Suse Linux
From ICO wiki
Jump to navigationJump to search
Autor
- Marko Kurs
Sissejuhatus
Artikkel mõeldud taastama seisu, milleni olen laboritööde käigus jõudnud. Kõik sammud on detailselt kirjeldatud ning väga lihtsalt teostatavad, ei pea omama eelnevat kogemust unix-laadsete süsteemidega.
TÄHELEPANU: Koodinäited sisaldavad muutuvate osadega sisendeid, näiteks ServeriIP, ServeriFQDN!
OpenSuSE 12.2 install
Alginstall
- arvutit plaadilt / isolt buutides vali installation
- vali keel ja klaviatuuri layout
- eemalda linnuke use automatic configuration eest
- pane paika regionaalsätted
- desktop selectionilt võta other ja minimal server selection
- kui on soovi, võid ketta partitsioneerimist muuta, mina jätsin vaike sätted
- sisesta täisnimi ja parool, jäta peale ka "use this password for system admin", eemalda automatic login
- vajuta install, et installiga alustada
- peale installi avaneb YaST2 aken, sisesta hostname ja domain name
- network configuration ajal vali change
- general alt IPv6 maha
- firewall alt disable automatic starting
- seadista proxy, kui tarvis
- vajuta next, kuni lõpuni server uuendatakse
- kui soovitakse restarti, tee seda
- kliki OK kuni lõpuni
- Suse ongi peal
Tähtsad esmased seadistused
- Paigaldame tarvikud, mis hõlbustavad tööd
zypper in mc zypper in yast2-runlevel
- YaST alt system -> System services enable SSHD
- Nüüd saad puttyga kaugelt serverisse logida
- kui ei tööta, veendu, et tulemüür oleks maas, või port (22) avatud
- kui soovid linux baasil tööjaamast ilma parooli pidevalt sisestamata serverisse saada, järgi seda juhendit: http://en.opensuse.org/SDB:OpenSSH_public_key_authentication#General
DNS(Bind9)
Eelduste install
- Paigaldame bind9 DNS serveri
zypper in bind
- Käivitame nimeserveri, yast system services runlevel all "named"
Konfiguratsioon
Forwarderid
- Esimese asjana vaja seadistada forwarderid, ava:
/etc/named.conf
- Otsi üless rida:
<------>#forwarders { 192.0.2.1; 192.0.2.2; };
- Eemalda # ja muuda IP'd järgmise sisemise või välise DNS serveri peale, kuhu saadetakse kõik päringud, mida ei lahendata sinu DNS serveris
- Salvesta muudatused ja taaskäivita named
rcnamed restart
Tsoonide kirjeldused
- Kõik tsooni failid asuvad
/var/lib/named
- Pea meeles, et iga tsooni kohta, mida sa lood, pead ka seadistama reverse tsooni!
- Iga tsooni kohta loo 2 faili, A kirjete fail ja reverse fail.
- A kirjete fail näeb välja järgnev, faili nimi on minudomeen.int
$TTL 1W
minudomeen.int. IN SOA ns.minudomeen.int. root.localhost. (
42 ; serial (d. adams)
2D ; refresh
4H ; retry
6W ; expiry
1W ) ; minimum
IN NS ns
ns IN A 177.12.12.205
www IN A 177.12.12.205
sales IN A 177.12.12.50
- Vastava tsooni revers kirjete fail näeb välja järgnev, faili nimi on 12.12.177.zone:
$TTL 1W
12.12.177.in-addr.arpa. IN SOA ns.minudomeen.int. root.markodomeen.int. (
42 ; serial (d. adams)
2D ; refresh
4H ; retry
6W ; expiry
1W ) ; minimum
IN NS ns.minudomeen.int.
