</code>. Je moet alleen even de <code>mydomain</code> parameter aanpassen zodat Apache kan mailen:<br />
<pre>mydomain = a-eskwadraat.nl</pre><br />
Nadat je die configuratie op de webserver in de map <code>/etc/postfix</code> hebt geplaatst, start je de postfix service (of reload als die al gestart was). (In de andere configuratiebestanden, zoals master.cf, kun je de standaardinstellingen laten staan.)<br />
<br />
Stel nu in dat het sendmail-commando uit postfix gebruikt wordt in plaats van de standaard sendmail:<br />
<pre>update-alternatives --config mta</pre><br />
<br />
Om mailings te configureren, pas het bestand /etc/postfix/master.cf aan. Voeg de volgende regels toe:<br />
<pre><br />
bughook unix - n n - - pipe<br />
flags=F user=webcie argv=/website/scripts/mail_process_bug_vm-www ${sender} ${size} ${recipient}<br />
lidhook unix - n n - - pipe<br />
flags=F user=webcie argv=/website/scripts/mail_process_lid ${sender} ${size} ${recipient}<br />
bouncehook unix - n n - - pipe<br />
flags=F user=webcie argv=/website/scripts/mail_process_bounce ${sender} ${size} ${recipient}<br />
mailinghook unix - n n - - pipe<br />
flags=F user=webcie argv=/website/scripts/mail_process_incoming_mailing.php ${sender} ${size} $$<br />
</pre><br />
Zo worden de mails doorgestuurd naar de juiste scriptjes van de WebCie. Zie [[Mail sturen naar de site]]<br />
<br />
=== IPA ===<br />
yum install ipa-client<br />
<br />
Het volgende moet de sysop regelen:<br />
<pre><br />
ipa-client-install <br />
ipa host-add dummyhost.example.com --desc="Dummy Host" --location="<fqdn-of-webserver>"<br />
ipa host-add-managedby dummyhost.example.com --hosts="<fqdn-of-webserver>"<br />
ipa service-add HTTP/dummyhost.example.com<br />
ipa service-add-host HTTP/dummyhost.example.com --hosts="<fqdn-of-webserver>"<br />
<br />
<br />
Ga naar de ipa webinterface <br />
Ga naar de tab hosts <br />
Ga naar de juiste host<br />
klik op actions -> add New certificate <br />
<br />
Voer nu de volgende commands uit in de commandline:<br />
mkdir /etc/nssdb<br />
cd /etc/nssdb<br />
certutil -N -d . <br />
<br />
mkdir /etc/httpd/certs<br />
ipa-getcert request -r -f /etc/httpd/certs/dummyhost.crt -k /etc/httpd/certs/dummyhost.key -N CN=dummyhost.example.com -D \<br />
dummyhost.example.com -K HTTP/dummyhost.example.com<br />
ipa-getkeytab -s ipa05.a-eskwadraat.nl -p HTTP/*hostname*.a-eskwadraat.nl -k /etc/httpd/conf/httpd.keytab #nog testen of nodig is<br />
</pre><br />
<br />
=== Overige tsjak ter installatie ===<br />
<br />
<pre>yum install git sudo vim wget</pre><br />
<br />
=== De website opzetten ===<br />
<br />
Heb je alles geïnstalleerd, dan ben je klaar voor de laatste fase.<br />
<br />
Vertel de scripts dat dit een host is: <code>vim /etc/function</code> en stop daarin <code>server</code>.<br />
<br />
Ga naar de checkout van de website, kopieer handmatig de secret.php en doe daarin manage build. (Dit moet na de php-instellingen gebeuren want manage voert php uit.)<br />
<br />
Pas de httpd-configuratie aan om de juiste paden in te stellen:<br />
<pre><br />
cp config/vm-www/httpd/conf.d/website.conf /etc/httpd/conf.d/<br />
ln -s /etc/httpd config/vm-www2/httpd<br />
vim config/vm-www2/httpd/conf.d/website.conf <br />
</pre><br />
<br />
Nu kun je de webserver aanzwengelen :D <code>systemctl restart httpd<code> <code>systemctl restart php-fpm</code><br />
<br />
Je moet waarschijnlijk nog wat chmod'en en paden aanmaken, zie daarvoor de logs in <code>/var/log/httpd/error_log</code> en <code>/var/log/php-fpm/error.log</code> en <code>/var/log/www/php-warnings.log</code> (in volgorde van dingen werkend krijgen).<br />
<br />
[[Category:Sysop]] [[Category:WebCie]]</div>Juriaanhttps://mediawiki.a-eskwadraat.nl/wiki/index.php/Webcie-vmWebcie-vm2018-10-02T15:34:30Z<p>Juriaan: </p>
<hr />
<div>Zie ook: [[Webcie-vms]] (!)<br />
<br />
== Nieuwe vm-webcie-debug&nbsp;aanmaken ==<br />
<br />
Maak een nieuwe vm vm-webcie-debug aan. Kickstart de vm en highstate de vm met salt. Installeer mariadb met het volgende commando:<br />
<pre>/usr/bin/mysql_secure_installation</pre><br />
<br />
Zet het rootwachtwoord en disalow root login remotely. Let op: de rootwachtwoorden van de databases van de vm-webcie/www en vm-webcie/www-debug moeten hetzelfde zijn!<br />
<br />
Maak in de home van de root het bestandje .my.cnf aan (zet de rechten op 0600!) met de volgende content:<br />
<pre>[client]<br />
user = root<br />
pass = root-database-wachtwoord</pre><br />
<br />
Maak ook de juiste databases aan (bv test_whoswho4, test_benamite of boeken. Denk eraan dat op een vm-webcie/www-machine er zowel de normal db als test_db moeten zijn). Kopieër nu de databases. Vergeet ook niet de mysql-database te kopieëren, daar staan de rechten van de verschillende gebruikers in.&nbsp;Maak eerst een dump op de oude vm:<br />
<pre>mysqldump 'dbnaam' > 'dbnaam'.db</pre><br />
<br />
Kopieër het dumpbestand naar de nieuwe vm en laad de dump in op de nieuwe vm:<br />
<pre>mysql 'dbnaam' < 'dbnaam'.db</pre><br />
<br />
== Opzetten vm-www2 ==<br />
<br />
Deze instructies zijn bedoeld voor de WebCie. We gaan ervan uit dat je het WebCie-wachtwoord uit je hoofd kent.<br />
<br />
Vraag de Sysop om een nieuwe vm (ik bedoel uiteraard container ;)) met subdomein (in dit geval: vm-www2.a-eskwadraat.nl) en dezelfde mounts als de originele vm. Zorg ervoor dat sendmail vanaf de nieuwe vm werkt. Verkrijg roottoegang op de vm-www2.<br />
<br />
In het begin heeft yum nog een update voor repositorygegevens nodig: doe <code>yum clean all</code> voordat je een ander yum-commando draait.<br />
<br />
=== Mariadb en replicatie ===<br />
<br />
Installeer mariadb als op de vm-www-debug: <code>yum install mariadb mariadb-server</code> (let op: ivm backwards incompatibility willen we versie 5.5 voorlopig), <code>systemctl enable mariadb</code>, <code>systemctl start mariadb</code> en dan <code>/usr/bin/mysql_secure_installation</code>. Check even of inloggen nog werkt: <code>mysql -u root -p</code>. Check ook dat je verbinding kan maken met mysql op de originele host vanaf de nieuwe host: <code>mysql -h vm-www -u root -p</code>.<br />
<br />
Nu gaan we [https://mariadb.com/kb/en/library/replication-overview/ replicatie] opzetten (master-master). We moeten hiervoor een random wachtwoord genereren, bewaar die goed! Open in een nieuwe terminal op de originele host, en pas de <code>my.cnf</code> aan:<br />
<pre><br />
[mysqld]<br />
server-id=1<br />
log-bin<br />
</pre><br />
Herstart mysqld/mariadb om de wijzigingen toe te passen. Log in als root op mysql en geef permissies: <code>grant replication slave on *.* to repli@'vm-www2.a-eskwadraat.nl' identified by 'replipassword'; flush privileges;</code>. Zet de tabellen op slot terwijl we de rest doen: <code>flush tables with read lock;</code>. Ten slotte moeten we wat gegevens bekomen: <code> show master status\G</code>. Log niet uit tot we klaar zijn, dan gaan de tabellen weer van het slot af.<br />
<br />
In de andere terminal op <code>vm-www2</code> gaan we ook de <code>my.cnf</code> aanpassen (ik heb de wijzigingen in <code>/etc/my.cnf.d/webcie.cnf</code> gezet):<br />
<pre><br />
[mysqld]<br />
<br />
server-id=2<br />
</pre><br />
Herstart mariadb om de wijzigingen toe te passen. We moeten ook de volledige(!!!) [https://stackoverflow.com/questions/1078196/how-to-take-complete-backup-of-mysql-database-using-mysqldump-command-line-utili#27400627 databaasinhoud overzetten]. (Dit is een van de redenen dat je een read lock hebt.) Doe een mysqldump van de gehele database inclusief tabellen, permissies en inhoud en pas die toe op de nieuwe db.<br />
<br />
Log in op de nieuwe db met <code>mysql -u root -p</code> en stel replicatie in:<br />
<pre><br />
CHANGE MASTER TO<br />
MASTER_HOST='master.domain.com',<br />
MASTER_USER='replication_user',<br />
MASTER_PASSWORD='bigs3cret',<br />
MASTER_PORT=3306,<br />
MASTER_LOG_FILE='mariadb-bin.000096',<br />
MASTER_LOG_POS=568,<br />
MASTER_CONNECT_RETRY=10;<br />
</pre><br />
(De juiste waarden haal je uit de uitvoer van <code> show master status\G</code> op de originele host.) Vervolgens <code>START SLAVE; SHOW SLAVE STATUS \G</code>.<br />
<br />
Als de uitvoer een beetje sense maakt, dan heb je succesvol een master-slave replicatie van de oude naar de nieuwe host opgezet. Doe <code>UNLOCK TABLES;</code> op de originele host en probeer wat aan te passen. Dit zou op de nieuwe host terecht moeten komen.<br />
<br />
Als een error bij de slave gebeurd is die niet op master voorkwam, gaat die blokkeren tot je het fixt. Wat je kan doen als het echt helemaal in de soep loopt, is opnieuw alles op slot gooien, een dbdump overnemen van master naar slave. Doe weer <code> show master status\G</code> en unlock de master. Vervolgens doe je op de slave <code>change master to MASTER_LOG_POS=37071; START SLAVE;</code> en dan zou die automatisch alles wat sinds de backup is gebeurd, weer naar binnen gaan slurpen.<br />
<br />
Nu gaan we de replicatie de andere kant op sturen. Dit is in principe het precies omgekeerde van wat we hiervoor deden. Pas op vm-www2 de <code>my.cnf</code> aan:<br />
<pre><br />
[mysqld]<br />
server-id=2<br />
log-bin<br />
</pre><br />
en herstart mariadb. Voeg de repli-user toe op de vm-www2: <code>grant replication slave on *.* to repli@'vm-www.a-eskwadraat.nl' identified by 'replipassword'; flush privileges;</code>. Doe op allebei de hosts een table lock, doe op de nieuwe host <code>show master status\G</code> en op de originele host de replicatie-instellingen:<br />
<pre><br />
CHANGE MASTER TO<br />
MASTER_HOST='master.domain.com',<br />
MASTER_USER='replication_user',<br />
MASTER_PASSWORD='bigs3cret',<br />
MASTER_PORT=3306,<br />
MASTER_LOG_FILE='mariadb-bin.000096',<br />
MASTER_LOG_POS=568,<br />
MASTER_CONNECT_RETRY=10;<br />
</pre><br />
En nu kun je op de originele host <code>start slave;</code> runnen, en je hebt een master-masterreplicatie :D<br />
<br />
=== Installeer Apache, PHP en PHP-FPM ===<br />
<br />
Doe <code>yum install httpd</code> voor Apache.<br />
Voor een niet verschrikkelijk antieke PHP moet je extra dingen installeren (zie ook [https://rpms.remirepo.net/wizard/]:<br />
<pre><br />
yum install epel-release<br />
yum install http://rpms.remirepo.net/enterprise/remi-release-7.rpm<br />
yum install yum-utils<br />
yum-config-manager --enable remi-php56 # of php72 of andere versie<br />
yum install php php-fpm<br />
</pre><br />
<br />
Installeer ook alle [[PHP-extensies]] die nodig zijn. (Zie die pagina voor de lijst.)<br />
<br />
Overige dependencies:<br />
<pre><br />
yum install gettext java npm python36 python36-virtualenv<br />
npm install -g bower<br />
</pre><br />
<br />
Nu moeten we PHP-instellingen regelen. Maak een checkout van de website, en doe daarin:<br />
<pre><br />
mkdir config/vm-www2<br />
ln -s /etc/php.ini config/vm-www2/<br />
vim config/vm-www2/php.ini # Pas hier alle relevante config van de vm-www toe.<br />
</pre><br />
<br />
=== Mail werkend krijgen ===<br />
<br />
De website gebruikt sendmail-commando's om te mailen. Normaal stuurt sendmail de mails direct het web op, maar we willen dat deze door de vm-mailpp heen gestuurd wordt zodat de berichten juist zijn ondertekend en door spamfilters heen komen. Hiervoor gebruiken we het sendmail-commando dat uit postfix komt. Installeer postfix met:<br />
<pre>yum install postfix</pre><br />
<br />
De configuratie van postfix ongeveer dezelfde als op alle CentOS7 machines en is te vinden op de vm-salt-master in <code>/srv/salt/centos7/global/main.cf</code>. Je moet alleen even de <code>mydomain</code> parameter aanpassen zodat Apache kan mailen:<br />
<pre>mydomain = a-eskwadraat.nl</pre><br />
Nadat je die configuratie op de webserver in de map <code>/etc/postfix</code> hebt geplaatst, start je de postfix service (of reload als die al gestart was). (In de andere configuratiebestanden, zoals master.cf, kun je de standaardinstellingen laten staan.)<br />
<br />
Stel nu in dat het sendmail-commando uit postfix gebruikt wordt in plaats van de standaard sendmail:<br />
<pre>update-alternatives --config mta</pre><br />
<br />
=== IPA ===<br />
yum install ipa-client<br />
<br />
Het volgende moet de sysop regelen:<br />
<pre><br />
ipa-client-install <br />
ipa-getkeytab -s ipa05.a-eskwadraat.nl -p HTTP/*hostname*.a-eskwadraat.nl -k /etc/httpd/conf/httpd.keytab<br />
ipa host-add dummyhost.example.com --desc="Dummy Host" --location="<fqdn-of-webserver>"<br />
ipa host-add-managedby dummyhost.example.com --hosts="<fqdn-of-webserver>"<br />
ipa service-add HTTP/dummyhost.example.com<br />
ipa service-add-host HTTP/dummyhost.example.com --hosts="<fqdn-of-webserver>"<br />
mkdir /etc/httpd/certs<br />
ipa-getcert request -r -f /etc/httpd/certs/dummyhost.crt -k /etc/httpd/certs/dummyhost.key -N CN=dummyhost.example.com -D \<br />
dummyhost.example.com -K HTTP/dummyhost.example.com<br />
</pre><br />
<br />
=== Overige tsjak ter installatie ===<br />
<br />
<pre>yum install git sudo vim wget</pre><br />
<br />
=== De website opzetten ===<br />
<br />
Heb je alles geïnstalleerd, dan ben je klaar voor de laatste fase.<br />
<br />
Vertel de scripts dat dit een host is: <code>vim /etc/function</code> en stop daarin <code>server</code>.<br />
<br />
Ga naar de checkout van de website, kopieer handmatig de secret.php en doe daarin manage build. (Dit moet na de php-instellingen gebeuren want manage voert php uit.)<br />
<br />
Pas de httpd-configuratie aan om de juiste paden in te stellen:<br />
<pre><br />
cp config/vm-www/httpd/conf.d/website.conf /etc/httpd/conf.d/<br />
ln -s /etc/httpd config/vm-www2/httpd<br />
vim config/vm-www2/httpd/conf.d/website.conf <br />
</pre><br />
<br />
Nu kun je de webserver aanzwengelen :D <code>systemctl restart httpd<code> <code>systemctl restart php-fpm</code><br />
<br />
Je moet waarschijnlijk nog wat chmod'en en paden aanmaken, zie daarvoor de logs in <code>/var/log/httpd/error_log</code> en <code>/var/log/php-fpm/error.log</code> en <code>/var/log/www/php-warnings.log</code> (in volgorde van dingen werkend krijgen).<br />
