A-Eskwiki - User contributions [en]

Inwerking Sysop

2025-05-06T17:45:36Z

Maxvg:

== Voor als je nog geen Linux kan ==
Als je nog geen linux ervaring hebt is bandit van over the wire erg leuk om de basic commandos te leren. Klik [https://overthewire.org/wargames/bandit/ hier]!

== Inwerking ==
Welkom bij deel 2 van de inwerking! Als het goed is heb je deel 1, het algemene linux deel, al gedaan. Is dit niet het geval, dan kan je die [https://home.a-eskwadraat.nl/~sysop/inwerking/deel1.pdf hier] vinden.

== SSH ==

We maken bij de Sysop veel gebruik van SSH. Wil je hier meer over leren?[https://en.wikipedia.org/wiki/Secure_Shell Kijk dan hier]

=== Externe connecties ===

Externe SSH connecties komen bij a-eskwadraat binnen op [[Felix]]. Dit wordt vooral gebruikt door mensen die vanaf thuis op het systeem willen werken.

=== Interne connecties ===

Binnen het systeem zijn de meeste VM's en containers bereikbaar met SSH. Dit werkt als volgt:
<pre>
ssh root@<vmofcontainernaam>
</pre>
of
<pre>
ssh root@<ipadres>
</pre>

Voor de meeste Sysop VM's of CT's moet je gebruik maken van de sysop key. Dit moet dan als volgt:
<pre>
ssh root@<vmofcontainernaam> -i ~/.ssh/id_rsa_sysop
</pre>
Hiervoor moet je wel al de key hebben gekregen van een Sysopper.
De oude inwerking is te vinden op https://home.a-eskwadraat.nl/~sysop/inwerking/inwerking.pdf

== Multiseat ==
De workstations in de werkkamer maken gebruik van [[Multiseat]]s.Hiervoor gebruiken we loginctl.

Dit is niet de meest ideale oplossing en gaan daarom ook over op single seats, mocht er ooit een multiseat sterven.

=== Opdracht ===
Check wie er op dit moment zijn ingelogd door het volgende commando uit te voeren:
<pre>
loginctl
</pre>
Voer de volgende opdracht uit voor elke seat om te kijken welke devices verbonden zitten aan welke seat. (Als het erg verwarrend is probeer dan niet te beginnen bij seat0, maar probeer bijvoorbeeld seat1 of 2)
<pre>
loginctl seat-status <seat id>
</pre>
Je gaat nu proberen om twee toetsenborden om te wisselen. Voordat je hier aan begint, vraag aan de mensen om je heen of dit nu kan!

Het commando wat je hiervoor moet gebruiken is:
<pre>
loginctl attach <seat-id> <device ID>
</pre>

== Containers en VM's ==
Omdat we veel verschillende servers moeten draaien op maar een paar machines maken we gebruik van virtualisatie. Oude servers draaien op [https://en.wikipedia.org/wiki/Virtual_machine VM's], maar langzaam zijn we dingen aan het overzetten naar [https://linuxcontainers.org/ containers]

=== Proxmox ===
Op onze server draaien we [https://en.wikipedia.org/wiki/Proxmox_Virtual_Environment proxmox]. De meeste handelingen met proxmox doe je op de [https://stephen.a-eskwadraat.nl:8006 webinterface]. Hiering maak je bijvoorbeeld nieuwe containers of hou je de huidige servers in de gaten!
==== Opdracht ====

Vraag aan een Sysopper om je te helpen met het opzeten van een nieuwe container, je eigen "speeltuin" of zoo.

Als dit gebeurt is en je kan inloggen op je eigen zoo,maak dan de volgende [[Container opdrachten]]. (Als je veel linux ervaring heb kan je dit overslaan)
== IPA ==
Voor de authenticatie van gebruikers op het systeem, de mail en diverse andere toepassingen maken we gebruik van [[IPA]]. IPA is vrij ingewikkeld en daarom zullen we hier niet heel diep op ingaan.