205 IN PTR www.minudomeen.int.
50 IN PTR sales.minudomeen.int
Teenindatavad tsoonid
- Ava fail
/etc/named.conf
- Faili lõpus on kirjeldatud tsoonid, mida server teenindab, värske installi puhul järgnev:
zone "." in {
type hint;
file "root.hint";
};
zone "localhost" in {
type master;
file "localhost.zone";
};
zone "0.0.127.in-addr.arpa" in {
type master;
file "127.0.0.zone";
};
zone "0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa" IN {
type master;
file "127.0.0.zone";
};
- Lisame enda domeeni kirjeldused:
- Veendu, et file parameetris defineeritud tsooni fail on olemas kataloogis /var/lib/named
zone "minudomeen.int" IN {
type master;
file "minudomeen.int";
};
zone "12.12.177.in-addr.arpa" IN {
type master;
file "12.12.177.zone";
};
- Seadistuse testimiseks jooksuta:
- Kui vigu ei tagastata, siis OK
named-checkconf /etc/named.conf
- Enne named taas käivitust kontrolli üle, kas tsoonide failid on OK, selleks kasuta järgnevat:
named-checkzone minudomeen.int /var/named/minudomeen.int
Apache 2.2
Eelduste install
- Paigaldame apache ja yast-http-server
zypper in apache2 zypper in yast-http-server
Konfiguratsioon
HTTP Lehed
- Käivita yast ja mine Network Services -> HTTP Server
- Kuulatavad pordid peaks olema serveri IP ja port, kui ei ole, siis lisa
- Server Modules alt SSL enabled
- Main Host jääb vaike seadeks
- Hosts all vali Add
- Server name pane nimi, mille peale soovid pöörduda browseris
- Server content root määra veebilehe failide asukoht
- Määra virtualhost
- Vali Determine Requests by Server IP Adress
- Nüüd peaks soovitud HTTP lehed näha olema
SSL Konfiguratsioon
Sertifikaadi genereerimine
- Esimese sammuna genereeri endale võti
ssh-keygen -t rsa -b 1024
- Genereeritakse 2 võtit priv ja pub. vaja läheb priv võtit
- Tekitame nüüd CSRi soovitud veebilehe jaoks
openssl req -new -key /etc/apache2/PRIV.key -out /etc/apache2/veebileht.csr
- Täida väljad, veendu, et common name on õige!
- Request täida oma CA peal (siin puhul windows CA)
- Salvesta CA poolt saadud cer fail /etc/apache2/ssl.crt alla
Apache seadistamine sertifikaati kasutama
- Tekita soovitud veebileht /etc/apache2/vhosts.d alla, võib olla tavalise template koopia
- Seadista ära nagu tavaline HTTP leht
- All olev on lisaks standard HTTP lehe seadetele
- Esimese asjana lisame järgneva, et port 80 teeb redirecti https peale:
<VirtualHost ServeriIP:80> ServerName serveriFQDN ErrorLog /var/log/apache2/FQDN CustomLog /var/log/apache2/FQDN_log combined redirect / https://FQDN/ </VirtualHost>
- Muuda ära lehe seaded nii, et kuulataks porti 443
<VirtualHost IP:443>
- Seadistame SSL sertifikaadid ja võtmed ning šifrid, mida kasutada
SSLEngine on SSLCertificateFile /etc/apache2/ssl.crt/CApooltSaadudVastus.cer SSLCertificateKeyFile /etc/apache2/ssl.key/PRIV.key SSLOptions +StdEnvVars SSLCipherSuite RC4-SHA:AES128-SHA:HIGH:MEDIUM:!aNULL:!MD5
Samba 3.6
- Koos active directory vastu autentimisega
Eelduste Install
- Esialgu tuleb paigaldada samba server (vaikimisi paigaldatakse ka samba client)
- Kasutades zypper haldurit käivita järgnev:
zypper in samba
- Veendu, et yast2-samba-client on installitud:
zypper in yast2-samba-client
Serveri lisamine domeeni
- Käivita yast2 root õigustes
- Mine network services -> Windows Domain Membership
- Kui see valik puudub, siis ei ole sul paigaldatud yast2-samba-client
- Domain or workgroup alla sisesta oma domeeni nimi
- Pane linnuke "Use SMB Information for Linux Authentication"
- Selle abil saad kasutada windows domeeni kontor serverisse logimiseks
- Pane linnuke "Create Home Directory on Login"
- Luuakse domeeni kontole automaatselt kodukaust
- Pane linnuke "Offline Authentication"
- Salvestatakse logimis info, et saaks kasutada domeeni kontot ka siis, kui ei ole võrku
- Käivita "NTP Configuration"
- Seadista "Start NTP Daemon" seadega "Now and on Boot"
- "Synchronization Type Adress" alt eemalda kõik vaikeseaded
- Lisa domeenikontroller kasutades "Add"
- "Type" vali server
- "Adress" pane domeenikontrolleri FQDN
- "Type" vali server
- 2x OK
- Pakutakse installida samba-winbind, vali OK
- Küsimisel sisesta kasutajanimi ja parool domeeni kasutajale, kellel on õigus arvuteid domeeni liituda
- Jäta vaikimisi OU
- Server on nüüd domeenis
Serveri turvamine
- Vaikesättes on kõigil domeeni kasutajatel õigus domeeni logida!