<br />
[[Category:Sysop]] [[Category:WebCie]]</div>Juriaanhttps://mediawiki.a-eskwadraat.nl/wiki/index.php/Webcie-vmWebcie-vm2018-09-24T20:58:13Z<p>Juriaan: </p>
<hr />
<div>Zie ook: [[Webcie-vms]] (!)<br />
<br />
== Nieuwe vm-webcie-debug&nbsp;aanmaken ==<br />
<br />
Maak een nieuwe vm vm-webcie-debug aan. Kickstart de vm en highstate de vm met salt. Installeer mariadb met het volgende commando:<br />
<pre>/usr/bin/mysql_secure_installation</pre><br />
<br />
Zet het rootwachtwoord en disalow root login remotely. Let op: de rootwachtwoorden van de databases van de vm-webcie/www en vm-webcie/www-debug moeten hetzelfde zijn!<br />
<br />
Maak in de home van de root het bestandje .my.cnf aan (zet de rechten op 0600!) met de volgende content:<br />
<pre>[client]<br />
user = root<br />
pass = root-database-wachtwoord</pre><br />
<br />
Maak ook de juiste databases aan (bv test_whoswho4, test_benamite of boeken. Denk eraan dat op een vm-webcie/www-machine er zowel de normal db als test_db moeten zijn). Kopieër nu de databases. Vergeet ook niet de mysql-database te kopieëren, daar staan de rechten van de verschillende gebruikers in.&nbsp;Maak eerst een dump op de oude vm:<br />
<pre>mysqldump 'dbnaam' > 'dbnaam'.db</pre><br />
<br />
Kopieër het dumpbestand naar de nieuwe vm en laad de dump in op de nieuwe vm:<br />
<pre>mysql 'dbnaam' < 'dbnaam'.db</pre><br />
<br />
== Opzetten vm-www2 ==<br />
<br />
Deze instructies zijn bedoeld voor de WebCie. We gaan ervan uit dat je het WebCie-wachtwoord uit je hoofd kent.<br />
<br />
Vraag de Sysop om een nieuwe vm (ik bedoel uiteraard container ;)) met subdomein (in dit geval: vm-www2.a-eskwadraat.nl) en dezelfde mounts als de originele vm. Zorg ervoor dat sendmail vanaf de nieuwe vm werkt. Verkrijg roottoegang op de vm-www2.<br />
<br />
In het begin heeft yum nog een update voor repositorygegevens nodig: doe <code>yum clean all</code> voordat je een ander yum-commando draait.<br />
<br />
=== Mariadb en replicatie ===<br />
<br />
Installeer mariadb als op de vm-www-debug: <code>yum install mariadb mariadb-server</code> (let op: ivm backwards incompatibility willen we versie 5.5 voorlopig), <code>systemctl enable mariadb</code>, <code>systemctl start mariadb</code> en dan <code>/usr/bin/mysql_secure_installation</code>. Check even of inloggen nog werkt: <code>mysql -u root -p</code>. Check ook dat je verbinding kan maken met mysql op de originele host vanaf de nieuwe host: <code>mysql -h vm-www -u root -p</code>.<br />
<br />
Nu gaan we [https://mariadb.com/kb/en/library/replication-overview/ replicatie] opzetten (master-master). We moeten hiervoor een random wachtwoord genereren, bewaar die goed! Open in een nieuwe terminal op de originele host, en pas de <code>my.cnf</code> aan:<br />
<pre><br />
[mysqld]<br />
server-id=1<br />
log-bin<br />
</pre><br />
Herstart mysqld/mariadb om de wijzigingen toe te passen. Log in als root op mysql en geef permissies: <code>grant replication slave on *.* to repli@'vm-www2.a-eskwadraat.nl' identified by 'replipassword'; flush privileges;</code>. Zet de tabellen op slot terwijl we de rest doen: <code>flush tables with read lock;</code>. Ten slotte moeten we wat gegevens bekomen: <code> show master status\G</code>. Log niet uit tot we klaar zijn, dan gaan de tabellen weer van het slot af.<br />
<br />
In de andere terminal op <code>vm-www2</code> gaan we ook de <code>my.cnf</code> aanpassen (ik heb de wijzigingen in <code>/etc/my.cnf.d/webcie.cnf</code> gezet):<br />
<pre><br />
[mysqld]<br />
<br />
server-id=2<br />
</pre><br />
Herstart mariadb om de wijzigingen toe te passen. We moeten ook de volledige(!!!) [https://stackoverflow.com/questions/1078196/how-to-take-complete-backup-of-mysql-database-using-mysqldump-command-line-utili#27400627 databaasinhoud overzetten]. (Dit is een van de redenen dat je een read lock hebt.) Doe een mysqldump van de gehele database inclusief tabellen, permissies en inhoud en pas die toe op de nieuwe db.<br />
<br />
Log in op de nieuwe db met <code>mysql -u root -p</code> en stel replicatie in:<br />
<pre><br />
CHANGE MASTER TO<br />
MASTER_HOST='master.domain.com',<br />
MASTER_USER='replication_user',<br />
MASTER_PASSWORD='bigs3cret',<br />
MASTER_PORT=3306,<br />
MASTER_LOG_FILE='mariadb-bin.000096',<br />
MASTER_LOG_POS=568,<br />
MASTER_CONNECT_RETRY=10;<br />
</pre><br />
(De juiste waarden haal je uit de uitvoer van <code> show master status\G</code> op de originele host.) Vervolgens <code>START SLAVE; SHOW SLAVE STATUS \G</code>.<br />
<br />
Als de uitvoer een beetje sense maakt, dan heb je succesvol een master-slave replicatie van de oude naar de nieuwe host opgezet. Doe <code>UNLOCK TABLES;</code> op de originele host en probeer wat aan te passen. Dit zou op de nieuwe host terecht moeten komen.<br />
<br />
Als een error bij de slave gebeurd is die niet op master voorkwam, gaat die blokkeren tot je het fixt. Wat je kan doen als het echt helemaal in de soep loopt, is opnieuw alles op slot gooien, een dbdump overnemen van master naar slave. Doe weer <code> show master status\G</code> en unlock de master. Vervolgens doe je op de slave <code>change master to MASTER_LOG_POS=37071; START SLAVE;</code> en dan zou die automatisch alles wat sinds de backup is gebeurd, weer naar binnen gaan slurpen.<br />
<br />
Nu gaan we de replicatie de andere kant op sturen. Dit is in principe het precies omgekeerde van wat we hiervoor deden. Pas op vm-www2 de <code>my.cnf</code> aan:<br />
<pre><br />
[mysqld]<br />
server-id=2<br />
log-bin<br />
</pre><br />
en herstart mariadb. Voeg de repli-user toe op de vm-www2: <code>grant replication slave on *.* to repli@'vm-www.a-eskwadraat.nl' identified by 'replipassword'; flush privileges;</code>. Doe op allebei de hosts een table lock, doe op de nieuwe host <code>show master status\G</code> en op de originele host de replicatie-instellingen:<br />
<pre><br />
CHANGE MASTER TO<br />
MASTER_HOST='master.domain.com',<br />
MASTER_USER='replication_user',<br />
MASTER_PASSWORD='bigs3cret',<br />
MASTER_PORT=3306,<br />
MASTER_LOG_FILE='mariadb-bin.000096',<br />
MASTER_LOG_POS=568,<br />
MASTER_CONNECT_RETRY=10;<br />
</pre><br />
En nu kun je op de originele host <code>start slave;</code> runnen, en je hebt een master-masterreplicatie :D<br />
<br />
=== Installeer Apache, PHP en PHP-FPM ===<br />
<br />
Doe <code>yum install httpd</code> voor Apache.<br />
Voor een niet verschrikkelijk antieke PHP moet je extra dingen installeren (zie ook [https://rpms.remirepo.net/wizard/]:<br />
<pre><br />
yum install epel-release<br />
yum install http://rpms.remirepo.net/enterprise/remi-release-7.rpm<br />
yum install yum-utils<br />
yum-config-manager --enable remi-php56 # of php72 of andere versie<br />
yum install php php-fpm<br />
</pre><br />
<br />
Installeer ook alle [[PHP-extensies]] die nodig zijn. (Zie die pagina voor de lijst.)<br />
<br />
Overige dependencies:<br />
<pre><br />
yum install gettext java npm python36 python36-virtualenv<br />
npm install -g bower<br />
</pre><br />
<br />
Nu moeten we PHP-instellingen regelen. Maak een checkout van de website, en doe daarin:<br />
<pre><br />
mkdir config/vm-www2<br />
ln -s /etc/php.ini config/vm-www2/<br />
vim config/vm-www2/php.ini # Pas hier alle relevante config van de vm-www toe.<br />
</pre><br />
<br />
=== Mail werkend krijgen ===<br />
<br />
De website gebruikt sendmail-commando's om te mailen. Normaal stuurt sendmail de mails direct het web op, maar we willen dat deze door de vm-mailpp heen gestuurd wordt zodat de berichten juist zijn ondertekend en door spamfilters heen komen. Hiervoor gebruiken we het sendmail-commando dat uit postfix komt. Installeer postfix met:<br />
<pre>yum install postfix</pre><br />
<br />
De configuratie van postfix is dezelfde als op alle CentOS7 machines en is te vinden op de vm-salt-master in <code>/srv/salt/centos7/global/main.cf</code>. Nadat je die configuratie op de webserver in de map <code>/etc/postfix</code> hebt geplaatst, start je de postfix service (of reload als die al gestart was). (In de andere configuratiebestanden, zoals master.cf, kun je de standaardinstellingen laten staan.)<br />
<br />
Stel nu in dat het sendmail-commando uit postfix gebruikt wordt in plaats van de standaard sendmail:<br />
<pre>update-alternatives --config mta</pre><br />
<br />
=== IPA ===<br />
yum install ipa-client<br />
<br />
Het volgende moet de sysop regelen:<br />
<pre><br />
ipa-client-install <br />
ipa-getkeytab -s ipa05.a-eskwadraat.nl -p HTTP/*hostname*.a-eskwadraat.nl -k /etc/httpd/conf/httpd.keytab<br />
ipa host-add dummyhost.example.com --desc="Dummy Host" --location="<fqdn-of-webserver>"<br />
ipa host-add-managedby dummyhost.example.com --hosts="<fqdn-of-webserver>"<br />
ipa service-add HTTP/dummyhost.example.com<br />
ipa service-add-host HTTP/dummyhost.example.com --hosts="<fqdn-of-webserver>"<br />
ipa-getcert request -r -f /etc/httpd/certs/dummyhost.crt -k /etc/httpd/certs/dummyhost.key -N CN=dummyhost.example.com -D \<br />
dummyhost.example.com -K HTTP/dummyhost.example.com<br />
</pre><br />
<br />
=== Overige tsjak ter installatie ===<br />
<br />
<pre>yum install git sudo vim wget</pre><br />
<br />
=== De website opzetten ===<br />
<br />
Heb je alles geïnstalleerd, dan ben je klaar voor de laatste fase.<br />
<br />
Vertel de scripts dat dit een host is: <code>vim /etc/function</code> en stop daarin <code>server</code>.<br />
<br />
Ga naar de checkout van de website, kopieer handmatig de secret.php en doe daarin manage build. (Dit moet na de php-instellingen gebeuren want manage voert php uit.)<br />
<br />
Pas de httpd-configuratie aan om de juiste paden in te stellen:<br />
<pre><br />
cp config/vm-www/httpd/conf.d/website.conf /etc/httpd/conf.d/<br />
ln -s /etc/httpd config/vm-www2/httpd<br />
vim config/vm-www2/httpd/conf.d/website.conf <br />
</pre><br />
<br />
Nu kun je de webserver aanzwengelen :D <code>systemctl restart httpd<code> <code>systemctl restart php-fpm</code><br />
<br />
Je moet waarschijnlijk nog wat chmod'en en paden aanmaken, zie daarvoor de logs in <code>/var/log/httpd/error_log</code> en <code>/var/log/php-fpm/error.log</code> en <code>/var/log/www/php-warnings.log</code> (in volgorde van dingen werkend krijgen).<br />
<br />
[[Category:Sysop]] [[Category:WebCie]]</div>Juriaanhttps://mediawiki.a-eskwadraat.nl/wiki/index.php/Webcie-vmWebcie-vm2018-09-24T20:02:19Z<p>Juriaan: </p>
<hr />
<div>Zie ook: [[Webcie-vms]] (!)<br />
<br />
== Nieuwe vm-webcie-debug&nbsp;aanmaken ==<br />
<br />
Maak een nieuwe vm vm-webcie-debug aan. Kickstart de vm en highstate de vm met salt. Installeer mariadb met het volgende commando:<br />
<pre>/usr/bin/mysql_secure_installation</pre><br />
<br />
Zet het rootwachtwoord en disalow root login remotely. Let op: de rootwachtwoorden van de databases van de vm-webcie/www en vm-webcie/www-debug moeten hetzelfde zijn!<br />
<br />
Maak in de home van de root het bestandje .my.cnf aan (zet de rechten op 0600!) met de volgende content:<br />
<pre>[client]<br />
user = root<br />
pass = root-database-wachtwoord</pre><br />
<br />
Maak ook de juiste databases aan (bv test_whoswho4, test_benamite of boeken. Denk eraan dat op een vm-webcie/www-machine er zowel de normal db als test_db moeten zijn). Kopieër nu de databases. Vergeet ook niet de mysql-database te kopieëren, daar staan de rechten van de verschillende gebruikers in.&nbsp;Maak eerst een dump op de oude vm:<br />
<pre>mysqldump 'dbnaam' > 'dbnaam'.db</pre><br />
<br />
Kopieër het dumpbestand naar de nieuwe vm en laad de dump in op de nieuwe vm:<br />
<pre>mysql 'dbnaam' < 'dbnaam'.db</pre><br />
<br />
== Opzetten vm-www2 ==<br />
<br />
Deze instructies zijn bedoeld voor de WebCie. We gaan ervan uit dat je het WebCie-wachtwoord uit je hoofd kent.<br />
<br />
Vraag de Sysop om een nieuwe vm (ik bedoel uiteraard container ;)) met subdomein (in dit geval: vm-www2.a-eskwadraat.nl) en dezelfde mounts als de originele vm. Zorg ervoor dat sendmail vanaf de nieuwe vm werkt. Verkrijg roottoegang op de vm-www2.<br />
<br />
In het begin heeft yum nog een update voor repositorygegevens nodig: doe <code>yum clean all</code> voordat je een ander yum-commando draait.<br />
<br />
=== Mariadb en replicatie ===<br />
<br />
Installeer mariadb als op de vm-www-debug: <code>yum install mariadb mariadb-server</code> (let op: ivm backwards incompatibility willen we versie 5.5 voorlopig), <code>systemctl enable mariadb</code>, <code>systemctl start mariadb</code> en dan <code>/usr/bin/mysql_secure_installation</code>. Check even of inloggen nog werkt: <code>mysql -u root -p</code>. Check ook dat je verbinding kan maken met mysql op de originele host vanaf de nieuwe host: <code>mysql -h vm-www -u root -p</code>.<br />
<br />
Nu gaan we [https://mariadb.com/kb/en/library/replication-overview/ replicatie] opzetten (master-master). We moeten hiervoor een random wachtwoord genereren, bewaar die goed! Open in een nieuwe terminal op de originele host, en pas de <code>my.cnf</code> aan:<br />
<pre><br />
[mysqld]<br />
server-id=1<br />
log-bin<br />
</pre><br />
Herstart mysqld/mariadb om de wijzigingen toe te passen. Log in als root op mysql en geef permissies: <code>grant replication slave on *.* to repli@'vm-www2.a-eskwadraat.nl' identified by 'replipassword'; flush privileges;</code>. Zet de tabellen op slot terwijl we de rest doen: <code>flush tables with read lock;</code>. Ten slotte moeten we wat gegevens bekomen: <code> show master status\G</code>. Log niet uit tot we klaar zijn, dan gaan de tabellen weer van het slot af.<br />
<br />
In de andere terminal op <code>vm-www2</code> gaan we ook de <code>my.cnf</code> aanpassen (ik heb de wijzigingen in <code>/etc/my.cnf.d/webcie.cnf</code> gezet):<br />
<pre><br />
[mysqld]<br />
<br />
server-id=2<br />
</pre><br />