Ook voor IPA is er een [http://ipa05.a-eskwadraat.nl webinterface].
To be COntondered.
[[Category:Sysop]]

Intro mogelijk maken

2024-07-12T12:41:12Z

Maxvg:

Elk jaar zo rond juli is het weer zover: de intro van het komende jaar is opgestart en ze willen de inschrijvingen opengooien. Als WebCie moet je ervoor zorgen dat de volgende dingen kloppen:

* Geef de introcommissie de juiste auth door de waarde van INTROCIE in <code>www/space/auth/init.php</code> aan te passen
* Ga naar Leden -> Introductie -> Toon Introdeelnemers. Als de secretaris vergeten is om de oude deelnemers te verwijderen doe het dan zelf en schop de secretaris dat hij/zij (of de opvolger) dit na de intro moet doen ivm privacy redenen.
* Maak iDEAL voor kamp mogelijk:
* Maak een Artikel aan in Het Nieuwe Boekenweb 2.0™
* Maak een voorraad aan hiervoor (locatie: virtueel)
* Lever hier meeeeer dan genoeg van (700 ofzo)
* Vergeet niet de verkoopprijs in te stellen!
* Zet het juiste ID van de voorraad in het register: introKampVoorraad
* Pas specialconstants.php aan en zet de juiste waarde voor MAXAANTALKAMP
* Update de waarde van <code>EJBV</code> in <code>www/space/specialconstants.php</code>, anders wordt "lid vanaf" opeens een jaar te vroeg!
* Maak de verschillende introductie pakketten:
* Maak (lees: Zeg tegen de intro) voor elk pakket een nieuwe activiteit aan. Zet hierbij de titel op iets duidelijks, zoals "Introductiepakket WIS/NAT"
* Zorg dat de iDeal vragen staan ingesteld. Zet hier een beetje nuttige vragen in (Voornaam/Achternaam/Email/verzin wat)
* Voeg kaartjes toe voor de activiteit
* Controleer of de return URL nog klopt, en zet dan de URL als Return URL: http://www.intro-utrecht.nl/?succes=pakket
* Zet extern verkrijgbaar aan
* Zet DigitaalVerkrijgbaar op PERSOONLIJK
* Stel de Verkoopprijs in (let op dat transactiekosten hier nog bovenop komen)
* Ga nu testen of alles werkt
'''Nuttige info:'''

* Om een betaallink te krijgen zonder de A-es layout moet <code>?cleanhtml=true</code> worden toegevoegd.

== Kwerries voor de intro ==

Geef alle mentoren en of ze betaald hebben voor de pakketten. Je moet zelf de juiste activiteitID's en het juiste jaar invullen!
<pre>
SELECT `Lid`.`contactID`, `studentnr`, `voornaam`, `tussenvoegsels`, `achternaam`, (SELECT COUNT(*) FROM `iDealAntwoord` JOIN `Transactie` ON `iDealAntwoord`.`ideal_transactieID` = `Transactie`.`transactieID` WHERE `antwoord` = `Lid`.`studentnr` AND `vraag_activiteit_activiteitID` = '7299' AND `Transactie`.`status` = 'SUCCESS') AS `nr_pakketten_na_wi_twin`, (SELECT COUNT(*) FROM `iDealAntwoord` JOIN `Transactie` ON `iDealAntwoord`.`ideal_transactieID` = `Transactie`.`transactieID` WHERE `antwoord` = `Lid`.`studentnr` AND `vraag_activiteit_activiteitID` = '7298' AND `Transactie`.`status` = 'SUCCESS') AS `nr_pakketten_ica_iku_twinfo` FROM `Lid` JOIN `Mentor` ON `Lid`.`contactID` = `Mentor`.`lid_contactID` JOIN `Persoon` ON `Lid`.`contactID` = `Persoon`.`contactID` JOIN `IntroGroep` ON `Mentor`.`groep_groepID` = `IntroGroep`.`groepID` JOIN `IntroCluster` ON `IntroGroep`.`cluster_clusterID` = `IntroCluster`.`clusterID` WHERE `IntroCluster`.`jaar` = 2018
</pre>

Geef alle introdeelnemers en of ze betaald hebben voor de pakketten. Je moet zelf de juiste activiteitID's invullen!
<pre>
SELECT `Lid`.`contactID`, `studentnr`, `voornaam`, `tussenvoegsels`, `achternaam`, `IntroDeelnemer`.*, (SELECT COUNT(*) FROM `iDealAntwoord` JOIN `Transactie` ON `iDealAntwoord`.`ideal_transactieID` = `Transactie`.`transactieID` WHERE `antwoord` = `Lid`.`studentnr` AND `vraag_activiteit_activiteitID` = '7299' AND `Transactie`.`status` = 'SUCCESS') AS `nr_pakketten_na_wi_twin`, (SELECT COUNT(*) FROM `iDealAntwoord` JOIN `Transactie` ON `iDealAntwoord`.`ideal_transactieID` = `Transactie`.`transactieID` WHERE `antwoord` = `Lid`.`studentnr` AND `vraag_activiteit_activiteitID` = '7298' AND `Transactie`.`status` = 'SUCCESS') AS `nr_pakketten_ica_iku_twinfo` FROM `Lid` JOIN `IntroDeelnemer` ON `Lid`.`contactID` = `IntroDeelnemer`.`lid_contactID` JOIN `Persoon` ON `Lid`.`contactID` = `Persoon`.`contactID`
</pre>

[[Category:WebCie]]
[[Category:HowTo]]

SSL

2023-07-06T13:16:57Z

Maxvg: /* Let's Encrypt introductie */ Fix het webroot path

== Uitleg ==

SSL wordt gebruikt om netwerk verbindingen te beveiligingen, zoals http en imap verkeer. Hiertoe gebruiken we bij a-eskwadraat een reverse proxy die het verkeer versleuteld voor de buitenwereld.

