Autor

Marko Kurs

Sissejuhatus

Artikkel mõeldud taastama seisu, milleni olen laboritööde käigus jõudnud. Kõik sammud on detailselt kirjeldatud ning väga lihtsalt teostatavad, ei pea omama eelnevat kogemust unix-laadsete süsteemidega.

OpenSuSE 12.2 install

Alginstall

arvutit plaadilt / isolt buutides vali installation
vali keel ja klaviatuuri layout vajuta
eemalda linnuke use automatic configuration eest
pane paika regionaalsätted
desktop selectionilt võta other ja minimal server selection
kui on soovi, võid ketta partitsioneerimist muuta, mina jätsin vaike sätted
sisesta täisnimi ja parool, jäta peale ka "use this password for system admin", eemalda automatic login
vajuta install, et installiga alustada
peale installi avaneb YaST2 aken, sisesta hostname ja domain name
network configuration ajal vali change
- general alt IPv6 maha
- firewall alt disable automatic starting
- seadista proxy, kui tarvis
- vajuta next, kuni lõpuni server uuendatakse
- kui soovitakse restarti, tee seda
- kliki OK kuni lõpuni
Suse ongi peal

Tähtsad esmased seadistused

Paigaldame tarvikud, mis hõlbustavad tööd

zypper in mc
zypper in yast2-runlevel

YaST alt system -> System services enable SSHD
Nüüd saad puttyga kaugelt serverisse logida
- kui ei tööta, vaata kas tulemüür on maas või port avatud
- kui soovid linux baasil tööjaamast ilma parooli pidevalt sisestamata serverisse saada, järgi seda juhendit: http://en.opensuse.org/SDB:OpenSSH_public_key_authentication#General

DNS(Bind9)

Eelduste install

Paigaldame bind9 DNS serveri

zypper in bind

Käivitame nimeserveri, yast system services runlevel all "named"

Konfiguratsioon

Forwarderid

Esimese asjana vaja seadistada forwarderid, ava:

/etc/named.conf

Otsi üless rida:

<------>#forwarders { 192.0.2.1; 192.0.2.2; };

Eemalda # ja muuda IP'd järgmise sisemise või välise DNS serveri peale, kuhu saadetakse kõik päringud, mida ei lahendata sinu DNS serveris
Salvesta muudatused ja taaskäivita named

rcnamed restart

Tsoonide kirjeldused

Kõik tsooni failid asuvad

/var/lib/named

Pea meeles, et iga tsooni kohta, mida sa lood, pead ka seadistama reverse tsooni!
Iga tsooni kohta loo 2 faili, A kirjete fail ja reverse fail.
A kirjete fail näeb välja järgnev, faili nimi on minudomeen.int

$TTL 1W
minudomeen.int.        IN SOA          ns.minudomeen.int.     root.localhost. (
                                42              ; serial (d. adams)
                                2D              ; refresh
                                4H              ; retry
                                6W              ; expiry
                                1W )            ; minimum

                IN NS           ns
ns              IN A            177.12.12.205
www             IN A            177.12.12.205
sales           IN A            177.12.12.50

Vastava tsooni revers kirjete fail näeb välja järgnev, faili nimi on 12.12.177.zone:

$TTL 1W
12.12.177.in-addr.arpa.         IN SOA          ns.minudomeen.int.   root.markodomeen.int. (
                                42              ; serial (d. adams)
                                2D              ; refresh
                                4H              ; retry
                                6W              ; expiry
                                1W )            ; minimum

                IN NS           ns.minudomeen.int.
205             IN PTR          www.minudomeen.int.
50              IN PTR          sales.minudomeen.int

Teenindatavad tsoonid

Ava fail

/etc/named.conf

Faili lõpus on kirjeldatud tsoonid, mida server teenindab, värske installi puhul järgnev:

zone "." in {
<------>type hint;
<------>file "root.hint";
};

zone "localhost" in {
<------>type master;
<------>file "localhost.zone";
};

zone "0.0.127.in-addr.arpa" in {
<------>type master;
<------>file "127.0.0.zone";
};

zone "0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa" IN {
    type master;
    file "127.0.0.zone";
};