Herstart mariadb om de wijzigingen toe te passen. We moeten ook de volledige(!!!) [https://stackoverflow.com/questions/1078196/how-to-take-complete-backup-of-mysql-database-using-mysqldump-command-line-utili#27400627 databaasinhoud overzetten]. (Dit is een van de redenen dat je een read lock hebt.) Doe een mysqldump van de gehele database inclusief tabellen, permissies en inhoud en pas die toe op de nieuwe db.<br />
<br />
Log in op de nieuwe db met <code>mysql -u root -p</code> en stel replicatie in:<br />
<pre><br />
CHANGE MASTER TO<br />
MASTER_HOST='master.domain.com',<br />
MASTER_USER='replication_user',<br />
MASTER_PASSWORD='bigs3cret',<br />
MASTER_PORT=3306,<br />
MASTER_LOG_FILE='mariadb-bin.000096',<br />
MASTER_LOG_POS=568,<br />
MASTER_CONNECT_RETRY=10;<br />
</pre><br />
(De juiste waarden haal je uit de uitvoer van <code> show master status\G</code> op de originele host.) Vervolgens <code>START SLAVE; SHOW SLAVE STATUS \G</code>.<br />
<br />
Als de uitvoer een beetje sense maakt, dan heb je succesvol een master-slave replicatie van de oude naar de nieuwe host opgezet. Doe <code>UNLOCK TABLES;</code> op de originele host en probeer wat aan te passen. Dit zou op de nieuwe host terecht moeten komen.<br />
<br />
Als een error bij de slave gebeurd is die niet op master voorkwam, gaat die blokkeren tot je het fixt. Wat je kan doen als het echt helemaal in de soep loopt, is opnieuw alles op slot gooien, een dbdump overnemen van master naar slave. Doe weer <code> show master status\G</code> en unlock de master. Vervolgens doe je op de slave <code>change master to MASTER_LOG_POS=37071; START SLAVE;</code> en dan zou die automatisch alles wat sinds de backup is gebeurd, weer naar binnen gaan slurpen.<br />
<br />
Nu gaan we de replicatie de andere kant op sturen. Dit is in principe het precies omgekeerde van wat we hiervoor deden. Pas op vm-www2 de <code>my.cnf</code> aan:<br />
<pre><br />
[mysqld]<br />
server-id=2<br />
log-bin<br />
</pre><br />
en herstart mariadb. Voeg de repli-user toe op de vm-www2: <code>grant replication slave on *.* to repli@'vm-www.a-eskwadraat.nl' identified by 'replipassword'; flush privileges;</code>. Doe op allebei de hosts een table lock, doe op de nieuwe host <code>show master status\G</code> en op de originele host de replicatie-instellingen:<br />
<pre><br />
CHANGE MASTER TO<br />
MASTER_HOST='master.domain.com',<br />
MASTER_USER='replication_user',<br />
MASTER_PASSWORD='bigs3cret',<br />
MASTER_PORT=3306,<br />
MASTER_LOG_FILE='mariadb-bin.000096',<br />
MASTER_LOG_POS=568,<br />
MASTER_CONNECT_RETRY=10;<br />
</pre><br />
En nu kun je op de originele host <code>start slave;</code> runnen, en je hebt een master-masterreplicatie :D<br />
<br />
=== Installeer Apache, PHP en PHP-FPM ===<br />
<br />
Doe <code>yum install httpd</code> voor Apache.<br />
Voor een niet verschrikkelijk antieke PHP moet je extra dingen installeren (zie ook [https://rpms.remirepo.net/wizard/]:<br />
<pre><br />
yum install epel-release<br />
yum install http://rpms.remirepo.net/enterprise/remi-release-7.rpm<br />
yum install yum-utils<br />
yum-config-manager --enable remi-php56 # of php72 of andere versie<br />
yum install php php-fpm<br />
</pre><br />
<br />
Installeer ook alle [[PHP-extensies]] die nodig zijn. (Zie die pagina voor de lijst.)<br />
<br />
Overige dependencies:<br />
<pre><br />
yum install gettext java npm python36 python36-virtualenv<br />
npm install -g bower<br />
</pre><br />
<br />
Nu moeten we PHP-instellingen regelen. Maak een checkout van de website, en doe daarin:<br />
<pre><br />
mkdir config/vm-www2<br />
ln -s /etc/php.ini config/vm-www2/<br />
vim config/vm-www2/php.ini # Pas hier alle relevante config van de vm-www toe.<br />
</pre><br />
<br />
=== Mail werkend krijgen ===<br />
<br />
De website gebruikt sendmail-commando's om te mailen. Normaal stuurt sendmail de mails direct het web op, maar we willen dat deze door de vm-mailpp heen gestuurd wordt zodat de berichten juist zijn ondertekend en door spamfilters heen komen. Hiervoor gebruiken we het sendmail-commando dat uit postfix komt. Installeer postfix met:<br />
<pre>yum install postfix</pre><br />
<br />
De configuratie van postfix is dezelfde als op alle CentOS7 machines en is te vinden op de vm-salt-master in <code>/srv/salt/centos7/global/main.cf</code>. Nadat je die configuratie op de webserver in de map <code>/etc/postfix</code> hebt geplaatst, start je de postfix service (of reload als die al gestart was). (In de andere configuratiebestanden, zoals master.cf, kun je de standaardinstellingen laten staan.)<br />
<br />
Stel nu in dat het sendmail-commando uit postfix gebruikt wordt in plaats van de standaard sendmail:<br />
<pre>update-alternatives --config mta</pre><br />
<br />
=== IPA ===<br />
yum install ipa-client<br />
<br />
ipa-client-install (Sysop)<br />
<br />
=== Overige tsjak ter installatie ===<br />
<br />
<pre>yum install git sudo vim wget</pre><br />
<br />
=== De website opzetten ===<br />
<br />
Heb je alles geïnstalleerd, dan ben je klaar voor de laatste fase.<br />
<br />
Vertel de scripts dat dit een host is: <code>vim /etc/function</code> en stop daarin <code>server</code>.<br />
<br />
Ga naar de checkout van de website, kopieer handmatig de secret.php en doe daarin manage build. (Dit moet na de php-instellingen gebeuren want manage voert php uit.)<br />
<br />
Pas de httpd-configuratie aan om de juiste paden in te stellen:<br />
<pre><br />
cp config/vm-www/httpd/conf.d/website.conf /etc/httpd/conf.d/<br />
ln -s /etc/httpd config/vm-www2/httpd<br />
vim config/vm-www2/httpd/conf.d/website.conf <br />
</pre><br />
<br />
Nu kun je de webserver aanzwengelen :D <code>systemctl restart httpd<code> <code>systemctl restart php-fpm</code><br />
<br />
Je moet waarschijnlijk nog wat chmod'en en paden aanmaken, zie daarvoor de logs in <code>/var/log/httpd/error_log</code> en <code>/var/log/php-fpm/error.log</code> en <code>/var/log/www/php-warnings.log</code> (in volgorde van dingen werkend krijgen).<br />
<br />
[[Category:Sysop]] [[Category:WebCie]]</div>Juriaanhttps://mediawiki.a-eskwadraat.nl/wiki/index.php/Mod_auth_kerbMod auth kerb2018-09-24T19:47:56Z<p>Juriaan: </p>
<hr />
<div>{{DISPLAYTITLE:mod_auth_kerb}}<br />
[[category:sysop]]<br />
Voor het gebruiken van Kerberos auth in Apache is een aantal stappen nodig:<br />
ipa service-add HTTP/$hostname.a-eskwadraat.nl<br />
ipa-getkeytab -s ipa05.a-eskwadraat.nl -p HTTP/$hostname.a-eskwadraat.nl -k /etc/httpd/conf/httpd.keytab<br />
chown apache /etc/httpd/conf/httpd.keytab<br />
chmod 600 /etc/httpd/conf/httpd.keytab<br />
yum install mod_auth_kerb<br />
<br />
Configuratie van mod_auth_kerb in Apache ziet er dan als volgt uit (/etc/httpd/conf.modules.d/10-auth_kerb.conf):<br />
AuthType Kerberos<br />
KrbMethodNegotiate on<br />
KrbMethodK5Passwd off<br />
KrbServiceName HTTP<br />
KrbAuthRealms A-ESKWADRAAT.NL<br />
Krb5KeyTab /etc/httpd/conf/httpd.keytab<br />
KrbSaveCredentials off<br />
Require valid-user<br />
<br />
Het is ook mogelijk om autorisatie toe te passen d.m.v. [[HBAC]]-regels en [[mod_authnz_pam]].<br />
<br />
<br />
ps. Het moge duidelijk zijn dat voor $hostname een daadwerkelijke hostname ingevuld moet worden...</div>Juriaanhttps://mediawiki.a-eskwadraat.nl/wiki/index.php/Mod_auth_kerbMod auth kerb2018-09-24T17:27:34Z<p>Juriaan: </p>
<hr />
<div>{{DISPLAYTITLE:mod_auth_kerb}}<br />
[[category:sysop]]<br />
Voor het gebruiken van Kerberos auth in Apache is een aantal stappen nodig:<br />
ipa service-add HTTP/$hostname.a-eskwadraat.nl<br />
ipa-getkeytab -s ipa05.a-eskwadraat.nl -p HTTP/$hostname.a-eskwadraat.nl -k /etc/httpd/conf/httpd.keytab<br />
chown apache /etc/httpd/conf/httpd.keytab<br />
chmod 600 /etc/httpd/conf/httpd.keytab<br />
yum install mod_auth_kerb<br />
<br />
Configuratie van mod_auth_kerb in Apache ziet er dan als volgt uit:<br />
AuthType Kerberos<br />
KrbMethodNegotiate on<br />
KrbMethodK5Passwd off<br />
KrbServiceName HTTP<br />
KrbAuthRealms A-ESKWADRAAT.NL<br />
Krb5KeyTab /etc/httpd/conf/httpd.keytab<br />
KrbSaveCredentials off<br />
Require valid-user<br />
<br />
Het is ook mogelijk om autorisatie toe te passen d.m.v. [[HBAC]]-regels en [[mod_authnz_pam]].<br />
<br />
<br />
ps. Het moge duidelijk zijn dat voor $hostname een daadwerkelijke hostname ingevuld moet worden...</div>Juriaanhttps://mediawiki.a-eskwadraat.nl/wiki/index.php/NextCloudNextCloud2018-09-18T20:36:29Z<p>Juriaan: </p>
<hr />
<div>== Installeer nextcloud ==<br />
<br />
yum install wget man unzip vim<br />
<br />
Centos 7 heeft standaard php-5 we installeren php-7<br />
<pre><br />
yum install httpd<br />
yum install mariadb-server<br />
systemctl start mariadb<br />
systemctl enable mariadb<br />
mysql_secure_installation<br />
</pre><br />
<br />
<br />
<code>yum install centos-release-scl</code><br />
<code>yum install rh-php70 rh-php70-php rh-php70-php-gd rh-php70-php-mbstring</code><br />
<code>yum install rh-php70-php-mysqlnd</code><br />
<code>yum install rh-php70-php-ldap</code><br />
<code></code><br />
<br />
ln -s /opt/rh/httpd24/root/etc/httpd/conf.d/rh-php70-php.conf /etc/httpd/conf.d/<br />
ln -s /opt/rh/httpd24/root/etc/httpd/conf.modules.d/15-rh-php70-php.conf /etc/httpd/conf.modules.d/<br />
ln -s /opt/rh/httpd24/root/etc/httpd/modules/librh-php70-php7.so /etc/httpd/modules/<br />
<br />
systemctl restart httpd<br />
<br />
wget https://download.nextcloud.com/server/releases/nextcloud-x.y.z.tar.bz2.asc<br />
wget https://nextcloud.com/nextcloud.asc<br />
gpg --import nextcloud.asc<br />
gpg --verify nextcloud-x.y.z.tar.bz2.asc nextcloud-x.y.z.tar.bz2<br />
<br />
yum install bzip2<br />
tar -xjf nextcloud-x.y.z.tar.bz2<br />
cp -r nextcloud /var/www<br />
<br />
[[Category:Sysop]]</div>Juriaanhttps://mediawiki.a-eskwadraat.nl/wiki/index.php/NextCloudNextCloud2018-09-18T20:35:35Z<p>Juriaan: Created page with "== Installeer nextcloud == yum install wget man unzip vim Centos 7 heeft standaard php-5 we installeren php-7 <pre> yum install httpd yum install mariadb-server systemctl st..."</p>
<hr />
<div>== Installeer nextcloud ==<br />
<br />
yum install wget man unzip vim<br />
<br />
Centos 7 heeft standaard php-5 we installeren php-7<br />
<pre><br />
yum install httpd<br />
yum install mariadb-server<br />
systemctl start mariadb<br />
systemctl enable mariadb<br />
mysql_secure_installation<br />
</pre><br />
<br />
<br />
<code>yum install centos-release-scl</code><br />
<code>yum install rh-php70 rh-php70-php rh-php70-php-gd rh-php70-php-mbstring</code><br />
<code>yum install rh-php70-php-mysqlnd</code><br />
<code>yum install rh-php70-php-ldap</code><br />
<code></code><br />
<br />
ln -s /opt/rh/httpd24/root/etc/httpd/conf.d/rh-php70-php.conf /etc/httpd/conf.d/<br />
ln -s /opt/rh/httpd24/root/etc/httpd/conf.modules.d/15-rh-php70-php.conf /etc/httpd/conf.modules.d/<br />
ln -s /opt/rh/httpd24/root/etc/httpd/modules/librh-php70-php7.so /etc/httpd/modules/<br />
<br />
systemctl restart httpd<br />
<br />
wget https://download.nextcloud.com/server/releases/nextcloud-x.y.z.tar.bz2.asc<br />
wget https://nextcloud.com/nextcloud.asc<br />
gpg --import nextcloud.asc<br />
gpg --verify nextcloud-x.y.z.tar.bz2.asc nextcloud-x.y.z.tar.bz2<br />
<br />
yum install bzip2<br />
tar -xjf nextcloud-x.y.z.tar.bz2<br />
cp -r nextcloud /var/www</div>Juriaanhttps://mediawiki.a-eskwadraat.nl/wiki/index.php/StephenStephen2018-09-18T19:05:17Z<p>Juriaan: </p>
<hr />
<div>Stephen is de server van A-Eskwadraat. De server is vernoemd naar [https://nl.wikipedia.org/wiki/Stephen_Hawking Stephen Hawking] en tot leven gekomen op 28 augustus 2018.<br />
<br />
== Hardware ==<br />
<code></code><br />
<br />
== NFS mounten ==<br />
<br />
NFS mounten op een unprivileged container is op het moment van schrijven niet mogelijk.<br />
<br />
Installeer nfs-utils op de host (al gebeurd).<br />
<br />
We mounten daarom de benodigde filessystems via NFS op de host: <br />
<br />
<pre><br />
haskell:/srv/home /srv/home nfs rw,_netdev 0 0 #mount /srv/home/mensjes from haskell<br />
haskell:/srv/www/srv /srv/www/srv nfs vers=3,rw,noatime 0 0 #mount /srv/www/srv from haskell<br />
haskell:/srv/www/archief /srv/www/archief nfs vers=3,rw,noatime 0 0<br />
haskell:/srv/scratch /srv/scratch nfs vers=3,rw,noatime 0 0<br />
</pre><br />
<br />
Vervolgens kunnen de filesystems mounten in een container. Door de volgende het volgende toe te voegen aan <code>/etc/pve/lxc/<id>.conf</code>:<br />
<br />
<pre><br />
lxc.mount.entry: /srv/home/mensjes home/mensjes non bind 0 0<br />
lxc.mount.entry: /srv/home/cies home/cies none bind 0 0<br />
lxc.mount.entry: /srv/www/srv srv none bind 0 0<br />
lxc.mount.entry: /srv/www/archief /archief<br />
lxc.mount.entry: /srv/scratch /scratch<br />
</pre><br />
<br />
<br />
<br />
<br />
<br />
[[Category:Sysop]]</div>Juriaanhttps://mediawiki.a-eskwadraat.nl/wiki/index.php/StephenStephen2018-09-18T18:46:35Z<p>Juriaan: </p>
<hr />
<div>Stephen is de server van A-Eskwadraat. De server is vernoemd naar [https://nl.wikipedia.org/wiki/Stephen_Hawking Stephen Hawking] en tot leven gekomen op 28 augustus 2018.<br />
<br />
== Hardware ==<br />
<code></code><br />
<br />
== NFS mounten ==<br />
<br />
NFS mounten op een unprivileged container is op het moment van schrijven niet mogelijk.<br />
<br />
We mounten daarom de benodigde filessystems via NFS op de host: <br />
<br />
<pre><br />
haskell:/srv/home /srv/home nfs rw,_netdev 0 0 #mount /srv/home/mensjes from haskell<br />
haskell:/srv/www/srv /srv/www/srv nfs vers=3,rw,noatime 0 0 #mount /srv/www/srv from haskell<br />
haskell:/srv/www/archief /srv/www/archief nfs vers=3,rw,noatime 0 0<br />
haskell:/srv/scratch /srv/scratch nfs vers=3,rw,noatime 0 0<br />
</pre><br />
<br />
Vervolgens kunnen de filesystems mounten in een container. Door de volgende het volgende toe te voegen aan <code>/etc/pve/lxc/<id>.conf</code>:<br />
<br />
<pre><br />
lxc.mount.entry: /srv/home/mensjes home/mensjes non bind 0 0<br />
lxc.mount.entry: /srv/home/cies home/cies none bind 0 0<br />
lxc.mount.entry: /srv/www/srv srv none bind 0 0<br />
lxc.mount.entry: /srv/www/archief /archief<br />
lxc.mount.entry: /srv/scratch /scratch<br />
</pre><br />
<br />
Installeer nfs-utils op de host<br />