Voor het certificaat van A-Eskwadraat maken we op dit moment gebruik van xolphin: [https://www.sslcertificaten.nl/ https://www.sslcertificaten.nl/]

== Wachtwoord van certificaat halen ==

Indien de private key is beveiligd met een wachtwoord, dan is dit wachtwoord ook nodig bij het opstarten. Dit kan vervelend zijn wanneer de server opnieuw opstart zonder dat iemand ter plaatse is om het wachtwoord in te tikken. Het wachtwoord kan met het volgende commando worden verwijderd. Zorg hierbij dat de shell zich bevindt in de map waarin de private key staat opgeslagen:

[root@server cert]# openssl rsa -in encrypted_private_key.key -out private_key.key

Vervang hierbij encrypted_private_key.key met de naam van de private key, en vervang private_key.key met de gewenste bestandsnaam voor de nieuwe private key zonder wachtwoord.

== Aanmaken CSR ==

=== stap 1 ===

Maak met behulp van SSH verbinding met de server en log in als root. Ga met behulp van het cd-commando naar de map toe waar de certificaten moeten worden bewaard:

[root@server]# cd /etc/ssl/cert/

=== stap 2 ===

Met het volgende commando kunnen de Private Key en de CSR worden gegenereerd:
<pre style="font-family: monospace, Courier; padding: 1em; border-color: rgb(221, 221, 221); color: rgb(0, 0, 0); line-height: 1.1em; font-size: 12.6999998092651px; background-color: rgb(249, 249, 249)">[root@server]# openssl req -nodes -newkey rsa:2048 \
-keyout a-eskwadraat_nl.`date +%Y%m%d`.key \
-out a-eskwadraat_nl.`date +%Y%m%d`.csr \
-subj '/C=NL/ST=Utrecht/L=Utrecht/O=A-Eskwadraat/OU=Sysop/CN=*.a-eskwadraat.nl/emailAddress=sysop@a-eskwadraat.nl'
</pre>

=== stap 3 ===

OpenSSL genereert twee bestanden: de Private Key (met als naam a-eskwadraat_nl.{datum}.key) en de CSR (met als naam a-eskwadraat_nl.{datum}.csr).

=== stap 4 ===

Beveilig de certificaatbestanden zodat niemand behalve de rootgebruiker erbij kan:

[root@server cert]# chmod 600 *.key *.csr

=== stap 6 ===

Nu kan de CSR met behulp van het cat-commando worden weergegeven:

[root@server cert]# cat a-eskwadraat_nl.`date +%Y%m%d`.csr

De velden emailadres, optionele bedrijfsnaam en uitwisselingswachtwoord kunnen leeggelaten worden bij het aanvragen van een SSL certificaat.

== IPA SSL intern ==

Hier staat eigenlijk alles dat je moet weten: [http://www.freeipa.org/page/Apache_SNI_With_Kerberos http://www.freeipa.org/page/Apache_SNI_With_Kerberos] <br/>Het komt hier op neer (merk op dat 'dummyhost' de naam van de virtualhost is):

mkdir /etc/httpd/certs
semanage fcontext -a -t cert_t '/etc/httpd/certs(/.*)?' && restorecon -v /etc/httpd/certs
ipa host-add dummyhost.example.com --desc="Dummy Host" --location="<fqdn-of-webserver>"
ipa host-add-managedby dummyhost.example.com --hosts="<fqdn-of-webserver>"
ipa service-add HTTP/dummyhost.example.com
ipa service-add-host HTTP/dummyhost.example.com --hosts="<fqdn-of-webserver>"
ipa-getcert request -r -f /etc/httpd/certs/dummyhost.crt -k /etc/httpd/certs/dummyhost.key -N CN=dummyhost.example.com -D \
dummyhost.example.com -K HTTP/dummyhost.example.com

Het zou kunnen dat je de package ipa-admintools moet installeren.

== Let's Encrypt ==

=== Stap 1 ===

Inloggen op ernst.