Lisame enda domeeni kirjeldused:
- Veendu, et file parameetris defineeritud tsooni fail on olemas kataloogis /var/lib/named


zone "minudomeen.int" IN {
    type master;
    file "minudomeen.int";
};
zone "12.12.177.in-addr.arpa" IN {
    type master;
    file "12.12.177.zone";
};

Seadistuse testimiseks jooksuta:
- Kui vigu ei tagastata, siis OK

named-checkconf /etc/named.conf

Enne named taas käivitust kontrolli üle, kas tsoonide failid on OK, selleks kasuta järgnevat:

named-checkzone minudomeen.int /var/named/minudomeen.int

Apache 2.2

Eelduste install

Paigaldame apache ja yast-http-server

zypper in apache2
zypper in yast-http-server

Konfiguratsioon

HTTP Lehed

Käivita yast ja mine Network Services -> HTTP Server
- Kuulatavad pordid peaks olema serveri IP ja port, kui ei ole, siis lisa
- Server Modules alt SSL enabled
- Main Host jääb vaike seadeks
- Hosts all vali Add
  - Server name pane nimi, mille peale soovid pöörduda browseris
  - Server content root määra veebilehe failide asukoht
  - Määra virtualhost
  - Vali Determine Requests by Server IP Adress
Nüüd peaks soovitud HTTP lehed näha olema

SSL Konfiguratsioon

Sertifikaadi genereerimine

Esimese sammuna genereeri endale võti

ssh-keygen -t rsa -b 1024

Genereeritakse 2 võtit priv ja pub. vaja läheb priv võtit
Tekitame nüüd CSRi soovitud veebilehe jaoks

openssl req -new -key /etc/apache2/PRIV.key -out /etc/apache2/veebileht.csr

Täida väljad, veendu, et common name on õige!
Request täida oma CA peal (siin puhul windows CA)
Salvesta CA poolt saadud cer fail /etc/apache2/ssl.crt alla

Apache seadistamine sertifikaati kasutama

Tekita soovitud veebileht /etc/apache2/vhosts.d alla, võib olla tavalise template koopia
Seadista ära nagu tavaline HTTP leht
All olev on lisaks standard HTTP lehe seadetele
- Esimese asjana lisame järgneva, et port 80 teeb redirecti https peale:

<VirtualHost ServeriIP:80>
 ServerName serveriFQDN
 ErrorLog /var/log/apache2/FQDN
 CustomLog /var/log/apache2/FQDN_log combined

 redirect / https://FQDN/

</VirtualHost>

Muuda ära lehe seaded nii, et kuulataks porti 443

<VirtualHost IP:443>

Seadistame SSL sertifikaadid ja võtmed ning šifrid, mida kasutada

SSLEngine on
SSLCertificateFile /etc/apache2/ssl.crt/CApooltSaadudVastus.cer
SSLCertificateKeyFile /etc/apache2/ssl.key/PRIV.key
SSLOptions +StdEnvVars
SSLCipherSuite RC4-SHA:AES128-SHA:HIGH:MEDIUM:!aNULL:!MD5

Samba 3.6

Koos active directory vastu autentimisega

Eelduste Install

Esialgu tuleb paigaldada samba server (vaikimisi paigaldatakse ka samba client)
Kasutades zypper haldurit käivita järgnev:

zypper in samba

Veendu, et yast2-samba-client on installitud:

zypper in yast2-samba-client

Serveri lisamine domeeni

Käivita yast2 root õigustes
Mine network services -> Windows Domain Membership
- Kui see valik puudub, siis ei ole sul paigaldatud yast2-samba-client
Domain or workgroup alla sisesta oma domeeni nimi
Pane linnuke "Use SMB Information for Linux Authentication"
- Selle abil saad kasutada windows domeeni kontor serverisse logimiseks
Pane linnuke "Create Home Directory on Login"
- Luuakse domeeni kontole automaatselt kodukaust
Pane linnuke "Offline Authentication"
- Salvestatakse logimis info, et saaks kasutada domeeni kontot ka siis, kui ei ole võrku
Käivita "NTP Configuration"
Seadista "Start NTP Daemon" seadega "Now and on Boot"
"Synchronization Type Adress" alt eemalda kõik vaikeseaded
Lisa domeenikontroller kasutades "Add"
- "Type" vali server
  - "Adress" pane domeenikontrolleri FQDN
2x OK
Pakutakse installida samba-winbind, vali OK
Küsimisel sisesta kasutajanimi ja parool domeeni kasutajale, kellel on õigus arvuteid domeeni liituda
Jäta vaikimisi OU
Server on nüüd domeenis