<br />
<br />
<br />
<br />
[[Category:Sysop]]</div>Juriaanhttps://mediawiki.a-eskwadraat.nl/wiki/index.php/StephenStephen2018-09-02T18:18:10Z<p>Juriaan: </p>
<hr />
<div>Stephen is de (main) server van A-Eskwadraat. Hij is vernoemd naar [https://nl.wikipedia.org/wiki/Stephen_Hawking Stephen Hawking] en tot leven gekomen op 28 augustus 2018.<br />
<br />
== Hardware ==<br />
<code></code><br />
<br />
== NFS mounten ==<br />
<br />
NFS mounten op een unprivileged container is op het moment van schrijven niet mogelijk.<br />
<br />
We mounten daarom NFS op de host en dan kunnen we via de host op de container mounten.<br />
<br />
<br />
Installeer nfs-kernel-server op de host<br />
<br />
installeer nfs-utils in de container<br />
<br />
<br />
<br />
<br />
[[Category:Sysop]]</div>Juriaanhttps://mediawiki.a-eskwadraat.nl/wiki/index.php/StephenStephen2018-09-02T10:26:33Z<p>Juriaan: </p>
<hr />
<div>Stephen is de (main) server van A-Eskwadraat. Hij is vernoemd naar [https://nl.wikipedia.org/wiki/Stephen_Hawking Stephen Hawking] en tot leven gekomen op 28 augustus 2018.<br />
<br />
== Hardware ==<br />
<code></code><br />
<br />
== NFS mounten ==<br />
<br />
Installeer nfs-kernel-server op de host<br />
<br />
installeer nfs-utils in de container<br />
<br />
Om NFS te kunnen mounten op de containers moeten de volgende wijzigingen worden aangebracht ([https://forum.proxmox.com/threads/advice-for-file-sharing-between-containers.25704/#post-129006 source]):<br />
<br />
Maak de volgende file aan op Stephen <code>/etc/apparmor.d/lxc/lxc-default-with-nfs</code> met de volgende tekst: (deze stap is al uitgevoerd!)<br />
<br />
<pre><br />
# Do not load this file. Rather, load /etc/apparmor.d/lxc-containers, which<br />
# will source all profiles under /etc/apparmor.d/lxc<br />
<br />
profile lxc-container-default-with-nfs flags=(attach_disconnected,mediate_deleted) {<br />
#include <abstractions/lxc/container-base><br />
<br />
# allow NFS (nfs/nfs4) mounts.<br />
mount fstype=nfs*,<br />
}<br />
</pre><br />
<br />
Herlaad de LXC profielen: <code># apparmor_parser -r /etc/apparmor.d/lxc-containers</code> (deze stap is al uitgevoerd!)<br />
<br />
Zet het volgende in de config van de container <code>lxc.aa_profile: lxc-container-default-with-nfs</code>.<br />
<br />
<br />
[[Category:Sysop]]</div>Juriaanhttps://mediawiki.a-eskwadraat.nl/wiki/index.php/StephenStephen2018-08-30T14:02:41Z<p>Juriaan: </p>
<hr />
<div>Stephen is de (main) server van A-Eskwadraat. Hij is vernoemd naar [https://nl.wikipedia.org/wiki/Stephen_Hawking Stephen Hawking] en tot leven gekomen op 28 augustus 2018.<br />
<br />
== Hardware ==<br />
<code></code><br />
<br />
== NFS mounten ==<br />
<br />
Om NFS te kunnen mounten op de containers moeten de volgende wijzigingen worden aangebracht ([https://forum.proxmox.com/threads/advice-for-file-sharing-between-containers.25704/#post-129006 source]):<br />
<br />
Maak de volgende file aan op Stephen <code>/etc/apparmor.d/lxc/lxc-default-with-nfs</code> met de volgende tekst: (deze stap is al uitgevoerd!)<br />
<br />
<pre><br />
# Do not load this file. Rather, load /etc/apparmor.d/lxc-containers, which<br />
# will source all profiles under /etc/apparmor.d/lxc<br />
<br />
profile lxc-container-default-with-nfs flags=(attach_disconnected,mediate_deleted) {<br />
#include <abstractions/lxc/container-base><br />
<br />
# allow NFS (nfs/nfs4) mounts.<br />
mount fstype=nfs*,<br />
}<br />
</pre><br />
<br />
Herlaad de LXC profielen: <code># apparmor_parser -r /etc/apparmor.d/lxc-containers</code> (deze stap is al uitgevoerd!)<br />
<br />
Zet het volgende in de config van de container <code>lxc.aa_profile: lxc-container-default-with-nfs</code>.<br />
<br />
<br />
[[Category:Sysop]]</div>Juriaanhttps://mediawiki.a-eskwadraat.nl/wiki/index.php/StephenStephen2018-08-30T13:47:56Z<p>Juriaan: </p>
<hr />
<div>Stephen is de (main) server van A-Eskwadraat. Hij is vernoemd naar [https://nl.wikipedia.org/wiki/Stephen_Hawking Stephen Hawking] en tot leven gekomen op 28 augustus 2018.<br />
<br />
== Hardware ==<br />
<code></code><br />
<br />
== NFS mounten ==<br />
<br />
Om NFS te kunnen mounten op de containers moeten de volgende wijzigingen worden aangebracht ([https://forum.proxmox.com/threads/advice-for-file-sharing-between-containers.25704/#post-129006 source]):<br />
<br />
Maak de volgende file aan <code>/etc/apparmor.d/lxc/lxc-default-with-nfs</code><br />
<br />
<br />
<br />
[[Category:Sysop]]</div>Juriaanhttps://mediawiki.a-eskwadraat.nl/wiki/index.php/StephenStephen2018-08-30T13:21:59Z<p>Juriaan: Created page with "Stephen is de (main) server van A-Eskwadraat. Hij is vernoemd naar [https://nl.wikipedia.org/wiki/Stephen_Hawking Stephen Hawking] en tot leven gekomen op 28 augustus 2018. =..."</p>
<hr />
<div>Stephen is de (main) server van A-Eskwadraat. Hij is vernoemd naar [https://nl.wikipedia.org/wiki/Stephen_Hawking Stephen Hawking] en tot leven gekomen op 28 augustus 2018.<br />
<br />
== Hardware ==<br />
<code></code><br />
<br />
== NFS mount ==<br />
<br />
Om NFS te kunnen mounten op de <br />
<br />
[[Category:Sysop]]</div>Juriaanhttps://mediawiki.a-eskwadraat.nl/wiki/index.php/Ssh-externSsh-extern2018-03-06T21:03:40Z<p>Juriaan: </p>
<hr />
<div>{{DISPLAYTITLE:ssh-extern}}<br />
[[category:sysop]]<br />
Op dit moment is felix de host waarop van buitenaf ingelogd wordt. Felix is ook in gebruik als workstation.</div>Juriaanhttps://mediawiki.a-eskwadraat.nl/wiki/index.php/IPAIPA2018-02-26T19:00:32Z<p>Juriaan: </p>
<hr />
<div>FreeIPA is a Red Hat sponsored open source project which aims to provide an easily managed Identity, Policy and Audit (IPA) suite primarily targeted towards networks of Linux and Unix computers. FreeIPA can be compared to Novell's Identity Manager or Microsoft's Active Directory in that the goals and mechanisms used are similar.<br />
<br />
FreeIPA currently uses 389 Directory Server for its LDAP implementation, MIT's Kerberos 5 for authentication and single sign-on, the Apache and Python for the management framework and Web UI, and (optionally) Dogtag for the integrated CA and BIND with a custom plugin for the integrated DNS. Development versions also use Samba to integrate with Microsoft's Active Directory by way of Cross Forest Trusts.<br />
<br />
While each of the major components of FreeIPA is a pre-existing open source project it is the bundling of these components into a single manageable suite with a Comprehensive Management Interface that make FreeIPA more comparable to its proprietary software cousins, Identity Manager and Active Directory.<br />
<br />
FreeIPA aims to provide support not just for Linux and Unix based computers but ultimately Microsoft Windows and Apple Macintosh computers also.<br />
<br />
De webinterface van de IPA van A-Eskwadraat is te benaderen via [http://ipa01.a-eskwadraat.nl http://ipa01.a-eskwadraat.nl]. Hiervoor moet je wel op het netwerk van A-Eskwadraat zitten, dit is niet van buiten af te benaderen.<br />
<br />
== Server installatie ==<br />
<br />
Installeer <code>ipa-server</code> met alle dependencies. Zorg ervoor dat alle benodigde firewall-poorten open staan, na een schone kickstart hoeft enkel poort 7389 tcp nog geopend te worden. Vervolgens, om ipa-server te installeren ''zonder'' NTP-server:<br />
<br />
ipa-server-install -N<br />
<br />
Na de installatie moet de server nog een beveiligings-certificaat krijgen. Voer hiervoor het volgende commando uit:<br />
<br />
ipa-getcert request -d /etc/pki/nssdb/ -n ipaserver-cert<br />
<br />
Sudo gegevens zijn niet anoniem uit IPA te halen, daarom moet er voor de standaard user <code>sudo</code> een wachtwoord ingesteld worden (''zou kunnen dat dit niet meer nodig is''). Doe dit met<br />
<br />
ldappasswd -Y GSSAPI uid=sudo,cn=sysaccounts,cn=etc,dc=a-eskwadraat,dc=nl -s sudopasswd<br />
<br />
=== Firewall ===<br />
<br />
IPA heeft een aantal poorten nodig om correct te werken:<br />
<br />
{| class="wikitable" width="30%"<br />
|-<br />
| '''''Service'''''<br />
| '''''Poort'''''<br />
| '''''Type'''''<br />
|-<br />
| HTTP/HTTPS<br />
| 80,443<br />
| tcp<br />
|-<br />
| LDAP/LDAPS<br />
| 389,636<br />
| tcp<br />
|-<br />
| Kerberos<br />
| 88,464<br />
| tcp,udp<br />
|-<br />
| DNS<br />
| 53<br />
| tcp,udp<br />
|-<br />
| NTP<br />
| 123<br />
| udp<br />
|}<br />
<br />
== Client installatie ==<br />
<br />
{{opmerking| Bij migratie naar een andere IPA-server moet <code>/etc/ipa</code> leeg zijn.}}<br />
<br />
=== ipa-client-install ===<br />
<br />
Installeer een IPA-client als volgt (uiteraard als root):<br />
<br />
ipa-client-install<br />
<br />
Er wordt tijdens de installatie gevraagd om een gebruikersnaam, gebruik daarvoor gewoon je eigen account.<br />
<br />
'''''Reboot het systeem als de installatie voltooid is.'''''<br />
<br />
=== sudo ===<br />
<br />
Om sudoregels te gebruiken op systemen ouder dan CentOS 7, zie [[Sudo]].<br />
<br />
=== httpd ===<br />
<br />
Om in websites IPA te gebruiken is het nodig een PAM- en HBAC-service toe te voegen. Zie ook [[HBAC]].<br />
<br />
== Schema ==<br />
<br />
Aan het standaard schema van IPA is de objectClass 'aesAccount' met attribuut 'memberId'. Zie de volgende LDIF:<br />
<br />
dn: cn=schema<br />
changetype: modify<br />
add: attributetypes<br />
attributetypes:( 1.3.6.1.4.1.44413.1.1.1 NAME 'memberId' DESC 'MemberId of person' <br />
EQUALITY integerMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.27 SINGLE-VALUE )<br />
-<br />
add: objectclasses<br />
objectclasses: ( 1.3.6.1.4.1.44413.1.2.1 NAME 'aesAccount' SUP top AUXILIARY <br />
DESC 'A-Eskwadraat account information' MAY ( memberId ) )<br />
<br />
=== Lidnummer toevoegen ===<br />
<br />
'mensjeadd' vraagt bij het aanmaken van een account om een lidnummer. Mocht er onverhoopt iets misgaan, met de onderstaande LDIF is het mogelijk om een lidnummer aan een account toe te voegen:<br />
<br />
dn: uid=$login,cn=users,cn=accounts,dc=a-eskwadraat,dc=nl<br />
changetype: modify<br />
add: memberId<br />
memberId: $lidnummer<br />
<br />
== Replication ==<br />
<br />
<s>Er zijn op dit moment drie IPA-servers met de volgende replication agreements:</s><br />
<br />
*<s>ipa01 &lt;=&gt; ipa02</s><br />
*<s>ipa01 &lt;=&gt; ipa03</s><br />
*<s>ipa02 &lt;=&gt; ipa03</s><br />
[[Category:Software]] [[Category:Sysop]]<br />
<br />
== Gebruik ipa ==<br />
<br />
Op de webinterface van IPA zijn alle eigenschappen van gebruikers en groepen te wijzigen onder het tabblad "Identity". Dit spreekt redelijk voor zich. Bij "Policy" zijn host-based access control en sudoregels in te stellen.<br />
<br />
Sommige instellingen, bijvoorbeeld de home directory van een user, zijn als sysop-user niet aan te passen. Hiervoor moet je inloggen als admin.<br />
<br />
=== Host-based access control ===<br />
<br />
Op alle clients waar ipa is geïnstalleerd, wordt bij het inloggen sssd gebruikt om te authenticeren. Deze controleert op de ipa server of de gebruiker op die machine mag inloggen. Het is gewone gebruikers bijvoorbeeld alleen toegestaan om in te loggen op workstations, niet op virtuele machines en een aantal daarvan zijn wel ipa client. Bij Policy > Host-based Access Control in de IPA webinterface zijn de regels in te stellen die bepalen wie waar mag inloggen. Een regel bevat: de gebruikers waarvoor deze van toepassing is, de computers waarop deze van toepassing is, en de services waarmee ingelogd kan worden. Bij alle drie is er een optie om alles/iedereen toe te staan.<br />
<br />
=== Sudoregels ===<br />
<br />
Sudoregels staan toe dat een gebruiker een commando uitvoert als iemand anders. Het geeft gebruikers de mogelijkheid om commando's namens hun commissies uit te voeren, of sysop om overal sudo te gebruiken om root te worden. Deze zijn in de webinterface in te stellen bij Policy > Sudo. Een regel bestaat uit: welke gebruiker(s), welke computer(s), welke commando(s) en als welke gebruiker(s). Verder kunnen er opties worden toegevoegd, deze zijn gelijk aan opties die gewoonlijk in sudoers ingesteld kunnen worden, zoals !authenticate die bepaalt dat er geen wachtwoord ingevoerd hoeft te worden voor die regel.<br />
<br />
=== Wat te doen als ipa01 eruit ligt ===<br />
<br />
Eerst ssh je naar ipa01 als root (met de sysop key). De directory service raakt corrupt en dan komt wordt het filesysteem read only (ro). Met het volgende command kan je controleren of het filesystem inderdaad read only is:<br />
grep "\sro[\s,]" /proc/mounts<br />
<br />
Als ext4 read only is dan staat het filesysteem van ipa01 in read only en moet je de vm opnieuw opstarten ("reboot now"). Wanneer de vm herstart is staat het filesysteem weer in read write (rw). De database van ipa is nog corrupt en daarom kunnen we ipa niet in een keer starten. Eerst moeten we de directory service los starten dit kan met het volgende commando:<br />
/usr/sbin/start-dirsrv</div>Juriaanhttps://mediawiki.a-eskwadraat.nl/wiki/index.php/IPAIPA2018-02-26T18:32:36Z<p>Juriaan: </p>
<hr />
<div>FreeIPA is a Red Hat sponsored open source project which aims to provide an easily managed Identity, Policy and Audit (IPA) suite primarily targeted towards networks of Linux and Unix computers. FreeIPA can be compared to Novell's Identity Manager or Microsoft's Active Directory in that the goals and mechanisms used are similar.<br />
<br />
FreeIPA currently uses 389 Directory Server for its LDAP implementation, MIT's Kerberos 5 for authentication and single sign-on, the Apache and Python for the management framework and Web UI, and (optionally) Dogtag for the integrated CA and BIND with a custom plugin for the integrated DNS. Development versions also use Samba to integrate with Microsoft's Active Directory by way of Cross Forest Trusts.<br />
<br />
While each of the major components of FreeIPA is a pre-existing open source project it is the bundling of these components into a single manageable suite with a Comprehensive Management Interface that make FreeIPA more comparable to its proprietary software cousins, Identity Manager and Active Directory.<br />