=== Stap 2 ===

Certbot commando uitvoeren:

certbot certonly --manual -d *.a-eskwadraat.nl -d a-eskwadraat.nl --agree-tos --no-bootstrap --manual-public-ip-logging-ok --preferred-challenges dns-01

=== Stap 3 ===

Inloggen op vm-dns-auth.

=== Stap 4 ===

Twee TXT-records aanpassen in /etc/nsd/zones/a-eskwadaraat.nl.zone en timestamps aanpassen (van hele bestand).

'''Let op dat de serial altijd groter wordt dan de vorige (en niet een grotere stap dan 2**31).''' Als de serial een keer omlaag moet raadpleeg [http://www.microhowto.info/howto/reset_the_serial_number_of_a_dns_zone.html deze pagina].

=== Stap 5 ===

service nsd restart

Hierna uitloggen op vm-dns-auth.

=== Stap 6 ===

Ga verder met certbot script uit stap 2.

=== Stap 7 ===

service nginx restart

=== Stap 8 ===

Certificaat kopiëren naar mail server.

Log in op vm-mailpp

Verwijder de oude certificaten.
rm -f /etc/ssl/certs/mail_a-eskwadraat_nl.crt
rm -f /etc/ssl/certs/mail_a-eskwadraat_nl.key
Kopieër de nieuwe certificaten vanaf Ernst:
scp root@ernst:/etc/letsencrypt/live/a-eskwadraat.nl/fullchain.pem /etc/ssl/certs/mail_a-eskwadraat_nl.crt
scp root@ernst:/etc/letsencrypt/live/a-eskwadraat.nl/privkey.pem /etc/ssl/certs/mail_a-eskwadraat_nl.key
Herstart postfix en dovecot
systemctl restart postfix
systemctl restart dovecot

=== Stap 9 ===

Profit.

== Let's Encrypt introductie==
De website van de introductie intro-utrecht.nl gebruikt een eigen certificaat. Andere websites die genoemd staan in /etc/nginx/conf.d/vm-www-dmz.list werken nu ook via dit certificaat. Deze worden op het moment niet echt meer gebruikt, maar mochten hier problemen zijn met ssl ligt dat hier aan.
Voer het volgende commando uit op ernst om het intro certificaat te vernieuwen:
certbot certonly --webroot -d intro-utrecht.nl,www.intro-utrecht.nl,bachelor.intro-utrecht.nl

Als er gevraagd wordt om een webroot, vul dan in:
/var/www/bachelor.intro-utrecht.nl

[[Category:Sysop]]

SSL

2023-06-14T10:19:35Z

Maxvg: /* Stap 4 */ Formatting

SSL

2023-06-14T10:19:02Z

Maxvg: /* Stap 4 */ Voeg link naar dns serial fix toe

== Uitleg ==

SSL wordt gebruikt om netwerk verbindingen te beveiligingen, zoals http en imap verkeer. Hiertoe gebruiken we bij a-eskwadraat een reverse proxy die het verkeer versleuteld voor de buitenwereld.

Voor het certificaat van A-Eskwadraat maken we op dit moment gebruik van xolphin: [https://www.sslcertificaten.nl/ https://www.sslcertificaten.nl/]

== Wachtwoord van certificaat halen ==

Indien de private key is beveiligd met een wachtwoord, dan is dit wachtwoord ook nodig bij het opstarten. Dit kan vervelend zijn wanneer de server opnieuw opstart zonder dat iemand ter plaatse is om het wachtwoord in te tikken. Het wachtwoord kan met het volgende commando worden verwijderd. Zorg hierbij dat de shell zich bevindt in de map waarin de private key staat opgeslagen:

[root@server cert]# openssl rsa -in encrypted_private_key.key -out private_key.key

Vervang hierbij encrypted_private_key.key met de naam van de private key, en vervang private_key.key met de gewenste bestandsnaam voor de nieuwe private key zonder wachtwoord.

== Aanmaken CSR ==

=== stap 1 ===

Maak met behulp van SSH verbinding met de server en log in als root. Ga met behulp van het cd-commando naar de map toe waar de certificaten moeten worden bewaard:

[root@server]# cd /etc/ssl/cert/

=== stap 2 ===

Met het volgende commando kunnen de Private Key en de CSR worden gegenereerd:
<pre style="font-family: monospace, Courier; padding: 1em; border-color: rgb(221, 221, 221); color: rgb(0, 0, 0); line-height: 1.1em; font-size: 12.6999998092651px; background-color: rgb(249, 249, 249)">[root@server]# openssl req -nodes -newkey rsa:2048 \
-keyout a-eskwadraat_nl.`date +%Y%m%d`.key \
-out a-eskwadraat_nl.`date +%Y%m%d`.csr \
-subj '/C=NL/ST=Utrecht/L=Utrecht/O=A-Eskwadraat/OU=Sysop/CN=*.a-eskwadraat.nl/emailAddress=sysop@a-eskwadraat.nl'
</pre>

=== stap 3 ===

OpenSSL genereert twee bestanden: de Private Key (met als naam a-eskwadraat_nl.{datum}.key) en de CSR (met als naam a-eskwadraat_nl.{datum}.csr).