- Kasutajate ringi piiramiseks käitu järgnevalt:
- ava /etc/security/pam_winbind.conf
- Lisa [global] alla require_membership_of = domeen\grupinimi
- Nüüd saavad seadistatud grupi liikmed ainukesena serverile ligi
Samba seadistamine
- Käivita teenused:
/etc/init.d/smb start /etc/init.d/nmb start /etc/init.d/winbind start
- Ava /etc/samba/smb.conf
- Veendu järgnevas:
- Workgroup = Sinudomeen
- security = ADS
- realm = domeeni fqdn
- Kõigile sharedele mida ei soovi näidata # ette! Vaikesätete puhul ilmselt enamus!
Failisüsteemi kaustad
- TÄHELEPANU: Tekitan kaustad /home/ alla, kuna seal on kõige rohkem kettaruumi, reaalsuses võiks kasutada eraldi partitsiooni.
- Loome kausta kasutajate ühistele failidele, kuhu pääsevad ligi kõik domain users grupis olevad kasutajad
mkdir /home/Kasutajate\ failid chgrp "domeen\domain users" /home/Kasutajate\ failid chmod 770 /home/Kasutajate\ failid
- Loome kausta, kuhu pääsevad ligi vaid spetsiifilised kaustajad
mkdir /home/salajane\ failid chgrp "domeen\spetsiallgrupp" /home/salajane chmod 770 /home/salajane\ failid
- Veenduma peab faili süsteemis antud õigustes, kui need on puudulikud või valed, siis võib tekkida olukord, kus kasutajad ei saa jagatud kausta kirjutada vms probleem.
Kaustade jagamine
- valid users = @domeen\\grupp
- Asenda @domeen\\grupp enda vastava grupiga, millele soovid anda piiratud ligipääsu jagatud kaustale
- force create mode = 770
- Kõik failid, mida tekitatakse alamkaustadesse, saavad endale õiguse 770, see võti väldib võimalike probleeme katkiste õigustega.
- force directory mode = 770
- Kõik kaustad, mida tekitatakse saavad endale õiguse 770, see võti väldib võimalike probleeme katkiste õigustega.
- Ava /etc/samba/smb.conf
- Lisa faili lõppu järgnev:
[Yhised Failid] comment = Paneme faile writable = Yes Browseable = Yes force create mode = 770 force directory mode = 770 path = /home//Kasutajate failid read only = No [Salajane] comment = Top Secret valid users = @domeen\\grupp force create mode = 770 force directory mode = 770 path = /home/Salajane read only = No
- Taaskäivita smb teenus
rcsmb restart
Allikad
https://wiki.itcollege.ee/index.php/Veebiserveri_labor_v.2#SSL_keskkonna_loomine
https://wiki.itcollege.ee/index.php/Zypper
http://www.samba.org/samba/docs/man/manpages-3/smb.conf.5.html
http://www.cyberciti.biz/tips/howto-linux-unix-check-dns-file-errors.html
http://www.cyberciti.biz/faq/howto-linux-unix-zone-file-validity-checking/