<br />
FreeIPA aims to provide support not just for Linux and Unix based computers but ultimately Microsoft Windows and Apple Macintosh computers also.<br />
<br />
De webinterface van de IPA van A-Eskwadraat is te benaderen via [http://ipa01.a-eskwadraat.nl http://ipa01.a-eskwadraat.nl]. Hiervoor moet je wel op het netwerk van A-Eskwadraat zitten, dit is niet van buiten af te benaderen.<br />
<br />
== Server installatie ==<br />
<br />
Installeer <code>ipa-server</code> met alle dependencies. Zorg ervoor dat alle benodigde firewall-poorten open staan, na een schone kickstart hoeft enkel poort 7389 tcp nog geopend te worden. Vervolgens, om ipa-server te installeren ''zonder'' NTP-server:<br />
<br />
ipa-server-install -N<br />
<br />
Na de installatie moet de server nog een beveiligings-certificaat krijgen. Voer hiervoor het volgende commando uit:<br />
<br />
ipa-getcert request -d /etc/pki/nssdb/ -n ipaserver-cert<br />
<br />
Sudo gegevens zijn niet anoniem uit IPA te halen, daarom moet er voor de standaard user <code>sudo</code> een wachtwoord ingesteld worden (''zou kunnen dat dit niet meer nodig is''). Doe dit met<br />
<br />
ldappasswd -Y GSSAPI uid=sudo,cn=sysaccounts,cn=etc,dc=a-eskwadraat,dc=nl -s sudopasswd<br />
<br />
=== Firewall ===<br />
<br />
IPA heeft een aantal poorten nodig om correct te werken:<br />
<br />
{| class="wikitable" width="30%"<br />
|-<br />
| '''''Service'''''<br />
| '''''Poort'''''<br />
| '''''Type'''''<br />
|-<br />
| HTTP/HTTPS<br />
| 80,443<br />
| tcp<br />
|-<br />
| LDAP/LDAPS<br />
| 389,636<br />
| tcp<br />
|-<br />
| Kerberos<br />
| 88,464<br />
| tcp,udp<br />
|-<br />
| DNS<br />
| 53<br />
| tcp,udp<br />
|-<br />
| NTP<br />
| 123<br />
| udp<br />
|}<br />
<br />
== Client installatie ==<br />
<br />
{{opmerking| Bij migratie naar een andere IPA-server moet <code>/etc/ipa</code> leeg zijn.}}<br />
<br />
=== ipa-client-install ===<br />
<br />
Installeer een IPA-client als volgt (uiteraard als root):<br />
<br />
ipa-client-install<br />
<br />
Er wordt tijdens de installatie gevraagd om een gebruikersnaam, gebruik daarvoor gewoon je eigen account.<br />
<br />
'''''Reboot het systeem als de installatie voltooid is.'''''<br />
<br />
=== sudo ===<br />
<br />
Om sudoregels te gebruiken op systemen ouder dan CentOS 7, zie [[Sudo]].<br />
<br />
=== httpd ===<br />
<br />
Om in websites IPA te gebruiken is het nodig een PAM- en HBAC-service toe te voegen. Zie ook [[HBAC]].<br />
<br />
== Schema ==<br />
<br />
Aan het standaard schema van IPA is de objectClass 'aesAccount' met attribuut 'memberId'. Zie de volgende LDIF:<br />
<br />
dn: cn=schema<br />
changetype: modify<br />
add: attributetypes<br />
attributetypes:( 1.3.6.1.4.1.44413.1.1.1 NAME 'memberId' DESC 'MemberId of person' <br />
EQUALITY integerMatch SYNTAX 1.3.6.1.4.1.1466.115.121.1.27 SINGLE-VALUE )<br />
-<br />
add: objectclasses<br />
objectclasses: ( 1.3.6.1.4.1.44413.1.2.1 NAME 'aesAccount' SUP top AUXILIARY <br />
DESC 'A-Eskwadraat account information' MAY ( memberId ) )<br />
<br />
=== Lidnummer toevoegen ===<br />
<br />
'mensjeadd' vraagt bij het aanmaken van een account om een lidnummer. Mocht er onverhoopt iets misgaan, met de onderstaande LDIF is het mogelijk om een lidnummer aan een account toe te voegen:<br />
<br />
dn: uid=$login,cn=users,cn=accounts,dc=a-eskwadraat,dc=nl<br />
changetype: modify<br />
add: memberId<br />
memberId: $lidnummer<br />
<br />
== Replication ==<br />
<br />
<s>Er zijn op dit moment drie IPA-servers met de volgende replication agreements:</s><br />
<br />
*<s>ipa01 &lt;=&gt; ipa02</s><br />
*<s>ipa01 &lt;=&gt; ipa03</s><br />
*<s>ipa02 &lt;=&gt; ipa03</s><br />
[[Category:Software]] [[Category:Sysop]]<br />
<br />
== Gebruik ipa ==<br />
<br />
Op de webinterface van IPA zijn alle eigenschappen van gebruikers en groepen te wijzigen onder het tabblad "Identity". Dit spreekt redelijk voor zich. Bij "Policy" zijn host-based access control en sudoregels in te stellen.<br />
<br />
=== Host-based access control ===<br />
<br />
Op alle clients waar ipa is geïnstalleerd, wordt bij het inloggen sssd gebruikt om te authenticeren. Deze controleert op de ipa server of de gebruiker op die machine mag inloggen. Het is gewone gebruikers bijvoorbeeld alleen toegestaan om in te loggen op workstations, niet op virtuele machines en een aantal daarvan zijn wel ipa client. Bij Policy > Host-based Access Control in de IPA webinterface zijn de regels in te stellen die bepalen wie waar mag inloggen. Een regel bevat: de gebruikers waarvoor deze van toepassing is, de computers waarop deze van toepassing is, en de services waarmee ingelogd kan worden. Bij alle drie is er een optie om alles/iedereen toe te staan.<br />
<br />
=== Sudoregels ===<br />
<br />
Sudoregels staan toe dat een gebruiker een commando uitvoert als iemand anders. Het geeft gebruikers de mogelijkheid om commando's namens hun commissies uit te voeren, of sysop om overal sudo te gebruiken om root te worden. Deze zijn in de webinterface in te stellen bij Policy > Sudo. Een regel bestaat uit: welke gebruiker(s), welke computer(s), welke commando(s) en als welke gebruiker(s). Verder kunnen er opties worden toegevoegd, deze zijn gelijk aan opties die gewoonlijk in sudoers ingesteld kunnen worden, zoals !authenticate die bepaalt dat er geen wachtwoord ingevoerd hoeft te worden voor die regel.<br />
<br />
=== Wat te doen als ipa01 eruit ligt ===<br />
<br />
Eerst log je in als root op ipa01 (met de sysop key). De directory service raakt corrupt en dan komt wordt het filesystem read only. Met het volgende command kan je controleren of het filesystem inderdaad read only is:<br />
grep "\sro[\s,]" /proc/mounts</div>Juriaanhttps://mediawiki.a-eskwadraat.nl/wiki/index.php/MailMail2017-12-20T13:29:02Z<p>Juriaan: </p>
<hr />
<div>Bij A–Eskwadraat gebruiken we '''Maildir''' voor de opslag van e-mail van gebruikers. We raden gebruikers aan om niet direct de Maildirmappen te benaderen, maar om dit via [http://en.wikipedia.org/wiki/Internet_Message_Access_Protocol IMAP] of [http://www.washington.edu/alpine/ Alpine] te doen. De standaardconfiguratie van de meeste mailclients staat hier ook voor ingesteld.<br />
<br />
== Services ==<br />
<br />
Op [[Haskell|haskell]] draait de virtuele machine vm-mailpp (spreek uit: mail plus plus) om het mailverkeer van en naar A-Eskwadraat te regelen:<br />
<br />
*[http://www.postfix.org/ postfix] (''/etc/postfix/'') verwerkt in principe alle binnenkomende mails, en wat er waarheen doorgestuurd moet worden;<br />
*[http://www.dovecot.org/ dovecot] (''/etc/dovecot/'') neemt de POP- en IMAP-servers voor zijn rekening en verzorgt authenticatie voor het versturen van mails;<br />
*[https://www.amavis.org/ amavis] (''/etc/amavisd/'') geeft alle binnenkomende mails door aan SpamAssassin en ClamAV om gefilterd te worden;<br />
*[http://spamassassin.apache.org/ SpamAssassin] (''/etc/mail/spamassassin/'') [[Mailfiltering|filtert]] de spam uit het binnenkomende mailverkeer;<br />
*[http://http://www.clamav.net/lang/en/ ClamAV] (''/etc/clamd.d/'') scant het mailverkeer voor virussen en dergelijke;<br />
*[https://roundcube.net/ RoundCube] (''/etc/roundcubemail/'', ''/usr/share/roundcubemail'') is een webmailclient die in een [https://www.apache.org/ apache] webserver op vm-mailpp draait;<br />
*[http://www.list.org/ Mailman] (''/etc/mailman/'') Mailman is verantwoordelijk voor de mailing lists, zoals de BBCie-announce.<br />
<br />
== Naamgeving Maildirmappen ==<br />
<br />
Let op dat om voor dovecot begrijpbare namen te hebben, de mappen op in ''~/Maildir'' altijd met een punt moeten beginnen. Submappen werken ook op deze manier. Een paar voorbeelden:<br />
<br />
*''~/Maildir/.Intro/'' voor de IMAP-map ''Intro'';<br />
*''~/Maildir/.Sysop.postmaster/'' voor de map ''postmaster'' als submap van ''Sysop''.<br />
<br />
Als de mappen via IMAP worden aangemaakt gebeurt dit automatisch.<br />
<br />
== Postfix ==<br />
<br />
Postfix is de SMTP server voor de vm-mailpp.<br />
<br />
Postfix gebruikt meerdere ports om mail te ontvangen en te verwerken. Mail die wordt gestuurd door leden moet naar de SMTP daemon op port 587 (''submission'' poort) worden gestuurd. Authenticatie en TLS encryptie zijn een vereiste op deze verbinding. In de toekomst zal de [[Router|Router]] de encryptie tussen client en mail-server regelen. Alle andere mail komt binnen op port 25. Spam- en virus-filtering gebeurd via de SMTP daemons op ports 10025 en 10027 voor onbekende en bekende mail, respectievelijk.<br />
<br />
In ''/etc/postfix/master.cf'' staat de configuratie van deze daemons. De configuratie in ''/etc/postfix/main.cf'' wordt gebruikt voor zaken die niet in ''master.cf'' zijn opgegeven; in principe staat hier de configuratie voor poort 25 en worden de opties specifiek voor de andere poorten opgegeven in ''master.cf''.<br />
<br />
Een bug/feature van postfix die slecht gedocumenteerd is, is als volgt: wanneer postfix langer dan 10 seconden duurt over het authentiseren van een email, wordt deze geweigerd met een verkeerde foutmelding: "535 5.7.8 Error: authentication failed: Connection lost to authentication server (SMTP AUTH failed with the remote server)".<br />
<br />
=== Transport ===<br />
<br />
Eerst checkt Postfix of de inkomende mail aan een lokaal mailadres is gestuurd. Welke domeinen als 'lokaal' worden bestempeld staat in ''/etc/postfix/domains/local''. Voor lokale mailadressen geldt, dat het domein in de verdere configuratie kan worden weggelaten.<br/>Daarna checkt Postfix of de inkomende mail naar een virtueel domein is gestuurd. Mailadressen van domeinen zoals turingslegacy.nl worden herschreven naar lokale mailadressen (zonder domeinnaam). De virtuele domeinen staan in ''/etc/postfix/domains/virtual''.<br />
<br />
De overblijvende adressen, worden opgezocht in de bestanden met aliases in /etc/postfix/aliases, om te zien of de mail toevallig naar een ander lokaal mailadres doorgestuurd moet worden. Postfix gebruikt hiervoor de bestanden in .db formaat, de tekstbestanden zonder extensie zijn voor ons als sysop leesbaar en te bewerken maar moeten wel met ''postalias'' in een .db bestand omgezet worden naar iedere wijziging.<br/>Als iemand dit vergeet na het aanpassen van een bestand met aliases, plaatst postfix een melding in ''/var/log/maillog'': "database file ''bestandsnaam''.db is older than source file ''bestandsnaam''".<br/>Nu blijven er als het goed is, alleen gebruikersnamen over die op het systeem bestaan. Voor deze gebruikers wordt het bestand ''.forward'' in de homedirectory van de gebruiker opgezocht.<br />
<br />
Als in een ''.forward'' bestand de gebruikersnaam voorafgegaan door een backslash (\) wordt aangetroffen, wordt de mail in de Maildir map van die gebruiker geplaatst. Als een regel met een pipe (|) wordt aangetroffen, wordt het mailbericht doorgegeven als standard input aan het commando dat achter het |-teken staat. Andere regels met tekst worden geïnterpreteerd als mailadressen (lokaal zonder domeinnaam of willekeurig mailadres met domeinnaam) waarnaar de mail moet worden doorgestuurd.<br/>''Let op bij het gebruiken van de pipe (|): het kan zijn dat SELinux niet toestaat dat postfix een ander programma direct aanroept.''<br />
<br />
Als de mail niet bij een lokaal of virtueel adres hoort, checkt postfix of de inkomende mail is gestuurd naar een domein waarvoor A-Eskwadraat mail relayet. Deze mail word onveranderd naar de mailserver van dat domein verstuurd (relaying). Dit voorkomt verlies van mail voor het externe domein wanneer hun mailserver uitvalt, aangezien A-Eskwadraat de secondary mailserver is voor dat domein. Een uitzondering op de regel is mail bedoeld voor de webserver. Mail aan de webcie komt binnen op de mail server, maar moet worden doorgestuurd naar de webserver. De verwijzingen zijn te vinden in ''/etc/postfix/transport_www'' en ''/etc/postfix/transport_regex''.<br />
<br />
Let op dat deze uitleg heel erg bot is. Lees de relevante ''man'' pages van Postfix om te leren hoe mail word verwerkt. Let op dat veranderingen in een alias/transport/domain map niet worden opgemerkt tot het ''postmap'' of ''postalias'' op het bestand is aangeroepen!<br />
<br />
=== Mail Authorisatie ===<br />
<br />
Om te controleren of een gebruiker wel als een adres mag mailen wordt gebruik gemaakt van de smtpd_sender_login_maps optie voor postfix, die in een database de users opzoekt die als gegeven adres mogen versturen.&nbsp;Als er via SMTP een request gedaan wordt om van buitenaf een mail te versturen doet postfix een query en kijkt welke users als die alias mail mogen versturen. Deze config is op de vm-mailpp te vinden in `/etc/postfix/alias_auth.cf`.<br />
<br />
De database wordt gegenereerd door een python script die op de vm-sysop staat bij de sysop api, aangezien daar de mail aliases al staan voor de alias_check. Het python script, te vinden in `/var/www/html/api/python/mail-authorization.py`, loopt recursief langs alle users die in cies, bestuur, extern of iba zitten en kijkt daarnaast ook naar mail aliassen. Aan de hand hiervan wordt met een sql query alle transitieve relaties expliciet gemaakt, zodat dit niet runtime gedaan moet worden. Als een alias naar een cie wordt doorgestuurd, en een user weer in die cie zit, wil je dat die user ook als die alias mag mailen. Als database wordt PostgreSQL gebruikt op de vm-database. De database die gebruikt wordt heet "mail". In de python code staan nog wat comments. Er draait op de vm-sysop een cron die af en toe de database refreshed. Daarnaast is het python script ook intern bereikbaar [http://vm-sysop.a-eskwadraat.nl/api/python/mail-authorization.py hier]. Bij het laden van deze pagina wordt de database gerefreshed. Op deze manier kan de database meteen gerefreshed worden zodra iemand toegevoegd is aan een cie. Als er in een alias een wildcard staat (*@bapc.eu: bapc), wat betekend dat alles van het domein bapc.eu naar de bapc commissie wordt gestuurd, wordt dit omgezet naar een SQL wildcard, wat uiteindelijk dus netjes werkt.<br />