=== stap 4 ===

Beveilig de certificaatbestanden zodat niemand behalve de rootgebruiker erbij kan:

[root@server cert]# chmod 600 *.key *.csr

=== stap 6 ===

Nu kan de CSR met behulp van het cat-commando worden weergegeven:

[root@server cert]# cat a-eskwadraat_nl.`date +%Y%m%d`.csr

De velden emailadres, optionele bedrijfsnaam en uitwisselingswachtwoord kunnen leeggelaten worden bij het aanvragen van een SSL certificaat.

== IPA SSL intern ==

Hier staat eigenlijk alles dat je moet weten: [http://www.freeipa.org/page/Apache_SNI_With_Kerberos http://www.freeipa.org/page/Apache_SNI_With_Kerberos] <br/>Het komt hier op neer (merk op dat 'dummyhost' de naam van de virtualhost is):

mkdir /etc/httpd/certs
semanage fcontext -a -t cert_t '/etc/httpd/certs(/.*)?' && restorecon -v /etc/httpd/certs
ipa host-add dummyhost.example.com --desc="Dummy Host" --location="<fqdn-of-webserver>"
ipa host-add-managedby dummyhost.example.com --hosts="<fqdn-of-webserver>"
ipa service-add HTTP/dummyhost.example.com
ipa service-add-host HTTP/dummyhost.example.com --hosts="<fqdn-of-webserver>"
ipa-getcert request -r -f /etc/httpd/certs/dummyhost.crt -k /etc/httpd/certs/dummyhost.key -N CN=dummyhost.example.com -D \
dummyhost.example.com -K HTTP/dummyhost.example.com

Het zou kunnen dat je de package ipa-admintools moet installeren.

== Let's Encrypt ==

=== Stap 1 ===

Inloggen op ernst.

=== Stap 2 ===

Certbot commando uitvoeren:

certbot certonly --manual -d *.a-eskwadraat.nl -d a-eskwadraat.nl --agree-tos --no-bootstrap --manual-public-ip-logging-ok --preferred-challenges dns-01

=== Stap 3 ===

Inloggen op vm-dns-auth.

=== Stap 4 ===

Twee TXT-records aanpassen in /etc/nsd/zones/a-eskwadaraat.nl.zone en timestamps aanpassen (van hele bestand). '''Let op dat de serial altijd groter wordt dan de vorige (en niet een grotere stap dan 2**31).''' Als de serial een keer omlaag moet raadpleeg [http://www.microhowto.info/howto/reset_the_serial_number_of_a_dns_zone.html deze pagina].

=== Stap 5 ===

service nsd restart

Hierna uitloggen op vm-dns-auth.

=== Stap 6 ===

Ga verder met certbot script uit stap 2.

=== Stap 7 ===

service nginx restart

=== Stap 8 ===

Certificaat kopiëren naar mail server.

Log in op vm-mailpp

Verwijder de oude certificaten.
rm -f /etc/ssl/certs/mail_a-eskwadraat_nl.crt
rm -f /etc/ssl/certs/mail_a-eskwadraat_nl.key
Kopieër de nieuwe certificaten vanaf Ernst:
scp root@ernst:/etc/letsencrypt/live/a-eskwadraat.nl/fullchain.pem /etc/ssl/certs/mail_a-eskwadraat_nl.crt
scp root@ernst:/etc/letsencrypt/live/a-eskwadraat.nl/privkey.pem /etc/ssl/certs/mail_a-eskwadraat_nl.key
Herstart postfix en dovecot
systemctl restart postfix
systemctl restart dovecot

=== Stap 9 ===

Profit.