Serveri turvamine

Vaikesättes on kõigil domeeni kasutajatel õigus domeeni logida!
Kasutajate ringi piiramiseks käitu järgnevalt:
ava /etc/security/pam_winbind.conf
- Lisa [global] alla require_membership_of = domeen\grupinimi
Nüüd saavad seadistatud grupi liikmed ainukesena serverile ligi

Samba seadistamine

Käivita teenused:

/etc/init.d/smb start
/etc/init.d/nmb start
/etc/init.d/winbind start

Ava /etc/samba/smb.conf
Veendu järgnevas:
- Workgroup = Sinudomeen
- security = ADS
- realm = domeeni fqdn
Kõigile sharedele mida ei soovi näidata # ette! Vaikesätete puhul ilmselt enamus!

Failisüsteemi kaustad

TÄHELEPANU: Tekitan kaustad /home/ alla, kuna seal on kõige rohkem kettaruumi, reaalsuses võiks kasutada eraldi partitsiooni.
Loome kausta kasutajate ühistele failidele, kuhu pääsevad ligi kõik domain users grupis olevad kasutajad

mkdir /home/Kasutajate\ failid
chgrp "domeen\domain users" /home/Kasutajate\ failid
chmod 770 /home/Kasutajate\ failid

Loome kausta, kuhu pääsevad ligi vaid spetsiifilised kaustajad

mkdir /home/Kasutajate\ failid
chgrp "domeen\domain users" /home/Kasutajate\ failid
chmod 770 /home/Kasutajate\ failid

Veenduma peab faili süsteemis antud õigustes, kui need on puudulikud või valed, siis võib tekkida olukord, kus kasutajad ei saa jagatud kausta kirjutada vms probleem.

Kaustade jagamine

valid users = @domeen\\grupp
- Asenda @domeen\\grupp enda vastava grupiga, millele soovid anda piiratud ligipääsu jagatud kaustale
force create mode = 770
- Kõik failid, mida tekitatakse alamkaustadesse, saavad endale õiguse 770, see võti väldib võimalike probleeme katkiste õigustega.
force directory mode = 770
- Kõik kaustad, mida tekitatakse saavad endale õiguse 770, see võti väldib võimalike probleeme katkiste õigustega.

Ava /etc/samba/smb.conf
Lisa faili lõppu järgnev:

[Yhised Failid]
comment = Paneme faile
writable = Yes
Browseable = Yes
force create mode = 770
force directory mode = 770
path = /home//Kasutajate failid
read only = No

[Salajane]
comment = Top Secret
valid users = @domeen\\grupp
force create mode = 770
force directory mode = 770
path = /home/Salajane
read only = No

Taaskäivita smb teenus

rcsmb restart

Allikad

https://wiki.itcollege.ee/index.php/Veebiserveri_labor_v.2#SSL_keskkonna_loomine

http://linux.die.net/

https://wiki.itcollege.ee/index.php/Zypper

http://www.samba.org/samba/docs/man/manpages-3/smb.conf.5.html

http://www.cyberciti.biz/tips/howto-linux-unix-check-dns-file-errors.html

http://www.cyberciti.biz/faq/howto-linux-unix-zone-file-validity-checking/

Suse Linux

Contents

Autor

Sissejuhatus

OpenSuSE 12.2 install

Alginstall

Tähtsad esmased seadistused

DNS(Bind9)

Eelduste install

Konfiguratsioon

Forwarderid

Tsoonide kirjeldused

Teenindatavad tsoonid

Apache 2.2

Eelduste install

Konfiguratsioon

HTTP Lehed

SSL Konfiguratsioon

Sertifikaadi genereerimine

Apache seadistamine sertifikaati kasutama

Samba 3.6

Eelduste Install

Serveri lisamine domeeni

Serveri turvamine

Samba seadistamine

Failisüsteemi kaustad

Kaustade jagamine

Allikad

Navigation menu

Page actions

Page actions

Personal tools

Navigation

Search

Tools