<br />
Als gebruiker x mag mailen als y@a-eskwadraat.nl, dan komen in de database de entries (x, y@a-eskwadraat.nl), (x@a-eskwadraat.nl, y) en (x@a-eskwadraat.nl, y@a-eskwadraat.nl) te staan. Dit omdat dingen soms worden opgevraagd met domain en soms zonder.<br />
<br />
=== Mailfiltering ===<br />
<br />
Postfix maakt gebruik van amavisd voor het filteren van de inkomende mail. Amavis is een interface voor SpamAssassin welke spam filtert en ClamAV welke mails op virussen scant. Check de configuratie op [[Vm-saltmaster|vm-saltmaster]] voor details.<br />
<br />
Om de virus database up te daten:<br />
<pre>freshclam<br />
</pre><br />
<br />
== Mailman ==<br />
<br />
Mailman is verantwoordelijk voor de infrastructuur van de mailing lists. De mailing lists zijn te vinden op [lists.a-eskwadraat.nl/mailman lists.a-eskwadraat.nl/mailman]. Er zijn twee belangrijke services om mailman te draaien: mailman en httpd. De configuratie van mailman bevind zich in ''/etc/mailman/'', de data bevind zich in ''/var/lib/mailman'', en de binaries bevinden zich in ''/usr/lib/mailman''.<br />
<br />
Gebruik de scripts in /usr/lib/mailman/bin om de mailing lists vanaf de command-line te wijzigen. De volgende commando's zijn belangrijk bij het debuggen / migreren van mailman:<br />
<br />
*check_perms: repareert de bestandsrechten van mailman-specifieke bestanden.<br />
*with_list & fix_url: repareert de links van de mailman archieven indien deze zijn veranderd.<br />
<br />
Lees de [http://wiki.list.org/DOC/4.09%20Summary%20of%20the%20mailman%20bin%20commands MailmanWiki] voor een samenvatting van alle commands.<br />
<br />
Mailman werkt samen met de Postfix mailserver via de alias map ''/etc/mailman/aliases''. Voer het volgende commando uit na het toevoegen/verwijderen van een lijst zodat Postfix zijn alias database update:<br />
<pre>postalias /etc/mailman/aliases<br />
</pre><br />
<br />
Na een migratie van de mailman lijsten is het belangrijk om ''restorecon'' uit te voeren op ''/var/lib/mailman''. Mailman en SELinux werken prima samen zolang de rechten maar goed staan.<br />
<pre># Samenvatting van een Mailman migratie.<br />
# Op de nieuwe mailserver.<br />
rsync -azv -e "ssh -i <sshkey>" <OUDEHOST>:/var/lib/mailman/ /var/lib/mailman/<br />
restorecon -r /var/lib/mailman/<br />
cd /usr/lib/mailman/<br />
bin/check_perms -f<br />
bin/withlist -l -a -r fix_url<br />
</pre><br />
<br />
== Dovecot ==<br />
<br />
Dovecot is de IMAP server verantwoordelijk voor het ophalen en beheren van de mail opgeslagen in de homedirs. Mail wordt opgeslagen in de .Maildir van een gebruik zijn home directory. De server luistert op poort 143 (standaard IMAP poort) en vereist een TLS-encrypted verbinding van de gebruiker. Het certificaat voor de verbinding is anders dan het certificaat van de webserver.&nbsp; Dovecot authenticeert gebruikers door middel van LDAP. Dovecot werkt ook als authenticatie-server voor postfix door middel van een open socket. Een SELinux module is vereist om Postfix toegang te geven tot de socket.<br />
<br />
Voor meer configuratie details, zie de configuratie op de salt-master. (CentOS 6: /srv/salt/centos/vm-mail/dovecot, CentOS 7: /srv/salt/centos7/dovecot)<br />
<br />
<br />
<br />
<br />
<br />
'''AL DE CONFIGURATIE HIERONDER IS GIGANTISCH OUT OF DATE''' \/\/\/<br />
<br />
== Configuratie mailfilters ==<br />
<br />
Gebruik je een ''.forward'' of ''.procmailrc'' om e-mail direct in mappen te stoppen, let dan op de naamgeving (zie hierboven) en zorg ervoor dat de mappen altijd op een ''/'' eindigen. Begin je ''.procmailrc'' ook altijd met de regel<br />
<br />
MAILDIR=$HOME/Maildir/<br />
<br />
om te zorgen dat e-mail toch niet in ''/var/mail'' terechtkomt.<br />
<br />
== Maak een mailserver met exim, en dovecot ==<br />
<br />
Zorg eerst dat sendmail uit staat!<br />
<pre>service sendmail stop<br />
chkconfig sendmail off<br />
</pre><br />
<br />
Bij voorkeur verwijder je ook de package voor [[Postfix|postfix]]. Deze is standaard bij CentOS geïnstalleerd.<br />
<br />
=== Exim ===<br />
<br />
Exim is een MTA (Mail Transfer Agent) en is ervoor om mailtjes te versturen, ontvangen, en doorsturen. Dit gebeurd uiteraard op de mailserver!<br />
<br />
Installeer allereerst exim op de host.<br />
<pre># yum install exim<br />
</pre><br />
<br />
Verander vervolgens het configuratie bestand /etc/exim/exim.conf:<br />
<pre># Het Mail domain - normaal gesproken a-eskwadraat.nl<br />
primary_hostname = circle.a-eskwadraat.nl<br />
<br />
# Weiger met ipv6 te werken.<br />
local_interfaces = 0.0.0.0<br />
disable_ipv6 = true<br />
<br />
daemon_smtp_ports = smtp&nbsp;: submission<br />
accept_8bitmime = true<br />
<br />
<br />
# Lijsten van geldige mail domainin.<br />
domainlist mailman_domains = CONFDIR/domains.mailman<br />
domainlist local_domains = @&nbsp;: CONFDIR/domains.local&nbsp;: +mailman_domains&nbsp;: lsearch;CONFDIR/domains.virtual<br />
domainlist relay_to_domains = CONFDIR/domains.relay<br />
<br />
hostlist relay_from_hosts = 10.14.3.0/22<br />
<br />
# Backup mail server in het geval dat onze niet werkt.<br />
hostlist mx_hosts = mail.wolffelaar.nl<br />
<br />
qualify_domain = A-Eskwadraat.nl<br />
<br />
queue_run_max = 250<br />
<br />
smtp_accept_max = 100<br />
smtp_accept_max_per_host = ${if match_ip{$sender_host_address}{+mx_hosts}{50}{10}}<br />
<br />
received_headers_max = 30<br />
<br />
RETRY_SECONDARY=F,90d,15m<br />
RETRY_REST=F,2h,15m; G,16h,2h,1.5; F,4d,8h<br />
<br />
acl_smtp_rcpt = acl_check_rcpt<br />
acl_not_smtp_start = acl_check_not_smtp<br />
acl_smtp_data = acl_check_data<br />
<br />
host_lookup = *<br />
helo_try_verify_hosts =&nbsp;!@&nbsp;:&nbsp;!@[]<br />
helo_allow_chars = _<br />
<br />
# ClamAV - The Anti-Virus Scanner<br />
av_scanner = clamd:/var/run/clamav/clamd.sock<br />
<br />
# Custom 5s limiet.<br />
rfc1413_query_timeout = 5s<br />
<br />
# Mailman support, als per /usr/share/doc/mailman/README.EXIM.gz<br />
MAILMAN_HOME=/var/lib/mailman<br />
MAILMAN_WRAP=/usr/lib/mailman/mail/mailman<br />
MAILMAN_USER=mailman<br />
MAILMAN_GROUP=mailman<br />
</pre><br />
<br />
=== Dovecot ===<br />
<br />
Dovecot is een IMAP en POP3 server, wat inhoud dat het mailtjes kan ontvangen, iets wat best wel handig is om te hebben. Installeer dovecot op je mailserver als je dat nog niet gedaan hebt. Verander dan nu het volgende:<br />
<br />
In /etc/dovecot/dovecot.conf:<br />
<br />
*protocols = imap<br />
*login_trusted_networks = &lt;ip-adressen die je vertrouwd&gt;<br />
<br />
In /etc/dovecot/conf.d/10-mail.conf<br />
<br />
*mail_location = maildir:~/Maildir<br />
*lock_method = dotlock<br />
<br />
In /etc/dovecot/conf.d/10-auth.conf<br />
<br />
*disable_plaintext_auth = no<br />
*auth_realms = aeskwadraat<br />
*auth_default_realm = aeskwadraat<br />
*auth_gssapi_hostname = &lt;ipa-server&gt;<br />
*auth_krb5_keytab = /etc/dovecot/krb5.keytab<br />
*auth_mechanisms = plain gssapi<br />
<br />
en zet op het einde<br />
<pre>userdb {<br />
driver = static<br />
args = uid=dovecot gid=dovecot home=/var/spool/mail/%u<br />
}<br />
</pre><br />
<br />
Maak nu op de ipa-server een service imap aan met de mailserver als host. Dit kan je doen via de webinterface. Voer vervolgens het volgende uit op de mailserver:<br />
<pre>kinit admin<br />
ipa-getkeytab -s <ipa-server> -p imap/<mailserver> -k /etc/dovecot/krb5.keytab<br />
chown root:dovecot /etc/dovecot/krb5.keytab<br />
chmod 640 /etc/dovecot/krb5.keytab<br />
</pre><br />
<br />
Restart dovecot en zet hem standaard aan:<br />
<pre>service dovecot restart<br />
chkconfig dovecot on<br />
</pre><br />
<br />
Zet tenslotte nog met system-config-firewall-tui 'imap over ssl' en 'mail (smtp)' aan, en voila! Je kan nu met ipa-users gebruik maken van IMAP om mailtjes te ontvangen!<br />
<br />
Je kan eventueel in /etc/postfix/main.cf en /etc/dovecot/conf.d/10-mail.conf nog het een ander van waar de mail wordt opgeslagen veranderen.<br />
<br />
=== Spamassassin ===<br />
<br />
Spamassassin is een mailfilteringprogramma voor spam. Om het te installeren:<br />
<pre>yum install spamassassin<br />
</pre><br />
<br />
Maak nu de user en group spamd aan:<br />
<pre>groupadd -g 5001 spamd<br />
useradd -u 5001 -g spamd -s /sbin/nologin -d /var/lib/spamassassin spamd<br />
mkdir /var/lib/spamassassin<br />
chown spamd:spamd /var/lib/spamassassin<br />
</pre><br />
<br />
Zet dan het volgende in /etc/mail/spamassassin/local.cf:<br />
<pre>required_score 5.0<br />
report_safe 0<br />
rewrite_header Subject [***SPAM***]<br />
<br />
# Enable the Bayes system<br />
use_bayes 1<br />
use_bayes_rules 1<br />
# Enable Bayes auto-learning<br />
bayes_auto_learn 1<br />
</pre><br />
<br />
Verander nu in /etc/postfix/master.cf<br />
<pre>smtp inet n - n - - smtpd<br />
</pre><br />
<br />
in<br />
<pre>smtp inet n - n - - smtpd -o content_filter=spamassassin<br />
</pre><br />
<br />
en stop op het einde van master.cf:<br />
<pre>spamassassin unix - n n - - pipe flags=R user=spamd argv=/usr/bin/spamc -e /usr/sbin/sendmail -oi -f ${sender} ${recipient}<br />
</pre><br />
<br />
Restart nu spamassassin en postfix:<br />
<pre>chkconfig spamassassin on<br />
service spamassassin restart<br />
service postfix restart<br />
</pre><br />
<br />
=== Aliases ===<br />
<br />
In postfix staan de locaties van de aliases in /etc/postfix/main.cf. Deze kan je vinden bij de regel 'alias_maps = ...'. Als je een nieuw aliasbestand wilt toevoegen, voeg dit dan ook toe bij deze regel als hash:&lt;bestandslocatie&gt;. Vergeet ook niet om dit toe te voegen bij alias_database!.<br />
<br />
De aliases zelf staan geconfigureerd in de aliasbestanden die te vinden zijn onder /etc/postfix/alias/. Als je een nieuwe alias in een bestand hebt gezet moet je het db-bestand up-to-date make door het commando 'postalias *bestand*' uitvoeren. Let erop dat de bestandsnaam de naam van het bestand is wat je gewijzigd hebt, niet een bestand met extensie '.db'.<br />
<br />
Op het moment van schrijven hebben we 4 alias bestanden (bestuur, cies, mensjes en standaard). Als je een alias toevoegt of veranderd doe je dit in het bijbehorende alias bestand (bestuur gerelateerde aliassen in "bestuur", cies gerelateerde aliassen in "cies", etc.).<br />
<br />
Als voorbeeld gaan we de alias sokken@a-eskwadraat aanmaken voor Michal en Rosanne. Dit is niet bestuur of cies gerelateerd dus zetten we deze alias in het bestand mensjes. Navigeer naar /etc/postfix/alias en open het bestand mensjes. Je begint met de alias gevolgd door een dubbele punt en dan A-eskwadraat gebruikersnaam(en) waarvoor de alias bedoeld is. In het geval van sokken@a-eskwadraat komt dat er dus als volgt uit te zien:<br />
<br />
<pre>sokken: michalj, rosanne</pre><br />
<br />
Vervolgens moet deze wijziging nog in de database gezet worden dit gebeurt met: <br />
<br />
<pre>postalias mensjes</pre><br />
<br />
Nu gaan de mailtjes die binnenkomen op sokken@a-eskwadraat naar Michal en Rosanne!<br />
<br />
== Instellingen ==<br />
<br />
=== Postfix ===<br />
<br />
==== Mail relay ====<br />
<br />
Postfix kan mail relayen naar een extern domein. Hiervoor is de volgende regel:<br />
<pre>relay_domains = $mydestination, hash:/etc/postfix/domains.relay<br />
</pre><br />
<br />
In het bestand /etc/postfix/domains.relay staat de lijst van alle externe domains waar mail naar toe gerelayed wordt. Als je iets in het bestand wijzigt, vergeet dan niet om daarna het commando<br />
<pre>postmap /etc/postfix/domains.relay<br />
</pre><br />
<br />
uit te voeren.<br />
<br />
==== Whitelist ====<br />
<br />
Postfix kan gebruik maken van een whitelist. Zorg hiervoor dat er het volgende in /etc/postfix/main.cf staat:<br />
<pre>smtpd_client_restrictions = check_client_access hash:/etc/postfix/client.access<br />
</pre><br />
<br />
In het bestand /etc/postfix/client.access staat de lijst van alle domains die geweigerd en toegelaten worden. Als je hier iets in verandert, vergeet dan niet om uit te voeren<br />
<pre>postmap /etc/postfix/access.client<br />
</pre><br />
<br />
== SquirrelMail ==<br />
<br />
SquirrelMail is een webmail-client.<br />
<br />
=== SquirrelMail installeren ===<br />
<br />
Installeer eerst natuurlijk Squirrelmail:<br />
<pre>yum install squirrelmail<br />
</pre><br />
<br />
Zorg ervoor dat httpd standaard aan staat en start httpd:<br />
<pre>chkconfig httpd on<br />
service httpd start<br />
</pre><br />
<br />
Verander nu het volgende in /etc/squirrelmail/config.php:<br />
<pre>$org_name = "A-Eskwadraat";<br />
$org_logo = SM_PATH . 'images/sm_logo.png';<br />
$org_logo_width = '308';<br />
$org_logo_height = '111';<br />
$org_title = 'A-Eskwadraat SquirrelMail $version";<br />
$signout_page = 'vm-mail.a-eskwadraat.nl';<br />
<br />
$domain = 'circle.a-eskwadraat.nl';<br />
$imapServerAddress = 'localhost';<br />
$useSendmail = false;<br />
$smtpServerAddress = 'localhost';<br />
$pop_before_smtp = false;<br />
<br />
</pre><br />
<br />
Zet nu het A-Eskwadraat logo in de squirrelmail config map.<br />
<pre>setsebool -P httpd_can_network_connect 1<br />
</pre><br />
<br />
== RoundcubeMail ==<br />
<br />
Roundcube is ook een webmail client.<br />
<br />
=== Installeren ===<br />
<br />
Op vm-salt-master staat een configuratie voor een Roundcube mail VM met een korte readme. Deze zorgt ervoor dat httpd, roundcubemail en mariadb geinstalleerd staan. Salt een VM met deze configuratie.<br />
<pre>salt '$hostname' state.highstate<br />
</pre><br />
<br />
Laat vervolgens httpd van die VM door de firewall heen. Daarna moet de database voor Roundcube geinitialiseerd worden. Dit gaat met mysql.<br />
<pre>CREATE DATABASE roundcubemail;<br />
GRANT ALL PRIVILEGES on roundcubemail.* TO roundcube@localhost IDENTIFIED BY '$password';<br />
FLUSH PRIVILEGES;<br />
</pre><br />
<br />
Nu moet de timezone nog even ingesteld worden in /etc/php.ini op de roundcube VM. Daarna moeten er nog de juiste tables in de database worden gezet. Dit kan door op de nieuwe VM de bestanden in /etc/roundcubemail/databasefiles te runnen met mysql.<br />