== Let's Encrypt introductie==
De website van de introductie intro-utrecht.nl gebruikt een eigen certificaat. Andere websites die genoemd staan in /etc/nginx/conf.d/vm-www-dmz.list werken nu ook via dit certificaat. Deze worden op het moment niet echt meer gebruikt, maar mochten hier problemen zijn met ssl ligt dat hier aan.
Voer het volgende commando uit op ernst om het intro certificaat te vernieuwen:
certbot certonly --webroot -d intro-utrecht.nl,www.intro-utrecht.nl,bachelor.intro-utrecht.nl

Als er gevraagd wordt om een webroot, vul dan in:
/var/www/bachelor.intro-utrecht.nl/.well-known

[[Category:Sysop]]

SSL

2023-06-14T10:14:50Z

Maxvg: /* Stap 4 */ Correctie

== Uitleg ==

SSL wordt gebruikt om netwerk verbindingen te beveiligingen, zoals http en imap verkeer. Hiertoe gebruiken we bij a-eskwadraat een reverse proxy die het verkeer versleuteld voor de buitenwereld.

Voor het certificaat van A-Eskwadraat maken we op dit moment gebruik van xolphin: [https://www.sslcertificaten.nl/ https://www.sslcertificaten.nl/]

== Wachtwoord van certificaat halen ==

Indien de private key is beveiligd met een wachtwoord, dan is dit wachtwoord ook nodig bij het opstarten. Dit kan vervelend zijn wanneer de server opnieuw opstart zonder dat iemand ter plaatse is om het wachtwoord in te tikken. Het wachtwoord kan met het volgende commando worden verwijderd. Zorg hierbij dat de shell zich bevindt in de map waarin de private key staat opgeslagen:

[root@server cert]# openssl rsa -in encrypted_private_key.key -out private_key.key

Vervang hierbij encrypted_private_key.key met de naam van de private key, en vervang private_key.key met de gewenste bestandsnaam voor de nieuwe private key zonder wachtwoord.

== Aanmaken CSR ==

=== stap 1 ===

Maak met behulp van SSH verbinding met de server en log in als root. Ga met behulp van het cd-commando naar de map toe waar de certificaten moeten worden bewaard:

[root@server]# cd /etc/ssl/cert/

=== stap 2 ===

Met het volgende commando kunnen de Private Key en de CSR worden gegenereerd:
<pre style="font-family: monospace, Courier; padding: 1em; border-color: rgb(221, 221, 221); color: rgb(0, 0, 0); line-height: 1.1em; font-size: 12.6999998092651px; background-color: rgb(249, 249, 249)">[root@server]# openssl req -nodes -newkey rsa:2048 \
-keyout a-eskwadraat_nl.`date +%Y%m%d`.key \
-out a-eskwadraat_nl.`date +%Y%m%d`.csr \
-subj '/C=NL/ST=Utrecht/L=Utrecht/O=A-Eskwadraat/OU=Sysop/CN=*.a-eskwadraat.nl/emailAddress=sysop@a-eskwadraat.nl'
</pre>

=== stap 3 ===

OpenSSL genereert twee bestanden: de Private Key (met als naam a-eskwadraat_nl.{datum}.key) en de CSR (met als naam a-eskwadraat_nl.{datum}.csr).

=== stap 4 ===

Beveilig de certificaatbestanden zodat niemand behalve de rootgebruiker erbij kan:

[root@server cert]# chmod 600 *.key *.csr

=== stap 6 ===

Nu kan de CSR met behulp van het cat-commando worden weergegeven:

[root@server cert]# cat a-eskwadraat_nl.`date +%Y%m%d`.csr

De velden emailadres, optionele bedrijfsnaam en uitwisselingswachtwoord kunnen leeggelaten worden bij het aanvragen van een SSL certificaat.

== IPA SSL intern ==

Hier staat eigenlijk alles dat je moet weten: [http://www.freeipa.org/page/Apache_SNI_With_Kerberos http://www.freeipa.org/page/Apache_SNI_With_Kerberos] <br/>Het komt hier op neer (merk op dat 'dummyhost' de naam van de virtualhost is):

mkdir /etc/httpd/certs
semanage fcontext -a -t cert_t '/etc/httpd/certs(/.*)?' && restorecon -v /etc/httpd/certs
ipa host-add dummyhost.example.com --desc="Dummy Host" --location="<fqdn-of-webserver>"
ipa host-add-managedby dummyhost.example.com --hosts="<fqdn-of-webserver>"
ipa service-add HTTP/dummyhost.example.com
ipa service-add-host HTTP/dummyhost.example.com --hosts="<fqdn-of-webserver>"
ipa-getcert request -r -f /etc/httpd/certs/dummyhost.crt -k /etc/httpd/certs/dummyhost.key -N CN=dummyhost.example.com -D \
dummyhost.example.com -K HTTP/dummyhost.example.com

Het zou kunnen dat je de package ipa-admintools moet installeren.