<pre>mysql roundcubemail < mysql.initial.sql<br />
</pre><br />
[[Category:Sysop]]</div>Juriaanhttps://mediawiki.a-eskwadraat.nl/wiki/index.php/BackupBackup2017-05-09T15:07:37Z<p>Juriaan: /* Interne backups */</p>
<hr />
<div>Geregeld worden er '''backups''' gemaakt van een groot deel van het systeem. Hier vallen onder andere de home directories en virtuele machines onder.<br />
<br />
== Interne backups ==<br />
<br />
De interne backups zijn bedoeld om bestanden terug te kunnen halen die per ongeluk verwijderd zijn. Elke 4 uur, met middernacht als offset, wordt er een recursieve snapshot gemaakt van alle data. Deze 4 uurlijkse snapshots worden, op die van middernacht na, 2 dagen bewaard. De snapshots van middernacht worden standaard 2 weken bewaard, met enkele uitzonderingen zoals de home directories. Deze uitzonderingen plus hun retention tijd staan op haskell in `/etc/cron.daily/managesnapshot`.<br />
<br />
Deze 4 uurlijkse backups worden direct gesynced naar de on-site backup in de vorm van Nikola.<br />
<br />
Interne backups kunnen makkelijk teruggehaald worden. In het geval van een dataset is er in de root van deze dataset een onzichtbare map .zfs. In het geval van de home kan de staat van 20 november 2015 teruggevonden worden in `/srv/home/.zfs/snapshot/2015112000`. Dit kan alleen op haskell gedaan worden aangezien deze map niet bereikbaar is over NFS. Iets vergelijkbaars kan gedaan wordne met zvol's. Eerst moet echter de property snapdev op visible gezet worden in plaats van hidden en daarna zijn de snapshots van de zvols zichtbaar in `/dev`. Snapshots zijn read-only, dus als je een zvol probeert te mounten die dirty is, dan werkt dit niet als er ext4 op de zvol staat. Ext4 wil bij het recoveren namelijk schrijven, wat niet kan. In een dergelijke situatie kan het vaak handig zijn om een snapshot te klonen en dan te mounten. Met xfs is dit niet nodig.<br />
<br />
== Off-site backups ==<br />
<br />
We slaan de data ook off-site op bij de universiteit. Dit is een virtuele machine met de naam [[Claude|claude]]. Dit gebeurd vanaf max, aangezien daar een 1:1 kopie staat van de data en op deze manier wordt haskell ontlast. De backups worden vanaf [https://mediawiki.a-eskwadraat.nl/wiki/Claude claude] gepulled vanaf max en door max eerst ge-gzipped en ge-encrypt, zodat de universiteit niet bij onze data kan. Naar [https://mediawiki.a-eskwadraat.nl/wiki/Claude claude] wordt elke eerste dag van de maand een complete kopie gedumped en voor de rest van de maand worden incrementele dumps gemaakt.<br />
<br />
== Relevante scripts ==<br />
<br />
De volgende scripts en crons die te maken hebben met backups zijn allemaal in gebruik.<br />
<br />
*`/usr/local/bin/backupscript` op Haskell maakt elke 4 uur (door `/etc/cron.d/autobackup`) een snapshot en stuurt deze direct naar max.<br />
*`/etc/cron.daily/cleansnapshots` draait op zowel Max als Haskell en ruimt elke dag oude snapshots op. Deze file is identiek op beide machines, dus aanpassingen moeten gesynced worden.<br />
*`/usr/local/bin/pullbackups` op [https://mediawiki.a-eskwadraat.nl/wiki/Claude claude] pullt backups van Max en slaat deze op.<br />
*`/usr/local/bin/cleanbackups`op [https://mediawiki.a-eskwadraat.nl/wiki/Claude claude] ruimt oude snapshots op als de ruimte (2TB) vol dreigt te raken. Vol is >90%. Dit is een cron die elke 5 minuten checkt. Mocht er iets fout gaan zoals dat er bij het opruimen niet tenminste 1 volledige backup altijd bewaard blijft, dan mailt deze dit. Het gebeurd nog wel eens dat de nfs share van de universiteit eruit knalt, en dan flipt dit script ook.<br />
<br />
[[Category:Sysop]]</div>Juriaanhttps://mediawiki.a-eskwadraat.nl/wiki/index.php/Fail2banFail2ban2017-01-23T18:17:22Z<p>Juriaan: </p>
<hr />
<div>Fail2ban scant log files en bant adressen die verdachte kenmerken vertonen (bijvoorbeeld: Teveel foute inlog pogingen, zoeken naar exploits , etc). Fail2ban update de firewall regels vervolgens om het verdachte IP adres te weigeren voor een bepaalde tijds periode. Fail2ban vermindert de hoeveelheid incorrecte authenticatie pogingen, maar voorkomt niet het risico van slecht geïmplementeerde authenticatie mechanismes.<br />
<br />
Fail2ban draait op vm-sysop en is te vinden onder /etc/fail2ban. Met het command: /etc/init.d/fail2ban status kun je de status van fail2ban checken. De standaard configuratie en regels van fail2ban staan in jail.conf en aanpassingen die wij zelf hebben gemaakt staan in jail.local. De aanpassingen in jail.local overschrijven de standaard regels in jail.conf. Als je een aanpassing maakt moet je dit dus in jail.local doen. Een voorbeeld van een regel in jail.local is:<br />
<br />
<pre><br />
[ssh-aes] // Naam van de service<br />
enabled = true // Deze service wordt gemonitoord door fail2ban<br />
filter = sshd // De filter die de logs scant op een patroon (in de map filter.d)<br />
action = a-eskwadraat // De actie die wordt uitgevoerd als de filter true returnt (in de map action.d)<br />
logpath = /var/log/secure // De log file die gescant wordt door de filter<br />
maxretry = 5 // Het aantal keer dat de filter het patroon mag tegen komen voordat de ban actie wordt uitgevoerd <br />
</pre><br />
<br />
<br />
In de map filter.d staan de filters voor services. Deze werken met behulp van reguliere expressies. Wanneer er in een log file een bepaald patroon voorkomt dat de reguliere expressie matcht wordt dit gezien als een foute log-in poging.<br />
<br />
In de map action.d staan acties die uitgevoerd worden op gedefineerde momenten. Actions zijn bijvoorbeeld het bannen en unbannen van een ip adres. Een voorbeeld van een ban action van de hierboven genoemde jail is:<br />
<br />
<pre><br />
actionban = /usr/bin/ssh -i /root/.ssh/id_rsa_fail2ban root@10.14.0.42 add <ip><br />
</pre><br />
<br />
<br />
------------------------- STILL IN PROGRESS -------------------------</div>Juriaanhttps://mediawiki.a-eskwadraat.nl/wiki/index.php/Fail2banFail2ban2016-11-28T23:10:06Z<p>Juriaan: </p>
<hr />
<div>Fail2ban scant log files en bant adressen die verdachte kenmerken vertonen (bijvoorbeeld: Teveel foute inlog pogingen, zoeken naar exploits , etc). Fail2ban update de firewall regels vervolgens om het verdachte IP adres te weigeren voor een bepaalde tijds periode. Fail2ban vermindert de hoeveelheid incorrecte authenticatie pogingen, maar voorkomt niet het risico van slecht geïmplementeerde authenticatie mechanismes.<br />
<br />
Fail2ban draait op vm-sysop en is te vinden onder /etc/fail2ban. Met het command: /etc/init.d/fail2ban status kun je de status van fail2ban checken. De standaard configuratie en regels van fail2ban staan in jail.conf en aanpassingen die wij zelf hebben gemaakt staan in jail.local. De aanpassingen in jail.local overschrijven de standaard regels in jail.conf. Als je een aanpassing maakt moet je dit dus in jail.local doen. Een voorbeeld van een regel in jail.local is:<br />
<br />
<br />
<pre><br />
[ssh-aes] // Naam van de service<br />
enabled = true // Deze service wordt gemonitoord door fail2ban<br />
filter = sshd // De filter die de logs scant op een patroon (in de map filter.d)<br />
action = a-eskwadraat // De actie die wordt uitgevoerd als de filter true returnt (in de map action.d)<br />
logpath = /var/log/secure // De log file die gescant wordt door de filter<br />
maxretry = 5 // Het aantal keer dat de filter het patroon mag tegen komen voordat de ban actie wordt uitgevoerd <br />
</pre><br />
<br />
<br />
In de map filter.d staan de filters voor services. Wanneer er in een log file een bepaald patroon voorkomt dat de reguliere expressie matcht wordt dit gezien als een foute log-in poging.<br />
<br />
In de map action.d staan acties die uitgevoerd worden op gedefineerde momenten. Actions zijn bijvoorbeeld het bannen en unbannen van een ip adres.<br />
<br />
<br />
------------------------- STILL IN PROGRESS -------------------------</div>Juriaanhttps://mediawiki.a-eskwadraat.nl/wiki/index.php/Fail2banFail2ban2016-11-28T23:05:01Z<p>Juriaan: </p>
<hr />
<div>Fail2ban scant log files en bant adressen die verdachte kenmerken vertonen (bijvoorbeeld: Teveel foute inlog pogingen, zoeken naar exploits , etc). Fail2ban update de firewall regels vervolgens om het verdachte IP adres te weigeren voor een bepaalde tijds periode. Fail2ban vermindert de hoeveelheid incorrecte authenticatie pogingen, maar voorkomt niet het risico van slecht geïmplementeerde authenticatie mechanismes.<br />
<br />
Fail2ban draait op vm-sysop en is te vinden onder /etc/fail2ban. Met het command: /etc/init.d/fail2ban status kun je de status van fail2ban checken. De standaard configuratie en regels van fail2ban staan in jail.conf en aanpassingen die wij zelf hebben gemaakt staan in jail.local. De aanpassingen in jail.local overschrijven de standaard regels in jail.conf. Als je een aanpassing maakt moet je dit dus in jail.local doen. Een voorbeeld van een regel in jail.local is:<br />
<br />
<br />
<nowiki><br />
[ssh-aes] // Naam van de service<br />
enabled = true // Deze service wordt gemonitoord door fail2ban<br />
filter = sshd // De filter die de logs scant op een patroon (in de map filter.d)<br />
action = a-eskwadraat // De actie die wordt uitgevoerd als de filter true returnt (in de map action.d)<br />
logpath = /var/log/secure // De log file die gescant wordt door de filter<br />
maxretry = 5 // Het aantal keer dat de filter het patroon mag tegen komen voordat de ban actie wordt uitgevoerd <br />
</nowiki><br />
<br />
<br />
In de map filter.d staan de filters voor services. Wanneer er in een log file een bepaald patroon voorkomt dat de reguliere expressie matcht wordt dit gezien als een foute log-in poging.<br />
<br />
In de map action.d staan acties die uitgevoerd worden op gedefineerde momenten. Actions zijn bijvoorbeeld het bannen en unbannen van een ip adres.<br />
<br />
<br />
------------------------- STILL IN PROGRESS -------------------------</div>Juriaanhttps://mediawiki.a-eskwadraat.nl/wiki/index.php/Fail2banFail2ban2016-11-28T19:16:10Z<p>Juriaan: </p>
<hr />
<div>Fail2ban scant log files en bant adressen die verdachte kenmerken vertonen (bijvoorbeeld: Teveel foute inlog pogingen, zoeken naar exploits , etc). Fail2ban update de firewall regels vervolgens om het verdachte IP adres te weigeren voor een bepaalde tijds periode. Fail2ban vermindert de hoeveelheid incorrecte authenticatie pogingen, maar voorkomt niet het risico van slecht geïmplementeerde authenticatie mechanismes.<br />
<br />
Fail2ban draait op vm-sysop en is te vinden onder /etc/fail2ban. De standaard configuratie en regels van fail2ban staan in jail.conf en aanpassingen die wij zelf hebben gemaakt staan in jail.local. De aanpassingen in jail.local overschrijven de standaard regels in jail.conf. Als je een aanpassing maakt moet je dit dus in jail.local doen. Een voorbeeld van een regel in jail.local is:<br />
<br />
<br />
[ssh-aes] // Naam van de service<br />
enabled = true // Deze service wordt gemonitoord door fail2ban<br />
filter = sshd // De filter die de logs scant op een patroon (in de map filter.d)<br />
action = a-eskwadraat // De actie die wordt uitgevoerd als de filter true returnt (in de map action.d)<br />
logpath = /var/log/secure // De log file die gescant wordt door de filter<br />
maxretry = 5 // Het aantal keer dat de filter het patroon mag tegen komen voordat de ban actie wordt uitgevoerd <br />
<br />
<br />
<br />
In de map filter.d staan de filters voor services. Wanneer er in een log file een bepaald patroon voorkomt dat de reguliere expressie matcht wordt dit gezien als een foute log-in poging.<br />
<br />
In de map action.d staan acties die uitgevoerd worden op gedefineerde momenten. Actions zijn bijvoorbeeld het bannen en unbannen van een ip adres.<br />
<br />
<br />
------------------------- STILL IN PROGRESS -------------------------</div>Juriaanhttps://mediawiki.a-eskwadraat.nl/wiki/index.php/Fail2banFail2ban2016-11-14T17:09:04Z<p>Juriaan: </p>
<hr />
<div>Fail2ban scant log files en bans adressen die verdachte kenmerken vertonen (bijvoorbeeld: Teveel foute inlog pogingen, zoeken naar exploits , etc). Fail2ban update de firewall regels vervolgens om het verdachte IP adres te weigeren voor een bepaalde tijds periode. Fail2ban vermindert de hoeveelheid incorrecte authenticatie pogingen, maar voorkomt niet het risico van slecht geïmplementeerde authenticatie mechanismes.<br />
<br />
Fail2ban draait op vm-sysop en is te vinden onder /etc/fail2ban. De standaard configuratie en regels van fail2ban staat jail.conf en aanpassingen die wij zelf hebben gemaakt staan in jail.local. De aanpassingen in jail.local overschrijven de standaard regels in jail.conf. Als je een aanpassing maakt moet je dit dus in jail.local doen. Een voorbeeld van <br />
<br />
[service naam]<br />
enabled = True/False<br />
filter <br />
<br />
<br />
------------------------- STILL IN PROGRESS -------------------------</div>Juriaanhttps://mediawiki.a-eskwadraat.nl/wiki/index.php/Fail2banFail2ban2016-10-31T21:37:07Z<p>Juriaan: Created page with "Fail2ban scant log files en bans adressen die verdachte kenmerken vertonen (bijvoorbeeld: Teveel foute inlog pogingen, zoeken naar exploits , etc). Fail2ban update de firewall..."</p>
<hr />
<div>Fail2ban scant log files en bans adressen die verdachte kenmerken vertonen (bijvoorbeeld: Teveel foute inlog pogingen, zoeken naar exploits , etc). Fail2ban update de firewall regels vervolgens om het verdachte IP adres te weigeren voor een bepaalde tijds periode. Fail2ban vermindert de hoeveelheid incorrecte authenticatie pogingen, maar voorkomt niet het risico van slecht geïmplementeerde authenticatie mechanismes.<br />
<br />
------------------------- STILL IN PROGRESS -------------------------</div>Juriaanhttps://mediawiki.a-eskwadraat.nl/wiki/index.php/Qemu-kvmQemu-kvm2016-10-03T14:58:33Z<p>Juriaan: /* zvol */</p>
<hr />
<div>[[category:software]]<br />
[[category:sysop]]<br />
Zorgt samen met [[libvirt]] voor de [[virtualisation]] op haskell.<br />
<br />
== Config ==<br />