== Let's Encrypt ==

=== Stap 1 ===

Inloggen op ernst.

=== Stap 2 ===

Certbot commando uitvoeren:

certbot certonly --manual -d *.a-eskwadraat.nl -d a-eskwadraat.nl --agree-tos --no-bootstrap --manual-public-ip-logging-ok --preferred-challenges dns-01

=== Stap 3 ===

Inloggen op vm-dns-auth.

=== Stap 4 ===

Twee TXT-records aanpassen in /etc/nsd/zones/a-eskwadaraat.nl.zone en timestamps aanpassen (van hele bestand). '''Let op dat de serial altijd groter wordt dan de vorige (en niet een grotere stap dan 2**31).'''

=== Stap 5 ===

service nsd restart

Hierna uitloggen op vm-dns-auth.

=== Stap 6 ===

Ga verder met certbot script uit stap 2.

=== Stap 7 ===

service nginx restart

=== Stap 8 ===

Certificaat kopiëren naar mail server.

Log in op vm-mailpp

Verwijder de oude certificaten.
rm -f /etc/ssl/certs/mail_a-eskwadraat_nl.crt
rm -f /etc/ssl/certs/mail_a-eskwadraat_nl.key
Kopieër de nieuwe certificaten vanaf Ernst:
scp root@ernst:/etc/letsencrypt/live/a-eskwadraat.nl/fullchain.pem /etc/ssl/certs/mail_a-eskwadraat_nl.crt
scp root@ernst:/etc/letsencrypt/live/a-eskwadraat.nl/privkey.pem /etc/ssl/certs/mail_a-eskwadraat_nl.key
Herstart postfix en dovecot
systemctl restart postfix
systemctl restart dovecot

=== Stap 9 ===

Profit.

== Let's Encrypt introductie==
De website van de introductie intro-utrecht.nl gebruikt een eigen certificaat. Andere websites die genoemd staan in /etc/nginx/conf.d/vm-www-dmz.list werken nu ook via dit certificaat. Deze worden op het moment niet echt meer gebruikt, maar mochten hier problemen zijn met ssl ligt dat hier aan.
Voer het volgende commando uit op ernst om het intro certificaat te vernieuwen:
certbot certonly --webroot -d intro-utrecht.nl,www.intro-utrecht.nl,bachelor.intro-utrecht.nl

Als er gevraagd wordt om een webroot, vul dan in:
/var/www/bachelor.intro-utrecht.nl/.well-known

[[Category:Sysop]]

SSL

2023-06-14T10:13:29Z

Maxvg: /* Stap 4 */ Voeg waarchuwing toe over verhogen van de DNS serial.

== Uitleg ==

SSL wordt gebruikt om netwerk verbindingen te beveiligingen, zoals http en imap verkeer. Hiertoe gebruiken we bij a-eskwadraat een reverse proxy die het verkeer versleuteld voor de buitenwereld.

Voor het certificaat van A-Eskwadraat maken we op dit moment gebruik van xolphin: [https://www.sslcertificaten.nl/ https://www.sslcertificaten.nl/]

== Wachtwoord van certificaat halen ==

Indien de private key is beveiligd met een wachtwoord, dan is dit wachtwoord ook nodig bij het opstarten. Dit kan vervelend zijn wanneer de server opnieuw opstart zonder dat iemand ter plaatse is om het wachtwoord in te tikken. Het wachtwoord kan met het volgende commando worden verwijderd. Zorg hierbij dat de shell zich bevindt in de map waarin de private key staat opgeslagen:

[root@server cert]# openssl rsa -in encrypted_private_key.key -out private_key.key

Vervang hierbij encrypted_private_key.key met de naam van de private key, en vervang private_key.key met de gewenste bestandsnaam voor de nieuwe private key zonder wachtwoord.

== Aanmaken CSR ==

=== stap 1 ===

Maak met behulp van SSH verbinding met de server en log in als root. Ga met behulp van het cd-commando naar de map toe waar de certificaten moeten worden bewaard:

[root@server]# cd /etc/ssl/cert/

=== stap 2 ===

Met het volgende commando kunnen de Private Key en de CSR worden gegenereerd:
<pre style="font-family: monospace, Courier; padding: 1em; border-color: rgb(221, 221, 221); color: rgb(0, 0, 0); line-height: 1.1em; font-size: 12.6999998092651px; background-color: rgb(249, 249, 249)">[root@server]# openssl req -nodes -newkey rsa:2048 \
-keyout a-eskwadraat_nl.`date +%Y%m%d`.key \
-out a-eskwadraat_nl.`date +%Y%m%d`.csr \
-subj '/C=NL/ST=Utrecht/L=Utrecht/O=A-Eskwadraat/OU=Sysop/CN=*.a-eskwadraat.nl/emailAddress=sysop@a-eskwadraat.nl'
</pre>

=== stap 3 ===

OpenSSL genereert twee bestanden: de Private Key (met als naam a-eskwadraat_nl.{datum}.key) en de CSR (met als naam a-eskwadraat_nl.{datum}.csr).

=== stap 4 ===

Beveilig de certificaatbestanden zodat niemand behalve de rootgebruiker erbij kan:

[root@server cert]# chmod 600 *.key *.csr

=== stap 6 ===

Nu kan de CSR met behulp van het cat-commando worden weergegeven:

[root@server cert]# cat a-eskwadraat_nl.`date +%Y%m%d`.csr

De velden emailadres, optionele bedrijfsnaam en uitwisselingswachtwoord kunnen leeggelaten worden bij het aanvragen van een SSL certificaat.

== IPA SSL intern ==

Hier staat eigenlijk alles dat je moet weten: [http://www.freeipa.org/page/Apache_SNI_With_Kerberos http://www.freeipa.org/page/Apache_SNI_With_Kerberos] <br/>Het komt hier op neer (merk op dat 'dummyhost' de naam van de virtualhost is):

mkdir /etc/httpd/certs
semanage fcontext -a -t cert_t '/etc/httpd/certs(/.*)?' && restorecon -v /etc/httpd/certs
ipa host-add dummyhost.example.com --desc="Dummy Host" --location="<fqdn-of-webserver>"
ipa host-add-managedby dummyhost.example.com --hosts="<fqdn-of-webserver>"
ipa service-add HTTP/dummyhost.example.com
ipa service-add-host HTTP/dummyhost.example.com --hosts="<fqdn-of-webserver>"
ipa-getcert request -r -f /etc/httpd/certs/dummyhost.crt -k /etc/httpd/certs/dummyhost.key -N CN=dummyhost.example.com -D \
dummyhost.example.com -K HTTP/dummyhost.example.com

Het zou kunnen dat je de package ipa-admintools moet installeren.

== Let's Encrypt ==

=== Stap 1 ===

Inloggen op ernst.

=== Stap 2 ===

Certbot commando uitvoeren:

certbot certonly --manual -d *.a-eskwadraat.nl -d a-eskwadraat.nl --agree-tos --no-bootstrap --manual-public-ip-logging-ok --preferred-challenges dns-01

=== Stap 3 ===

Inloggen op vm-dns-auth.

=== Stap 4 ===

Twee TXT-records aanpassen in /etc/nsd/zones/a-eskwadaraat.nl.zone en timestamps aanpassen (van hele bestand). '''Let op dat de serial altijd groter wordt dan de vorige (en niet een grotere stap dan 2**32).'''

=== Stap 5 ===

service nsd restart

Hierna uitloggen op vm-dns-auth.

=== Stap 6 ===

Ga verder met certbot script uit stap 2.

=== Stap 7 ===

service nginx restart

=== Stap 8 ===

Certificaat kopiëren naar mail server.

Log in op vm-mailpp

Verwijder de oude certificaten.
rm -f /etc/ssl/certs/mail_a-eskwadraat_nl.crt
rm -f /etc/ssl/certs/mail_a-eskwadraat_nl.key
Kopieër de nieuwe certificaten vanaf Ernst:
scp root@ernst:/etc/letsencrypt/live/a-eskwadraat.nl/fullchain.pem /etc/ssl/certs/mail_a-eskwadraat_nl.crt
scp root@ernst:/etc/letsencrypt/live/a-eskwadraat.nl/privkey.pem /etc/ssl/certs/mail_a-eskwadraat_nl.key
Herstart postfix en dovecot
systemctl restart postfix
systemctl restart dovecot

=== Stap 9 ===

Profit.

== Let's Encrypt introductie==
De website van de introductie intro-utrecht.nl gebruikt een eigen certificaat. Andere websites die genoemd staan in /etc/nginx/conf.d/vm-www-dmz.list werken nu ook via dit certificaat. Deze worden op het moment niet echt meer gebruikt, maar mochten hier problemen zijn met ssl ligt dat hier aan.
Voer het volgende commando uit op ernst om het intro certificaat te vernieuwen:
certbot certonly --webroot -d intro-utrecht.nl,www.intro-utrecht.nl,bachelor.intro-utrecht.nl

Als er gevraagd wordt om een webroot, vul dan in:
/var/www/bachelor.intro-utrecht.nl/.well-known

[[Category:Sysop]]