Om qemu-kvm en libvirt te kunnen gebruiken moet SE-linux correct geconfigureerd worden. <br />
Momenteel is SE-linux disabled op Haskell.<br />
<br />
== zvol ==<br />
<br />
Met qemu en zfs is het mogelijk om een zogenaamde zvol te gebruiken als virtuele hardeschijf. Om hier gebruik van te maken dien je eerst een vm aan te maken in proxmox. Vervolgens maak je een zvol aan op haskell, met:<br />
<br />
zfs create -V [size] storage/vm/[naam]<br />
<br />
Vervolgens kun je de vm aanpassen om gebruik te maken van deze storage. Vooralsnog dien je hiervoor de config handmatig aan te passen, dat kan in /etc/pve/qemu-server/[id].conf en kan de storage line aangepast worden naar:<br />
<pre>ide0: /dev/zvol/storage/vm/[naam],format=raw,cache=writeback,discard=on,backup=no,size=[size]</pre><br />
Voeg ook de volgende regel toe:<br />
<pre>scsihw: virtio-scsi-pci</pre></div>Juriaanhttps://mediawiki.a-eskwadraat.nl/wiki/index.php/SysopSysop2016-09-07T14:52:02Z<p>Juriaan: </p>
<hr />
<div>{{Commissie<br />
| naam = Sysop<br />
| plaatje = <br />
| type = commissie<br />
| jaren_actief = 1997-heden<br />
| email = sysop[dingetje]a-eskwadraat.nl<br />
| website = http://a-eskwadraat.nl/sysop<br />
| voorzitter = Lars van den Haak<br />
| leden = Pepijn Overbeeke<br />Albert Pool<br />Lars van den Haak<br />Folkert van Verseveld<br />Sophie Huiberts<br />Joris Moens<br />Marijn Suijten<br />Arjan Adriaanse<br />Axel Vugts<br />Juriaan van Drunen<br />
}} '''Sysop''' is de A–Eskwadraatcommissie die verantwoordelijk is voor het beheer van het [[Computerpark|computerpark]] en alle andere [[:category:hardware|hardware]]. Sysop valt onder [[IBA|IBA]]. Ze zijn te bereiken op [mailto:sysop@A-Eskwadraat.nl [1]].<br />
<br />
De Sysophandleidingen staan in de categorie [[:category:sysop|Sysop]]. De documentatie van scripts staat in de categorie [[:category:sysop_scripts|Scripts]].<br />
<br />
== Leden ==<br />
<br />
In willekeurige volgorde van chronologie:<br />
<br />
*Neggerr<br />
*Albert<br />
*Lars (<span style="line-height: 20.8px;">voorzitter</span>)<br />
*Sophie<br />
*Folkert<br />
*Joris (bestuurslid)<br />
*Marijn<br />
*Arjan<br />
*Axel<br />
*Juriaan<br />
<br />
=== Gedeactiveerde leden ===<br />
<br />
Leden van Sysop zijn leden van IBA, zodoende kunnen ze niet lid-af worden. Dit is de lijst van gedeactiveerde leden:<br />
<br />
*Johan<br />
*Deborah<br />
*Willem<br />
*Appel<br />
*Leon<br />
*Geertièn<br />
*Gordian<br />
*Lennaert<br />
*Marten<br />
*DrBob<br />
*Lars<br />
*Waltmeister<br />
*Loekie<br />
*A4z<br />
*Scotty<br />
*Steven<br />
*Sjeik<br />
*Stukjes Peer<br />
*Bash<br />
*Yoerin<br />
*Ctrlsoft<br />
*Neus<br />
*Kurk<br />
*(CPU) Killer<br />
*Lachebekje<br />
*Jef<br />
*SysV<br />
*Tobin<br />
*Baz<br />
*Ronalz<br />
*Baard<br />
*Frnk<br />
*Pretzel<br />
*Helga</div>Juriaanhttps://mediawiki.a-eskwadraat.nl/wiki/index.php/SysopSysop2016-09-07T14:50:43Z<p>Juriaan: /* Leden */</p>
<hr />
<div>{{Commissie<br />
| naam = Sysop<br />
| plaatje = <br />
| type = commissie<br />
| jaren_actief = 1997-heden<br />
| email = sysop[dingetje]a-eskwadraat.nl<br />
| website = http://a-eskwadraat.nl/sysop<br />
| voorzitter = Lars van den Haak<br />
| leden = Pepijn Overbeeke<br />Albert Pool<br />Lars van den Haak<br />Folkert van Verseveld<br />Sophie Huiberts<br />Joris Moens<br />Marijn Suijten<br />Arjan Adriaanse<br />Axel Vugts<br />
}} '''Sysop''' is de A–Eskwadraatcommissie die verantwoordelijk is voor het beheer van het [[Computerpark|computerpark]] en alle andere [[:category:hardware|hardware]]. Sysop valt onder [[IBA|IBA]]. Ze zijn te bereiken op [mailto:sysop@A-Eskwadraat.nl [1]].<br />
<br />
De Sysophandleidingen staan in de categorie [[:category:sysop|Sysop]]. De documentatie van scripts staat in de categorie [[:category:sysop_scripts|Scripts]].<br />
<br />
== Leden ==<br />
<br />
In willekeurige volgorde van chronologie:<br />
<br />
*Neggerr<br />
*Albert<br />
*Lars (<span style="line-height: 20.8px;">voorzitter</span>)<br />
*Sophie<br />
*Folkert<br />
*Joris (bestuurslid)<br />
*Marijn<br />
*Arjan<br />
*Axel<br />
*Juriaan<br />
<br />
=== Gedeactiveerde leden ===<br />
<br />
Leden van Sysop zijn leden van IBA, zodoende kunnen ze niet lid-af worden. Dit is de lijst van gedeactiveerde leden:<br />
<br />
*Johan<br />
*Deborah<br />
*Willem<br />
*Appel<br />
*Leon<br />
*Geertièn<br />
*Gordian<br />
*Lennaert<br />
*Marten<br />
*DrBob<br />
*Lars<br />
*Waltmeister<br />
*Loekie<br />
*A4z<br />
*Scotty<br />
*Steven<br />
*Sjeik<br />
*Stukjes Peer<br />
*Bash<br />
*Yoerin<br />
*Ctrlsoft<br />
*Neus<br />
*Kurk<br />
*(CPU) Killer<br />
*Lachebekje<br />
*Jef<br />
*SysV<br />
*Tobin<br />
*Baz<br />
*Ronalz<br />
*Baard<br />
*Frnk<br />
*Pretzel<br />
*Helga</div>Juriaanhttps://mediawiki.a-eskwadraat.nl/wiki/index.php/FelixFelix2016-09-07T14:49:43Z<p>Juriaan: Created page with "Felix is op dit moment het nieuwste workstations (gekocht begin 2016). De naam komt van Felix Hausdorff, een bekende Duitse wiskundige."</p>
<hr />
<div>Felix is op dit moment het nieuwste workstations (gekocht begin 2016). De naam komt van Felix Hausdorff, een bekende Duitse wiskundige.</div>Juriaanhttps://mediawiki.a-eskwadraat.nl/wiki/index.php/WorkstationsWorkstations2016-09-07T14:43:06Z<p>Juriaan: /* Workstations */</p>
<hr />
<div>[[category:sysop]]<br />
De '''workstations''' zijn de computers waarop gebruikers in kunnen loggen.<br />
<br />
== Workstations ==<br />
De huidige workstations zijn:<br />
* [[hendrik]] (Bestuurskamer)<br />
* [[dennis]]<br />
* [[pafnuty]]<br />
* [[ada]] (Gezelligheidskamer)<br />
* [[alonzo]]<br />
* [[paul]] ([[ssh-extern]])<br />
* [[felix]]<br />
<br />
== Installeren/updaten ==<br />
'''<br />
=== Installeren ===<br />
<br />
# Start de Fedora workstation kickstart van [[netboot]].<br />
# Haal een kop koffie terwijl de installatie bezig is met installeren.<br />
# Voeg de volgende regel toe aan /etc/dnsmasq.d/workstations.conf op de [[router]]:<br />
#:*cname=<hostname>.localdomain,<hostname>.a-eskwadraat.nl<br />
#:*dhcp-host=<mac-address>,tag:old,dennis,<ip>,infinite<br />
# Gebruik de <hostname> en het <mac-address> van de nieuwe host, en een niet bezet ip-adres.<br />
# Reboot nu de host zodat de veranderingen van hostname plaatsnemen.<br />
# SSH naar de '''vm-salt-master''' en sta de nieuwe host toe met: <pre> [root@vm-salt-master]# salt-key -A <hostname>.a-eskwadraat.nl</pre><br />
# Zet in de /srv/salt/top.sls op de '''vm-salt-master''' de nieuwe workstation met de juiste configuratie<br />
# Dwing nu een update af met salt. Zet de host niet uit! <pre>[root@vm-salt-master]# salt '<hostname>.a-eskwadraat.nl' state.highstate </pre><br />
# Installeer nu bindfs (zie [[Bindfs]])<br />
# Doe een IPA client install (zie [[IPA]]). Vergeet ook niet op in ipa de workstation in de host groups workstations te zetten!<br />
# Installeer kernel-ml<br />
# Het zou kunnen zijn dat er in de grub nog standaard de niet main line kernel geladen wordt. Verander dit in grub door eerst te kijken welke opties grub heeft met <pre>awk -F\' '$1=="menuentry " {print $2}' /etc/grub2-efi.cfg</pre>. Je kan de huidige standaard optie zien met <pre>grub2-editenv list</pre>. Om de default te veranderen naar een andere kernel doe je bv <pre>grub2-set-default 0</pre> (0 is de eerste entry, 1 de volgende, etc.).<br />
# Reboot de workstation en highstate nog een keer voor de zekerheid<br />
# De workstation is nu klaar voor gebruik.<br />
<br />
=== Updaten ===<br />
Roep het volgende commando aan op de vm-salt-master. Vervang <hostname> met de lokale hostname. Onderbreek het proces niet!<br />
<pre>[root@vm-salt-master]# salt '<hostname>.a-eskwadraat.nl' state.highstate </pre><br />
<br />
<!--<br />
=== Installeren -- Outdated! ===<br />
Stappenplan om een nieuwe workstation te installeren:<br />
<br />
# Start een default Debian netinstall (van [[netboot]] of CD/DVD)<br />
# Configureer de partities van de nieuwe workstation als volgt:<br />
#* sda1: 200MB ext3 voor ''/boot''<br />
#* sda2: als physical volume voor LVM volume group met naam ''ws_storage''. Maak de volgende Logical Volumes aan:<br />
#** image1: 20GB ext3 voor ''/''<br />
#** image2: 20GB ext3 (niet gebruiken)<br />
#** swap: 4GB<br />
#** local: 4GB ext3 (niet gebruiken)<br />
#** tmp: 2GB ext3 (niet gebruiken)<br />
# Maak een zo simpel mogelijke Debian installatie naar ''image1'' binnen LVM. (Ondertussen kunnen de volgende twee stappen uitgevoerd worden.)<br />
# Voeg het ip- en MAC-adres van de nieuwe workstation toe aan de volgende bestanden op [[square]]:<br />
#* ''/etc/dhcp/dhcpd.conf''<br />
#* ''/etc/nsd3/zones/localdomain.zone''<br />
#* ''/etc/[[shorewall]]/maclist''<br />
# Voeg de machine toe in [[LDAP]].<br />
# Reboot de machine in de nieuwe Debian installatie, installeer rsync en gebruik ''scp'' om de scripts "ws-update" en "ws-mkhostlink" naar ''/usr/local/sbin''.<br />
# Configureer labels voor ''ext3'' filesystems:<br />
#* e2label /dev/ws_storage/image1 image1<br />
#* e2label /dev/ws_storage/image2 image2<br />
#* e2label /dev/ws_storage/local local<br />
#* e2label /dev/ws_storage/tmp tmp<br />
# Pas ''/etc/fstab'' aan naar eigen wensen, bekijk ''/etc/fstab'' op een andere workstation ter referentie<br />
# Kopieer ''/etc/fstab'' naar wsmaster: <pre>scp /etc/fstab wsmaster:/etc/fstab%mijnhostname</pre><br />
# Kopieer ''/etc/udev/rules.d/70-persistent-net.rules'' naar wsmaster: <pre>scp /etc/udev/rules.d/70-persistent-net.rules wsmaster:/etc/udev/rules.d/70-persistent-net.rules%mijnhostname</pre><br />
# Haal alle ssh configuratie op van ws-master (/root/.ssh/* en /etc/ssh/*)<br />
# Haal het systeem op van wsmaster: <pre>ws-update --bootstrap /</pre><br />
# Als alles goed is gegaan, heeft ''ws-update'' een nieuwe Workstation image naar ''image2'' geschreven. Ook zijn de laatste kernels in ''/boot'' neergezet, maar ''/boot/grub/*'' is nog niet geschikt om van te booten. Elke workstation heeft z'n eigen Grubconfiguratie in ''/boot/grub'', kopieer er eentje van een andere workstation naar je nieuwe workstation en pas desgewenst ''menu.lst'' aan.<br />
# Installeer Grub in de MBR van ''/dev/sda'': <pre>grub-install /dev/sda</pre><br />
<br />
=== Updaten ===<br />
# Draai <pre>ws-update</pre> Door het gebruik van ''rsync'' zal dit tamelijk snel zijn als er weinig wijzigingen zijn. De oude inhoud doet er (muv. snelheid natuurlijk) niet toe: alles wat er niet hoort, wordt verwijderd.<br />
# Reboot. De workstation zal als het goed is vanzelf in de nieuwe, geüpdatet image booten.<br />
<br />
=== Partities ===<br />
<br />
Op de workstations wordt de volgende indeling aangehouden voor de harde schijf:<br />
<br />
* Een primaire partitie voor ''/boot'' van 200MB<br />
* Een tweede primaire partitie voor een grote LVM Volume Group (genaamd ''ws_storage''). In de LVM Volume Group de volgende Logical Volumes:<br />
** Twee volumes voor twee images (''image1'' en ''image2''). De image is op het moment (februari 2009) 6.5 GB, dus met 8-20 GB zitten we voorlopig goed.<br />
** Een volume met label ''local'' voor host-specifieke spullen van ongeveer 5 GB.<br />
** Een volume voor swap van ongeveer 2 GB.<br />
** Een volume van ca 2 GB voor ''/tmp'' met label ''tmp''. Doe: <pre>chmod a+rwxt /tmp</pre><br />
<br />
=== fstab ===<br />
<br />
''/etc/fstab'' is nauwelijks nog host-specifiek, door het gebruik van labels.<br />
<br />
--><br />
<br />
== Geschiedenis ==<br />
Aan al het goede komt een einde, zo ook aan de bruikbaarheid van onze computers. We willen onze oude beestjes na jaren trouwe dienst een ereplaats op de wiki geven.<br />
<br />
<table cellpadding="5"><br />
<br />
<tr><td>[[Leonhard]]</td><td>Intel Core 2 Quad, 4GB</td><br />
<td>Workstation</td><td>Debian GNU/Linux (squeeze)</td></tr><br />
<br />
<tr><td>[[Edsger]]</td><td>Sempron 2600+, 2GB</td><br />
<td>Workstation</td><td>Debian GNU/Linux (squeeze)</td></tr><br />
<br />
<tr><td>[[Grace]]</td><td>Sempron 2600+, 1GB</td><br />
<td>Workstation</td><td>Debian GNU/Linux (squeeze)</td></tr><br />
<br />
<tr><td>[[Kurt]]</td><td>Intel Pentium 4, 512MB</td><br />
<td>Boekverkoop-workstation</td><td>Debian GNU/Linux (lenny)</td></tr><br />
<br />
<tr><td>[[Youg]]</td><td>486DX/4, 26MB</td><br />
<td>Mailterminal</td><td>Debian GNU/Linux (woody)</td></tr><br />
<br />
<tr><td>[[Euclides]]</td><td>Athlon 64 3000+, 1GB</td><br />
<td>server, workstation</td><td>Debian GNU/Linux (lenny)</td></tr><br />
<br />
<tr><td>[[Alan]]</td><td>Athlon XP 2000, 1GB</td><br />
<td>server, boekverkoop-workstation</td><td>Debian GNU/Linux (lenny)</td></tr><br />
<br />
<tr><td>[[Janos]]</td><td>Athlon XP 2200, 768MB</td><br />
<td>workstation</td><td>Debian GNU/Linux (etch)</td></tr><br />
<br />
<tr><td>[[Isaac]]</td><td>Athlon XP 1800, 1GB</td><br />
<td>workstation</td><td>Debian GNU/Linux (etch)</td></tr><br />
<br />
<tr><td>[[Niels]]</td><td>Athlon 900Mhz, 384MB</td><br />
<td>workstation</td><td>Debian GNU/Linux (sarge)</td></tr><br />
<br />
<tr><td>[[Leonardo]]</td><td>Pentium III 666MHz, 128MB</td><br />
<td>workstation</td><td>Debian GNU/Linux (sarge)</td></tr><br />
<br />
<tr><td>[[Georg]]</td><td>Pentium III 666MHz, 128MB</td><br />
<td>workstation</td><td>Debian GNU/Linux (sarge)</td></tr><br />
<br />
<tr><td>[[Emmy]]</td><td>Pentium III 666MHz, 128MB</td><br />
<td>workstation</td><td>Windows 2000</td></tr><br />
<br />
<tr><td>[[Richard]]</td><td>Dual Celeron 400Mhz, 256MB</td><br />
<td>workstation</td><td>Debian GNU/Linux (sarge)</td></tr><br />
<br />
<tr><td>[[Marie]]</td><td>Pentium 3 666Mhz, 128MB</td><br />
<td>VNC server</td><td>Windows 2000</td></tr><br />
<br />
<tr><td>[[Albert]]</td><td>Dual Celeron 466Mhz, 256MB</td><br />
<td>server</td><td>Debian GNU/Linux (woody)</td></tr><br />
<br />
<tr><td>[[Benjamin]]</td><td>Pentium 150Mhz, 128MB</td><br />
<td>terminal</td><td>Debian GNU/Linux (potato)</td></tr><br />
<br />
<tr><td>[[Piet]]</td><td>Pentium 100Mhz, 54MB</td><br />
<td>Debian development</td><td>Debian GNU/Linux (sid)</td></tr><br />
<br />
</table></div>Juriaan